Dans un communiqué, Giovanni Buttarelli tente de mettre les points sur les « i » concernant le projet de règlement ePrivacy, censé combler les lacunes du Règlement général sur la protection des données (RGPD).

Le prémisse : le RGPD, appliqué depuis mai, protège les données des Européens mais ne garantit pas la confidentialité de leurs communications, notamment des métadonnées. Ce sera le rôle d'ePrivacy, d'abord censé arriver en mai dernier avec le RGPD, puis repoussé. Certains l'espèrent encore en novembre.

Surtout, selon Buttarelli, le RGPD ne suffit pas pour modifier le modèle économique dominant, celui de la surveillance.

« Un vaste écosystème s'est développé ces dernières années, financé par la publicité, pour exploiter [les métadonnées de conversations] sans réel consentement » estime le spécialiste. Ces entreprises seraient dans une zone grise qu'il s'agit d'éclaircir.

D'autant que « les fonctions utilisées illégalement par les attaquants [derrière les énormes fuites de données de ces dernières années] étaient souvent fournies pour des usages présumés légaux à des brokers et agrégateurs de données ».

ePrivacy doit aussi éviter que les services de communication (comme les réseaux sociaux) ne puissent esquiver le consentement explicite à l'exploitation des données.

« Si les règles d'ePrivacy ne s'appliquent pas à tous les fournisseurs de communications électroniques, ces fournisseurs peuvent arguer qu'ils n'ont pas besoin de demander la permission des individus pour utiliser leurs informations les plus intimes » écrit Buttarelli.

Il craint d'ailleurs qu'ePrivacy ne soit utilisé pour abaisser le niveau de protection fourni par le RGPD.

Il combat aussi l'argument selon lequel le règlement renforcerait la position dominante des géants de la publicité (comprendre Facebook et Google), fondée sur les données personnelles. Pour le contrôleur, un consentement ciblé pour chaque utilisation de données est nécessaire, ce qui ne fournirait pas d'avantage aux plus gros acteurs. Tout consentement global au traitement n'a pas de valeur, martèle-t-il.

Samedi, à 16h54, Free-reseau publiait un message sur Twitter annonçant la fermeture de son site. Géré et administré par des bénévoles (indépendant d'Iliad), il permet d'avoir un état des lieux des DSLAM du fournisseur d'accès à Internet.

Une information précieuse alors que la communication officielle de l'opérateur en cas d'incident est presque inexistante. Nous avions pour rappel étudié la question en 2014 et elle n'a depuis pas changé pour Free (Mobile).

L'auteur du message détaille la principale raison de cette fermeture abrupte :

« Notre trublion souhaite récupérer le nom de domaine "Free-reseau.fr". Ayant reçu une mise en demeure ce jour, je n'ai pas d'autre choix que leur céder. La raison pour résumer : le nom de domaine est trop proche de la marque Free. Ce n'est pas nouveau mais ce n'est pas faux ! Le site se retrouve amputé de son nom tout simplement. Ne sachant pas si ce problème de nom est la raison fondamentale de leur demande, il est très peu probable que Free-reseau renaisse de ses cendres sous un autre nom ».

Sont également évoqués le manque de temps, « une certaine lassitude » et le passage progressif en IPV6 qui engendrerait de toute façon « la fin du site à moyen terme ». Bref, « l'histoire se termine, c'est tout. La vie continue » dit l'auteur en guise de conclusion.

Une fin définitive ? Pas vraiment puisque trois heures plus tard un nouveau message était mis en ligne : « Bon, je dois vous dire que cette histoire prend une tournure inattendue. Je viens d'échanger des mails avec Xavier Niel et il s'avère que c'est une erreur, le site peut continuer d'exister sous cette forme. Du coup, je peux relancer la machine ».

Effectivement, Free-reseau est de nouveau accessible, à son adresse habituelle.

Sur Twitter, Muzikals explique avoir également reçu une mise en demeure de Free par « le biais d'un avocat parisien » pour le site Ma-freebox.fr. Angélique Gérard (directrice de la relation abonnés) a visiblement demandé des informations supplémentaires. Suite à cet échange, il semblerait que la résolution de ce problème soit en bonne voie.

Microsoft ne semble pas en avoir encore fini avec les problèmes de pertes de données dans son October 2018 Update. Si l’on en croit plusieurs billets dans Reddit, un souci semble exister avec la manière dont le système gère les archives Zip.

Windows supporte le format depuis longtemps, mais la mouture 1809 pourrait avoir un problème spécifique avec le remplacement des fichiers. Selon un commentaire, les conflits de données existantes ne seraient pas remontés à l’utilisateur, le nouveau fichier écrasant l’ancien.

