Hadopi:we don't know what's really happening on TMG

Alain Guislain, CEO and co-founder of TMG, reacted to the storm that fell on his company following the discovery of a security flaw on at least one of its servers.

A test server

In a letter addressed to ITexpresso, he confirms the leak but immediately tries to calm things down: "data belonging to TMG were published on the internet this weekend. This data comes from a test server of the company dedicated to its R&D team. "

TMG's number one adds that "at no time were the infrastructures used by TMG in the context of its operations affected, in particular the platform dedicated to collecting violations on P2P networks on behalf of rights holders under the HADOPI law." Another assurance: "no confidential and personal data was published on the internet. TMG's production infrastructures, specifically those dedicated to internet collection, are secure and not compromised. "

Obviously, since the company's servers work like a black box, it is impossible to certify these claims. Claims that anyway do not have exactly the same flavor on the part of the rights holders.

Pirates, an unsecured server

Marc Guez, from SCPP, the most powerful of the unions of music producers, sent the following letter to all member producers, a letter relayed by Electron Libre:

"Dear all,

Following the information published in the press about the hacking of a TMG server, TMG informed us that the server that was indeed hacked was a TMG test server (unrelated to HADOPI processing), which was not protected because it did not contain confidential information.

The TMG servers used for HADOPI were not hacked and no confidential data was leaked outside of TMG or HADOPI.
TMG must issue a press release to this effect.

Marc GUEZ"

We are talking about a hacked server that was not protected. In short, in the logic of rights holders, the pirates are those who visited these infrastructures, but without formally blaming the owner of the premises who had not protected them. A claim that should be put into perspective.

In the CNIL report unveiled on PC INpact, it was explicitly stated that "the only audit procedures planned on the TMG system are quarterly internal audits by the SPRDs" (Author Rights Perception and Distribution Companies).

"We don't know what happens at TMG"

Finally, from the HADOPI side, the most terrible sentence was spoken in the columns of the Figaro. To explain the suspension of its technical connections with TMG, Hadopi admits "we don't know what's really happening in TMG's servers. But we don't want to take the risk of an intrusion into our system and the personal data it contains".

This admission is the perfect characteristic feature of this system. Lacking an expertise, an audit in TMG's servers, HADOPI finds itself trapped by its strategy: increase power, send thousands of warnings every day, without worrying about what happens upstream. And here it is today forced to admit that it has no knowledge of what is happening in TMG's servers.

Hadopi was therefore satisfied with a procedure for findings entrusted solely to the hands of rights holders, completely ignoring the CNIL alert.

We will return to this point in a future update

Source

Alain Guislain, P-DG et co-fondateur de TMG, a réagi à la tempête qui s’abat sur son entreprise suite à la découverte de faille de sécurité sur au moins l’un de ses serveurs.

Un serveur de tests

Dans une lettre adressée à ITexpresso, l’intéressé confirme la fuite mais tente immédiatement de calmer les esprits : « des données appartenant à la société TMG ont été éditées ce week-end sur Internet. Ces données proviennent d’un serveur de tests de la société dédié à son équipe de R&D. »

Le numéro 1 de TMG ajoute qu’ « à aucun moment, les infrastructures utilisées par TMG dans le cadre de ses opérations n’ont été impactées, en particulier la plate-forme dédiée à la collecte d’infractions sur les réseaux P2P pour le compte des ayants-droits dans le cadre de la loi HADOPI. » Autre assurance : « aucune donnée confidentielle et personnelle n’a été éditée sur Internet. Les infrastructures de production de la société TMG, spécifiquement celles dédiées à la collecte sur Internet, sont sécurisées et non compromises. »

Évidemment, puisque les serveurs de la société fonctionnent comme une boite noire, impossible de certifier ces affirmations. Des affirmations qui n’ont d’ailleurs pas exactement le même parfum du côté des ayants droit.

Des pirates, un serveur non sécurisé

Marc Guez, de la SCPP, le plus puissant des syndicats des producteurs de musique, a envoyé la lettre suivante à tous les producteurs membres, lettre relayée par Electron Libre :

"Cher tous,

Suite à l’information publiée dans la presse sur le piratage d’un serveur de TMG, TMG nous a informés que le serveur effectivement piraté était un serveur de tests de TMG (sans lien avec les traitements HADOPI), qui n’était pas protégé car ne contenant pas d’infos confidentielles.

Les serveurs TMG utilisés pour l’HADOPI n’ont pas été piratés et aucune donnée confidentielle n’a donc fuité à l’extérieur de TMG ou de l’HADOPI.
TMG doit faire un communiqué de presse à cet effet.

Marc GUEZ"

On évoque ici un serveur piraté qui n’était pas protégé. En somme, dans la logique des ayants droit, les pirates sont ceux qui ont visité ces infrastructures, mais sans rien reprocher formellement au propriétaire des locaux qui ne les avait pas protégées. Une affirmation qui doit être relativisée.

Dans le rapport de la CNIL dévoilé sur PC INpact, il était explicitement dit que « les seules procédures d’audit prévues sur le système de TMG sont des audits internes trimestriels par les SPRD » (Sociétés de perception et de répartition des droits d'auteur).

"Nous ignorons ce qui se passe chez TMG"

Enfin du côté de l’HADOPI, la phrase la plus terrible a été prononcée dans les colonnes du Figaro. Pour expliquer la suspension de ses liaisons techniques avec TMG, la Hadopi avoue « nous ignorons ce qu'il se passe réellement dans les serveurs de TMG. Mais nous ne voulons pas prendre le risque d'une intrusion dans notre système et les données personnelles qu'il contient ».

Cet aveu est le trait caractéristique parfait de ce dispositif. Faute d’avoir diligenté une expertise, un audit dans les serveurs de TMG, la HADOPI se retrouve piégée par sa stratégie : monter en puissance, adresser des milliers d’avertissements chaque jour, sans se soucier de ce qui se passe en amont. Et la voilà aujourd'hui obligée d'admettre qu'elle n'a aucune connaissance sur ce qui se passe dans les serveurs de TMG.

Hadopi s’est donc satisfait d’une procédure de constats confiée aux seules mains des ayants droit, en ignorant superbement l’alerte de la CNIL.

Nous allons revenir sur ce point dans une prochaine actualité

Source