Apparemment, la faille d'Ubiquiti a été causé par le même salarié qui a « lancé l'alerte ». Il a profité de sa situation pour accéder et exfiltrer des données, tout en ayant diminué les capacités d'investigation interne : il a raccourci la durée de conservation des journaux, et a fait partie de l'équipe d'investigation interne.
Il a quand même demandé 2 fois 25 Bitcoin à son employeur, qu'il n'a pas eu.
Il s'est fait chopé en partie à cause d'interruptions de connexions de son ordinateur qui ont pu être reliées à des interruptions d'exfiltration.
Le premier, c'est une capture d'écran, la source, non modifiée, 391k.
Le deuxième c'est le fichier QOI, 530k.
Le troisième, c'est le QOI passé dans xz -9. 158k.
Le quatrième, c'est la source, passé dans zopflipng. 345k.
Le cinquième, c'est le zopfli passé dans xz -9, 326k.
Le sixième, c'est le .xz décompressé, même taille que le QOI, normal
Le septième, c'est le PNG obtenu à partir du QOI. J'ai bien vérifié, il est pixel perfect par rapport à l'original.
Donc. On. A. Un. Fichier. De. 158k.
La moitié de l'original. C'est quoi cette magie ? Je vais prendre le temps de tester partout.
Ça fait longtemps que je n'ai pas utilisé ça, mais honnêtement, Antidote, c'est pas non plus un logiciel qui doit utiliser des tonnes de points d'API non plus…
Bah… C'est justement le problème des répéteurs : un signal suffisamment puissant et une bonne antenne pour aller chercher le signal de la puce posée dans le panier de l'entrée de la maison, à 3m de la voiture garée dans l'allée.
Un bouton, ou même un contacteur, qui est effectivement très efficace et peu coûteux, ça évite de se faire voler sans effraction.
Mais oui, ça ne protège pas de tout quand même. Mais le NFC me posera toujours un problème tant qu'il sera impossible de savoir pour son propriétaire si la puce a communiqué quelque chose :
Carte à puce : au contact de broches après insertion par son propriétaire
Télécommande de voiture : appui sur un bouton par son propriétaire
NFC/RFID : lors de l'envoi d'un signal suffisamment puissant par le lecteur
Dans le dernier cas, ce n'est pas le propriétaire qui décide, mais le lecteur.
Peut-être qu'aucune n'était bloquée. N'empêche que ça dépend de l'usage des gens. Si 90% des conducteurs utilisent l'application et ont rangé leur carte RFID dans un placard de leur cave, l'effet est là : ils ne peuvent pas utiliser leur voiture brique.
Je reste toujours perplexe face au déverrouillage sans actionneur mécanique (c'est-à-dire de proximité comme la RFID), parce que les attaques par répéteur me semblent trop faciles… Alors que c'est vraiment compliqué de mettre un bouton sur une clé (ou carte) pour enclencher le dialogue de déverrouillage ?
Y a des contres-mesures qui existent pour les attaques par répéteur ?
Il me semble qu'écrire 5 à 7 ans de durée de vie pour des disques durs, c'est un peu trompeurs. Oui, c'est la durée de vie d'un disque en fonctionnement, mais là, on parle d'archivage, ce qui est complètement différent. La capsule d'ADN n'est pas faite pour faire de la lecture en continue. Le raisonnement est d'ailleurs valable pour les autres supports.
Par contre, OK, la densité est inégalée. Probablement inégalable avant un bon bout de temps également.
Bien que très bien écrit, cet article ne m'a servi à rien.
C'est pour ça que je l'ai bien aimé.
Je ne savais pas pourquoi il commençait, ni où il finirait, ni ce qu'il fallait réellement en retenir. Et ça m'a bien plu de me balader dans une lecture comme ça.
Ce n'est pas très clair, même sur le forum de Microsoft. Mais vu le partenariat, je dirais que ce n'est que pour l'Amérique du Nord.
Ce n'est pas une raison, je vois d'ailleurs beaucoup de réactions négatives et virulentes, mais j'ai envie de dire que si Microsoft à envie de s'enterrer après tout ces efforts, pour récolter 300k$ annuels (au doigt mouillé…), c'est leur problème.
