Autoblog de korben.info

Stelios Kouloglou, ancien eurodéputé grec, et journaliste d'investigation, siégeait à la commission PEGA du Parlement européen et à l'époque, son cheval de bataille c'était de traquer Pegasus, le mouchard pour smartphone de la société israélienne NSO Group.

Eh bien devinez quoi ? Son smartphone à lui était aussi infecté par Pegasus !

C'est Citizen Lab, un labo planqué à l'université de Toronto, qui a retourné son iPhone en mai dernier et qui a retrouvé la trace de 2 infections. La première en octobre 2022, et la suivante en mars 2023. Pile au moment où la commission PEGA bossait sur son rapport, donc...

Mais avant de tout vous expliquer, je me permets de faire un petit rappel pour ceux qui ont raté le premier épisode. Pegasus, c'est un outil d'une société privée qui travaille dans la surveillance et qui s'appelle NSO Group. Cet outil est capable de s'installer tout seul sur un iPhone, sans avoir besoin du moindre clic de la victime. Aucune interaction, aucune trace et une fois qu'il est en place, cette saloperie siphonne tout ! Ce que votre micro et vos caméras enregistrent, vos messages, votre géoloc, vos datas...etc. Le Parlement européen avait donc monté la commission PEGA en avril 2022 justement pour comprendre pourquoi des États membres s'amusaient à espionner des journalistes, des avocats et des opposants politiques avec ça.

Alors qui a infecté Kouloglou ?

Eh bien personne n'a trouvé et c'est bien le problème. NSO ne donne jamais le nom de ses clients, et l'entreprise n'a pas répondu aux sollicitations. Kouloglou, lui, accuse le gouvernement grec, son propre pays, qui figure parmi les États épinglés par la commission aux côtés de la Pologne, la Hongrie et l'Espagne.

Sauf que Citizen Lab, le labo qui a fait l'analyse, n'a pu confirmer aucune piste et pense que d'autres parlementaires ont ou seront également infectés. Et le pire dans toute cette histoire, c'est qu'il ne se passe rien de plus...

La commission PEGA a rendu son rapport en mai 2023 avec une liste de recommandations comme encadrer le spyware, créer un labo technique européen, ouvrir des voies de recours et le Parlement a voté pour. Très bien ! Sauf que depuis la Commission européenne a rangé tout ça dans un tiroir.

Ça fait donc maintenant 3 ans que ces recommandations prennent la poussière. Et Kouloglou n'est même pas un cas isolé puisqu'il y a déjà eu Nikos Androulakis, un autre eurodéputé grec, visé lui par Predator, le cousin de Pegasus. À l'époque, tout le monde avait crié au scandale mais nous sommes maintenant quelques années plus tard, et il n'y a aucun aucune répercussion ni aucun changement.

Et pendant que la justice avance à deux à l'heure, et cela même si NSO s'est pris une déculottée par WhatsApp , le marché du mouchard se porte comme un charme ! Candiru, Paragon, Intellexa... Pour chaque NSO qui trébuche, d'autres se partagent le gâteau.

Alors qu'est-ce qu'on fait, nous, simples mortels sans immunité parlementaire ?

Bah déjà, si vous êtes journaliste, militant ou juste un parano bien organisé, activez le Lockdown Mode d'Apple , qui a déjà fait échouer des attaques de ce type. Et si vous flairez quelque chose de louche, sachez qu'on peut faire analyser un smartphone pour y détecter une infection , exactement comme Citizen Lab l'a fait pour Kouloglou.

Bref, un député qui enquête sur les espions se fait espionner, et l'Europe regarde ailleurs... J'ai connu meilleure pub pour la démocratie !

Source

Un chercheur en sécurité nommé Ian Carroll s'est amusé à lâcher Claude Opus sur la billetterie de Live Nation, afin d'y trouver des failles de sécurité, et l'IA lui a carrément écrit toute la chaîne d'exploitation sans aucune aide. Lui n'a eu qu'à le lancer...

