Une faille dans Starlette, un framework Python que la plupart des développeurs n'ont jamais installé consciemment, a exposé des millions de serveurs d'agents IA à des accès non autorisés. Des boîtes mail, des bases de données médicales et des équipements industriels étaient accessibles sans mot de passe.
Face à des voleurs à la tire toujours mieux organisés, les constructeurs de smartphones multiplient les systèmes de protection. Apple planche ainsi sur une nouvelle fonction antivol qui combine plusieurs signaux de l’iPhone et met à contribution l’Apple Watch.
Selon du code analysé par le site 9to5Mac, une nouvelle fonctionnalité antivol pourrait apparaître sous peu pour les iPhone. Elle se base sur plusieurs signaux, à commencer par l’analyse de l’accéléromètre : un smartphone arraché des mains de son propriétaire provoque des mouvements inattendus du capteur. L’appareil pourrait alors se verrouiller automatiquement.
L’antivol pourra aussi prendre en compte la distance entre l’iPhone et l’Apple Watch associée. La fonction vérifiera également si le smartphone est connecté à un réseau Wi-Fi connu, comme à la maison ou au bureau. Si les informations renvoyés par ces signaux sont suspects, elles pourront provoquer le verrouillage de l’iPhone. On ignore quand la fonctionnalité sera activée, mais elle est en développement.
Tout cela n’est pas inédit. Google propose un système de verrouillage en cas de détection de vol très similaire pour les smartphones Android : « si quelqu’un vous arrache le téléphone des mains et s’en va en courant, à vélo ou en voiture, le verrouillage en cas de détection de vol peut s’activer. » Personne ne s’offusquera que dans le domaine des antivols, Apple et Google s’inspirent l’un l’autre.
Au fil des années, les deux constructeurs ont mis au point de nombreux systèmes de protection des données en cas de vol (ici chez Apple, là chez Google). Tous ces dispositifs rendent très difficile la revente de smartphones verrouillés. Si les margoulins peuvent toujours les démonter pour récupérer des composants, plusieurs d’entre eux sont liés matériellement ou logiciellement à l’appareil, ce qui en réduit fortement la valeur sur le marché parallèle.
C’est pourquoi les smartphones déverrouillés sont devenus une prise de choix pour les voleurs. D’où la nécessité de trouver des mécanismes antivol dans ce cas précis.
Le New York Times rapportait récemment la nouvelle tactique extrêmement agressive des voleurs de smartphones à Londres. Les victimes ou leurs proches reçoivent des messages de plus en plus menaçants pour les pousser à désactiver les iPhone volés de leur compte Apple. Des escrocs envoient même des vidéos d’hommes armés et des menaces de mort (!) pour tenter d’obtenir le déverrouillage complet de l’appareil.
Face à des voleurs à la tire toujours mieux organisés, les constructeurs de smartphones multiplient les systèmes de protection. Apple planche ainsi sur une nouvelle fonction antivol qui combine plusieurs signaux de l’iPhone et met à contribution l’Apple Watch.
Selon du code analysé par le site 9to5Mac, une nouvelle fonctionnalité antivol pourrait apparaître sous peu pour les iPhone. Elle se base sur plusieurs signaux, à commencer par l’analyse de l’accéléromètre : un smartphone arraché des mains de son propriétaire provoque des mouvements inattendus du capteur. L’appareil pourrait alors se verrouiller automatiquement.
L’antivol pourra aussi prendre en compte la distance entre l’iPhone et l’Apple Watch associée. La fonction vérifiera également si le smartphone est connecté à un réseau Wi-Fi connu, comme à la maison ou au bureau. Si les informations renvoyés par ces signaux sont suspects, elles pourront provoquer le verrouillage de l’iPhone. On ignore quand la fonctionnalité sera activée, mais elle est en développement.
Tout cela n’est pas inédit. Google propose un système de verrouillage en cas de détection de vol très similaire pour les smartphones Android : « si quelqu’un vous arrache le téléphone des mains et s’en va en courant, à vélo ou en voiture, le verrouillage en cas de détection de vol peut s’activer. » Personne ne s’offusquera que dans le domaine des antivols, Apple et Google s’inspirent l’un l’autre.
