Actualités High-Tech

1.2k Topics 5.8k Posts
  • 0 Votes
    4 Posts
    51 Views

    je confirme la Freebox Révolution avais de la gueule.

  • 0 Votes
    12 Posts
    91 Views
    Petite précision concernant l’emploi des robots

    Le géant allemand de l’automobile Mercedes-Benz a conclu un accord avec la start-up américaine Apptronik, le 15 mars, pour déployer des robots humanoïdes dans ses usines hongroises. Une manière pour le groupe de combler les postes sur les tâches répétitives, pour lesquels le recrutement est difficile.

    Source: https://www.usinenouvelle.com/article/faute-de-main-d-oeuvre-mercedes-benz-recrute-des-robots-humanoides.N2210460

  • 0 Votes
    1 Posts
    29 Views

    Après le bug de l’an 2000:

    Le mouvement de rotation de la Terre s’accélère, selon une étude. Problème: le temps astronomique va progressivement dépasser le temps atomique et chambouler le fonctionnement des infrastructures numériques et de communication.

    La fonte des glaces due au réchauffement climatique modifie la vitesse de rotation de la Terre plus rapidement que prévu, au point d’affecter le calcul du temps universel qui conditionne le bon fonctionnement des réseaux informatiques, selon une étude ce mercredi.

    Depuis 1967, le temps universel coordonné (UTC) est calculé à partir des mesures d’horloges atomiques ultra-stables, qui donnent l’heure dans le monde entier et permettent aux infrastructures numériques et de communication, comme la navigation par satellite, de fonctionner de manière extrêmement précise.

    Une rotation pas constante

    Pour des raisons historiques, le temps UTC reste lié au temps astronomique, calculé avec la vitesse de rotation de la Terre, qui n’est pas constante. Il a donc été décidé, en 1972, l’ajout au temps atomique d’une seconde intercalaire pour le faire coïncider avec le temps astronomique.

    Cet ajout intervient, de façon irrégulière, à chaque fois que le décalage entre les deux standards approche 0,9 seconde. Le dernier ajout remonte à 2016, indique à l’AFP Duncan Agnew, auteur d’une étude publiée dans «Nature».

    Mais l’accélération du mouvement de rotation de la Terre fait que le temps astronomique va progressivement dépasser le temps atomique. Ce qui pourrait obliger à introduire, d’ici quelques années, une seconde… négative.

    Un avenir risqué

    Un saut dans l’inconnu redouté par les métrologistes, les scientifiques qui mesurent la temps, au vu des problèmes «sans précédent» que cela pourrait provoquer «dans un monde de plus en plus connecté», souligne Patrizia Tavella, du Bureau international des poids et mesures (BIPM), dans un commentaire joint à l’étude.

    «Je ne recommanderais pas d’être à bord d’un avion à ce moment-là», appuie Demetrios Matsakis, ex-scientifique en chef de l’Observatoire naval des Etats-Unis, qui n’a pas pris part aux travaux.

    Car les programmes informatiques qui intègrent les secondes intercalaires «supposent qu’elles sont toutes positives», explique Duncan Agnew, de l’Institut de géophysique de l’Université de Californie à San Diego.

    La Terre ralentit

    C’est en partie pour cette raison que les métrologistes du monde entier se sont mis d’accord pour supprimer la seconde intercalaire d’ici à 2035.

    À partir de cette année-là, il est prévu de laisser la différence entre l’heure atomique et la rotation de la Terre s’accroître jusqu’à une minute. Mais que faire en attendant?

    Selon l’étude de «Nature», le réchauffement climatique pourrait chambouler le programme. En cause: l’accélération de la fonte des glaces au Groenland et en Antarctique, que le chercheur a pu mesurer grâce aux observations par satellite.

    Répartition des fluides modifiée

    Depuis les années 1990, la fonte des glaces ralentit la rotation de la Terre, tout comme le font les effets de marée de la Lune et du Soleil, contre-balançant l’accélération naturelle. «Lorsque la glace fond, l’eau se répand sur l’ensemble de l’océan. (…) Ce qui modifie la répartition des fluides à la surface et à l’intérieur de la Terre», détaille le scientifique.

    Jusqu’ici rien de nouveau – l’effet ralentisseur de la fonte des glaces a été suggéré dès la fin du XIXe siècle, et il est calculé depuis les années 1950, relève Duncan Agnew. «Mais la nouveauté de mes travaux est de montrer l’ampleur de l’impact de la fonte des glaces sur la rotation de la Terre. Un changement encore jamais vu», dit-il.

    Report de la seconde négative

    Le ralentissement est tel qu’il pourrait reporter à 2029 un éventuel passage à la seconde négative, selon ses prévisions. Sans les effets du réchauffement, elle aurait sans doute dû être ajoutée dès 2026.

    Ce délai est plutôt bienvenu pour les métrologistes, en leur laissant «plus de temps pour décider si 2035 est la meilleure date pour supprimer la seconde intercalaire, ou s’il faut l’abandonner avant», a réagi Patrizia Tavella, du BIPM.

