Et pas l'inverse !

En effet, Discord va bientôt demander à ses utilisateurs de prouver qu'ils ont bien 18 ans pour accéder au contenu NSFW. La plateforme prévoit de déployer la vérification d'âge à l'échelle mondiale dès le mois de mars 2026. Après des tests au Royaume-Uni depuis juillet dernier puis en Australie depuis décembre, c'est TOUT le monde qui y passe. Fini le simple clic sur "j'ai plus de 18 ans" !

Y'a donc 2 options au menu. Soit vous filmez votre tronche via le SDK de Yoti, un outil d'estimation d'âge qui tourne en local sur votre smartphone où faut ouvrir et fermer la bouche devant la caméra pour vérifier que c'est bien votre vrai visage. L'évaluation se fait en local et la vidéo ne quitte jamais votre appareil, ce qui évitera les soucis de confidentialité. Soit vous envoyez une copie de votre pièce d'identité au prestataire Persona.

Le selfie a donc l'air nettement plus safe...

Le précédent prestataire utilisé par Discord, 5CA, basé aux Pays-Bas s'est d'ailleurs fait pirater en octobre dernier par un groupe qui se fait appeler Scattered Lapsus$ Hunters. Environ 70 000 photos de pièces d'identité dans la nature. Sympa. Discord assure avoir changé de crémerie depuis, mais bon, une fois que vos données sont dehors, c'est trop tard. En tant que français, on ne le sait que trop bien puisque l’État comme les entreprises privées adorent offrir nos données personnelles aux cybercriminels de tout poils.

Attention quand même, si vous êtes sur un vieux téléphone sans bonne caméra frontale, ou si la luminosité est trop faible, l'estimation d'âge de Yoti risque de foirer et vous serez obligé de passer par la pièce d'identité. Du coup, le choix se fait un peu malgré vous.

Le déploiement au Royaume Uni avait d'ailleurs donné lieu à un contournement assez drôle. Des petits malins avaient utilisé le mode photo de Death Stranding (oui, le jeu de Kojima sur PS5/PC) pour tromper le système de reconnaissance faciale de k-ID. Le système demandait d'ouvrir et fermer la bouche... sauf que dans Death Stranding, vous pouvez contrôler les expressions faciales de Sam Porter via la barre "expression du personnage".

Vous savez combien de services américains vous utilisez sur votre site web utilise sans que vous ne le sachiez réellement ??? Aucun ? Bah et les Google Fonts pour la typo, Cloudflare pour le CDN, YouTube pour les vidéos embarquées, Google Analytics pour les stats et j'en passe des vertes et des pas mûres... ??? Faudrait pas les oublier !

Ainsi même si votre hébergement est chez O2Switch ou Scaleway en France, vos visiteurs peuvent envoyer des données aux USA sans que vous le réalisiez.

Et ça pose un vrai problème juridique car je sais pas si vous vous souvenez du Privacy Shield mais c'était ce fameux accord qui permettait de transférer légalement des données vers les États-Unis ? Hé bien il a été invalidé par la Cour de Justice européenne en 2020. Tout comme Safe Harbor avant lui en 2015 en fait. Et il y a maintenant le Data Privacy Framework, mais rien ne garantit qu'il tiendra plus longtemps que les précédents.

C'est là qu'intervient EU Audit , un scanner gratuit développé par un studio autrichien. Vous entrez l'URL de votre site et en quelques secondes, l'outil analyse vos principales dépendances : hébergement, polices, analytics, CDN, vidéos embarquées, widgets de chat, trackers sociaux et cartes. Chaque élément est vérifié pour déterminer s'il est hébergé dans l'UE ou pas et à la fin, vous obtenez un score de « souveraineté européenne » en pourcentage.

Perso, j'ai testé sur korben.info et je me suis pris une claque. Principalement à cause de Cloudflare et de mes embed de vidéos Youtube.

Pourtant, j'ai plus rien sur mon site à part ça, et mon hébergeur c'est o2Switch et c'est bien en France. Il me parle de "Social" mais j'ai rien du tout, à part des liens vers mes réseaux sociaux... J'sais pas peut être que ça suffit. En fait, suffirait que je vire Cloudflare pour repasser un dans le vert déjà mais je n'ai pas connaissance d'une solution équivalente et pas trop cher (parce que je fais plus de trafic que j'ai de moyens pour le financer, sniiif) qui assure du CDN, de la sécurité, des workers...etc. Ça existe peut-être mais dans ce cas, envoyez moi un mail pour que j'aille voir ça. Après pour l'embed YouTube, pareil, je vois pas trop quoi faire vu que je relaie surtout des vidéos YouTube parce que la Terre entière met ses vidéos là bas...

Bien sûr, j'ai trouvé l'idée de ce scanner pas mal du tout. Ça permet de visualiser rapidement où sont les fuites de données potentielles... Je ne les utilise pas mais y'a Google Fonts par exemple. C'est un classique... Chaque visiteur fait une requête vers les serveurs de Google, qui récupère son IP au passage. Pareil pour les vidéos YouTube embarquées, les maps Google, ou le sempiternel vieux pixel Facebook que certains laissent encore traîner sans même s'en rendre compte. D'ailleurs si vous voulez auditer votre propre hygiène numérique , j'avais fait un guide complet sur le sujet.

