Vupen content que des chercheurs de failles ne les livrent pas à des éditeurs « multi-milliardaires »

Vupen content que des chercheurs de failles ne les livrent pas à des éditeurs « multi-milliardaires »
Et vend les 0-days de Windows 8 à ses clients sans les communiquer à Microsoft

Fin octobre, Vupen avait affirmé par la voix de son PDG - Chaouki BEKRAR - avoir découvert plusieurs failles dans Internet Explorer 10 qui permettaient de corrompre Windows 8. Et ce malgré les avancés du système de sécurité du nouvel OS.

La société basée à Montpellier n’a donné depuis aucune information sur son exploit (au sens informatique du terme). Elle a, en revanche, immédiatement fait savoir que les détails de l’attaque étaient à vendre.

Une décision – traditionnelle pour Vupen – que certains ont qualifié de « Grey Hat ». Autrement dit, entre les White Hat, qui œuvrent pour la sécurité du plus grand nombre, et les Black Hat, qui cherchent à tirer profit des systèmes en les piratant. C’est ce que regrette par exemple Jani Kallio, expert chez Luottokunta, le premier fournisseur de services de paiements finlandais.

D’après le dossier de L’Expansion de cette semaine qui fait un point sur la stratégie numérique française, la revente de ce type de découvertes peut dépasser les 150.000 €. C’est le prix qu’auraient payé des services de l'Etat français pour acquérir les détails d'un autre exploit qui s'appuie lui aussi sur des failles 0-days.

Rappelons qu’une faille 0-day n’est pas une « faille méconnue », comme l’écrit le magazine, mais une faille jusqu’ici inconnue et non patchée. Un 0-Day est par définition connu (ne serait-ce que par son découvreur) et documenté (ce qui fait sa dangerosité) mais pas encore divulgué (ou à un petit nombre) ni corrigé.

De son côté, Microsoft invite les hackers à participer à son programme maison (Coordinated Vulnerability Disclosure) et regrette donc en termes diplomatiques que Vupen œuvre de son côté, en monétisant ses découvertes, sans communiquer avec lui pour améliorer la sécurité de ses outils.

Un appel qui ne semble pas émouvoir Chaouki BEKRAR.

http://ftp-developpez.com/gordon-fowler/Vupen.png
Chaouki BEKRAR, PDG de Vupen

Au contraire. Le hacker vient de féliciter sur Tweeter un de ses confrères qui a décidé d'adopter la même stratégie. « Content de voir qu’une start-up spécialisée dans la recherche trouve des 0-Days et refuse de livrer leur travail gratuitement à des fournisseurs multimilliardaires. Bienvenu au club », écrit-il.

Plusieurs analystes commencent néanmoins à poser la question de la légalité d'un tel commerce.

En attendant, les failles de Vupen - dont on ne sait rien - sur Windows 8 et son navigateur Internet Explorer 10 sont bel et bien à vendre au plus offrant. Tant pis pour ceux qui n'ont pas les moyens ?

Et vous ?

:fleche: Pensez-vous que Vupen ait raison de ne pas communiquer ses travaux aux éditeurs ?
:fleche: Ou considérez-vous que cela fait de ces chercheurs des « Grey Hat » ?

Pas beaucoup d'intéret cet article qui parle de "truant", mais je vais quand meme le commenter parce qu'il a le mérite de m'hérisser les poils.
J'utilise le mot "truant" car soit ils n'ont rien trouvé et font cela pour se faire de la publicité gratuitement, soit ils préferent travailler de l'autre coté de la frontiere et vendre leur trouvaille a des hackers sans scrupules.
Que Microsoft n'accepte pas leur "tarif de vente" est une chose et est leur droit de demander davantage, mais alors qu'ils gardent leur faille pour eux.
Imaginez des failles non-connues entre les mains des créateurs de Stuxnet par exemple, compromettant des systemes de sécurité des Etats mais aussi des domaines clés (nucléaire, défense, médecine, concurrence...) a des fins d'attaque/espionnage.
Bien triste pour notre pays de parler de nos start-up qui agissent de cette facon.

+1 Linux

@alex_vino : On parle ici principalement de la rémunération des entreprises travaillant dans la sécurité informatique.

Pour rappel un fail 0-days, ne se trouve pas tout les jours et nécessite des ressources pour être trouver et documenté.

Citation:

---

Que Microsoft n'accepte pas leur "tarif de vente" est une chose et est leur droit de demander davantage, mais alors qu'ils gardent leur faille pour eux.

---

Pour le moment, très peu de personne accepte d'acheter ce type d'information. En effet, on considère que ces informations doivent être donner à titre gracieux pour la sécurité des utilisateurs.
Ce qu'on oublie c'est que cette sécurité est la responsabilité du producteur / distributeur. C'est à eux de faire l'investissement pour protéger leur produit pour leur client.
D'ailleurs certains sociétés et fondations propose déjà une rémunération pour ce genre d'information :

http://www.mozilla.org/security/bug-bounty.html
http://www.google.com/about/appsecurity/reward-program/
http://www.facebook.com/whitehat/bounty/

Pour rappel, Microsoft comme d'autre compagnie vends des licences où il assure le support et la sécurité. Si il y a un problème de sécurité (ou autre), alors leur clients exigent un dédommagement...

