scan en ligne anti-spyware

Toutefois, dans le cas d'un utilitaire qui fait grand tapage et n'a pas
atteint la notoriété par son comportement mais tente de l'obtenir par
des actions marketing, je suis extrêmement méfiant, voir, j'adopte une
position de défiance. Checkflow n'est pas le seul dans ce cas et je
considère, généralement, les capacités d'auto mise à jour d'un binaire
sans que j'en aie connaissance et sans que le code soit vérifié (au
moins par les autres lorsque l'on n'en a pas la capacité comme c'est mon
cas - ce qui s'appelle "laisser les autres essuyer les plâtres"), comme
une faille de sécurité.

Il est même étonnant que ces mêmes éditeurs osent se prévaloir du fait
que l'on aurait pas le droit d'examiner leur code alors que leur métier
est d'examiner le code des autres puis de le classer en "sain", "trojan"
ou "spyware".

Roland Garcia

Stephane Catteau wrote:

Olivier Aichelbaum nous disait récement dans fr.comp.securite
<news:40750b2c$0$17619$636a15ce@news.free.fr> :

(Dans ce cas, le motif tenté serait procédure abusive, pas
diffamation)

La diffamation marche tout aussi bien et même mieux.

Tout dépend si vous parlez de la plainte (comme annoncé ci-dessus),
ou des propos publics tenus ici - cf mon post d'à côté.

Reste que Nicob a diffusé en clair la base, protégée par droit
d'auteur.

Nicob a diffusé ce que tout le monde aurait pu voir[1]. En avait-il le
droit ou non, cela reste à définir et ce n'est pas à nous, modérateurs
ou lecteurs, de le faire. Pour autant, au vu des informations à ma
disposition, je doute fort que Monsieur Piasek ou sa société puisse se
prévaloir d'une réelle propriété (au titre de l'article L 341-1 du CPI)
concernant cette base de données. Auquel cas Nicob n'aurait attenté
qu'aux intérêts commerciaux de la-dite société. Or, c'est à la société
de protéger ses intérêts[1], ce qui n'est clairement pas le cas ici
puisque n'importe qui peut avoir accès en clair à la base de données,
sans avoir eu besoin de faire une copie de la version publiée par
Nicob.

Les livres ne sont pas protégés contre la copie, est-ce que ça
autorise les gens à les diffuser sur leur site sans autorisation ?
Eh bien, ici c'est pareil, que le fichier soit crypté ou non.

Quels devraient être les usages en la matière selon vous ?
(Vis à vis de la modération ici, mais aussi de façon générale)

Nous (modérateurs) n'avons pas à juger du bien fondé de la
publication, juste de son respect de la charte et de la légalité
(relative puisque le forum est multi-nationnal).

Ma question ne porte pas sur la légalité mais les usages :
à votre avis que faut-il faire quand on voit qu'un logiciel
est mal sécurisé contre l'espionnage industriel par exemple ?

[1] Pour le côté juridique, se référer à l'affaire Kitetoa

Est-ce que Kitetoa a diffusé sur son site les fichiers auxquels
il a accédé ? Non !

--
Olivier Aichelbaum

Olivier Aichelbaum wrote:

Reste que Nicob a diffusé en clair la base, protégée par
droit d'auteur.

Vous êtes juge? Même si c'était le cas vous ne pourriez tenir ce
propos comme certain qu'après jugement définitif. Un peu de rigueur
ne fait pas de mal, n'est-ce pas?

Donc si on n'est pas juge, on n'a plus le droit de constater les
faits ?

Un fait : Nicob a diffusé en clair des éléments du produit.

Une supposition : ces éléments sont protégés par le droit d'auteur.

Pour quelqu'un qui se qualifie de journaliste ce *manque de rigueur*
pourrait même se comprendre comme une désinformation volontaire.

Vous ne constatez pas un fait, vous juxtaposez un fait et une
interprétation, laissant entendre que le tout est un fait ; ce qui est faux.

