reponses a une intrusion

Cedric Blancher wrote:

Dans sa prose, LaDDL nous ecrivait :

Les codes dangereux (je le précise à nouveau), exploits, malwares, hacks
tools, etc n'ont pas à être rendu public. Pourquoi ? Pour limiter les
risques de : fraudes informatiques, intrusions, piratage, vols de
données, etc... Un exemple récent : la publication par le groupe chinois
XFocus d'un programme exploitant la faille RPCDCOM et qui a été utilisé
! Alors que 9 jours avant MS avait informé d'une faille dans Windows ! Tu
comprends mieux maintenant ? Ou bien faut-il poursuivre ?

J'avais dit que j'arrêtais, mais là, c'est trop gros.

1. Microsoft publie un advisory de failles
2. 9 jours plus tard, un groupe chinois publie un exploit

Comment ton système peut empêcher le groupe de chinois* de publier son
exploit ?
Je ne parle pas d'empêcher voyons ?! Ne me fais pas dire n'importe quoi

stp.

Est-ce qu'aujourd'hui on empêche le traffic d'armes, drogues,
d'esclaves, et j'en passe ? Non. Pourquoi ? Parce que les Etats ne
peuvent pas tout contrôler/empêcher mais ils ont mis en place des règles
et systèmes permettant de gèrer ces problèmes et d'en limiter les
risques.

L'objectif de notre système repose sur cette même philosphie.
Notre (et non "mon") système a pour but de rassembler dans un espace de
confiance une communauté de users partageant de l'information "sensible"
en SI.

En outre, dans la mesure où le correctif est disponible,
pourquoi Blaster a-t-il eu l'impact qu'on lui a connu ? Manifestement, le
problème n'est pas dans la diffusion de cet exploit, mais dans
l'application du correctif d'une part et dans l'existence d'une politique
de filtrage de paquets d'autre part (les ports RPC n'ont pas à être
accessibles depuis le net). Idem pour Slammer, mais en pire (6 mois entre
le correctif et le ver, utilité du port ouvert nulle depuis Internet,
application professionnelle), et, le filtrage en moins, idem pour Code Red
et Nimda.
Je partage en partie ton propos. Mais au risque de me répéter, ces

problèmes que tu évoques doivent nous pousser (en tant que
professionnels) à prendre des mesures responsables à partir de
maintenant afin de limiter ces risques soit :
- gèrer le partage de l'information en SI ;
- améliorer le traitement des vulnérabilités et l'application des
correctifs ;
- etc.

Bref, en quoi cet exemple peut servir à apporter la moindre légitimité
à ton système ?
Cet exemple n'est pas là pour légitimer quoique ce soit et encore moins

notre système.

Je réagis avec une extrême véhémence au propos de Djehuti quand il me
disait :
" ben tiens !
le "grand public", qui sait tout juste configurer son PC pour jouer à
quake,
est responsable de tous ces maux... c'est bien connu 8-) "

Pour moi quand on parle de grand public je vois des individus tous
différents et uniques qui n'ont pas tous du mal à "configurer leur PC
pour jouer à Quake"...

Inutile d'en rajouter ou bien fais-moi signe.

Pour conclure, je vais te dire comment je vois ton système. C'est un
système qui :

. mets l'information pertinente à disposition d'un groupe
restreint
Je n'aime pas le terme "restreint" je préfére employer le mot

"communauté". Car la philosophie du système repose sur les mêmes
principes de fonctionnement qu'un réseau d'échange ou d'un groupe de
discussion ou d'une liste de diffusion.

et privilégié de personnes
Certainement pas privilègiée. Nous sommes au XXIème siècle et en

démocratie. Simplement on parle d'une communauté.

(ceux qui peuvent payer ou sont
dans les petits papiers des admins)
Je te l'ai dit nous souhaitons un système gratuit ou payant. Le modèle

économique reste à définir.

. laisse les autres dans une situation de dépendance vis-à-vis des éditeurs
qui est contradictoire avec la notion même de sécurité : la
sécurité suppose en effet l'indépendance, en particulier face à des
entreprises aux intérêts contradictoires.
Faux la gestion de la sécurité de chaque user n'est absolument pas

affectée.
Le user aujourd'hui DOIT apprendre à maîtriser le niveau de sécurité de
son environnement, sa machine.
Cela passe par de la formation, sensibilisation aux appproches,
démarches, des conseils à suivre par exemple :
- http://www.cert.org/homeusers/
- http://www.claymania.com/safe-hex-fr.html

Notre système n'est là que pour regrouper une communauté partageant de
l'information sensible en SI.

. ne garantit absolument pas que les informations qu'il distribue à ses
abonnés ne peuvent transpirer et se retrouver dans la nature (cf.
exemple soumis par moi)
Faux penches toi sur toutes les informations disponibles sur le sujet

ainsi que tes connaissances et tu verras que c'est possible. Sinon
attends quelque mois et nous aurons tout loisir de nous confronter à
nouveau.

. ne garantit absolument pas que des informations aussi sensibles soient
de toute manière publiées sur le net (cf. au dessus)
Notre système n'empêche pas les dérapages, dérives, etc. Mais au moins

on sait qui en fait partie. Donc dans le cadre d'une enquête et de
recherches le travail s'en trouve "facilité".

Donc l'effet recherché, à savoir la non prolifération des informations
que tu veux contrôler, est loin d'être atteint.
On ne cherche pas à tout contrôler. D'ailleurs c'est impossible avec

l'architecture du réseau actuellement. En outre il est possible comme je
te l'ai déjà souligné de maîtriser les risques.

De plus, un effet super
pervers qu'on rencontre à tout va sur le net, à savoir le trading
d'exploits, sera favorisé par les membres mêmes de ton cercle de
confiance pour lui assurer un bon approvisionnement en
exploits/malwares/etc. comme c'est déjà le cas avec certaines sociétés
dont on taira le nom. La prolifération dans les cercles dits Underground
ne sera donc en rien arrêtée (tout au plus stoppée),
Vois-tu notre position est justement que les groupes/teams (blancs, gris

et noirs) avec lesquels nous cohabitons quels que soient leurs objectifs
bienveillants ou malveillants touchent moins les users "lambda"
(particuliers, entreprises privées ou publiques, administrations, etc)
donc on leur propose un espace de jeu. Si tu préfères.

mais en même
temps, on aura rendu _encore_ plus vulnérables le "grand public"** en lui
fermant l'accès à toute l'information.
Non c'est faux je ne vois pas en quoi le "grand public" se trouve léser

de quoique ce soit. Explications plus haut dans le message.
Au contraire on le protège contre les risques qu'il peut rencontrer.

Alors dans un monde genre DisneyLand où tout le monde est gentil, ton
système pourra marcher.
On est pas dans ce monde là mon cher et nous le savons tous les deux

donc arrêtes avec ce genre de connerie stp.
Détrompes-toi les espaces de confiance ou réseaux distribués privés vont
de plus en plus se développer pour répondre à des usages et services
privés ou public afin de favoriser les échanges en toute confiance avec
des preuves.
Notre système se fonde sur un usage extrême voire radical volontairement
choisi afin d'étudier toutes les possibilités et limites.

Seulement, si tout le monde est gentil, quel est
son intérêt ? Mais dans la vraie vie, celle où le CERT se fait piquer
des infos, celle où des sociétés de sécurité achètent des exploits
ou les échanges contre d'autres pour accroître leur base de
connaissance (et donc la valeur marchande de leurs services), celle où
les relations whitehat/blackhat sont loin d'être anecdotiques, etc.,
bref, celle de l'Internet qu'on pratique tous les jours,
C'est un résumé simpliste mais assez proche de la réalité j'en conviens.

non seulement il
n'accroît pas le niveau de sécurité général, mais il rend les gens
dépendants et (donc) vulnérables par manque d'information.
Je ne le pense pas pour les différentes raisons que je t'ai déjà donné.

Mais je (nous) veux bien me tromper l'avenir nous le dira.

Voilà pourquoi ton système ne me plaît pas du tout.
Tu juges à priori avec peu d'informations.

Malgré tout, tu es un confrère et les informations que je t'ai donné
ainsi que celle que tu pourrais collecter par ailleurs peuvent IMHO
t'apporter toute la lumière sur notre projet.
Sinon je te le redis nous aurons l'occasion d'en reparler.

Et tes
contradictions (cf. ci-dessous pour un exemple) n'arrangent rien au
malaise.
Je fais une distinction entre "grand public" et "professionnels". Le

"grand public" regroupe des individus différents niveaux et uniques. Je
ne vois rien de bizarre ou choquant ici.
Depuis que je pratique les réseaux, d'abord en tant que particulier puis
en tant que professionnel, j'ai cotoyé et rencontré au fil des années de
nombreuses personnes passionnées d'informatiques/SI pas du tout
professionnelles et aussi compétentes que certains acteurs dans le
métier. Certaines blanches d'autres grises ou noires. Voilà.

Je préfère de loin les cercles informels genre mailing lists
privées.
Nous sommes dans le même esprit mais avec des fonctionnalités et

possibilités nouvelles.