Donc considérer qu'une faille découverte sur un logiciel Microsoft ne peut-être acheter que par Microsoft, qui ne veux pas les acheter n'est une bonne approche.

Dès banques et des états qui utilisent des logiciels Microsoft sont potentiellement de très bon client pour ce genre d'information. Eux accepteront de payer. Et demanderont poliment à Microsoft de les rembourser, lors de leur prochain achat de licence.

Citation:

---

Pensez-vous que Vupen a raison a de ne pas communiquer ses travaux aux éditeurs ?

---

Vupen pense à l'avenir de sa boite, la vente de cette faille peut assurer la survie de sa boite pour plusieurs années.

Citation:

---

Ou considérez-vous que fait de ses chercheurs des « Grey Hat » ?

---

Non, c'est certes demander quelque chose que peu de personnes demande.

Pour rappel, le coût de développement de windows 8 est inférieur au budget marketing. Vous pensez sérieusement que Microsoft ne devrait pas dédommager les personnes qui s'occupent de la sécurité de leurs logiciel ?

Surtout qu'aujourd'hui en France un défaut de sécurité de sa connexion internet est un délit... (Si troll que ça ?)

Citation:

---

Plusieurs analystes commencent néanmoins à poser la question de la légalité d'un tel commerce.

---

Si on demande demande aux mêmes que pour SOPA/PIPA et HADOPI. Cela le deviendra pour une certains catégorie de la population/société.

Cordialement,
Patrick Kolodziejczyk.

@kolodz: Je te donne un exemple concret pour te faire oublier le monde virtuel.
Tu trouves le moyen de braquer une banque. Va-t'us livrer la stratégie du braquage au plus offrant des bandits (en passant le message au journal de 20h de TF1) tout en faisant tout que la banque ne puisse pas acheter?
Certains croient que l'informatique permet toutes les dérives, heuresement que toutes les entreprises et les utilisateurs ne fonctionnent pas tous de cette facon. Il n'y a qu'a regarder l'attitude des Kasperky et Cie et ce "Vupen" pour comprendre.

Citation:

---

Surtout qu'aujourd'hui en France un défaut de sécurité de sa connexion internet est un délit...

---

Il n'y a pas qu'en France, et le délit n'est pas le défaut de sécurité mais plutot son utilisation par une personne tierce. D'un point de vue juridique c'est a l'accusé de prouver son innocence. Si tu estimes avoir fait tout ton possiblealors ensuite tu peux toujours mener une action contre ton fournisseur internet ou qui tu veux.

Citation:

---

Envoyé par alex_vino

@kolodz: Je te donne un exemple concret pour te faire oublier le monde virtuel.
Tu trouves le moyen de braquer une banque. Va-t'us livrer la stratégie du braquage au plus offrant des bandits (en passant le message au journal de 20h de TF1) tout en faisant tout que la banque ne puisse pas acheter?
Certains croient que l'informatique permet toutes les dérives, heuresement que toutes les entreprises et les utilisateurs ne fonctionnent pas tous de cette facon. Il n'y a qu'a regarder l'attitude des Kasperky et Cie et ce "Vupen" pour comprendre.

---

Premièrement, un ordinateur n'es pas une BANQUE... Quand même... Et ne sortez pas la comparaison avec les trucs super-top-secret ou les trucs qui doivent être le moins compromis possible, on parle de Windows 8 et d'Internet Explorer.
Aussi, je crois que la banque a la responsabilité d'être la plus sécuritaire possible et, si jamais elle se fait vendre des informations quant à cette sécurité, elle a la responsabilité de faire tout en son pouvoir pour l'obtenir.

Citation:

---

Envoyé par kolodz

Pour rappel un fail 0-days, ne se trouve pas tout les jours et nécessite des ressources pour être trouver et documenté.

---

Si cela coûte des ressources et qu'ils veulent être dédommagés à hauteur de leur boulot, 2 choix très simples :

- Bosser pour Microsoft
- Ne pas chercher ces failles, cela ne leur coûtera rien !

Encore une fois le domaine informatique se démarque par sa relative virtualisation...imaginez qu'une société dise, j'ai trouvé une faille dans votre voiture, vous risquez d'avoir un accident si vous ne me payez pas....j'ai trouvé une faille dans votre tv, elle risque d'exploser à tout moment, payez moi....etc...

Citation:

---

Envoyé par erwanlb

Si cela coûte des ressources et qu'ils veulent être dédommagés à hauteur de leur boulot, 2 choix très simples :

- Bosser pour Microsoft
- Ne pas chercher ces failles, cela ne leur coûtera rien !

Encore une fois le domaine informatique se démarque par sa relative virtualisation...imaginez qu'une société dise, j'ai trouvé une faille dans votre voiture, vous risquez d'avoir un accident si vous ne me payez pas....j'ai trouvé une faille dans votre tv, elle risque d'exploser à tout moment, payez moi....etc...

---

Dans ce cas, pourquoi Kapersky ne nous donne pas gratuitement une solution complètement gratuite ?

Donc, on doit payer un éditeur (antivirus & co) pour qu'on se protège, mais les éditeurs, eux, ne devraient pas payer pour mieux sécuriser leurs solutions ? :calim2:

Le cas de Chaouki BEKRAR est peut-être un peu différent, vu qu'il menace de divulguer la faille s'il n'est pas payé.

