reponses a une intrusion

Nicob wrote:

[...]

Pendant 2 semaines, ce script a pu paraitre comme une mencae pour certains
admins. Mais bon, de là à considérer ça comme illégal, il y a un pas
que je ne franchirais pas.
Nicob j'ai rebondi sur ton propos c'est tout. Pour dire que les malwares

en libre service posaient un problème (cf les post dans ce thread à ce
sujet depuis). Mais je n'ai rien contre toi que les choses soient
claires entre nous.

IL faut considérer que ce code peut aussi servir à tester d'autres IDS
que je n'avais pas sous la main, à détecter des serveurs FTP non-RFC
compliant ou des serveurs POP3 buggés, de fractionner facilement des
données à transférer, etc ...
Complètement d'accord.

Donc son interdiction serait plus une perte (minime) pour la communauté
que qu'un gain pour le grand public, non ?
On est en phase.

Et prenons l'exemple de "ping.exe" : doit-on l'interdire car il peut être
une "arme par destination" ?
Mais non évidemment.

J'espère Nicob que nous nous sommes mieux compris maintenant.
Aie aie les malentendus et quiprocos...

Cyril Guibourg wrote:

Donc, par transitivité, l'admin et/ou l'équipe qu'il représente. Le serveur
n'étant qu'un bête automate reprogrammable.
Mais non certainement pas Cyril.

Je te précise que j'ai répondu très brièvement et sans doute trop
rapidemment (c'est pour ça que cela ne veut pas dire grd chose je te
l'accorde) à Siostra car elle était HS (pas du tout sur la mm longueur
d'ondes que moi). Ok tant pis pour moi maintenant.

Mais ici je fais référence - puisque tu veux qq explications - à un
projet (toujours en développement) sur un tiers de confiance et la
certication de logiciels.
On parle depuis plusieurs années de dématérialisation des documents et
bien qu'en est-il des logiciels... Simplement nous nous sommes fixés un
cadre : celui des logiciels en l'occurence des malwares, security tools,
etc. Afin de pouvoir apporter la preuve de leurs authenticités et de
leurs échanges.

PS donc pour tes autres réponses inutile de faire plus de commentaires
que cela.

Dans sa prose, LaDDL nous ecrivait :

Mais ici je fais référence - puisque tu veux qq explications - à un
projet (toujours en développement) sur un tiers de confiance et la
certication de logiciels.
On parle depuis plusieurs années de dématérialisation des documents et
bien qu'en est-il des logiciels... Simplement nous nous sommes fixés un
cadre : celui des logiciels en l'occurence des malwares, security tools,
etc. Afin de pouvoir apporter la preuve de leurs authenticités et de
leurs échanges.

Ça me fait fortement penser au discours qui tient lieu de publicité à
Palladium ton truc.

--
Il s'est sans doute laissé impressionner par les cris d'orfraie du
quarteron de fufopithèques en furie.
-+- MB in: Guide du Cabaliste Usenet - Bien configurer son MB -+-

Eric Razny wrote:

Eric Razny wrote:

Il est largement suffisant, amha, de punir l'utilisation frauduleuse -et
les

textes le permettent- de ces outils (entre autre).
Oui mais pas seulement et IMHO c'est là que nous ne sommes pas d'accord.

La loi n'est pas là uniquement pour sanctionner mais encadrer et
réglementer sinon c'est le far west.

La loi actuelle encadre largement
Non c'est bien pour couvrir certains problèmes/risques en matière de

SI/SSI que le PLEN a été proposé.

: en sanctionnant certaines actions elle

les définie comme illégales!
Oui mais pas toutes et de manière floue.

Une analogie serait l'interdiction de l'automobile aux non
professionnels de

la route sous prétexte que l'on peut faire des délis avec!
lol un peu grosse ton analogie.

Mais je partage l'avis de bon nombre de pilotes et de professionnels de
l'automobile qui se battent depuis des années pour faire évoluer
l'examen du permis de conduire afin d'enseigner la conduite dans toutes
les situations. De telle sorte que les conducteurs seraient plus
sensibilisés aux risques qu'ils peuvent rencontrer quand ils sont
derrière un volant.

