PROJET AUTOBLOG


☠ Bluetouff's blog

Site original : ☠ Bluetouff's blog
⇐ retour index

Du délit de maintien dans un espace public

lundi 10 février 2014 à 14:00

Capture d’écran 2014-02-10 à 13.29.14Je commence à me faire à ma vie toute neuve de cybercriminel. Il faut bien comprendre que tout ça est arrivé très vite 😉
Je voulais simplement aujourd’hui faire la lumière sur les détails techniques qui ont conduit la cour d’appel à me condamner sur la notion de maintient dans un STAD.

Le répertoire de documents était sur l’url https://extranet.anses.fr/Docs En remontant l’arborescence, à la racine de l’extranet et surtout, de l’application web qui constitue le système d’information, on trouve une autentification, comme sur des millions de sites web parfaitement publics, ce n’est pas parce qu’on a une authentification en un point d’une arborescence que tout ce qui se trouve en dessous dans cette arborescence est privé, l’usage démontre le contraire. Mais j’insiste sur le terme application que j’oppose à un répertoire /Doc servi de manière brute par le serveur web Apache, sans aucune mise en forme. Si ce n’est pas fait, pour bien comprendre tout le contexte, vous pouvez vous référer à ce billet (sa lecture est souhaitable pour appréhender la suite).

Les faits :

Pour tous les fans de l’analogie de la maison de la porte et de la serrure, comprenez svp cette maison n’avait aucun mur, aucune porte ou fenêtre, pas de boite à lettres, ni même panneau “propriété privée” !

Comment irais-je tirer la conclusion que ces documents ne sont pas placés ici pour un partage volontaire au public ? Non seulement, contrairement à ce qui a été affirmé par la cour d’appel, ce répertoire est bien public et accessible au monde entier, mais en plus de ça, rien n’indique qu’ils n’ont pas à l’être. On ajoutera que le répertoire était en plus hors de gestion du système de gestion de contenus et donc des permissions naturelles de ce dernier. Pourquoi l’avoir placé ici, en dehors l’application d’extranet qui demande une authentification, sur un espace bien public et sans authentification si ce n’est pas volontaire ?

Certes, le simple rappel des faits montre que l’intéressé a d’abord bénéficié d’une faille de sécurité, qui permettait d’accéder à des espaces conçus comme confidentiels.” peut -on lire chez Libertécherie qui transcrit bien ce que me reproche la cour d’appel, sauf que… c’est factuellement faux, mais le mot est lâché : FAILLE.

J’ai fais ce que tout internaute fait sans y prêter attention chaque jour quand il surf sur des pages web. J’ai posé à un moteur de recherche une question, il m’a répondu sous forme de liens, j’ai cliqué sur un lien, le serveur m’a répondu ok voici le document. Nous allons revenir tout de suite à cette histoire de faille imaginaire.

Le mot “extranet” lui même ne qualifie pas un espace privé, il qualifie en pratique un espace de travail collaboratif,sur lequel, grâce au bon outil, on contrôle la diffusion de l’information. Le répertoire /Doc n’était manifestement pas géré par la logique du système de gestion de contenu, donc le système d’information soumis à restrictions. Il était bien publiquement partagé, hors de l’application du SI de l’extranet de l’ANSES, par un accès standard Apache qui rappelons le est une FONCTIONNALITE PAR DEFAUT de ce logiciel, sa raison d’être… et aucunement une FAILLE. Si faille il y a eu, c’est une faille humaine, et non une faille logicielle.

Concernant la nature confidentielle des documents, elle est infirmé par l’ANSES elle-même. On trouve toujours certains en ligne chez Google Docs publiés par les auteurs eux mêmes, l’ANSES a bien expliqué dans un PV que ces documents ne sont pas confidentiels. Ici c’est intéressant car la cour s’obstine à donner une importance capitale à ces documents. Si on peut comprendre la vision fantasmée que la cour peut se faire d’Internet, la vision fantasmée des travaux de recherche publique de l’ANSES, ça me semble un peu plus curieux… je trouve ça limite anxiogène.

Comment la cour en arrive t-elle à la conclusion “évidente” que cette fonctionnalité est une faille ?

il est remonté jusqu’à la racine du site pour finalement constater que pour redescendre dans les répertoires intéressants il était nécessaire de disposer d’un login et d’un mot de passe“. Peut-on lire chez Presse-Citron.

Remonter à la page d’accueil d’un site ou d’une application web… l’exploitation d’une faille ?
La cour d’appel a jugé mon intention de me maintenir dans un espace public ! C’est une première en France et probablement en Europe. En me déclarant coupable d’un délit d’intention que l’analyse des faits infirme totalement, mais en m’opposant une citation issue des PV hors de tout contexte où je confirme avoir vu une authentification à la racine du site. Oui je n’ai jamais nié qu’il y avait une authentification à la racine du site, ce que je réfute totalement, c’est la déduction que cette authentification devait forcément s’appliquer à un répertoire du serveur web ne contenant aucun fichier système, aucun document confidentiel, aucune donnée personnelle, d’une agence publique sur des questions de santé publique… Sérieusement ?

