RobIII

Maandagochtend werd ik gebeld door Eric van der Loo over een akkefietje dat ze dwars zat. Ik heb kennelijk (weer) wat zere schenen geraakt want er werd me verteld dat ik een brief van hun advocaat kon verwachten.

Grappig is dat, je wijst iemand op een lek en er wordt nonchalant op gereageerd. Je zet het op het wereld wijde web en plots ben je de gebeten hond. En dan word je gebeld door de "Co-owner, management advisor" van dan bedrijf. Dat je aansprakelijk wordt gesteld voor gevolgschade als je je blogitem niet offline haalt.

Euh; sorry. Daar word ik niet echt warm van. Ik heb een blogitem gepubliceerd ja; ik heb echter geen misbruik gemaakt van eventuele XSS lekken die ik ontdekte. Ik heb niemand toegang gegeven tot zaken waar ze niets te zoeken hebben en ik heb niets gedaan waarmee kwaad uitgericht is op betreffende site(s). Maar nee, we houden vast aan onze Security through obscurity en steken lekker onze kop in 't zand. Zolang niemand gekke dingen in het zoekveld invoert is onze site veilig

In mijn mailbox trof ik dan ook (of misschien ook wel niet; who knows... email is nogal onbetrouwbaar en overijverige spamfilters willen nog wel eens wat zaken per-ongeluk droppen die niet gedropt hadden mogen worden ) het volgende aan:

Geachte Heer Janssen,

Zojuist heeft u telefonisch bevestigd dat u degene bent die onderstaande blog heeft geplaatst op Tweakers.net

RobIII: In het land der blinden... part 3

Op zich is het goed dat u mogelijk gevonden zaken aan de orde stelt. Het zou alleen wat netter en professioneler zijn geweest deze rechtstreeks met ons op te nemen. Dan hadden we e.a. kunnen bespreken en u wellicht op gepaste wijze kunnen bedanken voor uw bevindingen. Temeer omdat een aantal zaken die u noemt niet juist zijn.

Ah; het is dus goed dat ik "mogelijk gevonden" ( ) zaken aan de orde stel. En ik was niet professioneel. Euh; oh wacht... Als er in eerste instantie adequaat gereageerd was had dat hele blogitem nooit bestaan. Toch? Natuurlijk had ik rechtstreeks contact moeten opnemen; op die manier kan alles netjes in de doofpot. En dan was ik ook nog eens "wellicht gepast bedankt" geworden Daarbij is het naar ze gecommuniceerd; dat valt ook te lezen in het blogitem. Maar toen werd er nog nonchalant op gereageerd. Ook ben ik wel eens benieuwd naar de zaken die ik noem die niet juist zijn. Sowieso vreemd want het is een best algemeen artikeltje waar ik her-en-der even WebArchitects bij haal. Misschien voelen ze zich aangesproken... Iets met een schoen passen en aantrekken...

Naar uw beweegredenen op deze manier te publiceren kunnen wij slechts gissen, daar wij ons niet bewust zijn van enig onrecht dat wij u hebben aangedaan.

Ze hebben mij geen enkel onrecht aangedaan; hun klanten daarentegen wel Maar dat doet niet terzake; het gaat nu vooral om "damage control"; negatieve publiciteit de kop indrukken.

Wij wijzen u er verder op dat u bij uw publicatie gebruik maakt van kennis die u heeft opgedaan tijdens een arbeidsovereenkomst waarbij u automatisch onder een geheimhoudingsplicht stond. Overtreding van deze geheimhoudingsplicht is uiteraard strafbaar.

Vreemd; ik heb niets getekend en kan me niet herinneren onder geheimhoudingsplicht te hebben gestaan noch dat in mijn (toenmalige) contract van mijn (toenmalige) werkgever te hebben gezien. Daarbij zal een rechter bepalen of het al dan niet strafbaar zou zijn. De kennis die ik heb opgedaan voor wat betreft XSS lekken is kennis die iedereen die zich webdeveloper (of chique afgeleide daarvan) durft te noemen hoort te hebben en de XSS lekken an-sich heb ik dan pas een aantal weken terug ontdekt door gewoon "<script>alert('boe');</script>" in te toetsen in een zoekveld. Gewoon algemene kennis die ieder beetje techneut heeft; daarbij heb ik écht geen kennis (noch nodig) van alle, in de vorige blogpost vernoemde, 9 sites noch van de internals van de RightClick software anders dan wat zich aan het frontend afspeeld; iets wat iedere bezoeker ziet. Sowieso vreemd dat zij weten waar ik mijn kennis op doe of opgedaan heb.

Wij verzoeken u derhalve uw publicatie vandaag nog te verwijderen, en u te weerhouden van verdere publicatie van deze informatie, op welke wijze dan ook. Indien dat niet gebeurt zijn wij genoodzaakt verder stappen te ondernemen.

Ik verwijder niets. Ik zou niet weten waarom? Alles is gewoon publiek toegankelijk (geweest) en het enige wat ik heb gedaan is er een leuk stukje over schrijven. Ik zie niet in waarom ik zou moeten meewerken aan de 'damage control'.

Het moge duidelijk zijn dat eventuele gevolgschade dan op u zal worden verhaald. U dient zich daarnaast ook te realiseren dat u hiermee niet alleen WebArchitects kan raken, maar ook de door u genoemde andere bedrijven. Zij kunnen uiteraard separaat besluiten om al dan niet juridische actie tegen ondernemen.

Vreemd; eventuele gevolgschade gaan verhalen op degene die meldt dat sloten van merk X waardeloos zijn in plaats van op diegene die inbreekt. Een XSS lek kan iedere net-niet-leek ontdekken. De "andere bedrijven" adviseer ik vooral eventuele schade te verhalen op WebArchitects; de partij welke in eerste instantie de brakke oplossing geleverd heeft. Don't shoot the messenger.

Wij gaan ervan uit dat u zich na het bovenstaande realiseert dat uw publicatie onjuist en onrechtmatig is, en dat u deze vandaag zal verwijderen. Indien dat gebeurt zullen wij vooralsnog geen verder actie ondernemen.

Het is niet onjuist; iedereen die mijn "publicatie" gelezen heeft heeft met eigen ogen kunnen constateren dat er XSS lekken zijn en/of aanwezig waren. Onrechtmatig euh wat?

Met vriendelijke groet,

Eric van der Loo
WebArchitects B.V.

Met vriendelijke groet,
RobIII

On the bright side: er is wel weer een club wakker en zo te zien is er in ieder geval al iets ondernomen. Heeft mijn "publicatie" toch nog nut gehad en hebben de 'ongelukkigen' er van geprofiteerd Althans... het is dan wél weer jammer dat 't dan zo knullig opgepakt wordt. Opgelost is het niet en wederom ontgaat het concept "correct escapen" ze; en for Pete's sake, ik quote uit diezelfde helptekst: "This function can usefed* to help protect ColdFusion pages that return user-provided data to the client browser from cross-site scripting attacks...However, <snip>** " en dan heb ik nog nooit een regel ColdFusion code geschreven Ook grappig om te zien dat het aanklikken van een linkje al leidt tot de beschuldiging van een 'Hacking attempt' Ik heb een Déjà vu all over Ach, heb ik ook weer wat te bloggen

* Wat is usefed?
** Er staat nog meer interessants daar...