Il n'y a absolument aucun rapport et tu ne réponds pas à la remarque.
Si mais cela ne te convient pas. Nuance Eric. ;)

Faire évoluer le permis dans ce cas c'est former d'avantage les gens, et il
est clair qu'en informatique c'est à faire!
Evidemment c'est ce que je me tue à dire dans ce thread !

Cependant un non professionnel de la route pourra conduire, ce que je trouve
normal.
Oui évidemment.

Tout comme un utilisateur a le droit d'utiliser son ordinateur comme il
l'entend. Mais en matière de SI le user lambda n'est pas éduqué, formé
et sensibilisé sur les risques ! Il les subit très souvent de manière
involontaire ou par erreur, etc.

Comme je trouve normal qu'un non "pro" de la sécurité ait accès aux
exploits.
C'est un autre sujet.

Mais sur ce point je suis ok avec toi.

Avec ce qui commence à arriver : veuillez payer pour être au courant de la
vulnérabilité (c'est la suite forcée de la limitation de ce type aux
exploits).
Oui mais ces marchands de l'info en SI/SSI ne vont pas durer. Cf rachat

par symantec de securityfocus et la levée de bouclier qu'il y a eu à ce
moment là ! Tt professionnel de la SI/SSI sait qu'il n'y a que le
partage de la connaissance ou du savoir qui permettent d'assurer une
sécurité proactive.
Donc pour moi c'est impensable que l'information/publication des
exploits/failles/vulnérabilités puissent devenir un jour payante !

Résultat : encore moins de sécurité, super!
C'est clair mais je n'y crois pas une seule seconde.

Soit mais le processus demande encore à être améliorer.
Cf les différents problèmes de communication/publication des
exploits/failles/vulnérabilités.
IMHO il y a trop de sources d'infos aujourd'hui dans ce domaine.

A mon avis il ne peut y en avoir trop.
Je ne dis pas qu'il en faut un seul par pays. Car même dans ce domaine

trop de contrôle peut engendrer des dérives, risques de manipulations,
etc.
Mais IMHO, il faut un peu mieux structurer les sources d'informations et
la publication des exploits/failles/vulnérabilités.

Je suis d'accord qu'éthiquement il faudrait laisser un peu de temps à
l'éditeur pour patcher,
On est d'accord

mais, je le répête, un admin qui se fait trouer par
un exploit dont le patch est dispo depuis longtemps devrait pointer à
l'ANPE.
Entièrement d'accord ou le/les responsable(s) en charge de la politique

de sécurité.

(au cas par cas, l'erreur est humaine).
Bien entendu !

il y a une différence parfois sensible entre un
"vrai" expert et un expert reconnu devant les tribunaux.
Je parle ici d'experts reconnus devant les tribunaux.

Certains sont parfaitement compétant mais d'autres ne comprennent même
pas

un discours purement technique dans leur domaine (ça ne vaut pas que
pour la

sécurité).
Il y a des incompétents partout.

Maintenant à chacun son domaine de compétences.

Une fois de plus tu ne réponds pas à mon objection.
Si mais elle ne te satisfait pas.

Tant qu'il n'y aura pas
une volonté politique de rassembler le collège d'experts pluridisciplinaire
AVEC des débats CONTRADICTOIRES
Eh bien je pense pouvoir dire que cela a commencé à bouger cette année.

Le monde juridique et les professionnels de la SI/SSI savent qu'ils ont
intérêt à travailler ensemble. Et les politiques oui peuvent jouer le
rôle "d'arbitre".
Simplement cela ne s'est pas encore traduit dans les faits.

il y aura des pseudos experts pour orienter
les lois pour arranger leur business (lobbying).
Je ne crois pas en tout cas plus.

En revanche là où je te rejoins c'est que l'on ne peut rien faire contre
le plus fort.

Accessoirement le même débat fait rage de façon récurrente au CNRS : le
comité chargé de distribuer les budgets ne comprennent souvent rien à des
domaines très pointus et certaines bonnes idées de recherche finissent à
l'étranger.
Complétement d'accord.

Je n'ai pas envie de voir une bande de connards décider pour moi de
m'interdire de faire proprement mon boulot,
parce qu'ils n'y comprennent
rien et que quelques obsédés de la sécurité soit disant absolue leur monte
le bourrichon
Moi non plus.

