Aller au contenu
Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Lien affilié – 🍒🍕🥝🍔🥑🥗 ~ 10 € offerts sur vos prochaines courses de bouffe avec JOW avec le code 2LE2QR ~ 🍒🍕🥝🍔🥑🥗

Saviez-vous qu’une faille de sécurité plus vicieuse qu’un boss de fin de niveau est tapie dans les entrailles de notre cher Linux depuis plus d’une décennie ? Et attention, on ne parle pas d’un vulgaire bug qui fait planter votre distrib’ préférée, non non. Cette saleté, baptisée « WallEscape » par Skyler Ferrante, un chercheur en sécurité un peu barré (on y reviendra), permet ni plus ni moins à un petit malin de vous subtiliser votre précieux mot de passe Admin !

Tout commence avec une commande anodine appelée « wall« , présente dans le package util-linux. Son petit boulot à elle, c’est d’envoyer des messages à tous les utilisateurs connectés sur une même machine. Jusque-là, rien de bien méchant, vous me direz.

Sauf que voilà, un beau jour, ou plutôt un sale jour de 2013, un commit un peu foireux est venu s’immiscer dans le code de wall tel un cheveu sur la soupe. Depuis, cette brebis galeuse s’est gentiment propagée dans toutes les versions de util-linux, tel un virus informatique qui s’ignore.

Mais qu’est-ce qu’il y avait de si terrible dans ce ce commit ? Eh bien, pour faire simple, le dev qui l’a poussé, a tout bonnement oublié de filtrer correctement les fameuses « escape sequences » dans les arguments de la ligne de commande. Résultat des courses : un petit malin un peu bricoleur peut maintenant s’amuser à injecter tout un tas de caractères de contrôle pour faire des trucs pas très catholiques sur votre terminal.

Et c’est là que notre ami chercheur en sécurité dont je vous parlais au début de l’article, entre en scène. Armé de sa curiosité légendaire et de son sens de l’humour douteux, il a flairé le potentiel de la faille et s’est amusé à monter un scénario d’attaque digne d’un film de ma saga préférée : « Die Hard ». L’idée, diaboliquement géniale, est d’utiliser ces fameuses « escape sequences » non filtrées pour créer de fausses invites sudo sur le terminal de la victime. Ainsi, tel un loup déguisé en agneau, l’attaquant peut vous inciter à gentiment taper votre mot de passe administrateur, pensant avoir affaire à une véritable demande d’authentification système.

Bon, je vous rassure tout de suite, il y a quand même quelques conditions à remplir pour que l’attaque fonctionne. Déjà, il faut que l’option « mesg » soit activée sur votre machine et que la commande wall ait les permissions setgid.

Bien sûr, en tant que vrai geek qui se respecte, vous avez probablement déjà mis à jour votre système avec la dernière version de util-linux qui colmate la brèche. Sinon, vous pouvez toujours vérifier que les permissions setgid ne sont pas activées sur wall ou carrément désactiver cette fonctionnalité de messages avec « mesg« .

En attendant, je ne peux que vous encourager à jeter un coup d’œil au PoC de notre ami chercheur, histoire de voir à quoi peut ressembler une fausse invite sudo des familles. C’est toujours ça de pris pour briller en société.

Allez, amusez-vous bien et n’oubliez pas : sudo rm -rf /, c’est le mal !

Source



Tiens, tiens, ce cher Elon Musk nous réserve encore des surprises de taille avec X, anciennement connue sous le nom de Twitter ! Le milliardaire vient d’annoncer que certains comptes auront désormais accès gratuitement à des fonctionnalités premium. Il se prend pour Xavier Niel, le gars 🙂

Concrètement, si votre compte X a plus de 2500 abonnés vérifiés, vous allez pouvoir profiter des fonctionnalités Premium sans débourser un centime. Et si vous avez la chance d’avoir plus de 5000 fidèles followers, c’est carrément Premium+ qui vous tend les bras !

Avant cette annonce fracassante, il fallait casquer 8$ par mois pour avoir accès à Premium et tous ses avantages : des posts plus longs, des uploads vidéos plus conséquents, une priorité dans les réponses et moins de pubs dans votre timeline. Quant aux utilisateurs Premium+, en plus de dire adieu à la publicité, ils ont même droit à Grok, le chatbot d’IA générative de X.

Depuis qu’Elon Musk a racheté Twitter pour la modique somme de 44 milliards de dollars en avril 2022, le réseau social a beaucoup fait parler de lui. Entre les polémiques sur la liberté d’expression, les changements de nom, et les fonctionnalités qui changent ou disparaissent, on ne s’ennuie pas une seconde.

Mais tout n’est pas rose dans le monde merveilleux de X. Un juge américain vient de rejeter une plainte déposée par la plateforme contre un groupe accusant X de laisser proliférer les discours haineux depuis l’arrivée de Musk aux manettes. Le juge a estimé que X ne supportait pas la critique et punissait les défendeurs pour leur liberté d’expression. Un revers cinglant pour le réseau social qui compte bien faire appel.

