Microsoft est à l’origine d’une nouvelle construction de Windows 11 sur le canal Release Preview du programme Windows Insider.
Cet article Windows 11 build 22621.3668 et 22631.3668 déploient plusieurs nouveautés a été publié en premier par GinjFo.
Asus Vietnam (via @rquandt) dévoile par erreur la fiche produit de son premier ordinateur portable Qualcomm Snapdragon X Elite.
Cet article Snapdragon X Elite, Asus dévoile par erreur son PC portable Vivobook S 15 OLED a été publié en premier par GinjFo.
Une nouvelle Preview de Windows 11, la build 22635.3640 débarque. Elle se déploie au travers de la mise à jour KB5037867.
Cet article Windows 11 build 22635.3640 se déploie avec deux nouveautés, les détails a été publié en premier par GinjFo.
Les chasseurs de bugs et les experts en sécurité web sont toujours à la recherche d’outils pour optimiser leur boulot et dénicher des vulnérabilités et justement, il y a un nouveau venu qui risque bien de faire parler de lui : WebCopilot !
Open source, cet outil d’automatisation combine les fonctionnalités de dizaines d’autres outils réputés comme Subfinder, Nuclei, Amass ou encore SQLMap histoire de vous faire gagner un temps précieux en prenant en charge de A à Z les tâches répétitives et chronophages de l’énumération des sous-domaines, du filtrage des paramètres à risque et du scan des vulnérabilités les plus critiques.
Pour cela, il suffit de lancer WebCopilot sur un domaine cible et il s’occupe de tout :
Vous obtiendrez ensuite un rapport complet qui répertoriera tous les points d’entrée intéressants.
Connexion
──────▄▀▄─────▄▀▄
─────▄█░░▀▀▀▀▀░░█▄
─▄▄──█░░░░░░░░░░░█──▄▄
█▄▄█─█░░▀░░┬░░▀░░█─█▄▄█
██╗░░░░░░░██╗███████╗██████╗░░█████╗░░█████╗░██████╗░██╗██╗░░░░░░█████╗░████████╗
░██║░░██╗░░██║██╔════╝██╔══██╗██╔══██╗██╔══██╗██╔══██╗██║██║░░░░░██╔══██╗╚══██╔══╝
░╚██╗████╗██╔╝█████╗░░██████╦╝██║░░╚═╝██║░░██║██████╔╝██║██║░░░░░██║░░██║░░░██║░░░
░░████╔═████║░██╔══╝░░██╔══██╗██║░░██╗██║░░██║██╔═══╝░██║██║░░░░░██║░░██║░░░██║░░░
░░╚██╔╝░╚██╔╝░███████╗██████╦╝╚█████╔╝╚█████╔╝██║░░░░░██║███████╗╚█████╔╝░░░██║░░░
░░░╚═╝░░░╚═╝░░╚══════╝╚═════╝░░╚════╝░░╚════╝░╚═╝░░░░░╚═╝╚══════╝░╚════╝░░░░╚═╝░░░
[●] @h4r5h1t.hrs | G!2m0
Usage:
webcopilot -d <target>
webcopilot -d <target> -s
webcopilot [-d target] [-o output destination] [-t threads] [-b blind server URL] [-x exclude domains]
Flags:
-d Add your target [Requried]
-o To save outputs in folder [Default: domain.com]
-t Number of threads [Default: 100]
-b Add your server for BXSS [Default: False]
-x Exclude out of scope domains [Default: False]
-s Run only Subdomain Enumeration [Default: False]
-h Show this help message
Example: webcopilot -d domain.com -o domain -t 333 -x exclude.txt -b testServer.xss
Use https://xsshunter.com/ or https://interact.projectdiscovery.io/ to get your serverFini les heures passées à lancer des dizaines de commandes et à corréler les résultats comme ça, vous pourrez vous concentrer sur l’analyse des vulnérabilités.
