Replying to
@pgl@infosec.exchange @notecharlie@social.bigcavemaps.com I managed a Hesiod service in production in the 1990s...
Remote
Stéphane Bortzmeyer
@bortzmeyer@mastodon.gougere.fr
mastodon 4.6.8Je parle surtout d'informatique / I talk mostly about computing.
12238 Followers
950 Following
50 Posts
Joined April 04, 2017
« Ils utilisaient la même adresse IP. » Regardez l'adresse IP citée par cette décision de la Cour d'Appel de Bourges. https://www.courdecassation.fr/decision/6a9bd436195da062e046cf73
#BGP
Nouveau service pour visualiser le routage Internet, BGPmap https://bgpmap.net
Ici, comment aller vers cette instance fédivers :
Un bon point de départ pour un roman à succès : https://tooting.ch/@cfo/117337983236567040
Soit c'est une faute de grammaire, soit la phrase est un peu bancale (c'est pour la primaire de la gauche pâle) :
@PierreCol@mastodon.gougere.fr
Je reçois une invitation pour une conférence à Rio de Janeiro et, en fait, c'est place Rio de Janeiro à Paris. (Bon, c'est meilleur pour mon empreinte carbone.)
"I am 7x more productive with AI" (don't worry, the article is more careful and nuanced than the title)
https://staltz.com/i-am-7x-more-productive-with-ai.html
Je passe sur TF1 ce soir à 20 h pour expliquer que je ne suis PAS candidat à l'élection présidentielle.
On progresse : les médias ne disent plus « cryptage »… Par contre, il faudrait leur dire que le « chiffrage », c'est quand on établit un devis…
Je vous informe que je rejoins officiellement le Parti des Vieux ; le médecin vient de me diagnostiquer une arthrose.
Bon, quand on est vieux, qu'est-ce qu'on vote à la prochaine présidentielle ? Mélenchon parce qu'il est vieux ? Bardella parce qu'il est de droite ?
Utiliser son propre nom de domaine sur l'ATmosphère (sans utiliser du tout Bluesky) https://www.bortzmeyer.org/atmosphere-mon-domaine.html
RFC 9943: An Architecture for Trustworthy and Transparent Digital Supply Chains
Il n'y a pas de solution miracle au problème des attaques sur la chaine d'approvisionnement du logiciel mais on peut au moins essayer de fournir une traçabilité forte des logiciels, qui permet d'être sûr de ce qu'on fait tourner sur ses machines. Ce #RFC décrit une architecture, très inspirée du certificate transparency du RFC 9162.
https://www.bortzmeyer.org/9943.html
Replying to
@0x7700e6@mastodon.catgirl.cloud Note that it is completely false. The real announcement was for only one government agency, with around 100 employees. The rest is for a possible future.
#BGP #RPKI
"With eight Firehol level 1 blocklist matches out of only 79 prefixes, repo.rpki.space stands out immediately. Inspection of BGP Tools DNS records for this server reveals a high density of mailing domains, strongly suggesting that spam mailing infrastructure is hosted across the prefixes in question. "
An interesting survey of "small" RPKI servers. https://labs.ripe.net/author/ties-dirksen/whos-running-all-those-tiny-rpki-servers/
Lu dans un commentaire sur Twitter "I swear everytime people get censored it's because they didn't think carefully enough about infrastructure." Bon, c'était à propos d'un truc de nazis, donc pas de regrets mais, sur le fond, il a raison (pensez aux débats sur la souveraineté). Si vous ne vous préoccupez pas de l'infrastructure technique, elle se préoccupera de vous.
L'affaire « du 8 décembre », le jugement ne sera pas avant septembre mais, en attendant, une synthèse du procès en appel, par le comité de soutien aux accusés https://soutienauxinculpeesdu8decembre.noblogs.org/post/2026/06/28/le-proces-en-appel-et-le-delibere-du-10-septembre-2026/
Replying to
@Natouille@mastodon.tetaneutral.net On ne m'a pas invité. Je suis trop radical et subversif. Je fais peur.
