OVH Cloud OVH Cloud

unix - fichiers prives et utilisation de find / locate

23 réponses
Avatar
Vincent Hiribarren
Bonjour,

le probleme que j'ai n'est pas vraiment en relation avec internet,
mais avec l'utilisation que l'on fait de la commande unix locate. Je
pense que c'est ici l'endroit le plus pertinent pour les problemes de
droits et d'informatique, sinon pourriez-vous me dire ou je dois poser
ma question ?

je fais plus ou moins partie d'un groupe d'etudiants qui gere sur un
reseau d'une ecole des programmes pour les etudiants.

Or, nous gerons aussi la commande "locate" et sa base de donnees,
"find" etant gere par les administrateurs systemes du reseau.

Dernierement, un administrateur systeme nous a contacte pour nous
demander d'enlever l'acces a la commande "locate" car d'apres lui,
cela va a l'encontre des libertes personnelles.

Je ne sais pas si par la il a voulu parler de la base de donnees
associee a locate, ou tout simplement l'outil qui permet de faire des
recherches sur les donnees des autres.

Locate pose-t-il vraiment un probleme legal ?
Si oui que faudrait-il faire pour remedier a ca ?
Find n'est-t-il pas autant "illegal" si "locate" l'est ?

Un grand merci pour vos reponses qui nous permettra de savoir quoi
faire, locate nous etant quand meme assez utile a tous et bien plus
rapide que find...

10 réponses

1 2 3
Avatar
Vincent Hiribarren
"Luc D.B." writes:

Il faudrait que chaque utilisateur lance son propre updatedb pour
créer sa propre pbase "locate"....



Mais pourquoi ?
Le fait qu'un repertoire soit autorise par tous en lecture n'est-il
pas suffisant pour considerer avoir l'autorisation de l'indexer ?
Avatar
Luc D.B.
Vincent Hiribarren wrote:

"Luc D.B." writes:


Il faudrait que chaque utilisateur lance son propre updatedb pour
créer sa propre pbase "locate"....




Mais pourquoi ?
Le fait qu'un repertoire soit autorise par tous en lecture n'est-il
pas suffisant pour considerer avoir l'autorisation de l'indexer ?




Ok si "updatedb" tourne en nobody ou equivalent. Souvent c'est root...

Mais de ttes manières vous constitiez une base de données contenant des
information nominatives sans le consentement explicite des personnes
concernées...

gloups
Avatar
Valmon de Almeida
Le 03/10/2003 16:42, Laurent Wacrenier a écrit:
Valmon de Almeida écrit:
Locate utilise une base de données générée par un exécutable (updatedb)
tournant avec les droits root.



Si c'est le cas chez vous, c'est une erreur de configuration.
% ls -l /var/db/locate.database
-r--r--r-- 1 nobody wheel 3709230 27 sep 04:15 /var/db/locate.databa se



Ca m'apprendra à parler trop vite...

Effectivement updatedb est lancé par un compte anonyme et n'inclut donc
pas les répertoires auquel ce compte n'a pas accès.

Il me semble avoir déjà rencontré un problème similaire, peut-ê tre du à
un lancement manuel de updatedb par un admin.

Le base est indexée depuis un compte anonyme, si ce compte peut avoir
la liste des fichier, c'est que l'utilisateur a laissé ce droit.



Je m'interroge sur le point suivant:

D'un point de vue légal, est-ce que l'utilisateur doit "laisser" ce
droit ou "donner" ce droit, c'est à dire: lors de la création du
répertoire utilisateur, l'administrateur ne doit-il pas restreindre
l'accés à ce seul utilisateur ?
Avatar
Vincent Hiribarren
"Luc D.B." writes:

Mais de ttes manières vous constitiez une base de données contenant
des information nominatives sans le consentement explicite des
personnes concernées...



Bon, donc ce serait le gros probleme.
Le droit n'est pas du tout ma branche, aussi pardon pour les betises
que je vais dire.

