C’est bon, j’ai mis Password123!

Les gestionnaires de mots de passe permettent d’utiliser des mots de passe différents et complexes pour tous les services. Ils doivent eux aussi être protégés par un mot de passe maître, qui est parfois le dernier rempart contre les pirates. Une fuite de données chez Dashlane l’illustre parfaitement.

Après LastPass fin 2022, c’est au tour de Dashlane d’être victime d’une fuite de données : « Les attaquants ont pu télécharger une copie des coffres-forts chiffrés de moins de 20 utilisateurs sur un forfait personnel », reconnait l’entreprise.

Des coffres-forts chiffrés dans la nature

« À partir du dimanche 31 mai 2026, un pirate a lancé une attaque par force brute contre certains comptes d’utilisateurs de Dashlane », explique l’entreprise. L’attaquant essayait de casser l’authentification à deux facteurs afin d’enregistrer de nouveaux appareils sur des comptes d’utilisateurs, pour ensuite accéder aux données.

Bien évidemment, des protections ont permis de limiter l’attaque – mais pas de la bloquer totalement : « En raison du nombre élevé de tentatives d’accès aux comptes utilisateurs, les contrôles de sécurité de Dashlane ont automatiquement verrouillé les comptes ciblés par l’attaque », explique Dashlane.

Des comptes ont été suspendus de manière temporaire, mais surtout pour une vingtaine de clients le coffre-fort a été dérobé. Ils ont tous été déjà contactés individuellement par Dashlane.

Quels sont les risques ?

Avec les coffres-forts chiffrés, le ou les pirates ne peuvent pas faire grand-chose, sauf à réussir à les ouvrir évidemment. Ils accéderaient alors à l’intégralité des informations qu’ils contiennent : mots de passe, identifiants… une vraie caverne d’Alibaba.

Pour arriver à leurs fins, ils peuvent tenter de faire du phishing afin que vous « donniez » involontairement votre mot de passe maître, mais aussi tenter de passer en force.

Brutale, cette méthode consiste à tester toutes les combinaisons possibles jusqu’à trouver la bonne. En théorie, cela finit toujours par fonctionner. En pratique, il faut un temps quasi infini selon la taille et la complexité de votre mot de passe. On parle aussi d’entropie.

Autant dire que si votre mot de passe est « password123 », il ne tiendra même pas quelques secondes. Avec une copie de votre coffre-fort en sa possession, un pirate peut effectuer autant de tentatives qu’il le souhaite jusqu’à réussir à trouver le bon mot de passe et ainsi percer les protections.

Des années plus tard, la fuite Lastpass fait toujours des victimes

La fuite de Lastpass fin 2022 en est un parfait exemple. Cette fuite avait encore des conséquences en 2025, comme le rapporte BleepingComputer : « Plutôt que le portefeuille [de cryptomonnaie, qui est aussi parfois stocké dans les coffres-forts, ndlr] soit vidé immédiatement après une brèche, les vols se sont multipliés par vagues des mois ou des années plus tard, illustrant comment les attaquants décryptaient progressivement les coffres ».

Une autre manière de le dire : si votre coffre-fort est dans la nature, il est plus que recommandé de changer l’intégralité des secrets et mots de passe qui y sont enregistrés. Un pirate pourrait en forcer la porte maintenant comme dans quelques années quand la puissance de calcul coutera bien moins chère, par exemple.

Votre mot de passe maître doit être fort et robuste !

Dashlane reconnait ne pas avoir « d’exigences spécifiques pour les mots de passe maîtres », mais précise néanmoins s’appuyer sur « l’algorithme zxcvbn [de Daniel Lowe Wheeler chez Dropbox, ndlr] afin d’évaluer la sécurité de votre mot de passe lors de sa création ». L’entreprise prodigue aussi quelques conseils. Next a aussi des dossiers sur le sujet.

• Choisir un bon mot de passe : les règles à connaître, les pièges à éviter
• Phrases de passe : l’ANSSI passe en mode 2.0

Les clients de Dashlane sont les victimes, mais cette affaire rappelle l’importance du mot de passe maître qui sera le dernier rempart en cas de fuite de données. C’est valable quel que soit le gestionnaire utilisé, y compris (et surtout) en autohébergé. Si vous autohébergez un gestionnaire, ne sous-estimez surtout pas le mot de passe maitre.

• [Tuto] Auto-héberger son gestionnaire de mots de passe avec Vaultwarden (Bitwarden)
• #Nextpresso : on installe Vaultwarden sur une VM gratuite Google et Oracle… ça marche ?

Eau rage ! Eau désespoir !

Next plonge dans les centaines de pages des rapports environnementaux des géants du Net… aussi faciles à lire qu’une thèse de physique quantique (sans dessin). Ils permettent de connaitre les consommations en eau et électricité d’acteurs comme Google, Microsoft et OVHcloud, tout en mettant en lumière un manque général de transparence, sans oublier le silence assourdissant d’Amazon.

Les géants du monde des datacenters publient des « rapports de soutenabilité » sur leur consommation en ressources (électricité et eau). Une bonne chose, mais avec deux problèmes. Tout d’abord, tous ne le font pas. Ensuite, dans ceux qui mettent en ligne un rapport, il y a parfois peu ou pas de détails, sans parler des fautes et erreurs qui y trainent. À croire que peu les relisent ou s’y intéressent. Next vous en propose une analyse.

Dans cet article, nous allons nous concentrer sur la consommation en eau des datacenters, avec une analyse au niveau mondial pour commencer, puis nous descendrons dans le détail des gros opérateurs américains et français. Si ce n’est pas déjà fait, on ne peut que vous conseiller d’aller lire notre article sur les grands principes de la consommation en eau des datacenters et du calcul de l’indice WUE.

• Tout savoir de la consommation en eau des datacenters, le WUE et ses limites

560 milliards de litres consommés par les datacenters

Très peu d’estimations sont disponibles sur la consommation en eau au niveau mondial. L’IEA (ou AIE en français pour Agence internationale de l’énergie), une agence autonome de l’OCDE (Organisation de coopération et de développement économiques), a publié en avril 2025 (puis partiellement mis à jour début 2026), un très long rapport sur les énergies et l’intelligence artificielle.

Il y est notamment question de la consommation en eau des datacenters dans le monde en 2023 : 560 milliards de litres d’eau (consommation directe). Selon ses estimations, elle pourrait doubler dans les prochaines années et passer à 1 200 milliards de litres en 2030. Selon d’autres études, la consommation réelle serait largement plus importante ; le problème dans tous les cas étant la difficulté d’avoir des chiffres consolidés.

À titre de comparaison, toujours en 2023, les prélèvements totaux en eau en France étaient de 29 milliards de m³ (en baisse de 16 % sur 20 ans). « Le refroidissement des centrales de production d’électricité concentre la majorité des prélèvements avec 13,1 milliards de m³, soit 45 % en 2023 », ajoute le SDES, un service de données et études statistiques du ministère chargé de l’environnement, de l’énergie, de la construction, du logement et des transports.

