la demande n’est justement pas abordée par le délégué en question. ce n’est donc le sujet ni de la com’ originale, ni du blog qui lui répond, ni de l’article qui en parle.
moi je voudrais bien savoir, par exemple, ce que fait le délégué à la transition écologique de la ville de Marseille, localement, dans sa ville, dans les décisions qui sont prises par les instances de la commune et de la communauté urbaine, pour réduire “la demande”. on risque de rire.
il semblerait que nous soyons bien sur un politique qui gesticule. ou intéressé par “l’espace foncier précieux” qui serait la proie des datacenters.
ceci dit encore une fois ça fonctionne: le mec pond sur un coin de table 3 paragraphes par-dessous la jambe, et fleurissent réactions outragées par tant de désinvolture sur les réseaux, articles de blog, articles de presse, et commentaires. ^^
Classer c’est ranger dans un certain ordre (quelque soit cet ordre). Classifier c’est mettre (ou apposer) dans une certaine classe, par exemple pour ce genre de documents “diffusion restreinte” ou “secret défense” (pour m’en tenir à une terminologie française). Donc oui ces documents après traitement et analyse peuvent être déclassifiés, cad être dans une classe de diffusion moins contraignante, et être accessible à un autre public (jusqu’à une publication sur le web, et même dans ce cas ils seraient encore dans une classe de diffusion).
Non plus. et c’est très bien expliqué d’ailleurs dans… l’IGI-1300, dont voici l’extrait concerné:
Déclassement : modification, par abaissement, du niveau de classification d’une information ou d’un support classifié. Déclassification : suppression de la classification d’une information ou d’un support classifié.
les deux sont donc valides concernant des informations classifiées, mais n’ont pas la même signification.
edit: Dans le contexte de l’article, “déclassifié” est donc le terme approprié, au sens “rendre accessible au public”.
Je m’étais posé la même question. Mais j’ai vite relativisé en me disant que si ces noms de domaine n’appartenaient à personne; ils peuvent donc être à n’importe qui les réclament. Et ces derniers deviendraient de fait les destinataires légitimes et auront donc le droit de consulter les prochains emails qui leur parviennent.
Un peu comme si on t’envoyait un courrier postal à ton nom (ou un homonyme), mais à une autre adresse. Et qu’un jour tu déménage à cette adresse. Tu seras le légitime destinataire alors que l’expéditeur s’attend à l’envoyer à une tierce personne.
C’est un cas farfelu juste pour illustrer cet exemple.
Et un cas d’homonymie n’est pas si anodin qu’on croit. Perso, ma compagne avec sa gynécologue qui avait pour patiente une autre dame avec le même nom et prénom de famille. Et la doctoresse n’avait pas tilté que ça allait posé problème de prévoir une opération chirurgicale le même jour dans le même hôpital pour ma compagne et l’autre dame. Heureusement que le personnel de l’hôpital pose systématiquement des question sur la raison et le type d’intervention que doit recevoir un patient. C’est la chose qui a fait tiquer ma compagne; autrement, elle était partie pour une tout autre opération que celle prévue. Sorry pour la digression.
hummm dans les dossiers médicaux (et pas que) l’identifiant d’une personne est nom/prénom/date de naissance, justement pour éviter les homonymes. ce qui n’empêche pas non plus à 100% si les deux ont la même date de naissance, on est d’accord. après si les gens ne lisent que nom + prénom, effectivement ça peut partir en sucette. ^^
le principal problème que je vois est que les gens verront d’autres sources d’information, qui n’ont pas forcément la même déontologie, et sans aucun doute s’en contenteront. dire “on s’en fout c’est juste les cons qui n’iront plus consulter les principaux médias”, si t’as 90% de cons tu vas vite t’en mordre les doigts. si les seuls médias qui restent sur FB, insta et Google c’est breitbart, RT et france soir, vlà la gueule de l’info ingérée par “les gens”.
c’est pas que pour pédophilie, mais aussi “cyberporn” (trop bizarre ce terme). les mecs te font croire qu’ils ont des vidéos de toi en train de te toucher devant du porno, et menacent de tout balancer à tes contacts. j’ai eu ça une fois, je lui ai dit qu’allez, perdu pour perdu, il pouvait balancer tout à mes contacts. quelle ne fut pas ma déception en constatant que mes contacts n’avaient rien reçu…
Contrôlé ou pas, j’ai désinstallé Kaspersky du poste de ma femme (malheureusement sous Windows) peu après le début de la guerre…
on n’est jamais trop prudent, surtout avec des régimes comme celui-là. et puis windows defender c’est très bien.
Le
02/06/2023 à
13h
45
contrôlée? franchement à mon avis c’est beaucoup plus bête. Kaspersky a trouvé une faille 0day assez vilaine, et comme n’importe quelle boite de sécu en France (ou aux US), a prévenu les autorités. les autorités en question ont juste sauté sur l’occasion pour raconter des conneries.
il est même possible que ça soit Kaspersky qui ait signalé la faille à Apple. edit: la 15.7 est toujours d’actualité puisque la dernière MAJ, 15.7.6, date du mois de mai 2023, quand bien même la 16 date de septembre 2022.
Le
02/06/2023 à
13h
39
L’entreprise ne le dit pas clairement, mais laisse entendre que la faille initialement exploitée est corrigée par une version récente du système d’exploitation.
donc on a une réelle exploitation de faille 0day, encore du bon taf de Kaspersky, et le Kremlin qui se base sur un fait réel pour monter ça en sauce complot. le B.A BA de la fake news russe efficace: toujours avoir un peu de réel dans le délire, ça permet de se raccrocher à quelque chose de solide en cas de doute. évidemment, demander à Gégène de différer sa communication pour que ça soit la fake qui soit reprise.
kaspersky: eh les gars on a trouvé une grosse 0day de derrière les fagots! kremlin: wow wow wow attendez les mecs faut qu’on en profite pour taper sur ces tarlouzes occidentales violeurs d’enfants! on reste dans le classique: c’est la méchante NSA qui espionne les gentils russes! FSB: attendez! on peut aussi en profiter pour utiliser nos teubés idiots utiles en occident. suffit de dire que la NSA les espionne aussi! pile poil dans leur biais de confirmation anti-US! hahaha!
merci au FSB, défenseur de la veuve et l’orphelin sur internet.
Pour le coup c’est un poil un faux procès parce que si tu regarde leur étude en question, ils ont essayé de bien couvrir tous les cas avec explications de leurs choix etc (c.f. citation plus haut où ils expliquent la couverture des sites en MD5 qui justifie leur choix de se focaliser dessus), Mais ils ont fait les mêmes tables pour plusieurs algos de hash, et pour plusieurs tables des possibles sur les mots de passes ([a-z] jusqu’à [a-Z-1-9-caracteres spéciaux étendus] )
je suis d’accord. je dis juste qu’ils communiquent sur le MD5 avec un jeu de caractères limité ce qui donne des perfs de crack incroyables. ça leur permet d’être repris et de faire le buzz. d’ailleurs ils ne s’en cachent pas puisqu’ils introduise de cette façon:
The 2023 update to the Hive Systems Password Table that’s been shared across the internet, the news, universities, and by thousands of organizations worldwide. So what’s new, and how did we generate this eye catching table
après ils peuvent toujours en fin d’article sortir des tableaux avec du SHA256 et des exigences de pass de l’ANSSI, il reste que le titre et la com sont calibrés pour faire de l’engagement, et ça fonctionne très bien puisque c’est repris par France Num, elle-même reprise par Checknews (on parle de Libération hein, pas d’un site spécialiste en crypto), qui est lui-même repris ici sur NXI.
c’est juste une démonstration éclatante de la fabrication du buzz et de l’engagement, et tout le monde en profite pour faire son beurre là-dessus avec des titres putàclic: France Num: oh, regardez, Hive Systems dit que les pirates peuvent cracker votre password en 5 minutes! Check News: oh, regardez, France Num dit que Hive Systems dit que des pirates peuvent cracker votre password en 5 minutes! on va regarder si c’est vrai! NXI: oh, regardez, Check News vérifie si l’info produite par Hive Systems partagée par France Num est vraie!
c’est juste énorme. tout ça à partir d’un buzz que Hive justifie un peu comme ils veulent: leur but c’est que les gens parlent d’eux et viennent sur leur site. et ça marche à chaque fois.
