Auteur/autrice : bluetouff

Publié le

Le message hilarant de l’interface de gestion des DNS chez #SFR Business Team

SFR SQLi
… Our website may be subject to SQLi

Il y a des trucs comme ça, quand on ne s’y attend pas, ça fait vraiment du bien.

Alors que j’étais en train de m’arracher les cheveux à comprendre comment changer un enregistrement A sur l’interface de gestion des DNS de SFR Business Team pour un ami (et donc à comprendre que je ne peux pas le faire moi même et qu’il faut en faire la demande pour la modique somme de 60€ HT)…

Je suis tombé alors sur l’un des messages les plus hilarants qu’il m’ait été donné de découvrir sur une interface clients. J’en ai conservé un screenshot que je partage ici avec vous (cliquez pour agrandir).

sfrbusinessteamfail

Pour les personnes qui n’ont pas compris la subtilité de ce message, SFR avertis gentiment l’utilisateur que le champs de commentaire est probablement vulnérable à des injections SQL. Donc, pour des raisons de sécurité, (comprenez la sécurité du site SFRBusinessTeam et de ses clients)… s’il vous venait à l’esprit de leur laisser un commentaire, ça serait bien d’éviter de mettre leur base de données à poil en utilisant les caractères et chaines de caractères mentionnés… Bref le genre de message que je n’avais encore jamais croisé jusque là.

sfr lulz

Chapeau la Business Team et merci pour le fou rire 😉

Update 1 : Le gag avait déjà été reporté en janvier dernier(!) par Sebsauvage <3.

Attention ce qui suit est un scoop 🙂

Update 2 : Bon alors pas de panique surtout, bientôt on pourra modifier nos DNS grâce à Office365 directement depuis un doc Word ou Excel !

Capture d’écran 2013-11-20 à 15.40.15

admin cat

Publié le

La CADA donne son accord pour la transmission des documents relatifs au coût du site web de la Fondation #Carla Bruni #Sarkozy

Image-61-300x284C’est à la vigilance de @VincentGranier que nous devons cette information. La CADA (Commission d’Accès aux Documents Administratifs) a publié sur son site web un avis favorable à la transmission des documents de ce qui semble tout à fait être les documents relatifs à l’élaboration et la maintenance du site web de la fondation Carla Bruni Sarkozy. Si le demandeur comme le site web et la fondation ne sont pas explicitement nommés, il semble tout de même faire peu de doutes qu’il s’agisse bien du site de la fondation Carla-Bruni Sarkozy qui avait cet été défrayé la chronique et dont je vous avais largement parlé sur Rue89 comme ici ou encore là.

Pour mémoire, le site web de la fondation aurait été largement financé par la Présidence de la République entre 2007 et 2012. L’examen technique du site faisait froid dans le dos et nous étions nombreux à ne pas nous expliquer un tel coût pour le contribuable correspondant à deux rubriques qui à en croire les explications de la fondation, n’existeraient même plus ! La Cour des Comptes avait confirmé ces informations.

cdc

Ce nouvel épisode devrait donc lever le voile sur les mystères qui ont conduit la Présidence de la République à financer une partie d’un des WordPress les plus chers du monde.

Je vous copie donc ici l’avis complet de la CADA :

Présidence de la République

Avis 20133473 – Séance du 10/10/2013

Monsieur X a saisi la commission d’accès aux documents administratifs, par courrier enregistré à son secrétariat le 10 septembre 2013, à la suite du refus opposé par le secrétaire général de la Présidence de la République à sa demande de communication des documents suivants, relatifs à la création, l’entretien, la sécurité et le développement du site www.X.org, pour les années 2007 à 2012 :
1) la définition des besoins par la présidence, les organismes consultés avant le choix définitif des prestataires pour ce site et les avis d’appel d’offres ;
2) les équivalents temps plein des personnels de la présidence affectés à la réalisation et la tenue de ce site ;
3) les contrats de prestations et fournitures commandés et financés par la Présidence de la République ;
4) les factures correspondant à ces prestations ;
5) les prestations produites et les actes de « service fait » ;
6) les financements extérieurs de ce site, tels ceux en provenance de la fondation X-X.

La commission estime tout d’abord que, s’ils existent, les documents produits ou reçus par la Présidence de la République qui se rapportent au financement du site internet de la fondation X-X par des fonds publics, à des prestations financées sur fonds publics ou à des contrats passés par la Présidence de la République doivent être regardés comme se rapportant aux missions dévolues à l’Etat dans l’exercice de sa mission de service public au sens de l’article 1er de la loi du 17 juillet 1978 et présentent de ce fait le caractère de documents administratifs, sujets au droit d’accès prévu par l’article 2 de cette loi (cf jugement du tribunal administratif de Paris, 17 février 2012, n° 0920763). Il en irait notamment ainsi des documents mentionnés au point 6) s’ils existent et se rapportent à des financements privés qui auraient abondé le budget de l’Etat. Les documents mentionnés au point 6 qui se rapporteraient seulement au financement privé d’un organisme de droit privé tel que la fondation en cause devraient, en revanche, être regardés comme des documents privés dépourvus de caractère administratif au sens de la loi du 17 juillet 1978.

