Conférence DEFCON 19. Anonyme et nous. Partie 1Joshua Corman: vous savez, je ne suis pas partisan du droit des foules, mais je ne pense pas que cette approche devrait disparaître. C'est un problème important. Si nous pensons que notre industrie est dysfonctionnelle et ne sommes pas sûrs d'être entendus, alors adoptons une approche plus stratégique et intelligente. Si vous ne créez pas ces trois choses, la peur, l'incertitude et le doute, vous n'entendrez jamais parler de nous. Si vous utilisez cette pratique, elle deviendra exactement ce qui vous arrivera.
Je pense que vous pouvez avoir plus de chances de provoquer un chaos qui motive une peur stupide, c'est une chose très ciblée, et l'effet de son utilisation peut changer le comportement de la cible.
Jéricho: et je défendrai un lynchage équitable, qui dans certains cas me convient parfaitement. Si Anonymous accepte les demandes de "destruction", alors nous avons toute une liste d'entreprises qui menacent pentester de poursuites judiciaires, si elles trouvent une vulnérabilité ou une sorte de contournement brutal des systèmes de sécurité, en disant: "si vous publiez les résultats de votre recherche, alors nous déposerons pour vous amener au tribunal. "
Il y a des entreprises TOP-10 qui méritent vraiment d'être punies d'une manière ou d'une autre. Il en va de même pour HBGary, qui devrait donner une autre leçon comme celle-ci pour avoir menacé Barr de poursuites pénales simplement parce qu'il voulait participer à notre conversation. Je fais une déclaration sur la liberté d'expression, mais je ne connais pas la citation exacte. HBGary n'est plus seulement un groupe de salauds qui se sont empressés de dire qu'ils n'avaient rien à voir avec ça, c'est tout leur branche fédérale HBGary, ils ont également mis le blâme pour ce qui s'est passé sur le directeur de cette branche Aaron Barr, comme, il est le crétin le plus important. Mais laissez-moi - maintenant, après que Barr a quitté l'entreprise, ils ont tourné à 180 ° et ont montré qu'ils étaient un mal bien plus grand, essayant de limiter sa liberté d'expression. Je vais vous dire ce qui s'est réellement passé. Paul le sait - Aaron nous a informés à deux reprises de son intention de venir ici. La première fois, il a dit qu'il viendrait, mais il devrait d'abord en parler avec son nouvel employeur. Il lui a parlé et il n'avait rien contre le discours de Barr à notre conférence. Ensuite, il nous a contactés et a dit qu'il était menacé de son ancien emploi et, comme il ne pouvait pas risquer le bien-être de sa femme et de ses enfants, il a été forcé de refuser de nous rencontrer. Gardez cela à l'esprit afin d'avoir une image complète de ce qui se passe.
Paul Roberts: Je veux parler de HBGary afin de les «remercier» d'avoir poursuivi Aaron en raison de notre discussion et j'aimerais l'empêcher du tout. Vous savez tous quels faits inesthétiques sur les activités de cette entreprise ont fait surface après que Anonymous les ait piratés et publié leurs lettres. Nous allons donc certainement en parler afin d'empêcher HBGary d'échapper à sa responsabilité ou d'interférer avec notre discussion de ce qui s'est passé.
Revenons à notre conversation. J'ai été surpris de voir Anonymous comme un outil pour améliorer l'industrie. En ce qui concerne vos idées concernant la pratique du lynchage, je vais remarquer ce que quelqu'un du public m'a dit hier - c'est comme des films avec Clint Eastwood, où il vient en ville et y met les choses en ordre. Vous ne savez jamais dans quelle ville il viendra et où il ira pour restaurer, ou, plus précisément, rétablir l'ordre, votre version de l'ordre.
Joshua Corman: J'avoue que cela se produit et que cela ne disparaîtra nulle part. Nous avons vu des preuves qu'une scission a lieu au sein de LulzSec, et lorsque vous n'avez pas de principes organisationnels, vous n'avez pas de mission ou d'objectif, vous ne faites que de la merde, et c'est la bonne façon de s'autodétruire.