Citation:

---

Envoyé par epsilowne

+1 Linux

---

Rootkit est un terme à la mode aussi sous Linux.

Citation:

---

Envoyé par epsilowne

+1 Linux

---

La je vois vraiment pas le rapport ...?

Inutile de déterrer les vieux troll qui, de plus, n'ont pas lieu d'être.

Citation:

---

Envoyé par fregolo52

Dans ce cas, pourquoi Kapersky ne nous donne pas gratuitement une solution complètement gratuite ?

Donc, on doit payer un éditeur (antivirus & co) pour qu'on se protège, mais les éditeurs, eux, ne devraient pas payer pour mieux sécuriser leurs solutions ? :calim2:

Le cas de Chaouki BEKRAR est peut-être un peu différent, vu qu'il menace de divulguer la faille s'il n'est pas payé.

Rootkit est un terme à la mode aussi sous Linux.

---

L'intêret de Vupen n'est pas que le produit soit sécurisé, au contraire....

Citation:

---

Envoyé par kolodz

Pour le moment, très peu de personne accepte d'acheter ce type d'information. En effet, on considère que ces informations doivent être donner à titre gracieux pour la sécurité des utilisateurs.
Ce qu'on oublie c'est que cette sécurité est la responsabilité du producteur / distributeur. C'est à eux de faire l'investissement pour protéger leur produit pour leur client.
D'ailleurs certains sociétés et fondations propose déjà une rémunération pour ce genre d'information :

http://www.mozilla.org/security/bug-bounty.html
http://www.google.com/about/appsecurity/reward-program/
http://www.facebook.com/whitehat/bounty/

---

Faudrait p'tet voir à lire l'article aussi:

Citation:

---

Envoyé par Gordon Fowler

De son côté, Microsoft invite les hackers à participer à son programme maison (Coordinated Vulnerability Disclosure) et regrette donc en termes diplomatiques que Vupen œuvre de son côté, en monétisant ses découvertes, sans communiquer avec lui pour améliorer la sécurité de ses outils.

---

ce gars n'a pas complètement tort.

Microsoft fait assez d'argent avec ses différentes version de Windows, et c'est Microsoft qui devrait faire de travail de sécurisation.

Hors, comme on dit chez nous: "tout travail mérite salaire".
et faut pas prendre Microsoft pour une pauvre boite sans ressource aussi, ils ont largement de quoi rémunérer les découvertes de failles.

Alors on peut déplorer le fait que le gars envisage de vendre sa faille au plus offrant, mais on ne peut pas lui reprocher de ne pas livrer son travail gratuitement a une boite qui brasse des milliards de dollars.

Citation:

---

Envoyé par Tryph

ce gars n'a pas complètement tort.

Microsoft fait assez d'argent avec ses différentes version de Windows, et c'est Microsoft qui devrait faire de travail de sécurisation.

Hors, comme on dit chez nous: "tout travail mérite salaire".
et faut pas prendre Microsoft pour une pauvre boite sans ressource aussi, ils ont largement de quoi rémunérer les découvertes de failles.

Alors on peut déplorer le fait que le gars envisage de vendre sa faille au plus offrant, mais on ne peut pas lui reprocher de ne pas livrer son travail gratuitement a une boite qui brasse des milliards de dollars.

---

Ouais mais faudrait voir à pas faire le truc à l'envers ! Microsoft a rien demandé du tout. C'est comme si quand tu rentrais chez toi, quelqu'un t'avais tondu la pelouse et te reclamait des sous sans que tu lui aies rien demandé. "Ah ben oui mon bon monsieur, tout travail mérite salaire, j'ai pas bossé pour rien !"

Citation:

---

Envoyé par Nathanael Marchand

Ouais mais faudrait voir à pas faire le truc à l'envers ! Microsoft a rien demandé du tout. C'est comme si quand tu rentrais chez toi, quelqu'un t'avais tondu la pelouse et te reclamait des sous sans que tu lui aies rien demandé. "Ah ben oui mon bon monsieur, tout travail mérite salaire, j'ai pas bossé pour rien !"

---

Quitte à faire des comparaisons à la con :

Si tu est propriétaire d'un terrain, tu as une obligation de débroussaillage, question de sécurité incendie. Si tu ne le fait pas, dans un premier temps tu peux être verbalisé et dans un 2ième temps, la mairie peut ordonné les travaux à ta place et les frais seront à ta charge.

Citation:

---

Envoyé par DelphiManiac

Quitte à faire des comparaisons à la con :

Si tu est propriétaire d'un terrain, tu as une obligation de débroussaillage, question de sécurité incendie. Si tu ne le fait pas, dans un premier temps tu peux être verbalisé et dans un 2ième temps, la mairie peut ordonné les travaux à ta place et les frais seront à ta charge.

---

Oui mais la rien ne t'oblige et t'as le choix du prestataire :)

Citation:

---

Envoyé par Nathanael Marchand

Oui mais la rien ne t'oblige et t'as le choix du prestataire :)

---

Si tu ne le fais pas tu seras obligé et tu n'auras pas le choix du prestataire -> Microsoft n'a pas engagé suffisamment de moyen pour sécuriser ces outils, ils en payent le prix indirectement.

Ils n'ont pas envie de payer, pas de soucis, ils trouvent la faille, ne paye rien et tout est réglé.