Sur le maintien frauduleux, la cour retient qu’entendu au cours de la garde à vue, Bluetouff a reconnu s’être baladé dans l’arborescence des répertoires en remontant jusqu’à la page d’accueil, où il a constaté la présence d’une authentification par login / mot de passe. Fatalitas.peut on lire chez Maitre-Eolas qui constate à juste titre le raisonnement de la cour, une fois qu’elle eu évacué toute considération de réalité technique.

Merci à tous pour toutes vos réactions.

Source : https://bluetouff.com/2014/02/10/du-delit-de-maintien-dans-un-espace-public/


Du délit de maintien dans un espace public

lundi 10 février 2014 à 14:00

Capture d’écran 2014-02-10 à 13.29.14Je commence à me faire à ma vie toute neuve de cybercriminel. Il faut bien comprendre que tout ça est arrivé très vite 😉
Je voulais simplement aujourd’hui faire la lumière sur les détails techniques qui ont conduit la cour d’appel à me condamner sur la notion de maintient dans un STAD.

Le répertoire de documents était sur l’url https://extranet.anses.fr/Docs En remontant l’arborescence, à la racine de l’extranet et surtout, de l’application web qui constitue le système d’information, on trouve une autentification, comme sur des millions de sites web parfaitement publics, ce n’est pas parce qu’on a une authentification en un point d’une arborescence que tout ce qui se trouve en dessous dans cette arborescence est privé, l’usage démontre le contraire. Mais j’insiste sur le terme application que j’oppose à un répertoire /Doc servi de manière brute par le serveur web Apache, sans aucune mise en forme. Si ce n’est pas fait, pour bien comprendre tout le contexte, vous pouvez vous référer à ce billet (sa lecture est souhaitable pour appréhender la suite).

Les faits :

Pour tous les fans de l’analogie de la maison de la porte et de la serrure, comprenez svp cette maison n’avait aucun mur, aucune porte ou fenêtre, pas de boite à lettres, ni même panneau “propriété privée” !

Comment irais-je tirer la conclusion que ces documents ne sont pas placés ici pour un partage volontaire au public ? Non seulement, contrairement à ce qui a été affirmé par la cour d’appel, ce répertoire est bien public et accessible au monde entier, mais en plus de ça, rien n’indique qu’ils n’ont pas à l’être. On ajoutera que le répertoire était en plus hors de gestion du système de gestion de contenus et donc des permissions naturelles de ce dernier. Pourquoi l’avoir placé ici, en dehors l’application d’extranet qui demande une authentification, sur un espace bien public et sans authentification si ce n’est pas volontaire ?

Certes, le simple rappel des faits montre que l’intéressé a d’abord bénéficié d’une faille de sécurité, qui permettait d’accéder à des espaces conçus comme confidentiels.” peut -on lire chez Libertécherie qui transcrit bien ce que me reproche la cour d’appel, sauf que… c’est factuellement faux, mais le mot est lâché : FAILLE.

J’ai fais ce que tout internaute fait sans y prêter attention chaque jour quand il surf sur des pages web. J’ai posé à un moteur de recherche une question, il m’a répondu sous forme de liens, j’ai cliqué sur un lien, le serveur m’a répondu ok voici le document. Nous allons revenir tout de suite à cette histoire de faille imaginaire.

Le mot “extranet” lui même ne qualifie pas un espace privé, il qualifie en pratique un espace de travail collaboratif, sur lequel, grâce au bon outil, on contrôle la diffusion de l’information. Le répertoire /Doc n’était manifestement pas géré par la logique du système de gestion de contenu, donc le système d’information soumis à restrictions. Il était bien publiquement partagé, hors de l’application du SI de l’extranet de l’ANSES, par un accès standard Apache qui rappelons le est une FONCTIONNALITE PAR DEFAUT de ce logiciel, sa raison d’être… et aucunement une FAILLE. Si faille il y a eu, c’est une faille humaine, et non une faille logicielle.

Concernant la nature confidentielle des documents, elle est infirmée par l’ANSES elle-même. On trouve toujours certains de ces documents en ligne sur Google Docs publiés par les auteurs eux mêmes, l’ANSES a bien expliqué dans un PV que ces documents ne sont pas confidentiels. C’est ici  intéressant car la cour s’obstine à donner une importance capitale à ces documents. Si on peut comprendre la vision fantasmée que la cour peut se faire d’Internet, la vision fantasmée des travaux de recherche publique de l’ANSES, me semble un peu plus curieuse… je trouve ça limite anxiogène.