La commission considère ensuite qu’eu égard à l’objet des documents sollicités, leur communication, s’ils existent, ne paraît pas susceptible de porter atteinte à l’un des intérêts protégés par l’article 6 de la même loi, sauf en ce qui concerne les éventuelles mentions dont la communication porterait atteinte au secret en matière commerciale et industrielle et que pourraient comporter les documents correspondant aux points 3 à 5.

La commission estime donc, sous cette réserve, que les documents sollicités, s’ils existent, sont communicables à toute personne qui en fait la demande.

La commission précise que, conformément au troisième alinéa de l’article 2 de la loi du 17 juillet 1978, le dépôt aux archives publiques des documents sollicités qui sont communicables ne fait pas obstacle au droit à communication à tout moment de ces documents. Seuls les documents qui, compte tenu des mentions relevant du secret en matière commerciale et industrielle qu’ils comporteraient, ne seraient communicables à toute personne qui le demande qu’à l’expiration du délai de vingt-cinq ans fixé au a du 1° du I de l’article L. 213-2 du code du patrimoine ne pourraient être communiqués au demandeur qu’après délivrance de l’autorisation de déroger à ce délai prévue à l’article L. 213-3 du même code, si l’intérêt qui s’attacherait à une telle consultation ne conduisait pas à porter une atteinte excessive à ce secret. S’agissant de documents d’archives publiques émanant du Président de la République et dont le versement a été assorti de la signature du protocole prévu à l’article L. 213-4, cette autorisation de déroger au délai prévu à l’article L. 213-2 nécessiterait l’accord du signataire du protocole. Aux termes mêmes du premier alinéa de l’article L. 213-4, ce protocole ne s’applique pas aux documents qui, compte tenu des délais fixés à l’article L. 213-2, sont déjà communicables à toute personne qui le demande, et l’accord du signataire du protocole n’est pas requis pour leur communication.

La commission émet donc un avis favorable à la demande, sous les réserves précisées plus haut. Elle comprend de la réponse que lui a faite la directrice du cabinet du Président de la République que les documents sollicités ne sont pas détenus par ses services mais, s’ils existent, n’ont pu qu’être inclus dans le versement aux archives des documents émanant de l’ancien Président de la République. La commission l’invite donc, conformément au quatrième alinéa de l’article 2 de la loi du 17 juillet 1978, à transmettre la demande, accompagnée du présent avis, au service d’archives susceptible de détenir ces documents. »

Publié le

Ton Internet est plus souverain que le mien ? Mon cul !

internet
Avez-vous confiance en chacun de ces points ?

Assez régulièrement, de manière directe ou indirecte, personnelle ou impersonnelle, j’ai le droit au couplet Google vs privacy. Ce n’est d’ailleurs pas comme si je n’avais jamais abordé la question, comme si je ne m’étais pas moi même questionné sur le bien fondé d’utiliser tel ou tel service pour tel ou tel usage. Derrière Google qui motive les interrogations de certains, se cache souvent notre propre incurie en matière de nouvelles technologies. On peut retourner le problème dans tous les sens et penser qu’on détient la vérité parce qu’on utilise tel ou tel outil, mais Internet est là pour nous rappeler qu’au final, nous sommes nous même un maillon d’une chaine que l’on voudrait croire de confiance.

Si je devais définir Internet aujourd’hui (ce ne sera surement plus le cas demain), je dirais que c’est ce qui part de vos doigts et qui s’affiche sur mon écran. Ce que je lis, ce par quoi je communique, l’intelligence comme l’outil sont fournis par tout ce que je ne maitrise pas. Internet est donc par définition pour moi « ce que je ne peux pas maîtriser ». Ce qui me conforte dans cette définition que je me fais d’Internet, c’est que je croise régulièrement des gens qui m’expliquent qu’utiliser tel ou tel service, quand on s’appelle Bluetouff, ou Reflets, c’est incohérent, paradoxal, stupide, hypocrite… En général, les personnes qui m’adressent ce genre de remarques ne le font pas par le biais d’un pigeon voyageur, ni même d’un mail sur-chiffré, ils le font sur un réseau bien public, contrôlé par une entreprise américaine dont une bonne partie de l’infrastructure se trouve hébergée chez… Google.

La question du contexte, que je martèle depuis quelques années est donc largement éludée. Ce n’est pas forcément un « troll », mais le reflet brut de notre méconnaissance d’autrui. Combien sommes nous à opiner du chef avant de cliquer « j’accepte de me faire baiser la gueule en gobant toutes vos conneries sur la protection de ma vie privée tellement elles sont bien rédigées par un putain d’avocat qui déchire sa mère ? »

La question de la souveraineté d’un service que l’on utilise sur Internet est une connerie sans borne. Quand je tape le mot souverain dans Google images, voici ce que l’intelligence mondiale me répond… voyez y un signe… ou pas. Moi ce que j’y vois, c’est l’illustration de l’interdépendance la plus forte qui soit de nos jours. Il n’y a rien de plus censurable, de moins sécurisé, de moins résilient (yes comment j’ai bien réussi à le placer celui là), de moins quantique, de moins hipster… et de moins hypocrite… qu’un service souverain. Vous m’objecterez quoi ? Qu’un fournisseur d’accès souverain c’est souverainitude absolue ? … oui probablement… enfin sur son LAN.

