Alors voilà, si vous habitez en Europe et que vous refusez obstinément de passer à Windows 11, j’ai une excellente nouvelle pour vous les amis !! Microsoft vient en effet de céder face à la pression européenne et rend les mises à jour de sécurité étendues (ESU) de Windows 10 complètement gratuites pour les utilisateurs de l’Espace Économique Européen. Oui, vous avez bien lu, gratuit. Enfin presque, on va voir ça…

Pour ceux d’entre vous qui ne savent pas ce que c’est l’EEA, ça regroupe les 27 pays de l’Union Européenne, plus l’Islande, le Liechtenstein et la Norvège. Hé oui, si vous êtes au Royaume-Uni, désolé les gars, mais le Brexit ça se paye aussi en mises à jour Windows apparemment. Vous devrez donc casquer 30 dollars ou utiliser 1000 points Microsoft Rewards comme le reste du monde.

Mais attendez, pourquoi Microsoft fait ça ?

Hé bien parce que le groupe de défense des consommateurs Euroconsumers leur a mis une pression monstre en les accusant d’obsolescence programmée, car ils ont prévu d’arrêter le support en octobre. D’après Euroconsumers , 22% des utilisateurs européens ont encore des PC de 2017 ou avant, et ces machines ne peuvent tout simplement pas faire tourner Windows 11. Microsoft les forçait donc soit à acheter un nouveau PC, soit à prendre de gros risques de sécurité…

Car Windows 10 c’est encore 45% de parts de marché environ, ce qui représente presque la moitié des utilisateurs Windows dans le monde ! Complètement dingue !

À la base, Microsoft a quand même essayé de jouer au plus malin en proposant 3 options aux utilisateurs hors Europe à savoir soit payer 30 dollars, soit échanger 1000 points de fidélité, ou alors, tenez-vous bien… synchroniser toutes leurs données dans le cloud Microsoft (!!). C’était ça ou rien et Euroconsumers a immédiatement crié au scandale en disant que “lier l’accès aux mises à jour de sécurité essentielles à l’engagement avec les propres services de Microsoft” soulevait des doutes “raisonnables” sur le respect du Digital Markets Act européen (DMA).

Bref, Microsoft a plié (ahaha les faibles !) et annonce maintenant que dans l’EEA, les mises à jour seront gratuites jusqu’en octobre 2026. Mais attention, ce n’est pas non plus open bar total, car vous devrez quand même avoir un compte Microsoft et vous connecter au moins une fois tous les 60 jours. Si vous oubliez, paf, plus de mises à jour… C’est le seul compromis un peu mesquin que Microsoft ait réussi à garder.

Et voilà comment votre vieux PC de 2017 qui fait tourner Windows 10 vient de devenir un vrai symbole de résistance !! Microsoft a même publié un communiqué très corporate pour expliquer leur décision : “Dans l’Espace économique européen, nous apportons des modifications au processus d’inscription pour nous assurer qu’il réponde aux attentes locales et offre une expérience sécurisée et rationalisée”.

À vos souhaits !

Bref, on s’est fait taper sur les doigts et on préfère esquiver une joie amende de plusieurs milliards plutôt que de jouer les rebelzzz.

Et pour les utilisateurs hors Europe qui veulent quand même ces mises à jour gratuites, il existe visiblement des scripts open source et des méthodes de contournement dont on reparlera surement plus tard…

Et dire qu’ils auraient pu éviter ce bordel en rendant Windows 11 compatible avec plus de machines, mais non, ils ont voulu forcer leur TPM 2.0 et les processeurs de 8e génération, et voilà, ils se privent de plus de la moitié de leurs utilisateurs qui vont surement migrer sous Linux…

Maintenant pour activer ces mises à jour gratuites si vous êtes en Europe, il faudra aller dans les paramètres de Windows Update après octobre 2025 et suivre le processus d’inscription. Et surtout, n’oubliez pas de vous connecter avec votre compte Microsoft tous les deux mois, sinon vous perdrez l’accès à ces updates… Oui, je sais, la vie est cruelle. Et si vous êtes hors Europe… bah venez habitez chez nous, c’est chouette !

Source

Ce qui est super relou avec les IA qu’on peut utiliser en local, genre avec Ollama, c’est que si on lui demande des infos un peu trop récente, ça nous sort des vieux chiffres de 2023 avec la confiance d’un vendeur de voitures d’occasion. Bon bah ça, c’est fini puisqu’ Ollama vient de sortir une API de recherche web qui permet enfin à vos modèles locaux d’accéder à des infos fraîches dispo sur le net.

Woohoo \o/ !

Baptisée Ollama Web Search, cette API REST permet donc à vos modèles de faire des recherches sur le web en temps réel comme ça plus besoin de se contenter des données d’entraînement figées dans le temps. Selon la doc officielle , l’API fournit “les dernières informations du web pour réduire les hallucinations et améliorer la précision”. En gros, votre IA locale devient aussi à jour que ChatGPT, mais sans envoyer vos données perso à OpenAI.

Les modèles compatibles avec cette nouvelle fonctionnalité incluent qwen3, LLama, gpt-oss (la version open source d’OpenAI), deepseek-v3.1, et plein d’autres. Et d’après les premiers tests de la communauté , qwen3 et gpt-oss sont même plutôt doués pour exploiter cette fonctionnalité. Le modèle comprend qu’il lui manque une info, fait sa recherche, analyse les résultats et nous sort une réponse documentée !

C’est trop incrrrr ! Vous allez pouvoir booster vos scripts / bots / outils d’IA locale pour qu’ils puissent surveiller des choses dispo en ligne, les comparer, générer des résumés à partir de sites web, fact checker ou compléter des infos…etc.

Mais alors comment s’en servir ? Bon, on est vendredi soir et j’ai la flemme de tourner un tuto vidéo, donc même si je risque de détailler tout ça bientôt à mes Patreons d’amour , voici quand même quelques explications.

D’abord, il faut créer une clé API Ollama . La doc explique que vous avez un essai gratuit généreux pour commencer, mais s’il vous en faut plus, il faudra prendre un petit abonnement Ollama Cloud …

Une fois votre clé en poche, exportez-la dans votre environnement comme ceci :

export OLLAMA_API_KEY="votre_clé_ici"

Le plus simple ensuite pour tester, c’est avec curl :

curl https://ollama.com/api/web_search \ --header "Authorization: Bearer $OLLAMA_API_KEY" \ -d '{ "query": "dernières vulnérabilités CVE janvier 2025" }'

Mais bon, soyons honnêtes, on va plutôt utiliser Python car c’est quand même plus cool ;-) . Voici donc un exemple de script basique qui compare une réponse avec et sans recherche web :

import ollama
from ollama import chat, web_search, web_fetch

model = "qwen3:4b"

# 1. Sans recherche web
response_classic = chat( # pas ollama.chat
 model=model,
 messages=[{
 "role": "user",
 "content": "Quelles sont les features de React 19?"
 }]
)
print("Sans recherche web:", response_classic.message.content[:500]) # .message.content

# 2. Avec recherche web
search_results = web_search("React 19 features dernières nouveautés")
print("Résultats:", search_results)

# 3. Avec outils
available_tools = {'web_search': web_search, 'web_fetch': web_fetch}
messages = [{
 "role": "user",
 "content": "Utilise la recherche web pour me dire les dernières features de React 19"
}]

response_with_tools = chat(
 model=model,
 messages=messages,
 tools=[web_search, web_fetch],
 think=True
)

# Accès aux tool_calls
if response_with_tools.message.tool_calls:
 for tool_call in response_with_tools.message.tool_calls:
 function_to_call = available_tools.get(tool_call.function.name)
 if function_to_call:
 args = tool_call.function.arguments
 result = function_to_call(**args)
 print(f"Outil utilisé: {tool_call.function.name}")
 print(f"Résultat: {str(result)[:500]}...")

print("Réponse finale:", response_with_tools.message.content)

import ollama
from ollama import chat, web_search

class SecurityAgent:
 def __init__(self):
 self.model = "qwen3:4b"

 def check_vulnerabilities(self, technologies):
 rapport = "🛡️ RAPPORT SÉCURITÉ\n\n"

 for tech in technologies:
 # Recherche directe des CVE récentes
 results = web_search(f"{tech} CVE vulnerabilities 2025 critical")

 # Demande au modèle d'analyser
 response = chat(
 model=self.model,
 messages=[{
 "role": "user",
 "content": f"Résume les vulnérabilités critiques de {tech}: {results}"
 }]
 )

 rapport += f"### {tech}\n{response.message.content}\n\n"

 return rapport

# Utilisation
agent = SecurityAgent()
rapport = agent.check_vulnerabilities(["Node.js", "PostgreSQL", "Docker"])
print(rapport)

from ollama import web_search, web_fetch, chat

# 1. Recherche d'articles pertinents
search_results = web_search("React 19 vs Vue 3 comparison 2025")
top_url = search_results.results[0]['url'] # ou .url selon le type
print(f"📰 Article trouvé: {search_results.results[0]['title']}")

# 2. Récupération du contenu complet de la page
page_content = web_fetch(top_url)
print(f"📄 {len(page_content.content)} caractères récupérés")

# 3. Analyse approfondie du contenu
response = chat(
 model="qwen3:4b", # ou "gpt-oss" si disponible
 messages=[{
 "role": "user",
 "content": f"""
 Analyse cette comparaison technique:
 {page_content.content[:4000]}

 Donne-moi:
 1. Les points clés de chaque framework
 2. Le gagnant selon l'article
 3. Les cas d'usage recommandés
 """
 }]
)

print(f"\n🔍 Analyse:\n{response.message.content}")

Vous vous souvenez peut-être de mon article récent sur LockPass, le gestionnaire de mots de passe français certifié ANSSI ? Eh bien, à l’approche des Assises de la cybersécurité à Monaco, c’est l’occasion de vous en dire plus sur LockSelf et sa suite d’outils cyber pour la protection des mots de passe et fichiers. Ils seront présents du 8 au 11 octobre 2025 sur l’événement, stand B05.