Comment la cour en arrive t-elle à la conclusion “évidente” que cette fonctionnalité est une faille ?

il est remonté jusqu’à la racine du site pour finalement constater que pour redescendre dans les répertoires intéressants il était nécessaire de disposer d’un login et d’un mot de passe“. Peut-on lire chez Presse-Citron.

Remonter à la page d’accueil d’un site ou d’une application web… l’exploitation d’une faille ?
La cour d’appel a jugé mon intention de me maintenir dans un espace public ! C’est une première en France et probablement en Europe. En me déclarant coupable d’un délit d’intention que l’analyse des faits infirme totalement, mais en m’opposant une citation issue des PV hors de tout contexte où je confirme avoir vu une authentification à la racine du site. Oui je n’ai jamais nié qu’il y avait une authentification à la racine du site, ce que je réfute totalement, c’est la déduction que cette authentification devait forcément s’appliquer à un répertoire du serveur web ne contenant aucun fichier système, aucun document confidentiel, aucune donnée personnelle, d’une agence publique sur des questions de santé publique… Sérieusement ?

Sur le maintien frauduleux, la cour retient qu’entendu au cours de la garde à vue, Bluetouff a reconnu s’être baladé dans l’arborescence des répertoires en remontant jusqu’à la page d’accueil, où il a constaté la présence d’une authentification par login / mot de passe. Fatalitas.peut on lire chez Maitre-Eolas qui constate à juste titre le raisonnement de la cour, une fois qu’elle eu évacué toute considération de réalité technique.

Merci à tous pour toutes vos réactions.

Source : https://bluetouff.com/2014/02/10/du-delit-de-maintien-dans-un-espace-public/


Cher contribuable, je te demande pardon

vendredi 10 janvier 2014 à 11:53

Capture d’écran 2014-01-10 à 11.26.25Cher contribuable, je te demande pardon. Je te demande pardon car je me rends aujourd’hui compte que je suis peut-être l’auteur de la recherche Google qui t’aura coûté le plus cher.

Nouvel épisode aujourd’hui de ma pseudo affaire qui m’opposait tout récemment en appel (un appel du Parquet, le plaignant initial n’étant pas partie civile) : voici que l’indexation de documents publics pas publics qu’il ne faut pas publier même s’ils sont publiquement accessibles sur un site du service public et qu’ils touchent à des questions de santé publique… fait son entrée  dans le code de la santé publique.

Il s’agit de l’Arrêté du 3 décembre 2013 relatif aux conditions de fonctionnement du site internet public unique mentionné à l’article R. 1453-4 du code de la santé publique et de son article 7 qui dispose

L’autorité responsable du site internet public unique prend les mesures techniques nécessaires pour assurer l’intégrité du site sur lequel elle rend publiques les informations mentionnées à l’article R. 1453-3 du code de la santé publique, leur sécurité et la protection des seules données directement identifiantes contre l’indexation par des moteurs de recherche externes.

Il fallait bien une loi pour expliquer aux administrations que comme n’importe qui, elles sont responsables de ce qu’elles mettent à disposition du public.

bortz rule

 

C’est vraiment consternant de voir qu’on est obligé de légiférer sur des tautologies et qu’en revanche, en matière de procédure de test avant la mise en production d’une application en ligne, probablement rien n’a changé…

Plus de pixels : 

Source : https://bluetouff.com/2014/01/10/cher-contribuable-je-te-demande-pardon/


Cher contribuable, je te demande pardon

vendredi 10 janvier 2014 à 11:53

Capture d’écran 2014-01-10 à 11.26.25Cher contribuable, je te demande pardon. Je te demande pardon car je me rends aujourd’hui compte que je suis peut-être l’auteur de la recherche Google qui t’aura coûté le plus cher.

Nouvel épisode aujourd’hui de ma pseudo affaire qui m’opposait tout récemment en appel (un appel du Parquet, le plaignant initial n’étant pas partie civile) : voici que l’indexation de documents publics pas publics qu’il ne faut pas publier même s’ils sont publiquement accessibles sur un site du service public et qu’ils touchent à des questions de santé publique… fait son entrée  dans le code de la santé publique.

Il s’agit de l’Arrêté du 3 décembre 2013 relatif aux conditions de fonctionnement du site internet public unique mentionné à l’article R. 1453-4 du code de la santé publique et de son article 7 qui dispose

L’autorité responsable du site internet public unique prend les mesures techniques nécessaires pour assurer l’intégrité du site sur lequel elle rend publiques les informations mentionnées à l’article R. 1453-3 du code de la santé publique, leur sécurité et la protection des seules données directement identifiantes contre l’indexation par des moteurs de recherche externes.

