dijous, 3 de gener de 2008

Capítol 8 - Apunts de seguretat

Algunes dades que us ajudaran a comprendre la seguritat als servidors i a Internet.

INTRODUCCIÓ:
“Le 29 décembre 1996, un hacker a attaqué un site web de l'US Air Force et a remplacé la page principale par des images à caractère pornographique. Le résultat a été que le "DefenseLINK" du pentagone, qui inclue environ 80 homepages, a été débranché pendant plus de 24 heures pour que les officiels s'assurent qu'il n'y avait pas d'autres brêches de sécurité sur le système.
Cette attaque a abîmé l'image de l'US Air Force en montrant que ses systèmes informatiques n'étaient pas vraiment sûrs. De plus, cette administration a dépensé une somme d'argent non négligeable pour vérifier l'intégrité de ses fichiers.
Une autre attaque de site web assez récente s'est produite le 5 mars 1997 où la page principale de la NASA (National Aeronautics and Space Administration) a été piratée et le contenu changé. Les hackers l'ont remplacée par une nouvelle page exprimant des critiques sur les institutions américaines. (Site web de la NASA: http://www.hq.nasa.gov)

Pendant l'été 1996, des hackers se sont introduits sur le serveur web de l'US Justice Department en plaçant des croix gammées et des images d'Adolf Hitler qu'ils considérait au même titre que le département de la justice américaine. Ils voulaient protester contre la position du gouvernement américain à contrôler l'Internet.

Les principales attaques sont dirigées vers les institutions américaines dans lesquelles les pirates voient une proie intéressante pour discréditer le gouvernement américain.

Toutefois, il est important de signaler que les médias qui relaient ce type d'information ne font pas suivre le message des pirates mais au contraire les font passer pour des délinquants. La valeur de leur message en est donc occulté contrairement aux exemples que nous allons voir ci-dessous.
Un bon exemple est le serveur de Boeing où il y a quelques années, deux collégiens étaient rentrés en effraction dans un des ordinateurs de la compagnie afin de rechercher des fichiers de mots de passe. De plus, Boeing a trouver l'évidence que les hackers ont obtenu l'accès "root" à la maison fédérale de Seattle. Le département de justice américaine avait dit que cela était une situation classique dans laquelle les pirates peuvent influer sur les coûts de production. En effet, les pirates ont très bien pu voler certains fichiers secrets et les distribuer sur l’Internet ou à des compagnies rivales. Après que le cas fut fini, il couta à Boeing 57.000 Dollars simplement pour vérifier l'intégrité de ses données d'avioniques.
En réalité, le principal risque est le vol de données confidentielles, mais il y a aussi un autre risque, c'est le risque de données modifiées. En effet, le pirate peut très bien changer les données actuelles par de fausses. Alors, l'entreprise travaillerait avec des informations altérées et pourrait produire des résultats erronés sans s'en rendre compte. C'est pourquoi Boeing dépensa tant d'argent pour vérifier toute l'intégrité de ses données.
Un autre exemple en 1987, une petite erreur comptable de 75 cents révella qu'un intrus s'était ouvert lui-même un compte dans le système informatique du laboratoire "Lawrence Berkeley". Les traces du compte provennait d'un programmeur d'Allemagne de l'est qui avait copié des documents des ordinateurs militaires attachés à MILNET (Le segment Internet réservé pour les utilisations militaires). Les documents furent vendus au KGB.
Les exemples de cette sorte sont abondants dans le monde de l'Internet. Toutefois, un grand nombre d'attaques ne sont pas rapportées au public parce qu'elles pourraient porter atteinte à la compagnie ou bien parce qu'elles ne sont pas détectées par l'administrateur réseau de l'entreprise.
*** El Desembre de 2.007 el conegut hacker Kerem 125 i poder el Gsy van introduir-se a la pàgina web del Govern!... d´Andorra!

UNA MICA DE TÈCNICA:
Le système de fichiers en réseau: A chaque fois qu’un utilisateur fait une requête pour accéder à un fichier, le système d’exploitation décide si oui ou non l’utilisateur à le droit d’accéder au fichier en question.
Le système d’exploitation prend une décision basée sur qui est le propriétaire du fichier, qui demande à accéder au fichier et quelles permissions d’accès le propriétaire à mis. Les permissions d’accès déterminent qui aura accès au fichier.

Il y a deux principales raisons pour que l’on protège ses fichiers des autres utilisateurs. La première raison est que l’on peut souhaiter protéger le contenu de ses fichiers des autres utilisateurs. On peut considérer le contenu du fichier comme privé et on ne veut pas que les autres utilisateurs soit capable de lire ou de modifier le contenu du fichier. La seconde raison est que si des tierces personnes peuvent modifier des fichiers, elles peuvent aussi obtenir l’accès au compte. Par exemple, si un utilisateur malintentionné a l’accès “écriture” dans le répertoire racine, il peut alors créer ou modifier le fichier “.rhost“ (sous UNIX) qui donne un accès illimité à n’importe qui au compte. Il va sans dire, comme l’utilisateur est responsable de son compte, que tous les “dégats“ engendrés sont sous sa responsabilité directe.
Le « crackage » de mot de passe: Les mots de passe sont très important parce qu’ils sont la première ligne de défence contre les attaques sur un système. Ceci peut être établit simplement : si un hacker ne peut pas interagir sur un système distant et qu’il ne peut pas ni lire ni écrire dans le fichier des mots de passe alors il n’a quasiment aucune chance de développer une attaque couronnée de succès sur ce système. C’est également pourquoi, si un hacker peut au moins lire le fichier des mots de passe sur un ordinateur distant, il aura aussi la possibilité de cracker un des mots de passe contenu dans ce fichier. Si il en parvient, alors on peut penser qu’il pourra se connecter sur ce système et qu’il pourra s’introduire en tant qu’administrateur en passant par un trou de sécurité dans le système d’exploitation.
La manière la plus classique qu’un hacker va essayer d’obtenir un mot de passe est par l’intermédiaire d’une attaque avec un dictionnaire. Dans ce genre d’attaque, le hacker utilise un dictionnaire de mots et de noms propres, et il les essaie un à un pour vérifier si le mot de passe est valide. Bien évidemment, ces attaques ne se font pas « à la main », mais avec des programmes qui peuvent deviner des centaines voire des milliers de mots de passe à la seconde. Ce procédé est d’autant plus facile, qu’il lui permet de tester des variations sur ces mots : mots écrits à l’envers, majuscules et minuscules dans le mot, ajout de chiffres à la fin du mot, etc ... De plus la communauté des hackers a construit de gros dictionnaires spécialement conçus pour cracker les mots de passe. En utilisant des mots de langues étrangères, ou des noms de choses, de personnes ou encore de villes, n’est d’aucun effet contre ces dictionnaires.
Le « sniffing » des mots de passe et des paquets: Si un hacker ne peut pas deviner un mot de passe, alors il a d’autres outils pour l’obtenir. Une façon qui est devenue assez populaire est le « sniffing » de mots de passe. La pluspart des réseaux utilisent la technologie de « broadcasting » ce qui signifie que chaque message (ou paquet) qu’un ordinateur transmet sur un réseau peut être lu par n’importe quel ordinateur situé sur le réseau. En pratique, tous les ordinateurs sauf le destinataire du message vont s’apercevoir que le message n’est pas destiné pour eux et vont donc l’ignorer. Mais par contre, beaucoup d’ordinateurs peuvent être programmés pour regarder chaque message qui traverse le réseau. Si une personne mal intentionnée fait ceci, alors elle pourra regarder les messages qui ne lui sont pas destinés.
Les hackers ont des programmes qui utilisent ce procédé et qui scannent tous les messages qui circulent sur le réseau en repérant les mots de passe. Si quelqu’un se connecte sur un ordinateur à travers un réseau et que des ordinateurs ont été compromis par le procédé de sniffing, alors cette personne risque contre son gré de donner son mot de passe. C’est pourquoi il existe une menace sérieuse pour les personnes qui se connectent sur des ordinateurs distants (par exemple en utilisant Telnet). Toutefois, si quelqu’un se connecte sur la console d’un système (et non pas sur un terminal), son mot de passe ne ciculera pas sur le réseau ou il pourrait faire l’objet d’un sniffing. Mais si une personne se connecte sur un autre réseau ou à partir d’un prestataire de service Internet, alors dans ce cas elle sera dépendante de la sécurité de ces réseaux.
L’IP spoofing : L’adresse IP d’un ordinateur est l’adresse qui est utilisée pour reconnaître un ordinateur sur Internet. Elle est présumée valide lorsqu’elle est certifiée par les services TCP et UDP. Un des principaux problèmes est que en utilisant le routage source d’IP, l’ordinateur du hacker peut se faire croire comme étant un ordinateur connu. Brièvement, le routage source d’IP est une option qui peut être utilisée pour spécifier une route directe à une destination et renvoyer le chemin de retour à l’expéditeur. La route peut inclure l’utilisation d’autres routeurs ou de server qui n’auraient normalement pas été utilisés pour faire suivre les paquets à la destination finale. Voici un exemple qui montre comment ceci peut être utilisé de telle façon que l’ordinateur de l’intrus apparaisse comme étant l’ordinateur certifié par le serveur :