Citation:

---

Envoyé par Nathanael Marchand

Oui mais la rien ne t'oblige et t'as le choix du prestataire :)

---

Oh non tu es obligé. J'ai travaillé justement à un débroussaillage lors d'un emploi saisonnier à la mairie chez une personne vivant à l'étranger qui avait laissé à l'abandon son second domicile en France.
Il a été contacté pendant deux ans, comme il n’obtempérait pas le maire a donc fait intervenir le service de la commune pour venir débroussailler et lui a fait payer le prix fort. Le propriétaire a porté cet acte au tribunal mais n'a pas eu gain de cause.

morale de l'histoire:
microsoft ferait bien de tondre sa pelouse avant de sortir ses Windows

Citation:

---

Envoyé par DelphiManiac

Si tu ne le fais pas tu seras obligé et tu n'auras pas le choix du prestataire -> Microsoft n'a pas engagé suffisamment de moyen pour sécuriser ces outils, ils en payent le prix indirectement.

Ils n'ont pas envie de payer, pas de soucis, ils trouvent la faille, ne paye rien et tout est réglé.

---

T'es propriétaire du terrain....

Microsoft n'est pas propriétaire de ta machine...dont tu as le choix d'utiliser ou pas Windows...

Imagine 2 secondes qu'un mec te dit que ta bagnole est pas sécurisé et que t'es en danger...il te dit pas ce qu'il y a bien sur mais si tu veux savoir tu dois payer...tu serais vraiment prêt à payer très cher pour savoir où est le problème alors que tout est peut être que du flan ???

Citation:

---

Envoyé par transgohan

Oh non tu es obligé. J'ai travaillé justement à un débroussaillage lors d'un emploi saisonnier à la mairie chez une personne vivant à l'étranger qui avait laissé à l'abandon son second domicile en France.
Il a été contacté pendant deux ans, comme il n’obtempérait pas le maire a donc fait intervenir le service de la commune pour venir débroussailler et lui a fait payer le prix fort. Le propriétaire a porté cet acte au tribunal mais n'a pas eu gain de cause.

---

Mais quelle loi s'applique à une faille dans Windows ? Surtout quand la société qui découvre cette faille n'a peut être que du flan à vendre...

Si on applique le débroussaillage à Microsoft...alors Vuspen corrige la faille et Microsoft paie...ce qui n'est pas ce que veut Vuspen...

Citation:

---

Envoyé par erwanlb

T'es propriétaire du terrain....

Microsoft n'est pas propriétaire de ta machine...dont tu as le choix d'utiliser ou pas Windows...

Imagine 2 secondes qu'un mec te dit que ta bagnole est pas sécurisé et que t'es en danger...il te dit pas ce qu'il y a bien sur mais si tu veux savoir tu dois payer...tu serais vraiment prêt à payer très cher pour savoir où est le problème alors que tout est peut être que du flan ???

---

Tu dis vraiment n'importe quoi ^^

Ici on parle d'une faille 0-Day de Windows, pas de linux ou OSX, donc, oui, je parle de Windows aussi et je ne vois vraiment pas le rapport avec le fait que je sois propriétaire de mon PC.

Ta voiture est en panne, tu n'y connais rien, tu payes un garagiste, tu connais, tu te débrouilles tout seul.

Est ce que Microsoft est obligé de faire appel au garagiste du coin pour trouver les problèmes de ces produits ? Peut être à tu la réponse ?

Enfin la problématique est tout de même simpliste : Ils n'ont pas envie de payer ou trouve cela trop cher, pas de soucis, ils trouvent la faille, ne paye rien et tout est réglé. Si de plus Microsoft est sûr que l'annonce est du flanc, il n'ont qu'a publié un démenti indiquant que leurs logiciels sont garantis et exempt de toutes failles de sécurité. Il pourraient même ester en justice pour diffamation.

Citation:

---

T'es propriétaire du terrain....
Microsoft n'est pas propriétaire de ta machine...

---

Microsoft est propriétaire de ses logiciels.

C'est un peu comme si tu craquais ta PS3/Xbox360 et tu te retrouvais avec une console morte après connexion au PSN/xBox Live (tu pourrais à la limite te faire éjecter mais non ça ne suffit pas)... pourtant la console t'appartiens.

Citation:

---

Envoyé par erwanlb

Si on applique le débroussaillage à Microsoft...alors Vuspen corrige la faille et Microsoft paie...ce qui n'est pas ce que veut Vuspen...

---

va falloir que Microsoft publie les sources de Windows pour ça...
bonne idée :ccool:


après, Microsoft n'est pas propriétaire de ta machine, mais tu n'es pas propriétaire de ton Windows. Tu n'es propriétaire que d'une licence qui t'autorise à l'utiliser et que tu as payé.
Si Microsoft n'est pas responsable de la sécurité de l'OS qu'il vend pour lequel il vend des licences, je ne vois pas qui peut être responsable.


pour y aller moi aussi de ma petite analogie: quand je-sais-plus-quelle-boite vend des cartes bancaires à une banque, elle garantie la sécurité du système. et en cas de fraude, il me semble bien que c'est la société qui vend les cartes bancaires qui doit mettre la main à la poche pour indemniser, bien que personne ne soit obligé de posséder une CB.

et qu'on n'aie pas tous une pelouse à tondre... :aie:

Citation:

---

Envoyé par Tryph

Hors, comme on dit chez nous: "tout travail mérite salaire".

