Le réparateur australien Hugh Jeffreys, connu pour ses vidéos de démontage et ses collaborations avec le site de réparation iFixit, a mis la main sur l'un de ces appareils que les prisons américaines louent à leurs détenus pour accéder à une poignée de services autorisés, et il a voulu savoir ce qu'on avait bien pu cacher à l'intérieur d'un objet aussi verrouillé.

Le résultat ne paie pas de mine, avec son boîtier en plastique opaque scellé hermétiquement, sa mousse de calage glissée à l'intérieur et sa finition que Jeffreys compare lui-même à un bricolage de travaux manuels de lycée, le tout pensé pour tenir le choc dans un environnement carcéral.

Screenshot

Premier souci, l'engin refusait carrément de démarrer, et les quatre pastilles métalliques qui affleurent sur la tranche, pourtant calées sur les broches d'un port USB, ne déclenchaient qu'un clignotement d'une seconde au branchement d'un chargeur avant que tout ne s'éteigne. Aucune vis accessible, aucune ouverture possible. La scie à métaux a donc été le seul moyen d'entrer.

Une fois la coque ouverte tant bien que mal, le diagnostic est sans appel, puisqu'on découvre une Iview Optimus-C-8001. Une tablette d'entrée de gamme qui fonctionne avec un vieux processeur Intel Atom Z8350 cadencé à 1,44 GHz et épaulé par 2 maigres Go de mémoire vive, soit une configuration déjà poussive le jour de sa sortie et complètement à la ramasse aujourd'hui.

Screenshot

Le plus parlant, en fait, se loge du côté du logiciel, parce que la machine tourne sous Windows 10 Home, une édition grand public installée en 2018 qui n'a, semble-t-il, jamais reçu la moindre mise à jour depuis, et qui s'est verrouillée en mode kiosque, ce réglage qui cloisonne l'appareil sur un unique navigateur bridé aux seuls services que la prison veut bien mettre à destination de ses pensionnaires.

Sauf que le verrouillage s'arrête net à la surface. L'installation de Windows ne comporte aucun chiffrement du disque, c'est-à-dire aucun de ces mécanismes qui rendent les fichiers illisibles tant qu'on ne tape pas le bon mot de passe, si bien qu'une fois le boîtier ouvert et l'appareil rallumé normalement, Jeffreys accède sans la moindre barrière supplémentaire à l'intégralité d'un système qu'on imaginait blindé.

Détail presque amusant, la tablette a visiblement fini à la poubelle à cause d'une carte de charge tierce défaillante, puisque rebranchée sur son port USB d'origine elle se rechargeait et fonctionnait sans problème. Du matériel jeté pour une broutille, donc.

Il faut savoir que ces tablettes ne sont pas distribuées par pure bonté, car elles sont louées aux personnes incarcérées, qui doivent souvent payer pour le moindre service rendu, ce qui transforme l'accès au numérique en source de revenus pour les prestataires qui équipent les établissements pénitentiaires américains. Et c'est précisément ça qui rend l'affaire sensible.

Parce que la vraie question n'est pas la prouesse technique, plutôt limitée vu le niveau de protection rencontré. C'est ce que l'objet raconte, à savoir du matériel bas de gamme scellé à la va-vite et facturé à une population captive au sens propre, au nom d'une sécurité dont on cherche encore les traces. On a connu nettement plus sérieux.

Source : Hackaday

Securus Technologies , le géant des télécoms pénitentiaires (il en faut…), vient de déployer un système d’intelligence artificielle destiné à analyser automatiquement les communications des détenus. Quand je dis communications, on parle des appels téléphoniques, des messages, des emails, voire des appels vidéo et le but c’est de repérer des conversations où des crimes pourraient être envisagés ou planifiés, puis signaler ces passages à des agents humains.

Le modèle a notamment été entraîné sur 7 années d’appels du système pénitentiaire du Texas et comme Securus est l’un des plus gros fournisseurs du pays, son IA s’appuie sur un volume colossal de données captées dans les prisons, et autres centres de détention ICE. Les détenus, qui n’ont généralement aucune alternative pour parler à leurs proches, sont bien sûr prévenus que leurs communications sont enregistrées… mais pas forcément que ces enregistrements servent aussi à entraîner des modèles d’IA…

Pour les associations de défense des droits, c’est donc un problème très grave puisque pour communiquer avec sa famille, il faut forcement passer par ces outils, qu’on le veuille ou non, et souvent en payant. L’ACLU rappelle d’ailleurs que Securus s’est déjà fait épingler par le passé pour avoir enregistré des milliers d’appels entre détenus et avocats alors qu’ils n’en ont pas du tout le droit.