Car les Assises c’est LE rendez-vous annuel de référence pour tous les professionnels de la cybersécurité. Échanges entre pairs, découverte de nouveaux outils et visibilité sur l’évolution des solutions. C’est donc le moment PARFAIT pour aller les voir. Cette année, avec le thème « FuturS : la cybersécurité au service des métiers et de la création de valeur » , on va enfin arrêter de voir la sécurité comme une contrainte mais plutôt comme un véritable atout business.

D’ailleurs, petite info sympa, qu’il est toujours bon de rappeler, LockSelf propose exceptionnellement un essai gratuit de 30 jours pour l’occasion. Donc vous pouvez vous inscrire ici si vous voulez tester avant de faire le déplacement.

Mais revenons à nos moutons. Pourquoi LockSelf mérite votre attention aux Assises ? Eh bien j’ai identifié trois bonnes raisons qui vont vous faire comprendre pourquoi cette suite française cartonne autant.

Pour commencer, parlons de quelque chose qui va vous faire gagner un temps précieux : la conformité réglementaire. Avec LockSelf, finies les prises de tête avec NIS2, DORA ou ISO 27001. Leur suite vous permet de gérer finement les droits d’accès aux données de votre entreprise, avec des règles granulaires pour chaque utilisateur ou groupe. Que ce soit pour les mots de passe, les fichiers ou les transferts sensibles, vous pouvez limiter, déléguer ou ajuster les permissions selon les rôles, les besoins métiers ou l’appartenance à un service.

Et surtout, leur Dashboard centralisé, c’est de l’or en barre pour les administrateurs. Il centralise en temps réel tous les indicateurs clés de vos modules LockSelf et vous offre une vue panoramique sur la santé et la sécurité de vos données. Plus d’une centaine de métriques à votre disposition, avec suivi des accès, analyse des comportements, traçabilité des actions et reporting. La section “logs” peut même s’exporter et vaut pour preuve en cas d’audit.

LockSelf propose aussi une interconnexion native avec la plateforme SOC Sekoia, et peut s’interfacer avec n’importe quel SIEM/SOC grâce à son API. Plutôt pratique pour centraliser vos informations de sécurité et automatiser la détection des menaces.

Autre point important côté conformité : la gestion des accès partenaires. LockSelf permet de créer des accès temporaires, de partager en mode aveugle et de révoquer ou ajuster les droits à tout moment. Parfait pour sécuriser les collaborations avec des tiers tout en respectant le principe du moindre privilège.

Et pour la continuité d’activité (PCA/PRA), LockFiles facilite les sauvegardes externalisées tandis que LockTransfer met à disposition une plateforme souveraine, déconnectée du SI, pour échanger en cas de crise, ce qui est un énorme avantage pour rester opérationnel même dans un contexte très tendu.

D’ailleurs, ils ont un super cas d’usage d’un de leurs clients sur l’utilisation de LockSelf dans le cadre d’une cyberattaque (résolue en moins de 24h !). Si vous voulez un retour d’expérience concret, c’est ici.

Deuxième point qui va vous parler : l’alternative française à WeTransfer. Vous vous rappelez du tollé de juillet** **2025 ? WeTransfer a modifié ses CGU pour s’autoriser à utiliser vos données pour entraîner leur IA avant de faire machine arrière face à la polémique, mais bon… les entreprises qui manipulent des données sensibles ont vite compris qu’il fallait chercher ailleurs.

C’est là que LockTransfer entre en scène. Cette solution souveraine et sécurisée vous garantit un chiffrement de bout en bout, avec des serveurs hébergés exclusivement en France chez des partenaires reconnus (Scaleway, Outscale) ou directement sur votre infrastructure en On-Premises. Car contrairement à WeTransfer, LockTransfer n’accède à aucun moment à vos données.

Dans le contexte géopolitique actuel, avoir une solution française qui élimine tout risque de fuite liée à des législations extraterritoriales, ce n’est pas du luxe, c’est de la nécessité pure. Et puis, entre nous, montrer pattes blanches sur sa cybersécurité, ça aide aussi à décrocher des contrats avec les grandes entreprises ou les secteurs stratégiques comme la défense ou le spatial.

Troisième atout, et pas des moindres : LockSelf transforme la cybersécurité en avantage business. Comme je vous le disais en intro, c’est pile poil le thème des Assises cette année. On va donc enfin arrêter de voir la cybersécurité comme un frein pour en faire un moteur de création de valeur et LockSelf a cette particularité de répondre aux besoins de la DSI tout en se calquant sur les usages réels des collaborateurs. Résultat, adoption garantie !

Concrètement, c’est du chiffrement des pièces jointes directement dans votre messagerie grâce au plugin Outlook/O365, de l’autocomplétion des champs sur navigateur pour les mots de passe… Bref, des fonctionnalités qui simplifient la vie de vos équipes au lieu de la compliquer.

LockSelf, c’est surtout un éditeur français de solutions de cybersécurité ** certifié CSPN par l’ANSSI**. Cette certification atteste de la robustesse de leurs mécanismes de chiffrement et de la fiabilité de la protection appliquée aux données sensibles. Leur force, c’est donc une solution complète et modulaire : LockPass pour la gestion centralisée des mots de passe, LockTransfer pour l’envoi sécurisé de fichiers, LockFiles pour le stockage chiffré des documents sensibles.

L’approche modulaire permet aux TPE/PME, ETI ou grands groupes de choisir les modules dont elles ont besoin et de renforcer progressivement leur niveau de protection. Et comme tout est développé en France avec un hébergement souverain, vous gardez la maîtrise totale de vos données.

La cybersécurité étant avant tout une fonction “support”, au service des métiers, elle ne doit pas être une barrière mais un levier qui simplifie la vie des collaborateurs, protège les actifs sensibles sans freiner la productivité et c’est pour ça que des outils comme LockSelf vous permettent d’intégrer la cybersécurité comme un atout quotidien pour la sécurité de votre entreprise et la productivité de vos équipes.

Voilà, donc si vous passez aux Assises de la cybersécurité du 8 au 11 octobre 2025, n’hésitez pas à faire un tour sur le stand B05, et à les saluer de ma part ! L’équipe LockSelf sera là pour échanger autour de vos enjeux en matière de gestion des mots de passe, de partage sécurisé de données et de stockage chiffré. Ils pourront également vous accompagner sur l’intégration de leurs solutions dans une stratégie de conformité aux exigences NIS2 et DORA.

En prime, les équipes LockSelf présenteront en avant-première de nouvelles fonctionnalités dédiées à la gestion des accès en entreprise, idéales pour les grands groupes, avant évidemment un déploiement plus large. De quoi avoir un aperçu de ce qui nous attend dans les mois à venir !

À découvrir ici !

On est en septembre, c’est la rentrée, donc c’est l’occasion pour nous tous, de nous inscrire à ces clubs d’activités qui vous permettent de nous occuper afin de ne pas sombrer dans la dépression. Je pense aux clubs de dessin, de foot, de théâtre, et pour les plus fifous d’entre vous, le club de poterie !

Parce que oui, faire des petits boudins en terre pour les empiler afin d’en faire des vases moches, c’est super rigolo ! En plus si vous savez les émailler, vous pouvez même les vendre une couille dans votre petite boutique artisanale ouverte uniquement de 14h à 16h uniquement les jeudis entre mars et juillet.

Mais vous savez ce qui serait encore plus cool ? Ce serait d’utiliser tout cette argile et ce four incroyable pour réaliser des circuits imprimés capables de faire tourner un Arduino… Hé ouais !

Patrícia J. Reis et Stefanie Wuschitz , deux hackeuses du collectif féministe viennois Mz* Baltazar’s Lab, ont en effet développé une technique pour fabriquer des PCB avec de l’argile ramassée en forêt et de la poudre d’argent recyclée à partir de déchets de bijouterie, tout ça cuit à 700°C au feu de bois.

Je me dis que peut-être que nos ancêtres faisaient déjà du hardware sans le savoir… bah oui, leurs tablettes d’argile étaient quand même les premiers supports de stockage de données de l’humanité. Et aujourd’hui, on boucle la boucle en revenant à ces techniques ancestrales pour créer l’électronique du futur post-apocalyptique qui nous attend…

Leur projet est en réalité parti d’un constat assez brutal, car dans nos smartphones et nos ordinateurs, on trouve beaucoup de minerais issus de conflits. Je pense par exemple au tantale qui vient essentiellement de la République Démocratique du Congo et du Rwanda , où 40 000 enfants travaillent illégalement dans les mines. Je pense aussi aux populations de gorilles des plaines orientales qui ont été décimées à cause de l’exploitation du coltan dans le parc national Kahuzi-Biega… etc., etc.

Alors face à ce désastre, les deux hackeuses ont décidé de tester cette alternative radicale. D’abord, elles sortent se balader dans leur forêt autrichienne avec une bouteille d’eau. Elles ramassent de la terre, y versent un peu d’eau, et si ça devient malléable entre les doigts, bingo, c’est de l’argile.

Ensuite, elles nettoient la terre avec une passoire de cuisine pour enlever les cailloux et les insectes, ajoutent 100ml d’eau par kilo de terre, et pétrissent comme pour faire du pain. Ensuite, pour les pistes conductrices, elles utilisent un genre de tampon imprimé en 3D qu’elles appliquent sur la tuile pour dessiner le circuit, ainsi que de la poudre d’argent récupérée dans des ateliers de bijouterie.

Elles peignent alors à la main les circuits sur l’argile avec un pinceau ultra-fin, comme des enluminures électroniques. C’est un processus lent, méditatif, aux antipodes de la production industrielle frénétique.

