Quel comportement adopter ?

On 23 May 2005 15:46:12 GMT, LaDDL <bounce@localhost.fr>:

Il y a amha un gouffre entre se gourrer d'IP (chose qui arrive fréquement
si si) et relever un certain nombre d'informations sur un environnement.

Imagine que je veuille accéder à un fichier sur le PC du voisin.
Dans l'explorateur Windows, je pense taper \192.168.0.23c$, mais je
me goure et, sans m'en apercevoir, je tape \92.168.0.23c$.
Je tombe sur des répertoires partagés, que je ne reconnais pas.
Intrigué, j'essaie de comprendre ce qui se passe, et j'ouvre certains
de ces répertoires, voire des fichiers.
Au bout de cinq minutes, je me rends enfin compte que je me suis
trompé d'IP, et qu'une machine sur Internet est totalement accessible.
Et je m'aperçois que l'adresse IP en question, 92.168.0.23,
correspond à une très grosse entreprise. D'où mon étonnement, qui me
pousse à poster ici.

Ça me paraît crédible, non ?

On Mon, 23 May 2005 18:11:03 +0200, Fabien LE LEZ
<gramster@gramster.com> wrote:

On 23 May 2005 15:46:12 GMT, LaDDL <bounce@localhost.fr>:
Il y a amha un gouffre entre se gourrer d'IP (chose qui arrive
fréquement
si si) et relever un certain nombre d'informations sur un environnement.

Imagine que je veuille accéder à un fichier sur le PC du voisin.
Dans l'explorateur Windows, je pense taper \192.168.0.23c$, mais je
me goure et, sans m'en apercevoir, je tape \92.168.0.23c$.
Je tombe sur des répertoires partagés, que je ne reconnais pas.
Intrigué, j'essaie de comprendre ce qui se passe, et j'ouvre certains
de ces répertoires, voire des fichiers.
Au bout de cinq minutes, je me rends enfin compte que je me suis
trompé d'IP, et qu'une machine sur Internet est totalement accessible.
Et je m'aperçois que l'adresse IP en question, 92.168.0.23,
correspond à une très grosse entreprise. D'où mon étonnement, qui me
pousse à poster ici.

Ça me paraît crédible, non ?

Ton exemple ici me convient parfaitement.

Le problème c'est que dans le propos d'Yttrium, il indique :
" (...) Tous les disqaues dur sont accessibles par internet (...)"
" (...) TOUS les fichiers de l'entreprise sont donc accessibles à
n'importe qui (...) "

Amha on arrive pas à ce genre de "conclusions" sans avoir pris le temps
(soit plus de cinq minutes) de faire qq investigations & recherches, nan ?

Peut-être que je vais trop loin mais c'est Yttrium qui présente les choses
ainsi et pas moi. Je ne fais qu'interprêter et supputer...


--
We have no control over the length of Our lives but We can control the
width and depth of Our lives.

On Mon, 23 May 2005 12:13:32 +0000, LaDDL wrote:

Malheureusement, cette piste me semble la plus probable ...

En es-tu certain ? Es-tu dans le secret des dieux ?

Je me suis peut-être mal exprimé. Ce que je voulais sire, c'est que si
on étudie le ratio entre les machines mal/non sécurisées et celles
contenant des honeytokens, il est plus probable que la première solution
soit la bonne.

Simple question de probabilité ...


Nicob

Peut-être que je vais trop loin mais c'est Yttrium qui présente les choses
ainsi et pas moi. Je ne fais qu'interprêter et supputer...

mon trollomètre s'affole

C'est très facile,
Tu envoies un mail à la société et tu leur envoies une copie de ce mail en
recommandé avec AR.
Ca devrait suffire (y vont meêm te donner des $$)
"(¯`·..Yttrium ...·´¯)" <POUSSIERES.piegaspam@yahoo.fr> a écrit dans le
message de news:428d9665$0$22843$626a14ce@news.free.fr...

Bonjour ,

Voici les faits :

En pensant accéder par internet à un serveur surlquel je dois intervenir,
je

commet une erreur en entrant l'adresse IP, et je me retrouve sur une autre
machine.
Cette machine, appartient à une grand société, et est accessible
directement

sur le net en NetBios !!
Tous les disqaues dur sont accessibles par internet, sans aucune
protection,

sans qu'aucun mot d epass ne soit demandé.
TOUS les fichiers de l'entreprise sont donc accessibles à n'importe qui;
et

vous l'imaginez, certains sont trés probablement à caractère tout à fait
confidentiel

Loin de moi l'idée, de nuire à cette société et de subtiliser ou de
détruire

quoi que ce soit, je souhaiterais simplement en informer les gérants, afin
qu'il puissent se protéger et prendre les dispositions nécessaires.