Eric Razny wrote:

Si c'est déjà une étape mm si comme tu le soulignes ce n'est pas
forcément "significatif".
IMHO une bonne maîtrise des risques permet d'en limiter les effets.
De plus les logs sont d'une grande utilité. Ainsi qu'un login+pwd. Tu
disposes alors de traces.

Ta phrase est pour moi un peu ambigue, rassure moi tu ne compte pas
enregistrer login & password dans tes logs quand même?
Ca ne te suffit pas de devoir protéger le fichier password (shadow, sam
etc)?
Mais non lol. Je dis tout simplement qu'un login+pwd sont eux aussi

utile.
Même si notre projet/réflexion porte sur la certification de logiciels,
on parle aussi d'un serveur "résistant" ainsi qu'un système de
certificats (authentification/cryptage).
Soit :
- la création de certificat est approuvée par l'administrateur ;
- une authentification forte et asymétrique ;
- un système ACK/BEL anti-falsification.

Satisfait ?

Ben voyons.
Dès que tu es en difficulté, hop, je ne peux pas...
Désolé, je ne vois aucune évidence ici. Et j'en ais un peut marre des "il
est évident", "tu conviendra que", "tout le monde sait que"...
C'est un discours de commercial ça.
Que ça te plaise ou non un projet en cours revêt un caractère

confidentiel. Donc comme cela concerne un groupe de personnes et non moi
tout seul, je me garderai bien de le trahir.

En outre je reste à ta disposition pour poursuivre cette conversation en
privé ou convenir d'un rdv et approfondir ensemble le sujet.

Si tu annonce quelque chose sur un groupe, la moindre des corrections (ton
ethique?) est d'être prêt à en argumenter sur le même groupe.
C'est trop facile de dire : A et si tu veux que je te le prouve tu viens me
voir. Fait dans ce cas ta cuisine par email, pas sur un tel groupe.
Ok je reconnais que ma phrase et son contenu était qq peu malvenu mais

c'est venu comme ça ss aucunes intentions vraiment. Donc désolé de
t'avoir froissé.

Je précise un peu quand même.
Le visiteur de bonne foi ou non, sachant qu'il va devoir s'authentifier
cela fait office de filtre psychologique. Donc cela élimine tous les
visiteurs "lamerz".

Tu le pense sérieusement?
Si oui, amha, c'est grave.
Mais non c'est juste une illustration. Va pas chercher midi à quatorze

heures !

Tes lamers sont généralement des accrocs de
hotmail & co et font généralement des enregistrement de l'un sur l'autre
puis suppriment les deux ou trois premières boites.
Ils changent leurs habitudes & pratiques tu sais.

Quelques mois après
bonjour pour trouver qui est qui. Et une fois de plus les open-proxies
foisonnent.
C'est clair.

Si je suis mal intentionné je m'inscrits quand même, avec une fausse
identité.
En carricaturant, si je donne ma vrai identité, comment tu prouve après que
c'est moi qui a diffusé ou fait mumuse avec l'exploit?
Je n'en ai pas parlé ici mais c'est l'utilisation d'un système de

certificats qui permettra alors à l'admin d'approuver ou non.

Je te dis qu'il est tt à fait possible d'encadrer et maîtriser sa
diffusion. Et d'en limiter les risques.
C'est contradictoire avec la phrase du dessus!!! Sauf si tu considère que ta

limitation est suffisante pour mon filleul qui a 5 ans!
Bon que l'on se comprenne bien : l'utilisation d'un système de

certification peut te le permettre.

Même avec un système de watermarking comme "snowdrop"
(cf. http://lcamtuf.coredump.cx/)
IMHO y a beaucoup de possibilités pour tracer. Snowdrop en est une.

Et pourrais tu, a titre exceptionnel, donner des précisions de système de
trace réellement efficace,
Dans le cas exposé je te renverrai vers plusieurs sujets :

- tiers de confiance
- systèmes de certification

Enfin un petit lien d'une société qui oeuvre beaucoup dans le domaine de
la certification : http://www.cyber.ee/english/ Bonne visite et
lecture...

Eric Razny wrote:

"LaDDL" <alamaison@noos.fr> a écrit dans le message de
news:3f5a0b10$0$12088$79c14f64@nan-newsreader-03.noos.net...