Selon un autre témoignage sur Ask Woody, l’opération peut échouer, là encore sans que l’utilisateur soit averti. D’après un autre, le glisser/déposer vers et depuis une archive Zip serait « cassé », rendant imprévisible le résultat de ces manipulations.

Les commentaires vont dans la même direction, mais plusieurs autres indiquent n’avoir pas rencontré de problème. Il semble bien toutefois que la fonction Zip fasse des siennes, mais Microsoft n’a pas encore répondu.

On ne sait donc pas si cet éventuel souci sera pris en charge dans la révision d’une October 2018 Update qui n’en aurait donc pas encore fini avec les réparations. Notez qu'il s'agit bien ici de la fonction Zip intégrée. Si vous utilisez un programme tiers, la question ne se pose pas.

Rappelons que la mise à jour majeure est actuellement bloquée. Elle a provoqué chez une minorité d’utilisateurs (0,01 %) des pertes de données et autres difficultés. Difficile de faire pire, Microsoft ayant le malheur d'enchaîner deux évolutions problématiques de son système, avec l’érosion de la confiance que cela suppose.

Difficile de vanter les mérites d’un « système en tant que service » si le fonctionnement local impose à ce point sa réalité à l’utilisateur. L’éditeur a un besoin crucial de Windows Update, composant névralgique, et la mécanique des mises à jour d’une fiabilité à toute épreuve.

La désinformation se déverse sur les réseaux sociaux, à l'approche du second tour de l'élection présidentielle au Brésil, le 28 octobre, selon le New York Times et Reuters. Des millions de messages seraient diffusés, et la lutte difficile.

Le NYT prend l'exemple d'une photo diffusée sur WhatsApp, donnant les mauvais numéros de candidat. Elle associait le numéro 17 au candidat Luiz Inácio Lula da Silva. En fait, ce numéro est celui du candidat d'extrême-droite Jair Bolsonaro. Da Silva n'était même plus dans la course à ce moment.

La messagerie instantanée, propriété de Facebook, poserait deux problèmes : la diffusion de messages dans des groupes d'au plus 256 personnes (donnant un sentiment d'intimité) et le chiffrement de bout en bout des discussions, empêchant tout contrôle automatique.

44 % des électeurs brésiliens seraient utilisateurs de WhatsApp, en partie grâce à des forfaits téléphoniques dédiés à Facebook et au service. Son impact serait le plus important de tous les réseaux sociaux dans le pays.

Les autorités préviennent depuis des mois de tentatives de manipulation. Il y a quelques jours, le journal Folha de São Paulo a révélé le plan d'entreprises d'investir des millions de dollars pour envoyer des messages texte, qui seraient destinés à tromper les électeurs. WhatsApp assure que la manoeuvre est illégale et qu'il compte attaquer et bannir les entreprises responsables.

Le Brésil fait figure de test pour le dispositif anti-désinformation électoral de Facebook, attendu de pied ferme pour l'élection américaine de mi-mandat, début novembre.

La société a fait de sa war room une véritable attraction touristique pour journalistes. Elle est devenue le symbole de ses efforts contre les « fake news », inexistants lors de l'élection présidentielle fin 2016.

Toutes les semaines, elle annonce une nouvelle brique à sa lutte contre ces messages, dernièrement en visant ceux trompant les internautes sur les méthodes de vote.

Facebook assure que ses efforts paient, en brandissant plusieurs études récentes qui montrent un recul de la diffusion de « fake news ». Cela comprend un article des Décodeurs du Monde, qui note un recul de sites marqués comme peu fiables.

La société a aussi étudié le cas d'une vidéo détournée, accompagnée d'un message islamophobe sur des réseaux sociaux

Enfin, le Journalism Project de Facebook s'associe à Storiful pour entraîner des journalistes à distinguer les vrais messages d'internautes de ceux contrefaits.

« Comme les empreintes digitales, aucune imprimante 3D n’est exactement la même ». C'est la conclusion à laquelle sont arrivés six chercheurs de plusieurs universités, dont quatre de Buffalo. Ils ont baptisé leur découverte PrinTracker.

Ils expliquent que « le modèle de l’imprimante, le filament, la taille de la buse et d’autres facteurs provoquent de légères imperfections dans les motifs ». Par exemple, lors de l'impression d'un objet, les motifs peuvent varier de 5 à 10 % par rapport au plan original et, comme avec les empreintes digitales, « ces motifs sont uniques et reproductibles ».

Afin de tester PrinTracker, les scientifiques ont imprimé cinq porte-clés sur 14 imprimantes 3D différentes (dix FDM et quatre SLA). Ils ont ensuite créé des images numériques de chaque objet et comparé le résultat avec une base de données des empreintes de chaque imprimante 3D. Une correspondance entre l'imprimante et le porte-clés a pu être établie dans 99,8 % des cas.