Les tuyaux comme l’intelligence qui acheminent vos informations d’un bout à l’autre de la planète sont tout sauf souverains, c’est pour ça qu’on les voudrait neutres. Vous pourrez stocker vos données dans un cloud quantique souverain, quand ça bouchonnera entre l’AS de Free et celui de votre cloud souverain, vous passerez probablement par un routeur chinois pas souverain, par un câble anglais pas souverain, par une appliance allemande pas souveraine… le tout envoyé depuis une machine dont le seul truc souverain que vous pourrez revendiquer sera le taux de TVA applicable sur la facture papier de la FNAC. Notez que je vous épargne l’aspect business du machin souverain filiale d’un fond de pension américain.

La défense de nos droits à la vie privée ne passe pas par Internet mais par les urnes… mais que nous reste t-il quand ces urnes nous mentent ? Internet n’est que la première banderole mondiale, à nous d’y inscrire un truc intelligent, à nous de croire qu’elle pourra être lue par tous aux quatre coins de la planète, certifiée par le cachet x509 d’un tiers de confiance.

Publié le

Sans polémique… aucune

sidHier nous apprenions le décès de Sid, Cédric Blancher. Talentueux hacker, figure incontournable de la sécurité informatique, blogueur non moins talentueux, et avant tout, un personnage attachant. Cédric a trouvé la mort à 37 ans… un saut en parachute qui a mal tourné.

La pudeur aurait voulu que sa mémoire soit saluée dignement, pour sa famille, pour ses proches, pour toutes les personnes qui l’ont croisé et apprécié son accessibilité, son ouverture, ses contributions aux communautés de hackers. Mais un journal en a décidé autrement. Un journaliste a jugé intelligent d’aller interviewer le président de la ligue de Picardie de parachutisme, ce dernier tient des propos qui peuvent nous paraitre, à nous qui connaissions Cédric, parfaitement déplacés dans ce contexte douloureux.

Se servir de cette tragédie pour servir un tel article est indigne de la part d’un média. Sans polémique aucune, je m’en tiendrai à ces quelques mots, pour ne pas ajouter à la douleur, la colère.

A bientôt Sid.

Publié le

La #NSA surveillerait #Alcatel, l’un de ses fournisseurs… sans blague ?

obama-big-brotherLe Monde nous a hier gratifié de nouvelles révélations sur les programmes d’interception et de surveillance des services américains. Ces dernières révélations ont fait du bruit, poussant Laurent Fabius à convoquer dans l’urgence l’ambassadeur des Etats-Unis en France, tout particulièrement pour demander à ce dernier de s’expliquer sur l’espionnage dont serait les cibles deux joyaux technologiques français :

  • le franco français Orange, enfin Wanadoo comme on l’appelle encore à la cafet’ de la NSA
  • le franco américain Alcatel, un fournisseur comme on l’appelle au service compta de la NSA

Si l’espionnage de Wanadoo peut sembler « curieux » de prime abord, il faut simplement se remémorer quelques éléments de contexte.

  • Orange est le plus important fournisseur d’accès à Internet de France
  • Orange opère la majorité des infrastructures acheminant des données en France, y compris celles par lesquelles passent les données des autres fournisseurs d’accès, appelons-les « les autres » ou  « les opérateurs pas historiques ».
  • Orange a une présence à l’étranger très, très importante. Si vous voulez intercepter les conversations téléphoniques de pédo-nazis terroristes en Ethiopie par exemple, c’est bien sur le cas d’Orange qu’il faut se pencher puisque c’est ce dernier qui a mis en place les infrastructures de l’opérateur national local.
  • Posez vous une question idiote : combien de députés ou de journalistes ont encore un mail @wanadoo.fr actif ? En fait, ce sont encore 4,5 millions de français qui utilisent une adresse @wanadoo.fr
  • Orange opère aussi d’autres réseaux (x25, système de communication des professionnels de santé etc…) et quelques échanges de techniciens d’une messagerie pseudo sécurisée par une entreprise qui a découvert par accident le chiffrement asymétrique il  y a trois ans (ne riez pas cette anecdote est authentique), croyez le ou non, mais c’est providentiel quand on joue les big brothers.

Aussi pour toutes ces raisons et certainement d’autres comme celles qui lient contractuellement Orange à de gros autres opérateurs mondiaux, c’est une proie plutôt sympa quand on s’appelle la NSA.

Passons maintenant au cas Alcatel. Alcatel Lucent est une entreprise franco américaine et surtout, en 2010, l’un des principaux équipementiers déployant des routeurs de services chez les opérateurs US (auxquels la NSA accède dans le cadre du programme PRISM). Le renforcement des lois exerçant l’emprise des services secrets américains sur les infrastructures des fournisseurs d’accès à Internet aux USA ne leur laisse pas tellement le choix, il faut déployer de puissants systèmes embarquant le nécessaire pour la collecte de données. Et quoi de mieux qu’un bon gros routeur de service pouvant intercepter le contenu des communications (grâce au Deep Packet Inspection) sur des débits relativement importants ?

En 2010, Alcatel, c’est un peu l’arme ultime anti hackers chinois, tout comme une poignée d’entreprises américaines (Narus, Cisco Systems, Juniper…) . Les USA sont alors en pleine cyber gueguerre sur deux fronts distincts : le front chinois avec Aurora, le front iranien avec le déploiement de Stuxnet dont on commence déjà à l’époque à perdre le contrôle.