Côté utilisation, c’est ultra simple. Il suffit de cloner le repo Github, d’installer les dépendances…
git clone https://github.com/h4r5h1t/webcopilot && cd webcopilot/ && chmod +x webcopilot install.sh && mv webcopilot /usr/bin/ && ./install.sh…et vous pouvez lancer des scans en une seule commande :
webcopilot -d domain.com -o rapport
Et si vous voulez pousser la configuration plus loin, pas de problème ! WebCopilot propose tout un tas d’options bien pratiques comme :
-s pour ne faire que de l’énumération de sous-domaines -x pour exclure certains domaines du scan -b pour spécifier un serveur « blind XSS » externe -t pour régler le nombre de threads et accélérer les scansBref, c’est l’outil pratique pour industrialiser encore un peu plus votre processus de bug bounty.
Vous pensiez que les vieux Windows étaient devenus inoffensifs avec le temps ? Détrompez-vous ! Le bidouilleur Eric Parker s’est récemment amusé à exposer directement sur Internet des machines tournant sous Windows XP, 2000 et 98, sans aucune protection… et le résultat est franchement flippant.
Parce que oui, même en 2024, quand on branche en direct un vieux Windows sur le net, sans pare-feu matériel pour filtrer les connexions non désirées, c’est le scénario catastrophe assuré. Votre antiquité numérique se retrouve à poil sur les réseaux, à la merci du premier script kiddie venu. Et ça ne fera pas long feu avant que votre bécane ne soit infestée de malwares !
Commençons par Windows 98. Lors de son test, Eric a eu beau patienter, rien ne s’est passé. Pas l’ombre d’un ver, backdoor ou cheval de Troie à l’horizon. Il semblerait que la vieille bécane bénéficie d’une forme de « sécurité par l’obscurité ». Avec si peu de Windows 98 encore connectés, les hackers ne prennent plus la peine d’écrire des exploits dédiés. Ouf !
Passons à Windows 2000. Là, c’est une tout autre histoire ! À peine connecté, les scans de ports ont révélé la présence de SMB, le protocole d’échange de fichiers, réputé pour ses failles béantes. Et quelques minutes plus tard, patatra ! Un bel écran bleu, suivi d’un redémarrage en boucle. En inspectant le système, Eric a découvert une backdoor signée « Shang Xen Smartphone Technology », des modifications de fichiers systèmes et même un mystérieux exécutable caché dans un dossier Temp. De quoi transformer la machine en parfait zombie à la solde des pirates !
Et Windows XP dans tout ça ? Pareil, 10 minutes chrono pour chopper un premier trojan « conhost.exe ». S’en sont suivis la création d’un compte administrateur, l’apparition d’un serveur FTP ouvert aux quatre vents, et tout un tas de saletés en provenance de Russie, le tout bien planqué dans le système. En bonus, un malware s’est même amusé à éjecter Malwarebytes, l’anti-virus qu’Eric avait installé. Bref, un joyeux bazar et une prise de contrôle totale de la machine, malgré un semblant de résistance du pare-feu intégré de XP.
Alors oui, ces expériences peuvent paraître un peu artificielles. Après tout, qui serait assez fou pour connecter directement un Windows préhistorique sur le net aujourd’hui ? Mais elles illustrent bien les progrès en matière de sécurité, et l’importance cruciale des protections réseau modernes (merci le NAT et les pare-feu !).
Et la morale de l’histoire ?
Primo, ne jamais sous-estimer les vieux Windows, ils sont toujours aussi vulnérables qu’à l’époque. Deuxio, faites tourner vos antiquités dans une VM ou un réseau isolé si vous y tenez. Tertio, soyez vigilants même sur les OS récents, les hackers affinent toujours leurs techniques pour exploiter la moindre faille.
Prenez soin de vos ordi, et à demain 🙂
Ça chauffe du côté des distributions UNIX open source, mes amis. Gentoo et NetBSD viennent de dégainer leur arme anti-IA en bannissant purement et simplement le code généré par de l’intelligence artificielle. Bye bye Copilot, au revoir ChatGPT, votre code IA devient persona non grata chez les irréductibles du libre !
Mais pourquoi tant de haine ? Eh bien nos amis de Gentoo et NetBSD ont plus d’un arguments dans leur sac banane. Premier grief : le copyright. Avec ces IA qui pompent allègrement du code à droite à gauche, on ne sait plus trop à qui appartient quoi. Pas question donc de se retrouver avec du code « contaminé » qui violerait les sacrosaintes licences open source.