Au moins, ça annonce la couleur tout de suite, et ça n'a pas
prétention à sauver le monde.
Je t'ai dit quel était l'objectif du système.

Mais en aucun je l'ai présenté comme qqch pouvant "sauver le monde" ?!
lol

"LaDDL" <alamaisonNOSPAM@noos.NOSPAM.fr> a écrit dans le message de
news:3f6ca14f$0$17044$79c14f64@nan-newsreader-02.noos.net...

Eric Razny wrote:

Notes aussi qu'Internet est avant tout un outil de travail en
réseau.

Non,
Si dans le cadre de l'espace dont je te parle.

Faux.
Que tu ne sois pas d'accord sur la philosophie du projet soit.

Mais tu ne sais rien du projet juste qq infos c'est tt.
Alors comment peux-tu me contredire quand je t'affirme que notre espace
est bien un outil de travail en réseau !!!

Apprend a lire. Le faux concerne l'espace de travail que tu as énoncé comme
étant internet. Pas sur ton "projet" dont tu ne sais nous dire que "c'est le
top mais je vous dirais le pourquoi du comment plus tard". Comme quelqu'un
te l'a dejà fait remarquer ce n'est pas la peine de venir sur un groupe
public pour annoncer que tu n'as rien... à annoncer!

Tu definis un espace (plus exactement tu le nomme, internet) E puis tu
annonce une propriété qui est fausse dans cet espace.
Soit tu es d'une mauvaise foi incroyable ou bien désolé de te le dire

ainsi mais tu ne m'as pas compris.

C'est sur. Je me limite effectivement au sens et à la définition des mots.
Je ne lis pas dans les pensées.

Et comme justification
tu viens dire que tu parles en fait du sous espace F inclus dans E?
Idem cf ci-dessus

ben... pareil :(

Le langage a cette particularité qu'il permet la communication en
permettant

un échange d'information. Si, et c'est particulièrement vrai dans les
domaines techniques -au sens large-, tu utilise un mot qui a une
signification précise à contre sens ou de façon impropre il est évident
que

les personnes "en face" ne vont pas comprendre.
J'ai été très clair et le plus concis possible. Maintenant que tu ne me

comprennes pas je n'y crois pas une seconde. En outre que tu ne veuilles
pas me comprendre par postulat je le constate.

Tu n'as été ni clair ni concis. A propos de précision tu voulais peut être
dire que je postule que tu dis n'importe quoi? Parce que "ne pas vouloir
comprendre par postulat" est une locution qu'effectivement je ne comprends
pas.

Et bien non, je ne le postule pas. Je ne me contente pas non plus de le
constater mais je mets en exergues les points contradictoires de ton
discours et demontre, quand c'est possible, certaines erreurs (et dans ce
cas ce n'est plus un avis mais un fait).

Maintenant, et c'est un avis personnel, je pense qu'en ce qui te
concerne

c'est une technique -classique- du "non non, j'ai bel et bien raison,
mais

je ne voulais pas dire ça".
Tu te trompes complètement sur ma personne et j'en suis navré pour toi.

Je ne te connais pas mais tes revirements et la fréquence des expressions
type "c'est évident", "tout le monde sait que" sont des faits.

Pire tu dis "je n'ai pas dis ça". N'importe qui
ici peut remonter un peu les thread pour voir que tu as bien énoncé soit
des

contre-vérité, soit ce qui est, amha, pire des contradictions entre
différentes parties de ton propos (quand tu présente une évidence puis
finalement, non, l'évidence n'est qu'un idéal!!!)
Mensonges et dénigrements. Pas d'autres commentaires.

Il suffit de remonter dans les threads, et eux restent dispo.

Nota bene : tu devrais toi aussi lire ceci (alinéas Droits et devoirs du
contributeur) :

http://www.foruminternet.org/telechargement/documents/charte-forums-20030708.htm

Tu l'as déjà essayée dans ce groupe pour quelqu'un d'autre celle la.
Amusant de la part de quelqu'un qui comme argument utilisait, je cite :
"T'es vraiment un cas Djehuti. " (dans ce même thread et plus tôt en plus)

Pourquoi ne me réponds-tu pas simplement que tu n'es pas d'accord avec
moi et notre projet ? Au moins la discussion en reste là.
Sinon cesses de dire de mentir ou dénigrer !
Tu deviens limite diffamatoire.

La diffamation est un terme précis. Le fait de dire que je suis un menteur
est succeptible d'en être une à moins que tu ne prouve tes dires, ce que je
te demande de faire. A ce propos puisque je mens, soit disant, réponds aux
arguements au lieu de ressasser tes discours généralistes et peu précis, ça
devrait être facile.

lol eh bien justement mon cher l'approche, la démarche à suivre dans
tout projet d'espace de confiance s'appuie sur le process
reingeneering.

La différence avec un ingénieur digne de ce non, c'est que dans son cas
on

pourrait suivre de façon formel un raisonnement, une argumentation
solide et

scientifique[1].
Nous sommes sur un forum de discussion public ici ! Et certainement pas

sur un forum ou liste ou groupe privé.

Parce qu'un forum public ne saurait avoir les honneurs d'une argumentation
bien construite et de données factuelles avec des exemples pour étayer le
tout? Nous n'avons certainement pas la même conception d'un groupe public!

Que je sache je réponds à toutes tes questions/remarques. Et je ne suis
pas en train de te faire un CR technique ou encore moins un exposé dans
le cadre d'une conférence ou d'un séminaire.

Tu pose *de facto* un système qui implique une reflexion technique (en plus
d'éventuellement philosophique). Et c'est la que la bat blesse. Dès que je
te pose (et je ne suis pas le seul) une question technique qui semble mettre
à mal ton édifice tu réponds par ce genre de pirouettes. Si je prétends, par
exemple, avoir inventé un super système de firewall comportementaliste qui
va tous nous mettre à l'abris, je m'expose à des questions technique
précises. Si je ne sais pas y répondre ou que je ne veux pas y répondre je
m'abstiens d'effet d'annonce. En informatique on en a déjà suffisament.

Et non, tu ne réponds pas à toutes mes questions car tu élude celles portant
sur la technique.

Accessoirement :
a) process reingeneering est un terme générique fourre tout.
Oui et approprié dans mon explication et la problèmatique des espaces de

confiance.

C'est un joli
titre à mettre au début d'un chapitre.
Si tu le penses...

Mais ça ne prend de valeur que
lorsque le texte qui est dessous est précis, détaillé et applicable.
Mon propos est clair et une nouvelle fois je sais de quoi je parle.

Simplement tu n'es pas satisfait pour je ne sais quelle raison.

Parce qu'il n'y a, amha, qu'un grand discours et aucun élément, sinon
purement technique, au moins concret.

Autrement démontres-moi que l'approche à avoir quand on parle d'espace
de confiance doit se situer ailleurs alors tu seras crédible à mes yeux.
Car tes critiques et autres remarques sans fondements ici ne
m'impressionnent pas ni ceux qui savent exactement de quoi je parle.

Appel à l'assemblée : quelqu'un qui sait de quoi il parle peut-il me donner
une explication sous une autre forme?. Je veux bien *supposer* que la forme
de ton discours me pose problème et m'empêche d'en apprécier le fond...

Pour réponde à ta question, une possibilité, parmis tant d'autre d'une
réflexion préparatoire à l'analyse.
a) il faut définir d'abord ce qu'on appel espace[1] (zone partagée
d'information? ensemble de relations logiques? zone physique?...)
b) définir la confiance avec les restrictions de a) : les critères qui font
qu'un espace est de confiance, la transitivité ou non d'une relation de
confiance etc.
d) identifier les comportements et problèmes divers succeptibles de mettre à
mal cet espace de confiance.
e) établir les moyens techniques de mettre en oeuvre l'espace défini et
l'application des relations et règles trouvées précédement (exemple PKI et
gestion des autorisations, comme base).
f) trouver les parades aux problèmes identifiée en d).
etc. (je fais court et un peu caricatural mais l'idée est là).

Tout cela avant un *formalisme* qui permet à un tiers de comprendre,
analyser et vérifier le système retenu.

Ceci n'a rien à voir avec du re-engeneering. Ca te va?

b) tu affirme, arbitrairement pour changer, que c'est LA démarche à
suivre.

Aucun justification, preuve ou autre.
J'ai justifié mon propos et la démarche en t'expliquant justement que :

"la dématérialisation des échanges est une démarche pragmatique de
réorganisation des activités de l'entreprise fondée sur l'identification
et l'analyse des processus ayant un impact sur les objectifs
stratégiques à atteindre ; les changements radicaux dans les habitudes
de travail, changements qu'il convient d'accompagner, notamment par la
formation continue ; etc. "

C'est le genre d'introduction qu'on voit tout les jours dans les
propositions de SI. Mais la plupart du temps quand on creuse on s'aperçoit
qu'il n'y a ni identification ni analyse des processus etc. dans la suite du
document. Assez de discours, des faits?!

et j'ai précisé dans mon dernier post comment cela s'appelait soit
process reingeneering.

Et j'ai précisé dans mon post que c'est un terme fourre tout qui ne vaut que
par ce qu'on trouve derrière. Et là je cherche encore.

