Autoblog de korben.info

Ce site n'est pas le site officiel de korben.info
C'est un blog automatisé qui réplique les articles de korben.info

Votre enceinte USB peut être piratée par un voisin

Sat, 06 Jun 2026 20:26:02 +0200 - (source)

Un chercheur en sécurité a réussi à prendre le contrôle d'un ordinateur en passant par une simple enceinte branchée en USB, à distance, et sans jamais s'approcher de la machine.

L'appareil en question est la Sound Blaster Katana V2X, une barre de son vendue autour de 280 euros par Creative Technologies, le fabricant singapourien d'accessoires audio bien connu des joueurs. Elle se branche aussi bien sur un PC, un Mac ou un Linux, en USB comme en Bluetooth. Je la connais d'ailleurs plutôt bien, puisque je l'ai testée sur Mac4ever .

Rasmus Moorats, un chercheur, est tombé sur la faille un peu par hasard. Il voulait juste écrire un petit logiciel Linux pour piloter son enceinte, et il a découvert un protocole maison de Creative qui permet d'envoyer des commandes à l'appareil, comme changer la couleur des LED ou régler l'égaliseur.

Sauf que voilà : son téléphone en Bluetooth a pu se connecter à l'enceinte, elle-même reliée à un PC en USB, sans aucune authentification et sans même avoir été appairé au préalable. Et parmi les commandes disponibles, il y en avait une intitulée "envoyer un nouveau micrologiciel à l'appareil".

Le micrologiciel, c'est le programme interne qui fait tourner l'enceinte. Normalement, un appareil refuse d'installer un programme qui n'est pas signé par son fabricant, un peu comme un coffre qui n'accepterait que la clé d'origine. Là, rien de tout ça : Moorats a pu remplacer le firmware officiel par le sien, sans la moindre vérification.

Sa première démonstration est assez simple, avec le mot "patched" affiché sur l'écran LED de l'enceinte. Puis il s'est demandé jusqu'où on pouvait pousser le bouchon.

Et la réponse fait un peu froid dans le dos. L'enceinte sait se présenter à l'ordinateur comme un périphérique d'interface humaine, la catégorie qui regroupe les claviers, les souris et les webcams. Moorats a modifié cette carte d'identité USB pour que l'enceinte se déclare aussi comme un clavier, puis lui a fait taper des touches toute seule.

En enchaînant le tout, il a pu, totalement à distance et par les airs, envoyer son firmware piégé à une enceinte qu'il n'avait jamais appairée, la faire redémarrer, puis lui faire taper une commande et l'exécuter sur le PC. Dans un vrai scénario d'attaque, ce serait l'ouverture du terminal de commandes de Windows et le collage d'une ligne malveillante.

Pire encore : un attaquant pourrait au passage désactiver la mise à jour du micrologiciel, ce qui rendrait son code impossible à effacer. Et le Bluetooth de l'enceinte reste allumé en permanence, même en veille, sans aucun moyen de le couper.

Il y a quand même une limite de taille. L'attaquant doit se trouver à portée Bluetooth de l'enceinte. On parle donc d'un voisin, d'un colocataire ou d'un bureau mitoyen, pas d'un pirate à l'autre bout du monde.

Moorats a prévenu Creative, sans réponse, puis a fait intervenir le CERT de Singapour, l'agence publique qui gère les alertes de sécurité. Le fabricant a fini par répondre que ses ingénieurs ne considèrent pas ce comportement comme une faille. Aucun correctif n'est donc prévu.

Le seul vrai garde-fou aujourd'hui, c'est un correctif publié par des bidouilleurs de la communauté. Quand un fabricant vous explique qu'un clavier fantôme piloté par le voisin n'est pas un problème, c'est quand même un peu gênant.

Source : ARS Technica


VoxDrop 1.1 - Le moteur vocal d'Apple est devenu mon préféré

Sat, 06 Jun 2026 20:08:48 +0200 - (source)

VoxDrop , ma petite app de dictée vocale qui tourne 100% en local sur Mac, passe en version 1.1. Et le gros morceau de cette release, c'est le grand ménage que j'ai fait dans les moteurs de reconnaissance vocale.

Le nouveau venu, c'est donc le moteur d'Apple intégré à macOS 26. Il ne pèse rien à télécharger (0 Mo car il est carrément intégré au système), il gère une tonne de langues et il transcrit quasi en temps réel. Perso, c'est devenu mon préféré et je dicte avec tous les jours depuis des jours ! Seul hic, attention, faudra macOS 26, donc si vous êtes encore sous Sequoia, celui-là vous passera sous le nez.

Du coup j'ai viré Voxtral et Qwen, dont le gain n'était pas dingue, et j'ai mis du lourd à la place : Canary 1B de NVIDIA (le grand frère de Parakeet) et Cohere Transcribe. Ces deux-là squattent le haut du classement des meilleurs modèles de reconnaissance vocale, côté précision donc vous êtes servis !