Deuxième point noir : la qualité. Vous avez déjà essayé de faire générer du code par ChatGPT ? C’est joli, ça a l’air de marcher… mais y’a quand même souvent des bugs ! Hors de question donc pour Gentoo et NetBSD de laisser entrer du code foireux dans leur précieux dépôts. Ils tiennent à leur réputation de stabilité et de fiabilité, nom d’un kernel en mousse !
Ah et puis il y a aussi la question de l’éthique. Leur point de vue, c’est qu’entre la consommation gargantuesque d’énergie, les violations de copyright pour les entraîner et leur utilisation pour spammer et arnaquer à tout-va, y a de quoi refuser tout ça en bloc. Ils ne veulent pas tremper là-dedans. Et d’un côté, je peux les comprendre.
Alors bien sûr, cette décision va à contre-courant de la hype actuelle mais Gentoo et NetBSD ne sont pas du genre à suivre la mode aveuglément et croient dur comme fer à l’importance du travail humain. Cela ne veut pas dire qu’ils rejettent complètement l’IA évidemment… Ils restent ouverts mais pour l’instant, c’est trop hasardeux. D’autres distrib comme Debian hésitent encore à rejoindre ce mouvement…
Perso, je pense que la question éthique et celle du copyright sont des vraies problématiques pour tous les projets libres car cela pourrait ruiner leurs efforts quand à la licence qu’ils s’attribuent ou leurs objectifs écolo… exactement comme Microsoft qui, en ce moment, est en train de ruiner tous ses efforts de développement durable de ces dernières années en poussant l’IA à fond…
Par contre, je ne suis pas vraiment d’accord avec eux sur la qualité du code produit. Certes, il y a des bugs mais exactement comme avec un humain. Donc, à mon sens, c’est pas pire ou pas mieux, surtout que le dev qui utilise l’IA est quand même censé repasser dessus et corriger les bugs éventuels.
On verra bien quelles distributions suivront ce mouvement éthique. Perso, je suis plutôt très chaud sur l’IA, comme vous le savez, mais en ce qui concerne ce cas spécifique du logiciel libre, je pense que Gentoo et NetBSD prennent la bonne décision en jouant la prudence. Pour le moment, ce n’est pas encore pour eux et ce serait prendre trop de risques.
Mais un jour, ça changera peut-être… On verra bien.
Vous êtes fan de Discord et vous aimez bidouiller des trucs ?? Alors préparez-vous à découvrir Discord LLMCord. C’est un petit bout de code qui va vous permettre de causer avec des IA directement dans vos canaux, comme si c’étaient vos potes. Et ça marche avec à peu près tous les modèles de langage, qu’ils soient hébergés à distance ou en local sur votre bécane.
Pour lancer une conversation, il suffit de tagger le bot et hop, c’est parti mon kiki. Vous pouvez continuer la discussion en répondant aux messages et ainsi construire des fils de discussion complets. Vous pouvez par exemple :
En plus, si vous envoyez plusieurs messages à la suite, ils seront automatiquement mis bout à bout et si vous répondez juste au dernier, le bot verra tous les précédents. Vous pouvez aussi déplacer une conversation dans un fil sans perdre le fil (lol). Il vous suffit de créer un thread à partir d’un message et de tagger le bot dedans pour continuer à papoter.
Côté compatibilité, ça supporte les modèles distants d’OpenAI, Mistral, Anthropic et plein d’autres grâce à LiteLLM. Si vous voulez faire tourner un modèle en local, pas de souci non plus puisque ça marche avec OLLaMa, OobaBooga, Jan, LM Studio ou n’importe quel serveur d’API compatible OpenAI.
Le bot gère même les images si vous utilisez un modèle de vision comme GPT-4, Claude-3 ou LLaVA. Il a un prompt système personnalisable et vous pouvez lui parler en DM pour plus d’intimité (pas besoin de le tagger).
Si vous utilisez l’API OpenAI, LLMCord est également capable de reconnaître l’identité des utilisateurs. De plus, les réponses s’affichent en temps réel, avec un joli dégradé de vert quand c’est fini et s’il cause trop, il coupe automatiquement ses messages en plusieurs morceaux. Pratique pour éviter de se faire ban par Discord ! Il affiche aussi des avertissements utiles si besoin, genre « J’utilise seulement les 20 derniers messages » quand vous dépassez la limite. Bref, c’est un bot bien élevé.
