Facebook : il pirate le compte de Zuckerberg pour signaler une faille de sécurité

Version imprimable

Voir 40 message(s) de cette discussion en une page

19/08/2013, 15h14
Cedric Chevalier

Facebook : il pirate le compte de Zuckerberg pour signaler une faille de sécurité

Facebook : il pirate le compte de Zuckerberg pour signaler une faille de sécurité
et perd au passage sa récompense

Aucun logiciel informatique n’est exempt de bogues et il n’existe pas de sécurité parfaite. Les grosses firmes informatiques comme Google ou encore Facebook dépensent des sommes importantes dans des programmes permettant aux hackers de révéler des vulnérabilités qu’ils auraient découvertes dans leurs produits.

Khalil Shreateh est le chercheur en sécurité d’origine palestinienne qui a découvert une vulnérabilité dans le célèbre réseau social, permettant à un hacker de poster des messages sur le mur privé de ses victimes sans pour autant être dans leur liste d’amis.

Le chercheur, plusieurs fois, a contacté les ingénieurs responsables de la sécurité de Facebook, sans succès. « Nous sommes désolés, mais ceci n’est pas un bogue », recevra-t-il comme réponse de ceux-ci.

Pour se faire entendre, il a dû poster, sur le mur privé de Mark Zuckerberg, un message dans lequel il présente la vulnérabilité et explique ses déboires avec l’équipe de sécurité.

http://www.developpez.com/public/images/news/postfb.png

Il finit par avoir gain de cause. La vulnérabilité a été corrigée. Cependant, Facebook refuse de l’indemniser parce qu’il n’aurait pas respecté les termes de la politique de divulgation des vulnérabilités de l’entreprise. Khalil aurait posté des messages sur des murs privés d’utilisateurs sans leurs permissions.

D’après Matt Jones, ingénieur en sécurité chez Facebook, pour divulguer une faille, il faut dans un premier temps avoir un compte de «white Hat» (chercheur en sécurité qui rend publiques les failles des logiciels) et ensuite pour le «Proof of Concept» (démonstration de la vulnérabilité), ne pas se servir de comptes réels d’utilisateurs sans leur permission.

Source : BBC

Et vous ?

:fleche: Êtes-vous d'accord avec Facebook dans sa décision de ne pas rémunérer le chercheur ? Pourquoi ?
19/08/2013, 16h13
pmithrandir

Il les as méchamment vexé je pense...

Ils sont plutôt stupide... pour économiser 10 000$, ils vont se priver de bonnes volontés dans le futur.

Si je trouve un bug quelque part, je suis déjà bien gentil de passer du temps a le trouver, puis a le signaler...

Faut pas en plus m’embêter avec des process qui me feront perdre du temps...
19/08/2013, 16h34
ptah35

Une manière efficace de faire disparaître totalement une grosse tache blanche sur un chapeau noir... la prochaine fois, il trouvera certainement des gens prêts à reconnaître son travail à sa juste valeur, mais pas forcément pour le bien de tous...
19/08/2013, 16h59
ZIED

Il les a surement vexé...
En plus c'est un palestinien! Donc pourquoi le récompenser?? c'est déjà bien qu'il n'est pas mis en prison!!
19/08/2013, 17h08
grim7reaper

Citation:

Envoyé par Cedric Chevalier

Google ou encore Facebook dépensent des sommes importantes dans des programmes permettant aux hackers de révéler des vulnérabilités qu’ils auraient découvert dans leurs produits.

Google je veux bien.
Mais Facebook, non : 500$

Citation:

As long as the bugs qualify under Facebook's whitehat terms and conditions, researchers can expect a reward of $500 or more.

Bon, ce n’est que le minimum mais ça ne vole pas très haut comparé à Google par exemple…
19/08/2013, 17h30
hn2k5

"CEO, bitch !"
;)
19/08/2013, 17h38
Invité

Je trouve ça très petit de la part de facebook ... mais ça m'étonne pas ...
J'aurais été le palestinien, je l'aurais joué différemment. Je les aurais prévenu d'une faille très importante sans préciser laquelle. Soit il accepte de payer, soit l'information sera diffusée à d'autres hackers moins gentil. C'est peut être pas légal mais ça doit marcher, surtout si tu leur laisse très peu de temps pour réagir.
19/08/2013, 21h29
tontonnux

Attention, bémole.

