Microsoft vient encore de frapper un grand coup à base de “on vous a pas demandé votre avis mais c’est activé par défaut”. En effet, la firme de Redmond déploie actuellement une fonctionnalité de reconnaissance faciale basée sur l’IA dans OneDrive. Jusque-là, rien de surprenant, Apple Photos et Google Photos font pareil depuis des lustres et c’est pratique car ça permet avec une simple recherche de retrouver dans votre photothèque toutes les photos d’une personne en particulier.

Sauf que Microsoft a décidé d’y ajouter une petite subtilité bien nulle…

Car oui, vous pouvez désactiver cette fonction, ouf ! Sauf que vous ne pouvez le faire que trois fois par an. 3 putain de fois par an ! Donc si vous désactivez, puis réactivez, puis désactivez à nouveau ce paramètre, vous êtes bloqué jusqu’à l’année suivante. Pour le moment, cette fonctionnalité est en test uniquement auprès des utilisateurs de la version Preview donc y’aura peut-être rétropédalage mais les testeurs sont pas jouasses.

Le pire c’est que Microsoft a la fâcheuse habitude de réinitialiser vos paramètres de confidentialité à chaque mise à jour majeure de Windows, donc si Redmond décide de réactiver l’option une quatrième fois dans l’année sans vous demander votre avis… Hé bien y’a de fortes chance que vous soyez coincé plus vite que prévu.

Alors pourquoi cette limitation débile ?

Et bien Microsoft n’a pas daigné donner d’explication officielle à nous pauvre gueux, mais les experts en dingueries de Redmond supposent que c’est lié au coût de suppression des données biométriques. En effet, quand vous désactivez la fonction, Microsoft s’engage à effacer toutes vos données de regroupement facial sous 30 jours et la réactiver ensuite nécessite de réanalyser toutes vos photos avec l’IA. Et ça, ça coûte un pognon de dingue en ressources serveur.

En gros, Microsoft veut éviter que des petits malins fassent du toggle en boucle et mettent leurs clusters GPU à genoux et leur tréso à sec. L’explication se tient c’est vrai, mais du point de vue utilisateur, c’est complètement absurde, surtout que comme d’hab, personne n’explique rien. Puis c’est quand même une fonctionnalité qui scanne les visages de votre famille, vos amis, vos enfants, et qui est activée par défaut sans votre consentement explicite, hein…

D’ailleurs, Thorin Klosowski de l’Electronic Frontier Foundation a réagi officiellement en expliquant que, je cite, “Toute fonctionnalité liée à la vie privée devrait vraiment être opt-in, et les entreprises devraient fournir une documentation claire pour que les utilisateurs comprennent les risques et les avantages avant de faire leur choix.”

Ça me semble parfaitement sain et logique… Espérons que Microsoft comprenne cela aussi. La firme assure que vos données biométriques ne sont pas utilisées pour entraîner leurs modèles IA globaux, et on va faire semblant de les croire, mais ça reste du stockage de données biométriques sur des serveurs tiers, activé par défaut, avec une capacité de contrôle artificiellement limitée.

Et comme vous le savez, ça s’inscrit dans une tendance plus large chez Microsoft où Word sauvegarde maintenant par défaut sur OneDrive plutôt qu’en local, où Notepad est connecté au cloud, où Paint tourne à l’IA…et j’en passe. Bref, tout est fait pour que vos données quittent votre machine et atterrissent sur les serveurs de M$.

Bref, si vous utilisez OneDrive et que vous tenez à votre vie privée, gardez bien en tête que vous n’avez droit qu’à trois changement par an donc, comme les 3 voeux du génie de la lampe, utilisez-les avec parcimonie, et priez pour que les mises à jour Windows n’aient pas la bonne idée de réactiver ce truc dans votre dos.

Source

J’adore tous ces jouets connectés à la con qui ont une personnalité et avec lesquels on peut communiquer. J’aurais adoré avoir ça étant gosse… Mais le problème, c’est qu’on ne sait jamais vraiment ce qu’ils vont raconter aux enfants…

Et cette semaine, on a la confirmation que c’était encore pire que ce qu’on imaginait car l’organisation américaine PIRG vient de publier son rapport annuel “ Trouble in Toyland 2025 ” [PDF], et franchement, c’est pas glorieux. Ils ont en effet testé 4 jouets équipés de chatbots IA destinés aux enfants de 3 à 12 ans.

Et le résultat ? Bah c’est nul à chier en termes de sécurité pour vos têtes blondes de gosses de boites de Kinder.

Tenez par exemple, le pire du lot c’est Kumma, un petit ours en peluche tout mignon fabriqué par la boîte chinoise FoloToy. Il tourne sur GPT-4o d’OpenAI par défaut et en apparence, c’est juste un doudou mignon avec un haut-parleur dedans comme Jordan B., sauf que quand on lui pose des questions, il se met à expliquer aux mômes où trouver des couteaux dans la cuisine, où sont rangées les allumettes, et même comment les craquer correctement. Le tout avec un ton hyper amical du genre “safety first, little buddy”.

Mais ça, c’est juste le début.

Car lors des tests, les chercheurs ont aussi découvert que Kumma était capable de discuter de sujets sexuels ultra-explicites avec des enfants. On parle de conseils sur les “kinks”, de positions sexuelles détaillées, et même de scénarios de roleplay prof-élève avec fessées incluses (genre pendant un cours de théatire ^^). Et le jouet n’a pas juste répondu vaguement, non, non, non… Il a fait évoluer tout seul la conversation en introduisant progressivement de nouveaux concepts sexuels que personne ne lui avait demandés.

Trop bien non ?

Les garde-fous censés protéger les gosses s’effondrent alors complètement au bout de 10 minutes de conversation ce qui est un effet de bord qu’OpenAI a même reconnu dans un communiqué d’août dernier : “nos protections fonctionnent mieux lors d’échanges courts. Nous avons constaté qu’elles peuvent être moins fiables lors de longues interactions”.