Sous le capot, il utilise un dico global avec des mutex pour mettre en cache les données des messages de manière efficace et thread-safe, comma ça, ça réduit les appels à l’API Discord et ça évite les fuites de mémoire. Le tout totalement en asynchrone.
Pour l’installer, c’est fastoche. Vous clonez le repo GitHub, vous installez les dépendances Python avec pip et vous créez un fichier .env avec vos clés d’API et les paramètres du bot. Lancez le script et tada, l’URL d’invitation de votre bot s’affiche dans la console. Pour plus de détails, suivez ce guide :
bash
git clone https://github.com/jakobdylanc/discord-llm-chatbot.git
cd discord-llm-chatbotbash
pip install -r requirements.txtbash
cp .env.example .env.env et remplissez les champs nécessaires :
plaintext
DISCORD_BOT_TOKEN=YOUR_DISCORD_BOT_TOKEN
OPENAI_API_KEY=your-openai-api-key
MODEL_NAME=local/openai/YOUR_MODEL_NAMEbash
python llmcord.pyAh et j’oubliais, LLMCord est open source (vive le libre !), donc si vous voulez contribuer ou l’adapter à vos besoins, forkez et PR sans modération.
Avec ça, votre Discord ne sera plus jamais pareil et je sens que vous allez bien vous marrer ! Alors merci à Lorenper pour l’info car c’est une chouette découverte !
Salut les rebelles, aujourd’hui je voudrais vous parler d’Adrien de Linuxtricks qui vient de faire les frais d’une censure injuste de la part de YouTube.
Le pauvre a vu sa dernière vidéo au sujet de VMware Workstation qui passe en gratuit (j’en ai parlé ici), supprimée et sa chaîne sanctionnée. Cette vidéo, mise en ligne ce vendredi 17 mai, avait pourtant été analysée et jugée conforme par les algo de YouTube…
La raison invoquée par Youtube, c’est comme d’habitude. Soi-disant qu’il enfreindrait les règles de la communauté. En réalité, Adrien n’a fait que relayer une bonne nouvelle pour tous les Linuxiens qui voudraient tester la virtualisation tranquillou. Il a même cité les sources officielles comme le blog de VMware. Sauf que YouTube n’a pas aimé… Leurs robots ont bégayé et vu ça comme du piratage. Bref, une fois encore, ces boîtes de conserve américaines ne comprennent rien à rien.
Pour Adrien, c’est vraiment injuste car même si YouTube a des règlements assez stricts, le gros problème, c’est que tout est automatisé. Il a dont tenté de faire appel, mais sans succès et sa demande a été rejetée ce samedi. Sa chaîne écope maintenant d’un avertissement impactant sûrement son référencement, d’une suspension des publications et d’une interdiction de diffuser en direct. Imaginez l’impact sur une chaîne comme la sienne qui compte plus de 54 760 abonnés et sur son moral ! Surtout que les revenus générés par sa chaîne lui permettent de payer l’hébergement de son site, de soutenir des associations comme la Ligue contre le Cancer et de faire des dons à des projets libres. Bref, c’est moche.
Perso, je ne peux pas faire grand chose car je ne connais personne chez Youtube mais je fais tourner. On sait jamais, peut-être qu’en en parlant, ça arrivera aux oreilles d’un humain de chez Google (s’il en reste…) qui prendra enfin le temps d’évaluer la situation de manière juste pour Adrien. L’équipe YouTube France peut d’ailleurs le contacter via l’adresse mail associée à son compte YouTube ou sous son tweet relayant sa lettre ouverte.
Bon courage Adrien, on est avec toi !
Merci à Christophe d’avoir attiré mon attention là dessus.
Développé par une équipe de chez ByteDance (mais si, TikTok, votre réseau social préféré), ce modèle baptisé PuLID va vous permettre de créer des images sur-mesure à partir de photos existantes et tout ça en un clin d’œil.
