Toujours la tête dans les étoiles | ingénieure au @CNRS 👩💻🏳️🌈 🏳️⚧️ | Ex élue et VPE Adj @GrenobleINP | ☭ communist askip | Pionnière @GrenobleAlpes 🗻
Entre Berlin et Grenoble
Joined December 2013
- Tweets115K
- Following591
- Followers636
- Likes137K
Ꮧ retweeted
Bonjour, je viens d'auditer le site.
Le formulaire est 100% coté navigateur et ne fait que générer un CERFA pré-rempli pour son inscription sur les listes électorales.
Vous pouvez donc laisser tranquille la CNIL et compagnie👍
Ꮧ retweeted
On Friday the 15th of May, we became aware of a fingerprinting issue affecting Mullvad users.
We have a method which changes this behaviour currently being tested, with plans to begin rolling it out to our VPN servers in the coming weeks.
Read more here: mullvad.net/blog/exit-ip-fin…
Ꮧ retweeted
Hacking the #EU #AgeVerification app in under 2 minutes.
During setup, the app asks you to create a PIN. After entry, the app *encrypts* it and saves it in the shared_prefs directory.
1. It shouldn't be encrypted at all - that's a really poor design.
2. It's not cryptographically tied to the vault which contains the identity data.
So, an attacker can simply remove the PinEnc/PinIV values from the shared_prefs file and restart the app.
After choosing a different PIN, the app presents credentials created under the old profile and let's the attacker present them as valid.
Other issues:
1. Rate limiting is an incrementing number in the same config file. Just reset it to 0 and keep trying.
2. "UseBiometricAuth" is a boolean, also in the same file. Set it to false and it just skips that step.
Seriously @vonderleyen - this product will be the catalyst for an enormous breach at some point. It's just a matter of time.
.@vonderleyen "The European #AgeVerification app is technically ready. It respects the highest privacy standards in the world. It's open-source, so anyone can check the code..."
I did. It didn't take long to find what looks like a serious #privacy issue.
The app goes to great lengths to protect the AV data AFTER collection (is_over_18: true is AES-GCM'd); it does so pretty well.
But, the source image used to collect that data is written to disk without encryption and not deleted correctly.
For NFC biometric data:
It pulls DG2 and writes a lossless PNG to the filesystem. It's only deleted on success. If it fails for any reason (user clicks back, scan fails & retries, app crashes etc), the full biometric image remains on the device in cache. This is protected with CE keys at the Android level, but the app makes no attempt to encrypt/protect them.
For selfie pictures:
Different scenario. These images are written to external storage in lossless PNG format, but they're never deleted. Not a cache... long-term storage. These are protected with DE keys at the Android level, but again, the app makes no attempt to encrypt/protect them.
This is akin to taking a picture of your passport/government ID using the camera app and keeping it just in case. You can encrypt data taken from it until you're blue in the face... leaving the original image on disk is crazy & unnecessary.
From a #GDPR standpoint:
Biometric data collected is special category data. If there's no lawful basis to retain it after processing, that's potentially a material breach.
youtube.com/watch?v=4VRRriyD…
Ꮧ retweeted
🇪🇺 L’app European Age Verification est vendue comme open source, privacy-by-design et ultra-respectueuse de la vie privée...
⚠️ Pourtant, sa doc officielle donne le mode d’emploi exact pour que quelqu’un (police, services de renseignement, cabinet du Premier ministre…) puisse se placer au milieu des échanges de l’app et lire ou modifier les données en toute discrétion !!
🚨 La backdoor MITM est intégrée au cœur technique de tout le projet EUDI Wallet / European Digital Identity
Dites non à la surveillance de masse abusive et protégez le futur de vos enfants contre ces gens 🤥
👁️ #AgeVerification #Backdoor
Heu ... lol
C'est le SDK du wallet de l'European Digital Identity ça ? Dites moi que c'est une blague pitié 🤣
Le MITM documenté c'est pour la police ou le cab du premier ministre ?
ageverification.dev/av-app-i…
Ꮧ retweeted
🌋 Foto di Luigi Crispi della colata lavica emessa da una bocca eruttiva nella Valle del Bove, Etna.
La bocca effusiva attiva nella Valle del Bove si trova in prossimità di Monte Simone, a una quota circa di 2.100 MT, e si spinge fino a 1.580 MT.
Ꮧ retweeted
Firefox is adding AI to the web browser.
Yeah, I'm killing myself tonight.
phoronix.com/news/Mozilla-Ne…
Ꮧ retweeted
Cyberattaque du ministère de l’Intérieur : il y a 2 h, des hackers ont publié une capture de la page d’accueil du portail CHEOPS de la Police nationale.
Dans les champs identifiant / mot de passe, ils ont rempli le lien de leur chaîne Telegram avec un « WE ARE STILL HERE ».
Plusieurs choses à relever ici :
- Si tu veux narguer les autorités, tu ne fais pas une capture de la page d’accueil. Tu fais une capture quand tu es authentifié.