Le principe, lui, ne bouge pas, vous appuyez sur votre raccourci (⌥+Espace par défaut), vous parlez, et hop, le texte arrive directement là où se trouve votre curseur. Et maintenant, VoxDrop sait aussi transcrire vos fichiers audio ET vidéo par simple glisser-déposer, sur la fenêtre ou sur l'icône dans la barre de menu et identifie même les locuteurs (qui parle, et quand) dans vos enregistrements.

Maintenant, oui, je sais, c'est un outil uniquement macOS parce que j'exploite au maximum les capacités de l'OS d'Apple (CoreML, MLX...etc) pour vous proposer l'expérience la plus rapide qui soit en termes de Speech To Text. Je pourrais porter VoxDrop sous Linux et Windows mais je ne ferais pas mieux que d'autres outils comme Murmure ou Handy qui font très bien le job sur ces OS.

J'ai codé cet outil parce que j'étais frustré par les autres apps que je trouvais peu réactives et là je m'en sers tous les jours, notamment pour dicter mes emails, mes articles et discuter avec Claude Code. C'est instantané et ça me fait gagner un temps de dingue !

VoxDrop peut aussi reformuler ou traduire votre texte en local toujours via Apple Intelligence, en plus du modèle de traduction maison déjà embarqué depuis la version précédente (TranslateGemma). Et j'ai rajouté tous les petits trucs qui changent la vie, comme la suppression automatique des « euh » et autres hésitations pour avoir un texte propre, et j'ai mis aussi le fonctionnement capot fermé du MacBook quand vous bossez sur un écran externe ainsi qu'un dictionnaire de substitutions qui corrige les variantes de vos termes, et un démarrage plus rapide grâce au préchargement du moteur.

Encore une fois, la perf sur cet outil c'est mon obsession.

J'ai aussi corrigé pas mal de bricoles que vous m'aviez remontées, l'espace parasite en début de phrase, le support des AirPods, les raccourcis clavier qui déconnaient et plein de petits gains de stabilité.

Comme pour la version précédente , VoxDrop reste réservé à mes abonnés Patreon. Alors pourquoi pas sur l'App Store ou en open source ? Parce que les deux, c'est un job à plein temps, c'est gérer des clients et du SAV d'un côté, des pull requests et des contributeurs de l'autre. J'ai pas le temps, et franchement pas l'envie.

Je code des outils pour moi depuis l'époque de RockXP, depuis le début des années 2000 et j'en ai profité l'année dernière pour mettre au point un système de licence Patreon maison que j'implémente dans tous mes outils. Comme ça, je développe ce qui me plaît quand je veux pour moi, et ceux qui me soutiennent y ont aussi accès directement, sans pub, ni intermédiaire. C'est un genre de bonus pour mes Patreons quoi...

D'ailleurs, VoxDrop n'est pas mon seul joujou du genre, y'a aussi Evapor8 qui efface le watermark des images générées par Gemini, sous la même licence. Mais ça, je vous en reparle très vite !

Bref, si vous êtes déjà sur mon Patreon , la 1.1 vous attend. Et sinon, vous savez quoi faire. 🙏

Ps : Je mets à jour le site de VoxDrop prochainement, et je vais aussi modifier le nom de l'app car depuis que je l'ai sortie en 2025, y'a eu des copycats qui sont arrivés avec le même nom donc je vais changer ça rapidement pour leur couper l'herbe sous le pied.


Test de ce chargeur 65W, avec sa taille ridicule qui n’a aucun sens

Fri, 05 Jun 2026 17:17:53 +0200 - (source)
- Contient des liens affiliés Amazon -

Tellement de produits UGREEN passent entre mes mains que c'en est devenu une blague. Plus j'en kiffe un, plus ils m'en envoient un autre. Et à chaque fois, je craque pareil. Mais là je dois avouer que sur celui-là je suis complètement en phase (mais vous le savez, j'adore les chargeurs ha ha).

Le petit dernier donc, c'est ce Nexode Air 65W , qui m'a eu avant même que je le branche. Juste en le sortant du carton. Il est minuscule.

À côté du chargeur Apple 30W, celui qu'on connaît tous, la comparaison fait mal. Non seulement le UGREEN est minuscule à côté, mais il crache deux fois plus de watts. Mon Belkin 45W ? Même encombrement, et lui plafonne 20W plus bas. Et quand je le pose près d'un vieux UGREEN 65W d'il y a deux ou trois ans, on voit bien les progrès sur ce genre de produits.

Screenshot

Le tour de magie porte un nom, vous le connaissez, c'est le GaN, pour nitrure de gallium, un matériau qui pique peu à peu la place du bon vieux silicium dans nos chargeurs et qui permet de faire tenir beaucoup de puissance dans un tout petit boîtier sans que ça chauffe comme un radiateur. UGREEN sert sa recette maison sous le nom de GaNInfinity, annonce un rendement dans les 93% et un format réduit de presque trois quarts face à un 65W d'ancienne école, et de toutes manières plus réduit que les chargeurs GaN d'il y a quelques années.

Dans la vraie vie, ces 65W encaissent tout. L'iPhone qui repart d'à plat aux deux tiers en une demi-heure. Le MacBook Air qui passe la moitié dans le même temps. Le MacBook Pro qui se recharge sans mal. Franchement rien à dire, et sans chauffe problématique.