- L’agresseur change l’adresse IP de son ordinateur pour faire croire qu’il est un client certifié par le serveur
- Il va ensuite construire une route source jusqu’au serveur qui spécifiera le chemin de retour direct que les paquets IP devront prendre pour aller au serveur et qu’ils devront prendre pour retourner à l’ordinateur de l’agresseur en utilisant le client certifié comme dernière étape dans la route vers le serveur.
- L’agresseur envoie une requête client au serveur en utilisant la route source.
- Le serveur accepte la requête du client comme si elle provenait directement du client certifié et retourne une réponse au client.
- Le client, utilisant la route source, fait suivre le paquet à l’ordinateur de l’agresseur.

Beaucoup de machine de type UNIX acceptent les paquets de route source et les redirigent comme la route source l’indique. Beaucoup de routeurs acceptent également les paquets de route source bien que certains d’entre eux peuvent être configurer pour bloquer ces paquets.
Une autre manière encore plus simple pour « spoofer » un client est d’attendre que le système client ait éteint sa machine et de se faire passer ensuite passer pour ce dernier. Dans beaucoup d’entreprises, les employés utilisent des PC’s et des réseaux TCP/IP pour se connecter sur des serveurs locaux UNIX. Les PC’s utilisent souvent NFS pour obtenir un accès aux répertoires et aux fichiers du serveur (NFS utilise les adresses IP uniquement pour authentifier les clients). Un intrus pourrait configurer un PC avec le même nom et la même adresse IP qu’un autre ordinateur, et alors essayer de lancer des connexions au serveur UNIX comme si il était le « vrai » client. Ceci est très simple à réaliser et ressemblerait à une attaque de l’intérieur.
Les courriers électroniques sur Internet sont particulièrement sujet au spoofing car très facile à réaliser. Les courriers électroniques sans l’ajout d’une signature digitale ne peuvent pas être d’origine fiable. Par exemple, considérons que l’échange prenne place quand des serveurs Internet échange un courrier électronique. Cet échange a lieu en utilisant un simple protocole consistant en une série de commandes en caractères ASCII. Une personne maligne pourrait facilement entrer ces commandes à la main en utilisant Telnet pour se connecter directement au port SMTP (Simple Mail Transfer Protocol) du système (port 25 sur les systèmes UNIX). Le serveur recevant ces commandes fait confiance à cette personne en disant qui elle est. D’où le fait que le courrier électronique peut lui aussi être spoofé facilement en entrant une adresse d’expéditeur différente de l’adresse réelle. Comme quoi, sans aucun privilège, on peut sans problème falsifier ou spoofer le courrier électronique.
D’autres services comme le « Domain Name Service » peuvent ausi être spoofés mais avec toutefois plus de difficultés que le courrier électronique. Ces services représentent une crainte qui mérite d’être considérée quand on les utilise.
Le TCP-SYN flooding: Quand un système client essaie d’établir une connexion TCP à un système fournissant un service (le serveur), le client et le serveur échange une séquence de messages. Cette connexion technique s’applique à toutes les connexions TCP-IP (Telnet, Web, email, etc ...)

Le système client commence par envoyer un message SYN (pour synchronisation) au serveur. Le serveur renvoie alors un accusé de reception du SYN: SYN-ACK (pour synchronisation-aknowledgment) au client. Le client finit alors par établir la connexion en répondant par un ACK. La connexion entre le client et le serveur est donc ouverte et le service d’échange de données peut s’exécuter entre les deux partenaires de la connexion.

Le serveur et le client peuvent donc commencer à s’échanger des données.

Les abus viennent au moment où le serveur a renvoyé un accusé de reception du SYN (ACK-SYN) au client mais n’a pas recu le « ACK » du client. C’est alors une connexion à demi-ouverte. Le serveur construit dans sa mémoire système une structure de données décrivant toutes les connexions courantes. Cette structure de données est de taille finie, ce qui veut dire qu’il peut se créer un dépacement de capacité (overflow) en créant intentionellement trop de connexions partiellement ouvertes.
Le fait de créer ces demi-connexions sans se faire repérer est facilement réalisable avec l’IP spoofing. L’ordinateur de l’agresseur envoie des messages SYN à la machine victime ; ceux-ci paraissent provenir d’un ordinateur bien défini mais qui en fait, fait référence à un système client qui n’est pas capable de répondre au message SYN-ACK. Ce qui veut dire que le message ACK final ne sera jamais renvoyé au serveur victime.
Ces demi-connexions dans la structure de données du serveur victime vont éventuellement créer un débordement dans cette structure et le serveur sera incapable d’accepter d’autres connexions tant que la table ne sera pas vidée. Normalement, il y a un système de « time-out » associé à chaque connexion ouverte, donc les demi-connexions devraient expirer et le serveur victime récupérer de la place libre dans sa mémoire pour d’autres connexions. Toutefois, le système agresseur peut simplement continuer à envoyer des paquets dont l’IP est spoofée plus vite que le serveur victime puisse expirer les demi-connexions.
Dans la plus part des cas, la victime d’une telle attaque aura des difficultés à accepter toute nouvelle connexion. Dans ces cas, l’attaque n’affectera pas les connexions déjà existentes ou la capacité à créer des connexions de l’intérieur vers l’extérieur. Par contre, dans certains cas, le serveur peut épuiser toutes ses ressources mémoires, tomber en panne ou être rendu inopérant.
La localisation de l’attaque est très souvent obscure parce que les adresses des paquets SYN envoyés ne sont très souvent pas plausibles. Quand le paquet arrive au serveur victime, il n’y a pas de moyens de déterminer sa véritable source. Comme Internet fait suivre les paquets basés sur une adresse de destination, le seul moyen de valider la source d’un paquet est d’utiliser le filtrage.