De plus il n'indique en rien une faille
permettant à un tiers de créer des dommages sur une machine sur
laquelle le produit est installé.

Certes, mais il y a aussi les failles dans la protection contre la
copie des logiciels, la protection des secrets de fabrication face à
la concurrence, etc.

Puisqu'on est dans un forum consacré à la sécurité parlons en.

Quand une société propose un produit succeptible de sécuriser l'utilisateur
final et que :

- l'utilisation du produit est préconisée en créeant une "vraie" faille de
sécurité (arrêt du FW).
- ce produit n'est absolument pas protégé lui même

il est, à mon sens, plus important d'avertir immédiatement les utilisateurs
d'un problème (le produit n'apporte rien de plus, accessoirement) réel et
immédiat, que d'un pseudo secret de fabrication. La simple évocation des
*faits* présentés par Nicob suffisent à montrer un problème.

Les gens qui font de la décompilation ne parlerons probablement même pas
l'examen de ce produit comme d'un travail à faire! Il n'y a qu'à regarder!!!
Notons enfin que le FUD présent sur le site du produit laisse entendre qu'il
s'agit de gens qui s'y connaissent en sécurité.

Le seul préjudice est peut être celui de s'être ridiculisé eux même.

Quand à la copie des logiciels (que ceci vient faire ici?), elle est
autorisée à fin de sauvegarde, ce qui souvent n'est pas respecté par les
produit dit protégés.

Une décompilation n'a rien à voir avec ce qu'à fait Nicob et vous ne pouvez
l'ignorer (sinon ça correspondrait à un manque de connaissance/compétance du
domaine que vous prétendiez couvrir avec votre revue)

Inversement je l'ai déjà vu indiquer qu'un site avait des failles
grave, mais en refusant, dans ce cas de divulguer l'identité du site
(voir les archives concernant les certs français)

Oui je me souviens d'un tel cas, mais j'ai aussi lu ça :


http://www.google.fr/groups?selm=pan.2003.05.19.13.24.36.887102.531%40nicob.net

Avez vous quelques notions de serveur web?
ce qu'indique ce post est un simple résultat d'un :
HEAD / HTTP/1.0 nn
C'est une information *publique* (netcraft en use par exemple pour son
survey) et qui plus est paramétrable (une ligne de commande dans httpd.conf
suffit pour ne plus afficher le détail).

Effectivement si vous considérez que ceci est de la divulgation de faille
nous n'avons pas les même notions.
En sécurité info ça correspond à quelque chose de non immédiatement
identifiable et connu, ce qui n'est certe pas le cas ici.

Et, une fois de plus, pour une société qui prétend bosser dans la sécu
(Tegam) ça la fout mal!

http://www.google.fr/groups?selm=pan.2003.11.07.21.51.17.262512%40nicob.net

La seule info vraiment gênante est celle qui permet de faire un DOS sur le
client (le poste de l'internaute qui exploite lui même le problème!).

Aucune info sur le DOS côté serveur (et celui qui sait le faire n'a pas
besoin du post de Nicob).

Puisque vous avez, à priori (me trompe-je?), les compétances pour faire le
tri, ce serait sympa de préciser tout ceci pour les newbies qui peuvent lire
votre post et croire que Nicob divulguent à tous des informations qui
seraient presque des secret d'état.

Perso je milite pour un mail aux responsables d'abord.

Généralement je pense que c'est préférable.
Si vous lisez bugtraq vous noterez cependant un début de polémique
concernant MS qui utiliserait ces infos pour faire de la pub pour la
sécurité de ses produit en mettant en avant le délai entre publication (et
non communication) de la faille et la sortie du patch. De quoi pousser
certains à publier directement la faille plutot que de s'adresser à une
boite qui va, in fine faire de l'argent (en communication) sur votre dos.

