OVH Cloud OVH Cloud

URL privée ouverte à tous les vents

34 réponses
Avatar
User Sarge
Bonjour,

Suite à une faute de copié/collé d'une url,
"http://aaa.bbb.ccc/repertoire/fichier.zip", dans un nouvel onglet de
mon Firefox, je me suis retrouvé bien involontairement à cette adresse :

http://aaa.bbb.ccc ( il manque toute la fin de l'url )

A cet endroit, on peut accéder à des dossiers contenant des informations
privées, ( photos de personnes, qui je suppose, sont proches du
concepteur du site ). Est-ce que j'ai commis un acte illégal ? si ce
n'est pas le cas, j'ai l'intention de prévenir le propriétaire du site
afin qu'il le vérouille, sinon je lui dis rien ! il y a trop d'exemples
où des personnes non mal intentionnées, ( c'est mon cas ), se sont
retrouvées enquiquinées pour avoir voulu prévenir des personnes, ou des
organismes privés ou publics, qu'ils avaient des failles chez eux :-(

Vous feriez quoi à ma place SVP ?

Cordialement

10 réponses

1 2 3 4
Avatar
oragoun_b
Spyou a écrit :

djehuti a écrit :



un navigateur ne fait qu'afficher les "pages" disponibles
c'est au webmaster de sécuriser son bouzin s'il veut cacher des choses





Un script de buffer overflow ne fait qu'exploiter une erreur notoire
d'un programmeur.



La différence, c'est qu'un navigateur standard est utilisé de façon
courante par l'internaute lambda, c'est le moyen "normal" d'acceder à
Internet.

Pour la bonne bouche, citation d'un arret d'appel :

"Considérant que, comme l'appelant le soutient à bon droit dans ses
réquisitions écrites d'appel aux fins de relaxe, il ne peut être
reproché à un internaute d'accéder aux, ou de se maintenir dans les
parties des sites qui peuvent être atteintes par la simple utilisation
d'un logiciel grand public de navigation, ces parties de site, qui ne
font par définition l'objet d'aucune protection de la part de
l'exploitant du site ou de son prestataire de services, devant être
réputées non confidentielles à défaut de toute indication contraire
et de tout obstacle à l'accès; que même s'agissant de données
nominatives, l'internaute y accédant dans de telles conditions ne peut
inférer de leur seule nature qu'elles ne sont pas publiées avec
l'accord des intéressés, et ne peut dès lors être considéré com me
ayant accédé ou s'étant maintenu frauduleusement dans cette partie
du système automatisé de traitement de données, la détermination du
caractère confidentiel (en l'espèce non discuté mais qui n'a donné
lieu à aucune utilisation en pratique préjudiciable) et des mesures
nécessaires à l'indication et à la protection de cette
confidentialité relevant de l'initiative de l'exploitant du site ou de
son mandataire; que dès lors les accès et maintien d'Xxx YYYY dans
des parties nominatives du site ZZZZ ne peuvent être qualifiés de
frauduleux, et qu'il convient de déclarer le prévenu non coupable des
faits qui lui sont reprochés et de le renvoyer des fins de la
poursuite;"


En plus, si ce sont des informations nominatives, il est de la
responsabilité du webmestre de sécuriser ces données. Si il y a
accès, le webmestre est aussi fautif... C'est dit là :

"Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux
fichiers et aux libertés
Article 29

Toute personne ordonnant ou effectuant un traitement d'informations
nominatives s'engage de ce fait, vis-à-vis des personnes concernées,
à prendre toutes précautions utiles afin de préserver la sécurité
des informations et notamment d'empêcher qu'elles ne soient
déformées, endommagées ou communiquées à des tiers non
autorisés."

Donc quand tu parle de l'exploitation d'un buffer overflow, tu n'as pas
complètement tord, si ce n'est pas un 0day mais une faille connue et
patchable la responsabilité est double. D'un coté l'introduction et
le maintien frauduleux pour le hacker, de l'autre la non-sécurisation
des données pour le webmestre si c'est une faille du code du site ou
pour le prestataire si c'est une faille serveur. Un partout la balle au
centre...

Donc User Sarge est tranquille (en théorie). Maintenant, se taper un
procès, même si on le gagne, ce n'est jamais agréable. Donc on aura
tendance à ne pas se faire remarquer et à ne rien dire, les failles
resteront et seront exploitées par d'autres personnes nettement bien
moins intentionnées qui feront les dégats qu'elles veulent. Ce que
n'ont (apparement) pas compris les entreprises qui attaquent en justice
les personnes leur signalant des failles...

cordialement

oragoun
Avatar
Moisse
"oragoun_b" a écrit dans le message de news:

Spyou a écrit :

djehuti a écrit :




|coupe: arrêt TATI]

En plus, si ce sont des informations nominatives, il est de la
responsabilité du webmestre de sécuriser ces données. Si il y a
accès, le webmestre est aussi fautif... C'est dit là :

"Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux
fichiers et aux libertés
Article 29

Toute personne ordonnant ou effectuant un traitement d'informations
nominatives s'engage de ce fait, vis-à-vis des personnes concernées,
à prendre toutes précautions utiles afin de préserver la sécurité
des informations et notamment d'empêcher qu'elles ne soient
déformées, endommagées ou communiquées à des tiers non
autorisés."