Et comme si cela ne suffisait pas, le nombre d’utilisateurs quotidiens de X serait en chute libre par rapport à ses concurrents comme Instagram et TikTok. Selon des chiffres rapportés par NBC News, l’utilisation quotidienne de X aux États-Unis aurait chuté de 23% depuis novembre 2022, juste après la finalisation du rachat par Musk. Une baisse bien plus importante que pour les autres géants des réseaux sociaux sur la même période.

Au niveau mondial, c’est pas la joie non plus. Les utilisateurs actifs quotidiens sur X sont descendu à 174 millions, soit une baisse de 15% par rapport à l’année précédente. Pendant ce temps-là, Snapchat, Instagram, Facebook et TikTok continuent de voir leur nombre d’utilisateurs grimper. Aïe aïe aïe…

Alors certes, Elon Musk et son équipe peuvent se vanter d’accueillir encore 250 millions d’utilisateurs quotidiens dans le monde, comme l’a fièrement annoncé X Data en mars dernier. Mais n’oublions pas que c’est quand même moins que les 258 millions revendiqués par le patron en personne fin 2022.

Malgré ces quelques zones de turbulences, X continue d’avancer et d’innover pour séduire les utilisateurs. Les nouvelles fonctionnalités premium gratuites pourraient bien doper l’attractivité de la plateforme et convaincre les indécis de sauter le pas. Après tout, qui n’a pas envie de pouvoir poster des messages plus longs et des vidéos de meilleure qualité sans payer un centime ?

Source


La FDN (French Data Network), cette association de héros du Net qui défend nos libertés numériques propose un VPN public en accès libre ! Oui, un accès VPN gratuit et accessible à tous, pour surfer sur la Toile en mode ninja.

Pour rappel, un VPN (Virtual Private Network), c’est comme le tunnel magique d’El Chapo, sauf que ça chiffre toutes vos données quand vous vous baladez sur Internet. Vos échanges étant chiffrés de bout en bout, même les vilains FAI qui voudraient mettre leur nez dans vos petites affaires en ligne ne verront que du charabia incompréhensible. Avec le VPN de la FDN, vous allez pouvoir semer les mouchards, contourner la censure et naviguer en toute tranquillité, même sur les réseaux publics craignos.

Pour en profiter, c’est super simple. Il vous suffit d’installer le client OpenVPN sur votre ordi, votre smartphone ou votre tablette. Ensuite, vous téléchargez la configuration du VPN de la FDN, et hop, vous voilà paré.

Le VPN public de la FDN utilise les serveurs de l’asso, et s’engage à respecter votre vie privée et à ne pas logger vos données. Ça rend bien service donc et en plus, c’est l’occasion de soutenir la FDN qui se bat au quotidien pour nos droits et libertés sur Internet en leur faisant un petit don ou en rejoignant l’association si vous pouvez.

Personnellement, je dis un grand merci à toute l’équipe de la FDN pour cette initiative géniale. Ça fait du bien de voir qu’on peut encore compter sur des assos comme ça pour défendre l’intérêt général.

Pour essayer ce VPN, foncez sur https://vpn-public.fdn.fr.

Source


— Article en partenariat avec Incogni —

Salut la compagnie. Alors si vous avez l’habitude de me suivre, vous savez que j’ai déjà présenté l’outil Incogni de Surfshark d’un tas de façons différentes. Et mentionné les nombreux services qu’il peut rendre en fonction de votre situation. Mais s’il y a une cible que je n’ai pas abordée, c’est celui de nos marmottes marmots.

Parce que oui, lorsqu’on pense aux informations personnelles récupérées pour le plus grand bonheur des datas brokers (courtiers en données), on pense souvent aux nôtres, celles des « grands ». Et cela afin de créer des profils les plus complets possibles, notamment pour obtenir une image assez précise des sites que nous visitons, de nos achats en ligne, notre situation financière, nos centres d’intérêt, etc.

Sauf qu’il y a une catégorie d’utilisateurs que l’ont a tendance à oublier dans l’histoire, les enfants. Et oui, à notre époque pas mal de gamins passent déjà des heures en ligne (sur un smartphone ou à la maison) sans se préoccuper de savoir s’il y a un danger. Et les parents ne sont pas souvent capables de sécuriser leur environnement et leur apprendre les bons réflexes. Peu vont se renseigner sur les pratiques et les accès accordés aux applications installées (déjà que les parents eux-mêmes utilisent encore des passoires notoires comme Meta & Co …). Or les outils qu’utilisent les enfants, même s’ils semblent aussi peu dangereux que Oui-Oui, n’en sont pas mieux sécurisés pour autant. Ces bases de données centralisent et récupèrent leurs actions et peuvent ensuite tomber entre des mains malhonnêtes.