Quels devraient être les usages en la matière selon vous ?
(Vis à vis de la modération ici, mais aussi de façon générale)

Le simple respect de la charte suffit. Le modérateur n'a pas a juger
de la "qualité" du post, juste à décider si le posteur respecte où
non la charte. Il n'a en aucune manière vocation à être censeur.

Nous ne parlions pas uniquement ce forum - donc dans le cas général
votre avis ?

Dans le cas d'un forum modéré d'utiliser la charte (en laissant passer les
articles qu'on arrive pas vraiment à classer). Dans un forum non modéré la
question ne se pose pas.

Pour plus de précision je suis généralement pour une liberté totale
d'expression, sachant qu'en cas de propos en contravention avec la loi
l'auteur en est seul responsable. La volonté affichée de permettre à une
soit-disant victime de faire interdire le contenu d'un site sur simple
demande a des effet pervers (un "puissant" pourra se permettre d'abuser de
cette faculté, le "faible" n'ayant probablement pas les moyens de faire un
procès par la suite). Les jugements en référé ne sont pas fait pour les
chiens.

Eric

--
L'invulnérable :
Je ne pense pas etre piratable, infectable par un trojen oui!
Vu sur fcs un jour de mars 2004.

Olivier Aichelbaum wrote:

Eric Razny wrote:

Nous ne parlions pas uniquement ce forum - donc dans le cas général
votre avis ?

Une précision par rapport à mon autre post de réponse (s'il passe la
modération) :
Je suis pour la plus grande liberté d'expression à titre *personnel*.

La loi et les risques juridiques étant ce qu'ils sont il est évident que je
trouve normal, en l'état, que quelqu'un qui publie une faille et l'exploit
associé (un ver par exemple) ne passe pas la modération d'un forum français
à priori.

Par contre que son post soit débattu entre modérateurs, éventuellement
renvoyé à l'auteur en expliquant le problème, et peut être publié à la fin
(avec pourquoi pas un avertissement du posteur qui prend sur lui les
éventuelles conséquences juridiques) ne me pose pas de problème, au
contraire.

Eric

--
L'invulnérable :
Je ne pense pas etre piratable, infectable par un trojen oui!
Vu sur fcs un jour de mars 2004.

On Fri, 09 Apr 2004 15:08:23 +0000, Eric Razny wrote:

[snip les réflexions intelligentes sur la "dangerosité" de certaines
informations que j'ai dévoilé sur les newsgroups]

Les jugements en référé ne sont pas fait pour les chiens.

Je ne peux que être d'accord, surtout en ce moment ...
:)


Nicob

Eric Razny wrote:

Donc si on n'est pas juge, on n'a plus le droit de constater les
faits ?

Un fait : Nicob a diffusé en clair des éléments du produit.

Une supposition : ces éléments sont protégés par le droit d'auteur.

Ce n'est pas une supposition, c'est un fait : à partir du moment où
une base est créée, elle est de facto protégée par le droit d'auteur.
De même pour un texte, une musique ou un dessin, il n'y a pas besoin
de faire un dépôt devant un organisme pour celà. Le (c), le TM ou le
(r) qu'on voit parfois sont même inutiles.

Pour quelqu'un qui se qualifie de journaliste ce *manque de rigueur*
pourrait même se comprendre comme une désinformation volontaire.

Nuance : je ne me qualifie pas de journaliste, je suis journaliste
(fait confirmé par la carte de presse), vos propos pourraient être
intérprétés comme du dénigrement personnel et n'ont rien à faire
dans une discussion technique. Restons-en au débat svp.

Certes, mais il y a aussi les failles dans la protection contre la
copie des logiciels, la protection des secrets de fabrication face à
la concurrence, etc.

Puisqu'on est dans un forum consacré à la sécurité parlons en.

