Vue normale

Il y a de nouveaux articles disponibles, cliquez pour rafraîchir la page.
À partir d’avant-hierFlux principal

Renaud Chaput: "If you are using the polyfill.io service for your website, you may want to reconsider. " - Oisaur

29 février 2024 à 08:15
Ça m'a toujours semblé très con comme idée d'inclure dynamiquement sur son propre site web du code exécutable qui vient d'autres sites. Ils pourraient exécuter n'importe quoi dans vos pages, voir même uniquement pour certaines adresses IP ou utilisateurs.

Les grandes excuses pour utiliser des CDN pour distribuer du javascript c'est :
1) c'est plus rapide parceque c'est déjà chargé dans le cache quand l'internaute a visité un autre site.
2) ça offre une meilleure sécurité parce que c'est toujours à jour.

Le 1 est faux depuis que les navigateurs font depuis un moment de la ségrégation des caches. La librairie, même si elle est à la même URL, sera rechargée par le navigateur en cas de visite d'un site différent.

Et le 2 n'est plus tout à fait vrai, avec l'exemple de cet internaute qui signale de polyfill.io (un CDN qui distribue des librairies javascript) vient d'être cédé par son propriétaire à une société chinoise.
Vous imaginez le code que cette société pourra faire sur tous les sites, pas mis à jour, qui utilisent encore polyfill.io pour aller chercher le javascript à exécuter ? Tout est possible.

(Source : https://github.com/polyfillpolyfill/polyfill-service/issues/2834)
(Permalink)

European crash tester says carmakers must bring back physical controls | Ars Technica

5 mars 2024 à 08:30
L'ère du tout tactile dans les voitures touche peut-être à sa fin : EuroNCAP - l'organisme qui teste la sécurité des véhicules en Europe - va baisser la note des voitures qui n'ont pas de boutons physiques.
Cela fait suite à des études de ce genre : https://sebsauvage.net/links/?1o3QeQ
(Permalink)

ADSILLH : licence pro Administration et Développement de SI à base de Logiciels Libres et Hybrides

Après une ouverture en septembre 2016 et huit promotions, la licence professionnelle ADSILLH (Administrateur et Développeur de Systèmes Informatiques à base de Logiciels Libres et Hybrides) ouvre de nouveau ses portes à l’Université de Bordeaux à la rentrée 2024 !

Cette licence professionnelle vise à former les étudiants à intégrer des logiciels libres en un ensemble cohérent répondant aux besoins des entreprises, un système d’information complet par exemple, en interopérant au besoin avec des logiciels propriétaires (hybridation). Il s’agit également de s’impliquer dans les communautés de développeurs de logiciels libres, pour remonter ou corriger les bogues, contribuer des fonctionnalités (c’est tout l’objet du projet tutoré).

C’est une licence pro en un an (donc BAC + 3), elle est ouverte aux L2, DUT/BUT2, BTS, en formation initiale et en alternance, mais aussi en formation continue, reprise d’études et contrat professionnel (on peut faire une VAP — Validation des Acquis Professionnels — pour l’inscription). Des VAE (Validation des Acquis de l’Expérience) sont également possibles.

Contenu

  • systèmes et réseaux :
    • programmation système,
    • programmation réseau,
    • installation et configuration des systèmes et réseaux ;
  • technologies logicielles :
    • bases de données,
    • développement Web,
    • logiciels de communication ;
  • progiciels CMS/ERP/BI ;
  • sûreté et sécurité ;
  • projet tutoré : contribution à un logiciel libre ;
  • droit et économie des logiciels libres ;
  • anglais ;
  • stage en entreprise.

Prérequis

Les prérequis sont l’utilisation d’Unix en général, la programmation de base en Python et en C et une touche d’algorithmie. Il est possible de s’auto‑former sur les éventuels quelques éléments manquants entre l’inscription et la rentrée. Le détail est disponible sur le site de la formation.

Commentaires : voir le flux Atom ouvrir dans le navigateur

Retour d’expérience sur l’utilisation de GrapheneOS (ROM Android libre)

Suite à la dépêche Comparatif : GrapheneOS vs LineageOS, je souhaitais faire part d’un retour d’expérience sur l’utilisation de GrapheneOS sur un téléphone Android Pixel 7a. Ce commentaire est repris ici sous forme de dépêche.

