|
|
Quand l'Hadopi délivre des résultats pirates via une faille XSS...
Guillaume Champeau -
publié le Mercredi 30 Mars 2011 à 10h17 -
posté dans Société 2.0
Peut-on exiger des internautes qu'ils sachent sécuriser leur accès à Internet, sans être soi-même un modèle de sécurisation ? Pour mettre en évidence la contradiction, le président du Parti Pirate a exploité une faille du site de l'Hadopi qui lui a permis d'utiliser le formulaire de recherche des offres légales pour trouver des fichiers sur le site The Pirate Bay. Mise à jour : la faille a été corrigée en milieu de matinée ce mercredi. Preuve que l'Hadopi sait être réactive.
Le président du Parti Pirate, Paul Da Silva, s'est bien amusé. Avec le plus grand sérieux. Mardi, nous vous expliquions que pour accorder ses futurs labels d'offres légale aux premiers candidats (Deezer, Beezik et VidéoAVolonté.com), l'Hadopi avait trahit les textes réglementaires en préférant mettre en place un moteur de recherche des œuvres plutôt qu'en publiant la liste complète des œuvres à labelliser. Or ce moteur de recherche n'est pas sécurisé. Sauf correction entre le moment où nous publions ces lignes et le moment où vous les lisez, le fait de passer par ce lien conduit vers le moteur de recherche de l'Hadopi, au comportement étrange. Lors de la saisie, le moteur se transforme en recherche sur The Pirate Bay, et les résultats affichés sont ceux du célèbre site de liens BitTorrent. La faute à une faille XSS qui permet d'injecter du code dans les URL et de modifier le comportement des pages. Que ce soit pour conduire vers TPB, ou faire autre chose de plus discret ou mal intentionné. Ca n'est pas le site de l'Hadopi qui est compromis, mais la sécurité de ceux qui visiteraient de bonne foi le site de l'Hadopi par un tel lien modifié, qu'ils auraient reçu, par exemple, par e-mail. Or comme l'explique Paul Da Silva sur son blog, cette faille n'est pas anodine venant de l'Hadopi. C'est la deuxième fois qu'une telle faille est décelée sur Hadopi.fr. Or, "rappelons que la Hadopi demande à chaque personne de sécuriser son accès à Internet, ce qui, si c'était possible, révèlerait de qualifications d'un ingénieur en sécurité réseau", rappelle le président du Parti Pirate. Il souhaitait donc "savoir si [l'Hadopi], avec ses moyens, s'appliquait lui même la rigueur qu'il exige de monsieur et madame tout le monde", ce qui n'est pas le cas. "Là où on pourrait croire que la Hadopi aurait tiré les leçons de la première démonstration, j'ai pu trouver hier, en 6mn30, une nouvelle faille sur le site de l'autorité... Selon la loi il s'agit donc du second avertissement... Au prochain il faudra songer à couper la connexion chez Hadopi ?", demande Paul Da Silva. à lire aussi
  Prix indiqués avec livraison
39
Commentaires à propos de «Quand l'Hadopi délivre des résultats pirates via une faille XSS...»
Hypocrisie
Foutage de gueule Faite ce que je dis pas ce que je fais Hopital, charité... à vous de choisir 
comme dirait jean pierre coffe
mais c'est de la m..... enfin rien que la loi hadopi ca en a le gout et l'odeur un philosophe a dit quand la tête du poisson est pourrie il ne faut pas manger le reste 
Rappelons que ce n'est pas la Hadopi qui le demande (sic), mais que c'est la loi française, votée démocratiquement (même si certains le regrettent) par des représentants de la Nation et représentatifs de la majorité des électeurs. Hadopi n'est là que pour mettre la loi en application. Ensuite, quel est le rapport entre la sécurisation de l'accès à Internet exigée par la loi et une faille serveur (ou plutôt une faille dans un développement php sur le serveur) ? C'est comme si les électriciens contestaient les normes sur les installations électriques parce qu'il y a eu un court-circuit dans l'immeuble de l'AFNOR !!! Enfin, la loi ne demande pas à mr et mme tout le monde d'être des ingénieurs en sécurité réseau, la loi leur demande d'installer des logiciels (qui pour l'instant n'existent pas), ce qui ne sera normalement pas plus compliqué que d'installer eMule ou un VPN. Pourtant le parti pirate ne pense pas que monsieur et madame tout le monde doivent être des ingénieurs en réseaux WAN et protocole p2p pour installer et utiliser eMule, non ? Alors pourquoi imaginer, avant même d'avoir vu ces logiciels qu'il faudra avoir un niveau élevé en sécurité réseau pour pouvoir les installer et les paramétrer ? Mais le travail des lobbies qu'ils soient d'un côté ou de l'autre, c'est d'exagérer chaque incident, d'en détourner son sens et de faire de la démagogie à la petite semaine. Et dans ces lobbies, je met dans le même panier des Pascal Nègre et des Paul Da Silva. 
