Forum du club des d�veloppeurs et IT Pro - S�curit�

Un YouTuber d�couvre une astuce li�e au bruit des avions qui permet de g�olocaliser vos vid�os � 100 m pr�s

Anthony — Thu, 05 Nov 2026 16:27:00 GMT

Un YouTuber d�couvre une astuce li�e au bruit des avions qui permet de g�olocaliser vos vid�os � 100 m�tres pr�s : "l'effet Doppler" permet de localiser des endroits � partir d'un audio de 60 secondes

Le son d�arri�re-plan de votre vid�o pourrait r�v�ler votre localisation. Un YouTuber, colsto, affirme que de faibles bruits d�avion, inaudibles lors d'une lecture normale, mais visibles sur un spectrogramme, lui ont permis de localiser une cam�ra de s�curit� situ�e sur le territoire des �tats-Unis avec une pr�cision d'environ une centaine de m�tres. En utilisant l'effet Doppler, ce cr�ateur de contenu a recoup� les d�calages de fr�quence de deux bruits d�avion en arri�re-plan d'une vid�o avec les donn�es de vol ADS-B. Il a ensuite effectu� un filtrage qui lui a permis de r�duire le nombre de points candidats de 70 000 � environ 15 000 avant d'identifier le site le mieux class�, que Google Street View a ensuite confirm�. Un autre test, r�alis� � partir d'un enregistrement de 60 secondes, a permis d�identifier le m�me emplacement. Cette op�ration a n�cessit� environ 50 Go de donn�es de vol et plus de 5 000 lignes de code. Le YouTuber a toutefois mis en garde contre le fait de consid�rer cette technique comme une menace imm�diate, tout en affirmant que les chances qu'elle soit utilis�e pour localiser une personne �taient minces et qu'il existait sans doute des m�thodes plus simples.

L'effet Doppler (ou d�calage Doppler) d�signe la variation de la fr�quence ou, de mani�re �quivalente, de la p�riode d'une onde par rapport � un observateur qui se d�place relativement � la source de l'onde. Il tire son nom de Christian Doppler, qui a d�crit ce ph�nom�ne en 1842. Un exemple courant de d�calage Doppler est la variation de hauteur per�ue lorsqu'un v�hicule s'approche puis s'�loigne d'un observateur. Par rapport au son �mis, le son re�u est plus aigu lors de l'approche, identique au moment du passage, et plus grave lors de l'�loignement.

Un YouTuber a montr� comment les bruits d'avion inaudibles, dissimul�s en arri�re-plan d'une vid�o, peuvent aider � d�terminer o� celle-ci a �t� enregistr�e, m�me lorsqu'il y a peu d'indices visibles. En analysant de subtiles variations de la fr�quence sonore et en les comparant aux donn�es de suivi des avions, le cr�ateur colsto affirme avoir localis� une cam�ra de s�curit� situ�e sur le territoire continental des �tats-Unis avec une pr�cision de quelques dizaines de m�tres.

L'enqu�te a d�but� avec un enregistrement flou ne montrant gu�re plus que des arbres et une berge. La seule information disponible �tait qu'il avait �t� film� le 8 septembre 2026 quelque part sur le territoire continental des �tats-Unis. L'auteur a identifi� deux bruits d'avion en arri�re-plan, s�par�s par 920 secondes, et s'est servi de leurs trajectoires de vol pour affiner les lieux possibles.

Il a ensuite compar� les profils sonores pr�vus avec l'enregistrement original, a identifi� un lieu prioritaire et l'a v�rifi� � l'aide de Google Street View. La forme des arbres et un poteau �lectrique visibles sur les images en ligne correspondaient � celles de la vid�o, ce qui lui a permis d'identifier la cam�ra de s�curit�.

Comment l'effet Doppler transforme les bruits d'avions en outil de localisation

Cette m�thode repose sur l'effet Doppler, qui modifie la fr�quence d'un son lorsque sa source se rapproche ou s'�loigne de l'auditeur. Bien que les bruits d'avion ne soient pas audibles lors d'une lecture normale, leurs profils apparaissaient sur un spectrogramme, qui affiche les fr�quences en fonction du temps.

Le cr�ateur a utilis� les donn�es du syst�me Automatic Dependent Surveillance-Broadcast (ADS-B) pour analyser les positions, vitesses, altitudes et trajectoires de vol des avions sur l'ensemble du territoire continental des �tats-Unis. Il a pr�cis� que la collecte et le traitement de ces informations avaient n�cessit� environ 50 Go de donn�es de vol et plus de 5 000 lignes de code.

Ses calculs ont �galement pris en compte le temps que met le son pour se propager d'un avion jusqu'au sol. L'altitude des avions �tant mesur�e au-dessus du niveau de la mer, il a int�gr� des donn�es d'�l�vation du relief afin de calculer la distance tridimensionnelle entre chaque avion et les lieux d'enregistrement potentiels.

La premi�re �tape de filtrage a permis d�identifier environ 70 000 points potentiels. En analysant l�intervalle de 920 secondes entre les bruits des deux avions et en �cartant les emplacements o� un autre vol aurait d� �tre audible, il a r�duit ce nombre � environ 15 000.

Il a ensuite mod�lis� les profils Doppler que chaque avion aurait produits depuis diff�rents emplacements et les a compar�s au spectrogramme. Le point candidat ayant obtenu le meilleur score s�est d�marqu� des autres, ce qui lui a permis de r�duire consid�rablement la zone � examiner.

Un deuxi�me test r�alis� � partir d'un enregistrement de 60 secondes aboutit au m�me r�sultat

L�auteur a r�alis� un autre test � l�aide d�un enregistrement distinct d�une minute dont l�heure �tait connue. Il a appliqu� la m�me approche g�n�rale � un signal provenant d�un autre avion et a compar� les r�sultats avec les donn�es de vol.

La localisation ayant obtenu le meilleur score lors de ce test �tait la m�me que celle identifi�e lors de l�analyse initiale portant sur les deux avions. L�auteur a pr�sent� cela comme une v�rification distincte utilisant des informations de vol diff�rentes.

Une menace potentielle pour la confidentialit� en ligne ?

La vid�o s'est �galement pench�e sur la question de savoir si les m�thodes courantes de traitement audio permettaient de supprimer ces signaux. L'auteur a test� le filtrage passe-haut, le bruit de fond et la compression t�l�phonique, et a constat� que les signaux provenant des avions restaient d�tectables dans ses d�monstrations.

Il a ajout� que le fait de couper des segments d�un enregistrement ou d�appliquer une suppression suppl�mentaire du bruit pourrait rendre la m�thode plus difficile � utiliser. Il a toutefois mis en garde contre le fait de consid�rer cette technique comme une menace imm�diate, affirmant que les chances que quelqu�un l�utilise pour localiser une personne �taient minces et que des m�thodes plus simples pourraient exister.

Cette d�monstration met en �vidence le fait que le son d�arri�re-plan peut contenir des informations de localisation que les spectateurs ne peuvent pas entendre. Elle ne prouve pas pour autant que chaque vid�o puisse �tre retrac�e, car la m�thode d�pend de la pr�sence de signaux d�a�ronefs appropri�s et de donn�es de vol exploitables.

Cette exp�rience n�est cependant pas la seule � montrer que la localisation peut �tre d�duite d'indices que l�on croit anodins. Des chercheurs de l'universit� Northeastern ont �tabli qu'il �tait possible de d�terminer la localisation d'un smartphone Android m�me lorsque son GPS est d�sactiv�. Leur m�thode exploite les donn�es de l�acc�l�rom�tre, du magn�tom�tre et du gyroscope afin de reconstituer les d�placements � partir des mouvements de l�appareil. La pr�cision atteint 90 % pour les trajets r�guliers, mais varie selon la configuration urbaine. Les chercheurs s�attendent � ce que cette pr�cision s�am�liore avec les progr�s des capteurs.

Et vous ?

:fleche: Quel est votre avis sur le sujet ?
:fleche: Trouvez-vous cette exp�rience men�e par le YouTuber colsto cr�dible ou pertinente ?

Voir aussi :

:fleche: Google suit votre position toutes les 15 minutes, m�me si le GPS est d�sactiv�, votre t�l�phone portable communique avec les services de Google sans votre consentement explicite

:fleche: 94% des membres de la g�n�ration Z sont favorables � la g�olocalisation, 72 % des femmes d�clarant que le partage de localisation leur procure un meilleur sentiment de bien-�tre physique

:fleche: Comment la police sait-elle que vous �tiez non loin d'une sc�ne de crime ? C'est simple, Google le lui dit

Google d�mant�le un botnet fonctionnant � l'insu des utilisateurs sur 1,3 million de bo�tiers Android TV

Anthony — Wed, 04 Nov 2026 18:13:54 GMT

Google d�mant�le un botnet fonctionnant � l'insu des utilisateurs sur 1,3 million de bo�tiers Android TV, apr�s qu'une entreprise chinoise partenaire a transform� ces bo�tiers en � gadgets d'espionnage �

Google a rompu ses liens avec Videostrong Co., un fabricant d�appareils Android bas� � Shenzhen, apr�s avoir accus� l'entreprise chinoise d'avoir int�gr� une porte d�rob�e dans plus de 1,3 million d'appareils, principalement des bo�tiers Android TV. Cet acc�s a �t� vendu � des groupes criminels qui l'ont utilis� � des fins de fraude publicitaire, de vol de donn�es et de r�seaux de proxys r�sidentiels. Selon Google, Videostrong a utilis� des techniques d'obfuscation pour dissimuler le code malveillant et emp�cher sa d�tection. Cette affaire a incit� la firme de Mountain View � interdire � Videostrong de fabriquer ou de vendre des appareils Android certifi�s, � d�manteler l'infrastructure de commande et de contr�le du botnet, et � renforcer son processus d'�valuation des fabricants. Elle survient � un moment o� les pr�occupations concernant la s�curit� de la cha�ne d�approvisionnement des appareils connect�s ne cessent de cro�tre.

Android TV est un syst�me d'exploitation destin� aux t�l�viseurs connect�s et aux appareils de divertissement associ�s, notamment les barres de son, les d�codeurs et les lecteurs multim�dias num�riques. Cr�� et d�velopp� par Google, il s'agit d'une distribution Android comportant des composants � code source ferm�. Android TV propose une interface utilisateur con�ue pour faciliter la d�couverte de contenus et la recherche vocale, l'agr�gation de contenus provenant de diverses applications et services multim�dias, ainsi que l'int�gration avec d'autres technologies r�centes de Google telles que Assistant, Cast et Knowledge Graph.

Google a r�v�l� avoir rompu ses liens avec l'un de ses partenaires fabricants d'appareils Android apr�s avoir d�couvert que cette soci�t� aurait int�gr� une porte d�rob�e secr�te dans plus de 1,3 million d'appareils, permettant ainsi de les transformer en un gigantesque botnet et de les utiliser � des fins malveillantes � l'insu de leurs propri�taires.

Google a identifi� le fabricant comme �tant Videostrong Co, une soci�t� bas�e � Shenzhen qui produisait des appareils fonctionnant sous Android. Google a d�clar� avoir d�sormais interdit � cette entreprise de fabriquer ou de vendre des appareils Android certifi�s, ainsi que de fournir des logiciels pour ces derniers.

Les appareils Android ont �t� discr�tement transform�s en une plateforme criminelle

Google affirme que Videostrong a d�lib�r�ment d�velopp�, d�ploy� et exploit� une porte d�rob�e permettant de contr�ler � distance les appareils infect�s � des fins lucratives. Les appareils compromis auraient �t� utilis�s pour des activit�s telles que la fraude publicitaire, le vol de donn�es et l'acheminement de trafic Internet non autoris�.

D'apr�s les conclusions de Google, l'entreprise a mon�tis� cette porte d�rob�e en vendant l'acc�s � des groupes criminels, qui ont ensuite install� des modules malveillants suppl�mentaires sur les appareils affect�s. Ces modules ont ensuite �t� utilis�s pour int�grer les appareils � des r�seaux de proxys r�sidentiels, commettre des fraudes publicitaires et diffuser d'autres logiciels malveillants.

Google a d�clar� avoir neutralis� l'infrastructure de commande et de contr�le (C2) utilis�e pour exploiter le botnet et coup� l'acc�s � des millions d'appareils compromis connect�s via ce dispositif.

Google a d�couvert que ce logiciel malveillant �tait int�gr� directement dans de nombreux mod�les et marques d�appareils depuis plusieurs ann�es. La plupart des produits touch�s �taient des d�codeurs Android TV, mais le botnet a �galement infect� d�autres appareils IoT bas�s sur Android, notamment des appareils de t�l�sant�, des machines de karaok� et des syst�mes d�affichage num�rique.

Le logiciel malveillant a �t� exploit� � des fins lucratives

Selon Google, Videostrong a utilis� des techniques d�obfuscation pour dissimuler le code malveillant et emp�cher sa d�tection. Le logiciel malveillant aurait �t� install� sur les appareils d�s leur premi�re mise en marche, ce qui rendait difficile pour les propri�taires de se rendre compte que leur mat�riel avait �t� compromis.

Google a d�clar� que cette porte d�rob�e et ce botnet avaient �t� � d�velopp�s, d�ploy�s et exploit�s intentionnellement � des fins lucratives �, pr�cisant que cette activit� n'�tait pas le r�sultat d'une vuln�rabilit� logicielle exploit�e accidentellement par des pirates.

Google adopte d�sormais un processus de contr�le plus strict pour les fabricants d�appareils Android

En r�ponse � cet incident, Google a d�clar� avoir d�sactiv� la porte d�rob�e et mis en place des modifications dans son processus de contr�le des fabricants d'appareils. L'entreprise a �galement mis fin � sa collaboration avec Videostrong et a exclu ce fabricant de l'�cosyst�me Android certifi�.

Cette affaire met en lumi�re les pr�occupations croissantes concernant la s�curit� de la cha�ne d'approvisionnement des appareils connect�s, d'autant plus que les appareils fonctionnant sous Android ne se limitent plus aux smartphones, mais s'�tendent d�sormais aux t�l�viseurs, aux produits de sant� et � d'autres �quipements grand public et professionnels connect�s � Internet.

Les failles de s�curit� de la cha�ne d�approvisionnement ne sont cependant pas la seule menace pesant sur les �crans install�s dans les foyers. Selon un rapport du Center for Digital Democracy (CDD), les t�l�viseurs intelligents sont comme � des chevaux de Troie dans les domiciles des gens �. Les fabricants de t�l�viseurs connect�s et les services de streaming auraient mis en place un dispositif de surveillance portant atteinte � la vie priv�e et � la s�curit� des consommateurs. Ce constat est coh�rent avec de pr�c�dentes r�v�lations sur l�utilisation de ces appareils par des soci�t�s de marketing pour le ciblage publicitaire, et attire ainsi l'attention sur la responsabilit� des utilisateurs face aux produits et services connect�s.

Communiqu� de Google

La semaine derni�re, Google et ses partenaires du secteur ont neutralis� la porte d�rob�e XCPE, qui avait int�gr� plus de 1,3 million de d�codeurs � un botnet. Nous estimons avec un haut degr� de certitude que cette porte d�rob�e et ce botnet ont �t� intentionnellement d�velopp�s, d�ploy�s et exploit�s � des fins lucratives par Videostrong Technology Co., un fabricant d��quipements d�origine (OEM) et un fabricant de conception d�origine (ODM) pour Android.

Videostrong a mon�tis� cette porte d�rob�e en vendant l�acc�s � des affili�s malveillants et en installant les modules malveillants de ces derniers sur les appareils infect�s. Ces modules secondaires se livraient � de la fraude publicitaire, int�graient discr�tement les appareils infect�s dans des r�seaux de proxys r�sidentiels et installaient des logiciels malveillants suppl�mentaires sur les appareils compromis par XCPE. Nous avons �galement pris des mesures pour perturber les domaines de commande et de contr�le (C2) qui g�rent ces modules affili�s. �tant donn� que ces affili�s disposent chacun de canaux de distribution diversifi�s pour leurs modules, au-del� de XCPE, nous estimons que la mise hors service de leurs domaines C2 coupera l�acc�s � au moins 10 millions d�appareils compromis suppl�mentaires.

Nous avons d�couvert que ce logiciel malveillant �tait int�gr� directement dans de nombreux mod�les et marques d'appareils depuis plusieurs ann�es, et qu'il s'appuyait sur une infrastructure d�di�e ainsi que sur des configurations en constante �volution afin d'�chapper � la d�tection et de g�rer ses affili�s. Nous estimons que cette campagne n'�tait pas le fait d'un seul employ� malveillant isol� ni d'une simple n�gligence lors du d�veloppement. En cons�quence, Google a rompu ses liens avec Videostrong et lui a interdit de fabriquer des appareils sur lesquels les applications Google sont pr�install�es.

