OpenBSD 7.9 : Sécurité, Installation et Débats OpenBSD 7.9, nouvelle version axée sur la sécurité, propose des paquets pré-construits et des guides d'installation détaillés pour diverses architectures, ainsi qu'une mise à niveau simplifiée. La sortie s'accompagne d'éléments distinctifs : mascotte Puffy et chanson thématique. Le système se démarque par une approche proactive de la sécurité, intégrant des innovations telles que W^X, ASLR, pledge et unveil pour minimiser la surface d'attaque et isoler les privilèges. Cette rigueur, souvent comparée à Linux, soulève des débats sur l'interprétation des CVEs, compte tenu des contextes variés. Il excelle comme pare-feu, serveur de messagerie ou infrastructure à faible maintenance, grâce à sa cohérence, sa documentation et une philosophie évitant la complexité. Des critiques subsistent : compromis de performances (désactivation de l'Hyperthreading), défis de gestion des partitions, résilience limitée aux coupures de courant (absence de journalisation), et lacunes Wi-Fi (malgré l'expérimentation du Wi-Fi 6). Face à FreeBSD (performance) ou NetBSD (portabilité), OpenBSD privilégie sécurité intrinsèque et simplicité. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48192882) - **Article source** : [OpenBSD 7.9](https://www.openbsd.org/79.html)
Archives
Tag : #reglementation • 52 articles • Page 3 sur 5Fabricked : Compromettre le calcul confidentiel d'AMD Une nouvelle attaque logicielle, nommée Fabricked, expose une faille critique dans les processeurs AMD EPYC, ciblant la technologie de calcul confidentiel SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging). Cette vulnérabilité permet à un hyperviseur malveillant de contourner les protections matérielles conçues pour isoler les machines virtuelles confidentielles (CVMs) des fournisseurs de cloud. Fabricked manipule le composant Infinity Fabric, responsable du routage mémoire, en altérant la configuration via le firmware UEFI. En interceptant les transactions mémoire critiques du co-processeur sécurisé (PSP) lors de l'initialisation de SEV-SNP, l'attaque empêche la mise en place correcte des règles de contrôle d'accès mémoire (RMP). Il en résulte un RMP corrompu qui permet à l'attaquant d'accéder en lecture et écriture à l'espace mémoire des CVMs. Cette attaque est purement logicielle, déterministe et efficace à 100%, affectant les processeurs AMD Zen 3, Zen 4 et Zen 5. Elle souligne les défis de la sécurité dans les environnements cloud, où la confiance envers le fournisseur est intrinsèquement limitée. Pour les organisations gérant des données sensibles, cela relance le débat sur la supériorité des solutions d'auto-hébergement ou de colocation physique face aux machines virtuelles cloud, souvent perçues comme plus exposées aux vulnérabilités au niveau de l'infrastructure hôte. AMD a reconnu la faille, assignée sous CVE-2025-54510. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48173708) - **Article source** : [Fabricked | XCA](https://xca-attacks.github.io/fabricked/)
wake up! 16b : Une prouesse de densité algorithmique Le programme "wake up! 16b", une démo de 16 octets en assembleur x86, repousse les limites de la densité algorithmique en générant simultanément un fractal de Sierpinski visuel et sonore. Créé pour la demoscene, il exploite la mémoire vidéo du mode texte DOS comme espace de calcul. L'algorithme utilise l'opération XOR sur les données de la mémoire, qui, bien que "pré-remplie" par le BIOS, permet de dégager le motif mathématique de la Règle 60 de Wolfram. L'astuce réside dans l'utilisation du Bit 1 de chaque octet : il est directement envoyé au haut-parleur PC via le port 61h, transformant la géométrie du fractal en ondes sonores distinctes. Le déplacement de -56 octets par itération module l'expérience, étirant le fractal en dix colonnes diagonales à l'écran et abaissant la fréquence audio d'une octave. La sortie visuelle et sonore est étonnamment sensible aux états initiaux de la RAM, rendant chaque exécution unique et soulignant la beauté imprévisible des contraintes extrêmes. Cette œuvre est saluée pour son ingéniosité technique et sa beauté troublante. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48173962) - **Article source** : [wake up! 16b](https://hellmood.111mb.de//wake_up_16b_writeup.html)