Et Securus n’est pas seul puisque LEO Technologies pousse son propre système d’analyse, Verus , déjà déployé dans des dizaines d’établissements répartis sur une dizaine d’États. Leur argument marketing c’est de détecter plus vite les menaces ou les incidents. Et dans sa grande bonté, la Floride leur a même attribué un contrat de plusieurs millions de dollars, et l’État de New York est aussi client. Bref, c’est un marché bien juteux !

Et du côté de la régulation, il y a une réforme de la FCC sortie en 2024 qui normalement, devait empêcher les entreprises de répercuter les coûts de surveillance sur les détenus et leurs familles. Mais sous la direction de Brendan Carr, nommé à la FCC sous Trump, ces protections ont été suspendues, puis partiellement annulées à la fin de cette année… Du coup, les entreprises peuvent de nouveau facturer aux détenus une partie des coûts liés à l’enregistrement, au stockage et même au développement de systèmes comme cette IA.

Ces décisions ont donc été critiquées par plusieurs organisations de défense des droits, qui estiment que la surveillance devient non seulement plus intrusive, mais aussi plus coûteuse pour des familles déjà fragilisées.

Bref, on se retrouve face à un cocktail bien connu avec d’un côté, une population captive sans alternative, des entreprises privées qui disposent de volumes gigantesques de données, et une surveillance algorithmique qui s’étend, et de l’autre, une régulation qui recule à fond la caisse.

Et tout ça se passe dans l’indifférence générale, parce que ce sont “juste” des prisonniers…

Source

Bon, j’étais un petit peu occupé aujourd’hui parce que c’est mercredi et c’est le jour des enfants, mais je ne pouvais pas finir ma journée sans vous parler de cette histoire incroyable.

Si vous faites partie des gens qui utilisent des sites comme JSONFormatter ou CodeBeautify pour rendre votre JSON lisible ou reformater du code, et bien figurez-vous que des chercheurs en sécu viennent de découvrir que ces outils ont laissé fuiter des tonnes de données sensibles durant des années. Et quand je dis tonnes, c’est pas une figure de style puisque ce sont plus de 80 000 extraits de code contenant des credentials en clair qui ont fuité, soit plus de 5 Go de données.

En effet, les chercheurs de WatchTowr ont découvert que la fonction “Recent Links” de ces plateformes permettait d’accéder à tous les bouts de code collés par les utilisateurs. Les URLs suivaient un format prévisible, ce qui rendait le scraping automatique hyper fastoche pour n’importe qui, et c’est comme ça qu’on a découvert que JSONFormatter a exposé durant 5 ans de données les données de ses utilisateurs. Et du côté de CodeBeautify, ça a duré 1 an.

Les chercheurs ont mis la main sur des identifiants Active Directory, des identifiants de bases de données et services cloud, des clés privées de chiffrement, des tokens d’accès à des repos Git, des secrets de pipelines CI/CD, des clés de passerelles de paiement, des tokens API en pagaille, des enregistrements de sessions SSH, et même des données personnelles de type KYC. Bref, le jackpot pour un attaquant, quoi.

Et côté victimes, c’est un festival puisqu’on y retrouve des agences gouvernementales, des banques, des assurances, des boîtes d’aéronautique, des hôpitaux, des universités, des opérateurs télécom… et même une entreprise de cybersécurité. On a même retrouvé les credentials AWS d’une bourse internationale utilisés pour leur système Splunk, ainsi que des identifiants bancaires provenant de communications d’onboarding d’un MSSP (Managed Security Service Provider). C’est cocasse comme dirait Macron.

Et pour prouver que le problème était bien réel et exploitable, les chercheurs de WatchTowr ont utilisé un service appelé Canarytokens dont je vous ai déjà parlé. Ils ont implanté de faux identifiants AWS sur les plateformes et ont attendu de voir si quelqu’un y accédait…

Résultat, quelqu’un a tenté de les utiliser 48 heures après que les liens étaient censés avoir expiré, et 24 heures après leur suppression supposée. Les données restaient donc accessibles bien au-delà de ce que les utilisateurs pouvaient imaginer.