Le laboratoire de recherche d’Incogni a ainsi analysé 74 applications parmi les plus téléchargées et utilisées au monde par les plus jeunes. Sans surprise cela a permis d’épingler presque 50% de celles-ci (34) dont 2/3 (21) annoncent directement partager leurs données avec des tiers. Quasi 15% récoltent jusqu’à 7 types d’informations différentes : email, historique d’achat, localisation … voire photo. On comprend vite comment les choses peuvent mal tourner. En Europe c’est en moyenne 5 informations qui sont récupérées, la 2e région du monde la plus surveillée.

Incogni applis android pour enfants

Bon après il s’agit la plupart du temps de récolter de la data pour raison marketing, ou pour diagnostiquer des problèmes techniques (bugs & co). Mais encore faut-il faire confiance aux développeurs de l’appli en question. Ainsi Pokémon Quest annonce être clean sur le Google Play Store alors qu’elle récupère des données et les partage. À peine 1 appli sur 7 permet de désactiver cette récolte de données, et 1 sur 3 ne permet pas de supprimer ses infos (pas très RGPD). Une bonne nouvelle s’il faut en trouver une ? 94% chiffrent les données. C’est déjà ça.

Pour différencier les bons des mauvais élèves, vous pouvez vous rendre sur ce lien (onglet « App Rankings » puis cherchez votre pays). En France les cartons rouges sont pour Toca Life World, Kahoot et Avatar World (7 à 12 infos collectées), par contre les jeux des studios YovoGames et BabyBus c’est safe. Ainsi que Pat Partouille à la Rescousse … ouf, je vais mes gosses vont pouvoir continuer à jouer.

Du coup, pour en revenir à Incogni, disposer d’un service qui va nettoyer les bases de données du web des informations liées à vos enfants pourra s’avérer une bonne pratique à mettre en oeuvre. Plus vous commencez tôt et moins les informations se retrouveront dans de multiples bases de données. Si l’adresse mail de votre enfant se retrouve chez un broker, la faire retirer au plus vite est un bon réflexe à avoir, avant qu’elle ne soit reprise à gauche et à droite. N’attendez pas d’intégrer la liste de dizaines de brokers comme je l’ai fait, ça m’apprendra à laisser mon email chez n’importe qui 😉

Encore faut-il se rendre compte que tel ou tel courtier a ces informations en main. C’est le travail d’Incogni, qui va scanner l’ensemble des brokers qu’il surveille afin d’y trouver les éléments que vous voulez faire supprimer. Il contactera alors en votre nom ces derniers et leur demandera des retraits, et répétera l’opération jusqu’à ce qu’ils lâchent l’affaire. Des heures et des heures de recherches économisées et vous aurez l’esprit tranquille en sachant qu’il va s’assurer que ces retraits soient définitifs. Vous pouvez même suivre l’avancée des travaux directement depuis une interface simple.

Mais n’oubliez pas que VOUS êtes le premier rempart de votre progéniture. Eduquez-les, expliquez-leur les conséquences potentielles de tout ce qu’ils font sur la toile, etc. Vous ne les laisseriez pas jouer n’importe où ni avec n’importe qui en extérieur, il n’y a pas de raison que ce soit différent en ligne. Et si vous vous y mettez un peu tard, appelez le soldat Incogni à la rescousse pour vous assurer que les dommages sont limités !

Je découvre Incogni


Non, Toolong n’est pas ce qu’a dit votre correspondante américaine la première fois qu’elle vous a vu en maillot de bain. C’est plutôt (le chien) un outil vachement pratique qui s’utilise ne ligne de commande et qui permet d’afficher, suivre en temps réel, fusionner les fichiers de log et d’y rechercher tout ce que vous voulez.

L’outil est capable d’appliquer une petite coloration syntaxique sur les formats de journalisation classique comme ceux d’un serveur web par exemple. Il est également capable d’ouvrir très rapidement de gros fichiers même s’ils font plusieurs gigas.

Si vous travaillez avec des fichiers JSONL, Toolong les affichera également au format pretty print. Il prend également en charge l’ouverture des fichiers .bz et .bz2.

De quoi arriver à vos fins beaucoup plus facilement qu’en jouant avec tail, less, ou encore grep.

Toolong est compatible avec Linux, macOS et Windows et pour l’installer Toolong, la meilleure solution actuelle consiste à utiliser pipx :

pipx install toolong

Vous pouvez également l’installer avec Pip :

pip install toolong

Note : Si vous utilisez Pip, il est recommandé de créer un environnement virtuel pour éviter les conflits de dépendances potentiels.

Une fois Toolong installé, la commande tl sera ajoutée à votre PATH. Pour ouvrir un fichier avec Toolong, ajoutez les noms de fichiers en arguments de la commande :

tl fichierdelog.log

Si vous ajoutez plusieurs noms de fichiers, ils s’ouvriront dans des onglets. Ajoutez l’option --merge pour ouvrir plusieurs fichiers et les combiner en une seule vue :

tl access.log* --merge

Voilà, l’essayer, c’est l’adopter. Si vous manipulez de gros logs, Toolong pourra vous faire gagner un max de temps !

Merci à Lorenper