Edge est déjà un mauvais navigateur. Il y a quelques bonnes idées (les onglets verticaux, j'aime bien), mais sinon, c'est fouillis à mort : favoris vs collections, extensions vs plugins n'est qu'un exemple.
Mais il y a sans doute aussi une partie du cout qui est la pour avoir un matelas et cacher le fait qu'il y a moins de pro que de particuliers, donc moins d'économie d'echelle. Ou simplement des assurances divers et variés coté Orange.
N'oublions pas la loi du marché : le tarif est adapté à la demande. Or, chez les professionnels, payer 60 € HT par mois, c'est souvent une goutte d'eau dans les frais professionnels. Difficile de connaître la rentabilité réelle du service, mais je ne doute pas un instant que c'est quand même plus cher parce que les clients peuvent le payer.
FTTH (via Kosc et Liazo)
jusqu'à 1 Gb/s (upload 250 Mb/s) FTTH K2 au prix de 66.00€ TTC d'installation puis 52.50€ TTC par mois Attention: Période d'engagement d'un an.
jusqu'à 300 Mb/s (upload 250 Mb/s) FTTH K2 au prix de 66.00€ TTC d'installation puis 48.30€ TTC par mois Attention: Période d'engagement d'un an.
Oui, c'est pas donné, mais c'est un vrai Internet. Et ils ont dû tellement en chier pour en arriver là, je leur tire mon chapeau bien bas.
Je réponds un peu tard, mais merci d'apporter la précision sur la différence avec l'existant.
Je me permets de dire que le ton n'était pas constructif, même le fond l'était.
Je viens de tester Inspectlet. Et j'ai dû décocher un peu toutes mes protections pour y accéder. Donc j'ai l'impression que c'est plutôt facile de s'en protéger (uBlock Origin, uMatrix pour les plus téméraires), alors qu'en général, les API des navigateurs ne sont pas débrayables.
Je vais dire qu'avec le nombre de gens qui se baladent avec le téléphone à plat devant leur bouche, j'ai l'impression que leur cerveau est plutôt protégé.
Je ne comprenais pas ce comportement jusqu'à ce que j'ai WhatsApp dans les mains : cette application ne permet pas d'utiliser le son du téléphone (sans haut parleur) lorsqu'un appel vidéo est en cours.
Bon, je sais que c'est pas évident, des fois, depuis son smartphone, on n'a pas le choix ;)
Ceci étant dit, oui, c'est intéressant. Parce qu'en vrai, téléphoner (voire écouter de la musique !) avec les écouteurs vendus, c'est pas vraiment une sinécure…
Alors… Oui, c'est bien que Edge soit dispo dans les distributions Linux. Mais Microsoft fait son petit nid tranquille.
Déjà, quand installe le .deb ou le .rpm, tranquille, lui, il s'ajoute automatiquement dans la liste des dépôts du système. Tranquille. Avec sa clé GPG et tout.
Qu'y voit-on ?
- Un choix de page d'accueil qui se résume entre : afficher n'importe quoi et afficher un peu moins n'importe quoi.
- Un dark pattern pour se connecter : pour refuser, la croix est moins visible que le gros bouton « Connectez-vous… ».
- La page d'accueil se charge, avec l'affichage du consentement, et disparaît automatiquement pour afficher le message de bienvenue, chargé donc sans consentement.
- Je reviens en arrière pour afficher le consentement : il n'y a qu'un bouton « J'accepte ». Non conforme à la RGPD.
- La liste des partenaires affiche plus de 600 partenaires (je les ai comptés dans un éditeur de texte), tous cochés par défaut. Non conforme à la RGPD.
- Par défaut, il y a une cloche de notifications avec un badge « 4 » marquées importantes. C'est très important (c'est de l'ironie, merci).
- Pour désactiver l'affichage des infos people inutiles, il faut chercher pendant 2 minutes, et cliquer sur des options non intuitives. Il est écrit « Contenu » dans les options, qui va faire disparaître la partie étiquetée « Mon flux ».
- La météo est toujours affichée.
J'ai pas tout filmé, c'est long.
Mon entreprise me force à utiliser Edge, puisqu'ils ont verrouillé les accès aux outils d'entreprise (Office 365) à Windows + Edge. Certains marchent en trichant (changement du User-Agent), mais d'autres, comme Teams, requièrent explicitement Edge.
