RedPill

technophile autodidacte #cryptos #souverainiste #GenX

[RedPill @RedPill_59]

Continuez à regarder mon doigt pendant que je regarde la Lune

[RedPill @RedPill_59]

@gouvernementFR #soros et #gates vont être poursuivis ?
C’est pour un ami

[Christophe Boutry @Ced_haurus]

Ils sont pas foutus de sécuriser une simple messagerie et de vérifier que leurs agents ne balancent pas des documents sensibles dans des salons publics mais ils veulent nous forcer à nous identifier pour accéder aux réseaux sociaux.

Il va falloir que ça change en 2027. Et en profondeur.

[Christophe Boutry @Ced_haurus]

🔴La DINUM reconnaît un incident sur @tchap_dinum

Un attaquant a utilisé un compte légitime compromis pour accéder à la plateforme.

Ce qui a pu être consulté, selon la DINUM : uniquement des salons publics. Ouverts à tous par conception. Non chiffrés. Les conversations privées restent protégées.

Le compte malveillant a été identifié et bloqué. La CNIL a été notifiée. Le diagnostic est en cours.

Le petit rappel à ses agents : un salon public Tchap peut être rejoint par n'importe quel utilisateur. Rien de sensible ne doit y circuler....
Vu ce qui a été publiée par le cybercriminel, je pense qu'il va falloir faire le ménage dans les salons.

[SaxX ¯\_(ツ)_/¯ @_SaxX_]

Une intrusion maîtrisée...
Une fuite de données sans données...

À vous ! Régalez le peuple svp

[Renaud Lifchitz ⠵ @nono2357]

Signal, DuckDuckGo et NordVPN menacent de quitter le Canada à cause d'une loi sur la surveillance
https://t.co/WfMklfnovr

[Seb Gouspillou @SebGouspillou]

@AmauryBrelet Au Salvador 🇸🇻 , avec 5 milliards €, on sait construire 49 CECOT.
Soit 2 millions de places de prison.
La France 🇫🇷 a le foncier en Guyane; pour 500 millions on vous fait 150k places easy 😉.

[Momotchi @mmtchi]

La vérification d'âge c'était déjà intrusif, là c'est next level. En gros vous aurez zéro vie privée.

Keir Starmer veut installer des logiciels espions sur tous les téléphones en UK pour voir vos photos perso.
Il donne 3 mois aux Big Tech pour "détecter et bloquer la nudité sur les téléphones des enfants" ou risquer des amendes.

ça veut dire scanner TOUTES les photos de vos téléphones, en permanence, les comparer à une base de données d'images existance. Le retour de ChatControl.

Encore une mauvaise idée à la place d'encourager les parents d'utiliser le CONTRÔLE PARENTAL POUR LEURS ENFANTS. Ou de leur filer un vieux Nokia ou Ericsson. Ah non ça marche plus, ils vont couper la 2G. Le hasard sûrement

[Christophe Boutry @Ced_haurus]

🔴Un cybercriminel affirme avoir obtenu l’accès à un compte valide sur @tchap_dinum , la messagerie sécurisée de l’administration française.
Quelques explications 🧵

À partir de ce compte, il prétend avoir pu collecter :

👉 73 467 comptes d’agents publics
👉 643 459 messages
👉 876 salons avec historique accessible
👉 plus de 59 000 fichiers
👉 environ 13,5 Go de données
👉 des métadonnées liées aux comptes, aux salons et aux terminaux

À ce stade, prudence : il s’agit d’une revendication. Rien ne permet encore d’affirmer que tous les chiffres sont exacts, ni que tous les contenus annoncés sont sensibles.

De quoi parle-t-on ? 🔽

Tchap est la messagerie interministérielle de l’État français.

Elle est utilisée par des agents publics pour échanger dans un cadre professionnel, au sein d’administrations, de ministères ou de groupes de travail transversaux.

Elle a été pensée comme une alternative souveraine aux messageries privées grand public, notamment WhatsApp, Telegram ou Signal, afin d’éviter que des échanges professionnels de l’administration française transitent par des services commerciaux étrangers.

Techniquement, Tchap repose sur Matrix, un protocole de messagerie décentralisée.

Matrix permet à plusieurs serveurs de communiquer entre eux, un peu comme le courrier électronique : un utilisateur d’un serveur peut échanger avec un utilisateur d’un autre serveur, si la fédération est autorisée.

Tchap utilise cette logique pour organiser une messagerie répartie entre plusieurs environnements administratifs. Son interface vient de l’écosystème Element, le client Matrix le plus connu, adapté ici aux usages de l’administration.

Attention ⚠️

Si les données revendiquées sont authentiques, cela ne signifie pas automatiquement que le chiffrement de Tchap aurait été cassé.

Cela ne veut pas dire non plus que toute la plateforme aurait été compromise.