Bon après, l'outil ne détecte pas tout (les scripts inline ou les appels API cachés dans votre code, par exemple). Et pour un blog perso sans données sensibles, c'est peut-être un peu overkill. Mais si vous gérez des sites pour des entreprises ou des clients sensibles (administrations, santé, éducation...), y'a de quoi réfléchir ! Surtout que le passage à des alternatives européennes n'est pas toujours aussi compliqué qu'on le croit. Matomo au lieu de Google Analytics, des polices auto-hébergées, OpenStreetMap au lieu de Google Maps...

Si vous voulez soutenir un web indépendant et que je puisse continuer à dénicher ce genre d'outils, ça se passe sur mon Patreon .

Bref, si vous voulez faire le point sur la dépendance de votre site aux GAFAM, c'est gratuit et ça prend 30 secondes.

Vous pensiez que votre imprimante de bureau était juste un objet d'un autre temps qui enchaine des bourrages papier toute la journée et vous réclame de l'encre hors de prix comme un enfant qui attend sa têtée ? Ben va falloir revoir vos priorités niveau paranoïa, parce que c'est bien plus que ça !

Une enquête du Washington Post vient en effet de révéler comment le FBI a identifié un de leurs lanceurs d'alerte grâce aux logs d'impression de son employeur. Aurelio Luis Perez-Lugones, spécialiste IT pour un sous-traitant du gouvernement américain, aurait fait des captures d'écran de documents classifiés dans un SCIF (ces salles ultra-sécurisées où même votre téléphone n'entre pas), puis les aurait collés dans Word avant de les imprimer.

Et comment ils l'ont su ?

Hé bien il semblerait que les logs d'impression de sa boîte aient joué un rôle clé dans l'enquête, en complément des caméras de vidéosurveillance, bien sûr.

Car oui, ces systèmes ne se contentent pas de noter "Jean-Michel a imprimé 47 pages le 15 janvier". Non, ils peuvent stocker le contenu intégral des documents, les métadonnées, l'heure exacte, le poste de travail utilisé...etc. En gros, votre patron sait exactement ce que vous avez imprimé, et depuis combien de temps vous essayez de photocopier votre CV en douce.

Mais le plus flippant dans cette histoire, c'est que ça ne s'arrête pas aux logs réseau puisque même votre imprimante perso à la maison, elle-même, peut vous balancer, et cela depuis des décennies...

Vous avez déjà entendu parler des révélations d'Edward Snowden sur la surveillance de masse ? Ben là, c'est pareil, mais en version papier.

En effet, depuis les années 80, la plupart des imprimantes laser couleur intègrent un système de traçage appelé Machine Identification Code (MIC). Grâce à ce système, chaque page que vous imprimez contient une grille quasi-invisible de points jaunes d'environ 0,1 millimètre, espacés d'un millimètre. Ces points encodent le numéro de série de votre machine et la date/heure d'impression, ce qui fait que n'importe quel document imprimé peut être relié à une imprimante spécifique.

C'est discret, faut de bons yeux.

Le Chaos Computer Club et l'EFF ont documenté ce système depuis des années et l'EFF maintient même une liste des fabricants qui utilisent ces mouchards (spoiler : la plupart des grandes marques y sont).

Comment vérifier si votre imprimante vous espionne

Première étape : imprimez une page avec du contenu coloré sur fond blanc. Ensuite, examinez-la sous une lumière bleue ou un microscope et là vous verrez probablement une grille de points jaunes, à peine détectables à l'œil nu.

Pour les plus techniques d'entre vous, l'outil DEDA (Dot Evidence Documentation and Analysis) développé par l'Université Technique de Dresde permet d'analyser et même d'anonymiser ces traces.

Comment auditer les logs d'impression en entreprise

Si vous êtes admin réseau ou simplement curieux de savoir ce que votre boîte enregistre, voici où chercher :

Sur Windows Server, direction la console de gestion d'impression. Les logs sont généralement dans l'Observateur d'événements sous "Applications et services" > "Microsoft" > "Windows" > "PrintService". Activez les logs "Operational" si ce n'est pas déjà fait.

Sur les imprimantes réseau, accédez à l'interface web d'administration (généralement l'IP de l'imprimante dans un navigateur). Cherchez une section "Logs", "Journal" ou "Historique des travaux". Certains modèles HP Enterprise ou Xerox stockent des semaines entières de données.

Sur les serveurs d'impression centralisés type PaperCut ou Equitrac, c'est la fête car ces solutions peuvent stocker énormément de données, du nom d'utilisateur jusqu'au contenu OCR des documents scannés si des modules ou intégrations spécifiques ont été activés.

Comment limiter ces traces

Pour les points jaunes, DEDA propose un mode d'anonymisation qui ajoute du bruit dans le pattern. C'est pas parfait, mais ça complique sérieusement le traçage !

