Autoblog de korben.info

-- Article en partenariat avec Incogni --

Vous avez déjà tapé votre nom sur Google ? Non, pas pour stalker votre ex. Votre PROPRE nom. Faites-le. Je vous attends.

...

Vous avez trouvé quelque chose ? Peut-être votre adresse, votre numéro de téléphone, votre email, vos anciennes adresses, peut-être même votre numéro de sécu ou votre date de naissance. Le tout exposé sur des sites que vous ne connaissez même pas. Des sites avec des noms à la con du genre PeopleSearchPro ou Spokeo ou je sais pas quelle autre saloperie. Et le pire ? C'est légal. Ces mecs vendent vos données comme si c'était des bonbons.

Moi, j'ai découvert ça par hasard. Je cherchais un truc, je tape mon nom, et BIM, première page de résultats : mon adresse perso, affichée en grand, avec en prime mon numéro de téléphone. J'étais pas bien de voir mon adresse perso sur Google alors que je fais attention... La faute à un pays européen qui tient un registre public pour la douane et que des boites privées spécialisées en SEO mettent sur le net en accès libre pour faire du trafic. Bref, accessible à n'importe quel taré, harceleur, ou escroc qui a 5 minutes et une connexion internet.

Les data brokers : les revendeurs de votre vie

Alors, pour ceux qui dorment au fond, un data broker c'est quoi ? C'est une boîte qui fait du fric en récoltant vos infos personnelles et en les revendant au plus offrant. Tout ce que j'ai déjà mentionné plus haut, mais aussi votre statut marital, votre boulot, vos habitudes d'achat, vos préférences politiques, votre historique médical et même vos antécédents judiciaires. Tout.

Ils récupèrent ça via vos cookies, vos inscriptions en ligne, les registres publics, vos cartes de fidélité, divers hacks de bases de données (ou des sites tenus avec les pieds par le gouvernement). Et surtout via les petites cases que vous cochez sans lire dans les conditions générales. Vous savez, celles où vous acceptez que vos données soient "partagées avec des partenaires tiers". Sauf que ces partenaires, c'est souvent des data brokers. Et eux, ils revendent à qui veut : marketeurs, arnaqueurs, stalkers, ou le mec chelou du métro.

Apple peut vous protéger des trackers dans Safari, mais Apple ne peut pas effacer des années de données déjà disséminées sur des centaines de bases de données. C'est comme essuyer une flaque avec une éponge alors que quelqu'un continue de verser de l'eau.

Incogni : l'avocat de la vie privée qui travaille 24/7

C'est là qu' Incogni entre en jeu . C'est un service créé par les mecs derrière Surfshark (et maintenant dans la famille NordVPN) qui fait UNE SEULE chose, mais il la fait bien. Il va contacter les data brokers à votre place et exiger la suppression de vos données.

Pas besoin de passer des week-ends à remplir des formulaires d'opt-out incompréhensibles sur 250 sites différents. Vous créez un compte, vous signez une autorisation légale pour qu'ils agissent en votre nom, et vous laissez le robot faire le boulot.

Dans mes tests, plusieurs demandes de suppression ont été envoyées en moins de 10 minutes après l'inscription. Dix minutes. Et presque une centaine dans les semaines/mois qui ont suivi . Après deux mois, environ 90% des demandes étaient finalisées. Moi, à la main, j'en aurais fait trois en une heure, et j'aurais abandonné en pleurant.

Le tableau de bord est clair. Vous voyez combien de brokers ont été contactés, combien ont répondu, combien ont supprimé vos données et combien traînent les pieds. Incogni renvoie des demandes récurrentes tous les 60 à 90 jours pour ceux qui font le mort, et demande à être ajouté sur des listes de suppression pour éviter que vos données ne réapparaissent.

Et ça marche. Deloitte a audité le service et confirmé que Incogni a traité plus de 245 millions de demandes de suppression pour ses clients, couvre bien plus de 420 data brokers et n'a aucune affiliation avec ces derniers. C'est vérifié par un cabinet d'audit indépendant.

Combien ça coûte, la tranquillité ?

Incogni propose plusieurs formules :

• Standard (~7.2€/mois en annuel) : suppression automatique sur 420+ data brokers, 3 adresses email, renouvellements automatiques.
• Unlimited (~14.4€/mois) : ajoute les demandes de suppression personnalisées sur n'importe quel site (jusqu'à 3 000 sites supplémentaires), support téléphonique.
• Family (~15.6€/mois) : même chose que Standard mais pour 5 utilisateurs.
• Family Unlimited (~24€/mois) : le top tier pour toute la famille avec suppressions illimitées.

