Toujours la tête dans les étoiles | ingénieure au @CNRS 👩💻🏳️🌈 🏳️⚧️ | Ex élue et VPE Adj @GrenobleINP | ☭ communist askip | Pionnière @GrenobleAlpes 🗻
Entre Berlin et Grenoble
Joined December 2013
- Tweets115K
- Following591
- Followers637
- Likes137K
Ꮧ retweeted
Bonjour, je viens d'auditer le site.
Le formulaire est 100% coté navigateur et ne fait que générer un CERFA pré-rempli pour son inscription sur les listes électorales.
Vous pouvez donc laisser tranquille la CNIL et compagnie👍
Ꮧ retweeted
On Friday the 15th of May, we became aware of a fingerprinting issue affecting Mullvad users.
We have a method which changes this behaviour currently being tested, with plans to begin rolling it out to our VPN servers in the coming weeks.
Read more here: mullvad.net/blog/exit-ip-fin…
Ꮧ retweeted
Hacking the #EU #AgeVerification app in under 2 minutes.
During setup, the app asks you to create a PIN. After entry, the app *encrypts* it and saves it in the shared_prefs directory.
1. It shouldn't be encrypted at all - that's a really poor design.
2. It's not cryptographically tied to the vault which contains the identity data.
So, an attacker can simply remove the PinEnc/PinIV values from the shared_prefs file and restart the app.
After choosing a different PIN, the app presents credentials created under the old profile and let's the attacker present them as valid.
Other issues:
1. Rate limiting is an incrementing number in the same config file. Just reset it to 0 and keep trying.
2. "UseBiometricAuth" is a boolean, also in the same file. Set it to false and it just skips that step.
Seriously @vonderleyen - this product will be the catalyst for an enormous breach at some point. It's just a matter of time.
.@vonderleyen "The European #AgeVerification app is technically ready. It respects the highest privacy standards in the world. It's open-source, so anyone can check the code..."
I did. It didn't take long to find what looks like a serious #privacy issue.
The app goes to great lengths to protect the AV data AFTER collection (is_over_18: true is AES-GCM'd); it does so pretty well.
But, the source image used to collect that data is written to disk without encryption and not deleted correctly.
For NFC biometric data:
It pulls DG2 and writes a lossless PNG to the filesystem. It's only deleted on success. If it fails for any reason (user clicks back, scan fails & retries, app crashes etc), the full biometric image remains on the device in cache. This is protected with CE keys at the Android level, but the app makes no attempt to encrypt/protect them.
For selfie pictures:
Different scenario. These images are written to external storage in lossless PNG format, but they're never deleted. Not a cache... long-term storage. These are protected with DE keys at the Android level, but again, the app makes no attempt to encrypt/protect them.
This is akin to taking a picture of your passport/government ID using the camera app and keeping it just in case. You can encrypt data taken from it until you're blue in the face... leaving the original image on disk is crazy & unnecessary.
From a #GDPR standpoint:
Biometric data collected is special category data. If there's no lawful basis to retain it after processing, that's potentially a material breach.
youtube.com/watch?v=4VRRriyD…
Ꮧ retweeted
🇪🇺 L’app European Age Verification est vendue comme open source, privacy-by-design et ultra-respectueuse de la vie privée...
⚠️ Pourtant, sa doc officielle donne le mode d’emploi exact pour que quelqu’un (police, services de renseignement, cabinet du Premier ministre…) puisse se placer au milieu des échanges de l’app et lire ou modifier les données en toute discrétion !!
🚨 La backdoor MITM est intégrée au cœur technique de tout le projet EUDI Wallet / European Digital Identity
Dites non à la surveillance de masse abusive et protégez le futur de vos enfants contre ces gens 🤥
👁️ #AgeVerification #Backdoor
Heu ... lol
C'est le SDK du wallet de l'European Digital Identity ça ? Dites moi que c'est une blague pitié 🤣
Le MITM documenté c'est pour la police ou le cab du premier ministre ?
ageverification.dev/av-app-i…
Qui d’autre que chicagre ?
Quelle ville mériterait, pour vous, le titre de "Capitale des Alpes" ? 🏔️ #MilanoCortina2026 #JO2026
ALT Bien que Grenoble 🇫🇷 et Innsbruck 🇦🇹 soient "officieusement" les deux capitales des Alpes, ce ne sont pas les seules réponses possibles dans le cadre de ce petit sondage bien entendu 😉🌍
ça c’est vrm le tweet de qqn qui connaît pas le taff de beta gouv et la DINUM
le CNRS aussi a fait un accord avec Mistral AI ! sous le nom de Emmy (pour Emmy Noether
Ꮧ retweeted
🌋 Foto di Luigi Crispi della colata lavica emessa da una bocca eruttiva nella Valle del Bove, Etna.
