12,90 € TTC
p. 04 Le Module du moment : Décodeur DTMF
p. 06 Motoriser une antenne directionnelle avec un ESP8266
p. 28 Une carte pilote de LED RGB hackée en kit de développement FPGA à bas coût
p. 66 Facilitez le déploiement de vos Raspberry Pi en créant vos propres images préconfigurées
p. 84 Fonctionnement d’un téléphone mobile sous l’eau
p. 92 MiSTer : La solution rétro ultime ?
p. 112 Simulation d’un ordinateur mécanique en scriptant sous FreeCAD
« Alerte de sécurité critique »
Voilà qui a de quoi effrayer et c’est clairement l’objectif. Je dis bien « effrayer » et non « sensibiliser », car, « Quelqu’un vient d’utiliser votre mot de passe pour essayer de se connecter à votre compte à partir d’une application n’appartenant pas à Google » (notez avec quelle condescendance il est précisé qu’il s’agit de « quelqu’un » et non de vous. On n’accuse pas un client).
Malheureux ! Rendez-vous compte de ce que vous venez de tenter de faire : utiliser une application ne provenant pas de Mountain View, « ce qui rend votre compte plus vulnérable »... Mais, heureusement pour votre propre sécurité, car soyons honnêtes, vous et moi sommes bien trop stupides pour savoir ce que nous faisons, Google dans sa grande mansuétude « a bloqué l’application que vous essayiez d’utiliser » et vous aura sauvé, in extremis, de votre dangereuse inconscience.
À l’origine du problème ? Une tentative d’accès aux services Gmail/Gsuite, via SSL/TLS, en SMTP avec Mutt par exemple, ou même simplement un accès IMAP (également par SSL/TLS) depuis un client mail sur mobile, différent de celui validé par les hautes instances de la firme. Bien sûr, il est possible d’activer une option pour permettre ces accès « malgré les risques encourus », mais ce n’est pas tant le mécanisme qui est « douteux » que le message sous-entendu : ne vous écartez pas du droit chemin, nous c’est la sécurité, ailleurs c’est le risque, le tout teinté du paternaliste « c’est pour votre bien ».
Mais voyez-vous, à mon sens, c’est précisément à force d’infantiliser les utilisateurs qu’ils finissent par se comporter comme des enfants insouciants, car persuadés d’être protégés de tout. Ce qui n’est guère rassurant pour l’avenir...
Note : vous remarquez l’absence d’article sur la programmation 6502/NES ici. Pas d’inquiétude cependant, David marque une petite pause, mais reviendra dès le prochain numéro.
Denis Bodor
Né en 2014, Hackable est un bimestriel destiné aux professionnels et particuliers souhaitant découvrir et progresser dans les domaines de l’électronique numérique et de l’embarqué. Il fournit un contenu riche orienté vers une audience désireuse de bénéficier d'une veille technologique différente et résolument pratique. Le contenu du magazine est conçu de manière à permettre une mise en pratique directe des connaissances acquises et apprendre tout en faisant.

Thématique privilégiée pour la réalisation de démonstrations techniques à des fins promotionnelles, le MouseJacking n’en demeure pas moins un vecteur crédible pour l’obtention d’un accès initial dans le cadre d’un exercice Red Team. Nous vous proposons un retour d’expérience d’une telle opération en espérant vous convaincre de l’intérêt à porter à ces techniques.
Le Bluetooth Low Energy (BLE) s'est imposé comme le protocole de référence pour les communications sans fil à faible consommation, équipant aujourd'hui des milliards de dispositifs IoT. Malgré ses mécanismes de sécurité intégrés, de nombreuses vulnérabilités persistent, exposant les utilisateurs à des risques significatifs. Ce document présente une analyse approfondie de l'architecture protocolaire BLE et de ses faiblesses sécuritaires documentées dans la littérature scientifique.
Ces derniers temps, on ne parle que d'IA (enfin, on parle de LLM, ou Large Language Model, mais c'est moins vendeur). Les marchés financiers en raffolent et, corollaire évident, les entreprises se démènent pour en ajouter là où elles peuvent. Évidemment, le revers de la médaille de cette course effrénée est l'ajout encore peu maîtrisé de fonctionnalités riches pouvant introduire des vecteurs de compromission au sein d'applications sensibles. Le but de cet article est donc de faire un retour à travers mes audits ainsi que sur l’état de l’art, établi suite aux publications de l’OWASP, afin de déterminer le risque pour une entreprise qui souhaite ajouter de l’IA sous la forme d’un chatbot.