Après cela tu penses ce que tu veux mais les arguments sont là et pour
reprendre certains de tes termes il y a bien : justification et preuve.

Ni l'un ni l'autre. Voir en dessous

Encore une fois le fameux "tout le
monde sait que". Du commercial pur beurre, mais du type mieux vaut
s'agiter

des fois que le prospect s'aperçoive que c'est du vent derrière :(
Non, mon cher, ce n'est pas A PRIORI *LA* démarche à suivre.
Accessoirement quand on prentend inventer quelque chose je préfère
l'ingeneering que le re-ingeneering, comprenne qui pourra.
L'ingénierie et les process de reingeneering cohabitent parfaitement

dans des projets d'espaces de confiance.
Et pour être le plus simple qui soit si tu n'as qu'une approche
technique et non organisationnelle ce type de projet est voué à l'échec.
Car il faut penser les processus.

Je ne te reproche pas d'avoir une approche organisationnelle, mais de ne pas
avoir de répondant au niveau technique, succeptible de nous montrer
l'intérêt réel du bidule. Je te retourne ton argument :
si tu n'as qu'une approche organisationnelle et non technique ce type de
projet est voué à l'échec.

En tant que chercheur/consultant/développeur/programmeur et j'en passe
et des meilleures, on sait.

Je t'ais déjà dit que je respecte ton choix de l'anonymat mais permet moi de
ne pas être impressionner par une liste de titres que je ne peux pas
vérifier, pas plus que je ne peux me reposer sur une autre personne pour
augmenter le degré de confiance.

sur ce que je suis et fait je regarde souvent dans le passé, j'observe
le présent et je me projette dans le futur.
Sinon je ne pourrais pas travailler sur des projets quels qu'ils soient.

Il y a une différence entre supposer ce que sera le futur et faire des choix
en conséquence (qui se révèleront par la suite judicieux ou non) et affirmer
que le futur sera "ça". Une fois de plus il n'y a aucune évidence.

l'intégration de la notion de service replace l'humain au coeur du SI
et

fait donc évoluer le rôle du système d'information.

Un remplacement n'implique pas (ton
"donc") une évolution de rôle.

Si car l'impact a de profonde conséquence sur l'organisation du SI.
Penches toi un peu plus sur les fonctions/métiers d'un SI et tu
comprendras mieux (enfin j'espère).

Penche toi un peu sur ce qu'est un SI : c'est un terme générique tellement
vaste qu'on peut y mettre pas mal de chose.

Et surtout merci de répondre à mon objection et de faire la différence entre
l'organisation (la façon dont on le fait, au sens large) et le rôle (le but,
l'objet). l'organisation d'une entité peut changer sans que l'entité de
change de rôle, SI ou pas. Je maintiens, en conséquence, que ton "donc" n'a
rien de naturelle et qu'il manque la preuve de ce raccourci.

Une implication se démontre.
Les arguments, les exemples ne te suffisent pas.

Mais j'attends de te lire. Eclaire-moi alors, au lieu de critiquer sans
arguments.

Eclairage simple : place toi sur le terrain *concret* où l'on peut éprouver
les idées que tu énonce. Pour moi tu tiens un discours pour le moins
"venteux". Il me semble, effectivement, que je ne partage pas tes idées.
Mais ne croit tu pas que tu crédibiliserais ton discours en descendant de
l'olympe et en te confrontant aux situations concrète qu'on te présente
(comme on le peut, faute de précision sur ce que tu annonce).

Sinon c'est au mieux une probabilité, parfois
dure à quantifier. La rigueur est un minima dans ce métier.
Es-tu rigoureux ici dans ce post précisement ? Non aucun argument de ta

part sinon des critiques ou remarques ou mensonges.

Quand on ne veut pas lire un texte il est difficile d'y voir les arguments
(ou sont-ils suffisament gênant qu'il vaille mieux faire comme s'ils
n'existaient pas?).

Tu recommence sur des généralité, moi je
parlais clairement du service d'échange que tu voulais mettre en place
de

façon *gratuite*
Moi aussi je te parle de notre "espace" et je t'apporte un complément

d'information en justifiant le besoin d'avoir une "vraie" preuve
numérique. Et on l'a.

Bien, alors à propos de preuve, prouve tes dire! (sur l'exemple de la fuite
d'info?...)

Je suis contre le fait que certains certs communiquent à des clients
payant

les infos avant les autres.
C'est une pente, amha, dangereuse, même si pour
l'instant la plupart des infos arrivent à temps au public.
Je n'ai pas eu de remontées de ce genre. Ca me surprend ce que tu dis

là. Tu parles de nos CERT gouvernementaux français ou d'autres ?

Sur www.cert.org ("Le" cert)
Who gets the information prior to public disclosure?

A: Generally, we provide the information to anyone who can contribute to the
solution and with whom we have a trusted relationship, including vendors
(often including vendors whose products are not vulnerable), community
experts, CERT/CC sponsors, members of the Internet Security Alliance
(including private sector organizations), and sites that are part of a
national critical infrastructure, if we believe those sites to be at risk.

Un petit tour sur http://www.isalliance.org/news/faq.htm

What are the benefits of ISA membership?
ISA membership benefits are many-fold. Members receive otherwise
unobtainable early warnings of information security threats [SNAP]

et ensuite :

How much does membership cost?
There are two broad classes of annual membership in the ISA-Members and
Sponsors. The cost to join as a Sponsor is US$70,000 per year. Members are
charged according to the size of the their organization-ranging from
US$2,500 for small organizations to US$50,000

et ailleurs, sur le même site :
Applicants to ISAlliance are only granted membership after agreeing to abide
by the Alliance Bylaws and confidentiality statements. More information can
be found underISAlliance's Bylaws.

Aucune référence quand au sérieux de l'organisation. Je signe le texte, je
paye et j'ai toute les chances que ça passe....

Hypothèse : la probabilité d'avoir une brebis galeuse dans ce petit
monde

est très proche de 1 [4]
Je suis d'accord avec toi. Mais l'espace contrôle uniquement les flux

d'informations échangés et les traçent. Les individus ensuite sont
libres et responsables...

Si tu accepte cette hypothèse la limitation des risque est quasi nulle.
On circonscrit les codes dangereux, malwares, hacks tools, etc.

Après les dérives, dérapages, erreurs, malveillances comme tu le sais
sont incontrôlables.

C'est la que je ne comprends plus. Je dirais non seulement incontrôlables
mais inévitables. Et dans ce cas à quoi sert le bidule?

Eric.

[1] le fait de coucher la définition par écrit permet de formaliser une idée
et d'en préciser les contours (et les limites), même si mentalement tu sais
(encore heureux!) ce que tu veux faire.

Dans sa prose, LaDDL nous ecrivait :

Je ne parle pas d'empêcher voyons ?! Ne me fais pas dire n'importe quoi
stp.

Je ne te fais pas dire n'importe quoi, c'est toi qui l'écrit tout seul.

Est-ce qu'aujourd'hui on empêche le traffic d'armes, drogues,
d'esclaves, et j'en passe ? Non. Pourquoi ? Parce que les Etats ne
peuvent pas tout contrôler/empêcher mais ils ont mis en place des
règles et systèmes permettant de gèrer ces problèmes et d'en limiter
les risques.

Ce sont des règles globales, et non limitées à une communauté
restreinte.

L'objectif de notre système repose sur cette même philosphie. Notre
(et non "mon") système a pour but de rassembler dans un espace de
confiance une communauté de users partageant de l'information
"sensible" en SI.

OK, en quoi cela apporte une solution au problème global ?

Je partage en partie ton propos. Mais au risque de me répéter, ces
problèmes que tu évoques doivent nous pousser (en tant que
professionnels) à prendre des mesures responsables à partir de
maintenant afin de limiter ces risques soit : - gèrer le partage de
l'information en SI ; - améliorer le traitement des vulnérabilités et
l'application des correctifs ;
- etc.

Des mesures qui _te_ (vous) semblent responsables et qui sont à la mode
en ce moment. On prendra pour exemple la récente interview d'un mec de
Symantec (proprétaire de SécurityFocus) qui annonce clairement son
penchant pour une _pénalisation_ de la publication d'informations
susceptibles de servir dans le cadre d'un piratage.

Pour moi quand on parle de grand public je vois des individus tous
différents et uniques qui n'ont pas tous du mal à "configurer leur PC
pour jouer à Quake"...
Inutile d'en rajouter ou bien fais-moi signe.

Je te fais signe, parce que dans ton discours, tu es quand même sensé
laisser la porte ouverte à des non-professionnels (étudiants par
exemple). De fait, pour en définir l'accès, ta distinction grand
public/professionnels ne tient plus, à moins que le groupe des
professionnels soit un ensemble à géométrie variable.

Je n'aime pas le terme "restreint" je préfére employer le mot
"communauté". Car la philosophie du système repose sur les mêmes
principes de fonctionnement qu'un réseau d'échange ou d'un groupe de
discussion ou d'une liste de diffusion.

Ben pourtant, le terme de restreint peut tout à fait s'y appliquer. Tu
préfère que je dis fini ou borné ?