La bocca effusiva attiva nella Valle del Bove si trova in prossimità di Monte Simone, a una quota circa di 2.100 MT, e si spinge fino a 1.580 MT.
Ꮧ retweeted
Firefox is adding AI to the web browser.
Yeah, I'm killing myself tonight.
phoronix.com/news/Mozilla-Ne…
Ꮧ retweeted
Cyberattaque du ministère de l’Intérieur : il y a 2 h, des hackers ont publié une capture de la page d’accueil du portail CHEOPS de la Police nationale.
Dans les champs identifiant / mot de passe, ils ont rempli le lien de leur chaîne Telegram avec un « WE ARE STILL HERE ».
Plusieurs choses à relever ici :
- Si tu veux narguer les autorités, tu ne fais pas une capture de la page d’accueil. Tu fais une capture quand tu es authentifié.
- Les gars, vous n’avez même pas pris une capture de vous authentifiés sur le portail ? Vous n’avez que ça à montrer ?
- Si c’est un moyen d’essayer de faire pression en vue d’une éventuelle négociation, c’est particulièrement mal fait.
- Ce n’est pas parce qu’ils publient maintenant que l’accès date de maintenant. La capture peut dater de plusieurs jours.
- Ce qui est sûr, c’est que le domaine n’est pas accessible depuis l’extérieur. Comme cela a été confirmé par le ministère, ils ont donc bien eu accès au réseau interne.
Cyberattaque contre le ministère de l’Intérieur : l’attaquant n’a PAS les 16 millions de données.
En tout cas, ce n’est pas ce qui ressort de son message.
Il dénonce le fait que 16 millions de personnes se trouvent dans cette base. Il dit avoir accédé aux données, pas les avoir exfiltrées.
Il parle de 16 millions de personnes listées dans “your police file” (au singulier), puis évoque ensuite deux fichiers : le TAJ et le FPR. Les 16 millions font donc référence à quoi exactement ?
Ce n’est qu’à la fin qu’il mentionne de la “data exfiltrated”, sans en préciser le contenu. Il parle de “government data”, un terme très générique. Pas très vendeur quand on veut vendre des données.
D’habitude, un attaquant dit clairement :
« J’ai extrait les données de 16 millions de citoyens français, voici un échantillon. »
Je ne dis pas qu’il n’a rien. Il a quelque chose.
Je dis simplement que beaucoup ont lu trop vite : il n’a pas exfiltré l’intégralité du TAJ et du FPR.
Ꮧ retweeted
⚠️ Ciblage de téléphones Apple 📱 ⚠️
Le CERT-FR a connaissance de notifications envoyées par Apple le 2 décembre 2025 à des utilisateurs ciblés par des logiciels espions. Si vous en avez été destinataire, contactez le CERT-FR au plus vite ⤵️
cert.ssi.gouv.fr/cti/CERTFR-…
Ꮧ retweeted
Ben… C’est littéralement possible depuis 2019.
Non mais vraiment certaines personnes qui découvrent le code depuis le vibe coding j’ai l’impression de voir des enfants qui apprennent à jouer aux camions.
C’est trop mignon.
** Gousi gousi le petit bébé , oh il est mignon, mais oui localhost c’est un vrai site , mais oui, mais bravo, gousi gousi. ***
Ꮧ retweeted
Un glissement de terrain a eu lieu à la Dent de Crolles. Il est formellement recommandé d’éviter cette zone pour votre sécurité, car d’autres éboulements sont possibles.
ils vendaient des puces pour des missiles qui sont utilisés en palestine et ukraine 🙃
C’est quoi les red flag qui vous ont fait démissionner ?
Moi c’est les titulaires qui me reprochaient de m’assoir devant l’ordi en back office pour passer une commande, qui critiquaient mes conseils parce que « pour un herpès il faut conseiller de l’homéopathie et des vitamines en plus de l’aciclovir pour augmenter le panier moyen », que je devais vendre Gavisconell quand on me demandait du Gaviscon en me soutenant que ce n’était pas la même chose et que le Gavisconell était plus dosé (non).
La goutte de trop ce fut lorsque j’ai demandé pourquoi elles ne demandaient pas le carnet de suivi aux patients pour le clozapine par rapport au risque d’agranulocytose et qu’elles m’ont dit « c’est quoi agranulocytose ? »
Puis elles m’ont dit que j’étais « trop » bonne élève et trop calée sur la pharmaco
🤡🤡🤡