‘No Way To Prevent This,’ Says Only Package Manager Where This Regularly Happens | Kevin Patel Les attaques sur la chaîne d'approvisionnement logicielle posent une menace persistante et dévastatrice pour l'écosystème JavaScript, entraînant la compromission de millions d'applications via le registre npm. Tandis que cette situation est souvent perçue comme inévitable par certains, d'autres écosystèmes comme Go ou Rust, dotés de bibliothèques standard robustes et de vérifications cryptographiques intégrées, affichent une bien meilleure résilience. La problématique est exacerbée par la dépendance de l'écosystème JavaScript à des arbres de dépendances excessivement profonds, à des packages non vérifiés et à l'exécution arbitraire de scripts d'installation par défaut. Pour contrer ces vulnérabilités, des mesures concrètes sont proposées. Parmi elles, l'instauration de "délais de grâce" (cooldowns) de quelques jours pour les nouvelles versions de packages est jugée essentielle, offrant aux outils de sécurité et aux mainteneurs le temps nécessaire pour détecter et retirer le code malveillant. Des réformes plus larges incluent l'application de vérifications d'identité pour les éditeurs, la restriction des plages de versions dynamiques et la réévaluation fondamentale des scripts d'installation. La sous-capitalisation des projets open-source critiques est souvent identifiée comme une cause profonde, contrastant avec des systèmes plus matures comme Maven Central qui appliquent des garde-fous et des politiques d'immutabilité plus stricts. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48155690) - **Article source** : [‘No Way To Prevent This,’ Says Only Package Manager Where This Regularly Happens | Kevin Patel](https://kevinpatel.xyz/posts/no-way-to-prevent-this/)
Erlang/OTP 29.0 - Erlang/OTP Erlang/OTP 29.0 marque une avancée majeure, privilégiant la sécurité et l'expérience développeur. Le principe "sécurisé par défaut" est renforcé : le daemon SSH désactive désormais les services shell et exec, ainsi que le sous-système SFTP, limitant l'exécution de code arbitraire. Le support de l'algorithme post-quantique x25519mlkem768 en SSL modernise également la cryptographie. De nouvelles fonctionnalités linguistiques sont introduites, comme les "Native Records" expérimentaux, une évolution des enregistrements qui suscite l'anticipation pour son intégration potentielle avec Elixir. Des améliorations aux compréhensions et la garde `is_integer/3` enrichissent le langage. Côté outils, `io_ansi` permet la création d'applications CLI stylisées, et `ct_doctest` facilite les tests d'exemples de documentation. Le compilateur et le JIT ont été optimisés, et de nouveaux avertissements encouragent l'abandon de pratiques obsolètes, telles que l'opérateur `catch`. Ces évolutions signalent une modernisation continue d'Erlang et influencent l'écosystème BEAM, notamment Elixir, en proposant des bases techniques renouvelées. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48155297) - **Article source** : [Erlang/OTP 29.0 - Erlang/OTP](https://www.erlang.org/news/188)
Pourquoi les développeurs seniors peinent à communiquer leur expertise Le problème central réside dans un décalage entre les priorités : les entreprises visent la **réduction rapide de l'incertitude** pour explorer le marché, tandis que les développeurs seniors se concentrent sur la **gestion de la complexité** pour garantir la stabilité et la maintenabilité des systèmes. Cette divergence crée des échecs de communication. Les seniors, voyant l'IA comme un facteur de déstabilisation augmentant la complexité, ont du mal à exprimer les risques à long terme dans des termes compréhensibles pour l'entreprise. Leur expertise consiste à identifier les développements superflus et à concevoir des solutions stables et efficaces. Une approche suggérée est de dédoubler le développement en une version "vitesse" (pour l'expérimentation rapide, potentiellement pilotée par l'IA) et une version "stabilité" (pour des systèmes robustes, gérés par les seniors agissant comme des "éditeurs"). Cela permet à l'entreprise d'innover rapidement pendant que les seniors assurent une croissance stable et responsable. L'expertise profonde, un "modèle du monde" interconnecté acquis par l'expérience, ne se transmet cependant pas simplement. Les développeurs seniors doivent traduire leur compréhension de l'intégrité des systèmes en solutions qui ciblent explicitement la réduction de l'incertitude, par exemple en proposant "Pouvons-nous essayer quelque chose de plus rapide ?". Cette stratégie équilibre l'innovation avec une stabilité essentielle et une responsabilité critique, en utilisant l'IA comme un outil guidé par l'expertise humaine. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48109460) - **Article source** : [Why senior developers fail to communicate their expertise | nair.sh](https://www.nair.sh/guides-and-opinions/communicating-your-expertise/why-senior-developers-fail-to-communicate-their-expertise)