Je te l'ai dit nous souhaitons un système gratuit ou payant.

Euh, c'est sensé m'éclairer cette phrase ? La gratuité de l'accès à
ton système est quand même une barrière énorme, tu en conviendras.

Le modèle économique reste à définir.

Si c'est payant, c'est limité de facto. Si c'est gratuit, il faudra de
toute manière montrer patte blanche. Donc ton système n'est rien de plus
que soit un service, genre ce que proposent les CERT, SecurityFocus, etc.,
soit un grand groupe de potes qui s'échnage de l'info en parallèle du
circuit normal, comme c'est déjà le cas des listes et autre groupes
privés. Simplement, toi (vous) tu rajoutes une couche d'accès contrôlé
par dessus.

Faux la gestion de la sécurité de chaque user n'est absolument pas
affectée.

La globalisation d'un tel système diminue la masse d'information
disponible. De fait, ce manque d'information constitue une source
d'insécurité indéniable.

Le user aujourd'hui DOIT apprendre à maîtriser le niveau de sécurité
de son environnement, sa machine.

Tout à fait. Et pour moi, c'est certainement plus urgent que des
éventuelles mesures de limitation de la publication des infos.

Cela passe par de la formation, sensibilisation aux appproches,
démarches, des conseils à suivre par exemple : -
http://www.cert.org/homeusers/
- http://www.claymania.com/safe-hex-fr.html

Mais pas seulement. Ces documents sont en ligne depuis longtemps, ça
n'empêche Swen de battre la campagne. Pire, même chez les professionnels
ça continue (et surtout chez les pros), Nimda, CodeRed et Slammer
tournent encore...

Faux penches toi sur toutes les informations disponibles sur le sujet
ainsi que tes connaissances et tu verras que c'est possible. Sinon
attends quelque mois et nous aurons tout loisir de nous confronter à
nouveau.

Tu te fous de ma gueule là ? Tu l'as _toi même_ concédé.

<3f5ccd77$0$29232$79c14f64@nan-newsreader-03.noos.net>
À la question de la sortie par un membre de la communauté d'un code
source d'exploit :
"Tu poses le problèmes des failles humaines ici. On ne peut rien faire
et ce n'est pas à toi que je vais l'apprendre. Les dérives, dérapages
des usages de l'espace de confiance ne peuvent être entièrement
contrôlées. Tout comme n'importe quelle contre mesure de sécurité
système ou réseau."

<3f6025a0$0$20669$79c14f64@nan-newsreader-03.noos.net>
À la question de la suppression d'éventuelles marques pouvant permettre
d'identifier la provenance dudit code source :
"> Dans mon exemple, il ne sera pas vraiment difficile de l'effacer.
On est d'accord."

En outre, à la question de la suppression d'éventuelles watermarks par
reverse-engineering, à part le "ça ne sera pas simple", aucune réponse.
Cf. <pan.2003.09.09.14.26.29.856436@cartel-securite.fr>

Enfin, tu annonces qu'en cas d'infraction, tu auras des moyens de
retrouver a la fuite. À la question de savoir quelles mesures techniques
permettent de garantir cela, je n'ai _pas_ eu de réponse _du tout_.
Cf. <pan.2003.09.09.14.26.29.856436@cartel-securite.fr>

Pour le reste, tu bottes en touche :
<3f6025a0$0$20669$79c14f64@nan-newsreader-03.noos.net>
À la question du suivi d'une fuite (chose dont tu as précédemment
accepté l'impossibilité, cf. au dessus), tu trouves quand le moyen de
surenchérir :
"Oui dans ton exemple.
Non dans notre environnement. Mais bis repetita on en reparle dans
qq mois."

Notre système n'empêche pas les dérapages, dérives, etc. Mais au
moins on sait qui en fait partie. Donc dans le cadre d'une enquête et
de recherches le travail s'en trouve "facilité".

tu as l'air d'oublier que les gens à qui tu ouvres ton accès ont les
compétences pour rendre l'enquête et la recherche difficile. Mais de ce
côté, j'attends de voir les mesures techniques mises en place et me
range du côté d'Éric. Tu ouvres ton système à 50 personnes, avec
accès à la même base d'information, l'un d'eux fait transpirer de
l'info et tu le retrouves.

On ne cherche pas à tout contrôler. D'ailleurs c'est impossible avec
l'architecture du réseau actuellement. En outre il est possible comme
je te l'ai déjà souligné de maîtriser les risques.

De maîtriser les risques ? Pour ton système à la limite si on te
concède tout ce tu avances, mais pour le reste ? Et d'ailleurs, il
faudrait aussi te concéder que la circulation d'information pose un
problème, chose sur laquelle nous ne sommes absolument pas d'accord.

Ce qui me dérange dans ton discours, c'est que tu n'arrêtes pas de
mélanger ta communauté et Internet. Dis nous cache que tu veux bâtir
une communauté d'échange d'info à accès restreint et que tu veux
t'assurer qu'il n'y ait pas de fuite, mais ne nous dit pas que ça va
apporter des solutions au problème globale de l'insécurité sur Internet.

Vois-tu notre position est justement que les groupes/teams (blancs, gris
et noirs) avec lesquels nous cohabitons quels que soient leurs objectifs
bienveillants ou malveillants touchent moins les users "lambda"
(particuliers, entreprises privées ou publiques, administrations, etc)
donc on leur propose un espace de jeu. Si tu préfères.

Je préfère cette formulation oui. Ça fait tout de suite plus modeste.

Non c'est faux je ne vois pas en quoi le "grand public" se trouve léser
de quoique ce soit. Explications plus haut dans le message. Au contraire
on le protège contre les risques qu'il peut rencontrer.

Non.
On en rend pas quelqu'un responsable en le rendant dépendant. La
suppression de l'information pertinente, qui serait la conséquence de la
globalisation de ton modèle, n'aide pas les gens à envisager clairement
les risques auxquels ils sont exposés.

"Donne un poisson à celui qui a faim, il aura faim demain. Apprends lui
à pêcher, il n'aura plus jamais faim."

On est pas dans ce monde là mon cher et nous le savons tous les deux
donc arrêtes avec ce genre de connerie stp. Détrompes-toi les espaces
de confiance ou réseaux distribués privés vont de plus en plus se
développer pour répondre à des usages et services privés ou public
afin de favoriser les échanges en toute confiance avec des preuves.

Ah mais certainement, mais là on parle de _ton_ système, qui est un
système de distribution d'information de sécurité à une communauté
plus ou moins ouvertes. Arrête de faire déborder le contexte, soit vers
Internet en général, soit vers les architectures de confiance en
général.

Notre système se fonde sur un usage extrême voire radical
volontairement choisi afin d'étudier toutes les possibilités et
limites.

Maintenant, il est question d'étudier ? Avant, c'était apporter une
solution au problème de la sécurité sur Internet. Tu veux quoi au juste
? Dis le clairement, ça nous changera.

C'est un résumé simpliste mais assez proche de la réalité j'en
conviens.

Merci.
Mais ça fout tout par terre. Parce que la confiance qu'on peut accorder
dans une architecture de confiance (justement) se mesure à la confiance
qu'on peut accorder à son maillon le plus faible. Donc, si dans ton
groupe, tu as des brebis galeuses, ton système ne sert à rien.

Je ne le pense pas pour les différentes raisons que je t'ai déjà
donné. Mais je (nous) veux bien me tromper l'avenir nous le dira.

On verra quand tu (vous) publieras du code et qu'on pourra étudier le
système, puisque :

<3f6108dd$0$26334$79c14f64@nan-newsreader-03.noos.net>
"Donc pour le détail des technologies employées on aura l'occasion d'en
reparler. ;)"

Tu juges à priori avec peu d'informations.

Je l'attendais celle-là...

<3f6aa9de$0$5227$79c14f64@nan-newsreader-02.noos.net>
"> C'est pour ça que je jette l'éponge, parce que j'en ai marre des
oui bon mais non" et des "on verra plus tard".
Tu es vraiment incroyable j'ai répondu à toutes tes questions et je
t'ai communiqué de nombreuses informations."

Donc d'un côté tu m'a communiqué de "nombreuses informations", mais de
l'autre tu conviens qu'elles sont insuffisantes pour juger ton système.
Tu n'avais pas besoin de me le dire, je m'en étais clairement aperçu
(comme d'autres d'ailleurs). Et c'est bien pour ça que tout le monde te
dit que tu argumentes dans le vide et que tu ne démontres rien.

Malgré tout, tu es un confrère

Prends le comme tu veux, mais le terme de "confrère" va, pour moi, au
delà du fait de travailler dans le même milieu. Il englobe aussi la
manière de travailler, d'envisager le métier. Donc pour le moment, on
pourra peut être s'en tenir à "concurrents" (si c'est le cas). Et en
tout état de cause, quand je ne sais pas à qui je parle, je ne parle
certainement pas à un "confrère". Nicob est un confrère ; toi, pour le
moment, sauf ton respect, tu es un mec sur les news avec qui je discute.
C'est précisément pourquoi j'attendais de toi un minimum de
démonstration et de faits concrets*.

et les informations que je t'ai donné ainsi que celle que tu
pourrais collecter par ailleurs peuvent IMHO t'apporter toute la
lumière sur notre projet.