Google exige des fabricants d��quipements d�origine (OEM) qu�ils se soumettent � une s�rie compl�te de tests de compatibilit� et de s�curit� afin de garantir une exp�rience utilisateur coh�rente et s�re dans l�ensemble de l��cosyst�me Android. Cependant, Videostrong a eu recours � des techniques d�obfuscation pour exploiter une faille dans nos tests et charger du code malveillant apr�s le premier d�marrage de l�appareil. En cons�quence, Google a apport� des modifications � son processus de v�rification existant afin de mieux se pr�munir contre des activit�s similaires � l�avenir. Le fait qu�un fabricant d�appareils infecte intentionnellement ses utilisateurs avec des logiciels malveillants constitue un abus de confiance inacceptable et repr�sente un risque grave pour ces utilisateurs. � l�insu et sans le consentement des utilisateurs, les appareils infect�s ont servi de vecteur de diffusion pour un large �ventail d�acteurs malveillants. Cela a conduit � la mise en �uvre de diverses activit�s malveillantes sur et via ces appareils, notamment la fraude publicitaire, l�exfiltration de donn�es et l�acheminement de trafic r�seau malveillant via ces appareils.

Nous avons travaill� en �troite collaboration avec l�Agence nationale de police du Japon, Lumen, HUMAN Security, Plume, Synthient et TrendAI afin d�analyser cet �cosyst�me de logiciels malveillants et de perturber ses activit�s.

M�me si nous pensons que cette intervention aura un impact significatif sur ces activit�s criminelles, cela ne marque pas la fin de notre combat contre les activit�s malveillantes. Les op�rateurs de portes d�rob�es, les r�seaux de fraude publicitaire et les fournisseurs de proxys r�sidentiels fonctionnent comme une cha�ne d�approvisionnement interconnect�e. Les interventions ponctuelles constituent un outil essentiel pour prot�ger nos utilisateurs, mais pour perturber durablement cet �cosyst�me en constante �volution, il faudra continuer � cibler cette infrastructure.

Google a pris les mesures suivantes pour contribuer au d�mant�lement du botnet XCPE :

Une action en justice visant � faire fermer les domaines et les serveurs utilis�s par Videostrong pour contr�ler le botnet et installer des modules malveillants
Une action en justice visant � faire fermer les domaines C2 utilis�s par plus d�une douzaine de familles de logiciels malveillants charg�s sous forme de modules via cette porte d�rob�e
Interdiction faite � Videostrong, ainsi qu'� toutes ses futures filiales ou soci�t�s affili�es, de fabriquer et de commercialiser � l'avenir des appareils Android certifi�s, ou de fournir des logiciels � d'autres fabricants certifi�s
Mise en �uvre d'am�liorations visant � renforcer la mani�re dont nous garantissons l'int�grit� du micrologiciel sur les appareils Android TV certifi�s

Source : Google

Et vous ?

:fleche: Quel est votre avis sur le sujet ?
:fleche: Trouvez-vous les mesures prises par Google dans le cadre de cette affaire cr�dibles ou pertinentes ?

Voir aussi :

:fleche: Votre Smart TV sait ce que vous regardez gr�ce � une technologie de reconnaissance automatique, ces donn�es collect�es sur vos habitudes de visionnage peuvent �tre partag�es avec des tiers

:fleche: Les fabricants de t�l�viseurs vont trop loin avec l'IA au CES 2026 : l'IA envahit les t�l�viseurs mais l'intrusion non consentie dans la vie priv�e des utilisateurs n'est pas du gout d'un juge

:fleche: Il y a une raison simple pour laquelle votre nouveau t�l�viseur intelligent �tait si abordable, il collecte et vend vos donn�es, selon un rapport

Images attach�es

Des pirates prennent le contr�le de cong�lateurs de plasma en France et les font passer de -30 �C � 110 �C

Eliora — Wed, 04 Nov 2026 13:51:42 GMT

Des pirates informatiques prennent le contr�le de cong�lateurs de plasma sanguin en France et modifient leur temp�rature de -30 �C � 110 �C, chauffant � distance les �chantillons de donneurs

La r�cente cyberattaque visant des groupes frigorifiques � travers l'Europe a touch� aussi bien des �tablissements m�dicaux que des supermarch�s. L'EFS a indiqu� que � les seuils de temp�rature et de d�givrage avaient �t� relev�s � des niveaux extr�mement �lev�s � dans trois de ses sites de stockage frigorifique de plasma en Bourgogne-Franche-Comt�. Les r�glages de temp�rature des groupes frigorifiques auraient �t� modifi�s, passant de -30 �C � 110 �C, lorsque le prestataire de services de l'EFS, Coolworld, a �t� victime d'une attaque. Le minist�re fran�ais de la Sant� indique que le personnel a d�tect� ces temp�ratures anormales � temps pour �viter toute cons�quence op�rationnelle. Cet incident s'inscrit dans ce qui semble �tre une campagne de sabotage de plus en plus �tendue touchant les syst�mes de r�frig�ration � travers l'Europe.

Des pirates informatiques avaient pris le contr�le � distance des syst�mes de r�frig�ration de centaines de supermarch�s fran�ais dans la nuit du 10 octobre 2026, for�ant ces syst�mes � souffler de l�air chaud � 50 �C et provoquant ainsi la d�t�rioration des marchandises. On estime que cette cyberattaque avait co�t� � plusieurs millions d'euros � aux g�ants de la grande distribution. La Coop�rative U, Intermarch� et E. Leclerc avaient confirm� cette attaque, qui aurait touch� jusqu�� 200 magasins Intermarch�. Carrefour Market et Monoprix seraient �galement concern�s. Le parquet de Paris avait ouvert une enqu�te, confirmant que l'attaque avait provoqu� des incendies dans la nuit. Le mobile restait encore inconnu.

L'�tablissement fran�ais du sang (EFS) est un �tablissement public � caract�re administratif en France charg� de collecter, pr�parer, qualifier et distribuer les produits sanguins labiles (sang, plasma, plaquettes) en France, en vue de leur transfusion. Plac� sous la tutelle du minist�re de la Sant�, il a �t� cr�� le 1er janvier 2000 en application de la loi du 1er juillet 1998, codifi�e au Code de la sant� publique. L'EFS prend la suite de l'Agence fran�aise du sang (AFS), qui elle-m�me se substituait en 1995 � un ensemble de pr�s de 160 �tablissements divers (PTS, CDTS, CRTS, CNTS) de type associatifs, hospitaliers, ou r�gis par un conseil g�n�ral. Il �tait int�gr� dans le GIP nomm� Institut national de la transfusion sanguine (INTS).

La r�cente cyberattaque visant des groupes frigorifiques � travers l�Europe a touch� aussi bien des �tablissements m�dicaux que des supermarch�s. L�EFS a indiqu� que � les seuils de temp�rature et de d�givrage avaient �t� relev�s � des niveaux extr�mement �lev�s � dans trois de ses sites de stockage frigorifique de plasma en Bourgogne-Franche-Comt�, dans la nuit du 1er novembre. La nouvelle a d�abord �t� rapport�e par Le Canard encha�n�, un hebdomadaire satirique et d�investigation fran�ais, avant d��tre reprise plus largement.

Les r�glages de temp�rature des groupes frigorifiques auraient �t� modifi�s, passant de -30 �C � 110 �C, lorsque le prestataire de services de l�EFS, Coolworld � qui fournit des �quipements � temp�rature contr�l�e et des services de maintenance � a �t� victime d�une attaque. Le minist�re fran�ais de la Sant� indique que le personnel a d�tect� ces temp�ratures anormales � temps pour �viter toute cons�quence op�rationnelle. � Les syst�mes de surveillance et d�alarme ont rapidement d�tect� les anomalies, permettant au personnel de prendre les mesures n�cessaires pour s�assurer qu�aucun produit sanguin ni �chantillon n�ait �t� compromis. �

L'EFS a d'abord indiqu� que les pirates avaient pris pour cible des �chantillons de donneurs conserv�s dans le cadre d'enqu�tes sur les transfusions sanguines. Toutefois, l'EFS a pr�cis� par la suite que les cibles comprenaient �galement des unit�s de r�frig�ration contenant des poches de plasma destin�es � �tre transfus�es � des patients, �galement appel� � plasma th�rapeutique �, ainsi que du plasma utilis� dans la fabrication de m�dicaments.

L�agence de cybers�curit� avait pr�venu contre ce type pr�cis d�attaque

Vincent Strubel, directeur g�n�ral de l'Agence nationale de la s�curit� des syst�mes d'information (ANSSI), l'agence fran�aise charg�e de la cybers�curit�, avait d�j� mis en garde contre des attaques visant la cha�ne d'approvisionnement m�dicale. � la suite des cyberattaques men�es le mois dernier contre les r�frig�rateurs de supermarch�s fran�ais, Strubel avait explicitement indiqu� que des technologies similaires �taient utilis�es dans les laboratoires de recherche, les pharmacies et les �tablissements du secteur de la sant�.

L'ANSSI a publi� une alerte officielle � la suite de l'incident survenu dans les supermarch�s, concernant la compromission des r�gulateurs de r�frig�ration Danfoss, Copeland et Dixell. Il n'existe actuellement aucune preuve permettant de confirmer ou d'infirmer que Coolworld utilisait ces appareils, et les enqu�teurs n'ont pas encore r�v�l� publiquement la m�thode d'intrusion utilis�e par les pirates.

Les attaques ciblant les syst�mes de r�frig�ration gagnent en ampleur

L'incident survenu chez EFS s'inscrit dans ce qui semble �tre une campagne de sabotage de plus en plus �tendue touchant les syst�mes de r�frig�ration � travers l'Europe. La premi�re attaque a eu lieu � la mi-octobre, touchant environ 400 supermarch�s en France et entra�nant des pertes de stocks s'�levant � plusieurs centaines de millions d'euros. Elle a �t� suivie, ce week-end, par une attaque similaire visant des cha�nes de supermarch�s et des fournisseurs alimentaires en Su�de, en Belgique, au Luxembourg, en Islande, aux Pays-Bas et au Royaume-Uni. La Commission europ�enne a qualifi� ces incidents de tentative d�lib�r�e de perturber les cha�nes d'approvisionnement alimentaire et de saper la confiance des consommateurs.

Les cyberattaques pr�sum�es ont provoqu� une hausse des temp�ratures dans les syst�mes de r�frig�ration des supermarch�s dans un nombre croissant de pays europ�ens. Des pics de temp�rature ont �t� enregistr�s pendant la nuit dans des magasins en Belgique, en Estonie, en Irlande, au Luxembourg et en Su�de. Si personne n'a encore revendiqu� ces cyberattaques, ces incidents contribuent � accro�tre les inqui�tudes concernant la guerre hybride d�coulant de l�invasion de l�Ukraine par la Russie et du conflit entre l�Iran et les �tats-Unis.

Source : Le Canard encha�n�

Et vous ?

:fleche: Pensez-vous que cette information est cr�dible ou pertinente ?
:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: Une faille de s�curit� dans des r�frig�rateurs, � l'origine d'incendies et de pertes en millions, trouve son origine dans une omission de mises � jour des appareils. L'incident a touch� 700 supermarch�s

:fleche: Piratage des r�frig�rateurs de supermarch�s fran�ais : plus de 1 300 tableaux de bord Web rest�s accessibles publiquement pendant des mois, et 85 % utilisaient des logiciels obsol�tes avec des failles connues

:fleche: Pour ou contre les appareils connect�s � domicile ? Des propri�taires d�plorent la perte de leurs aliments suite � une M�J de micrologiciel qui a rendu leurs r�frig�rateurs intelligents Samsung inutilisables

Une extension de Claude Code d'Anthropic a �t� compromise et a mis en danger 5 000 ordinateurs de d�veloppeurs

Anthony — Sun, 01 Nov 2026 11:31:34 GMT

Une extension officielle du mod�le Claude d'Anthropic a �t� compromise par une porte d�rob�e et a mis en danger jusqu'� 5 000 ordinateurs de d�veloppeurs, Anthropic n'a pas encore averti ses clients

Une version alt�r�e de l�extension � Claude Code � d�Anthropic pour les �diteurs compatibles avec Visual Studio Code aurait implant� une porte d�rob�e SSH sur les machines des d�veloppeurs, selon la soci�t� de s�curit� Phorion. La version 2.1.313 est apparue sur Open VSX, la plateforme sur laquelle s�appuient des �diteurs tels que Cursor et Windsurf, et a �t� disponible dans la boutique de Cursor pendant environ 11 heures le 29 octobre. Cursor estime que jusqu�� 5 000 utilisateurs ont pu �tre touch�s. La charge utile ajoute la cl� de l�attaquant aux cl�s SSH autoris�es, puis ouvre un tunnel vers le serveur de l�attaquant afin de r�cup�rer des donn�es telles que le r�pertoire de travail de la victime, son adresse e-mail Git, ainsi que jusqu'� 40 variables d�environnement. La d�sinstallation de l�extension ne suffit pas � supprimer la porte d�rob�e. Cursor pr�cise qu�Anthropic n�a pas d�velopp� cette version et qu�il n�a aucune preuve que d�autres versions aient �t� affect�es.

Anthropic est une soci�t� am�ricaine d'int�r�t public sp�cialis�e dans l'IA, dont le si�ge social est situ� � San Francisco, en Californie. Son produit phare est Claude, une s�rie de grands mod�les de langage (LLM) propri�taires. En janvier 2021, dans le but de promouvoir la s�curit� de l'IA, Anthropic a �t� fond�e par d'anciens membres d'OpenAI, notamment les fr�re et s�ur Daniela Amodei et Dario Amodei, qui en sont respectivement la pr�sidente et le PDG. L'entreprise est priv�e, mais pr�voit une introduction en bourse en novembre 2026.

Anysphere, Inc., op�rant sous le nom de Cursor, est une filiale de SpaceXAI qui propose une IA g�n�rative destin�e � la production de code informatique. Son produit phare est Cursor, un agent de codage bas� sur l'IA et un environnement de d�veloppement logiciel. L'IDE Cursor est � l'origine un fork de Visual Studio Code, enrichi des fonctionnalit�s d'IA suppl�mentaires telles que la g�n�ration de code, les r��critures intelligentes et des suggestions intelligentes.

Des chercheurs de la soci�t� de s�curit� macOS Phorion ont d�couvert qu�une version alt�r�e de l�extension � Claude Code � d�Anthropic, destin�e aux �diteurs compatibles avec VS Code, avait install� une porte d�rob�e SSH sur les ordinateurs des d�veloppeurs.

La soci�t� a rep�r� le paquet malveillant, version 2.1.313, sur Open VSX, une boutique open source d�extensions VS Code g�r�e par la Fondation Eclipse. La boutique d�extensions par d�faut de VS Code est le Visual Studio Marketplace de Microsoft, o� aucune version malveillante n�a �t� signal�e. Ses conditions d�utilisation la limitent aux produits de Microsoft ; par cons�quent, les �diteurs bas�s sur le code open source de VS Code, notamment Cursor et Windsurf, ne peuvent pas l�utiliser et se tournent vers Open VSX � la place.

Les coulisses du code malveillant qui aurait touch� des milliers de d�veloppeurs

� Le fichier extension.js compromis commence par une expression de fonction inject�e et invoqu�e imm�diatement (IIFE) plac�e en t�te du bundle d�extension minifi�. Le reste du bundle ressemble � celui d�une extension standard, avec des cha�nes de caract�res � Claude Code � et � VS Code �, des exportations normales d�activation et de d�sactivation, ainsi que du code d�interface utilisateur �, a expliqu� Calum Hall, PDG de Phorion.

� Le pr�fixe inject� importe des modules Node.js standard (child_process, fs, os, path, http et crypto) et s�ex�cute d�s que Node charge le fichier, avant m�me que la fonction de rappel d�activation normale de l�extension ne soit ex�cut�e. L�utilisateur n�a pas besoin d�interagir avec l�extension pour que la charge utile se d�clenche �, a-t-il ajout�.

Une fois ex�cut�, le code ajoute la cl� SSH de l�attaquant au fichier des cl�s autoris�es de l�utilisateur, ce qui permettrait � l�attaquant de se connecter en tant que cet utilisateur. Il ouvre ensuite une connexion SSH sortante vers le serveur de l�attaquant, cr�ant ainsi un tunnel que l�op�rateur peut utiliser pour se reconnecter � la machine de la victime. Le tunnel continue de fonctionner apr�s la fermeture de l��diteur, et le logiciel malveillant tente de r�tablir la connexion toutes les 60 secondes environ.

Pour survivre � un red�marrage, le logiciel malveillant met en place un m�canisme de persistance sur chaque plateforme. Sur Mac, il installe un fichier de d�marrage portant un nom de type Apple ; sous Linux, il ajoute une entr�e cron qui s�ex�cute au red�marrage ; et sous Windows, il tente de cr�er une t�che planifi�e appel�e � SysMon � et, en cas d��chec, se rabat sur le dossier � D�marrage �.

Les donn�es recueillies par l'attaquant sur les ordinateurs des d�veloppeurs

L�extension envoie au serveur de l�attaquant le nom d�h�te de la machine, le nom d�utilisateur, le syst�me d�exploitation, le r�pertoire personnel, le r�pertoire de travail, l�adresse e-mail Git et l�adresse IP publique.

Elle envoie �galement les noms de jusqu�� 40 variables d�environnement qui ressemblent � des cl�s, des jetons, des mots de passe ou des identifiants AWS et GCP. Les valeurs restent sur la machine, mais Calum Hall a soulign� que cette liste fournit � l�op�rateur un inventaire des h�tes contenant des identifiants cloud ou des jetons API, et lui indique ceux qu�il doit cibler en priorit�.