Par contre, la consommation n’était que de 0,4 milliard de m³ pour 13,1 milliards de m³ de prélèvement. A contrario, « l’irrigation agricole représente environ 10 % des prélèvements (2,8 milliards de m³), mais une proportion bien plus élevée de la consommation ». Rappelons une fois encore que l’eau ne disparait pas de la surface de la Terre, elle s’évapore (puis forme des nuages, de la pluie…) ou bien elle est rejetée.

• Consommations des datacenters d’ici 2035 et 2060 : le numéro d’équilibriste de l’ADEME

Êtes-vous tombé dans le piège ?

Pour comparer les chiffres de l’IEA en 2023 à ceux de la France sur un même périmètre, il ne faut donc pas prendre les prélèvements mais bien la consommation (l’IEA parle de consommation). « L’eau non restituée, dite consommée, représente 3,8 milliards de m³ [pour 29 milliards de prélèvements, ndlr] en France », à mettre en face des 560 milliards de litres de consommation au niveau mondial.

Attendez, rien ne vous choque dans les phrases précédentes ? Alors vous êtes certainement tombés dans le piège classique des unités : on ne peut pas comparer directement des litres et des m³, l’échelle n’est pas la même : 1 m³, c’est 1 000 litres.

La consommation des datacenters en 2023 était donc de 0,56 milliard de m³ d’eau au niveau mondial (ou 560 milliards de litres), contre 3,8 milliards de m³ d’eau pour la France dans son intégralité la même année (7x plus). Cette fois-ci, les bases de comparaisons sont les mêmes : consommation (pas prélèvement) et cohérence de l’unité (m³).

Quant aux prélèvements, aucune source fiable ne semble disponible au niveau mondial ; et c’est un vrai problème. Comme nous l’avons déjà longuement expliqué, prélever de l’eau potable puis la rejeter sous forme non potable et/ou réchauffée a des conséquences. Ne mettre en avant que la « petite » partie de la consommation n’est pas ce qu’on appelle de la transparence ; cela permet de faire le jeu des opérateurs de datacenters et de réduire les chiffres.

Ce n’est pas le seul problème de transparence ; on manque parfois de précisions sur la nature de l’eau prélevée et consommée – potable, recyclée, eau de mer, de source naturelle…) – ainsi que sur la nature et la composition des rejets (dans un réseau d’assainissement, dans une rivière…).

Google est notre « champion » avec 37,3 millions de m³ d’eau

Avant d’attaquer le détail de Google, Microsoft, Meta, Amazon, OVHcloud et Scaleway, un tableau récapitulatif des prélèvements, consommations et rejets d’eau des dernières années :

Sparkling annonce !

NVIDIA, une marque réputée chez les joueurs et les amateurs d’IA pour ses GPU, se lance avec force dans un nouveau marché : une puce tout-en-un (CPU, GPU et mémoire) pour des PC sous Windows on Arm. RTX Spark Superchip est ainsi un équivalent maison des puces Mx d’Apple, mais pour l’écosystème de Microsoft. Joueurs et créateurs sont les principales cibles.

Après son mini-PC DGX Spark pour les professionnels, NVIDIA revient cette année avec une nouvelle puce : le Superchip RTX Spark. Comme son nom l’indique, il intègre une RTX (génération Blackwell) et vise donc le grand public… enfin une partie du grand public avec des moyens et des besoins conséquents : créateurs, développeurs et gamers ; et plus particulièrement ceux qui mélangent deux ou trois des domaines à la fois.

• NVIDIA DGX Spark et Station : deux supercalculateurs pour de l’IA « à la maison »

Un Superchip (CPU, GPU et mémoire) pour les PC sous Windows on Arm

Le RTX Spark est un Superchip. Dans le langage de NVIDIA, il s’agit d’un SoC avec des cœurs CPU, GPU et de mémoire unifiée ; le tout au sein d’une même puce. L’approche est la même qu’Apple avec ses puces Mx, dont le succès et les performances ne sont plus à démontrer. Le père des MacBook en est déjà à la cinquième génération de SoC.

Selon la police vs selon les pirates

500 cyberattaques pendant les Jeux olympiques selon l’ANSSI, 55 milliards selon le CIO : les chiffres n’ont rien à voir, et pourtant ils comptent bien la même chose. Cela parait absurde, mais non : c’est une question de référentiel (et de message à faire passer). On retrouve le même problème avec les fuites de données.

Depuis maintenant des années, la France est régulièrement victime de cyberattaques, que ce soit sur ses institutions ou ses entreprises. Il en résulte parfois des fuites de données, avec plus ou moins d’écho dans la presse et sur les réseaux sociaux.

Une question revient assez souvent : la France est-elle plus attaquée que les autres pays ? Pour Vincent Strubel, patron de l’ANSSI, auditionné par la Commission de la défense de l’Assemblée nationale, la réponse est simple : « On n’en sait rien » car « personne ne sait compter de manière fiable et homogène les cyberattaques ». Partant de là, difficile en effet d’établir un classement.

• « Nous ne pouvons pas tout contrôler » : l’ANSSI face à la complexité des systèmes de l’État

500 ou 55 000 000 000 cyberattaques ? c’est pareil !

Il cite un exemple récent avec le cas des Jeux olympiques de Paris en 2024. L’ANSSI avait compté à peu près 500 cyberattaques pendant cette période. Le Comité international olympique (CIO), en charge d’organiser les jeux, en avait compté 55 milliards. Un rapport de 1 à 100 000 000 (100 millions), excusez du peu !

Même pas proposé par le dernier seigneur du temps, déception…

Pour augmenter les performances et la densité de ses puces, Huawei change d’approche. Au lieu de jouer sur la taille des transistors (les fameux nm), le fabricant prend de la hauteur et sépare son die en deux parties superposées avec sa technologie LogicFolding. Une première puce est prévue cette année et, d’ici 2031, Huawei compte rivaliser avec les procédés de gravure en 1,4 nm (ou 14 angström).

Huawei a présenté cette semaine sa « loi de Tau (τ), permettant des percées dans la densité des transistors et les performances du système », selon son communiqué. Il s’agit d’un « nouveau principe pour guider le développement futur de l’industrie des semi-conducteurs ».

L’entreprise chinoise, placée sur la liste noire des États-Unis (nous y reviendrons), espère que ces puces haut de gamme développées en suivant la loi de τ proposeront « une densité de transistors équivalente à 14 Å (1,4 nm) ». L’agence de presse China Daily (appartenant au Parti communiste chinois et diffusant donc la propagande du régime) ajoute que la « loi de Tau (τ) succède à la loi de Moore ». Huawei veut ainsi passer de l’échelle géométrique à l’échelle temporelle. Enfin, c’est le discours marketing du fabricant.

Vous n’avez pas tout compris ? Pas d’inquiétude, vous êtes au bon endroit, Next vous explique simplement de quoi il s’agit. On commence par définir ce fameux Tau ou τ, au cœur des annonces de Huawei.

Tau : le temps, c’est parfois relatif

Bring me up before you go-go

Sept ans : c’est le temps qu’il a fallu à SiPearl pour développer et faire produire son premier processeur. Après des années de retard, il subit ses dernières batteries de tests et devrait être commercialisé en 2026. Ce processeur sera présent dans deux supercalculateurs européens : JUPITER en Allemagne et Alice Recoque en France.