    Source: https://www.tdg.ch/le-calcul-du-temps-universel-perturbe-par-la-fonte-des-glaces-321379257407

    Tout comme la terre, le monde aussi tourne comme une patate, espérons qu’on y survive…

  • 3 Votes
    10 Posts
    156 Views

    @michmich

    Ou le 13 si ils merdent ^^

  • 0 Votes
    12 Posts
    123 Views

    @Psyckofox
    Mortalkombat Christopher GIF
    :lol:

  • 1 Votes
    5 Posts
    38 Views

    Bon… Z’aviez bien saisi que c’était un trait d’humour, c’est cool

    Par contre, la ptite remarque sur le côté flemmard -> C’est une qualité ! C’est souvent en prenant le chemin le plus rapide qu’on arrive aux meilleurs résultats.
    Ceci, évidement, si on cherche à faire les choses proprement.

    Si tu cherche à en faire le moins possible pour sortir un travail de m****, souvent tu te fais gauler. Comme ici.

  • 1 Votes
    1 Posts
    20 Views

    Les failles de sécurité dans le code sont le cauchemar des développeurs et des équipes de sécurité et font surtout le régal des hackers. Alors pour y remédier, GitHub a décidé de sortir l’artillerie lourde avec Code Scanning Autofix ! Attention les yeux, cet outil mêle IA et analyse statique et nous fait la promesse de corriger les vulnérabilités en un clin d’œil pendant que vous codez.

    Concrètement, Code Scanning Autofix (actuellement en bêta publique) est activé par défaut sur tous les dépôts privés des clients GitHub Advanced Security. Et devinez quoi ? Il gère déjà plus de 90% des types d’alertes pour JavaScript, TypeScript, Java et Python. De quoi mettre une sacrée claque à la dette de sécurité applicative !

    En coulisse, cette magie opère grâce à deux technologies de pointe made in GitHub : Copilot pour l’IA et CodeQL pour l’analyse statique. Une fois Code Scanning Autofix activé, il vous propose des correctifs quasi tout cuits qui sont censés régler les deux tiers des vulnérabilités détectées, le tout sans trop d’efforts de votre part.

    Voici un exemple de correctif proposé :

    Pour chaque faille repérée dans un des langages pris en charge, vous obtenez une explication en langage naturel du correctif suggéré, avec un aperçu du bout de code à valider, modifier ou rejeter. Cela peut inclure des changements dans le fichier en cours, d’autres fichiers, voire des dépendances du projet. Bien entendu, vous gardez le contrôle et pouvez vérifier si le correctif résout bien le problème sans casser la fonctionnalité.

    L’intérêt est donc de décharger les experts en sécurité de la fastidieuse traque aux vulnérabilités introduites pendant le développement. Ils pourront alors se concentrer sur la sécurité globale de leur projet.

    GitHub promet d’étendre prochainement Code Scanning Autofix à d’autres langages, en commençant par C# et Go. Et pour en savoir plus, foncez sur la doc de GitHub !

    –Sources :

    https://korben.info/github-revolutionne-correction-vulnerabilites-code-scanning-autofix.html

    https://www.bleepingcomputer.com/news/security/githubs-new-ai-powered-tool-auto-fixes-vulnerabilities-in-your-code/

    https://docs.github.com/en/code-security/code-scanning/managing-code-scanning-alerts/about-autofix-for-codeql-code-scanning

  • 0 Votes
    9 Posts
    112 Views

    Je crois que c’était un PoC pour Huawei. Sur Android ça n’arrive en effet qu’après iOS. De là à dire qu’Android copie iOS… lol
    Depuis le 1er iPhone, hélas, Apple n’innove plus des masses… Mais, perso, +1 point pour la légèreté du 15 pro Max vs le 14.

  • 0 Votes
    3 Posts
    34 Views

    Bientôt ghost in the shell 🥹

  • 4 Votes
    1 Posts
    76 Views

    VLC confirme que la possibilité de regarder la télévision depuis le lecteur pourrait être ajoutée. La fonctionnalité est à l’étude pour profiter des FAST channels comme les chaînes Mango ou Rakuten TV.

    VLC, c’est un millésime utilisé par des millions de personnes dans le monde, un véritable petit bijou qui prend en charge la technologie RTX Video Super Resolution de Nvidia depuis peu. Et prochainement, ce logiciel âgé de deux décennies pourrait profiter d’une nouvelle fonctionnalité : regarder des chaînes de télévision en streaming.

    La télévision depuis VLC pour viser “la jeune génération”

    Jean-Baptiste Kempf, président de VideoLAN à qui l’on doit le lecteur VLC qui a commencé comme un projet étudiant, s’est exprimé sur le futur au micro de Lowpass. Parmi les nouveautés, on s’attend à une app dédiée pour l’Apple Vision Pro mais surtout la possibilité de streamer de la télévision. Selon lui, il s’agit d’une fonctionnalité particulièrement attendue par “la jeune génération”.

    Attention, il ne s’agit pas de visionner TF1, M6 ou France Télévisions comme le permet Molotov TV, par exemple. Les utilisateurs pourront regarder la télévision en streaming avec de la publicité pour le financement. On parle de FAST channels (Free Ad-supported TV) comme Mango Cinéma, Doc, Kids, Séries, Novelas et Histoire ou encore Rakuten TV.