Ma question :

Comment informer les gérant de cette faille de sécurité colossale, sans
pour

autant prendre le risque que ceux ci se retournent contre moi au regard de
la loi de 78.
En effet, si je ne dis rien, je ne risque rien, puisque vu l'état des
choses,je ne pense pas qu'il y ait quelqu'un pour varifier les logs, en
revanche, si je souhaite agir honnetement et leur rendre service, je prend
le risque de me retrouver devant un tribunal pour avoir accédé à leur
système.

Précisons toutefois que l'accès n'a nécessité aucune manipulation
particulière.
et la loi précise :" acces frauduleux.."


Ici, tout est ouvert directement à n'importe qui .!!

Merci de vos conseils et avis sur la question.

Salutations.

"Fabien LE LEZ" <gramster@gramster.com> a écrit dans le message de news:
22v3915hfk2h3ts7d61clkcfd3hkmbpnjb@4ax.com...

On 23 May 2005 15:46:12 GMT, LaDDL <bounce@localhost.fr>:

Il y a amha un gouffre entre se gourrer d'IP (chose qui arrive fréquement
si si) et relever un certain nombre d'informations sur un environnement.

Imagine que je veuille accéder à un fichier sur le PC du voisin.
Dans l'explorateur Windows, je pense taper \192.168.0.23c$, mais je
me goure et, sans m'en apercevoir, je tape \92.168.0.23c$.
Je tombe sur des répertoires partagés, que je ne reconnais pas.
Intrigué, j'essaie de comprendre ce qui se passe, et j'ouvre certains
de ces répertoires, voire des fichiers.
Au bout de cinq minutes, je me rends enfin compte que je me suis
trompé d'IP, et qu'une machine sur Internet est totalement accessible.
Et je m'aperçois que l'adresse IP en question, 92.168.0.23,
correspond à une très grosse entreprise. D'où mon étonnement, qui me
pousse à poster ici.

Ça me paraît crédible, non ?

J'espere que ca l'est parce que c'est trés précisément ce qui s'est produit,
à la virgule près.. :-)

On 24 May 2005 07:25:36 GMT, "Jean Louis Courteaud"
<jean-louis.courteaudnopourriel@courteaud.fr>:

Tu envoies un mail à la société

Rendez-vous directement à la case "prison". Ne passez pas par la case
"départ", n'empochez pas vingt mille francs.

[..]

Dans le cas présent, le système est en France, et, si je ne m'abuse (cf.
un article de MISC si je me souviens bien), le droit français permet
d'engager des poursuites à l'encontre de contrevenants au delà des
frontières du pays.

Oui, voir ma réponse pour Roland.
Il fallait tout bonnement que je me rafraîchisse le neurone sur le sujet.

2. Il reste à prouver qu'un tel comportement gènerait davabntage
quelqu'un qu'il ne l'est déjà.

C'est une grosse tartine de mauvaise foi ça. Dire qu'une faille
divulguée ne gêne pas plus que si elle ne l'est pas relève de la sombre
ignorance. Il suffit de regarder les faits.

Je ne mélange pas faille et comportement à risque.
En ce qui concerne la soi-disante entreprise française c'est un
comportement à risque (pour l'utilisateur) de mon point de vue dans la
mesure où, étant donné le nombre de scans udp/137, udp/138, tcp/139 que
le Net se paye, cette ouverture a certainement déjà été maintes fois
découvertes. C'est sa durée de vie qui représente un exploit (au sens
français).

[...]

Qui a d'ailleurs fait l'objet de nombreuses discussion. Mais c'est un
sujet éternellement intéressant.

Sujet uqe je ne maîtrise que de très loin. Je suis l'actualité tout au plus.
mon poitn de vue est qu'il serait effectivement intéressant si le
système était entièrement basé sur la réciprocité.
Or, hormis les éditeurs petits et moyens qui jouent le jeux (selon toi),
il se trouve que quelques éditeurs majeurs se barricadent derrière cette
notion de << responsabilité >> à géométrie variable pour ne pas mettre
la main à la pâte et donc à la poche (mais tout en conservant bien celle
de leurs clients).