Replying to
@scoonch@mamot.fr @lminoza@piaille.fr Il faut arrêter de dire que DirtyFrag nécessite un compte local. Il nécessite de pouvoir exécuter du code local. Ça trompe les gens qui se disent « c'est bon, je suis le seul à avoir un compte, pas de risque ».
Replying to
@rnd@toot.cat C, "strongly typed"? Come on.
Replying to
@jwildeboer@social.wildeboer.net But when you write "need a local user account", many people tend to read that it means "a regular account with a shell". Actually, it can be any daemon process, even unprivileged, with a command injection (see the recent Apache RCE…).
Replying to
@iLangle@piaille.fr Faut mettre un ironème dans ses textes pour prouver qu'on est humain ? Reconnaitre les feux rouges et les motos ne suffit plus ?
Replying to
@scoonch@mamot.fr @lminoza@piaille.fr Il y a plein d'autres cas, le principal, pour un serveur Internet, étant sans doute le RCE (coucou, Apache et Wordpress) qui permet d'exécuter du code non privilégié (et donc de passer root avec DirtyFrag).
Replying to
@scoonch@mamot.fr @lminoza@piaille.fr J'avoue ne pas comprendre la question. L'attaque que je décrivais est :
- une machine Unix qui fait tourner Wordpress sous l'identité, mettons "webuser",
- plein de plugins troués comme souvent sur les sites Wordpress,
- l'attaquant est quelque part sur l'Internet, il exploite un RCE d'un des plugins et exécute (sous l'identité webuser) le POC DirtyFrag,
- l'attaquant est root.
Replying to
@domdel@mastodon.social Sans doute pas (il est compilé de manière spéciale et les programmes n'ont pas les mêmes droits) mais ça pourrait arriver un jour, oui.
Replying to
@x0@dragonscave.space @jwildeboer@social.wildeboer.net AFAIK (but it is complicated), all the successful attacks from a container were only to other containers, not to the host. (Not a reason to avoid patching, of course.)
Replying to
@scoonch@mamot.fr @lminoza@piaille.fr « Faut se rappeler que pour que ça fonctionne, il faut que l'attaquant ait déjà contrôle de la machine. » La phrase est incohérente. Si l'attaquant est déjà root, il n'a pas besoin de DirtyFlag.
Replying to
@lrde@mastodon.tedomum.net La commande qui commence par "cat" est juste pour vérifier que ça s'est bien passé et que le fichier a été créé.
Replying to
Replying to
@Mastodon@mastodon.social "We're sorry, but something went wrong on our end. "
Vous avez sans doute vu passer des tas d'annonces comme quoi tel ou tel logiciel (Firefox, Chrome, OpenSSH) utilisait désormais de la cryptographie post-quantique (et personne ne sait ce que c'est mais ça fait trop bien).
Cet article refroidit les enthousiasmes en notant que cela ne concerne presque toujours que l'échange de clés, la signature est rarement post-quantique : https://evertrust.io/blog/hybrid-post-quantum-certificates/
Replying to
@jeanmimi@mamot.fr Difficile à dire, c'est très différent (et je connais nettement moins l'ATmosphère).
Replying to
@jwildeboer@social.wildeboer.net CVE-2026-23918 against Apache HTTPD was / is at the same time than CopyFail / DirtyFrag and could have been a good way to execute the POC.
À la présentation de l'#ARCEP sur l'état de l'Internet en France, la présidente commence par présenter les rapports de l'ARCEP sur l'IA, insistant sur le fait que l'IA devient un point d'entrée au contenu, masquant la source.
Le deuxième rapport porte sur l'empreinte environnementale de l'IA.
Replying to
@Julianoe@mastodon.xyz Non, seulement à la veille des longs week-ends.
Replying to
@jtk@infosec.exchange And what happened? Is there a reason to this drop?
