De ce que je comprends de l'article, le problème n'est pas vraiment le DMA en lui même, mais plutôt les implémentations des mécanismes de sécurité autour. Du coup il est un peu dommage de pointer le DMA comme coupable.
AgentConnect semble être un peu monté en puissance, les stats sur République Française indiquent 36.000 utilisateurs sur les 30 derniers jours, sachant que c'est une période de vacances.
Les mdp ne sont certainement pas stockés dans le système informatique de la CAF. Personne de sérieux ne stocke les mdp. Ils peuvent donc assurer que ça ne vient pas chez eux.
Ça ne permet pas de conclure que ça ne vient pas de la CAF. Tant que la fuite n'a pas été trouvée, il vaut mieux se garder d'affirmer quelque chose.
En 2018, British Airways s'est fait piraté 380.000 no de CB, pourtant en tant qu'entreprise respectueuse de la norme PCI-DSS elle n'enregistre pas les no de CB des clients. Les pirates ont ajouté un bout de javascript qui demandait au navigateur du client d'envoyer les no saisies dans le formulaire à un site tiers lorsqu'on validait le formulaire.
Le
28/08/2024 à
10h
30
"C'est pas nous". C'est visiblement quelqu'un de complètement déconnecté de la réalité qui a répondu à la CAF.
Le fait de ne pas avoir trouvé de traces ne permet en aucun cas d'affirmer que ça ne s'est pas produit.
Ainsi, 4x 1 Gb/s en agrégation de liens permettent à quatre ordinateurs différents d’avoir une connexion à 1 Gb/s avec le NAS, mais une seule machine n’aura pas plus de 1 Gb/s.
Pour simplifier, au lieu d’envoyer 100 Mo de données sur un seul lien (on va arrondir à 1 seconde avec du Gb/s), le NAS va envoyer 4x 25 Mo en utilisant les quatre liens. Le transfert des données sera donc quatre fois plus rapide (0,25 seconde) qu’avec un seul lien, le débit sera donc multiplié par quatre, en théorie bien évidemment, car en pratique c’est toujours moins.
Je trouve l’explication vraiment pas claire. Si l’ordi est branché au switch avec une liaison 1Gbps, alors multichannel ou non, on restera à 1Gbps, même si le NAS dispose de 4Gbps vers le switch.
Le seul cas dans lequel j’ai l’impression que ça améliore les choses, c’est celui ou on a plusieurs liens, mais que l’on ne les a pas agrégés (switch non compatible ou config non faite).
Une fonction intéressante des switchs manageable est l’accès SNMP pour pouvoir surveiller les ports dans le temps. Pour un particulier ce n’est peut-être pas intéressant (ou rarement), mais dès qu’on a une une structure avec quelques utilisateurs, ça peut être utile.
Comme tout le monde ne sait pas ce qu’est OBS Studio; il serait utile que vous rappeliez très succinctement ce que c’est, comme vous le faite habituellement systématiquement (ce qui fait la qualité de vos articles et brief).
établir une copie numérique du système Terre en s’appuyant sur l’informatique dématérialisée
“Dématérialisé”: je comprends qu’on va payer une belle somme pour faire tourner ça dans le cloud d’une grand compagnie américaine, mais qu’on ne veut pas que ça se sache.
Si c’est logique économiquement, ça ne l’est peut-être pas politiquement.
La gestion d’un domaine a un coût; mais les registres savent que leurs clients sont pieds et poings liés. Changer de registre et donc de domaine a un coût très important, en particulier en travail pour tout mettre à jour (lorsque c’est possible).
Pour une grosse entreprise, cela ne se voit pas forcément; mais pour un particulier ou une association, ces coût sont de plus en plus importants et significatifs, alors que l’augmentation d’échelle devrait au contraire permettre aux registres de faire baisser les prix.
Il me semble que la majorité des registres en profitent bien et augmentent régulièrement leurs tarifs.
Plutôt que de changer de marque, avec toujours le risque de tomber sur un défaut, je panache les marques de disques.
J’avais monté mon premier RAID avec les fameux IBM Deathstar et au bout de deux mois je ne pouvais plus reconstruire le disque. Depuis j’ai bannis les RAID homogènes. Cela fait plus de 20 ans et je n’ai plus jamais perdu de données à la fin de vie d’un disque.
Et cette intransigeance doit aussi venir de nous. Ne pas laisser passer le moindre écart.
Personnellement je désactive toujours les “autoriser le contact commercial” et équivalent sur des services en ligne. Dès que je reçois une communication commerciale, c’est remontée au DPO de l’entreprise en question.
Intéressant.
Et pour le démarchage téléphonique, tu as aussi une technique ?