Si je comprend bien ce qui est précisé ici (visiblement le propre blog de Khalil Shreateh), voilà comme il pourrait avoir contacté Facebook au début:

(attention, la traduction est très - vraiment très - cavalière)

Citation:

Bonjour,

J'ai un diplôme tout beau en système informatique.

J'aimerai reporter un bug sur votre site (facebook.com) que j'ai découvert.
Le bug permet à un utilisateur de partager des liens avec d'autres utilisateurs facebook. J'ai testé sur le mur de sarah goodin et j'ai réussi à mettre un post.

link - > https://www.facebook.com/10151857333098885

Fatallement, l'opérateur Facebook qui a voulu testé à eu droit un refus d'affichage... puisqu'il n'est pas amis avec Sarah Goodin, il ne peut pas voir son mur... donc pas le post en question.

Alors, oui on peut se dire que le gas de Facebook aurait pu mieux fouiller (mais faut mettre le nombre de requêtes qu'ils reçoivent dans la balance).

Ensuite, comme Facebook lui a répondu qu'il ne trouvait pas de bug... il a fait pareil sur le mur de Zuckerberg. Évidemment, pas besoin d'opérateur, Zuckerberg a pu s'en apercevoir tout seul.

Finalement, il a bel est bien corrompu deux véritables comptes pour alerter Facebook. Il ne leur a jamais donné de précision sur la nature du problème, pas de proof of concept facilement vérifiable...

Qu'aurait pu faire Facebook après tout ça ? Le récompenser ? Récompenser quelqu'un qui alerte d'une faille en l'exploitant ?

Personnellement, je n'ai d'avis définitf sur la question, mais j'ai l'impression que l'histoire est plus grise que blanche ou noire.
19/08/2013, 23h23
GTSLASH

Citation:

Envoyé par ZIED

Il les a surement vexé...
En plus c'est un palestinien! Donc pourquoi le récompenser?? c'est déjà bien qu'il n'est pas mis en prison!!

Vraiment ?? :ccool: :calim2: C'est bien frequenté developpez.com a ce que je vois
20/08/2013, 03h44
Muchos

@GTSLASH: C'est de l'ironie :)
20/08/2013, 05h04
jmebula

facevulnerable

malgres tout! il merite ce qu'il reclame, sinon facebook manquerra plus concernant des informations du genre!!! ou soit facebook se sent umilier apres que Marck Z. ai eté piraté
20/08/2013, 08h29
transgohan

Citation:

Envoyé par tontonnux

Fatallement, l'opérateur Facebook qui a voulu testé à eu droit un refus d'affichage... puisqu'il n'est pas amis avec Sarah Goodin, il ne peut pas voir son mur... donc pas le post en question.

Un opérateur sans aucun droit sur le logiciel ? C'est comme un mécanicien sans outils pour réparer votre voiture...
20/08/2013, 08h44
_Carole

J'aimerai bien connaitre le nombre de de personne dans la "security team" et le nombre de demande à traiter (Moyenne journalière? mensuelle ?)... Juste pour se faire une idée.

Savoir combien de temps ils passent sur une demande/remarque aiderait sans doute à comprendre.
20/08/2013, 09h35
imikado

Il me semble que des hackeurs faisaient ça au début de l'informatique pour se faire embaucher, bon la, ça n'a pas trop marché :(
20/08/2013, 09h35
MacDev

Je dirais que l'erreur est humaine mais perseverer dans l'erreur c'est diabolique! FACEBOOK a commis une erreur. Mais il y a encore la possibilité de la corriger en choisissant d'octroyer la recompense à notre chercheur pour le labeur qu'il y a mis. Au lieu de 10000$ on peut faire 7000$ par exemple.
20/08/2013, 09h40
tontonnux

Citation:

Envoyé par transgohan

Un opérateur sans aucun droit sur le logiciel ? C'est comme un mécanicien sans outils pour réparer votre voiture...