La création de SiPearl remonte à juin 2019, par Philippe Notton qui est aujourd’hui encore aux commandes. L’entreprise se présentait alors comme le « concepteur du microprocesseur qui va équiper le supercalculateur exascale européen ». Le but étant de permettre à l’Europe d’assurer une certaine souveraineté technologique, dans le cadre du projet European Processor Initiative (EPI).

Sept ans plus tard, le premier processeur de l’entreprise – Rhea1 – passe la phase « bring-up », c’est-à-dire la « campagne de validation matérielle ». Elle consiste à vérifier que le processeur, qui a été gravé par TSMC, fonctionne conformément à sa conception. C’est une ultime phase de 12 semaines avant le lancement commercial prévu à la fin de l’année.

Entre ces deux étapes, la route était longue, très longue, marquée par des retards. Next retrace les grandes lignes de l’aventure du processeur européen pour les centres de calcul.

2020, SiPearl passe aux Arm, lancement prévu pour… 2022

Loading… ██░░░░░░ 2028

Il faudra patienter au moins deux ans avant de voir une nouvelle version du Raspberry Pi, la 5ᵉ génération a donc encore de beaux jours devant elle. Pour la fondation éponyme, 2025 était une « année charnière » : pour la première fois, elle a expédié plus de micro-controleurs que de micro-ordinateurs.

La semaine dernière, trois pontes de chez Raspberry Pi se sont livrés à un AMA, ou Ask Me Anythings, sur Reddit : Eben Upton (CEO), James Adams (CTO hardware) et Gordon Hollingworth (CTO software). Bien évidemment, la question du futur Raspberry Pi 6 est rapidement arrivée. Oui, il est en préparation. Non, il n’arrivera pas avant deux ans (pour résumer).

Pas avant début 2028 pour le Raspberry Pi 6

« Si l’on se réfère au rythme historique des sorties de plateformes majeures, il est d’environ 4 à 4,5 ans. Donc, sur cette base, pas avant début 2028 », explique Eben Upton. Le Raspberry Pi 5 a été lancé en 2023, la version 4 en 2019.

Le calendrier était un peu plus resserré auparavant avec le Raspberry Pi 3 en 2016 et le Raspberry Pi 2 en 2015. Le tout premier micro-ordinateur de la fondation date de 2012. Nous avons pour rappel consacré un article complet aux différentes versions et déclinaisons du Raspberry Pi.

• 13 ans de Raspberry Pi : du 1 au 5, en passant par les Zero, Pico et Compute Module

Le patron de Raspberry Pi ne semble pas pressé : « Le Raspberry Pi 5 a vraiment de beaux jours devant lui en tant que plateforme, donc je peux imaginer qu’il reste le produit phare pendant encore un petit moment ». Sans donner le moindre détail, il ajoute que la 6ᵉ génération « aura des caractéristiques générales et un format très similaires, mais avec des améliorations (processeurs plus rapides, E/S améliorées, bande passante DRAM accrue, etc.). Des changements quantitatifs, et non qualitatifs ».

Le Raspberry Pi 3B se vend bien, les micro-controleurs prennent la tête

Eben Upton en profite pour indiquer que le Raspberry Pi 3B continue de bien se vendre, « avec près d’un million d’unités par an, sept ans après le lancement du Raspberry Pi 4 ». Les hausses de prix régulières – en raison de pénuries d’approvisionnement et de prix de la mémoire accrue – ces derniers mois des Raspberry Pi 4 et 5 n’aident certainement pas à rendre attractives les dernières générations…

Le Raspberry Pi 3B utilise, pour rappel, de la LPDDR2, contre de la LPDDR4(X) pour les Pi 4 et 5. Le Raspberry Pi 5 avec 1 Go de mémoire est vendu 50,70 euros actuellement chez Kubii et l’addition grimpe jusqu’à 327 euros pour 16 Go.

• Raspberry Pi acte une nouvelle hausse de prix au nom de la mémoire vive

Autre fait intéressant sur les ventes : « 2025 a été l’année charnière : pour la première fois, nous avons expédié plus de RP2040 et RP2350 que de SBC et modules », c’est-à-dire les Single-Board Computer (micro-ordinateurs) et les Compute Module. Les RP2040 et RP2350 sont des microcontrôleurs maison lancés en 2021 et 2024, avec les Pico et Pico 2 respectivement.

• Processeur, SoC, micro-contrôleur : quelles différences ?

Eben Upton revient aussi sur le Zero 2 W en rupture de stock régulièrement à cause d’une « demande très élevée et de contraintes d’approvisionnement en substrat », accusant au passage l’IA d’accaparer une bonne partie de la chaine d’approvisionnement. Un autre fournisseur a été validé, la situation devrait s’améliorer dans les semaines à venir.

Raspberry Pi Zero 3, Pico en USB Type-C et développement logiciel

Un Raspberry Pi Zero 3 pourrait voir le jour, mais avec un sujet sur l’approvisionnement en puce mémoire. Les Zero et Zero 2 utilisent de la LPDDR2 dont Raspberry Pi dispose de larges stocks, une version Zero 3 passerait certainement en LPDDR4/4X avec les soucis d’approvisionnement et la volatilité sur les prix que connaissent les Raspberry Pi. « Un Zero 3 aujourd’hui aurait donc un prix assez inhabituel pour un Zero. Nous y repenserons probablement quand les prix de la DRAM se seront revenus à la normale ».

Au fait, quid du connecteur USB des Raspberry Pi Pico qui est encore au format micro ? « Un jour nous adopterons sûrement l’USB Type-C pour les Pico, mais un connecteur USB Type-C de (bonne qualité) reste nettement plus cher (et légèrement plus grand) que le micro-USB ».

Un dernier mot enfin sur la partie logicielle, avec une déclaration de Gordon Hollingworth : « Nous allons continuer de consacrer 95 % de notre temps d’ingénierie logicielle au support et au développement des bibliothèques, des pilotes, des noyaux et des systèmes d’exploitation pour tous ».

• [Tuto] Raspberry Pi : installer n’importe quel système d’exploitation (OS) depuis le réseau

L’Europe en mode Raoul sur le quantique : « éparpillé par petits bouts, façon Puzzle »

Pour exister, se développer et lutter contre les puissantes sociétés américaines et chinoises, Français et Européens n’ont pas le choix : ils doivent travailler ensemble. Sur le quantique, il faut la trouver la « killer app » et développer un « TSMC du supraconducteur ».

En marge des annonces sur le quantique d’Emmanuel Macron, nous avons visité une partie des installations du TGCC au CEA, notamment la future chambre du supercalculateur Alice Recoque qui va remplacer Joliot-Curie. C’était aussi l’occasion d’échanger avec Julie Galland, directrice de la recherche technologique au CEA) et Jean-Philippe Nominé, expert HPC au CEA depuis plus de 18 ans.

Il était question de la position de la France et de l’Europe sur les supercalculateurs, le quantique et la microélectronique de manière plus large. Julie Galland nous dresse le portrait des start-ups européennes face aux géants américains qui ont un avantage indéniable : la verticalité. Avec Jean-Philippe Nominé, nous avons parlé des dangers de l’hégémonie de NVIDIA et du choix d’AMD pour le supercalculateur.

