Aujourd'hui, NoLimitVPN propose pour les lecteurs du blog des abonnements d'un an à leurs VPN.
Le service a bien évolué depuis l'année dernière où j'avais commencé à en parler. L'équipe derrière le VPN a mis en place une nouvelle fonction, "un parefeu dans le Cloud". Le truc est plutôt bien pensé, il s'agit en fait d'un filtre de sécurité sur votre trafic internet, bloquant tout ce qui pourrait être dangereux pour votre système.
Le filtre s'ajoute au VPN et les attaques sont détectées et bloquées en amont des appareils et du réseau interne.
Si ça vous branche d'avoir un oeil sur le flux des attaques bloquées par le service, vous pouvez checker les rapports d'attaques ici
Vous connaissez surement tous le Raspberry Pi, ce petit ordinateur dont le prix tourne autour des 35 $ ? Et bien chez Raspberry, ils viennent encore de faire très fort en annonçant le Raspberry Pi Zero vendu pour la modique somme de 5$.
Voici les caractéristiques de la bête :
Un processeur Broadcom BCM2835
Core de 1 GHz ARM11 (40% plus rapide que le Rpi 1)
512MB de SDRAM LPDDR2
Un slot pour carte micro SD
Un port mini HDMI pour cracher de la vidéo 1080p 60
Des ports micro USB pour l'alimentation et le transfert de données
Un connecteur vide GPIO de 40 pin (identique à ceux qu'on retrouve sur les modèles A+ / B+ / 2B)
Un connecteur vide pour un branchement vidéo composite.
Et le tout pour une taille de 6,5 cm x 3 cm x 5 cm.
L'objectif pour Raspberry c'est de conquérir une nouvelle part de marché en allant toucher tous ceux pour qui le prix de 30$, était encore trop élevé.
A 5$, ce serait évidemment dur de dire : "Ah nan c'est trop cher". Raspbian, la distrib pour Rpi tourne sans souci sur le Raspberry Pi Zero et il est capable de faire tourner Scratch, Minecraft, Sonic Pi...etc.
Notez que le Raspberry Pi Zero est produit au Royaume Uni et qu'on le trouve déjà en vente dans toutes les boutiques en ligne spécialisées, y compris dans les boutiques FR (mais un peu plus cher, forcement... Frais de port, importation and co). De plus, le magazine MagPi de ce mois-ci contiendra un Raspberry Pi gratuit. Énorme non ?
Le hacker Samy Kamkar dont je relate souvent les découvertes ici, vient encore une fois de signer un coup de maitre. Après avoir reçu sa nouvelle carte bancaire (une American Express), il s'est rendu compte que le numéro de la carte suivait un certain schéma.
Après avoir demandé à ses amis sur Facebook les 4 derniers chiffres de leur numéro d'American Express, il a été capable de pondre un algo qui lui permet tout simplement de "trouver" le prochain numéro et la nouvelle date d'expiration d'une CB.
Cela veut dire que si une CB est annulé (car perdue ou volée) ou arrive à expiration, il est possible en connaissant son numéro, de prédire le nouveau numéro et la date d'expiration qu'aura la prochaine carte. D'après lui, ce n'est très simple et très "évident". Il n'a pas eu besoin de cracker d'algorithme complexe et avoue qu'il ne serait pas étonné si d'autres avaient fait cette découverte avant lui.
A partir de là, il s'est amusé à concevoir un petit appareil avec 10$ de matos, baptisé MagSpoof, qui permet de simuler n'importe quelle bande magnétique de cartes bancaires, sans avoir besoin d'un code PIN et capable de basculer à tout moment sur le prochain n° de CB grâce à un petit bouton.
Explications et démonstration :
Le pire c'est que MagSpoof est capable de générer un champ électromagnétique assez puissant pour qu'un lecteur de carte traditionnel le prenne en compte... Pas besoin de RFID ou de NFC donc...
Et imaginez la tête du pauvre gars qui s'est fait voler sa carte bancaire, et qui avant même d'avoir reçu sa nouvelle carte, se fait déjà dérober son argent...