Ma phrase n'était qu'une reprise de sa propre explication.

Sinon de façon plus large, un opérateur avec tout les droits, jamais de la vie !
Si une opération nécessite un certain niveau de droit, alors il n'est pas question de laisser "n'importe qui" faire ce qu'il veut.
Pour une structure et un site de l'importance de Facebook, je ne serais pas du tout étonné que les premiers à voir ces notifications n'ont qu'un périmètre de responsabilité réduit (et donc les limitations en droit qui vont avec). Ils devraient en fait servir de "filtre" pour router les demandes reconnues comme valides vers les personnes compétentes pour ne pas les polluer.
20/08/2013, 09h41
gangsoleil

Citation:

Envoyé par MacDev

JMais il y a encore la possibilité de la corriger en choisissant d'octroyer la recompense à notre chercheur pour le labeur qu'il y a mis. Au lieu de 10000$ on peut faire 7000$ par exemple.

La recompense de Facebook, c'est $500, pas 10 000.

Et sinon, la question est de savoir si, pour reveler une faille, tu as le droit d'utiliser des moyens illegaux (utilisation de comptes tierces dans ce cas). FB dit que non, lui dit que oui.

C'est un debat vieux comme le monde, et ce n'est pas ce cas la qui va le resoudre.
20/08/2013, 09h58
Derf59

[MODE JOKE ON]
En plus un "palestinien" qui pirate un compte d'une personne influente d'origine "juive", il cherche les problèmes, c'est pas la prison qu'il risque d'obtenir c'est une visite d'un missile ou du mossad LOL
[MODE JOKE OFF]
20/08/2013, 10h08
phili_b

Citation:

Envoyé par gangsoleil

pour reveler une faille, tu as le droit d'utiliser des moyens illegaux (utilisation de comptes tierces dans ce cas). FB dit que non, lui dit que oui.

C'est un debat vieux comme le monde, et ce n'est pas ce cas la qui va le resoudre.

Oui mais le débat n'est pas que là. Mais "comment faire pour avertir quand l'entreprise est fermée comme une huitre et qu'on doit montrer patte blanche". Dans la vie réelle on peut informer qu'il y a un feu à une maison sans être pompier.

Après il s'est fait un petit plaisir en piratant la page du pdg. Ce n'était pas méchant, il n'a rien cassé, mais comme il lui foutu la honte, hop banni. Pour les failles ultérieurs peut-être que les hackers sauront à quoi s'en tenir. En plus si c'est $500 il ne comptait peut-être même pas dessus.
20/08/2013, 10h19
tontonnux

Citation:

Envoyé par phili_b

Oui mais le débat n'est pas que là. Mais "comment faire pour avertir quand l'entreprise est fermée comme une huitre et qu'on doit montrer patte blanche". Dans la vie réelle on peut informer qu'il y a un feu à une maison sans être pompier.

Après il s'est fait un petit plaisir en piratant la page du pdg. Ce n'était pas méchant, il n'a rien cassé, mais comme il lui foutu la honte, hop banni. Pour les failles ultérieurs peut-être que les hackers sauront à quoi s'en tenir. En plus si c'est $500 il ne comptait peut-être même pas dessus.

Facebook propose un lien qui permet de poster ce genre d'alerte. Il s'en est servi, non pas pour expliquer ce qu'il avait trouvé, mais pour dire qu'il avait trouvé quelque chose et qu'il s'en était servi.
Si au lieu d'exploiter directement la faille sur le compte de quelqu'un, il avait décrit sa découverte en expliquant la procédure pour y parvenir, il n'y aurait eu aucun souci et il aurait eu sa "récompense".

Découvrir une faille et l'exploiter sont deux choses distinctes.

Voir 40 message(s) de cette discussion en une page