Une faille limite les d�g�ts sous macOS

La cl� implant�e ne fonctionne que si le service SSH de la machine est actif, et sous macOS, l��tape permettant de l�activer n�est souvent jamais ex�cut�e.

Phorion a identifi� la cause du probl�me : une v�rification d�fectueuse. Le script demande au syst�me si la connexion � distance est d�sactiv�e sans disposer des droits d�administrateur ; il re�oit alors un message d�erreur et ignore l��tape qui permettrait d�activer SSH.

Calum Hall a toutefois pr�cis� que cette faille ne constituait pas une protection, car sur un Mac o� la connexion � distance est d�j� activ�e, ou sur lequel l�utilisateur l�active par la suite, la porte d�rob�e est pr�te � �tre utilis�e.

� L�objectif de cette charge utile est d�obtenir un acc�s interactif � long terme, et bien que la faille de la porte d�rob�e SSH minimise l�impact sur macOS, ce logiciel malveillant reste une menace importante qui s�installe de mani�re persistante et envoie des signaux de reconnaissance de l�h�te � l�op�rateur �, a soulign� Calum Hall.

Onze heures sur le Marketplace et des milliers de victimes potentielles

Dans un avis de s�curit�, Cursor a indiqu� que la version malveillante avait �t� disponible sur sa boutique d�extensions VS Code pendant environ 11 heures le 29 octobre 2026. Au maximum 5 000 utilisateurs ont �t� concern�s, et la soci�t� pr�voit de les contacter directement.

� Cette version malveillante de l�extension n�a pas �t� d�velopp�e par Anthropic �, a d�clar� la soci�t�, ajoutant qu�elle ne disposait d�aucune preuve indiquant que d�autres versions de l�extension ou la distribution officielle aient �t� affect�es.

Selon Cursor, l�activation de SSH n�cessite des droits d�administrateur dont l�extension ne dispose pas sur la plupart des h�tes Mac et Windows ; sur ces machines, l�attaquant n�aurait donc pas pu se connecter via le tunnel. L�entreprise a collabor� avec le fournisseur de services cloud h�bergeant le serveur de l�attaquant pour le mettre hors ligne, ce qui a interrompu � la fois le fonctionnement du tunnel et celui des rapports de donn�es.

Apr�s avoir retir� la version malveillante, Cursor a ferm� sa boutique VS Code par mesure de pr�caution, a proc�d� � un audit des acc�s et n�a trouv� aucune autre extension alt�r�e. L�entreprise a ensuite renouvel� ses cl�s et reconstruit la boutique, qu�elle a remise en service � apr�s s��tre assur�e qu�il n�y avait plus aucun risque �, a-t-elle d�clar� sur X. L�incident n�affecte pas les autres extensions t�l�charg�es depuis la boutique Cursor, ni Grok Bot, Grok ou les autres produits SpaceXSI de l�entreprise, a-t-elle ajout�.

La suppression de l'extension ne suffit pas � �liminer la menace

La d�sinstallation de l�extension ne supprimera pas la porte d�rob�e, a averti Phorion. Cursor a indiqu� que la suppression seule pourrait ne pas suffire, car la charge utile d�pose des scripts autonomes qui continuent de s�ex�cuter.

Toute personne ayant install� ou mis � jour l�extension vers la version 2.1.313 devrait v�rifier si son fichier de cl�s d�autorisation SSH contient une entr�e intitul�e svc-telemetry. Cursor a publi� des commandes permettant d�effectuer cette v�rification ainsi que des scripts de nettoyage pour macOS et Windows, et les deux entreprises ont partag� des indicateurs de compromission.

Cet incident s�ajoute � une s�rie de signaux qui am�nent certains experts � juger que la menace de l�IA est d�sormais hors de contr�le. Ces sp�cialistes s�appuient sur plusieurs d�veloppements r�cents : des mod�les capables de s�am�liorer de mani�re autonome, des agents IA ayant �chapp� � la surveillance humaine pour pirater des services tiers, ou encore une fausse information g�n�r�e par l�IA et utilis�e par l�arm�e am�ricaine qui, selon certains, aurait failli d�clencher une guerre avec la Chine. � cela s�ajoutent les risques de cyberguerre et de bioterrorisme. Malgr� des propositions l�gislatives telles qu�un � bouton d�arr�t d�urgence �, des lanceurs d�alerte craignent qu�il ne soit d�j� trop tard pour enrayer la menace de l'IA.

Sources : Avis de s�curit� (Cursor), description de la faille (Microsoft , Phorion, Kevin Beaumont)

Et vous ?

:fleche: Quel est votre avis sur le sujet ?
:fleche: Trouvez-vous les conclusions des chercheurs en s�curit� de Phorion cr�dibles ou pertinentes ?

Voir aussi :

:fleche: Une faille critique dans Claude Code est apparue apr�s la fuite du code source : Anthropic a d'abord divulgu� le code source de Claude Code, puis une faille critique a �t� d�couverte par Adversa AI

:fleche: Claude Code d�truit 2,5 ans de donn�es en production en un instant : le post-mortem qui devrait faire r�fl�chir tous les d�veloppeurs utilisant des agents IA

:fleche: Anthropic lance la version b�ta publique de Claude Security, un outil de d�tection des vuln�rabilit�s du code bas� sur l'IA et s'appuyant sur le mod�le Opus 4.7

Images attach�es

Un pirate parvient � compromettre et � d�tourner 333 n�uds de sortie Tor � des fins d�espionnage de masse

Patrick Ruiz — Fri, 30 Oct 2026 11:49:01 GMT

Un pirate parvient � compromettre et � d�tourner 333 n�uds de sortie Tor � des fins d�espionnage de masse et de vol de cl�s d�acc�s SSH. L�initiative bouscule certaines certitudes sur ce r�seau.

En octobre 2026, une cyberattaque d'envergure a cibl� le r�seau Tor. Un pirate a r�ussi � compromettre et � d�tourner 333 n�uds de sortie Tor, soit environ 10 % de la capacit� totale de sortie du r�seau. D�couverte par un ing�nieur suisse et rapidement neutralis�e par le Projet Tor, cette op�ration met en lumi�re des techniques avanc�es d'interception de trafic.

L'objectif principal �tait l'espionnage de masse et le vol de cl�s d'acc�s/identifiants hautement sensibles

L'attaquant cherchait � intercepter les connexions des administrateurs syst�me et d�veloppeurs utilisant Tor pour g�rer leurs serveurs distants. Une fois les identifiants SSH vol�s, l'objectif �tait d'infecter les serveurs cibles avec des logiciels malveillants. L'attaque visait de plus � r�colter le trafic de messagerie non chiffr� transitant par le r�seau.

More than 300 Tor exit nodes were hijacked in a campaign targeting SSH connections and unencrypted email. Attackers used a reused password to access a Tor management server, installed the Ebury Linux backdoor, and redirected selected traffic through attacker-controlled infrastructure. The incident is a reminder that anonymity doesn't automatically secure every connection. What additional protections do you need when using Tor to access sensitive systems? #Tor #Cybersecurity #NetworkSecurity
— Security Weekly Podcast Network (@SecWeekly) October 24, 2026

Contrairement aux vagues d'attaques pr�c�dentes o� les pirates cr�aient leurs propres n�uds malveillants, les attaquants ont ici pirat� des serveurs l�gitimes existants

Les n�uds Tor appartenaient � des serveurs d�j� secr�tement infect�s par Ebury, un c�l�bre rootkit/backdoor Linux sp�cialis� dans le vol d'identifiants SSH et le d�tournement de serveurs.

Les attaquants ont modifi� les politiques de sortie des n�uds Tor compromis. � partir du 2 octobre 2026, tout le trafic sortant via le port 22 (SSH) a �t� redirig� vers un groupe de 12 serveurs d'interception contr�l�s par les pirates.

Les serveurs d'interception utilisaient des scripts (notamment bas�s sur la biblioth�que Python Paramiko) pour capturer les mots de passe des utilisateurs distants. En parall�le, ils bloquaient les ports de messagerie chiffr�s pour forcer le trafic d'e-mails vers des protocoles en texte clair (downgrade), facilitant le sniffing des donn�es.

Tor Network Node Attack A major security breach hit the Tor network when over 300 exit relays were hijacked by malicious actors.The compromised servers modified traffic policies to block encrypted ports and force plaintext routing. This allowed attackers to intercept sensitive unencrypted traffic and harvest login credentials�including SSH passwords. The exploit did not break Tor�s core onion routing math, but targeted vulnerable nodes running on hijacked infrastructure.The Tor Project swiftly intervened by purging the rogue relays from the network within days of discovery.
— GETH_BTC (@GETH_BTC) October 26, 2026

Quelles nouveaut�s cette attaque apporte-t-elle sur la connaissance du r�seau Tor?

Historiquement, les attaques majeures sur Tor (comme celles ciblant les cryptomonnaies) reposaient sur des "fermes" de n�uds malveillants cr��es de toutes pi�ces par les attaquants. Ici, la nouveaut� r�side dans la capacit� � compromettre massivement et simultan�ment des relais existants et g�r�s par des op�rateurs ind�pendants.

L'enqu�te a r�v�l� que certains n�uds Tor ont �t� pirat�s en raison de pratiques de s�curit� basiques d�faillantes chez leurs administrateurs (ex. : r�utilisation de mots de passe sur les serveurs h�bergeant le n�ud).

Le fait que l'attaque ait pu absorber 10 % des n�uds de sortie en seulement quelques jours prouve que la topologie de Tor reste sensible � des modifications brutales de routage avant que les m�canismes d'alerte ne se d�clenchent.

Attackers compromised over 300 Tor exit relays in early October to intercept SSH connections and steal login passwords. https://t.co/eTKsZaIM2N
— Israel (@f1tym1) October 23, 2026

Quelles le�ons pour la fili�re IT dans son ensemble?

Cette cyberattaque offre des enseignements cruciaux pour les administrateurs syst�me, les d�veloppeurs et les ing�nieurs r�seau. En effet, lors de l'attaque, SSH a fonctionn� comme pr�vu : il a averti les utilisateurs que l'empreinte de la cl� du serveur avait chang� (� cause de l'interception). Les utilisateurs qui ont �t� pirat�s sont ceux qui ont ignor� cet avertissement et forc� la connexion. L'�ducation des utilisateurs � la discipline de s�curit� reste primordiale.

Divers publications sp�cialis�es soulignent en sus que l'utilisation de cl�s SSH (Ed25519 ou RSA robustes) avec mot de passe de protection (passphrase), coupl�e � une authentification multifacteur (MFA), aurait rendu la capture des connexions par les serveurs d'interception totalement inutile.

Certains experts insistent sur le fait que Tor garantit l'anonymat de la source, mais pas la confidentialit� du point de sortie jusqu'� la destination. Si le protocole applicatif final n'est pas chiffr� (HTTP au lieu d'HTTPS, ou SSH intercept�), le n�ud de sortie peut tout lire. En gros, le chiffrement de bout-en-bout est obligatoire pour assurer la s�curit� de son infrastructure informatique.

Enfin, ceux qui d�ploient des services pour le bien commun (comme les relais Tor) doivent appliquer une s�curit� maximale sur leurs serveurs : isolation des processus, interdiction de r�utiliser des mots de passe et audits r�guliers contre les rootkits comme Ebury. En d�autres termes, une hygi�ne stricte est requise pour les op�rateurs d�infrastructures.

Source: Alertes de l��quipe de s�curit� Tor

Et vous?

:fleche: Quelles le�ons tirez-vous personnellement de ce piratage sur le r�seau Tor?

Voir aussi:

:fleche: Les connexions aux services cach�s du r�seau Tor sont plus nombreuses dans les pays politiquement libres que dans ceux qui ne le sont pas, d'apr�s des chercheurs

:fleche: Une vuln�rabilit� permet le suivi d'utilisateurs sur les navigateurs Chrome, Firefox, Safari et Tor. Les utilisateurs sur VPN ou en mode incognito ne sont pas �pargn�s, selon FingerprintJS

:fleche: Chat Control 2.0 : le Conseil de l'UE approuve un nouveau mandat favorisant la surveillance de masse, ravivant le d�bat sur le chiffrement et l'analyse c�t� client qui menacent la fiabilit� des communications

Une faille d'ex�cution de code dans le firmware UEFI menace la plupart des serveurs � l'�chelle mondiale

Anthony — Wed, 28 Oct 2026 18:04:48 GMT

Une faille d'ex�cution de code dans le firmware UEFI menace la plupart des fournisseurs de serveurs et des centres de donn�es � l'�chelle mondiale, la vuln�rabilit� a un niveau de gravit� de 9,5 sur 10

Une faille de s�curit� vieille de 16 ans dans le micrologiciel UEFI permet aux pirates informatiques d'ex�cuter du code malveillant sur des serveurs avant m�me le chargement du syst�me d'exploitation. R�pertori�e sous le num�ro CVE-2026-97631 et �valu�e � 9,5 sur 10 en termes de gravit�, cette vuln�rabilit� critique affecte TianoCore EDK II, le code de r�f�rence dont d�rivent la plupart des firmwares UEFI des serveurs. La faille a �t� d�couverte par des chercheurs d�Anthropic et de Google avant la publication pr�matur�e du code de correction par AMI, qui a r�v�l� les d�tails de cette vuln�rabilit�. Les entreprises sont invit�es � contacter leurs fournisseurs de mat�riel afin de d�terminer si leurs syst�mes sont vuln�rables. En attendant la mise � disposition des correctifs, la d�sactivation temporaire du d�marrage r�seau PXE peut permettre d'att�nuer le risque.

L'interface UEFI (Unified Extensible Firmware Interface) est une sp�cification relative � l'architecture du micrologiciel d'une plateforme informatique. Lorsqu'un ordinateur est mis sous tension, l'impl�mentation UEFI s'ex�cute g�n�ralement en premier, avant le chargement du syst�me d'exploitation ou de tout autre programme. Parmi les exemples, on peut citer AMI Aptio, Phoenix SecureCore et InsydeH2O. Selon le Forum UEFI, TianoCore EDK II est l'impl�mentation de r�f�rence, dont les autres impl�mentations empruntent largement le code.

Une faille de s�curit� grave dans un micrologiciel UEFI largement utilis� permet aux pirates de cibler des serveurs avant m�me le chargement du syst�me d'exploitation. Cette faille, dont le niveau de gravit� est �valu� � 9,5, peut permettre aux attaquants d'acc�der aux parties les plus sensibles d'un syst�me. Les centres de donn�es et les organisations qui d�marrent leurs serveurs via un r�seau sont particuli�rement expos�s � ce risque.

La vuln�rabilit�, r�f�renc�e sous le num�ro CVE-2026-97631, affecte TianoCore EDK II. Ce code open source est utilis� dans le monde entier par les fabricants de mat�riel serveur et les fournisseurs de micrologiciels UEFI. AMI, Insyde et Phoenix, entre autres, utilisent des composants EDK II. On ne sait pas encore exactement quels syst�mes sont vuln�rables.

La faille existe depuis seize ans et r�side dans le logiciel qui permet aux ordinateurs de d�marrer via un r�seau. Cette technique, connue sous le nom de PXE, est largement utilis�e dans les centres de donn�es pour d�ployer et g�rer les serveurs de mani�re centralis�e.

Au cours du processus de d�marrage, le micrologiciel traite, entre autres, les messages ICMP. En raison d'une erreur dans la mani�re dont le micrologiciel traite ces messages, les attaquants peuvent �crire dans la m�moire un volume de donn�es sup�rieur � la capacit� disponible. Cela provoque un d�bordement de tampon que les attaquants peuvent exploiter pour ex�cuter du code malveillant.

La vuln�rabilit� permet aux pirates de frapper avant m�me que le syst�me d'exploitation ne d�marre

Le principal danger r�side dans le moment o� l'attaque est lanc�e. Le code malveillant peut s'ex�cuter avant que le syst�me d'exploitation ne soit actif et avant que les contr�les de s�curit� habituels ne soient termin�s.

Une attaque r�ussie pourrait donc permettre d'acc�der � des composants sensibles du syst�me, notamment le module TPM (Trusted Platform Module). Les pirates pourraient �galement installer des logiciels malveillants suppl�mentaires qui s'activeraient lors des s�quences de d�marrage suivantes.

Cela dit, cela ne signifie pas pour autant que n�importe quel serveur puisse �tre pirat� � distance. Les pirates doivent avoir acc�s au r�seau concern� et doivent g�n�ralement adapter leur attaque � la version du micrologiciel et � la configuration mat�rielle de la cible. Cette vuln�rabilit� pr�sente donc un risque principalement lorsque les pirates ont d�j� r�ussi � s�introduire dans un r�seau d�entreprise.

Dans certaines circonstances, selon les chercheurs en s�curit�, cette vuln�rabilit� peut �tre exploit�e pour contourner les mesures de s�curit� existantes ou obtenir des privil�ges syst�me �lev�s.

Le d�ploiement des correctifs pourrait s'av�rer compliqu�

La vuln�rabilit� a �t� d�couverte par des chercheurs d�Anthropic et de Google. � l�origine, ils avaient l�intention de rendre cette faille publique en janvier dernier, afin de laisser aux fabricants suffisamment de temps pour pr�parer des mises � jour.