Alcatel présente un autre avantage quand on veut par exemple écouter Orange et nombre des fournisseurs d’accès avec lequel l’opérateur travaille directement. Alcatel et Orange ne sont d’ailleurs pas non plus étrangers à la technologie xDSL, l’une des plus répandue dans le monde. On ne vas donc pas reprocher aux américains de s’intéresser à une technologie française pouvant avantageusement remplacer leur réseau câblé tout moisi de l’époque.

C’est donc avec une paranoia qui n’est pas exclusivement due à la traque aux barbus jihadistes que la NSA opère ses écoutes. En fait, avec Alcatel, elle opère avant tout un contrôle sur les équipements qu’elle utilise elle-même, à savoir des routeurs de services Alcatel 7750 : 7750_SR_Portfolio_R10_EN_Datasheet (PDF)

7750_largeEn 2010, les plus gros clients d’Alcatel pour cette gamme sont américains et canadiens. Il gèrent déjà du DPI (que l’on appelle alors du H-QoS, pour Hierarchical Quality of Service) à raison de  100 Gb/s par puce… et il y a jusqu’à 4 puces en fonction des configurations sur ces modèles. Déployés au coeur de réseau chez les opérateurs ils permettent aussi bien de facturer des services IP que d’intercepter à la volée des communications IP. Faites une recherche des termes « lawful interception » sur ce PDF : 9301810201_V1_7750 SR OS OAM and Diagnostics Guide 6.1r1.

Alcatel et Orange intéressent donc la NSA, ok c’est un fait. Nous en avons naturellement beaucoup parlé et ceci indigne à juste titre la France, alliée indéfectible des USA. Mais peut-il réellement en être autrement pour ces deux entreprises qui déploient à travers le monde leurs câbles sous-marins, autoroutes de nos échanges numériques, et dorsales d’interception privilégiées de tous les services de renseignements de la planète ?

le-Raymond-Croze
Le Raymond Croze, un navire câblier de la flotte d’Orange Marine

Si la NSA surveille Alcatel, il y a fort à parier qu’elle surveille également des entreprises comme Amesys ou surtout Qosmos, dont on retrouve la technologie chez des équipementiers américains et qui est précurseur dans les technologies d’inspection en profondeur des paquets (DPI).

Et puis posons clairement la question… Qosmos marque un intérêt prononcé pour la détection de protocoles et la reconnaissance de signatures émanant d’applications en ligne d’origine chinoise. A t-elle développé ceci pour ses propres besoins ou a t-elle un client qui a ses grandes oreilles rivées sur la Chine ?

La menace terroriste est très loin d’être la seule chose qui intéresse le monde du renseignement aux USA. On ne peut que regretter de l’apprendre à nos dépends, de manière aussi brutale, ou se consoler en se disant que la France, elle aussi, profite des informations collectées par les services américains qu’elle échange contre ses propres informations.

Mais que Laurent Fabius ne s’inquiète pas, nul besoin de convoquer la diplomatie américaine et nous jeter de la poudre aux yeux, puisque je vous parle ici de matériel grand public et de méthodes d’interception grand public comme il le dit lui même (enfin sous la bienveillante égide d’un nègre de la Direction du Renseignement militaire qui avait déjà fait déblatérer les mêmes âneries à Alain Juppé) quand la France vend un Eagle au Maroc qui ne manquera surement pas d’idées pour en faire un usage en parfaite adéquation avec les valeurs de notre république.

Alors Alcatel ? … Entre nous, ça vous fait quoi d’être vous mêmes les pseudos victimes de vos propres équipements ?

Publié le

Reflets.info est censuré par @Maroc_Telecom : #FreeAnouzla

Ali-AnouzlaC’est probablement suite à un article évoquant la censure des sites lakome.com et fr.lakome.com  que Reflets.info se voit censuré depuis cette nuit par le fournisseur d’accès national marocain, Maroc Telecom. Reflets entre ainsi au panthéon du terrorisme marocain pour son allégorie de l’iceberg, un article vous le noterez qui a tout ce qu’il faut comme critères objectifs pour être assimilé à une incitation au terrorisme, argument brandi par le pouvoir marocain pour priver illégalement de liberté le responsable de Lakome, Ali Anouzla, depuis maintenant plus d’un mois.

La stupidité de cette censure n’a d’égal que la peur d’un régime fébrile qui ne sait plus quoi faire pour étouffer la liberté de la presse, pour manipuler l’opinion publique et surtout, pour essayer de préserver ce qui lui reste de crédibilité.

En France nous pouvons regretter que nos politiques cautionnent par leur silence la vente de systèmes de surveillance de masse et de censure à un pouvoir marocain qui affirme jour après jour sa volonté de museler toute opposition en brandissant l’argument du terrorisme. En vendant un Eagle au Maroc, et pour une poignée de millions d’euros de quoi stocker l’ensemble des métadonnées des communications des marocains, la France par le biais des sociétés Amesys, ServiWare et Alten pour ne citer qu’elles, cautionne le muselage de la presse et du peuple marocain, tranchant ainsi fortement avec les atours de chantre des droits de l’Homme que notre république est sensée incarner.  Le silence des politiques à ce sujet est intolérable et sur Reflets.info comme ailleurs nous n’aurons de cesse de dénoncer les mensonges hypocrites de ces derniers quand ils affirment qu’il s’agit de matériel grand public et que ce dernier n’a à souffrir d’aucune autorisation à l’exportation.

xaqxa

La censure illégale de Lakome et celle totalement absurde de Reflets.info par Maroc Telecom ne sont qu’une illustration de plus d’un pouvoir fébrile qui n’a pour arme que de tenter de dissimuler l’information, comme on cacherait de la poussière sous un tapis. Personne n’a jamais arrêté l’océan avec ses mains. Face à Internet, dont il a visiblement une peur bleue, le pouvoir marocain aura beau s’équiper de tous les outils de censure que la France ou d’autres pays qui se font chantres des libertés voudront bien lui vendre, son illusion de pouvoir finira par s’écrouler. On ne nourrit pas un peuple qui a faim d’information et de liberté avec des matraques, soient elles numériques.