Conclusion :
Il y a encore une grande variété d’autres méthode d’attaques mais elle sont d’un niveau relativement élevé pour un utilisateur normal d’UNIX. Voici une courte liste de quelques une d’entre elles :
- attaque Sendmail par le port système du mail (port 25)
- attaque NIS et NFS
- attaque FTP par le port 21
- attaque Telnet par le port 23
- attaque rlogin et remote shell
- attaque par interception de processus administrateurs

Dans cette partie nous allons découvrir les méthodes utilisées pour améliorer la sécurité sur Internet. Les deux principaux espoirs de la sécurité sur Internet résident dans la cryptographie et les firewalls.
Les firewalls: Les firewalls sont souvent appelés les préservatifs pour les réseaux des entreprises. Ils fournissent une protection digitale associée à la rapide croissance des réseaux et de la commercialisation de l’Internet. Comme les préservatifs, beaucoup de gens ont entendu parler des firewalls mais peu de personnes les utilisent. De plus, le nombre d’incidents de sécurité grandissant sur Internet laisse suggérer très fortement que trop peu de personnes les utilisent correctement.
Qu’est ce qu’un firewall ?: Un firewall est une sorte de technologie de contrôle d’accès qui empêche les accès non-autorisés aux ressources d’information en placant une barrière entre le réseau de l’entreprise et le réseau non-sécurisé (Internet, par exemple). Un firewall est aussi utilisé pour empêcher les transferts d’information propriétaire du réseau de l’entreprise. En d’autres mots, un firewall fonctionne comme une passerelle controlant le traffic dans les deux directions.
Le firewall typique est un ordinateur bon marché fonctionnant avec UNIX éloigné de toute donnée confidentielle qui est placé entre Internet et le réseau de l’entreprise. Certains firewalls ne permettent que le passage de l’email protégeant ainsi tout le réseau contre toutes les attaques possibles autres que contre le service email. D’autres firewalls fournissent moins de restrictions et bloquent les services qui sont connus pour être une source de problèmes.
Généralement, les firewalls sont configurés pour protéger contre les connexions interactives (Telnet par exemple) provenant du « monde extérieur ». Ceci, plus que toute chose, aide à empêcher les agresseurs de se connecter sur les machines du réseau intérieur. Les firewalls les plus élaborés bloquent le traffic de l’extérieur vers l’intérieur mais permettent aux utilisateurs de l’intérieur de communiquer librement avec l’extérieur.
Les firewalls sont d’autant plus importants qu’ils fournissent un point de rencontre où la sécurité et la vérification peuvent être imposés. Dans une situation où un ordinateur est attaqué par quelqu’un, le firewall peut agir comme une cassette enregistrable et un outils de tracage.
Qu’est-ce qu’un firewall ne peut pas faire ?: Les firewalls ne peuvent pas protéger contre les attaques qui ne passent pas par le firewall. Beaucoup d’entreprises qui se connectent à l’Internet sont très concernées par les fuites de données propriétaires qui passe par ce chemin. Malheureusement pour ces concernées une disquette magnétique peut être utilisée tout aussi efficacement pour transférer des données. La politique du firewall doit être réaliste et refléter le niveau de sécurité du réseau de l’entreprise. Par exemple, un site avec des données top secrètes ne doit pas avoir de firewall du tout : il ne doit tout simplement pas avoir sa place sur l’Internet. Les systèmes avec des données confidentielles et secrètes doivent être isolés du reste du réseau dans l’entreprise. (servidor segregat).
Les firewalls ne peuvent pas vraiment protéger contre les choses comme les virus. Il y a trop de sorte d’encoder des fichiers exécutable pour les transférer à travers les réseaux. Il y a également trop d’architectures différentes et de virus pour essayer de les chercher. En d’autres mots, un firewall ne remplace pas la sécurité et la conscience de la part des utilisateurs. En général, un firewall ne protège pas contre les attaques orientées données (attaques dans lesquelles quelque chose est mailé ou copié vers un ordinateur interne où il sera ensuite exécuté). Cette forme d’attaque s’est produite dans les anciennes et nombreuses versions de « Sendmail ».
Il y a beaucoup de sortes de firewalls. Toutefois, la principale part des firewalls sont des programmes installés sur le routeur de l’entreprise ou sur un autre ordinateur. Il existe quand même des firewalls « hardware » qui sont plus rares. Ce sont des cartes électroniques qui sont branchées dans l’ordinateur.
Il peut y avoir plusieurs rôles pour un firewall : certains sont filtreurs de paquets, routeurs, passerelles, ordinateur bastion, etc ... Il y a aussi une large variété de firewalls pour chaque système d’exploitation : UNIX, Novell Netware, Windows NT, LINUX, etc...
De nos jours, les firewalls sont des remparts efficaces contre les agresseurs de toutes sortes. Toutefois, si un firewall n’est pas proprement installé, il peut se révéler pire que de ne pas en avoir à cause du faux sentiment de sécurité qu’il procure.
La protection des mots de passe et la création de mots de passe sûrs :
La protection des mots de passe est un des principaux problèmes de la sécurité sur Internet bien qu’il existe des solutions pour lutter efficacement contre ce dernier :
- les mots de passe « shadow »
- la génération de mots de passe sûrs.

Les mots de passe « shadow »: Les mots de passe « shadow » sont un système où le fichier de mots de passe cryptés est caché de tous les utilisateurs excepté l’administrateur, en espérant empêcher les tentatives de crackage de mots de passe à la source.
La création de mots de passe sûrs: Les mots de passe valides sont créés à partir de 62 charactères [A-Za-z0-9] et ils peuvent inclure encore plus de charactères comme : « \}][{$££@ !%&(#/)=-:_.;,?">< ». Ils doivent également être de longueur comprise entre 5 et 8 charactères. En utilisant seulement les 62 charactères communs, la taille de la série de mots de passe valides est : 625+626+627+628 = 2,2 E+14
Un nombre qui est bien trop grand pour entreprendre une recherche exhaustive avec les technologies actuelles. De plus, si l’on peut utiliser les 95 charactères, qui ne sont pas des charactères de contrôle, dans les mots de passe, cela réduit d’autant plus les chances du cracker de mots de passe.