La reconnaissance faciale sur photos, ça coûte cher, et ça rapporte peu d'argent. Et en plus, c'est mal vu, donc autant l'arrêter.
Le cœur de métier de Facebook et Meta, c'est de vendre des profils ciblés aux annonceurs. Et pour cela, tout est bon. Savoir que telle personne est un peu fatiguée aujourd'hui permettra de lui annoncer des p'tites pilules dynamisantes. Savoir qu'il a été en vacances avec sa famille et Tata Micheline, c'est probablement moins rentable.
Je sais que c'est de la sur-simplification, et de la rétro-analyse. Moi, ça me semble crédible.
En bref : les photos mises en ligne ne seront plus analysées pour y trouver les personnes se trouvant dessus.
Les anciennes données seront supprimées.
C'est assez nouveau de la part de Facebook d'aller dans ce sens-là, mais peut-être que le ratio bénéfice-risque n'est pas bon. Après tout, ça ne rapporte pas forcément grand-chose de savoir qui est sur la photo…
Je me suis posé la question aussi, mais d'après l'exemple, même si le souci est multiple, il vient surtout le problème des commentaires.
La plupart des langages de programmation utilise l'ASCII (globalement hein), ou en tout cas, l'alphabet latin, donc de gauche à droite.
Mais les gens, en commentaire, mettent ce qu'ils veulent : arabe, japonais, et j'en oublie, de droite à gauche. Donc, quelque part, il faut bien inverser le sens…
# La même brève en français
Posté par Glandos . En réponse au lien SiFive Details New Performance P650 RISC-V Core - phoronix. Évalué à 3.
https://www.inpact-hardware.com/article/2821/sifive-annonce-son-nouveau-cur-risc-v-performance-rv64gcb-p650
Rien de concret non plus, bien sûr ;)
# Résumé rapide
Posté par Glandos . En réponse au lien La faille d'Ubiquiti causée par le salarié lanceur d'alerte. Évalué à 5.
Apparemment, la faille d'Ubiquiti a été causé par le même salarié qui a « lancé l'alerte ». Il a profité de sa situation pour accéder et exfiltrer des données, tout en ayant diminué les capacités d'investigation interne : il a raccourci la durée de conservation des journaux, et a fait partie de l'équipe d'investigation interne.
Il a quand même demandé 2 fois 25 Bitcoin à son employeur, qu'il n'a pas eu.
Il s'est fait chopé en partie à cause d'interruptions de connexions de son ordinateur qui ont pu être reliées à des interruptions d'exfiltration.
[^] # Re: Sur le cul.
Posté par Glandos . En réponse au lien Lossless Image Compression in O(n) Time. Évalué à 2.
Je pourrais, mais là : c'est sans perte. Et zopflipng était ce qui se faisait de mieux jusque là.
# Sur le cul.
Posté par Glandos . En réponse au lien Lossless Image Compression in O(n) Time. Évalué à 4. Dernière modification le 25 novembre 2021 à 17:08.
J'aime beaucoup la compression, et donc j'ai testé.
Voici des fichiers :
Le premier, c'est une capture d'écran, la source, non modifiée, 391k.
Le deuxième c'est le fichier QOI, 530k.
Le troisième, c'est le QOI passé dans xz -9. 158k.
Le quatrième, c'est la source, passé dans zopflipng. 345k.
Le cinquième, c'est le zopfli passé dans xz -9, 326k.
Le sixième, c'est le .xz décompressé, même taille que le QOI, normal
Le septième, c'est le PNG obtenu à partir du QOI. J'ai bien vérifié, il est pixel perfect par rapport à l'original.
Donc. On. A. Un. Fichier. De. 158k.
La moitié de l'original. C'est quoi cette magie ? Je vais prendre le temps de tester partout.
# Wine
Posté par Glandos . En réponse au journal Fin du support Linux par Antidote. Évalué à 7.
Ça ne marcherait pas avec Wine ?
Ça fait longtemps que je n'ai pas utilisé ça, mais honnêtement, Antidote, c'est pas non plus un logiciel qui doit utiliser des tonnes de points d'API non plus…
En tout cas Antidote 2010 est compatible : https://appdb.winehq.org/objectManager.php?sClass=application&iId=12385
[^] # Re: La réalité : "toutes" --> "aucune"
Posté par Glandos . En réponse au lien Panne de de réseau : déverrouillage et démarrage de toutes les Tesla bloqué. Évalué à 4.