Manifestement non. J'ai suivi tous tes liens, et j'ai encore des questions
qui restent sans réponse, en particulier tout ce qui tourne autour des
mesures techniques de watermarking.

Sinon je te le redis nous aurons l'occasion d'en reparler.

"on verra plus tard".

Je fais une distinction entre "grand public" et "professionnels". Le
"grand public" regroupe des individus différents niveaux et uniques. Je
ne vois rien de bizarre ou choquant ici. Depuis que je pratique les
réseaux, d'abord en tant que particulier puis en tant que
professionnel, j'ai cotoyé et rencontré au fil des années de
nombreuses personnes passionnées d'informatiques/SI pas du tout
professionnelles et aussi compétentes que certains acteurs dans le
métier. Certaines blanches d'autres grises ou noires. Voilà.

La question elle est claire non ? Qui aura accès à ton système ? tu
nous parles de grand public, de professionnels, puis d'individus du grand
public, mais compétents quand même, on a les étudiants, etc.
On s'en contrefout de savoir que tu as cotoyé pleins de gens passionnés
et compétents. Ce que je voudrais, c'est que tu me définisses une fois
pour toutes ce tu appelles "le grand public" quand tu écris :

<3f6aa9de$0$5227$79c14f64@nan-newsreader-02.noos.net>
"On considère que le grand public n'a pas à avoir accès à ce type
d'information (codes, exploits, malwares, hacks tools, etc)."

De même, tu pourras aussi définir ce que tu appelles les
"professionnels", parce que pour autant que je sache, un étudiant en
master SSI par exemple n'est pas forcément un professionnel de la
sécurité informatique. Mais je crains que la distinction ne soit pas
possible, du simple fait de la réalité d'Internet. Par exemple, Niels
Provos n'est pas un professionnel de la sécurité informatique, pourtant,
c'en est indéniablement un acteur (OpenSSH, Systrace, Honeyd, etc.).
Quand Philippe Biondi a commencé à coder pour LIDS, il était étudiant,
et non professionnel. C'est ce genre d'exemples qui amha font que
j'attends une catégorisation précise des gens qui ont accès à ton
système ou non.

Nous sommes dans le même esprit mais avec des fonctionnalités et
possibilités nouvelles.

Les fonctionnalités, je crois qu'on a compris. Par contre, les
possibilités, c'est quoi ?

Je t'ai dit quel était l'objectif du système. Mais en aucun je l'ai
présenté comme qqch pouvant "sauver le monde" ?! lol

<3f6108dd$0$26334$79c14f64@nan-newsreader-03.noos.net>
"Notre objectif : améliorer le travail collaboratif sur tous types de
codes, security tools, etc. Encadrer et sécuriser les échanges.
Contrôler les dérives, dérapages, etc."

C'est quand même super global comme objectif : tu ne le restreins pas à
ta communauté...


En résumé, si j'ai bien compris, tu veux monter un système de
confiance pour partage d'informations pour une communauté restreinte
d'experts. Là, dis comme ça, je dis OK. Mais présenté comme une
solution à l'insécurité sur le net, je dis non.


* Au moins, je te remercie de m'avoir épargné les diatribes à l'emporte
pièce sorties tout droit d'une plaquette de SSII, genre replacer
"l'humain au coeur du SI" et autres du même cru.

--
Y'a pas de liberté, t'es lourd, tu meurts
-+- Heartaxe in GPJ: L'autocratie, y'a que ça de vrai -+-

Dans sa prose, Cyril Guibourg nous ecrivait :

Moi je n'ai toujours pas vraiment bien compris où l'_anonyme_ veut
vraiment en venir, emmélé qu'il est, dans ses contradictions.

"on en reparle dans qq mois."

Mais ce qui me dérange le plus c'est cette idée de maitrise de la
diffusion de l'information qui serait alors, de facto, inaccessible au
plus grand nombre.

C'est ce qui me dérange aussi, mais vu la tournure qu'a pris le thread,
il ne s'agirait non pas d'un modèle à développer à grande échelle,
mais surtout la mise en place d'un cercle d'échange portant sur une
communauté restreinte, donc ne remettant nullement en cause le circuit
"traditionnel" d'information. De toute manière, l'alimentation de la base
partagée supposera des relations avec le circuit traditionnel, donc...

D'un point de vue technique je crois pas du tout à cette éventualité et
d'un point de vue sécurité je pense que c'est appliquer à très grande
échelle d'une politique d'obscurité, modèle qui à ce jour a juste
prouvé son inefficacité.

Je ne pense pas que ce soit l'idée directrice de base, mais je ne vois
pas comment on pourrait empêcher que ça se termine comme ça. Il suffit
de voir comment les discussions quant à l'établissement d'un protocole
sur la diffusion des alertes s'est terminé. D'un côté le monde de la
sécurité qui voulait pousser des chartes qu'il possédait et mettait
déjà en pratique, et de l'autre les éditeurs qui ne voulait pas de
délai de carence si aucune réponse n'était donnée.

D'un autre côté, si on schématise rapidement la faune du milieu, on
peut très grossièrement la catégoriser en trois groupes :

. les professionnels, qui jusqu'à présent (à de rares exceptions
près), ont des codes de bonne conduite en matière de publication et
les appliquent.
. les groupes dits "underground" qui se contrefoutent des règles et
publient systématiquement
. les gens qui se trouvent entre les deux (l'immense majorité)

Alors si on généralise un système comme celui discuté ici, il sera
accessible à la première catégorie. C'est à dire qu'il fixera des
règles à des gens qui les appliquent déjà. Par contre, rien
n'empêchera le second groupe de continuer à publier, mais en douce
cette fois. Si en plus on considère que ces deux groupes fricotent
allègrement entre eux, on peut clairement considérer que pour ces deux
communautés, je doute que grand chose change.

Par contre, pour la troisième, c'est plus discutable, privée qu'elle est
d'une source d'information alternative. Parce que finalement, l'opposition
de ces deux sources, c'est quelque part ce qui nous permet d'avoir une
vision fiable du monde, et des éditeurs qui font un peu plus attention à
ce qu'ils font (et encore...). Bref, un contrepouvoir utile qui permet de
s'apercevoir qu'un patch est mal foutu, qui oblige un éditeur à fournir
des informations et des patches rapidement, etc.

Moi aussi j'attends des critères fiables avec curiosité.

"nous aurons l'occasion d'en reparler"

--
GB> une amie déléguée médicale a reçu un avenant de contrat de travail
Rappel à tous : Il serait préférable de BIEN LIRE la question avant de
répondre, la salariée est protégée puisqu'elle est DÉLÉGUÉE SYNDICALE
-+-JG in GNU : Le père Emptoire s'enmmèle les pinceaux -+-

Cyril Guibourg wrote:

Les codes dangereux (je le précise à nouveau), exploits, malwares, hacks
tools, etc n'ont pas à être rendu public.
Pourquoi ? Pour limiter les risques de : fraudes informatiques,
intrusions, piratage, vols de données, etc...

Ce type d'approche du problème est un LEURRE digne d'une autruche pas
encore déflorée.
Je ne partage pas absolument pas ton avis.

La collecte d'informations (en tout genre), la détection et
l'identification des vulnérabilités (donc exploits, etc) permettent de
préparer tout type d'attaque (intrusion par exemple) en combinant les
résultats de la recherche d'information.

1) Les vrais, ceux qui font vraiment mal (cartes bleues, etc...) n'attendent
pas que la dernière faille M$ soient publiée dans vulmnwatch et consors.
Soit mais il n'y a pas qu'eux.

Dans les "vrais" comme tu dis on trouve tout type de personne
malintentionnée : SK, carders, bakers, phreakers, crakers, etc.

2) Kitetoa a prouvé de facon exemplaire qu'un simple browser web est un
outil pouvant servir de moyen technique pour réaliser une fraude
Soit. Mais depuis déjà un moment il est possible de maîtriser son niveau

de sécurité en mettant en place des contre mesures systèmes
(durcissement des OS, etc) et réseaux (FW, DMZ, etc).

3) Bien des crackers (vrais gros velus) ne s'attaquent pas à la machine de
la secrétaire
Cela dépend de leurs objectifs, cibles, mission, etc. Sa machine peut

être une cible.

mais à des infrastructures réseau conséquentes. Pour
faire du hijacking de session X.25 ou jouer avec XOT pas besoin
de rendre public son couteau suisse.

4) A partir de 3), le meshing d'Internet étant ce qu'il est on voit des
gugusses entrer en X.25 en Ouzbekistan ressortir en PPP pas très loin
de chez Bilou...

5) Empécher la publication n'est pas empécher la diffusion c'est empécher
l'organisation et l'application des contres-mesures.
Empêcher la diffusion, la fuite d'information ce n'est pas possible

étant donné que les users sont des êtres humains donc faillibles.
En outre je te l'ai déjà dit empêcher la publication de certaines
données sensibles dans le domaine public devient urgent afin de limiter
les risques.

