Tag Archives: Website Security Solutions

Application Signing: How to make it pay off

Nick D’Aloisio hit the headlines recently by selling his Summly app to Yahoo for an estimated £18 million, which is not bad at all when you consider he is still a teenager.

So now you are hoping to emulate him. Fine. But first, although this may be stating the blindingly obvious, you need an idea. Let me rephrase that: you need a very good idea. But that doesn’t mean it’s just a very good idea to you. Other people need to think so, too, and not just your best mates, your parents, or devoted partner. I mean people you don’t know who would be willing to fork out their money for your app only after you’d convinced them it was worth every penny and a bit more. That, after all, is the ultimate test of anyone’s sincerity when it comes to doing business.

They do like it and would buy it? Great. But have you found out if someone else has already got there before you. Are there hundreds, even thousands, of people already happily using an app that’s all but identical to yours? No? Then time to move up the apps ladder to the next level.

Now, while your app should be exceptional to truly succeed, it should also be fairly easy to create. Anything intricate and complicated is likely to backfire: too expensive, with much reduced prospects of even breaking even, never mind setting you up for life. Speak to someone who has been through the experience. Find out what went wrong and why. That will set you in good stead.

What about the start-up capital? In the current climate it’s unlikely any bank will start throwing cash at you, but friends and family are a natural starting point.

Okay, time to roll up your sleeves, which could be literal or metaphorical. In other words, are you the one with the actual IT skills to create the app yourself of are you going to have to invest in the services of a computer engineer. When you find out what they charge per day – anything up to £1,000 a day is not that uncommon – you may well decide to invest in yourself and develop the required skills. But you don’t have to be all alone in this task. Several online and real-world code academies can help you. Some simple desk research and Google will typically show names such as Steer and Code Academy.

Then there is the matter of confidence… of your potential customers…. in you. How can they be absolutely sure that your app is coming from a risk-free source? Packaged software, of course, uses branding and trusted sales outlets to assure users of its integrity. But these are not available when code is transmitted on the Internet. Also, there is no guarantee that the code hasn’t been altered while being downloaded. So you need to be able to assure everyone from the outset that you – and your apps – are to be trusted.

On which note, it’s worth taking a look at Microsoft’s solution to these issues – Microsoft Authenticode. This allows developers to include information about themselves and their code with their programs through the use of digital signatures. And while Authenticode itself cannot guarantee that signed code is safe to run, it tells users quite clearly that the software publisher is participating in an infrastructure of trusted entities. That way, it serves the needs of both software publishers and users who rely upon the Internet for the downloading of software. Digital signatures ensure accountability, just as a manufacturer’s brand name does on packaged software.

So, now you have an app to tell people about, and they know it’s trustworthy across multiple platforms from Windows OS to Android to Windows Phone, how do you market and make some real money out of it? Sadly, there’s no magic formula. You app may be exceptional, but so, too, will be many of the countless other apps out there, clamouring for attention. So you want to make sure that your claim to fame, all things being equal, is un-equalled!

To which end, I came across some useful pointers recently on how to get this right – from the development and marketing team at Telerik Radcontrols for Windows Phone. Their ‘How to promote your Windows phone app on a tight budget’ guide contains a number of tips to help make you a savvy app entrepreneur. Just as helpful, if you go to: http://www.telerik.com/products/windows-phone/getting-started/resources.aspx, you can download a Windows app for free that allows you to browse through more than 100 examples to help inspire you.

Oh, and good luck!

Staying Clear Of The Dark Side

      No Comments on Staying Clear Of The Dark Side

There are deep and disturbing sides to the Internet where businesses should fear to tread, if they want to keep themselves safe. So called ‘dark’ search engines, for example, certainly need to be approached with extreme caution.

Take Shodan, a search engine that navigates the Internet’s back channels. It’s akin to a ‘dark’ Google, helping hackers to find out the servers, webcams, printers, routers, systems, networks etc… that are vulnerable to tampering.

Shodan has been designed to help users track down certain types of software and hardware, determine which applications are most popular, identify anonymous FTP servers, or investigate new vulnerabilities and what hosts they could infect. All good stuff and useful to know. But Shodan also serves as a window into millions of unsecured online connections; and you definitely wouldn’t want those connections to be yours. It’s similar to a bank opening up for business in the morning and leaving the safe ajar by the front door – an open invitation to enter the inner workings of your organisation and see what riches are there to be had.