Il fallait bien une loi pour expliquer aux administrations que comme n’importe qui, elles sont responsables de ce qu’elles mettent à disposition du public.

bortz rule

 

C’est vraiment consternant de voir qu’on est obligé de légiférer sur des tautologies et qu’en revanche, en matière de procédure de test avant la mise en production d’une application en ligne, probablement rien n’a changé…

Plus de pixels : 

Source : https://bluetouff.com/2014/01/10/cher-contribuable-je-te-demande-pardon/


CyberCrime@Octopus (DG1/3021)

samedi 14 décembre 2013 à 15:11

UE-MS-failLa lutte contre la cybercriminalité ne se met pas en place qu’au niveau national avec les différents outils que nous connaissons aujourd’hui ou avec la Loi sur la Programmation Militaire (relative à la cyberdéfense et à la “prévention” des risques). Au niveau européen, ça bouge également. Nous connaissions déjà INDECT visant à mettre en place des outils de détection comportementale. Voici aujourd’hui le projet CyberCrime@Octopus : Octopus Project (PDF 175Ko).

CyberCrime@Octopus est porté par le Conseil de l’Europe et résulte de la convention de Budapest sur la prévention de la cybercriminalité, la lutte contre délinquance économique, la xénophobie et le racisme, et de la protection de l’enfance (…) bref, on ratisse assez large.

Notez que sur le papier, ce projet se veut très respectueux des libertés publiques, notamment en matière de confidentialité, de respect des procédures etc… il n’y aurait donc pas de quoi crier au loup au niveau européen, mais le regard critique peut venir de l’examen des outils techniques et juridiques mis en place dans chaque états membres que la Convention de Budapest vise à souder au sein de la CE, en proposant des passerelles d’échanges et de mutualisation entre états membres. La coopération policière est une nécessité, la délinquance ne l’ayant pas attendu. Ce n’est donc pas CyberCrime@Octopus lui même qui pose problème, il est même plutôt apporteur de solutions.

Dans le document qui décrit le projet CyberCrime@Octopus, on apprends que 2012 et 2013 ont marqué pour la Convention de Budapest un soutien politique, et donc un budget, pour mettre en place des outils dédiés. Une coopération accrue entre états membres portant sur l’accès aux données est notamment évoqué. Jusque là, rien de plus normal… mais le Projet CyberCrime@Octopus c’est aussi et surtout des intervenants privés. Et c’est là que ça se complique.

The Cybercrime Convention Committee (T-CY) assumed a stronger role, among other things by preparing Guidance Note as well as working on solutions for transborder access to data.

On parle ici d’accès transfrontalier aux données, rien de plus normal entre services européens, et puis de toutes façons, même si nos services n’échangeaient pas entre eux, il y aurait toujours le GCHQ britannique pour tout aspirer et communiquer les données des européens à la NSA.

Le chapitre français du projet s’est tenu à Strasbourg en juin 2012 porté par la division de la protection de données et de la cybercriminalité DG des droits de l’homme et de l’état de droit
Conseil de l’Europe portait sur les points suivants :

Points clés

  • L’accès transfrontalier aux données et la compétence dans le contexte de « cloud computing »
  • La mise en commun de l’ information

Mise à jour

  • Les menaces de la cybercriminalité et la tendance
  • La mise en œuvre de la Convention de Budapest sur la cybercriminalité
  • Les politiques et les initiatives des organisations internationales et du secteur privé dans le domaine de la cybercriminalité

Ateliers

  • La législation: l’état des lieux de la législation sur la cybercriminalité
  • La protection en faveur des enfants contre l’exploitation sexuelle
  • La sécurité et les droits fondamentaux : la protection des données personnelles et la sauvegarde et les conditions de procédure

Et COnseil de l’Europe, à votre avis, elle fait quoi après avoir “vivement réagi” suite aux révélations d’Edward Snowden ?

Un OpenBar à l’européenne ?

Elle se réjouit de son partenariat avec Microsoft …normal. Reste plus qu’à connaitre les modalités de ce partenariat et sur quoi porte ce partenariat et la contribution de Microsoft dont la Commission semble si fière… un système d’échange de données transfrontalier que l’on confierait à une entreprise soumise au Patriot Act?

« Nous nous réjouissons de poursuivre notre partenariat de longue date avec le Conseil de l’Europe pour promouvoir la Convention de Budapest sur la cybercriminalité. Notre priorité est de créer un environnement informatique plus sûr, plus fiable et mieux protégé. Nous avons pris l’engagement de respecter la vie privée et la sécurité des utilisateurs. Il est essentiel de soutenir le travail du Conseil de l’Europe dans ce domaine important pour atteindre ces deux objectifs »

 

Source : https://bluetouff.com/2013/12/14/projet-octopus-cybercrimeoctopus-dg13021/