Publié le

Carla Bruni Sarkozy : Anatomie d’une cyber catastrophe à 410 000 euros pour le contribuable

JW7-SECURITY 3d———

Errata :

Le site Politique.net infirme les précisions du nouvelObs reprises dans cet article. Effectivement, dans son article, le NouvelObs précisait en intertitre « 60 000 euros de fonctionnement », un fonctionnement qu’il détaillait en ces termes :

« A celle-ci s’ajoutaient tous les mois les facturations de deux prestataires externes assurant pour la Première dame la gestion d’un site internet pour un montant de 25.714 euros, soit une dépense mensuelle totale de plus de 60.000 euros », avait conclu Matignon. »

Je dois avouer que je n’ai pas spécialement vérifié cette information du NouvelObs, ce n’était d’ailleurs pas du tout l’objet de mon article qui se borne à des points techniques factuels en dehors des infos reprises. Il semblerait en fait que sur les 8 collaborateurs, seuls 2 étaient affectés à la gestion de contenu sur le site web de la première dame.

no

Politique.net nous explique que :

« Or, c’est faux. Le Nouvel Obs a mélangé deux informations distinctes : d’un côté, il y avait 8 collaborateurs, de l’autre, il y avait un site web. Si le coût total du cabinet de Bruni est bien de 60 000 euros, ni la Cour des comptes, ni Matignon n’ont précisé que les 8 collaborateurs étaient en charge de la gestion du site de Carla Bruni. La preuve ? Valérie Trierweiler a cinq collaborateurs mais pas de site web. Il faut donc croire qu’ils ont autre chose à faire…« 

Cette information ne retire cependant rien à la démonstration faite dans l’article ci-dessous. J’irais d’ailleurs plus loin en estimant le coût réel de ce site (développement, graphisme, gestion de projet inclus) à environ 25 000 euros, soit environ la somme déboursée par le contribuable chaque mois pour l’entretien de ce site. Je serais au passage curieux de savoir de combien ce budget mensuel a été revu à la baisse depuis qu’il est assumé par la fondation et non plus par le contribuable.

Second point maintenant qui me semble important de préciser à l’occasion de cet errata. L’hébergeur du site n’est probablement pas la société qui doit occuper le plus gros du budget. Je prendrai à titre de comparaison un site, lui aussi reposant sur WordPress, d’un grand hebdomadaire français que j’héberge : sans aucun plugin de cache, sans load balancer, sans Squid, sans Varnish, sans autre chose qu’un serveur Apache correctement configuré pour accueillir sans broncher plusieurs milliers de visiteurs simultanés (soit certainement bien plus que ce que doit encaisser le site de la fondation Carla Bruni), revient à moins de 200 euros par mois. Si on le facture avec une marge à x5, on le facture environ 1000 euros HT, reste donc 24 714 euros dont on se demande bien dans quelle poche ils ont pu atterrir et surtout à quel motif.

Si l’on veut mettre un administrateur système à plein temps (faut pas rêver, ce n’est certainement pas le cas… un admin à plein temps pour ce seul WordPress : ce serait parfaitement ridicule et surréaliste), on ajoutera un budget de 5000 euros par mois, toutes charges incluses, avec tickets restau, 13e mois et arbre de noël à l’Elysée pour ses 4 gamins. Ce qui fait quand même grimper la facture à 7000 euros par mois… ok… et bien il en reste encore 18 000 !

Je continue de m’interroger sérieusement sur ces coûts quand je le mets en perspective de ce que j’ai observé.

Merci à Politique.net pour ces précisions.

Note : J’ajouterai qu’une petite erreur s’est également glissée dans l’article de Politique.net, ce ne sont pas 15 000 lectures que l’article accuse (rien que pour Rue89), mais plus de 165 000.

Note 2 : Cet article n’était initialement pas fait pour « buzzer », et pour tout vous dire je préférerais voir un tel engouement sur les articles plus sérieux que nous produisons sur Reflets.info que cette polémique sur un site web de merde, même s’il demeure scandaleux que le contribuable en soit la victime… Et si on met Carla en tag sur nos articles Amesys, vous croyez qu’on pourra enfin « buzzer » sur des choses qui en valent le coup ?

———–

Début de l’article initial :

Depuis deux jours, ça troll assez sec sur Twitter au sujet du site web de Carla Bruni Sarkozy. A l’origine,un rapport de la cour des comptes (pdf), et un article publié sur Politique.net qui révèle que le site de l’ancienne première dame aurait coûté 410 000 euros au contribuable. A ce prix, là on s’attend naturellement à une véritable merveille, d’une qualité de code irréprochable, d’un design somptueux, d’une horde de hackers chinois qui met à jour le site toutes les heures… bref quelque chose de bling bling et bien vivant.