Tout démarre avec une session de fuzzing sur l'API des terminaux, fgtapi.frontgatetickets.com. Carroll repère un truc... chaque endpoint qui contient le mot "device" réclame un paramètre deviceUID, et ce paramètre ne demande aucune authentification. Il colle un simple guillemet à la fin, la requête se met à ramer, et là, signe classique, le paramètre file direct dans une requête SQL sans le moindre échappement.

Une injection SQL bien à l'ancienne (si vous voulez voir à quoi ça ressemble, j'avais déjà décortiqué le principe il y a un bail).

Sauf qu'un WAF AWS est planté devant pour bloquer ce genre de payload. Et c'est là que Claude entre en scène. L'IA pige toute seule que le pare-feu n'inspecte que la couche extérieure de la requête, et qu'il suffit de planquer l'injection dans une sous-requête imbriquée pour passer sous le radar.

Ensuite elle se fabrique un oracle booléen aveugle qui fait que selon que la condition testée est vraie ou fausse, le serveur renvoie deux réponses différentes, "MC70-023" pour vrai, "Intellitix Upload" pour faux. Vous enchaînez ensuite les questions oui/non, et vous reconstituez la base entière, caractère par caractère.

Et la base, elle est bien garnie. Plus de 500 tables dans un ensemble baptisé fgs avec dedans les emails et mots de passe du personnel, ceux des clients, les tokens de reset, les tokens d'API et les jetons OAuth encore actifs. Avec ça, Carroll précise qu'il aurait pu émettre autant de billets gratuits qu'il voulait, pour n'importe quel événement.

Mais c'est une personne pleine de sagesse (et qui ne veut pas aller en prison) alors il ne l'a pas fait. Et surtout, il a tout remonté à Live Nation. Le lendemain où il les a contactés, la boîte confirmait le déploiement d'un correctif.

Ce qui est intéressant ici, c'est que le contournement du WAF par sous-requête, et la construction de l'oracle, tout ça a été proposé par Claude, et ne vient pas d'une demande du chercheur. On avait certes, déjà vu l'IA d'Anthropic dénicher des failles dans Firefox ou éplucher du code Apple II vieux de 40 ans mais là, c'est un sacré cran plus loin, je trouve.

Merci à Ian Carroll pour le writeup détaillé .

Source : CyberSecurityNews

La société Maker's Pet vient de lancer oomwoo , un robot aspirateur open source que vous construisez vous-même ! C'est fait à base de Raspberry Pi 5, LiDAR 2D, ROS 2, châssis imprimé en 3D, et le tout fonctionne en local.

Sauf qu'il y a un détail rigolo, pour l'instant il fait à peu près tout... sauf aspirer ^^.

Je m'explique... Votre Roborock ou votre iRobot, vous ne le savez pas mais vous ne le possédez pas vraiment. Il se balade partout, cartographie votre apart ou votre maison, envoie tout sur des serveurs distants et surtout, le jour où le fabricant ferme boutique, bah votre robot il termine à la casse.

Alors c'est vrai, des bidouilleurs libèrent déjà ces engins du cloud en leur greffant un firmware ouvert. Mais oomwoo prend le problème à l'envers, puisqu'au lieu de libérer un robot fermé, vous en montez un qui soit libre dès la première vis !

Côté matos, vous allez avoir besoin, comme je vous le disais, d'un Raspberry Pi 5 (ou d'un Pi 4), d'un petit LiDAR 2D, de quelques moteurs et d'un châssis que vous sortirez de votre imprimante 3D. Son cerveau, lui, tourne sous ROS 2 avec Nav2 pour la navigation, et vous pouvez tout tester virtuellement dans une simulation Gazebo avant même de visser quoi que ce soit.

Côté maison connectée, ça se branche direct sur Home Assistant et toutes les datas restent chez vous en local. Le LiDAR c'est vraiment le cœur du projet puisque c'est ce capteur qui donne la vue en relief aux petits robots . Avant ça coûtait une petite fortune, mais aujourd'hui, ça peut se trouver pour une trentaine d'euros comme ce LDS02RR qui équipe notamment les Roborock.