Il parle au passage tous les dialectes de la charge rapide, du Power Delivery au PPS, garde un oeil sur sa température et dose le courant pour épargner les batteries. On ne le voit pas, on ne le sent pas, mais c'est ça, un bon chargeur.

Bonus appréciable, le câble USB-C de 100W est fourni dans la boîte, tressé, donné pour 10 000 pliages. C'est con mais ça se fait rare.

Du coup il a élu domicile dans ma pochette et n'en bouge plus. Je le préfère même au modèle 45W d'Anker et son petit écran , parce que sur un truc grand comme un briquet, l'écran, je ne vois pas forcément l'intérêt (même s'il est très chou).

Reste le prix. Autour de 35 euros, avec plein de choix de couleurs, et 28 euros en ce moment si vous pensez à cocher le coupon sur Amazon .

Bref, microscopique, costaud, à 28 balles. Pour qui voyage léger, c'est 100% validé !


Il projette au plafond, en temps réel, tous les avions qui passent au-dessus de sa maison

Fri, 05 Jun 2026 16:35:40 +0200 - (source)

Un développeur qui se fait appeler cpaczek a eu une idée un peu folle, celle de transformer le plafond de son salon en fenêtre sur le ciel. Son projet, baptisé Skylight, affiche en temps réel chaque avion qui passe réellement au-dessus de chez lui, à l'endroit exact où il se trouve dans le ciel.

Tout part de l'ADS-B (Automatic Dependent Surveillance-Broadcast), la norme par laquelle les avions diffusent en continu leur position, leur altitude et leur identité depuis un transpondeur embarqué, des signaux que n'importe qui peut capter chez soi.

Et le matériel, justement, tient en trois pièces. Une clé radio USB à une trentaine d'euros, la RTL-SDR Blog V4, attrape les signaux. Un Raspberry Pi 5 (un petit ordinateur de la taille d'une carte bancaire, qu'on ne vous présente plus) les décode. Un vidéoprojecteur à ultra-courte focale, braqué vers le plafond, affiche le résultat.

Résultat au plafond, les avions glissent à soixante images par seconde, chacun coiffé d'une icône qui change selon le modèle d'appareil et flanqué de son code de vol, de sa destination et de sa trajectoire complète vers la piste visée. On dirait des rayons X braqués sur le toit. C'est hypnotique.

Mais Skylight va plus loin que les seuls avions. Derrière chaque appareil, le logiciel reconstitue le ciel réel de l'instant, avec le soleil, la lune et sa phase du jour, les étoiles brillantes et les constellations dessinées à leur position véritable pour vos coordonnées et l'heure qu'il est. Les satellites aussi. La Station spatiale internationale traverse le plafond au moment précis où elle vous survole pour de vrai.

Et tout ça reste abordable. Comptez moins de quatre cents dollars pour l'installation complète, sans forcément investir dans un projecteur laser, puisqu'un simple modèle LED 1080p suffit dès lors que la pièce est sombre.

Le projet est libre, sous licence MIT, code ouvert sur GitHub . Sous le capot s'empilent dump1090-fa de FlightAware pour décoder les ondes captées, la base adsbdb pour retrouver la destination de chaque vol et les éphémérides de Celestrak pour les satellites, le tout affiché par une interface en TypeScript et React que vous pilotez depuis un téléphone connecté au même réseau. La portée par défaut tourne autour de cinq kilomètres.

Franchement, voir défiler au-dessus de soi les avions qu'on entend sans jamais les voir, c'est le genre de projet inutile et magnifique que j'adore.

Source : Tom's Hardware , Reddit


Rsync, le logiciel de sauvegarde culte sous Linux, mis à jour avec de l'IA et ça déclenche une vraie colère

Fri, 05 Jun 2026 14:16:53 +0200 - (source)

rsync vient de sortir sa version 3.4.3, un correctif censé boucher plusieurs trous de sécurité. Sauf que pour une partie des utilisateurs, leurs sauvegardes incrémentales se sont mises à mal fonctionner juste après la mise à jour.

En fouillant le code, certains ont remarqué un détail qui ne leur a pas plu. Depuis la version 3.4.1, des dizaines de modifications (des "commits", les unités de changement de code) sont signées "tridge and claude". Comprendre Andrew Tridgell, le créateur historique de rsync, et Claude, l'assistant IA d'Anthropic, le concurrent direct d'OpenAI.

Pour situer, rsync est un outil de synchronisation et de sauvegarde de fichiers qui tourne sur les serveurs Unix et Linux depuis les années 90. Une brique discrète mais utilisée par d'innombrables entreprises, hébergeurs et services informatiques. Quand il déraille, ce sont des sauvegardes entières qui sautent.

D'où la réaction épidermique. Sur GitHub, la plateforme où vit le code source, quelqu'un a ouvert un message au titre sans équivoque, "Please Do Not Vibe Fuck Up This Software". En clair, prière de ne pas bousiller ce logiciel à coups de "vibe coding", cette mode qui consiste à confier des bouts de code à une IA et à faire confiance au résultat sans trop vérifier.