Je suis donc naturellement allé jeter un œil, et assez rapidement, j’ai pu prendre la mesure de la catastrophe.

Première surprise, à ce prix là, on s’attend à une technologie exotique avec de nombreux développements spécifiques… et paff, on tombe sur un WordPress, le même CMS utilisé pour ce blog, ou que nous utilisons également pour Reflets.info. Si je devais chiffrer techniquement le développement d’un site comme Reflets.info, ce dernier n’excéderait pas les 4000 euros pour une petite semaine de customisation de skin et modules. Comment celui de Carla Bruni Sarkozy a t-il pu être facturé 100 fois plus cher ?… Nous allons tenter d’essayer d’y répondre.

Visiblement, ce coût exorbitant n’est pas imputable aux postes infogérance (semble t-il réalisée par Integra à en croire les DNS et le whois de l’ip du serveur qui héberge le site) et maintenance applicative. Car, c’est une autre surprise de taille, le WordPress n’est techniquement pas maintenu. Le fichier readme.html arbore fièrement une version 3.0.4. Une version qui date quand même du 29 décembre 2010. Depuis 2010, le WordPress à 410 000 euros, financé par nos impôts, n’a pas été mis à jour. A titre d’information nous en sommes, à l’heure où nous écrivons ces lignes, à la version 3.5.2 !

gkrellShoot_07-21-13_212720

Troisième surprise (et pour le coup vu la seconde, ce n’est pas franchement une surprise), le site de Carla Bruni Sarkozy est une véritable passoire. On en déduira donc que les 410 000 euros du budget de ce site ne sont  pas non plus imputables à des audits de sécurité réguliers. C’est un véritable festival niveau vulnérabilités…

Quand on part d’une base aussi moisie, on se doute bien que niveau plugins, ça doit un peu être la fête du slip string…Bingo !

On arrive dans le plus violent avec ce module très populaire NextGEN Gallery, ici, comme le montre le fichier changelog.txt du module, dans sa version 1.3.5 datée du 17 juillet 2009. Aujourd’hui, nous en sommes à la version 1.9.13. Évidemment ce plugin, dans cette version antédiluvienne, est vulnérable à quelques joyeusetés

Le site utilise un autre plugin vulnérable à un XSS, le plugin Subscribe2.

Si les 410 000 euros n’ont ni servi à l’infogérance, ni à la veille sécurité, ni à l’administration système et aux mises à jour pro-actives, ni aux développements spécifiques de fonctionnalités extraordinaires, ce budget à peut être servi à autre chose, comme le design. La skin aurait donc été développée par Zeni (site aujourd’hui disparu mais dont on trouve encore des traces sur la waybackmachine), « concepteur de sites web complexes » aujourd’hui racheté par Keyrus, spécialiste en « business intelligence« .

Comme le montre ce joli full path disclosure renvoyé par une fatal error, le nom du thème est TAMAYA-V2.

gkrellShoot_07-21-13_212844

Mouais… ben ça fait quand même un peu cher la skin.

Il y a bien un petit hack du plugin zdmultilang comme en atteste le répertoire zdmultilang-forked dans le répertoire de plugins, mais quand on voit comment il a été utilisé, on se dit que même si le fork a représenté du développement, c’était en pure perte, de simples pages statiques intelligemment nommées auraient parfaitement fait l’affaire.

Il nous reste donc la gestion de contenus : le site est encore mis à jour mais aux frais de la fondation cette fois ci. Politique.net nous explique que ce site a coûté au contribuable la bagatelle de plus de 25000 euros par mois ! Mais combien étaient ils pour poster des billets dans un WordPress !

A cette occasion, Matignon avait glissé qu’auparavant, deux prestataires externes assuraient la gestion du site de Carla Bruni, pour un coût de… 25 714 euros par mois

Mais ce n’est pas tout, car, oui, , il a bien fallu faire vivre les contenus du site et là, c’est le NouvelObs qui nous annonce la couleur, soit 8 collaborateurs pour une rémunération nette globale de plus de 36 000 euros. Soit en tout 60 000 euros par mois pour faire fonctionner un WordPress qui n’a jamais été mis à jour.

Les services du Premier ministre avaient complété cette réponse d’une comparaison avec le dispositif dont bénéficiait Carla Bruni-Sarkozy, qui n’était pas nommément citée : « huit collaborateurs étaient affectés au service de la Première dame en janvier 2012 pour une rémunération mensuelle nette globale de 36.448 euros ».

« A celle-ci s’ajoutaient tous les mois les facturations de deux prestataires externes assurant pour la Première dame la gestion d’un site internet pour un montant de 25.714 euros, soit une dépense mensuelle totale de plus de 60.000 euros », avait conclu Matignon.

Bref… Pour avoir vu un paquet de sites WordPress, du modeste blog à l’Intranet de la mort avec des tonnes de développements spécifiques, je dois dire que je reste sidéré de constater le coût pour le contribuable de ce site si mal entretenu.