• Comment le supercalculateur Alice Recoque sera refroidi, alimenté et installé au CEA

Supercalculateur en Chine : pour vivre heureux, vivons cachés

Pour Julie Galland, pas de doute, il faut se rassembler : « C’est très important que, en France bien sûr et en Europe, on arrive à faire collaborer l’ensemble des personnes, des entreprises et des organismes de recherche ensemble, sur toute la chaîne de valeur ».

L’adversaire est de taille : les géants du Net, principalement américains, même s’il ne faut pas oublier les Chinois. Lors de sa visite au CEA, le président de la République a d’ailleurs demandé par deux fois au moins où en étaient les Chinois ? La réponse était plus ou moins la même dans les deux cas : ils ont des capacités, c’est indéniable, mais ils ne communiquent pas dessus (il y a notamment la question de l’embargo américain sur plusieurs composants).

L’exemple le plus frappant est le Top500 des supercalculateurs auquel ne participe plus la Chine depuis plusieurs années maintenant (les résultats sont envoyés de manière volontaire par les centres de calcul). Le pays continue bien évidemment de développer des supercalculateurs, même parmi les meilleurs mondiaux (si ce n’est le numéro un). C’est le cas de LineShine avec ses 2,47 ExaFLOPS de puissance de calcul, dont nous avons découvert le démarrage et les performances au détour d’une publication scientifique.

• Sans crier gare, la Chine sort un supercalculateur de 2,47 ExaFLOPS… sans GPU

L’énorme avantage des géants américains (et chinois) sur l’Europe et la France

Sinon passer à C3 pour des Po ?

Synology regroupe ses trois formules C2 au sein d’une même entité OneStorage, aussi bien pour les nouveaux que les anciens clients… donc certains vont avoir une mauvaise surprise sur leur facture. Synology en profite pour supprimer les formules gratuites, voire carrément des services C2. Next vous explique en détail les changements à venir dans moins d’un mois.

Synology est le spécialiste pour lancer une nouveauté, puis la décliner au fil des années sous d’autres formes avec des applications éparses. Résultat, il n’est pas toujours facile de s’y retrouver. Le cas de la sauvegarde est emblématique du problème avec, par vagues, des multitudes d’applications, une réunification, puis on recommence…

En 2017, Synology a lancé son cloud public C2 en Europe, puis l’a étendu en dehors du Vieux Continent. C2 est depuis devenu C2 Storage, avec des fonctionnalités différentes entre Basic et Advanced. L’Hybrid Share (synchronisation multisite) et l’Object Storage (compatible S3) sont arrivés par la suite. Bref, il y a du C2 à toutes les sauces ou presque – ajoutez à la liste C2 Password, C2 Transfer, C2 Identity… –, avec des abonnements différents suivant les cas et vous avez une idée de l’ambiance.

C2 aujourd’hui : Storage Basic, Storage Advanced et Object Storage

C2 Storage Basic propose 100 Go, 300 Go et 1 To de stockage pour respectivement 11,99, 29,99 et 71,99 euros par an. Cette formule ne donne accès qu’à Hyper Backup pour sauvegarder les données de votre NAS sur le cloud de Synology (et y accéder à distance).

Ok, c’est bien beau… mais ça fait tourner Doom ?

Alice Recoque sera le premier supercalculateur exascale de France. Il sera installé au Très Grand Centre de calcul (TGCC) du CEA, à la place de Joliot-Curie. Nous sommes passés à côté de sa future « chambre » et avons discuté de son système de refroidissement à l’eau tiède (et de sa consommation en eau annuelle) avec des responsables du CEA et du Genci.

Vendredi dernier, le président de la République était au CEA pour des annonces autour du quantique, avec un milliard d’euros supplémentaire, sur cinq ans (via le plan d’investissement France 2030). Il rappelait à cette occasion que le TGCC (Très Grand Centre de Calcul du CEA) dispose déjà de deux machines quantiques – Lucy de Quandela et Ruby de Pasqal – et qu’une autre d’Alice & Bob arriverait en 2027, avec des qubits de chat.

Joliot-Curie déjà en partie démonté pour laisser place à Alice Recoque

Sur place, nous sommes passés devant le supercalculateur (classique) Joliot-Curie dont le démantèlement a déjà commencé. Il sera remplacé à partir de cette année par Alice Recoque, le « deuxième supercalculateur exaflopique acheté par EuroHPC ». C’était aussi l’occasion d’en apprendre un peu plus sur le système de refroidissement.

Au détour d’un couloir, des vitres laissent entrevoir une partie du supercalculateur Joliot-Curie inauguré il y a sept ans. Une moitié de la salle a déjà été vidée des armoires contenant des serveurs de la machine. Nous pouvons donc voir le sol à nu. Les serveurs sont posés sur un sol surélevé afin de laisser passer de larges tuyaux chargés d’alimenter en eau le système de refroidissement des processeurs. Une conception classique pour ce genre de machine.

Nous demandons aux responsables du CEA et de l’infrastructure de recherche Genci (Grand équipement national de calcul intensif) si Alice Recoque, qui sera installé dans cette salle, reprendra le même principe de fonctionnement : « Globalement, oui, mais la grande différence, c’est les gammes thermodynamiques : avec la prochaine génération, l’eau sera plus chaude ».

Eau froide vs tiède : « Même principe […] mais il n’y a plus de groupe froid »

Vaut mieux les avoir en photo qu’à manger

L’Arcep dresse le bilan de l’empreinte écologique des datacenters et de son évolution au fil des années. En France, les datacenters ont consommé 2,7 TWh d’électricité en 2024, et 575 000 m³ d’eau. C’est en même temps beaucoup et peu, question de point de vue. Pour vous situer, nous avons comparé ces chiffres à ceux de Google sur la même année.

Cela fait maintenant plusieurs années que le régulateur des télécoms, l’Arcep, publie une enquête sur l’évolution et l’impact environnemental du numérique en France. La 5ᵉ édition vient de paraître, avec des données chiffrées sur les datacenters. Elles sont remontées par les opérateurs eux-mêmes, puis agrégées. Elles permettent d’avoir une vue globale de la situation en France.

Un mot sur la méthodologie. Les entreprises doivent remonter des données quand leur chiffre d’affaires annuel dépasse les 10 millions d’euros (HT) ou quand la puissance totale dépasse les 100 kW, avec pour activité principale la mise à disposition d’infrastructures dans des datacenters (opérateurs de colocation et de co-hébergement).

Toutefois, les organismes qui disposent de leurs propres datacenters pour un usage interne sont exclus du périmètre. Au total, 23 opérateurs ont répondu en 2024, ce qui représente un total de 160 datacenters en exploitation en France. L’Arcep indique que l’âge moyen des centres de données était de 14 ans en 2024.

Plus d’électricité et plus d’émissions de gaz à effet de serre

Cela ne surprendra personne : la consommation électrique est en augmentation soutenue depuis un moment déjà : 12 % de plus en un an en 2024, après des hausses de 8 et 12 % les deux années précédentes. En trois ans, elle a grimpé de 38 %, passant de 2,0 à 2,7 TWh.