Le scénario avancé ressemble plutôt à l’exploitation maximale d’un compte légitime. (ce que le cybercriminel revendique)

Autrement dit : l’attaquant ne dit pas avoir “cassé Matrix”. Il affirme avoir obtenu un compte valide, puis utilisé ce compte pour voir tout ce qu’il pouvait voir.

C'est là que le sujet devient intéressant.

Ce que l’acteur affirme avoir exploité 🔎

Selon l’auteur de la revendication, l’accès initial aurait été obtenu par ingénierie sociale sur un compte lié à un agent de l’Éducation nationale.

Une fois connecté, il aurait utilisé des fonctionnalités normales de Matrix pour :

👉 explorer l’annuaire des utilisateurs
👉 rechercher des salons
👉 consulter les espaces accessibles
👉 remonter l’historique des conversations disponibles
👉 récupérer les fichiers partagés dans ces échanges

Dans Matrix, un compte peut voir plusieurs types d’informations selon la configuration du serveur et des salons :

👉 annuaire des utilisateurs
👉 salons publics ou semi-publics
👉 salons déjà rejoints
👉 salons thématiques
👉 espaces transversaux
👉 historiques visibles aux nouveaux membres
👉 médias partagés
👉 métadonnées de terminaux
👉 clés publiques des appareils

Autrement dit, un compte compromis ne donne pas seulement accès à “ses messages privés”.

Il peut aussi devenir une porte d’entrée vers tout ce que ce compte est autorisé à voir.

Pourquoi 600 ou 800 salons seraient accessibles ? 🏛️

Accéder à plusieurs centaines de salons ne veut pas forcément dire que l’attaquant aurait forcé l’accès à des conversations privées.

Sur Matrix, certains salons peuvent être publics, transversaux, thématiques ou joignables par tout agent authentifié.

Des noms de salons comme :
👉 “Outils collaboratifs”
👉 “Droit pénal et procédure pénale”
👉 “Intelligence artificielle”
👉 “Médecine-santé”
👉 “Sécurité civile”

ressemblent davantage à des espaces de discussion communautaires qu’à des canaux hautement confidentiels.

Mais cela ne rend pas l’incident négligeable.
Un salon public interne à l’administration n’est pas un salon public au sens d’Internet. Il peut contenir des échanges professionnels, des documents, des liens de réunion, des noms d’agents, des habitudes de travail, des informations contextuelles et des fichiers dont l’agrégation devient sensible.

Le problème de l’annuaire 👥

L’acteur affirme avoir utilisé la fonction de recherche de l’annuaire Matrix pour énumérer les utilisateurs.

Il aurait interrogé automatiquement la fonction de recherche des comptes pour reconstruire une liste de dizaines de milliers d’agents.

Cette liste contiendrait notamment :
👉 noms d’affichage
👉 adresses professionnelles
👉 ministères ou organismes de rattachement
👉 serveurs d’origine
👉 métadonnées liées aux comptes et équipements

Ce type d’énumération n’a rien d’impossible si la recherche n’est pas assez limitée, pas assez cloisonnée ou pas assez protégée contre les requêtes répétées.

Ce n’est pas forcément un “piratage profond”. Cela peut être un abus massif d’une fonctionnalité légitime.

Le sujet des fichiers 📁

Le point le plus préoccupant concerne les fichiers.

L’auteur affirme avoir téléchargé plus de 59 000 médias et documents, pour environ 13,5 Go.

Dans Matrix, les fichiers partagés dans les conversations sont référencés par des identifiants médias. Selon la configuration du serveur, connaître l’identifiant ou l’URL d’un fichier peut parfois permettre de le récupérer, ou au minimum faciliter son téléchargement via l’API média.

Cela ne veut pas forcément dire que “tous les fichiers de Tchap” étaient librement accessibles.

Le scénario le plus vraisemblable est plutôt celui-ci :

L’attaquant aurait lu des messages accessibles au compte, extrait les liens ou identifiants de fichiers présents dans ces messages, puis téléchargé les pièces jointes correspondantes.

Si ces messages provenaient de salons inter-administrations, les médias pouvaient être hébergés sur plusieurs serveurs Tchap.

Les éléments sensibles revendiqués 🧨

L’acteur affirme également avoir trouvé :
👉 des liens Zoom
👉 des codes Webex
👉 des scripts PowerShell
👉 des références à des annuaires internes
👉 des identifiants techniques
👉 des mentions “Diffusion Restreinte”

Ces affirmations doivent être prises avec précaution.

Une mention “Diffusion Restreinte” dans un message ou un nom de fichier ne prouve pas automatiquement qu’un document protégé a été exfiltré.

Un identifiant trouvé dans un script ne prouve pas non plus qu’il est encore actif ou exploitable.

