En gros : si la justice (américaine) voit une activité qui leur déplaît liée à un compte utilisateur PyPi, et on peut imaginer du code malveillant, un mineur de btc planqué dans une lib, etc., ils peuvent demander à PyPi des infos sur toutes les activités du compte chez PyPi, les données personnelles, etc.
Un peu comme la police en France peut demander les détails d'un numéro de téléphone à l'opérateur par exemple.
Et la réponse est « oui madame la Justice, tenez, voici », parce que c'est quand même normal. Il est censé y avoir un parcours judiciaire précis lié à une instruction précise, pour faire ces demandes, et elles ne concernent que des comptes précis.
Comme pour tout, on suppose qu'il y a des abus, et leur « patriot act » à la con leur donne certainement plus (trop) de moyens pour obtenir ces données, mais rien d'aberrant.
Ce qu'on doit en tirer est simple :
« Sur internet on laisse des traces, et la police peut les suivre ».
Ce qui, soyons honnêtes, n'est pas une grande nouvelle.
C'est, ici, intéressant de voir à qui ils ont demandé ces infos : PyPi, et on peut spéculer sur pourquoi (je ne m'en suis pas privé plus haut...), mais PyPi ne divulgue pas les comptes incriminés, ce qui est, ici aussi, normal, mais va casser un peu les chances qu'on a de faire plus que de la spéculation sur ce qu'ils cherchaient vraiment...
Le détail de l'article indique quelles données ont été demandées et fournies, les requêtes SQL effectuées, si ces données sont privées (accessibles uniquement à PyPi) ou publiques, mais aussi des informations indiquant que les comptes en question n'ont jamais changé de username, ou fait des opérations visant à masquer leurs activités, ou activités passées, ce qui n'est pas une donnée publique, et peut nous permettre de spéculer encore plus sur la possible illégitimité - ou légitimité abusive - des demandes.
# Un résumé.
Posté par Yth (Mastodon) . En réponse au lien PyPI was subpoenaed. Évalué à 9.
En gros : si la justice (américaine) voit une activité qui leur déplaît liée à un compte utilisateur PyPi, et on peut imaginer du code malveillant, un mineur de btc planqué dans une lib, etc., ils peuvent demander à PyPi des infos sur toutes les activités du compte chez PyPi, les données personnelles, etc.
Un peu comme la police en France peut demander les détails d'un numéro de téléphone à l'opérateur par exemple.
Et la réponse est « oui madame la Justice, tenez, voici », parce que c'est quand même normal. Il est censé y avoir un parcours judiciaire précis lié à une instruction précise, pour faire ces demandes, et elles ne concernent que des comptes précis.
Comme pour tout, on suppose qu'il y a des abus, et leur « patriot act » à la con leur donne certainement plus (trop) de moyens pour obtenir ces données, mais rien d'aberrant.
Ce qu'on doit en tirer est simple :
« Sur internet on laisse des traces, et la police peut les suivre ».
Ce qui, soyons honnêtes, n'est pas une grande nouvelle.
C'est, ici, intéressant de voir à qui ils ont demandé ces infos : PyPi, et on peut spéculer sur pourquoi (je ne m'en suis pas privé plus haut...), mais PyPi ne divulgue pas les comptes incriminés, ce qui est, ici aussi, normal, mais va casser un peu les chances qu'on a de faire plus que de la spéculation sur ce qu'ils cherchaient vraiment...
Le détail de l'article indique quelles données ont été demandées et fournies, les requêtes SQL effectuées, si ces données sont privées (accessibles uniquement à PyPi) ou publiques, mais aussi des informations indiquant que les comptes en question n'ont jamais changé de username, ou fait des opérations visant à masquer leurs activités, ou activités passées, ce qui n'est pas une donnée publique, et peut nous permettre de spéculer encore plus sur la possible illégitimité - ou légitimité abusive - des demandes.