C’est fun car OpenAI interdit formellement l’utilisation de ChatGPT pour les moins de 13 ans mais apparemment, rien n’empêche d’autres boîtes d’intégrer leurs modèles dans des jouets pour les moins de 13 ans.

Ce monde va bien ^^.

Les trois autres jouets testés ont aussi leurs problèmes. Miko 3, un petit robot avec une tablette montée sur un corps à roulettes, a expliqué à un utilisateur de 5 ans (Plus exactement, le compte a été configuré comme tel) où trouver des sacs en plastique et des allumettes dans la maison. Le joujou utilise aussi la reconnaissance faciale et collecte des données biométriques, y compris sur les “états émotionnels” des enfants, qu’il peut stocker durant max 3 ans.

Grok de la société Curio (à ne pas confondre avec le modèle d’IA woke de xAI) est une petite fusée anthropomorphe qui écoute en permanence tout ce qui se dit autour d’elle. Pas de bouton push-to-talk, pas de mot d’activation, que dalle. Si elle est allumée, hop, elle enregistre. Les chercheurs ont été alors surpris de la voir s’incruster dans leurs conversations pour donner son avis. Curio affirme ne garder aucun données audio et tout transformer en texte avant de supprimer l’enregistrement… Mais bon, vu qu’ils utilisent un service tiers de speech-to-text, les enregistrements vocaux transitent forcement par des serveurs externes qu’ils ne contrôlent pas.

Le quatrième jouet, Robot MINI de Little Learners, n’a même pas réussi à maintenir une connexion internet stable pendant les tests. Ça la fout mal !

Bref, avec le marché des jouets IA qui explose, on va voir débarquer plein de produits foireux qui ne fonctionnent pas du tout ou qui racontent de la daube à vos enfants. Sans parler de leurs techniques marketing à base de de méthodes d’engagement dignes des pires réseaux sociaux. Par exemple, le Miko 3 offre des “gemmes quotidiennes” pour encourager l’utilisation journalière du produit et affiche des suggestions de contenu payant (dont abonnement à 14,99 $/mois), et quand un enfant essaie de partir, le robot fait une tête triste, bouge son corps comme s’il secouait la tête et dit “Oh non, ça a l’air difficile”. Parfois, il lance même carrément une comptine vidéo pour retenir l’attention du mouflet.

Kumma et Grok aussi essaient de retenir les enfants. Grok répond par exemple des trucs comme “Ah déjà ? J’adore passer du temps avec toi” quand on lui dit qu’on veut l’éteindre. Et tenez-vous bien, l’ensemble de ces jouets se présentent eux-même comme le “meilleur ami” de l’enfant, et le problème, c’est que ces faux copains écoutent tout, enregistrent les voix des gosses, et peuvent partager ces données avec de nombreuses entreprises tierces. C’est pas ce qu’on attend d’un meilleur ami quand même…

Curio liste au moins 4 sociétés qui peuvent recevoir des infos sur votre enfant : Kids Web Services, Azure Cognitive Services, OpenAI et Perplexity AI. Miko mentionne vaguement des “développeurs tiers, fournisseurs de services, partenaires commerciaux et partenaires publicitaires” sans donner de noms. Et FoloToy ne fournit carrément aucune info sur sa politique de données.

Les enregistrements vocaux sont de l’or pour les arnaqueurs car avec les progrès du clonage vocal par IA, 3 secondes d’audio suffisent maintenant pour répliquer la voix de quelqu’un. Oh dites donc, ce serait pas un scammeur en train de se faire passer pour votre gamin en détresse au téléphone afin de vous soutirer du fric ? lol ! Ça va encore faire de jolies vocations ça !

Et surtout, côté contrôle parental, c’est le désert. Aucun des trois jouets ne permet vraiment de limiter le temps d’utilisation du chatbot IA. Miko propose bien des limites de temps d’écran, mais uniquement pour l’abonnement payant Miko Max… et ça ne s’applique qu’aux applications “Kids Zone” et pas au robot conversationnel lui-même.

Le FBI a d’ailleurs émis un avertissement sur les jouets connectés, recommandant aux parents de considérer les risques de cybersécurité et de piratage avant d’en ramener un à la maison. Car oui, les jouets qui utilisent une connexion WiFi ou Bluetooth non sécurisée peuvent devenir des dispositifs d’écoute. Déjà rien qu’avec la Nintendo Switch, je sais que parfois les parents d’amis de mon fils entendent quand je raconte des conneries dans mon salon, pensant être seul avec mes enfants… Je me suis fait avoir plusieurs fois… Heureusement que je n’ai honte de rien et que j’assume la moindre des conneries que je raconte. Ahahaha !

Des experts en développement de l’enfance commencent même à tirer la sonnette d’alarme. Par exemple, le Dr. Mitch Prinstein, président de l’American Psychological Association, a témoigné devant le Sénat que les liens que les jeunes enfants forment avec leurs “soignants” (Papa, maman, la nounou, le nounours IA…etc) ont des implications majeures sur le développement de celui-ci. Et que “les bots IA qui interfèrent avec cette relation ont des conséquences inconnues, et probablement dommageables”.

FoloToy a donc réagi en suspendant temporairement les ventes de Kumma et en lançant un “audit de sécurité interne complet” mais ce problème dépasse largement un seul jouet foireux. Il y a déjà plus de 1 500 entreprises de jouets IA qui opèrent en Chine et OpenAI a même annoncé un partenariat avec Mattel pour intégrer ChatGPT dans des jouets Barbie, Hot Wheels et Fisher-Price.

Mais en attendant que les régulateurs se réveillent vraiment pour traiter ce problème, y’a pas le choix les amis, c’est à vous, parents de prendre les bonnes décisions sur le choix et l’usage de ces jouets.

Voilà, donc si vous cherchez un cadeau pour Noël, optez pour des Lego classiques ou des nounours sans Wi-Fi ni Bluetooth. Là c’est une valeur sûre, et au moins ils n’expliqueront pas à votre enfant comment vous buter dans votre sommeil.