Mais ces éléments montrent un risque classique des messageries internes : les utilisateurs y déposent parfois des informations techniques ou opérationnelles qui ne devraient jamais circuler dans un salon.

Le vrai problème n’est pas forcément Matrix 🧠

Matrix est un protocole puissant, pensé pour la fédération, l’interopérabilité et le chiffrement.

Mais comme toute infrastructure collaborative, sa sécurité dépend énormément de sa configuration et de sa gouvernance.

Les vraies questions sont donc :

👉 qui peut voir l’annuaire ?
👉 qui peut rejoindre quels salons ?
👉 un nouvel entrant peut-il lire l’historique ?
👉 les médias sont-ils protégés par l’appartenance au salon ?
👉 les salons publics internes sont-ils audités ?
👉 les pièces jointes sensibles sont-elles contrôlées ?
👉 les secrets techniques sont-ils détectés lorsqu’ils sont partagés ?

Le chiffrement de bout en bout ne règle pas tout 🔐

Le chiffrement protège contre certains accès techniques non autorisés, mais il ne protège pas contre un compte légitime compromis qui lit ce qu’il est autorisé à lire.

Si un agent est membre d’un salon, ou si un salon est accessible à tous les agents, le chiffrement ne transforme pas ce salon en coffre-fort.

Le risque se déplace alors vers la gestion des droits, des usages et des espaces.

Le vrai problème : non pas une preuve que Tchap serait “cassé”, mais la possibilité qu’un seul compte ait permis de cartographier beaucoup trop de choses.

Quels risques si la revendication est confirmée ? 🚨

Si les éléments avancés sont exacts, l’incident serait sérieux pour plusieurs raisons.

D’abord, l’énumération de plus de 73 000 agents permettrait de construire une base de ciblage très précieuse pour du phishing, de l’usurpation ou de l’ingénierie sociale.

Ensuite, les messages et salons exposés pourraient révéler des habitudes de travail, des interactions entre services, des sujets internes et des informations organisationnelles.

Enfin, les fichiers partagés peuvent contenir des documents administratifs, des captures, des pièces jointes, voire des informations techniques réutilisables dans d’autres attaques.

Conclusion 🧭

À ce stade, rien ne permet d’affirmer que l’intégralité de Tchap aurait été compromise.

Rien ne démontre non plus un casse du chiffrement Matrix.

Le risque ne vient pas toujours d’un attaquant qui casse la porte.

Parfois, il entre avec un badge valide, puis découvre que beaucoup trop de portes sont restées ouvertes.

https://t.co/nsyBfNZsvN

[Eric Larchevêque @EricLarch]

Non.

[🫧 Laurent Potelle 🐝 🔻 @Laurent_Potelle]

Sur Twitter, on peut répondre, vous le savez, aux tweets de personnalités politiques ou autres, même des années après si ceux-ci n'ont pas été effacés...
Cela donne parfois de véritables bijoux. 🤭

[Christophe Boutry @Ced_haurus]

👉 Yoti, plateforme de vérification d'âge, aurait "signalé" un utilisateur aux autorités pour détection d'usage de @GrapheneOS

Voici ce qui s'est passé.

Un utilisateur tente de vérifier son âge sur PlayStation Network via @getyoti . Son appareil tourne sous GrapheneOS.

Le scan échoue à répétition, 8 à 10 fois. Il contacte le support Yoti pour comprendre.

La réponse arrive de help@yoti[.]com :

"Due to past security concerns, Yoti automatically flags multiple verification attempts and any devices running GrapheneOS. These instances are automatically reported to both the authorities and our security team."

Traduction : "En raison de problèmes de sécurité passés, Yoti signale automatiquement les tentatives de vérification multiples ainsi que tout appareil fonctionnant sous Gra…"En raison de problèmes de sécurité passés, Yoti signale automatiquement les tentatives de vérification multiples ainsi que tout appareil fonctionnant sous GrapheneOS. Ces cas sont automatiquement signalés aux autorités ainsi qu'à notre équipe de sécurité."

L'utilisateur avait fourni ses vrais documents d'identité. Il n'a pas contourné quoi que ce soit. C'est le système de Yoti qui semble avoir échoué à les traiter.

Pourquoi ? GrapheneOS restreint les APIs caméra et biométriques. Un scan qui fonctionne sur Android stock peut échouer en boucle sur GrapheneOS. L'échec répété n'est pas une fraude. C'est une incompatibilité technique.

Evidemment, il est très facile de détecter qu'un smartphone utilise GrapheneOS.
GrapheneOS n'est interdit nulle part. C'est un Android open source durci, utilisé par des journalistes, des avocats, des chercheurs en sécurité, et des gens comme vous et moi, soucieux de leur sécurité.

Mais pour Yoti, l'utiliser suffirait à vous classer comme suspect. En vertu de quoi ?