Deja que sont vraiment des informations nominatives ?
La en soit on ne fait que reproduire une arborescence de fichiers, qui
n'est meme pas en soit classe par personne. C'est un cache, illisible
directement et qui n'est meme pas fait pour constituer des donnees
nominatives.

Ensuite le fait que les utilisateurs donnent des droits publics
dans leurs comptes (rx au repertoires, r aux fichiers) n'est-il pas en
soit une autorisation implicite (voire meme explicite !) pour
l'indexage ?
Avatar
Valmon de Almeida
Le 03/10/2003 17:25, Vincent Hiribarren a écrit:

Ensuite le fait que les utilisateurs donnent des droits publics
dans leurs comptes (rx au repertoires, r aux fichiers) n'est-il pas en
soit une autorisation implicite (voire meme explicite !) pour
l'indexage ?



Comme vous, les concepts de droit en informatique m'échappent un peu.

Lorsque j'ai posé la question à un ami qui est plus dans la branche i l
m'a répondu ainsi :

"le fait de ne pas avoir de stores à tes fenêtres n'autorise pas pour
autant un passant à s'arrêter pour regarder ce que tu fais chez toi"

ou encore

"si tu ne ferme pas ta porte à clef, ça ne veut pas dire que tu autor ise
tout le monde à rentrer et à se servir"


Il semble que les lois régissant le secteur informatique fonctionnent
sur ce type de principes ... Si quelqu'un a des explications plus
précises, je suis preneur.
Avatar
Vincent Hiribarren
Valmon de Almeida writes:

> Ensuite le fait que les utilisateurs donnent des droits publics
> dans leurs comptes (rx au repertoires, r aux fichiers) n'est-il pas en
> soit une autorisation implicite (voire meme explicite !) pour
> l'indexage ?

Comme vous, les concepts de droit en informatique m'échappent un peu.

Lorsque j'ai posé la question à un ami qui est plus dans la branche il
m'a répondu ainsi :

"le fait de ne pas avoir de stores à tes fenêtres n'autorise pas pour
autant un passant à s'arrêter pour regarder ce que tu fais chez toi"



Oui mais non.
Si par exemple je me place dans le contexte d'Internet, je suis tout a
fait d'accord que ce n'est pas parce que j'arrive a trouver un serveur
qui a des failles de config ou autre que j'ai le droit de me mettre a
l'utiliser.

Mais la il s'agit d'un contexte de reseau local, tous les utilisateurs
peuvent acceder aux repertoires des autres avec la bete commande
cd ~identifiant
Et on le fait tous les jours !
Tout le monde le fait frequemment lors de la recherche d'informations.
Avatar
Luc D.B.
Vincent Hiribarren wrote:

"Luc D.B." writes:


Mais de ttes manières vous constitiez une base de données contenant
des information nominatives sans le consentement explicite des
personnes concernées...




Bon, donc ce serait le gros probleme.
Le droit n'est pas du tout ma branche, aussi pardon pour les betises
que je vais dire.

Deja que sont vraiment des informations nominatives ?




a regarder au cas par cas... Mais si on trouve des /users/dupont/xxx
cela le devient !


La en soit on ne fait que reproduire une arborescence de fichiers, qui
n'est meme pas en soit classe par personne. C'est un cache, illisible
directement et qui n'est meme pas fait pour constituer des donnees
nominatives.




Le fait que la base soit lisible facilement ou non n'entre pas en ligne
de compte. De toute facon faites un "locate /" et admirez :-)))



Ensuite le fait que les utilisateurs donnent des droits publics
dans leurs comptes (rx au repertoires, r aux fichiers) n'est-il pas en
soit une autorisation implicite (voire meme explicite !) pour
l'indexage ?





non
Avatar
Luc D.B.
Vincent Hiribarren wrote:


Mais la il s'agit d'un contexte de reseau local, tous les utilisateurs
peuvent acceder aux repertoires des autres avec la bete commande
cd ~identifiant
Et on le fait tous les jours !




ce n'est pas une raison...