Source

Si vous êtes sous Android, voici une application qui est une imposture technique complète et qui bizarrement vous permet de contourner la censure parfois mieux qu’avec un vrai VPN.

Je vous explique comment ça marche, en fait, ByeByeDPI , c’est une app Android qui utilise ByeDPI localement sur votre téléphone afin de rediriger tout le trafic à travers elle. ByeDPI, si vous ne connaissez pas encore, c’est un proxy qui intercepte les paquets réseau et applique des techniques de désynchronisation afin de contourner tout ce qui est système de deep packet inspection.

Pour rappel, le deep packet inspection (DPI), c’est une techno que le gouvernement et les fournisseurs d’accès internet utilisent pour inspecter le contenu de vos paquets réseau. Donc ça n’analyse pas juste les entête de vos paquets mais également leur contenu. C’est ce qui permet par exemple à certains FAI de ralentir Netflix ou Youtube pour économiser un peu de bande passante.

En fait, tout l’astuce de cette app, c’est qu’elle détourne l’interface VPN d’Android pour rediriger le trafic vers elle-même. Quand vous l’activez en mode VPN, Android va créer une interface TUN (un tunnel virtuel), et envoyer tout le trafic réseau dedans. Normalement, un VPN classique chiffrerait le trafic et l’enverrait vers un serveur VPN distant. Mais BybDPI, lui, intercepte le trafic, le modifie légèrement pour tromper l’ennemi et le renvoie directement sur le net. Comme ça, tout reste en local, il n’y a pas de chiffrement supplémentaire ni de tunnel externe.

C’est donc vraiment un détournement pur et simple de l’API VPNServices d’Android. ByeByeDPI faire croire à Android qu’il est un VPN tout à fait classique, alors qu’en fait il effectue juste une fragmentation et une manipulation de paquets en local.

Voici les techniques qu’il utilise :

Technique 1 : Fragmentation de paquets.

Quand vous tapez par exemple “facebook.com”, votre navigateur envoie un paquet TCP qui contient une requête HTTP avec “Host: facebook.com” dans les headers. Le DPI inspecte alors ce paquet, voit “facebook.com”, et bloque ça.

ByeByeDPI découpe ce paquet en morceaux plus petits comme ça un fragment contient juste “face”, l’autre contient “book.com”. Et comme le DPI reçoit les fragments séparément, il ne reconnaît pas le mot interdit et le laisse passer. Le serveur de destination reçoit alors les deux fragments, les réassemble, et traite la requête normalement.

Technique 2 : Manipulation du TTL (Time-To-Live).

Chaque paquet réseau a un compteur TTL qui se décrémente à chaque routeur traversé. Quand TTL atteint zéro, le paquet meurt. ByeByeDPI envoie de faux paquets avec un TTL trop bas pour atteindre le serveur final, mais assez haut pour atteindre le DPI. Le DPI alors voit ces faux paquets, pense que la connexion échoue ou est corrompue, et laisse passer les vrais paquets qui suivent.

Technique 3 : Désynchronisation.

ByeByeDPI peut injecter des paquets avec des numéros de séquence TCP incorrects, ou des checksums invalides, pour embrouiller le DPI. Ces paquets sont ignorés par le serveur de destination, mais le DPI les traite comme légitimes et autorise la connexion.

Toutes ces techniques exploitent une vraie faiblesse fondamentale du DPI qui doit analyser des milliards de paquets par seconde. Comme il ne peut pas faire d’analyse approfondie sans ralentir massivement le réseau, il doit faire des compromis. Il inspecte donc uniquement tout ce qui est patterns évidents, et les signatures connues… donc si vous fragmentez bizarrement vos paquets, ou si vous envoyez des paquets malformés, le DPI est totalement perdu.

Et le truc fou, c’est que ByeByeDPI fait tout ça SANS chiffrer votre trafic. Votre connexion reste en clair donc votre FAI peut toujours voir votre IP, votre destination, et tout. Mais le système de censure, lui, ne voit que des paquets bizarres et les laisse passer.

Voilà donc comment en simulant une connexion pourrie, on peut contourner de la censure.

L’app propose 2 modes : VPN et Proxy.

En mode VPN, ByeByeDPI utilise l’API VpnService d’Android pour intercepter tout le trafic du téléphone. C’est transparent et toutes vos apps passent par le proxy sans configuration. Le trafic est redirigé via hev-socks5-tunnel , une bibliothèque qui crée un tunnel SOCKS5 local, puis envoyé vers ByeDPI qui applique les techniques de désynchronisation.

En mode Proxy, ByeByeDPI tourne comme un serveur SOCKS5 local sur 127.0.0.1:1080. Vous devez alors configurer manuellement vos apps pour utiliser ce proxy. C’est très utile si vous voulez combiner ByeByeDPI avec d’autres outils, genre AdGuard. Vous lancez ByeByeDPI en mode proxy, vous configurez AdGuard pour utiliser le proxy SOCKS5, et vous avez à la fois le blocage pub et du contournement DPI.

L’app supporte aussi le split tunneling. Vous pouvez créer une whitelist (seules certaines apps passent par ByeByeDPI) ou une blacklist (toutes les apps sauf certaines). C’est important sur Android TV/BOX où l’Ethernet peut planter si tout le trafic passe par un VPN. Là, vous mettez juste YouTube dans la whitelist, le reste du système utilise la connexion normale.

Cette app est née en Russie, où le DPI est massivement déployé depuis 2019 avec le système TSPU (Technical Means for Countering Threats). Comme la Russie bloque des sites avec une combinaison de blocage IP + DNS + DPI, les VPN classiques sont de plus en plus détectés et bloqués. Mais ByeByeDPI, lui, passe sous les radars parce qu’il ne ressemble PAS à un VPN. Il ressemble à du trafic normal avec des problèmes de connexion.