Et pour orchestrer toute cette joyeuse bande hardware, le projet utilise un micro-contrôleur à quelques euros qui gère toutes les entrées et les sorties, pendant que le RPi se tape le gros des calculs.

oomwoo en est à sa toute première version, en mode RFC (request for comments), autrement dit le truc se conçoit en public au grand jour et leur objectif premier, c'est donc d'avoir un robot qui cartographie votre appart au LiDAR et se balade tout seul avant même de penser à aspirer.

Alors oui, pour le moment, c'est uniquement de la simulation et aucun proto n'a été assemblé mais ça ne saurait tarder. Quoiqu'il en soit, vous pouvez suivre toutes les étapes du projet en live sur GitHub et intervenir si vous voulez aider .

Après, un aspi robot qui n'aspire pas, ça ne vous inspire peut-être pas (jeux de moooots) mais c'est surtout un projet en train de naitre, qui si vous l'attrapez en route, vous permettra d'apprendre de nouveaux concepts en robotique comme le SLAM, la navigation autonome ou ROS 2 sans avoir à lâcher un billet dans du matos hors de prix (ils visent 200 dollars de matos au max).

Bref, c'est moins un aspirateur qu'un cours de robotique déguisé mais ça vaut le coup d'oeil. Le code vous attend sur GitHub .

Le scénario est toujours le même. Un faux conseiller bancaire au bout du fil, avec un ton pressant qui vous répète de valider vite, et vous confirmez un virement que vous regretterez très fort avant la fin de la journée. C'est précisément cette mécanique qu'Apple veut enrayer avec Trust Insights, une brique d'iOS 27 dévoilée sans tambour à la WWDC de juin, la grande conférence développeurs où la marque montre ses futurs systèmes, et détaillée dans une session technique baptisée "Meet Trust Insights".

L'objectif est en fait assez simple, donner aux applications le moyen de détecter, pendant que vous les utilisez, que quelqu'un est probablement en train de vous la faire à l'envers. Donc pas une alerte après coup, une fois l'argent envoyé à l'autre bout du monde. Mais vraiment une alerte sur le moment.

Trust Insights est une API. Autrement dit une boîte à outils qu'Apple met à disposition des développeurs pour brancher cette détection directement dans leurs propres applications, sans avoir à la construire eux-mêmes. Votre banque, votre application de paiement ou votre messagerie récupèrent la fonction et l'intègrent à leurs écrans sensibles, moyennant une autorisation spéciale accordée par Apple.

Pour flairer l'embrouille, le système croise vos schémas d'interaction, le rythme de vos gestes, le contexte de l'action et quelques données de capteurs basiques. Quelqu'un qui vous dicte quoi taper au téléphone, ça se voit dans la façon dont vous vous y prenez : comme par exemple des hésitations qui ne collent pas à vos habitudes, des allers-retours anormaux entre les écrans, une cadence de saisie qui déraille par rapport à d'habitude.

Côté vie privée, Apple insiste : le contenu de vos Messages, de vos Mails et de vos Photos n'est jamais inspecté. Tout le calcul se fait sur l'iPhone, les données brutes sont jetées dans la foulée, et une seule information ressort de l'appareil, un niveau de risque moyen ou élevé. Rien de plus.

À l'application, ensuite, de décider quoi en faire. Elle peut glisser un avertissement bien visible, imposer un délai avant de laisser passer un virement, ou réclamer une vérification supplémentaire. Le genre de pause forcée qui vous laisse dix secondes pour raccrocher et vous demander pourquoi ce "policier" exige un paiement immédiat.

Trust Insights range les actions à surveiller en cinq grandes familles : les paiements et transferts d'argent, les modifications de compte, l'accès à des ressources coûteuses, l'envoi de messages ou la signature de documents, et une catégorie fourre-tout pour le reste. En clair, tous les moments où un escroc a le plus intérêt à vous tenir la main jusqu'au bout de l'opération.