Au fil des années, les deux constructeurs ont mis au point de nombreux systèmes de protection des données en cas de vol (ici chez Apple, là chez Google). Tous ces dispositifs rendent très difficile la revente de smartphones verrouillés. Si les margoulins peuvent toujours les démonter pour récupérer des composants, plusieurs d’entre eux sont liés matériellement ou logiciellement à l’appareil, ce qui en réduit fortement la valeur sur le marché parallèle.
C’est pourquoi les smartphones déverrouillés sont devenus une prise de choix pour les voleurs. D’où la nécessité de trouver des mécanismes antivol dans ce cas précis.
Le New York Times rapportait récemment la nouvelle tactique extrêmement agressive des voleurs de smartphones à Londres. Les victimes ou leurs proches reçoivent des messages de plus en plus menaçants pour les pousser à désactiver les iPhone volés de leur compte Apple. Des escrocs envoient même des vidéos d’hommes armés et des menaces de mort (!) pour tenter d’obtenir le déverrouillage complet de l’appareil.
Nouvelle bataille en vue pour la domination des cieux européens. La Commission a officiellement confirmé sa volonté de prendre la main sur une partie importante des fréquences satellites, avec un objectif politique assumé : celui de la souveraineté technologique face à la Chine et surtout aux États-Unis.
Bruxelles entend gérer les attributions de la bande 2 GHz MSS, qui correspond aux fréquences utilisées par les services de satellites mobiles. Comme le rappelle Euronews, ces fréquences ont été attribuées en 2009 à deux opérateurs européens, Viasat et EchoStar. Leur usage est limité (notamment aux appels d’urgence dans une zone blanche), mais la Commission veut les exploiter pour autoriser la connexion directe entre un satellite et un smartphone (« Direct to Device », D2D). Cette bande a aussi des utilisations militaires et gouvernementales.
La Commission a adopté une proposition qui lui permettra, au renouvellement des fréquences de cette bande (à partir de mai 2027), d’attribuer au niveau européen des autorisations de licence jusque-là largement gérées par les États membres. Ce qui pouvait poser un problème d’harmonisation entre pays. Les opérateurs pourront ainsi lancer leurs services à l’échelle de l’Union européenne, sans devoir négocier avec chaque capitale… même si les États conservent une certaine marge de manœuvre en imposant leurs obligations techniques et des règles de sécurité.
La législation sur les réseaux numériques (ADN), qui repose sur le Code des communications électroniques de l’UE de 2018, a été adoptée le 21 janvier dernier. Elle contient, entre autres, un volet sur « l’harmonisation juridique maximale » visant à faciliter les opérations et la fourniture de services paneuropéens. Parmi les mesures : une autorisation de spectre satellitaire au niveau de l’UE.
Dans le détail, la Commission a décidé de couper en trois la poire de la bande. Le premier tiers est réservé aux usages gouvernementaux et militaires européens, pour les communications critiques et pour s’assurer de la sécurité de ces communications. Ce morceau de fréquences devra être exploité par un opérateur européen et intégré au programme IRIS², la constellation de satellites de l’UE.
À l’origine, le « Starlink » européen devait être opérationnel d’ici 2027. Même si le programme recycle des infrastructures existantes, IRIS² sera plus long à s’élever dans les airs : aux dernières nouvelles (qui remontent au mois de février), ce projet en est toujours dans sa phase de conception et de développement, et cela jusqu’en 2028. Le déploiement est programmé de 2029 à 2030, et l’exploitation entre 2030 et 2037. La pleine capacité opérationnelle est désormais prévue d’ici 2030.
Voilà pour le premier tiers. Les deux autres tiers seront dévolus aux usages commerciaux : connectivité satellite pour smartphones, objets connectés et services d’urgence. Mais Bruxelles a une idée assez claire des opérateurs qui pourront candidater : la moitié des fréquences est ainsi réservée aux acteurs européens, l’autre moitié est ouverte aux entreprises européennes et non européennes.