Paul Roberts: pensez-vous que les informations provenant de l'attaque contre HBGary, y compris leurs plans douteux pour Team Themis, Hunton & Williams et la Chambre de commerce, ont confirmé que nous, en tant que société, considérons l'attaque comme une réponse adéquate aux transactions de ce type? Et la deuxième question: est-ce que l'un d'entre vous pense que la publication de telles informations réduira le nombre de ces transactions qui, selon HBGary, "visent à réduire le nombre de groupes d'opposition"?
Baron von Aaarr: Cela se produit dans le secteur privé depuis très longtemps. Le renseignement pour le secteur privé est une très grosse entreprise. Avant même l'apparition de Z ou de Blackwater, de nombreux anciens agents du renseignement se sont lancés dans les affaires, où ils ont commencé à réaliser pour des entreprises quelque chose comme des opérations secrètes de Black Ops à l'intérieur et à l'extérieur de notre pays. Ce n'est pas nouveau, juste cette fois, quelqu'un a attrapé la main.
Jericho: J'ai une question pour le public. Après toute cette saga sur HBGary, quand nous avons découvert ce qu'ils faisaient et ce qu'ils étaient vraiment, lequel d'entre vous a été surpris de ce qu'ils faisaient, proposait de faire et quelles idées ont été avancées? Comme: "wow, je n'ai jamais entendu des entreprises faire ça!" Je pense que je n'ai vu qu'une seule main, et c'est bien. Parce que, comme l'a dit le baron, il s'agit d'une entreprise de plusieurs millions de dollars, sinon d'un milliard de dollars. Nous ne connaissons tout simplement pas toutes les entreprises qui se sont engagées dans ce domaine, car elles n'ont pas été informées.
Ils me demandent pourquoi nous écoutons ce type s'il ne veut pas montrer son visage?
Baron von Aaarr: Dois-je retirer mon déguisement?
Joshua Corman: Alors considérez-vous comme un cadavre.
Jéricho: à en juger par la réaction du public, nous avons deux opinions opposées. Ensuite, la question se pose: qui écoute LulzSec quand il dit avoir piraté quelqu'un, mais ne publie aucune information volée, et qui croit Anonymous quand il rapporte quelque chose comme ça?
Joshua Corman: Je pense que nous ne devrions pas écouter le non-sens qu'il ne montre pas son visage, car il peut être un fédéral, alors laissez ceux qui croient que le baron devrait enlever son masque lever la main. Allez, hardiment! Juste quelques personnes?
Jéricho: ok, levez maintenant la main à ceux qui croient que le baron devrait garder le déguisement? La plupart du public, super, je le pensais!
Paul Roberts: ce sont ce qu'on appelle une "population auto-sélectionnée".
Jéricho: en fait, c'est une grande question: pourquoi quelqu'un devrait-il révéler son identité s'il connaît bien l'essence de la question et a une expérience pertinente? Maintenant que nous avons atteint le milieu de notre conversation, je dirai que nous l'avons vérifié, nous le connaissons, nous savons quelque chose sur lui et qu'il faisait quelque chose dont on ne peut pas parler ouvertement. Nous pensons qu'il apportera une contribution utile à notre discussion, nous convenons donc qu'il est ici comme il l'entend.
Baron von Aaarr: Je suis un écureuil! (rires). Et je suis pour parler ouvertement. Je n'ai jamais été fermé, je suis toujours ouvert.
Jéricho: super, maintenant tout le monde dans cette pièce verra quel genre de personne se cachait derrière un masque!
Baron von Aaarr: Je suis ouvert, mais je ne prends pas trop de photos!
Jéricho: que ceux qui connaissent cet homme lèvent la main! Quatre ... cinq ... six personnes!
Baron von Aaarr: on peut supposer que je suis toujours masqué!
Jéricho: cela confirme ce que j'ai dit: peu importe si une personne a un masque ou non. Peu importe vraiment, ce qui compte, c'est ce que cette personne cherche à transmettre, le contenu est important.
Paul Roberts: pouvez-vous vous présenter au public?
Baron von Aaarr: Je m'appelle Cryptiya, j'ai un blog WordPress, et j'écris sur LulzSec et Anonymous depuis un certain temps, donc ils savent qui je suis. J'ai franchi cette ligne et leur ai dit: «Voulez-vous que les gens cessent de faire de mauvaises choses? Super! Alors faites-le bien! " Arrêtez de faire ce non-sens d'injection SQL et volez des données sans importance. Le dernier dépotoir que vous avez volé contenait un document SPU confidentiel, mais absolument aucun secret que l'on peut trouver sur Google!