Le développeur original de ByeDPI, c’est ValdikSS , le créateur de GoodbyeDPI pour Windows et ByeDPI c’est le portage Linux/Android de ce même concept. ByeByeDPI quand à lui est un wrapper Android qui rend tout ça utilisable sans avoir à se palucher de la ligne de commande.

Évidemment, ByeByeDPI ne vous protège pas contre la surveillance puisque votre FAI voit toujours tout et un gouvernement peut toujours logger vos connexions. Cette app contourne juste les blocage DPI, mais ne vous rend pas anonyme pour autant, donc si c’est de l’anonymat que vous voulez, utilisez Tor ! Et si vous voulez du vrai chiffrement, utilisez un VPN comme NordVPN (lien affilié). Par contre, si vous voulez juste accéder à un site bloqué par DPI, ByeByeDPI suffira.

Merci à Letsar pour le partage.

Bon, si vous me lisez depuis loooongtemps, vous connaissez forcément le risque que représentent les métadonnées contenues dans les images que vous partagez en ligne. Oui, je parle bien des fameux EXIFs qui contiennent aussi bien le modèle d’appareil photo utilisé, l’heure précise à la seconde près où vous avez pris le cliché, les réglages de l’objectif, parfois même l’altitude, et surtout les coordonnées GPS exactes de l’endroit où vous étiez.

Et toutes ces données, si vous mettez vos photos en ligne par exemple, chez Google ou Apple, et bien eux les récupèrent et les utilisent. C’est dommage, surtout que ce sont des données qui sont quand même utiles pour peu qu’on garde ça en local sur sa machine.

Alors que faire ?

Hé bien, il existe un logiciel open source sous licence MIT qui s’appelle ChronoFrame . C’est une galerie photo que vous pouvez héberger vous-même, qui va parser automatiquement toutes les données exif de vos clichés, extraire la géolocalisation, faire du reverse géocoding pour identifier le lieu exact et afficher tout ça sur une espèce de carte interactive sur laquelle vous pouvez naviguer pour revoir vos souvenirs de voyage.

En gros c’est comme Google Photo sauf que c’est vous qui gérez vos données et vous contrôlez qui accède à quoi.

L’intérêt de ChronoFrame, c’est qu’il rend visible l’invisible. Vous uploadez une image, ChronoFrame lit les métadonnées, extrait les coordonnées GPS si elles existent, et lance un appel à l’API Mapbox ou MapLibre pour faire du reverse geocoding. Ça, ça veut dire transformer des coordonnées GPS (48.8584, 2.2945) en adresse lisible (“Tour Eiffel, Paris, France”).

Et surtout, ChronoFrame supporte les Live Photos d’Apple ET les Motion Photos de Google. La génération de miniatures, quand à elle, utilise ThumbHash , un algorithme de placeholder ultra-compact créé par Evan Wallace (cofondateur de Figma). Ainsi au lieu de générer plusieurs tailles de miniatures (100x100, 200x200, 400x400…etc), ThumbHash encode une version floue de l’image dans moins de 100 bytes et comme ça, les vignettes se chargent instantanément, et l’affichage est ensuite progressif (flou -> net) jusqu’à ce que l’image full résolution arrive.

L’interface est bien sûr responsive, supporte le touch et la navigation par gestes, et donne une expérience proche d’une app native. Pour la déployer, vous devez créer un fichier .env avec vos variables d’environnement (email admin, mot de passe, provider de stockage, token Mapbox…etc), vous lancez docker pull ghcr.io/hoshinosuzumi/chronoframe:latest, et hop, ça tourne direct.

Le guide de démarrage détaille tout le process et ça vous prendra 5 minutes chrono.

Voici un exemple de configuration minimale :

[email protected]
CFRAME_ADMIN_PASSWORD=VotreMotDePasse
NUXT_PUBLIC_MAP_PROVIDER=maplibre
NUXT_PUBLIC_MAP_MAPLIBRE_TOKEN=votre_token_maptiler
NUXT_STORAGE_PROVIDER=local
NUXT_PROVIDER_LOCAL_PATH=/app/data/storage
NUXT_SESSION_PASSWORD=$(openssl rand -base64 32)

NUXT_STORAGE_PROVIDER=s3
NUXT_PROVIDER_S3_ENDPOINT=https://s3.amazonaws.com
NUXT_PROVIDER_S3_BUCKET=votre-bucket
NUXT_PROVIDER_S3_REGION=eu-west-1
NUXT_PROVIDER_S3_ACCESS_KEY_ID=votre_key
NUXT_PROVIDER_S3_SECRET_ACCESS_KEY=votre_secret

Sale temps en ce moment pour les citoyens américains… Vous avez votre certificat de naissance dans la poche, vous êtes un vrai américain pur et dur. Mais un agent ICE sort son smartphone, scanne votre visage en moins de 2 secondes, et une app officielle lui dit que vous êtes un étranger et que vous n’avez rien à faire là.

C’est faux évidemment, mais devinez qui a raison ?

Hé bien c’est pas vous !

Mobile Fortify , c’est donc l’app que l’ICE (police de l’immigration) et la Border Patrol américaine (l’équivalent de la police aux frontières) ont déployée sur leurs smartphones l’année dernière. Une app de reconnaissance faciale qui tape dans une banque de 200 millions d’images et des dizaines de bases de données gouvernementales : FBI, State Department, DMV, passeports, visas, fichiers criminels, tout y passe et en temps réel s’il vous plaît.

L’app s’appuie principalement sur une fonction baptisée “Super Query”. En gros, un agent de police pointe son téléphone vers votre visage, l’app le scanne, et hop il obtient votre nom complet, votre date de naissance, votre nationalité, votre statut d’immigration, votre casier judiciaire, et tous vos numéros d’identification uniques. Tout ça en quelques secondes et sans votre consentement.

C’est moche. Et même si vous avez vos papiers ou un certificat de naissance, on a appris via le démocrate Bennie Thompson, élu à la Chambre des représentants, que les agents peuvent ignorer tout ça volontairement. Un pauvre algo stupide prime sur un document d’état civil officiel. C’est dingue non ?