Les arnaques ciblées sont celles qui posent le plus de problème : le faux support technique, l'usurpation d'autorité, ou un pseudo-policier ou banquier qui vous somme d'agir sans réfléchir, ou encore plus compliqué à gérer, la fausse urgence familiale. Ce sont des arnaques vieilles comme le téléphone, mais améliorées aux deepfakes, ces voix et vidéos fabriquées par IA capables d'imiter un proche à s'y méprendre.

Sauf que voilà, tout repose sur la bonne volonté des développeurs. Si votre banque ne prend pas la peine d'intégrer Trust Insights dans son application, il ne se passera strictement rien. Et il faudra de toute manière patienter jusqu'à l'automne, à la sortie publique d'iOS 27, pour voir les premières intégrations débarquer sur votre écran.

Reste que l'idée est plutôt bonne. Une pause de dix secondes imposée au bon instant protégera plus de comptes en banque que des années de campagnes de prévention.

Source : 9to5mac

Vous vous souvenez de l'époque où stocker ses photos dans le cloud, c'était synonyme de "donner ses données à Google pour qu'il les analyse et essaye de vous faire cliquer sur une pub qui pouvait vous intéresser" ? Hé bien entre le CLOUD Act américain (qui permet au FBI de farfouiller dans vos fichiers, même sur des serveurs européens), les politiques de confidentialité qui changent tous les 6 mois, le fait que Google Photos a décidé que vos souvenirs valaient désormais un abonnement mensuel & co ... y'a de quoi vouloir reprendre le contrôle.

Et la bonne nouvelle, c'est que pCloud vient de sortir une promo pour le 14 juillet qui tombe à pic. Jusqu'à -70% sur les plans Lifetime, avec le chiffrement de bout en bout offert en prime. Un seul paiement, et vos fichiers sont à vous pour la vie. Ou du moins pour les 99 prochaines années, ce qui revient au même.

Le stockage à vie, c'est quoi exactement ?

L'idée est simple : au lieu de vous pomper 10€ par mois à l'infini comme Google One, Dropbox ou iCloud, vous payez une seule fois et c'est réglé. pCloud vous garantit l'accès à votre espace de stockage pour 99 ans (ou la durée de vie du titulaire, mais bon, à ce rythme-là, on sera tous morts avant vu que de toute façon la planète explose probablement dans les 9 prochains mois). C'est un peu comme acheter un appartement plutôt que de louer un studio pourri à vie avec un loyer qui augmente d'année en année.

Le service est basé en Suisse (à Baar pour être précis) avec des datacenters au Luxembourg. Ça veut dire RGPD, lois suisses sur la protection des données parmi les plus strictes au monde, et surtout pas de sous-location chez AWS ou Google Cloud. pCloud possède ses propres serveurs, donc vos fichiers restent en Europe et ne traversent pas l'Atlantique pour finir dans un entrepôt de l'Iowa.

Plus de 24 millions d'utilisateurs leur font déjà confiance. Et perso, quand je compare avec mon ancien Google Drive où je retrouvais des photos de 2018 en vrac entre des captures d'écran de bugs et des logos d'applis, je trouve que le changement de braquet se justifie.

Le chiffrement de bout en bout offert

Ce qui change tout dans cette promo du 14 Juillet, c'est que pCloud Encryption est inclus gratuitement avec chaque plan Lifetime. Normalement c'est une option payante en plus, donc là c'est clairement un gros plus.

pCloud Encryption, c'est du chiffrement côté client (zero-knowledge). Vos fichiers sont chiffrés sur votre machine avant même de quitter votre appareil. Vous seul détenez la clé, même pCloud ne peut pas ouvrir vos fichiers. Et donc même si un juge suisse débarque avec une ordonnance ou si un hacker pénètre leurs serveurs, vos données restent illisibles. C'est le niveau de protection qu'Edward Snowden recommanderait si on lui demandait son avis.