Je suis en train d’essayer de me contenir, mais voilà, il faut que ça sorte, le contribuable s’est fait escroquer, c’est pour moi une évidence. Les ingrédients pour arriver à ça sont :

  • Des prestataires multiples ;
  • Une gestion de projet qui respire l’incompétence ;
  • Des choix techniques douteux (des hacks de plugins qui ne sont plus maintenus et qui empêchent les mises à jour) ;
  • Une folie des grandeurs ;
  • Et un doigt tendu bien haut au contribuable.

 

Publié le

#Snowden, #Assange : cette France qui conchie ses principes fondateurs

FreedomNous vous avons expliqué comment Amesys avait réussi son petit tour de passe passe pour exiler (tout en gardant la propriété) Eagle, son outil de surveillance de masse aux Emirats Arabes Unis, il y a quelques mois de ça. Aujourd’hui en refusant d’accorder à Edward Snowden l’asile politique, ou du moins en montrant une grande frilosité à se poser la question, la France conchie les libertés fondamentales inscrites dans sa Constitution, elle conchie ce qui est censé être notre ciment social.

Comme Julian Assange, Edward Snowden est physiquement menacé. Les informations qu’ils ont révélé sont classifiées aux USA et au motif du délit de « conspiracy » et d’espionnage, tous deux risquent la peine de mort, au mieux, comme le prévoit le Patriot Act, de finir leurs jours à Guantanamo, sans même être jugés.

La France, sur le papier, pays des droits de l’Homme et de la liberté d’expression, préfère donc couvrir l’exile financier et technologique de ses produits de surveillance de masse « made in France », plutôt que d’octroyer à ces deux personnes, auxquelles nous devons une prise de conscience mondiale, leur droit le plus élémentaire : celui de vivre.

Il faut bien comprendre que sous notre droit à nous, Edward Snowden comme Julian Assange n’ont commis aucun délit en publiant des informations classifiées aux USA car elles ne le sont pas du tout en France.

Du point de vue du droit « connu » de nos citoyens (que l’on opposera à des accords secrets), rien ne s’oppose donc à ce que Snowden et Assange puissent bénéficier de la protection de la France, ce serait même parfaitement légitime, humain et dans la droite lignée des valeurs que notre République dit défendre.

Cette frilosité, mise en perspective avec la fuite incompréhensible et innacceptable des activités d’Amesys qui lui valent pourtant aujourd’hui une enquête pour complicité de tortures en Libye sous le régime de Kadhafi, donne un très mauvais signal. Si notre gouvernement cherche à ressouder les citoyens français, qu’il le fasse avec les valeurs inscrites dans notre Constitution. Qu’il ne se dérobe pas derrière des accords secrets passés avec les USA ou toute autre puissance. A l’heure où notre pays a besoin d’envoyer un message fort pour unir un pays en proie à la crise, au doute, à la défiance de la classe politique, il a une occasion unique d’enfin parler d’une seule voix en faisant bloc derrière des valeurs fortes, des valeurs humaines.

Aussi, nous pouvons, nous devons interpeler nos élus sur cette question. Nous avons le devoir, en tant que citoyens, de comprendre ce qui empêche notre gouvernement de donner son accord pour accueillir Edward Snowden et Julian Assange, nous avons le devoir de lui rappeler que les valeurs de la République ne sont pas exclusivement des produits d’exportation.

Publié le

#PRISM : Comment passer d’un #spagrave® au #chuichoquée® en moins de 48h ? (avec du @fleurpellerin dedans)

catchlonNos politiques européens sont de très talentueux comédiens. L’indignation d’Angela Merkel, en soi, c’était déjà risible. En France, exception culturelle oblige, nous ne sommes pas les plus mauvais quand il s’agit de sortir les violons pour endormir les masses. Souffler le chaud et le froid, c’est un art. En la matière, Fleur Pellerin est loin d’être la plus mauvaise. Notre ministre, en plus d’avoir une parfaite compréhension technique de l’affaire PRISM et des différentes sources d’informations constituant le gros de la doctrine SIGINT des USA depuis les attentats du 11 septembre, connait parfaitement les dossiers relatifs à la surveillance des réseaux, attendu qu’elle s’est très probablement penchée sur la cession d’Eagle par AMESYS à AMESys (le spin-off d’Amesys domicilié aux Émirats Arabes Unis pour vendre des outils de surveillance de masse sans avoir à se soucier d’éventuelles violations des droits de l’Homme… business is business).

Souvenez vous c’était il y a 48 heures, lors de son passage sur BFM. Fleur Pellerin nous expliquait quelque chose de très surprenant… Elle mentait, à minima, par omission :

« Ce qu’on sait aujourd’hui c’est qu’un certain nombre de sites, pas tous, ont donné sur requête judiciaire ou sur requête de l’administration américaine un certain nombre d’informations (…)»
(…)
« il n’est pas question d’une surveillance généralisée des réseaux (…) »

Aujourd’hui, le Monde titre « Espionnage de la NSA : la classe politique française estomaquée ». Estomaquée… rien que ça. Et la petite perle, c’est quand même la réaction toute neuve de Fleur Pellerin, qui avant les révélations du Guardian au sujet de l’espionnage des instances européennes, minimisait la portée de PRISM… mais non en fait, pas de PRISM (qui tout seul n’est pas grand chose et dont il fait peu de sens de  dissocier du contexte global), mais bien du programme de surveillance de masse opéré par la NSA et au moins 7 pays européens partenaires de la NSA, tous bien complices, tous parfaitement au courant.