Apple retient mes photos en otage jusqu'à ce que j'accepte leurs nouvelles conditions de service | Probably Dance Apple est accusé de retenir en otage des photos et vidéos personnelles en les rendant inaccessibles tant que de nouvelles conditions de service (ToS) ne sont pas acceptées. Le problème survient lorsque l'entreprise télécharge automatiquement les médias locaux des utilisateurs vers iCloud (en utilisant les 5 Go gratuits par défaut), puis supprime les originaux de l'appareil. Sans acceptation des ToS mises à jour, seules des versions floues ou des erreurs de chargement apparaissent. Cette pratique, jugée "dystopique" par certains, force les utilisateurs à consentir à des contrats souvent longs et non lus pour retrouver leurs contenus. Elle soulève des interrogations sur la propriété des données et les méthodes de gestion des géants technologiques comme Apple, Google et Microsoft. Bien que la gratuité initiale du service iCloud soit notée, le processus de suppression locale sans consentement explicite clair est vivement critiqué. Pour beaucoup, c'est une stratégie visant à pousser l'abonnement payant, enfermant les utilisateurs dans un écosystème où les alternatives (comme les systèmes d'exploitation ouverts ou les sauvegardes manuelles) exigent un effort conséquent. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48067496) - **Article source** : [Apple is Holding my Pictures Hostage Until I Accept Their New Terms of Service | Probably Dance](https://probablydance.com/2026/05/01/apple-is-holding-my-pictures-hostage-until-i-accept-their-new-terms-of-service/)
Les publicités pour les jeux d'argent sur les réseaux sociaux touchent plus de deux fois plus d'hommes que de femmes | Université de Cambridge Une étude menée par l'Université de Cambridge révèle que les publicités pour les jeux d'argent sur les réseaux sociaux touchent deux fois plus d'hommes que de femmes, ciblant particulièrement les jeunes hommes, le groupe le plus susceptible de développer des problèmes de jeu. L'analyse de 411 publicités en Irlande sur les plateformes Meta a montré que les hommes de 25 à 34 ans, catégorie la plus exposée, étaient atteints 2,3 fois plus que les femmes, même lorsque le ciblage n'était pas explicitement masculin. Cette sur-exposition s'inscrit dans un contexte où de nombreux jeunes hommes font face à une crise d'identité, un manque de repères et la dissolution de structures sociales offrant sens et communauté. Cette vulnérabilité, combinée à des environnements numériques conçus pour l'addiction et à la normalisation du jeu via les marchés de prédiction et le parrainage sportif, accroît la susceptibilité aux comportements addictifs. La publicité, souvent subtile, instille des désirs subconscients de gratification rapide ou d'évasion. Des régulations plus strictes, comme la nouvelle législation irlandaise ou le Digital Services Act de l'UE, sont jugées essentielles pour la transparence et la responsabilisation des industries jugées nocives. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48056359) - **Article source** : [Gambling ads on social media reach more than twice as many men as women | University of Cambridge](https://www.cam.ac.uk/research/news/gambling-ads-on-social-media-reach-more-than-twice-as-many-men-as-women)
Quand le réseau fait défaut | OS/2 Museum Des difficultés de communication réseau sous Windows, notamment avec des modules IPMI anciens, ont mis en lumière un problème insidieux lié à la fonctionnalité de déchargement du calcul de la somme de contrôle UDP IPv4 (Rx checksum offloading) sur certaines cartes réseau Intel. Tandis que des systèmes Linux ou d'autres matériels fonctionnent sans accroc, Windows 10 et 11 équipés de ces NIC Intel reçoivent les paquets UDP mais les rejettent au niveau de la pile TCP/IP en raison d'une somme de contrôle prétendument invalide. L'analyse a révélé que les paquets étaient physiquement reçus, mais le pilote ou le matériel Intel interprétait erronément leur somme de contrôle. Ce dysfonctionnement peut être dû à une gestion particulière de certaines valeurs de checksum (comme 0x0000 ou 0xFFFF) ou à une sensibilité inattendue à des champs d'en-tête IP spécifiques. Le diagnostic s'est avéré complexe, Wireshark montrant le trafic sans en identifier la cause, tandis que PktMon a été déterminant en signalant le rejet interne des paquets. La désactivation manuelle de cette fonction de déchargement dans les propriétés du pilote de la carte réseau résout le problème, contournant ainsi un défaut d'implémentation qui entrave la fiabilité du réseau. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48014868) - **Article source** : [When Networking Doesn’t Work | OS/2 Museum](https://www.os2museum.com/wp/when-networking-doesnt-work/)