---

C'est peut-etre une des raison pour lesquelles aujourd'hui en France on n'a pas d'entreprise internationale dans les technologies grand public. Faut peut-etre arreter de raisonner de la sorte, si je bosse tous les soirs et que mon employeur ne me rémunere alors que ma productivité est largement améliorée, je ne m'en plaind pas card'une mon employeur ne m'a rien demandé et de deux je fais cela comme un investissement sur ma carriere. Eh oui, l'investissement rapporte bien plus que vivre au jour J.

Citation:

---

Envoyé par Tryph

et faut pas prendre Microsoft pour une pauvre boite sans ressource aussi, ils ont largement de quoi rémunérer les découvertes de failles.

---

Contrairement a Vupen, apres tout ils ne veulent pas vendre a Microsoft alors pourquoi parles tu des ressources de Microsoft dans le cas présent.

Citation:

---

Envoyé par alex_vino

C'est peut-etre une des raison pour lesquelles aujourd'hui en France on n'a pas d'entreprise internationale dans les technologies grand public. Faut peut-etre arreter de raisonner de la sorte, si je bosse tous les soirs et que mon employeur ne me rémunere alors que ma productivité est largement améliorée, je ne m'en plaind pas card'une mon employeur ne m'a rien demandé et de deux je fais cela comme un investissement sur ma carriere. Eh oui, l'investissement rapporte bien plus que vivre au jour J.

---

c'est bien, je te souhaite bien de la réussite.
sache malgré tout qu'il est possible que tu sois viré comme un mal-popre au prochain plan social malgré ton aimable et altruiste investissement.

j'ai fait ça aussi au début... et puis vu les résultats en terme de reconnaissance, je me suis dit que j'allais arrêter de bosser gratuitement.

en tout cas je te remercie bien chaleureusement, au nom de la France entière, pour ton investissement personnel pour le bien de la communauté :ccool:

Citation:

---

Envoyé par alex_vino

Contrairement a Vupen, apres tout ils ne veulent pas vendre a Microsoft alors pourquoi parles tu des ressources de Microsoft dans le cas présent.

---

il est écrit nulle part que Vupen refuse de vendre à Microsoft. il est juste écrit qu'ils ne prennent pas part au "programme maison" de Microsoft...
mais si t'as des infos plus précises à nous communiquer au sujet du refus de Vupen de traiter avec Microsoft, je veux bien les sources.

Citation:

---

Envoyé par Tryph

il est écrit nulle part que Vupen refuse de vendre à Microsoft. il est juste écrit qu'ils ne prennent pas part au "programme maison" de Microsoft...
mais si t'as des infos plus précises à nous communiquer au sujet du refus de Vupen de traiter avec Microsoft, je veux bien les sources.

---

bah techniquement, ils refusent de traiter avec microsoft, si demain j'ouvrai un service perso de vente de bugs sur chrome, firefox ou autre, concurrent des services que propose les éditeurs, faudra pas que je m'étonne qu'on vienne me souffler dans les bronches ...

après on sait pas ce qu'il se passe quand on accepte de suivre le canal de microsoft dans ce cas précis.

je reste mitigé.

Citation:

---

Envoyé par DelphiManiac

Tu dis vraiment n'importe quoi ^^

Ici on parle d'une faille 0-Day de Windows, pas de linux ou OSX, donc, oui, je parle de Windows aussi et je ne vois vraiment pas le rapport avec le fait que je sois propriétaire de mon PC.

Ta voiture est en panne, tu n'y connais rien, tu payes un garagiste, tu connais, tu te débrouilles tout seul.

Est ce que Microsoft est obligé de faire appel au garagiste du coin pour trouver les problèmes de ces produits ? Peut être à tu la réponse ?

Enfin la problématique est tout de même simpliste : Ils n'ont pas envie de payer ou trouve cela trop cher, pas de soucis, ils trouvent la faille, ne paye rien et tout est réglé. Si de plus Microsoft est sûr que l'annonce est du flanc, il n'ont qu'a publié un démenti indiquant que leurs logiciels sont garantis et exempt de toutes failles de sécurité. Il pourraient même ester en justice pour diffamation.

---

Un concessionnaire de la marque remonte les problèmes....

Un garagiste lambda qui trouve un problème, personne ne l'oblige à remonter un problème et un constructeur ne le paiera pas pour ça...

Il n'y a qu'en informatique qu'on voit ça !

Et si tu ne vois pas la différence entre être propriétaire d'un terrain et avoir des responsabilités vis à vis de celui ci et juste acheter et utiliser un OS...remet les pieds sur terre, tu planes à 100 000.....

Mais je suis sur que tu serais ravi que quelqu'un donne les failles d'un programme de ton cru à d'autres qu'à toi :mrgreen:

Citation:

---

Envoyé par Gugelhupf

Microsoft est propriétaire de ses logiciels.

C'est un peu comme si tu craquais ta PS3/Xbox360 et tu te retrouvais avec une console morte après connexion au PSN/xBox Live (tu pourrais à la limite te faire éjecter mais non ça ne suffit pas)... pourtant la console t'appartiens.

---

Depuis quand j'ai des responsabilités comparables avec un OS qu'avec un terrain ????