Tridgell a reconnu les régressions. Elles touchent surtout des configurations bien précises, le mode serveur avec l'option chroot désactivée, qu'il décrit comme des "cas d'usage valides mais inhabituels" que la suite de tests du projet ne couvrait tout simplement pas.

Sauf que voilà, il refuse l'étiquette du développeur qui aurait bâclé. "Je n'ai pas juste vibe-codé la conversion de la suite de tests en Python. Je suis un ingénieur logiciel avec 40 ans d'expérience", a-t-il écrit dans un billet intitulé "rsync and outrage".

Concrètement, l'IA a surtout servi à réécrire la vieille batterie de tests, jusque-là en scripts shell, vers le langage Python, pour pouvoir mieux vérifier la sécurité du code. Un travail de fond fastidieux.

Tridgell affirme avoir conçu lui-même l'architecture du nouveau système, utilisé Claude mais aussi Codex d'OpenAI et Gemini de Google pour abattre le gros du débroussaillage répétitif, puis relu et validé chaque ligne produite à la main.

Et il n'a aucune intention d'arrêter. Une version 3.4.4 pourrait corriger les régressions, à moins qu'il ne passe directement à la 3.5, plus ambitieuse côté sécurité. Avec les mêmes outils IA.

Au passage, il rappelle un truc que les mainteneurs de logiciels libres vivent au quotidien, ils croulent sous les signalements de failles de sécurité, dont une bonne partie sont eux-mêmes pondus par des IA. L'IA crée la charge et propose dans la foulée de la résorber.

Source : The Register


Anthropic - L'entreprise éthique qui hacke pour la NSA

Fri, 05 Jun 2026 11:11:11 +0200 - (source)

Anthropic, c'est la boite qui nous rabâche le plus les oreilles avec l'importance de l'éthique dans les IA. Sauf que d'après le Financial Times, la société a "discrètement" embarqué une demi-douzaine d'ingénieurs environ au cœur de la NSA. Et leur job, c'est d'aider l'agence à manier Mythos, son modèle capable de dénicher et d'exploiter des failles informatiques quasiment tout seul. Voilà... Du 100% en mode offensif quoi...

Petit rappel sur Mythos , parce que cette bêbête vaut le détour... Ce modèle est conçu pour dénicher des vulnérabilités zero-day en quelques heures, pour quelques dizaines de dollars la tentative, sur à peu près tous les OS, logiciels et navigateurs du marché. Il a même débusqué un bug vieux de 27 ans dans OpenBSD, un système pourtant réputé pour sa sécurité béton. Anthropic l'a d'ailleurs jugé tellement balèze qu'au départ, la boîte le présentait comme trop dangereux pour être rendu public, l'intégrant côté défense via son projet Glasswing imaginé pour trouver les failles avant les méchants, quoi.

Mais selon le Financial Times, qui cite une source proche du dossier, Mythos servirait surtout à s'infiltrer dans les réseaux de pays comme la Chine ou l'Iran.

Ce qui est fou c'est qu'Anthropic, en parallèle, est en plein procès contre le Pentagone car la boîte avait posé 2 lignes rouges : pas de surveillance de masse des citoyens américains, et pas de drones tueurs autonomes. Le ministère de la Défense l'a alors carrément étiquetée « **risque pour la chaîne d'approvisionnement **», une première pour une entreprise américaine. Anthropic a donc porté plainte et file en parallèle un coup de main à la NSA pour aller hacker Pékin. Paye ta cohérence !

Et le plus dingue, c'est que vous avez déjà vu ce film...

Mais siiiii, souvenez-vous... En 2013, je vous parlais déjà de la fameuse unité TAO de la NSA, ces hackers qui exploitaient des failles à la main pour poser leurs mouchards dans des centaines de systèmes répartis sur des dizaines de pays. Et bien 13 ans plus tard, le boulot de toute cette équipe d'élite est maintenant réalisable par un modèle qui bosse en autonomie et pour le prix d'un resto ! Ahahaha. Même logique que Palantir , sauf que l'outil a appris à coder.

Et Anthropic n'est pas seul sur ce terrain puisqu'OpenAI a sorti dans la foulée un modèle aux capacités similaires. Bref, toute l'industrie de l'IA US est en train de basculer full patate côté sécurité nationale, avec les gros contrats qui vont avec.

Voilà, on n'a pas fini de rigoler niveau cybersécu...

Source


Ce clone de Game Boy tournait trop vite, un seul composant a tout réglé

Fri, 05 Jun 2026 10:47:24 +0200 - (source)

Il existe une catégorie d'objets qu'on achète sur un coup de tête, qu'on déballe avec enthousiasme, et qu'on range au fond d'un tiroir une demi-heure plus tard parce qu'ils sont tout bonnement inutilisables. La GB Boy de Sharopolis appartenait pile à cette catégorie. Commandée sur AliExpress il y a des années, puis oubliée.