On l’aura compris, il s’agit de favoriser l’émergence de fournisseurs européens, tandis que les champions américains (SpaceX, Amazon Leo) auront la portion congrue au nom de la souveraineté. « Plus que jamais, une connectivité satellitaire à haute capacité et largement disponible est essentielle pour renforcer la résilience des réseaux de communication de l’Union européenne », explique Henna Virkkunen, vice-présidente de la Commission chargée de la souveraineté technologique.
Ces infrastructures satellitaires, considérées comme critiques par Bruxelles, sont devenues un enjeu de sécurité pour l’Europe. Le poids lourd américain Starlink, avec sa constellation d’environ 10 000 satellites en basse orbite et ses services d’accès internet et de téléphonie D2D, est devenu essentiel à l’effort de guerre en Ukraine… mais l’entreprise d’Elon Musk reste soumise aux lois américaines sur l’exploitation des données de ses utilisateurs (Cloud Act, FISA).
C’est le cas aussi d’Amazon Leo (anciennement Kuiper), qui s’est d’ailleurs offert récemment Globalstar. Ces deux sociétés doivent aussi composer avec la pression, toujours possible, de la Maison Blanche, dans un contexte de très fortes tensions transatlantiques.
Brendan Carr, le très trumpiste président de la Commission aux communications fédérales (FCC), avait mis en garde l’UE lors de sa visite au salon MWC de Barcelone, au mois de mars. « L’Europe dispose de fournisseurs satellitaires nationaux champions qui réalisent une activité importante aux États-Unis », menaçait-il. « Si l’Europe persiste à suivre une voie de souveraineté satellitaire excluant les fournisseurs qui ne sont pas basés sur le continent, alors les États-Unis devront en tenir compte concernant le traitement réciproque que nous accordons. » Ambiance.
Cette décision de la Commission devrait en tout cas booster les acteurs européens, à l’image d’Eutelsat et de sa constellation OneWeb LEO (600 satellites en basse orbite) combinée à des satellites géostationnaires. Eutelsat fait également partie du consortium SpaceRISE chargé de la mise en œuvre d’IRIS².
Nouvelle bataille en vue pour la domination des cieux européens. La Commission a officiellement confirmé sa volonté de prendre la main sur une partie importante des fréquences satellites, avec un objectif politique assumé : celui de la souveraineté technologique face à la Chine et surtout aux États-Unis.
Bruxelles entend gérer les attributions de la bande 2 GHz MSS, qui correspond aux fréquences utilisées par les services de satellites mobiles. Comme le rappelle Euronews, ces fréquences ont été attribuées en 2009 à deux opérateurs européens, Viasat et EchoStar. Leur usage est limité (notamment aux appels d’urgence dans une zone blanche), mais la Commission veut les exploiter pour autoriser la connexion directe entre un satellite et un smartphone (« Direct to Device », D2D). Cette bande a aussi des utilisations militaires et gouvernementales.
La Commission a adopté une proposition qui lui permettra, au renouvellement des fréquences de cette bande (à partir de mai 2027), d’attribuer au niveau européen des autorisations de licence jusque-là largement gérées par les États membres. Ce qui pouvait poser un problème d’harmonisation entre pays. Les opérateurs pourront ainsi lancer leurs services à l’échelle de l’Union européenne, sans devoir négocier avec chaque capitale… même si les États conservent une certaine marge de manœuvre en imposant leurs obligations techniques et des règles de sécurité.
La législation sur les réseaux numériques (ADN), qui repose sur le Code des communications électroniques de l’UE de 2018, a été adoptée le 21 janvier dernier. Elle contient, entre autres, un volet sur « l’harmonisation juridique maximale » visant à faciliter les opérations et la fourniture de services paneuropéens. Parmi les mesures : une autorisation de spectre satellitaire au niveau de l’UE.
Dans le détail, la Commission a décidé de couper en trois la poire de la bande. Le premier tiers est réservé aux usages gouvernementaux et militaires européens, pour les communications critiques et pour s’assurer de la sécurité de ces communications. Ce morceau de fréquences devra être exploité par un opérateur européen et intégré au programme IRIS², la constellation de satellites de l’UE.