Et contrairement à Google qui scanne vos photos pour mieux vous cibler publicitairement, ici personne ne fouille dans vos souvenirs. Vos photos de vacances, vos documents fiscaux, vos projets perso, tout reste entre vous et vous (pour une fois que c'est pratique d'avoir plusieurs personnalités).

Les fonctionnalités qui tuent

pCloud n'est pas juste un disque dur dans le ciel. Le pCloud Drive transforme votre espace cloud en disque virtuel accessible comme un SSD local sur Windows, macOS et Linux. Vous travaillez sur un document, il se synchronise instantanément sur tous vos appareils. Pas besoin de copier-coller des fichiers à la mano comme un cro-magnon.

Les apps mobiles iOS et Android uploadent automatiquement vos photos et vidéos pour libérer de l'espace sur votre téléphone. Plus de message déprimant "Stockage plein" quand vous essayez de filmer le concert de votre ado.

Le pCloud Backup sauvegarde vos fichiers importants en continu en arrière-plan. Vous oubliez, il s'en souvient. Et pour la collaboration, vous partagez des liens sécurisés avec des gens qui n'ont même pas pCloud. Pratique pour envoyer un dossier lourd à un client sans passer par WeTransfer qui stocke vos fichiers on-ne-sait-où.

De son côté, pCloud Photos ( j'en ai parlé un peu ici ) organise automatiquement vos images par date dans une galerie chronologique. Vous tapez sur une année et vous retrouvez instantanément ce selfie gênant de 2019. Vous pouvez exclure certains dossiers pour éviter que vos 400 captures d'écran se mélangent avec vos vraies photos. Et y'a même un éditeur photo intégré avec 8 filtres (Retrofilm, Vintage, Duotone...), réglages de luminosité, contraste, recadrage, rotation, etc. Le tout en temps réel, directement dans votre stockage cloud. Bon c'est pas Lightroom, mais pour de la retouche rapide sans sortir la carte bleue Adobe, ça fait largement le taf.

Le lecteur multimédia intégré vous permet de streamer vos films et musiques directement depuis pCloud sans les télécharger. Et, pour l'instant en version bêta, pDocs vous permet d'éditer et collaborer sur des documents en temps réel avec d'autres utilisateurs pCloud sans passer par Google Docs qui lit vos brouillons en douce.

Les offres du 14 Juillet et les maths qui font mal à la concurrence

La promo est valable du 2 au 15 juillet 2026, et voici ce que ça donne :

Faisons les comptes rapidement. 2 To chez Google One, c'est environ 100€ par an. Avec pCloud, vous payez 299€ une fois. Au bout de 3 ans, vous êtes déjà gagnant. Sur 10 ans, j'en parle même pas c'est 700€ d'économisés. Et là on parle juste de stockage. Avec le chiffrement inclus, la différence se creuse encore plus.

Et avec le pack 2 To, vous avez de quoi stocker l'intégralité de vos photos et vidéos depuis la naissance de votre premier enfant jusqu'à ce qu'il parte de chez vous. Le 10 To à 890€, c'est pour les accros du stockage (les vidéastes, les photographes, les gens qui filment en 4K leur chat qui dort, etc.)

Pourquoi pCloud plutôt que les GAFAM ?

Parce que dans ce monde bizarre où Google, Microsoft et consorts se partagent vos données comme un gâteau d'anniversaire, pCloud arrive avec une approche radicalement différente. Pas d'abonnement, pas de frais récurrents, pas de scanning automatique pour cibler vos pubs. Juste du stockage qui respecte votre vie privée.

Vos fichiers sont en Europe, soumis aux régulations européennes. Pas de vente de metadata à des tiers. Pas de "nous avons mis à jour nos conditions d'utilisation" tous les 4 matins. Et surtout, pas de dépendance à un écosystème qui vous tient en laisse.