Shodan, it seems, runs non-stop, collecting data from hundreds of millions of connected devices and services each month. Through a simple search, a user can identify a number of systems that either have no security measures in place or generic passwords that can be hacked easily, leaving unwary organisations open to hazardous attacks.

There are accounts of one independent security penetration tester confirming that, amongst a number of unsecured systems he located using Shodan, were: a carwash that could be turned on and off remotely; an ice hockey rink in Denmark that could be defrosted with a click of a mouse; and a traffic control system for an unnamed city that could be put in ‘test mode’ with one command entry. But that is by no means the worst. Cybersecurity researchers are also said to have located command and control systems for nuclear power plants and a particle-accelerating cyclotron, using Shodan. Even allowing for apocryphal stories and a degree of hyperbole, that has to be worrying.

The biggest security flaw, argues Shodan’s creator John Matherly, is that many of these susceptible systems should not even be connected to the web. “Of course, there’s no security on these things. They don’t belong on the Internet in the first place,” he says. Many systems can now be controlled by computer, so IT departments hook them up to a server, instantly making systems and devices available to anyone with an Internet connection. It’s all part of that great unknown sometimes referred to as ‘The Invisible Web’ – the area of the WWW that isn’t indexed by the search engines. And it’s a high-risk place to be, if you don’t have the right protections in force.

Indeed, tightly targeted cyber-espionage attacks, designed to steal intellectual property, are hitting the manufacturing sector and small businesses with ever greater venom, warns Symantec’s latest ‘Webiste Security Threat Report’, with the latter, highly vulnerable, organisations the target of 31% of such attacks – a threefold increase on 2011. Targeted attacks overall have seen a massive 42% surge during 2012, compared to the previous year.

It’s also worth noting that in many cases protecting yourself, your company and your intellectual property online is not difficult, as long as you start with solid foundations such as securing your websites, intranets, extranets etc… with the latest encryption technologies from Symantec.

Using Symantec SSL is a cost-effective security measure for websites; when SSL is deployed site wide in a persistent manner it helps to protect the entire user experience from start to finish, making it safer to search, share and shop online. This encrypts all information shared between the website and a user (including any cookies exchanged), protecting the data from unauthorised viewing, tampering or use. The Online Trust Alliance is one leading organisation calling for websites to adopt the use of persistent SSL on websites (which is also known as ‘Always-On SSL’), with some of the world’s most successful names having successfully implemented it, including Google, Twitter and Facebook.

You might also want to look at Symantec Validation and ID Protection Service when shoring up your defences. This is a powerful cloud-based authentication service that enables enterprises to secure access to networks and applications, while keeping out malicious, unauthorised intruders. A unified solution providing both two-factor and risk-based tokenless authentication, VIP is based on open standards and can integrate readily into your enterprise applications.

With solutions such as these firmly in place, you should have the foundations in place be able to make light of even the Internet’s darkest places but don’t stop there. And as a colleague of mine writes here….”As we near the 2-year anniversary of Stuxnet, it is high time to check where your own organisation stands. While doing so could be relatively quick (particularly using such databases), dealing with the damage would take much longer so we strongly recommend the former course of action. “

There is no time like the present to review what you do and take the appropriate steps to ensure your organisation is protected both now and in the future.

Social Content: Videos and Security

Videos are hot these days. People are posting home-made videos of everything from their cats to romantic rants or new songs. Some clever companies are starting to use customer video feedback for social outreach as well, hooking into this new viral craze. Sports fans like me have seen the competitions for the best customer-made commercial on TV, and looked up our favorites on YouTube.  

However, with all these videos being created, it creates a new vector for virii or other malware to be downloaded when people view the clips. It’s clear that videos and testimonials are important to the future of marketing and social media, so what remains is a clear need to create, upload, and share videos more securely.

Buzztala, one of Symantec’s partners, has created a Social Video Platform to work with businesses that want to let customers upload videos, testimonials, and other social networking content. Buzztala is running SSL on their hosting platform, and adds the Norton Secured Seal to help customers and businesses feel more secure in how they exchange and save information.