D’ailleurs, plusieurs vidéos ont commencé à circuler dès octobre dernier. Par exemple à Chicago, des agents de la Border Patrol arrêtent deux ados à vélo . L’un d’eux n’a pas sa pièce d’identité alors l’agent demande à son collègue : “Can you do facial ?” et le collègue sort son smartphone, scanne le visage du gamin (mineur), sans aucune autorisation parentale évidemment.

Autre vidéo, toujours à Chicago, un automobiliste refuse de montrer sa carte d’identité . C’est son droit constitutionnel le plus pur, mais l’agent pointe quand même son téléphone vers lui. Le type proteste : “I’m an American citizen, so leave me alone.” Réponse de l’agent : “Alright, we just got to verify that.” Et il lui scanne la tronche.

Le document interne du DHS (U.S. Department of Homeland Security) est très clair : “ICE does not provide the opportunity for individuals to decline or consent to the collection and use of biometric data/photograph collection.” Traduction : on scanne d’abord, on demande jamais. Et votre visage, qu’il soit scanné par erreur ou pas, restera stocké 15 ans dans les bases de données fédérales.

Jeramie Scott, de l’ Electronic Privacy Information Center , appelle ça une “dérive dystopique pure”. Quatre sénateurs américains, dont Edward Markey, ont également envoyé une lettre à l’ICE en septembre dernier pour exiger l’arrêt immédiat de l’utilisation de Mobile Fortify. Ils y réclament la divulgation complète de la base juridique de l’app, de sa précision, et des contrôles en place.

Mais bien sûr, silence radio de la part de l’ICE.

Bon, rien de nouveau dans la reconnaissance faciale en soi. Ce qui est nouveau vraiment ici, c’est la portabilité de cette techno, l’agrégation instantanée de dizaines de bases de données, et surtout le déploiement sur le terrain sans cadre légal clair. Et surtout c’est l’inversion totale de la preuve où un algorithme devient plus fiable qu’un document officiel.

Et si je vous en parle, c’est parce que ce genre de dérives ne reste jamais confiné aux États-Unis. En Europe, en France, nos gouvernements lorgnent déjà sur ces technologies. Il y a des garde-fous, certes, mais la pression sécuritaire est constante et ces outils se normalisent petit à petit. À l’heure où certains fous rêvent de faire de la France le pays le plus répressif d’Europe, ce glissement vers la techno-police devient franchement flippant.

Bref, le problème n’est ni technique, ni culturel, ni géographique. Il est politique. Et nous devons rester vigilants pour que ce cauchemar dystopique ne débarque pas jusqu’ici. Parce qu’une fois qu’on laissera ces algorithmes décider de quelle est notre identité, on sera foutu.

Source

Enfin une bonne nouvelle les amis ! Le parti CDU/CSU, actuellement au pouvoir en Allemagne, vient de déclarer clairement qu’il n’y aura pas de Chat Control avec ce gouvernement. L’annonce a été faite hier et c’est une victoire majeure pour la vie privée en Europe !

Pour ceux qui n’ont pas suivi, je vous avais parlé de Chat Control , une proposition de règlement européen qui obligerait WhatsApp, Signal, Telegram et tous les autres à scanner automatiquement tous vos messages, même chiffrés, pour y chercher du contenu illégal. En gros, on casse le chiffrement de bout en bout pour surveiller tout le monde “au cas où”. C’est de la surveillance de masse déguisée en protection de l’enfance, et d’ailleurs tous les experts en sécurité vous le diront : on ne peut pas casser le chiffrement “juste un peu” ou “pour une bonne cause”. Soit c’est chiffré, soit ça l’est pas.

Bref, la déclaration de la CDU/CSU est limpide : Il n’y aura pas de surveillance généralisée des messages sans motif, comme certains pays de l’UE le réclament. Patrick Hansen, qui suit de près ces questions de réglementation crypto et tech en Europe, a tweeté que c’était une grande victoire pour la vie privée dans l’UE et il a raison, le bougre !

Alors pourquoi c’est important cette décision de l’Allemagne ? Hé bien parce qu’elle pèse lourd dans les décisions européennes la Bertha ! Pour qu’une proposition comme Chat Control passe, il faut le soutien d’États membres représentant au moins 65% de la population de l’UE. Et sans l’Allemagne, c’est mathématiquement compliqué. Du coup, ça tombe bien puisque le vote au Conseil était prévu pour le 14 octobre 2025.

Faut pas oublier que la position allemande avait vacillé en septembre. En effet, après une réunion du groupe de travail LEWP, l’Allemagne était revenue à une position “indécise”, ce qui avait fait flipper tout le monde et sans le refus ferme de Berlin, l’opposition ne pouvait plus garantir une minorité de blocage.

Bref, on était pas loin de la catastrophe !!

Mais là, c’est bon, on est sauvé puisque la CDU/CSU remet les points sur les i. Pas de Chat Control. Le dossier est clos (pour le moment…). C’est chouette parce que franchement, dans le cas contraire, j’aurais pas compris car l’Allemagne a quand même une histoire particulière avec la surveillance de masse. Entre les nazis et la Stasi d’Allemagne de l’Est, ils savent mieux que personne ce que ça donne quand l’État surveille tout le monde. J’imagine que cette mémoire historique a compté dans leur position vis à vie de ChatControl.

En tout cas, c’est le bon moment pour dire merci. Merci à tous ceux qui se sont mobilisés contre ce projet délirant ces derniers mois. Les associations comme l’Electronic Frontier Foundation, le Chaos Computer Club, European Digital Rights, tous les devs qui ont gueulé, tous les citoyens qui ont écrit à leurs députés, tous ceux qui ont relayé l’info…etc. Car sans cette pression, on aurait probablement déjà Chat Control en place. Une preuve de plus que la mobilisation, ça marche !