Le
16/05/2023 à
07h
54
il va dépenser du fric pour cracker X0000 passwords qu’il va du coup pouvoir revendre plus cher que le même nombre de hash non directement utilisable. c’est rarement la même personne qui hacke, cracke et exploite.
Le
16/05/2023 à
07h
51
ah lala, ces boites de cyber qui produisent des analyses en mousse pour faire le buzz et se faire reprendre dans les médias, et générer les commentaires outrés des geeks… utilisons MD5, franchement plus personne de sérieux n’utilise cet algo mais ça produit des trucs hallucinants en durée de crack et donc ça fait de l’engagement.
ouuuuuuh les méchants vont cracker vos mots de passe en 5 minuuuuutes ouuuuuuuuuh
ça sert absolument à rien mais tout le monde est content, y compris NXI: c’est l’article le plus commenté (et sans doute le plus lu).
cette histoire est assez incroyable, donc je pense qu’on n’a qu’une petite partie des infos. couler une boite (et mettre dans le pétrin les créateurs associés) en quelques jours à cause d’un unique partenaire, c’est hallucinant. se baser sur un unique presta qui détient les joyaux de la couronne, c’est aussi totalement hallucinant.
de mon point de vue c’est pas une question de confiance en l’État, mais dans les institutions de contrôle démocratiques qui permettent de prévenir les dérives et vérifier que l’État ne déroge pas aux lois et à la constitution. le problème c’est qu’on est en France, que les organes de contrôle sont inexistants ou dépendants de l’État, que le parquet est soumis au gouvernement, et que visiblement les FDO ont le champ libre pour crever des yeux en balançant des LBD depuis l’arrière d’un quad en mouvement (par exemple), ou pour coller en GAV pendant 20h des gens qui n’ont rien demandé à personne, comme des mineurs étrangers en voyage scolaire (je pouvais pas ne pas le citer celui-là). donc, en l’absence d’organe de contrôle digne de ce nom, et au vu du renforcement actuel de l’État policier, le seul moyen de s’assurer qu’aucune dérive ne soit possible c’est de ne pas leur mettre dans les mains les techno qui permettront d’asservir tout le monde demain.
à partir du moment où t’as des bandes de mecs casqués, masqués et armés qui font des rafles dans les rues pour enfermer des gamins de manière préventive, accéder à toutes leurs communications et les ficher au FNAEG, tout ça illégalement sur la base de déclarations foireuses destinées à prévenir un délit imaginaire, je considère qu’il existe un léger risque quant à leur refiler un outil de contrôle systémique et massif de la population. à noter qu’une part non négligeable des membres de nos FDO assument leur penchant raciste voire fasciste. en bref, ça pue du cul grave, et c’est pas franchement le genre de pays dans lequel j’ai envie de voir mes gosses grandir.
mais non non, il s’agit juste d’améliorer la sécu. celle de qui, au juste?
Le
03/04/2023 à
09h
21
ragoutoutou a dit:
La confiance doit être méritée, pas exigée. Dans la mesure où le ministre de l’intérieur ment en permanence et où les gardes-fous encadrant l’action des FDO ont tous été défoncés, la confiance est difficile a accorder de nos jours.
La France a de surcroît un historique en terme d’arrestations préventives. on sait tous très bien ce qu’il va se passer quand les FDO auront à dispo de tels outils.
Je l’avais cherché là vendredi et il me semble qu’il n’y était pas quand j’ai posé la question.
Mais, ce n’est pas surprenant. L’accord a eu lieu la veille, peut-être dans la nuit en France. Ce genre de publication doit être un minimum approuvée avant d’être publiée.
S’offusquer à 8 h du matin en cherchant sur les mauvais sites que rien n’a été publié est un acte militant mais pas celui d’un journaliste. Je suis persuadé qu’aucun ministère n’a été interrogé avant de publier cette partie à charge de cet article.
Oui oui, les gars mettent “31 mars” mais j’imagine qu’ils ont du publier ça plus tard. Manhack n’a rien trouvé car rien n’était encore publié à 8h vendredi. ^^
Le
03/04/2023 à
07h
21
parce que d’après toi on devrait faire un référendum pour toutes les décisions de ce genre? tu penses que le peuple français déciderait de laisser le champ libre aux NSO & co?
Le
03/04/2023 à
07h
19
en toute logique, on trouve le texte sur le site du ministère des Affaires Etrangères: République Française
Le
31/03/2023 à
14h
34
OK, mais est-ce qu’on sait pourquoi les autres pays ne sont pas signataires (pas d’accord, pas invités, etc…) ?
pas forcément dans la boucle au début. le but de cette déclaration est de montrer la voie, et d’inviter (plus ou moins fortement) d’autres à les suivre. et d’annoncer la couleur aussi: la fête est finie, si vous nous chercher vous allez nous trouver.
Le
31/03/2023 à
14h
31
tu te méprends. le but n’est pas que les états signataires n’en utilisent pas. le but est d’empêcher que des logiciels développés par des entreprises étrangères ou locales ne servent à porter atteinte aux intérêts des signataires. et pour ça, il convient de lutter contre la diffusion de ces logiciels.
en effet si maintenant un état comme le Maroc peut se payer un truc comme Pegasus pour quelques dizaines de milliers d’euros et s’introduire dans les terminaux de personnages haut placés d’un autre état, ça devient un problème de sécurité nationale pour l’état cible. et surtout: si un pays comme le Maroc peut accéder à une telle capacité, c’est que tout les pays de la planète ont les moyens de se la payer.
il s’agit donc pour les états signataires:
de protéger les “intérêts fondamentaux de la nation” (pour la France, ou l’équivalent pour les autres)
de s’assurer une capacité que les autres ne peuvent pas avoir.
L’objectif est bel et bien réel, et est plutôt un avertissement aux vendeurs de ce style de solutions: vous faites ce que vous voulez, mais si votre outil sert à nous nuire, on prendra les mesures qui s’imposent. voir ce qu’il s’est passé avec NSO: ils ont pris cher.
Les services civils et militaires de l’État déjà couverts par la LPM (loi de programmation militaire) 2014-2019 (loi n° 2013-1168) ne sont pas concernés par la directive NISv1 transposé dans le droit français par la loi n° 2018-133. L’article 5 de cette loi précise que les opérateurs mentionnés aux articles L. 1332-1 et L. 1332-2 du code de la défense pour les SI mentionnés à l’article L. 1332-6-1 du même code ne sont pas assujeties aux dispositions du chapitre II de cette loi. Les dispositions de ce chapitre concernent la SSI (sécurité des systèmes d’informations) des OSE (opérateur de service essentiel).
Autrement dit, un OSE est un opérateur qui n’est pas déjà OIV (opérateur d’importance vitale).
