Aller au contenu
Korben, roi d’internet, logo bébé avec des lunettes en mode thug life

Vous pensiez que votre Bluetooth était safe ? Détrompez-vous ! Un chercheur en sécurité vient de dénicher une faille bien vicieuse qui permet d’exécuter du code à distance sur tout un tas d’appareils : smartphones Android, Chromecast, casques VR, TV connectées…

Le principe est diabolique : il suffit de se faire passer pour un clavier Bluetooth et hop, on peut envoyer des frappes de touches à la victime sans même qu’elle ait besoin d’accepter l’appairage. Pas besoin d’être à portée de main, quelques mètres suffisent. C’est ballot hein ?

Mais attendez, ça devient encore plus fort (ou pire, c’est selon). Des petits malins ont créé un outil baptisé BlueDucky qui automatise complètement l’exploitation de cette faille. Ça scanne les appareils vulnérables à proximité, ça les enregistre dans un fichier et ça balance un script Ducky bien sournois pour prendre le contrôle à distance. Le tout depuis un Raspberry Pi ou un smartphone Android !

Autant vous dire qu’ils se sont éclatés à tester ça sur tout ce qui passait : des smartphones, des objets connectés, des ordinateurs… Si c’est pas patché et que ça a du Bluetooth, ça tombe comme des mouches. Ils ont même réussi à ouvrir un navigateur et à envoyer la victime sur une page bien flippante, juste pour le fun.

Bon, vous allez me dire : « OK, mais comment on se protège de ce truc ?« . Eh bien c’est là que ça se gâte. Si vous avez un appareil récent, foncez installer les dernières mises à jour de sécurité. Mais pour les vieux machins sous Android 10 ou moins, c’est cuit, ça ne sera jamais patché. La seule solution : désactiver carrément le Bluetooth. Sinon, vous pouvez dire adieu à votre intimité numérique !

Mais ne cédons pas à la panique pour autant. Les chercheurs en sécurité font un boulot remarquable pour dénicher ces failles et alerter les fabricants. Maintenant, c’est à ces derniers de réagir en proposant des correctifs. Et à nous d’être vigilants en mettant à jour régulièrement nos appareils.

En attendant, si vous voulez jouer avec le feu dans la limite de ce que la loi permet, évidemment, le code de BlueDucky est disponible sur GitHub. Mais attention, c’est à vos risques et périls ! Ne venez pas vous plaindre si votre grille-pain se met à afficher des messages d’insulte au petit-déjeuner.

Pour l’installer :

# update apt
sudo apt-get update
sudo apt-get -y upgrade

# install dependencies from apt
sudo apt install -y bluez-tools bluez-hcidump libbluetooth-dev \
                    git gcc python3-pip python3-setuptools \
                    python3-pydbus

# install pybluez from source
git clone https://github.com/pybluez/pybluez.git
cd pybluez
sudo python3 setup.py install

# build bdaddr from the bluez source
cd ~/
git clone --depth=1 https://github.com/bluez/bluez.git
gcc -o bdaddr ~/bluez/tools/bdaddr.c ~/bluez/src/oui.c -I ~/bluez -lbluetooth
sudo cp bdaddr /usr/local/bin/

Et pour le lancer :

git clone https://github.com/pentestfunctions/BlueDucky.git
cd BlueDucky
sudo hciconfig hci0 up
python3 BlueDucky.py

Comme dirait l’autre, « le Bluetooth c’est comme le nucléaire, c’est génial tant que ça reste dans les mains des gentils« . Alors, soyez sympa et patchez-moi tout ça fissa ! Et si vous avez un appareil trop ancien qui traîne, coupez le Bluetooth et on n’en parle plus.

Pour en savoir plus sur cette faille et son exploitation, je vous invite à lire l’article ici.


La sécurité sur Android et plus particulièrement la signature des applications c’est loin d’être tout beau tout rose. Vous le savez peut-être, notre bon vieux VLC, a quelques soucis pour mettre à jour son app Android sur le Play Store ces derniers temps.

Alors pourquoi ce blocage ? Eh bien tout simplement parce que Google a décidé de rendre obligatoire l’utilisation des App Bundles pour toutes les applications proposant des fonctionnalités TV. Jusque-là, pas de problème me direz-vous. Sauf que ce nouveau format nécessite de fournir sa clé de signature privée à Google. Et ça, c’est juste im-po-ssible pour l’équipe de VLC !

Fournir sa clé privée à un tiers, c’est comme donner les clés de son appartement à son voisin. C’est la base de la sécurité : ce qui est privé doit le rester. Sinon autant laisser sa porte grande ouverte avec un panneau « Servez-vous » ! 😅

Depuis les débuts d’Android, chaque app doit être installée via un fichier APK. Ce fichier contient tout le nécessaire : le code, les ressources, les données… Et pour vérifier qu’un APK est authentique, il doit être signé avec une clé privée générée par le développeur. N’importe qui peut alors vérifier la clé publique utilisée pour signer le fichier.