Oui, c'est plus cher qu'avant. Le service est passé au prix plein de 11,7$ à 14,4€ mensuel pour le Standard. Mais en abonnement annuel avec les réductions, on reste à 7,2€/mois. Pour un service qui vous évite des centaines d'heures de travail manuel, c'est plutôt pas mal. DeleteMe, le concurrent, coûte sensiblement plus cher.

Depuis que j'utilise Incogni, voici ce qui a changé concrètement :

• Mon adresse a disparu de Google. Celle qui me donnait envie de déménager rien que parce qu'elle était publique (bon j'ai déménagé quand même, mais pas pour ça lol). Supprimée.
• Mes mails de spam ont chuté. Quand les brokers ne peuvent plus vendre votre email, les marketeurs arrêtent de vous spammer.
• Les appels de démarchage se sont raréfiés. Mon téléphone sonne moins. C'est déjà ça.
• Je dors mieux. Oui, c'est con, mais savoir qu'un stalker ou un escroc ne peut pas trouver mon adresse en 30 secondes sur Google, ça change la vie.

Ce qu'Incogni ne fait PAS (et c'est important)

Faut pas se leurrer, Incogni est un outil spécialisé, pas une baguette magique. Il ne fait PAS de monitoring de crédit, de scan du dark web, d'assurance vol d'identité, VPN ou antivirus.  Si vous partez de zéro en protection d'identité, Incogni seul ne suffit pas. C'est un excellent complément à un VPN, un gestionnaire de mots de passe, et un service de monitoring. Mais c'est pas une solution tout-en-un.

Et contrairement à Optery, Incogni ne fournit pas de captures d'écran prouvant ce qui a été trouvé avant suppression. Vous devez faire confiance au processus automatisé. Pour moi, le rapport de Deloitte et les résultats concrets suffisent. Mais si vous êtes du genre à vouloir des preuves visuelles, Optery sera peut-être plus votre truc.

Le gros avantage pour les Européens c'est que souvent les services de suppression de données sont centrés sur les USA. Incogni, lui, couvre non seulement USA, Canada et UK, mais aussi tous les pays de l'UE (27 pays) ainsi que la Suisse, la Norvège, l'Islande et le Liechtenstein.

En Europe, on a le RGPD. le service de Surfshark s'en sert comme d'une massue légale pour forcer les brokers à coopérer. Aux USA, c'est le CCPA. Au Canada, PIPEDA. Bref, ils utilisent les lois locales les plus strictes pour vous protéger. Si vous êtes en France, en Allemagne ou en Espagne, c'est probablement votre meilleure option.

Bref

Votre identité est déjà en ligne. Vos données sont déjà vendues. Le seul choix que vous avez, c'est de faire quelque chose ou de laisser faire. Incogni ne vous rendra pas anonyme. Il ne vous protégera pas des hackers qui cassent vos mots de passe. Mais il réduira de beaucoup votre empreinte numérique sur les sites de data brokers. Et quand j'ai vu mon adresse disparaître de Google, je peux vous dire que les 7€ par mois, ça se paie avec le sourire.

Comme toujours, dans le doute, supprimez. Et si vous devez supprimer des centaines de fois, automatisez.

=> Essayez Incogni sans plus attendre !

Toutes les fuites de données ne se valent pas, et celle-ci a de quoi faire transpirer pas mal de monde. Des pirates ont siphonné le registre des ayants droit économiques du Liechtenstein dans la nuit du 29 au 30 juillet, embarquant les informations de 31 000 sociétés, fondations et fiduciaires d'un coup.

Un ayant droit économique, pour faire simple, c'est la vraie personne en chair et en os qui possède ou contrôle une société, celle qui empoche l'argent tout au bout de la chaîne même quand une cascade de sociétés-écrans s'emploie à la rendre invisible.

C'est tout le problème. Ce registre a été monté pour lutter contre le blanchiment, en forçant chaque structure à déclarer noir sur blanc qui profite réellement d'elle, si bien que les pirates viennent de mettre la main sur l'annuaire officiel des propriétaires cachés du pays.

Rappelons où l'on se trouve. Le Liechtenstein est ce mouchoir de poche coincé entre la Suisse et l'Autriche qui s'est taillé une réputation mondiale de terre d'accueil pour fondations et sociétés discrètes, l'endroit idéal pour ranger un patrimoine loin des regards.

Dans le butin, on retrouve le nom des entités et surtout le nom, la date de naissance, la nationalité et le pays de résidence des bénéficiaires planqués derrière chacune d'elles.

Une petite éclaircie pour ces gens quand même, puisque les adresses, les numéros de téléphone et les données financières comme le chiffre d'affaires, les actifs ou les dividendes sont restés hors de portée, ce qui atténue la casse sans rien retirer à la gêne provoquée par les noms exposés.