Stephane Catteau wrote:

Et même le verrouillage total du réseau, et le controle par
authentification cryptée efficacement ne changera rien à l'affaire.

Qui te parle de "verrouillage totale du réseau" ?!

Personne, j'explique juste que même la solution la plus extrème ne
servirait à rien.
Tout dépend de l'angle sous lequel tu te places.

Bien entendu il faut éviter tout dérapage gouvernemental ou des
entreprises.
Mais IMHO une sécurité accrue et un meilleur contrôle du réseau
favoriseront de nombreuses pratiques, usages des réseaux : services
publics en ligne, travail collaboratif, commerce électronique bien
entendu et j'en passe...

Pas d'accord.
Désolé mais moi je suis pour améliorer constamment les choses et les

faire évoluer. C'est ss doute ce qui ns différencie ts les deux.
IMHO le plus grand danger en SI/SSI c'est de se dire que tt est ok
maintenant. Eh bien non une sécurité proactive ça se vit en permanence
parce que ton SI est ouvert vers l'extérieur et là ça bouge, change,
évolue, mute, etc... donc tu dois t'adapter constamment & gérer ton
niveau de risques.

La situation actuelle permet déjà de faire ça.
De faire quoi justement vas-y précises !

Si une
entreprise embauche les admnin sécu compétant il n'y a aucun problème[1]
Oui mais tt ne repose pas et ne doit pas reposer sur l'admin.

Comme par exemple lorsque tu demandes à Nicob de mettre ses
codes offensifs dans une zone protégée. Ce faisant, tu brides la
liberté de Nicob et la liberté de toutes personnes voulant accéder à
ces codes, quelque soit leur raison.
Non je n'interdis pas à Nicob de publier ses codes ou à quiconque

d'accèder à ces derniers. Je demande simplement que lui comme d'autres
prennent conscience qu'il y a des risques et que pour mieux les
maitriser une zone privée peut être la solution. Encore une fois
responsabilisons-nous les uns et les autres. Prenons en main le réseau
et là on tendra vers une sécurité vraiment proactive.

Non, on donnera une illusion de sécurité, ce qui est bien pire.
Je ne crois pas. IMHO les espaces de confiance représentent une bonne

voie.

Et je te
rappelle que de part la nature du net une solution limitée à quelques états
ne suffit pas
Nous sommes d'accord sur ce point.

et qu'on ne risque pas d'avoir une solution mondiale avant des
décennies.
Pas forcément car IMHO tous les gouvernements concernés par les réseaux

numériques sont conscients que la réponse est communautaire/mondiale et
non individuelle/nationale.
De nombreuses initiatives vont dans ce sens-là, je n'en n'ai pas ss la
main mais jettes un oeil du côté de la CEE ou bien des sites consacrés à
la SI sur les portails gouvernementaux US et français.

lol oui mais dans ce cas Nicob disposera d'informations et de logs te
concernant donc si tu commets un acte condamnable. Les autorités
compétentes auront moins de difficulté pour t'appréhender. Et Nicob ne
sera pas importuné par la justice.

Encore faut.
Non pas dans le cas où l'on utilise un système de certification.

lol
Qui te parle de ne pas préserver ta vie privée.
Authentification, contrôle ne signifient pas forcément moins de respect
de l'anonymat et de la vie privée ?!

Ben voyons. Et qui contrôle les gens qui accèdent à ces infos?
Plusieurs tiers de confiance.

Il me semble, qu'il n'y a pas bien longtemps, on a eu la preuve
d'utilisation de données personnelles (écoutes entre autre) pour faire
pression sur des gens ou prendre des mesures contre eux. Et ce dans les
hautes sphères de l'état. Toi qui parle sans arrêt du risque humain
incontrôlable, en voila un, et de taille!
Parce qu'il n'y avait pas de contre pouvoir donc il y a eu abus, dérive

grave du système.
Mais dès lors où l'on a plusieurs autorités de confiance qui contrôlent
alors les risques sont mieux maîtrisés.

tout
comme j'ai des doutes sur le "moins contraignante" vue le mal que j'ai
à m'y retrouver et à lui imposer mes désirs, pourtant simple vue que
j'en suis encore à sa configuration. Et tout cela justement à cause des
petits plus "'achement sécure".
Objectivement sécuriser (à tous les niveaux systèmes & réseaux) un poste

isolé d'un particulier ss XP oui ça prendra du temps. Mais au final le
user disposera d'une machine productive et "secure" pour faire ce qu'il
veut.