Bah… C'est justement le problème des répéteurs : un signal suffisamment puissant et une bonne antenne pour aller chercher le signal de la puce posée dans le panier de l'entrée de la maison, à 3m de la voiture garée dans l'allée.
Un bouton, ou même un contacteur, qui est effectivement très efficace et peu coûteux, ça évite de se faire voler sans effraction.
Mais oui, ça ne protège pas de tout quand même. Mais le NFC me posera toujours un problème tant qu'il sera impossible de savoir pour son propriétaire si la puce a communiqué quelque chose :
Dans le dernier cas, ce n'est pas le propriétaire qui décide, mais le lecteur.
[^] # Re: La réalité : "toutes" --> "aucune"
Posté par Glandos . En réponse au lien Panne de de réseau : déverrouillage et démarrage de toutes les Tesla bloqué. Évalué à 4.
Peut-être qu'aucune n'était bloquée. N'empêche que ça dépend de l'usage des gens. Si 90% des conducteurs utilisent l'application et ont rangé leur carte RFID dans un placard de leur cave, l'effet est là : ils ne peuvent pas utiliser leur
voiturebrique.Je reste toujours perplexe face au déverrouillage sans actionneur mécanique (c'est-à-dire de proximité comme la RFID), parce que les attaques par répéteur me semblent trop faciles… Alors que c'est vraiment compliqué de mettre un bouton sur une clé (ou carte) pour enclencher le dialogue de déverrouillage ?
Y a des contres-mesures qui existent pour les attaques par répéteur ?
# Durée de vie des disques durs
Posté par Glandos . En réponse au lien Stockage de données : la révolution sur ADN. Évalué à 4.
Il me semble qu'écrire 5 à 7 ans de durée de vie pour des disques durs, c'est un peu trompeurs. Oui, c'est la durée de vie d'un disque en fonctionnement, mais là, on parle d'archivage, ce qui est complètement différent. La capsule d'ADN n'est pas faite pour faire de la lecture en continue. Le raisonnement est d'ailleurs valable pour les autres supports.
Par contre, OK, la densité est inégalée. Probablement inégalable avant un bon bout de temps également.
# Appréciation paradoxale
Posté par Glandos . En réponse au journal Unknown Pleasures : un pulsar iconique. Évalué à 10.
Bien que très bien écrit, cet article ne m'a servi à rien.
C'est pour ça que je l'ai bien aimé.
Je ne savais pas pourquoi il commençait, ni où il finirait, ni ce qu'il fallait réellement en retenir. Et ça m'a bien plu de me balader dans une lecture comme ça.
Merci.
[^] # Re: Xeon 32Go / 2x2To à 17,99€ TTC
Posté par Glandos . En réponse au lien [Bon plan] Serveur Kimsufi "Black Friday". Évalué à 4.
Du coup, c'est un peu dommage d'avoir un /128 en IPv6 pour un Proxmox.
Ouiiiiiiiiii, je saiiiiiiiiiiiiis, je pinaiiiiiiiiiiille.
# USA Only?
Posté par Glandos . En réponse au lien MS Edge intégrera une application de crédit pour vos achats. Évalué à 6.
Ce n'est pas très clair, même sur le forum de Microsoft. Mais vu le partenariat, je dirais que ce n'est que pour l'Amérique du Nord.
Ce n'est pas une raison, je vois d'ailleurs beaucoup de réactions négatives et virulentes, mais j'ai envie de dire que si Microsoft à envie de s'enterrer après tout ces efforts, pour récolter 300k$ annuels (au doigt mouillé…), c'est leur problème.
Edge est déjà un mauvais navigateur. Il y a quelques bonnes idées (les onglets verticaux, j'aime bien), mais sinon, c'est fouillis à mort : favoris vs collections, extensions vs plugins n'est qu'un exemple.
[^] # Re: Et c'est possible sans Javascript
Posté par Glandos . En réponse au lien code.etalab.gouv.fr => code.gouv.fr. Évalué à 2.