Et le pire dans tout ça c’est qu’au moment de la publication des articles, les liens “Recent Links” étaient toujours accessibles publiquement sur les deux plateformes. Bref, aucune correction n’a été déployée.

Donc, voilà, si vous avez utilisé ces outils par le passé et que vous y avez collé du code contenant des identifiants et autres clés API (même par inadvertance), c’est le moment de faire une petite rotation de vos secrets.

Et même si c’est une évidence, de manière générale, évitez de balancer du code sensible sur des outils en ligne dont vous ne maîtrisez pas la politique de conservation des données.

Source

Encore une histoire complétement dingue qui va faire zizir aux fans de LEGO !

En 2020, un Suédois de 21 ans a balancé à la télé qu’il allait construire une vraie voiture en LEGO s’il gagnait l’émission. Et 3 ans plus tard, David Gustafsson a tenu sa promesse et il roule maintenant dans une Volvo V70 entièrement faite de briques.

Le mec a utilisé 400 000 pièces LEGO pour construire une réplique grandeur nature de sa propre V70 ce qui représente 1,2 tonnes de plastique assemblées brique par brique. Et ce qui est fou c’est que c’est une voiture qui roule vraiment, avec portes qui s’ouvrent, des rétroviseurs électriques et même des phares qui suivent le mouvement du volant.

Comme je vous le disais en intro, David participait à LEGO Masters Suède avec son pote Rickard. Et pendant l’épisode 7, l’animateur Mauri leur demande ce qu’ils feraient avec tous les LEGO s’ils gagnaient. David, pour rigoler, balance qu’il construirait sa voiture en taille réelle. Sauf que quand ils ont gagné, il s’est dit “bon bah, j’ai promis, je le fais”.

Surtout que le prix de LEGO Masters Suède, c’est pas du cash comme partout ailleurs. Non, c’est un super crédit pour commander des pièces directement chez LEGO à prix coûtant. David s’est donc retrouvé avec 400 000 pièces à disposition. Et en décembre 2020, il commence alors le boulot…

2400 heures de travail plus tard, début 2024, la bête est terminée.

Après je me suis demandais comment ça pouvait tenir ce truc, parce que des LEGO, c’est pas vraiment prévu pour supporter le poids d’un adulte qui roule à 20 km/h. Et bien apparemment, David a triché un peu (heureusement) en intégrant 3 éléments non-LEGO que sont les roues, le moteur électrique et un châssis métallique. Tout le reste, des sièges au tableau de bord en passant par le volant et le sélecteur de vitesse, c’est du LEGO pur !

Le plus impressionnant c’est qu’il a réussi à reproduire les courbes complexes d’une V70 de troisième génération (2008-2016) avec des briques rectangulaires. Vous avez déjà essayé de faire un truc rond avec des LEGO ? C’est l’enfer alors une voiture entière avec ses galbes et ses arrières-train arrondis…

Les boutons de la clim fonctionnent, le sélecteur de vitesse fait “clic” quand on change de position, et les rétroviseurs latéraux pivotent. Incroyable !

Bon alors là, rebondissement de fou dans l’affaire des SSD qui disparaissaient sous Windows 11 ! Vous vous souvenez de cette histoire où Microsoft et Phison juraient leurs grands dieux qu’il n’y avait aucun problème après 4500 heures de tests ? Eh bien figurez-vous qu’un groupe de geeks chinois vient de découvrir le pot aux roses.

Le groupe PCDIY! sur Facebook a mis en effet le doigt sur ce qui semble être le vrai coupable, et ce n’est ni Windows ni les contrôleurs Phison en eux-mêmes. C’est bien plus vicieux que ça puisque des firmwares de développement pré-release se sont retrouvés sur des SSD vendus dans le commerce. En gros, ce sont des versions beta de firmware qu’on utilise normalement uniquement en labo pour les tests.

Rose Lee, l’admin du groupe PCDIY! , explique que ces firmwares de dev n’ont jamais été prévus pour la production. Normalement, tous les fabricants de SSD qui utilisent des contrôleurs Phison reçoivent leurs produits avec le firmware officiel, testé et validé mais visiblement, quelques unités avec du firmware de pré-production se sont glissées dans la nature.

Les ingénieurs de Phison ont donc réussi à reproduire le problème dans leurs labos une fois qu’ils ont su quoi chercher. Ça explique pourquoi leurs 4500 heures de tests initiaux n’avaient rien donné… ils testaient avec des produits retail normaux, pas avec ces firmwares de développement qui n’auraient jamais dû sortir des usines.