Étudiez votre objectif, découvrez ce qu'il fait. Dans un de mes derniers articles, j'ai écrit: regardez, la vraie saleté vient des initiés! Vous savez que vous avez des papiers du Pentagone, vous aviez Deep Throat, maintenant aussi des papiers de Manning. Vous avez des gens bien informés qui ont accès à des choses vraiment très, très sales, qui décident de dire la vérité puissante et de mettre en lumière ces informations importantes. J'ai vu une transcription de l'affaire Bradley Manning et je suis arrivé à la conclusion qu'en raison de toutes les conneries qu'il a traversées, il est devenu dans une certaine mesure une personne mentalement instable. Pour lui, devenir un militaire, qu'il considérait comme une question de sa vie, était une mauvaise idée, car à cause de cela, il était soumis à une pression énorme.
Cependant, la publication d'informations sur les crimes de guerre est très importante car elle fait remonter la merde à la surface, révélant ce que nous ne savons pas. Cela nous permet de nous assurer qu'il y a un mensonge dans les relations entre les États-Unis et d'autres pays, et nous devons simplement traiter avec des gens que nous n'aimons pas, c'est la nature du jeu. Donc, si vous voulez trouver de la saleté, vous la trouverez toujours et la remettrez aux journaux.
C'est exactement ce que WikiLeaks voulait faire et faisait avant que le culte de Julian Assange ne soit créé très rapidement à partir de cela.
Jéricho: oui, publier 250 000 télégrammes secrets est vraiment cool, mais il y avait trop de bruit à cause de la publication de documents complètement sans importance. Il serait préférable de choisir parmi eux les 50 plus importants, révélant l'essence honteuse de ce qui se passe, ou de publier quelque chose comme un «télégramme du jour». Je ne nie pas l'importance de cette entreprise, mais je dois me concentrer sur la plus grande production, sur les télégrammes qui contiennent des choses vraiment terribles que les gens devraient apprendre.
Baron von Aaarr: une question clé: comment savez-vous que c'est de la vraie saleté, pas de la désinformation?
Jéricho: En effet, nous savons comment les entreprises diffusent la désinformation pour piéger LulzSec et Anonymous. Nous avons été nourris d'un tas de merde, et maintenant nous le savons.
Paul Roberts: ne laissons pas HBGary se débrouiller!
Joshua Corman: Nous nous sentons impuissants contre ce flash mob sans visage sans nom, car au lieu de nous concentrer sur un ennemi commun, nous nous battons les uns contre les autres car c'est exactement ce que nous pouvons.
C'est comme l'effet Streisand - plus ils essaient d'intimider Aaron, plus ils attirent l'attention. 5 personnes m'ont approché et m'ont dit: «Essayez de deviner qui sera ma prochaine cible - HBGary»! Je n'incite pas à cela, mais les gens y réfléchissent déjà.
Baron von Aaarr: et même pourchasser Ruffalo avec un chapeau noir pour prendre une photo de quelqu'un déguisé en anonyme.
Paul Roberts: en gardant un œil sur tout ce qui s'est passé et en tenant compte de ce qui se passe dans les grandes entreprises depuis de nombreuses années, je voudrais demander si nous devons conclure qu'en réalité, rien n'est arrivé d'Anonymous qui provoquerait HBGary et Aaron Barra à traverser l'enfer?
Jericho: oui, je pense que HBGary et Aaron Barr ont franchi la ligne, mais pour les entreprises, c'est un phénomène courant, et des dizaines d'entreprises le font. De nombreuses entreprises qui ne collectent même pas activement d'informations et ne mènent pas d'intelligence industrielle font de toute façon des erreurs d'éthique. Une liste de ces conneries peut être affichée sur l'écran page par page pendant 10 minutes d'affilée, et c'est uniquement parce que nous n'avons pas la possibilité de consacrer plus de temps à cette leçon. Si vous construisez une ligne d'activité en temps réel des entreprises avec lesquelles nous coopérons, il s'avère que toutes dans le passé ont fait des choses sombres, d'ailleurs, ont fait de telles choses au cours des 3 derniers mois.