À l’origine, le « Starlink » européen devait être opérationnel d’ici 2027. Même si le programme recycle des infrastructures existantes, IRIS² sera plus long à s’élever dans les airs : aux dernières nouvelles (qui remontent au mois de février), ce projet en est toujours dans sa phase de conception et de développement, et cela jusqu’en 2028. Le déploiement est programmé de 2029 à 2030, et l’exploitation entre 2030 et 2037. La pleine capacité opérationnelle est désormais prévue d’ici 2030.
Voilà pour le premier tiers. Les deux autres tiers seront dévolus aux usages commerciaux : connectivité satellite pour smartphones, objets connectés et services d’urgence. Mais Bruxelles a une idée assez claire des opérateurs qui pourront candidater : la moitié des fréquences est ainsi réservée aux acteurs européens, l’autre moitié est ouverte aux entreprises européennes et non européennes.
On l’aura compris, il s’agit de favoriser l’émergence de fournisseurs européens, tandis que les champions américains (SpaceX, Amazon Leo) auront la portion congrue au nom de la souveraineté. « Plus que jamais, une connectivité satellitaire à haute capacité et largement disponible est essentielle pour renforcer la résilience des réseaux de communication de l’Union européenne », explique Henna Virkkunen, vice-présidente de la Commission chargée de la souveraineté technologique.
Ces infrastructures satellitaires, considérées comme critiques par Bruxelles, sont devenues un enjeu de sécurité pour l’Europe. Le poids lourd américain Starlink, avec sa constellation d’environ 10 000 satellites en basse orbite et ses services d’accès internet et de téléphonie D2D, est devenu essentiel à l’effort de guerre en Ukraine… mais l’entreprise d’Elon Musk reste soumise aux lois américaines sur l’exploitation des données de ses utilisateurs (Cloud Act, FISA).
C’est le cas aussi d’Amazon Leo (anciennement Kuiper), qui s’est d’ailleurs offert récemment Globalstar. Ces deux sociétés doivent aussi composer avec la pression, toujours possible, de la Maison Blanche, dans un contexte de très fortes tensions transatlantiques.
Brendan Carr, le très trumpiste président de la Commission aux communications fédérales (FCC), avait mis en garde l’UE lors de sa visite au salon MWC de Barcelone, au mois de mars. « L’Europe dispose de fournisseurs satellitaires nationaux champions qui réalisent une activité importante aux États-Unis », menaçait-il. « Si l’Europe persiste à suivre une voie de souveraineté satellitaire excluant les fournisseurs qui ne sont pas basés sur le continent, alors les États-Unis devront en tenir compte concernant le traitement réciproque que nous accordons. » Ambiance.
Cette décision de la Commission devrait en tout cas booster les acteurs européens, à l’image d’Eutelsat et de sa constellation OneWeb LEO (600 satellites en basse orbite) combinée à des satellites géostationnaires. Eutelsat fait également partie du consortium SpaceRISE chargé de la mise en œuvre d’IRIS².
La Banque centrale européenne, qui supervise les 111 plus grandes banques de la zone euro, veut discuter cybersécurité. Une réunion est prévue ce mardi 26 mai avec les établissements bancaires pour évoquer les risques liés aux derniers modèles d’IA, dont Mythos qui se fait toujours attendre en Europe.
Les ailes du projet Glasswing n’ont pas encore permis à Mythos d’atteindre les rives européennes. Cet aperçu du modèle le plus ambitieux d’Anthropic est déployé au compte-gouttes auprès d’organisations et d’entreprises triées sur le volet, quasi-exclusivement américaines. Il est utilisé pour détecter les vulnérabilités dans le code et au vu des premiers retours, notamment chez Mozilla, le modèle semble faire preuve d’une certaine efficacité.
Les banques de la zone euro ne sont pas dans les petits papiers d’Anthropic, mais qu’à cela ne tienne : « Le fait que vous n’ayez pas accès à ce modèle n’est pas une excuse pour rester inactif », affirme Frank Elderson, vice-président du conseil de surveillance prudentielle de la Banque centrale européenne (BCE), en parlant des établissements financiers européens. « Des acteurs malveillants pourraient bientôt avoir accès à cette technologie », prévient-il au Financial Times.