Et comment le particulier fait-il? Confiance à machin-update? A la config MS
par défaut? A son MS-Word? J'en passe et des meilleures. Même un pro peut
passer un jour ou l'autre à côté, en particulier avec les failles qui
reviennent lors d'un nouveau patch, alors le end-user moyen :(
Pour les failles humaines on ne peut rien faire.

En outre pour apprendre à sécuriser son environnement que ce soit ss Win
ou une autre plateforme il y a bon nombre d'aides en ligne, de
tutoriels, etc.
Donc où est le problème ?
N'importe quelle plateforme peut être correctement sécurisée à condition
de savoir comment le faire, gèrer et maintenir un niveau constant en
rapport avec ses besoins.
On en revient tjrs à l'éducation, sensibilisation.

Vas jeter un coup d'oeil d'ailleurs du côté de NDIS6 pour approfondir.
Mais IMHO nous avons à présent des alternatives importantes à MS dans de
nombreux domaines notamment au plan de la sécurité. Et c'est tant mieux.

C'est parfaitement cohérent avec ton discours sur il faut MS pour
l'utilisateur de base.
Je n'ai jamais dit ça mais aujourd'hui une machine ss Windows présente

le meilleur compromis pr un user lambda ss connaissances informatique.
Après on trouve Mac mais c'est IMHO trop cher pour permettre à tt le
monde d'accèder à l'informatique/multimédia/etc.
Ensuite on trouve Linux mais qui est encore trop difficile d'accès pr le
user lambda. Heureusement la situation évolue.
On verra ds qq tps.

Rappel : une grande quantité de machine d'utilisateur lambda non protégée
c'est la certitude, au minumum, de DDoS futurs.
Complétement d'accord.

Et je ne compte pas le gars
avec une machine ouverte sur le net, qui se connecte à sa boite par VPN. Et
ça ça arrive tous les jours.
D'accord ici aussi.

Non, regarde mieux le forum, la majorité des messages n'y parlent pas
d'enjeux mais de problèmes.
Soit mais tout dépend du sens que l'on donne au mot "enjeu".

Ok allez on va pas pinailler

Il ne s'agit pas de pinnailler. En sécurité, peut être encore plus
qu'ailleurs, la précision est importante.
Merci de me le rappeler. Heureusement que tu es là ! ;)

Et quand un mot a une
signification précise l'interlocuteur comprends cette signification précise.
Je suis complétement en phase avec toi mais arrêtes de déconner un peu

regardes ma réponse. J'ai mis des "..." et qd je dis "pinailler" c'est
pr éviter de parler pr ne rien dire comme tu viens de le faire ici.

Outre le fait que le juge est la pour faire le tri, et -je le répête- la loi
est largement suffisante pour ça,
En matière de sanctions pénales en cas d'intrusion sur un SI elle l'est

dorénavant oui.

un admin ne devrait pas se faire trouer
par un SK.
Nous sommes d'accord.

En ce qui concerne la durée de conservation des logs.

Encore un manque de pragmatisme : as-tu une idée des problèmes à un grand
ISP pour conserver les logs sur des années[2]
Oui je connais bien ce sujet. Même si cela représente pr le FAI un

certain nombre de contraintes.

Il resterait, amha, à écrire un chapitre sur : les ressources de
l'entreprise sont faite pour bosser, pas pour jouer, chatter ou envoyer des
emails persos.
Cela est normalement inclu dans toute bonne politique de sécurité. En

gnrl on appelle cela "Charte Internet".

Ensuite qu'une entreprise prenne un position plus libérale ok (et tout le
monde s'en portera mieux), mais je trouve que la loi actuelle protège trop
le salarié au détriment de l'employeur.
D'une manière générale, non. En outre, dans des cas particuliers oui !!!

Dans la news:3f5b6911$0$20656$79c14f64@nan-newsreader-03.noos.net,
LaDDL <alamaison@noos.fr> a écrit:

Soit mais le processus demande encore à être améliorer.
Cf les différents problèmes de communication/publication des
exploits/failles/vulnérabilités.
IMHO il y a trop de sources d'infos aujourd'hui dans ce domaine.