Ma grand-mère ne sait pas installer emule ou un VPN, et elle ne le saura jamais. En fait ma grand-mère ne sais pas installer de logiciel sur son ordinateur. J'imagine qu'elle ira en tôle si elle se fait gauler à ne pas crypter son wifi en wpa2 et à oublier d'installer un antivirus sur son ordinateur...
16 députés dans l'hémicyle, donc tout est relatif.
Comme tu le dis toi même "qui pour l'instant n'existent pas", quid des gens qui sont injustements flachés en ce moment ? 
Kiraa, le 30/03/2011 - 11:13 Le but premier de l'HADOPI c'est d'inculquer dans la tête des gens les moins compétent la *méfiance*, leur donner l'impression confuse que "Internet c'est DAN-GEU-REUX, risqué, et que "on" vous surveille". Un logiciel de "protection" n'arrivera que plus tard, si il arrive, car à ce stade il est contre-productif. C'est comme de se dire: "Internet est plein de virus, mais OUF, c'est bon, j'ai un anti-virus, je suis tranquille" - ce qui détruit l'impression de risque confus. Bref, c'est un grand classique de FUD (Fear, Uncertainty, Doubt).
C'est la 2ème fois qu'ils se font attrapés pour non-sécurisation; la 3ème, ça passe chez le juge ....
CaptainKiller, le 30/03/2011 - 11:07 Non mais son petit-fils, lui, sait ! Il faudrait qu'il le fasse... :-) En tous cas moi c'est ce que je fait: J'installe un OpenVPN PARTOUT ou je passe, par défaut, avec une icône en bas facile à utiliser avec les noms des différents pays pour les serveurs, actif par défaut (mais désactivable si besoin est). Et j'explique ce que c'est, a quoi ça sert et pourquoi, et je laisse une petite fiche/flyer. Et j'ai eu de *très* nombreuses demandes de voisin, amis d'amis,... J'en profite aussi pour installer Firefox - un gros succès - avec les extensions qui vont bien contre les pubs, les cookies, les LSO, le mode de navigation privé actif par défaut. Et pendant que j'installe j'en profite pour expliquer les "Do & Don't" pour facebook, les mails, les spams... Sur demande, je met aussi un petit dossier de bookmarks dans le navigateur avec des liens pour les mp3, les torrents,... même le streaming, même si j'en profite pour en coller une couche sur les effets néfastes. Car je pense que c'est aussi à *NOUS* de montrer, et d'éduquer les gens qui savent pas, plutôt que de les laisser à la merci du gouvernement ou des marketteux. Sinon, qui le fera ? Et j'ai remarqué que ce discours prends particulièrement bien chez 2 catégories de personnes: Les ado (qui commencent de plus en plus à se méfier de facebook), et les 40-60 ans, quand on leur parle de vie privé/liberté d'expression/surveillance policière.... 