Tout le monde le fait frequemment lors de la recherche d'informations.




sans constituer de base de données....
Avatar
Bertrand Masius
Bonjour,

Le 03 Oct 2003 17:25:46 +0200, Vincent Hiribarren a
écrit :

"Luc D.B." writes:

Mais de ttes manières vous constitiez une base de données contenant
des information nominatives sans le consentement explicite des
personnes concernées...



Bon, donc ce serait le gros probleme.
Le droit n'est pas du tout ma branche, aussi pardon pour les betises
que je vais dire.

Deja que sont vraiment des informations nominatives ?
La en soit on ne fait que reproduire une arborescence de fichiers, qui
n'est meme pas en soit classe par personne. C'est un cache, illisible
directement et qui n'est meme pas fait pour constituer des donnees
nominatives.



Extrait de loi n° 78-17 du 6 janvier 1978 dite "Informatique et Liberté"
**************************************************************************
Article 4

Sont réputées nominatives au sens de la présente loi les informations
qui permettent, sous quelque forme que ce soit, directement ou non,
l'identification des personnes physiques auxquelles elles s'appliquent,
que le traitement soit effectué par une personne physique ou par une
personne morale.

**************************************************************************

Ce sont des informations nominatives puisque on recense les fichiers
contenus dans les repertoires personnels, en y joignant le nom du
propriétaire.
A partir d'un fichier, on peut remonter au propriétaire physique. Ce
sont donc des informations personnelles au sens de la loi.(Telle
personne possède tels fichiers")

**************************************************************************
Article 27

Les personnes auprès desquelles sont recueillies des informations
nominatives doivent être informées :

- du caractère obligatoire ou facultatif des réponses ;

- des conséquences à leur égard d'un défaut de réponse ;

- des personnes physiques ou morales destinataires des informations ;

- de l'existence d'un droit d'accès et de rectification.


Lorsque de telles informations sont recueillies par voie de
questionnaires, ceux-ci doivent porter mention de ces prescriptions.

Ces dispositions ne s'appliquent pas à la collecte des informations
nécessaires à la constatation des infractions.

*************************************************************************

Informer les personnes. Pas "implicitement"...


Ensuite le fait que les utilisateurs donnent des droits publics
dans leurs comptes (rx au repertoires, r aux fichiers) n'est-il pas en
soit une autorisation implicite (voire meme explicite !) pour
l'indexage ?



************************************************************************

Article 29

Toute personne ordonnant ou effectuant un traitement d'informations
nominatives s'engage de ce fait, vis-à-vis des personnes concernées, à
prendre toutes précautions utiles afin de préserver la sécurité des
informations et notamment d'empêcher qu'elles ne soient déformées,
endommagées ou communiquées à des tiers non autorisés.

************************************************************************

Pour être bien clair vis-à-vis de la loi, il vaut mieux être explicite
sur le sujet. Une note générale rappelant ceci et donnant le choix entre
mettre son répertoire en lecture pour tout le monde, y compris locate,
ou le rendre inaccessible devrait être envoyée à tout le monde, qui sera
informé qu'une base de données 'locate' est constituée avec les
informations qu'ils auront mis à disposition *en toute connaissance de
cause*.

source :
http://www.legifrance.gouv.fr/WAspad/Visu?cid636&indice%&table=CONSOLIDE&ligneDeb!

C'est tout. Bien à vous.

--
"Ce que l'on conçoit bien s'énonce clairement,
Et les mots pour le dire arrivent aisément."

(Nicolas Boileau, l'Art poétique)
Avatar
Laurent Wacrenier
Luc D.B. écrit:

Ok si "updatedb" tourne en nobody ou equivalent. Souvent c'est root...



En général, non.

Mais de ttes manières vous constitiez une base de données contenant des
information nominatives sans le consentement explicite des personnes
concernées...




Et en quoi est-ce illégal ?
1 2 3