    Autre précision, Jean-Baptiste Kempf annonce que cette possibilité n’est pas encore confirmée. VLC l’envisage mais rien n’est sûr, peut-être que la fonctionnalité n’arrivera jamais pour le lecteur. Et si c’est le cas, elle sera optionnelle, bien évidemment.

    VLC, un succès qui remonte à 1996

    La première version de VLC remonte à 1996 et cocorico, VideoLAN vient de France ! Si le lecteur est aussi apprécié, c’est pour sa simplicité d’utilisation et sa capacité à lire une grande variété de formats de médias sans complications. L’interface utilisateur est intuitive pour naviguer et personnaliser l’expérience de visionnage à sa guise. L’exemple le plus courant, c’est la possibilité de synchroniser des sous-titres décalés.

    Ce logiciel tout-en-un pour lire des médias sur n’importe quel appareil (Windows, macOS, Android, etc), gratuitement et sans publicité, participe largement à son succès. Ce qui explique ses 5 milliards de téléchargements, rien que ça.

    – Source :

    https://www.tomsguide.fr/vlc-regarder-gratuitement-la-television-en-streaming-ce-serait-bientot-possible/

  • 2 Votes
    1 Posts
    33 Views

    La collecte et la gestion des données d’utilisateurs sur Internet sont des sujets récurrents et les Big Tech y sont souvent pointés du doigt pour leur manque de transparence. D’autres acteurs du domaine pensent toutefois à faire bouger les choses notamment avec la construction d’un nouveau Web3.

    Le monopole des Big Tech

    Le monopole des Big Tech a été favorisé surtout par l’écosystème du web traditionnel qui leur donne un contrôle absolu. Les créateurs du Web3 se rendent d’ailleurs compte que ce contrôle est tellement excessif en raison de son aspect centralisé. Tegan Kline, PDG et co-fondateur d’Edge & Node, une entreprise impliquée dans la construction du Web3 s’est d’ailleurs confié récemment au média TechCrunch sur le sujet.

    En effet, ce dernier a expliqué lors d’un podcast la façon dont les Big Tech exercent ce contrôle. “Une poignée de grandes entreprises possède et contrôle tout ce que nous voyons en ligne, elles possèdent nos données et notre empreinte numérique et beaucoup veulent garder notre attention et monétisent cette attention” a-t-il déclaré.

    Il précise également que les ambitions initiales du web ont été détournées, mais les choses pourraient évoluer avec la détermination de quelques acteurs, dont Edge & Node. Pour précision, cette dernière est une société spécialisée dans la création et la prise en charge d’applications et de protocoles décentralisés.

    Ce que le réseau The Graph pourrait changer

    Le changement pourrait venir alors de The Graph, une plateforme décentralisée soutenue par Edge & Node. Celle-ci se base entre autres sur une intégration Web3 et IA et l’objectif est clair : “redonner le pouvoir aux utilisateurs”. Pour ce faire, The Graph devrait donc indexer, interroger et organiser les données. Surnommé le « Google du web3 », il aura ainsi pour fonctions d’organiser les données ouvertes de la blockchain et de rendre les données ouvertes publiques.

    En outre, The Graph se présente comme un graphique composé de « sous-graphiques », qui servent à leur tour des requêtes comme des API ouvertes. Les utilisateurs des applications construites sur The Graph pourraient alors faire appel à des indexeurs à chaque requête. Celles-ci organiseront ensuite les données en arrière-plan avant de diffuser les informations.

    Par ailleurs, les recherches de Tegan Kline visent aussi à mettre de l’ordre dans le domaine de l’IA qui exploiterait massivement les données d’utilisateurs. “Il y a un dicton selon lequel celui qui contrôle les données gouverne le monde. Il est donc vraiment important que les données ne soient pas détenues et contrôlées par une seule entreprise, en particulier dans le domaine de l’IA.” précise-t-il.

    Kline voudrait donc qu’à l’arrivée, les IA soient basées sur des données open-source plutôt que de porter cette étiquette uniquement pour des raisons marketing. En réalité, leur utilisation est open-source, mais pas les données exploitées jusqu’ici.

    Source: https://www.fredzone.org/un-nouveau-reseau-web3-est-en-cours-de-construction-big-tech-rbc234

    J’imagine bien que pour faire couler le web 3, les torpilles sont déjà lancées…

  • 0 Votes
    1 Posts
    38 Views

    La correction du canal secondaire nouvellement découverte (voir aussi: https://planete-warez.net/topic/4601/les-pirates-peuvent-forcer-les-navigateurs-ios-et-macos-à-divulguer-les-mots-de-passe-et-bien-plus-encore?_=1711098143319) aura probablement un impact négatif sur les performances.

    Une vulnérabilité récemment découverte dans les puces de la série M d’Apple permet aux attaquants d’extraire les clés secrètes des Mac lorsqu’ils effectuent des opérations cryptographiques largement utilisées, ont révélé des chercheurs universitaires dans un article publié jeudi.