Quand on voit qu'avec
tous les CERTS, les mailing list, les advisories qui rendent public une
faille, il y a encore plein de candides qui n'ont rien fait sur leur
machine on ne peut que s'inquiéter de ce qu'il adviendrait.
Les événements estivaux en témoignent et cela continue.

C'est pourquoi je te répète qu'il est urgent de prendre des dispositions
afin d'encadrer le partage et la publication de certaines
données/informations en SI.
Et en parallèle, il serait grand temps qu'un vrai plan de
communication/sensibilisation aux problèmes de SI soit lancé.
Car IMHO les réponses juridiques comme la LEN ne résolvent qu'une infime
partie des problèmes.

Codered tourne toujours...
Slammer et j'en passe, mais ça ce ne sont que des virii. C'est la

partie la plus visible des problèmes de SI.

Reviens nous voir quand tu aura planché
C'est quoi ce ton ?! MDR

Tu te prends pour qui ?

sur les solutions permettant
d'améliorer le système existant tout en le rendant *accessible* à *tous*.
Notre système rentre dans le cadre d'un projet de R&D opensource. Donc

on aura l'occasion d'en reparler pour la énième fois.
Il apporte une réponse au problème de l'échange d'information sensible
en SI pour les acteurs concernés.
IMHO je pense que l'information sensible en SI n'a pas à être accessible
à tous pour toutes les raisons que j'ai déjà fourni x fois. Et j'ajoute
que c'est d'autant plus important aujoud'hui de réagir car le nombre de
users en HD est devenu très important. Etc etc.

Un exemple récent : la publication par le groupe chinois XFocus d'un
programme exploitant la faille RPCDCOM et qui a été utilisé ! Alors que
9 jours avant MS avait informé d'une faille dans Windows !
Tu comprends mieux maintenant ? Ou bien faut-il poursuivre ?

Non. Mais de grâce ne poursuit pas !
Ecoutes si tu me démontres qu'actuellement il est impossible avec toutes

les données et informations disponibles sur le réseau d'effectuer une
intrusion dans un système alors ok je m'arrêtes.

T'es vraiment un cas Djehuti.

Non, ici le cas c'est toi.
Si tu le dis.

Mais moi je me sens concerné par les problèmes des réseaux numériques.
Je ne tiens pas des discours d'irresponsables.

Ca fait un bon moment que tu nous assène tes "concepts" basés sur du vent
dans des threads aux fils desquels tu finis par t'enfoncer jusqu'à la
contradiction. Ton argumentaire flou, c'est du pipo juste bon pour tenter
de dynamiser un équipe de débutants marketoïdes en smalto durant leur
workshop d'été.
Mensonges et dénigrements. Voire propos diffamatoire et injurieux.

On dirait du mobbing.
Faut-il que je te rappelle les règles Usenet ?

Il y a aussi d'autres cas, Cedric, Eric, Stéphane et quelques autres qui
ont une sacré dose de patience pour continuer à te lire.
No comment.

Moi je viens de perdre mon temps une dernière fois.
MDR

Tu connais l'option Ignore by subject ?
Essaies tu perdras moins de temps. lol

Eric Razny wrote:

"LaDDL" <alamaisonNOSPAM@noos.NOSPAM.fr> a écrit dans le message de
news:3f6c83b5$0$17044$79c14f64@nan-newsreader-02.noos.net...

Eric Razny wrote:

Ok, donc un "méchant" n'a qu'à s'incrire à un cours d'info!
lol ridicule ton exemple.

Aussi ridicule que ton assertion, c'est pour bien mettre son intérêt en
valeur.

En général le profil d'un "méchant" correspond plus à qqun qui dispose
déjà des bases qui lui permettent d'agir !

Je ne crois pas qu'un SK dispose vraiement de "bases" solide, ce n'est pas
pour autant que je le classe dans les gentils.

Waou, géniale la
protection :(
Authentification/identification du user = on sait qui il est et ce qu'il

fait.

Apprend à lire. Plusieurs personnes t'ont démontrées que ton système est
poreux. Et qu'on ne peut PAS remonter à celui qui fait fuire l'info.
Ecoutes jusqu'à présent j'ai été très courtois et cordial avec toi alors

que tu as commencé depuis un certain temps à mentir, me dénigrer voire
diffamer et injurier. Alors je te le dis maintenant : si tu cherches
l'engueulade vas voir ailleurs et le trollage très peu pour moi. En
dernier lieu je t'invite à relire les règles Usenet. En ce qui concerne
nos échanges j'y mets fin après avoir répondu à ton autre post.

Pour la énième fois personne n'a démontré quoique ce soit puisqu'il n'y
a pas eu le moindre énoncé/exposé. Juste qq échanges d'informations.

Enfin la traçabilité est tout à fait possible à partir de notre système.

Outre le fait que je suis *pour* une diffusion libre *à tous* de
l'information
Oui moi aussi mais nous sommes sur un réseau mondial avec tous types

d'utilisateurs : bienveillants en majorité mais avec aussi des personnes
malintentionnées !

Et alors?
Comme je l'ai déjà expliqué la collecte d'information en tout genre sur

Internet permet de préparer une attaque assez facilement. D'où la
nécessité d'encadrer certaines données et informations.

Tu devrais prendre un dico et regarder au mot TOUS.
Tu devrais te montrer un peu plus réfléchi et responsable avant d'agir.

Et tu me répond oui je suis pour une diffusion à tous, mais pas à tous
Oui je suis pour une liberté de l'information mais je suis contre la

publication de tout et n'importe quoi. A commencer par certaines
données/informations en SI, à caractère raciste, pédophile, etc.

Dénigrement certainement.
Oui et sans aucunes objectivité de ta part.

Mensonge? Prends un cours de logique formelle
(c'est une discipline scientifique, pas de marketeux) et reviens me voir
quand tu saura ce qu'est une démonstration.
lol je me suis déjà exprimé plus haut. Mais je te demande de me dire où

dans ce thread j'aurais énoncé ou exposé un problème afin que tu (ou
d'autres) puisses faire une démonstration hein ?!

Oui. Nous les incluons dans la communauté car mon expérience personnelle
et celle de mes confrères et collègues nous montrent tous les jours que
nous aurions tort de les exclure du système.

OK, no problem... et l'expérience de pas mal ici montre que ce serait en
tord d'en exclure d'autre du système.
Lesquels ?

Si ça se trouve on va être d'accord alors cites stp. lol

Tu donnes ici l'illustration de ce que je viens te dire ci-dessus.
Un étudiant n'est pas à exclure du système bien au contraire !

Oops autant pour moi, j'aurais du mettre un smiley pour indiquer l'ironie.
Tu ne dois pas fréquenter beaucoup d'étudiant, ou alors seulement ceux de
ton monde idéal. Il y a peu j'ai encore vu des trojans sur l'ordi (en salle
de cours) d'un prof de C pas trop au fait des problèmes de sécu.[1]
Je commence à comprendre pourquoi tu ne me comprends pas.

Ma phrase : "Un étudiant n'est pas à exclure du système bien au
contraire !"

Et ta réponse veut me faire dire tout l'inverse ???
Tu es bien étrange.

2/ ou S'il veut aller plus loin il demande un accès à "l'espace"
(appelons-le ainsi). Il remplit un formulaire. Accepte les conditions
d'utilisations. Accède à "l'espace".

Soit c'est un espace réservé et alors certains n'auront, de toute façon pas
accès à cet espace.
Exact.

Soit tout le monde peut y avoir accès
Non.

et on t'a *démontré* que l'on ne peut
remonter à celui qui organise la fuite d'un document ascii
Merci pour la nouvelle ! lol Mais ici tu ne m'as rien démontré.

et dans ce cas
ton système ne sert à rien,
Je t'ai expliqué brièvement que dans notre système on intègre

complètement la traçabilité des données et des flux donc à priori pour
le moment on n'a pas constaté de failles à ce niveau là.

autant donner accès à tous de suite.
Non et pourquoi ? lol

Si je suis ton raisonnement autant ne rien faire et laisser internet
comme il est aujourd'hui !

Dans les deux cas on abouti à un système soit absurde soit qui nuit, in
fine, à la sécurité.
Ni absurde ni nuisible comme tu le dis à la sécurité.

Reportes-toi aux initiatives/projets en cours concernant les espaces de
confiance pour l'administration (le vote électronique, les
téléprocédures, etc), le cachet électronique par La Poste, etc...

[...]

Les intervenants avec qui j'échange ici (toi inclus) sur ce sujet n'ont
rien démontré du tout.

Tu semble bien être un des rares, sinon le seul, à le penser.
Si tu le dis.

Mais encore une fois montres-moi un énoncé ou exposé d'un problème et le
début d'une démonstration.

a) cette contention de l'information est "poreuse".
Faux. Mais je veux bien que tu m'apportes des éléments d'information

nouveaux que nous aurions pu omettre.