Et la forme hexagonale qu’elles ont choisie pour leurs PCB n’est pas anodine puisque c’est la forme optimale dans la nature : les alvéoles des abeilles, les cristaux de basalte, et même la structure du graphène. Elles voulaient en effet pouvoir assembler plusieurs circuits comme des tuiles, afin de créer des réseaux modulaires. Une super idée, mais qu’elles ont du abandonner à cause de la difficulté d’obtenir des bords parfaitement droits avec l’argile naturelle.

Le tutoriel qu’elles ont publié est une mine d’or, car elles y détaillent comment créer un tampon 3D pour imprimer le circuit dans l’argile (1,2mm de profondeur, en tenant compte du rétrécissement de 5% à la cuisson), comment programmer une puce ATmega328 récupérée sur un Arduino défectueux, et même comment souder les composants avec de la pâte à souder sans plomb qui respecte les standards du commerce équitable. Toutes les sources sont même sur Github.

La cuisson au feu de bois est surtout le moment magique. Elles creusent un trou dans leur jardin, construisent un lit de branches sèches pour poser les circuits, ajoutent une deuxième couche de branches fines par-dessus, et laissent le feu faire son œuvre pendant 20 minutes. Les circuits deviennent alors incandescents, puis elles les plongent directement dans l’eau froide. Si l’argile n’a pas de bulles d’air et a bien séché, il résiste au choc thermique.

Ensuite y’a plus qu’à souder les composants et le circuit final peut alors contrôler des capteurs capacitifs, des LEDs, des moteurs, exactement comme un Arduino classique. Elles ont même développé un code open source disponible sur GitHub pour gérer les entrées/sorties.

Alors, faire ses propres PCB avec de l’argile et des matériaux de récup, c’est peut-être utopique, mais face aux 50 millions de tonnes de déchets électroniques produits chaque année et aux ravages des minerais issus de conflit, c’est une jolie forme d’hacktivisme.

Voilà, donc la prochainement que vous aurez envie de vous mettre à la poterie, dites-vous que c’est peut-être plus que ça… Peut-être que vous êtes déjà en train de vous former à une technologie à la fois ancestrale et de pointe qui sera le futur de l’électronique.

Car après tout, entre une tablette d’argile sumérienne et un PCB en terre cuite, il n’y a que 4000 ans et quelques lignes de code Arduino…

Bon, on va pouvoir l’avouer maintenant, tous ceux qui se la racontent parce qu’ils peuvent prendre le contrôle à distance de leur joli Mac, ont la même galère depuis que FileVault existe… En effet, après une coupure de courant ou une mise à jour du système, votre super serveur Mac redevient une boite à chaussure jusqu’à ce que quelqu’un déplace son gros cul d’admin sys pour taper le mot de passe sur un clavier tout ça.

Et là, on a Jeff Geerling qui nous annonce l’air de rien qu’Apple vient enfin de “légaliser” la bidouille qu’on utilisait tous en douce à savoir déverrouiller FileVault à distance via SSH dans macOS Tahoe.

Ce qui était donc avant une astuce d’admin système un peu à la one again (script d’autologin / désactiver le chiffrement…etc) devient maintenant une fonctionnalité officielle. Sous macOS 26 Tahoe, si vous activez la “Session à distance” dans les réglages de partage, vous pouvez maintenant vous connecter en SSH avant même que l’utilisateur se soit authentifié. Un admin tape son mot de passe à distance et hop, le Mac démarre complètement. La documentation officielle explique même que le SSH se déconnecte brièvement pendant le montage du volume, puis revient. C’est la classe !

Par contre, petit détail qui tue, c’est censé fonctionner en WiFi mais Jeff Geerling qui a testé l’astuce n’a réussi à se connecter qu’en Ethernet. Il pense qu’en Wifi, ça ne passe pas parce que les clés réseau sont dans le Keychain, qui est lui-même chiffré sur le volume verrouillé. C’est le serpent qui se mord la queue (oui, vous le savez d’expérience, ça fait mal de se mordre la queue)… Du coup, tous ceux qui ont des Mac mini planqués derrière leur télé en mode serveur Plex, vont devoir tirer un petit câble RJ mais bon, vrai bonhomme fait vrai réseau en Ethernet, le Wifi c’est pour les faibles, ouga-ouga !

Si vous cherchez un moyen de récupérer vos fichiers perdus sans vendre un rein, je vous invite à regarder ma dernière vidéo où j’explique comment j’ai sauvé le cul d’un ami photographe avec PhotoRec. L’ami en question (salut Miquel !) avait perdu toutes ses photos RAW qui étaient sur un SSD de 480 Go et avait déjà claqué un peu de fric dans un logiciel Windows tout pourri qui n’avait rien récupéré du tout. Alors forcément, quand il m’en a parlé l’air de rien pendant mes vacances, j’ai sorti mon chapeau de magicien pour l’aider !

Si vous avez un joli smartphone OnePlus, vous allez être content d’apprendre qu’il s’y cache une faille critique découverte par Rapid7 ! Et quand je dis critique c’est pas pour rigoler puisque depuis 4 ans, n’importe quelle app sur votre OnePlus peut aspirer tous vos SMS sans que vous ne soyez au courant.

Estampillée CVE-2025-10184, cette faille touche tous les OnePlus équipés de OxygenOS 12 à 15. En 2021, OnePlus a en effet bidouillé le package Telephony d’Android en y ajoutant trois petits passagers clandestins : PushMessageProvider, PushShopProvider et ServiceNumberProvider. Ces trucs n’existaient pas dans Android stock et ont été inventés par les équipes OnePlus / Oppo pour on ne sait quelle raison obscure.

Mais le problème, c’est que ces trois compères ont été codés avec les pieds puisque leurs manifests ne demandent pas la permission READ_SMS pour accéder aux textos. Du coup, n’importe quelle app installée sur le téléphone peut aller fouiller dans les messages comme si c’était tiroir à chaussettes, simplement à l’aide de quelques injections SQL.

Rapid7 a testé ça sur des OnePlus 8T et OnePlus 10 Pro et ça marche nickel. Vos codes de vérification bancaire, vos codes 2FA, vos conversations privées, tout y passe…

Bien sûr, Rapid7 a essayé de contacter OnePlus, 7 fois entre mai et août 2025. Et pas de réponse. OnePlus a fait l’autruche espérant surement que le problème disparaitrait de lui-même… Technique éprouvée, mais qui ne fonctionne pas du tout quand il s’agit de cybersécurité.

C’est donc seulement après la publication publique de la faille en septembre que OnePlus a daigné répondre : “Nous avons lancé une investigation”. Ah ben merci les gars, vous auriez pas pu la lancer 7 mois plus tôt, mais bon, breeef, passons…

Donc à l’heure où j’écris ces lignes, il n’y a toujours pas de correctif. OnePlus continue de vendre des téléphones vulnérables en toute connaissance de cause et tout va bien. Voilà, donc en attendant le patch hypothétique, voici mes quelques conseils de survie :

1. Virez les apps que vous n’utilisez pas
2. Passez aux outils 2FA plutôt que de recevoir vos codes 2FA par SMS
3. Utilisez des messageries chiffrées de bout-en-bout pour vos conversations sensibles

Bref, voilà encore une optimisation marketing qui fout la merde dans un système à la base sûr… Chapeau les artistes !

Source

Pour en avoir testé quelques uns, je trouve que les lecteurs de livres audio, c’est jamais très pratique à utiliser. Heureusement, je viens de découvrir Lue , un lecteur d’e󠄳󠅕󠄐󠅤󠅕󠅨󠅤󠅕󠄐󠅕󠅣󠅤󠄐󠅣󠅟󠅥󠅣󠄐󠅓󠅟󠅠󠅩󠅢󠅙󠅗󠅘󠅤󠄐󠅔󠅕󠄐󠄻󠅟󠅢󠅒󠅕󠅞󠄞󠅙󠅞󠅖󠅟books qui lit vos livres à voix haute directement dans le terminal.

Bah oui, moi j’adore mon terminal.. Pas besoin de cliquer, pas d’interface laggy, pas de pub ni d’abonnement premium… On lance juste une commande et hop, la lecture du livre se lance. C’est ça que j’aime, quand la tech me fout la paix et fonctionne bien !

Le truc cool avec Lue, c’est que l’outil utilise Edge TTS de Microsoft par défaut. Oui, Microsoft qui fait un truc bien et gratuit, c’est foufou, mais en gros, ça permet de récupérer les voix ultra réalistes utilisées dans Edge sans payer un centime et sans même avoir Windows. Après si vous êtes un parano de la vie privée, vous pouvez aussi utiliser Kokoro TTS qui tournera à 100% en local sur votre machine.

Pour installer Lue, il vous faut d’abord FFmpeg, espeak et Antiword. Sous Mac c’est donc brew install ffmpeg espeak antiword``, et sous Linux sudo apt install ffmpeg espeak antiword, et sous Windows… bah vous allez sur le site de FFmpeg, espeak et antiword et vous galérez un peu comme d’hab.

Et après, c’est tout simple :

pip install git+https://github.com/superstarryeyes/lue.git

lue votre-livre.epub

lue --voice "fr-CH-ArianeNeural" livre.epub

Vous connaissez sans doute ce petit moment de haine, quand Google vous balance pour la 50ème fois ce même site de merde qui diffuse la doc Python mal traduite avec ChatGPT ? Ou alors quand vous cherchez une recette de cuisine tout simple et que Pinterest squatte la moitié des résultats avec ses images floues et ses popups de connexion obligatoire ?

Bon bah aujourd’hui, ça c’est fini, car on va faire le ménage là-dedans.