    La faille – un canal secondaire permettant des extractions de clés de bout en bout lorsque les puces Apple exécutent des implémentations de protocoles cryptographiques largement utilisés – ne peut pas être corrigée directement car elle découle de la conception microarchitecturale du silicium lui-même. Au lieu de cela, il ne peut être atténué qu’en intégrant des défenses dans des logiciels cryptographiques tiers qui pourraient dégrader considérablement les performances de la série M lors de l’exécution d’opérations cryptographiques, en particulier sur les générations M1 et M2 précédentes. La vulnérabilité peut être exploitée lorsque l’opération cryptographique ciblée et l’application malveillante dotée des privilèges système utilisateur normaux s’exécutent sur le même cluster de processeurs.

    Méfiez-vous des optimisations matérielles

    La menace réside dans le prérécupérateur de données dépendant de la mémoire des puces, une optimisation matérielle qui prédit les adresses mémoire des données auxquelles le code en cours d’exécution est susceptible d’accéder dans un avenir proche. En chargeant le contenu dans le cache du processeur avant qu’il ne soit réellement nécessaire, le DMP, comme la fonctionnalité est abrégée, réduit la latence entre la mémoire principale et le processeur, un goulot d’étranglement courant dans l’informatique moderne. Les DMP sont un phénomène relativement nouveau que l’on retrouve uniquement dans les puces de la série M et dans la microarchitecture Intel Raptor Lake de 13e génération, bien que les anciennes formes de prélecture soient courantes depuis des années.

    Les experts en sécurité savent depuis longtemps que les prélecture classiques ouvrent un canal secondaire que les processus malveillants peuvent sonder pour obtenir des clés secrètes à partir d’opérations cryptographiques. Cette vulnérabilité est le résultat du fait que les préchargeurs effectuent des prédictions basées sur des modèles d’accès précédents, ce qui peut créer des changements d’état que les attaquants peuvent exploiter pour divulguer des informations. En réponse, les ingénieurs en cryptographie ont conçu une programmation en temps constant, une approche qui garantit que toutes les opérations prennent le même temps, quels que soient leurs opérandes . Pour ce faire, il maintient le code exempt d’accès ou de structures mémoire dépendant d’un secret.

    L’avancée de la nouvelle recherche est qu’elle expose un comportement jusqu’alors négligé des DMP dans le silicium Apple : ils confondent parfois le contenu de la mémoire, tel que les éléments clés, avec la valeur du pointeur utilisée pour charger d’autres données. En conséquence, le DMP lit souvent les données et tente de les traiter comme une adresse pour effectuer un accès à la mémoire. Ce « déréférencement » des « pointeurs » – c’est-à-dire la lecture de données et leur fuite via un canal secondaire – est une violation flagrante du paradigme du temps constant.

    L’équipe de chercheurs est composée de :

    Boru Chen, Université de l’Illinois Urbana-Champaign Yingchen Wang, Université du Texas à Austin Pradyumna Shome, Institut de technologie de Géorgie Christopher W. Fletcher, Université de Californie, Berkeley David Kohlbrenner, Université de Washington Riccardo Paccagnella, Université Carnegie Mellon Daniel Genkin, Institut de technologie de Géorgie

    Dans un e-mail, ils ont expliqué :

    Les préfetchers examinent généralement les adresses des données consultées (en ignorant les valeurs des données consultées) et tentent de deviner les futures adresses qui pourraient être utiles. Le DMP est différent en ce sens car en plus des adresses, il utilise également les valeurs des données afin de faire des prédictions (prédire les adresses auxquelles aller et pré-extraire). En particulier, si une valeur de données « ressemble » à un pointeur, elle sera traitée comme une « adresse » (alors qu’en fait ce n’est pas le cas !) et les données de cette « adresse » seront amenées dans le cache. L’arrivée de cette adresse dans le cache est visible, fuite via les canaux côté cache.

    Notre attaque exploite ce fait. Nous ne pouvons pas divulguer directement les clés de chiffrement, mais ce que nous pouvons faire, c’est manipuler les données intermédiaires à l’intérieur de l’algorithme de chiffrement pour ressembler à un pointeur via une attaque d’entrée choisie. Le DMP voit alors que la valeur des données « ressemble » à une adresse et introduit les données de cette « adresse » dans le cache, ce qui entraîne la fuite de « l’adresse ». Nous ne nous soucions pas de la prélecture de la valeur des données, mais le fait que les données intermédiaires ressemblent à une adresse est visible via un canal de cache et suffit à révéler la clé secrète au fil du temps.

    Dans le journal de jeudi, l’équipe l’a expliqué légèrement différemment :

    Notre idée clé est que même si le DMP déréférence uniquement les pointeurs, un attaquant peut créer des entrées de programme de telle sorte que lorsque ces entrées se mélangent avec des secrets cryptographiques, l’état intermédiaire résultant peut être conçu pour ressembler à un pointeur si et seulement si le secret satisfait un attaquant. prédicat choisi. Par exemple, imaginez qu’un programme ait un secret s, prenne x comme entrée, calcule puis stocke y = s ⊕ x dans sa mémoire de programme. L’attaquant peut créer différents x et déduire des informations partielles (voire complètes) sur s en observant si le DMP est capable de déréférencer y. Nous utilisons d’abord cette observation pour briser les garanties d’une primitive standard d’échange à temps constant recommandée pour une utilisation dans les implémentations cryptographiques. Nous montrons ensuite comment briser des implémentations cryptographiques complètes conçues pour être sécurisées contre les attaques à entrée choisie.

