Macron et ses services sont stupides

Le 15 août 2022 à 23:41:55 :
+1 Ce sont des super idiots.
Je me souviens de l'époque ou les smartphones ultra-secure de Bull était obligatoire avec des confs spécifiques et sans RS ...

Aujourd'hui on dirait un gouvernement d'ado millenials ou de Tik-Tokeur + Reseaux sociaux ultra-stupide qui comprennent pas l'importance de ça ... Comment des abrutis comme ça ont pu être élu séireux ?

Dans son programme 2022

Personne ne lui a expliqué que l'on ne pouvait pas faire une MITM sur un site HTTPS avec un choix poursuivre ou refuser, soit il bloque tout, soit il ne bloque rien, ce censeur

Le 15 août 2022 à 23:50:02 :

Le 15 août 2022 à 23:48:58 :

Le 15 août 2022 à 23:45:09 :

Le 15 août 2022 à 23:43:58 :

Le 15 août 2022 à 23:42:50 :

Je précise que Pegasus s'efforce de supprimer les journaux et que le spyware / RAT a été supprimé à distance des smartphones infectés, par la plupart des opérateurs, dès que l'affaire a éclatée dans la presse

J'ai oublié de préciser que malgré les tentatives de suppression, de nombreuses traces subsistent sous iOS et Android

Après, niveau opérateur, tu as les traces, le DNS est en clair hein

C'est mieux de s'attaquer au logiciel, car si le RAT est suffisamment sophistiqué, il peux utiliser des techniques discrètes pour communiquer, tel que le domain fronting

Ici ce n'était visiblement pas le cas (même si l'exploit est en soit sophistiqué, racheté à Zerodium peut-être)

Quand tu penses pouvoir être ciblé par une zero-day, simple, il faut compartimenter et faire des dumps de la mémoire / processeur (en plus de l'analyse des paquets et de la configuration d'une clé pré-maîtresse, dans le cas où le chiffrement utilise une API de l'OS)

Sans même toucher au téléphone.
Je te dis juste que niveau opérateurs, ils pouvaient le voir ... Mais visiblement plus personne ne surveille plus rien dans ce pays en voie de sous-developement.
Même sans être en clair les services auraient pu voir les connexions suspectes (VPN, DoH, TLS vers des IP bizarres ect ).

ça dépend quel serveur DNS il utilisait, et peut-être même qu'il était sous VPN
Oui il y avait 150 000 solutions et pas besoin d'être un "FAI" pour log des paquets

Un FAI pourra suivre facilement en utilisant le numéro de mobile sans être trop intrusif ou install/manip sur le mobile.
Après, sans être FAI, tu es obligé de retoucher le mobile ou d'installer un truc.

Enfin bon, je comprends pas qu'il ait pas des terminaux spécifiques.

Le 15 août 2022 à 23:57:40 :

Le 15 août 2022 à 23:50:02 :

Le 15 août 2022 à 23:48:58 :

Le 15 août 2022 à 23:45:09 :

Le 15 août 2022 à 23:43:58 :

Le 15 août 2022 à 23:42:50 :

Je précise que Pegasus s'efforce de supprimer les journaux et que le spyware / RAT a été supprimé à distance des smartphones infectés, par la plupart des opérateurs, dès que l'affaire a éclatée dans la presse

J'ai oublié de préciser que malgré les tentatives de suppression, de nombreuses traces subsistent sous iOS et Android

Après, niveau opérateur, tu as les traces, le DNS est en clair hein

C'est mieux de s'attaquer au logiciel, car si le RAT est suffisamment sophistiqué, il peux utiliser des techniques discrètes pour communiquer, tel que le domain fronting

Ici ce n'était visiblement pas le cas (même si l'exploit est en soit sophistiqué, racheté à Zerodium peut-être)

Quand tu penses pouvoir être ciblé par une zero-day, simple, il faut compartimenter et faire des dumps de la mémoire / processeur (en plus de l'analyse des paquets et de la configuration d'une clé pré-maîtresse, dans le cas où le chiffrement utilise une API de l'OS)

Sans même toucher au téléphone.
Je te dis juste que niveau opérateurs, ils pouvaient le voir ... Mais visiblement plus personne ne surveille plus rien dans ce pays en voie de sous-developement.
Même sans être en clair les services auraient pu voir les connexions suspectes (VPN, DoH, TLS vers des IP bizarres ect ).

