Aller au contenu
Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Vous aimez les cryptomonnaies ❤️ Korben.info, alors cliquez ici pour me soutenir ! Merci !

Vous vous souvenez sûrement de Neuralink, la startup fondée par Elon Musk qui veut révolutionner les interfaces cerveau-machine ? Eh bien, figurez-vous que leur premier cobaye humain, un certain Noland Arbaugh, s’est amusé comme un petit fou avec son nouveau gadget greffé dans le ciboulot !

Ce cher Noland, un jeune homme de 29 ans paralysé des épaules jusqu’aux pieds suite à un accident de plongée, a eu l’immense privilège de recevoir l’implant Neuralink N1 en janvier dernier. Et croyez-moi, il n’a pas perdu de temps pour tester son joujou high-tech !

Lors d’un livestream sur X (l’ex-Twitter, vous suivez ?), notre cher patient a fait une démonstration époustouflante en jouant aux échecs sur ordi rien qu’avec la force de son esprit. Tel un Jedi de la stratégie, il a déplacé les pièces sur l’échiquier virtuel en un clin d’œil, laissant les spectateurs bouche bée.

Mais ce n’est pas tout ! Noland nous a confié qu’il avait déjà passé une nuit blanche à s’éclater sur Civilization VI, le célèbre jeu de stratégie. Avant son opération, il devait compter sur un pote pour l’aider à jouer, ce qui était loin d’être idéal pour enchaîner les parties jusqu’au bout de la nuit.

Maintenant, grâce à son implant miracle, il peut s’adonner à sa passion sans limites ! Enfin, presque… La seule contrainte, c’est d’attendre que son gadget se recharge quand il a épuisé toute la batterie. Mais bon, c’est un détail quand on peut à nouveau profiter des joies du gaming de manière autonome, non ?

Et ce n’est pas fini ! Notre champion a aussi réussi l’exploit de terminer deuxième à Mario Kart 8 Deluxe en affrontant son père et un ami. Pas mal pour un débutant qui pilote son kart à la force de la pensée !

Bien sûr, comme le souligne Noland, tout n’est pas encore parfait avec cette technologie. Il reste du chemin à parcourir pour que Neuralink tienne toutes ses promesses. Mais avouez que c’est quand même un sacré bond en avant pour redonner de l’autonomie et des loisirs aux personnes paralysées. Bravo Elon 🙂

D’ailleurs, le grand gourou de la tech, ne compte d’ailleurs pas s’arrêter là. Son objectif ultime ? Utiliser les implants pour « shunter » les signaux du cortex moteur directement vers les membres paralysés, histoire de contourner les lésions de la moelle épinière. Carrément !

Mais avant d’en arriver là, Neuralink va devoir convaincre les autorités américaines que ses expériences sont éthiques et sans danger, car la startup a déjà fait polémique avec ses tests sur les animaux, accusée d’avoir provoqué des souffrances inutiles sur des singes, des cochons et probablement Bruno Le Maire si on en croit la dernière annonce du déficit français.

Espérons que cette success story avec Noland ouvre la voie à des essais cliniques plus larges, histoire de transformer la vie d’autres personnes dans sa situation. En attendant, on peut toujours rêver au jour où on pourra tous s’affronter sur Civilization ou Mario Kart par la simple force de notre cerveau !

Perso, si Neuralink me permet de débrancher à la demande le son de mes oreilles quand j’ai les enfants dans les pattes, je me le fait implanter tout de suite !

Source



Est ce que vous avez entendu parler de ce qui s’est passé lors du tournoi ALGS d’Apex Legends ? C’était complètement dingue ! Un hacker qui se fait appeler Destroyer2009 a réussi à s’introduire dans le jeu en plein milieu d’un match et a filé des cheats (aimbot, wallhack…) à des joueurs pro sans qu’ils ne demandent rien.

Déjà, mettez-vous à la place des joueurs concernés, ImperialHal de l’équipe TSM et Genburten de DarkZero. Vous êtes tranquille en train de jouer le tournoi le plus important de l’année et d’un coup, PAF, vous vous retrouvez avec des hacks que vous n’avez jamais demandés ! Voir à travers les murs, avoir un aimbot pour mettre dans le mille à coup sûr… La totale quoi. Évidemment, ils ont dû quitter la partie direct, impossible de continuer à jouer dans ces conditions.