    Plus de détails sur GoFetch

    L’attaque, que les chercheurs ont nommée GoFetch , utilise une application qui ne nécessite pas d’accès root, mais uniquement les mêmes privilèges utilisateur requis par la plupart des applications tierces installées sur un système macOS. Les puces de la série M sont divisées en ce que l’on appelle des clusters. Le M1, par exemple, dispose de deux clusters : l’un contenant quatre cœurs d’efficacité et l’autre quatre cœurs de performances. Tant que l’application GoFetch et l’application de cryptographie ciblée s’exécutent sur le même cluster de performances (même sur des cœurs distincts au sein de ce cluster), GoFetch peut extraire suffisamment de secrets pour divulguer une clé secrète.

    L’attaque fonctionne à la fois contre les algorithmes de chiffrement classiques et contre une nouvelle génération de chiffrement renforcée pour résister aux attaques anticipées des ordinateurs quantiques. L’application GoFetch nécessite moins d’une heure pour extraire une clé RSA de 2 048 bits et un peu plus de deux heures pour extraire une clé Diffie-Hellman de 2 048 bits. L’attaque prend 54 minutes pour extraire le matériel nécessaire à l’assemblage d’une clé Kyber-512 et environ 10 heures pour une clé Dilithium-2, sans compter le temps hors ligne nécessaire au traitement des données brutes.

    L’application GoFetch se connecte à l’application ciblée et lui transmet des entrées qu’elle signe ou décrypte. Ce faisant, il extrait la clé secrète de l’application qu’il utilise pour effectuer ces opérations cryptographiques. Ce mécanisme signifie que l’application ciblée n’a pas besoin d’effectuer seule aucune opération cryptographique pendant la période de collecte.

    Les clés RSA et Diffie-Hellman ont été traitées sur des implémentations de Go et OpenSSL et Kyber et Dilithium de CRYSTALS-Kyber et CRYSTALS-Dilithium. Les quatre implémentations utilisent une programmation en temps constant, prouvant que les DMP du silicium Apple déjouent la défense largement déployée.

    61086927-536b-489c-880a-529a7a6fde5a-image.png

    ésultats expérimentaux de quatre PoC d’attaque cryptographique. Cela montre la moyenne de trois exécutions de chaque PoC. Le temps en ligne fait référence au temps requis pour un processus d’attaquant colocalisé, qui comprend (1) la génération d’ensembles d’expulsion standard ; (2) découverte d’un ensemble d’expulsions composées ; et (3) fuite de DMP. Le temps hors ligne est le temps de post-traitement (par exemple, réduction du réseau) nécessaire pour terminer la récupération de la clé secrète. Le temps nécessaire à la phase de collecte de signatures hors ligne de Dilithium-2 n’est pas inclus.

    GoFetch n’est pas la première fois que des chercheurs identifient des menaces cachées dans les DMP Apple. L’optimisation a été documentée pour la première fois dans une recherche de 2022 qui a découvert un « DMP de poursuite de pointeur » jusqu’alors inconnu dans le M1 et dans la puce A14 Bionic d’Apple pour les iPhones. La recherche, menée par un autre groupe d’universitaires, a donné naissance à Augury , une attaque qui a identifié et exploité un canal secondaire de mémoire qui a divulgué des pointeurs. En fin de compte, Augury n’a pas pu mélanger les données et les adresses lorsque des pratiques en temps constant étaient utilisées, une lacune qui a pu donner l’impression que le DMP ne représentait pas une grande menace.

    “GoFetch montre que le DMP est nettement plus agressif qu’on ne le pensait et pose donc un risque de sécurité beaucoup plus important”, ont écrit les auteurs de GoFetch sur leur site Internet. « Plus précisément, nous constatons que toute valeur chargée depuis la mémoire est susceptible d’être déréférencée (littéralement !). Cela nous permet de contourner de nombreuses limitations d’Augury et de démontrer des attaques de bout en bout sur du code réel en temps constant.

    Des performances pénalisantes

    Comme les autres canaux microarchitecturaux latéraux du processeur, celui qui rend GoFetch possible ne peut pas être corrigé dans le silicium. Au lieu de cela, la responsabilité d’atténuer les effets néfastes de la vulnérabilité incombe aux personnes qui développent le code pour le matériel Apple. Pour les développeurs de logiciels cryptographiques fonctionnant sur des processeurs M1 et M2, cela signifie qu’en plus de la programmation en temps constant, ils devront recourir à d’autres défenses, qui entraînent presque toutes des pénalités de performances importantes.

    L’une des mesures d’atténuation les plus efficaces, connue sous le nom d’aveuglement du texte chiffré, en est un bon exemple. L’aveuglement fonctionne en ajoutant/supprimant des masques aux valeurs sensibles avant/après avoir été stockées/chargées depuis la mémoire. Cela rend effectivement aléatoire l’état interne de l’algorithme cryptographique, empêchant l’attaquant de le contrôler et neutralisant ainsi les attaques GoFetch. Malheureusement, selon les chercheurs, cette défense est à la fois spécifique à l’algorithme et souvent coûteuse, pouvant même doubler les ressources informatiques nécessaires dans certains cas, comme pour les échanges de clés Diffie-Hellman.