Last week Symantec and Buzztala hosted a Webinar titled, “Building Trust with Your Customers Through Social and Mobile Content.” The new social media: It’s all about building ROI, and trust helps make conversions. Symantec’s own Jeff Barto was one of the presenters. I encourage you to give a listen, and learn something new about the video social outreach. A full replay is available here.

Phishing for profits

      No Comments on Phishing for profits

We recently published Symantec’s Website Security Threat Report which contains a huge amount of information on the security threat landscape. In this series of blog posts we will focus on topics such as the re-emergence of phishing, the rise of m…

Abgelaufene Zertifikate, Warnmeldungen im Browser und OCSP

Ich hoffe, dass Sie meinen vorigen Beitrag über die fragwürdigen Empfehlungen gelesen haben, die manche Websitebetreiber ihren Benutzern geben. Heute möchte ich etwas tiefer gehen und einige Fehlermeldungen, die Ihr Browser eventuell anz…

Certificats expirés, alertes dans les navigateurs et OCSP

i vous avez lu mon dernier billet, vous savez quel genre de mauvais conseils certains sites donnent à leurs visiteurs. À ce propos, j’ai pensé qu’il serait utile de s’arrêter un instant sur ces messages d’erreur et sur leur signification, avant de lever le voile sur les mesures que nous prenons en arrière-plan pour assurer votre sécurité.

Tout d’abord, en cas d’expiration d’un certificat, il arrive que des alertes de sécurité s’affichent dans les navigateurs Web. Pourquoi ces avertissements ? Prenons l’exemple d’un site où vous démarrez une session sécurisée (par exemple, lorsque vous vous connectez à votre messagerie Web). Au moment de votre connexion, le serveur hébergeant ce site présente à votre navigateur un certificat SSL qui permet de l’authentifier. Ce certificat contient différents types d’informations d’identification du site, notamment son URL, vérifiées au préalable par une autorité de certification tierce (comme Symantec) à laquelle votre navigateur fait confiance. En s’assurant que l’adresse du certificat correspond bien à celle du site et en vérifiant la validité de ce certificat, votre navigateur atteste de l’identité du site Web visité et de la sécurisation de vos communications. Ainsi, vous êtes protégé contre d’éventuels imposteurs et autres cybercriminels qui chercheraient à subtiliser vos informations de connexion. On comprend alors mieux pourquoi en cas d’affichage d’une image comme celle dans mon précédent billet, une seule solution s’impose : la fuite.

On rencontre également des écrans d’avertissement pour les certificats SSL en cours de validité. Là encore, il existe une explication simple. Le signataire de chaque certificat doit maintenir une liste de révocation généralement appelée Online Certificate Status Protocol (OCSP), anciennement Certificate Revocation List (vous trouverez ici des détails en anglais sur le protocole OSCP et la révocation SSL). Or, cette liste est absolument primordiale. Il y a quelques années, l’autorité de certification (AC) DigiNotar fut gravement compromise lorsqu’elle émit pour des hackers iraniens des certificats frauduleux couvrant plusieurs dizaines de domaines Internet, y compris des messageries Web publiques réputées et des services voix/de messagerie instantanée. En réaction, tous les principaux éditeurs de navigateurs Web retirèrent immédiatement leur confiance des certificats émis par les AC du groupe DigiNotar. Si les internautes étaient passés outre les avertissements des navigateurs, leurs identifiants et mots de passe auraient été volés et des personnes mal intentionnées auraient pu mettre la main sur des informations privées les concernant. Mise au ban par la communauté Internet, DigiNotar dut rapidement mettre la clé sous la porte. De son côté, l’autorité émettrice d’un certificat SSL a la possibilité de le révoquer en cas de compromission avérée. Il lui suffit pour cela d’ajouter le nom du domaine en question à la liste de révocation, enjoignant ainsi les navigateurs de ne plus faire confiance à ce certificat.

Cependant, nul besoin de maintenir les certificats expirés sur la liste de révocation (peut-être qu’un certificat valide équipait autrefois le site Web visité ?). Si un message informe un internaute de l’expiration du certificat, celui-ci ne devrait sous aucun prétexte se rendre sur le site. Pour ma part, j’irais même jusqu’à lui recommander de contacter l’entreprise en question par téléphone ou par e-mail pour l’informer de la situation. Après tout, l’internaute constitue lui aussi un maillon de la chaîne de confiance en ligne.