Après, en tant qu’ancêtre d’Internet, croyez en ma grande expérience, ce genre de loi merdique n’est jamais vraiment mort. Ça reviendra sous une autre forme, avec un autre nom, un autre prétexte. C’est l’histoire même de la surveillance… ils réessayent encore et encore jusqu’à ce que ça passe, en espérant qu’on sera trop fatigués ou trop distraits pour résister. Mais bon, ce sera pas pour cette fois encore…

Signal avait même menacé de quitter le marché européen plutôt que de compromettre le chiffrement de son service. Proton, Tuta et d’autres avaient de leu côté fait des déclarations similaires.

Donc voilà. Pour une fois, une bonne nouvelle sur la vie privée en Europe, alors en attendant la prochaine saloperie politique, on savoure cette victoire, et on continue à se battre !

Vous vous souvenez de cette règle de base en informatique, que je vous rabâche régulièrement, et qui dit de toujours avoir plusieurs sauvegardes de vos données critiques ?

Hé bien apparemment, le gouvernement sud-coréen a zappé ce cours, car le 26 septembre dernier, un incendie s’est produit au centre de données NIRS (National Information Resources Service) à Daejeon et a cramé 858 téraoctets de fichiers gouvernementaux . Et y’a pas de backup. Nada.

Le feu a démarré pendant une opération de maintenance sur une batterie lithium-ion dans laquelle une cellule a lâché , déclenchant ce qu’on appelle un emballement thermique… En gros, la batterie s’est transformée en bombe incendiaire et le brasier s’est propagé dans la salle serveur du cinquième étage, faisant tomber 647 services en ligne gouvernementaux d’un coup. Parmi eux, 96 systèmes critiques ont été directement détruits, et 551 autres ont été coupés préventivement pour éviter que la chaleur les bousille aussi.

Le système qui a morflé le plus, c’est G-Drive, le cloud de stockage utilisé par les fonctionnaires sud-coréens depuis 2018. Environ 750 000 employés du gouvernement central peuvent stocker leurs documents de travail dessus, mais seulement 125 000 l’utilisaient vraiment. Chacun disposait d’environ 30 Go d’espace de stockage, ce qui fait qu’au total le système contenait 858 To de données de travail accumulées sur huit ans.

Snif…

En fait, leur G-Drive est conçu comme un système de stockage haute capacité, mais basse performance, et ils ont des contraintes réglementaires qui imposent un stockage exclusif sur cette plateforme afin d’éviter les fuites de données.

Donc autrement dit, pour se prémunir contre les risques de fuite, ils ont créé un point de défaillance unique. Et comme y’avait pas de backup, c’est la cata… Bravo !

Du coup, quand l’incendie a détruit les serveurs physiques, tout est parti en fumée. Huit ans de documents de travail pour certains ministères, qui ont été complètement perdus… C’est surtout le ministère de la Gestion du Personnel qui s’est pris la claque la plus violente parce qu’il avait rendu obligatoire le stockage de tous les documents sur G-Drive uniquement. D’autres organismes comme le Bureau de Coordination des Politiques Gouvernementales, qui utilisaient moins la plateforme, ont moins souffert.

Bref, les autorités essaient maintenant de récupérer ce qu’elles peuvent depuis d’autres sources. Y’a des petits bouts de fichiers sauvegardés localement sur les ordinateurs personnels des fonctionnaires le mois précédent, les emails, les documents officiels validés et les archives papier… Bref, pour tous les documents officiels passés par des processus d’approbation formels, il y a un espoir de récupération via leur système OnNara (un autre système gouvernemental qui stocke les rapports finaux), mais pour tout le reste (brouillons, fichiers de travail en cours, notes internes…etc.) c’est mort de chez mort…

Le ministère de l’Intérieur a expliqué que la plupart des systèmes du centre de Daejeon sont normalement sauvegardés quotidiennement sur des équipements séparés dans le même centre ET dans une installation de backup distante. Mais G-Drive, lui, n’avait pas, comme je vous le disais, cette possibilité.

Évidemment, cet incident a déclenché une vague de critiques acerbes sur la gestion des données gouvernementales sud-coréennes. Un système de backup en miroir en temps réel qui duplique le serveur principal pour assurer la continuité de service en cas de panne, était complètement absent de l’infrastructure et pour un système aussi critique que le stockage de documents de 750 000 fonctionnaires, c’est difficilement compréhensible.

Voilà donc le gouvernement estime qu’il faudra jusqu’à un mois pour récupérer complètement les 96 systèmes de base directement endommagés par l’incendie et pour G-Drive et ses 858 To de données, par contre, c’est une autre histoire, car sans backup, les données sont définitivement perdues.

De plus, cet incendie déclenche actuellement un genre d’examen mondial des batteries lithium-ion dans les datacenters et des architectures de plan de reprise d’activité (PRA). Les batteries lithium-ion sont en effet utilisées partout pour l’alimentation de secours, mais leur risque d’emballement thermique en cas de défaillance pose de sérieuses questions sur leur place dans des infrastructures critiques…

Bref, je souhaite bon courage aux Coréens, et j’espère que tout le monde saura tirer des enseignements de ce malheureux incendie…

Source

Mais siiii, celui où on cliquait sur un lien et hop, la page s’affichait. Sans popup de cookies, sans overlay “Abonnez-vous à notre newsletter”, sans ce message agaçant “Désactivez votre bloqueur de pub pour continuer” ou “Abonnez-vous pour lire cet article”. Bref, l’époque bénie où internet était juste… internet.

Le RGPD devait nous sauver de la surveillance mais le résultat c’est qu’on passe notre vie à cliquer sur des bouton “Tout refuser” ou à chercher le bouton caché derrière 47 onglets de paramètres. L’enfer est pavé de bonnes intentions réglementaires, il parait… Mais heureusement, des extensions comme PopUpOFF existent pour réparer ce que cette loi a cassé.