    Sommaire

    Le point de départ est celui d’un utilisateur sensible aux logiciels libres mais qui utilise un téléphone Android Samsung « comme tout le monde », avec :

    • Utilisation du Google Play Store, avec un compte Google personnel
    • Utilisation d’un compte Google professionnel
    • Utilisation du Samsung store, avec un compte Samsung
    • Utilisation d’une montre connectée Samsung avec appli Samsung health

    L’utilisateur a déjà expérimenté par le passé les solutions suivantes :

    • UbuntuOS (abandonné rapidement par manque d’applications)
    • LineageOS, avec Micro-G + « signature spoofing » pour permettre l’installation des applications bancaires

    PixelOS

    Installation

    La mise en œuvre du système « stock » installé sur le smartphone est très facile et simple d’utilisation. Les téléphones Pixel proposent des fonctionnalités « avancées » spécifiques qui sont proposées au démarrage, avec à chaque fois le jeu de « voulez-vous activer cette fonctionnalité ? Si oui, acceptez le contrôle des données suivantes… »
    On est dans un environnement full google, donc avec quelques habitudes à changer me concernant venant d’un environnement Samsung (la surcouche de l’OS est différente).

    Interface

    Launcher Pixel avec une barre de recherche Google qui ne peut pas être enlevée (The search bar cannot be removed from the bottom of the home screen, it's part of the Pixel Launcher https://support.google.com/pixelphone/thread/133065648/is-there-any-way-to-remove-the-google-search-bar-from-the-home-screen?hl=en), sinon tout est fluide / "beau"

    Fonctionnalités spécifiques/avancées de PixelOS

    • Déblocage du téléphone par reconnaissance faciale (probablement un cauchemar en termes de privacy, mais je pourrais comprendre pourquoi une personne lambda souhaiterait activer ce service)
    • « Double tap » au dos du téléphone pour lancer une action (dans mon cas : la lampe torche)
      • On peut utiliser Torchie pour une fonctionnalité proche (https://f-droid.org/fr/packages/in.blogspot.anselmbros.torchie/)
      • Les fonctions d’urgence « avancées » fournies par l’application « sécurité personnelle » (https://play.google.com/store/apps/details?id=com.google.android.apps.safetyhub&hl=fr&gl=US)
      • L’application est disponible sur le playstore mais ne fonctionne pas sur GrapheneOS
      • Il existe une fonction d’urgence « de base » dans GrapheneOS (AOSP ?) (appuyer 5x sur power pour lancer un appel d’urgence vers le 112)
      • Dans PixelOS, il y a un conflit de raccourcis entre « appuyer 5x sur power pour lancer un appel d’urgence » et l’option « appuyer 2x pour lancer l’appareil photo » (quand les deux sont activées : l’appareil photo prend le dessus)
    • Paiements NFC (non accessibles sur GrapheneOS)
      • Certaines applications de paiement autres que Google Wallet peuvent fonctionner (par ex. Paylib)
    • Fonctionnalité « bien être numérique », notamment le fait de passer l’écran en noir & blanc à partir d’une certaine heure pour tenter de limiter le temps devant les écrans. L’application existe dans le Play Store (https://play.google.com/store/apps/details?id=com.google.android.apps.wellbeing&hl=fr&gl=US) mais impossible à retrouver depuis le client Play Store sur le téléphone.
      • Il existe probablement des alternatives

    GrapheneOS

    Installation

    Procédure d’installation web très simple et rassurante. C’est la première fois que je me verrai recommander ce type d’install à un utilisateur non technique (alors que la procédure d’install de LineageOS - à l’époque ou j’ai essayé - est complexe et obscure, avec le risque de se planter à plusieurs étapes).

    Interface

    • Le bureau par défaut est très minimaliste et pas très accueillant (je sais que cela peut paraître peu important, mais le fond noir + icônes en noir & blanc peut rebuter / n’est pas aussi accueillant que le système de base).
    • Le clavier par défaut m’a dérangé (après des années à utiliser le clavier Gboard), surtout pour l’écriture « swipe » (que je pratique souvent quand j’écris un message à une main).

    Applications et « stores »

    Pour le Store Google, il est possible d’installer plusieurs « briques » de l’éco-système :

    • Google Services Framework (GSF), dont dépendent :
      • Google Play services + Google Play Store (interdépendants) On peut donc choisir : rien du tout, GSF pour les applis qui en dépendent, ou les trois.

    Gestion des autorisations

    • Les possibilités sont très fournies = positif (permet de limiter les accès réseau, les accès stockage)
    • Les possibilités sont très fournies = complexe à gérer : il faut se poser des questions / passer du temps à configurer les choses.
      • Exemple : la synchronisation des contacts Google ne se fait pas sans la permission « Contacts » dans l’appli « Google Services Framework ».