Bien entendu, il existe d’autres raisons pour lesquelles un message d’avertissement pourra s’afficher :

  • Mauvaise installation du certificat SSL
  • Défiance du navigateur Web vis-à-vis de l’autorité de certification émettrice (en anglais)
  • Certificats autosignés (dans ce cas, le navigateur ne fait pas confiance à la racine du certificat)
  • Placement sur liste noire d’un moteur de recherche à la suite de l’infection du site

Quant aux cyberentreprises, elles peuvent prendre diverses mesures pour éviter les avertissements de sécurité sur leur site :

  • Envisager l’utilisation du Qualys server checker tool (en anglais) pour vérifier la bonne installation de leur chaîne complète de certification, la désactivation des protocoles et algorithmes précédemment vulnérables, et la bonne implémentation de la technologie SSL sur leur site Web
  • Configurer des préavis d’expiration des certificats SSL, sachant que dans bien des cas, il est possible de renouveler jusqu’à 90 jours à l’avance, sans aucune pénalité – il s’agit en fait d’une bonne pratique
  • Sur les grands parcs de certificats, envisager une solution de type Symantec Certificate Intelligence Center, une console centralisée qui suit et automatise le renouvellement et la gestion des certificats Symantec SSL
  • Procéder régulièrement à des analyses anti-malware et à la détection des vulnérabilités sur leur site
  • En prime, les clients Symantec peuvent contacter notre équipe de support 24h/7j en cas de besoin

La confiance se trouve au cœur du commerce et de la communication en ligne. C’est pourquoi nous devons déployer tous les efforts possibles pour inspirer ce sentiment à nos clients.

Expired Certificates, browser warnings and OCSP

I hope you read my last post on the bad advice that some sites give their users. As a follow up, I thought it would be useful to highlight what some of the errors you might see online actually mean, and what is happening in the background to keep you s…

Heikoilla jäillä…

      No Comments on Heikoilla jäillä…

Eräs ystäväni soitti minulle viime viikolla (olen ystäväpiirissäni se IT‑/tietoturvatyyppi). Hän kysyi, mitä pitäisi tehdä, jos on saanut alla olevan ilmoituksen, sillä hän ei ollut nähnyt vastaavaa aikaisemmin. Kuten alla näkyy, ilmoituksessa varoitetaan, ettei kyseinen sivusto ole välttämättä enää turvallinen, koska sen SSL‑varmenne on vanhentunut.

expired-certificates.jpg

Vastasin välittömästi, ettei hänen pitäisi missään tapauksessa jatkaa eteenpäin. Jos epäilyttää, voi siirtyä toiselle sivustolle, käydä liikkeessä paikan päällä, yrittää soittaa tai lähettää yritykselle sähköpostia, mutta verkkosivustoa ei kannata käyttää. Ystäväni vastaus oli melko yllättävä: Tiedusteltuaan ongelmasta Twitterissä hän oli saanut kyseisen sivuston edustajalta neuvon, jonka mukaan ”tästä varoituksesta ei ole mitään syytä huolestua”. Pohdittuani asiaa hetken tajusin, että neuvo oli varsin kauhistuttava. Miksi luotettavalta sivustolta annettaisiin noin kummallisia ohjeita?

Syy numero 1: Sivusto ei halua menettää yhtäkään asiakasta.

Syy numero 2: Sivustolla ei ymmärretä edes perusasioita sen suhteen, kuinka kuluttajien luottamus rakentuu, mistä syystä asiakkaille annetaan vääriä neuvoja.

Syy numero 3: Sivustolla ei olla tietoisia, mitkä ovat seuraamukset, jos ihmiset noudattavat tämänkaltaisia huonoja neuvoja.

