Que vaut le distributeur de croquettes connectés de OneIsAll ?

Aujourd’hui, on découvre une marque fraîchement débarquée sur le sol français cet été, OneIsAll, qui cherche à révolutionner les routines de soins de nos animaux avec des produits pensés pour simplifier le quotidien des maîtres et de leurs compagnons. De ses outils de toilettage dignes des professionnels à ses fontaines à eau en acier inoxydable, en passant par ses distributeurs de croquettes connectés, la marque propose une gamme complète, intuitive et design.

Aujourd’hui, nous découvrons donc le distributeur de croquettes connectés muni de son application ! Ce dernier est disponible hors promotion au prix de 84,99 €.

Place au test !

 

Unboxing

Sur la face avant, on aura une grande photo du distributeur de croquettes connecté trône avec ses deux gamelles, accompagnée du logo Oneisall en orange et de la mention « Smart Pet Feeder with 5G WiFi ». En basculant sur le côté orange, le ton change : on a un fond vif ponctué de formes graphiques blanches et dorées, avec le slogan « Transform how you pet. » qui donne une touche lifestyle et plus chaleureuse.

À l’arrière, l’approche se veut plus technique et informative. On y retrouve un descriptif multilingue qui résume les principales fonctions du distributeur : gestion via WiFi, programmation des repas, bonne conservation des croquettes et adaptation aux foyers multi-animaux. Des éléments pratiques comme le QR code, les références produit et les mentions légales y sont également imprimés.

 

Caractéristiques techniques et fonctionnalités

• Capacité de 5 L (~20 tasses) : suffisamment pour nourrir deux chats pendant environ 10 jours.

• Wi-Fi 5 G / 2,4 G : permet un contrôle stable à distance via appli pour programmer les repas et consulter l’historique d’alimentation.

• Double bols : conçu pour alimenter simultanément deux animaux, parfait pour les foyers multiples.

• Enregistreur vocal de 10 s : un petit message personnalisé est joué avant chaque repas pour rassurer vos animaux.

• Contrôle précis des portions : environ 10 g par portion (≈ 1/12 de tasse). Adapté aux croquettes jusqu’à 12 mm. Jusqu’à 6 repas par jour.

• Alimentation en double mode : alimentation principale via un câble électrique + batterie de secours en cas de coupure (selon modèle).

• Maintien de la fraîcheur : couvercle hermétique et sachet dessiccant inclus.

• Garantie et retour : 30 jours de remboursement intégral et garantie de 24 mois.

 

Contenu

• Distributeur automatique (alimentateur) × 1

• Bol en acier inoxydable + support × 1

• Câble d’alimentation avec adaptateur × 1

• Sachet dessiccant × 1

• Manuel utilisateur × 1

• Guide de démarrage rapide × 1

• Éponge de nettoyage × 1

• 4 colonnes métalliques (pieds ou montants internes) × 4

• 2 glissières alimentaires × 2

 

Configuration & Installation

1. Assemblage de base

   • Placez les colonnes métalliques et les glissières alimentaires à l’intérieur du distributeur.

   • Fixez le support + bol en acier inoxydable.

   • Mettez en place le sachet dessiccant dans son compartiment sous le couvercle, pour garder les croquettes au sec.

2. Branchement

   • Soit connectez le câble USB-C + adaptateur secteur.

   • Soit insérez des piles de secours (selon modèle) pour assurer le fonctionnement en cas de coupure de courant.

3. Remplissage

   • Versez jusqu’à 5 L de croquettes (taille max 12 mm).

   • Refermez bien le couvercle pour conserver la fraîcheur.

Test & Application 

Quand on vit avec un ou plusieurs chats, on sait à quel point la nourriture peut devenir une question d’organisation. Entre les réveils à l’aube parce que la gamelle est vide et les miaulements incessants qui vont avec ET qui réveillent les enfants, les journées où l’on rentre plus tard que prévu et la nécessité de contrôler les portions pour éviter la gloutonnerie, un distributeur automatique semble parfois être LA solution.

Oneisall, déjà connu pour ses fontaines à eau en acier inoxydable, et dont nous vous proposerons un test la semaine prochaine, propose justement un modèle de distributeur de nourriture de 5 litres, pensé pour la simplicité d’usage, la fiabilité et, soyons honnêtes, pour la tranquillité d’esprit des humains. Après plusieurs jours d’utilisation, on se rend compte que derrière son apparente sobriété se cache un produit beaucoup plus réfléchi qu’il n’y paraît.

Le premier contact est rassurant : le bac de 5 litres inspire confiance par sa capacité, largement suffisante pour nourrir mes deux chats pendant une dizaine de jours, ce qui signifie qu’on peut partir en week-end prolongé sans avoir à organiser une garde rapprochée. Enfin ça, dans la théorie. Parce que niveau litière, on attend donc qu’OneIsAll nous concocte un nouveau produit !

Le design reste sobre, avec un grand couvercle hermétique et un bol en acier inoxydable, facilement lavable, ce qui tranche agréablement avec certains modèles en plastique qui prennent vite les odeurs. On remarque aussi la présence d’un petit sachet qui vient se loger sous le couvercle, astuce simple mais efficace pour préserver la fraîcheur des croquettes.