Ce qui se passe concrètement, c’est que la mise à jour Windows 11 KB5063878 déclenche quelque chose dans ces firmwares beta qui fait planter le SSD. Et comme les firmwares officiels n’ont pas ce problème, c’était impossible de reproduire le bug avec des disques achetés normalement en magasin.

Donc si vous avez acheté votre SSD dans un circuit de distribution classique, vous n’êtes normalement pas concerné puisque les firmwares officiels ont été “thoroughly tested and verified” comme dit l’article, et ne présentent pas ces anomalies qu’on trouve dans ces versions de test réservées aux ingénieurs.

Par contre, si vous faites partie des malchanceux qui ont eu des problèmes, la solution est simple : mettez à jour le firmware de votre SSD. Mais attention, faites une sauvegarde complète avant, car on ne sait jamais

Phison en a profité pour clarifier un autre point concernant le ralentissement des disques que certains ont observé. D’après eux, ça n’a rien à voir avec ce bug, mais c’est juste le cache SLC qui sature quand on fait de gros transferts de données. Dans ce cas, un Secure Erase résout normalement le problème (un simple formatage Windows ne suffit pas).

Des firmwares de test qui se retrouvent dans la nature, une mise à jour Windows qui les fait bugger, des semaines d’enquête pour rien parce qu’on cherchait au mauvais endroit… Cette histoire est complètement dingue quand on y pense.

Bref, je pense qu’on peut dire merci au groupe PCDIY! pour avoir résolu ce mystère qui rendait tout le monde fou !

Source

La gravité serait-elle un bug ou à minima une fonctionnalité de l’univers ?

Cette théorie de Vopson, dont je vais vous parler aujourd’hui, offre une perspective plutôt vertigineuse, et réconcilie physique et informatique d’une manière plutôt… inédite. Imaginez que l’espace-temps ne soit pas un continuum fluide mais une grille de cellules discrètes, comme les pixels d’un écran ou les cases d’une feuille Excel cosmique où dans chaque cellule, il y a des informations sur l’état de l’univers.

Vous vous souvenez de Thomson ?

Si votre réflexe c’est de penser à des téléviseurs cathodiques massifs qui trônaient dans le salon de mamie, accrochez-vous à votre télécommande car la marque française vient de débarquer avec des télés… à roulettes. Non, ce n’est pas une blague, c’est au contraire une vraie révolution domestique qui permet enfin de libérer nos écrans de leur prison murale. Et franchement, pourquoi personne n’y avait pensé avant ?

Si vous regardez les infos à forte dose, vous devez probablement penser que la fin du monde est proche. À un moment, on va tous se retrouver dans un RPG post-apocalyptique et notre personnage aura un niveau 2 en médecine, un niveau 3 en chimie et tombera forcement sur une quête secondaire du style : “Fabriquer des antibiotiques pour sauver le campement”.

Alors quelle est l’histoire de cette découverte scientifique qui a changé la médecine moderne ? Voici à titre purement éducatif, la science qui se cache derrière la pénicilline, un processus qui combine à la fois biologie, chimie et une bonne dose de patience.

— Article en partenariat avec Surfshark VPN —

Comment ça va de votre côté ? On se prépare doucement à la pause estivale ? En ce qui me concerne, j’en termine déjà avec le premier mois de mon trimestre de pause … ça file à une vitesse ma bonne dame, c’est dingue ! Mais s’il y en a qui ne prennent jamais de repos, ce sont bien les espions à l’affut de nos données.

Au travers de mes précédents articles, j’ai déjà fait le tour de pas mal d’outils, objets et services qui nous surveillent en quasi permanence. Les voitures intelligentes par exemple, ou les applications d’IA ainsi que celles dédiées au shopping. Bref tout ce qui stocke de la data personnelle est susceptible de fuiter ou d’être utilisé à vos dépens et sans votre autorisation. Le plus souvent c’est « seulement » pour vous bombarder de pubs ciblées, mais parfois c’est plus dangereux que cela (escroquerie, vol d’identité …). Et comme je l’ai montré dans ces mêmes articles, cela arrive de plus en plus fréquemment, la data numérique étant la nouvelle manne financière d’un pan entier du web.