Ce plan a �t� contrecarr� lorsque le fournisseur de micrologiciels AMI a publi� pr�matur�ment du code permettant de corriger le probl�me. En cons�quence, les d�tails techniques de la vuln�rabilit� ont �galement �t� r�v�l�s. Le projet TianoCore a alors d�cid� de publier un avis de s�curit�.

Bien que la correction de code n�cessaire soit relativement simple, le d�ploiement des mises � jour pourrait s'av�rer compliqu�. De nombreux fabricants utilisent l'EDK II et doivent int�grer ces modifications individuellement dans leur micrologiciel. De plus, certains serveurs plus anciens ne b�n�ficient peut-�tre plus d'un support de s�curit�.

Intel pr�cise que, � sa connaissance, ses produits commerciaux actuellement pris en charge ne sont pas concern�s. Cependant, l'entreprise n'exclut pas la possibilit� que des fabricants aient int�gr� des composants vuln�rables dans leur propre micrologiciel.

Les organisations sont invit�es � se renseigner aupr�s de leurs fournisseurs de mat�riel afin de d�terminer si leurs syst�mes sont vuln�rables. En attendant la mise � disposition de mises � jour, la d�sactivation temporaire du d�marrage r�seau PXE peut permettre d'att�nuer le risque. Les syst�mes qui d�marrent exclusivement � partir de supports de stockage locaux ne sont pas concern�s par cette vuln�rabilit� sp�cifique.

La d�couverte de cette faille de s�curit� vieille de 16 ans rappelle que des vuln�rabilit�s longtemps pass�es inaper�ues sont d�sormais d�tect�es en masse gr�ce � l�intelligence artificielle (IA), au point de saturer les �quipes charg�es de la revue de code. L��cosyst�me PHP vient d�en faire l�exp�rience. Ce projet open source, qui propulse environ 70 % du Web mondial, souffre d'un manque de personnel et de financement : il ne compte qu'un seul employ� � temps plein, un sympt�me parmi d'autres d'un probl�me plus profond.

Source : Description de la faille, Enregistrement CVE

Et vous ?

:fleche: Quel est votre avis sur le sujet ?
:fleche: Trouvez-vous le niveau de risque attribu� � cette faille UEFI pertinent et justifi� ?

Voir aussi :

:fleche: Bootkitty, le premier kit de d�marrage UEFI pour Linux, qui ne peut pas encore �tre utilis�, mais qui pourrait annoncer l'apparition d'un logiciel malveillant UEFI pour Linux

:fleche: Kaspersky : Identification d'un troisi�me firmware bootkit baptis� MoonBounce, plus discret, plus persistant et plus �volu�, cach� dans le firmware de l'UEFI des ordinateurs

:fleche: La fonctionnalit� Secure Boot de Microsoft est d�faillante depuis une d�cennie et personne ne s'en �tait rendu compte jusqu'� pr�sent, cette faille expose les utilisateurs de Windows et de Linux aux bootkits

La version 4.1 d'OpenSSL est disponible avec la prise en charge de DTLS 1.3, de IKEv2 KDF et de GREASE

Anthony — Tue, 27 Oct 2026 10:53:59 GMT

La version 4.1 d'OpenSSL est disponible avec la prise en charge de DTLS 1.3, de IKEv2 KDF et du m�canisme GREASE, ainsi que plusieurs optimisations pour la cryptographie post-quantique

La Fondation OpenSSL a publi� la version 4.1 d'OpenSSL, la biblioth�que logicielle qui permet aux applications et aux sites web de communiquer en toute s�curit� sur les r�seaux informatiques. Cette mise � jour apporte la prise en charge du DTLS 1.3 (Datagram Transport Layer Security), du m�canisme GREASE (Generate Random Extensions And Sustain Extensibility) et d'IKEV2 KDF, ainsi qu'un support initial de l'architecture Elbrus2000 (e2k). Elle acc�l�re �galement les travaux sur la s�curit� post-quantique, notamment gr�ce � des optimisations sp�cifiques au mat�riel. Autres changements notables : OpenSSL 4.1 a supprim� les flags no-ecdsa et no-ecdh de la commande � Configure �. Les utilisateurs devront donc d�sormais utiliser l'option no-ec pour d�sactiver la prise en charge des courbes elliptiques. Par ailleurs, la prise en charge h�rit�e des cibles Windows sur Itanium et Windows CE a �t� abandonn�e.

Le protocole TLS (Transport Layer Security) est un protocole cryptographique con�u pour assurer la s�curit� des communications sur un r�seau informatique, tel qu'Internet. Ce protocole est largement utilis� dans des applications telles que la messagerie �lectronique, la messagerie instantan�e et la voix sur IP, mais c'est son utilisation pour s�curiser le protocole HTTPS qui reste la plus visible du grand public.

OpenSSL est une biblioth�que logicielle destin�e aux applications qui assurent des communications s�curis�es sur les r�seaux informatiques contre les �coutes clandestines et permettent d'identifier le correspondant � l'autre bout de la ligne. Elle est largement utilis�e par les serveurs Internet, notamment par la majorit� des sites web HTTPS. OpenSSL contient une impl�mentation open source des protocoles SSL et TLS. La biblioth�que principale, �crite en langage C, impl�mente des fonctions cryptographiques de base et fournit diverses fonctions utilitaires. OpenSSL est disponible pour la plupart des syst�mes d'exploitation de type Unix (notamment Linux, macOS et BSD), Microsoft Windows et OpenVMS.

La Fondation OpenSSL vient de publier la version 4.1, qui marque une �tape importante pour cette biblioth�que de cryptographie largement utilis�e, gr�ce � de nouvelles fonctionnalit�s majeures et � des am�liorations architecturales substantielles. Cette version introduit la prise en charge de DTLS 1.3 (RFC 9147), des extensions GREASE (RFC 8701) et une compatibilit� initiale avec l'architecture du processeur Elbrus2000 (e2k), �largissant ainsi la palette d'outils cryptographiques � la disposition des d�veloppeurs et des professionnels de la s�curit� du monde entier.

Cette mise � jour apporte des am�liorations notables en termes de performances gr�ce � des optimisations sp�cifiques au mat�riel, notamment les op�rations SHAKE x4 et AES-CBC acc�l�r�es par AVX-512 pour ML-DSA sur les syst�mes x86_64, ainsi que des op�rations NTT ML-DSA et ML-KEM optimis�es pour les plateformes PPC64LE et d�op�rations ML-DSA optimis�es sur x86_64. Ces am�liorations permettent � OpenSSL de mieux prendre en charge les nouvelles normes de cryptographie post-quantique tout en conservant son efficacit� sur le mat�riel moderne.

Cette version supprime la prise en charge h�rit�e des cibles Windows sur Itanium (VC-WIN64I) et Windows CE (VC-CE) des configurations, refl�tant ainsi l'�volution de la plateforme vers des environnements informatiques contemporains. Elle ajoute �galement des cibles de compilation VC-WIN32-MSVC2013 et VC-WIN64A-MSVC2013 afin de fournir des fonctions internes permettant de pallier les lacunes de prise en charge de la norme C99 pr�sentes dans MSVC 2013. Toutefois, les utilisateurs qui s'appuient sur l'utilitaire tsget doivent noter la migration de WWW::Curl::Easy vers Net::Curl::Easy (issu de la distribution CPAN Net-Curl) avant de proc�der � la mise � jour.

Les observateurs du secteur estiment que cette version t�moigne de l'engagement constant d'OpenSSL � s'adapter � l'�volution des exigences cryptographiques et des capacit�s mat�rielles. L'ajout de la prise en charge de DTLS dans l'API du listener SSL et de la prise en charge de IKEV2 KDF renforce encore davantage l'applicabilit� de la biblioth�que aux infrastructures de communication s�curis�es. Les �quipes de s�curit� qui pr�voient des mises � niveau auront tout int�r�t � examiner attentivement les modifications de configuration, en particulier la consolidation des options relatives aux courbes elliptiques et la suppression des flags no-ecdsa et no-ecdh, d�sormais obsol�tes, au profit de l'option unifi�e no-ec.

Source : OpenSSL 4.1.0

Et vous ?

:fleche: Quel est votre avis sur le sujet ?
:fleche: Que pensez-vous des nouveaut�s propos�es par cette version d'OpenSSL ? Les trouvez-vous utiles et int�ressantes ?

Voir aussi :

:fleche: Douze ans apr�s Heartbleed, OpenSSL 4.0 enterre SSLv3, chiffre le SNI et embrasse le post-quantique : OpenSSL 4.0 s'attaque au filtrage d'�tat et � l'inspection de trafic en entreprise

:fleche: OpenSSL annonce la disponibilit� de la version 3.0 et le renouvellement de la Licence Apache-2.0, avec l'utilisation du nouveau module FIPS dans les projets de d�veloppement d'applications

Un chercheur en s�curit� affirme que les TV Samsung utilisent l'IA pour enregistrer les sons ambiants

Patrick Ruiz — Mon, 26 Oct 2026 09:06:40 GMT

� J'ai enfin trouv� une entreprise qui �coute vraiment ses clients �, lance un hacker selon lequel les TV Samsung utilisent l'IA pour enregistrer du son et r�aliser des captures d'�cran � des fins de pubs

Un chercheur en s�curit� sous le pseudonyme de @log4j a mis en �vidence des m�canismes de collecte de donn�es et d'�coute active au sein du micrologiciel de son t�l�viseur connect� Samsung de 2025. L'analyse technique r�v�le l'existence d'un service d'arri�re-plan capable d'exploiter les microphones connect�s de la maison et de faire tourner des mod�les d'intelligence artificielle locaux pour classifier des bruits ambiants. Ses trouvailles viennent �tendre la liste des cas pour lesquels les t�l�viseurs connect�s sont consid�r�s comme des dispositifs d�espionnage.

@log4j affirme avoir trouv� un service audio actif en permanence sur les t�l�viseurs connect�s Samsung mis sur le march� en 2025

D�apr�s les publications du chercheur en s�curit�, le syst�me d�exploitation Tizen desdits t�l�viseurs contient un fichier de configuration nomm� security-policy.xml. Il ajoute qu�on retrouve un service baptis� csapi-tv-service-alwaysonvoice, actif en permanence.

De plus, le chercheur a montr� des captures d'�cran de compteurs internes portant l'�tiquette EV201 SOUNDSENSOR_ON, con�us pour classer des �v�nements sonores pr�cis : aboiement du chien, pleurs du nourrisson. Les donn�es, toujours selon son analyse, seraient transmises � un endpoint identifi� comme lcprd1.samsungcloudsolution.net, un domaine rattach� � l'infrastructure cloud de Samsung.

Le chercheur en s�curit� signale aussi la pr�sence d'un syst�me ACR de reconnaissance automatique des contenus affich�s � l'�cran, des modules de g�olocalisation, un packet logger nomm� rmdemon et une liste de plus de 400 entit�s partenaires enregistr�es dans la configuration du t�l�viseur pour la collecte et le partage de donn�es. Dans une publication distincte, le chercheur a aussi document� le fonctionnement du micro Bluetooth de la barre de son Samsung, utilis� pour relayer des commandes vocales � Bixby sans interaction directe avec la t�l�commande.

@log4j caricature la situation en soulignant � qu�il a enfin trouv� un entreprise qui �coute vraiment ses clients. �

i own a relatively new (2025) samsung tv. i kept getting weirdly targeted ads. i tried reversing the firmware but it was aes encrypted and no keys unless tear it apart and do uart/jtag magic. zero days it is. root shell on new samsung TVs! discovered PRIVACY HORROR. write up? https://t.co/EsxxCy1b6a
— log4j (@log4j) October 21, 2026

Ce nouveau cas en lien avec les t�l�viseurs Samsung ram�ne sur la table l�un des d�bats les plus importants lorsqu�on parle des dispositifs connect�s � Internet : leur utilit� face aux risques li�s � leur utilisation

Poss�der un t�l�viseur connect� offre un acc�s direct � Internet et donc aux services en ligne (streaming, navigation sur Internet, partage d��cran, contr�le vocal au travers d�assistants comme Alexa), mais cela cela comporte des risques li�s � la s�curit� et � la vie priv�e.

A titre d�illustration, une vaste enqu�te technique men�e par les m�dias sp�cialis�s Gamers Nexus et Level1Techs a r�v�l� que certains t�l�viseurs OLED de la marque LG collectaient d'importantes donn�es sur leur environnement r�seau. Les chercheurs ont affirm� que les appareils transcrivaient et traquaient les donn�es audio de la pi�ce. Plus grave encore, m�me en coupant la connexion Wi-Fi ou en mettant la TV en veille, les donn�es �taient stock�es localement puis transmises d�s le r�tablissement du r�seau. Bien que LG ait fermement r�fut� ces conclusions en affirmant que l'activation vocale n�cessite une action humaine, l'affaire a mis en �vidence la complexit� des param�tres de confidentialit� de la marque.

En fait, la situation est telle que le procureur g�n�ral du Texas a intent� des poursuites massives contre les principaux constructeurs mondiaux (Sony, Samsung, LG, Hisense, TCL), accus�s d'exploiter la technologie ACR de mani�re abusive. La plainte reprochait � ces syst�mes d'effectuer des captures d'�cran invisibles � une fr�quence extr�mement �lev�e (jusqu'� une capture toutes les 500 millisecondes) pour analyser tout le contenu transitant par les ports HDMI. En r�ponse � la pression judiciaire, Samsung et LG ont d� accepter de modifier leurs interfaces au Texas pour solliciter un consentement explicite.

M�me le FBI a, par le pass�, publi� des alertes nationales formelles concernant les t�l�viseurs intelligents. L'agence f�d�rale a point� du doigt le fait que les pirates informatiques peuvent facilement prendre le contr�le des cam�ras et micros mal s�curis�s de ces t�l�viseurs pour observer et �couter l'intimit� des familles � l'int�rieur de leur propre domicile.

WTF, $3000 Samsung TV has an always-on mic, automatic content recognition, geo tracking, network mapping, and ships your data to Samsung + 400 partners. Bro Rooted a brand-new 2025 Samsung TV after noticing absurdly targeted ads. Firmware was locked down, so zero-days it was. Got a root shell. then found: always-on voice service, ACR, geo, full telemetry pipeline, and four separate DRM systems. This isn�t a bug, It�s the product bro.
— Md Ismail �ojal 🕷️ (@0x0SojalSec) October 22, 2026

Dans un tel contexte, r�duire la surface d�intrusion des entreprises ne rel�ve-t-il pas de notre responsabilit� en tant qu�utilisateurs ?

Grosso modo, le contexte impose aux utilisateurs de produits et services en ligne de s�int�resser aux solutions respectueuses de leur vie priv�e. Et � cet effet, le d�p�t GitHub Awesome Privacy liste une panoplie d�alternatives gratuites et open source.

� Lorsque vous utilisez des services d'IA dans le nuage, les donn�es que vous saisissez sont souvent collect�es et stock�es par le fournisseur de services. Il peut s'agir non seulement du contenu de vos demandes, mais aussi de m�tadonn�es, telles que les horodatages ou les adresses IP. Les serveurs tiers peuvent donner acc�s � vos donn�es � leurs employ�s, partenaires ou m�me � d'autres utilisateurs, en fonction de leur politique de confidentialit�. Les donn�es peuvent �tre utilis�es � diverses fins, notamment pour la formation des mod�les, la recherche ou m�me les activit�s de marketing. Vos demandes aupr�s d'un service d'IA tiers peuvent �tre li�es � vos informations d'utilisateur et � vos d�tails de paiement, ce qui permet de relier vos donn�es � votre identit� �, indiquent les mainteneurs qui proposent donc des alternatives au cas par cas.

Et vous ?

:fleche: Que pensez-vous de la collecte de donn�es par les t�l�viseurs connect�s ? Est-ce une atteinte � votre vie priv�e ou un service utile ?
:fleche: Quelles sont les mesures que vous prenez pour prot�ger vos donn�es personnelles sur votre t�l�viseur connect� ? Avez-vous d�sactiv� la fonction ACR ou r�initialis� vos identifiants publicitaires ?
:fleche: Faites-vous confiance aux fabricants de t�l�viseurs intelligents pour respecter votre confidentialit� et ne pas vendre vos donn�es � des tiers ? Pourquoi ou pourquoi pas ?
:fleche: Pr�f�rez-vous utiliser des appareils externes, comme les cl�s Chromecast, Apple TV ou Fire Stick, pour regarder des contenus en streaming sur votre t�l�viseur connect� ? Quels sont les avantages et les inconv�nients de ces solutions ?
:fleche: Quelles sont les �volutions que vous attendez ou que vous redoutez pour les t�l�viseurs connect�s dans le futur ? Quels sont les risques ou les opportunit�s que cela repr�sente pour vous ?