Moi qui ai commencé à mettre en avant les alternatives européennes aux GAFAM (oui, je me cite, c'est la règle), je trouve que pCloud incarne parfaitement cette démarche. C'est européen, c'est solide, c'est rentable depuis 2013 et ça ne dépend pas de la volonté d'un actionnaire californien de monétiser vos souvenirs.

Si vous en avez marre de payer tous les mois pour stocker vos propres fichiers sur des serveurs qui vous espionnent, cette promo du 14 Juillet est le moment de passer à l'acte. pCloud Lifetime + chiffrement offert, c'est le combo parfait pour reprendre le contrôle de vos données sans vous ruiner. Un seul paiement, 99 ans de tranquillité. 99 ans c'est long.

Et avec la garantie satisfait ou remboursé, vous n'avez rien à perdre ... sauf votre abonnement Google Drive.

Alors, prêt à dire adieu aux abonnements à vie ?

🔒 Profitez de l'offre pCloud Lifetime jusqu'à -70% cliquez ici.

Offre valable du 2 au 15 juillet 2026 seulement.

Vous avez encore une PS3 qui prend la poussière avec des jeux achetés en dématérialisé dessus ?

Alors va falloir vite vous bouger le cul parce que ces sacripants de Sony viennent d'annoncer la fermeture du PlayStation Store sur la PS3 et la PS Vita pour juillet 2027. Et dans la foulée, ils viennent également d'annoncer qu'ils arrêteraient totalement la production de disques physiques en 2028 pour les nouveaux jeux.

Du coup, une bande de joyeux archivistes s'est mise en ordre de bataille pour sauver tout ce qui peut l'être, et c'est l'équipe de RPCS3 , le principal émulateur PS3, qui mène la charge.

En 2021, je vous parlais déjà de RPCS3 quand il servait surtout à rendre vos vieux jeux PS3 plus beaux avec le FSR d'AMD. Cinq ans plus tard, le même émulateur devient carrément un canot de sauvetage et comme le projet est open source, bah c'est totalement l'esprit d'archiver et conserver ce patrimoine incroyable pour les générations futures de gamers !

Et là-dessus, je pense qu'on ne peut que les soutenir. Alors si vous êtes chaud pour les aider, rendez-vous sur no-intro.org , une espèce de base de données communautaire qui joue le rôle de registre communautaire, avec des empreintes d'intégrité (des hashes CRC32, MD5, SHA-1), les tailles de fichiers exactes, les numéros de série et les historiques de révision.

En gros, c'est la liste de courses de la préservation qui dit ce qui a déjà été vérifié et sauvegardé, et surtout ce qu'il serait bon de retrouver fissa avant que ça disparaisse des serveurs pour de bon.

Si vous avez l'un des trésors qu'ils recherchent, vous leur filez votre fichier .pkg dumpé, et il vous dit s'il est corrompu et ce qui manque dedans.

Après y'a surtout le souci des jeux PS3 100% démat qui eux ne sont jamais sortis en boîte (comme tous les bons nerds qui se respectent) et qui une fois le PSN coupé, disparaîtront à jamais !

Et pour cela, y'a pas des masses de temps... Par exemple, c'est prévu pour août 2026 au Mexique, au Honduras et au Nicaragua, avant le reste de l'Amérique latine et au Moyen-Orient plus tard dans l'année. Le reste du monde suivra alors en juillet 2027.

Après Sony nous jure qu'on pourra toujours re-télécharger nos achats "dans un avenir proche", mais j'ai moyen confiance, j'avoue.

En tout cas, toute cette histoire, c'est encore bien la preuve que la démat de jeu, c'est la mort annoncée des anciens titres. Finalement, on n'achète plus vraiment de jeux mais des accès qu'on loue et qui peuvent disparaître à tout moment.

L' Internet Archive et les communautés d'archivistes font ce qu'elles peuvent, mais ça reste un petit pansement. Et ça ne risque pas de s'arranger puisque Xbox en prend aussi le chemin. Bref, si vous avez du contenu PS3 dématérialisé auquel vous tenez, c'est le moment de le dumper car après, ce sera trop tard.

Source