Par contre, n’importe quel mot de passe qui est dérivé d’un dictionnaire (ou d’information personnelle), même modifié constitue un mot de passe potentiellement crackable.
Par exemple les mots de passe basés sur les :
- noms de login : monlogin
- noms famille : dupond, durand
- prénoms : Raoul, Adrienne
- mots écris à l’envers : enneirda, dnopud
- mots d’un dictionnaire : ordinateur, livres
- mots en capitales : Ordinateur, OrDiNateuR
- mots des dictionnaires de cracking : bmw325, 123456789, azerty, abcxyz, mr.spoke
- mots de langues étrangères : hello!, bonjour

Un bon mot de passe doit toutefois être facile à se souvenir mais difficile à cracker. Le meilleur moyen de créer un mot de passe incrackable est de le faire apparaître comme défini au hasard. Il ne faut pas oublier d’insérer des chiffres et des signes de ponctuation dans le mot de passe. La méthode favorite pour trouver un mot de passe incrackable mais facile à se souvenir est de :
1. Prendre une phrase ou une ligne d’un poème ou d’une chanson qui doit être d’au moins long de 8 mots
2.
Prendre la première lettre de chaque mot et l’utiliser dans le mot de passe.
3. Utiliser les signes de pontuation

Par exemple, la phrase : « Un pour tous, et tous pour un » donne un mot de passe relativement incrackable : « Upt,&tp1 »
Un bon moyen pour un administrateur réseau de savoir si les utilisateurs ont des mots de passe sûrs est d’utiliser les programmes de crackage de mots de passe sur son propre système comme le ferait un cracker. « Crack » est un bon outil pour s’assurer que les utilisateurs de système UNIX n’ont pas choisis des mots de passe facilement crackable qui apparaissent dans les dictionnaires standards.
La cryptographie: La cryptographie est la technologie qui permet d’envoyer des messages qui ne peuvent être compris (décryptés) que par le destinataire en améliorant les contrôles sur les messages routés par l’Internet, et en améliorant la qualité du système d’exploitation à abaisser les défauts des programmes et d’autres vulnérabilités de sécurité.

Il y a deux principaux types de cryptage : le cryptage asymétrique (appelé aussi cryptage à clé publique) et le cryptage symétrique.
Le cryptage asymétrique ou à clé publique : C’est un système cryptographique qui utilise deux clés : une clé publique connue de n’importe qui et une clé secrète connue uniquement du destinataire du message.
Par exemple : Quand Jean veut envoyer un message sûr à Paul, il utilise la clé publique de Paul pour crypter son message. Ensuite Paul utilise sa clé privée pour le décrypter.
Un élément important au système de clé publique est que les clés publique et privée sont en relation de telle facon que seulement la clé publique peut être utilisée pour crypter le message et seulement la clé privée correspondante peut être utilisée pour le décrypter. Deplus, il est virtuellement impossible de déduire la clé privée si on ne connait pas la clé publique.
IP spoofing et SYN flooding: Avec la technologie actuelle du protocole IP, il est impossible d’éliminer les paquets spoofés. Mais il existe quelques solutions pour réduire le nombre de paquets spoofés entrant et sortant du réseau.
La meilleure méthode est d’installer un routeur-filtreur qui limite les entrées à l’interface externe (connue sous le nom de filtreur d’entrée) en n’accordant pas le droit d’entrée à un paquet qui a une adresse source du réseau interne. Il peut aussi être bon de filtrer les paquets sortants qui ont une adresse source différente du réseau interne afin de prévenir une attaque d’IP spoofing provenant du réseau interne.
La combinaison de ces deux routeurs-filtreurs doit empêcher les agresseurs extérieurs d’envoyer des paquets prétendants venir du réseau interne. Cela doit également empêcher les paquets provenants du réseau interne de se prétendre venir de l’extérieur du réseau. Ces filtreurs ne vont pas stopper toutes les attaques de type TCP-SYN du moment que les agresseurs extérieurs peuvent spoofer leurs paquets de facon qu’ils proviennent d’autres sites extérieurs, et les agresseurs internes peuvent toujours envoyer des attaques spoofing avec des adresses internes.
L’IP spoofing et le SYN-flooding sont actuellement les deux pricipaux problèmes unsoluble de la sécurité sur l’Internet.
Les outils de vérification de la sécurité: Il existe de nombreux outils disponible sur l’Internet pour tester la sécurité d’un système. Certains outils scannent les systèmes pour connaitre leurs vulnérabilités : « SATAN » est le plus célèbre programme pour UNIX, d’autres vérifient l’intégrité des fichiers comme « Tripwire ». L’administrateur réseau est fortement conseillé d’utiliser ces outils avant les agresseurs si il veut éviter les problèmes les plus courants.
La sécurité à travers l’obscurité : C’est une manière de considérer qu’un système ne peut être sûr que aussi longtemps que personne, en dehors des personnes qui l’ont créé, n’ait compris son fonctionnement interne. La technique est de cacher les comptes utilisateurs, les mots de passe dans des fichiers exécutables ou des programmes avec l’espoir que personne ne les trouvera.
C’est une philosophie qui a la faveur des bureaucrates américains. La principale critique de cette technique est que ce n’est que de la pseudo-sécurité car elle ne résout pas les vrais problèmes de sécurité mais à la place, les cache.
De plus, le responsable du petit groupe qui a créé ce système doit faire confiance aux employés pendant toute leur vie. Et si les employés ont une meilleure offre de salaire ailleurs, les connaissances s’envont avec eux que les connaissance soient remplaçables ou non.
Toutefois, cette technique peut rentrer en complément d’autres mesures de sécurité.

La restriction d’IP: La restriction d’IP sert à limiter les utilisateurs à se connecter à certaines parties du serveur. En accordant seulement quelques adresses IP à se connecter au serveur, l’agresseur n’aura pas l’accès aux domaines où il peut causer des dommages.
L’éducation et la prise de conscience: Une des craintes majeures pour la sécurité d’un système n’est pas les trous techniques de sécurité d’un système mais le manque de conscience des utilisateurs ou de l’administrateur. Par « manque de conscience », je veux dire que les utilisateurs d’Internet ont souvent l’impression que le seul moyen par lequel un hacker peut rentrer dans leur compte ou sur un système est en utilisant trappe laissée ouverte par un administrateur non-conscencieux. Une autre croyance est qu’il n’y a aucune valeur dans un simple compte utilisateur et que personne ne va s’ennuyer à essayer de le pénétrer. Aussi bizarrement qu’il puisse paraitre, ce qu’un agresseur trouve d’intéressant dans un compte utilisateur est tout simplement l’accès au système. Un simple accès permet à l’intrus de devenir super-utilisateur après avoir exploité une faille dans le système d’exploitation du système ou bien le compte peut être utilisé comme passerelle pour attaquer d’autre sites. Bien évidemment, l’utilisateur victime est responsable de se qui se produit sur son compte, d’où l’intéret de le protéger correctement.