L'attaque aurait été menée avec un vrai savoir-faire technique d'après l'enquête, personne n'a encore été identifié, et le pays a réclamé un coup de main international pour espérer remonter la piste.

Une cellule de crise montée dès le samedi soir sous la houlette de la cheffe du gouvernement Brigitte Haas et du ministre de la Justice, pour prévenir les personnes concernées et éteindre l'incendie.

Franchement, pour un pays qui a fait de la discrétion de ses fondations un fonds de commerce, on imagine mal un fichier plus gênant à laisser filer dans la nature.

Source : Le Temps

Le constructeur Geekom a retiré de ses anciennes pages de support un installeur de pilote réseau que plusieurs moteurs d'analyse classent comme malveillant. Le fichier s'appelle Install_PCIE_Win11_11.10.0720.2022_11222022.exe et il dormait dans l'archive LAN partagée par six mini-PC de la marque : A7, A8, AE7, AE8, AX7 Pro et AX8 Pro.

Le signalement part d'un utilisateur de r/MiniPCs sur Reddit, et du site VideoCardz qui a vérifié lui-même en téléchargeant l'archive directement chez Geekom le 15 août dernier. VirusTotal, FileScan.IO, MetaDefender et YARAify réagissent tous les quatre, ce dernier en remontant même des signatures ClamAV qui nomment la famille Asruex.

Alors c'est déjà un peu chaud d'apprendre ça, surtout si vous avez un PC Geekom mais la problème c'est que ce n'est pas absolument pas une nouveauté !

En effet, le 29 décembre 2024, le propriétaire d'un AE8 explique sur le forum ComputerBase qu'il vient de réinstaller Windows, qu'il a pris ses pilotes sur le site du fabricant, et que Defender lui a sorti Trojan:Win32/Asruex.A au décompactage. Il dit ensuite avoir écrit à Geekom pour les prévenir.

20 mois plus tard, Tom's Hardware décrit sur les machines Geekom, des permissions administrateur, des frappes clavier interceptées et une connexion à un serveur de commande, et PCWorld raconte que des attaquants sont venus glisser une backdoor dans le paquet.

Ce fichier est donc bien un paquet Realtek générique, que DriversCloud héberge et redistribue depuis le 25 novembre 2022 et qui s'est fait vérolé ensuite en 2024. Sur l'origine de l'exemplaire qui traînait chez elle, Geekom dit dans son communiqué du 18 août qu'il s'agit d'une ressource obsolète oubliée sur de vieilles pages, mais jamais d'une intrusion.

Donc si vous avez téléchargé et lancé cet installeur LAN depuis une page support d'un de ces six modèles, vous êtes concerné !! Le Windows livré avec la machine n'est pas en cause, du moins d'après Geekom. Supprimez donc l'installeur, lancez un scan complet avec Windows Defender ou votre antivirus préféré, et récupèrez un pilote réseau faible chez Realtek ou directement via Windows Update.

De son côté, Geekom a invoqué la déesse de l'effet Streisand en demandant à VideoCardz de retirer son article mais VideoCardz a dit non évidemment...

Source : PCWorld

Faire tourner un modèle en local sur un Mac, c'est réglé depuis un moment. Ce qui l'est moins par contre, c'est de brancher un agent de code dessus, parce qu'à chaque reprise de session, le serveur doit malheureusement remouliner des dizaines de milliers de tokens de contexte avant de sortir le premier mot...

Ce calcul, ça s'appelle le cache KV, et la plupart des serveurs le gardent en mémoire. Du coup, quand le modèle se décharge, le cache part avec dans le grand vide...

C'est pourquoi oMLX a pris le parti d'écrire ce cache sur le disque, au format safetensors, car le contexte déjà envoyé une fois, prompt système et fichiers lus compris, se recharge depuis le SSD au lieu d'être recalculé, y compris après un redémarrage du serveur.

De son côté, LM Studio conserve lui aussi son cache MLX sur disque , mais dans un fichier temporaire qu'il efface quand le modèle se décharge. Les deux outils écrivent sur le disque, mais un seul conserve réellement son cache.

Côté raccordement, le serveur oMLX expose l'API OpenAI et l'API Anthropic ce qui permet par exemple à Claude Code de taper directement sur localhost. Et y'a même un tableau de bord qui nous dit quoi faire dans le terminal pour brancher Claude Code ou d'autres avec oMLX.

Sur oMLX, le cache disque est donc actif d'office et son plafond par défaut, parce qu'il en faut bien un, se calcule à 10 % de la capacité du disque qui l'héberge. Sur un SSD d'un téraoctet par exemple, ça fait cent gigaoctets qui peuvent partir en cache sans que personne n'ait rien demandé. Donc prévoyez un peu de place... Après rassurez-vous, ça se vide d'un clic sur un bouton dans le tableau de bord et la taille peut se régler.