Quand une société propose un produit succeptible de sécuriser l'utilisateur
final et que :

- l'utilisation du produit est préconisée en créeant une "vraie" faille de
sécurité (arrêt du FW).
- ce produit n'est absolument pas protégé lui même

S'il y a des problèmes de sécurité vis à vis des utilisateurs, il faut
le dire, j'approuve, mais inutile de détourner l'attention de ce qu'a
republié Nicob sans autorisation. C'est deux choses distinctes.

Une décompilation n'a rien à voir avec ce qu'à fait Nicob et vous ne pouvez
l'ignorer (sinon ça correspondrait à un manque de connaissance/compétance du
domaine que vous prétendiez couvrir avec votre revue)

(je n'ai jamais dit qu'il a fait une décompilation, merci d'éviter les
attaques personnelles déplacées)

Oui je me souviens d'un tel cas, mais j'ai aussi lu ça :

http://www.google.fr/groups?selm=pan.2003.05.19.13.24.36.887102.531%40nicob.net

Avez vous quelques notions de serveur web?
ce qu'indique ce post est un simple résultat d'un :
HEAD / HTTP/1.0 nn
C'est une information *publique* (netcraft en use par exemple pour son
survey) et qui plus est paramétrable (une ligne de commande dans httpd.conf
suffit pour ne plus afficher le détail).
Effectivement si vous considérez que ceci est de la divulgation de faille
nous n'avons pas les même notions.
En sécurité info ça correspond à quelque chose de non immédiatement
identifiable et connu, ce qui n'est certe pas le cas ici.

Ce que je mets en évidence, c'est que Nicob disait que le webmaster
le découvrirait sur le forum.

Et, une fois de plus, pour une société qui prétend bosser dans la sécu
(Tegam) ça la fout mal!

Ce n'est pas elle qui s'occupait de l'hébergement du site.

http://www.google.fr/groups?selm=pan.2003.11.07.21.51.17.262512%40nicob.net

La seule info vraiment gênante est celle qui permet de faire un DOS sur le
client (le poste de l'internaute qui exploite lui même le problème!).

Aucune info sur le DOS côté serveur (et celui qui sait le faire n'a pas
besoin du post de Nicob).

Puisque vous avez, à priori (me trompe-je?), les compétances pour faire le
tri, ce serait sympa de préciser tout ceci pour les newbies qui peuvent lire
votre post et croire que Nicob divulguent à tous des informations qui
seraient presque des secret d'état.

Ce n'est pas le cas : j'ai aussi confirmé qu'il n'avait pas dévoilé
publiquement la faille d'un serveur du 1er Ministre.

M'est avis qu'il devrait au moins envoyer un mail en privé avant
systématiquement, cela ne coûte pas plus cher et cela limite les
affaires comme celle qu'il traverse.

Perso je milite pour un mail aux responsables d'abord.

Généralement je pense que c'est préférable.
Si vous lisez bugtraq vous noterez cependant un début de polémique
concernant MS qui utiliserait ces infos pour faire de la pub pour la
sécurité de ses produit en mettant en avant le délai entre publication (et
non communication) de la faille et la sortie du patch. De quoi pousser
certains à publier directement la faille plutot que de s'adresser à une
boite qui va, in fine faire de l'argent (en communication) sur votre dos.

Microsoft est un cas extrême.

--
Olivier Aichelbaum

On Fri, 09 Apr 2004 18:57:42 +0000, Olivier Aichelbaum wrote:

Ce que je mets en évidence, c'est que Nicob disait que le webmaster le
découvrirait sur le forum.

- j'étais sûr qu'ils lisaient le forum car ils avaient (moins de 3
heures avant) supprimé une page de leur site vers laquelle je venais de
donner un lien sur le forum
- l'information est tout ce qu'il y a de plus publique (cf. Netcraft)
- la présence de cette bannière ne présumant pas de la présence d'une
faille, cela consistait plutôt en un "clin d'oeil" envers leur webmaster
dont je *savais* qu'il lisait ce forum

Ce n'est pas elle qui s'occupait de l'hébergement du site.