Encore une fois Westlake tu es à côté de la plaque, c'est pas grave c'est en faisant des erreurs que l'on apprend
 Hadopi fait référence aussi bien à l'administration qu'à la loi qui l'a mise en place. En l'espèce c'est donc bien Hadopi (la loi) qui demande une sécurisation de la connexion Internet. Quel rapport entre la sécurisation d'un site Web et d'une connexion Internet ? Simple : si l'ordinateur et la box sont les premiers maillons de la connexion Internet, les sites web ou les services consultés sont le dernier maillon... On est donc bien dans la connexion Internet que l'utilisateur, même le plus compétent, ne peut pas sécuriser. Les logiciels dont tu parles enfin et qui, comme tu le soulignes, n'existent pas encore (et n'existeront probablement jamais IMHO) ne sécuriseront que les premiers maillons de la chaine décrite juste au dessus et ne pourront JAMAIS garantir de ne pas se faire attraper par la Hadopi. Pourquoi ? Parce qu'à partir du moment où tu as une connexion (et donc une adresse IP) tu es la cible potentielle de faux-positifs qui existent déjà et vont aller en se multipliant à force d'automatiser la Hadopi ! (Emule est un mauvais logiciel, il répartit très mal la charge sur le réseau, mais c'est un autre débat  )Quant à l'attribution du titre de lobby et la comparaison avec Pascal Nègre... Et bien je t'invite à relire mon argumentaire et à me dire où j'ai exagéré quoi que ce soit... Je ne fais que constater des choses, le reste c'est ton interprétation qui est orientée...
Comparer l'installation d'un logiciel P2P à l'installation d'un logiciel destiné à la sécurité c'est sans aucun doute de la démagogie à la petite semaine. Quand à ses fameux (futur) logiciel qui devraient voir le jour j'ai de très sérieux doute quand à leurs efficacité, quand les géants de la sécurité recensent des failles très fréquentes dans leurs logiciels produit à l'échelle mondial, il me semble prétentieux qu'une société produise un logiciel fiable à l'échelle national, et je ne parle même pas des paramétrages de ses pseudo-logiciels tout comme les conflits de version OS, Firewall etc... Hadopi est une erreur une perte de temps et d'argent, d'ailleurs tout les experts en sécurité réseaux te le diront.
Ce qui est dingue c'est que les gens gueulent contre une loi tout à fait normale...
Les limitations de vitesse sur la route ne sont pas contestées donc pourquoi contester l'Hadopi (qui fait finalement moins chier le citoyen lambda) ??? Pfft... Si vous n'êtes pas des pirates vous vous en foutez d'hadopi, point final. Donc en gros, tout ceux qui gueulent qu'Hadopi c'est de la merde enfreignent la loi et le savent, donc faut pas vous plaindre après... C'est comme un gars qui picole et va prendre sa voiture, il va pas porter plainte parce que les flics lui on enlevé des points et piquer du pognon, il était au courant que c'est illégale de conduire bourré... Et puis de toute façon "nul n'est cencé ignorer la loi". CQFD.
http://fr.wikipedia.org/wiki/Liberté_d'expression Et cette loi, tu la connais? Ce n'est pas parce qu'on enfreint la loi qu'on est contre Hadopi, c'est parce que Hadopi enfreint la loi qu'on est contre.
CodeKiller, le 30/03/2011 - 12:50 OK, donc si nos élus dépensent des fortunes pour des lois qui au final sont totalement inapplicable, et aurons presque aucun impacte sur les revenus des artiste/créature bref, les droits d'auteurs il ne faut pas ce plaindre ? Je ne parle même pas du respect de la privé et autre petit inconvénient de cette "loi", mais tout simplement des sommes colossal dépenser pour faire plaisir à quelques géants comme les majors, et au final nada ! Enfin allons y gaiement pour loppsi, acta etc... Nul n'est censé ignorer la loi, tu manque pas d'humour.