- Les gars, vous n’avez même pas pris une capture de vous authentifiés sur le portail ? Vous n’avez que ça à montrer ?
- Si c’est un moyen d’essayer de faire pression en vue d’une éventuelle négociation, c’est particulièrement mal fait.
- Ce n’est pas parce qu’ils publient maintenant que l’accès date de maintenant. La capture peut dater de plusieurs jours.
- Ce qui est sûr, c’est que le domaine n’est pas accessible depuis l’extérieur. Comme cela a été confirmé par le ministère, ils ont donc bien eu accès au réseau interne.
Cyberattaque contre le ministère de l’Intérieur : l’attaquant n’a PAS les 16 millions de données.
En tout cas, ce n’est pas ce qui ressort de son message.
Il dénonce le fait que 16 millions de personnes se trouvent dans cette base. Il dit avoir accédé aux données, pas les avoir exfiltrées.
Il parle de 16 millions de personnes listées dans “your police file” (au singulier), puis évoque ensuite deux fichiers : le TAJ et le FPR. Les 16 millions font donc référence à quoi exactement ?
Ce n’est qu’à la fin qu’il mentionne de la “data exfiltrated”, sans en préciser le contenu. Il parle de “government data”, un terme très générique. Pas très vendeur quand on veut vendre des données.
D’habitude, un attaquant dit clairement :
« J’ai extrait les données de 16 millions de citoyens français, voici un échantillon. »
Je ne dis pas qu’il n’a rien. Il a quelque chose.
Je dis simplement que beaucoup ont lu trop vite : il n’a pas exfiltré l’intégralité du TAJ et du FPR.
Ꮧ retweeted
⚠️ Ciblage de téléphones Apple 📱 ⚠️
Le CERT-FR a connaissance de notifications envoyées par Apple le 2 décembre 2025 à des utilisateurs ciblés par des logiciels espions. Si vous en avez été destinataire, contactez le CERT-FR au plus vite ⤵️
cert.ssi.gouv.fr/cti/CERTFR-…
Ꮧ retweeted
Ben… C’est littéralement possible depuis 2019.
Non mais vraiment certaines personnes qui découvrent le code depuis le vibe coding j’ai l’impression de voir des enfants qui apprennent à jouer aux camions.
C’est trop mignon.
** Gousi gousi le petit bébé , oh il est mignon, mais oui localhost c’est un vrai site , mais oui, mais bravo, gousi gousi. ***
Ꮧ retweeted
Un glissement de terrain a eu lieu à la Dent de Crolles. Il est formellement recommandé d’éviter cette zone pour votre sécurité, car d’autres éboulements sont possibles.
Ꮧ retweeted
On ne poste pas beaucoup ces temps-ci, mais c'est parce qu'on a 2, 3 trucs à faire. Du genre... partir en Égypte pour tenter de filmer une espèce animale qui n'a été aperçue qu'une seule fois ?! 😯
C'est le projet fou d'un membre d'AurorAlpes, on vous raconte tout ça ! ⬇️
Ꮧ retweeted
Le cambriolage du Louvre a l'air de choquer beaucoup plus que les enlèvements sanglants de fondateurs de boîtes de cryptomonnaies ou de leurs familles. Ce sens bien français du sacré : la pierre et le patrimoine national avant la vie.
Ꮧ retweeted
Someone developed (and submitted) a “detect-fash” utility for systemd.
“A utility to detect problematic software and configurations”
It searches Linux systems for installations of the Ladybird Web Browser, Hyprland, or if the system is Omarchy Linux.
It also contains code to detect if the user is @DHH (creator of Ruby on Rails & Omarchy).
“systemd-detect-fash detects execution in a fascist environment. It identifies the fascist technology and can distinguish full machine fascism from installed fashware. systemd-detect-fash exits with a return value of 0 (success) if a fascism technology is detected, and non-zero (error) otherwise.”
The code for “detect-fash” was ultimately rejected.
However…
Red Hat employee, and systemd developer, Zbigniew Jędrzejewski-Szmek reviewed the code and had this to say:
“This is actually fairly well written and complete. Kudos! But such a tool is not a good fit for systemd.”
Ꮧ retweeted
Ça n’a aucun sens de payer des retraites à 4000 balles à des gens qui possèdent leur maison et ont un beau patrimoine, la priorité est d’offrir une retraite décente à tout le monde et de protéger ce droit
Ꮧ retweeted
👊« Nous avons l’honneur d’avoir apporté notre grain de sable à la lutte pour la libération des colonies en #Afrique et à la lutte contre l’une des formes les plus détestables d’#injustice et d’#oppression, l’#apartheid en Afrique du Sud🇿🇦»
-🇨🇺FIDEL #100AñosConFidel
“Tenemos el honor de haber puesto un grano de arena en la lucha por la liberación de las colonias en el #África y en la lucha contra una de las formas más detestables de injusticia y de opresión que fue el apartheid en Sudáfrica”. FIDEL
#100AñosConFidel