Et comment on va faire ? Et bien je vous le donne en mille Emile, on va utiliser pour cela uBlacklist , une extension créée par un certain Iorate qui permet de faire le ménage dans les résultats de recherche.

uBlacklist, c’est la Marie Kondo du web. L’objectif c’est de garder uniquement les sites qui nous procurent de la joie ? Vous allez pouvoir virer les sites qui pourrissent vos recherches Google et croyez-moi, ça fait un bien fou !!

Ce truc fonctionne sur Chrome, Firefox et même Safari. Pour l’installer, direction le Chrome Web Store ou les add-ons Firefox et une fois en place, vous allez voir apparaître des petites icones “Bloquer ce site” directement dans vos résultats Google.

Un clic et pouf, le site disparaît à jamais de vos recherches. C’est le kiff non ?

Mais là où ça devient vraiment intéressant, c’est avec les listes publiques. Parce que oui, des gens ont déjà fait le boulot pour vous. Il existe en effet des listes pour bloquer les sites générés par IA , des listes anti-Pinterest, des listes contre les fermes de contenu SEO… C’est un peu comme les listes de blocage pour uBlock Origin, mais pour les résultats de recherche. Bref, la communauté s’organise pour nettoyer collectivement le web de ses parasites.

Et cette extension ne se contente pas de Google. Elle fonctionne aussi avec Bing, DuckDuckGo, Brave, Ecosia, et même Yandex pour nos amis de l’Est. Et cerise sur le gâteau, vous pouvez aussi synchroniser vos listes de blocage entre tous vos appareils via Google Drive ou autres service de stockage dans le cloud. Comme ça, le ménage que vous faites sur votre PC, vous le retrouvez automatiquement sur votre téléphone.

Pour les power users, uBlacklist permet même d’utiliser des patterns avancés et même des expressions régulières. Vous pouvez ainsi bloquer *://*.pinterest.*/* d’un coup pour dire adieu à toutes les variantes de Pinterest. Ou créer des règles complexes qui bloquent seulement certaines sections de sites. Faire du sur-mesure, quoi…

Google, l’entreprise qui était censée “organiser” l’information mondiale, est de toute façon devenue tellement polluée par le spam SEO, les sites IA et les fermes de contenu, qu’on ne peut plus s’en sortir sans cette extension… Tu m’étonnes que les gens lui préfèrent de plus en plus Perplexity…

L’arrivée de cette extension me rappelle un peu cette époque où les gens ont commencé à bloquer massivement les pubs… ça a forcé tout l’écosystème publicitaire à évoluer et aujourd’hui avec uBlacklist et ses copains, on fait passer un peu le même message en disant aux moteurs de recherche : “non, on ne veut plus de ces sites de merde dans nos recherches”.

C’est triste d’en arriver là, mais au moins, on n’est plus obligés de subir les algos Google ou d’autres moteurs…

Bref, si vous en avez marre de tomber sur les mêmes sites pourris à chaque recherche, foncez installer uBlacklist et n’hésitez pas à partager vos listes de blocage sur le Discord . Et pour ceux qui veulent aller plus loin, il y a aussi le Super-SEO-Spam-Suppressor sur GitHub qui propose une approche très “Anticapitaliste” du blocage de spam.

Hé oui, même le blocage de sites devient politique maintenant. On vit vraiment une époque formidable !

C’est fou car pendant que vous êtes encore en train de vous galérer avec votre bon vieux Windows, sachez que 6% de vos voisins sont en train d’utiliser Linux en totale détente. C’est en tout cas ce que remonte cette étude du CNLL et d’Abilian qui explique qu’on est maintenant 2,2 millions d’utilisateurs Linux en France.

D’après les données de Cloudflare Radar analysées par Abilian , l’usage personnel de Linux (4,3%) est deux fois plus élevé que l’usage professionnel (2,15%) ce qui montre bien que les gens font du Linux à la maison par choix, et non pas par obligation. D’ailleurs cette tendance s’accentue encore plus le weekend où l’usage des ordinateurs se fait essentiellement à titre personnel.

Comme le dit Stefane Fermigier, co-président du CNLL, dans son communiqué, “Ces chiffres sont une claque aux préjugés !”. Et il a raison même si on est encore en dessous de la moyenne Européenne. Celle-ci est de 3,7% de part de marché Linux alors que la France est à 3,1%. Les champions c’est la Finlande avec 7,1%, suivie de l’Irlande (5,3%) et de l’Allemagne (5,2%), donc on a encore une petite marge de progression.

Mais rassurez-vous, ce n’est pas qu’une question de compétence technique. C’est culturel car là-bas, utiliser Linux c’est normal, alors qu’ici c’est encore un peu un truc de geekos rebelles. Mais c’est en train de changer vite, et vous savez grâce à quoi ? Les jeux vidéo, pardi !! Avec Proton et Steam qui permettent de faire tourner les jeux Windows sur Linux, plein de gamers ont sauté le pas. C’est un des facteurs majeurs de la croissance mondiale de Linux qui atteint maintenant 4,55%.

Le gaming sous Linux c’est le cheval de Troie parfait car les mecs installent Ubuntu pour jouer et découvrent qu’il peuvent aussi bosser dessus, faire de la création, gérer leur vie numérique sans passer par Microsoft…. C’est une vraie prise de conscience.

Aux États-Unis, par exemple, Linux vient de passer la barre des 5% de parts de marché desktop. C’est une progression de 2 points en 2 ans, ce qui est énorme ! En plus avec la fin annoncée de Windows 10 qui force les gens à jeter à la poubelle leur ordinateur qui fonctionne s’ils veulent passer sous Windows 11, ça va encore augmenter je pense… Car Linux (ou ce logiciel magique ) est une solution anti-obsolescence incroyable !

Du coup, la CNLL milite pour qu’en France, on ait une vraie politique “Open Source & Sovereignty First” dans les marchés publics ce qui n’est pas gagné car l’Etat est gangréné par Microsoft… La CNLL veut notamment qu’on applique enfin l’article 16 de la loi République Numérique qui favorise le logiciel libre. Une pétition européenne propose même de créer un “EU-Linux” pour les administrations publiques. Imaginez toutes les mairies et préfectures sous Linux ! Ce serait cool !

Voilà, avoir Linux sur sa machine perso à la maison, c’est comme avoir un potager bio ou manger moins de viande… on le fait pour soi, par conviction, sans forcément militer. Et que Linux devienne mainstream c’est vraiment mon rêve car on n’en peut plus des zélites à barbes qui se définissent humainement de part leur OS, en regardant de haut les “autres”, les noobs, sans jamais leur tendre la main. Le jour où Monique de la Mairie ou Francis de la médiathèque sauront se démerder seuls sous Linux, je pense que leur égo en prendra un coup. Ils passeront alors sous BSD ou un truc encore plus techy parce que ça c’est un VRAI OS DE BONHOMME… ahahahah.

Puis en vrai, y’a encore plein de machines sous Linux que l’étude n’a probablement pas comptabilisées… On a tous chez nous des Raspberry Pi dans des tiroirs, des vieux PC reconverties en NAS, des petits serveurs perso…etc. Donc le vrai chiffre est sûrement bien plus élevé.

Alors oui, c’est vrai, on est encore loin des 72,5% de Windows, mais la tendance est claire. Linux grandit, doucement mais sûrement. Et surtout, c’est un mouvement très doux, très organique, qui n’est pas poussé par une méga-corpo, mais juste par des gens qui veulent reprendre le contrôle de leur ordinateur (et qui en ont marre de payer pour rien aussi, je pense…)

Voilà, donc la prochaine fois que vous croiserez quelqu’un dans une soirée, demandez-vous s’il fait partie des 6% de Français sous Linux ? Vous vous ferez plein de nouveaux amis ;-)

Source CNLL | Source Abilian

Vous pensiez que poser une question à ChatGPT (ou à n’importe quelle IA à la mode) était sans conséquence ? Erreur : derrière la magie de la conversation fluide et des réponses instantanées se cache un jeu dangereux pour vos données. Certains escrocs sont capables d’extraire, d’agréger, et d’exploiter votre vie numérique, le tout à partir d’une simple recherche pas trop bête. Mais pourquoi, et surtout comment, est-ce possible ? Et que pouvez-vous faire pour garder la main sur vos infos perso ?

Accrochez-vous, parce que l’IA n’est pas seulement le dernier jouet cool du moment, elle est aussi devenue le nouvel eldorado des arnaqueurs.

Une seule requête, une faille béante

Plus besoin de pirater votre boîte mail ou de fouiller votre poubelle. Les scammeurs d’aujourd’hui savent exploiter les LLM (comme ChatGPT ou Gemini) à fond. Avec une question bien tournée, ces outils fouillent le web et ressuscitent tout ce qui existe sur vous, parfois bien au-delà de ce que vous imaginez.

On parle ici d’anciennes biographies exhumées de forums ou réseaux sociaux, de traces de blogs, de commentaires publics, ou encore de numéros ou adresses, tombés dans la nature à la faveur d’une fuite de données. Mais aussi de liens subtils entre vos différents profils, entre manières d’écrire et ça même si les pseudos changent. Ce qui était jadis éparpillé et difficile à recomposer par un humain devient soudain… lisible, compact, utilisable contre vous à une toute autre échelle. Tout ça pour du phishing ciblé, de l’usurpation d’identité, ou tout bêtement revendu à des brokers de données peu scrupuleux.

Et tout ça c’est sans parler du manque de sécurité flagrant des IA grand public qui semblent avoir oublié de prendre le sujet en compte (voir par exemple mon article : ChatGPT peut faire fuiter vos emails avec une simple invitation Google Calendar).

Pourquoi l’IA amplifie le problème ?

Les modèles comme ChatGPT, Gemini, Claude ou Grok sont formés sur des milliards de pages web, archives de forums, données publiques (tout le web en gros) … qui, pour beaucoup, contiennent des infos personnelles. Quand vous interrogez ces outils, vos prompts sont souvent enregistrés et, dans certains cas, utilisés pour affiner le modèle.