    Une autre défense consiste à exécuter des processus cryptographiques sur les cœurs d’efficacité mentionnés précédemment, également appelés cœurs Icestorm, qui ne disposent pas de DMP. Une approche consiste à exécuter tout le code cryptographique sur ces cœurs. Cette défense n’est pas non plus idéale. Non seulement il est possible que des modifications inopinées ajoutent des fonctionnalités DMP aux cœurs d’efficacité, mais l’exécution de processus cryptographiques ici augmentera également probablement le temps nécessaire pour terminer les opérations dans une marge non négligeable. Les chercheurs évoquent plusieurs défenses ponctuelles, mais elles sont tout aussi problématiques.

    Le DMP du M3, la dernière puce d’Apple, possède un élément spécial que les développeurs peuvent invoquer pour désactiver la fonctionnalité. Les chercheurs ne savent pas encore quel type de pénalité se produira lorsque cette optimisation des performances sera désactivée. (Les chercheurs ont noté que le DMP trouvé dans les processeurs Intel Raptor Lake ne divulgue pas les mêmes types de secrets cryptographiques. De plus, la définition d’un bit DOIT spécial désactive également efficacement le DMP.)

    Les lecteurs doivent se rappeler que les sanctions qui en résulteront ne seront ressenties que lorsque le logiciel concerné effectue des opérations cryptographiques spécifiques. Pour les navigateurs et de nombreux autres types d’applications, le coût en termes de performances peut ne pas être perceptible.

    “À plus long terme, nous pensons que la bonne solution consiste à élargir le contrat matériel-logiciel pour tenir compte du DMP”, ont écrit les chercheurs. « Au minimum, le matériel doit offrir au logiciel un moyen de désactiver sélectivement le DMP lors de l’exécution d’applications critiques pour la sécurité. Cela constitue déjà un précédent dans l’industrie. d’Intel Par exemple, les extensions DOIT mentionnent spécifiquement la désactivation de leur DMP via une extension ISA. À plus long terme, on souhaiterait idéalement un contrôle plus fin, par exemple pour contraindre le DMP à effectuer une prélecture uniquement à partir de tampons spécifiques ou de régions de mémoire non sensibles désignées.

    Les représentants d’Apple ont refusé de commenter officiellement la recherche GoFetch.

    Les utilisateurs finaux concernés doivent rechercher les mises à jour d’atténuation GoFetch disponibles pour les logiciels macOS qui implémentent l’un des quatre protocoles de chiffrement connus pour être vulnérables. Par prudence, il est probablement également sage de supposer, du moins pour l’instant, que d’autres protocoles cryptographiques sont probablement également sensibles.

    “Malheureusement, pour évaluer si une implémentation est vulnérable, une cryptanalyse et une inspection du code sont nécessaires pour comprendre quand et comment les valeurs intermédiaires peuvent ressembler à des pointeurs de manière à divulguer des secrets”, ont conseillé les chercheurs. “Ce processus est manuel et lent et n’exclut pas d’autres approches d’attaque.”

    Source: https://arstechnica.com/security/2024/03/hackers-can-extract-secret-encryption-keys-from-apples-mac-chips/

  • 1 Votes
    1 Posts
    47 Views

    C’est de bonne guerre, les partenaires qui se sentent abandonnés par VMware commencent à être courtisés par les concurrents, Nutanix en tête qui a déjà dressé 9 prédictions sur les conséquences inattendues de ce VMware by Broadcom. L’auteur de ces prédictions, Lee Caswell, vice-président directeur du marketing des produits et des solutions, le reconnaît, de nombreux clients VMware demandent désormais conseil à Nutanix sur la manière de minimiser leur exposition à ces changements de Broadcom. Il faut dire que Nutanix est l’un des rares acteurs sur le marché à avoir une couverture très large de solutions et services concurrentes de VMware. Connu historiquement pour sa solution HCI, Nutanix s’est transformé en une plate-forme de services multiples cloud (privé, public et/ou hybride) avec comme brique de base son hyperviseur AHV. « Notre réponse, c’est d’abord la continuité de notre positionnement que nous construisons depuis des années. De ce fait, nous sommes aujourd’hui l’alternative la plus complète et crédible du marché, reconnue de notre écosystème de partenaires, lesquels sont formés pour opérer ces migrations », résume Guillaume André, directeur général de Nutanix France. Non seulement, l’éditeur de San José va renforcer son réseau de partenaires mais il fait de même avec ces partenaires technologiques comme Red Hat autour d’OpenShift et, plus récemment, Cisco qui avait arrêté son offre HCI Hyperflex. Typiquement avec ce qui se passe en ce moment, le cas client de Cdiscount, qui a basculé ses milliers de VM sous VMware vers AHV de Nutanix, devrait se reproduire régulièrement, d’ailleurs la coopérative UpCoop (voir cas client en partie 6) est un autre exemple. Et pour faciliter les migrations, Nutanix propose son outil Move. « Nous enregistrons 10 000 workloads migrés chaque mois vers Nutanix », précise d’ailleurs Stéphane Berthaud, directeur technique de Nutanix France.