Or les OIV sont répartis en 12 secteurs, parmi lesquels les activités civiles, judiciaires et militaires de l’État, formant la dominante régalienne. République Française République Française
Les OIV sont soumis à la DNS (directive nationale de sécurité) de leur secteur ainsi qu’à l’arrêté pris pour leur secteur d’importance vitale. Objectifs des DNS : https://www.senat.fr/rap/l14-446/l14-4461.html Arrêté pour les OIV du secteur “Activités civiles de l’État” : République Française
Sans disposer de la liste des OIV du secteur “Activités civiles de l’État”, il me semble raisonnable que le ministère des Finances y soit inclus, écartant de fait la qualification d’OSE.
D’où mon étonnement pour ce qui n’est en fait qu’un problème de terminologie (pas un OSE mais un OIV). merci beaucoup pour cette intervention très précise!
Le
24/03/2023 à
09h
39
Méfiez-vous de la logique quand un homme de loi pose une question.
Un opérateur de service essentiel, ça a une définition bien précise.
c’est pas une fonctionnalité permettant de revenir à la version d’origine? je n’ai pas de pixel, mais chez Samsung y’a une fonctionnalité similaire (qui n’est pas vulnérable à priori).
c ‘est quand même incroyable. t’as 4 nations qui ont dégommé avec succès des satellites avec des missiles à charge explosive, et tu as le touper de venir nous expliquer que quand même, c’est beaucoup plus efficace avec un impacteur. comment dire…
Le
14/03/2023 à
14h
21
(reply:2124218:War Machine)
je ne dis pas que l’énergie cinétique ne suffit pas. je dis que tant qu’à faire, autant maximiser les chances en y plaçant une charge explosive qui diminue de fait la marge d’erreur. c’est d’ailleurs sans aucun doute ce qu’ont pensé les gens qui dégomment des satellites aux US, en Russie, en Chine et en Inde. bizarrement personne n’a cherché à le faire avec un impacteur.
pour la question d’un satellite tueur de satellite, sans prendre en compte le facteur de l’incertitude stratégique, il est évidemment observable et vulnérable aux mêmes menaces, aka le satellite tueur de satellite tueur. à la fin ça fait beaucoup de satellites tueurs envoyés et maintenus dans l’espace en préventif, juste au cas où, alors qu’il suffit (pour un coût sûrement beaucoup plus faible) de stocker (ou pas, incertitude) une pile de missiles (combien? va savoir) dans un bunker (où?).
Le
14/03/2023 à
13h
59
Note que les satellites cibles ont aussi des capacités de mobilité, que tous les objets autours ou ayant une probabilité d’impact avec le-dit satellite sont surveillés en permanence et donc qu’au moindre risque le satellite est déplacé sur une orbite sans risque. Il faudrait donc soit quelque chose de très rapide (les manœuvres de satellite prennent quand même un peu de temps), ou quelque chose à la trajectoire assez imprévisible (on rejoint le côté rapide pour le changement brusque de trajectoire par ex), ou quelque chose qui explose et arrose un coin de l’espace avec des débris rapide et/ou trop petits pour être surveillés pour mettre un satellite hors service.
un peu comme un missile quoi. ^^
Le
14/03/2023 à
10h
45
la_hyene a dit:
A condition de manœuvrer, parce que un mobile agressif ne se laissera pas attraper. utiliser un satellite mis en orbite qui serait manoeuvrant au lieu d’utiliser un missile, à priori c’est pas ultra gagnant niveau prise de tête/budget.
Si des débris de l’explosion touche l’objectif. Il n’y aura pas d’effet de souffle ou il sera très faible, dans le «vide.»
Enfin la création de débris est ensuite un danger pour tous les utilisateurs. On peut les mesurer les suivre, mais commander une explosion en prévoyant son impact etc… j’y crois pas.
je parle d’une explosion à proximité immédiate. quant aux débris, les 4 nations citées se sont contrefoutues des conséquences. les chinois ont régulièrement des retombées non contrôlées d’étages de fusées qui atterrissent à proximité de zones habitées. ils s’en balancent. ^^
Le
14/03/2023 à
09h
50
si j’ai bien compris ton propos ça revient à lancer un satellite pour en taper un autre. autant utiliser un missile à priori plus léger. et puis comme ça si t’as besoin de taper 3 satellites, tu utilises 3 missiles. si tu parles de ne pas utiliser d’explosif mais juste un projectile (monté sur un corps de missile) qui utiliserait son énergie cinétique pour taper dedans, à mon avis un explosif doit être plus efficace au sens où la précision nécessaire pour atteindre le but recherché doit sans doute être plus faible qu’avec un projectile qui devrait taper pile poil au lieu d’exploser à proximité.
edit: autre chose: stratégiquement le missile est aussi plus intéressant car tu crées une incertitude. en face les gens savent pas forcément combien t’as de missiles. si tu utilises un objet en orbite, tout le monde le voit, et il est tout aussi aisément mis “hors service”
Pareil pour moi; dans l’attente d’une solution ProtonDrive.
J’utilise KeePass, avec Dropbox, pour avoir un acces offline, sur l’ensemble de mes appareils. Par contre, je ne suis pas sur de comprendre dans l’article: “Fonctionnellement, la solution est viable et facile. Tout dépend cependant de la confiance que vous portez au cloud en question. La base est chiffrée, mais les communications de la plupart des drives ne sont pas chiffrées de bout en bout, signifiant que l’éditeur concerné a accès aux données chiffrées. À moins de se tourner vers une solution chiffrée de bout en bout, telle que Proton Drive.”
Puisque la base KeePass est chiffrée, l’editeur n’a pas acces au contenu en clair, mais juste a la base.. chiffrée. Ou alors je n’ai pas compris.
simple: l’hébergeur a accès au fichier kdbx, certes chiffré, mais quand même. rien n’empêche un acteur malveillant de récupérer la base et de tenter de la cracker.
Le
28/02/2023 à
09h
05
erreur de ma part, ils ont choisi d’utiliser Windows Hello. stupidité: en fonction des GPO d’entreprise, Windows Hello peut être désactivé. donc en gros, je ne peux définitivement pas utiliser KeepassXC. ^^
Le
27/02/2023 à
10h
52
le seul truc qui m’empêche de passer à keepassXC / keepassDX c’est (à moins que ça ait changé très récemment) l’obligation de ressaisir la totalité de la phrase de passe à chaque déblocage. en gros, l’absence de plugin/fonctionnalité QuickUnlock qui existe sur keepass/keepass2android et qui est juste magique.
parce qu’ils ont perdu, quoi, 250 personnes dans l’attentat au Buk contre l’avion de la Malaysian Airlines? et qui c’est qui a prouvé que c’était les semi-habiles de la sainte russie?
voilà maintenant tu comprends pourquoi les Hollandais ont donné tout ce fric à Bellingcat. mais bon quand on a décidé de voir du louche partout, difficile de voir l’évidence.
Le
08/02/2023 à
17h
20
L’article est sur la méthode d’investigation et de débusquage des fake news, et sur le besoin de former les gens à avoir un esprit critique, pas sur ce que bellingcat produit.
Pour contrebalancer de la propagande russe, il y a de la propagande US. Tu penses vraiment qu’on gobe tout sans réfléchir? Les US innondent de news dès les prémisses d’une éventuelle avancée pour décourager les concurrents (cf techniques de Elon Musk en France avec l’hyperloop: comment tuer la concurrence locale à coup de bulldozer médiatique, tout comme l’avancée en matière de fusion nucléaire: on est très très très loin du compte, mais c’est comme ça aux US: dès qu’il y a une bulle, on annonce un raz de marée)
+
= Page 8: Income: from governments: 237000€
??? “The income from governments comes from two grants” - pas clair pour moi.
alors ta source est une sorte de bilan/rapport comptable 2021, et il faut le lire comme tel.
si l’on regarde le rapport 2021, page 8 c’est le budget 2022. c’est “pas clair”, normal: c’est ce qu’ils anticipent de toucher de dons gouvernementaux en 2022, pas ce qu’ils ont touché.
pour 2021 il faut aller p11 pour voir ce qu’ils ont réellement touché: 16801. On voit d’ailleurs qu’ils avaient budgété 40k, donc ils sont pas (du tout) dans leur budget. bref. on a une colonne “notes”, qui permet de préciser de quoi on parle dans la ligne.