Pire : selon cette étude Incogni 2025, la majorité de ces IA :

• collectent vos prompts et tous les détails contenus dedans.
• aspirent les données personnelles lâchées publiquement sur le web, parfois sans grande considération pour le consentement réel des personnes.
• partagent les informations avec des filiales, partenaires commerciaux, voire… des “affiliés” non identifiés.
• et dans certains cas, il est “impossible” de retirer vos données du jeu une fois qu’elles sont parties dans l’écosystème de training.

Retenez que lorsque vous avez appuyé sur le bouton d’envoi et que c’est publié quelque part … impossible de faire machine arrière. C’est ce que j’appelle l’effet “dentifrice hors du tube”.

Classement des IA génératives concernant la protection des données

D’après l’enquête d’Incogni , toutes les plateformes n’offrent pas le même niveau de respect de la vie privée. Voici un aperçu du classement 2025 (attention, tout peut changer à la vitesse de l’éclair) :

Quelques points à retenir :

• Les plus gros, comme Meta AI et Gemini, sont assez mauvais concernant le respect de la vie privée.
• Les sociétés européennes (Mistral) et OpenAI sont plus respectueuses (pour l’instant).
• Même les plateformes qui promettent de ne pas utiliser vos prompts pour le training reconnaissent une utilisation massive de “données publiques”, autrement dit : ce que vous laissez traîner en ligne.

Une fois que les IA génératives et leurs écosystèmes ont mis la main sur vos fragments de vie, la suite est mécanique. Il y a croisement de vos infos pour générer un profil ultra-ciblé à partir d’un simple pseudo/patronyme. Vos données sont ensuite revendues à des brokers, qui les exploitent de façon industrielle (business de plusieurs centaines de milliards de $ à la clé). Ensuite on a droit à la création de scénarios de phishing ultra crédibles (référence à vos vrais employeurs, vieux contacts, etc.), voire usurpation d’identité facilitée (faux profils, demandes administratives, crédits…). Bref c’était déjà la merde avant l’IA et ça va s’empirer.

Face à ce phénomène, la loi tente de suivre (RGPD en Europe, début de réglementation en Californie avec le DELETE Act…), mais reste bien souvent larguée par la techno. Autant dire qu’il vaut mieux ne pas compter dessus.

Comment limiter la casse : réflexes & méthodes

Avant même de parler d’outils, je vous rappelle les bases. Ne laissez JAMAIS d’infos sensibles dans un prompt envoyé à une IA, même en “anonyme”. Passez régulièrement vos noms/alias/adresses au crible des moteurs de recherche pour avoir la vision publique de votre eprsonne. Vous pouvez aussi rendre vos profils sociaux privés, supprimez les vieux comptes dormants ou juste tout quitter comme je l’ai fait. Pensez aussi à utiliser de courtes variantes de pseudos/passwords pour limiter l’effet cascade en cas de fuite.

Mais ça, c’est l’ABC. Vous faites déjà tout ça non ? Pour aller plus loin, et ne pas passer ses soirées à envoyer des demandes de déréférencement à la chaîne… place aux outils spécialisés.

Incogni, l’outil utile pour passer à l’offensive

Voilà pourquoi Incogni , développé par Surfshark, est l’un des rares services à avoir pensé ce problème du bon côté. Non, ils ne traquent pas vos prompts IA, mais ils s’occupent pour vous de ce que les brokers détiennent sur vous.

En résumé il se charge automatiquement de contacter les centaines de data brokers qui ont potentiellement vos infos et gère pour vous les demandes de suppression, le suivi et les relances. Plus de 100 000 utilisateurs européens ont déjà lancé un grand ménage numérique via le service.

À partir de l’étude 2025 citées ci-dessus, Incogni insiste sur : la transparence totale sur la collecte/traitement des données, la possibilité de retirer très simplement ses données de nombreuses bases (sous réserve de législation locale, bien sûr) et recommande d’éviter celles qui n’offrent aucune clarté ou option d’opt-out. Cela dit ce n’est pas magique : “effacer” sa présence totale en ligne reste presque impossible. Mais avec Incogni, vous pouvez drastiquement limiter la surface d’attaque pour les arnaqueurs et brokers.

L’avenir de la privacy face à l’IA

À mesure que l’IA progresse, la barrière entre vie privée et “open data” explose. Certains fournisseurs d’IA s’améliorent alors que d’autres assument un business model intégralement fondé sur la collecte et la redistribution de vos vies numériques. 

La meilleure protection ? Rester informé (lisez mes news haha), lire les classements indépendants, choisir les outils qui offrent le maximum de contrôle et, pour tout ce qui a déjà “fuité”, passer à l’action avec des outils de nettoyage comme Incogni avant que le dentifrice soit vraiment partout…

Rappelez-vous : une requête innocente à ChatGPT, et c’est tout votre historique en ligne qui peut refaire surface. L’IA peut vous aider à trouver des infos, mais elle permet aussi aux escrocs… d’en trouver vous concernant. À méditer !

→ Cliquez ici pour tout savoir sur Incogni ←

Romain, fidèle lecteur de korben.info a développé un scanner pour détecter l’attaque Shai-Hulud qui a secoué l’écosystème npm dernièrement ! L’occasion parfaite pour moi de vous raconter cette histoire complètement dingue.

Vous vous souvenez de CrowdStrike ? Cette entreprise de cybersécurité qui a provoqué la plus grande panne informatique mondiale en juillet 2024 avec une mise à jour défaillante ? Celle qui a cloué au sol des milliers d’avions et fait planter des millions de PC Windows ? Eh bien figurez-vous qu’en septembre 2025, des packages npm mis à disposition par CrowdStrike ont été touchés. Et si Crowdstrike n’a pas été directement piraté, ces packages publics (qui n’étaient pas utilisés dans leurs solutions de sécurité, ni en interne chez eux) utilisaient ces dépendances qui ont été compromises par l’attaque.

C’est ce qu’on appelle une supply chain attack et l’attaque Shai-Hulud (oui, comme le ver des sables dans Dune) n’est pas juste un malware de plus. C’est le premier ver informatique qui s’est propagé de manière autonome dans l’écosystème npm, infectant des centaines de paquets en quelques heures.

Le ver utilise TruffleHog, un outil de sécurité normalement conçu pour DÉTECTER les secrets dans le code, c’est à dire les tokens GitHub, npm, AWS et GCP.

Puis quand il trouve des credentials valides, le ver fait les trois choses suivantes : D’abord, il crée un dépôt GitHub public nommé “Shai-Hulud” où il balance toutes les données volées. Ensuite, il pousse une GitHub Action malicieuse dans tous les repos accessibles pour exfiltrer encore plus de secrets. Et le pompon c’est que parfois, il transforme même les repos privés d’entreprise en repos publics personnels. J’vous laisse imaginer la tête du RSSI qui découvre que tout le code proprio de sa boîte est accessible à tout le monde sur GitHub…

Et quand le ver trouve des tokens npm dans son environnement, il publie automatiquement des versions infectées de tous les paquets auxquels il a accès. C’est d’ailleurs la première fois qu’on voit ce comportement de ver auto-répliquant dans l’écosystème JavaScript. Par exemple, le paquet @ctrl/tinycolor, téléchargé 2 millions de fois par semaine, a été l’un des premiers touchés.

Face à ce bordel monumental, Romain a donc développé npm-shai-hulud-scanner , un outil qui détecte non seulement les paquets connus comme compromis, mais aussi les tentatives de typosquatting et les patterns de code malicieux. Il utilise notamment la distance de Levenshtein pour identifier les variations suspectes de noms de paquets (du genre lodash vs lodash_ ou react vs raect).

Quand vous le lancez, le scanner de Romain vérifie d’abord si vous avez des paquets de la liste des 500+ compromis. Ensuite il analyse votre code à la recherche de patterns suspects : tentatives d’exfiltration de credentials, exécution de code à distance, obfuscation, communications réseau louches. Il peut même tourner en mode monitoring continu pour surveiller votre CI/CD. Et cerise sur le gâteau, il peut mettre en quarantaine les paquets suspects automatiquement. C’est top non ?

Shai-Hulud est l’un des attaques les plus sévères jamais vue sur la supply chain JavaScript et si même CrowdStrike se fait avoir, je me dit que personne n’est à l’abri. Donc soyez hyper vigilants et utilisez des outils de contrôle comme celui de Romain !

On ne sait jamais !

Et si je vous disais que pendant que vous galérez avec PuTTY et son interface à la Windows 95, ou que vous payez 119 balles pour SecureCRT, il existe un gestionnaire SSH moderne, gratuit et absolument magnifique qui attend tranquillement que quelqu’un le remarque ?

Hé bien c’est exactement ce qui se passe avec SSH Pilot dispo pour Linux et macOS, et je trouve ça vraiment bizarre que personne n’en parle. Quand je suis tombé dessus, c’est vrai que j’ai cru à un énième fork de Terminator ou un wrapper autour de tmux, mais non, c’est un vrai gestionnaire de connexions SSH développé par mfat , avec une interface moderne en libadwaita/GTK4, c’est à dire le truc le plus propre que GNOME ait sorti ces dernières années.

Alors j’ai creusé un peu, je l’ai installé, et là, révélation. Cette appli fait TOUT ce qu’on attend d’un gestionnaire SSH moderne : des onglets pour jongler entre les connexions, un gestionnaire SFTP intégré qui s’ouvre direct dans Nautilus, la génération de paires de clés en deux clics, le port forwarding (local, remote, dynamic), et même le regroupement de serveurs pour ceux qui gèrent des “fermes” entières. Ah et toutes les infos de config sont chiffrées sur votre disque dur.

On peut aussi naviguer entièrement au clavier dans l’appli, ce qui est super pratique. Ctrl+L pour passer de la liste des serveurs au terminal, Ctrl+F4 pour fermer un onglet, Alt+flèches pour switcher entre les tabs. C’est tellement bien pensé que ça en devient suspect ^^.