Voir aussi :

:fleche: Alexa, trouve-moi une publicit�: Amazon va doter Alexa d'une IA g�n�rative et s'en servir pour diffuser des publicit�s sur les Fire TV, apr�s avoir attir� de nombreux clients avec des prix bas

Des responsables du DHS de Trump demandent � la CISA de pirater secr�tement une machine � voter

Eliora — Tue, 20 Oct 2026 06:14:28 GMT

Des responsables du DHS sous la pr�sidence de Donald Trump demandent � la CISA d'acqu�rir secr�tement une machine � voter, de la pirater et d'en rendre compte � la Maison Blanche

Peu apr�s le d�but du deuxi�me mandat pr�sidentiel de Donald Trump, des responsables politiques nomm�s au sein du minist�re am�ricain de la S�curit� int�rieure ont fait pression sur l'Agence pour la CISA afin qu'elle ach�te discr�tement une machine � voter et tente de la pirater. Deux anciens responsables de l'administration ont d�clar� � ProPublica que la CISA devait transmettre les r�sultats des tests � la Maison Blanche sans informer le fabricant du mat�riel des vuln�rabilit�s d�tect�es. Les fonctionnaires de carri�re de la CISA ont per�u cette demande comme un pas vers une ing�rence politique. Finalement, les responsables politiques ont abandonn� cette id�e, selon le rapport. Plusieurs autorit�s �lectorales des �tats ont d�clar� n'avoir re�u aucune aide de la CISA lors de la pr�paration des �lections de mi-mandat.

L'Agence pour la cybers�curit� et la s�curit� des infrastructures (CISA) est une entit� du D�partement am�ricain de la S�curit� int�rieure (DHS) charg�e de la cybers�curit� et de la protection des infrastructures informatiques. Elle supervise l'ensemble des �chelons du gouvernement f�d�ral et assure la coordination avec les �tats am�ricains afin de renforcer la cybers�curit� face aux pirates informatiques issus du secteur priv� et d'�tats-nations. Le si�ge de la CISA est situ� � Arlington, en Virginie.

Peu apr�s le d�but du deuxi�me mandat pr�sidentiel de Donald Trump, des responsables politiques nomm�s au sein du minist�re am�ricain de la S�curit� int�rieure ont fait pression sur l�Agence pour la CISA afin qu�elle ach�te discr�tement une machine � voter et tente de la pirater.

Les r�sultats devaient �tre transmis � la Maison Blanche

Deux anciens responsables de l�administration ont d�clar� � ProPublica que la CISA devait transmettre les r�sultats des tests � la Maison Blanche sans informer le fabricant du mat�riel des vuln�rabilit�s d�tect�es. Selon le m�dia, cela s��cartait de la proc�dure habituelle. Les fonctionnaires de carri�re de la CISA ont per�u cette demande comme un pas vers une ing�rence politique. Un ancien responsable a laiss� entendre que les informations relatives aux vuln�rabilit�s auraient pu �tre dissimul�es en vue d�une �ventuelle invalidation des r�sultats �lectoraux qui n�auraient pas plu aux initiateurs d�une telle demande.

Les employ�s de la CISA ont expliqu� � plusieurs reprises qu�ils ne pouvaient pas mener � bien cette mission, notamment parce que les sp�cialistes capables de r�aliser un tel test avaient �t� licenci�s dans le cadre du D�partement de l�efficacit� gouvernementale (DOGE), li� � Elon Musk. Finalement, les responsables politiques ont abandonn� cette id�e, selon le rapport.

R�ductions budg�taires � la CISA et r�action des �tats

Apr�s le retour au pouvoir de Trump, plus de 1 000 employ�s ont �t� licenci�s ou contraints de quitter la CISA, ce qui a r�duit les effectifs de l�agence d�environ un tiers. Le projet de budget du pr�sident pour 2027 pr�voit une r�duction suppl�mentaire des d�penses de 700 millions de dollars, ce qui pourrait entra�ner 900 licenciements suppl�mentaires. Plusieurs autorit�s �lectorales des �tats ont d�clar� n�avoir re�u aucune aide de la CISA lors de la pr�paration des �lections de mi-mandat. Ryan Macias, expert en s�curit� �lectorale qui a conseill� l�agence, a soulign� qu�il y avait une diff�rence entre le fait de ne plus accorder la priorit� � certaines t�ches et l�absence effective d�une institution.

Les �tats ont �galement fait �tat d�une perte de confiance apr�s que l�administration eut rendu publics des documents d�classifi�s concernant l��lection de 2020, qui contenaient des informations sensibles fournies � titre confidentiel � la CISA. Le secr�taire d��tat de l�Arizona, Adrian Fontes, a d�clar� que lors d�une conversation en ao�t, il avait fait part au directeur par int�rim de la CISA, Nick Andersen, de son manque de confiance � son �gard. En septembre, la CISA a publi� un plan de s�curit� �lectorale de 13 pages que la secr�taire d��tat du Maine, Shenna Bellows, a qualifi� d�offre de soutien tardive.

En ao�t 2024, des pirates informatiques qui avaient particip� � la conf�rence DEF CON � Las Vegas avaient identifi� des vuln�rabilit�s dans les machines � voter qui devaient �tre utilis�es lors des �lections am�ricaines de 2024. Toutefois, ils n'auraient pas assez de temps pour les corriger avant les �lections. Lors de cette conf�rence, un groupe de pirates informatiques avait identifi� des dizaines de failles dans machines � voter, mais il �tait peu probable que des correctifs soient apport�s dans les bureaux de vote avant le jour du scrutin. � Il y a tellement de choses fondamentales qui devraient se produire et qui ne se produisent pas, alors oui, je suis inquiet que des choses ne soient pas corrig�es �, avait d�clar� Harri Hursti, cofondateur du programme � Voting Village � de la DEF CON. Les soci�t�s sp�cialis�es �taient g�n�ralement en mesure de corriger les probl�mes identifi�s, mais le processus pouvait prendre plus de temps que les 83 jours qui restaient alors avant l'�lection.

Source : ProPublica

Et vous ?

:fleche: Pensez-vous que cette information est cr�dible ou pertinente ?
:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: Une ancienne greffi�re condamn�e � 9 ans de prison pour violation du syst�me des machines � voter, les experts recommandent l'usage des bulletins de vote en papier pour s�curiser les �lections

:fleche: DARPA d�veloppe une machine � voter open source avec Galois pour s�curiser les �lections sans revenir aux bulletins de vote en papier

:fleche: 16 millions d'Am�ricains utiliseront des machines � voter sans papier piratables, quand les experts en cybers�curit� recommandent l'usage des bulletins de vote en papier pour s�curiser les �lections

Bug 2028 (et pas 2038) : qu'en savez-vous ?

Casalibus — Thu, 15 Oct 2026 14:03:21 GMT

Bonjour,

J'ai voulu me renseigner sur le bug 2028 : passage de 1900+127=2027 � 1900-128=1772 au lieu de 2028, en 8-bits non sign�s. Le 1er janvier 2028 peut �tre le 1er janvier 1772 pour de vieux algos, ce qui peut les faire planter.
Je m'attendais � trouver beaucoup d'infos, mais quasi rien... Tout le monde songe � celui de 2038, mais oubli la dette technologique des vieux �quipements pour 2028
J'ai alors demand� � une IA o� se trouvait le mat�riel concern�, et les risques probables. La r�ponse est sid�rante.
Qu'en savez-vous ?
Avez-vous des �tudes s�rieuses � ce sujet ?

***

# RAPPORT D'ANALYSE TECHNIQUE : LE BUG DE L'AN 2028
**Sujet :** Risques d'overflow des entiers sign�s 8 bits (base 1900)
**Date du rapport :** 15 octobre 2026
**Statut :** �tude de risque syst�mique � Niveau de criticit� : �lev� (Secteurs Industriels)

---

## 1. R�SUM� EX�CUTIF
L'�tude analyse une vuln�rabilit� informatique critique affectant les syst�mes h�rit�s (*legacy systems*) utilisant un entier sign� de 8 bits (`int8_t` ou `signed char`) pour stocker l'ann�e relative � l'�poque de r�f�rence 1900.

Le 1er janvier 2028, ces syst�mes subiront un d�passement de capacit� (*overflow*), entra�nant un saut temporel brutal de l'ann�e 2027 vers l'ann�e 1772. Bien que ce bug soit inexistant dans les logiciels modernes, il repr�sente une menace r�elle pour les infrastructures critiques (�nergie, transports, industrie lourde) o� des automates programmables (PLC) des ann�es 1980-1995 sont encore en exploitation.

---

## 2. ANALYSE TECHNIQUE DU PH�NOM�NE

### 2.1 Cause racine
L'utilisation d'un entier sign� sur 8 bits permet de stocker des valeurs comprises entre **-128 et +127**.
* **Calcul :** $1900 + 127 = 2027$.
* **�v�nement :** Au passage � l'ann�e 2028, la valeur $127$ tente de passer � $128$.
* **R�sultat :** En repr�sentation en compl�ment � deux, la valeur $128$ devient $-128$.
* **Cons�quence :** $1900 - 128 = 1772$.

### 2.2 P�rim�tre d'exposition
* **Syst�mes non affect�s :** Applications Web, OS modernes (Windows, Linux, macOS), logiciels utilisant des entiers 32/64 bits.
* **Syst�mes vuln�rables :** Microcontr�leurs et automates industriels utilisant des processeurs Zilog Z80, Intel 8051, Motorola 6800, et des puces RTC (Real Time Clock) telles que la DS12887 ou DS1302.

---

## 3. TOPOLOGIE DES RISQUES INDUSTRIELS

### 3.1 Mat�riels � haut risque
L'�tude identifie les �quipements suivants comme �tant les plus vuln�rables :
* **Siemens S5** (Risque maximal)
* **Allen-Bradley PLC-5 / SLC 500**
* **Omron C-Series**
* **Mitsubishi MELSEC-A**
* **Schneider / Modicon 984**

### 3.2 Distribution sectorielle et �chelle
On estime le nombre d'installations critiques � environ **450 000 n�uds ma�tres** et entre **2,2 et 4,5 millions de composants esclaves/HMI**.

| Secteur | Part du risque | Proportion de la flotte globale |
| :--- | :--- | :--- |
| �nergie / Fluides | 35% | 3 - 5% |
| Industrie Lourde | 30% | 1 - 3% |
| Transports | 25% | 5 - 8% |
| Sant� / Autres | 10% | 2 - 4% |

---

## 4. MOD�LISATION DES SC�NARIOS DE PANNE

L'impact du bug varie selon la r�action du syst�me face au saut temporel vers 1772.

| Sc�nario | Gravit� | Effet Technique | Probabilit� |
| :--- | :--- | :--- | :--- |
| **Anomalie Silencieuse** | Faible | Erreurs d'affichage, logs incoh�rents. | 15% $\rightarrow$ 70% |
| **Gel Industriel** | Moyenne | D�clenchement de s�curit�s (Watchdogs), arr�ts d'urgence. | 50% $\rightarrow$ 15% |
| **Chaos en Cascade** | Haute | Rupture TLS/SSL, perte de communication r�seau. | 25% $\rightarrow$ 10% |
| **Black Swan** | Critique | Corruption de logique $\rightarrow$ Accident physique. | 10% $\rightarrow$ 5% |

---

## 5. ANALYSE DE LA PR�PARATION ET VIGILANCE

### 5.1 �tat des lieux de la conscience du risque
Le bug est connu des sp�cialistes du r�tro-computing et de quelques bureaux d'�tudes en maintenance industrielle, mais il est quasi absent des radars des institutions et des grands constructeurs.

* **Silence des constructeurs (OEM) :** Les produits �tant en fin de vie (*End-of-Life*), aucun fabricant ne publie d'alerte officielle.
* **Le foss� des comp�tences :** Le d�part � la retraite des ing�nieurs ayant con�u ces syst�mes cr�e une perte de m�moire technique.
* **L'effet d'ombre :** Le bug est occult� par le bug de l'an 2038 (Unix Epoch), per�u comme plus massif.

### 5.2 Le Paradoxe de la Correction
L'absence de pr�paration est renforc�e par une peur rationnelle : modifier le code binaire d'un automate critique qui tourne depuis 30 ans pr�sente un risque de crash imm�diat sup�rieur au risque th�orique du bug de 2028.

---

## 6. STRAT�GIES DE MITIGATION

L'�tude recommande l'adoption d'une **R�action Hybride** pour minimiser les risques :

1. **Isolation (Air-gapping) :** Isoler les automates vuln�rables des r�seaux modernes pour �viter les crashs de communication TLS.
2. **Contournement Mat�riel :** Remplacer les modules RTC obsol�tes par des modules modernes ou utiliser des "spoofers" d'horloge.
3. **Gel Temporel :** Fixer manuellement la date au 31 d�cembre 2027 pour emp�cher le basculement vers 1772.
4. **Override Manuel :** Pr�voir une pr�sence humaine sur site le 1er janvier 2028 pour forcer le red�marrage ou le passage en mode manuel.

---

## 7. CONCLUSION
Le bug de l'an 2028 n'est pas une menace globale pour l'informatique grand public, mais une **bombe � retardement technique pour l'industrie**. L'absence de coordination et la fragmentation des connaissances rendent ce risque asym�trique : un d�faut de stockage d'un seul octet pourrait provoquer des arr�ts de production non planifi�s ou des accidents industriels localis�s.

**Recommandation finale :** Lancer un audit imm�diat des actifs industriels datant d'avant 1995 et identifier les syst�mes utilisant des horloges internes non synchronis�es.

Le mot de passe � 123456 � ouvre les portes du syst�me CPR danois, exposant une grande partie de la population

Eliora — Wed, 14 Oct 2026 06:08:58 GMT

Le mot de passe � 123456 � permet � un pirate informatique d'acc�der au syst�me CPR danois, exposant les donn�es de 8,8 millions de personnes, soit une grande partie de la population du pays

Une personne revendiquant la responsabilit� de la violation du Registre central des personnes (CPR) du Danemark affirme avoir acc�d� au syst�me via le compte d'un prestataire informatique dont la s�curit� reposait uniquement sur le mot de passe � 123456 �. Cette violation met en �vidence les risques op�rationnels importants auxquels s'exposent les organisations qui font appel � des prestataires tiers pour acc�der � des bases de donn�es nationales sensibles. Le gouvernement danois a confirm� que les informations de 8,8 millions de personnes avaient �t� consult�es lors de cet incident. L'intrusion est rest�e ind�tect�e pendant douze jours apr�s la derni�re recherche automatis�e effectu�e le 20 septembre. L'auteur de l'attaque a d�clar� qu'il n'avait pas l'intention de vendre ni de divulguer les donn�es vol�es.

Le num�ro d'identification personnel danois est un num�ro d'identification national qui fait partie des informations personnelles enregistr�es dans le syst�me d'�tat civil. Ce registre a �t� cr�� en 1968 en regroupant en un seul fichier les informations issues de tous les registres d'�tat civil municipaux du Danemark. Il est entr� en vigueur au Groenland par d�cret royal, avec effet au 1er juillet 1972. Il s'agit d'un num�ro � dix chiffres au format JJMMAA-SSSS, o� JJMMAA correspond � la date de naissance et SSSS � un num�ro d'ordre. Le premier chiffre du num�ro d'ordre indique le si�cle de naissance (afin de distinguer les centenaires des nourrissons), et le dernier chiffre du num�ro d'ordre est impair pour les hommes et pair pour les femmes.

Une personne revendiquant la responsabilit� de la violation du CPR du Danemark affirme avoir acc�d� au syst�me via le compte d�un prestataire informatique dont la s�curit� reposait uniquement sur le mot de passe � 123456 �. Cette violation met en �vidence les risques op�rationnels importants auxquels s�exposent les organisations qui font appel � des prestataires tiers pour acc�der � des bases de donn�es nationales sensibles.

Comment les �v�nements se sont d�roul�s

10 septembre : le pirate a acc�d� au syst�me CPR via les comptes de Pays ApS.
Du 10 au 20 septembre : le pirate a effectu� environ 14 millions de recherches automatis�es dans le registre.
2 octobre : l'intrusion a �t� d�tect�e par un agent de l'administration qui examinait une facture.
5 octobre : l'administration du CPR a confirm� que la violation concernait 8,8 millions de personnes.
9 octobre : Sophie Laursen, directrice g�n�rale de Pays ApS, a confirm� que l'acc�s de l'entreprise avait �t� pirat�.

Qui sont les personnes concern�es ?

Le gouvernement danois a confirm� que les informations de 8,8 millions de personnes avaient �t� consult�es lors de cet incident. Le registre contient au total environ 11 millions d�enregistrements, dont des donn�es relatives � des personnes d�c�d�es ou ayant d�m�nag� � l��tranger. L�auteur de l�attaque a d�clar� qu�il n�avait pas l�intention de vendre ni de divulguer les donn�es vol�es.

Le point de vue sur la r�action

L�intrusion est rest�e ind�tect�e pendant douze jours apr�s la derni�re recherche automatis�e effectu�e le 20 septembre. Mikkel Leihardt, directeur au minist�re de l�Enseignement sup�rieur et des Sciences, a expliqu� que la faille n�avait �t� d�couverte qu�apr�s qu�un membre du personnel eut remarqu� une facture indiquant une activit� inhabituellement �lev�e de la part du fournisseur Pays ApS. Le fait de s��tre appuy� sur des anomalies de facturation pour d�tecter l�intrusion sugg�re des lacunes dans la surveillance des journaux d�acc�s en temps r�el.