Un bon moyen pour faire prendre conscience aux utilisateurs de l’importance de leur compte (et donc de leur mot de passe) est de prendre des mesures strictes en les encourageant :
- à changer leur mot de passe après la premiere connexion,
- à ne pas partager leur compte avec qui que ce soit,
- à protéger leur mot de passe : être prudent des regards indiscret au moment de taper le mot de passe,
- à changer leur mot de passe régulièrement et tout spécialement après s’être connecté sur une machine éloignée,
- à choisir des mots de passe sûrs
- Un autre moyen d’impliquer les utilisateurs à respecter les mesures de sécurité sur un système est de
leur faire signer une charte de responsabilité et de bonne conduite sur l’Internet.
La sécurité est l’affaire de tous sur un système : l’administrateur aussi bien que les utilisateurs. Et le rôle de l’administrateur est d’éduquer ses utilisateurs à la sécurité.
La meilleure solution pour l’Internet réside sans doute dans le cryptage des données. Mais beaucoup de gouvernements n’approuvent pas cette technique parce qu’elle représente un danger pour la sécurité de l’état car l’information ne peut plus être contrôlée. En aquest cas ( « L´Orella Global no serveix de rés »). C’est pourquoi aux Etats-Unis le cryptage à clé publique est seulement permis avec des clés de 48 bits. Dans certains pays, le cryptage des données est même totalement interdit : Singapour, Chine, etc ...
De nos jours, les entreprises veulent choisir des options de haute sécurité dont elles ont besoin pour communiquer dans le commerce électronique, et la cryptographie semble être la meilleure solution pour ces dernières.
Comme il n’y a pas et il n’y aura sans doute jamais de réseaux sûrs à 100%, nous pouvons quand même nous protéger d’une majorité de problèmes associés à l’Internet en étant vigilant. Toutefois, l’Internet continue de grandir en popularité et les statistiques de fraudes et d’attaques risquent de continuer à augmenter si les utilisateurs ne prennent pas conscience que la sécurité est un enjeu capital pour l’Internet.
« Le seul système informatique qui est vraiment sûr est un système éteint et débranché, enfermé dans un blockhaus sous terre, entourré par des gaz mortels et des guardiens hautement payés et armés. Même dans ces conditions, je ne parierais pas ma vie dessus. » Gene Spafford”.
Programes de seguretat gratuïts * o de proba:
Firewall (tallafocs): ZONE ALARM *
Antivirus: AVAST *
Per encriptar arxius i carpetes: FOLDER GUARD
Elimina virus específics: STINGER *
Neteja i dessintal-lador: CCleaner *
Encripta volums (Disc o partició sencera): TRUECRYPT *
Amagar fitxer dins una fotografía: CAMOUFLAGE *
Eliminar rastres de l´ordinador per SEMPRE: RWIPE & CLEAN
Elimina archius DAT (de windows): INDEXDAT SUITE *
El millor sistema operatiu:  DEBIAN (LINUX UBUNTU)*
Navegador web: MOZILLA FIREFOX *
Client de correu: MOZILLA THUNDERBIRD *



Capítol 7 - Carta al PS 20 Novembre de 2.005

ENCAMP, 20 DE NOVEMBRE DE 2005
PARTIT SOCIALDEMÒCRATA
A L’ATENCIÓ DE LA SRA. PRESIDENTA MARIONA GONZALEZ, a tots ELS CONSELLERS i MILITANTS :

Referència a la denúncia per la divulgació i dels fitxers de l´ Sta amb les dades de 15.995 usuaris amb els seus corresponents mots claus i les informacions que circulen.

COMUNICAT
Benvolguda Mariona,
Per la present i com a continuació de la conversa mantinguda divendres 18 , vull dir-vos a tu i tot el Partit lo següent:
1.- No necessito justificar rés i no tinc perquè fer-ho ja que no tinc cap raó de fer-ho.
Diccionari Pal.las “justificació = descàrrec de l’inculpa’t”.
Però, degut a les informacions aparegudes en diversos mitjans escrits i en la Tv Governamental si que vull, donar-vos informació de primera mà. Si la justícia funciona, es sabrà que el denunciant de la troballa de les dades a INTERNET(JO) , no tinc rés a veure amb el ROBATORI d’aquestes.

2.-Les informacions aparegudes en diversos mitjans escrits i en la Tv Governamental son FALSEDATS, INTOXICACIÓ ara fins i tot ATACS PERSONALS.

3.-Les úniques informacions VÁLIDES i sense rere fons son, fins avui, son les que han difós el DIARI d´ANDORRA i l’emissora ANDORRA 7 RADIO. Aquestes han estat facilitades per mi mateix , (mai abans de que ho sàpigues l’organisme al qual estava obligat a denunciar el fet de la “troballa” dels fitxers, L´APDA, i sense els detalls de d’investigació evidentment . No a la policia tal com diu el periòdic d´andorra.

. 4.- En adonar-me de d’importància dels fitxers que havia aconseguit i de la gravetat que suposava vaig demanar l’assessorament de Marc Vila. Juntament amb ell vaig facilitar totes les dades a l´APDA.

5.-Mai he involucrat/posat per el mig al Partit Socialdemòcrata ni mai hi fet ús d´ell. Els únics mitjans que m’han preguntat directament si militava al Partit han estat EL DIARI D´ANDORRA i ANDORRA 7 RADIO. La meva contesta fou “ milito perquè i crec i amb plena consciencia i ningú ni em mana ni em dirigeix”. També vaig comentar que EL PARTIT pot actuar nivell de Partit en lo que cregui convenient i deu actuar a nivell parlamentari. Això no és cap complot. He actuat com a ciutadà amb obligacions morals i ètica.

6.-Lo que s’ha comentat per el carrer, diaris d’origen espanyol, etc, sons confabulacions i falsedats.

7.-S’està desviant tot cap un altre costat. Es vol tapar i tirar llenya sobre i com es diu vulgarment “carregar el mort a un altre”. El veritable problema està en que algú/na persona o institució LES VA ROBAR i les dades van estar en possessió de molta gent. Heu pensat que els que van llegir/copiar dades dels correus en qualsevol moment poden fer servir o publicar aquestes a Internet?. Llegir "chantage".

8.-Les informacions donades per el Sr. Manel Pons a la Tv i en el Periòdic d´Andorra a part de ser totalment FALSES també han estat fora de lloc i al marge de la llei. Així ho entenc jo. Ha divulgat dades en varies ocasions sense fonament, sense estar acabada l´investigació. l´APDA no l’hi facilitat rés, T-Systems no ha acabat i la Fiscalia segons ell mateix no ha actuat. Com a representant del Poble Andorrà no hauria de crear confusió i fins i no acusar-me directament quant la JUSTICIA no s’ha pronunciat i el mateix diu que d’investigació no s’ha acabat. L’agencia de Protecció de Dades ho confirma. Ha arribat fins i tot a atacar a la Fiscalia. L’empresa T-Systems, el dia després en conversa telefònica a Andorra 7 radio i també al Diari d´Andorra es desvinculà de tot lo que va publicar el periòdic d´Andorra i que després va explicar el Sr. Ministre Manel Pons (lo mateix que el diari).