Un des chercheurs, Wenyao Xu, affirme que « PrinTracker est un moyen efficace, robuste et fiable permettant aux forces de l'ordre, ainsi qu'aux entreprises soucieuses de protéger leur propriété intellectuelle, de retracer l'origine des produits imprimés en 3D ». La technique pourrait par exemple s'appliquer pour retrouver ou prouver l'origine d'une arme imprimée.

Après le contournement, lui aussi simple, des protections de libSSH, c'est au tour de ce module populaire de faire parler de lui, et pas dans le bon sens.

Le CERT-FR explique que cette brèche « permet à un attaquant de provoquer une exécution de code arbitraire à distance et un contournement de la politique de sécurité ». Sont concernées toutes les versions antérieures à la 9.22.1 de jQuery File Upload exécutées sur un serveur Apache supérieur à 2.3.9 avec une configuration par défaut (AllowOverride None).

En effet, le support de .htaccess a alors été désactivé explique le développeur. « Sans la configuration dans le fichier .htaccess, autoriser l'upload de tous les types de fichiers permet l'exécution de code à distance ». La mise à jour 9.22.1 limite les types de fichiers aux seules images avec l'extension gif, jpeg et png.

Si vous êtes concerné, « appliquez le correctif dans les plus brefs délais car du code d'attaque est publiquement disponible et cette vulnérabilité est activement exploitée » exhorte le CERT-FR.

Cette vulnérabilité serait activement exploitée depuis trois ans selon le chercheur à l'origine de sa découverte, interviewé par ZDNet.com. Sachez également que, même si la faille est corrigée dans le module de Blueimp, ce projet a été forké plus de 7 800 fois, laissant de nombreux autres modules (et application l'intégrant) vulnérables.

La diffusion d’une vidéo sur laquelle on voit un lycéen menacer une professeure, arme (finalement factice) à la main, a suscité de nombreuses réactions durant le week-end.

Comme le rapporte BFMTV, les faits auraient eu lieu jeudi dernier, à la fin d’un cours, au lycée Édouard Branly de Créteil : « Alors que la professeure est assise face à son ordinateur en train de travailler, Lassana, 16 ans, s'approche d'elle et brandit une arme en sa direction en lui demandant de le noter "absent", puis "présent", réalisant son erreur, alors que lui et plusieurs de ses camarades n'avaient pas assisté au cours. »

Emmanuel Macron a notamment jugé ces faits « inacceptables ». Le président a en outre demandé à ses ministres de l’Intérieur et de l’Éducation de prendre « toutes les mesures » pour que ceux-ci « soient punis et définitivement proscrits de nos écoles ».

Hier, dans un communiqué commun, Christophe Castaner et Jean-Michel Blanquer expliquaient que deux personnes avaient été placées en garde à vue « dès vendredi » par les policiers du Val-de-Marne, « dans le but de faire toute la lumière sur ces agissements ». L’enquête se poursuit.

« Dès la semaine prochaine », un « comité stratégique » devrait se réunir « afin d'arrêter un plan d'actions ambitieux, visant à mettre un terme à de tels comportements ».

Interrogé par Le Parisien, le ministre de l’Éducation a déclaré que cet événement montrait « à quel point » la majorité avait « eu raison de systématiser l’interdiction du téléphone à l’école et au collège ». « À Créteil, on peut se demander si les faits n’ont pas été accomplis pour être filmés et diffusés », a poursuivi Jean-Michel Blanquer. Ce dernier a d’ailleurs encouragé les lycées à interdire les portables, faculté rappelée par la récente loi du 3 août 2018.

OpenBSD est désormais disponible en version 6.4. Contrairement à d’autres systèmes gardant les « versions à point » comme des moutures d’entretien pour rassembler les mises à jour déjà disponibles, la nouvelle OpenBSD fait le plein de nouveautés.

Comme souvent, une bonne partie d’entre elles concerne le support matériel. Le système embarque ainsi de nouveaux pilotes pour de nombreux composants, notamment les GPU AMD, des puces réseau, le VIA VX900 ou encore l’ACPI pour la plateforme amd64.

OpenBSD 6.4 introduit également plusieurs nouvelles mesures de sécurité, dont la plus visible est la coupure de toutes les fonctions liées à l’enregistrement audio. Partant du principe que le système n’est pas destiné au grand public mais surtout à des serveurs, autant désactiver tout micro potentiellement présent. Le paramètre peut être réactivé via le kernel flag KERN_AUDIO_RECORD.