Basé sur le principe d’alignement contrastif, PuLID vous offre une customisation d’identité ultra rapide et de haute qualité. Pour cela, il utilise une architecture qui apprend à la volée les caractéristiques clés d’une identité source (des photos de vous) pour les transposer efficacement sur de nouvelles images cibles (images générées par IA). On obtient alors des visuels uniques générés en quelques secondes à peine, tout en préservant la cohérence des photos d’origine.
Bon, ok, ça peut paraître un peu barbare dit comme ça mais c’est super simple à utiliser. Si vous êtes flemmard, vous pouvez aller directement sur Huggingface ou pour les plus courageux, l’installer sur votre machine. Tout ce dont vous avez besoin, c’est d’un bon vieux Pytorch (version 2.0 minimum svp) et de quelques lignes de code pour démarrer l’entraînement.
PuLID (Pure and Lightning ID Customization via Contrastive Alignment) fonctionne en utilisant des techniques de machine learning pour aligner des représentations latentes en comparant des paires d’images ou d’identités. L’objectif est de maximiser la similarité pour des identités similaires et de minimiser la similarité pour des identités différentes. En ajustant ces représentations grâce à l’alignement contrastif, PuLID permet de créer des images uniques avec une grande précision et rapidité.
Si vous bossez dans la comm et que ous avez déjà quelques concepts arts sympas d’un personnage, mais vous aimeriez voir à quoi il ressemblerait dans différents environnements ou avec des styles graphiques variés, pas de souci ! Vous balancez vos images dans PuLID avec les bonnes instructions et le tour est joué. Vous obtiendrez alors tout un tas de variations stylées de votre personnage, tout en gardant son visage reconnaissable.
L’équipe de ByteDance a pensé à tout : PuLID est 100% open-source et disponible sur GitHub. Vous pouvez donc bidouiller le code comme bon vous semble pour l’adapter à vos besoins. Y’a même des tutoriels et des exemples pour vous aider à prendre en main le bouzin rapidement.
Et pour les plus impatients d’entre vous, voici un petit tuto d’installation pour commencer à jouer avec PuLID :
git clone https://github.com/ToTheBeginning/PuLID.git
cd PuLID
Créer et activer l’environnement conda :
conda create --name pulid python=3.10 conda activate pulid
Installer les dépendances :
pip install -r requirements.txt
Installer PyTorch : Suivez les instructions sur le site de PyTorch pour installer la version compatible avec votre système. Par exemple, pour CUDA 11.7 :
conda install pytorch torchvision torchaudio cudatoolkit=11.7 -c pytorch
Lancer l’application :
python app.py
Pour en savoir plus sur PuLID et récupérer le code source, rendez-vous sur le repo GitHub.
Allez, je vous laisse vous amuser avec votre nouveau jouet. Un grand merci à Lorenper pour l’info. Grâce à toi, on va pouvoir personnaliser nos avatars comme jamais.
Les memes c’est cool à faire mais c’est souvent gâché par des watermarks moches. Heureusement qu’il existe Editdit !
Ce site est une vraie mine d’or pour créer vos propres memes sans aucun marquage ou copyright et avec tous les templates légendaires qu’on adore. Que vous soyez fan de Distracted Boyfriend, de Drake Hotline Bling, de One Does Not Simply ou de Hide the Pain Harold, vous allez pouvoir laisser libre court à votre créativité et votre sens de l’humour.
Vous n’avez qu’à choisir votre template, ajouter votre texte personnalisé et le tour est joué !
L’interface est ultra simple et intuitive. En quelques clics vous pouvez créer un meme sur mesure, en ajustant la police, la taille, la couleur et la position du texte. Vous pouvez même importer vos propres images si vous voulez créer un meme 100% unique. Et le meilleur dans tout ça ? C’est totalement gratuit !
Une fois que votre œuvre humoristique est terminée, vous pourrez alors la télécharger en haute définition ou la partager directement sur vos réseaux sociaux préférés. Attention, ça peut vite devenir addictif…
Les scientifiques du MIT boostent les capacités de raisonnement de l’IA avec une architecture hybride révolutionnaire ! Hé oui, les petits génies du MIT ont développé 3 frameworks qui vont donner aux IA le pouvoir de raisonner comme des humains.