Après pour les logs réseau, c'est plus compliqué... En entreprise, vous n'avez généralement pas le contrôle. Par contre, si c'est chez vous, désactivez simplement la journalisation dans les paramètres de votre imprimante et évitez les services cloud des fabricants.

Ah et une dernière chose : si vous imprimez des documents sensibles mes petits lanceurs d'alertes préférés, privilégiez une imprimante laser noir et blanc d'occasion payée en cash. Les modèles monochromes n'ont pas les fameux points jaunes, et une machine sans historique réseau, c'est une machine qui ne parle pas.

Encore une fois c'est difficile de lutter contre cette surveillance généralisée, mais au moins maintenant vous savez que votre imprimante n'est pas qu'un simple périphérique !

C'est potentiellement le meilleur indic de votre bureau !

Source

Vous vous souvenez de Moxie Marlinspike ?

Mais si, le créateur de Signal qui a, grosso modo, appris au monde entier ce qu'était le chiffrement de bout en bout accessible à tous.

Hé bien, le garçon est de retour et cette fois, il ne s'attaque pas à vos SMS, mais à vos conversations avec les Intelligences Artificielles.

Son nouveau projet s'appelle Confer et autant vous le dire tout de suite, c'est du lourd car son idée c'est de faire pour les chatbots IA ce que Signal a fait pour la messagerie instantanée. C'est-à-dire rendre le tout réellement privé, avec des garanties techniques tellement fortes que personne, ni lui, ni les hébergeurs, ni la police, ne puisse (en théorie) mettre le nez dans vos prompts.

Alors pour ceux d'entre vous qui se demandent "Quelle est la meilleure alternative privée à ChatGPT ?", vous tenez peut-être la réponse.

Car le problème avec les IA actuelles c'est que quand vous papotez avec ChatGPT, Gemini ou Claude, c'est un peu comme si vous confessiez tous vos secrets dans un mégaphone au milieu de la place publique. Ces modèles ont soif de données et Sam Altman d'OpenAI a lui-même souligné que les décisions de justice obligeant à conserver les logs (même supprimés) posaient un vrai problème, allant jusqu'à dire que même des sessions de psychothérapie pourraient ne pas rester privées.

Et c'est là que Confer change la donne.

Alors comment ça marche ? Hé bien Confer utilise une approche radicale puisque tout le backend (les serveurs, les modèles LLM) tourne dans ce qu'on appelle un TEE (Trusted Execution Environment). En gros, c'est une enclave sécurisée au niveau du processeur de la machine qui empêche même les administrateurs du serveur de voir ce qui s'y passe. Et pour prouver que c'est bien le bon code qui tourne, ils utilisent un système d'attestation distante .

Les données sont chiffrées avec des clés qui restent sur votre appareil et Confer utilise les Passkeys (WebAuthn) pour dériver un matériel de clé de 32 octets. Ainsi, la clé privée reste protégée sur votre machine (dans le stockage sécurisé type Secure Enclave ou TPM selon votre matos).

Du coup, quand vous envoyez un message à l'IA, le flux est conçu pour être :

1. Chiffré depuis chez vous.
2. Traité dans l'enclave sécurisée du serveur (TEE).
3. Déchiffré uniquement dans la mémoire volatile de l'enclave.
4. Rechiffré immédiatement pour la réponse.

C'est propre, c'est élégant, c'est du Moxie à 100% !

Bien sûr, Confer n'est pas le seul sur le créneau. J'ai vu passer des initiatives comme Venice (qui stocke tout en local) ou Lumo de Proton. Si vous utilisez déjà des outils comme OnionShare pour vos fichiers, cette approche "zéro trust" vous parlera forcément.

Mais la force de Confer, c'est l'expérience utilisateur car comme Signal à son époque, ça marche tout simplement. Suffit de 2 clics, une authentification biométrique, et boum, vous êtes connecté et vos historiques sont synchronisés entre vos appareils (de manière chiffrée, vérifiable via le log de transparence). En plus vous pouvez même importer votre contenu depuis ChatGPT.

L'outil est open source et le code auditable. De plus le support natif est dispo sur les dernières versions de macOS, iOS et Android. Je l'ai testé et ça répond vite et bien. Après je ne sais pas si c'est un LLM from scratch ou un modèle libre fine tuné. Et je n'ai pas fait assez de tests pour tenter de lui faire dire des choses qu'il n'a pas envie mais il a l'air pas pour le moment.

Pour l'utiliser sous Windows, il faudra passer par un authentificateur tiers pour le moment et pour Linux... une extension existe déjà pour faire le pont en attendant mieux. Par contre, c'est limité à 20 messages par jour et si vous en voulez plus, faudra passer au payant pour 35$ par mois. Mais on a rien sans rien. Après si vous vous inscrivez avec mon code KORBEN vous aurez 1 mois gratuit et moi aussi ^^

Bref, si vous cherchiez comment mettre un peu de vie privée dans vos délires avec l'IA, je vous invite grandement à jeter un œil à Confer. J'sais pas vous mais moi je trouve que ça fait du bien de voir des projets qui remettent un peu l'utilisateur aux commandes.

Source