    « Toutes les alternatives ne se valent pas, Nutanix est la plus crédible et complète » Guillaume André, directeur général de Nutanix France. (Crédit Nutanix)
    « Toutes les alternatives ne se valent pas, Nutanix est la plus crédible et complète » Guillaume André, directeur général de Nutanix France. (Crédit Nutanix)

    De son côté, Jeff Ready, CEO de Scale Computing, compte bien profiter également de l’opportunité pour capter les clients et les partenaires de VMware By Broadcom, il a du reste récemment déclaré au site américain CRN d’avoir enregistrer en un an près de 10 fois plus de demandes de partenaires VMware et d’utilisateurs finaux souhaitant passer à Scale Computing. Des centaines de partenaires auraient ainsi rejoint le fournisseur. Ce dernier a même lancé une offre VMware « Rip and Replace » qui offre aux partenaires une réduction de 25 % sur toute licence VMware passant à Scale Computing. Rappelons que Scale Computing défend son approche hyperconvergée et de virtualisation tout-en-un avec SC//Platform (hyperviseur SC//Hypercore intégré et basé sur KVM) en mettant en avant plusieurs points forts. Déjà la simplicité avec une plate-forme qui peut être configurée en quelques minutes, cette simplicité s’étendant aussi aux fonctionnalités telles que les sauvegardes automatisées, l’allocation des ressources et la mise à l’échelle. Ensuite, la rentabilité, les coûts de licences seraient largement moins chers que ceux de VMware, de l’ordre de 60 à 70 %. Etant donné l’approche tout intégrée de Scale Computing, il n’est en effet pas nécessaire d’acheter des licences distinctes pour les logiciels de virtualisation, le stockage et les solutions de sauvegarde. La sauvegarde intégrée est d’ailleurs, là aussi, un point fort de SC//Platform, cela réduit le besoin de recourir à des fournisseurs tiers. Enfin, Scale Computing vante l’efficacité de son support.

    Chez Citrix (désormais Cloud Software Group) qui n’a pas répondu à nos demandes d’interviews, la reprise en main de XenCenter est en cours avec la fin de la version open source. Pour mémoire, XenCenter est une console dédiée à la gestion de Citrix Hypervisor anciennement connu sous le nom XenServer dans des environnements Windows. Quant à l’acquisition de XenSource (créateur de l’hyperviseur open source Xen) par Citrix, elle remonte à 2007. Face à VMware, citons bien sûr Microsoft qui n’a pas non plus souhaité répondre à nos questions sur le sujet. L’éditeur de Redmond s’aligne entre autres avec Hyper-V, son hyperviseur lancé en 2008 qui avait été intégré à Windows Server pour contrer, sans grand succès à l’époque, l’hégémonie de son concurrent. Hyper-V est intégré à la plate-forme d’infrastructure hyperconvergée de Microsoft Azure Stack HCI.

    Enfin, pour Mos Amokhtari, directeur solution architecture chez Red Hat, l’objectif n’est pas de remplacer VMware mais d’être dans une logique de modernisation avec cette capacité de passer à des applications cloud native avec virtualisation et conteneurisation. Dans son approche, Red Hat met donc en avant OpenShift Virtualization (voir partie 5), une solution qui permet aux équipes d’administration d’intégrer des machines virtuelles à des workflows conteneurisés en exécutant une machine virtuelle au sein d’un conteneur. De là, elles peuvent déployer et gérer des machines virtuelles parallèlement à des conteneurs, le tout depuis une seule interface. En parallèle à OpenShift Virtualization, Red Hat supporte bien sûr OpenStack déjà en production dans plusieurs organisations, notamment chez certaines grandes banques et quelques grands acteurs de télécommunications. Le rachat de VMware pourrait donc donner un coup de fouet aux entreprises qui souhaitent migrer vers un OpenStack de classe entreprise comme le propose l’éditeur américain.

    Les hyperscalers en embuscade

    Le rachat de VMware par Broadcom ne profitera-t-il finalement pas aux grands acteurs du cloud public comme Azure, AWS et GCP ? On peut effectivement se poser la question car VMware a historiquement facilité la création de clouds privés dans les entreprises mais a aussi démocratisé une multitude d’opérateurs de clouds publics et hybrides, tous représentant aussi des petits concurrents à ces hyperscalers. Depuis le rachat, la politique menée par Broadcom va dans le sens inverse en se concentrant uniquement sur les plus gros clients et ne semble pas vouloir conserver ce marché des plus petits acteurs. Un signe qui pourrait ainsi encourager cette typologie d’entreprises à délaisser ou à externaliser leur infrastructure VMware vers le cloud public de l’un de ces trois grands acteurs, tout trois étant aussi des partenaires de VMware.