De nouveau :
à partir du moment ou un "méchant" est inscrit légitimement au système (et
le "méchant" fait partie de la vie réelle, ce n'est pas nécessairement
marqué sur son front ou sur son casier judiciaire) il peut rediffuser les
informations textuelles sans risque d'être découvert[2]
Tout user est identifié comme acteur/contributeur du système et tous ses

échanges sont contrôlés. Donc même si l'on parle de dérives, dérapages,
failles humaines etc les autorités auront les moyens d'appréhender ton
"méchant".
Mais le système repose sur le principe du travail collaboratif, de la
confiance, de la redondance donc la communauté des users se
responsabilise et si un "méchant" commet une infraction ou un délit
alors il se retrouve mis à l'écart soit exclu du système.
Pour ton info dans l'équipe on est tous issu de la culture groupware et
partage de l'information puis est apparu il y a qq années le P2P. Va
jeter un oeil du côté du réseau Direct Connect car son mode de
fonctionnement nous a inspiré.

Faux. Idem ce que j'ai dit ci-dessus.
En tout cas dans notre infrastructure on peut tout suivre/tracer.

DEMONTRE le.
Non je t'ai déjà expliqué pourquoi.

Sinon à partir des infos que j'ai communiqué tu peux mener une analyse
et approfondir le sujet.

Donne accès aux mêmes infos textuelles à trois personne de ce
groupe (je pense en connaitre deux qui accepteraient). Une quatrième
personne, n'ayant pas d'accès direct à l'information poste ici une des infos
(on suppose un certain délai qui fait que les trois personnes ont eu le
temps de lire l'info et l'ait fait). Et tu nous dis lequel de nous trois est
à l'origine de la fuite. OK?
On est pas dans l'environnement de l'espace donc on ne démontrera rien.

Soit c'est inutile.

Tu as dit toi même dans un post précédent que l'accès à une zone de
confiance serait données de manière discretionnaire. Donc,
définitivement,
[2]
Oui si tu veux.

Je ne veux pas justement. Accessoirement l'argument étant difficilement
parable tu tente encore une pirouette :(
Encore une fois cf au début de ce post mon explication sur ma position

face à la publication de certaines informations en SI.

Et la réponse des autres est sans appel : en quoi ton système aurait empèché
la publication de ce groupe???
Si les failles/vulnérabilités n'étaient pas rendues publiques nous n'en

serions pas là.

La différence c'est que la faille étant confidentielle pour beaucoup (ceux
n'ayant pas accès à ton système), "ils" vont s'en prendre plein la tronche
pour pas un rond.
Non c'est faux aux équipementiers (constructeurs, éditeurs) de

développer des produits dont l'architecture est beaucoup plus sécurisée
; d'être plus efficace dans le traitement des correctifs ; de
communiquer et de sensibiliser les users ; enfin aux users d'apprendre
de se former à l'usage de leur machine/environnement et de suivre les
conseils donnés.

Et ensuite les pseudo élites à deux balles qui vont se
faire DoSer par les zombies qu'ils ont contribués à faire fleurir.
Ouais super ton idée. Enfin celle la oui, tu montre toi même que ton système
est, in fine, nuisible à la sécurité.
Tu juges encore à priori ss savoir. Mensonges et dénigrements.

Alors au lieu de railler Djehuti sur le mode de "tu ne comprends rien" tu
devrais relire tes écrits. Avec un peu de chance, si tu oublie que tu les as
pondu, ça va te faire marrer.
Si tu veux tout savoir, c'est toi depuis un moment qui me fait sourire.

N'importe quel étudiant
un peu débrouillard est apte à en faire autant!
Oui nous sommes d'accord mais je t'ai déjà donné des explications à ce

sujet. CF au début de ce message.

Et donc la rétention d'info n'empèchera pas des exploits de circuler.
Tu confonds et mélanges tout.

La communauté de users concernée échange & partage donc il n'y a aucune
rétention d'information. Ensuite on aura toujours des malwares et autres
exploits ou problèmes. Là n'est pas la question.

Juste
de s'en prévenir :(
Petit rappel : nous sommes dans un monde *réel*, où il n'y a pas que les
"gentils" qui trouvent des failles et où les "méchants" peuvent faire
circuler l'info sans gros problème. (et encore, je suis manichéen, c'est
encore pire avec les nuances de gris!).
Merci pour cette grande nouvelle. ;)

Oui cf mon exemple RPCDCOM plus haut.

Donc autant laisser passer les exploits de toute façon! (en divulgation, je
ne veux pas dire qu'il ne faut pas se protéger de leurs effets!)
Ah enfin un bon argument ! ;)

C'est sur ce point qu'il y a une réflexion à poursuivre sur :
Qui découvre les failles ? Car à partir de là on pourra vraiment dire si
oui ou non il faut changer ou maintenir le système de partage de
l'information en SI.
Ensuite étudier qui les exploite à partir des délits, infractions,
intrusions commis ?

De notre côté on a déjà analysé la situation c'est la raison pour
laquelle j'ai (nous) cette position face au partage de l'information en
SI.

Comme tu as pu le constater je ne partage pas du tout ton point de vue
sur le partage/publication de l'information dans notre domaine.

Ca c'est clair et ça ne me gêne pas.
Je suis heureux de constater que pour une fois tu respectes mon point de

vue.

Le problème est que non content de ne
pas répondre aux critiques concernant ton "modèle" tu enchaine les
contradictions internes.
Mensonges et dénigrements pour conclure sur ce point.

On Mon, 22 Sep 2003 08:43:27 +0000, LaDDL wrote:

Apprend à lire. Plusieurs personnes t'ont démontrées que ton système est
poreux. Et qu'on ne peut PAS remonter à celui qui fait fuire l'info.

Ecoutes jusqu'à présent j'ai été très courtois et cordial avec toi alors
que tu as commencé depuis un certain temps à mentir, me dénigrer voire
diffamer et injurier.

On dirait du OA :)

Pour la énième fois personne n'a démontré quoique ce soit puisqu'il n'y
a pas eu le moindre énoncé/exposé. Juste qq échanges d'informations.

Enfin la traçabilité est tout à fait possible à partir de notre système.

Et la marmotte, elle met la chocolat dans le papier d'alu, c'est ça ?

On t'a (dé)montré plusieurs fois que la fuite d'infos ne serait pas
traçable. Il y aurait-il une faille dans notre raisonnement ?


Nicob

Eric Razny wrote:

"LaDDL" <alamaison@noos.fr> a écrit dans le message de
news:3f6a12fa$0$8093$79c14f64@nan-newsreader-01.noos.net...

Eric Razny wrote:

"LaDDL" <alamaison@noos.fr> a écrit dans le message de
news:3f6949bf$0$20605$79c14f64@nan-newsreader-03.noos.net...

Cedric Blancher wrote:

Hors, tu nous a
dit ici même qu'on pourrait se la procurer gratuitement chez toi.
Oui dans l'idéal. Mais il y a de nombreux freins dont celui du

financement du l'infrastructure.

Je serais presque tenté par ton fameux "no comment" tellement c'est
gros.

Si tu veux. Mais je ne vois pas pourquoi étant donné que les freins sont
là et bien réels !
Par exemple : pas ou très peu de services/usages proposés ;
l'infrastructure est couteuse et lourde ; la dématérialisation des
échanges est une démarche pragmatique de réorganisation des activités de
l'entreprise fondée sur l'identification et l'analyse des processus
ayant un impact sur les objectifs stratégiques à atteindre ; les
changements radicaux dans les habitudes de travail, changements qu'il
convient d'accompagner, notamment par la formation continue ; etc.

Toutes mes excuses, ce n'est ni discours de marketeux, ni de technico mais
de poète. On dirait un inventaire à la Prévert :(
Bref un charabia fourre tout.
Il suffit de reprendre quelque posts précédent pour remarquer qu'en début de
thread tu annonce A pour conclure en fin du même thread qu'il est évident
que non-A! (en le présentant comme une évidence en plus!).
Faux.

J'ai toujours dit que nous étions dans une logique d'accès gratuit.
Mais suite aux questions de Cédric, je lui ai expliqué les problèmes de
financement d'une telle infrastructures que nous avons relevé. Comme je
l'ai déjà précisé il y a un modèle économique viable à trouver ; qu'il
soit gratuit ou payant.

[...]

Notes aussi qu'Internet est avant tout un outil de travail en réseau.

Non,
Si dans le cadre de l'espace dont je te parle.

internet est un réseau de réseaux (explication simpliste).
Là-dessus nous sommes d'accord.

Il existe
un nombre considérable de façon de l'utiliser.
Oui et ici je parle d'un usage particulier.

Et ce n'est pas "avant tout
un outil de travail en réseau."
Au contraire il l'est complétement dans le cadre de notre projet.

[...]

Donc toute implémentation de procédures implique une remise en cause des
compétences, des modes de travail, de la culture d'organisation.

Et c'est repartit, les grands discours creux, bien générique et sans rien de
concret. C'est de la politique qu'il te faut faire [1]
lol eh bien justement mon cher l'approche, la démarche à suivre dans

tout projet d'espace de confiance s'appuie sur le process reingeneering.

Et je t'invite aussi à te replonger dans l'évolution de nos systèmes
d'information afin de mieux comprendre que de nos jours et dans l'avenir
l'intégration de la notion de service replace l'humain au coeur du SI et
fait donc évoluer le rôle du système d'information.