    Séparation des usages

    Il existe deux approches possibles de séparation des usages :

    • Utilisation d’un « user profile » : il s’agit d’un profil complètement distinct. On peut passer de l’un à l’autre assez facilement. Les deux profils ne peuvent pas se parler, sauf via les notifications croisées (https://www.youtube.com/watch?v=WjrANjvrSzw)
    • Utilisation d’un « work profile » : ici on utilise un seul profil, mais à l’intérieur duquel on vient activer la fonctionnalité « work profile » d’Android pour séparer les usages (via une application tierce telle que Shelter, https://www.youtube.com/watch?v=20C0FD7mGDY pour une explication détaillée)

    Détail des approches suivies

    1ʳᵉ approche

    • Profil « owner » avec Shelter
      • Profil « Personnel » = pas de services Google
      • Profil « Professionnel » = Services Google avec compte personnel
    • 2ᵉ Profil « Travail » = Services Google avec compte professionnel

    Ce qui bloque : je voulais utiliser la fonctionnalité « work profile » d’Android avec Shelter pour isoler mon compte Google personnel. Hors c’est ce compte qui jusqu’ici synchronise les contacts. Les applications par défaut de GrapheneOS ne gèrent pas cette synchro (autrement que via import/export manuel, ou alors je n’ai pas trouvé comment). Si on veut quelque chose qui s’intègre tout seul il faut passer par les applications Google de Téléphone/Contacts/Calendrier. Hors ces applications ne peuvent pas devenir « applications par défaut » (pour remplacer celles existantes de GrapheneOS) dans le « work profile », c’est le profil personnel qui gère cette configuration.

    2ᵉ approche (test en cours)

    • Profil « owner » (unique, sans Shelter) = Services Google avec compte personnel
    • 2ᵉ Profil « Travail » (unique, sans Shelter) = Services Google avec compte professionnel

    Ce qui bloque : j’utilise le téléphone à la fois pour le pro & perso, sauf que le fait d’avoir deux profils implique de jongler systématiquement entre les deux profils. Trop compliqué au quotidien.

    3ᵉ approche (d’ici une semaine)

    • Profil « owner » avec Shelter
      • Profil « standard » = Services Google avec compte personnel
      • Profil « work » = Services Google avec compte personnel

    Détails : utilisation sans les services Google

    Synchronisation des contacts & agendas

    La première problématique c’est la synchro des contacts et des agendas. Pour se passer de Google sur ce point, il faut mettre en place au préalable un service de partage de contact / agenda :

    Bref c’est un projet en tant que tel, pas forcément à la portée de tous

    Quid des applications non libres hébergées sur le play store

    À ce stade, pour accéder à d’éventuelles applications uniquement présentes sur le Play Store, il est possible de :

    • passer par l’application Aurora
    • passer par apkmirror pour les télécharger une à une

    Cependant, de nombreuses applications du Play Store requièrent l’installation du Google Services Framework (« GSF ») pour fonctionner.

    Me concernant, j’ai la liste suivante d’applications que j’ai pu récupérer par ce biais (et qui fonctionnent sans GSF) :

    • Appli Banque (SG)
    • Paiement NFC via Paylib (pas encore testé « en vrai » mais l’appli s’installe sans broncher)
    • Deezer (musique)
    • Somfy (alarme)
    • NetAtmo (thermostat connecté)
    • Doctolib (Santé)
    • Appli mutuelle (Alan)
    • Freebox connect (utilitaire freebox)
    • Wifiman (utilitaire réseau)

    Certaines applications nécessitent le GSF, c’est le cas notamment de :

    Détails : Utilisation avec les services Google

    Dans un profil séparé

    J’ai mis du temps à comprendre / trouver comment activer la fonctionnalité de profils multiples (alors que c’est simple) : Paramètres > Système > Utilisateurs multiples > Autoriser plusieurs utilisateurs (https://www.youtube.com/watch?v=SZ0PKtiXTSs)

    Le profil séparé à l’avantage d’être comme un « deuxième téléphone ». C’est aussi un inconvénient pour les personnes qui ne sont pas prêtes à faire cet « effort » (passer de l’un à l’autre), même si les notifications « cross profile » aident sur ce point.
    Il faut reproduire sur chacun des profils toutes les « custo » faites (changement de launcher, de clavier, configurations diverses, etc).

    Via la fonction « work profile » d’Android

    La fonction work profile fournit une séparation moins forte, mais c’est aussi plus « pratique » au quotidien car toutes les applications (et les comptes) sont dans un seul profil. J’ai testé via l’application Shelter.