Soit Yoti signale effectivement quelqu'un, quelque part, pour avoir utilisé un OS légal. Soit c'est une formule boilerplate conçue pour faire peur.

Dans les deux cas, c'est un problème.

Si c'est réel : aucun texte n'impose à un prestataire de vérification d'âge de signaler aux forces de l'ordre un utilisateur détecté sous GrapheneOS. C'est une politique unilatérale sans base légale identifiable.

Si c'est un bluff : menacer un utilisateur d'une procédure légale fictive est une pratique commerciale déloyale dans la plupart des juridictions.

En revanche, ce que ça révèle, c'est que petit à petit, utiliser des OS alternatifs va entraîner des restrictions, des suspicions, pour mieux permettre de déployer leurs systèmes de régulations.

Et demain, ce ne sera pas seulement GrapheneOS.

À chaque étape, on nous dira que c’est pour la sécurité, pour les enfants, pour la lutte contre la fraude, pour la conformité. Mais à la fin, le résultat sera le même : l’utilisateur qui cherche à se protéger devra se justifier, tandis que l’utilisateur entièrement traçable sera considéré comme normal.

C’est cette inversion qu’il faut refuser.

La vie privée ne doit pas devenir une circonstance aggravante. La sécurité numérique ne doit pas devenir un marqueur de suspicion. Et les infrastructures de vérification d’âge ne doivent pas devenir des postes-frontières privés où des entreprises privées décident, dans l’opacité, quels appareils sont acceptables et quels utilisateurs méritent d’être signalés.

Si Yoti confirme cette pratique, il faudra demander sur quelle base juridique repose ce signalement, quelles autorités sont destinataires, quelles données sont transmises, combien d’utilisateurs sont concernés, combien de temps ces informations sont conservées, et quels recours sont offerts aux personnes faussement signalées.

Et si Yoti ne la confirme pas, il faudra expliquer pourquoi son support a pu écrire une telle chose à un utilisateur.

[RedPill @RedPill_59]

@MoneyRadar_FR Ce que font d’autres milliardaires par ailleurs mais comme ils sont « de gauche » ou progressistes cela ne pose pas problème

[Seb Gouspillou @SebGouspillou]

🇫🇷: Le ministre de la justice, ministre de la police juste avant, lance une charge contre les services de l’état.
Jamais vu un truc pareil.

[Renaud Lifchitz ⠵ @nono2357]

Arrêtez l'euro numérique avant le vote - Protégez votre argent
https://t.co/zF0gwdT4bK

[Christophe Boutry @Ced_haurus]

🔴🇫🇷 Fuite de données : Les opticiens KRYS.
▶️ 205 000 personnes potentiellement concernées.

https://t.co/EkGNHvH9Iu

[Souveraine Tech @SouveraineTech]

Le problème avec les fakenews, c'est qu'elles nagent dans un immense bain de nouvelles tout à fait sérieuses, dont il est a priori impossible de les distinguer.

Et pour cause.

Un exemple parmi tant d'autres.

La Commission européenne souhaite que les ménages réduisent leur consommation d'énergie aux heures de pointe afin de se préparer à l'explosion de la demande en électricité liée aux centres de données dédiés à l'intelligence artificielle et à l'électrification de l'économie.

[Non-Suicidally Empathetic @EmpathyExtremes]

@visegrad24 Bring back the death penalty via Parliament.

[Christophe Boutry @Ced_haurus]

👉Enfin un outil de transfert de fichiers européen, chiffré de bout en bout, et transparent sur ce qu'il fait de vos données ! @retyc_app

Oubliez WeTransfer, Dropbox & co. Vos fichiers y sont lisibles par l'hébergeur, analysables, transmissibles à des autorités étrangères.

Retyc lance sa version pour toutes et tous. Partagez vos fichiers, contrats, documents sensibles sans sacrifier la sécurité et la confidentialité.

Ce qui change vraiment :

🔐 Chiffrement de bout en bout, opéré dans votre navigateur avant l'envoi

🇫🇷 Hébergement 100% européen, zéro AWS, zéro Azure, zéro GCP

🕵️ Architecture zero-knowledge, ils ne peuvent pas lire vos fichiers, même s'ils le voulaient

🚫 Zéro IA, zéro tracking publicitaire, zéro script tiers 📄 White paper public, code crypto open-source, page de transparence exhaustive

💶 Gratuit pour démarrer

Bravo aux Lyonnais de @retyc_app pour cette initiative !

➡️ https://t.co/I5McnyuvyE

[Renaud Lifchitz ⠵ @nono2357]

Comment installer GrapheneOS en 15 minutes sur votre Pixel
https://t.co/6VAXKTHRJk

[Elon Musk @elonmusk]

Outrageous double-standard!