On passe donc d'une situation technique (quasiment mécanique : je
divulgue de manière restreinte => tu corriges => on vérifie => je publie
la nécessité de mettre à jour) à une situation politico-juridique.
Et ça, ce n'est pas particulièrement << responsable >> notamment
lorsqu'il y a des millions de personnes derrière.
En résumé il faut être responsable dans un sens mais pas dans l'autre.
On s'achemine donc vers une déresponsabilisation de plus en plus
importante des éditeurs de logiciels : cool, je dis moi.

[...]

En plus, il va falloir sortir la boule de cristal pour deviner qui est au
bout du fil ?
Sans pouvoir le lui demander qui plus est !

[...]

C'est pas toi qui chougnait contre les gens qui ne voulaient pas mettre
les moyens ou faisaient appel à des incompétents ?

<< Qui ne VOULAIENT pas >> et non pas << qui ne POUVAIENT pas >> !

il est inadmissible qu'une grande société (qu'est ce qu'une grande
société ?) s'expose ainsi.

Bien sûr. Mais qui es-tu pour décider des actions à mener ?
Je ne vais pas reprendre l'exemple de la femme battue qui ne rencontre

pas les suffrages.
Mais je pourrais également prendre l'exemple d'un automobiliste ivre en
sortie de boîte qui veut à tout prix prendre la route : je préfère, en
mon âme et conscience, lui crever les pneus ou le signaler à tous les
participants à la fête afin qu'il lui barrent la route.
Tant pis pour son honneur et sa femme.
Et si personne ne le fait et qui lui arrive quelque chose c'est le
propriétaire du bar qui sera mis en cause.
Or, en terme de logiciel, puisqu'aucune vie n'est en jeu, effectivement,
point de salut.

Qui je suis ?
Bah, au choix un citoyen, un amoureux du travail bien fait, un Machiavel ?


[...]

Mais ça, tu ne sauras probablement pas. "Root reconnaîtra les siens"...
Et que la colère de Zeus retentisse, c'est ça ?

Euh, au fait, la << proclamation publique >> était située en dernière
position dans la chronologie que j'ai exposée hum ? Bien après le
signalement aux responsablex.

Qui es-tu pour décider de punir ? Parce que c'est clairement de la
punition : "si tu corriges pas, je te dénonce".

Non, non. C'est là également, une procédure << responsable >>. C'est
bien davantage de la dissuasion !

Par ailleurs, à une dénonciation exposée en anglais depuis un
cybercafé sud-coréen, cantonnais, hong-kongais dans un ng
international, la LCEN n'y pourra pas grand chose entre nous.

Ça ne changera rien au caractère répréhensible de la chose. Le fait de
ne pas pouvoir être techniquement tracé, et donc poursuivi, ne change
rien au côté contraire à l'éthique (amha) du geste.
Ethique ? Cela nous ramène à la notion de divulgation _responsable_ et à

sa géométrie variable.
Le processus est donc le suivant : je signale le pb au responsable de ce pb.
Le processus veut que le responsable corrige le pb.
Mais que se passse-t-il s'il ne le corrige pas ?
DAns le cas d'un éditeur : pas grand chose.
Dans le cas d'un utilisateur : quid ?

[...]

Parce que rien de les y contraint, malheureusement. Je pense que des gens
creusent le sujet, mais pour le moment, c'est comme ça. Il y a pour moi
un pas énorme entre faire son boulot correctement et décider de passer
au stade "Punisher de l'Internet".

Ouh là. Il ne s'agit pas de jouer les justiciers de l'Internet (ça fait
un peu ringard du reste en 2005 de jouer à Charles Bronson).
Mais cette situation me coince intellectuellement (il y a à la fois une
notion d'absence de complétude de la démarche et une notion de grande
masquarade) et ça, c'est pas bon du tout pour mon bien-être.;-)

Prenons les 2 cas de figure. On pourrait s'amuser à en trouver d'autres.

1er cas : celui d'un logiciel possédant une faille.


La découverte et sa démo sont légales du moment que le logiciel
faillible a été acquis dans les conditions légales est que la
révélation de la faille n'a pas fait appel à des techniques
répréhensibles (je pense au désassemblage illégal aux EU mais
autorisé en UE).

Très bien, je suis responsable et j'utilise donc la procédure
sus-nommée de révélation << citoyenne >> : révélation discrète à
l'auteur ou l'éditeur et démarrage d'un compte à rebours avant
signification publique d'une nécessité de correction, le temps
pour l'éditeur de publier un correctif.