Chez moi, tag.aticdn.net est bien bloqué et le site se charge.
Tu n'as peut-être pas de chance ?
[^] # Re: Éligible !
Posté par Glandos . En réponse au lien La première ligne FTTH FDN est fonctionnelle depuis septembre !. Évalué à 4.
N'oublions pas la loi du marché : le tarif est adapté à la demande. Or, chez les professionnels, payer 60 € HT par mois, c'est souvent une goutte d'eau dans les frais professionnels. Difficile de connaître la rentabilité réelle du service, mais je ne doute pas un instant que c'est quand même plus cher parce que les clients peuvent le payer.
# Et c'est possible sans Javascript
Posté par Glandos . En réponse au lien code.etalab.gouv.fr => code.gouv.fr. Évalué à 6.
Ça dit :
Ce qui est quand même, incroyablement bien.
Tiens, pour la peine, je vais activer le JS ;)
# Éligible !
Posté par Glandos . En réponse au lien La première ligne FTTH FDN est fonctionnelle depuis septembre !. Évalué à 10.
Je suis même éligible !
Bon, les tarifs sont les suivants :
Oui, c'est pas donné, mais c'est un vrai Internet. Et ils ont dû tellement en chier pour en arriver là, je leur tire mon chapeau bien bas.
[^] # Re: Article pas très utile
Posté par Glandos . En réponse au journal Détection d'inactivité dans Google Chrome. Évalué à 4.
Je réponds un peu tard, mais merci d'apporter la précision sur la différence avec l'existant.
Je me permets de dire que le ton n'était pas constructif, même le fond l'était.
Je viens de tester Inspectlet. Et j'ai dû décocher un peu toutes mes protections pour y accéder. Donc j'ai l'impression que c'est plutôt facile de s'en protéger (uBlock Origin, uMatrix pour les plus téméraires), alors qu'en général, les API des navigateurs ne sont pas débrayables.
Je peux me tromper sur ce dernier point.
[^] # Re: Ça se discute
Posté par Glandos . En réponse au lien La France arrête d’exiger que des écouteurs soient vendus avec les smartphones. Évalué à 4.
Je vais dire qu'avec le nombre de gens qui se baladent avec le téléphone à plat devant leur bouche, j'ai l'impression que leur cerveau est plutôt protégé.
Je ne comprenais pas ce comportement jusqu'à ce que j'ai WhatsApp dans les mains : cette application ne permet pas d'utiliser le son du téléphone (sans haut parleur) lorsqu'un appel vidéo est en cours.
# Vrai lien
Posté par Glandos . En réponse au lien La France arrête d’exiger que des écouteurs soient vendus avec les smartphones. Évalué à 5. Dernière modification le 05 novembre 2021 à 21:31.
Éviter d'utiliser le sous-web : https://www.numerama.com/tech/752999-la-france-arrete-dexiger-que-des-ecouteurs-soient-vendus-avec-les-smartphones.html
Bon, je sais que c'est pas évident, des fois, depuis son smartphone, on n'a pas le choix ;)
Ceci étant dit, oui, c'est intéressant. Parce qu'en vrai, téléphoner (voire écouter de la musique !) avec les écouteurs vendus, c'est pas vraiment une sinécure…
[^] # Re: Ce n'est finalement qu'un navigateur
Posté par Glandos . En réponse au journal ça y est, c'est fait . Évalué à 6.
Pour enlever la météo : https://www.tenforums.com/browsers-email/168659-turn-off-weather-new-tab-page-edge.html
Non, en fait, les gens ont cherché, et ça ne marche pas. Ce n'est pas possible, à moins de mettre
about:blanken page d'accueil.[^] # Re: Pendant ce temps là en France
Posté par Glandos . En réponse au journal EBCDIC n'est pas compatible avec la RGPD. Évalué à 3.
Comme d'habitude, sous Linux, la réponse amène des questions :
setxkbmap -query)[^] # Re: Ce n'est finalement qu'un navigateur
Posté par Glandos . En réponse au journal ça y est, c'est fait . Évalué à 10.
Alors… Oui, c'est bien que Edge soit dispo dans les distributions Linux. Mais Microsoft fait son petit nid tranquille.
