MEGA : Kim Dotcom corrige 7 failles et rémunère les hackers. Par Nabil Chaibi

Kim Dotcom, le fondateur de MegaUpload et de la plus récente plateforme MEGA n’est pas du genre à faire des promesses en l’air. Ainsi, une semaine après avoir annoncé récompenser de 10 000 quiconque réussirait à cracker la sécurité du site, plusieurs primes auraient déjà été distribuées.

Le système de primes lancé par Mega visant à récompenser quiconque permettra d’augmenter la sécurité du site en dévoilant les failles porte visiblement ses fruits puisque plusieurs failles auraient déjà été comblées suite à son lancement.

La semaine dernière, Kim Dotcom lançait un défi aux hackeurs, leur proposant de mettre à mal la sécurité de sa plateforme Mega, allant jusqu’à proposer 10 000€ à qui réussira à cracker totalement la sécurité du site.

À ce jour, 7 failles importantes auraient été comblées grâce à cette opération, et autant de primes auraient été distribuées aux hackers à l’origine de leur découverte.

Pour autant, Mega n’a pas annoncé quel est exactement le montant des primes distribuées pendant cette première semaine, ni combien de failles ont été soumises à étude à ce jour. Néanmoins, Kim Dotcom encourage les pirates en herbe et confirmés à tenter de forcer son site pour en combler la moindre faille.

Mega a également publié une classification des vulnérabilités en fonction de leur impact potentiel sur le fonctionnement et l’accès aux données privées contenues sur le site. Une classification en 6 points qui s’établit comme suit :

Classe VI : Faille critique exploitable dans le système de cryptographie.Classe V : Remote code exécution sur le noyau des serveurs MEGA ( API/DB/Root Clusters) ou brèches majeures dans le contrôle d’accès.Classe IV : Faille dans le système de cryptographie exploitable uniquement après avoir compromis l’infrastructure serveur.Classe III : Contrôle d’accès distant exécutable depuis un navigateur ( cross-site scripting)Classe II : Cross-site scripting exploitable après avoir compromis l’ API serveur ou après avoir effectué une attaque de type  » man-in-the-middle » ( par exemple l’utilisation d’un faux certificat SSL + une manipulation DNS/BGP )Classe I : Toute théorie et scénario ayant un impact limité sur le site.

Dans la première semaine de programme, aucune faille de classe IV ou V n’aurait été mise en évidence, et les 7 failles proposées ont immédiatement été comblées par les experts en sécurité du site.

Bien que de son côté, MEGA n’a pas encore communiqué les montants des primes versées, The Hacker News a relayé via son flux Twitter une information qui laisse entendre que l’un des hackers aurait touché 1000€ pour avoir découvert une faille de classe III.

En outre, si Kim Dotcom semble respecter ses engagements vis-à-vis des primes versées, l’entrepreneur ne se risque pas non plus énormément, les 10000€ annoncés ne devant récompenser qu’une faille découverte dans le système de chiffrement SSL 256 Bits. Dans le cadre de la découverte d’une faille dans le cryptage SSL 256 Bits, il y a fort à parier qu’il ne sera pas difficile de trouver un interlocuteur largement plus généreux que Kim Dotcom, tant le système de cryptographie est utilisée dans divers domaine.

Par Nabil Chaibi

Mega et droits d’auteur : 150 demandes de retrait. Par Nabil Chaibi

Le service de cloud Mega a déjà dû conjuguer avec 150 demandes de retrait pour des violations de droits d’auteur. Mega joue le jeu.

Ce week-end, Mega a fait le point sur sa première semaine de lancement. Kim Dotcom en a profité pour glisser que des dizaines de millions de fichiers ont été mis en ligne. Une cinquantaine d’entre eux ont fait l’objet de demandes de retrait par des ayants droit.

Avocat très médiatique de Mega et impliqué dans le traitement de l’affaire MegaUpload, Ira Rothken a apporté des précisions chiffrées à Computerworld. Mega a dû répondre à 150 demandes d’ayants droit pour un total de 250 fichiers.

Ces demandes de suppression ont émané des États-Unis mais également d’autres pays. Mega joue pleinement le jeu en réagissant promptement.  » Mega ne veut pas que des gens utilisent ses services de stockage en cloud à des fins illicites.  »

Il est évident que compte tenu du passif MegaUpload, Mega est surveillé comme le lait sur le feu et tout écart de conduite pourrait lui être fatal.

Avec Mega, le contenu est chiffré avant sa mise en ligne effective. Ainsi, le groupe n’est pas à même de connaître la teneur de ce contenu. Par contre, en sa qualité d’hébergeur, il doit répondre aux demandes valables d’ayants droit pour une suppression de contenu illicite.