Joshua Corman: Paul, pouvez-vous, en tant que personne plus liée à la presse, nous consacrer aux détails du plan d'action que HBGary allait proposer à la Chambre de commerce?
Paul Roberts: grâce à l'attaque anonyme, il est devenu connu que HBGary a envoyé une lettre au cabinet d'avocats Hunton & Williams avec une proposition sur la façon de détruire WikiLeaks, en leur jetant d'abord des informations erronées puis en les exposant. Cette proposition a été développée par HBGary en collaboration avec les sociétés d'analyse Palantir Technologies et Berico Technologies.
Étant donné que ce Hunton & Williams représentait également les intérêts de la Chambre de commerce, HBGary leur a proposé une stratégie pour détruire l'US Chamber Watch, qui s'oppose à la Chambre de commerce. L'opération devait se dérouler selon le type de stratégie FUD, en «discréditant, confondant, humiliant» ce groupe, puis en le pénétrant dans le but d'une destruction définitive. Le sens de la proposition reposait sur le fait que la Chambre de commerce est une organisation plutôt corrompue et que des groupes tels que l'USCW ont sapé la réputation de ses membres en couvrant des affaires de corruption.
HBGary allait utiliser pour cela les outils développés par Palantir et Berico, données issues de sources ouvertes, intelligence industrielle. Cependant, ils ne sont pas du ministère de la Justice, et même en cas de violation de la loi RICO, ils n'auraient toujours pas le droit de les poursuivre. Cependant, c'est avec cela qu'ils sont venus à Aaron et ont dit que HBGary avait besoin de l'aide de HBGary Federal, qu'elle dirigeait, pour mettre en œuvre son plan.
Baron von Aaarr: Je voudrais vous rappeler la «surprise d'octobre» et certaines des choses que Karl Rove a révélées à la société, c'est le cas lorsqu'une personne du gouvernement s'est opposée au gouvernement.
Paul Roberts: Je pense que les médias ne se sont pas trompés lorsqu'ils ont acheté une interprétation anonyme du contenu de ces lettres? Quels sentiments aurions-nous s'il y avait eu une organisation progressiste de gauche, des Américains pour la prospérité, et des groupes similaires à la place de la Chambre de commerce américaine? Je veux dire, quels étaient nos sentiments si nous savions que des gens complètement différents étaient derrière ces cabinets d'avocats? Aaron a toujours dit qu'il ferait cela pour tout client qu'il connaît, bien sûr, pour la Chambre de commerce, mais il ferait de même pour des organisations telles que Greenpeace ou PETA.
Baron von Aaarr: c'est-à-dire qu'il est indifférent à ses clients.
Paul Roberts: oui, peu lui importait qui était son client. Là, tout était décidé par l'argent, pas par les rêves. Alors, la presse a-t-elle tort?
Jéricho: résumé, je peux répondre: oui et non. Vous savez, la presse est une sorte de groupe boueux, comme Anonymous, je veux dire que certains journalistes ont essayé de comprendre objectivement cette affaire, et certains ne se préoccupaient que de la composante sensationnelle de l'incident.
Joshua Corman: Je pense que Jericho a raison, je veux dire que 60 minutes de notre discussion sont une nouvelle suffisante qui fera la une des journaux traitant des enquêtes journalistiques à l'automne. Et je crains personnellement que cela conduise à diverses manipulations de l'opinion publique, à l'utilisation de méthodes d'ingénierie sociale, car la presse est une aide importante pour LulzSec ou AntiSec.
J'ai également vu que si vous essayez de servir la presse comme source d'informations anonymes véridiques, du point de vue de l'ingénierie sociale, elles ne seront pas nécessairement utilisées de la bonne manière. Je pense que maintenant dans la presse il y a un certain effet asymétrique en faveur d'Anonyme, parce que la presse n'a pas de filtre, ou il n'y a aucun moyen d'utiliser les meilleurs journalistes pour couvrir cette question, filtrant tout le monde dans l'espace d'information des médias.
Paul Roberts: les organisations, je veux dire non seulement la Chambre de commerce, ont-elles le droit de se protéger contre les dommages ou les activités illégales de la même manière que les États? Nous n'allons pas prétendre que les États-Unis ont droit à une cyberattaque, mais les entreprises ont-elles ce droit?