Car quand on gère plusieurs serveurs, on s’y perd vite si on n’est pas organisé ! On jongle avec des dizaines de connexions SSH, on tape des alias bash à rallonge, on installe des extensions tmux incompréhensibles…

Alors pourquoi SSH Pilot reste si peu connu alors qu’il est trop méga super génial ??? Hé bien j’ai ma petite théorie…

Dans le monde Linux, on a tellement d’alternatives pour chaque truc qu’on finit par se noyer. Quand on cherche un client SSH, on a PuTTY, KiTTY, SuperPuTTY, mTPuTTY, Solar-PuTTY, Bitvise, Tabby, MobaXterm, Termius, SecureCRT… et j’en passe. Trop de choix qui tue le choix !

Bref, jetez un oeil SSH Pilot, ça vous changera des client SSH avec une interface de Minitel.

Enfin !!

Oui, enfin, on a une IA médicale française, développée par Synapse Medicine une startup bordelaise, qui va pouvoir confirmer que votre petit mal de tête est bien un cancer du cerveau en phase terminale, exactement comme vous l’aviez lu sur Doctissimo à 3h ce matin après avoir cliqué sur 47 pages de forums où “MoiMêmeJeSais” raconte qu’elle a failli mourir avec les mêmes symptômes.

Cela s’appelle MedGPT et attention, avant que vous ne commenciez à lui demander si votre bubon de sorcière sur le nez est un mélanome, sachez que cet outil est réservé aux professionnels de santé. Médecins généralistes, spécialistes, pharmaciens, infirmiers, sages-femmes… Bref, tous ceux qui ont encore la chance d’avoir un boulot dans notre beau pays riche et développé où 87% du territoire est considéré comme un désert médical .

Hé oui les parisiens, il y a environ 6 millions de Français qui n’ont pas de médecin traitant et dans certaines régions, il faut attendre jusqu’à 1 an pour voir un spécialiste. Du coup, on en est réduit à faire du diagnostic sauvage sur internet ou à prendre un vol Ryanair pour se faire soigner en Belgique ou en Roumanie où ils ont encore des médecins disponibles. Mais bon, revenons à nos moutons numériques…

Selon les concepteurs de MedGPT , leur IA s’appuie sur plus de 50 sources officielles françaises : la Haute Autorité de Santé, l’ANSM, la base Thériaque… Contrairement à ChatGPT qui pourrait vous conseiller de prendre de l’hydroxychloroquine / Ivermectine / azithromycine pour soigner votre Covid parce qu’il est complétement con, MedGPT, lui, utilise uniquement des données médicales françaises validées par la science et les professionnels de santé.

Ils lui ont même fait passer l’ECN 2023 (le concours de médecine) et MedGPT a réussi à se classer dans le top 500 , alors que ChatGPT végète autour de la 2000ème place… Bon, ça reste moins bien qu’un vrai étudiant en médecine (quoique pour les internes aux urgences, j’suis moyen sûr), mais c’est déjà mieux que la moitié des candidats humains.

Et rassurez-vous, less données sont hébergées en France, respectent le RGPD et les normes HDS (Hébergement de Données de Santé). Quand on sait que 66% des médecins américains et 20% des britanniques utilisent déjà ChatGPT pour leur boulot , malgré les risques de fuites de données et de recommandations foireuses… J’suis content que les Français qui étaient coincés entre utiliser un truc pas adapté ou se passer de l’IA, ont maintenant leur solution souveraine.

Alors pour l’instant, MedGPT est en bêta gratuite et limitée à 5 questions par jour. Oui, 5 questions, c’est le nombre de symptômes différents que vous pouvez googler avant de vous convaincre que vous avez la peste bubonique mais bon, après avec un petit VPN, vous pouvez contourner la limite. Notez aussi que l’IA peut faire également des erreurs, donc fiez-vous toujours à votre jugement, à la science et à votre médecin.

C’est gratuit pour le moment, alors autant en profiter avant que ça devienne payant comme tout le reste et qui sait, peut-être qu’un jour on aura une IA capable de faire les ordonnances directement… Woohoo \o/.

Bon, je vous laisse, je vais aller vérifier sur Doctissimo si ma fatigue après avoir écrit cet article n’est pas un symptôme lié à une “dermatite irritative de la région périnéale” ^^.

Merci à Lorenper pour m’avoir fait découvrir cette pépite !

Alors si vous cherchez un truc pour procrastiner intelligemment ce soir ou demain, j’ai exactement ce qu’il vous faut. Play.ertdfgcvb.xyz , c’est un terrain de jeu ASCII interactif où vous pouvez coder des animations directement dans votre navigateur. Et c’est hyper hypnotisant, vous allez voir !

Derrière ce nom imprononçable “ertdfgcvb” se cache Andreas Gysin , un artiste suisse basé à Lugano qui fait du code et du design et son playground ASCII, c’est une interface épurée au maximum composée d’un éditeur de code à gauche, d’une fenêtre de prévisualisation à droite, et c’est tout. Pas de fioritures, pas de boutons partout, juste l’essentiel. Vous tapez Cmd+Enter (ou Ctrl+Enter sur PC) et votre code s’exécute en temps réel.

Le principe de son code en live est inspiré des fragment shaders GLSL , sauf qu’au lieu de pixels colorés, vous manipulez des caractères. Vous avez accès à des fonctions spécifiques telle que boot() qui s’exécute une fois au démarrage, pre() pour préparer vos données, main() qui est appelée pour chaque cellule de l’écran, et post() pour les modifications finales.

Voici un exemple simple en javascript pour comprendre le délire :

export function main(coord, context){ return String.fromCharCode((coord.y + coord.x) % 32 + 65) }

Ce bout de code génère un pattern de lettres qui change selon la position X et Y sur l’écran. C’est tout con mais c’est beau.

Le playground propose également des dizaines d’exemples triés par catégorie. Vous avez les basiques pour apprendre, des démos plus complexes comme “Doom Flame” qui recrée l’effet de flamme du jeu Doom en ASCII, ou encore “Donut” qui fait tourner un donut en 3D avec juste des caractères. Y’a même une section “camera” où vous pouvez manipuler votre webcam et la transformer en ASCII art en temps réel.

D’après le GitHub du projet , Andreas a créé ça comme un hommage à tous les artistes, poètes et designers qui utilisent le texte comme medium. C’est un projet minimaliste, avec presque pas d’interface, juste le code et le résultat. Même les marges et les numéros de ligne ont été virés.

Et tout ça tourne de manière fluide dans le navigateur et pour les dev qui veulent comprendre comment ça marche sous le capot, tout le code source est sur GitHub, et vous pouvez vraiment faire des trucs de ouf avec, par exemple des fractales, des simulations de fluides…etc. C’est complètement barré.

Mais pour commencer, le plus simple c’est d’explorer les exemples. Le classique “10 PRINT” recrée le fameux one-liner du Commodore 64 qui génère un labyrinthe infini. Les exemples SDF (Signed Distance Fields) montrent comment faire de la 3D avec des maths et des caractères. Et si vous êtes chaud, vous pouvez lui envoyer vos propres créations qui rejoindront la section “contributed”.

Andreas enseigne ces techniques dans ses cours, et apparemment les étudiants adorent. C’est vrai que c’est une approche super pédagogique du creative coding où on se prend pas la tête avec du WebGL ou des frameworks complexes… Non, faut juste pondre du code simple qui produit des résultats visuels immédiats.

Bref, play.ertdfgcvb.xyz c’est le genre de site qu’on bookmark et qu’on ressort quand on veut se vider la tête en codant des trucs rigolos. C’est gratuit, c’est open source, et c’est une belle démonstration que l’art et le code peuvent cohabiter sans avoir besoin de millions de polygones et de shaders complexes.

Un grand merci à Lorenper pour m’avoir fait découvrir cette pépite !

Attention, si vous laissez tourner WebGoat sur votre machine, elle sera “extrêmement vulnérable aux attaques”. C’est en tout cas ce qui est écrit en gros sur la page de ce projet OWASP , et c’est pas pour faire joli car WebGoat est une application web délibérément pourrie, truffée de failles de sécurité, créée exprès pour que cous appreniez à les exploiter.

Et c’est génial !!

Car on a enfin un truc qui nous permet d’apprendre vraiment comment les hackers s’infiltrent dans les sites web, sans risquer de finir au tribunal. Parce que bon, scanner le site de votre voisin pour “apprendre”, c’est direct trois ans de prison et 100 000 euros d’amende. Alors qu’avec WebGoat, vous pouvez tout péter tranquille depuis chez vous.

WebGoat , c’est donc un projet open source maintenu par l’OWASP depuis des années qui vous propose uune application web qui ressemble à n’importe quel site lambda, sauf qu’elle est bourrée de vulnérabilités volontaires telles que des injections SQL, XSS, CSRF, contrôle d’accès défaillant… bref, toutes les saloperies du Top 10 OWASP sont là, prêtes à être exploitées.

Et WebGoat fonctionne comme un cours interactif car pour chaque vulnérabilité, vous avez trois étapes : d’abord on vous explique comment ça marche, ensuite vous devez l’exploiter vous-même via des exercices pratiques, et enfin on vous montre comment corriger le problème. On apprend en faisant !

D’après la doc officielle , WebGoat couvre presque toutes les vulnérabilités du Top 10 OWASP. Pour ceux qui ne savent pas, le Top 10 OWASP c’est LA référence mondiale des failles de sécurité web.

Au sein de WebGoat se cache aussi WebWolf, une application séparée qui simule la machine de l’attaquant. Ça tourne sur le port 9090 pendant que WebGoat tourne sur le 8080, comme ça, vous avez vraiment la séparation entre ce qui se passe côté victime et côté attaquant. WebWolf vous permet également d’uploader vos payloads ou outils, de recevoir des données exfiltrées, et même de simuler un serveur mail pour les attaques de phishing.