Imaginez que vous ayez un pote un peu limité niveau jugeote (on a tous un [insère ici le prénom de ton collègue le plus proche] dans notre entourage 😅). Il comprend ce que vous lui dites, il peut même vous répondre, mais dès qu’il faut réfléchir un peu, ça rame et parfois ça plante. Eh bien, les IA actuelles, c’est un peu pareil !
Elles sont super balèzes pour ingurgiter des tonnes de données et cracher du texte, mais niveau compréhension du contexte et raisonnement complexe, ce n’est pas encore tout à fait ça. Et c’est là que nos amis du MIT entrent en scène avec leur trésor d’abstractions en langage naturel. En gros, ils ont créé des lib qui vont aider les IA à mieux piger leur environnement et résoudre des problèmes de manière plus humaine. On parle donc de 3 frameworks aux petits noms mignons : LILO, Ada et LGA.
LILO, c’est l’atout du développeur. Il va aider les IA à synthétiser, compresser et documenter du code comme un pro. Fini les IA qui créent des pavés de code illisibles, place à des programmes bien structurés et commentés !
Ada, c’est la stratège du groupe. Elle va permettre aux IA de planifier des actions de manière flexible. Au lieu de suivre bêtement une recette, l’IA va pouvoir s’adapter et improviser en fonction de ce qu’elle trouve dans son frigo. Ada a même montré une amélioration de 59% pour des tâches de simulation de cuisine et de 89% pour des tâches de construction de lit.
Enfin, LGA, c’est l’as de la perception. Elle va filer un gros coup de pouce aux robots pour qu’ils comprennent mieux leur environnement, un peu comme si on leur refilait une bonne paire de lunettes. Terminé les robots qui se prennent les pieds dans le tapis, ils vont pouvoir naviguer dans votre appart’ comme un poisson dans l’eau (ou presque 😅).
Avec ces 3 frameworks qui mixent réseaux de neurones et approches logiques classiques, les chercheurs espèrent bien faire passer les IA au niveau supérieur. Ainsi, on aura enfin des chatbots qui comprennent vos blagues pourries, des robots qui vous apportent une bière sans renverser la moitié au passage, et pourquoi pas des IA qui vous aident à coder votre prochain jeu vidéo pendant que vous glandouillez sur le canapé !
Pour ceux qui veulent aller plus loin, voici les publications sur arXiv des avancées réalisées :
– Library Induction from Language Observations
– Action Domain Acquisition
– Language-Guided Abstraction
J’ai hâte de voir tout ça fonctionner pour en vrai !
Votre repaire préféré Ygg (anciennement YggTorrent) vient de tirer le rideau et de passer en mode privé ! Fini le téléchargement à tout-va pour les passants, désormais il faudra montrer patte blanche et s’identifier pour accéder à la caverne d’Ali Baba du torrent made in France qui attire des millions de visites chaque mois.
Pourquoi ce revirement soudain ?
La pression des ayants droit et de la justice française devenait insoutenable pour ce site qui a pris la relève de l’iconique T411 en 2017. Entre les blocages DNS et IP, les injonctions judiciaires et les menaces de poursuites, les admins de Ygg ont préféré la jouer profil bas et verrouiller la boutique. La plateforme a même été récemment listée par la puissante Motion Picture Association (MPA) de Hollywood dans son bilan annuel des sites pirates les plus « notoires ». Désormais, seuls les 6 millions de membres enregistrés pourront profiter des torrents bien garnis, à l’abri des regards indiscrets.
Cette décision radicale témoigne de l’acharnement des autorités contre le partage non-autorisé. Mais est-ce vraiment efficace de traquer sans relâche les sites de P2P ? Pas sûr, car comme le soulignent avec malice les responsables de Ygg, les internautes ont plus d’un tour dans leur sac pour contourner la censure :
Alors, blocage ou pas blocage, les aficionados du téléchargement trouveront toujours un moyen de gruger le système. Un éternel jeu du chat et de la souris qui ne semble pas prêt de s’arrêter, au grand dam des majors et des artistes. Mais au fond, est-ce si étonnant dans un pays champion du monde du piratage ? À bon entendeur…
Vous débarquez dans votre laverie automatique préférée, les bras chargés de linge sale, et là, magie magie, grâce à une petite bidouille bien sentie, vous pouvez lancer une lessive gratuite, sans débourser un centime. C’est le rêve, non ? Eh bien, figurez-vous que c’est exactement ce qu’ont réussi à faire des étudiants un peu hackers sur les bords.