Le deuxième piège est plus sournois puisqu'une installation par défaut via pip ne compile pas les kernels Metal, et les modèles GLM-5.2, MiniMax M3 et Qwen3.5 retombent alors sans prévenir sur un chemin générique... Donc je vous incite fortement à utiliser uniquement les DMG proposés qui contiennent déjà les kernels Metal compilés comme il faut.

Reste à savoir ce que ça donne vraiment dans un usage quotidien... Le cache attaque l'attente avant le premier mot mais pas la vitesse à laquelle les mots sortent ensuite donc tout dépend du modèle et de la machine que vous avez. Mais en tout cas, pour un usage avec des agents (coding par exemple), ce sera plus efficace d'utiliser oMLX que Ollama ou LMStudio.

Source : omlx.ai

-- Article en partenariat avec Surfshark --

Vous recevez combien de SMS pourris par jour ? Moi, j'en ai tellement que mon téléphone vibre plus pour des arnaques que pour mes potes. "Votre colis est bloqué, cliquez ici" ... j'ai rien commandé. "Urgent : votre compte bancaire va être suspendu" ... j'ai pas de compte chez eux. "Bravo, vous avez gagné un iPhone" ... oui, et moi je suis le pape (après ça veut dire que je pourrai renommer la papamobile en korbenmobile, ça claque).

Aux USA, les gens se prenaient en moyenne 19,2 milliards de SMS spam par mois fin 2023. C'est près de trois fois plus qu'en 2021. Et ces conneries ne font qu'augmenter. Les escrocs ont compris une chose simple : on regarde nos SMS. On les ouvre. On clique. Et bim, votre compte est vide, votre identité est volée, et vous êtes bon pour passer trois jours au téléphone avec votre banque.

Surfshark a visiblement eu la même révélation que nous, sauf qu'eux, ils ont décidé de faire quelque chose. Depuis quelques jours ils ont lancé la Scam Text Protection. Une fonctionnalité qui utilise l'IA pour analyser vos SMS entrants en temps réel et détecter les arnaques avant que nous ne cliquions comme des débiles sur le lien.

Comment ça marche, cette magie ?

En gros, l'outil scanne chaque SMS qui arrive sur votre téléphone. Il cherche les URLs dangereuses, les numéros d'expéditeurs suspects, et les patterns de social engineering. "Agissez vite", "votre colis est bloqué", "virement suspect détecté" & co, l'IA connaît le script.

Sur iOS c'est efficace mais assez brutal (trop ?) : le message suspect est automatiquement déplacé dans le dossier Spam de l'app Messages. Vous ne recevez même pas de notification. C'est comme si le SMS n'avait jamais existé. Pas de tentation, pas de clic, pas de problème.

Sur Android, c'est un peu plus transparent. Vous recevez une alerte de Surfshark qui vous prévient qu'un scam a été détecté. Vous cliquez sur la notif, et le message s'ouvre dans un environnement contrôlé, directement dans l'app Surfshark. Vous pouvez le lire sans risque, sans déclencher de lien malveillant par accident.

Et pour les Américains, il y a même un dashboard in-app qui estime combien d'argent vous avez économisé en évitant chaque arnaque (qui apparaitra sûrement chez nous un jour). C'est un gros gadget inutile, mais ça fait plaisir de voir "1 250$ sauvés" à la place d'un virement frauduleux. Bon, après c'est juste pour se la raconter un peu parce que c'est pas comme si vous seriez tombé dans le panneau à chaque arnaque (enfin j'espère pas pour vous).

Le smishing, c'est 35% du phishing mondial

Oui, vous avez bien lu. 35% de toutes les tentatives de phishing passent maintenant par SMS. On appelle ça le smishing (contraction de SMS et phishing), parce que les cybercriminels adorent les mots à la con.

Alors que la cybersécurité traditionnelle se concentre sur les malwares et le piratage, les arnaques modernes ciblent de plus en plus le comportement humain via des techniques d'ingénierie sociale qui exploitent la confiance, le sentiment d'urgence et les données personnelles exposées. Les arnaques sophistiquées par SMS sont très difficiles à repérer, surtout lorsqu'elles ne comportent aucune erreur facilement identifiable. L'outil est donc conçu pour détecter ces erreurs ou ces patterns suspects afin d'éviter toute interaction avec des acteurs malveillants.

Et le truc rassurant, parce que je sais que vous allez me demander si Surfshark lit tous vos SMS pour les vendre à Facebook, c'est que Surfshark promet que la fonctionnalité ne conserve pas vos messages, ne surveille pas votre téléphone en général, et n'utilise pas vos données privées pour entraîner ses modèles d'IA. On attendra un audit indépendant pour valider ça bien sûr, mais jusqu'ici le requin a toujours montré patte nageoire blanche.