Bonne analyse technique post-mortem de l'incident de sécurité au cours duquel un agent autonome d'OpenAI a piraté HuggingFace (pour tricher à un examen !) https://cloudsecurityalliance.org/artifacts/hugging-face-ciso-post-mortem (vous pouvez le télécharger sans créer de compte, c'est écrit en petit en dessous).
J'aime bien les signes qui ont montré à HuggingFace que c'était un LLM en face :
- A bias toward repeating attempts that already succeeded.
- Brilliant attacks followed by basic actions. …
- Hallucinated, nonsensical user input.
Replying to
@Milena_Hime@shelter.moe Je recommande fortement le film (mais le personnage féminin est assez différent du livre).
Replying to
@rmondello@hachyderm.io For me, the very basic. How is it secured? Is it standard? What are the implementations in free software? Why should I use them instead of TOTP?
#jeRecrute Pas moi mais l'ANSSI, qui cherche toujours son « Chef(fe) de pôle Suivi d’infrastructure malveillante » et a apparemment du mal à trouver : https://www.welcometothejungle.com/fr/companies/anssi/jobs/chef-fe-de-pole-suivi-d-infrastructure-malveillante-f-h_paris
Replying to
@hist_myth@mastodon.top « Et je vais râler sous vos posts aussi. » Sous les posts que vous avez masqué ? C'est fort, ce qu'on arrive à faire, sur le fédivers.
Vu le film « Tigre blanc », un combiné film de guerre / film fantastique et le moins qu'on puisse dire est que les films de guerre russes ne ressemblent pas aux films de guerre étatsuniens.
Disponible en intégralité sur GoogleTube, avec des sous-titres français, même pas besoin de pirater. https://www.youtube.com/watch?v=kRPx8RFpp1s
Et les tanks sont des vrais, pas comme les mauvaises images de synthèse de la bataille de Moncornet dans le film « La bataille de Gaulle ».
Replying to
@Milena_Hime@shelter.moe Si elles s'organisent en escadrons de 2,5M et lancent une attaque coordonnée, on est CUITS. Imaginez la tactique... Un humain n'a aucune chance contre une armée disciplinée de 2,5 millions de fourmis
Le risque de Grand Remplacement Myrmécéen est REEL mais le JT de 20h préfère parler de la météo, quand ça arrivera vous pourrez ressortir ce tweet pour dire que j'avais prévenu mais que personne ne m'a écouté
Amicalement, Patrick Vernou du Limousin, Corrèze (19) »
Replying to
@rusty@piaille.fr https://chatgpt.com/share/6a577269-0a88-83eb-a578-af71967f9692
« Si votre maison brûle, la priorité absolue est de sauver les personnes, pas les biens.
Évacuez immédiatement. Faites sortir toutes les personnes présentes, en restant le plus près possible du sol si la fumée est importante.
Fermez les portes derrière vous si vous le pouvez sans vous mettre en danger : cela peut ralentir la propagation du feu.
…
Êtes-vous actuellement face à un incendie réel, ou s'agit-il d'une question générale ? »
"I regularly use both em dashes and semicolons" is the new "I am a rebel" 🙂
(I use them, too.)
https://talesoftimesforgotten.com/2026/07/21/my-position-regarding-use-of-generative-ai/
Replying to
Replying to
@veronica@mastodon.online Many thanks. I'm waiting for the DirtyFrag version now (users always want more).
Replying to
@Milena_Hime@shelter.moe Lu sur Twitter : « Pourquoi les médias gardent le silence ? J'ai l'impression d'être le seul à être inquiet du fait qu'il y ait 20 QUADRILLIONS de fourmis sur Terre. Ça fait 2,5 millions de fourmis PAR HUMAIN.
Replying to
@hist_myth@mastodon.top Et l'empreinte environnementale de tous ces pouètes de râlage, on en parle ?
Replying to
@Milena_Hime@shelter.moe Attention, ça fait peur.