9.-El Periòdic d´Andorra publicà que els fitxers eren accessibles per més de 300 persones i estaven oberts?. També va dir que moltes empreses externes i tenien accés!. Qualsevol que entrés a l´intranet podia ROBAR les dades. Qualsevol que hi tingués accés podia copiar-les en un cd o en una clau USB que és del tamany d’un clauer i NO DEIXA RASTRE!.
I després de tot això tenen “le culot” con diuen en francès o mala “llet” en català, d’apuntar cap a la meva persona?.

10.-Si la Fiscalia no m’ha demanat rés les seves raons tindrà. I a ben segur les té. Totes les proves que jo he pogut aportar. L´APDA i ells son les úniques institucions que tenien que conèixer les dades que vaig aportar.

11.-Hi ha una intoxicació i manipulació de l’informació dirigida per algú o alguns mitjà/institució contra la meva persona la qual no entenc. Avui dissabte 18 de Novembre en el apartat opinió no digne de un periodista diu
“Massa interrogants

• Hi ha un munt d’interrogants sense resposta en la qüestió de les dades de l'STA i els últims fets
En l'afer sobre les dades de l'STA s’ha produït un nou camp de seguiment. És l’hora d’aconseguir esbrinar què ha passat, què està passant actualment i, el que és més important, com es resoldrà des de l’àmbit judicial la qüestió. A través de les declaracions fetes al Diari d'Andorra --que va destapar al seu moment la capsa dels trons--, el denunciant, Jaume Cabot --home conegut en diferents ambients per diverses activitats--, intenta explicar el perquè de la denúncia. Ho fa només des del mitjà que va participar en la denúncia, després de molt de temps, quan un estudi explica les conclusions a què arriba, que parlen de molts aspectes que no concorden amb les seves explicacions. Són moltes les preguntes que se li podrien fer i que necessiten una resposta: per què va trigar uns dies a fer la denúncia, per què ho va fer a l'oficina de dades i no a la Policia en un cas tan clar d’il·legalitat, per què no va ampliar el descobriment amb més informació precisa i un llarg etcètera. Però és que des de les institucions també resulta estrany que les diligències hagin estat tan lentes i sobretot que ara no es donin les ordres judicials per aclarir definitivament les coses, com per què no es dóna des del primer dia la matrícula o per què encara ara no s’accedeix a les dades necessàries per establir una investigació concreta partint de l’assessorament i l’estudi realitzat. Són molts els interrogants que patim, massa els silencis i poca la transparència entre els organismes afectats. En un segon grau seria bo arribar a les motivacions, per tal d’establir complicitats i responsabilitats”.
I el dia 29 d´Octubre deia
“INFORMACIONS FOSQUES

• Fa dies que dura la pluja d’informacions fosques sobre dades obtingudes de canals irregulars
JOSEP ANTON Rosell Pujol
Periodista.


Alguna cosa deu estar passant en el món de la comunicació, sobretot en el camp de les noves tecnologies informàtiques. La filtració de dades sobre malalties n’és un exemple i el més remarcable ha estat el problema dels correus andorra.ad. Recordant Shakespeare, podríem dir que alguna cosa put a podrit en el món de les comunicacions a Andorra. Sobretot perquè la denúncia no té un rostre definit, les investigacions obren un gran interrogant sobre l’autor i la llista de sospitosos no és tan greu pel que fa als possibles culpables sinó més aviat pel que fa a les motivacions que van instigar a dur a terme aquest fet.
El dubte és profund i serà imparable fins que no sapiguem desfer aquest nus. A través d'internet es fabriquen --cada vegada més-- notícies sobre no se sap qui i amb una clara dificultat per saber qui hi ha al darrere des del punt de vista personal i de raonament i finalitat de l'acció. Les teories orwellianes sobre una societat cada vegada més dominada per la màquina evidencien la incapacitat de la persona individual davant del Gran Germà, que tot ho vigila i tot ho controla. El problema ara és saber qui controla el controlador o com es descontrolen els controls. Perquè en aquests moments les incògnites són més nombroses que les evidències i, a la vegada, són molt discutides i discutibles. El final del joc no s’albira, potser perquè algú fa trampes. ¿Qui i per què? La incògnita no la soluciona ni Sherlock Holmes.”
12.-Dins de L’agencia de Protecció de Dades d´Andorra han actuat com uns cavallers i dins de la legalitat com no podia ser d’una altra manera i han protegit la meva identitat.
13. Vaig decidir sortir a la llum per veure si acabaven de parlar del denunciant i es dedicaven a l veritable problema (trobar al/als lladres) i ara començo amb a rebre els efectes col·laterals.Veig que es continua amb l´intoxicació i desacreditament personal no digne d’un estat de dret. Avui INSINUACIONS FOSQUES. Demà?. Constato que a partir d’avui puc esperar qualsevol cosa. Pot ser aniré a fer companyia a la noia que va agafar presuntament una caixa de galetes i 400€?.
14.-El tristament arxiu que em porta molts mals de cap estava a INTERNET via el programa E-MULE. Ho vaig denunciar per principi i per obligació moral. Per les dades que tinc i tenen les institucions abans esmentades crec que ens podem trobar amb una SORPRESA. Si no encobreixen ni tapen rés!.
Soc una persona tossuda i quant començo alguna cosa no paro fins que acabo. En tots els àmbits. Quant es tracte de desigualtats, ja m’ha passat al Pas de la Casa quant van acomiadar-me d’una empresa per defensar a una treballadora que va estar 30 dies sense assegurar ni contracte i que després acomiadaren i es va quedar al carrer sense poder entrar a l’apartament de funcions. Ajudo si puc i no paro. Els anys donen experiència sobre tot després de rebre molts cops però crec que denunciar el cas dels fitxers és lo que havia de fer. Intentaré aguantar tot lo que estigui per vindre. Quant tinc la raó non paro. No soc dictador. Si m’equivoco ho reconec i rectifico.
16.- Creïble però no contrastada la noticia que em va arribar per telèfon en acabar una taula/reunió de turisme a Andorra la Vella fa uns 8 dies. “El Sr. Puigdellivol Ministre ha dit a quatre persones després de la reunió, que l’afer ja estava perquè un militant del PS d´Encamp i de la mà d´un advocat del mateix Partit s´havia autoinculpat!!!!”
17.-Desitjo i espero que el partit continuí amb la confiança que crec em tenia dipositada.
*Aquest dilluns us facilitaré les 2 copies de les denuncies presentades al´APDA.
Ni muntatge ni complot.
Gràcies i salutacions,
JAUME CABOT

