VUPEN: lekken alleen voor democratieën
Het Franse beveiligingsbedrijf VUPEN, dat deze week de Pwn2Own-wedstrijd won, zegt geen beveiligingslekken in bijvoorbeeld browsers aan onderdrukkende regimes te verkopen. Het gaat hier om zero-day beveiligingslekken, waarvoor nog geen beveiligingsupdates beschikbaar zijn. Via deze kwetsbaarheden is het mogelijk om computers met malware te infecteren. In theorie zouden overheidsinstanties met de lekken van VUPEN computers van verdachten kunnen infiltreren.
"We verkopen alleen aan democratieën. Vanzelfsprekend respecteren we internationale regelgeving en we verkopen alleen aan betrouwbare landen en betrouwbare democratieën", aldus Chaouki Bekrar, mede-oprichter van het Franse beveiligingsbedrijf. "We verkopen niet aan onderdrukkende regimes."
Verkoop
In eerste instantie hield VUPEN zich bezig met het publiceren van advisories, met volledige details over beveiligingslekken, maar een Franse wet verbood dat. Daarom besloot het bedrijf zich te gaan bezighouden met de verkoop van beveiligingslekken.
"We werden gedwongen om te veranderen. Voorheen gaven we volledige details aan de overheid en anderen, maar toen veranderde de wet, en nu verkopen we ze", merkt Bekrar op.
Lijkt me onzin.
Als je zulke lekken verkoopt, zal 't vaak niet 100% duidelijk zijn wie aan de andere kant van de onderhandelingstafel zit.
Als je zulke lekken verkoopt, kan ik me niet voorstellen dat je voldoet aan alle grondrechten waarin vast staat dat je je volk niet mag bespioneren etc.
Hij probeert er beetje een Robin Hood verhaal van te maken, maar dan dat hij het niet aan de spreekwoordelijke slechteriken verkoopt.
Het zegt natuurlijk ook wat over de overheden die deze zaken kopen om .. Volgens democratsiche .. Ligitieme redenen in te zetten
We willen helemaal niet dat browsers veiliger worden
We willen helemaal niet dat internet veiliger wordt
We willen alleen maar geld verdiennen !
Hmmm dat we de gevonden lekken niet aan google vertellen staat niet zo goed in de pers, weet je wat laten we politiek correct zijn, en officieel vermelden dat we alleen aan de "goede" landen verkopen.
Is dat de Franse definitie van goede landen? De Europese definitie of misschien de Amerikaanse definitie. Nu hebben de Amerikanen een Democratische regering. Dat kan na de volgende verkiezing zo maar een republikeinse regering zijn. Stoppen ze dan dus met het verkopen aan de Amerikanen?
Ik vraag me trouwens wel af of zij als Europees bedrijf dergelijke gevoelige informatie aan niet-Europese landen mogen verkopen.
Peter
Evenzo min is Nederland een democratie. Een wet gaat pas in nadat het staatshoofd (Beatrix, dus) de wet ondertekent. Als het staatshoofd weigert de wet te ondertekenen gaat de wet niet door(!!). Vervolgens wordt die wet gehandhaafd door de politie onder leiding van een door het zelfde staathoofd benoemde burgemeester. Uiteindelijk wordt er "recht" gesproken door een door het staatshoofd benoemde rechter. Tenslotte kan bij ons een "gekozen" meneer kan geen minister president worden als het staatshoofd het er niet mee eens is.
Geloof nou niet dat ons land democratischer is dan landen als Iran, Rusland, Wit-Rusland of een van de Korea's, want dat is aantoonbaar onjuist.
(Nee, ik ben geen republikein, maar ik ben ook geen naieve democraat.)
(andere) Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