Donc il suffit d’aller plus loin dans le doc. page 15 on explique que les dons de gouvernements sont destinés à des projets spécifiques qui ne sont pas entrés dans les revenus de Bellingcat. La note 18, qui se trouve en page 21 sur le rapport comptable 2021, indique: EU: 16801. ils ont donc touché en 2021 16801 de l’UE. on y précise même que Bellingcat n’accepte pas de contribution financière de gouvernements (même si ça entre dans la catégorie “dons gouvernementaux”, dans la fiscalité hollandaise j’imagine), mais d’organisation internationales ou intergouvernementales style UE, OSCE, ONU, etc…
Moi je veux bien qu’on m’explique que c’est une organisation louche à la solde des vilains capitalistes cosmopolites que sont les gens du MI6, mais il faut réussir à le démontrer. jusqu’à preuve du contraire, ce n’est pas le cas.
Puisque les terroristes du Kremlin et leurs sbires sont si malins, qu’ils prouvent une fois pour toutes leurs dires. En attendant, et ça devient une fâcheuse habitude pour la 2e armée du monde / glorieuse et sainte mère défenseuse de la pureté de la race chrétienne, ils se font défoncer la rondelle par plus petit qu’eux. je rappelle que Bellingcat c’est 18 salariés. le SVR c’est environ 15000 personnes d’après l’infâme encyclopédie pédonazie qu’est Wikipedia. le FSB, attendez on va rire, c’est 150 000 si on enlève les gardes frontière (je suis à deux doigts de me pisser dessus là).
donc d’un côté ils se font foutre à poil par 2 gus dans un garage, et en OSINT en plus, de l’autre quand ils prétendent un truc ils sont pas foutus de produire le moindre début du commencement d’un soupçon de preuve de ce qu’ils avancent. et attention, les mecs sont censés être les meilleurs des meilleurs des meilleurs, chef, la crème de la crème, et promis en 2023, on va voir ce qu’on va voir.
ben mon vieux. c’est juste à mourir de rire.
Le
03/02/2023 à
13h
40
tu veux savoir qui donne? moi j’ai donné à Bellingcat, en tant que geek américanophile cosmopolite occidental biberonné à l’impérialisme de la juiverie internationale. la liste des donateurs est publique (mais je me doute que ça ne te suffit pas):
Bellingcat currently receives grants from the following organisations:
Civitates EU The Dutch Postcode Lottery Sigrid Rausing Trust Swedish Postcode Foundation Wellspring Philantropic Fund
Bellingcat does not solicit or accept funding and contributions directly from any national government. Bellingcat can solicit or accept contributions from international or intergovernmental institutions such as the European Commission or the United Nations. Bellingcat can accept or solicit funding that is distributed by a private foundation that accepts government funds, so long as it is independent from any national government. We will not allow any funding relationship to constrain us from criticising any bodies that provide funds, exposing any wrongdoing in which said bodies may be involved or impact our editorial independence. You can review our full fundraising policy here.
quant à leur tropisme russe, au vu de la masse d’assassinats, de sabotages, d’actions de subversion, de désinformation des russes, y’a de quoi faire. que je sache, rien n’empêche tous les mecs comme toi qui soulèvent ce “problème” de faire la même chose avec la france, le royaume uni ou les états unis hein. ou même de commencer par Bellingcat, puisqu’apparemment ils ont des choses à cacher. sauf que visiblement soit tout le monde s’en fout, soit y’a rien à trouver. tout un tas de gens, à commencer par nos amis russes, ont tout intérêt à justement démontrer que Bellingcat n’est qu’un paravent des vilains services occidentaux. pourtant, rien de croustillant n’est sorti, c’est assez fou. ou alors les russes seraient des brêles?
Du coup on peut les modifier en même temps qu’on ajoute les triggers ça ne sert donc pas à grand chose de les modifier.
bien vu. en effet il faut quitter keepass pour que la conf s’enregistre, j’avais raté ça.
Le
30/01/2023 à
17h
56
je viens de vérifier, on a un bouton radio “activer le système de déclencheurs”, qui est activé par défaut. du coup si une v2.54 décoche ce bouton par défaut le problème me semble réglé. c’est pas modifiable dans le config.xml.
Le
30/01/2023 à
17h
20
Du coup, il faut remplacer Keepass si tu t’en débarrasses :
apprendre tous les mots de passes et donc limiter le nombre de mot de passe et leurs complexité. OU
les écrire sur une feuille de papier. OU
trouver une autre solution de gestion de mot de passe. Laquelle ?
on parle juste de la fonction d’export qu’il serait judicieux de rendre un peu plus complexe à activer et modifier. rappel: sans accès à Keepass on peut silencieusement déclencher l’export en clair de la DB. le souci ici c’est pas l’export en lui-même. c’est que quelqu’un d’autre que le propriétaire de la base peut déclencher l’export de cette même base sans que le propriétaire soit consentant (c’est important le consentement en 2023).
Le
30/01/2023 à
15h
39
oui je suis d’accord que la simple modification d’un fichier de config ouvert aux 4 vents est trop facilement accessible pour n’importe qui/quoi a accès à la machine.
Le
30/01/2023 à
15h
32
à priori l’utilisation des triggers n’ait pas été testée dans le cadre de l’audit. en tout cas je n’en trouve pas trace dans le rapport.
Le
30/01/2023 à
10h
07
mais il faut comprendre la réaction de Reichl: on part du principe que l’acteur malveillant a accès à la machine. rien ne l’empêche de mettre un keylogger pour récupérer la phrase de passe maitre et par conséquent d’obtenir un accès à la base en clair. pourquoi ne pas effectivement générer une alerte. mais il faut à ce moment que ça soit en dur dans le programme, et pas un élément de configuration. C’est pas la 1ere faille signalée dans keepass ou un de ses plugins, mais si l’attaquant a accès à la machine, c’est échec et mat.
puisqu’on discute des banques, je suis dans une banque qui est passée d’une authentification par password “libre” au clavier virtuel “qui change” avec que du chiffre. stupeur de votre serviteur.
effectivement au repos (en base) c’est moins sécu, mais pour ça y’a le 2FA, l’enrôlement du terminal, bref tout un tas de mesures annexes.
la vraie raison, c’est que les gens qui accèdent aux services bancaires en numérique (appli, web) sont globalement moins techniques qu’il y a 10 ou 15 ans. aujourd’hui tout le monde le fait. de la mamie de 75 ans au jeune de 18 ans (vous savez celui qui n’a toujours connu que des écrans capacitifs, et qui n’a jamais ouvert un PC de sa vie). c’est plus le geek des années 2000 que ça intéressait, c’est le grand public. donc on veut du user friendly facile à comprendre, facile à utiliser, qui génère pas 1000 appels par jour au support. un truc qui soit un peu sécu quand même, mais pas rébarbatif. donc:
code pin
clavier qui change de dispo aléatoirement
saisie manuelle obligatoire
login bloqué au bout de 3 essais
avec ça c’est facile à retenir, facile à saisir, ça nique les keyloggers, ça empêche la saisie auto de X identifiants par des bots malveillants, ça bloque les multiples tentatives.
alors c’est sûr je vous vois venir, l’acteur malveillant qui fait du ciblé sur Mme Michu et qui utilise un keylogger qui fait des screenshots, hahaha il va lui poutrer son compte. et là je sors la carte probabilité. la probabilité qu’une telle menace s’applique à Mme Michu qui doit avoir un compte chèque et un livret avec 5000 balles dessus, elle est ridicule. et si Mme Michu a activé le 2FA pour les virements, là on tend vers 0.
le mec qui veut tirer des sous à la mère michu, il a plus vite fait de lui demander directement des sous en lui faisant croire qu’il l’a chopée en train de mater du porn et qu’il va tout balancer à ses copines du club de bridge. en plus il peut aussi envoyer le même mail à tout le club, avec un peu de bol il aura plusieurs virements sans s’adonner à des activités de haxxor.