À titre de comparaison, la consommation des datacenters de Google en 2024 était de… 30,8 TWh (en hausse de 29 % sur un an, de 50 % sur deux ans). Google consomme plus de 10 fois plus que l’ensemble des datacenters concernés par l’étude de l’Arcep pour la France.

Le régulateur reconnait lui-même qu’il y a des manques : « les centres de données étudiés dans le cadre de la présente publication représentent environ 50 % de l’ensemble des centres de données de colocation en service en France en 2020 ». Il n’en reste pas moins que l’écart entre les DC en France et ceux de Google est immense.

Les émissions de gaz à effet de serre suivent la même tendance, mais avec une hausse plus importante :+ 44 % en trois ans. La tendance est à l’accélération au cours des dernières années, avec 23 % de plus en 2024 par rapport à 2023, contre 13 et 4 % les deux années précédentes. En 2024, les datacenters ont ainsi générés 178 000 tonnes équivalent CO₂.

Pour l’Arcep, la majeure partie de l’augmentation de la consommation électrique vient des datacenters « nouvellement mis en service (entre 2021 et 2023) ». Pour les émissions de gaz à effet de serre, deux facteurs se mélangent : la hausse brute de la consommation électrique et des « facteurs d’émissions (énergie plus carbonée) ».

En France, le PUE baisse

L’Arcep a la bonne idée de décomposer la consommation électrique des datacenters : les équipements informatiques d’un côté et le reste (refroidissement, tertiaire…) de l’autre. Cela permet d’obtenir le PUE moyen des datacenters en France. PUE pour Power Usage Effectiveness, un indicateur dont nous avons longuement détaillé le fonctionnement et les limites.

• Tout savoir sur la consommation électrique des datacenters : PUE, ses pièges et angles morts

Il est en baisse depuis plusieurs années car si la consommation des équipements IT augmente, celle du reste du datacenter reste relativement stable. De fait, la proportion de la consommation des serveurs prend plus d’importance.

Notez que les PUE indiqués ci-dessous sont issus du rapport complet de l’Arcep qui annonce des baisses de 0,04 point depuis deux ans. Le calcul direct à partir des consommations totales est moins précis à cause des approximations au dixième de TWh.

• 2022 : PUE de 1,51
• 2023 : PUE de 1,46
• 2024 : PUE de 1,42

Ça PUE grave !

Dans une série d’articles, nous allons vous donner les clés pour comprendre l’empreinte environnementale des datacenters, un vaste sujet bien plus complexe que simplement parler des litres d’eau et des watts d’électricité. Après l’eau, passons à l’électricité et son indicateur d’efficacité : le PUE. Il doit lui aussi s’apprécier dans toute sa complexité.

Après l’eau dans le premier article de notre dossier, passons à l’électricité avec le PUE (Power Usage Effectiveness). Une définition : c’est le rapport entre la consommation totale du datacenter et celle dédiée aux équipements informatiques (IT).

Plus le PUE est proche de 1, plus l’infrastructure du datacenter consomme peu d’énergie par rapport à celle des équipements IT (dont les serveurs). Le minimum théorique est 1, mais c’est une chimère impossible à atteindre en pratique car cela voudrait dire que l’ensemble de la consommation électrique est utilisé par les seuls équipements informatiques, or il en faut aussi pour faire tourner le bâtiment (éclairage, onduleurs, pompes, pertes…).

Un ordre de grandeur, rappelé par l’Ademe : « Le PUE moyen est de 1,7 en France et de 1,6 dans l’Union européenne, alors que le PUE doit tendre vers 1,2, valeur maximale acceptable pour les nouvelles installations ». Des datacenters descendent aussi en dessous de 1,2 et atteignent 1,1.

• Tout savoir de la consommation en eau des datacenters, le WUE et ses limites

Attention à ne pas tomber dans un piège : un bon PUE ne signifie pas une faible consommation électrique, cela n’a vraiment rien à voir. Le PUE est un rapport (sans unité) et ne mesure pas une consommation en tant que telle. Un datacenter avec un PUE de 1,1 peut consommer largement plus d’électricité qu’un autre avec un PUE de 1,6, et vice-versa. De plus, deux datacenters peuvent consommer respectivement 1 MW ou 10 GW et avoir rigoureusement le même PUE.

Ajoutons que le PUE ne donne pas la moindre indication sur la puissance électrique maximale utilisée par le datacenter. Or, son implémentation peut créer une contrainte locale importante s’il demande plusieurs dizaines ou centaines de MW en continu ; on parle même de GW pour les plus gros datacenters qui peuvent alors absorber une partie non négligeable de la puissance disponible dans une zone.

Maintenant que les présentations et les mises en garde sont faites, passons aux choses sérieuses. Comme nous allons le voir, il y a PUE et… PUE.

1…2 et 3 PUE, suivant les points de mesure de la consommation

Alerte de sécurité : les dépôts publics sont toujours accessibles… publiquement !

GitHub reconnait s’être fait dérober des données de 3 800 dépôts privés, mais uniquement ses propres dépôts, pas ceux de ses clients. TeamPCP a revendiqué l’attaque et propose les données à la vente.

Dans un message publié sur X, GitHub reconnait avoir été piraté. Plus exactement, la plateforme explique « enquêter sur un accès non autorisé aux dépôts internes de GitHub ». Les dépôts privés de ses clients ne semblent pas concernés : « Nous n’avons actuellement aucune preuve d’impact sur les informations client stockées en dehors des dépôts internes de GitHub », explique la plateforme.

GitHub se fait pirater à cause d’une extension VS Code

Dans un second temps, elle a précisé que la compromission venait « de l’appareil d’un employé avec une extension Visual Studio Code empoisonnée ». Les extensions peuvent être installées depuis le VS Code Marketplace, mais aussi via des boutiques tierces ou manuellement.

GitHub ne précise pas comment l’extension compromise avait été installée. La plateforme ne donne pas son nom et n’entre pas davantage dans les détails. L’extension a évidemment été supprimée et des mesures ont été prises pour limiter les dégâts.

La société affirme de nouveau que l’exfiltration des données ne concernait que des dépôts internes à l’entreprise. De plus, « les affirmations actuelles de l’attaquant concernant environ 3 800 dépôts sont globalement cohérentes avec les résultats de notre enquête jusqu’à présent », ajoute l’entreprise. Un rapport complet sera publié une fois l’enquête terminée.

TeamPCP revendique le piratage et demande 50 000 dollars

Quelques heures avant la publication du message de GitHub sur X, le groupe de pirates TeamPCP affirmait sur un forum spécialisé avoir accédé aux « codes source et organisations internes de GitHub ». Il était question d’environ 4 000 dépôts privés. TeamPCP demandait une rançon de 50 000 dollars, comme le rapporte Bleeping Computer.

Enfin, selon les pirates, ce n’est pas de l’extorsion : « Comme toujours, il ne s’agit pas d’une rançon. Nous ne cherchons pas à extorquer GitHub. Un seul acheteur et nous détruisons les données de notre côté. Notre retraite approche, donc si aucun acheteur n’est trouvé, nous les diffuserons gratuitement ».

