Options Mon compte Next INpact
Affichage
Modifications sauvegardées
  • Smileys
  • Images
  • Commentaires par actu
  • Commentaires sous les news
  • Désactiver la version mobile
  • Taille de police
Close

Vous consultez la version mobile de ce contenu.

Cliquez ici pour être redirigé vers la version complète, ou attendez 5 secondes. Fermez ce pop-up pour continuer sur la version mobile.

5
secondes

Le chercheur Tavis Ormandy, connu pour être un actif participant du Project Zero de Google, avait découvert en septembre des problèmes de sécurité dans l’application Options de Logitech, qui permet de personnaliser le comportement des claviers et souris maison.

Cette personnalisation se faisait via l’ouverture d’un serveur WebSocket local très mal protégé, acceptant des commandes potentiellement dangereuses, démarrant automatiquement avec le PC et ne fournissant qu’un système d’authentification décrit comme « apathique », presque inexistant.

Le chercheur dit avoir rencontré les équipes de Logitech le 18 septembre pour leur exposer les différents problèmes. Le constructeur aurait bien pris note et compris ses erreurs. Mais en octobre, la nouvelle version d’Options ne contenait aucun correctif.

S’agissant du Project Zero, Logitech avait 90 jours pour corriger le tir après découverte des failles. Ce délai écoulé, Tavis Ormandy a publié les détails de ses découvertes… provoquant une réaction de Logitech en moins de 48 heures.

Le constructeur a en effet publié la version 7.00.564 d’Options. Il confirme sur Twitter qu’elle corrige bien les soucis soulevés par le chercheur. Sur Twitter, certains notent qu’ils n’étaient donc pas si longs à réparer, soulignant le délai total de réaction.

Dommage une nouvelle fois qu’une entreprise, avertie depuis deux mois, ne réagisse à un problème de sécurité qu’après en avoir été exposée aux détails de manière publique.


Chargement des commentaires
À découvrir dans #LeBrief

Comme prévu, la version Mac de l’application To-Do a été mise en ligne dans l’App Store de macOS, après une semaine de « précommande » qui n’en était pas. Le bouton permettait simplement de réserver le téléchargement, qui se déclenchait alors automatiquement.

To-Do est pour rappel l’application de tâches de Microsoft, bâtie pour reprendre les fonctions de Wunderlist, que la firme avait rachetée. Les données sont synchronisées entre les versions, le client existant maintenant sur presque toutes les plateformes : Windows, macOS, Android, iOS et web.

L’application prend en charge les comptes multiples, synchronise les tâches avec Outlook, permet d’attacher des notes et des pièces jointes (jusqu’à 25 Mo) aux tâches, gère les étapes et les échéances, peut colorer les tâches, supporte les partages avec les contacts et affiche une vue « Ma journée » pour résumer ce qui reste à faire.

To-Do est gratuite et pèse un peu moins de 13 Mo. Notez que Wunderlist n’a pour l’instant aucune date de départ en retraite annoncée. Microsoft a confirmé plusieurs fois que l’application n’irait nulle part tant qu’elle ne serait pas certaine d’une parité fonctionnelle entre les deux.

Dans le cas présent, l'entropie peut être définie comme le niveau d'imprédictibilité d'un nombre aléatoire. En effet, il faut distinguer nombre aléatoire et nombre aléatoire… car ce n'est pas si évident d'avoir un nombre véritablement aléatoire.

CloudFlare, par exemple, utilise toute une panoplie de lampes à lave et une caméra servant d'entrée à un générateur de nombres pseudo-aléatoires. L'université du Chili utilise des mesures sismiques, etc. Chacun y va de sa sauce maison pour arriver au résultat souhaité.

Partant du principe qu'un mélange de nombres aléatoires est toujours plus aléatoire qu'un seul nombre, League of Entropy mélange cinq sources (Cloudflare, École polytechnique fédérale de Lausanne, Université du Chili, Kudelski Security et Protocol Labs) pour produire un résultat. La ligue est ouverte et de nouveaux membres peuvent venir rejoindre les rangs pour encore renforcer le caractère aléatoire et limiter le risque de dépendance à une poignée de sources.