Questions � poser aux fournisseurs

Les organisations doivent imm�diatement revoir les contr�les d�acc�s pour tous les fournisseurs tiers disposant d�un acc�s privil�gi� au syst�me. Les �quipes doivent g�n�ralement v�rifier si les fournisseurs imposent l�utilisation d�identifiants forts et uniques, plut�t que de mots de passe partag�s ou simples. Il leur appartient de v�rifier si leurs contrats exigent des fournisseurs qu�ils signalent rapidement toute activit� suspecte ou tout comportement d�utilisation anormal. Les organisations doivent �galement s'assurer que les �quipes de s�curit� internes soient inform�es de tout changement concernant les comptes des fournisseurs. Enfin, elles doivent d�terminer si les outils de surveillance actuels sont capables de d�tecter des volumes de requ�tes inhabituels provenant de partenaires externes avant qu�une fuite de donn�es importante ne se produise.

En novembre 2022, malgr� une sensibilisation croissante � la cybers�curit�, les vieilles habitudes avaient la vie dure. Une recherche montrait que les mots de passe faibles �taient toujours autant utilis�s par la plupart des personnes pour prot�ger leurs comptes. Les cha�nes de chiffres s�quentielles � 123456 �, � 123456789 � et � azerty � restaient les choix de mot de passe les plus populaires pour les utilisateurs en France malgr� leur ins�curit�. Une recherche annuelle sur les 200 mots de passe les plus populaires publi�e par NordPass avait �galement r�v�l� qu'en France, � password �, � loulou � et � doudou � figuraient dans le top 10 des mots de passe les plus utilis�s. La liste des mots de passe avait �t� �tablie en partenariat avec des chercheurs ind�pendants sp�cialis�s dans la recherche d'incidents de cybers�curit�.

Source : L'administration de la CPR

Et vous ?

:fleche: Pensez-vous que cette information est cr�dible ou pertinente ?
:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: Les mots de passe faibles permettent encore aux pirates de p�n�trer dans les r�seaux, 83 % des mots de passe compromis satisfont aux exigences des normes de conformit� en mati�re de cybers�curit�

:fleche: 60 % des mots de passe hach�s en MD5 pourraient �tre pirat�s en moins d'une heure � l'aide d'une seule carte graphique Nvidia RTX 5090, et 48 % en moins d'une minute, d'apr�s Kaspersky

:fleche: Quand "12345" devient le mot de passe pr�f�r� des 18-25 ans : la g�n�ration Z est officiellement moins dou�e pour les mots de passe que les personnes �g�es de 80 ans, selon une �tude

Une cyberattaque majeure a compromis les syst�mes de r�frig�ration de centaines de supermarch�s en France

Anthony — Mon, 12 Oct 2026 18:45:26 GMT

Des cybercriminels ont d�gel� les cong�lateurs de centaines de supermarch�s � travers la France, leur co�tant des millions, en prenant le contr�le des �quipements connect�s pilotables � distance Danfoss

Des pirates informatiques ont pris le contr�le � distance des syst�mes de r�frig�ration de centaines de supermarch�s fran�ais dans la nuit du 10 octobre 2026, for�ant ces syst�mes � souffler de l�air chaud � 50 �C et provoquant ainsi la d�t�rioration des marchandises. On estime que cette cyberattaque a co�t� � plusieurs millions d'euros � aux g�ants de la grande distribution. La Coop�rative U, Intermarch� et E. Leclerc ont confirm� cette attaque, qui aurait touch� jusqu�� 200 magasins Intermarch�. Carrefour Market et Monoprix seraient �galement concern�s. Le parquet de Paris a ouvert une enqu�te, confirmant que l'attaque avait provoqu� des incendies dans la nuit. Le mobile reste encore inconnu.

Cet incident n�est pas le premier signal d�alerte concernant la vuln�rabilit� des objets connect�s pilotables � distance. En f�vrier 2026, un propri�taire d�un aspirateur robot DJI Romo qui cherchait simplement � connecter son appareil � une manette PS5 � l�aide de Claude Code avait accidentellement pris le contr�le de milliers d�aspirateurs, r�v�lant ainsi une importante faille de s�curit�.

Danfoss est une multinationale danoise, dont le si�ge social est situ� au Danemark, qui emploie plus de 41 928 personnes � travers le monde. Danfoss a �t� fond�e en 1933 par l'ing�nieur Mads Clausen. Le groupe Danfoss fabrique des produits et fournit des services destin�s notamment � : la r�frig�ration des denr�es alimentaires, la climatisation, le chauffage des b�timents, les compresseurs � gaz et la motorisation des engins mobiles.

Des cybercriminels ont pirat� des centaines de supermarch�s � travers la France et ont d�gel� leurs cong�lateurs. Le mobile de cette attaque, qui s'est produite dans la nuit du samedi 10 au dimanche 11 octobre 2026, est pour l'instant inconnu et reste un myst�re.

Les pirates ont programm� les syst�mes de r�frig�ration pour qu'ils soufflent de l'air chaud � 50 �C, ce qui a fait grimper la temp�rature � l'int�rieur des cong�lateurs jusqu'� 36 �C, obligeant ainsi les supermarch�s � jeter une quantit� consid�rable de produits. On estime que cette cyberattaque a co�t� � plusieurs millions d'euros � aux g�ants de la grande distribution.

Une centaine de supermarch�s de la Coop�rative U ont �t� vis�s par cette attaque, tandis qu�Intermarch� a indiqu� qu�entre 150 et 200 magasins avaient �t� touch�s. E.Leclerc a �galement d�clar� qu�une cyberattaque avait � touch� l�un de ses fournisseurs d��quipements de r�frig�ration �, les pirates ayant � r�ussi � d�clencher � distance le d�givrage forc� des syst�mes de r�frig�ration dans de nombreux magasins �.

Le parquet a confirm� l'incident et a indiqu� que cette effraction avait provoqu� des incendies dans la nuit.

D'autres enseignes auraient �galement �t� prises pour cible, notamment Carrefour Market et Monoprix, mais ces entreprises n'ont pas encore confirm� l'information.

Dominique Schelcher, directeur g�n�ral de la Coop�rative U, a qualifi� cette attaque d�� in�dite � et a confirm� que la cyberattaque affectait les syst�mes de r�frig�ration depuis dimanche soir.

Il a d�clar� : � Le fait de cibler des �quipements essentiels � la conservation des produits frais et � l�approvisionnement alimentaire des Fran�ais est extr�mement grave et sans pr�c�dent. C�est inacceptable. �

Dominique Schelcher a ajout� que les �quipes de l'entreprise �taient � pleinement mobilis�es � pour rem�dier � la situation le plus rapidement possible. � Une enqu�te sera n�cessaire pour faire toute la lumi�re sur cette attaque �, a-t-il d�clar�.

De son c�t�, Intermarch� a d�clar� que le personnel allait devoir � jeter tous les produits � frais et surgel�s. L'entreprise a d�nonc� le gaspillage alimentaire et les pertes financi�res r�sultant de cette attaque, sans toutefois fournir de chiffres, et a averti que des probl�mes pourraient survenir avec les polices d'assurance qui ne � couvrent pas ce type � d'incident en magasin.

Le Groupement Mousquetaires, propri�taire d'Intermarch�, a d�clar� qu'il estimait ses pertes � � plusieurs millions d'euros �.

Le parquet de Paris a indiqu� qu'une enqu�te avait �t� ouverte sur � la cyberattaque de grande ampleur touchant les chambres froides de plusieurs grandes cha�nes de distribution alimentaire � travers la France �. L'enqu�te permettra � d'identifier les victimes et d'�tablir le lien avec les dommages qu'elles ont signal�s, notamment en termes de pertes alimentaires et d'incendies �.

Au-del� de l'�pisode des supermarch�s, le d�bat touche aussi la sph�re priv�e : faut-il vraiment �quiper son domicile d'appareils connect�s � Internet ? Les opinions des consommateurs et des professionnels du secteur divergent, comme en t�moigne une blague qui met en sc�ne, d'un c�t�, le propri�taire d'une � maison enti�rement intelligente � et, de l'autre, celui dont le seul appareil connect� est une imprimante, avec un pistolet pos� � c�t� au cas o� elle ferait un bruit inhabituel.

Et vous ?

:fleche: Quel est votre avis sur le sujet ?
:fleche: Quelles pourraient �tre, selon vous, les motivations derri�re cette cyberattaque ?

Voir aussi :

:fleche: France : un pirate acc�de � la plateforme des imp�ts et parvient � extraire les donn�es de pr�s de 700 000 usagers, le parquet de Paris a ouvert une enqu�te

:fleche: Modifier un chiffre dans une URL pour acc�der aux donn�es de 19 millions de Fran�ais : le portail de l'ANTS c�de face � une vuln�rabilit� basique, votre nom, pr�nom, date de naissance sont peut-�tre en vente

:fleche: France Travail victime d'une cyberattaque. 43 millions de personnes sont potentiellement concern�es. Leurs noms, num�ros de s�curit� sociale et autres donn�es personnelles peuvent avoir �t� d�rob�s

Le FBI arr�te un cadre canadien sp�cialiste en cybers�curit� dans le cadre d'une enqu�te qui a expos� ses data

Patrick Ruiz — Mon, 12 Oct 2026 13:43:17 GMT

Le FBI arr�te un responsable de la cybers�curit� suite � une fuite de donn�es qui a r�sult� de l�omission d�un sous-traitant de mettre � jour la plateforme Oracle d'anciennes et nouvelles ressources humaines

Le FBI a arr�t� Edward Dubrovsky, un expert canadien en ransomware de 54 ans, accus� d'avoir agi en tant que co-conspirateur du groupe cybercriminel ShinyHunters. Cette arrestation d�coule d'une intrusion majeure ayant expos� les donn�es personnelles de milliers d'agents de la police f�d�rale am�ricaine. L'arrestation r�cente d'un cadre canadien de la cybers�curit� par le FBI met en lumi�re la porosit� des infrastructures publiques et les liens parfois troubles entre experts en n�gociation et cybercriminels.

Les d�tails informatiques de l�affaire

La cyberattaque a cibl� la plateforme FBIJobs.gov, un portail de recrutement pour les offres d'emplois du FBI. L'intrusion a �t� rendue possible par une vuln�rabilit� pr�sente sur une plateforme g�r�e par un prestataire de services externe (sous-traitant). Un correctif de s�curit� existait pour cette faille, mais il n'avait pas �t� appliqu� par le prestataire. L'attaque a men� au vol d'informations hautement sensibles touchant des employ�s actuels et anciens, ainsi que des candidats. Les donn�es incluent :

Des adresses personnelles, num�ros de s�curit� sociale (SSN) et dossiers m�dicaux ou psychiatriques.
Des descriptions de postes critiques et des identit�s d'agents affect�s � des unit�s de contre-espionnage ultra-sensibles, notamment sur les dossiers li�s � la Chine et � la Russie.

Edward Dubrovsky, connu mondialement pour son activit� l�gitime de n�gociateur face aux attaques par ran�ongiciel, fait face � des accusations d'extorsion et de menaces. Il est soup�onn� d'avoir fourni une aide technique ou logistique � ShinyHunters

Quelles le�ons pour les experts de la fili�re et les observateurs ?

Le risque critique de la sous-traitance : M�me l'une des agences de renseignement les plus puissantes au monde reste vuln�rable si ses sous-traitants ne maintiennent pas une hygi�ne cyber rigoureuse. La gestion des correctifs chez les prestataires externes doit �tre audit�e en continu.
La double facette de la n�gociation cyber : Le r�le de n�gociateur en mati�re de ran�ongiciels n�cessite d'interagir fr�quemment avec le milieu cybercriminel. Cette affaire rappelle la fronti�re poreuse qui existe entre la m�diation l�gitime pour le compte de victimes et la complicit� active avec les attaquants.
L'attrait des donn�es de recrutement : Les portails de ressources humaines et d'offres d'emploi constituent des cibles d'espionnage de premier choix, car ils centralisent des donn�es biographiques compl�tes et l'historique de personnes habilit�es secret d�fense.

The FBI just arrested Edward Dubrovsky�co-founder of ransomware negotiation firm CyberSteward � on the suspicion of being a co-conspirator in the #ShinyHunters hack of the FBI's own data. #ransomware https://t.co/9jXZNNwEZQ
— Malwar3Ninja | Threatview.io (@Malwar3Ninja) October 11, 2026

Le cas d'Edward Dubrovsky s'inscrit dans une tendance o� des professionnels du secteur ou des white hats basculent du c�t� obscur, ou sont pi�g�s par la justice

Cela s�est pr�c�demment vu avec le cas Marcus Hutchins. C�est l'expert britannique qui avait stopp� le ran�ongiciel mondial WannaCry en 2017 a �t� arr�t� par le FBI peu apr�s. Il a �t� inculp� pour avoir cr�� des malwares (comme le cheval de Troie bancaire Kronos) des ann�es plus t�t, avant de devenir un chercheur en s�curit� respect�.

C�est sans compter avec les d�rives de certaines firmes de n�gociation. Plusieurs entreprises de rem�diation cyber payaient discr�tement les ran�ons en faisant croire � leurs clients qu'elles utilisaient des outils de d�cryptage propri�taires. L�approche soulevait dans certains cas une controverse �thique et l�gale �tant donn� le financement indirect du terrorisme ou de cybergroupes sous sanctions internationales (comme Evil Corp).

Grosso modo, l��tat des lieux de la cybers�curit� mondiale est marqu� par une asym�trie totale de la menace, une professionnalisation de l��cosyst�me criminel et une r�ponse internationale de plus en plus agressive

L�arrestation d'Edward Dubrovsky illustre le fait que m�me la premi�re puissance polici�re et de renseignement mondiale (le FBI) peut voir les donn�es ultra-sensibles de ses agents d'�lite expos�es � cause d'une faille web p�riph�rique.

Les fronti�res s'estompent. Entre les courtiers d'acc�s, les d�veloppeurs de ransomwares, les blanchisseurs et les n�gociateurs l�gitimes ou ill�gitimes, la cybercriminalit� est devenue une industrie mondiale interconnect�e et fragment�e.

L'arrestation coordonn�e de leaders de ShinyHunters aux Pays-Bas, en Jordanie, et maintenant de ce cadre au Canada/�tats-Unis d�montre n�anmoins que les forces de l'ordre mondiales appliquent d�sormais une strat�gie de tol�rance z�ro, ciblant l'ensemble de la cha�ne de valeur du cybercrime.

Et vous ?

:fleche: Qu�en pensez-vous ?

Voir aussi :

:fleche: Un informaticien, ex employ� d'une entreprise, verrouille les postes d'administration et supprime les sauvegardes de cette derni�re, le tableau soul�ve la question de la gestion des acc�s en entreprise

:fleche: Une employ�e licenci�e d'une coop�rative de cr�dit de New York d�truit 21 Go de donn�es pour se venger, elle a supprim� plus 20 000 fichiers et pr�s de 3 500 r�pertoires

:fleche: Un ex-employ� renvoy� pour raison d'incomp�tence a pirat� et effac� les donn�es de son ancien employeur stock�es sur les serveurs d'Amazon

Une simple cafeti�re connect�e � Internet Keurig a consomm� 1 To de donn�es en 10 jours

Mathis Lucas — Thu, 08 Oct 2026 15:18:51 GMT

Un informaticien d�couvre que la machine � caf� de ses parents a consomm� 1 To de donn�es en seulement 10 jours, provoquant la saturation du signal Wi-Fi
� je la d�branche tout de suite �

Un informaticien a r�cemment d�couvert qu'une simple cafeti�re connect�e Keurig appartenant � ses parents avait diffus� 1 To de donn�es en seulement dix jours. Bien qu'une grande partie de ce volume n'ait pas quitt� le r�seau domestique, l'appareil a provoqu� une forte saturation du signal Wi-Fi. L'expert en technologie a qualifi� cet incident de dysfonctionnement logiciel li� � un appareil intelligent superflu. Il a imm�diatement choisi de d�connecter d�finitivement la machine pour �viter d'autres risques de r�seau. L'incident met en lumi�re les d�rives potentielles et les probl�mes techniques li�s � la prolif�ration des objets connect�s du quotidien.

Un sp�cialiste en informatique comptant plus de dix ans d'exp�rience, connu sous le pseudonyme Nomad sur le r�seau social X, a d�couvert une activit� r�seau particuli�rement inhabituelle en g�rant la connexion de ses parents. R�cemment, en examinant les donn�es de leur r�seau domestique, il a constat� que leur cafeti�re connect�e, une Keurig de mod�le K-Supreme SMART, avait diffus� un t�raoctet de donn�es en seulement dix jours.

Interloqu� par cette consommation exceptionnelle, l'informaticien a imm�diatement interpell� le fabricant Keurig dans un message sur X avant de d�brancher d�finitivement l'appareil : � salut euh, @Keurig, mais qu�est-ce qu�une MACHINE � CAF� peut bien envoyer, laisse-moi v�rifier� UN PUT**N DE T�RAOCTET DE DONN�ES EN 10 JOURS !?!? Je la d�branche tout de suite. Je vais acheter une nouvelle machine � caf� � mes parents �.

Pour expliciter la pr�sence de cet �quipement chez ses parents, il a pr�cis� : � pour ceux qui se demandent pourquoi cela figure sur mon r�seau : cet appareil appartient � mes parents. Je ne contr�le pas ce qu'ils ach�tent �. Le volume important de donn�es a donn� lieu � plusieurs interpr�tations.