C’est pourquoi l’institution organise une réunion au sommet demain, mardi 26 mai, pour discuter des risques pour la sécurité informatique que font peser ces modèles IA. La BCE discute régulièrement avec les banques de la zone euro, mais des réunions dédiées à un thème spécifique sont plus rares.
La Banque centrale entend souligner la gravité des menaces représentées par Mythos et des autres modèles IA pour le système financier européen. Et elle voudrait bien aussi que les banques américaines opérant sur le vieux continent et qui utilisent ces technologies partagent des retours d’expérience avec leurs homologues européennes. « Nous voulons écouter les évaluations des banques, créer les conditions pour qu’elles puissent partager leurs expériences, et souligner l’importance du sujet », souligne Frank Elderson.
Le vice-président de la BCE estime que les banques doivent appliquer les correctifs logiciels bien plus rapidement qu’aujourd’hui. Le fait est que les pirates peuvent analyser une mise à jour de sécurité pour comprendre précisément quelle faille elle corrige. Ce travail de rétro-ingénierie pouvait prendre plusieurs jours ou plusieurs semaines, mais désormais avec des outils IA, l’opération peut être réalisée « en peut-être 30 minutes », s’alarme-t-il.
La Commission européenne travaille Anthropic au corps pour obtenir l’aperçu de Mythos, mais les choses prennent beaucoup de temps.
Anthropic a par ailleurs publié un premier bilan de Mythos, en annonçant que les 50 partenaires du projet Glasswing avaient trouvé « plus de 10 000 vulnérabilités » de gravité élevée ou critique dans leurs logiciels. Dans le secteur bancaire, Mythos a détecté et empêché un virement frauduleux d’1,5 million de dollars après qu’un acteur malveillant a compromis une adresse e-mail d’un client. Nul doute que les banques européennes aimeraient disposer d’un tel outil dans leur arsenal.
Comme pour donner raison à la BCE, la startup précise que « le principal frein réside dans la vitesse à laquelle nous pouvons vérifier, divulguer et corriger les très nombreuses vulnérabilités détectées par l’IA ». Si trouver des failles devient relativement facile, les opérations de triage, les rapports, le développement et le déploiement des correctifs représentent un « enjeu majeur pour la cybersécurité ».
L’entreprise prévoit l’expansion du projet Glasswing à « des partenaires supplémentaires », sans plus de précision. Et à l’avenir, Anthropic veut proposer des modèles grand public basés sur Mythos, mais en les encadrant de garde-fous suffisamment forts pour empêcher des dérives.
Longtemps pointé du doigt pour ses lacunes en matière de confidentialité, Discord opère un virage historique. L’application déploie le chiffrement de bout en bout par défaut pour sécuriser l’ensemble de ses flux audio et vidéo. Une mise à niveau technique majeure, qui cache toutefois une déception de taille : vos messages textuels, eux, restent exclus de cette protection.
Une alliance internationale de 18 pays, menée par la France et les Pays-Bas, a démantelé First VPN, le réseau d’anonymisation fétiche des cybercriminels. En saisissant l'intégralité de sa base de données, la police a d'ores et déjà identifié des milliers de pirates à travers le monde, mettant fin à des années d'impunité.
Ce 19 mai est sorti la soixantième version d’OpenBSD qui a maintenant plus de trente ans. OpenBSD est un système d’exploitation libre de type Unix, multi-plateformes basé sur 4.4BSD avec une attention particulière sur la portabilité, la standardisation, l’exactitude, la sécurité proactive et la cryptographie intégrée. Il est généralement reconnu pour la qualité de sa documentation et ses innovations en matière de sécurité qui sont régulièrement adoptées par d’autres systèmes.
La version 7.9 est accompagnée d’un morceau instrumental et de moult changements dont on pourra citer l’ajout de l’hibernation à retardement, le support des VLAN dans les ponts Ethernet virtuels, le limiteur de créations d’états par source pour packet filter, le support des certificats par IP dans acme-client, plusieurs améliorations de pledge permettant une meilleure mitigation des failles de sécurité et le support de jusqu’à 255 processeurs amd64 (contre 64 précédemment).