Pour l'instant la Scam Text Protection est disponible pour les abonnés Surfshark One et Surfshark One+ . Si vous êtes sur le plan VPN de base, il va falloir upgrader, et ça tombe plutôt bien en ce moment, mais j'y reviens dans deux minutes.

Et pendant ce temps, Surfshark Search passe à la trappe

Mais dans la vie, quand une porte s'ouvre, une autre se ferme. Début août 2025, Surfshark a annoncé qu'il arrêtait Surfshark Search, son moteur de recherche privé intégré. La raison ? Personne ne s'en servait.

Surfshark a été honnête dans son annonce : "Search adoption stayed limited to a very small share of our users". Bref, c'était le cancre de la classe. Alors ils ont décidé de couper l'herbe sous le pied de ce truc pour se concentrer sur ce que les gens utilisent vraiment : le VPN, l'antivirus, la protection contre les scams et la protection d'identité. Surfshark justifie ça par une philosophie simple qui est que chaque fonctionnalité doit mériter sa place en vous protégeant. Si personne ne l'utilise, elle dégage. C'est un peu cruel, mais c'est pragmatique.

Le calendrier de disparition est assez simple puisque sur iOS et Android c'est déjà supprimé. Pour la version desktop et les extensions navigateur, vous avez jusqu'à la fin 2026 pour dire au revoir.

R.I.P.

Si vous utilisiez Surfshark Search comme moteur par défaut, il va falloir migrer. Les alternatives classiques sont DuckDuckGo , Brave Search ou Startpage . C'est dommage, parce qu'un moteur de recherche privé sans pubs et sans trackers, c'était une bonne idée. Mais face à l'hégémonie des moteurs grand public et des chatbots IA, un moteur de recherche intégré dans une app VPN, c'était un peu mission impossible.

Ce que ça dit de la stratégie de Surfshark

En vrai, ce double mouvement est très révélateur. Surfshark arrête un produit secondaire (Search) pour renforcer son cœur de métier et ajouter une fonctionnalité qui répond à un besoin immédiat et massif (la protection SMS). C'est de la consolidation intelligente et je trouve que l'échange est équitable (mais bon, j'utilisais pas trop leur search donc ...).

Le VPN reste le cœur du business. Mais Surfshark se transforme progressivement en une plateforme de sécurité multi-produits. VPN, antivirus, protection d'identité (Alert), suppression de données (Incogni) et maintenant protection anti-scam par SMS. Ils ne veulent plus être "juste" un VPN. Ils veulent être votre bouclier numérique global.

Et voilà les deux minutes que je vous avais promises, on va parler pognon. Du 17 août au 7 septembre, Surfshark lance son opération de fin d'été et le deal est simple : le plan One sur 24 mois passe au tarif du plan Starter, soit 2,49 € par mois au lieu de 2,79 €. Autrement dit, la suite complète (VPN, antivirus, bloqueur de pubs et le reste, Scam Text Protection comprise donc) vous coûte exactement le même prix que le VPN tout seul.

C'est relayé chez eux un peu partout, sur la page Deals, la page d'accueil et la grille tarifaire, et même si vous partez sur un Starter, on vous proposera de basculer sur le One au moment de payer. Bref, à ce tarif-là, prendre le plan de base n'a plus vraiment de sens, et ça garde à Surfshark sa très bonne place dans mon classement des meilleurs VPN du moment .

Si vous êtes comme moi et que vous en avez marre de recevoir trois SMS de merde par jour vous demandant de "confirmer votre identité" pour un colis que vous n'avez jamais commandé, cette fonctionnalité est une bénédiction. Surtout que ça fonctionne en arrière-plan, sans que vous ayez à devenir un expert en cybersécurité pour distinguer un vrai SMS de votre banque d'une arnaque.

Dans le doute, ne cliquez jamais sur un lien dans un SMS. Et si vous avez Surfshark One, laissez l'IA faire le tri à votre place.

=> Je profite de l'offre Surfshark avant la rentrée !

Trois chercheurs de l'université du Massachusetts à Amherst ont réussi à régler pour 3,19 dollars d'achats dans un supermarché avec une carte bancaire périmée !

Leur secret ?

Glisser une app maison entre la carte et le terminal qui trafique la date d'expiration de la carte.

En fait, leur montage relaie les échanges NFC et modifie au passage un champ que personne ne protège : la date d'expiration lue par le terminal. Leur papier s'appelle Zombie Cards Back Online , et a été présenté à USENIX Security 2026.

La mécanique tient en réalité à une bizarrerie du réseau Visa. Une carte annonce sa date d'expiration à deux endroits différents, et sur le kernel Visa, la date que le terminal consulte pour ses contrôles locaux n'est reliée à aucune signature. La banque, elle, regarde l'autre. Les deux devraient être liées cryptographiquement mais elles ne le sont pas.