Apr�s la viralit� de son message, il a men� une investigation technique approfondie et a d�couvert que la majeure partie de ce trafic d'un t�raoctet �tait rest�e circonscrite au r�seau local sans s'�chapper sur Internet. Le probl�me provenait selon lui d'un dysfonctionnement logiciel propre � cet exemplaire, lequel g�n�rait un tel flux de donn�es internes qu'il saturait le point d'acc�s Wi-Fi. Il n'a pas demand� une v�rification ind�pendante.

Bien qu'il ait envisag� d'examiner les paquets r�seau avec des outils sp�cialis�s, il a pr�f�r� ne pas perdre de temps et garder la cafeti�re d�finitivement hors ligne : � cela ne vaut pas la peine de garder connect� un appareil IdO capable de dysfonctionner et de provoquer une saturation comme celle-ci �.

Son histoire a suscit� de nombreuses r�actions en ligne, relan�ant le d�bat sur l'utilit� des �quipements connect�s du quotidien. Parmi les nombreux commentaires d'utilisateurs perplexes, un commentateur s'est insurg� contre cette tendance � tout connecter au r�seau : � c'est vraiment scandaleux ! L'id�e de tout connecter � Internet est tout simplement ridicule. S�rieusement, la chasse d'eau de mes toilettes n'a pas besoin du Wi-Fi �.

L'inutilit� per�ue et l'absurdit� des appareils m�nagers connect�s

De nombreux critiques remettent vivement en question l'int�r�t d'int�grer une connexion Wi-Fi � des objets du quotidien tels que des cafeti�res, des lave-linge ou des r�frig�rateurs. Selon eux, un appareil comme une cafeti�re n�cessite de toute fa�on une pr�sence humaine directe, notamment pour placer une tasse sous le bec verseur et �viter que l'eau de nettoyage ne s'y d�verse, ce qui rend le contr�le � distance totalement superflu.

D'autres affirment avec ironie qu'une chasse d'eau n'a aucun besoin de connexion sans fil. Enfin, certains internautes rappellent que des ustensiles traditionnels comme la cafeti�re Moka ne risquent ni de subir des dysfonctionnements r�seau ni de consommer de la bande passante.

Au-del� de l'inutilit� per�ue, le volume de donn�es transmises a suscit� des inqui�tudes quant � la stabilit� du r�seau et au risque d'�puiser le forfait Internet mensuel du foyer. Des internautes ont exprim� des craintes concernant la collecte abusive de donn�es personnelles, la diffusion de publicit�s cibl�es, voire la mise en place de verrous num�riques (DRM) visant � forcer les consommateurs � acheter des capsules de caf� officielles.

D'autres internautes ont �galement �voqu� la possibilit� de failles de s�curit� ou encore d'infection par un r�seau d'appareils pirat�s (botnet). Enfin, de nombreuses r�actions ont us� d'humour et d'ironie pour souligner la disproportion de ce volume de donn�es, plaisantant sur le fait que la cafeti�re t�l�chargeait plus d'informations que toute la g�n�ration des ann�es 1990 combin�e ou qu'elle passait son temps � mettre � jour Java.

Quand le r�frig�rateur connect� d�truit les aliments � conserver

Selon un rapport publi� en septembre 2026, une mise � jour d�fectueuse du micrologiciel via la plateforme SmartThings a rendu inop�rants de nombreux r�frig�rateurs connect�s Samsung, entra�nant une perte de refroidissement et la d�t�rioration de denr�es alimentaires. Ce d�faut technique concerne les gammes de r�frig�rateurs connect�s dot�s d'IA, notamment les mod�les Bespoke AI r�cents et ceux �quip�s d'un �cran AI Family Hub.

La situation a raviv� la question de savoir s�il faut ou pas avoir des appareils connect�s � Internet dans nos domiciles. Samsung structure son argumentaire en mati�re d�avantages autour de la simplification du quotidien, de la lutte contre le gaspillage et de la connectivit� domotique :

gestion intelligente des aliments : gr�ce � des cam�ras internes (technologie AI Vision Inside), le r�frig�rateur identifie les aliments frais. Vous pouvez voir l'int�rieur de votre frigo � distance depuis votre smartphone lorsque vous faites vos courses. Le syst�me g�n�re �galement des listes de courses et vous alerte avant que les produits ne p�riment ;
planification des repas : le r�frig�rateur analyse ce qu'il contient et propose des recettes adapt�es via la plateforme Samsung Food ;
centre de contr�le domotique (SmartThings) : l'�cran tactile g�ant int�gr� � la porte sert de tableau de bord pour contr�ler les autres appareils connect�s de la maison (lumi�res, aspirateurs, machine � laver) ;
le tableau social de la famille : il permet de synchroniser les agendas des membres de la famille, de laisser des notes num�riques, d'afficher des photos ou de dessiner sur un tableau blanc virtuel.
divertissement en cuisine : connect� au Wi-Fi, l'�cran permet de regarder la t�l�vision (via Samsung TV Plus), de diffuser des vid�os YouTube, de surfer sur le Web ou d'�couter de la musique via Spotify pendant que vous cuisinez ;
contr�le vocal et accessibilit� : via l'assistant Bixby, vous pouvez demander � haute voix des recettes ou m�me d'ouvrir automatiquement les portes si vous avez les mains charg�es ;
optimisation �nerg�tique : l'application suit la consommation d'�nergie en temps r�el et ajuste le fonctionnement du compresseur pour r�duire la facture d'�lectricit� (AI Energy Mode).

Cela ne vient pas sans inconv�nient :

d�pendance aux pannes logicielles et mises � jour : contrairement � un frigo classique qui dure des d�cennies sans bug, un mod�le connect� d�pend de son micrologiciel et une panne affectant ce dernier est susceptible d�avoir un impact sur le fonctionnement de l�appareil. C�est bien ce qu�illustrent les rapports de plaintes des utilisateurs de mod�les r�cents de type Bespoke AI et ceux �quip�s d'�crans AI Family Hub ;
obsolescence technologique rapide : la partie r�frig�ration peut facilement durer 15 ans, mais la partie tablette num�rique (processeur, applications) risque de devenir obsol�te, lente ou incompatible avec les nouvelles applications ;
risques li�s � la s�curit� et � la vie priv�e : un appareil connect� � Internet et �quip� de cam�ras, de micros et d'un �cran est une cible potentielle pour les cyberattaques si le r�seau Wi-Fi domestique n'est pas parfaitement s�curis� ;
gadgetisation et limites de l'IA : les cam�ras internes ne voient pas toujours les aliments cach�s au fond ou derri�re d'autres r�cipients, ce qui n�cessite parfois de corriger l'inventaire manuellement. De plus, les haut-parleurs ou la qualit� de l'�cran restent inf�rieurs � ceux d'une vraie t�l�vision ou d'une tablette d�di�e ;
un surco�t financier tr�s important : ces mod�les haut de gamme co�tent consid�rablement plus cher � l'achat qu'un r�frig�rateur traditionnel performant. Les co�ts de r�paration en cas de panne �lectronique sont �galement plus �lev�s.

La collecte de donn�es excessive des t�l�viseurs connect�s LG

Les t�l�viseurs connect�s LG ont �galement r�cemment suscit� une vague de pol�miques. Une enqu�te technique majeure publi�e par le m�dia technologique Gamers Nexus, en collaboration avec Level1Techs et des chercheurs en cybers�curit� accuse les t�l�viseurs connect�s de la marque de collecter massivement des donn�es � l'insu des utilisateurs. Face au toll�, le fabricant a rapidement r�agi en qualifiant les accusations de fausses.

Les recherches ont d�montr� que ces appareils peuvent capturer des conversations ambiantes et scanner l'int�gralit� du r�seau domestique pour identifier les autres objets connect�s du foyer. M�me lorsque l'�cran semble �teint ou d�connect� du Web, les donn�es vocales et visuelles peuvent �tre stock�es puis exfiltr�es vers des serveurs tiers � des fins publicitaires. L'�tude d�nonce aussi l'usage de dark patterns pour forcer le consentement.

La situation met en lumi�re les tensions croissantes entre la collecte massive de donn�es � des fins publicitaires et le respect de la vie priv�e des utilisateurs. LG d�ment fermement l'id�e que ses t�l�viseurs connect�s espionnent continuellement les foyers. Mais de nombreux internautes restent sceptiques.

La pierre angulaire de cette surveillance publicitaire repose sur la technologie de reconnaissance automatique de contenu (ACR). L'ACR capture des segments de l'�cran ou du son pour g�n�rer des empreintes num�riques compar�es � des bases de donn�es afin d'identifier pr�cis�ment ce que l'utilisateur regarde, y compris via des sources externes comme le port HDMI. Cette collecte de donn�es transforme le propri�taire du t�l�viseur en produit.

Une mise � jour logicielle de 2025 a install� de force Microsoft Copilot sur les t�l�viseurs LG sans option de suppression, ce qui a suscit� une vive r�action des utilisateurs concernant la confidentialit�, les bloatwares et la perte de contr�le. Au d�but de l'ann�e, un juge am�ricain a suspendu la collecte de donn�es par les t�l�viseurs connect�s Samsung dans le cadre d'un proc�s pour atteinte � la vie priv�e, impliquant la technologie ACR.

Source : billet de blogue

Et vous ?

:fleche: Quel est votre avis sur le sujet ?
:fleche: Que pensez-vous d'une cafeti�re connect�e � Internet ? Voyez-vous une utilit� ?
:fleche: Pour ou contre les appareils connect�s � domicile ? Quels sont les risques de cette pratique ?

Voir aussi

:fleche: Pour ou contre les appareils connect�s � domicile ? Des propri�taires d�plorent la perte de leurs aliments suite � une M�J de micrologiciel qui a rendu leurs r�frig�rateurs intelligents Samsung inutilisables

:fleche: Des t�l�viseurs connect�s LG surpris en train d'enregistrer le son ambiant alors que l'�cran �tait �teint et d'espionner les appareils connect�s au r�seau local, ce qui en fait de v�ritables chevaux de Troie

:fleche: Une enqu�te r�v�le que les appareils domestiques intelligents facilitent la vie des gens bien au-del� de leurs attentes, mais qu'en est-il de la s�curit� de ces utilisateurs ?

Images attach�es

Cloudflare pr�voit des certificats TLS r�sistants au quantique pour refondre l'authentification des sites web

Eliora — Thu, 01 Oct 2026 05:48:16 GMT

Cloudflare pr�voit de d�livrer des certificats TLS r�sistants � l'informatique quantique, dans le cadre d'une refonte majeure de l'�cosyst�me d'authentification des sites web

Cloudflare pr�voit de devenir une autorit� de certification publique, c'est-�-dire une organisation qui d�livre les certificats num�riques utilis�s par les sites web pour chiffrer leur trafic et prouver leur identit�. La soci�t� a indiqu� que son autorit� de certification d�livrera des certificats classiques ainsi qu'un type de certificat post-quantique appel� � Merkle Tree Certificates �, dont la d�livrance en production est pr�vue pour le premier trimestre 2027. Cloudflare affirme qu'une grande partie de l'�mission de certificats sur le Web repose sur un petit nombre d�autorit�s de certification dominantes, de sorte qu'une seule d�faillance aurait des r�percussions � grande �chelle. � Il y a douze ans, Cloudflare a rendu le chiffrement gratuit et automatique pour des millions de sites web. Aujourd'hui, nous franchissons une nouvelle �tape �, a d�clar� Matthew Prince, PDG et cofondateur de Cloudflare.

En mars 2025, les chercheurs du monde entier s'empressaient de mettre au point de nouveaux dispositifs appel�s ordinateurs quantiques, qui pouvaient r�aliser de nombreuses choses que les ordinateurs classiques ne pouvaient pas faire, y compris briser les d�fenses qui prot�gent les informations �lectroniques confidentielles. Le NIST dirigeait un effort mondial visant � cr�er des d�fenses �lectroniques contre de telles attaques dans le cadre de son projet de chiffrement post-quantique (PQC). Voici quelques r�ponses � des questions courantes sur cette technologie en d�veloppement et sur les efforts du NIST.

Cloudflare, Inc. est une entreprise technologique am�ricaine dont le si�ge social est situ� � San Francisco, en Californie, qui propose une gamme de services Internet, notamment des services de r�seau de diffusion de contenu (CDN), de cybers�curit� dans le cloud, de protection contre les attaques DDoS et d'enregistrement de noms de domaine accr�dit�s par l'ICANN. Les services de l'entreprise font principalement office de proxy inverse entre les visiteurs d'un site web et l'h�bergeur du client, am�liorant ainsi les performances et assurant une protection contre le trafic malveillant.

Cloudflare pr�voit de devenir une autorit� de certification (CA) publique, c'est-�-dire une organisation qui d�livre les certificats num�riques utilis�s par les sites web pour chiffrer leur trafic et prouver leur identit�. La soci�t� a indiqu� que son autorit� de certification d�livrera des certificats classiques ainsi qu'un type de certificat post-quantique appel� � Merkle Tree Certificates � (MTC), dont la d�livrance en production est pr�vue pour le premier trimestre 2027.

Cloudflare affirme qu�une grande partie de l��mission de certificats sur le Web repose sur un petit nombre de CA dominantes, de sorte qu�une seule d�faillance ou compromission aurait des r�percussions � grande �chelle. L�entreprise s�attend �galement � ce que des ordinateurs quantiques soient capables de contourner les syst�mes de chiffrement actuels d�ici quelques ann�es. Un nouvel �metteur � grande �chelle constitue sa r�ponse au premier probl�me, tandis que les MTC (certificats de racine) constituent sa r�ponse au second.

Un certificat racine indique aux navigateurs et aux appareils s�ils doivent faire confiance � une autorit� de certification. Cloudflare a conclu un accord avec GlobalSign pour acqu�rir des cl�s racines faisant l�objet d�une confiance publique, afin que ses certificats soient reconnus sur les anciens t�l�phones et autres appareils qui ne re�oivent plus de mises � jour logicielles. L�entreprise pr�voit que cette transaction soit finalis�e d�ici deux mois, sous r�serve des conditions de cl�ture habituelles. Elle a �galement d�pos� des candidatures aupr�s des programmes de certificats racine de Chrome, Apple, Microsoft et Mozilla, et la d�livrance classique ne commencera qu�une fois ce processus d�acceptation termin�. Les quatre candidatures sont en cours d�examen.

� Il y a douze ans, Cloudflare a rendu le chiffrement gratuit et automatique pour des millions de sites web. Aujourd�hui, nous franchissons une nouvelle �tape en mettant en place une autorit� de certification ouverte, transparente et fiable pour l�ensemble d�Internet �, a d�clar� Matthew Prince, PDG et cofondateur de Cloudflare. � Renforcer la s�curit� du Web avant que les ordinateurs quantiques ne puissent la compromettre constitue l�un des plus grands d�fis de coordination de l�histoire d�Internet. En trouvant un �quilibre entre la prise en charge des appareils plus anciens et les toutes nouvelles technologies post-quantiques, nous offrons un filet de s�curit� permanent, afin qu�Internet reste rapide, fiable et s�curis� pour tous les appareils, quoi qu�il arrive � l�avenir. �

Les MTC, dont Cloudflare a co-r�dig� le projet de sp�cification au sein de l�IETF, permettent � un navigateur de v�rifier qu�un certificat figure bien dans un registre de confiance � l�aide de preuves l�g�res. Les signatures post-quantiques sont lourdes, et les MTC �vitent de les envoyer � chaque connexion. Cloudflare a d�abord men� une exp�rience avec Chrome et s�appuie d�sormais sur celle-ci.

Cloudflare promet �galement un tableau de bord public en temps r�el sur l��tat de sant� des sites et des versions de code reproductibles. L�entreprise pr�voit d�utiliser la signalisation de renouvellement automatis�e (RFC 9773) pour remplacer les certificats en arri�re-plan sur des millions de sites lors de r�vocations de routine ou de mises � jour de s�curit�. Si vous g�rez un site, notez que vous pourrez g�rer les certificats classiques et les certificats MTC au sein d�un m�me syst�me, sans basculement forc�.

Voici la publication de Cloudflare sur son autorit� de certification post-quantique :

Mise en place d'une autorit� de certification post-quantique avec des certificats bas�s sur des arbres de Merkle

Lorsque vous saisissez une adresse dans un navigateur, comment savez-vous que vous vous connectez au bon site web ? L�infrastructure � cl� publique du Web (Web PKI) est un �cosyst�me complexe et distribu�, compos� de politiques, de protocoles et d�op�rateurs d�infrastructure, qui vous permet d�avoir l�assurance de ne pas �tre redirig� vers un site web erron� ou malveillant. Au cours des derni�res d�cennies, cet �cosyst�me a connu des changements significatifs. L�un d�entre eux est l�ajout de la transparence : l�obligation d�sormais impos�e que tous les certificats soient consign�s dans des registres publics de transparence des certificats. Aujourd�hui, il est confront� � un autre d�fi : l�arriv�e imminente d�un ordinateur quantique, qui nous a incit�s � passer � la cryptographie post-quantique (PQ) d�ici 2029.