Citation:

---

Envoyé par Tryph

c'est bien, je te souhaite bien de la réussite.
sache malgré tout qu'il est possible que tu sois viré comme un mal-popre au prochain plan social malgré ton aimable et altruiste investissement.

j'ai fait ça aussi au début... et puis vu les résultats en terme de reconnaissance, je me suis dit que j'allais arrêter de bosser gratuitement.

en tout cas je te remercie bien chaleureusement, au nom de la France entière, pour ton investissement personnel pour le bien de la communauté :ccool:




il est écrit nulle part que Vupen refuse de vendre à Microsoft. il est juste écrit qu'ils ne prennent pas part au "programme maison" de Microsoft...
mais si t'as des infos plus précises à nous communiquer au sujet du refus de Vupen de traiter avec Microsoft, je veux bien les sources.

---

Encore faudrait il savoir quel est le fruit de ce travail....et à part payer tu peux pas le voir....il y en a beaucoup ici qui paie un travail méritant salaire mais sans avoir vu le résultat de ce travail ?

Citation:

---

Envoyé par Tryph

c'est bien, je te souhaite bien de la réussite.
sache malgré tout qu'il est possible que tu sois viré comme un mal-popre au prochain plan social malgré ton aimable et altruiste investissement.

j'ai fait ça aussi au début... et puis vu les résultats en terme de reconnaissance, je me suis dit que j'allais arrêter de bosser gratuitement.

en tout cas je te remercie bien chaleureusement, au nom de la France entière, pour ton investissement personnel pour le bien de la communauté :ccool:

---

Meme si je suis viré et alors? Toutes les connaissances que j'ai pu acquérir au travail comme sur mon temps perso je les conserve, je pourrais récolter demain tout ce que j'ai semé aujourd'hui.
Apprendre de nouvelles choses le week-end et prendre des cours tous les soirs ca aide grandement a avoir de biens meilleures opportunités et salaire.
D'ailleurs ne me remercie pas au non de la France car je n'y travaille plus. Je ne suis pas payé proportionnellement a mon diplome mais plutot par rapport a ce que je produit et a mes compétences techniques que j'apporte. Que je sois demain virer m'apportera un nouveau boulot mieux payer apres-demain. Mon expérience professionelle m'amene a cette déduction, et c'était aussi valable lorsque je travaillais en France mais a moindre mesure.

Pour en revenir a l'article il n'y a qu'a lire le titre de la discussion pour remarquer que c'est une "actualité" sponsorisée et donc dont l'auteur a et fait donner un partie pris. J'aurais préféré que Microsoft soit au centre du sujet ou bien alors c'est éditeurs en sécurité et leur tendance générale.

Je viens de jeter un coup d'œil au site de Vupen et on dirait bien que cette petite société privée Française, soit plus du genre société privée subventionnée par les services de sécurité et de renseignement, qu'une petite start up quelconque.

N'empêche quelques infos sur leur site fond froid dans le dos:

"VUPEN Public Zero-Day Monitor is a comprehensive resource for up-to-date information on the latest
public zero-day threats, risks and vulnerabilities. Please send your comments to : team@vupen.com

Oracle Database TNS Listener Remote Poison Attack Vulnerability:
A vulnerability has been identified in Oracle Database, which could be exploited by remote unauthenticated attackers to bypass restrictions and gain unauthorized access.

Rated as : Critical
Disclosure Date : 2012-04-30 -> 210 Days of Exposure"

Le pire dans tout cela, c'est que certains géants de l'informatique semblent se contre foutre de leurs clients.
Pour le prix des licences de base de données Oracle (qu'utilisent toutes les banques), je sais plus trop c'est qui les truands du coup, les Hackers ou bien Oracle.

Citation:

---

Envoyé par erwanlb

Mais quelle loi s'applique à une faille dans Windows ? Surtout quand la société qui découvre cette faille n'a peut être que du flan à vendre...

Si on applique le débroussaillage à Microsoft...alors Vuspen corrige la faille et Microsoft paie...ce qui n'est pas ce que veut Vuspen...

---

Je répondais à Nathanael Marchand, ma réponse était pour lui et l'histoire de débroussaillage de terrain, rien à voir avec Windows.

Citation:

---

Envoyé par transgohan

Je répondais à Nathanael Marchand, ma réponse était pour lui et l'histoire de débroussaillage de terrain, rien à voir avec Windows.

---

Mon "Oui mais la" concernait cette actualité :aie:
Ici rien n'oblige légalement Microsoft a chercher les failles dans ses OS et si il voulait le faire il aurait le choix du prestataire. C'est trop simple de faire le boulot d'abord et de négocier le tarif après, ca fait un peu chantage... (Surtout quand on a aucune preuve du travail effectué)

Citation:

---

Envoyé par alex_vino

@kolodz: Je te donne un exemple concret pour te faire oublier le monde virtuel.
Tu trouves le moyen de braquer une banque. Va-t'us livrer la stratégie du braquage au plus offrant des bandits (en passant le message au journal de 20h de TF1) tout en faisant tout que la banque ne puisse pas acheter?
Certains croient que l'informatique permet toutes les dérives, heuresement que toutes les entreprises et les utilisateurs ne fonctionnent pas tous de cette facon. Il n'y a qu'a regarder l'attitude des Kasperky et Cie et ce "Vupen" pour comprendre.