    Avantages :

    • Tout est accessible dans le même profil
    • Dans le tiroir d’application, on retrouve deux « onglets » séparant les applications « perso » et « pro ».

    Inconvénients :

    • Comme pour le profil séparé, il y a une « double maintenance »
      • Ex: en cas d’utilisation de deux profils Google Play (profil perso + pro), il faut faire les mises à jour « des deux côtés »
    • Il faut bien choisir dans quel contexte on souhaite installer chaque application
    • Je n’ai pas trouvé comment faire pour 1. Synchroniser mon compte Google perso dans le « work profile » de Shelter et 2. faire remonter ces informations dans les applications « contacts » et « téléphone » par défaut de GrapheneOS. C’est le profil « Personnel » qui va dicter quelles applications par défaut sont utilisées.

    Conclusion, cas d’usages et « threat model » (modèle de menace)

    J’ai passé beaucoup plus de temps que prévu à comprendre GrapheneOS, tester différentes solutions et configurer les options / trouver des alternatives. Je suis bien conscient que plusieurs « problèmes » remontés pourraient tout simplement être résolus si j’acceptais de faire les choses différemment. Cela me pousse à m’interroger sur le compromis à choisir entre sécurité / respect de la vie privée / facilité d’utilisation ? Cette question dépend bien sur du modèle de menace (« threat model ») de chacun.

    Sécurité

    GrapheneOS répondrait parfaitement à des contraintes de sécurité « forte » pour des personnes étant journaliste / activiste / lanceur d’alerte / député. Dans ce cas d’usage, le coût de la sécurité est accepté.

    Vie privée

    GrapheneOS apporte un choix indéniable permettant à chacun de trouver le meilleur usage possible.

    Facilité d’utilisation

    Dans mon cas d’usage, je trouve que la fonction de profil séparé apporte trop de friction au quotidien, et je suis prêt à tout rassembler au sein du même profil. L’utilisation de deux téléphones différents (un perso / un pro) pourrait être une alternative. De la même manière, je n’ai pas encore passé le pas de me séparer de mon compte Google (pour la synchro des contacts / agendas), donc pour le moment je continue d’utiliser le Play Store. À terme, j’essaierai de ne plus en dépendre.

    Note : l’impact du matériel (« hardware ») sur la vie privée

    • Un casque Bluetooth Bose nécessite l’app « Bose Connect » qui dépend de GSF/Play Store
    • Un casque Bluetooth Samsung Buds2 Pro nécessite l’app Samsung qui demande la création d’un compte cloud chez eux
    • L’application Google Wallet me permet de régler mes courses via paiement NFC, mais donne accès par ce biais à un pan entier de données personnelles

    À chaque fois la question est : est-ce utile ou pas ? Puis-je facilement m’en passer ?

    Commentaires : voir le flux Atom ouvrir dans le navigateur

    Passkeys – Under The Hood – Kudelski Security Research

    22 mars 2024 à 06:45
    Les "Passkeys" (WebAuthN de son petit nom technique) sont une n-ième tentative pour se débarrasser des mots de passe. Je ne retiens pas mon souffle, car tant d'autres tentatives ont échoué avant cela.
    Ceci étant dit, il est amusant de constater que les Passkeys reviennent au bon vieux concept de PGP: Une clé publique et une clé privée.  Le tout avec une API Javascript spécifique dans les navigateurs (Firefox la supporte déjà).

    Pourquoi ça pourrait marcher ?
    - Déjà parce que les GAFAM - pour une fois - sont tous ensemble pour travailler sur le sujet.
    - Ensuite parce que fondamentalement les systèmes à clé publique/clé privée ont fait leurs preuves en matière de sécurité.
    - Et enfin parce qu'ils ont inventé un système qui a priori simplifie la gestion de ces clés (complexité de gestion qui a été à la base de l'échec de PGP).

    Pourtant, il y a quand même le souci de savoir comment sont stockées et gérées ces clés privées (dans le système d'exploitation lui-même, a priori), et surtout comment les sauvegarder. Là c'est encore assez bancal.
    (Par exemple sous Android, la clé privée peut être stockée sur le smartphone, et déblocable avec la lecture d'empreinte.)