Et pour installer tout ça, le plus simple c’est Docker :

docker run -it -p 127.0.0.1:8080:8080 -p 127.0.0.1:9090:9090 webgoat/webgoat

Ou si vous préférez la version standalone avec Java :

java -Dfile.encoding=UTF-8 -jar webgoat-2025.3.jar

Une fois lancé, vous accédez à WebGoat sur http://localhost:8080/WebGoat et WebWolf sur http://localhost:9090/WebWolf. Vous vous créez un compte (c’est juste en local, pas de panique) et c’est parti pour les exercices !

Les leçons sont vraiment bien foutues. Prenez l’injection SQL par exemple. D’abord on vous montre comment une requête SQL mal protégée peut être détournée. Ensuite vous devez exploiter la faille pour voler des numéros de cartes bancaires (fausses, hein), et à la fin, on vous explique comment utiliser les prepared statements pour éviter ce genre de conneries.

Et n’allez pas croire que ça s’adresse uniquement aux pro. Non, les débutants ont des exercices guidés avec des indices, et les plus avancés ont des “challenges” sans aucune aide semblables à des CTF (Capture The Flag).

Et pour les développeurs, c’est vraiment un super outil pour comprendre pourquoi votre chef de projet vous casse encore les pieds avec la sécurité ! Car, croyez-moi, une fois que vous avez réussi à dumper toute une base de données avec une simple apostrophe dans un formulaire, vous ne regardez plus jamais les entrées utilisateur de la même façon.

Attention quand même, WebGoat n’est pas un jouet. Les techniques que vous apprenez sont réelles et fonctionneront sur de vrais sites mal sécurisés. D’ailleurs, l’OWASP est très clair là-dessus : “Si vous tentez ces techniques sans autorisation, vous allez très probablement vous faire choper”. Et n’oubliez pas, comme vous ne faites partie d’aucun parti politique, pour vous y’aura vraiment de la zonzon.

D’ailleurs, petite conseil, quand vous faites tourner WebGoat, coupez votre connexion internet ou au moins assurez-vous qu’il n’écoute que sur localhost, parce que si quelqu’un d’autre sur votre réseau découvre que vous avez une application volontairement vulnérable qui tourne… Disons que ça pourrait mal finir ;-).

Ah et WebGoat s’intègre super bien avec d’autres outils de sécurité. Ça permet du coup de se former aussi dans la foulée sur Burp Suite, OWASP ZAP, ou SQLMap.

Bref, installez WebGoat ce weekend et amusez-vous à tout casser. Vous m’en direz des nouvelles !!

Et un grand merci à Letsar pour l’info !

Bertrand, fidèle lecteur de mon site m’a envoyé un super projet ! Il a développé des PCB open source pour moderniser les Famicom japonaises et comme j’ai trouvé ça trop cool, je me suis dit que j’allais en faire un article.

Alors pour ceux qui ne connaissent pas, la Famicom c’est la version japonaise de la NES, sortie en 1983. C’est une petite console rouge et blanche avec les manettes intégrées, super mignonne mais avec un défaut majeur : elle sort uniquement en signal RF . Et le RF en 2025 sur nos télés modernes, c’est l’enfer… Image dégueulasse, interférences, et certaines télés refusent carrément de l’afficher parce que le signal RF japonais utilise les canaux 95-96 au lieu des canaux 3-4 occidentaux.

Bertrand a donc créé Famicom-OpenAV , deux petits PCB qui permettent d’ajouter une sortie AV composite à votre Famicom. Comme ça, exit le RF pourri, et bonjour l’image propre !

Bertrand propose donc deux versions selon vos préférences de soudure. La version DIP avec des composants traversants old school pour ceux qui ont appris à souder sur des kits Radio Shack dans les années 80. Et une version SMD avec des composants montés en surface, plus compacte et moderne pour les jeunes qui n’ont pas peur des pattes de mouche et qui maitrisent le flux ^^.

Ses PCB ont été testés sur les modèles de carte mère Famicom HVC-CPU-07 et HVC-CPU-GPM-02 et y’a pas besoin de percer la console ou de faire des modifications irréversibles… Ce sont juste quelques points de soudure bien placés et hop, votre Famicom crache du composite propre.

Ce mod est important car le signal RF de la Famicom génère souvent des “jailbars”, des lignes verticales bien chiantes qui gâchent l’image. Cela est dû à l’alimentation bruyante de la console et au fait que les traces du circuit imprimé qui transportent le signal vidéo passent juste à côté de lignes électriques parasitées. Les vieilles puces NMOS de l’époque émettent aussi pas mal d’interférences RF.

Avec le mod AV de Bertrand, on récupère donc directement le signal composite natif NTSC depuis la pin 21 du PPU (le processeur graphique de la Famicom). C’est le signal le plus propre qu’on puisse obtenir sans passer par des mods plus complexes comme le NESRGB qui coûte une fortune.

Maintenant pour créer ces PCB, c’est super simple. Bertrand fournit les fichiers Gerber sur son GitHub, vous les envoyez à un fabricant comme JLCPCB ou PCBWay , et pour quelques euros, vous recevrez 5 PCB. Après il faut acheter les composants électroniques (quelques résistances, condensateurs, transistors) mais au total, on s’en sort pour moins de 10 balle par console modifiée.

Bref, pour les collectionneurs et les joueurs, c’est vraiment un super mod car la Famicom a une bibliothèque exclusive au Japon avec des jeux qui ne sont jamais sortis sur la NES occidentale. Je pense par exemple aux Famicom Disk System exclusives, aux cartouches avec puces sonores supplémentaires comme Castlevania III japonais qui sonne différemment de la version US. Avec ce mod, vous pourrez enfin profiter de ces jeux dans de bonnes conditions sur une télé moderne ou via un upscaler type RetroTink .

Encore merci à Bertrand pour ce projet et pour m’avoir contacté et si vous aussi vous avez des projets DIY cools à partager, n’hésitez pas à m’envoyer un mail !

Vous en avez marre de cliquer sur “Accepter les cookies” à chaque fois que vous visitez un site web ? Du genre vraiment marre, au point de parfois renoncer à lire un article plutôt que de devoir encore cliquer sur ces bannières ? Et bien si j’en crois Mashable , la Commission européenne envisage sérieusement de revoir la directive e-Privacy de 2009 qui nous a imposé cette avalanche de bandeaux moches.

Enfin !!

Il était temps qu’ils se réveillent à Bruxelles, parce que bon, l’intention de départ était louable c’est sûr… Il s’agissait de protéger notre vie privée en nous demandant notre consentement avant de nous traquer. Sauf que dans les faits, on s’est tous retrouvés à cliquer frénétiquement sur “Accepter tout” juste pour pouvoir lire tranquillement notre article. C’est ce qu’on appelle la “cookie fatigue”, et elle a complètement détourné l’objectif initial de la loi, en plus de faire perdre des heures de travail à toute l’économie européenne .

La Commission européenne explore donc plusieurs pistes pour simplifier tout ça. L’idée principale de leurs réflexions, ce serait de permettre aux utilisateurs de définir leurs préférences une bonne fois pour toutes dans les paramètres de leur navigateur. Fini les popups sur chaque site et vos navigateurs Chrome, Firefox, Safari et consorts deviendraient les gardiens de vos préférences cookies. Techniquement, c’est déjà possible avec le Do Not Track, mais personne ne l’utilise vraiment.

Ça m’énerve vraiment de lire ça, car ces bandeaux cookies, c’était vraiment la pire implémentation qu’ils pouvaient mettre en place alors que depuis J-0 tout le monde leur gueule fort dans les oreilles “Mais bande de nazes, faut l’implémenter dans le navigateur”.

Enfin, j’imagine qu’il vaut mieux tard que jamais.

Bref, bientôt les affreux bandeaux cookies qui faisaient mouiller les ayatollahs du RGPD vont disparaitre… quelle bonne nouvelle ! Pour ma part, en ce qui concerne mon site, j’ai écrit à la CNIL (en recommandé svp !) en début d’année pour leur demander leur avis, afin de savoir si je respectais bien le RGPD. Je n’ai jamais eu de réponse de leur part (snif), mais de mon point de vue, de celui de lecteurs dont c’est le métier, de CookieViz , et de ma régie pub, j’étais pas trop mal.

Après, depuis mon courrier à la CNIL y’a eu pas mal de changements quand même. J’sais pas si vous avez suivi mon actu, mais cet été, j’ai notamment retiré le bandeau des cookies.

What ??? Suis-je un vil criminel ?

Non, en fait c’est parce que j’ai supprimé tout ce qui était scripts de stats (Google analytics / Matomo) parce qu’elles n’avaient plus aucun sens vu que tout le monde les bloque… J’utilise également uniquement le player “no-cookies” de Youtube, et j’ai aussi enlevé toutes les bannières de pubs parce que c’est quelque chose que je voulais faire depuis loooongtemps. Ça me fait des revenus en moins c’est sûr (ouille), mais je compte sur mon Patreon pour contrebalancer ça.

C’était pas une décision simple puisqu’un peu risqué, et j’espère que l’avenir me donnera raison. En plus, comme j’ai aussi totalement arrêté de partager mes articles sur mes comptes de réseaux sociaux , ça a provoqué également une jolie petite baisse de trafic. Après, contrairement à mes confrères de la presse tech, je ne suis pas équipé pour faire la course à l’audience vu que je suis à 99% tout seul à écrire, à gérer la technique, le code du site, faire rentrer la thune, et la gestion de ma boite…etc., donc bon, ça ne change pas grand-chose, toutefois ne plus avoir de publicités programmatiques, ça renforce encore cette absence d’enjeux liés au trafic et ça me fait un truc en moins à gérer.