Voici la réaction toute neuve de Fleur Pellerin :

En revanche, Mme Pellerin s’est dite choquée par le « dispositif de surveillance généralisée » des populations révélé par les premières fuites d’Edward Snowden, le programme Prism. Interrogée sur l’opportunité de représailles, comme la suspension des discussions commerciales, la ministre a appelé à « ne pas mélanger les sujets à ce stade. »

Si je rejoins Fleur Pellerin sur la position à adopter face aux USA, en évitant de tout mélanger, je suis bien plus sceptique sur le message subliminal renvoyé par ce genre de revirement. Non pas de la part de Fleur Pellerin qui se dit choqué par la mise sous surveillance des citoyens, mais par les réactions de nombreux politiques, tout bords confondus, que l’on entend s’indigner pour la surveillance des institutions européennes.

Lisons entre les lignes :

  • Que la NSA viole les communications privées de tous les citoyens européens, ça, on s’en fout, c’est pas grave, on peut le minimiser, histoire de couvrir les pratiques de nos amis à gros zizi... et il faut le dire, aussi un peu peut-être nos propres pratiques.
  • Que la NSA viole les communications publiques d’une institution publique, au service du public, et financé par de l’argent public, ça c’est choquant !

Puis après tout, si l’UE n’a rien à se reprocher, c’est qu’elle n’a rien à cacher non ? Ah non ? Ça marche pas ça avec les institutions ? C’est que pour les citoyens ?

Heu … WTF ? Aurais-je loupé un épisode ?

Publié le

Les inquiétants mensonges de Fleur Pellerin au sujet de PRISM

lolcat-oathOn attendait une réaction de Fleur Pellerin au sujet de PRISM un peu moins farfelue que « le cloud souverain » avec lequel elle a tenté de nous endormir la semaine passée. Nous avons failli en avoir une ce matin un peu plus sérieuse… mais non. Fleur Pellerin a décidé de récidiver et de s’enfoncer dans le mensonge.

Dormez tranquilles citoyens, la République et l’Europe veillent.

Une fois de plus, notre ministre, reçue par Jean-Jacques Bourdin sur BFM a commencé à évoquer PRISM d’une bien étrange manière. Écoutons attentivement ses propos, ils sont édifiants.

Pour notre ministre, PRISM, c’est juste l’équivalent de la PNIJ, des petites interceptions ultra ciblées qui ne concerneraient qu’une poignée de personnes, le tout sur demande d’un juge.

« Ce qu’on sait aujourd’hui c’est qu’un certain nombre de sites, pas tous, ont donné sur requête judiciaire ou sur requête de l’administration américaine un certain nombre d’informations (…)« 

Comme si l’interception de fibres sous-marines ne concernait que « quelques sites »… ahem…

L’ensemble du trafic et des communications des américains, dans la bouche de Fleur Pellerin devient donc « un certain nombre d’informations ».

« il n’est pas question d’une surveillance généralisée des réseaux (…) »

Ah… ça, c’est quand même gonflé !

De deux choses l’une, soit Fleur Pellerin est très mal informée, soit elle ment éhontément pour nous cacher quelque chose. Et comme je doute fort qu’elle soit mal informée, j’en déduis assez logiquement qu’elle nous ment avec un aplomb qui ne peut que cacher quelque chose d’inquiétant… au hasard, la complicité des autorités françaises (et européennes) sur des programmes connus de longue date, auxquels nous collaborons certainement et des écoutes hors de tout cadre juridique, opérées depuis l’étranger.

Le cabinet de Fleur Pellerin lui aurait il caché Mainway, Nucleon, Marina (…). Loin d’être comparable à un programme d’interception judiciaires, PRISM s’inscrit au sein d’un programme beaucoup plus vaste d’interceptions parfaitement massives composé de plusieurs sources de renseignement d’origine électromagnétique comprenant :

  • L’accès aux données chez de gros acteurs de la téléphonie et de l’Internet (avec stockage pour une durée indéterminée et exploitation à postériori) ;
  • L’interception massive des données au cul des câbles sous marins ;
  • Le piratage de backbones pour accéder à des masses d’informations considérables ;
  • Et probablement bien d’autres joyeusetés.

Voyons par exemple ce que dit CNet (et c’est le son de cloche dans toute la presse anglo-saxonne)

Newly disclosed classified document suggests firms allowed spy agency to access e-mail and phone call data by tapping into their « fiber-optic cables, gateway switches, and data networks. »

Fleur Pellerin, comme la commission européenne, est également étrangement silencieuse au sujet de Tempora, le programme britannique d’interceptions de masses.

D’ici à ce qu’on apprenne que la France était non seulement parfaitement au courant de Stellar Wind et fait elle même partie du dispositif, il n’y a franchement plus très loin. Mais voilà, Fleur Pellerin le sait, ce qui est à peu près accepté aux USA ne le serait probablement pas en France. Pourquoi ? Parce que contrairement aux USA, la France ne dispose pas de loi antiterroriste comme la FISA (Foreign Intelligence Surveillance Act) ou le Patriot Act permettant de violer massivement les communications de l’ensemble de la population.

Et plus le temps passe plus tout porte à croire que notre ministre allume des contre feu ridicules pour tenter d’éluder quelque chose dont elle a parfaitement conscience et qui devient particulièrement nauséabond.

Fleur… attention, ça commence à se voir.