mars 9th, 2010

De manière cyclique, l’actualité sécurité sombre dans le fait divers. Parfois dans le but de marginaliser l’importance d’un événement, parfois parce que le traitement débridé de l’information par les blogueurs et buzzeurs parvient à transformer une taupinière en Everest digne le la manchette du défunt Détective, parfois encore parce que l’information ne relève effectivement que du fait divers.

A titre d’exemple, cette semaine, peut-on lire sur le blog de Bruno Kerouanton un cri d’alarme à propos de la survie de Cryptome. Situation qui avait fait l’objet d’un article dans les colonnes de CNIS au début de ce mois. Cette fois, précise B. Kerouanton, c’est le compte Paypal de l’administrateur de Cryptome qui a été bloqué, coupant ainsi la principale source de revenus de ce site d’information. Rappelons que, la semaine passée, les avocats de Microsoft avaient envoyé à l’hébergeur de services de Cryptome une injonction de fermeture, pour ensuite se rétracter… une fois le « direct du gauche » asséné au webmestre. Le prétexte du « coup qui est parti tout seul,» est une pratique courante chez les plaideurs professionnels dont la solidité des arguments ne tiendrait pas plus de 2 minutes face à un juge d’instruction. Tant que s’appliquera cette justice « hors tribunaux », expédiée entre sociétés de droit privé en vertu d’une interprétation subjective de la loi, de tels excès seront commis. C’est hélas également ce qui risque de survenir en France, avec ces séries de dispositions législatives supposées désengorger les tribunaux, et qui donnent aux grandes entreprises et aux fournisseurs d’accès un « presque droit » de police et de justice privée. Le déséquilibre des forces est d’autant plus patent si cette justice sans juge s’exerce à l’encontre d’entités, d’associations ou d’organisations à but non lucratif, qui ne possèdent pas les moyens financiers qu’exige un hasardeux procès en préjudice. Paypal, de son côté, souvent impavide et muet face aux escroqueries commises sur les sites de ventes aux enchères, et dont le service clientèle est l’un des plus difficiles à joindre de ce côté-ci de l’Atlantique, agit exceptionnellement en gardien de la moralité, en se retranchant derrière d’obscures raisons gouvernementales. Rappelons que Cryptome a de nombreuses fois fait l’objet de pressions de la part d’agents fédéraux agissant officieusement.

L’on pourrait également parler de la lente désagrégation de Milw0rm, qui reste figé depuis plus de 3 mois sur une faille Notepad++. Longtemps conspué par les partisans de la « divulgation responsable » (entendons par là l’information sécurité sous strict contrôle de l’éditeur), ce spécialiste de la publication d’alertes et de « preuves de faisabilité » était souvent montré comme un distributeur officiel d’outils de piratage. L’énergie nécessaire à l’entretien de ce web et les luttes incessantes pour le faire avancer contre vents et marées avaient déjà poussé son responsable à jeter l’éponge une première fois. Les lecteurs sont revenus à la charge, promettant de participer à l’effort collectif. Las, il y existe une sérieuse différence entre les promesses et les actes. Milw0rm est –était ?- non pas un repository de codes dangereux, mais la vitrine officieuse d’une toute petite partie de ce qui est susceptible de circuler dans le monde underground des exploits. C’était l’un des rares canaux d’information capable de prévenir les responsables sécurité de « l’officialisation » d’un code d’attaque disponible « dans la nature », afin que chacun puisse envisager les contremesures d’urgence qui s’imposent dans une telle situation. Un travail que ne souhaitent absolument pas faire les éditeurs (pour des raisons évidentes), que ne sauraient tenir les Cert (leur travail est d’informer à propos des dangers réellement majeurs) et que ne peuvent assumer les chercheurs indépendants, qui ne souhaitent supporter les foudres d’un avocat qui dégaine l’injonction plus vite que son ombre. Si Milworm disparaît, seuls des « clubs d’acheteurs d’exploits » tels que le ZDI profiteront de cette situation.