Le principe de cette console portable est pourtant séduisant sur le papier, puisqu'elle reprend le design d'une Game Boy Pocket tout en acceptant les vraies cartouches d'origine, celles-là mêmes que vous avez peut-être encore dans une boîte à chaussures, au lieu de se contenter d'une puce bourrée de jeux pré-installés comme le font la plupart des clones chinois. Le fabricant, lui, répond au nom de Gangfeng.

Sauf qu'il y avait un gros défaut. Les jeux tournaient beaucoup trop vite. Pas juste un peu rapides, non, carrément accélérés au point que la musique partait en vrille, que les ennemis fonçaient à travers l'écran et que le moindre saut de Mario devenait un pari impossible à réussir. Injouable.

Pour remonter à la source du problème, Sharopolis a sorti le tournevis, ouvert la coque et méthodiquement comparé chaque composant de sa carte avec ceux qui équipent une vraie Game Boy Pocket signée Nintendo. Le coupable n'a pas mis longtemps à se montrer.

Il s'agit d'un petit quartz, repéré sous la référence X1 sur la carte. Ce composant joue le rôle d'horloge, c'est lui qui impose son tempo à toute la machine, exactement comme le métronome qui dicte la cadence à un orchestre entier et sans lequel chaque musicien jouerait dans son coin.

Et la valeur affichée n'était pas la bonne. Là où une Game Boy Pocket d'origine cadence son processeur à 4,194304 MHz, une fréquence d'une précision presque maniaque retenue par Nintendo à l'époque, la GB Boy embarquait pour sa part un quartz calé à 5 MHz tout rond. Près de 20 % d'écart. D'où cette sensation de jeu en avance rapide permanente.

Le reste de la carte, lui, force presque l'admiration tant il est dépouillé, avec une puce principale estampillée KF2001 chargée de reproduire à elle seule toute la logique interne d'une Game Boy, deux modestes puces de mémoire à ses côtés, et puis plus grand-chose. Le tout pour une console vendue une poignée d'euros.

La réparation, elle, tient en réalité à pas grand-chose. Sharopolis avait justement sous la main une bobine de cent résonateurs déjà calés sur la fréquence d'origine, alors il a dessoudé sans état d'âme le quartz à 5 MHz, posé un modèle correct à sa place, et regardé les jeux retrouver instantanément le rythme exact que Nintendo avait prévu pour eux il y a près de trente ans. Un composant. C'est tout ce qu'il aura fallu.

Enfin, presque. Parce qu'une fois la vitesse remise d'aplomb, un nouveau souci a pointé le bout de son nez, l'écran s'étant mis à scintiller d'une manière franchement pénible, et plusieurs habitués du fer à souder accusent déjà, dans les commentaires de la vidéo, les condensateurs bas de gamme soudés un peu partout sur la carte, ces pièces à quelques centimes qu'il faudrait remplacer une par une pour espérer enfin un affichage parfaitement stable. Mais bon, tout ne pouvait pas être si simple…

Source : Hackaday


Votre voiture peut devenir un objet connecté de plus dans votre maison

Fri, 05 Jun 2026 09:58:22 +0200 - (source)

Branchez un petit boîtier dans la prise de diagnostic de votre voiture, et celle-ci se met à remonter son niveau de carburant, sa température moteur ou la pression de ses pneus directement dans votre système domotique, au même titre qu'une ampoule connectée ou un thermostat.

C'est la démonstration faite par un vidéaste connu sous le nom de The Stock Pot, repérée par Maya Posch sur Hackaday. L'idée, c'est de faire dialoguer une auto avec Home Assistant, le logiciel open source qui centralise tous les objets connectés d'une maison.

Le matériel tient dans la main. Il s'agit d'un dongle WiCAN, un boîtier basé sur la puce ESP32-S3, fabriqué par la petite société australienne MeatPi. Cette ESP32, c'est une puce Wi-Fi minuscule et bon marché qu'on retrouve dans une foule d'objets connectés faits maison.

Vous le branchez sur le port OBD-II, cette prise normalisée présente sur toutes les voitures vendues depuis le début des années 2000, celle que le garagiste utilise pour lire les codes défaut. Le boîtier s'allume tout seul dès que la voiture est sous tension.

Ensuite, il se configure en Wi-Fi exactement comme n'importe quel objet connecté, et rejoint votre réseau domestique. Rien de sorcier. À partir de là, Home Assistant le voit comme un appareil parmi les autres.

Pour dire ça plus simplement, vous pouvez suivre depuis votre téléphone le niveau du réservoir, l'intervalle avant la prochaine révision, la température du liquide de refroidissement ou encore la pression des pneus, et récupérer au passage les alertes moteur et batterie. De quoi savoir si l'auto a assez d'essence avant même de descendre dans le garage.

Le firmware WiCAN est open source et disponible sur GitHub, et The Stock Pot a partagé sa propre configuration au format YAML, le fichier texte qui décrit à Home Assistant quoi afficher et comment.