Par conséquent, le site est plus rapide à charger, il est visuellement plus joli (à mon goût), bref, j’en suis très content ! Et ça se ressent sur mes dernières stats (réalisées sans tracking car générées à partir des logs de mon serveur web), puisque mon site a enregistré au mois d’août (le pire mois de l’année à cause des vacances), 1,4 million de visiteurs uniques ! Du coup, je suis assez content et fier parce que ça veut dire que ce que j’écris vous intéresse et ça c’est cool !

Voilà, je referme cette parenthèse sur le meilleur site Tech de France (hein, quoi ?? ^^) pour revenir à cette réforme européenne. Histoire d’avancer un peu, le Danemark a suggéré que les cookies “techniquement nécessaires” ou pour des “statistiques simples” ne devraient plus nécessiter de consentement. Ça paraît logique, mais faut pas oublier quand même que malgré tout, les données s’envolent aux États-Unis la plupart du temps (je pense à Google Analytics) et ça, c’est pas cool, donc j’espère qu’ils resteront vigilants là-dessus, même pour de simples stats.

De leur côté, les lobbyistes de l’industrie Tech poussent fort pour avoir plus de marge de manœuvre afin de décider eux-mêmes de ce qui nécessite un consentement ou pas (lol, tu m’étonnes), mais forcément, les défenseurs de la vie privée tirent la sonnette d’alarme et je les rejoins là-dessus ! En effet, ces derniers craignent qu’on donne trop de pouvoir aux entreprises et qu’on se retrouve avec encore plus de tracking qu’avant, mais cette fois, sans qu’on le sache.

Du coup, la vraie question pour le régulateur c’est de trouver l’équilibre entre une bonne protection de la vie privée et une expérience utilisateur fonctionnelle. Pas simple, mais le Do Not Track (ou un équivalent) pourra aider.

Bref, est-ce qu’on verra disparaître ces satanées bannières RGPD ? Peut-être pas complètement, mais on pourrait au moins avoir quelque chose de plus intelligent qui permettrait de configurer une seule fois vos préférences dans Firefox ou Chrome, et hop, tous les sites respecteront automatiquement vos choix. Comme ça, plus besoin de cliquer sur quoi que ce soit… Les cookies strictement nécessaires passeront alors directement et les cookies marketing seront bloqués si vous l’avez décidé.

Comme ça tout le monde sera content… enfin, j’imagine ?

Et encore un article un peu technique pour finir la journée en beauté ! Si je vous disais que votre serveur Linux pouvait gérer 10 exaoctets de données sans broncher ? Vous ne me croiriez pas je pense… D’ailleurs c’est quoi 10 exaoctets ?? Et bien ça correspond à 10 millions de To. C’est pas mal hein ?

Hé bien c’est exactement ce que permet de gérer TernFS, le système de fichiers qu’XTX Markets vient de libérer après trois ans d’utilisation intensive. XTX Markets est une boîte d’algo-trading qui brasse 250 milliards de dollars par jour et j’avoue que c’est un joli cadeau de presque-Noël qu’elle vient de nous faire…

D’après ce qu’ils expliquent sur leur site , NFS et les autres solutions classiques ne tenaient plus la charge face à leurs 650 pétaoctets de données utilisées leur machine learning. Alors ils ont fait ce que font les vrais geeks, ils ont codé leur propre solution… et après trois ans de production sans perdre “un seul octet”, ils ont tout balancé en en open source sur GitHub .

Le truc génial avec TernFS, c’est qu’il a été pensé pour les fichiers immuables, vous savez, ces gros datasets de plusieurs gigaoctets qu’on écrit une fois et qu’on relit des milliers de fois pour entraîner des modèles. Pas de modification après création, pas de prise de tête avec les locks et la cohérence. C’est simple et efficace.

L’architecture repose sur quatre composants principaux qui bossent ensemble : les metadata shards (256 shards logiques pour gérer les métadonnées), le CDC (Cross-Directory Coordinator) pour les opérations entre répertoires, les block services pour stocker les données, et un registry pour orchestrer tout ce petit monde. Le tout communique en UDP/TCP avec du Reed-Solomon pour l’erasure coding et du CRC32-C pour vérifier l’intégrité. Bref, ça semble être du solide.

Et les chiffres qu’ils donnent sur leur production sont assez dingues. Ils parlent de 500+ pétaoctets répartis sur 30 000 disques durs et 10 000 SSD, dans 3 datacenters différents, avec des débits qui montent à plusieurs téraoctets par seconde en vitesse de pointe. Et leur système gère ça tranquille, avec du multi-région natif et une tolérance aux pannes qui ferait pâlir d’envie n’importe quel admin sys.

Si ça vous chauffe, pour installer TernFS, c’est du classique. Vous clonez le repo, vous lancez ./build.sh alpine ou ./build.sh ubuntu selon votre distrib, et c’est parti. Il y a un module kernel Linux pour gratter les perfs maximales et toucher les étoiles, mais vous pouvez aussi utiliser FUSE si vous préférez rester en userspace. Ils ont même implémenté une API S3 pour ceux qui veulent migrer depuis AWS sans tout réécrire.

git clone https://github.com/XTXMarkets/ternfs
cd ternfs
./build.sh alpine
# Et pour tester en local
./scripts/ternrun

Et si votre serveur Linux était comme un appart en coloc où tout le monde partage la même cuisine, le même salon, les mêmes chiottes ?? Forcément, ça finit toujours mal avec quelqu’un qui monopolise les toilettes pendant que vous avez une urgence en spray, un autre fait crasher la machine à laver avec ses expérimentations douteuses de voyage dans le temps, et au final personne n’est content.

Hé bien figurez-vous qu’un développeur nommé Cong Wang de Multikernel Technologies vient de proposer une solution radicale qui consiste à donner à chaque processus son propre kernel Linux, avec ses propres core CPU, comme des colocataires qui auraient enfin chacun leur studio…

Selon le patch soumis sur la Linux Kernel Mailing List (LKML), cette architecture “multikernel” permettrait de faire tourner plusieurs noyaux Linux indépendants sur la même machine physique. C’est pas vraiment de la virtualisation classique façon VMware ou KVM, mais c’est plutôt comme si vous découpiez votre ordinateur en tranches et que chaque tranche vivait sa vie. Le truc marrant, c’est que Cong Wang n’est pas un petit nouveau qui débarque avec ses idées folles. Le bonhomme a déjà contribué à plus de 1000 patches au noyau Linux et il maintient le sous-système de traffic control . Autant dire qu’il sait de quoi il parle quand il touche au code du noyau.

D’ailleurs cette idée de séparer les kernels rappelle furieusement le projet Barrelfish que Microsoft Research et l’ETH Zurich avaient lancé il y a quinze ans. À l’époque, ils voulaient traiter l’OS comme un système distribué où chaque core CPU aurait son propre kernel qui communique avec les autres par messages. Sauf que voilà, c’était trop tôt. Les processeurs n’avaient pas assez de cores pour qu’on puisse se permettre ce genre de luxe, et puis franchement, qui avait besoin de ça en 2009 ?

Aujourd’hui avec nos CPU à 128 cores et nos problèmes de sécurité qui explosent, l’idée prend soudainement tout son sens.

Selon Phoronix et les patches sur la LKML, l’implémentation de Wang utilise kexec, ce mécanisme qui permet normalement de redémarrer directement dans un nouveau noyau sans repasser par un reboot. Sauf qu’ici, au lieu de remplacer le noyau existant, on en charge plusieurs qui vont cohabiter. Chaque kernel se voit attribuer ses propres cores CPU et ils communiquent entre eux via un système d’interruptions inter-processeurs (IPI) spécialement conçu pour l’occasion. Et dans les 7 patches proposés en RFC, Wang prévoit des mécanismes de surveillance pour gérer tous ces petits mondes parallèles.

Et pendant que Cong Wang bricolait son multikernel dans son coin, les géants du cloud comme Amazon, Microsoft et Google ont développé en parallèle une technologie appelée KHO ( Kexec HandOver ) qui permet de préserver l’état système lors du changement de kernel. En gros, ils veulent pouvoir mettre à jour le noyau Linux de leurs serveurs sans perdre les VMs qui tournent dessus. Sauf que si le multikernel de Wang fonctionne vraiment, ça pourrait rendre leur stack de virtualisation complètement obsolète.

Car pourquoi s’embêter avec des hyperviseurs complexes quand on peut juste donner à chaque workload son propre kernel ?

Le plus drôle dans tout ça, c’est que Wang admet candidement dans son RFC que pour l’instant, ça marche “que sur sa machine de dev avec des paramètres hardcodés”.

Maintenant si cette techno décolle, on pourrait voir des trucs assez dingues. Genre un kernel temps réel qui gère les processus critiques pendant qu’un kernel classique s’occupe du reste. Ou alors des kernels spécialisés pour différents types de workloads : un pour le machine learning, un pour les bases de données, un pour le réseau. Vous pourriez même imaginer des kernels avec différents niveaux de sécurité du genre un kernel ultra-paranoia pour vos données sensibles et un kernel plus relax pour Netflix. Et le plus beau c’est que si un kernel plante, les autres continuent de tourner tranquillement.

C’est comme avoir plusieurs systèmes de secours intégrés directement dans la machine.

Mais attention, on parle quand même d’une RFC, et pas encore d’un truc prêt pour la prod. La communauté des barbus du noyau va probablement passer des mois à débattre de chaque ligne de code, et c’est tant mieux parce que toucher à l’architecture fondamentale de Linux, c’est pas comme patcher un bug dans Firefox. Si ça merde, c’est potentiellement des millions de serveurs qui partent en vrille.

Au final, que ce patch soit accepté ou pas, ça montre surtout que Linux continue d’évoluer de manière radicale pour toujours aller plus loin ! Et si vous l’évolution de ce projet, tout se passe sur la LKML .

Source