Ils ont mis moins d'une heure pour modifier leur site, en tout cas.

Ce n'est pas le cas : j'ai aussi confirmé qu'il n'avait pas dévoilé
publiquement la faille d'un serveur du 1er Ministre.

Il faut savoir : tu me reproches de dévoiler des "simili-failles"
publiquement, puis tu me reproches de ne pas avoir dévoilé publiquement
une faille sur le site du Premier Ministre.

Si tu fais référence à celle à la faille à laquelle je pense, elle
concernait plusieurs sites gouvernementaux et ce sont effectivement les
services du 1er Ministre qui se sont chargés de la diffusion de l'info et
de la rédaction de l'advisory (non public) correspondant. Mais j'y vois
aucun problème ...


Nicob

Nicob wrote:

Ce n'est pas elle qui s'occupait de l'hébergement du site.

Ils ont mis moins d'une heure pour modifier leur site, en tout cas.

Ils auraient sans doute corrigé plus rapidement avec un mail.

Ce n'est pas le cas : j'ai aussi confirmé qu'il n'avait pas dévoilé
publiquement la faille d'un serveur du 1er Ministre.

Il faut savoir : tu me reproches de dévoiler des "simili-failles"
publiquement, puis tu me reproches de ne pas avoir dévoilé publiquement
une faille sur le site du Premier Ministre.

Je ne te reproche rien de tel, je te félicite au contraire cette
fois d'avoir prévenu un organisme chargé de ça.

Merci d'arrêter de me coller des propos qui ne sont pas les miens.

--
Olivier Aichelbaum

Olivier Aichelbaum wrote:

Eric Razny wrote:

Une supposition : ces éléments sont protégés par le droit d'auteur.

Ce n'est pas une supposition, c'est un fait : à partir du moment où
une base est créée, elle est de facto protégée par le droit d'auteur.
De même pour un texte, une musique ou un dessin, il n'y a pas besoin
de faire un dépôt devant un organisme pour celà. Le (c), le TM ou le
(r) qu'on voit parfois sont même inutiles.

C'est la notion même de base et de création qui est sujette à caution ici.
De *mon* côté j'y vois la simple compilation d'information publique sans
ajout d'autre information (le formatage, à la rigueur) destiné à alimenter
un programme. D'autres y verront la création d'une oeuvre ex nihilo. Ca n'a
rien à voir avec un texte (du type d'un article par exemple) ou un dessin.

La décision éventuelle (création ou pas) et au final l'existance de droit
d'auteur appartient donc à un juge et je maintiens donc mon commentaire.

Pour quelqu'un qui se qualifie de journaliste ce *manque de rigueur*
pourrait même se comprendre comme une désinformation volontaire.

Nuance : je ne me qualifie pas de journaliste, je suis journaliste
(fait confirmé par la carte de presse), vos propos pourraient être
intérprétés comme du dénigrement personnel et n'ont rien à faire
dans une discussion technique. Restons-en au débat svp.

Que vous soyez journaliste en informatique ou développeur peu m'importe. En
toute *rigueur* et n'ayant pas accès à votre carte ou à une base des
journalistes je ne peux que constater que vous vous qualifiez (dans d'autre
forum et maintenant ici même) de journaliste. Si vous voyez en cette
assertion un dénigrement je ne peux que supposez que vous avez quelques
problèmes avec le français. Sur ce point restons-en effectivement la.

Je reformule donc ma remarque sous la forme : "pour une personne ayant des
connaissances sur le problème..."


[Snap : amha rien de nouveau]

Ce que je mets en évidence, c'est que Nicob disait que le webmaster
le découvrirait sur le forum.

Non, je ne suis pas d'accord. Votre phrase était écrite dans un contexte
donné et laissait, à mon avis, penser que Nicob publiait à d'autres reprises
(voire régulièrement?) des informations confidentielles sur des forums
publics.