ça dépend quel serveur DNS il utilisait, et peut-être même qu'il était sous VPN
Oui il y avait 150 000 solutions et pas besoin d'être un "FAI" pour log des paquets

Un FAI pourra suivre facilement en utilisant le numéro de mobile sans être trop intrusif ou install/manip sur le mobile.
Après, sans être FAI, tu es obligé de retoucher le mobile ou d'installer un truc.

Enfin bon, je comprends pas qu'il ait pas des terminaux spécifiques.

Ses services sont trop golémiques pour faire ce genre de choses
Non, t'as juste à mettre en place un proxy au milieu et de sauvegarder les paquets dessus, d'ailleurs le proxy peux très bien être situé à l'autre bout du monde, pas besoin de le déplacer à chaque fois, juste ban les autres IP par précaution au niveau du FAI dans ce cas

Le 15 août 2022 à 23:53:20 :

Le 15 août 2022 à 23:41:55 :
+1 Ce sont des super idiots.
Je me souviens de l'époque ou les smartphones ultra-secure de Bull était obligatoire avec des confs spécifiques et sans RS ...

Aujourd'hui on dirait un gouvernement d'ado millenials ou de Tik-Tokeur + Reseaux sociaux ultra-stupide qui comprennent pas l'importance de ça ... Comment des abrutis comme ça ont pu être élu séireux ?

Dans son programme 2022

Personne ne lui a expliqué que l'on ne pouvait pas faire une MITM sur un site HTTPS avec un choix poursuivre ou refuser, soit il bloque tout, soit il ne bloque rien, ce censeur

Avec un Bluecoat ou un Squid + SSL Bump tu peux faire du MITM mais ça veut dire pouvoir tout lire (donc surveillance généralisé)
Ensuite, aussi faut seulement lire le servername en clair dans le Client-Hello en TLS en ayant une base de site autorisé, mais tu as pas de controle pour le payement
Après, s'il y a un filtrage, ça sera surement au niveau des banques, qui empocheront le payement depuis un site suspect ... Mais si le pirate à tes numero de CB, ça reste chaud tant que le 3Dsecure n'est pas obligatoire partout.

Le 16 août 2022 à 00:03:18 :

Le 15 août 2022 à 23:53:20 :

Le 15 août 2022 à 23:41:55 :
+1 Ce sont des super idiots.
Je me souviens de l'époque ou les smartphones ultra-secure de Bull était obligatoire avec des confs spécifiques et sans RS ...

Aujourd'hui on dirait un gouvernement d'ado millenials ou de Tik-Tokeur + Reseaux sociaux ultra-stupide qui comprennent pas l'importance de ça ... Comment des abrutis comme ça ont pu être élu séireux ?

Dans son programme 2022

Personne ne lui a expliqué que l'on ne pouvait pas faire une MITM sur un site HTTPS avec un choix poursuivre ou refuser, soit il bloque tout, soit il ne bloque rien, ce censeur

Avec un Bluecoat ou un Squid + SSL Bump tu peux faire du MITM mais ça veut dire pouvoir tout lire (donc surveillance généralisé)
Ensuite, aussi faut seulement lire le servername en clair dans le Client-Hello en TLS en ayant une base de site autorisé, mais tu as pas de controle pour le payement
Après, s'il y a un filtrage, ça sera surement au niveau des banques, qui empocheront le payement depuis un site suspect ... Mais si le pirate à tes numero de CB, ça reste chaud tant que le 3Dsecure n'est pas obligatoire partout.

Non ils ne peuvent pas faire une MITM sous HTTPS, ils peuvent juste bloquer le site comme avec un DNS menteur, donc pas de message d'avertissement pour son "filtre anti-arnaques"

Mais DNS over HTTPS par défaut se généralise
SNI est remplacé par eSNI
Et OCSP par SCVP(server-side, le serveur récupère lui-même régulièrement une signature)

Donc ils ne pourront bientôt même plus censurer, et les VPN se généralisent

Le 16 août 2022 à 00:06:20 :

Le 16 août 2022 à 00:03:18 :

Le 15 août 2022 à 23:53:20 :

Le 15 août 2022 à 23:41:55 :
+1 Ce sont des super idiots.
Je me souviens de l'époque ou les smartphones ultra-secure de Bull était obligatoire avec des confs spécifiques et sans RS ...