Le
20/01/2023 à
14h
52
pas complètement vrai, voire même plutôt faux. s’agissant des comptes utilisateurs sans privilèges, l’ANSSI recommande au contraire de:
ne pas imposer par défaut de délai d’expiration sur les mots de passe
et pour les comptes à privilèges, l’ANSSI indique:
imposer un délai d’expiration sur les mots de passe de ces comptes à privilèges est une bonne mesure
mais uniquement dans le cas où il n’y a pas de 2FA.
merci pour cet article, il manque le blocage des préfixes sur android. il suffit de saisir le préfixe avec * dans la liste des numéros à bloquer. par ex: +33569*
partage certes, stockage non. le principal intérêt de Boxcryptor était de sécuriser le stockage dans des solutions de cloud abordables. à 5€ les 100Go, parsec ne répond pas à cette demande.
personnellement j’utilisais Sync qui propose le chiffrement côté client et la synchronisation entre plusieurs machines. à un tarif correct. sauf que c’est hébergé aux US. y’a proton drive qui arrive, mais pour l’instant c’est juste du dépôt de fichiers, pas de synchro. Kdrive va apparemment proposer du chiffrement côté client aussi, mais on attend toujours.
edit: évidemment ces solutions sont dépendantes du fournisseur de cloud en question. je ne connais pas de solution (outre cryptomator) qui propose le même genre de service que boxcryptor.
J’ai gagné quelque dollars avec STORJ à l’époque sur un serveur que j’utilisais peu, le réseau fonctionne pour les opérateurs, à voir pour les clients.
faut se lever très très tôt pour rentrer dans ses frais avec Storj. et encore, ils boostaient les rewards en 2020-2021. en un an j’ai du gagner 20€ pour 4To de partage, directement depuis la freebox (vive le NAS et les VM dans la delta). ça paie peut-être 25% d’un disque. en gros pour entrer dans mes frais il me faut 8 ans de partage? mais lol.
franchement c’est n’importe quoi leur com’. donc ils annoncent “Chiffrement de bout-en-bout en transit et côté client”, et plus bas dans la FAQ on apprend que c’est du TLS et que c’est pas chiffré côté stockage… un peu fouilli tout ça.
6106 commentaires
À Marseille, le délégué à la transition écologique appelle à un moratoire sur les datacenters
05/09/2023
Le 05/09/2023 à 07h 57
la demande n’est justement pas abordée par le délégué en question.
ce n’est donc le sujet ni de la com’ originale, ni du blog qui lui répond, ni de l’article qui en parle.
moi je voudrais bien savoir, par exemple, ce que fait le délégué à la transition écologique de la ville de Marseille, localement, dans sa ville, dans les décisions qui sont prises par les instances de la commune et de la communauté urbaine, pour réduire “la demande”. on risque de rire.
il semblerait que nous soyons bien sur un politique qui gesticule.
ou intéressé par “l’espace foncier précieux” qui serait la proie des datacenters.
ceci dit encore une fois ça fonctionne: le mec pond sur un coin de table 3 paragraphes par-dessous la jambe, et fleurissent réactions outragées par tant de désinvolture sur les réseaux, articles de blog, articles de presse, et commentaires. ^^
L’armée américaine lance un site consacré aux phénomènes anormaux non identifiés
04/09/2023
Le 04/09/2023 à 13h 50
Non plus.
et c’est très bien expliqué d’ailleurs dans… l’IGI-1300, dont voici l’extrait concerné:
les deux sont donc valides concernant des informations classifiées, mais n’ont pas la même signification.
edit: Dans le contexte de l’article, “déclassifié” est donc le terme approprié, au sens “rendre accessible au public”.
Un registre malien reçoit par erreur, depuis 10 ans, des millions d’e-mails adressés à des militaires états-uniens
17/07/2023
Le 18/07/2023 à 10h 13
hummm dans les dossiers médicaux (et pas que) l’identifiant d’une personne est nom/prénom/date de naissance, justement pour éviter les homonymes.
ce qui n’empêche pas non plus à 100% si les deux ont la même date de naissance, on est d’accord.
après si les gens ne lisent que nom + prénom, effectivement ça peut partir en sucette. ^^
Droits voisins : après Meta, Google aussi va couper l’accès aux médias canadiens
30/06/2023
Le 30/06/2023 à 12h 47
le principal problème que je vois est que les gens verront d’autres sources d’information, qui n’ont pas forcément la même déontologie, et sans aucun doute s’en contenteront.
dire “on s’en fout c’est juste les cons qui n’iront plus consulter les principaux médias”, si t’as 90% de cons tu vas vite t’en mordre les doigts.
si les seuls médias qui restent sur FB, insta et Google c’est breitbart, RT et france soir, vlà la gueule de l’info ingérée par “les gens”.
Scams « judiciaires » ès-pédophilie : 150 000 signalements, 300 plaintes, 19 arrestations, 6 morts
26/06/2023
Le 26/06/2023 à 15h 04
c’est pas que pour pédophilie, mais aussi “cyberporn” (trop bizarre ce terme).
les mecs te font croire qu’ils ont des vidéos de toi en train de te toucher devant du porno, et menacent de tout balancer à tes contacts.
j’ai eu ça une fois, je lui ai dit qu’allez, perdu pour perdu, il pouvait balancer tout à mes contacts.
quelle ne fut pas ma déception en constatant que mes contacts n’avaient rien reçu…
Le FSB accuse Apple et la NSA d’espionner des milliers d’iPhone
02/06/2023
Le 02/06/2023 à 14h 00
on n’est jamais trop prudent, surtout avec des régimes comme celui-là.
et puis windows defender c’est très bien.
Le 02/06/2023 à 13h 45
contrôlée?
franchement à mon avis c’est beaucoup plus bête.
Kaspersky a trouvé une faille 0day assez vilaine, et comme n’importe quelle boite de sécu en France (ou aux US), a prévenu les autorités.
les autorités en question ont juste sauté sur l’occasion pour raconter des conneries.
il est même possible que ça soit Kaspersky qui ait signalé la faille à Apple.
edit: la 15.7 est toujours d’actualité puisque la dernière MAJ, 15.7.6, date du mois de mai 2023, quand bien même la 16 date de septembre 2022.
Le 02/06/2023 à 13h 39
donc on a une réelle exploitation de faille 0day, encore du bon taf de Kaspersky, et le Kremlin qui se base sur un fait réel pour monter ça en sauce complot.
le B.A BA de la fake news russe efficace: toujours avoir un peu de réel dans le délire, ça permet de se raccrocher à quelque chose de solide en cas de doute.
évidemment, demander à Gégène de différer sa communication pour que ça soit la fake qui soit reprise.
kaspersky: eh les gars on a trouvé une grosse 0day de derrière les fagots!
kremlin: wow wow wow attendez les mecs faut qu’on en profite pour taper sur ces tarlouzes occidentales violeurs d’enfants! on reste dans le classique: c’est la méchante NSA qui espionne les gentils russes!
FSB: attendez! on peut aussi en profiter pour utiliser nos teubés idiots utiles en occident. suffit de dire que la NSA les espionne aussi! pile poil dans leur biais de confirmation anti-US! hahaha!
merci au FSB, défenseur de la veuve et l’orphelin sur internet.