Le projet OpenBSD étant le berceau de tmux, LibreSSL et OpenSSH, cette nouvelle version est aussi l’occasion de publier nombre d’améliorations pour ces projets largement utilisés par ailleurs. Pour OpenSSH on pourra mentionner la nouvelle commande ~I ainsi que l’ajout d’une pénalité configurable pour les tentatives de connexions avec un utilisateur invalide.
Commentaires : voir le flux Atom ouvrir dans le navigateur
Deming est un outil Open Source (GPL 3.0) de gestion de Système de Management de la Sécurité de l'Information (SMSI). Conçu par un responsable de la sécurité des systèmes d'information (RSSI) pour des RSSI, il couvre la gestion des contrôles, le registre des risques, la gestion des exceptions et des plans d'action. Largement adopté par la communauté, il se distingue par sa simplicité d'utilisation et de mise en œuvre.
C'est l'une des forces de Deming : il ne présuppose aucun cadre normatif particulier. Il est livré avec une dizaine de référentiels prêts à l'emploi — ISO 27001 (2013, 2022, 2023 en allemand), ISO 22301, DORA, NIS2 (FR/EN/DE), HDS, PCI-DSS v4, NIST SP 800-53 Rev.5, MPA Best Practices — et permet d'en importer de nouveaux via un simple fichier Excel, sans développement.
Deming propose une gestion centralisée des contrôles avec planification, assignation de responsables et rappels, un registre des risques avec scoring configurable (ISO 27005, BSI 200-3 et autres formules), un module de gestion des exceptions avec workflow d'approbation, ainsi que des tableaux de bord et des rapports de pilotage pour les revues de direction.
L'application est développée en PHP/Laravel, avec MariaDB/MySQL comme base de données principale (PostgreSQL et SQLite également supportés). Le déploiement se fait en quelques commandes via Docker Compose, ou manuellement sur Debian/Ubuntu grâce aux guides fournis dans le dépôt.
Commentaires : voir le flux Atom ouvrir dans le navigateur
Le virus s'appelle Andes. C'est l'unique souche d'hantavirus connue capable de se transmettre d'humain à humain, une exception dans cette famille de virus habituellement confinée aux rongeurs. Mortalité brute : 30 à 40 %. Pas de traitement spécifique, pas de vaccin homologué, juste des soins de support. L'incubation peut atteindre 6 semaines, ce qui transforme chaque contact en bombe à retardement épidémiologique.
Le MV Hondius a quitté l'Argentine début avril pour une croisière ornithologique. Depuis, le virus a fait son chemin : un premier mort à bord, des passagers débarqués dispersés dans plusieurs pays, une quarantaine de jours d'errance avant qu'un port européen accepte de recevoir le navire. Dimanche 10 mai : arrivée à Tenerife. Ambulances, combinaisons, masques FFP2, transferts par petits groupes. Les 5 Français sont rapatriés à l'hôpital Bichat. Et l'un d'eux s’avère symptomatique dans l'avion. Sébastien Lecornu prend un décret d'isolement en urgence. 45 jours de quarantaine à domicile pour chacun.
Toute cette mobilisation pour quelques personnes alors qu’il existait une façon de ne pas en arriver là.
Ces informations enregistrées, maintenant, essayez d’envisager une technologie capable d'inactiver n'importe quel pathogène aéroporté (virus, bactérie, spore) en une fraction de seconde, sans distinction d'espèce, de résistance aux antibiotiques ou de capacité à échapper aux vaccins. Une technologie qui serait potentiellement capable de fonctionner contre l'hantavirus, comme elle le fait avec la grippe, le COVID, la tuberculose, ou le prochain virus que nous n'avons pas encore nommé.
Cette technologie existe, elle s'appelle le far-UVC.
Article réservé à nos abonnés.
L’article Cette technologie ignorée qui pourrait tuer l’hantavirus avant qu’il ne vous tue est apparu en premier sur Les Électrons Libres.
Connexion