Pire, ce kernel transmet à la banque un TVR entièrement à zéro. Le TVR, c'est le champ qui raconte ce que le terminal a vérifié et ce qui a coincé. Rempli de zéros, il ne raconte plus rien, du coup, la banque autorise une transaction sans savoir que les contrôles d'en face ont été contournés.

Reste que la portée est plus étroite que le tour de force le laisse croire. Sur cinq banques américaines testées, une seule a validé l'opération de bout en bout dans des conditions de laboratoire, permettant de payer jusqu'à 500 dollars. Une autre a laissé passer le terminal puis refusé côté banque. De leur côté, les kernels Mastercard, American Express et Discover, eux, ont rejeté les modifications.

Il faut aussi avoir la carte expirée à portée de NFC, et que la banque ait réémis la nouvelle avec le même numéro de compte, ce que les auteurs décrivent comme une pratique d'émetteurs américains.

Bref, c'est pas si simple et tous les essais ont eu lieu aux États-Unis donc rien ne dit non plus ce que ça donnerait sur un terminal français, où le sans contact plafonne de toute façon à 50 euros par paiement, 150 euros cumulés et 5 opérations avant que ça ne réclame le code. Puis de toute façon, le numéro de CB change intégralement à chaque renouvellement de carte, donc bon...

Six ans plus tôt, l'équipe de David Basin publiait The EMV Standard: Break, Fix, Verify , une application Android en relais sur du Visa sans contact, ce qui permettait de payer sans saisir de code. C'est vrai que les failles du paiement sans contact ne datent pas d'hier mais ce qui est neuf ici, c'est cette histoire de faiblesse au niveau de la date d'expiration.

Voilà, comme d'hab, Visa a été prévenu en mai 2025, relancé en décembre mais ni Visa ni les banques n'ont annoncé le moindre correctif pour le moment...

Source

Hier, je suis tombé sur ce tweet :

Kuber, un développeur de 19 ans a demandé à Claude Code, de lui pondre un pilote pour sa vieille imprimante pour macOS. Et visiblement, ça a intéressé pas mal de monde puisque le tweet a fait +3 millions de vues.

Il a ensuite publié le dépôt sur Github et la transcription complète de la session. Et ce que ça raconte c'est surtout un bras de fer avec macOS, et un montage bidouillesque au possible qui finit par tenir sur une machine virtuelle Linux et un daemon root.

Pour la petite histoire, son imprimante est une HP Laser 1008a. C'est en réalité une Samsung rebrandée car HP a racheté la division impression de Samsung , il y a une dizaine d'années. Et ces machines parlent un langage un peu niche qui est le SPL3. C'est un langage maison qui n'est ni du PostScript ni du PCL standard. Et comme vous vous en doutez, HP n'a jamais sorti de pilote macOS pour cette gamme. Donc officiellement, cette imprimante ne peut pas imprimer depuis un Mac.

La mission a donc consisté à recompiler SpliX, un pilote libre qui parle le SPL3 et à se battre avec macOS pour qu'il puisse causer via l'interface USB de l'imprimante déclarée en IPP-over-USB. Il a fallu ensuite ruser en mettant en place une VM Linux afin de faire tourner h24 un codec de HP uniquement dispo sous Linux. Et voilà ! La file d'impression envoie le travail sur un port local, un daemon root le récupère, le fait passer par le codec dans cette VM, et écrit le résultat directement sur l'USB.

Bref, ça marche et ça imprime maintenant depuis n'importe quelle application.

Alors vous l'aurez compris, ce n'est pas vraiment un dev de pilote pour macOS mais plutôt une espèce d'assemblage de différents éléments pour la plupart libres, afin de réussir à imprimer sous macOS avec ce modèle d'imprimante. Mais ce qui est intéressant, c'est que le mainteneur de SpliX a débarqué sur le dépôt de Kuber avec une archive de fichiers de test et une série de questions. Cela veut dire que si lui et Kuber trouvent l'octet qui diffère, la VM Linux et le daemon root vont disparaître et il ne restera plus qu'un paquet tout ce qu'il y a de plus classique à installer.

Voilà c'est finalement la seule partie de l'histoire où on répare vraiment quelque chose. Mais ça reste quand même une belle histoire où l'IA permet de s'affranchir des limites techniques imposées par les fabricants et éditeurs de logiciels. Et ça, moi j'adore !

Source : le fil de Kuber sur X , avec la transcription intégrale de la session et le dépôt du projet .