Comme le rappellent nos confrères, TeamPCP est très actif ces derniers temps avec quelques prises importantes (revendiquées et/ou attribuées). C’est notamment le cas de Trivy/LiteLLM et de Xinference sur PyPI, avec des répercussions en cascade.

Dans le premier cas, la compromission de Trivy avait conduit au piratage de la Commission européenne fin mars : « Nous estimons avec un degré de confiance élevé que l’accès initial a été obtenu grâce à la compromission de la chaîne d’approvisionnement de Trivy, qui a été publiquement attribuée à un acteur malveillant connu sous le nom de TeamPCP », expliquait le CERT-EU.

Et la musique tombée du cloud sur les toits rouillés de RIO

Dans une série d’articles, nous allons vous donner les clés pour comprendre l’empreinte environnementale des datacenters, un vaste sujet bien plus complexe que simplement parler des litres d’eau et des watts d’électricité. On commence avec la consommation en eau et l’indicateur WUE : simple à comprendre, il cache néanmoins de sérieuses limitations.

D’abord, une explication : pourquoi les datacenters consomment-ils de l’eau en plus ou moins grande quantité ? Réponse simple et rapide : refroidir les serveurs. Les deux principales sources de chaleur sont les processeurs (CPU) et les GPU utilisés par milliers/millions par les intelligences artificielles génératives.

Pour un même serveur, il existe plusieurs systèmes de refroidissement possibles, plus ou moins consommateurs d’eau : le free cooling avec l’air extérieur (ou une climatisation) qui consomme peu d’eau, le watercooling en boucle fermée qui consomme également assez peu, mais aussi l’évaporatif et les tours aéroréfrigérantes qui consomment énormément.

On parle aussi souvent de refroidissement adiabatique avec la pulvérisation de micro-gouttelettes sur des « membranes » ou « cooling pad » qui permettent de refroidir l’air qui arrive aux serveurs. Ce genre de système ne consomme que peu d’eau et ne fonctionne généralement que pendant un nombre limité de jours dans l’année, lors des périodes les plus chaudes (en été dans notre cas). OVHcloud, par exemple, ne l’utilise qu’une quinzaine de jours par an à Roubaix (en durée de mise en marche cumulée).

Prélèvement, consommation et estimation : le trio du comptage de l’eau

À cause de leur taille et densité en hausse, combinées avec une forte augmentation de la demande, la consommation en eau des datacenters est un sujet de plus en plus important, d’autant plus dans les zones touchées par des pénuries d’eau.

Entre les prélèvements, les rejets et la consommation, trois mesures différentes se mélangent parfois dans les rapports environnementaux des géants du numérique, mais aussi dans la compréhension du public. Elles sont pourtant bien différentes.

Le prélèvement correspond au volume d’eau total que l’entreprise prélève, toute source confondue (potable, sources souterraines, rivières, eaux grises…). Les rejets sont les volumes d’eaux rejetés ; on ne parle que de volume, pas de « qualité ». Enfin, la consommation correspond à une soustraction entre prélèvements et rejets. La consommation est donc inférieure ou égale aux prélèvements.

Dans le cas des tours aéroréfrigérantes, l’eau est évaporée : les prélèvements et la consommation sont donc importants. Un datacenter qui détourne une rivière pour refroidir ses serveurs ne va quasiment rien consommer en eau car les rejets sont quasiment égaux aux prélèvements, mais l’eau rejetée n’est plus la même que celle en entrée.

Certaines entreprises, notamment les géants américains, distinguent prélèvement, consommation et rejet dans leurs rapports. Sur le papier, c’est toujours utile d’avoir ce genre de détail, mais il y a un gros problème : les volumes ne sont pas toujours mesurés, ils sont parfois estimés.

« En l’absence de données réelles sur les rejets d’eau potable, nous appliquons un coefficient de rejet standard de 90 % du prélèvement d’eau potable de l’installation », explique le plus naturellement du monde Google dans son rapport de soutenabilité. Si on ne regarde que la consommation, on peut parfois être loin de la réalité. À l’opposé, OVHcloud reconnait qu’il « ne dispose pas de mesure pour l’eau qui retourne au bassin versant, par conséquent, OVHcloud considère que toute eau prélevée est « consommée » ».

Autre point important, l’eau prélevée est généralement potable (même très souvent), mais celle rejetée ne l’est plus forcément. Pour les prélèvements dans des sources souterraines ou des rivières, l’eau est traitée avant de passer dans des circuits de refroidissement. On pourrait se dire que la consommation est presque nulle et que cela n’aurait donc pas de conséquences pour l’environnement, mais ce n’est pas le cas : l’eau rejetée est plus chaude, sans oublier que les entreprises peuvent ajouter des produits chimiques (biocides, antitartre, etc.) pour limiter la corrosion des équipements et protéger les installations.

Le WUE, ses limites et angles morts

Voilà pour les grands principes des indicateurs de l’eau pour les datacenters. C’est très important de bien comprendre la manière dont ils sont faits car ils servent de base de calcul à un acronyme que l’on retrouve souvent : le WUE ou Water Usage Effectiveness. Premier point : effectiveness se traduit par efficacité, mais le WUE ne donne pas vraiment d’indication sur l’efficacité de l’usage de l’eau, c’est plus un ratio d’intensité d’usage.

En 2015, Andrej Karpathy lance avec d’autres chercheurs – Sam Altman, Elon Musk, Ilya Sutskever, Greg Brockman… – une petite entreprise rapidement devenue grande : OpenAI. Il est parti en 2017 pour prendre la direction de l’IA chez Tesla pendant cinq ans, jusqu’en 2022.

En 2023, retour à « la maison » d’une certaine manière pour Andrej Karpathy puisqu’il revient chez OpenAI afin de « constituer une nouvelle équipe travaillant sur l’entraînement intermédiaire et la génération de données synthétiques ». Dans un message sur X, il annonce encore un changement de crémerie : il passe chez Anthropic.

Il donne quelques détails : « Je pense que les prochaines années à la pointe des LLMs seront particulièrement formatrices. Je suis très enthousiaste à l’idée de rejoindre l’équipe et de reprendre la R&D. Je reste profondément passionné par l’éducation et je prévois de reprendre mon travail à ce sujet en temps voulu ». Il a, pour rappel, lancé en 2024 une chaine YouTube sur la vulgarisation et les explications autour de l’IA.

Le changement est notable de voir un ancien fondateur d’OpenAI arriver chez son principal concurrent Anthropic, d’autant plus pour de la recherche et développement. Il y a peu, Anthropic annonçait un partenariat avec SpaceX pour utiliser son datacenter Colossus et ainsi profiter d’une puissance de calcul renforcée et rouvrir les vannes aux utilisateurs.

De son côté, OpenAI recentre ses activités avec la fermeture de Sora pour les vidéos (faisant au passage voler en éclats le partenariat avec Disney), avec des départs de hauts responsables dans la foulée. Les deux entreprises sont dans la dernière ligne droite pour préparer leur entrée en bourse.

• Anthropic donne de l’air à Claude grâce à Colossus de SpaceX
• OpenAI : trois départs successifs après l’arrêt de Sora

Débranche, débranche, débranche tout. Revenons à nous.