Cette transition n�est pas simple : se contenter d�int�grer la cryptographie post-quantique dans les certificats � l��chelle d�Internet entra�nerait une d�gradation inacceptable des performances. Le moment est venu d�adopter une nouvelle approche de l�infrastructure PKI du Web, une approche qui nous permette de consid�rer la transparence comme une propri�t� intrins�que plut�t que comme un simple ajout, et de concevoir un nouveau syst�me capable de g�rer efficacement les signatures post-quantiques � grande �chelle. Apr�s avoir recueilli un large soutien au sein du secteur, les certificats Merkle Tree (MTC) se sont impos�s comme la voie � suivre. Cette ann�e, apr�s un d�ploiement exp�rimental r�ussi avec Chrome, Cloudflare met les bouch�es doubles sur les MTC.

Suite � l�annonce faite r�cemment selon laquelle Cloudflare devient une CA, nous sommes ravis de vous informer que cette CA prendra en charge l��mission de certificats MTC, l�objectif �tant de les int�grer d�but 2027 dans le � Root Store � r�sistant � la cryptographie quantique r�cemment lanc� par Chrome.

Dans le cadre de notre mission visant � contribuer � la construction d�un Internet meilleur, et conform�ment � la tradition de Cloudflare consistant � offrir gratuitement la cryptographie la plus robuste disponible, nous proposerons gratuitement l��mission de certificats MTC standard. Le fait de disposer d�une AC prenant en charge � la fois l��mission de certificats classiques et de MTC nous permet d�opter par d�faut pour la m�thode d�authentification la plus s�curis�e qui soit, offrant ainsi une voie de migration vers la cryptographie post-Quantum (PQ) simple et performante � une grande partie de l�Internet.

L��cosyst�me de confiance actuel

Pour comprendre en quoi les MTC changent la donne, commen�ons par un aper�u du fonctionnement actuel de la confiance sur le Web. Du c�t� client, les navigateurs � en l�occurrence, les � clients TLS � � g�rent des programmes racine qui d�finissent un ensemble de r�gles que les autorit�s de certification doivent respecter pour �tre consid�r�es comme fiables. Du c�t� serveur, les autorit�s de certification sont les gardiens de confiance : elles exploitent une infrastructure d��mission de certificats au sein de laquelle elles valident la propri�t� d�un domaine et attestent du lien entre un nom de domaine et une cl� publique prouvant la propri�t� de ce domaine.

Mais comment v�rifier que les autorit�s de certification respectent les r�gles ? C�est l� qu�intervient la transparence des certificats (CT), qui rend la d�livrance des certificats v�rifiable par le public. Lorsqu�une autorit� de certification d�livre un certificat, elle doit �galement le soumettre � au moins deux registres publics. Cloudflare g�re la famille de registres CT � Nimbus � depuis 2016 et s�appr�te � lancer � Raio �, une nouvelle famille de registres CT statiques.

Si l��cosyst�me CT rend les certificats accessibles au public, cela ne signifie pas pour autant qu�ils sont correctement �mis ou qu�ils peuvent �tre utilis�s en toute s�curit�. La surveillance permet d�y rem�dier en comparant ces enregistrements de journaux aux attentes des propri�taires de domaines et en signalant toute activit� suspecte. Cloudflare a lanc� la surveillance de la transparence des certificats (Certificate Transparency Monitoring) en 2019 et l�a r�cemment mise � la disposition de tous. Nous publions �galement des mesures � grande �chelle concernant les certificats sur la page � Certificate Transparency � de Radar (anciennement Merkle Town).

� mesure que les organisations commenceront � mettre � niveau leurs serveurs pour utiliser l�authentification post-quantique, la surveillance de la transparence des certificats jouera un r�le encore plus important dans la d�tection d��ventuelles r�gressions vers des certificats pr�-quantiques. Les propri�taires de domaines ayant mis � niveau leurs domaines vers l�authentification post-quantique doivent surveiller les journaux CT afin de d�tecter tout certificat h�rit� �mis de mani�re inattendue, et ainsi emp�cher leurs clients de retomber dans une voie de r�gression malveillante.

Une partie du probl�me avec le syst�me actuel r�side dans le fait que la transparence a �t� ajout�e a posteriori, ce qui a entra�n� des probl�mes d��volutivit�. Les certificats sont souvent enregistr�s plusieurs fois, sous diff�rentes formes, dans plusieurs journaux, ce qui oblige les observateurs � t�l�charger et � traiter chaque journal pour ne manquer aucune �mission. Cela peut s�av�rer co�teux, ce qui rend difficile la mise en place d�un ensemble diversifi� d�op�rateurs de journaux � l��chelle d�Internet. Selon nos estimations, les signatures post-quantiques multiplieront par 40 le volume de donn�es que les journaux CT doivent stocker. Ce d�fi d��volutivit�, et le d�calage des incitations qui en d�coule, est au c�ur du probl�me d��volutivit� post-quantique.

Le probl�me de mise � l��chelle post-quantique

Nous avons longuement �crit sur les d�fis li�s � la mise � l��chelle de la cryptographie post-quantique, mais en r�sum� : pour prendre en charge l�authentification des serveurs � l��chelle d�Internet, la WebPKI doit authentifier environ un milliard de serveurs TLS sans pr�charger la cl� publique de chaque serveur sur chaque client. Traditionnellement, les CA ont r�solu ce probl�me en utilisant des cha�nes de certificats comme m�canisme de distribution de confiance.

Mais au fil du temps, des ajouts tels que les v�rifications de r�vocation de cl�s et la transparence des certificats ont multipli� le nombre de cl�s publiques et de signatures � cinq signatures et deux cl�s dans une poign�e de main TLS typique. Les signatures post-quantiques sont environ 40 fois plus volumineuses que les signatures classiques, ce qui engendre des surco�ts plus importants qui seraient on�reux � g�rer � grande �chelle pour les clients, les CA, les journaux et les outils de surveillance.

En transmettant p�riodiquement ces signatures et les m�tadonn�es d�arborescence aux clients TLS hors bande, un petit ensemble de signatures MTC par lots peut couvrir efficacement des milliards de certificats �mis par une autorit� de certification donn�e. Bien que les � landmarks � soient plus efficaces � grande �chelle, ils n��liminent pas le besoin de MTC autonomes : les clients peuvent �tre nouvellement install�s, hors ligne ou ne pas disposer de la mise � jour pertinente du � landmark �. C�est pourquoi il est important que les serveurs conservent un certificat de secours autonome.

Les MTC en conditions r�elles : r�sultats de notre exp�rience avec Chrome

Cette ann�e, nous avons men� une exp�rience avec Chrome afin de tester la faisabilit� des MTC entre un client et un serveur. Nous avons exploit� une � autorit� de certification de d�marrage � (une fausse autorit� de certification simulant le processus d��mission) qui a �mis des MTC adoss�s � une cha�ne de certificats traditionnelle pour une s�lection de domaines Cloudflare sous le forfait � gratuit � de Cloudflare, et les avons distribu�s � 50 % des utilisateurs de Chrome Beta 146. Au cours de l�exp�rience, nous avons r�ussi � distribuer des milliards de MTC.

C'est l� qu'interviennent les certificats Merkle Tree (MTC), un projet de sp�cification du groupe de travail PLANTS de l'IETF qui d�crit une architecture pour des certificats post-quantiques compacts et efficaces. Les MTC regroupent les certificats dans un arbre de Merkle � ajout seul, ce qui permet � une autorit� de certification (CA) de signer la racine de cet arbre plut�t que de nombreux certificats individuels.

Cela permet aux navigateurs ou � d�autres clients de v�rifier un certificat � l�aide d�une preuve d�inclusion compacte � une s�quence de hachages cryptographiques � par rapport � la racine sign�e de l�arbre, plut�t que de valider chaque certificat individuellement. L�id�e cl� derri�re les MTC est la suivante : � n�enregistrez pas ce que vous �mettez, �mettez en enregistrant �. En associant �mission et enregistrement, la transparence devient une exigence op�rationnelle, plut�t qu�une fonctionnalit� optionnelle.

Le r�le d�une autorit� de certification dans une infrastructure PKI repens�e

Nous d�veloppons notre capacit� � �mettre des MTC dans le cadre de la cr�ation de notre autorit� de certification Cloudflare. Cela implique de suivre les nouvelles exigences du programme PQ Root et de d�velopper une pile logicielle d��mission et de mise en miroir, tout en mettant en place les infrastructures, les op�rations et les fonctions de conformit� d�une autorit� de certification traditionnelle � ce qui n�est pas une mince affaire ! L�avantage est que nous pouvons hi�rarchiser d�s le premier jour les exigences et l�architecture de cette nouvelle infrastructure PKI post-quantique, en concevant notre infrastructure d�une mani�re qui corresponde aux valeurs et au r�seau mondial de Cloudflare � dans le but d��tre aussi transparents que possible alors que nous nous engageons dans cette nouvelle aventure.

Examinons l�architecture mise � jour pour les MTC :

Si l'on compare cela � l'�cosyst�me traditionnel des CA, on constate que les responsabilit�s d'une CA restent globalement les m�mes : valider la propri�t� d'un domaine, l'associer � une cl� publique et �mettre des certificats. La principale diff�rence r�side dans le fait que, dans l��cosyst�me MTC, au lieu de signer directement les certificats puis de les consigner, l�autorit� de certification tient d�sormais un journal de transparence s�appuyant sur un arbre de Merkle, o� une preuve d�inclusion attestant que le certificat figure bien dans l�arbre sert de point d�ancrage de confiance. Les autorit�s de certification g�reront �galement des � cosignataires miroirs � qui stockent une copie des journaux d��mission, v�rifient leur coh�rence (en mode � ajout uniquement �) et garantissent la transparence et la disponibilit� de ces journaux pour l�ensemble de l��cosyst�me.

�mission des MTC

Les MTC se pr�sentent sous deux formes, qui peuvent toutes deux �tre encod�es au format de certificat X.509 reconnu aujourd�hui par les logiciels clients � mais avec un algorithme de signature � original �. Sous sa forme autonome, la valeur de signature du certificat contient une t�te d�arbre cosign�e d�un journal d��mission et une preuve d�inclusion (une s�quence de hachages) d�montrant que le certificat figure dans ce journal. Si les clients sont en mesure d�obtenir les t�tes d�arborescence cosign�es hors bande (par exemple, via un m�canisme de mise � jour du navigateur), le certificat peut alors �tre fourni sous une forme relative � un rep�re, o� la valeur de signature se compose d�une preuve d�inclusion all�g�e, sans aucune signature post-quantique lourde.

Pour simplifier, prenons l�exemple de l��mission d�un certificat autonome. Lorsqu�un site web souhaite obtenir un certificat pour son domaine, il peut en faire la demande aupr�s d�une CA via le protocole ACME (Automatic Certificate Management Environment), qui g�re les demandes de certificats, la validation du contr�le du domaine et les processus d��mission. L�infrastructure ACME de Cloudflare sera un fork de Boulder, le logiciel ACME largement d�ploy� et �prouv� qui alimente Let�s Encrypt.

Let�s Encrypt d�veloppe activement la prise en charge du MTC dans Boulder, et nous pr�voyons de maintenir notre propre fork qui int�gre ces modifications en amont ainsi que des adaptations sp�cifiques � Cloudflare, en contribuant en retour au projet en amont lorsque cela est possible. Lorsque l�autorit� de certification MTC re�oit une demande d��mission de certificat, le serveur ACME de l�autorit� v�rifie que le serveur contr�le bien le domaine. Si ces v�rifications sont concluantes, l�autorit� de certification s�rialise ces donn�es et les ajoute � un journal � �criture seule.

Apr�s avoir ajout� l�entr�e MTC dans son journal d��mission, la CA calcule l��tat mis � jour du journal, puis signe un point de contr�le sur cet �tat. Ce point de contr�le atteste que la CA a �mis toutes les entr�es incluses dans l�arbre de Merkle du journal jusqu�� ce moment pr�cis. L'autorit� de certification envoie ensuite l'�tat actualis� de son journal et le nouveau point de contr�le � un cosignataire de confiance, qui stocke de mani�re durable une copie du journal d'�mission de l'autorit� de certification et v�rifie que chaque nouvel �tat est de type � ajout uniquement �, coh�rent avec l'arbre pr�c�dent et correctement form�.

Cette cosignature suppl�mentaire donne aux clients et aux organismes de surveillance l�assurance qu�une autre partie de confiance a observ� le m�me �tat du journal et v�rifi� que l�autorit� de certification ne pr�sente pas des vues diff�rentes de l��mission � diff�rentes parties de l��cosyst�me. Elle garantit �galement que les certificats �mis seront disponibles � des fins de surveillance m�me si le journal d��mission de l�autorit� de certification n�est pas accessible.

Le projet de politique du programme � Quantum-resistant Root � de Chrome impose au moins deux cosignatures : l�une provenant d�un � cosignataire miroir � reconnu par Chrome et g�r� par une organisation distincte, et l�autre provenant de l�autorit� de certification MTC �mettrice elle-m�me. � ce titre, nous g�rerons des miroirs pour d�autres autorit�s de certification participant au projet pilote � et exigerons au moins une cosignature ind�pendante sur les certificats que nous �mettons nous-m�mes.

Cloudflare mettra en �uvre son cosignataire miroir dans Azul, notre journal de transparence open source bas� sur Rust, et, pour une interop�rabilit� maximale, il impl�mentera le protocole de miroir tlog de c2sp. Enfin, apr�s avoir re�u avec succ�s une cosignature d�un cosignataire miroir, l�autorit� de certification construit un MTC � partir des cosignatures, de la cl� publique du serveur et d�une preuve d�inclusion. Elle envoie ensuite ce MTC au serveur, qui peut alors l�utiliser pour le protocole TLS par la suite !

Transmission efficace des signatures PQ : l�optimisation par rep�res

Bien que les certificats autonomes soient fonctionnels, ils continuent d�envoyer des signatures PQ volumineuses lors de la n�gociation TLS, ce qui limite leur efficacit�. Les v�ritables gains de performance apport�s par la conception MTC proviennent des certificats relatifs � des rep�res. Au lieu d�envoyer des cosignatures dans chaque certificat, les CA peuvent d�signer comme � point de rep�re � une s�quence de sous-arborescences couvrant tous les certificats actifs du journal, puis distribuer ces sous-arborescences (ainsi que les donn�es permettant de les authentifier) aux clients via un service de mise � jour hors bande.

Au cours d�une n�gociation TLS, l�authentification effective aupr�s du serveur s�effectue lorsque le navigateur v�rifie que les donn�es du certificat du serveur � y compris son nom de domaine et sa cl� publique � figurent dans une sous-arborescence de confiance du journal de l�autorit� de certification. Si la preuve d�inclusion relie ce certificat � un rep�re cosign�, et que la cl� publique prouve ensuite sa possession lors de la n�gociation TLS, le client sait qu�il communique avec le bon serveur.

Pour le protocole TLS, nous avons constat� que le cas de figure courant est relativement efficace : avec un certificat relatif � un rep�re, la n�gociation ne n�cessite la transmission que d�une cl� publique, d�une signature et d�une preuve d�inclusion de moins de 1 ko. Lors de l�exp�rience, nous avons eu recours � la cha�ne de certificats traditionnelle au lieu de fournir un certificat autonome dans les cas o� nous n�avons pas pu n�gocier un certificat relatif � un rep�re avec le client.

Du c�t� de la CT, les MTC modifient �galement les propri�t�s d��volutivit� de la transparence : le journal n�a besoin de contenir que les hachages des cl�s publiques ; il n�y a pas de signatures par entr�e, et la signature � la racine de l�arborescence couvre l�ensemble du journal. Cela �vite l�explosion du nombre de certificats, car le journal d��mission de la CA constitue la source de v�rit� pour tous les certificats qu�elle �met, et les utilisateurs du journal n�ont besoin de r�cup�rer qu�une seule copie de chaque certificat.

R�sultat : les MTC fonctionnent vraiment ! En moyenne, l�utilisation d�un MTC bas� sur des rep�res est 9 % plus rapide qu�une cha�ne de signatures classique (il faut toutefois reconna�tre que la majeure partie de ce gain de performance est due � l��lision interm�diaire). Et comme nous avons test� les MTC avec des signatures classiques, nous nous attendons � une am�lioration encore plus importante avec des signatures post-quantiques. Satisfaits de ces r�sultats et du niveau de collaboration intersectorielle autour des MTC au sein du groupe de travail PLANTS de l�IETF, nous avons commenc� � mettre fin � l�exp�rience le mois dernier (ao�t 2026).

Source : Cloudflare, sur son blog officiel

Et vous ?

:fleche: Pensez-vous que cette annonce est cr�dible ou pertinente ?
:fleche: Quel est votre avis sur le sujet ?

Voir aussi :

:fleche: � Construire l'avenir � : l'entreprise technologique Cloudflare licencie 1 100 personnes, car � l'utilisation de l'IA par Cloudflare a augment� de plus de 600 % au cours des trois derniers mois seulement �

:fleche: Cloudflare rend open-source � Cloudflare OS �, un espace de travail d�di� aux collaborateurs qui leur offre des outils d'IA adapt�s au fonctionnement de leur entreprise

:fleche: Cloudflare rach�te VoidZero, la soci�t� open source derri�re Vite et les outils de compilation JavaScript qui l'entourent, afin de placer sa plateforme pour d�veloppeurs au c�ur du d�veloppement web avec l'IA

Images attach�es