Mais le pire, c’est que ce hacker a fait ça « just 4 fun » ! Il voulait montrer à Respawn qu’il y avait des failles dans leur système de sécurité EAC (EasyAntiCheat). Bah mon gars, t’as réussi ton coup, bravo ! Tout le tournoi a été interrompu et reporté à plus tard. Les organisateurs étaient furax et je les comprends.

Bon après, faut reconnaître que ce Destroyer2009 est un sacré filou. Il a quand même réussi à pirater un des plus gros jeux du moment en plein milieu d’un événement majeur, c’est pas rien. Et en plus, il a fait ça sans toucher aux PC des joueurs, juste en passant par le jeu. Un vrai petit génie du hacking.

Mais quand même, ça fout les jetons de voir que même un mastodonte comme Apex Legends peut se faire avoir comme ça. Ça montre qu’aucun jeu en ligne n’est à l’abri, même avec toutes les protections anti-triche du monde. Et puis ça gâche la compétition pour tout le monde, les joueurs, les spectateurs, les organisateurs…

Après ce bad buzz monumental, Respawn a dû réagir au quart de tour. Ils ont balancé dans la foulée une flopée de mises à jour de sécurité pour colmater les brèches. Espérons que ça suffira à calmer les ardeurs des petits malins qui voudraient s’amuser à reproduire ce genre de coup fourré.

M’enfin, le mal est fait et ce tournoi ALGS restera dans les annales pour cette raison. Ça aura au moins eu le mérite de remettre un coup de projecteur sur l’importance de la sécurité dans l’e-sport. C’est un milieu qui brasse de plus en plus de thunes et forcément, ça attire les hackers en tout genre.

L’essentiel, c’est que le tournoi a fini par reprendre et aller à son terme, même si on a dû attendre un peu. Et puis ça nous aura permis de voir que même les plus grands joueurs peuvent se retrouver démunis face à un hack imprévu. Ça les rend plus humains ! mdrrr.

Allez, amusez-vous bien sur Apex ou ailleurs !

Merci à Ayden et Halioss pour l’info

Source


Vous pensiez que votre Bluetooth était safe ? Détrompez-vous ! Un chercheur en sécurité vient de dénicher une faille bien vicieuse qui permet d’exécuter du code à distance sur tout un tas d’appareils : smartphones Android, Chromecast, casques VR, TV connectées…

Le principe est diabolique : il suffit de se faire passer pour un clavier Bluetooth et hop, on peut envoyer des frappes de touches à la victime sans même qu’elle ait besoin d’accepter l’appairage. Pas besoin d’être à portée de main, quelques mètres suffisent. C’est ballot hein ?

Mais attendez, ça devient encore plus fort (ou pire, c’est selon). Des petits malins ont créé un outil baptisé BlueDucky qui automatise complètement l’exploitation de cette faille. Ça scanne les appareils vulnérables à proximité, ça les enregistre dans un fichier et ça balance un script Ducky bien sournois pour prendre le contrôle à distance. Le tout depuis un Raspberry Pi ou un smartphone Android !

Autant vous dire qu’ils se sont éclatés à tester ça sur tout ce qui passait : des smartphones, des objets connectés, des ordinateurs… Si c’est pas patché et que ça a du Bluetooth, ça tombe comme des mouches. Ils ont même réussi à ouvrir un navigateur et à envoyer la victime sur une page bien flippante, juste pour le fun.

Bon, vous allez me dire : « OK, mais comment on se protège de ce truc ?« . Eh bien c’est là que ça se gâte. Si vous avez un appareil récent, foncez installer les dernières mises à jour de sécurité. Mais pour les vieux machins sous Android 10 ou moins, c’est cuit, ça ne sera jamais patché. La seule solution : désactiver carrément le Bluetooth. Sinon, vous pouvez dire adieu à votre intimité numérique !

Mais ne cédons pas à la panique pour autant. Les chercheurs en sécurité font un boulot remarquable pour dénicher ces failles et alerter les fabricants. Maintenant, c’est à ces derniers de réagir en proposant des correctifs. Et à nous d’être vigilants en mettant à jour régulièrement nos appareils.