Le
13/04/2021 à
08h
35
J’imagine que le code de sécurité est le CVV de la carte; ce que la norme PCI-DSS interdit formellement d’enregistrer.
En toute logique, conformément aux règles annoncées, Booking devrait se voir révoquer son autorisation de faire des paiements, mais vu le point et le CA, ça a du se réglé par du pognon plutôt.
Surement que les paiements s’effectuaient sur un site “pirate” qui alimentait quand même le site du paiement avec les données des CB pour ne pas être découvert.
Plus probablement les paiements se faisaient normalement, mais un petit bout de javascript non prévu envoyait en prime les données bancaires vers un site tiers.
cite plusieurs de ces identifiants). L’oubli de déclarer un seul
identifiant sera sanctionné jusqu’à trois ans d’emprisonnement et de 45
000 € d’amende.”
Monsieur X, vous avez omis de déclaré un compte nominatif que vous avez créé le 12 aout 2013 sur le site blog.biduletruc.org pour ajouter un commentaire. (vous avez écrit “Prem’s” sous une vidéo de chaton qui tombe). Ca fera 45000 €, on vous dispense gracieusement des 3 ans de prison. Merci bien.
Qui est capable de se souvenir de tous ses identifiants en ligne ? Surtout en garde-à-vue en slip sur une chaise ? Déjà en cherchant 1h bien je ne suis pas certain d’en retrouver 30%…
Pas vraiment : déjà le but d’un cache et de la mémoire vive n’est pas identique.
Pour l’instant on fait du cache avec cette mémoire parce qu’on n’arrive pas à faire mieux. Mais il y a un gros potentiel et le matériel n’impose pas d’en faire du cache.
Le
28/03/2017 à
17h
39
Nozalys a écrit :
Ça ne serait pas plus simple et plus efficace si cette gestion était réalisé par le CPU et/ou le chipset directement ? Pourquoi ramener ça à l’OS ?
Parce que c’est l’OS (ou l’hyperviseur) qui gère la mémoire, qui configure le MMU (le mappage adresse virtuelle/adresse réelle), qui décide du découpage en page mémoire, du mapping pour chaque processus etc… Le processeur et le chipset n’ont pas la vision suffisante. Ils font ce que l’OS demande, et n’ont pas vraiment leur mot à dire.
On pourrait effectivement partir sur une solution naïve et dire que de l’adresse physique 0 à 16Go, c’est la DRAM classique, et que de 16 à 32 c’est Optane (par exemple). Mais je pense que ça ne fonctionne pas bien. La latence a beau être bien plus rapide qu’un disque; elle est probablement plus faible que celle de la DRAM. Et même si la vitesse d’écriture est très bonne quand on balance quelques Mo; la gestion de la mémoire demande souvent d’écrire ou de modifier (verrouiller-lire-écrire-déverrouiller) un seul bit; ce qui risque de plomber les performances. En plus en gérant cette mémoire comme de la DRAM, on perds totalement l’avantage de la persistance.
Le
28/03/2017 à
11h
20
Le gros soucis ce cette solution n’est pas dans le matériel. Il est dans le driver:
Gérer cette mémoire comme un disque dur virtuel est plutôt simple, les OS savent faire cela depuis un moment. Par contre c’est pas génial à utiliser; il faut copier les données du HDD vers ce disque virtuel, puis l’utiliser; de préférence de façon transparente pour les applications.
Par contre, gérer cette mémoire comme de la RAM est bien plus complexe; elle a ses propres contraintes, pas toute à fait les mêmes que la DRAM. Les OS ne sont pas conçus pour gérer ce cas. Les développeurs du kernel Linux tâtonnent également, on trouve tout un tas de discussion sur le sujet puisqu’ils le font de façon ouverte. Cherchez les discussions autour de NVM sur lwn.net.
Les systèmes bancaires ne communiques jamais sur les protections mises en place; ils estiment que ça facilite les attaques. La réponse de VISA n’est pas étonnante.
Ça ne risque pas d’aller loin. Ça interdit concrètement tout ceux qui parlent d’un Dieu tout puissant. Et pour les autres, ça ne devrait pas être beaucoup mieux.
Ce genre de chiffrement doit être irréversible pour que cela soit efficace. C’est la bonne vieille “somme de contrôle” à la mode cryptographique. Donc, même avec une fuite de donnée, on ne pourra pas retrouver les informations originales. Cela protège tout le monde.
Il ne s’agit donc pas d’un chiffrage, mais d’un hachage. Le soucis c’est que conserver le hachage des informations bancaires, ça ne sert à rien.
Soit l’information est chiffrée et déchiffrable; elle évite aux clients d’avoir à resaisir les informations bancaire (amazon, ebay…).