A mon avis il ne peut y en avoir trop.
Je ne dis pas qu'il en faut un seul par pays.

Il en faut combien alors, à votre avis ?
Voulez-vous dire par là que vous êtes contre le monopole d'information
et, accessoirement, pour un nombre *limité* des sources d'info ?
(j'ose espérer que je ne suis pas HS à vos yeux cette fois-ci...)

Car même dans ce domaine trop de contrôle peut engendrer des dérives,
risques de manipulations, etc.

Dans ce domaine (l'information et les sources d'information) "trop de
contrôle" présuppose un "contrôle" tout court, n'est-ce pas ?

Mais IMHO, il faut un peu mieux structurer les sources d'informations
et la publication des exploits/failles/vulnérabilités.

Je ne comprends pas le sens que vous donnez au mot "structurer" dans
votre phrase. Pourriez-vous préciser, s'il-vous-plaît ?

--
Niesz !

"Cedric Blancher" <blancher@cartel-securite.fr> a écrit dans le message de
news:pan.2003.09.07.17.20.43.201134@cartel-securite.fr...

Dans sa prose, LaDDL nous ecrivait :

Mais ici je fais référence - puisque tu veux qq explications - à un
projet (toujours en développement) sur un tiers de confiance et la
certication de logiciels.
On parle depuis plusieurs années de dématérialisation des documents et
bien qu'en est-il des logiciels... Simplement nous nous sommes fixés un
cadre : celui des logiciels en l'occurence des malwares, security tools,
etc. Afin de pouvoir apporter la preuve de leurs authenticités et de
leurs échanges.

Ça me fait fortement penser au discours qui tient lieu de publicité à
Palladium ton truc.

C'est précisement ce que je crains, en pire peut être :(
Depuis quelque temps LaDDL nous présente un discours "sécuritariste". Par ce
barbarisme (les néologismes sont les barbarismes des lettrés :) ) j'entends
une forte volonté de tout contrôler pour le "plaisir" du contrôle.

Non seulement ce modèle ne démontre pas une sécurité absolue, ni même
extrêmement forte mais elle empêche surtout les personnes les plus douées de
se protéger d'avantage (et par voie de conséquence l'impossibilité pour elle
de montrer aux autres comment faire).

Il semble extrèmement difficile de faire comprendre à ces gens qu'un tel
système est non seulement inhumain (appréciation perso) mais objectivement
non efficace. On a jamais évité les moississures en cachant les miettes sous
le tapis!

Je le répête : en plus le contrôle sera limité au pays ou groupe de pays, ce
qui ne donnera qu'une illusion de sécurité. En ce qui me concerne, et je ne
crois pas être le seul, cette illusion est extrêmement dommageable et tout
le monde y perd (même à la fin les truands qui exploitent une apparence
d'experts pour vendre leur bidules).

Par contre effectivement le grand public ne saura plus qu'il y a des
"méchants qui font des dégâts", avec une apparence de meilleur des mondes en
attendant le pire :(

J'ai bien peur qu'il s'agisse d'une exploitation de l'effet 9/11 (11
septembre :) ) par une bande de totalitaristes en goguettes.

Dans le cas de Palladium on est même à la merci du controleur en chef qui
peut invalider les certifs à tout moment.

Au risque de paraître lourd LaDDL ne répond pas aux objections autrement que
part des "je ne peux rien dire" (avec un relent de "faites moi confiance"
qui me foutent plutôt la trouille![1]). Il n'y a toujours pas d'éléments
concrets ou objectifs.
La réponse "je ne me situe pas sur le terrain technique" me semble
hallucinante quand on met en évidence un problème technique certain provoqué
par son choix. Quand une décision pose un problème technique on "descend"
(parfois on monte :) ) au niveau technique pour corriger la décision. Si les
politiques se renseignaient auprès de "ceux qui savent"[2] avant de décider
on ne se porterait que mieux.
Par contre aucune contre-argumentation sur les
exemples qu'on lui présente, ce qui fait que je crois que ce post termine
une non discussion en ce qui me concerne (juste une dernière précision, dans
les gamineries, accuser quelqu'un de mauvaise foi est un argument
classique... quand on en manque!)