Il n'y a pas qu'en France, et le délit n'est pas le défaut de sécurité mais plutot son utilisation par une personne tierce. D'un point de vue juridique c'est a l'accusé de prouver son innocence. Si tu estimes avoir fait tout ton possiblealors ensuite tu peux toujours mener une action contre ton fournisseur internet ou qui tu veux.

---

Ton exemple, me semble trompeur. Pour moi, Microsoft est au niveau du vendeur de coffre.
Que le vendeur de coffre ne soit pas d'accords pou t'acheter le moyen d'ouvrir son coffre sans la clé est totalement, normal.
Que la banque ai le droit d’acheter cette même information, pour se prémunir de vol est tout aussi normal.
En général, on appel ça une expertise en sécurité... C'est légal et ça se vend aux personnes que ça intéressent tout aussi légalement.

Pou moi, Kasperk, a une autre attitude, car un autre modèle économique. Celui-ci est basé sur la réputation et une relation privilégié avec Microsoft. Ils en tirent un bénéfice économique indirect assez conséquent.

Citation:

---

Envoyé par erwanlb

Si cela coûte des ressources et qu'ils veulent être dédommagés à hauteur de leur boulot, 2 choix très simples :

- Bosser pour Microsoft
- Ne pas chercher ces failles, cela ne leur coûtera rien !

Encore une fois le domaine informatique se démarque par sa relative virtualisation...imaginez qu'une société dise, j'ai trouvé une faille dans votre voiture, vous risquez d'avoir un accident si vous ne me payez pas....j'ai trouvé une faille dans votre tv, elle risque d'exploser à tout moment, payez moi....etc...

---

Encore une fois, Microsoft n'est pas le seul acheteur potentiel légitime. C'est certes le plus légitime. Mais beaucoup d'autres personnes en ont aussi la légitimité. Encore heureux qu'il n'y ai pas que les expertes en sécurité de Microsoft et les "black hat" dans le domaine.
Sans faire une lise complète et au pif : Les experts en sécurité des divers pays, les experts en sécurités de toutes les sociétés utilisant ou étudiant la possibilité d'utiliser Microsoft et les indépendant vendant leur expertise. Ou les laboratoires de recherche. etc...
Et toutes ces personnes peuvent légalement et de manière légitime acheter ces informations.

Pour ce qui est des exemples hors informatique :

Citation:

---

imaginez qu'une société dise, j'ai trouvé une faille dans votre voiture, vous risquez d'avoir un accident si vous ne me payez pas....

---

Réponse : La preuve de l’existence de ce problème est suffisant pour faire retirer l'ensemble des voiture ayant potentiellement ce problème.
Vendre la cause exacte de la défaillance n'est pas illégal et encore moins immorale. Tu as déjà averti du problème le constructeur et les utilisateurs.

Citation:

---

j'ai trouvé une faille dans votre tv, elle risque d'exploser à tout moment, payez moi

---

Réponse : La preuve de l’existence de ce problème est suffisant pour faire retirer l'ensemble des TV ayant potentiellement ce problème.
Vendre la cause exacte de la défaillance n'est pas illégal et encore moins immorale. Tu as déjà averti du problème le constructeur et les utilisateurs.

A un mot près, je te donne exactement la même réponse, la raison est que le devoir d'information ne t'oblige en aucun cas toutes les informations dont tu dispose. D'ailleurs, ce devoir est plus un devoir morale dans notre cas.

Citation:

---

Envoyé par Nathanael Marchand

Faudrait p'tet voir à lire l'article aussi:

---

Je sais lire. Et j'ai bien lu cette partie. Mais Coordinated Vulnerability Disclosure n'implique à aucun moment la rémunération des personnes rapportant un faille de sécurité. C'est certes un outil permettant aux personnes ayant découvert une faille à transmettre ce faille aux personnes compétentes.
https://www.youtube.com/watch?v=q_MDOsOg-fA

Microsoft indique seulement, qu'il regrette que cette société n'utilise pas son canal non rémunérant.
Je parlais bien des canaux des autres entreprises et fondations qui eux propose un canal rémunérant.
Ce qui me semble différent. Mais, corrige moi, si je me trompe...

Citation:

---

Envoyé par erwanlb

Encore faudrait il savoir quel est le fruit de ce travail....et à part payer tu peux pas le voir....il y en a beaucoup ici qui paie un travail méritant salaire mais sans avoir vu le résultat de ce travail ?

---

quand t'achètes une maison sur plan par exemple, tu commences à payer avant de pouvoir en bénéficier et sans savoir si ce sera bien fait.
quand tu t'abonnes à un magazine, tu paies pour des revues que tu ne recevras que dans plusieurs mois...

c'est plutôt risqué mais on a inventé le contrat pour limiter les risques: on défini les termes de l'échange et on s'assure que l'échange en question vérifie tous les termes préalablement définis une fois qu'il est fait. et si c'est pas le cas, le parti lésé peut obtenir gain de cause devant la justice (en théorie)...
je pense que Microsoft sait tout ça.

De toute façon il n'y aurait pas ce débat si un travail de recherche et de suivit était assuré par M$.