Plusieurs contre-mesures ont aussi été intégrées contre des failles de sécurité, notamment Retpoline de Google contre les attaques utilisant Spectre V2 (processeurs Intel). SpectreRSB, L1TF, Lazy FPU et Meltdown reçoivent également des techniques de protection, selon les plateformes matérielles.

• Liste des nouveautés d’OpenBSD 6.4
• Télécharger OpenBSD 6.4

Le ministère américain de la Justice a inculpé Elena Khousainova et n'y va pas avec le dos de la cuillère, comme le rapporte Les Echos : « L'objectif stratégique de ce complot présumé, qui se poursuit encore aujourd'hui, est de semer la discorde dans le système politique américain et de saper la confiance en nos institutions démocratiques ».

Dans la plainte, la ressortissante russe est présentée comme la directrice comptable du « projet Lakhta » financé par le russe Evgueni Viktorovitch Prigojine, qui serait proche de Poutine.

But de la manœuvre : créer « des milliers de comptes qui semblaient être gérés par des Américains, et les ont utilisés pour créer et amplifier un contenu destiné à un public américain ». « Entre 2016 et juin 2018, le budget de fonctionnement du projet Lakhta était de plus de 35 millions de dollars, même si une partie seulement de ces fonds était destinée aux États-Unis » affirme le département de la justice. Entre janvier et juin 2018, le budget aurait été de 10 millions de dollars, laissant planer des inquiétudes pour les élections de mi-mandat du mois prochain.

« Nous prenons très au sérieux toutes les menaces qui pèsent sur notre démocratie et nous nous engageons à travailler avec nos partenaires pour identifier et mettre un terme à ces opérations d'influence illégales » affirme Christopher Wray, directeur du FBI.

Les liens entre les navigateurs et services de VPN se renforcent. L'idée n'est pas tant une intégration qu'une mise en avant organisée par des sociétés qui partagent les mêmes valeurs sur la protection des données.

Il ne devrait pour le moment s'agir que d'un test sur quelques utilisateurs américains, comme le rapporte GHacks. Mais il pourrait être perçu par certains comme une opération publicitaire, ce qui devrait suffire à de premières levées de boucliers.

Surtout que cela fait suite à une autre initiative : les raccourcis de recherche. Ils mettent en avant Amazon et Google dans la page principale de Firefox outre-Atlantique, afin d'inciter les utilisateurs à effectuer une recherche directement via ces services.

Ils peuvent bien entendu être retirés ou modifiés, d'autres moteurs pouvant être ajoutés. Mozilla précise que cela participe à son modèle économique, et donc à son existence. Un argument qui n'a pas toujours suffit dès lors qu'il s'agit de partenariats commerciaux, surtout avec de grandes plateformes américaines, pas toujours respectueuses de nos données.

Il faudra donc voir si ces initiatives seront confirmées, étendues au reste du monde ou rapidement annulées.

Maintenant qu’Ubuntu 18.10 est disponible, Canonical révèle de nombreuses statistiques sur la version précédente, la 18.04 LTS. Rappelons que le système embarque un outil télémétrique, activé manifestement sur 66 % des machines, ce dont l’éditeur se félicite.

Les statistiques ressemblent finalement à celles déjà vues sur le matériel. Par exemple, 98 % des machines sont d’architecture amd64 et le serveur d’affichage X11 est utilisé dans 99 % des cas. 93 % des utilisateurs ont un seul écran et 94 % un seul GPU.

Côté processeurs, c’est là encore classique : 63 % ont entre un et trois cœurs (Canonical parle de « CPUs »), 27 % entre quatre et six, et seulement 7 % ont davantage. La mémoire vive témoigne de configurations souvent modestes : 51 % ont entre 1 et 4 Go de RAM

Côté définitions, on ne sera pas étonné : 28 % ont du 1920 x 1080 et 25 % du 1366 x 768, très courant sur les portables d’entrée de gamme et vieux modèles. Petite surprise quand même : 11 % tout de même ont du 800 x 600.

Canonical sait également si les installations sur des machines physiques ou virtuelles, même si ces données ne semblent pas assez fiables pour être chiffrés. On voit sur le graphique que les installations physiques sont beaucoup plus nombreuses néanmoins.

L’un des points les plus intéressants sans doute pour l’éditeur reste la proportion des installations neuves. Elle est écrasante : 80 % des utilisateurs choisissent de repartir d’une base vierge. 20% de mises à jour est un score faible, et on ignore les motivations. Pour Canonical, ce pourrait être simplement lié à l’impatience ou, plus problématique, à des soucis de fiabilité dans les mises à jour.

• Lire le rapport complet de Canonical sur Ubuntu 18.04