En attendant, si vous voulez jouer avec le feu dans la limite de ce que la loi permet, évidemment, le code de BlueDucky est disponible sur GitHub. Mais attention, c’est à vos risques et périls ! Ne venez pas vous plaindre si votre grille-pain se met à afficher des messages d’insulte au petit-déjeuner.

Pour l’installer :

# update apt
sudo apt-get update
sudo apt-get -y upgrade

# install dependencies from apt
sudo apt install -y bluez-tools bluez-hcidump libbluetooth-dev \
                    git gcc python3-pip python3-setuptools \
                    python3-pydbus

# install pybluez from source
git clone https://github.com/pybluez/pybluez.git
cd pybluez
sudo python3 setup.py install

# build bdaddr from the bluez source
cd ~/
git clone --depth=1 https://github.com/bluez/bluez.git
gcc -o bdaddr ~/bluez/tools/bdaddr.c ~/bluez/src/oui.c -I ~/bluez -lbluetooth
sudo cp bdaddr /usr/local/bin/

Et pour le lancer :

git clone https://github.com/pentestfunctions/BlueDucky.git
cd BlueDucky
sudo hciconfig hci0 up
python3 BlueDucky.py

Comme dirait l’autre, « le Bluetooth c’est comme le nucléaire, c’est génial tant que ça reste dans les mains des gentils« . Alors, soyez sympa et patchez-moi tout ça fissa ! Et si vous avez un appareil trop ancien qui traîne, coupez le Bluetooth et on n’en parle plus.

Pour en savoir plus sur cette faille et son exploitation, je vous invite à lire l’article ici.


La sécurité sur Android et plus particulièrement la signature des applications c’est loin d’être tout beau tout rose. Vous le savez peut-être, notre bon vieux VLC, a quelques soucis pour mettre à jour son app Android sur le Play Store ces derniers temps.

Alors pourquoi ce blocage ? Eh bien tout simplement parce que Google a décidé de rendre obligatoire l’utilisation des App Bundles pour toutes les applications proposant des fonctionnalités TV. Jusque-là, pas de problème me direz-vous. Sauf que ce nouveau format nécessite de fournir sa clé de signature privée à Google. Et ça, c’est juste im-po-ssible pour l’équipe de VLC !

Fournir sa clé privée à un tiers, c’est comme donner les clés de son appartement à son voisin. C’est la base de la sécurité : ce qui est privé doit le rester. Sinon autant laisser sa porte grande ouverte avec un panneau « Servez-vous » ! 😅

Depuis les débuts d’Android, chaque app doit être installée via un fichier APK. Ce fichier contient tout le nécessaire : le code, les ressources, les données… Et pour vérifier qu’un APK est authentique, il doit être signé avec une clé privée générée par le développeur. N’importe qui peut alors vérifier la clé publique utilisée pour signer le fichier.

L’avantage de ce système est de garantir l’intégrité de l’app. Si le développeur perd sa clé privée ou son mot de passe, impossible de publier des mises à jour car la nouvelle signature ne correspondra pas. Et s’il file sa clé à quelqu’un d’autre, cette personne pourra signer ses propres versions qui seront considérées comme légitimes. Vous voyez le problème maintenant ?

Avec les App Bundles, on passe à un système de double signature où une clé de téléchargement (upload key) permet au Play Store de vérifier que celui qui envoie le fichier est légitime. Jusque-là, ça va. Mais où clé de signature (release key), doit être détenue par Google ! Autrement dit, le Play Store signe l’app à la place du développeur. C’est donc cette clé privée que Google réclame aujourd’hui à VLC.

Google a bien tenté de mettre en place des mesures pour atténuer le problème, comme le dual release qui permet sur les appareils récents (Android 11+) d’installer une mise à jour signée différemment si une preuve de rotation de clé est fournie. Mais pour les apps comme VLC qui supportent aussi les vieux appareils et la TV, ça ne fonctionne pas.

Du coup, l’équipe de VLC se retrouve face à un choix cornélien :

  1. Donner sa clé privée à Google et continuer à publier normalement. Bénéfice : aucun. Risque : Google a le contrôle total sur les mises à jour et la sécurité de l’app. Autant dire que pour eux c’est non.
  2. Virer le support TV des APK publiés sur le Play Store. Avantage : pas besoin de donner sa clé privée pour les appareils récents. Inconvénient : plus de support TV pour les vieux appareils sous Android 10 et moins. Pas top.
  3. Passer full App Bundles. Avantage : aucun. Inconvénient : ça rendrait l’app incompatible avec 30% des utilisateurs actuels. Même pas en rêve !