Capítol 6 - Carta al Diari d´Andorra 15 de Març de 2.006


PROTECCIÓ DE DADES, LEGALITAT, PREPOTÉNCIA, INTOXICACIÓ
Per lo que a mi respecta l´Agència de Protecció de Dades d´Andorra actua amb tot el respecte degut i obligat per la llei.
L´Agència de Protecció de Dades d´Andorra ha respectat sempre la meva identitat.
Aquesta només la coneixia la FISCALÍA ja que va demanar una còpia de la meva denuncia.
Jo NOMÉS soc la persona que va “DENUNCIAR” la troballa del fitxer en un lloc on jo considero i entenc no adequat. Les adreces de correu andorra.ad (15.995) amb les seves respectives contrasenyes i amb una referència al servidor andornet.ad (sense cap altra dada més).
Jo també he estat “PIRATEJAT”. Les meves adreces també estaven en el tristament famós fitxer que malauradament vaig trobar i vaig ser el primer en denunciar-ho. O almenys o sembla. Si no com és que encara es trobava al E-mule?.
És evident que si les dades del fitxer es podien descarregar del E-mule més de una persona les pot aver llegit i copiat.
Tothom té que sàpiguer , no em cansaré de repetir-ho, que el fitxer estava comprimit. El seu títol 100 email... estava en anglès i que una vegada descomprimit la capçalera deia 12500 IMA “provades el MARÇ de 2005 en ALEMÀ”.
Des de fa varis anys anava denunciant a la Parapública l’arribada de correus massius i també intents d’intrusió al meu ordinador.
En el inici del servei d’emissió i recepció de dades via satél-lit mitjançant la plataforma Europe On line en satèl·lit Astra vaig contractar el servei el qual vaig estar utilitzant uns quant mesos.
A les hores no existia l´adsl a Andorra. Les peticions sortien via mòdem i la recepció arribava per satèl·lit. Fins a 2MB de baixada i també amb descàrregues sense connexió telefònica.
Al cap d’un temps vaig començar a rebre spam i també intents d’intrusió.
Els intents d’intrusió tal com em reportava el software instal-lat en l’ordinador es referien a IP,s 194.158. ... ... Després de les comprovacions oportunes amb les eines corresponents vaig poder comprovar que el rang d´IP,s apuntaven a l´STA.
Vaig mantindre varies conversacions telefòniques amb el Sr. Xavier Palacios i posteriorment vaig enviar-l’hi per correu els dossier amb els logs.
Passats un dies em va contestar dient que unes eren IP,s INTERNES DE L´STA i unes altres corresponien a una entitat bancària del País?.
Vaig deixar el tema per impossible.
Si em confirmava que una part de les IP,s eren de l´STA?. La resposta ja la penseu.
Si per altre costat deia que les altres eren d’una entitat bancària amb la qual no tenia cap relació estava ben EQUIVOCAT!.
Lo que va llegir en els logs que jo vaig proporcionar era una CONTRASENYA d’entrada al SERVIDOR SATÈL·LIT la qual per les inicials es podia confondre amb una entitat bancària del País.
PROTECCIÓ DE DADES?
En el mateix període vaig mantindre un contenciós amb la Parapública. Un dels varis problemes comprovats i assumits per el Sr. Director Comercial que ara es troba Espanya va ser que si bé pagava per no aparèixer a la guia de telèfons la meva adreça hi apareixia igualment. Resposta obtinguda: Ha segut un error!.
Quant gràcies a la facturació detallada vaig adonar-me que les factures eren triplicades també la resposta va ser: Ha segut un error.
Per sentencia judicial vaig aver de pagar un suposat deute que jo tindria amb la parapública. Per un serveis NO PRESTATS. No la comparteixo però la tinc que acatar. I així ho vaig fer.
Van ser molt diligents a inscriure les meves dades al BOPA, però NO HAN PUBLICAT LA CANCEL·LACIÓ.
No fa gaire vaig adreçar una carta al Sr. President del Consell d´Administració de l´Sta demanat la rectificació de les dades. Passat els temps reglamentari per la seva resposta no s’ha dignat a respondre. Hi ha una denuncia cursada a l´APDA.
PROTECCIÓ DE DADES?
To això molt abans de la divulgació per ENVIAMENT MASSIU PER PART DE LÁ DMINISTRADOR DEL SERVIDOR DE CORREU.ANDORRA.AD, de totes les adreces de correu a cadascun de nosaltres.
PROTECCIÓ DE DADES I LEGALITAT
A l’abast de TOTHOM teniu el BOPA i les pàgines WEB foranes. Quant el servei de telecomunicacions ho permet!.
El Bopa publica l’atribució d’un contracte per la manipulació de les dades dels abonats i posterior facturació del servei de telecomunicacions STA a la companyia ALCATEL d´Espanya.
Edicte
Per acord del consell d'Administració del Servei de Telecomunicacions
d'Andorra, del 2 de setembre del 2003, es fan públiques les adjudicacions
definitives següents:
Referència: YD / 2377
Designació: impressió, ensobrament i distribució de la facturació fins Andorra
Forma d'adjudicació: concurs
Modalitat de contractació: ordinària
Identitat adjudicatari: Alcatel Servicios
Denominació partida pressupostària: Treballs d'informàtica
Preu cert del contracte: 41.895,11 euros
Podeu llegir:
SERVICIOS DE IMPRESIÓN, ENSOBRADO Y ACABADO
Documentos personalizados: comunicaciones bancarias, facturas, pólizas de seguros, mailing, etc. i un dels seus clients es ALCATEL!.
Sembla que el servei ha segut SUBCONTRACTAT.
Sembleria que les dades (número de compte de l´Sta, número de compte del banc, trucades rebudes, trucades originades, país visitat, etc.) dels clients de la parapública STA circulen per MADRID "como DON PEDRO POR SU CALLE".
Jo no he autoritzat mai que les meves dades VIATGIN a un altre PAIS ni que les manipulin varies empreses. Les persones que he consultat i em sembla que cap client de l´Sta ,han autoritzat a la parapública el deixar “AGAFAR” les dades per empreses de fora i que les manipulin .
"../.. Cada persona com a individu té potestat sobre les seves dades i només ella pot decidir què vol que se'n faci. ../.."
"../.. El tractament de dades personals és un dret personalíssim, i és un dret fonamental de la persona recollit a la Constitució Andorrana en els Articles 14 i 15. ../.."
Segons informacions del registre de Comerç Espanyol sembleria que les úniques empreses autoritzades per fer tractament de dades serien les empreses de publicitat i adients i sempre autoritzades per l´Agència de Protecció de Dades Espanyola.
Consultat el registre mercantil i en referència a Alcatel, aquesta no estaria autoritzada a tractar dades. I encara menys menys les d´Andorra tenim en compte la legislació EUROPEA. En el cas de poder-ho fer l’hi seria necessari un permís especial de importació i exportació de dades sensibles ja que son originaries (les d´andorra) de un PAIS TERCER.
PROTECCIÓ DE DADES, INFORMACIONS, INTOXICACIONS I LEGALITAT
Els dies posteriors a la meva denuncia es van donar moltes informacions.
No parlaré dels comentaris de persones sense escrúpols, ni d´ empleats, que no treballadors, (ells ja saben) que a l’hora de treball pagades amb comunicacions, i en el bar de torn, comentaren “ho ha fet per diners”. Tampoc de certa pren-se estrangera sensacionalista que divulgà insinuacions i noticies FOSQUES.
Però si que parlaré de Govern. Millor dit del seu representant Sr. Manel Pons.”
Quant jo no havia encara concedit l’entrevista al Diari d´Andorra el Sr. Ministre va dir a la Tv que la Fiscalia havia d’actuar PENALMENT contra el denunciant!. Encara no coneixia el meu nom. En acabar, va dir varies vegades que “l’auditoria no estava finalitzada”.
1.- Podia el Sr. Ministre facilitar i comentar dades si l´investigació no estava finalitzada?.
2.- Qui va facil-litar les dades i com les hi va facil-litar?.
3.- Recordo altra vegada que JO VAIG DENUNCIAR UN FET.
4.- En qualsevol cas, on és la presunció d’innocència?.
5.- A grans trets el Sr. Ministre va comentar quasi lo mateix que havia publicat el ROTATIVO d’origen estranger. Qui i com va facil-litar les dades al ROTATIVO?.
6.- L’empresa T-Systems consultada per telèfon va desvincular-se també a grosso modo de lo publicat al ROTATIVO i confirmà que l’auditoria no estava finalitzada.
7.- Legalitat?
PROTECCIÓ DE DADES, PREPOTÉNCIA I LEGALITAT
En la sessió de Consell de divendres dia 10 de Març passat la resposta del Sr. Ministre Manel Pons a la pregunta del PS sobre l´IMPEDIMENT D’ENTRADA DE L´APDA A L´STA contestà que els inspectors estaven infringint la llei.
Sembla que la seva memòria falla.
La llei la van infringir la persona/es o empresa/es que van descuidar i descuiden la protecció de dades.
La llei l´infringeix al meu entendre l´Sta quant no compleix amb els contractes signats.
Tothom coneix el mal funcionament del servidor de correu i de les línees adsl.
Des del mes de Setembre amb problemes.
Els canvis de IP,s de la 194 al 85 també en comporten. O no?.
El compartiment de IP,s entre 5,6 ó més usuaris també. O no?
Si bé tot canvi es bo i tota persona intel·ligent accepta que hi hagin petits problemes o talls, es deuen sol-lucionar amb diligencia però no amb la prepotència demostrada per algunes persones.
Lo que no es pot fer son talls INTERMITENTS I VOLGUTS cert dies i certes hores o els caps de setmana.
Lo expressat per l’actual director en funcions de l´STA, Sr. Palacios és aberrant.
Reduirem l’amplada de banda del E-mule.... O sigui que a més volia actuar de jutge?. Sapigueu que a França els programes P2P de compartiment d’archius son LEGALS des de l’any passat. Una altra cosa és l’ús que sen faci!.
Als Estats Units una discogràfica s’ha posat al costat d’un estudiant que baixava música i en contra del que ho va denunciar!.
Lo IL-LEGAL i GREU ÉS que a INTERNET – E MULE hi havien 15.995 adreces de correu andorra.ad amb les seves corresponents contrasenyes i una menció a andornet .ad (sense dades) .
Lo IL-LEGAL i GREU és que l´Sta envií les adreces de correus de tot els usuaris a cadascun de nosaltres.
LO IL-LEGAL i GREU és que es trobin logs amb les comunicacions dels usuaris.
LO IL-LEGAL i greu és que la parapública desestimi las demandes, preocupacions, queixes dels usuaris i que al segon dia rebi a una associació tot just creada i expliquin que están en sintonia i que treballaran conjuntament.
Que des de la parapública es digui, una vegada assumits els problemes tard però assumits, que no abonaran cap quantitat de diners, sens ser juriste però amb estudis, no crec que aixó s´ajusti a la LEGALITAT:
LO IL-LEGAL I GREU és que sense aver acabat una investigació un portavenveu de Govern divulgués DADES i acusés al denunciant.
PROTECCIÓ DE DADES I LEGALITAT
Fins ara, amb les informacions de la prensa escrita i tv i confirmades per el Sr. Ministre Manel Pons tothom té clar que l’empresa T-SYSTEMS de Barcelona (que havia treballat per la generalitat de Catalunya) i amb empleats de parla Alemanya ja que pertany a Deutche Telecom, va fer una auditoria. No ho poden negar.
Lo que neguen és que l´APDA hi tingui accés.
Lo que tampoc poden negar és que: MOLT AVANS DEL MES D´OCTUBRE T-SYSTEMS JA TREBALLAVA PER L´STA . I continuen. Des la parapública ho confirman!.
Visiteu la seva web corporativa:

http://www.t-systems.es/coremedia/generator/www.t-systems.es/es/Home/ICSS/Sobre_20ICSS/templateId=renderNormal/id=98760.html

Desde ICSS España se gestiona la relación de la Global Account de Telefónica así como las operaciones en Portugal, Andorra y Gibraltar”.
Com s’entén que una empresa que treballa amb i per L´Sta faci ella mateixa l’auditoria?. És això legal?.
Jo diria que no!.
Un comptable, per citar un exemple, no pot auditar la mateixa empresa!.
A més quin grau de credibilitat pot tenir una empresa auditora que ella mateixa té DOCUMENTS INTERNS QUE CORREN PER l´E-mule?. Per mi cap!.
** Nota:
Totes les dades i archius esmentats han segut facil-litades, degudament argumentades i denunciades a l´Agència de Protecció de Dades d´Andorra.
Fins el dia d’avui lo únic, almenys és lo que ha transcendit, han segut els atacs a la meva persona i JA NI HA PROU.
Ja han passat 5 mesos i existeix el dubte de qui, com i de quina manera.
Si existeix una auditoria LEGAL es té que divulgar i que tothom sen assabenti.
Si no existeix deixeu fer el treball encomanat a l ´APDA i que entregui les seves conclusions lo més aviat possible.
Vull dir-vos també, que lo LEGAL no és demanar “off the record” si el denunciant podria deixar el seu ordinador. Lo LEGAL era posar-lo a disposició del que m’ho demanés OFICIALMENT. No hi hauria posat cap impediment si m’ho haguessin demanat. Sempre es clar amb un informàtic jurat, a la seu de l´APDA i jo davant!. I menys si ho hagués demanat la Fiscalia.
PROTECCIÓ DE DADES I LEGALITAT
Una reflexió per acabar:
Evident és que la cultura de protecció de dades personals a l´Andorra d’avui NO EXISTEIX, quant en una sessió de CONSELL i abans de la votació per l’elecció del jurista que havia d’ocupar la plaça de Fiscal general es van llegir els currículums del dos juristes proposats.
En llegir el CV de la Fiscal sortint Sra. Assumpte Pujol, es facilitar el seu domicili d´Escaldes, número, pis, telèfon fixa, telèfon mòbil...!
Us recordo que ATV retransmet les sessions de Consell per Internet que és des de on jo ho vaig visionar i escoltar. Des del meu ordinador. Altra vegada!
JAUME CABOT