Pourquoi peut-on pirater un mot de passe de 10 caractères en 2 semaines, contre 5 mois l’an passé ?
16/05/2023
Le 17/05/2023 à 09h 15
je suis d’accord.
je dis juste qu’ils communiquent sur le MD5 avec un jeu de caractères limité ce qui donne des perfs de crack incroyables. ça leur permet d’être repris et de faire le buzz.
d’ailleurs ils ne s’en cachent pas puisqu’ils introduise de cette façon:
après ils peuvent toujours en fin d’article sortir des tableaux avec du SHA256 et des exigences de pass de l’ANSSI, il reste que le titre et la com sont calibrés pour faire de l’engagement, et ça fonctionne très bien puisque c’est repris par France Num, elle-même reprise par Checknews (on parle de Libération hein, pas d’un site spécialiste en crypto), qui est lui-même repris ici sur NXI.
c’est juste une démonstration éclatante de la fabrication du buzz et de l’engagement, et tout le monde en profite pour faire son beurre là-dessus avec des titres putàclic:
France Num: oh, regardez, Hive Systems dit que les pirates peuvent cracker votre password en 5 minutes!
Check News: oh, regardez, France Num dit que Hive Systems dit que des pirates peuvent cracker votre password en 5 minutes! on va regarder si c’est vrai!
NXI: oh, regardez, Check News vérifie si l’info produite par Hive Systems partagée par France Num est vraie!
c’est juste énorme. tout ça à partir d’un buzz que Hive justifie un peu comme ils veulent: leur but c’est que les gens parlent d’eux et viennent sur leur site. et ça marche à chaque fois.
Le 16/05/2023 à 07h 54
il va dépenser du fric pour cracker X0000 passwords qu’il va du coup pouvoir revendre plus cher que le même nombre de hash non directement utilisable.
c’est rarement la même personne qui hacke, cracke et exploite.
Le 16/05/2023 à 07h 51
ah lala, ces boites de cyber qui produisent des analyses en mousse pour faire le buzz et se faire reprendre dans les médias, et générer les commentaires outrés des geeks…
utilisons MD5, franchement plus personne de sérieux n’utilise cet algo mais ça produit des trucs hallucinants en durée de crack et donc ça fait de l’engagement.
ouuuuuuh les méchants vont cracker vos mots de passe en 5 minuuuuutes ouuuuuuuuuh
ça sert absolument à rien mais tout le monde est content, y compris NXI: c’est l’article le plus commenté (et sans doute le plus lu).
et j’y contribue. ^^
La plateforme française uTip.io de financement participatif en liquidation judiciaire
04/04/2023
Le 04/04/2023 à 09h 17
cette histoire est assez incroyable, donc je pense qu’on n’a qu’une petite partie des infos.
couler une boite (et mettre dans le pétrin les créateurs associés) en quelques jours à cause d’un unique partenaire, c’est hallucinant.
se baser sur un unique presta qui détient les joyaux de la couronne, c’est aussi totalement hallucinant.
À Moscou, la reconnaissance faciale permet aussi l’arrestation préventive d’opposants à la guerre
03/04/2023
Le 03/04/2023 à 09h 37
de mon point de vue c’est pas une question de confiance en l’État, mais dans les institutions de contrôle démocratiques qui permettent de prévenir les dérives et vérifier que l’État ne déroge pas aux lois et à la constitution.
le problème c’est qu’on est en France, que les organes de contrôle sont inexistants ou dépendants de l’État, que le parquet est soumis au gouvernement, et que visiblement les FDO ont le champ libre pour crever des yeux en balançant des LBD depuis l’arrière d’un quad en mouvement (par exemple), ou pour coller en GAV pendant 20h des gens qui n’ont rien demandé à personne, comme des mineurs étrangers en voyage scolaire (je pouvais pas ne pas le citer celui-là).
donc, en l’absence d’organe de contrôle digne de ce nom, et au vu du renforcement actuel de l’État policier, le seul moyen de s’assurer qu’aucune dérive ne soit possible c’est de ne pas leur mettre dans les mains les techno qui permettront d’asservir tout le monde demain.
à partir du moment où t’as des bandes de mecs casqués, masqués et armés qui font des rafles dans les rues pour enfermer des gamins de manière préventive, accéder à toutes leurs communications et les ficher au FNAEG, tout ça illégalement sur la base de déclarations foireuses destinées à prévenir un délit imaginaire, je considère qu’il existe un léger risque quant à leur refiler un outil de contrôle systémique et massif de la population. à noter qu’une part non négligeable des membres de nos FDO assument leur penchant raciste voire fasciste.
en bref, ça pue du cul grave, et c’est pas franchement le genre de pays dans lequel j’ai envie de voir mes gosses grandir.
mais non non, il s’agit juste d’améliorer la sécu. celle de qui, au juste?
Le 03/04/2023 à 09h 21
La France a de surcroît un historique en terme d’arrestations préventives.
on sait tous très bien ce qu’il va se passer quand les FDO auront à dispo de tels outils.
Onze pays (dont la France) s’engagent à enrayer la prolifération de logiciels espion utilisés à des fins politiques
31/03/2023
Le 03/04/2023 à 09h 14
Oui oui, les gars mettent “31 mars” mais j’imagine qu’ils ont du publier ça plus tard.
Manhack n’a rien trouvé car rien n’était encore publié à 8h vendredi. ^^
Le 03/04/2023 à 07h 21
parce que d’après toi on devrait faire un référendum pour toutes les décisions de ce genre?
tu penses que le peuple français déciderait de laisser le champ libre aux NSO & co?
Le 03/04/2023 à 07h 19
en toute logique, on trouve le texte sur le site du ministère des Affaires Etrangères:
République Française
Le 31/03/2023 à 14h 34
pas forcément dans la boucle au début.
le but de cette déclaration est de montrer la voie, et d’inviter (plus ou moins fortement) d’autres à les suivre. et d’annoncer la couleur aussi: la fête est finie, si vous nous chercher vous allez nous trouver.
Le 31/03/2023 à 14h 31
tu te méprends. le but n’est pas que les états signataires n’en utilisent pas.
le but est d’empêcher que des logiciels développés par des entreprises étrangères ou locales ne servent à porter atteinte aux intérêts des signataires.
et pour ça, il convient de lutter contre la diffusion de ces logiciels.
en effet si maintenant un état comme le Maroc peut se payer un truc comme Pegasus pour quelques dizaines de milliers d’euros et s’introduire dans les terminaux de personnages haut placés d’un autre état, ça devient un problème de sécurité nationale pour l’état cible. et surtout: si un pays comme le Maroc peut accéder à une telle capacité, c’est que tout les pays de la planète ont les moyens de se la payer.
il s’agit donc pour les états signataires:
L’objectif est bel et bien réel, et est plutôt un avertissement aux vendeurs de ce style de solutions: vous faites ce que vous voulez, mais si votre outil sert à nous nuire, on prendra les mesures qui s’imposent.
voir ce qu’il s’est passé avec NSO: ils ont pris cher.
Le pirate des impôts trahi par les microcoupures de son VPN
24/03/2023
Le 24/03/2023 à 14h 20
D’où mon étonnement pour ce qui n’est en fait qu’un problème de terminologie (pas un OSE mais un OIV).
merci beaucoup pour cette intervention très précise!
Le 24/03/2023 à 09h 39
effectivement, merci.
ça me permet d’être extrèmement étonné de ne pas voir bercy dans les “lauréats”.