Aujourd’hui on va s’intéresser à quelque chose d’autre : les maisons intelligentes. Car vous le savez aussi bien que moi, nous avons de plus en plus d’objets du quotidien connecté via des applications (IoT). Quelques exemples ? Brosse à dents, montre connectée, aspirateur robot, porte de garage, système de surveillance, machine à café, frigo, système de chauffage ou d’éclairage, volets de fenêtres ou encore les classiques assistant virtuel type Alexa. Alexa qui fête déjà ses 10 ans cette année, le temps passe vite ma bonne dame ! (je sais, je me répète, c’est l’âge … le temps passe vite ma …).

Surfshark nous a pondu une étude sur la question et épingle notamment Google et Amazon comme les plus avides de nos données (quelle surprise Sherlock). Mais ils ne sont pas les seuls puisque la majorité des quasi 300 applis testées récoltent et stockent diverses infos comme vos noms, votre email, vos interactions avec le produit (heures & Co) ou encore votre localisation précise. Infos qui vont aller gonfler nos profils chez les centaines de courtiers en données dès qu’elles se retrouveront dans la nature.

Amazon Alexa est de loin la pire de toutes, collectant 28 données différentes sur 32 analysées … qui, en plus, sont directement liées à votre identité personnelle. Au calme. Google fait un peu mieux, avec « seulement » 22 données récupérées (adresse, photos et vidéos, données de santé …). L’une des catégories les plus touchées ce sont les caméras de sécurité … qui ne font donc pas que surveiller les voleurs, mais les habitants de la maison eux-mêmes. On a aussi dans la liste des jouets connectés pour enfants (décidément après les applis mobiles pour gamins, ils ne sont jamais tranquilles nos mouflets). Vous pouvez retrouver tout le détail de l’étude sur cette page, si vous voulez creuser un peu par vous-mêmes.

Bon vous allez me dire, en quoi est-ce problématique ? Je n’ai rien à cacher ! (hahaha … OK boomer). Ces gadgets collectent vos données, augmentant ainsi votre empreinte digitale, et parfois utilisent ces mêmes données pour afficher des publicités ciblées. Chiant, mais pas mortel. Au niveau de la sécurité, le risque de mauvaise gestion ou de fuites de données augmente, car les données sont distribuées à travers plusieurs bases de données. Qui finiront pas fuiter, se faire hacker ou être revendues à des datas brokers. Ce qui arrive quotidiennement.

Prenons un exemple concret : vous avez installé une caméra de sécurité pour filmer si quelqu’un entre par effraction chez vous. Jusque là rien de spécial. Mais si cette caméra vous enregistre vous en train de tondre votre pelouse à moitié à poil et que la vidéo finit dans les mains d’un hacker quelconque … là c’est une autre histoire. Imaginez l’intimité du chef de l’Internet révélée aux yeux du grand public. Le monde n’est pas prêt.

Maintenant, comment lutter contre ce fléau ? Et bien déjà en se posant la question de savoir si l’on a vraiment besoin de ce type de gadget. La caméra si vous êtes dans une zone à risque ça peut avoir du sens. La brosse à dents ou la machine à café connectée … ce n’est peut-être pas vital. Ou au moins, essayez de trouver une alternative open source (pour creuser le code et voir comment elle fonctionne vraiment) et moins avide de tout savoir sur vos habitudes.

Prenez également le temps de mettre à jour les paramètres pour limiter au strict minimum ce que vous partagez. Si votre aspirateur robot a besoin du microphone ou que votre air fryer dispose d’un accès caméra, posez-vous des questions ^^ Pensez aussi à sécuriser vos connexions Wi-Fi et chiffrer tout votre trafic. C’est là que va intervenir Surfshark, l’un des plus réputés du marché que je vous recommande depuis des années. Il vous évitera de voir vos flux de données interceptés par un tiers, ou tout du moins de les rendre inexploitables si cela devait arriver. Je ne vous refais pas la présentation des multiples intérêts de l’outil, je l’ai déjà fait dans ma présentation de Surfshark VPN.

Surtout que vous pouvez en bénéficier au prix d’environ 71€ pour 27 mois (moins de 2.65€/mois) avec l’abonnement 2 ans. Ou opter pour la boite à outils complète Surfshark One (avec l’antivirus, la surveillance de fuites & co) pour à peine plus cher (3.23€/mois). Pas cher payé le prix de tranquillité d’esprit.

Testez le VPN de Surfshark !