Oletin, että kysymyksessä oli syy numero kolme, joten soimasin sivuston omistajia. Sitten aloin tutkia tätä nimenomaista ongelmaa ja sivustoa tarkemmin selvittääkseni, mitä oikein oli tapahtunut. Tällä kertaa oli kyse verkkokauppasivuston ylläpitotiimin tarkkaamattomuudesta. Varmenne oli ehtinyt vanhentua huomaamatta, joten he yrittivät paikata tilannetta ja lieventää epähuomiossa sattuneen virheen vaikutuksia. Se, että asiakkaita käsketään ohittamaan varoitus, ei kuitenkaan ole minkään järkeenkäyvän parhaan käytännön mukaista. Antaisivatko he saman neuvon seuraavan kerran kun jotakuta asiakasta pyydetään sähköpostitse paljastamaan luottokorttitietonsa ja kotiosoitteensa? Toivottavasti eivät. Entäpä jos heidän sivustoonsa olisi tarttunut haittaohjelma? Tiettävästi 61 prosenttia haitallisista sivustoista on todellisuudessa aitoja verkkosivustoja, joiden tietoturva on vaarantunut tai joille on tartutettu haitallista koodia. Vuonna 2012 verkkosivustotyypeistä, jotka isännöivät haittaohjelmia, yritys‑, teknologia‑ ja ostossivustot olivat viiden yleisimmän joukossa (lähde: englanninkielinen Symantec ISTR 2013 -raportti). Jos tietokoneeni virustorjuntaohjelma havaitsisi haitallisen sivuston ja estäisi sen, kehotettaisiinko minua ohittamaan sekin varoitus ja jatkamaan vain eteenpäin?

Esimerkit edustavat ehkä ääripäätä, mutta jos käyttäjiä kehotetaan ohittamaan heidän suojakseen tarkoitetut tietoturvavaroitukset, kyseessä on huono käytäntö, eikä verkkokauppiaiden pitäisi missään tapauksessa heikentää asiakkaiden luottamusta tällä tavoin.

Minkä neuvon antaisin siis itse sekä ystävälleni että suurelle yleisölle? Valittakaa! Ja valittakaakin kunnolla. Käyttäkää live chat ‑keskustelutoimintoa, muualla verkossa julkaistua puhelinnumeroa ja sosiaalista mediaa. Laittakaa häpeämään ne ihmiset, jotka käyttävät luottamustanne hyväkseen ja saattavat teidät mahdollisesti vaaraan. Vaatikaa, että sivuston on vakuutettava teidät, jotta voitte käyttää sitä: sivustolla tulee olla näkyvissä Norton Secured Seal ‑tunnus tai muu luotettavuusmerkki, josta käyttäjät tietävät, että sivusto on tarkistettu, eikä sillä ole haittaohjelmia. Tehkää myös selväksi, ettette aio käydä kauppaa kyseisen yrityksen kanssa niin kauan kuin selaimessanne näkyy sivuston turvallisuutta tai tietoturvaa koskevia varoituksia. Kuluttajilla on paljon valtaa, ja jos valitamme ja äänestämme jaloillamme, viestimme tämänkaltaisten sivustojen omistajille pitäisi kyllä mennä perille. Toki monet meistä sulkevat epäilyttävän sivuston heti varoituksen nähtyään, mutta on myös käyttäjiä, jotka eivät vain ole varmoja, kuinka toimia, tai joita vedätetään kylmästi käskemällä ohittamaan asianmukaiset tietoturvavaroitukset tai antamalla muita huonoja neuvoja.

Jos me tällä alalla kehotamme toistuvasti käyttäjiä ohittamaan varoitukset, me saatamme aliarvioida luottamuksen ja verkkoturvallisuuden merkityksen – ja miksipä ottaisimme sen riskin, sillä verkko on täynnä mahdollisuuksia (ks. englanninkielinen blogikirjoitus).

Tietoturva‑alan toimijat tekevät parhaansa luodakseen varoituksia ja kehittääkseen suojausmenetelmiä työkaluihin, joiden avulla verkossa harjoitetaan liiketoimintaa. Kenenkään tällä alalla työskentelevän ei pitäisi ikinä neuvoa ketään ohittamaan varoituksia. Verkkokauppasivusto, joka antaa asiakkaalle huonoja neuvoja, ansaitseekin menettää kyseisen asiakkaan, sillä kun luottamus on kerran menetetty, sitä on lähes mahdoton voittaa takaisin. Ja siinä vaiheessa tappio on meidän kaikkien yhteinen.

