Les responsables de Vivendi et de Cegetel écrivent tout ce qu'ils font...

Jérôme Thorel, dans un papier très précis sur cette histoire note que les failles trouvées chez Vivendi et Cegetel ne permettaient pas de lire les informations concernant les patients dont les données circulent sur le Réseau Santé Social... Vrai... Mais peut-être est-ce faux aussi... qui sait...? Car la fâcheuse manie de tout mettre par écrit des responsables techniques de ces deux entreprises permettaient à un vilain pirate d'obtenir de nombreuses informations techniques non dénuées d'intérêt. Nous y voilà... De nombreuses personnes nous ont reproché d'avoir publié un papier elliptique. On y comprend que l'affaire est grave sur le plan de la sécurité. Mais on ne voit pas grand chose qui le prouve...

Réparons donc cette erreur. Nous vous livrons ici quelques détails de ce qui figurait sur les serveurs publics de Vivendi et de Cegetel. Nous reviendrons sans doute dans un futur proche (si on a le temps) sur ce qu'il est possible de faire lorsque l'on passe root sur une machine qui se trouve sur un réseau comme celui de Cegetel. Pour le reste, remercions encore les responsables techniques de ces deux entreprises ainsi que les petits rigolos du Marketing et/ou des ventes qui plaçaient de nombreux documents "confidentiels" sur ces serveurs Web publics... En effet, ils nous ont donné l'occasion de rigoler un coup.

Pour finir, et avant d'entrer dans le détail des documents qui n'auraient jamais dû se trouver là, notons que Cegetel a fait le ménage dans les répertoires du site du Réseau Santé Social. De nombreuses URL ne répondent plus ce mardi. Cela voudrait-il dire que ce qui ce trouvait là n'avait rien à y faire?

Alors... Pour ce qui est des trucs amusants qui se trouvaient sur www.cegetel-entreprises.fr ou d'autres serveurs de la galaxie Vivendi/Cegetel, voici quelques exemples concrets.

Notez au passage que ces documents (certains y sont encore) se trouvaient sur des serveurs de production et non pas des serveurs de développement. Je dis ça pour M. Sassi de Zebank qui croit encore que son serveur www.zebank.com est un serveur de développement... Et dire qu'on leur donne des responsabilités dans le domaine d'Internet et informatique... Passons...

Et revenons à nos moutons...

Voici par exemple une belle présentation Powerpoint pour exposer les arguments commerciaux des numéros 800. Notez bien la mention "Usage interne uniquement" qui est effectivement une précision nécessaire lorsque l'on met ça sur un serveur Web public.

Quoi d'autre? Ah, oui, la procédure de mise à jour des sites du Réseau Santé Social...

Enfin,  voici un joli tableau Excel reprenant toute l'offre Internet de Cegetel...

Bref, rien  que des petites choses qui ont toute leur place sur des serveurs Web publics... C'est sûrement le moment d'imaginer une politique sécurité globale pour Vivendi/Cegetel. Mais bon, on ne voudrait donner de conseils à des entreprises privées non plus... Elles font ce qu'elles veulent... Et c'est souvent bien dommage...

;)

Kitetoa