Face aux quasi-incessantes fuites de données en France, notamment sur des institutions, l’ANSSI serait sur la sellette ? Son directeur général Vincent Strubel réfute et revient sur les travaux de pilotage du numérique, avec une future autorité « Ariane ». Il en profite pour mettre en face des milliers de systèmes d’information de l’État la capacité de l’Agence à mener… 50 contrôles par an.

La semaine dernière, le Canard enchainé a publié un article intitulé « Lecornu débranche l’Anssi, accusée de ne pas avoir sécurisé des sites sensibles de l’État ». Le Palmipède y explique que le premier ministre Sébastien Lecornu chercherait un fusible. En cause, les fuites de données à répétition. « Cela pourrait déboucher sur le limogeage de Vincent Strubel, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (Anssi) », indiquent nos confrères.

« Il n’y a pas de remise en cause des missions de l’ANSSI »

Hasard ou pas du calendrier, ce même Vincent Strubel était auditionné par la Commission de la défense de l’Assemblée nationale le lendemain dans le cadre du cycle Guerre hybride et continuum de conflictualités. Le rendez-vous était déjà fixé avant la publication de l’article de nos confrères. Après un discours introductif sur l’état de la cybermenace en France, des questions sont rapidement arrivées sur l’article du Canard et le piratage de l’ANTS. C’est la dernière institution en date à avoir subi une fuite massive de données : au moins 11,7 millions de comptes ont été compromis. Dans cette affaire, un ado de 15 ans a été placé en garde à vue fin avril.

• Fuite de l’ANTS : un ado de 15 ans en garde à vue. « Ce n’est pas un prodige. C’est un signal. »

« Non, il n’y a pas de tension entre le Premier ministre et l’ANSSI. Je réfute ce qui est dit dans l’article », affirme sans détour Vincent Strubel. Il en veut pour « preuve » sa présence encore au poste de directeur général de l’ANSSI.

Il en profite pour rappeler que ses équipes ne ménagent pas leurs efforts en matière de cybersécurité et joue lui aussi de l’analogie des cyberpompiers : « Je trouve que là on est dans le même registre que jeter des cailloux sur les camions de pompiers qui viennent éteindre des incendies et je le trouve parfaitement abject. »

« Je pense qu’il y a une mécompréhension fondamentale de la réforme annoncée, non pas de l’ANSSI mais du pilotage numérique. Il n’y a pas de remise en cause des missions de l’ANSSI, il n’y a pas de remise en cause de l’efficacité de son travail », ajoute-t-il.

Une réforme du pilotage du numérique, pas de la cybersécurité

AMD a présenté son nouveau GPU pour l’intelligence artificielle MI350X en 2024, puis en version plus haut de gamme avec un refroidissement liquide avec le MI355X. Les deux exploitent l’architecture maison CDNA4.

• AMD : Zen 5 à tous les étages (Ryzen AI, 9000, Epyc), roadmap des GPU Instinct jusqu’en 2026

Le fabricant vient de présenter une nouvelle version : Instinct MI350P, qui se distingue avec un format PCIe paré pour être installé dans un ordinateur ou serveur classique. Elle vise principalement les fonctions d’inférence.

Là encore, le GPU utilise l’architecture CDN4, mais avec 144 Go de HBM3E contre 288 Go pour les MI350X et 355X0. La bande passante de la mémoire est aussi divisée par deux avec 4 To/s. Elle occupe deux emplacements, dispose d’un port PCIe 5.0 et affiche un TDP de maximum de 600 watts.

Niveau puissance de calcul, AMD annonce 4,6 PFLOPS pour l’Instinct MI350P en MXFP4, contre 9,2 PFLOPS pour la MI350X (AMD annonce ici 18,4 PFLOPS mais avec dispersion, sans quoi il faut diviser par deux).

Rien de surprenant : le GPU de la MI350P à 8 192 stream processors (512 Matrix cores et 128 compute units), contre le double (16 384 SP, 1 024 MC et 256 CU) pour MI350X. La fréquence est la même dans les deux cas : 2,2 GHz.

Pour le moment, rien sur le prix.

ANSSI font font les pirates

Dans son rapport d’activité 2025, l’ANSSI revient évidemment sur les cyberattaques qui touchent la France et dresse un sombre portrait de ce qui nous attend, mais elle en profite surtout pour faire le point sur ses dispositifs réglementaires : lanceur d’alertes, détection et blocage de menaces étatiques, déploiement des réseaux 5G…

Cela fait maintenant plusieurs mois que Vincent Strubel (patron de l’Agence nationale de la sécurité des systèmes d’information ou ANSSI) a tenu à Monaco un discours sous forme d’un électrochoc afin de réveiller la conscience collective.

Aux Assises de la cybersécurité en octobre dernier, il rappelait que la France devait être « prête à faire face à une guerre de haute intensité » d’ici 2030, avec un « engagement de nos armées ».

• Vincent Strubel (ANSSI) face à la « brutalisation du monde » et la menace quantique

Se préparer à des attaques informatiques beaucoup plus massives (et avec IA)

Il parlait du risque « d’être submergé » par les attaques, d’en « subir tellement à la fois qu’on ne pourra plus rien faire ». En mars, lors de la présentation du rapport sur la cybermenace 2025, il revenait sur le cas de la France et appelait à ne pas céder à la panique : les niveaux de menaces sont certes très significatifs, mais « on n’est pas sur une explosion ou un raz-de-marée ».

• Cyberattaques en France : des niveaux « très significatifs », mais pas de raz de marée

L’ANSSI vient de mettre en ligne son rapport d’activité 2025 et, dans son édito, Vincent Strubel, tient des propos similaires : la France doit « se préparer à un scénario d’attaques informatiques beaucoup plus massives ». Il ajoute que ce scénario « n’est pas une fatalité », mais qu’il faut se préparer.

3 586 événements de cybersécurité ont été remontés et traités par l’ANSSI. Dans le lot, 1 366 sont des incidents avérés « pour lesquels l’ANSSI confirme qu’un acteur malveillant a conduit des actions avec succès sur le système d’information de la victime ». L’année précédente, période des JOP 2024 de Paris, il y en avait eu respectivement 4 386 et 1 361.

L’Agence détaille dans son rapport ses actions passées et à venir. Il est évidemment question d’intelligence artificielle : « notre rôle est d’apporter de la clarté, d’anticiper, de mesurer les risques comme les opportunités – le tout pour accompagner l’écosystème vers la promotion d’une IA à la fois sûre et résiliente ». Une déclaration de Hugo Mania, chef de projet IA à l’ANSSI, qui résonne avec les déclarations d’Anthropic et OpenAI sur les performances de leur IA dédiées à la cybersécurité.

Cette année, une formation de « sensibilisation aux enjeux de cybersécurité liés à l’IA » sera proposée au Centre de formation à la sécurité des systèmes d’information (CFSSI) de l’ANSSI.