À jouer avec le feu…

      No Comments on À jouer avec le feu…

Dans mon cercle d’amis, je suis de facto l’expert en sécurité/informatique. C’est pourquoi, la semaine dernière, l’une de mes amies m’a appelé pour savoir comment réagir au message ci-dessous qu’elle rencontrait pour la première fois. Comme vous pouvez le voir, ce message d’avertissement indique que la sécurité du site est peut-être compromise du fait d’un certificat SSL expiré.

expired-certificates.jpg

D’emblée, j’ai dit à mon amie de n’accéder à ce site sous aucun prétexte. En cas de doute, il est préférable de se rendre sur un autre site Web, d’aller au magasin ou de le contacter par téléphone ou par e-mail. Mais, quoiqu’il arrive, n’accédez pas au site Web en question. La réponse de mon amie m’a quelque peu surpris… lorsqu’elle a demandé des explications via Twitter, un représentant du site lui a affirmé que « cet avertissement n’avait rien d’inquiétant ». Je suis resté bouche bée. On ne peut donner plus mauvais conseil ! Qu’est-ce qui pourrait donc bien pousser un site de confiance à faire de telles déclarations ?

Raison n° 1 : le site ne veut perdre aucun client.

Raison n° 2 : les propriétaires du site ne saisissent pas les principes fondamentaux de la confiance client.

Raison n° 3 : ils ignorent toute l’ampleur des conséquences de tels conseils.

Par défaut, j’optai pour la troisième et rappelai à l’ordre les propriétaires du site en question. Puis, je me mis à examiner le problème de ce site pour découvrir ce qui s’était produit. Il s’agissait en réalité d’une négligence de l’équipe chargée du site d’e-commerce. Prise au dépourvu par l’expiration inattendue d’un des certificats, elle tentait de minimiser l’impact de son oubli. Toutefois, conseiller aux clients d’ignorer les messages d’avertissement va à l’encontre du bon sens. Dans ce cas, pourquoi ne pas aussi les laisser répondre aux e-mails leur demandant leur numéro de carte bancaire et leur adresse postale ? Soyons sérieux… D’autant que le site pourrait très bien être infecté par malware. Nous savons en effet que 61 % des sites infectés sont des sites Web légitimes compromis par du code malveillant. Les sites Web des entreprises, de même que les cybermarchands et les sites spécialisés dans les technologies, figuraient dans le Top 5 des sites les plus infectés en 2012 (source : Symantec ISTR 2013 (en anglais)). Or, l’antivirus de mon PC a bloqué ce site – selon ses propriétaires, devrais-je aussi ignorer cet avertissement ?

Certes, il s’agit là d’un cas extrême. Mais, à mon avis, le fait de conseiller aux internautes d’ignorer les avertissements de sécurité relève d’une très mauvaise pratique. En aucun cas les sites marchands ne devraient inciter leurs clients à passer outre de telles alertes conçues pour leur protection, au risque d’une érosion de la confiance en ligne.

Pour conclure, voici ce que je recommanderais aux internautes en général, et à mon amie en particulier : plaignez-vous et n’y allez pas de main morte ! Chat en direct, standards téléphoniques, médias sociaux… vous avez l’embarras du choix ! Alors, ne laissez pas s’en tirer à si bon compte ceux qui abusent de votre confiance au risque de compromettre votre sécurité. Exigez des sites qu’ils vous offrent des garanties, à commencer par une marque de confiance comme le sceau Norton Secured, témoin visuel d’une analyse anti-malware régulière du site visité. Faites-leur savoir que vous n’allez pas faire affaire avec eux tant que votre navigateur remet en question leur dispositif de sécurité. Les consommateurs représentent un groupe de pressions important. Si nous exprimons notre mécontentement et boycottons ces sites, ils n’auront pas d’autre choix que de réagir. Bien entendu, nous sommes nombreux à fermer la fenêtre de notre navigateur en cas de message d’avertissement. Mais les plus hésitants d’entre nous sont tout à fait prêts à ignorer ces alertes et à suivre des recommandations de mauvaise foi.

En incitant sans cesse les internautes à ignorer les avertissements, nous courons le risque de dévaloriser les notions de confiance et de sécurité en ligne. Or, au vu de l’extraordinaire potentiel de l’économie du Net (article en anglais), pourquoi prendre un tel risque ? Les éditeurs de solutions de sécurité s’efforcent d’intégrer des dispositifs d’alerte et de protection aux outils de transactions en ligne. Aucun acteur de ce secteur ne devrait recommander d’ignorer un avertissement. Un site d’e-commerce adoptant cette attitude ne mérite pas la confiance de ses clients. Et une fois cette confiance perdue, il est quasiment impossible de la regagner. Au final, tout le monde y perd.