Bref, vous l’aurez compris, l’équipe de VLC est dans une impasse et c’est pour ça qu’aucune mise à jour n’a été publiée ces derniers mois sur le Play Store.

Et ce n’est pas qu’une question de principe. Le Play Store n’est pas le seul store sur Android. VLC est aussi disponible sur le site officiel, l’Amazon AppStore, le Huawei AppGallery… Donc donner sa clé à Google compromettrait toute la chaîne de publication.

Malheureusement, sans modification de la part de Google sur ces nouvelles exigences, il n’y a pas de solution miracle pour continuer à proposer le support TV sur les vieux appareils Android via le Play Store.

C’est rageant pour les développeurs qui se retrouvent pieds et poings liés, mais c’est aussi inquiétant pour nous utilisateurs. Quand le plus gros store d’apps au monde se met à réclamer les clés privées des développeurs, on peut légitimement se poser des questions sur sa conception de la sécurité et de la vie privée.

Espérons que Google entendra les critiques et fera machine arrière sur ce point. En attendant, la seule chose à faire est de soutenir les développeurs comme VLC qui résistent encore et toujours à l’envahisseur et continuent à privilégier la sécurité de leurs utilisateurs avant tout.

Si ça vous interesse, vous pouvez suivre toute l’affaire en détail sur cet article passionnant (si si, je vous jure) : VLC for Android updates on the Play Store


Je pense qu’après tous les articles que j’ai écrit au sujet de l’IA, vous commencez à connaitre le concept de RAG (retrieval augmented generation), vous savez qu’il est possible de donner à bouffer à une IA, tout un tas de documents pour ensuite discuter avec celle-ci en utilisant le contenu comme base de connaissance.

Cela permet de poser des questions en langage naturel sur la documentation fournie. Y’a plein d’outils qui permettent de faire ça, et dernièrement, je vous ai présenté PDFToChat ou Reor qui font ça.

Et aujourd’hui, j’aimerais vous faire découvrir une solution open source de recherche unifiée nommée Danswer. Cet outil intègre plusieurs fonctionnalités essentielles, dont la recherche de documents et les réponses basées sur l’IA à partir des requêtes en langage naturel. Il se connecte également à tous les outils de travail courants, tels que Google Drive, Confluence, Github, Notion, Slack et bien d’autres. Il offre aussi une prise en charge de la discussion comme un ChatGPT qui aurait accès à vos ressources de connaissances privées. Vous pouvez même créer des assistants IA personnalisables avec différents prompts et jeux de données.

Cela permet de couvrir tout un tas de cas d’usages tels quel : accélération du support client et réduction des délais d’escalade, amélioration de l’efficacité de l’ingénierie grâce à une documentation et des historiques de code faciles à trouver, préparation des équipes de vente pour des appels plus efficaces, suivi des demandes et priorités des clients pour les équipes produit, et facilitation de la résolution autonome des problèmes liés aux services informatiques, à l’intégration et aux ressources humaines. #BurnoLeMaireLoveZeCapitalizme

Voici ce que ça donne une fois installé :

Vous pouvez même le connecter au modèle de langage LLM de votre choix (en local ou non) pour une solution entièrement cloisonnée. Il se déploie facilement avec une seule commande Docker Compose et peut être hébergé n’importe où. Vous pouvez également l’exécuter avec Kubernetes.

Pour l’installer rien de plus simple, il vous faut d’abord cloner le dépôt de Danswer :

git clone https://github.com/danswer-ai/danswer.git

ensuite, placez vous dans le dossier contenant le fichier de description du docker compose :

cd danswer/deployment/docker_compose

Puis y’a plus qu’à lancer le bousin :

docker compose -f docker-compose.dev.yml -p danswer-stack up -d --pull always --force-recreate

Ça peut prendre un quart d’heure, voire plus, selon votre connexion puisque Danswer a besoin de télécharger des modèles pour fonctionner.

Ensuite, y’a plus qu’à lancer un navigateur vers http://localhost:3000.

Ensuite pour apprendre à l’utiliser et le customiser, toute la documentation est là.

Merci à Lorenper