Ces derniers doivent donc vérifier eux-mêmes les contenus et pour cela disposer de la clé publique associée. Une telle clé peut être accolée directement à une URL de partage mais elle peut également ne pas l’être.

Pour Ira Rothken, Mega est un fournisseur comme l’est YouTube de Google. Ces technologies sont à  » double usage  » et peuvent être utilisées  » à la fois de manière légitime et illégale « . Il pointe du doigt les  » extrémistes du droit d’auteur  » qui ne verront que les mauvais usages en  » ignorant les utilisations bénéfiques pour la société.  »

Par Nabil Chaibi

Mega.search.me : Le début des problèmes pour Mega ? Par Nabil Chaibi

Après un peu moins de deux semaines d’existence, la nouvelle plateforme de Kim Dotcom Mega fait un véritable carton. Le fondateur annonce ainsi héberger déjà plus de 50 millions de fichiers.

Kim Dotcom est récemment intervenu pour annoncer le stockage de près de 50 millions de fichiers sur les serveurs de Mega, mais également faire le rapprochement avec les demandes de retrait de fichiers en violation avec les droits d’auteurs, rapportant ceux-ci à 0.001 % du total archivé.

Le fondateur de MegaUpload s’est même permis un petit commentaire assez ironique et bien ciblé sur son compte Twitter :  » MASSIVE non-infringing use!  » allant jusqu’à sous-entendre que ses utilisateurs oeuvraient massivement dans la plus pure légalité.

Il est vrai qu’avec 50 requêtes de suppression par jour, Mega est actuellement loin derrière Google et ses 450000 requêtes journalières.

Néanmoins, les choses pourraient rapidement changer. La relative privacité des données et l’absence d’indexation rendent la surveillance des contenus et les violations des copyrights fastidieuses sur Mega. Et si le site avoue ne pas être en mesure de dire lui-même ce qu’il stocke sur ses serveurs, une équipe de développeurs aurait déjà trouvé une brèche en proposant Mega-Search.me, un moteur de recherche permettant de consulter les fichiers de la plateforme.

Mega-Search.me se présente ainsi comme un outil permettant d’effectuer des recherches parmi les fichiers stockés sur la plateforme Mega. Un moteur relativement original puisqu’il fonctionne plus comme une indexation des fichiers volontairement partagés par les utilisateurs du service. Chacun est ainsi invité à partager le contenu de son espace de stockage pour enrichir la base de données du moteur de recherche.

Disponible depuis moins d’une semaine, Mega-Search trouverait ses origines en France si l’on en croit la page Facebook dédiée. Et il semblerait que le moteur tienne ses promesses pour le moment, il permet d’effectuer des recherches puis d’accéder directement au téléchargement du fichier souhaité ou de le transférer sur son propre compte Mega.

Un système de vote des utilisateurs permet de laisser des appréciations sur la véracité du contenu des fichiers, mais aussi sur leur qualité.

Si le système est intéressant sur le principe, dans la pratique il se présente comme une énorme faille dans la politique de confidentialité visant à protéger légalement l’implication de la plateforme Mega dans les actes de partages de fichiers illégaux.

Reste donc à savoir combien de temps le moteur de recherche restera en place, car plus qu’un outil permettant une simplification d’accès aux données, il se révèle être un formidable outil pour les majors et ayants droit pour constater les infractions.

Par Nabil Chaibi

Mega le nouveau service de Kim .COM : Par nabil chaibi…

Samedi soir le nouveau site de Kim Schmitz dotCom voit le jour Officiellement, après presque un an de la fermeture de son ancien site : Megaupload.

Ce site propose un enregistrement gratuit, sécurisé et sans faille de toutes sortes de données, exceptionnellement les vidéos , des films, jeux…

Le service de ce site semble , en l’essayant pour la première fois , très sécurisé puisqu’il se base sur une seule clé connu que par l’utilisateur lui même au niveau de son navigateur et que Mega n’intervient jamais.

Il offre ainsi un service de messagerie, de gestion des utilisateurs , et des modules collaboratifs tel que l’agenda , le tableur et le traitement de texte…

Les partenaires de ce services sont nombreux : (eurodns, instra, digiweb…) issus essentiellement par des prestataires de noms de domaines.

Il offre initialement 50 GO pour tout le monde , ensuite il propose 3 stratégies de payements :

•  9,99 euros par mois (ou 99,99 euros pour un an) : 500 Go d’espace et 1 To de bande passante allouée aux téléchargements,
•  2 To d’espace et 4 To de bande passante pour 19,90 euros par mois,
• 29,99 euros.

Par nabil chaibi