{"partition": "head_middle", "source_domain": "www.numerama.com", "digest": "sha1:UZWKSC2SWTLXZASZUEZGPVZPC2HJTZJO", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2014-15/000_00024.parquet"}
Riposte graduée,	BayTSP,	Hadopi	Publié par Guillaume Champeau, le Jeudi 14 Mai 2009
La "riposte gradué" américaine vulnérable aux attaques
En plus du risque déjà connu d'accuser faussement des innocents, la riposte graduée risque aussi de provoquer une vague d'attaques par phishing. Des hackers ont démontré aux Etats-Unis qu'il était très simple de générer de faux messages d'avertissements, qui pourront être détournés à des fins malveillantes.
Les Etats-Unis n'ont pas encore mis en place de riposte graduée à la française, ce qui n'empêche pas les studios de cinéma, les maisons de disques ou les éditeurs de jeux vidéo et logiciels de s'attaquer aux P2Pistes. Dans le but de leur faire peur, ils envoient à ceux qui téléchargent illégalement des contenus sur les réseaux P2P des messages d'avertissement auxquels ils peuvent répondre grâce à un formulaire.
L'une des entreprises employées par les majors de l'industrie culturelle pour envoyer ces messages est BayTSP. La société repère les adresses IP des contrevenants, enregistre les informations sur l'infraction (nom et signature du fichier, date et heure du téléchargement, adresse IP utilisée, protocole employé...), et demande aux FAI d'envoyer de leur part les messages d'avertissements à ceux qui étaient titulaires de l'adresse IP consignée au moment du téléchargement. Le formulaire permet alors aux internautes pris en flagrant délit de piratage de déclarer sur l'honneur qu'ils vont immédiatement supprimer tous les fichiers piratés. Et l'affaire s'arrête là.
Mais le procédé employé par BayTSP n'est pas sécurisé. Tout d'abord au niveau vie privée, c'est le zéro pointé. Tous les formulaires sont référéncés par Google, ce qui permet à chacun de consulter tous les avertissements envoyés aux différentes adresses IP repérées.
Ensuite, en exploitant une faille XSS, il est possible de générer de faux avertissements et même de faux formulaires, qui permettent d'inciter les utilisateurs à télécharger par exemple un trojan lorsqu'ils pensent télécharger un "logiciel de sécurisation", ou même d'entrer un numéro de carte bancaire pour payer une prétendue amende.
Le risque existera aussi en France avec l'Hadopi, si de faux e-mails d'avertissement sont envoyés en son nom. Le phishing n'est pas réservé qu'aux banques.
Les comptes bancaires de The Pirate Bay saisis pour payer les majors
PUMP (client BitTorrent) : 1000 invitations pour tester la nouvelle version !
Orange estime que l'Hadopi est un danger... pour le gouvernement
Hadopi : la CNIL fustige le gouvernement et rappelle qu'elle voulait le juge
Guy Bono "consterné" par les propos de Viviane Reding
Publié par Guillaume Champeau, le 14 Mai 2009 à 14h19
Commentaires à propos de «La "riposte gradué" américaine vulnérable aux attaques»
Obelixator le 14/05/2009 à 14:28
HADOPI, c'est une CONNERIE GRADUEE !
(Dans le mur nous allons, doucement, mais sûrement )
[message édité par Obelixator le 14/05/2009 à 14:28 ]