Le nombre ainsi généré est affiché sur le site avec une mise à jour toutes les 60 secondes. Pourquoi 60 secondes ? « Sans raison particulière » affirme CloudFlare. Vous pouvez voir l'ensemble des précédents résultats, mais pas en choisir un au hasard.

La génération de clés de chiffrement repose sur l'utilisation de grands nombres aléatoires. Mais attention, les résultats affichés par la League of Entropy ne vous serviront à rien dans le cas présent : « les utilisateurs ne doivent PAS utiliser ces nombres générés aléatoirement pour leurs clés secrètes », car ils sont accessibles à tout le monde.

Pour autant, obtenir de vrais nombres générés aléatoirement et disponibles publiquement est très utile. Par exemple pour les élections lorsqu'il faut sélectionner au hasard des bureaux de vote, pour les tirages au sort, etc. Des détails sont donnés dans ce billet de blog. Des détails plus techniques sont également disponibles par ici.

La ligue utilise Drand (disponible sur GitHub, licence MIT) pour générer les nombres aléatoires annoncés publiquement, mais il est aussi possible d'utiliser un ou plusieurs nœuds de la ligue pour obtenir un nombre privé. De la documentation est disponible par ici.

Les développeurs peuvent télécharger depuis hier soir les bêtas 2 de toutes les nouvelles plateformes présentées lors de la WWDC, y compris iPadOS dont les nouveautés suivent celles d’iOS 13.

On note quelques apports dans ces préversions, mais les testeurs seront surtout ravis d’apprendre que des profils spécifiques ont été mis en ligne contrairement à la première bêta, il n’est donc pas nécessaire pour un iPhone ou un iPad de télécharger le système complet et d’exécuter l’opération depuis un Mac avec Xcode 11 bêta ou Catalina.

Quelques nouveautés font leur apparition. Par exemple, Fichiers affiche désormais les partages réseaux SMB dans iOS 13 et iPadOS, suivant les promesses d’Apple de rendre l’application plus utile. Quelques nouveaux gestes avec les doigts apparaissent pour les Memojis (V de la victoire, doigts croisés…), Safari peut désactiver l’aperçu des liens et tvOS 13 a enfin son mode picture-in-picture.

Il s’agit pour l’instant de préversions réservées aux développeurs. Elles corrigent de nombreux bugs mais en contiennent encore beaucoup, avec des incompatibilités pour certaines applications, qui ne se lancent plus. Les bêtas publiques, qui devraient être plus fiables, sont attendues pour le mois prochain.

Les députés examineront cet après-midi une proposition de résolution « relative à la couverture numérique du territoire ». Ce texte (PDF), dépourvu de toute valeur contraignante, plaide notamment pour une « accélération du déploiement de la fibre optique », afin que la France soit totalement couverte « au plus tard d’ici 2025, conformément aux objectifs adoptés par la Commission européenne ».

Christine Dalloz (LR), à l’origine de cette initiative, invite en outre le gouvernement à « évaluer l’efficacité » du plan France Très Haut Débit.

Les discussions ne devraient pas débuter avant 17 heures. Elles pourront être suivies en direct ou en replay sur le portail vidéo de l’Assemblée nationale (voir ici).

Un contrat entre l'Agence spatiale européenne (ESA) et Arianespace a été signé à l'occasion du salon du Bourget.

Il s'agit de la première mission « lourde » du programme Cosmic Vision 2015–2025. « Juice consacrera au moins trois ans à l'observation détaillée de la planète géante gazeuse Jupiter, de trois de ses plus grandes lunes et de ses satellites potentiellement océaniques Ganymède, Europe et Callisto ».

La fenêtre de lancement s'ouvrira mi--2022 à bord d'une fusée Ariane 5 ou 64 (voir notre article) en fonction des disponibilités. Le satellite aura une masse au décollage de six tonnes. Après 7,5 années de voyage, une assistance gravitationnelle de la Terre, Vénus et Mars, la sonde entrera en orbite autour de Jupiter.