L'Expérience de Thienan Tran : Briser l'Isolement Social au Gymnase Thienan Tran, confronté à une profonde solitude post-universitaire, a entrepris une expérience audacieuse : initier des conversations quotidiennes avec des inconnus dans sa salle de sport. Malgré une peur initiale du malaise social, il a rapidement découvert que briser la glace, souvent par un compliment sincère ou une question personnalisée, pouvait générer des interactions positives et même addictives. Bien que certaines tentatives se soient avérées infructueuses, l'auteur a appris à accepter le rejet et à cultiver la résilience. L'expérience a évolué, passant de la multiplication des contacts à l'approfondissement de quelques connexions choisies, menant à des amitiés significatives et à une confiance sociale accrue. Cette démarche résonne avec des principes d'interaction sociale parfois mal interprétés, tels que l'importance d'un intérêt authentique pour autrui, par opposition à une manipulation perçue. Des perspectives variées soulignent que si la convivialité est un atout, le contexte culturel et les intentions (chercher un véritable lien plutôt qu'un gain) sont cruciaux. Les espaces partagés et les activités régulières, offrant des points de départ naturels, sont identifiés comme des catalyseurs efficaces pour nouer des liens, transformant ainsi l'isolement en opportunités de connexion. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=48007438) - **Article source** : [Thienan Tran](https://thienantran.com/talking-to-35-strangers-at-the-gym/)
Le retour des boutons physiques dans les intérieurs Mercedes-Benz Mercedes-Benz annonce réintroduire des boutons physiques pour les fonctions clés de ses futurs modèles, tels que les prochains GLC et Classe C. Cette décision fait suite aux remontées clients qui, tout en appréciant les grands écrans tactiles, réclamaient un accès direct et tactile aux commandes essentielles pour des raisons de sécurité et de commodité. La marque allemande conservera ses larges écrans, comme l'Hyperscreen, mais les complétera par des boutons analogiques sur le volant et la console, se distinguant ainsi de concurrents comme Audi et Volkswagen qui ont parfois choisi de réduire la taille de leurs affichages. Ce revirement met en lumière le défi de l'industrie automobile face à l'ergonomie des interfaces. Les systèmes tout-tactiles sont souvent critiqués pour leur manque de réactivité, leur complexité et le risque de distraction qu'ils représentent pour les conducteurs, nécessitant une attention visuelle constante. La priorisation du "numérique" et des "écrans magiques" inspirés des smartphones s'est heurtée à la réalité de l'utilisation en conduite, où la mémoire musculaire et le retour haptique des commandes physiques sont cruciaux. Ce rééquilibrage suggère une prise de conscience de l'importance de l'équilibre entre innovation technologique et fonctionnalité intuitive pour une expérience de conduite sûre et agréable. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=47997418) - **Article source** : [Physical buttons return to upcoming Mercedes-Benz interiors](https://www.drive.com.au/news/mercedes-benz-commits-to-bringing-back-phycial-buttons/)
DeepSeek V4 : Un pas vers la frontière technologique, à une fraction du prix Les modèles DeepSeek-V4-Pro et DeepSeek-V4-Flash ont été lancés, marquant une avancée significative pour l'IA open-weights. Le modèle Pro, avec 1,6 trillion de paramètres au total, est le plus grand modèle à poids ouverts à ce jour. Leur atout majeur réside dans un coût d'utilisation extrêmement bas : le V4-Flash est le plus économique des petits modèles, et le V4-Pro des grands modèles frontières, offrant des économies substantielles. Des tests de codage complexes ont coûté moins de 0,10 $ avec le V4-Pro, comparé à une dizaine de dollars pour des alternatives propriétaires. Cette performance tarifaire est rendue possible par une efficacité accrue en contexte long, grâce à des innovations comme HCA et mCH, réduisant considérablement les FLOPs et la taille du cache KV par rapport aux versions précédentes. Bien que DeepSeek-V4-Pro soit légèrement en deçà des modèles d'IA de pointe absolus (estimé à 3-6 mois de décalage), il se montre très compétitif, notamment dans le raisonnement spatial pour le codage. Des déploiements locaux sont déjà possibles, permettant de traiter un million de jetons avec une meilleure performance et en utilisant moins de ressources GPU que la version précédente, renforçant la vision d'une IA accessible et moins centralisée. - **Discussion HN** : [Lire la discussion](https://news.ycombinator.com/item?id=47977026) - **Article source** : [DeepSeek V4—almost on the frontier, a fraction of the price](https://simonwillison.net/2026/Apr/24/deepseek-v4/)