je suis plus que surprise de cette nouvelle ! a vouloir faire mieux on finit par faire mal !

il est plus qu'évident que le site se dégrade et que clairement les développeurs sont dans un autre monde que le notre. Dire qu'avant ils bossaient si bien qu'ils avaient le temps de jouer à la console dans leur beau canapé ... aujourd'hui on se demande si il y a encore quelqu'un à bord du navire...

bref je vais changer mon adresse en espérant que cela ne soit pas trop tard

je suis plus que déçu du site du zéro.. oups OCR !

Je partage le même avis que Asvin, c'est grave tout de même...

J'espère qu'ils vont vite régler le problème.

Même si je te plussois sur le fond, je ne sais pas si demander l'ouverture du code est la bonne solution puisqu'ils ne le veulent pas. A defaut, ils pourraient au moins se rendre compte que leur plus value est sur leur contenu et sur leur forte présence éditorial et se concentrer dessus. Il serait alors bon de relayer la partie la moins critique pour eux, le code, à une entreprise spécialisé. Tout le monde en serait content.

Le fait de rendre public le code source serait peut-être encore plus risqué ?

Tant que l'on ignore le code source, on ignore peut-être beaucoup de failles, mais dès que de gros hacker peuvent y mettre leur nez, ils peuvent chercher les failles comme ils le veulent.

Certes, si le "hacker" est bien intentionné, il le signalera, mais si c'est tout l'inverse, il s'amusera avec.

Asvin a écrit:

il est plus qu'évident que le site se dégrade

Ce qui n'est pas clair dans le message de Caduchon, c'est que cette faille est présente depuis la sortie de la v4 , il y a 11 mois. D'ailleurs, ce n'est pas la première fois qu'elle a été signalée, à ma connaissance.

Pour agir: http://www.cnil.fr/vos-droits/les-courriers-pour-agir/

-
Edité par red12 26 novembre 2013 à 10:04:30

Douks a écrit:

Le fait de rendre public le code source serait peut-être encore plus risqué ?

Tant que l'on ignore le code source, on ignore peut-être beaucoup de failles, mais dès que de gros hacker peuvent y mettre leur nez, ils peuvent chercher les failles comme ils le veulent.

Certes, si le "hacker" est bien intentionné, il le signalera, mais si c'est tout l'inverse, il s'amusera avec.

Le principal problème est la situation où le hackeur mal intentionné, et lui seul, a connaissance de la faille. Ce qui est tout à fait possible ici.
Ce n'est pas pour rien que les plus grands algorithmes de cryptage sont toujours publics. La sécurité de doit jamais résider dans le secret mais dans l'objective efficacité.

-
Edité par Caduchon 26 novembre 2013 à 10:12:53

Douks a écrit:

Le fait de rendre public le code source serait peut-être encore plus risqué ?

Tant que l'on ignore le code source, on ignore peut-être beaucoup de failles, mais dès que de gros hacker peuvent y mettre leur nez, ils peuvent chercher les failles comme ils le veulent.

Certes, si le "hacker" est bien intentionné, il le signalera, mais si c'est tout l'inverse, il s'amusera avec.

Le fait que le code soit fermé n'a jamais empêché les gens de trouver des failles. Par contre, il a rendu possible leur exploitation : on a déjà vu SimpleIT corriger des failles particulières en négligeant les cas similaires qui se trouvaient sur le site (et donc des failles restaient exploitables). En ouvrant le code, on aurait probablement pu le faire à leur place plus rapidement qu'ils n'ont su le faire, mais visiblement ça ne les intéresse pas (leur paranoïa ridicule est plus importante).

Cela étant, la dernière fois que j'ai vu quelqu'un signaler une faille à Mathieu Nebra, sa réponse était à peu de choses près « ok, rendez-vous à 14h sous la Tour Eiffel, j'aurai une mallette bleue » — ce qui est un peu rigolo, pas très sérieux par contre, et montre surtout qu'ils ne sont pas très intéressés par la qualité de leur code.

Vous croyez qu'il vont mettre "Correction de la faille de sécurité concernant les mails des membres" sur la Roadmap ?

-
Edité par cocoexotic 26 novembre 2013 à 10:20:51

La raison la plus probable, à mon sens, au fait qu'ils cachent les sources du site, est qu'ils en ont honte !

En attendant, je m'en fout que le code soit tout pourri, mais je suis franchement dégoûté qu'une telle faille - mettant S-IT dans l'illégalité - puisse rester aussi longtemps sans correction et cela, apparemment, malgré plusieurs signalements sur plusieurs supports (twitter étant le seul qu'ils considèrent).

-
Edité par Anonyme 26 novembre 2013 à 10:24:41

Quelqu'un qui a du temps à perdre scripte cette faille, et stocker dans un fichier les adresses mail des membres associés à leur pseudo/sexe ?

Il suffit de parser cette page et de la faire une boucle sur cette page fr.openclassrooms.com/mp/nouveau/<pseudo_de_la_victime />

Éol a écrit:

Douks a écrit:

Le fait de rendre public le code source serait peut-être encore plus risqué ?

Tant que l'on ignore le code source, on ignore peut-être beaucoup de failles, mais dès que de gros hacker peuvent y mettre leur nez, ils peuvent chercher les failles comme ils le veulent.

Certes, si le "hacker" est bien intentionné, il le signalera, mais si c'est tout l'inverse, il s'amusera avec.

Le fait que le code soit fermé n'a jamais empêché les gens de trouver des failles. 

En effet, je n'ai jamais dit ça. Je suggérais qu'un code fermé conserve quelques éventuels secrets : par exemple, si on ne connait pas l'emplacement de l'interface admin ni son contenu, on peux essayer d'y trouver des failles jours et nuit, ça risque d'être moyennement concluant.

Bah, ça a déjà presque été mis :

La roadmap a écrit :

05/09/2013 : Correction de failles de sécurité

Douks a écrit:

Éol a écrit:

Douks a écrit:

Le fait de rendre public le code source serait peut-être encore plus risqué ?

Tant que l'on ignore le code source, on ignore peut-être beaucoup de failles, mais dès que de gros hacker peuvent y mettre leur nez, ils peuvent chercher les failles comme ils le veulent.

Certes, si le "hacker" est bien intentionné, il le signalera, mais si c'est tout l'inverse, il s'amusera avec.

Le fait que le code soit fermé n'a jamais empêché les gens de trouver des failles. 

En effet, je n'ai jamais dit ça. Je suggérais qu'un code fermé conserve quelques éventuels secrets : par exemple, si on ne connait pas l'emplacement de l'interface admin ni son contenu, on peux essayer d'y trouver des failles jours et nuit, ça risque d'être moyennement concluant.

Ce que tu décris représente 90% du travail d'un bon hacker.

Bonjour,

Comme nous l'avons indiqué sur Twitter, merci de nous avoir signalé cette faille. Nous venons à l'instant de la corriger.