Beveiligingslek melden

[c-nan]

Stel je hebt de ranges van een aantal hosting providers gescant en je bent aantal beveiligingslekken tegengekomen (lees: toegang tot enkele devices, al dan geen root access).

Hoe zou je hier melding van maken? Gewoon een lijst mailen met IPs en uitleg over de lek of anders? Je wilt uiteraard niet aangeklaagt worden

Met hosting providers bedoel ik geen ISP, maar providers zoals OVH, Rackspace en Softlayer.

[Pogostokje]

Natuurlijk is het netjes om te melden, maar maak wel je goede intenties duidelijk (waarom zat je te scannen in de eerste plaats) en vertel ook wat je verder met die gegevens gedaan hebt. Als je het 'als techneuten onderling' brengt ipv 'hey kijk hoe dom jullie zijn' weet ik zeker dat ze er blij mee zullen zijn als je echt iets boven water haalt wat een risico vormt voor ze.

Ik ben wel benieuwd naar mijn eerste vraag hier: waarom ben je dit gaan doen?

[CH4OS]

Daarnaast zou ik ook verifiëren of ik ook echt access kan krijgen (ook weer: als techneut, zonder verdere bijbedoelingen), anders sla je een flater als blijkt dat het niet werkt.

[Ernemmer]

Gewoon een brief sturen met de post, dat kan tenminste lekker anoniem.

[c-nan]

Pogostokje schreef op zaterdag 01 december 2012 @ 20:36:
Natuurlijk is het netjes om te melden, maar maak wel je goede intenties duidelijk (waarom zat je te scannen in de eerste plaats) en vertel ook wat je verder met die gegevens gedaan hebt. Als je het 'als techneuten onderling' brengt ipv 'hey kijk hoe dom jullie zijn' weet ik zeker dat ze er blij mee zullen zijn als je echt iets boven water haalt wat een risico vormt voor ze.

Ik ben wel benieuwd naar mijn eerste vraag hier: waarom ben je dit gaan doen?

Twee redenen:
- Internet moet veilig zijn
- Fun (hobby)

[c-nan]

Ernemmer schreef op zaterdag 01 december 2012 @ 20:38:
Gewoon een brief sturen met de post, dat kan tenminste lekker anoniem.

Slim Ook een optie inderdaad.

[CH4OS]

Ernemmer schreef op zaterdag 01 december 2012 @ 20:38:
Gewoon een brief sturen met de post, dat kan tenminste lekker anoniem.

Want via e-mail kan dat niet? Een fake e-mailadres is zo gemaakt, bijvoorbeeld een GMail of Hotmail of zo. En dan nog is het moeilijk aan te tonen dat jij / ik dat mailtje heb verstuurd vanaf IP-adres X.

[Gomez12]

Zoals al gezegd : Ga wel even na wat het voor lekken zijn, zijn het bijv dedicated of colo machines dan kan ik me voorstellen dat zo'n hosting provider zoiets heeft van : Not my problem, maar ik zal het doorzetten naar de klant.

[c-nan]

Gomez12 schreef op zaterdag 01 december 2012 @ 21:01:
Zoals al gezegd : Ga wel even na wat het voor lekken zijn, zijn het bijv dedicated of colo machines dan kan ik me voorstellen dat zo'n hosting provider zoiets heeft van : Not my problem, maar ik zal het doorzetten naar de klant.

Waar het mij om gaat is dat ze mij niet gaan aanklagen oid. Als ze er zelf niks mee doen kan ik alsnog proberen de klant te benaderen.

[Gomez12]

Polat06 schreef op zaterdag 01 december 2012 @ 21:08:
[...]

Waar het mij om gaat is dat ze mij niet gaan aanklagen oid. Als ze er zelf niks mee doen kan ik alsnog proberen de klant te benaderen.

Risico van aanklagen zit er altijd in, portscannen valt afaik al onder computervredebreuk.

Wilde je niet aangeklaagd worden had je niet moeten scannen.

[ Voor 8% gewijzigd door Gomez12 op 01-12-2012 21:36 ]

[NLCJ]

http://www.hidemyass.com/anonymous-email/

Maak een accountje, ga daar met ze in gesprek (kun je ook nog reageren!). Zou natuurlijk altijd kunnen dat HideMyAss jouw IP opslaat. Maar dan moeten ze al heel wat moeite doen willen ze jou achterhalen, al denk ik dat ze je eerder dankbaar zijn.

P.s. 'Real email' is niet verplicht.