En mai 1996, sur le forum Usenet consacré à Quake , des joueurs prenaient déjà les paris... Le jeu n'était pas sorti, le CD non plus, et la question qui tournait en boucle à l'époque c'était : combien de temps tiendrait la protection anti-copie du jeu ? Certains misaient deux semaines après la sortie, d'autres 5 jours maximum...

De son côté, id Software s'apprêtait à presser son shareware sur un disque mais Quake n'occupait que 22 Mo des 640 disponibles. Du gâchis de place ? Pas vraiment puisque le reste du CD a été rempli avec tout le catalogue maison. Des jeux complets en versions chiffrées, c'est-à-dire plusieurs DOOM, Final Doom, Hexen, Heretic qu'on déverrouillait par téléphone...

Source

Le CD est finalement sorti le 30 août 1996 et le concept était bien pensé, sur le papier en tout cas... Le programme affichait un nombre de onze chiffres, les Américains appelaient le 1-800-ID-GAMES, un opérateur encaissait la thune et donnait en échange un numéro de déverrouillage à retaper. Le premier nombre changeait à chaque lancement et tournait toutes les 5 minutes, précisément pour qu'un code ne puisse pas servir deux fois.

Mais le 8 octobre suivant, coup de tonnerre ! Le groupe GNOMON sortait QCRACK.EXE pour faire tout sauter ! Ça n'aura pris que 39 jours !

source

Ce qu'ils avaient compris, c'est que le numéro donné au téléphone ne contenait aucun secret. Il attestait simplement du paiement et de rien d'autre. Le programme livré sur le CD savait fabriquer ce numéro tout seul à partir de celui qu'il venait lui-même d'afficher, et son seul travail consistait donc à comparer les deux.

Toute la protection tenait, comme souvent, dans le fait que personne n'était censé regarder comment ça fonctionnait.

Source

Toutefois, ce mécanisme de vente n'était pas vraiment une bourde d'id Software. Eux n'étaient que les clients de TestDrive Corp, qui vendait cette solution brevetée .

Et ce brevet expliquait très précieusement comment ça fonctionnait... Le poste de l'utilisateur produit un numéro, l'opérateur distant le valide et renvoie un code d'activation, et c'est le poste de l'utilisateur qui vérifie ce code. Le brevet va même jusqu'à donner son exemple, à savoir un numéro dont les chiffres totalisent 10, et un code de retour dont les chiffres totalisent 15.

La faille était donc déposée à l'office des brevets quatre ans avant que le CD arrive en rayon.

Le reste raconte quand même une fin de production difficile. La base qui associe chaque jeu à son identifiant contenait également une faute de casse sur Final Doom, "Final" au lieu de "final", ce qui envoyait la génération du code chercher le mauvais fichier. Résultat, le client qui appelait et payait pour Final Doom n'arrivait pas à le déverrouiller.

Alors que le pirate, lui, y arrivait à tous les coups !

Et si je vous raconte tout ça c'est surtout parce que Fabien Sanglard s'est amusé à redémonter le CD-Rom cet été , et qu'il y a aussi trouvé de jolies surprises comme une version en clair de cette base posée juste à côté de sa version chiffrée + des fichiers temporaires et des sauvegardes d'éditeur oubliés au pressage.

Je vous invite vraiment à lire son analyse, c'est super intéressant !

Source : PC Gamer

Alors ça c'est cool ! NVIDIA vient d'ajouter Firefox à la liste des navigateurs autorisés à faire tourner GeForce NOW. Un ordi, un onglet, et plus de 2 000 jeux PC se lancent maintenant en streaming sans qu'un seul octet du jeu n'arrive sur votre disque.

C'est tout le concept du service de cloud gaming de NVIDIA avec une machine RTX chez eux, et une image qui arrive chez vous. Comme ça, votre ordinateur ne fait plus que décoder une vidéo sans rien installer ni avoir une grosse carte graphique.

Après GeForce NOW c'est un peu différent de Xbox Cloud puisque ça permet de jouer aux jeux que vous avez acheté. Ce n'est pas un catalogue imposé en accès libre. GeForce NOW se connecte à vos comptes Steam, Epic Games Store, GOG, Xbox PC Game Pass et Ubisoft Connect, puis ouvre la bibliothèque que vous avez déjà payée.

Firefox de son côté garde en plus ses habitudes de navigateur. Comme ça vous pouvez laisser un appel Discord dans le Split View, le walkthrough du jeu dans un autre onglet, et vous basculez en plein écran quand la partie démarre. Plus besoin de basculer sur ce navigateur de faible qu'est Chrome quand l'envie vous prend de jouer ^^.

Mozilla annonce jusqu'à 1440p et jusqu'à 120 images par seconde, et précise que ce plafond est réservé aux abonnés Ultimate. En dessous, le palier Performance donne aussi du 1440p mais s'arrête à 60 fps. Ce qu'Ultimate achète vraiment par contre, c'est la fluidité, l'accès aux machines RTX 5080 et les files d'attente les plus courtes.