Aujourd'hui on dirait un gouvernement d'ado millenials ou de Tik-Tokeur + Reseaux sociaux ultra-stupide qui comprennent pas l'importance de ça ... Comment des abrutis comme ça ont pu être élu séireux ?

Dans son programme 2022

Personne ne lui a expliqué que l'on ne pouvait pas faire une MITM sur un site HTTPS avec un choix poursuivre ou refuser, soit il bloque tout, soit il ne bloque rien, ce censeur

Avec un Bluecoat ou un Squid + SSL Bump tu peux faire du MITM mais ça veut dire pouvoir tout lire (donc surveillance généralisé)
Ensuite, aussi faut seulement lire le servername en clair dans le Client-Hello en TLS en ayant une base de site autorisé, mais tu as pas de controle pour le payement
Après, s'il y a un filtrage, ça sera surement au niveau des banques, qui empocheront le payement depuis un site suspect ... Mais si le pirate à tes numero de CB, ça reste chaud tant que le 3Dsecure n'est pas obligatoire partout.

Non ils ne peuvent pas faire une MITM sous HTTPS, ils peuvent juste bloquer le site comme avec un DNS menteur, donc pas de message d'avertissement pour son "filtre anti-arnaques"

Mais DNS over HTTPS par défaut se généralise
SNI est remplacé par eSNI
Et OCSP par SCVP(server-side, le serveur récupère lui-même régulièrement une signature)

Donc ils ne pourront bientôt même plus censurer, et les VPN se généralisent

Et s'ils proposent aux golems d'installer un certificat racine de confiance dans le navigateur via les FAI "pour leur sécurité", les navigateurs le bloqueront, le Kazakhstan a déjà essayé deux fois de faire des MITM de cette manière, tous les navigateurs ont ban le certificat

Le 16 août 2022 à 00:09:17 :
Ouais apparemment y'a eu un run avec le docker composite du coup ca a créé un troubleshooting et y'a des blocks qui sont passés à la trappe malheureusement...
c'est pour que ça que le merge a été reporté, tant qu'ils auront pas réglé l'unit testing et le browser testing ca sera pas possible de passer en IDE runing par le gulpfile

D'accord le golem

Le 16 août 2022 à 00:09:36 :
La DGSI est trop occupée à surveiller les Corentins du forome ils peuvent pas être partout

+ le harcelement de marlene schiappa sur twitter
la dgsi est bien occupée, mais peut etre que macron devrait embaucher le bègue imberbe pour sauver la france d'israel

Le 16 août 2022 à 00:13:31 :

Le 16 août 2022 à 00:09:36 :
La DGSI est trop occupée à surveiller les Corentins du forome ils peuvent pas être partout

+ le harcelement de marlene schiappa sur twitter
la dgsi est bien occupée, mais peut etre que macron devrait embaucher le bègue imberbe pour sauver la france d'israel

Je n'ai pas envie de travailler pour un gouvernement

Le 15 août 2022 à 23:37:36 :
Antoinephorum ahi

Ah ouais je me disais, faut vraiment que je fasse gaffe au pseudo avant de rentrer dans un topic.

En plus ce fdp parle comme si on était tous développer web, j'avais envie de l'insulter, je comprends mieux

Le 16 août 2022 à 00:16:56 :

Le 15 août 2022 à 23:37:36 :
Antoinephorum ahi

Ah ouais je me disais, faut vraiment que je fasse gaffe au pseudo avant de rentrer dans un topic.

En plus ce fdp parle comme si on était tous développer web, j'avais envie de l'insulter, je comprends mieux

Rien à voir avec le développement web ici le golem
C&C = https://www.varonis.com/fr/blog/quest-ce-que-le-cc

Le 16 août 2022 à 00:16:58 :

Le 16 août 2022 à 00:15:08 :

Le 16 août 2022 à 00:14:11 :

Le 16 août 2022 à 00:13:31 :

Le 16 août 2022 à 00:09:36 :
La DGSI est trop occupée à surveiller les Corentins du forome ils peuvent pas être partout

+ le harcelement de marlene schiappa sur twitter
la dgsi est bien occupée, mais peut etre que macron devrait embaucher le bègue imberbe pour sauver la france d'israel

