cg a écrit 1708 commentaires

Pourtant: "Espressif will provide a fix that removes access to these HCI debug commands through a software patch for currently supported ESP-IDF versions".

En ce jour de marche contre les discriminations, il faut aussi se montrer tolérant.

8 Mo de mémoire vive

8 Go :)

Dommage de ne pas mettre les ports RJ45 en 10Gps.

J'ai vu ça sur Mastodon, ça m'a fait rire:

Les switchs qui gèrent les VLANs ne sont pas rares, ils sont simplement un peu plus chers, et rarement en matériel/logiciel libre. C'est dommage pour le OpenWRT One, il y aura peut-être une version 4 ports ou 8 ports si le marché existe.

Pour la petite histoire, j'avais un petit routeur TP-Link avec Wifi et 5 ports Ethernet (1 WAN, 4 LAN), configurés sur des zones différentes, et au moment du boot, avant que OpenWRT charge la config, les 5 ports étaient UP sur la même zone, bonjour la salade niveau DHCP entre la Freebox et le réseau interne ! Pendant ces quelques secondes, j'avais parfois un ordi en interne qui avait le temps de prendre l'IP publique de la Freebox, qui était normalement destinée au routeur OpenWRT. Ça plaide plutôt pour avoir du matériel qui bloque les ports tant que la config n'est pas chargée :).

Dans cet article de l'EFF (Lire à partir de But unfortunately, the authors fail to apply), il est décrit la technique proposée, qui certes heurte les exigences de sécurité numériques (souvent fondées sur la confiance à un tiers), mais permet de contourner les lois mathématiques qui régissent la cryptographie.

Pour résumer, il s'agit de convertir une conversation de un-à-un en une conversation de groupe, et d'avoir un participant invisible, tout en masquant (par un mensonge) cette conversion.

C'est arrivé à l'entreprise Lavabit plusieurs fois. Le patron a fini par fermer l'entreprise car il trouvait cette pratique contraire à l'esprit du service qui était rendu.

D'ailleurs, c'est hyper bien expliqué dans cette article du blog technique d'Espressif : ESP32 Undocumented Bluetooth Commands: Clearing the Air.

Les choses sont posées à plat, mais, désolé, je peine à être convaincu par les arguments, qui sont :

• Tout le monde fait ça.
• Ce n'est pas si risqué.
• C'est surtout risqué dans un mode qui n'est pas trop utilisé.

Bref, j'aurai préféré une réponse comme "déso, on aurait du désactiver ces commandes de debug juste après les contrôles qualité en sortie de chaîne de fabrication, voici un correctif".

C'est l'occasion de découvrir le Circuit bending :).

Et pourquoi pas même, le guide pour la version 12.3 ?

Quel document en effet. Merci du journal !

J'adore dans la partie 3 section Poursuite de la réalisation, la description de la procédure de test : "le positionnement [de fils d'or] n'est pas simple (les plots sur la "puce" mesurent: 120µ sur 120µ!!"¹, avec des mignons dessins, ça m'a rappelé des souvenirs de bancs de test sur du CMS :).

Aussi, il semble y avoir deux liens cassés vers des images ici :
partie 1, section 3.C Paramètres électriques de cette technologie.

En mettant le processus "client" dans une boucle (depuis un script shell par exemple), tu peux le relancer quand il s'arrête, par exemple.

Il existe peut-être aussi des versions de netcat qui ont des options de reconnexion ?

L'équipement est certifié conforme (avec son marquage CE) dans un contexte hardware/firmware précis

Je ne m'étais jamais dit que la certification concernait aussi le firmware, c'est un très bon argument. Merci !

Ton parallèle est vraiment bien trouvé. C'est un peu comme si tu avais mis en place des couches d'abstraction et un MAC, et que d'un coup, tu découvres qu'un gbd dans un container Docker permet de lire et d'écrire dans la RAM du kernel hôte tout en contournant tranquillement SELinux.

Bien sûr, dans le cas de ces puces, il s'agit de couches bien plus simples, pour lesquelles les couches d'abstractions sont rarement respectées, donc dans beaucoup de cas, ça ne change rien.

Ce qui me chagrine, c'est qu'il semble que ce soit l'état de l'art dans ce genre de composant ("nan mais tout le monde le fait"), et je me permet de trouver ça un peu moisi :).

Je me base sur l'analyse dans l'article de "dark mentor" mentionné par Benoît. Il y est expliqué entre autres que ça affaibli les fonctions comme Secureboot, par exemple.

Attendons quelques semaines pour voir si une attaque sympa voit le jour :).

Déjà c'est super chouette que Espressif fasse une réponse. Cette réponse se veut rassurante, et est l'est partiellement.

Toutefois elle confirme que ces commandes devraient être désactivées au moment du passage en production :

Internal Debug Commands: These commands are meant for use by developers and are not accessible remotely. […] Espressif will still provide a software fix to remove these undocumented commands.