Il va falloir faire provision de HD, motherboards et autres untel [3]
pendant qu'il est encore temps...

Eric.

[1] Pour répondre par avance à son objection de paranoïa, je suis
raisonnablement prudent. Quand à mon boulot, suivant l'expression consacrée,
je ne me demande jamais si je suis parano mais si je le suis assez :)
[2] au sens large, avec encore une fois une discution et des contradicteurs
éclairés. Un choix politique n'est pas uniquement technique mais doit, amha,
être un compromis entre un but, des contraintes et un certain pragmatisme.
[3] par allusion à une de mes conneries sur un post précédent pour ceux qui
suivent :)

siostra Ani wrote:

Soit mais le processus demande encore à être améliorer.
Cf les différents problèmes de communication/publication des
exploits/failles/vulnérabilités.
IMHO il y a trop de sources d'infos aujourd'hui dans ce domaine.

A mon avis il ne peut y en avoir trop.
Je ne dis pas qu'il en faut un seul par pays.

Il en faut combien alors, à votre avis ?
IMHO il y a trois types de sources d'infos en SI en ce qui concerne la

publication des exploits/failles/vulnérabilités :
- les sources gouvernementales/officielles : les CERT
- les sources professionnelles : constructeurs, éditeurs, portails
spécialisés, groupe de communication/presse, etc.
- les sources "underground" : groupes/teams de white hat et black hat,
etc.

Pour le grand public, IMHO il lui faudrait un CERT/CERTA propre où le
user pourra trouver une information "sûre" : les avis, alertes, notes
d'informations, conseils, formations, adresses en cas de problèmes, etc.

Pour le secteur privé ou public, IMHO les organes/systèmes/sources
d'informations existent. Mais c'est l'organisation du traitement de ce
type d'information qu'il est difficile de maîtriser d'autant plus que
cela dépend du contexte/environnement.

Aujourd'hui, on dispose de toutes les sources d'information y compris
des CERT mais il faudrait IMHO améliorer la coordination et étendre
leurs fonctions & rôles.

Il y a un projet de CERT européen mais à quoi bon étant donné que chaque
pays dispose d'un ou plusieurs CERT.

Il y a du boulot encore pour améliorer tout ça ;)

Voulez-vous dire par là que vous êtes contre le monopole d'information
et, accessoirement, pour un nombre *limité* des sources d'info ?
(j'ose espérer que je ne suis pas HS à vos yeux cette fois-ci...)
Non, je constate de par mon expérience professionnelle dans ce domaine

qu'il est difficile d'organiser efficacement le traitement de tout ce
flux d'information.

PS vous n'êtes pas HS cette fois ;)
Ss rancunes j'espère.

Dans ce domaine (l'information et les sources d'information) "trop de
contrôle" présuppose un "contrôle" tout court, n'est-ce pas ?
Entièrement d'accord.

Et en matière d'infos en SI/SSI il ne faut surtt pas tenter de vouloir
la contrôler ou chercher à la mercantiliser. Sinon c'est le début de la
fin ...

Mais IMHO, il faut un peu mieux structurer les sources d'informations
et la publication des exploits/failles/vulnérabilités.

Je ne comprends pas le sens que vous donnez au mot "structurer" dans
votre phrase. Pourriez-vous préciser, s'il-vous-plaît ?
Je voulais dire organiser ;)

J'écris plus vite que je ne pense parfois lol

Cedric Blancher wrote:

Ça me fait fortement penser au discours qui tient lieu de publicité à
Palladium ton truc.
Je t'arrête tt de suite notre projet n'est pas TCPA/Palladium ! C'est

une autre vision et IMHO que je ne partage pas du tout.

De plus, notre manière d'appréhender les réseaux comme l'informatique
voire la SI/SSI est très "libertaire".

[Précisions car j'en entends déjà dire argh ! Ce sont des anarchistes et
autres hacktivistes... STOP. Nous voulons des pratiques & usages des
réseaux numériques respectueuses de la liberté des individus]

Dans un environnement professionnel ou spécifique comme c'est le cas ici
(notre projet), nous préconisons la certification comme système de
contrôle de l'intégrité des échanges.