Joshua Corman: c'est pourquoi je suis en colère contre HBGary et leurs avocats cherchant à retirer Aaron de la scène parce qu'il avait quelques questions vraiment chaudes, quelques moments vraiment géniaux et maintenant, enfin, il y avait une chance de discuter ouvertement de ce qui est légal pour protéger votre propres intérêts. Si quelqu'un envahit physiquement ma maison ou mon pays, ai-je le droit de le tuer?
Nous n'avons pratiquement aucune possibilité de riposter à au moins la moitié, de mener une sorte quelconque de nos propres enquêtes, car la législation ne suit pas le rythme de la vie réelle. J'aime la composante pouvoir de cette affaire en particulier, car elle a posé un avantage avec une question sur la légalité de la grève de représailles. L'absence de lois crée une ambiguïté et, peut-être, si vous consultez votre "avocat interne", vous pouvez résoudre cette ambiguïté au moins pour vous-même. Nous ne pouvons pas résister à ces attaques en utilisant uniquement une défense passive, sinon nous allons juste nous faire botter le cul.
Baron von Aaarr: D'autres États ont créé des règles pour les sociétés. Ils ont attribué aux sociétés le statut d'une seule entité physique, ce qui leur permet d'être considérées comme une seule personne. Disons tous ces cas qui ont récemment été jugés par la Cour suprême. Supposons que quelqu'un, en tant que personne physique, vous pirate, et en réponse, vous le piratez et vous vous faites prendre. Si vous dites: "Ils m'ont attaqué, je les ai attaqués en réponse - quel est le problème ici?", Essayer d'appliquer quelque chose comme la loi médiévale virtuelle Castle Low ("Doctrine de la forteresse"), alors cela ne fonctionnera pas. Je pense donc - non, ils n'ont pas le droit de le faire.
Joshua Corman: Voyons les contre-mesures offensives. Ils ne sont pas légaux, mais nous pourrions passer d'une défense pure à une sorte d'action active si nous avions une sorte de couverture juridique, une sorte de légalisation des mesures de rétorsion, ce qui nous permet d'aller un peu plus loin pour garantir la sécurité.
: , – A&Q, «», tpanel . : , Anonymous , , ?
, , Anonymous, , Anonymous?
: , , .
: . , , .
: , . Anonymous LulzSec . , - , , . , . : LulzSec , : «, »!
, , , Anonymous LulzSec , , , , , , , .
: , , , , . , , . , - , - . , . , Anonymous, , .
: , Anonymous , , . , .
: Anonymous, , – , .
: , , , , Anonymous. , , , , , , , . , Anonymous , .
Eh bien, c'est la fin de notre discussion, je remercie tous ceux qui sont venus ici, et maintenant vous pouvez aller dans notre salle de questions et réponses.Merci de rester avec nous. Aimez-vous nos articles? Vous voulez voir des matériaux plus intéressants? Soutenez-nous en passant une commande ou en le recommandant à vos amis, une
réduction de 30% pour les utilisateurs Habr sur un analogue unique de serveurs d'entrée de gamme que nous avons inventés pour vous: Toute la vérité sur VPS (KVM) E5-2650 v4 (6 cœurs) 10 Go DDR4 240 Go SSD 1 Gbps à partir de 20 $ ou comment diviser le serveur? (les options sont disponibles avec RAID1 et RAID10, jusqu'à 24 cœurs et jusqu'à 40 Go de DDR4).
VPS (KVM) E5-2650 v4 (6 cœurs) 10 Go DDR4 240 Go SSD 1 Gbit / s jusqu'au printemps gratuitement lors du paiement pendant
six mois, vous pouvez commander
ici .
Dell R730xd 2 fois moins cher? Nous avons seulement
2 x Intel Dodeca-Core Xeon E5-2650v4 128 Go DDR4 6x480 Go SSD 1 Gbps 100 TV à partir de 249 $ aux Pays-Bas et aux États-Unis! Pour en savoir plus sur la
création d'un bâtiment d'infrastructure. classe utilisant des serveurs Dell R730xd E5-2650 v4 coûtant 9 000 euros pour un sou?