Chronique d’une comparution judiciaire autour de l’injection SQL

Résumé

• Selon la loi sur la liberté d’information (FOIA) de l’Illinois, la plupart des informations détenues par les organismes publics sont communicables, mais la ville de Chicago a rejeté une demande FOIA au motif que le schéma de base de données (schema) pouvait poser un risque de sécurité. Le journaliste de données Matt Chapman a donc intenté une action en justice et, grâce à un témoignage d’expert démontrant qu’un schéma ne constituait pas une menace pour la sécurité, il a gagné en première instance puis en appel, avant de finalement perdre devant la Cour suprême de l’Illinois.
• La Cour suprême a estimé qu’un schéma de base de données relevait de la catégorie de la « disposition des fichiers », et n’était donc pas communicable, ouvrant ainsi la voie à ce que des organismes publics refusent des demandes d’accès en invoquant la structure de leur base de données. Toutefois, un projet de loi (SB0226) a été déposé pour résoudre ce problème ; il prévoit que les organismes publics décrivent la structure de leur base de données afin que les demandeurs puissent solliciter des requêtes de données précises.
• Ce projet de loi constitue une mesure importante pour renforcer la transparence de l’information, et il est nécessaire de contacter les élus locaux pour les exhorter à le faire adopter.

Contexte

• La loi FOIA de l’Illinois est robuste et, dans la plupart des cas, les informations collectées par les organismes publics sont considérées comme un bien public.
• Une demande d’accès peut être faite simplement par e-mail, et la réponse doit légalement être fournie sous 5 jours.
• La principale limite de la FOIA est qu’elle ne peut pas contraindre à créer un nouveau document.
• Un schéma de base de données décrit la structure d’une base de données, et son importance ne cesse de croître à mesure que les informations des organismes publics sont de plus en plus stockées dans des bases de données.

Matt Chapman contre la ville de Chicago

• Matt Chapman est un spécialiste du data journalism qui travaille à partir de demandes FOIA de grande ampleur.
• Le système CANVAS de Chicago est une vaste base de données centralisant les données sur les contraventions de stationnement ; Matt en a demandé le schéma, mais sa demande a été refusée.
• Chicago a rejeté la demande en affirmant que cette divulgation pourrait menacer la sécurité du système, et Matt a intenté un procès en réponse.

Quand je me suis retrouvé à la barre

• Un débat a eu lieu sur la question de savoir si la divulgation d’un schéma de base de données menaçait la sécurité.
• L’injection SQL est l’une des principales méthodes d’attaque contre les bases de données, et la question de savoir si un schéma de base de données pouvait être utilisé dans ce type d’attaque a été discutée.
• J’ai témoigné en insistant sur le fait qu’une attaque par injection SQL ne s’appuie pas sur un schéma de base de données.

Les traces sanglantes laissées par le droit

• La première instance a été remportée, mais Chicago a immédiatement fait appel.
• En appel, il a été souligné qu’il fallait qu’une divulgation présente une probabilité très élevée de menacer la sécurité.
• Finalement, la Cour suprême de l’Illinois a jugé qu’un schéma de base de données pouvait être considéré comme une disposition des fichiers.

Situation actuelle

• Les organismes publics de l’Illinois ont désormais le pouvoir de refuser de divulguer un schéma de base de données.
• Une base de données ne devrait pas devenir un moyen de dissimuler l’information, et le nouveau projet de loi SB0226 pourrait résoudre ce problème.
• Le texte précise que la structure de la base de données doit être décrite de manière suffisamment détaillée pour permettre au demandeur de solliciter une requête spécifique.

[GN⁺]

Avis Hacker News

• Bonjour, je suis le plaignant dans cette affaire. Je prépare un billet compagnon à la publication de tptacek. En attendant, n'hésitez pas à poser des questions

  • En attendant, jetez un œil à cet ancien billet : lien

• L'exemple « récupérer toutes les données de contraventions de Bob O et aussi tout le reste de la base de données » est un exemple de SQL injection. Ici, « everyone's » pose problème à cause d'une apostrophe isolée

• Je pense que la ville devrait partager le schéma, mais je ne suis pas d'accord avec l'idée de l'article selon laquelle connaître le schéma SQL n'aiderait pas un attaquant

  • Un attaquant reconstitue le schéma SQL en utilisant une attaque par SQL injection. Le schéma est le résultat de l'attaque, pas une condition préalable
  • Il y a une implication selon laquelle on peut reconstituer le schéma une fois la vulnérabilité trouvée, mais ce n'est pas toujours le cas. Connaître le schéma peut faciliter l'exploitation d'une vulnérabilité

• Kurt a publié ce texte pour se moquer de moi. Mon public est principalement composé de personnes non techniques liées à la politique locale de Chicago

  • Participer à la politique locale suscite énormément de réactions. J'ai accompli beaucoup de choses sur mon temps libre, notamment faire adopter des lois
  • La politique locale tourne autour des forums de discussion. Si on s'y implique, on peut accomplir beaucoup

• N'est-ce pas étrange que la Cour suprême et la cour d'appel soient en désaccord sur une question de syntaxe ?

  • Ce qui est étrange, c'est que la loi soit restée ambiguë. Si la structure de phrase de base d'une loi n'est pas claire pour les tribunaux, le système s'est effondré dès le premier obstacle

• Suis-je le seul à être un peu perplexe ou inquiet au sujet de l'exemption du code source ?

  • Il est facile d'imaginer un scénario où une ville développe elle-même un logiciel spécifique et cache un « biais » dans le code source
  • Je pense que l'amendement proposé est insuffisant

• Lecture vraiment intéressante

  • Penser qu'un schéma publié constitue une protection est absurde. Je travaille dans une petite entreprise et j'essaie de fournir à nos clients les données dont ils ont besoin

• J'ai l'impression que la décision de la Cour suprême de l'Illinois me donne l'occasion de dire « tout est fichier »

  • Everything is a file

• J'ai déposé des demandes FOIA pour plus d'un million de pages de documents pour le projet cleartap.com. La plupart des États facturent une petite somme pour la collecte de documents

  • Le Michigan demandait 50 k$ pour une demande FOIA. C'était probablement à cause de la crise de l'eau au plomb à Flint. Ils voulaient que je disparaisse

• Il n'y a pas de liberté de l'information si le public ne peut pas savoir quelles données le gouvernement détient