Et, une fois de plus, pour une société qui prétend bosser dans la
sécu (Tegam) ça la fout mal!

Ce n'est pas elle qui s'occupait de l'hébergement du site.

Retour sur la sécurité (et heureusement que ce n'est pas un responsable de
Tegam qui écrit ça!) :

selon vous serait-il normal qu'une entreprise de produit de sécurité qui
fait appel à des prestations tierces ne soit pas concernée par les problèmes
de sécurité de ses prestataires qui, au passage, peuvent fortement atteindre
son image? (un defacement du site serait du meilleur effet!) Pire puisque le
site propose le téléchargement de programme et la désactivation d'AV au
passage bonjour les dégâts
*chez les clients*!!!!

Ce n'est pas mon opinion. J'aimerais d'ailleurs que vous précisiez la votre
sur ce point (en partant du fait que la société qui commande les prestations
est créatrice de produits de sécurité informatique bien sur!).

Ce n'est pas le cas : j'ai aussi confirmé qu'il n'avait pas dévoilé
publiquement la faille d'un serveur du 1er Ministre.

Ce qui montre, si besoin est, un sens certain des responsabilités. On est au
moins d'accord sur ce point semble-t-il :)

M'est avis qu'il devrait au moins envoyer un mail en privé avant
systématiquement, cela ne coûte pas plus cher et cela limite les
affaires comme celle qu'il traverse.

Je ne suis pas, pour le cas qui nous interresse, de cet avis et donc encore
moins pour rendre la chose systématique.
Le propre d'un avis d'ailleurs est que le point de vue qu'il exprime est
sujet, généralement, à interprétation ou se base sur des interprétations de
faits. Un fait lui même ne demande pas un avis :)
Si une solution (communication ou pas) était évidente elle s'imposerait à
tous (sauf les inévitables irréductibles qui font tant de bien au système en
fait).

Pour être plus précis je suis pour la communication préalable avec attente
de patch dans le cas où la publication d'un problème conduit
vraisemblablement à la création rapide d'exploits dommageables pour les
clients sans laisser à la société le temps de patcher *et* de diffuser le
patch[1]. On est loin d'être dans ce cas ici.

Microsoft est un cas extrême.

Qui représente pourtant une part très significative des cas dont on parle
ici!
Ca ne veut pas dire pour autant que l'extrème est la règle!

Enfin, ainsi que l'a fait remarquer un posteur ici même, je trouve gonflé
pour une société de se plaindre d'un comportement qui correspond à son gagne
pain : observer ce que font les autres applications! (et décider de ce qui
est "bien" et "mal").

Eric

[1] et si au bout d'un temps assez long la faille n'est pas patchée il me
parait raisonnable de prévenir tout le monde pour :
a) permettre aux clients d'arrêter d'utiliser un soft qui les mettra tôt ou
tard en danger.
b) montrer que l'éditeur ne fait pas son job
Enfin je suis pour une publication rapide si un workaround existe

--
L'invulnérable :
Je ne pense pas etre piratable, infectable par un trojen oui!
Vu sur fcs un jour de mars 2004.

OoO Pendant le journal télévisé du vendredi 09 avril 2004, vers 20:57,
Olivier Aichelbaum <acbm@NOSPAM.acbm.com> disait:

Ce n'est pas une supposition, c'est un fait : à partir du moment où
une base est créée, elle est de facto protégée par le droit d'auteur.
De même pour un texte, une musique ou un dessin, il n'y a pas besoin
de faire un dépôt devant un organisme pour celà. Le (c), le TM ou le
(r) qu'on voit parfois sont même inutiles.

Le TM et le (r) n'ont absolument rien à voir avec le droit d'auteur.
--
printk("Penguin %d is stuck in the bottle.n", i);
2.0.38 /usr/src/linux/arch/sparc/kernel/smp.c