informatique et high-tech (les meilleures news) %) - Page 778

Oui, les méthodes d'attaque en elles-mêmes existaient déjà, mais le fait que ça puisse fonctionner sur des clés USB "normales" (et potentiellement infecter d'autres clés "normales") est nouveau.

Oui. On peut déjà faire des dégâts avec des contrôleurs USB qui ne gèrent que le mode device: MSD servant une image ntpasswd, clavier HID, souris HID, etc. Avec des contrôleurs + stacks OTG sur des plate-formes un peu plus puissantes et plus programmables, comme les 89T, on peut faire des choses encore plus sympa, comme servir une ancienne version du jailbreak de la PS3 ^^

C'est un peu du bullshit cette histoire:

-l'USB à la base n'en a rien à fiche de la sécurité
-c'est pas nouveau que le firmware des appareils USB soit upgradable
-le nombre de contrôleurs différents est probablement très grand
-le firmware d'une clé A n'a aucune chance de marcher sur une clé B

-du coup, ok, tu vas 'infecter' un PC en lui faisant faire des trucs rigolos, mais après, comment il fait pour infecter les autres clés du système, sans connaitre le modèle de leur contrôleur?

il vaudrait mieux s'intéresser aux disques durs, là, le nombre de contrôleurs différents est bien plus restreint

squalyl (./23313) :
-c'est pas nouveau que le firmware des appareils USB soit upgradable

Pour certains, oui. Pour les clés USB, tu as déjà vu quelqu'un faire une mise à jour une fois le produit sur le marché ? On aurait pu penser que le firmware était non réinscriptible.

squalyl (./23313) :
le nombre de contrôleurs différents est probablement très grand

Non justement, il y en a à priori assez peu, d'après ce que les mecs disent.

Vu à travers le Distrowatch weekly de cette semaine, il y a d'autres sources d'infos: le micro-kernel formellement vérifié et temps réel dur seL4 est devenu disponible sous GPLv2 il y a quelques jours à http://sel4.systems/
C'est un des descendants améliorés du L4 d'origine d'il y a 20 ans. Un de ses prédécesseurs est utilisé 24/7 comme RTOS dans les SoC modem GSM de Qualcomm, autrement dit dans quelques milliards de téléphones portables; on peut également l'utiliser comme hyperviseur, par exemple pour Linux.
La portabilité est limitée: x86 32 bits sur les PCs modernes, ARM sur plusieurs boards récentes. Pas de vérification formelle pour la version expérimentale multi-coeurs...

On verra ce qui se passe, mais le fait d'ouvrir le code a de grandes chances d'augmenter sa popularité et sa portabilité.

ou que dalle si c'est trop spécifique

mais c'est sympa de l'avoir libéré.

Voilà, c'est sympa de l'avoir libéré.

Ouep. Mais en effet dommage que ce soit si peu porté.

ah ces connards donnent aussi à lire un bout d'article et faut raquer pour la suite?

tout ça pour dire qu'un algo peut être pété? Ils découvrent quoi ensuite, les side channel attacks? le mauvais design des systèmes utilisant la crypto à tort et à travers?

C'est parce que toi tu le sais que tout le monde le sait.

Cela fait longtemps que Nextinpact fait cela pour attirer les inscriptions (il faut bien manger toussah), mais généralement ça touche deux-trois dossiers par semaine et ceux-ci sont entièrement consultables quelques jours après. C'est mieux que les sites qui à l'inverse bloquent l'info pour abonnement une semaine après sa diffusion.

./23321 Mal exprimé, évidemment tout le monde ne le sait pas, mais ça n'est pas une révolution trouducutante quand même.

Eh bien vu la panade pitoyable de Heartbleed, ça sera peut-être trouducutant pour les acteurs big business qui s'appuient dessus sans remettre en question.

Et c'est pas inutile de le rappeler au public dans un article de temps à autres.

Par contre les meilleures news tronquées, c'est un peu dommage ici (on peut toujours faire un autre topic mais je ne sais pas s'il aura beaucoup de succès )

oui, moi aussi je pense que ce topic n'aura pas beaucoup de succès

je me doutais que

vince (./23319) :
http://www.nextinpact.com/news/87466-quand-chiffrement-donnees-est-mis-a-mal-par-mathematiciens.htm

squalyl (./23320) :
tout ça pour dire qu'un algo peut être pété? Ils découvrent quoi ensuite, les side channel attacks? le mauvais design des systèmes utilisant la crypto à tort et à travers?

Je pense que c'est cet article qui a été présenté à Eurocrypt 2014 :
http://hal.inria.fr/hal-00835446
(A heuristic quasi-polynomial algorithm for discrete logarithm in finite fields of small characteristic)

Or, le logarithme discret est utilisé pour de la cryptographie asymétrique.
http://fr.wikipedia.org/wiki/Logarithme_discret

Cf l'article du CNRS:
http://www2.cnrs.fr/presse/communique/3543.htm

Bref, ils sont en train de péter le log discret

squalyl (./23320) :
ah ces connards donnent aussi à lire un bout d'article et faut raquer pour la suite?

pourquoi connards ?
tu ne veux pas payer pour lire, tu ne veux pas de pub… et comment doivent-ils vivre, au juste ?

Perso je trouve ça très bien comme truc… Le prix est vraiment pas cher (ça revient moins cher qu'un journal (de merde) en papier, qui, faut-il vraiment le rappeler, sont souvent bourrés de pubs en plus) et ça te permet de ne pas être dérangé par des pubs moisies.

Et si jamais quelqu'un parvient à apporter une amélioration à la factorisation de grands entiers (Number Field Sieve) du même ordre de grandeur que l'amélioration apportée aux logs discrets par ce nouvel algorithme (par rapport au Function Field Sieve), les clés RSA deviendront significativement moins sûres.

merci pour les sources

je n'ai jamais eu confiance dans les courbes elliptiques, je vois que le bon vieux RSA tient encore la route avec suffisamment de bits Par contre c'est DH qui va en prendre un coup

(ça m'agace ces articles tronqués, je comprends qu'on doive vivre, mais dans ce cas, éviter de faire sentir le steack au chien avec un bout d'article, en cachant le reste. il existe des sites payant, j'ai rien contre)

http://www.nextinpact.com/blog/80913-pourquoi-pc-inpact-opte-pour-contenu-en-priorite-reserve-a-ses-abonnes.htm

Un article du blog, non tronqué, qui explique les raisons en détail

bon, ok. l'accessibilité après un délai me semble honnête, et ils disent faire ça pour favoriser la qualité du contenu. ça tient la route.

contrairement au monde, parce que là je vois pas vraiment de meilleure qualité dans leurs demi-articles.

Nan mais le monde ils sont cool, si tu actives la lecture zen sur les articles payant, tu as juste a enlever la div qui cache le texte pour lire l'article en entier ^^

http://www.nextinpact.com/news/89080-piratage-l-hebergeur-ovh-attaque-aux-etats-unis-par-magazine-erotique.htm

Je devrais vraiment me lancer dans le site porno, ça rapporte. Chaque photo peut être évaluée à des revenus montant à 150'000$

./23337 avant ça marchait pour tous, mais plus maintenant.

squalyl (./23339) :
./23337 avant ça marchait pour tous, mais plus maintenant.

Mm ok, j'ai essaye il y a quelques semaines encore, mais ca a du leur etre remonte alors ^^