Le 24/03/2023 à 08h 42
ça parait logique, non? ^^
Sur Google Pixel et Windows 10/11, il est possible de récupérer des parties effacées d’une image
22/03/2023
Le 20/03/2023 à 16h 21
c’est pas une fonctionnalité permettant de revenir à la version d’origine?
je n’ai pas de pixel, mais chez Samsung y’a une fonctionnalité similaire (qui n’est pas vulnérable à priori).
Satellites en Europe : que faire face au « très léger retard d’Ariane »
14/03/2023
Le 14/03/2023 à 14h 23
c ‘est quand même incroyable.
t’as 4 nations qui ont dégommé avec succès des satellites avec des missiles à charge explosive, et tu as le touper de venir nous expliquer que quand même, c’est beaucoup plus efficace avec un impacteur.
comment dire…
Le 14/03/2023 à 14h 21
je ne dis pas que l’énergie cinétique ne suffit pas. je dis que tant qu’à faire, autant maximiser les chances en y plaçant une charge explosive qui diminue de fait la marge d’erreur.
c’est d’ailleurs sans aucun doute ce qu’ont pensé les gens qui dégomment des satellites aux US, en Russie, en Chine et en Inde. bizarrement personne n’a cherché à le faire avec un impacteur.
pour la question d’un satellite tueur de satellite, sans prendre en compte le facteur de l’incertitude stratégique, il est évidemment observable et vulnérable aux mêmes menaces, aka le satellite tueur de satellite tueur.
à la fin ça fait beaucoup de satellites tueurs envoyés et maintenus dans l’espace en préventif, juste au cas où, alors qu’il suffit (pour un coût sûrement beaucoup plus faible) de stocker (ou pas, incertitude) une pile de missiles (combien? va savoir) dans un bunker (où?).
Le 14/03/2023 à 13h 59
un peu comme un missile quoi. ^^
Le 14/03/2023 à 10h 45
je parle d’une explosion à proximité immédiate.
quant aux débris, les 4 nations citées se sont contrefoutues des conséquences.
les chinois ont régulièrement des retombées non contrôlées d’étages de fusées qui atterrissent à proximité de zones habitées. ils s’en balancent. ^^
Le 14/03/2023 à 09h 50
si j’ai bien compris ton propos ça revient à lancer un satellite pour en taper un autre.
autant utiliser un missile à priori plus léger. et puis comme ça si t’as besoin de taper 3 satellites, tu utilises 3 missiles.
si tu parles de ne pas utiliser d’explosif mais juste un projectile (monté sur un corps de missile) qui utiliserait son énergie cinétique pour taper dedans, à mon avis un explosif doit être plus efficace au sens où la précision nécessaire pour atteindre le but recherché doit sans doute être plus faible qu’avec un projectile qui devrait taper pile poil au lieu d’exploser à proximité.
edit: autre chose: stratégiquement le missile est aussi plus intéressant car tu crées une incertitude. en face les gens savent pas forcément combien t’as de missiles. si tu utilises un objet en orbite, tout le monde le voit, et il est tout aussi aisément mis “hors service”
Comment débuter avec KeePass ?
23/02/2023
Le 28/02/2023 à 16h 31
simple: l’hébergeur a accès au fichier kdbx, certes chiffré, mais quand même.
rien n’empêche un acteur malveillant de récupérer la base et de tenter de la cracker.
Le 28/02/2023 à 09h 05
erreur de ma part, ils ont choisi d’utiliser Windows Hello.
stupidité: en fonction des GPO d’entreprise, Windows Hello peut être désactivé.
donc en gros, je ne peux définitivement pas utiliser KeepassXC. ^^
Le 27/02/2023 à 10h 52
le seul truc qui m’empêche de passer à keepassXC / keepassDX c’est (à moins que ça ait changé très récemment) l’obligation de ressaisir la totalité de la phrase de passe à chaque déblocage.
en gros, l’absence de plugin/fonctionnalité QuickUnlock qui existe sur keepass/keepass2android et qui est juste magique.
Bellingcat : former à l’esprit critique pour lutter contre la désinformation
03/02/2023
Le 08/02/2023 à 17h 39
parce qu’ils ont perdu, quoi, 250 personnes dans l’attentat au Buk contre l’avion de la Malaysian Airlines? et qui c’est qui a prouvé que c’était les semi-habiles de la sainte russie?
voilà maintenant tu comprends pourquoi les Hollandais ont donné tout ce fric à Bellingcat.
mais bon quand on a décidé de voir du louche partout, difficile de voir l’évidence.
Le 08/02/2023 à 17h 20
alors ta source est une sorte de bilan/rapport comptable 2021, et il faut le lire comme tel.
si l’on regarde le rapport 2021, page 8 c’est le budget 2022.
c’est “pas clair”, normal: c’est ce qu’ils anticipent de toucher de dons gouvernementaux en 2022, pas ce qu’ils ont touché.
pour 2021 il faut aller p11 pour voir ce qu’ils ont réellement touché: 16801.
On voit d’ailleurs qu’ils avaient budgété 40k, donc ils sont pas (du tout) dans leur budget. bref.
on a une colonne “notes”, qui permet de préciser de quoi on parle dans la ligne.
Donc il suffit d’aller plus loin dans le doc. page 15 on explique que les dons de gouvernements sont destinés à des projets spécifiques qui ne sont pas entrés dans les revenus de Bellingcat.
La note 18, qui se trouve en page 21 sur le rapport comptable 2021, indique:
EU: 16801.
ils ont donc touché en 2021 16801 de l’UE.
on y précise même que Bellingcat n’accepte pas de contribution financière de gouvernements (même si ça entre dans la catégorie “dons gouvernementaux”, dans la fiscalité hollandaise j’imagine), mais d’organisation internationales ou intergouvernementales style UE, OSCE, ONU, etc…
Moi je veux bien qu’on m’explique que c’est une organisation louche à la solde des vilains capitalistes cosmopolites que sont les gens du MI6, mais il faut réussir à le démontrer.
jusqu’à preuve du contraire, ce n’est pas le cas.
Puisque les terroristes du Kremlin et leurs sbires sont si malins, qu’ils prouvent une fois pour toutes leurs dires.
En attendant, et ça devient une fâcheuse habitude pour la 2e armée du monde / glorieuse et sainte mère défenseuse de la pureté de la race chrétienne, ils se font défoncer la rondelle par plus petit qu’eux.
je rappelle que Bellingcat c’est 18 salariés. le SVR c’est environ 15000 personnes d’après l’infâme encyclopédie pédonazie qu’est Wikipedia. le FSB, attendez on va rire, c’est 150 000 si on enlève les gardes frontière (je suis à deux doigts de me pisser dessus là).
donc d’un côté ils se font foutre à poil par 2 gus dans un garage, et en OSINT en plus, de l’autre quand ils prétendent un truc ils sont pas foutus de produire le moindre début du commencement d’un soupçon de preuve de ce qu’ils avancent.
et attention, les mecs sont censés être les meilleurs des meilleurs des meilleurs, chef, la crème de la crème, et promis en 2023, on va voir ce qu’on va voir.
ben mon vieux. c’est juste à mourir de rire.
Le 03/02/2023 à 13h 40
tu veux savoir qui donne? moi j’ai donné à Bellingcat, en tant que geek américanophile cosmopolite occidental biberonné à l’impérialisme de la juiverie internationale.
la liste des donateurs est publique (mais je me doute que ça ne te suffit pas):
quant à leur tropisme russe, au vu de la masse d’assassinats, de sabotages, d’actions de subversion, de désinformation des russes, y’a de quoi faire.
que je sache, rien n’empêche tous les mecs comme toi qui soulèvent ce “problème” de faire la même chose avec la france, le royaume uni ou les états unis hein. ou même de commencer par Bellingcat, puisqu’apparemment ils ont des choses à cacher.
sauf que visiblement soit tout le monde s’en fout, soit y’a rien à trouver.
tout un tas de gens, à commencer par nos amis russes, ont tout intérêt à justement démontrer que Bellingcat n’est qu’un paravent des vilains services occidentaux. pourtant, rien de croustillant n’est sorti, c’est assez fou. ou alors les russes seraient des brêles?