Qu'on leur demande du fric me parait tout a fait normal:

Tu balance un produit que tu fait payer au grand public en le placant comme leader du marché et qui plus est (ou pas) sécurisé alors qu'un / des chercheur(s) le mette(nt) à mal et demande du fric en échange d'un proof of concept par exemple c'est NORMAL, ça marche comme ça partout, pour tout les éditeurs de logiciels payants qui font de la me*** !!

Perso ça ne me choque pas, ça les poussera peut etre un jour à auditer leurs sources eux meme avant d'en tirer profit parfois honteusement , rappellez vous ce magnifique fisco sorti vite , vite pour cause de profit et la sécurité, la stabilité etc..on s'en tape: vista) et c'est aussi grace a ce genre de politique de recherche de vulnérabilité et de mise a mal des systemes que le SSL, les protection dans nos navigateurs web et autres se sont démocratisés .

Citation:

---

Microsoft n'est pas propriétaire de ta machine...dont tu as le choix d'utiliser ou pas Windows...

---

Microsoft est propriétaire du software , c'est du software dont il s'agit pas du hardware.

Je ne vois aucun problème "moral" dans la démarche Vupen. On ne parle pas de produits open source mais de produits propriétaires sur lesquels MS se fait des millions. Si il veulent garder la confiance de leur consommateurs, il feront ce qu'il faut dans leur intérêt, c'est à dire passer à la caisse.

Citation:

---

Envoyé par camus3

Microsoft est propriétaire du software , c'est du software dont il s'agit pas du hardware.

Je ne vois aucun problème "moral" dans la démarche Vupen. On ne parle pas de produits open source mais de produits propriétaires sur lesquels MS se fait des millions. Si il veulent garder la confiance de leur consommateurs, il feront ce qu'il faut dans leur intérêt, c'est à dire passer à la caisse.

---

Si tu ne te sent pas en sécurité sous Windows alors rien ne t'empeche a choisir un systeme d'exploitation concurrent. Ca fait depuis des lustres qu'il y a des failles dans Windows (comme tous les OS!) et ce n'est pas pour autant que ca a changé la vie de Microsoft. Cette faille soit disant trouvée par la société citée dans l'article n'a été "vue" de personne, alors pourquoi betement croire cette société qui peut etre ne fait qu'un coup marketing au passage. Je pense que si cette faille serait aussi critique alors on en parlerais surement dans la presse autre que Developez.com dont l'actualité semble tant bien que mal sponsorisée.

Citation:

---

Envoyé par kolodz

Pour ce qui est des exemples hors informatique :

Réponse : La preuve de l’existence de ce problème est suffisant pour faire retirer l'ensemble des voiture ayant potentiellement ce problème.
Vendre la cause exacte de la défaillance n'est pas illégal et encore moins immorale. Tu as déjà averti du problème le constructeur et les utilisateurs.

Réponse : La preuve de l’existence de ce problème est suffisant pour faire retirer l'ensemble des TV ayant potentiellement ce problème.
Vendre la cause exacte de la défaillance n'est pas illégal et encore moins immorale. Tu as déjà averti du problème le constructeur et les utilisateurs.

---

Vusten ne donne ses preuves que quand tu paies...donc comment savoir si cette preuve existe réellement sans payer ?

N'importe qui peut dire il y a un problème.......paie et je te dis ce que c'est...c'est trop facile ! On faisait ça dans les cours de récré à l'école primaire....et dans le même temps Vuspen dit ceux qui n'ont pas l'argent, allez vous faire foutre et restez avec vos problèmes....

Les exemples hors informatique n'ont pas cette problèmatique...surtout si on touche à des produits physiques...Vuspen ne joue pas avec la sécurité d'un OS mais de tous ceux qui l'utilisent...on pourrait dire que MS a l'argent...oui...mais si Vuspen décide de dire "il y a une méga faille...on vous dit tout pour 1 milliard...."...faut payer absolument alors ?

Citation:

---

Envoyé par alex_vino

Si tu ne te sent pas en sécurité sous Windows alors rien ne t'empeche a choisir un systeme d'exploitation concurrent. Ca fait depuis des lustres qu'il y a des failles dans Windows (comme tous les OS!) et ce n'est pas pour autant que ca a changé la vie de Microsoft. Cette faille soit disant trouvée par la société citée dans l'article n'a été "vue" de personne, alors pourquoi betement croire cette société qui peut etre ne fait qu'un coup marketing au passage. Je pense que si cette faille serait aussi critique alors on en parlerais surement dans la presse autre que Developez.com dont l'actualité semble tant bien que mal sponsorisée.

---

Oui enfin bon, des 0-days critiques, des vers , des toyens et j'en passe sont découvert a quelque chose prés toutes les semaines (et encore) c'est pas pour autant que Mme Michu est au courant, ça passe pas sur TF1 :P !

Parcontre en allant chercher l'info c'est autre choses...encore faut-il faire l'effort .. ;)

Rien n'empeche en effet d'utiliser un autre OS c'est sur mais rien n'empeches M$ de ne plus prendre les gens pour des c*** en leurs vendant tout et n'importe quoi .

Aprés on dis M$ car il est question d'eux ici mais il ne font pas que de mauvaises choses bien au contraire alors il ne faut pas non plus tirer dessus a boulets rouge, juste que comme tu le dis a juste titre : " ça ne change pas la vie de Microsoft" et c'est bien dommage...