Sauf que voilà, ce n'est pas vraiment du plug-and-play. Chaque constructeur range les données à sa façon dans le calculateur de la voiture, ce qui passe par le CAN bus, le réseau interne par lequel tous les ordinateurs de bord se parlent. Du coup, il faut un réglage spécifique à chaque modèle, comme le précise d'ailleurs la documentation officielle de MeatPi.

Le dongle ne se limite pas à Home Assistant. Il fait aussi le pont vers MQTT, un protocole de messagerie léger très utilisé en domotique, et sait alimenter des applis comme RealDash pour fabriquer des tableaux de bord sur mesure. Il passe même en veille sous le milliampère quand la tension chute, histoire de ne pas vider la batterie pendant que la voiture dort. Pas mal comme idée non ?

Source : Hackaday


Vos données de navigation appartiennent-elles encore à quelqu'un ?

Fri, 05 Jun 2026 07:00:21 +0200 - (source)
-- Article en partenariat avec Surfshark --

Posez la question à votre fournisseur d'accès internet. Orange, Free, Bouygues, SFR (ah non, RIP petit opérateur partit trop tôt) vous répondront poliment qu'ils respectent la loi. Et c'est vrai. La Loi de programmation militaire (LPM) en France, impose depuis plus de 10 ans aux FAI de conserver certaines métadonnées de connexion pendant un an.

Ce n'est pas le contenu de vos échanges. Pas vos emails, pas vos messages, pas ce que vous téléchargez. Mais assez d'informations pour reconstituer une carte détaillée de votre vie numérique. Quand vous vous connectez, depuis où, vers quels serveurs, pendant combien de temps.

Ce n'est pas une théorie du complot. C'est le cadre légal actuel. Et si cela ne vous dérange pas, tant mieux. Mais si l'idée que vos trajets numériques soient archivés par défaut vous interroge, il existe des moyens de reprendre la main. Un VPN comme Surfshark en fait partie, pas comme solution magique, mais comme outil de réduction de surface d'exposition.

Ce que votre FAI voit réellement

Quand vous naviguez sans protection, votre fournisseur d'accès a une vue directe sur votre trafic. Il ne lit pas nécessairement le contenu, grâce au chiffrement HTTPS, mais il observe les métadonnées :

  • Les adresses IP des serveurs que vous contactez
  • Les horaires et durées de vos sessions
  • Le volume de données échangées
  • Votre adresse IP publique, donc votre localisation approximative

L'air de rien ces informations, combinées, permettent pas mal de ciblage. Vos habitudes de sommeil, vos centres d'intérêt, vos relations professionnelles, voire vos opinions politiques. Pas besoin d'accéder au contenu pour dresser un profil comportemental précis.

La conservation légale de ces métadonnées vise officiellement la lutte contre le terrorisme et la criminalité organisée. Sauf qu'une fois stockées, ces données deviennent exploitables pour des réquisitions judiciaires, demandes administratives ou fuites accidentelles (et on voit chaque semaine le niveau des leaks made in hexagone). Plus il y a de copies, plus le risque augmente.

Ce qui change quand vous ajoutez un VPN

Activer un VPN comme Surfshark modifie fondamentalement ce que votre FAI peut observer. Votre trafic est chiffré entre votre appareil et le serveur VPN. Votre FAI voit toujours que vous êtes connecté, et il voit le volume de données échangées. Mais il ne voit plus les destinations finales. Tout transite vers une seule adresse IP, celle du serveur Surfshark.

Concrètement, au lieu de savoir que vous avez consulté tel site de santé, tel forum politique ou telle plateforme de signalement à telle heure, votre FAI constate uniquement une connexion chiffrée vers un serveur VPN. Le reste lui est invisible. La question se déplace et devient "faites-vous confiance à Surfshark plutôt qu'à votre FAI ?" C'est un choix conscient, pas une délégation aveugle. Et plusieurs éléments techniques permettent d'évaluer ce choix.

Les garde-fous techniques de Surfshark

La politique no-logs de Surfshark n'est pas une simple déclaration. Elle a été auditée à deux reprises par Deloitte (en 2024 et 2025), son infrastructure par SecuRing (en 2026), son protocole Dausos par Cure53 (2026), etc. Les rapports sont publics et détaillent les méthodes de vérification de l'inspection de l'infrastructure, à l'analyse du code client en passant par la revue des processus internes.

Autre point important, la majorité des serveurs Surfshark fonctionnent en mode RAM-only. Aucune donnée ne persiste sur disque. En cas de saisie physique d'un serveur ou d'intrusion, il n'y a tout simplement rien à récupérer. C'est du hardening au sens littéral.

La juridiction compte aussi. Surfshark est basé aux Pays-Bas, un pays membre de l'Union européenne, mais avec un cadre légal distinct de la France. Les réquisitions françaises ne s'appliquent pas automatiquement. Cela ne rend pas le service immunisé, disons que cela ajoute une couche de complexité juridique qui peut dissuader certaines demandes (probablement pas beaucoup, mais bon).

Le chiffrement utilisé (AES-256-GCM ou ChaCha20 selon l'appareil) protège le contenu du trafic contre l'interception. Le Kill Switch, en mode strict, coupe toute connexion si le tunnel VPN tombe, évitant les fuites accidentelles d'IP. La protection contre les fuites DNS et WebRTC empêche que votre véritable adresse ne filtre via des canaux secondaires.