    Pour expliquer de manière simplifiée le processus d'authentification :
    - Lorsque vous arrivez la première fois sur le site et que vous demandez à vous créer un compte, votre navigateur créé une paire de clés privées et publiques et un identifiant de clé, et envoie clé publique et identifiant au site.
    - Vous arrivez les fois suivantes sur le site pour vous authentifier. Alors :
    - Le site récupère l'identifiant de votre clé via l'API Javascript WebAuthN.
    - Le site vous envoie un challenge (données aléatoires et quelques informations).
    - Le navigateur active Passkey qui vous demande de vous authentifier (sur le périphérique: par exemple empreinte digitale sur smartphone).
    - Passkey signe le challenge avec votre clé privée et la renvoie au site.
    - Le site vérifie la signature du challenge avec votre clé publique.

    Pourquoi c'est intéressant ?
    1) Sécurité : Parce que même en cas de piratage complet du site web, le pirate n'aura que les clés publiques dont il ne pourra rien faire. Il n'a aucun mot de passe, et ne peut pas calculer la clé privée. Côté client, la clé privée est censée être bien protégée par le système d'exploitation (la plupart des OS ont un système de stockage sécurisé bien isolé, chiffré et stocké dans votre profile utilisateur. Il est déjà utilisé pour stocker vos mots de passe. Par exemple sous Linux le logiciel seahorse permet de voir votre trousseau de clés.)
    2) Simplicité : Pas de gestion complexe des clés. C'est le système d'exploitation qui s'en occupe à la demande du navigateur. Cela laisse aussi la liberté au système d'exploitation de choisir la manière de les stocker de manière sécurisée, et aussi le choix de la manière de vous authentifier (empreinte digitale, mot de passe...). Sachant que vous êtes déjà authentifié·e pour pouvoir utiliser votre système d'exploitation, le nécessaire est déjà en place.

    Ce que j'en pense ?
    Cette fois ça pourrait marcher, mais ma crainte est que les clés privées restent prisonnières des systèmes d'exploitation avec aucun moyen de les sauvegarder autrement que dans le cloud des GAFAM.
    C'est déjà le cas de Google qui est très pressé de sauvegarder tous vos mots de passe dans son cloud, mais qui - à ma connaissance - n'offre pas d'option pour tout exporter. Ce qui rendrait votre identité en ligne *encore* prisonnière d'un GAFAM. C'est le risque principal actuellement à mon sens.
    Les gestionnaires de mot de passe - tel Keepass ou BitWarden - gèrent déjà les Passkeys, ce qui permettra au moins d'avoir un stockage non dépendant d'un GAFAM. Mais la plupart des gens ne les utiliseront pas et prendront la solution par défaut, et se retrouveront pieds et poings liés aux GAFAM... une fois de plus.

    EDIT: Un autre avis sur le sujet : https://mart-e.be/2023/05/les-passkeys-une-bonne-idee-trop-centralisee
    (Permalink)

    Des hackers français repartent encore avec la Tesla qu’ils ont piratée

    22 mars 2024 à 10:49

    Une équipe de hackers éthiques français a remporté un concours de piratage de Tesla pour la deuxième fois. Ces compétitions visent à sécuriser les véhicules, avant que des pirates malveillants s'attaquent sérieusement aux voitures connectées.

    FR-ALERT : quel était cet étrange message que vous avez peut-être reçu ?

    22 mars 2024 à 13:44

    Si vous avez reçu une notification d'alerte le 22 mars 2024, c'est normal : vous avez participé à un test technique pour la mise en place d'un nouveau système destiné à prévenir la population en cas de grave danger.

    « On a besoin d’experts dans les mairies » : face aux attaques, la cyber française cherche ses renforts

    24 mars 2024 à 19:00

    Pour répondre à la demande urgente de personnels supplémentaires dans la cybersécurité, l'ANSSI, la sentinelle chargée de la protection numérique de l'administration française, publie un rapport pour briser les clichés du secteur.

    Vous pouvez tester gratuitement vos aptitudes en cybersécurité sur cette plateforme gouvernementale

    26 mars 2024 à 07:03

    Cybermalveillance.gouv.fr, la plateforme gouvernementale d'assistance aux victimes de piratage, a mis en ligne un programme de test et de sensibilisation à la cybersécurité pour le grand public. Baptisé SensCyber, il permet d'acquérir les bons gestes pour comprendre et éviter les cyberattaques.

    Le pack anti-cambriolage de Free et Qiara est-il vraiment une bonne affaire ?

    26 mars 2024 à 11:41

    Pour 249 euros (199 euros pour les abonnés Freebox), Qiara propose cinq équipements domotiques pour protéger sa maison. S'ajoute au matériel un abonnement optionnel (de 0 à 19,99 euros par mois), pour bénéficier d'un service de télésurveillance 24/7 en cas d'urgence. Est-ce aussi disruptif que ce que Free prétend ?

    ❌
    ❌