Le fait que cette procédure ait été établie, admet donc
implicitement que le logiciel est faillible en général et,
surtout, que l'éditeur n'a pas consacré tout le temps nécessaire
à la prévention/correction des failles (c'est son métier je le
rappelle).
Là, déjà, ça me dérange quelque part.
Bref, c'est ainsi comme on dit et ça ira peut-être mieux demain
(lorsque la qualité sera de mise chez les éditeurs).

Soit, selon toi cela fonctionne plutôt bien. Tant mieux. Mais
que fait-on avec les éditeurs récalcitrants au bout de la
période concertée de non-divulgation ?

Comme la plupart de ces éditeurs sont tout de même des gros, la
révélation générale (elle fait partie de la procédure) de
l'existence d'une faille (sans forcément la décrire) ne
risque-t-elle pas de déboucher sur un procès, certes injustifié,
mais réclamant tout de même des frais de justice.

Du coup, par crainte des représailles, on ferme sa ... bouche.
Bravo ! Intérêt de la manoeuvre : zéro.

Pire, elle risque de faire des petits. En effet, corriger des
failles revient cher à l'éditeur et la conservation d'une
certaine image de sérieux peut facilement passer après les
considérations économiques surtout si l'exemple bient d'en haut.

Pour conclure, il y a une procédure, une éthique, et on la suit.
Très bien : j'adore lorsque je n'ai pas à réfléchir.
Et je prie donc pour qu'elle continue d'être satisfaisante.


2. Le cas d'une faille ou plutôt d'un manque de sécurité évident
chez un utilisateur (quelle qu'en soit la raison : ignorance,
paresse, défi, manque de budget, oubli, test).

Nous sommes dans un cas où la découverte de la faille passe
FORCEMENT par une opération illégale : l'intrusion voire,
également, le maintien.

La première étape de la démarche << responsable >> ne peut donc
même pas être abordée : sauf cas simplissimes comme une faille
de service marchand démontrable via un simple URL tapé dans un
navigateur on est déjà dans l'illégalité rien que pour montrer
l'existence de la faille.

Que faire donc ?

Une enquête afin d'estimer les chances de faire passer
l'information sans risque ?

Le bon samaritain est une attitude qui n'est effectivement plus
très en jambe de nos jours voire même risquée.

Je ne vois pas l'intérêt de la divulgation responsable dans ce
cas.


Divulgation responsable, oui, très bien mais, au global,
sert-elle à quelque chose ? N'est-elle pas qu'une vaste blague
de la part d'éditeurs, ayant les moyens et justement non
responsables, eux ?


On peut retourner le souci : la faille d'un logiciel concerne
pas mal de monde et il est utile de faire bénéficier les
utilisateurs potentiels de la découverte dans un grand élan de
générosité envers les éditeurs de tout poil.

La faille d'une installation ne concerne après tout que quelques
utilisateurs rassemblés au sein d'une entreprise et, tant pis
pour eux, après tout. Ils ne valent peut-être pas la peine qu'on
s'intéresse à leur cas.

Je n'ai pas changé les conclusions du post précédent : divulgation
responsable dans le cadre d'un éditeur et signalement au CERT pour le
cas de l'utilisateur. Très bien, j'adhère.
Je me demande simplement si, notament, dans le cas de l'éditeur,
la fumisterie ambiante ne risque pas de se transformer en guerre de
tranchées.

Manichéen est plus adapté amha.
Et pourquoi pas machiavélique aussi ? Il y a sadique aussi qui pourrait

convenir. ;-)

db

--

Courriel : usenet blas net

Le Tue, 24 May 2005 13:54:43 +0000, Dominique Blas a écrit :

Ethique ? Cela nous ramène à la notion de divulgation _responsable_ et à
sa géométrie variable.
Le processus est donc le suivant : je signale le pb au responsable de ce pb.
Le processus veut que le responsable corrige le pb.
Mais que se passse-t-il s'il ne le corrige pas ?
DAns le cas d'un éditeur : pas grand chose.
Dans le cas d'un utilisateur : quid ?

On ne parle pas ici de divulgation de faille dans les logiciels. La
contexte est amha fort différent. En effet, le logiciel qui a une faille
est utilisé par plein de monde et ce plein de monde est directement
concerné par la présence d'une faille. Informer ces utilisateurs de
l'existence de la faille, même si l'éditeur fait la source oreille
parce que ce n'est pas lui qui pâtie directement de son erreur, leur rend
service (c'est mon avis).

Dans le cas présent, c'est surtout l'administrateur qui pâtie de sa
connerie.


--
Le comité est là pour juger l'injugeable directement sur fufe.
-+- FS in: Guide du Cabaliste Usenet - Bien gérer son K^Q^Comité -+-