L'autre compteur est plus embêtant je trouve puisque les abonnements Performance et Ultimate sont plafonnés à 100 heures de jeu par mois, dont jusqu'à 15 heures non consommées qui peuvent basculer sur le mois suivant. Ça laisse un peu plus de trois heures par jour quand même, mais ce n'est plus vraiment illimité.

Reste un problème, je trouve dans cette annonce : ça ne concerne que Windows uniquement. Firefox sur macOS et sur Linux n'est pas concerné, et personne n'a encore dit si ça viendrait... Snif... Après, les joueurs Linux, eux, ont leur client natif GeForce NOW , enfin sorti de bêta donc ça compense un peu mais quand même...

Pour essayer, mettez Firefox à jour, allez sur play.geforcenow.com et connectez-vous. De son côté, NVIDIA promet d'en dire plus à la Gamescom le 25 août prochain.

Source : blog Mozilla

Je viens d'apprendre qu'une carte Nvidia normalement dédiée au minage de cryptomonnaies, vendue avec 8 Go de mémoire en expose aujourd'hui 64 Go, sans que rien n'ait été remplacé ou soudé dessus... C'est ça la magie de Nvidia, la mémoire était bien là depuis le début, mais était juste maintenue en sommeil par le firmware.

Cette carte, la CMP 170HX est sortie il y a 5 ans pour miner de l'Ethereum. Elle est bâtie sur le GA100, le même silicium 7 nm que l'accélérateur A100 que Nvidia vend aujourd'hui autour de 3 500 dollars en version 40 Go. Et la mémoire HBM2e qu'on y trouve est physiquement présente sur la carte, quoi qu'affiche la fiche technique. Alors certes, débrider une carte Nvidia par logiciel n'a rien de neuf puisqu'on transformait déjà des GeForce en Quadro en 2013.

Mais cette fois, le déverrouillage exploite un bug de chargement de signature dans le BootROM du Falcon, le microcontrôleur de sécurité qui garde le démarrage de la puce. Et ce dernier se fait grâce à un outil nommé cmpunlocker , publié sous licence GPL.

Si vous voulez vous lancer, il vous faudra du Linux x86-64, un accès root et le pilote libre nvidia-open en version 610.43.0x. Votre carte 8 Go passera ainsi à 64 Go, une carte 10 Go à 40 Go, et les unités de calcul bridées reviendront naturellement avec. Et surtout, ce patch survit au redémarrage !

Le PCIe, lui, ne se déverrouille qu'à moitié. Passer de Gen1 à Gen2 est logiciel, mais la largeur reste coincée à quatre lignes parce que Nvidia a laissé 24 condensateurs de couplage vides sur le circuit imprimé. Aller au-delà du x4 veut donc dire les souder à la main et ça c'est pas donné à tout le monde.

Reste que ça donne environ 1 Go/s vers la carte. À titre d'exemple, un utilisateur du forum développeurs de Nvidia a réussi à charger un modèle 70B quantifié en une quarantaine de secondes, contre une dizaine avec la modification matérielle et le Gen2 x16. Pour de l'inférence sur une seule carte, ce goulot ne se paie donc qu'au chargement.

Le même utilisateur mesure un taux de 27,3 tokens par seconde en décodage sur un modèle Qwen2.5-72B, pour 150 à 180 watts, et explique que lors de ses tests, le GPU a réclamé un reset autour de 95% d'occupation mémoire, sur de très grandes fenêtres de contexte. Rien de gênant donc. Deux réserves par contre, et elles ne sont pas décoratives.... La première c'est que l' ECC figure toujours dans la liste des problèmes non résolus du projet, avec le NVLink et le PCIe Gen4, alors que c'est précisément le mécanisme qui pourrait nous dire si la mémoire déverrouillée tient dans la durée. Et la seconde, c'est que le palier des 80 Go a été testé, mais rejeté car instable.

Sur la question qui fâche maintenant, à savoir celle du silicium mis au rebut qui serait bridé car défectueux, ValdikSS, dans un fil sur Hacker News , écrit n'avoir trouvé jusqu'ici aucune carte dont la RAM soit réellement défectueuse. Le bridage ressemble donc à de la segmentation commerciale plus qu'à du recyclage de puces ratées, mais pour le moment, personne n'a fait tourner ces 64 Go assez longtemps pour le prouver.

Reste le prix... La 170HX se trouvait peu de temps avant ça, autour de 250 dollars sur eBay mais depuis que l'exploit circule, elle dépasse les 1 000 $... Bref, le verrou a sauté, et le prix est en train d'exploser !

Source : Tom's Hardware