L’avantage de ce système est de garantir l’intégrité de l’app. Si le développeur perd sa clé privée ou son mot de passe, impossible de publier des mises à jour car la nouvelle signature ne correspondra pas. Et s’il file sa clé à quelqu’un d’autre, cette personne pourra signer ses propres versions qui seront considérées comme légitimes. Vous voyez le problème maintenant ?

Avec les App Bundles, on passe à un système de double signature où une clé de téléchargement (upload key) permet au Play Store de vérifier que celui qui envoie le fichier est légitime. Jusque-là, ça va. Mais où clé de signature (release key), doit être détenue par Google ! Autrement dit, le Play Store signe l’app à la place du développeur. C’est donc cette clé privée que Google réclame aujourd’hui à VLC.

Google a bien tenté de mettre en place des mesures pour atténuer le problème, comme le dual release qui permet sur les appareils récents (Android 11+) d’installer une mise à jour signée différemment si une preuve de rotation de clé est fournie. Mais pour les apps comme VLC qui supportent aussi les vieux appareils et la TV, ça ne fonctionne pas.

Du coup, l’équipe de VLC se retrouve face à un choix cornélien :

  1. Donner sa clé privée à Google et continuer à publier normalement. Bénéfice : aucun. Risque : Google a le contrôle total sur les mises à jour et la sécurité de l’app. Autant dire que pour eux c’est non.
  2. Virer le support TV des APK publiés sur le Play Store. Avantage : pas besoin de donner sa clé privée pour les appareils récents. Inconvénient : plus de support TV pour les vieux appareils sous Android 10 et moins. Pas top.
  3. Passer full App Bundles. Avantage : aucun. Inconvénient : ça rendrait l’app incompatible avec 30% des utilisateurs actuels. Même pas en rêve !

Bref, vous l’aurez compris, l’équipe de VLC est dans une impasse et c’est pour ça qu’aucune mise à jour n’a été publiée ces derniers mois sur le Play Store.

Et ce n’est pas qu’une question de principe. Le Play Store n’est pas le seul store sur Android. VLC est aussi disponible sur le site officiel, l’Amazon AppStore, le Huawei AppGallery… Donc donner sa clé à Google compromettrait toute la chaîne de publication.

Malheureusement, sans modification de la part de Google sur ces nouvelles exigences, il n’y a pas de solution miracle pour continuer à proposer le support TV sur les vieux appareils Android via le Play Store.

C’est rageant pour les développeurs qui se retrouvent pieds et poings liés, mais c’est aussi inquiétant pour nous utilisateurs. Quand le plus gros store d’apps au monde se met à réclamer les clés privées des développeurs, on peut légitimement se poser des questions sur sa conception de la sécurité et de la vie privée.

Espérons que Google entendra les critiques et fera machine arrière sur ce point. En attendant, la seule chose à faire est de soutenir les développeurs comme VLC qui résistent encore et toujours à l’envahisseur et continuent à privilégier la sécurité de leurs utilisateurs avant tout.

Si ça vous interesse, vous pouvez suivre toute l’affaire en détail sur cet article passionnant (si si, je vous jure) : VLC for Android updates on the Play Store


Je pense qu’après tous les articles que j’ai écrit au sujet de l’IA, vous commencez à connaitre le concept de RAG (retrieval augmented generation), vous savez qu’il est possible de donner à bouffer à une IA, tout un tas de documents pour ensuite discuter avec celle-ci en utilisant le contenu comme base de connaissance.

Cela permet de poser des questions en langage naturel sur la documentation fournie. Y’a plein d’outils qui permettent de faire ça, et dernièrement, je vous ai présenté PDFToChat ou Reor qui font ça.

Et aujourd’hui, j’aimerais vous faire découvrir une solution open source de recherche unifiée nommée Danswer. Cet outil intègre plusieurs fonctionnalités essentielles, dont la recherche de documents et les réponses basées sur l’IA à partir des requêtes en langage naturel. Il se connecte également à tous les outils de travail courants, tels que Google Drive, Confluence, Github, Notion, Slack et bien d’autres. Il offre aussi une prise en charge de la discussion comme un ChatGPT qui aurait accès à vos ressources de connaissances privées. Vous pouvez même créer des assistants IA personnalisables avec différents prompts et jeux de données.

Cela permet de couvrir tout un tas de cas d’usages tels quel : accélération du support client et réduction des délais d’escalade, amélioration de l’efficacité de l’ingénierie grâce à une documentation et des historiques de code faciles à trouver, préparation des équipes de vente pour des appels plus efficaces, suivi des demandes et priorités des clients pour les équipes produit, et facilitation de la résolution autonome des problèmes liés aux services informatiques, à l’intégration et aux ressources humaines. #BurnoLeMaireLoveZeCapitalizme

Voici ce que ça donne une fois installé :

Vous pouvez même le connecter au modèle de langage LLM de votre choix (en local ou non) pour une solution entièrement cloisonnée. Il se déploie facilement avec une seule commande Docker Compose et peut être hébergé n’importe où. Vous pouvez également l’exécuter avec Kubernetes.