    Source : lemondeinformatique.fr

  • 2 Votes
    5 Posts
    59 Views

    @michmich yaura peut être une petite partie mais pas la puce complete

  • 4 Votes
    15 Posts
    207 Views

    @Psyckofox c’est le but de le revendre, surtout qu’un tel nombre ça doit valoir beaucoup

  • 2 Votes
    1 Posts
    27 Views

    Pour ses 10 ans, Tuta(nota) s’offre l’une des mises à jour les plus importantes de l’histoire de son service de courrier électronique avec TutaCrypt. L’air de rien, cela fait de Tuta Mail le premier fournisseur de messagerie électronique au monde capable de protéger les courriels contre les attaques d’ordinateurs quantiques.

    TutaCrypt est un protocole dit post-quantique qui, selon l’éditeur allemand, sécurisera les courriels à l’aide d’un protocole hybride combinant des algorithmes de pointe à sécurité quantique et des algorithmes traditionnels (AES/RSA).

    Tuta activera par défaut le chiffrement à sécurité quantique pour tous les nouveaux comptes Tuta Mail. Le nouveau protocole sera progressivement déployé pour tous les utilisateurs actuels de Tuta. Les nouveaux utilisateurs de Tuta n’ont donc aucune mesure à prendre, mais doivent mettre à jour la dernière version des applications Tuta pour les algorithmes post-quantiques afin de protéger leurs courriels, leurs calendriers et leurs contacts.

    Les partenaires du projet PQDrive de l’université de Wuppertal en Allemagne ont audité la nouveauté. Et ils n’ont pas constaté de problèmes de sécurité avec le protocole TutaCrypt.

    Nous sommes en train d’améliorer le protocole en collaboration avec l’université de Wuppertal et, à long terme, nous visons à mettre en œuvre le protocole PQMail complet afin d’obtenir la Perfect Forward Secrecy et la Future Secrecy en tant que propriétés de sécurité supplémentaires.

    Comme Tuta Mail est un projet open source, vous pouvez également jeter un coup d’œil à l’intégration du protocole sur le dépôt GitHub officiel de l’entreprise. Pour bien comprendre le protocole, rendez-vous sur le blog de Tuta, dans ce long article.

    – Source:

    https://goodtech.info/ce-quil-faut-savoir-sur-le-protocole-open-source-tutacrypt/

    –> ça va permettre de faire découvrir tuta(nota) et tutamail à certains

  • 1 Votes
    1 Posts
    31 Views

    Un chercheur en sécurité a identifié un nouveau logiciel malveillant destructeur de données, nommé AcidPour, et qui cible les équipements réseau ainsi que des appareils avec un système Linux. Voici ce que l’on sait sur cette menace.

    AcidPour, qui est considéré comme une variante du malware AcidRain, est, ce que l’on appelle un “data wiper”, c’est-à-dire un malware dont l’unique but est de détruire les données présentes sur l’appareil infecté. Autrement dit, le malware AcidPour est destiné à effectuer des actes de sabotages. D’ailleurs, AcidRain a été utilisé dans le cadre d’une cyberattaque contre le fournisseur de communications par satellite Viasat, ce qui avait eu un impact important sur la disponibilité des services en Ukraine et en Europe.

    Le malware AcidPour quant à lui, a été identifié par Tom Hegel, chercheur en sécurité chez SentinelLabs, et il a été téléchargé depuis l’Ukraine le 16 mars 2024. Il présente plusieurs similitudes avec AcidRain, notamment au sein des chemins pris pour cible sur les machines infectées. Néanmoins, les deux malwares ont uniquement 30% de code source en commun. AcidPour pourrait être une variante beaucoup plus évoluée et puissante qu’AcidRain, grâce à la “prise en charge” de la destruction de données sur une plus grande variété d’appareils.

    AcidPour est un malware destructeur de données capable de s’attaquer à des équipements réseau, notamment des routeurs, mais aussi des appareils avec une distribution Linux embarquée (Linux x86). Par exemple, il pourrait s’agir de cibler des NAS dont le système est basé sur Linux, car le malware s’intéresse aux chemins de type "/dev/dm-XX.

    Sur X (ex-Twitter), Rob Joyce, directeur de la cybersécurité de la NSA, affiche une certaine inquiétude vis-à-vis de ce logiciel malveillant :

    Il s’agit d’une menace à surveiller. Mon inquiétude est d’autant plus grande que cette variante est plus puissante que la variante AcidRain et qu’elle couvre davantage de types de matériel et de systèmes d’exploitation.

    Enfin, sachez que SentinelLabs a partagé un échantillon de ce malware sur VirusTotal, et vous pouvez le retrouver sur cette page publique.

    – Sources :

    https://www.bleepingcomputer.com/news/security/new-acidpour-data-wiper-targets-linux-x86-network-devices/

    https://www.it-connect.fr/acidpour-un-malware-destructeur-de-donnees-qui-cible-linux-et-les-equipements-reseau/

  • 1 Votes
    7 Posts
    148 Views

    Petite précision supplémentaire cette app (Proton Mail) est extrêmement gourmande en Mo. Si vous avez une connection Internet moyenne oubliez, elle met des plombes à se charger !

    b25441b0-6a58-416e-b611-24a81b6ebb87-Live Long & Prosper.jpg

  • 1 Votes
    2 Posts
    66 Views

    Et une de plus une

    Bon pour le moment c’est IBM qui sait comment faire c’est pas dans la nature