Enfin je suis heureux quand même que tu reconnaisse que les "grandes
idées"

doivent se confronter à la réalité du terrain.
Merci de le souligner mais je ne vois pas où dans nos échanges et mes

propos j'aurais dit le contraire. Tu sais cela fait maintenant presque
7ans que je travaille sur ce sujet en R&D et sur le terrain.

Sur la planète terre et dans le même espace temps que le mien?
Le début de ton thread (espace de confiance, bien sur c'est gratuit) et sa
fin montre justement le contraire.
Faux.

Cf Explications ci-dessus.

Le propos d'un discours cohérent est de ne pas montrer de contradictions
internes.
Ce n'est pas le cas ici!
(la conversation se tiens de facto dans plusieurs thread)
Il n'y en a pas justement.

Si tu le désires, je veux bien revenir sur certains points.

Pour te paraphraser, en sécurité il y a aussi de nombreux freins, dont
ceux

des décideurs (politiques au sens large) qui croient savoir ce qui est
bon,

sans connaissances réelles.
Il y a des cons partout...

Mais dans le domaine de la confiance le cadre légal de la preuve
électronique est clair à présent. Si tu veux les articles du code s'y
rapportant je peux te les communiquer.

Tu le fais exprès?
Non car il me semble que tu n'as pas bien observé le cadre légal de la

preuve électronique. Je me trompe peut-être à ton égard mais ici c'est
l'impression que tu me donnes.

Ou tu crois être le seul abonné au JO?
*tous*, amha, les experts en sécurité savent qu'un bon élément peut être une
faille colossale s'il est mal implémenté.
Je le sais très bien c'est la raison pour laquelle on répartit toujours

les risques en mettant en oeuvre plusieurs contre mesures de sécurité.

C'est flagrant en crypto, va faire
une tour sur les groupes concernés.
Merci pour l'info je suis sur plusieurs listes et groupes.

Il y a la loi (qui parfois est débile) et les décrets d'application, qui
modifient parfois substentiellement la portée et les effets de la loi.
Je suis d'accord avec toi.

Je m'inquiétais à la fois des nouvelles lois à venir et de leurs
conséquences effectives, avec des arguments *concrets*. Ca doit être une
déformation sécuritaire, je suis naturellement plus méfiant dans ce domaine
qu'optimiste béat. Et c'est malheureusement a posteriori, après quelques
conneries effectives, que j'adopte ce comportement.
Je te comprends je suis comme ça aussi.

Mais IMHO le fait que tu ne reconnaisses pas que la LEN - dont on parle
depuis un moment ici -, est dorénavant plus claire dans de nombreux
domaines m'interpelle vraiment.

Voici comment en partant d'un partage d'information complètement
gratuite et

accessible dans un cadre (soit disant) de confiance on commence à
évoquer

les gros sous!
Je ne sais pas ce que tu exerces comme profession dans l'informatique ou

bien quelles sont tes responsabilités mais tu sembles oublier
qu'Internet est devenu public : c'est un monde électronique, une zone de
challandise et un lieu de vie.

La n'est pas le problème.
Si justement ! Car si l'on veut développer les échanges/services sur

Internet il faut pouvoir offrir une "vraie" preuve électronique.
Ainsi on verra alors se développer des services pour les entreprises,
les citoyens, l'administration, etc.
Par exemple :
Les chantiers en cours pour le développement d'une administration
électronique en sont une illustration par exemple :
- http://www.adae.pm.gouv.fr/spip/breve.php3?id_breve=6
- le vote électronique
- etc.

La dématérialisation des échanges :
http://www.laposte.fr/postecs/

Le problème est que tu annonce A puis non-A. Un
minimum de cohérence ne serait même pas un plus, mais un critère normal, à
mon sens.
Faux.

Cf explications plus haut.

Je te rappelle aussi que développer des produits/services engendrent des
coûts donc il faut trouver un modèle économique viable pour offrir ces
produits/services gratuits ou payants.
Le partage de l'information en SI/SSI concernant les avis, alertes,
vulnérabilités doit rester gratuits & accessible à tous mais les acteurs
qui offrent cette information doivent bien vivre non ?! Donc ils ont
besoin d'un modèle économique viable.

Ca veut dire quoi? On annonce au peuple : vous êtes vulnérables! Je vous
l'annonce gratuitement. Maintenant si vous voulez savoir ce que c'est ou
comment le tester veuillez continuer votre chemin, vous passerez par la
boutique (très anglo-saxon, ça, la boutique souvenir en fin de parcours!).
Mais non ?!

Regardes les CERT.

Le partage de codes, exploits, malwares, hacks tools doit être encadré
et ne concerner que la communauté des acteurs concernés soit : les
professionnels de la SI/SSI et en aucun cas le grand public. Donc

Reprends les posts précédents ou tu as admis qu'on ne peut exercer un vrai
contrôle sur la diffusion de malware.
Oui dans l'exemple que nous donnait Cédric.

Mais dans le cadre d'un espace de confiance où une communauté de users
authentifiée/identifiée, il est possible de mieux contrôler les
échanges/flux d'information et donc de limiter les risques.

aujourd'hui un espace de confiance peut être la solution. Et bien
entendu le modèle économique reste à définir.

Bien entendu. TOUT reste à définir, comme d'habitude avec toi :(
Non notre architecture est définie. En outre, le modèle économique n'est

pas encore défini pour les raisons que je t'ai déjà fourni.

Tu ne bosserais pas comme consultant pour verisign toi? :))
lol

Heureusement que tu as mis un smiley car je l'aurais sinon très mal
pris.

Ta réponse prouve que même avec un smiley tu l'as mal pris! :)
Oui j'ai souri... un peu jaune !

Même si je prends ça avec humour. Je trouve quand même cette
question/remarque déplacée et injurieuse en ce qui me concerne.

[...]

"LaDDL" <alamaisonNOSPAM@noos.NOSPAM.fr> a écrit dans le message de
news:3f6e476e$0$23398$79c14f64@nan-newsreader-03.noos.net...

Empêcher la diffusion, la fuite d'information ce n'est pas possible

^^^^^^^^^^^^^^^^^^^^

étant donné que les users sont des êtres humains donc faillibles.

^^^^^^^^^^^^^^^^^^^^^^^
[même pas de SNAP, ce qui suit est dans le même paragraphe]

En outre je te l'ai déjà dit empêcher la publication de certaines
données sensibles dans le domaine public devient urgent afin de limiter
les risques.

Donc par construction tes données sensibles ne doivent pas être accédées par
des humains.

C'est pour ça qu'il faut un Internet de confiance qui replace l'humain au
centre du système d'information ! (attention, phrase "copyrightée") :)

Bien entendu la machine ne doit pas non plus être programmée par un être
humain pour les mêmes raisons.

Non, ici le cas c'est toi.
Si tu le dis.

Mais moi je me sens concerné par les problèmes des réseaux numériques.
Je ne tiens pas des discours d'irresponsables.

C'est une appréciation qui ne tient qu'à toi et que ne partagent pas tout le
monde!

Ca fait un bon moment que tu nous assène tes "concepts" basés sur du
vent

dans des threads aux fils desquels tu finis par t'enfoncer jusqu'à la
contradiction. Ton argumentaire flou, c'est du pipo juste bon pour
tenter

de dynamiser un équipe de débutants marketoïdes en smalto durant leur
workshop d'été.
Mensonges et dénigrements. Voire propos diffamatoire et injurieux.

On dirait du mobbing.
Faut-il que je te rappelle les règles Usenet ?

Oh oui! Comme ça tu les appliquera aussi pour toi!.. peut-être

Il y a aussi d'autres cas, Cedric, Eric, Stéphane et quelques autres qui
ont une sacré dose de patience pour continuer à te lire.
No comment.

Si si, je suis d'accord avec lui! :)

djehuti wrote:

Le terme "grand public" englobe tous les types d'utilisateurs : des
débutants aux plus expérimentés.

ah bon ? donc le "grand public" peut être simplifié en "public" ?
Tu as vraiment un problème de compréhension.

L'expresssion grand public et le terme public ne signifient pas du tout
la même chose. Je te renvoie vers ton dictionnaire.

Quand on parle de produits ou services grand public cela veut dire
qu'ils sont destinés à la population en générale, aux individus, à des
personnes physiques.

Les codes dangereux (je le précise à nouveau), exploits, malwares,
hacks
tools, etc n'ont pas à être rendu public.
Pourquoi ?

je ne veux pas de ta version "totalitariste" !
Avant de dénigrer et d'être injurieux informes-toi sur le sujet. Après

cela tu pourras porter un jugement de valeur.
En aucun cas un espace de confiance est comme tu le dis "totalitariste".
C'est tout le contraire justement. Vas dire ça à La Poste ou à
l'administration par exemple qui oeuvrent beaucoup dans ce domaine pour
offrir des services et de nouveaux usages aux citoyens.

[...]

pour le reste, je suis encore libre de mes choix/opinions et me passe de tes
recommandations/conseils/ordres
Je me passerai aussi de tes interventions pour me dénigrer, m'injurier

sans fondements. Enfin respectes-moi ainsi que les règles Usenet.

On ne t'a jamais éduqué ou appris la courtoisie ?!!!