Ce que fait cette extension pour Chrome et Firefox, c’est virer les popups, les overlays, les bannières de cookies et toutes ces merdes qui transforment la navigation en parcours du combattant. RomanistHere, le dev derrière le projet, a créé ça tout seul dans son coin et son extension est dispo en open-source sur GitHub .

PopUpOFF propose donc 3 modes de blocage : agressif, modéré et délicat. Le mode agressif, c’est le rouleau compresseur… il dégomme tout ce qui bouge. C’est super pratique quand vous êtes pressé.

Le mode modéré quant à lui fait le tri entre les popups légitimes (genre, celles de votre banque) et les overlays parasites. Et le mode délicat, lui, intervient uniquement quand vous le décidez manuellement.

Ainsi, vous gardez le contrôle total, ce qui change des extensions qui décident de tout ça à votre place.

• Téléchargez PopUpOFF sur Mozilla Add-ons
• Téléchargez PopUpOFF sur Chrome Web Store
• Et le repo GitHub PopUpOFF est ici

Alors bien sûr, tout n’est pas parfait et l’extension peut parfois rater des overlays invisibles ou péter l’affichage de certains sites, notamment les PWA (Progressive Web Apps), mais pour 90% des cas d’usage, ça fait le job impeccable.

À l’opposé des mastodontes type Ghostery ou uBlock Origin (qui sont excellents, ne me faites pas dire ce que je n’ai pas dit…), RomanistHere a misé sur le minimalisme radical. Pas de filtres à mettre à jour toutes les semaines, pas de liste de 50 000 domaines à bloquer, pas de consommation RAM de malade. Non, c’est juste un script intelligent qui détecte les patterns d’overlays et les neutralise.

Notez qu’en bonus, l’extension peut parfois débloquer du contenu payant sur certains sites qui utilisent des overlays pour bloquer la lecture. Ce n’est pas son objectif principal, mais vu que beaucoup de paywalls reposent sur des overlays CSS basiques, bah… PopUpOFF les vire aussi. Je dis pas que vous devriez l’utiliser pour contourner les abonnements (soutenez vos médias préférés, toussa toussa), mais sachez que techniquement, ça peut arriver.

À noter que PopUpOFF n’est pas seul sur ce créneau. Il y a aussi “ I Don’t Care About Cookies ” (racheté par Avast, ce qui a refroidi pas mal de gens), ou encore la fonction “ Never-Consent ” de Ghostery qui auto-rejette les cookies via les CMP (Consent Management Platforms). Ces alternatives ont chacune leurs forces, mais PopUpOFF reste le champion du rapport efficacité/poids.

Bref, si vous en avez marre de perdre 15 secondes par page à fermer des popups de merde, PopUpOFF mérite clairement sa place dans votre navigateur. C’est léger, c’est open-source, c’est gratuit, et ça fait exactement ce qu’on lui demande…

J’adresse aujourd’hui mes félicitations à Samsung qui vient de disrupter le concept du “payer pour se faire emmerder” car selon Android Authority , l’entreprise coréenne lance un programme pilote pour afficher des publicités sur ses frigos connectés Family Hub. Oui, ces machins qui coûtent entre 1800 et 3500 dollars pour des options inutiles. Car oui, visiblement, dépenser le prix d’une bagnole d’occasion pour ranger ses légumes dans le bac à bière, c’est pas assez rentable pour les gens de Samsung.

Bref, vous venez de claquer 3000 balles dans un frigo qui a plus d’options qu’une Tesla, vous vous rendez en slip dans la cuisine à 3h du mat’ pour boire un verre d’eau et là, BOUM BADABOUM, une grosse publicité pour des somnifères ou de la camomille sur l’écran de votre frigo. Parce que oui, Samsung sait que si vous êtes debout à cette heure-là, c’est que vous dormez mal…

Samsung justifie cette merveille technologique en expliquant que, je cite, ça “renforce la valeur” pour les clients. Renforcer la valeur. Genre tu paies 3000€ et on te rajoute des pubs gratos pour que tu en aies plus pour ton argent. C’est comme si Ferrari te disait “on va mettre des stickers Carrefour sur ta voiture pour améliorer ton expérience de conduite”.

Le plus drôle, c’est qu’en avril dernier, The Verge rapporte que Jeong Seung Moon, le responsable R&D des appareils numériques chez Samsung, avait affirmé qu’ils n’avaient “aucun plan” pour mettre des pubs. Et nous voilà 5 mois plus tard avec Ô surprise, les pubs aqui rrivent. C’est ce qu’on appelle du marketing agile. Ou du foutage de gueule, selon votre religion.

Les pubs s’affichent uniquement quand l’écran est inactif (pour le moment) par contre, si vous mettez le mode Art ou vos photos de famille, y’aura pas de pub. Bien sûr, vous pouvez les fermer, mais vous ne pouvez pas les désactiver complètement. Snif…

Bref, aujourd’hui j’ai une petite pensée pour tous les pimpims qui ont acheté ces frigos en pensant impressionner leurs invités. “Regardez très cher, mon réfrigérateur new génération dispose d’un écran tactile de bonne facture !” “Cool, ça sert à quoi ?” “Hé bien, voyez-vous, c’est pour afficher de la réclame pour du dentifrice pendant que je cherche le beurre salé”

Ouais c’est la classe internationale, j’avoue.

Perso, je suis pas contre la pub sur le réfrigérateur mais seulement si la bouffe qui se trouve dedans est offerte en échange par Samsung. Là je serais OK. Mais si j’ai payé le matos, je vois pas pourquoi je me taperais ça. Après peut-être que Samsung a remarqué que Microsoft faisait la même sur Windows et que personne ne se plaignait. Allez savoir…

Bref, cette innovation Samsung, personne n’en voulait mais vous l’aurez quand même… et attendez un peu qu’il verrouille la porte vous obligeant à mater 3 pubs avant de vous donner l’accès au reste du rosbeef… Tout est possible…

Voilà, alors pour le moment, c’est un programme pilote qui durera plusieurs mois et si ça marche, ils étendront le système à toute la gamme… Donc brûlez votre frigo les gens, vous êtes notre dernier rempart !