KeePass est-il troué ?
02/02/2023
Le 01/02/2023 à 17h 00
bien vu.
en effet il faut quitter keepass pour que la conf s’enregistre, j’avais raté ça.
Le 30/01/2023 à 17h 56
je viens de vérifier, on a un bouton radio “activer le système de déclencheurs”, qui est activé par défaut.
du coup si une v2.54 décoche ce bouton par défaut le problème me semble réglé.
c’est pas modifiable dans le config.xml.
Le 30/01/2023 à 17h 20
on parle juste de la fonction d’export qu’il serait judicieux de rendre un peu plus complexe à activer et modifier.
rappel: sans accès à Keepass on peut silencieusement déclencher l’export en clair de la DB.
le souci ici c’est pas l’export en lui-même. c’est que quelqu’un d’autre que le propriétaire de la base peut déclencher l’export de cette même base sans que le propriétaire soit consentant (c’est important le consentement en 2023).
Le 30/01/2023 à 15h 39
oui je suis d’accord que la simple modification d’un fichier de config ouvert aux 4 vents est trop facilement accessible pour n’importe qui/quoi a accès à la machine.
Le 30/01/2023 à 15h 32
à priori l’utilisation des triggers n’ait pas été testée dans le cadre de l’audit.
en tout cas je n’en trouve pas trace dans le rapport.
Le 30/01/2023 à 10h 07
mais il faut comprendre la réaction de Reichl: on part du principe que l’acteur malveillant a accès à la machine. rien ne l’empêche de mettre un keylogger pour récupérer la phrase de passe maitre et par conséquent d’obtenir un accès à la base en clair.
pourquoi ne pas effectivement générer une alerte. mais il faut à ce moment que ça soit en dur dans le programme, et pas un élément de configuration.
C’est pas la 1ere faille signalée dans keepass ou un de ses plugins, mais si l’attaquant a accès à la machine, c’est échec et mat.
NSO aurait empêché une dizaine de ses clients de pouvoir continuer à utiliser Pegasus
30/01/2023
Le 30/01/2023 à 17h 01
Le 30/01/2023 à 16h 11
tu penses à qui en particulier?
et on peut vendre du matériel militaire qui n’est pas des armes.
c’est souvent une zone grise, la vente d’armes.
Gestion catastrophique des mots de passe par des sites et services : faites-nous part de vos expériences !
20/01/2023
Le 20/01/2023 à 15h 27
puisqu’on discute des banques, je suis dans une banque qui est passée d’une authentification par password “libre” au clavier virtuel “qui change” avec que du chiffre.
stupeur de votre serviteur.
effectivement au repos (en base) c’est moins sécu, mais pour ça y’a le 2FA, l’enrôlement du terminal, bref tout un tas de mesures annexes.
la vraie raison, c’est que les gens qui accèdent aux services bancaires en numérique (appli, web) sont globalement moins techniques qu’il y a 10 ou 15 ans. aujourd’hui tout le monde le fait. de la mamie de 75 ans au jeune de 18 ans (vous savez celui qui n’a toujours connu que des écrans capacitifs, et qui n’a jamais ouvert un PC de sa vie).
c’est plus le geek des années 2000 que ça intéressait, c’est le grand public. donc on veut du user friendly facile à comprendre, facile à utiliser, qui génère pas 1000 appels par jour au support.
un truc qui soit un peu sécu quand même, mais pas rébarbatif.
donc:
avec ça c’est facile à retenir, facile à saisir, ça nique les keyloggers, ça empêche la saisie auto de X identifiants par des bots malveillants, ça bloque les multiples tentatives.
alors c’est sûr je vous vois venir, l’acteur malveillant qui fait du ciblé sur Mme Michu et qui utilise un keylogger qui fait des screenshots, hahaha il va lui poutrer son compte.
et là je sors la carte probabilité. la probabilité qu’une telle menace s’applique à Mme Michu qui doit avoir un compte chèque et un livret avec 5000 balles dessus, elle est ridicule.
et si Mme Michu a activé le 2FA pour les virements, là on tend vers 0.
le mec qui veut tirer des sous à la mère michu, il a plus vite fait de lui demander directement des sous en lui faisant croire qu’il l’a chopée en train de mater du porn et qu’il va tout balancer à ses copines du club de bridge. en plus il peut aussi envoyer le même mail à tout le club, avec un peu de bol il aura plusieurs virements sans s’adonner à des activités de haxxor.
Le 20/01/2023 à 14h 52
pas complètement vrai, voire même plutôt faux.
s’agissant des comptes utilisateurs sans privilèges, l’ANSSI recommande au contraire de:
et pour les comptes à privilèges, l’ANSSI indique:
mais uniquement dans le cas où il n’y a pas de 2FA.
cf les recommandations relatives à l’authentification multifacteur et aux mots de passe
Le 20/01/2023 à 10h 30
j’aurais bien parlé de Free mais il semble qu’ils aient enfin décidé de ne plus envoyer le mot de passe des abonnés en clair. ^^
Démarchage téléphonique : comment bloquer et filtrer les appels sur les fixes et smartphones
10/01/2023
Le 10/01/2023 à 10h 55
merci pour cet article, il manque le blocage des préfixes sur android.
il suffit de saisir le préfixe avec * dans la liste des numéros à bloquer.
par ex: +33569*
Vincent Strubel prend la suite de Guillaume Poupard à la tête de l’ANSSI
06/01/2023
Le 09/01/2023 à 09h 31
1ere réponse de la DSI: Merci de justifier le besoin.
Retour sur le rachat de Boxcryptor par Dropbox, entre flou et quête d’alternatives
13/12/2022
Le 13/12/2022 à 16h 20
partage certes, stockage non.
le principal intérêt de Boxcryptor était de sécuriser le stockage dans des solutions de cloud abordables. à 5€ les 100Go, parsec ne répond pas à cette demande.
personnellement j’utilisais Sync qui propose le chiffrement côté client et la synchronisation entre plusieurs machines. à un tarif correct. sauf que c’est hébergé aux US.
y’a proton drive qui arrive, mais pour l’instant c’est juste du dépôt de fichiers, pas de synchro.
Kdrive va apparemment proposer du chiffrement côté client aussi, mais on attend toujours.
edit: évidemment ces solutions sont dépendantes du fournisseur de cloud en question. je ne connais pas de solution (outre cryptomator) qui propose le même genre de service que boxcryptor.
Hive : analyse d’un « Drive » P2P chiffré de bout en bout, développé en partenariat avec Inria
06/12/2022
Le 06/12/2022 à 16h 32
faut se lever très très tôt pour rentrer dans ses frais avec Storj.
et encore, ils boostaient les rewards en 2020-2021.
en un an j’ai du gagner 20€ pour 4To de partage, directement depuis la freebox (vive le NAS et les VM dans la delta). ça paie peut-être 25% d’un disque. en gros pour entrer dans mes frais il me faut 8 ans de partage? mais lol.
Shadow Drive : une bonne base (Nextcloud), mais beaucoup de ratés pour l’instant
25/11/2022
Le 28/11/2022 à 09h 25
franchement c’est n’importe quoi leur com’.
donc ils annoncent “Chiffrement de bout-en-bout en transit et côté client”, et plus bas dans la FAQ on apprend que c’est du TLS et que c’est pas chiffré côté stockage…
un peu fouilli tout ça.