Déjà, quand installe le .deb ou le .rpm, tranquille, lui, il s'ajoute automatiquement dans la liste des dépôts du système. Tranquille. Avec sa clé GPG et tout.
Ensuite, je vous laisse regarder ce petit film, qui est le premier démarrage de Edge : https://dl.antipoul.fr/f.php?h=20Q_79Ex&p=1 (lien valable un mois)
Qu'y voit-on ?
- Un choix de page d'accueil qui se résume entre : afficher n'importe quoi et afficher un peu moins n'importe quoi.
- Un dark pattern pour se connecter : pour refuser, la croix est moins visible que le gros bouton « Connectez-vous… ».
- La page d'accueil se charge, avec l'affichage du consentement, et disparaît automatiquement pour afficher le message de bienvenue, chargé donc sans consentement.
- Je reviens en arrière pour afficher le consentement : il n'y a qu'un bouton « J'accepte ». Non conforme à la RGPD.
- La liste des partenaires affiche plus de 600 partenaires (je les ai comptés dans un éditeur de texte), tous cochés par défaut. Non conforme à la RGPD.
- Par défaut, il y a une cloche de notifications avec un badge « 4 » marquées importantes. C'est très important (c'est de l'ironie, merci).
- Pour désactiver l'affichage des infos people inutiles, il faut chercher pendant 2 minutes, et cliquer sur des options non intuitives. Il est écrit « Contenu » dans les options, qui va faire disparaître la partie étiquetée « Mon flux ».
- La météo est toujours affichée.
J'ai pas tout filmé, c'est long.
Mon entreprise me force à utiliser Edge, puisqu'ils ont verrouillé les accès aux outils d'entreprise (Office 365) à Windows + Edge. Certains marchent en trichant (changement du User-Agent), mais d'autres, comme Teams, requièrent explicitement Edge.
C'est de l'enfermement Microsoft. Je déteste ça.
[^] # Re: Facile !
Posté par Glandos . En réponse au lien Vulnérabilité des compilateurs au Bidi Unicode. Évalué à 3.
Encore faudrait-il que l'éditeur ait la même interprétation que le compilateur… C'est pas gagné :)
[^] # Re: Les photos, c'est has-been
Posté par Glandos . En réponse au lien Meta commence la monétisation du comportement. Évalué à 4.
Oui, c'était un peu mon analyse, mal exprimée.
La reconnaissance faciale sur photos, ça coûte cher, et ça rapporte peu d'argent. Et en plus, c'est mal vu, donc autant l'arrêter.
Le cœur de métier de Facebook et Meta, c'est de vendre des profils ciblés aux annonceurs. Et pour cela, tout est bon. Savoir que telle personne est un peu fatiguée aujourd'hui permettra de lui annoncer des p'tites pilules dynamisantes. Savoir qu'il a été en vacances avec sa famille et Tata Micheline, c'est probablement moins rentable.
Je sais que c'est de la sur-simplification, et de la rétro-analyse. Moi, ça me semble crédible.
# Résumé en français par Le Monde
Posté par Glandos . En réponse au lien Facebook arrête la reconnaissance faciale et supprime les anciennes données. Évalué à 4.
https://www.lemonde.fr/pixels/article/2021/11/02/facebook-va-mettre-fin-a-la-reconnaissance-faciale-sur-sa-plate-forme_6100707_4408996.html
En bref : les photos mises en ligne ne seront plus analysées pour y trouver les personnes se trouvant dessus.
Les anciennes données seront supprimées.
C'est assez nouveau de la part de Facebook d'aller dans ce sens-là, mais peut-être que le ratio bénéfice-risque n'est pas bon. Après tout, ça ne rapporte pas forcément grand-chose de savoir qui est sur la photo…
[^] # Re: Facile !
Posté par Glandos . En réponse au lien Vulnérabilité des compilateurs au Bidi Unicode. Évalué à 4.
Je me suis posé la question aussi, mais d'après l'exemple, même si le souci est multiple, il vient surtout le problème des commentaires.
La plupart des langages de programmation utilise l'ASCII (globalement hein), ou en tout cas, l'alphabet latin, donc de gauche à droite.
Mais les gens, en commentaire, mettent ce qu'ils veulent : arabe, japonais, et j'en oublie, de droite à gauche. Donc, quelque part, il faut bien inverser le sens…