Soit l’information est hachée, les informations d’origine ne sont pas récupérables, mais il n’est pas possible de payer un nouvel achat avec (et du coup ces informations ne servent à rien).
24 commentaires
DaMAgeCard : le SD Express détourné pour accéder à la mémoire vive
09/12/2024
Aujourd'hui à 15h 08
De ce que je comprends de l'article, le problème n'est pas vraiment le DMA en lui même, mais plutôt les implémentations des mécanismes de sécurité autour. Du coup il est un peu dommage de pointer le DMA comme coupable.#LIDD Avec Matrix Generation (Arte), descendez dans le terrier du lapin blanc
17/09/2024
Le 17/09/2024 à 12h 12
Critiquée par la Cour des comptes, la « Suite numérique » de l’État attire les convoitises
04/09/2024
Le 05/09/2024 à 14h 05
AgentConnect semble être un peu monté en puissance, les stats sur République Française indiquent 36.000 utilisateurs sur les 30 derniers jours, sachant que c'est une période de vacances.Plus de 60 000 identifiants CAF disponibles en ligne
28/08/2024
Le 03/09/2024 à 09h 51
En 2018, British Airways s'est fait piraté 380.000 no de CB, pourtant en tant qu'entreprise respectueuse de la norme PCI-DSS elle n'enregistre pas les no de CB des clients. Les pirates ont ajouté un bout de javascript qui demandait au navigateur du client d'envoyer les no saisies dans le formulaire à un site tiers lorsqu'on validait le formulaire.
Le 28/08/2024 à 10h 30
"C'est pas nous". C'est visiblement quelqu'un de complètement déconnecté de la réalité qui a répondu à la CAF.Le fait de ne pas avoir trouvé de traces ne permet en aucun cas d'affirmer que ça ne s'est pas produit.
QNAP et Synology passent (enfin) au SMB Multichannel pour accélérer les débits
30/03/2023
Le 31/03/2023 à 14h 42
Je trouve l’explication vraiment pas claire. Si l’ordi est branché au switch avec une liaison 1Gbps, alors multichannel ou non, on restera à 1Gbps, même si le NAS dispose de 4Gbps vers le switch.
Le seul cas dans lequel j’ai l’impression que ça améliore les choses, c’est celui ou on a plusieurs liens, mais que l’on ne les a pas agrégés (switch non compatible ou config non faite).
TP-Link TL-SG108E : tour des fonctionnalités d’un switch 8x 1 Gb/s administrable à 35 euros
25/01/2023
Le 26/01/2023 à 08h 19
Une fonction intéressante des switchs manageable est l’accès SNMP pour pouvoir surveiller les ports dans le temps. Pour un particulier ce n’est peut-être pas intéressant (ou rarement), mais dès qu’on a une une structure avec quelques utilisateurs, ça peut être utile.
OBS 29.0 disponible avec le support du codec AV1 pour certains GPU AMD et Intel
09/01/2023
Le 09/01/2023 à 09h 22
Hello,
Comme tout le monde ne sait pas ce qu’est OBS Studio; il serait utile que vous rappeliez très succinctement ce que c’est, comme vous le faite habituellement systématiquement (ce qui fait la qualité de vos articles et brief).
Bonne journée
Les ambitions de l’Europe sur le spatial pour les prochaines années
25/11/2022
Le 28/11/2022 à 14h 13
“Dématérialisé”: je comprends qu’on va payer une belle somme pour faire tourner ça dans le cloud d’une grand compagnie américaine, mais qu’on ne veut pas que ça se sache.
Si c’est logique économiquement, ça ne l’est peut-être pas politiquement.
Noms de domaine : les hausses se multiplient, le .fr fait figure d’exception
29/12/2021
Le 29/12/2021 à 17h 13
La gestion d’un domaine a un coût; mais les registres savent que leurs clients sont pieds et poings liés. Changer de registre et donc de domaine a un coût très important, en particulier en travail pour tout mettre à jour (lorsque c’est possible).
Pour une grosse entreprise, cela ne se voit pas forcément; mais pour un particulier ou une association, ces coût sont de plus en plus importants et significatifs, alors que l’augmentation d’échelle devrait au contraire permettre aux registres de faire baisser les prix.
Il me semble que la majorité des registres en profitent bien et augmentent régulièrement leurs tarifs.
Backblaze : plus de 190 000 HDD/SSD en service, le bilan des 515 pannes
05/11/2021
Le 05/11/2021 à 09h 14
Plutôt que de changer de marque, avec toujours le risque de tomber sur un défaut, je panache les marques de disques.