Ben justement, pas besoin de pirater pour se faire flasher par l'Hadopi, c'est ca qui est merveilleux. Le mec bourré dans la voiture, il a pas porté plainte contre les flics, il a juste renversé un piéton; et tu sais quoi ? ce mec bourré, c'est forcément toi, il roulait avec ta plaque d'immatriculation. Au trou. Point final. [message édité par dv54 le 30/03/2011 à 13:35
]
CodeKiller, le 30/03/2011 - 12:50 Dis c'est volontaire, tu le fais exprès, c'est une caricature? Une loi qui t'impose quelque chose d'impossible à faire, tu trouves cela normal? Une loi qui pour punir une chose (au préjudice non-déterminé ou prouvé, ce qui est déjà une première aberration), punit les gens d'une autre chose n'ayant rien à voir, tu trouves ça normal? De plus ton second paragraphe montre soit que tu n'as pas cherché à te renseigner, soit que tu n'as rien capté à tout le problème des faux positifs et à l'automatisation de ce genre de processus. En fait ceux qui ont le plus à craindre de cette loi sont justement ceux qui ne piratent pas (et donc n'y connaissent rien). Pour finir les comparaisons bagnolesques sont généralement le signe d'un esprit limité incapable d'appréhender un problème autrement que par un domaine qu'il comprend (bien souvent également à peine).
CodeKiller, le 30/03/2011 - 12:50 sauf que les limitations de vitesse c'est parce qu'on a constaté que les bagnoles se mangeaient des arbres. Là on a constaté que les bénéfices du cinema battent des records... ya rien qui te chiffonne? Une loi ça n'a rien de sacré, quand la loi est injuste, la justice est dessus de la loi. 
quel pourcentage de madame michu
qui ne connait pas le net a force il faut se dire qu avec tous les sites de dl stream et contournements qui n a jamais dl méme legalement donc la securité qui nous impose va dans le sens ou les trois quart des gens dl a coups sur et que par consequence on doit savoir aussi securisé son net ne soyons pas hypocrite c est leur trucs de se dire que celui qui ne securise pas son net est soit madame michu (la pauvre) soit un gentil partageur de son dd point. 
En gros, c'était le deuxième avertissement pour défaut de sécurisation d'Hadopi.fr
Alors, c'est dit dans les textes, il faut leur couper l'accès à Internet !
La limitation de la vitesse sur la route permet de sauver des vies. Dans une démocratie, les lois sont faites pour le benefice de la majorité de la population, dans le respect du cadre constitutionnel et dans l'intérêt de la nation. Hadopi, est une loi scélérate, faite pour des intérêts privés au détriment du bien public, en contradiction avec la constitution et les réglementations européennes ainsi qu'avec la déclaration universelle des droits de l'Homme. De plus ses dispositifs contournent les principes fondamentaux du droit national, a savoir la présomption d'innocence, la divulgation de l'acte d'accusation complet, le droit de confrontation avec les accusateurs,... Un état de droit met en place des régles (lois, constitutions) afin de maintenir une equité et une liberté equivalente entre chaque citoyen. La rupture de ces cadres ouvre la voie au totalitarisme... 
sedlex, le 30/03/2011 - 15:17 Marche bien le conditionnement chez certain, la preuve. Il suffit que les medias répètent une connerie pour que les crédules la répète a l’envie. Sauver des vies ? Et dans le même temps développer le nucléaire, les ogms, les pesticides, le médiator et j’en passe et de meilleurs, alors c’est non, mais prendre du pognon, c’est oui.
hadopisse tache c est comme le gars qui joue un euro et qui gagne 9 millions avec effets kisscool en plus le vieux il sent le sapin çà lui servira pas a grand chose bon sa famille ok mais lui .
sedlex, le 30/03/2011 - 15:17 ... et encore... ça reste à voir: L'amélioration de la résistances des voitures, le contrôle technique, les technologies comme l'ABS & les airbags ont certainement plus contribué à la baisse du nombre de morts que la limitation de la vitesse. D'autant plus que lorsqu'on regarde les statistiques des blessés et des accidents purement matériel, ils ont explosés: le *nombre* d'accident n'a pas baissé, lui. Par contre, ce qui est sur, c'est que le *contrôle* de la vitesse s'est révélé un marché juteux pour l'état et SURTOUT pour les partenaires privés. Après, hein, si on peux allier l'utile à l'agréable... Mais pour moi, cette explication donnée à qui mieux mieux pour justifier la vache à lait des radars c'est tout simplement mensonger. Après, chacun pense ce qu'il veux. Moi ce qui m'incite à lever le pied, c'est certainement pas un radar devant lequel, pris par surprise et pas sur de ma vitesse je vais piler pour être sur d'être bien en dessous. C'est le prix de l'essence à la pompe (et oui, la bagnole rouge qui se traine à 90 sur l'autoroute, c'est moi....)