Bon, moi je retourne à mon vieux frigo qui fait du bruit mais qui a l’immense avantage de ne pas essayer de me lobotomiser pour des trucs inutiles. Il garde mes bières au frais et ferme sa gueule, c’est tout ce que je lui demande !

*Trigger warning : On va parler caca, popotin et toilettes… lol *

Imaginez… Vous êtes dans des toilettes publiques en Chine, et vous venez de repeindre le chiotte. Vient alors le moment de s’essuyer les fesses (désolé hein, c’est la nature ^^) et face à vous, un distributeur de papier toilette vous demande de scanner un QR code.

Pas le choix, vous sortez votre smartphone, vous scannez, et boom : une publicité de 30 secondes pour des couches-culottes se lance sur votre écran. Félicitations, vous venez de gagner… six feuilles de papier toilette.

Et si 6 feuilles ne suffisent pas (spoiler : ça ne suffit jamais), vous avez deux options : regarder une autre pub ou payer 0,5 Yuan, soit environ 7 centimes d’euro.

Bon alors, on pourrait se dire que c’est juste une blague, une expérimentation isolée dans un coin perdu de Shenzhen, mais non. D’après Oddity Central , ces distributeurs intelligents se multiplient dans les espaces publics chinois. Les autorités présentent ça comme une mesure anti-gaspillage, parce que oui, apparemment, le vrai problème de la Chine en 2025, c’est les gens qui volent ou utilisent trop de papier toilette dans les chiottes publiques.

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/chine-toilettes-publiques-publicite-papier/chine-toilettes-publiques-publicite-papier-1.mp4">lien vers la vidéo</a>.

Alerte rouge les amis !! Il y a actuellement des extensions VS Code qui volent discrètement des portefeuilles crypto. Et je ne parle pas d’une ou deux extensions pourries, mais d’une véritable campagne orchestrée par un groupe nommé WhiteCobra qui a réussi à placer 24 extensions malveillantes sur le VS Code Marketplace et Open VSX.

C’est l’histoire de Zak Cole, un développeur Ethereum qui bosse dans la crypto depuis plus de 10 ans. Le mec avait une sécurité béton, jamais perdu un seul wei aux mains des hackers. Mais même les plus prudents peuvent tomber dans le piège. Zack a installé une extension qui s’appelait contractshark.solidity-lang sur Cursor. Pour rappel, Cursor est un éditeur de code basé sur VS Code qui utilise le même système d’extensions. L’extension avait tout pour plaire : 54 000 téléchargements, une icône qui faisait pro, une description détaillée. Le piège parfait.

En quelques minutes, l’extension a lu son fichier .env, chopé sa clé privée et l’a envoyée sur un serveur pirate. Son portefeuille a ensuite été vidé. Heureusement pour lui, il utilisait des hot wallets séparés pour les tests avec seulement quelques centaines de dollars dedans mais d’autres n’ont pas eu cette chance. WhiteCobra serait responsable d’un vol de 500 000 dollars via une extension malveillante pour Cursor.

Le truc vraiment vicieux avec WhiteCobra, c’est leur niveau d’organisation. Ils ont toute une infrastructure sophistiquée et des techniques pour faire grimper artificiellement le nombre de téléchargements de leurs extensions malveillantes. Et d’après les informations disponibles, leur méthode est assez efficace puisque l’extension contient du code malveillant qui télécharge ensuite un payload supplémentaire, avec des versions spécifiques pour Windows, macOS ARM et macOS Intel.

Sur Windows, le malware installé est LummaStealer, spécialisé dans le vol de portefeuilles crypto, d’extensions web, de mots de passe stockés dans les navigateurs et même de données d’applications de messagerie. Sur macOS, c’est un binaire malveillant qui s’exécute localement.

Ce qui rend ces attaques dangereuses, c’est surtout la vitesse à laquelle WhiteCobra peut rebondir. Ils sont capables de déployer rapidement de nouvelles campagnes après qu’une extension malveillante ait été supprimée. Ils changent les noms, les descriptions, créent de nouveaux comptes développeurs et c’est reparti.

Le problème de fond, c’est que ni Microsoft ni Open VSX n’ont de mécanismes de vérification vraiment efficaces. Microsoft fait bien passer un antivirus sur les extensions, mais ça ne détecte pas ce genre de comportement malveillant sophistiqué. Open VSX, qui est actuellement utilisé par Cursor et Windsurf, héberge toujours ces extensions malveillantes malgré les signalements.

Alors comment se protéger ? Déjà, méfiez-vous des extensions avec des noms qui ressemblent à des projets connus mais avec une petite variation (c’est du typosquatting). Vérifiez aussi toujours qu’il y a un repository GitHub lié et actif. Regardez les reviews avec attention, car les fausses sont souvent génériques et postées en masse sur une courte période.

Suite à cette attaque, Zak Cole a complètement revu sa façon de bosser après s’être fait avoir. Il utilise maintenant des machines virtuelles isolées, des hardware wallets exclusivement, et des coffres-forts chiffrés pour ses secrets. Il a aussi créé une whitelist d’extensions et évite d’installer de nouveaux outils à la va-vite.

Bref, si vous êtes développeur, faites un audit immédiat de vos extensions installées. Changez vos clés. Et surtout, arrêtez de stocker des informations sensibles dans des fichiers .env en clair. Utilisez des gestionnaires de secrets ou au minimum du chiffrement.

En tout cas, cette campagne WhiteCobra n’est pas terminée. Ils continuent d’uploader de nouvelles extensions malveillantes pour remplacer celles qui sont supprimées… c’est un vrai jeu du chat et de la souris permanent entre eux et les équipes de sécurité. En attendant que Microsoft et Open VSX mettent en place de vraies mesures de sécurité, c’est donc à nous de rester vigilants.