Pour l’installer rien de plus simple, il vous faut d’abord cloner le dépôt de Danswer :

git clone https://github.com/danswer-ai/danswer.git

ensuite, placez vous dans le dossier contenant le fichier de description du docker compose :

cd danswer/deployment/docker_compose

Puis y’a plus qu’à lancer le bousin :

docker compose -f docker-compose.dev.yml -p danswer-stack up -d --pull always --force-recreate

Ça peut prendre un quart d’heure, voire plus, selon votre connexion puisque Danswer a besoin de télécharger des modèles pour fonctionner.

Ensuite, y’a plus qu’à lancer un navigateur vers http://localhost:3000.

Ensuite pour apprendre à l’utiliser et le customiser, toute la documentation est là.

Merci à Lorenper


Si vous aimez le rétro-gaming qui sent bon le neuf, je tiens à vous présenter aujourd’hui l’Atari 400 Mini ! C’est le dernier joujou rétro qui déboule tout droit des années 80, mais avec un bon coup de boost côté fonctionnalités modernes.

Atari et Retro Games se sont dit « Et si on faisait renaître l’Atari 400 de 1979, mais en version mini ?« . Je me demande bien où ils ont été pêché cette idée (coucou Sega et Nintendo). Bref, ni une ni deux, les voilà qui nous sortent ce petit Atari 400 pile poil pour fêter les 45 ans de la bête.

Niveau look, c’est du pur vintage puisqu’on retrouve le design si distinctif de l’Atari 400, mais réduit de moitié. Ça a de la gueule, faut l’avouer ! Et ils ont aussi recréé à la perfection le mythique joystick Atari CX-40, rebaptisé pour l’occasion THECXSTICK avec un câble long de 1,8 m. Il y a également 5 ports USB qui vous permettront de brancher des manettes et des claviers supplémentaires.

Mais la vraie claque, c’est ce qui se cache sous le capot puisque cette mini console est capable d’émuler toute la gamme 8 bits d’Atari, des séries 400/800 aux XL/XE, en passant par la 5200. Et pour les jeux, la bonne nouvelle c’est qu’il y en a 25 préinstallés, dont des classiques indémodables comme Berzerk, Millipede, Miner 2049er, M.U.L.E. ou encore Star Raiders II. De quoi vous scotcher devant votre écran pendant des heures !

Côté image, ce sera du 720p (HD) avec connecteur HDMI et ils ont également pensé à des fonctionnalités bien pratiques, comme la possibilité de sauvegarder et reprendre sa partie à tout moment, ou même de rembobiner jusqu’à 30 secondes en arrière dans le jeu. Et plutôt que d’attendre qu’elle soit crackée et qu’on puissent y mettre n’importe quelle ROM, ils ont préféré prendre les devant en nous permettant de jouer à nos propres jeux directement depuis une clé USB. Va falloir allumer le RomStation.

Si ça vous chauffe, l’Atari 400 Mini sera disponible dès le 28 mars 2024 à un prix plus qu’abordable. Et si vous êtes pressés, vous pouvez même la précommander dès maintenant sur Amazon en passant par ce lien affilié.

Amusez-vous bien !

Source


Aujourd’hui, je vais vous parler d’un truc qui va vous faire voyager dans le temps façon Retour vers le Futur : Infinite Mac. Il s’agit d’un projet imaginé par le génial Mihai Parparita, qui permet de faire tourner d’anciens systèmes Mac et NeXT directement dans votre navigateur web.

Mihai a utilisé WebAssembly pour porter tout un tas d’émulateurs comme Mini vMac, Basilisk II, SheepShaver, DingusPPC et même Previous. Un sacré défi qui lui a demandé pas mal de bidouilles pour que tout soit compatible. Avec ça, vous allez pouvoir revivre les grandes heures de Mac OS, de System 6 jusqu’à Mac OS 9 en passant par System 7 et Mac OS 8. Et pour les fans de Steve Jobs, y a même du NeXTStep de la 0.8 de 1988 jusqu’à OPENSTEP 4.2 sorti en 1997 !

Le truc chouette, c’est que c’est hyper simple à utiliser. Vous allez sur le site infinitemac.org, vous choisissez votre version préférée (ou custom) et hop, vous voilà propulsé 20 ou 30 ans en arrière, à l’époque où les ordis avaient encore des disquettes et où on surfait avec Netscape Navigator.

D’ailleurs, c’est marrant de voir à quel point NeXTStep était en avance sur son temps par rapport au Mac de la même époque. Genre en 1988, y’avait d’un côté System 6 qui faisait un peu pitié et de l’autre ce monstre de puissance et d’innovation qu’était le Cube de Next. Pas étonnant que notre Steve national ait fini par racheter la boîte pour créer Mac OS X par la suite.

Et vous saviez qu’à partir de NeXTStep 3.0, on pouvait lire et écrire sur les disques HFS des Mac ? Ça veut dire qu’en 2024, on peut s’échanger des fichiers entre les machines NeXT et Mac d’Infinite Mac sans aucun souci. C’est beau.

Bref, un chouette projet à explorer, surtout si vous n’avez pas connu cette époque ou si vous cherchez à retrouver les sensations de votre jeunesse d’informaticien. Infinite Mac c’est par ici !

Source de l’image + Source