J’avais monté mon premier RAID avec les fameux IBM Deathstar et au bout de deux mois je ne pouvais plus reconstruire le disque. Depuis j’ai bannis les RAID homogènes. Cela fait plus de 20 ans et je n’ai plus jamais perdu de données à la fin de vie d’un disque.
Pour l’ALPA, la lutte contre la contrefaçon passera par les éditeurs d’OS et de navigateurs
08/09/2021
Le 08/09/2021 à 07h 27
Pratique quand même cette carte “Terrorisme” qui permet de tout justifier. Si ça ne fonctionne pas, ils invoqueront la pédophilie ?
RGPD : Booking sanctionné pour la notification trop tardive d’une faille de sécurité
13/04/2021
Le 14/04/2021 à 10h 42
Intéressant.
Et pour le démarchage téléphonique, tu as aussi une technique ?
Le 13/04/2021 à 08h 35
J’imagine que le code de sécurité est le CVV de la carte; ce que la norme PCI-DSS interdit formellement d’enregistrer.
En toute logique, conformément aux règles annoncées, Booking devrait se voir révoquer son autorisation de faire des paiements, mais vu le point et le CA, ça a du se réglé par du pognon plutôt.
Lepape.com piraté : noms, numéros de carte bancaire, dates d’expiration et cryptogrammes dans la nature
18/11/2020
Le 18/11/2020 à 15h 32
Plus probablement les paiements se faisaient normalement, mais un petit bout de javascript non prévu envoyait en prime les données bancaires vers un site tiers.
Cookies d’identification de Next INpact : réinitialisation suite à une fuite, déjà colmatée
21/12/2017
Le 21/12/2017 à 14h 45
Merci pour la transparence
Les nouvelles technologies dans le projet de loi anti-terroriste
18/09/2017
Le 18/09/2017 à 13h 50
” De fait, l’individu visé devra bien fournir l’ensemble de ses
coordonnées téléphoniques, mais aussi l’ensemble de ses logins utilisés
en ligne (voir ce décret de 2011 qui
cite plusieurs de ces identifiants). L’oubli de déclarer un seul
identifiant sera sanctionné jusqu’à trois ans d’emprisonnement et de 45
000 € d’amende.”
Monsieur X, vous avez omis de déclaré un compte nominatif que vous avez créé le 12 aout 2013 sur le site blog.biduletruc.org pour ajouter un commentaire. (vous avez écrit “Prem’s” sous une vidéo de chaton qui tombe). Ca fera 45000 €, on vous dispense gracieusement des 3 ans de prison. Merci bien.
Qui est capable de se souvenir de tous ses identifiants en ligne ? Surtout en garde-à-vue en slip sur une chaise ? Déjà en cherchant 1h bien je ne suis pas certain d’en retrouver 30%…
Intel dévoile ses modules Optane Memory de 16/32 Go en attendant les SSD Optane
28/03/2017
Le 28/03/2017 à 17h 42
Le 28/03/2017 à 17h 39
Le 28/03/2017 à 11h 20
Le gros soucis ce cette solution n’est pas dans le matériel. Il est dans le driver:
Gérer cette mémoire comme un disque dur virtuel est plutôt simple, les OS savent faire cela depuis un moment. Par contre c’est pas génial à utiliser; il faut copier les données du HDD vers ce disque virtuel, puis l’utiliser; de préférence de façon transparente pour les applications.
Par contre, gérer cette mémoire comme de la RAM est bien plus complexe; elle a ses propres contraintes, pas toute à fait les mêmes que la DRAM. Les OS ne sont pas conçus pour gérer ce cas. Les développeurs du kernel Linux tâtonnent également, on trouve tout un tas de discussion sur le sujet puisqu’ils le font de façon ouverte. Cherchez les discussions autour de NVM sur lwn.net.
Carte bancaire Visa : des informations récupérables par force brute, la société nous répond
06/12/2016
Le 06/12/2016 à 09h 08
Les systèmes bancaires ne communiques jamais sur les protections mises en place; ils estiment que ça facilite les attaques. La réponse de VISA n’est pas étonnante.
Délit de consultation, blocage de sites : comment des élus LR veulent punir la « prédication subversive »
12/09/2016
Le 12/09/2016 à 08h 18
Ça ne risque pas d’aller loin. Ça interdit concrètement tout ceux qui parlent d’un Dieu tout puissant. Et pour les autres, ça ne devrait pas être beaucoup mieux.
Fuite de données chez Acer : noms, adresses et numéros de carte bancaire dans la nature
20/06/2016
Le 20/06/2016 à 07h 40
Slack piraté : accès non autorisé à une base de données durant quatre jours
30/03/2015
Le 31/03/2015 à 08h 46
Si mathématiquement, on ne peut pas retrouver le mot de passe; cela n’empêche pas de faire une attaque au dictionnaire.