• Cybersécurité vs Gen AI : l’ANSSI « n’a pas de preuve d’attaque à 100 % IA »
• OpenAI aussi a son moment Mythos… et assure sa com’ face à Anthropic
• Comment survivre à la déferlante à venir des vulnérabilités identifiées par IA ? (3/3)

Augmentation des attaques contre les environnements cloud

Cela fait maintenant des années qu’Apple et Epic s’écharpent devant les tribunaux. La trame de fond est toujours la même : le verrouillage opéré par Apple sur les transactions via la boutique iOS.

Fin 2025, le père de l’iPhone a dû s’ouvrir à des solutions alternatives, mais a sauvé sa commission sur les transactions qui doit être raisonnable (sans plus de précision). Apple avait demandé au tribunal de revoir sa décision, mais les juges ont refusé à l’unanimité.

• Epic gagne en grande partie son appel contre Apple, qui sauve sa « commission »

Apple demande alors au tribunal de suspendre sa décision et la 9ᵉ cour d’appel accepte cette fois-ci la demande. Epic voit rouge et demande au tribunal de « réexaminer la décision d’aujourd’hui accordant la requête d’Apple pour suspendre l’exécution de la décision ». Fin avril, la 9ᵉ Cour revient sur sa propre décision. Tim Sweeney jubile : « Les tactiques dilatoires d’Apple touchent à leur fin ! Apple retourne devant la juge Gonzalez Rogers pour des audiences sur les frais qu’Apple peut facturer ».

Le 4 mai, Apple dépose à la Cour suprême une « emergency application » pour que la décision de la cour d’appel (qui devait entrer en vigueur le 5 mai) soit suspendue.

La réponse est arrivée rapidement : c’est non. « La Cour suprême des États-Unis a rejeté mercredi la demande d’Apple de bloquer temporairement une ordonnance judiciaire », explique Reuters. En conséquence, Apple devra retourner voir la juge Yvonne Gonzalez Rogers pour fixer la « commission que l’entreprise peut légalement facturer ».

Il y a un an, Apple s’est pris de plein fouet les foudres de cette même juge : « Apple a délibérément choisi de ne pas se conformer à l’injonction de la Cour. Elle l’a fait avec la ferme intention de créer de nouvelles barrières anticoncurrentielles qui préserveraient une source de revenus précieuse, mais précédemment jugée anticoncurrentielle ».

Toujours l’éternel combat : sécurité vs simplicité

Un chercheur affirme, avec un prototype publié sur GitHub, que le navigateur Edge charge tous les mots de passe de son gestionnaire en clair dans la mémoire de l’ordinateur. N’importe qui peut donc y accéder ? Presque, il faut des droits administrateur tout de même. Microsoft confirme, ajoutant que c’est un comportement voulu.

Le chercheur en cybersécurité Tom Jøran Sønstebyseter Rønning explique sur les réseaux sociaux que le navigateur « Microsoft Edge charge tous vos mots de passe enregistrés en mémoire en clair – même lorsque vous ne les utilisez pas ».

Si vous êtes admin, vous pouvez voir les mots de passe en clair

Il propose un prototype sur GitHub permettant de vérifier ce qu’il en est sur sa machine. Un prérequis limite tout de même fortement la portée de ce que le chercheur présente comme une vulnérabilité : il faut des « droits d’administrateur (pour pouvoir lire la mémoire des processus Edge d’autres utilisateurs) ». Le chercheur confirme dans son fil de discussion sur X « ne pas avoir réussi à le faire fonctionner sans privilèges administrateur ».

Nous avons testé le programme EdgeSavedPasswordsDumper du chercheur, avec succès sous Windows 11 avec Edge 147 (les deux étaient à jour)… à condition de lancer un terminal avec des droits administrateur. Dans ce cas, le programme retourne bien, l’ensemble des identifiants et mots de passe enregistrés dans Edge dans le terminal. Sans les droits administateur, le même terminal répond « [x] Not running elevated ».

Ce sont ceux également visibles dans edge://settings/autofill/passwords, à la différence que pour voir les mots de passe enregistrés dans le navigateur, il faut entrer le mot de passe Windows « pour permettre cette opération », comme l’indique la fenêtre de validation qui s’est ouverte (voir les captures ci-dessous).

La technique utilisée par le chercheur permet de s’affranchir de cette étape à condition, pour rappel, d’avoir déjà des droits d’administrateur. Il est « amusant » de voir Edge demander une validation alors que c’est déjà accessible librement, comme le prouve le programme du chercheur.

« Edge est le seul navigateur basé sur Chromium testé qui se comporte ainsi »

Selon Tom Jøran Sønstebyseter Rønning, « Edge est le seul navigateur basé sur Chromium testé qui se comporte ainsi. En revanche, Chrome utilise une conception qui rend beaucoup plus difficile pour les attaquants d’extraire les mots de passe sauvegardés simplement en lisant la mémoire des processus. Le navigateur ne déchiffre les identifiants que lorsque cela est nécessaire, au lieu de garder tous les mots de passe en mémoire en permanence ».

Chrome, toujours selon le chercheur, a d’autres protections, faisant que « les mots de passe en clair ne sont visibles que brièvement lors du remplissage automatique ou lorsque l’utilisateur les consulte, ce qui rend l’extraction massive de données en mémoire beaucoup moins efficace ».

Pour Tom Jøran Sønstebyseter Rønning, le risque est important dans des environnements partagés : « Si un attaquant obtient un accès administrateur sur un serveur, il peut accéder à la mémoire de tous les utilisateurs connectés (ou même les utilisateurs déconnectés) avec Edge en cours d’exécution ». On en revient toujours au même pré-requis important : être administrateur.

Microsoft confirme : c’est voulu et même « by design »

Le chercheur a contacté Microsoft, qui lui a répondu que c’est le comportement « by design » de son navigateur et qu’aucun correctif ne sera publié.

Un porte-parole confirme à Cybernews, en détaillant davantage son point de vue : « Les choix de conception dans ce domaine visent à trouver un équilibre entre performance, facilité d’utilisation et sécurité, et nous continuons de les évaluer face à l’évolution des menaces. Les navigateurs accèdent aux données de mots de passe en mémoire pour permettre aux utilisateurs de se connecter rapidement et en toute sécurité ; il s’agit d’une fonctionnalité normale de l’application ».

« L’accès aux données du navigateur, tel que décrit dans le scénario signalé, nécessiterait que l’appareil soit déjà compromis », ajoute Microsoft. En effet, il faut déjà être administrateur. Comme le montre Chrome avec une surface d’attaque plus limitée, il est tout de même possible de réduire les risques.

Comme le fait remarquer un internaute sur X, cette affaire n’est pas sans en rappeler une autre de 2022 sur Chromium (la base de Chrome, Edge et d’autres navigateurs). Il enregistrait en clair des mots de passe et d’autres informations dans la mémoire de l’ordinateur.

De manière générale, la communauté de la cybersécurité recommande davantage d’utiliser un gestionnaire de mot de passe dédié plutôt que ceux intégrés dans les navigateurs, notamment car la sécurité est leur première raison d’être. C’est également l’argument mis en avant par les gestionnaires de mots de passe qui prêchent évidemment pour leur paroisse.

• [Tuto] Auto-héberger son gestionnaire de mots de passe avec Vaultwarden (Bitwarden)