Joven expulsado de una universidad de Montreal por descubrir importante fallo de seguridad [EN]

#1   Recuerdo hace un par de años que pasó algo similar aquí en España con Nintendo, en una de sus webs hicieron una chapuza en la que se podía acceder a los datos personales de la gente registrada, ¿qué hicieron cuando les avisó un chaval que vio el problema? Denunciarlo a la policía diciendo que había hackeado la web. Básicamente aquí ha pasado lo mismo.

#2   Pues a mi exponer el fallo publicamente antes de comunicarlo a la universidad sí me parece que merece castigo.

#6   Seguro que estaria auditando la TIC de moda ...
Marchando mas millones en licencias ...

#7   Es más fácil pasarle el marrón a un joven de 20 años.

#8   No good deed goes unpunished.

#9   ... que descubrió una falla ...

Espero que no sea una falla de esas de la cuarta acepción de la RAE...

#11   A mi me paso algo muy similar en mi universidad. Decidí no contárselo a nadie (salvo a mi tía que lleva las bases de datos de otra universidad) y olvidar el tema para no meterme en líos.

Hay algunos sitios donde esto se valora, incluso se de unos tipos que pidieron permiso al rector de su universidad para intentar romper su seguridad, si no recuerdo mal el rector les dijo que adelante pero los tíos no lograron su objetivo.

En mi caso el fallo sigue estando.

#12   Leí el artículo a las 5 de la mañana en reddit, así que puede que no andara muy espabilado para entenderlo, pero me pareció entender que la expulsión de la universidad no vino por descubrir el fallo mientras programaba su aplicación, sino por, posteriormente y pasado un tiempo tras el aviso, lanzar una herramienta de testeo de vulnerabilidades sobre el sistema de la universidad para comprobar si lo habían solucionado.
Le pillaron con los logs, se ve que eso es ilegal allí (hacer esos rastreos…   » ver todo el comentario

#13   Es normal, le habrán expulsado porque con ese nombre y buscando fallos de seguridad en los sistemas era seguro que tenía que pertenecer a Al-Quaeda.

#14   Lamentable actuación por parte de esa universidad. No parece valer la pena estudiar ciencias de la computación en una universidad que actua de ese modo.

#16   ¿Fallo que compromete los datos personales de 250k alumnos? A ver, que rulen esas fotos

Por cierto, ¿Fran Perea se ha metido a hacker?

#17   Aunque a muchos no les guste lo que voy a decir, lo mejor es vendarla, te olvidas del problema te ganas un dinero incluso un trabajo. No hablo de venderla en un foro de underground si no a una empresa de seguridad... como las que venden exploits...

#18   Clavado a Ricky Rubio.

#20   Bueno, te aseguro q la proxima vez sacara partido..Si siendo legal te castigan, pues a ser ilegal

#21   ¿ves? a ver si aprendes de Rato... (le respondió su mamá)

#23   "... Taza explained that he was quite pleased with the work the two students did identifying problems, but the testing software Mr. Al-Khabaz ran to verify the system was fixed crossed a line.
“This type of software should never be used without prior permission of the system administrator, because it can cause a system to crash. He [Al-Khabaz] should have known better than to use it without permission, but it is very clear to me that there was no malicious intent. He simply made a mistake.”..."

Esta es la clave del caso ¿A qué se refiere?

#24   Lo mejor por lo que veo es denunciarlo a la policía directamente alegando que esa web está poniendo en riesgo información comprometida de usuarios, así te evitas que te denuncien ellos y de paso corrigen el fallo,

#25   Algo parecido me pasó en mis años en la uni.

Accediendo a la página de cambio de password de la página personal, donde accedíamos alumnos (para ver notas, expediente,. datos personales,...) y profesores (para introducir notas,...), vi que en un cutrismo máximo, en vez de usar sesiones, pasaba todo por GET en cada link menos el password que iba por POST. Entre otras cosas pasaba dos veces el DNI con diferente variable, una de sesión y otra que le decía en que cuenta cambiar el password. Me dio…   » ver todo el comentario

#27   Primero lo comunica, cosa que está bien, y después hace un programa para según él "testear que estuviera arreglado". El problema es que ese test estaba a la vez explotando el bug y eso es independiente de que lo hubiera descubierto él o no.

#29   A ver, es muy loable descubrir un fallo de seguridad de forma fortuita, pero otra cosa es ir lanzando ataques de prueba para ver si el sistema es seguro. Comentando la misma situación (un error de seguridad en un servidor de la universidad y como avisar que se podía entrar hasta la cocina) un compañero me dijo que cuidado con el tema y la manera en que se avisaba (justamente por el tema de matar al mensajero) y puso el siguiente ejemplo "imagina que estás en casa y de pronto entra alguien usando un manojo de llaves o mediante unas ganzúas y os dice: Hola, creo que deberías cambiar la cerradura, es muy fácil de reventar!"... Seguro que menos "bonito" le llamáis de todo...

#31   Es como la peli aquella del Bruce Willis y el chaval autista que descubre una vulnerabilidad de un sistema carísimo.
Es más barato matar al chaval que rehacer el sistema.

#35   Pero si en cualquier Universidad una persona con móvil Android puede spoofear sin ningún inconveniente todos los paquetes con las cookies de inicio de sesión de Facebook, Tuenti, Amazon, Google y otras webs sin mayor complicación que darle a «Start» en un programita. ¿Pensabais que cada conexión iba por separado? Pues no. Algún día llamaré a la UV de Burjassot para informar al servicio de informática.

#36   Esa manera de proceder me recuerda a los partidos políticos que tenemos aquí y perdón por el offtopic.