Alexander Sherbrooke et Iakov Taranenko, 2 petits génies de l’université de Santa Cruz, ont découvert une faille de sécurité dans le système des laveries connectées de CSC ServiceWorks. Je vous parle quand même d’un réseau de plus d’un million de machines à laver installées un peu partout dans le monde, des campus universitaires aux hôtels en passant par les résidences. Bref, un sacré parc de machines qui tournent à plein régime.
Pour y arriver, ils ont bidouillél’API utilisée par l’appli mobile CSC Go. Pour ceux qui ne sont pas familiers avec le jargon technique, une API c’est un truc qui permet à des applis et des appareils de communiquer entre eux au travers du réseau. Dans le cas présent, l’appli CSC Go permet aux utilisateurs de recharger leur compte, de payer et de lancer un cycle de lavage sur une machine proche. Cependant, les serveurs de CSC ne vérifiaient pas correctement qui avait le droit de faire quoi. N’importe qui peut entrer et faire ce qu’il veut. Et c’est exactement ce qu’ont fait nos deux compères.
En analysant le trafic réseau pendant qu’ils utilisaient l’appli CSC Go, Alexander et Iakov ont réussi à court-circuiter les contrôles de sécurité pour envoyer des commandes directement aux serveurs de CSC. Résultat des courses : ils ont pu modifier leur solde, ajouter des millions de dollars virtuels pour le budget lessive, et même localiser et interagir avec toutes les machines du réseau CSC ServiceWorks.
Bien sûr, avoir la lessive gratuite, c’est cool. Mais Alexander et Iakov ont surtout voulu montrer les dangers d’avoir des appareils connectés à Internet sans une sécurité au top. Le pire dans l’histoire, c’est qu’ils ont prévenu CSC ServiceWorks de la faille à plusieurs reprises depuis janvier, mais la société n’a jamais répondu. Pourtant, un simple petit formulaire de contact pour signaler les problèmes de sécurité, ça ne coûte pas bien cher et ça peut éviter de gros dégâts… J’espère juste que ces derniers ne préparent pas une action en justice…
Évidemment, bidouiller des machines à laver pour avoir des lessives gratuites, ce n’est pas l’attaque du siècle mais cela montre qu’il y a encore du boulot côté sécurité pour tous ces objets connectés. Alors pour se protéger de telles vulnérabilités, il est crucial de sécuriser les API en effectuant la vérification des commandes côté serveur plutôt que côté client et en utilisant des tokens d’authentification sécurisés.
En attendant, si vous croisez Alexander et Iakov sur leur campus, vous pouvez leur donner vos slips sales, ils savent y faire pour vous les rendre plus blanc que blanc. ^^
Trois ressortissants nord-coréens ont trompé de grands groupes américains pour se faire recruter comme développeurs en télétravail.
[Deal du jour] Le moniteur incurvé Alienware 34 de Dell est un moniteur pour PC idéal pour vos sessions de jeux. Un peu cher à son prix de base, il est en ce moment plus abordable grâce à une bonne réduction.
Vous n’avez ni PC ni de scanner sous la main pour numériser un papier important, une note de frais ou tout autre document ? Utilisez tout simplement votre smartphone… On vous explique comment faire avec ces 3 applications pour Android et iOS : Google Drive, CamScanner et Apple Notes.
Parasols spatiaux, propagation de dioxyde de soufre dans l'atmosphère, Pluies acides, impacts climatiques, ciel blanc. On a de sacrées idées pour modifier le climat, mais sont-elles bonnes ? C'est ce qu'explore cet article de The Conversation.
[Deal du jour] Cdiscount propose une importante réduction sur le MacBook Air M1, le laptop d’Apple de 2020. L’ultraportable reste encore aujourd'hui un modèle à la bonne autonomie. Il tombe en ce moment sous les 800 €.
À force d'acharnement, un joueur de Super Mario 64 est parvenu à ouvrir une porte scellée depuis la sortie du jeu en 1996. Un exploit retentissant pour les fans de la première aventure en 3D du célèbre plombier.