Et Dausos dans tout ça ?

Surfshark a récemment développé son propre protocole, Dausos, et cette évolution touche directement la question de la souveraineté des données. Dausos fonctionne avec des tunnels dédiés par utilisateur, contrairement aux architectures classiques qui mutualisent le trafic de plusieurs sessions sur les mêmes canaux. Cette isolation réduit les risques de corrélation croisée. Même en cas d'analyse poussée des logs serveur, il devient plus difficile de relier des activités entre différents utilisateurs partageant la même infrastructure.

Le protocole utilise également AEGIS-256X2 pour le chiffrement, un algorithme moderne optimisé pour les processeurs récents. En plus d'offrir de meilleures performances, il maintient un niveau de sécurité équivalent aux standards actuels tout en étant conçu pour résister à certaines attaques cryptanalytiques avancées.

Autre élément notable, ce nouveau protocole intègre nativement une résistance post-quantique. Cela signifie que même si des acteurs stockent aujourd'hui votre trafic chiffré en attendant de pouvoir le déchiffrer demain avec un ordinateur quantique, cette stratégie devient beaucoup moins rentable. Vos métadonnées restent protégées sur le long terme.

Enfin, Dausos adapte dynamiquement ses paramètres selon la qualité du réseau. Si vous passez d'un Wi-Fi stable à une connexion mobile instable, le protocole ajuste son comportement pour maintenir le tunnel sans interruption. Cela évite les micro-coupures qui pourraient exposer temporairement votre trafic réel. Dausos est actuellement disponible en bêta sur macOS via l'App Store, avec un déploiement progressif prévu sur les autres plateformes.

Les limites à garder en tête

Utiliser un VPN ne vous rend pas invisible. Cela déplace le point de confiance. Votre FAI ne voit plus vos destinations, mais le fournisseur VPN, lui, pourrait théoriquement les observer. C'est précisément pour cette raison que la politique no-logs et ses audits indépendants sont essentiels. Si le fournisseur ne conserve rien, même sous contrainte légale, il n'y a pas de données à divulguer.

Une autre limite est que le VPN ne protège que le trafic qui transite par lui. Si vous vous connectez à un service en étant déjà authentifié (compte Google, réseau social), ce service continue de tracer votre activité, indépendamment du VPN. La protection réseau ne remplace pas une hygiène de compte rigoureuse. Enfin, la performance peut être impactée. Surfshark minimise cet effet grâce à WireGuard et encore plus via Dausos, mais un détour par un serveur VPN ajoute inévitablement un peu de latence. C'est le prix de la confidentialité.

Mettre en pratique

Si vous décidez d'utiliser Surfshark pour renforcer votre souveraineté numérique, quelques réglages méritent attention. Activez le Kill Switch en mode strict. Cela garantit qu'aucune donnée ne sort de votre appareil sans être chiffrée par le tunnel VPN.

Vérifiez l'absence de fuites DNS. Surfshark propose ses propres résolveurs DNS chiffrés, mais un test ponctuel via un outil comme dnsleaktest.com permet de confirmer que tout transite bien par le tunnel. Si vous êtes sur macOS, testez Dausos dans les paramètres de protocole. L'isolation des tunnels et l'adaptation dynamique peuvent apporter un bénéfice tangible, surtout sur des réseaux variables.

Enfin, documentez votre configuration. Notez les serveurs que vous utilisez, les protocoles activés, et la procédure de secours. La sécurité ne vaut que si elle est reproductible.

Et quand vous partez en voyage ?

Il y a un autre cas d'usage qui revient souvent quand on parle VPN et que je trouve assez sous-estimé, c'est le voyage. Vous partez en vacances ou en déplacement pro à l'étranger, et là, surprise, votre abonnement Netflix vous propose un catalogue complètement différent. Votre playlist Spotify perd des morceaux. Votre replay France TV refuse carrément de se lancer. Et ce documentaire Arte que vous vouliez finir dans le train ? Pas disponible.

Ce n'est pas un bug, c'est juste la géolocalisation par IP qui fait son boulot. Les plateformes déterminent ce qu'elles vous montrent en fonction du pays depuis lequel vous vous connectez, à cause des accords de licence régionaux. Sauf que vous, vous payez déjà votre abonnement en France, et l'idée de ne plus pouvoir regarder vos propres contenus parce que vous avez traversé une frontière, c'est franchement frustrant.

Connecter Surfshark à un serveur français pendant que vous êtes à l'étranger résout ce souci. Vos applis vous voient comme si vous étiez à la maison, votre catalogue habituel revient, et vous continuez à profiter de ce pour quoi vous payez déjà. Bonus non négligeable, le tunnel chiffré vous protège aussi des Wi-Fi d'hôtel et d'aéroport, qui ne sont franchement pas réputés pour leur hygiène réseau.