Peut-être que ce sera fait via un fusible matériel dans de futures puces ?

Mais aussi :

Having such private commands is not an uncommon practice.

Et là, ça en dit long sur l'état de l'Internet des objets :-/ … Laisser disponible des commandes permettant de contourner des niveaux de sécurité est donc courant… mais est-ce souhaitable pour autant ?

Petition pour renommer __init__ en __boa__ pour pouvoir les appeler des boas constructeurs (la blague est mieux meilleure en Anglais).

En résumé, l'intention importe peu : si des commandes "cachées" permettent d'abuser des fonctions prévues par le composant, alors elles seront découvertes et seront abusées.

Ce genre de commande pourraient être neutralisées par un fusible interne après les phases de test de qualité du composant.

Pour confirmer ton argument : j'ai vu Python utilisé aussi dans des labos au CEA pour piloter des expériences de recherche en physique quantique. Python n'est pas spécialement temps réel, il s'agit d'un moyen simple pour des chercheuses et des chercheurs qui ne sont pas forcément des brutes en programmation de mettre au point leurs expériences. Derrière, il y a du R, du C, et des matériels très précis.

Il faut garder en tête que Python est un héritage de ABC, un langage simple pour apprendre à programmer. C'est une des raisons de sa popularité.

Si tu parles d'entrées dans le menu UEFI, tu peux aller voir dans /boot/efi/ et supprimer ce qui ne te sers pas. Sur certaines distributions, il faut monter manuellement cette partition (par exemple avec mount -o rw /boot/efi).

Si tu parles d'entrées dans le menu Grub, update-grub devrait suffire.

Python en production, ça peut le faire pour de petites applications. Mais dès que ça monte en charge, ou que l'application devient complexe, Python ne tient plus.

Mais je pense aussi que le problème de python, c'est que la plupart de ceux qui en font ne sont pas formés à ça et se retrouvent à développer du code pourri, qui certes a l'air de fonctionner, mais qui est difficile à maintenir ou se trouve lent à l'exécution parce que les gens qui ont développés ne se sont pas posés de questions.

Tu peux faire la même généralité¹ pour PHP, c'est peut-être vrai mais au final peu important. Pourquoi ? Car la majorité des sites Internet n'ont pas besoin d'être hyper-performants ni de pouvoir monter en charge.

Malgré que ce soit un langage pour crétins décrié par les sachant·es, PHP fait tourner 80% des sites Internet dynamiques (dont une bonne proportion est Wordpress, un CMS à la réputation de bloatware scandaleux).

Les 20% des sites qui doivent être performants concentrent probablement plus de 90% du trafic. Et ces sites à forte charge ou chaque seconde de pages vues vaut des fortunes, ont besoin de code rapide et propre, en Go, Rust, .NET ou que sais-je, avec des CDN et des bases de données rapides. Et pour cette minorité de services, nous sommes d'accord.

J'ai acheté un smartphone d'occasion il y a un an (un iPhone SE première génération à 70€) pour pouvoir m'inscrire à ce service et valider un dossier de formation. J'étais un peu pressé, et cette formation était importante pour moi. Et pour répondre à la question de départ, ça a été assez simple et rapide - probablement le principal avantage d'être sur une plateforme fermée comme iOS.

J'en ai profité pour régler la question du gestionnaire de mots de passe et du TOTP quand je ne suis pas chez moi, avec les applis BitWarden.

Depuis, j'utilise ce téléphone, 10 minutes par jour selon l'appli "temps d'écran". À ma grande surprise, je suis super discipliné et, agrément inattendu, j'ai un plaisir indicible à envoyer balader les personnes qui me demandent d'installer WhatsApp :).

Je ne sais pas si tu connais mais il existe une commande interne, un builtin, nommé help.

Jusqu'à la lecture de ton message, je passais un temps fou à chercher le bon endroit dans la très longue page de man de bash, pour vérifier les options de commandes comme set ou read.

Alors mille mercis !

Super, merci ! Et bien vu, c'est en effet FiraCode dans QTerminal. Certaines ligatures sont très belles.

Merci ! Et donc la doc de [ se trouve dans la page de manuel de test.

Truc marrant d'ailleurs, sur un terminal dans une VM Kali Linux, je regarde la page de man de test, et je vois des opérateurs comme ≠, ≥ et ≤. Je me dis tiens c'est moderne dis-donc, tiens (dis-donc).

Et en passant le curseur dessus, et bien le ≠ se change en !=, et le ≥ en >=. Je n'avais jamais vu ça avant, c'est le terminal qui interprète les séquences. Je ne sais pas trop si j'aime ça dans le cadre de lecture de doc sur la syntaxe d'un commande, mais ça m'a intrigué :p.