Contacté, American Express a expliqué que ce n'était pas un risque important, car en plus de la puce et du code PIN (qui change à chaque nouvelle carte et qu'il est "impossible" de prédire), ils disposent d'autres mesures de sécurité sur lesquelles ils ne se sont pas étendus. On aimerait bien les croire, toutefois Samy a réussi à payer avec son joujou dans 2 restaurants différents et dont l'un avait une ardoise supérieure à 100 $. Je vous rassure, c'était avec ses propres numéros de CB qu'il a effectué ces transactions.
Évidemment, comme il est généreux, Samy a mis toutes les instructions d'assemblage et le code en ligne de MagSpoof sur Github. Toutefois, il a pris soin de retirer les parties qui permettent de désactiver l'usage du code PIN et l'algorithme utilisé pour prédire les numéros de carte.
Bon, ça concerne que les American Express, mais je serai bien curieux de savoir si ce n’est pas le même bazar chez les autres...
Vous le savez, j’aime bien les petits jeux/tests où on peut tester ses compétences en code, le truc à vous défoncer le bulbe mais aussi qui vous apprend quand même des quelqechose.
Et visiblement vous aussi ;)
Y’a par exemple une importante communauté de lecteurs du blog qui participent à Coder Power.
Sauf que pour participer à ces jeux, faut en avoir dans le cerveau, du coup, pour les fêtes, mes copains de Toxicode vous proposent 30% de réduction sur tous leurs cours en ligne.
Par exemple, vous pourrez apprendre à coder un niveau de jeu vidéo de manière ludique avec Code n’ Slash
Pour activer votre réduction, le code est korbenpresident...oui je sais ;)
Notez qu’il ne s’agit pas de liens affiliés, je touche peanuts hein.
Sinon, pour ceux qui le souhaitent, vous pouvez participer à un concours en finissant un premier niveau de Silent Teacher.
Il y en a plusieurs, plus vous grimpez plus vous êtes susceptible d’exploser votre clavier.
Ouvert jusqu'au dimanche 6 décembre 2015, il y aura 3 gagnants : Le premier gagne un accompagnement individuel et à la carte de 4h sur HTML5 / RoR / JS / CSS3 ou la participation gratuite à 4 des formations. Le deuxième et le troisième gagnent un accompagnement individuel et à la carte de 2h ou 2 formations chacun.
Le jeu commence par des questions très simple puis se corse au fur et à mesure.
Bref, y a pleins de cours interactifs intéressants et je pense qu’il y en a pour tout le monde, dev jeux vidéo, web etc…
L'ensemble de leurs formations sont en ligne ici
Avec le certificat racine vérolé de Dell, on peut se demander si d'autres certificats un peu louches ne se trouvent pas sur notre machine. Et pour cela, si vous êtes sous Windows, il y a une solution qui s'appelle RootCertificateCheck (ou RCC) qui scanne tout simplement les certificats présents sur votre machine (dans Windows et dans Firefox) et attire votre attention sur les certificats qui pourraient présenter un risque potentiel.
Par exemple, chez moi, j'ai un certificat de Microsoft Development, un certificat Symantec et un certificat Fiddler. Pour Fiddler, c'est normal, c'est un sniffer que j'utilise de temps en temps, donc c'est parfaitement volontaire et conscient.
Pour les 2 autres, j'ai du chercher sur Google et voici ce que j'ai trouvé. Pour Microsoft ça a l'air d'être un certif qui était utilisé dans les premières release dev de Windows 10 et qui n'est plus valide... On me dit de suivre ça pour faire une MAJ du certif. Et pour Symantec, il s'agirait d'un certificat utilisé pour se logger avec des applications Windows Phone et présent sur toutes les versions de Windows 10. Donc les 2 sont semble-t-il légitimes... Je vais les considérer comme des faux positifs.
Par contre, si vous voyez d'autres trucs, vous pouvez faire vous même le ménage en passant par le gestionnaire de certificats de Windows. Il suffit d'entrer la commande suivante dans le champ Exécuter ou Rechercher de Windows :
certmgr.msc
Et ensuite, vous pouvez faire des recherches de certificats via le menu "Action" et supprimer ceux qui ne vous conviennent pas.
Et pour Firefox, il suffit d'aller dans les préférences, ici, cliquer sur "Afficher les certificats" et de faire le ménage :