======= Il s'agit de l'article 34.
Mais d'un côté nous avons affaire à la justice pénale, en ce sens que la
seule intrusion frauduleuse est constitutive de l'infraction, tandis que de
l'autre nous restons dans le domaine de la responsabilité civile.
Ce n'est pas la même chose.
A+
--
Moisse
Nospam : sans doute

Avatar
oragoun_b
Moisse a écrit :

Il s'agit de l'article 34.



En effet, depuis la révision d'aout 2004. Désolé.

Mais d'un côté nous avons affaire à la justice pénale, en ce sens que la
seule intrusion frauduleuse est constitutive de l'infraction, tandis que de
l'autre nous restons dans le domaine de la responsabilité civile.
Ce n'est pas la même chose.



Je suis d'accord, une infraction pénale pour le hack, une
responsabilité civile pour la protection des données. Mais User Sarge
se demandait quel risque il courrait à prévenir le gestionnaire du
site de la "faille", sans différenciation civil/pénal si j'ai bien
compris. Il me semblait donc interessant d'ajouter cette remarque, afin
de montrer que, nul ne pouvant se prévaloir de ses propres turpitudes,
le gestionnaire/responsable d'un site ne peut etre exonéré de ses
responsabilités, ce que cherchent à faire croire actuellement
diverses entreprises.

cordialement

oragoun
Avatar
Kupee
Spyou wrote:
Une porte a pour vocation de laisser entrer/sortir des gens :)



Ben une page web pour moi c'est pas une porte. Une porte ca serait un
bouton ou un lien "entrer là". Ya t'il eu des jugements pour décider si
un site web est un lieu privé ? Ca m'étonnerait bien je pense que la
norme serait plutot que tout site web est public sauf si on dit
explicitement le contraire.
Avatar
Spyou
Kupee a écrit :
Spyou wrote:

Une porte a pour vocation de laisser entrer/sortir des gens :)




Ben une page web pour moi c'est pas une porte. Une porte ca serait un
bouton ou un lien "entrer là". Ya t'il eu des jugements pour décider si
un site web est un lieu privé ? Ca m'étonnerait bien je pense que la
norme serait plutot que tout site web est public sauf si on dit
explicitement le contraire.



C'est un lieu privé ouvert au public. La meme différence qui existe
entre un hall de gare qui est un *lieu public* et un bistrot qui est un
lieu *privé* *ouvert au public*

Ceci dit, OK, j'ai poussé un peu le bouchon :)
Avatar
at.choum
"Gerard Menvussa" a écrit > at.choum a écrit :
"Spyou" a écrit dans le message de news:
JustMe a écrit :
la ca serait plutot : "j'ai regardé par la porte qui était grande
ouverte"


Argumentation difficile a tenir si on se trouve en plein milieu du salon
("et puis j'ai cliqué sur une photo pour voir si c'etait pas
comprometant,
par hasard") :)







Ce n'est pas parce que on liste des repertoires que l'acces deviens privé
ou
qu'il y a un probleme de securité.


Tu veux dire que j'ai rien piraté du tout là?

http://www.kernel.org/pub/linux/

;o)



Tu risque gros avec cet exemple car tu mets en lumiere une faille du systeme
Linux.

;o)
Avatar
at.choum
"Spyou" a écrit dans le message de news:
4395df7e$0$9252$
Kupee a écrit :
Spyou wrote:

Une porte a pour vocation de laisser entrer/sortir des gens :)




Ben une page web pour moi c'est pas une porte. Une porte ca serait un
bouton ou un lien "entrer là". Ya t'il eu des jugements pour décider si
un site web est un lieu privé ? Ca m'étonnerait bien je pense que la
norme serait plutot que tout site web est public sauf si on dit
explicitement le contraire.



C'est un lieu privé ouvert au public.



Donc c'est interdit de fumer.
Avatar
Spyou
at.choum a écrit :

C'est un lieu privé ouvert au public.



Donc c'est interdit de fumer.



Dans la pure théorie, oui.

Dans la pure théorie, il est aussi interdit de se promener en groupe,
sur la voie publique, a plus de 5 personne de familles différentes sans
autorisation de la préfecture de police (pour Paris, du moins)
Avatar
oderf obel
Bonjour,

C'est un lieu privé ouvert au public. La meme différence qui existe
entre un hall de gare qui est un *lieu public* et un bistrot qui est un
lieu *privé* *ouvert au public*



Heu... un hall de gare est un lieu privé ouvert au public.
Il a ses horaires d'ouvertures et son réglement propre.

--
Oderf Obel
Avatar
Spyou
oderf obel a écrit :
Heu... un hall de gare est un lieu privé ouvert au public.
Il a ses horaires d'ouvertures et son réglement propre.



Privé, apartenant a une entreprise détenue a 100% par l'etat .. donc
public :)
1 2 3 4