Hodopi a tué l'internet français du libre échange de données, qui ici utilise emule, vuze ou utorrent avec une ip française? On a vu explosé le marché vpn, exploser aussi (pour ceux qui veulent pas de vpn) les sites de direct download et de streaming. Le partage est mort, les services de stockage et de récupéraation de fichiers ont explosés .... je suis nostalgique snif...
ps: le ddl étant plus rapide que le p2p au moins cette lois a permis a bcp de gagner en tps d'attente xD!!! 
Excellent ! La question mérite d'être posée sur le plan de "l'Égalité" ! @Enter déguisé en westlake (mais chut, ne le répétez pas, c'est secret) Encore de longues lignes de texte pour ne rien dire. J'ai certes l'habitude, mais là dans le domaine de l'inutile, tu fais fort, chapeau !
tomy13, le 30/03/2011 - 17:36 ben en même temps si les voitures étaient immobiles il y aurait ZERO morts hein... donc fatalement il y a relation directe entre vitesse et morts. tant que l'energie cinétique à dissiper sera proportionnelle au carré de la vitesse, il y aura des limitation de vitesse pour sauver des vie, c'est évident. le mauvais conducteur est une vache à lait et c'est tant mieux... 
marinebis, le 30/03/2011 - 22:08 Ben non... Un motard meurt en percutant une voiture à l'arrêt (letelegramme.com , il y a dix jours)
une relation complexe
Ce sont surtout les fortes décélérations (~ forces) exercées par unité de surface qui tuent. D'où l'utilité des airbags, des ceintures larges, des carrosseries uniformes et non saillantes. Et puis si un jour on "inventait" un absorbeur inertiel on n'aurait alors plus de problème avec l'énergie cinétique.
Le mauvais conducteur est surtout un danger, même pour le bon conducteur. 
Quand on vois que l' union européenne et les états n' arrivent pas a sécuriser leurs informatique, comment les particuliers peuvent y arriver?
Non bien plus que des ingénieurs réseaux, il faut être maradou pour pouvoir installer un logiciel qui n'existe pas et donc ainsi éviter la coupure internet dont les premières devraient bientôt être prononcé. De plus quand çà les arrange chez Hadopi, l'adresse IPP n'est plus une donnée perso, et comme une lettre recommandé n'est pas une sanction en soit, impossible de contester celle-ci. Donc vous recevez deux avertissements, sans avoir téléchargé, parce que votre voisin crack votre clef WEP (ca lui a pris même pas la matinée avec le bon logiciel) et/ou votre adresse IP à été déposé par un tiers dans les bases de sites de peer to peer. Aucun moyen de protester car pas de sanction. Si la troisième fois c'est vraiment vous qui téléchargez "Dolce Francia" de CBS (bon j'avoue qu'il faut être tordu) là vous avez le droit à la coupure direct. Résultat, pas de réponse graduée, la coupure dès le premier téléchargement. 
Kisame, le 30/03/2011 - 11:49 C'est mieux comme ça ! (ok ok je suis déjà loin).
"révèlerait de qualifications d'un ingénieur"
Ce ne serait pas plutôt "relèverait de qualifications d'un ingénieur" ? Tous les champs doivent être remplis. Tous les champs doivent être remplis. Tous les champs doivent être remplis. |
A LA UNE
LES + COMMENTÉS
 Télécharger
navigateur web firefox,
total video converter,
mp3 to converter,
pro evolution soccer,
redtube video downloader,
aspirateur youtube,
navigateur web tor,
voissa anonymo,
Accès rapide :
Personnalisation |
Diagnostic |
eMule (et mods eMule) |
Photo numérique |
Outils Réseau |
Codecs et plugins |
Nettoyeurs |
|
La correction a été effectuée