Petit rappel quand même, les VPN sont légaux dans la plupart des pays, mais utiliser un VPN pour accéder à un service en dehors de sa zone de licence peut enfreindre les conditions d'utilisation de la plateforme. Donc on reste sur l'usage "mes contenus, mon abonnement, juste en voyage", et on ne s'amuse pas à aller piocher dans les catalogues étrangers où on n'a pas les droits.

Mon point de vue

Je ne vois pas le VPN comme une solution absolue, c'est un outil de réduction de risque. En déplaçant la confiance de votre FAI vers un fournisseur qui affirme ne rien conserver, et qui le prouve par des audits publics, vous changez l'équation. Ce qui me convainc chez Surfshark, c'est la transparence sur ce qui est vérifiable. Pas de promesses vagues, pas de "we take privacy seriously" générique. Des rapports d'audit, des spécifications techniques, des explications claires sur les limites. Pour certains, ce compromis vaut le coup. Pour d'autres, non. L'important est de décider en connaissance de cause. Pas par défaut. Pas par peur. Mais par choix réfléchi.

L'arrivée de Dausos montre que l'éditeur n'attend pas que les standards évoluent pour adapter son offre. Développer un protocole maison, avec des choix techniques assumés comme les tunnels dédiés ou le chiffrement AEGIS, c'est prendre le contrôle sur la pile technique plutôt que de subir les contraintes des solutions génériques.

Est-ce que cela suffit à garantir une souveraineté totale ? Non. Mais cela réduit significativement la quantité de données exploitables stockées par des tiers, même légaux. Et dans un contexte où la conservation par défaut devient la norme, c'est déjà un levier d'action concret. La souveraineté des données ne se décrète pas. Elle se construit par des choix techniques conscients. Utiliser un VPN n'efface pas le cadre légal de conservation des métadonnées. Mais cela rend ce cadre moins opérant pour tracer vos activités spécifiques.

L'offre du moment

Côté tarif, Surfshark reste l'un des plus agressifs du marché : 2,4€ par mois (TTC) sur un engagement de 24 mois, trois mois offerts en plus (du coup le prix tombe à 2,13€ environ), et une garantie de remboursement d'un mois pour tester sans risque.

Le tout avec une couverture illimitée d'appareils, ce qui carrément intéressant si vous avez plusieurs terminaux à protéger dans la famille.

Profitez de l'offre Surfshark !

Ce lien est affilié. Cela n'impacte ni le prix que vous payez ni mon opinion sur le service. Mais cela participe au financement de ce site, en alternative aux régies publicitaires intrusives.


Libinput corrige une faille qui transformait une fausse manette en accès root

Thu, 04 Jun 2026 14:59:04 +0200 - (source)

La bibliothèque libinput est passée en version 1.31.2, et pas pour ajouter des fonctions, mais pour boucher un trou de sécurité plutôt vilain. C'est elle qui gère vos périphériques d'entrée (clavier, souris, pavé tactile, manette) sur la quasi-totalité des Linux modernes, aussi bien sous Wayland que sous l'ancien serveur graphique X.Org.

Autant dire qu'elle tourne sur presque toutes les machines de bureau sous Linux, des plus grand public aux plus pointues.

Le problème permettait d'exécuter du code arbitraire avec les droits root, c'est-à-dire les pleins pouvoirs sur le système. Et tout ça en passant par un détail qu'on n'imagine pas dangereux, le nom physique d'un faux périphérique.

Sur Linux, n'importe quel logiciel peut fabriquer un périphérique virtuel via deux interfaces du noyau, uinput et uhid. Pour les regrouper, libinput s'appuie sur udev, le composant qui détecte et configure tout ce qu'on branche sur la machine.

Et c'est là que ça coince. Un attaquant pouvait créer un appareil bidon dont l'attribut PHYS, le chemin physique du matériel, contenait un simple retour à la ligne. Du coup, udev lisait cette unique valeur comme deux lignes séparées, donc deux paires clé-valeur, dont une totalement injectée par l'attaquant.

Cette ligne injectée suffisait à détourner le comportement de udev et, au bout de la chaîne, à faire tourner la commande de son choix en root. Une injection par saut de ligne. Bête, mais redoutable.

Reste une nuance importante. Fabriquer un tel périphérique demande normalement les droits root, ce qui limite déjà beaucoup le danger. Sauf que certaines règles udev personnalisées ouvrent la porte aux utilisateurs normaux.

L'exemple cité est parlant. Installer le paquet "steam-devices" sur Fedora, ce que fait n'importe quel joueur pour que ses manettes soient correctement reconnues, suffit à exposer la faille à toute personne connectée à la session. Un geste parfaitement banal, donc.

La faille a été repérée par un chercheur surnommé Csome, et Peter Hutterer, le mainteneur historique de libinput, a publié le correctif dans la 1.31.2. La marche à suivre tient en une ligne, mettre à jour dès que votre distribution pousse le paquet.

Une faille root planquée dans le nom d'une fausse manette, déclenchée par un paquet aussi anodin que celui de Steam, ça a quand même quelque chose de franchement pénible.

Source : Phoronix


Powered by VroumVroumBlog 0.1.31 - RSS Feed
Download config articles