Je n'ai pas envie de travailler pour un gouvernement

comment tu t'es formé en info?
études ou t'es passionné?
comment apprendre le "déploiement"? genre relier des apps à des serveurs sur docker

Partout, je n'ai pas quitté mon PC depuis que j'ai au moins 7 ans
Tout s'apprend à force de se documenter et d'expérimenter, se poser des questions, etc. il ne doit pas y avoir de ressource unique

t'es un bon antoine
je lis souvent tes topics
ça se voit que t'es une tête
mais les low IQ te voient comme une menace alors ils te salissent

Croire que macron est stupide

Not ready

Le 15 août 2022 à 23:30:39 :
Leurs smartphones qui ont reçu des exploits de Pegasus
Ils n'ont RIEN remarqués

Pourtant le spyware laissait de nombreuses traces comme cette analyse médico-légale le montre https://www.amnesty.org/en/latest/research/2021/07/forensic-methodology-report-how-to-catch-nso-groups-pegasus/

Même les requêtes DNS n'ont pas été log
Regardez la gueule du C&C

https://d9z3sz93x5ueidq3.get1tn0w.free247downloads[.]com/rdEN5YP

Pire encore, après la publication de l'enquête, leurs services (DGSI, DGSE etc.) ont demandés de l'aide au Citizen Lab pour regarder les logs des smartphones de Macron, car visiblement ils n'arrivaient pas à le faire eux-mêmes (ils étaient suffisamment en panique pour que la presse relaye leur appel à l'aide)

Je précise que Pegasus s'efforce de supprimer les journaux et que le spyware / RAT a été supprimé à distance des smartphones infectés, par la plupart des opérateurs, dès que l'affaire a éclatée dans la presse

Vous pouvez retrouver des détails sur l'un des exploits zero-click utilisé par Pegasus ici https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html

Plus une personne est importante, plus le risque qu'elle soit ciblée par une zero-day sophistiquée augmente, l'affaire Pegasus n'a RIEN d'impressionnant

Cependant, les zero-days doivent être utilisées avec parcimonie car leur durée de vie est limitée, par exemple, une victime intelligente pourrait capturer l'exploit et le voler

Aussi, le dépassement de tampon peux sur certains exploits faire crasher le processus, et un rapport d'erreur peux être envoyé à l'éditeur du logiciel, révélant la vulnérabilité

Rappelons que le smartphone de Macron ne fait, de toute évidence, aucun dump de la mémoire et du registre du processeur, et ne l'envoi donc pas continuellement à un serveur distant
Cela représentait pourtant une opportunité de détecter et voler la zero-day, pour une utilisation future

Au passage, rappelons que Macron utilise deux smartphones iOS, qui n'est pas open source (contrairement à Android)

Enfin, la meilleure façon de se protéger des zero-days consiste à compartimenter dans des VM différentes tâches, Qubes OS par exemple peux exécuter des VM (Windows, Linux etc.)

Pour les application de messagerie, le même principe pourrait être fait en compartimentant toutes les API appelées lors d'une conversation (et la conversation elle-même)

ou on peut voir les leaks?

Le 16 août 2022 à 00:23:17 :
Croire que macron est stupide

Not ready

Il ne raconte que des conneries (voir encore récemment son programme, et ses bêtises concernant "l'anonymat sur Internet" ETC.)

CNI obligatoire sur les réseaux sociaux

Démocratisation des VPNs, rendant très difficile voir impossible (dans certains cas) l'identification d'une personne
Mise en vente de fausses CNI 1$ la validation

On rappel l'argument de départ

"Avec la carte d'identité, les gens sauront qu'ils ne sont pas anonymes et n'auront plus ce sentiment d'impunité"

De plus, la censure des sites pornos, de RT, sites de streaming etc. favorisera grandement l'utilisation des VPNs, encore plus quand cela se fera via des blocages IP (déjà autorisés par la loi), les gens auront donc déjà tout ce qu'il faut à leur disposition

Par ailleurs, ces mesures favoriseront pour le coup des messages pas très gentils envoyés sur les réseaux sociaux, bien plus que sous un pseudo reliée à une email et téléphone perso, avec l'IP du FAI résidentiel sur un compte vieux de 5 ans