L’installation ne prend pas plus de dix minutes comme vous pouvez en juger par les étapes listées au-dessus. Il suffit de mettre en place les colonnes métalliques et les glissières qui assurent la bonne répartition des croquettes, de brancher le câble d’alimentation et éventuellement d’ajouter des piles de secours pour parer aux coupures de courant. Le distributeur se connecte ensuite en Wi-Fi, en 2,4 GHz ou 5 GHz selon la version, et l’application mobile fait le reste. Elle est plutôt intuitive : on programme les repas en quelques gestes, avec jusqu’à six distributions quotidiennes et une portion minimale d’environ dix grammes. De quoi adapter parfaitement le rythme aux besoins du chat, qu’il soit du genre à grignoter souvent ou à préférer des repas copieux. Mes chats n’ont d’ailleurs pas les mêmes habitudes alimentaires, ni les mêmes croquettes.

Dans les idées venues, une fois l’objet testé, il aurait été sympa d’avoir deux compartiments pour mettre deux sortes de croquettes différentes, puisque justement, nous avons deux gamelles. À noter que pendant la prise de photos, nos croquettes étaient trop grosses pour être correctement distribuées. C’est donc un point important, prêtez y bien attention.

L’un des aspects les plus amusants, c’est l’enregistreur vocal. On peut enregistrer un message de dix secondes qui se déclenche à chaque repas. Si certains chats paraissent indifférents, d’autres réagissent avec une curiosité touchante en entendant la voix familière de leur humain. Ce petit détail renforce le lien affectif, même quand on n’est pas là physiquement. Enfin bien sûr, cela dépendra de vos chats !

Côté fonctionnement, notre distributeur de croquettes Oneisall se montre fiable. Les croquettes descendent régulièrement, sans blocage, tant qu’elles ne dépassent pas la taille recommandée (environ 12 mm). Le double bol s’avère pratique si l’on a deux chats, puisqu’il évite les disputes alimentaires en répartissant automatiquement la ration. Le bruit est minime, juste le léger ronronnement du mécanisme, et ne perturbe pas trop les animaux. À l’usage, on apprécie surtout la régularité : finis les « excès de zèle » de certains chats qui vident un bol rempli d’un coup, l’appareil permet de garder une vraie constance dans l’alimentation.

L’entretien est tout aussi simple : un passage rapide à l’eau chaude savonneuse pour le bol et un coup d’éponge pour l’intérieur suffisent chaque semaine. Le sachet dessiccant se change toutes les trois à quatre semaines. Rien de contraignant.

Alors évidemment, ce n’est pas l’appareil parfait pour tout le monde. Certains préféreront garder une relation plus directe avec les repas de leur animal, et d’autres trouveront qu’un simple bol fait tout aussi bien l’affaire. Mais pour les foyers multi-chats, pour ceux qui travaillent avec des horaires variables ou pour les propriétaires un peu anxieux à l’idée de laisser leurs compagnons seuls, ce distributeur automatique a selon moi de vrais arguments.

 

Conclusion 

Pour conclure notre test du jour, le Oneisall Automatic Cat Food Dispenser 5L ne réinvente pas le distributeur de croquette, mais il nourrit nos chats avec soin. Capacité généreuse, double bol, application bien pensée, fiabilité mécanique et, petits bonus comme le message vocal, en font un produit à la fois pratique et rassurant. Ce n’est pas seulement un gadget technologique : c’est une solution qui s’intègre naturellement dans la vie quotidienne et qui, surtout, rend service autant aux chats qu’à leurs humains.

Nous rappellerons que ce dernier dernier est disponible hors promotion au prix de 84,99 €.

Test – Distributeur de croquettes connecté OneIsAll a lire sur Vonguru.

Un article signé GOODTECH.info

En l’espace de deux ans, Typst s’est imposé comme une alternative moderne à LaTeX, le standard historique de la composition de documents scientifiques et techniques. Développé en Rust et distribué sous licence Apache 2.0, Typst combine rapidité, simplicité d’usage et […]

L’article Application open source du mois : Typst, a-t-on trouvé le remplaçant de LaTeX ? est apparu en premier sur Goodtech.

Un article signé GOODTECH.info

L Fondation Apache vient d’annoncer la reconnaissance d’Apache Fory : ce framework de sérialisation haute performance quitte l’incubateur et devient un chantier top-level, un statut réservé aux projets les plus matures et stratégiques. Une étape importante pour cette jeune technologie […]

L’article Apache Fory devient un projet de premier plan pour la fondation Apache : voici pourquoi est apparu en premier sur Goodtech.

Un article signé GOODTECH.info

Invisible pour les internautes, le DNS repose pourtant sur une multitude de projets open source essentiels… mais souvent sous-financés. Pour répondre à ce paradoxe, Nominet, gestionnaire historique du domaine .UK, vient de lancer le DNS Fund, un programme inédit de […]

L’article Nominet crée un fonds pour financer l’open source qui fait tourner Internet est apparu en premier sur Goodtech.

Un article signé GOODTECH.info

Et si derrière vos pubs en ligne se cachaient… des cybercriminels ? Infoblox lève le voile sur Vane Viper.

L’article Vane Viper : quand un géant de la publicité en ligne devient distributeur de malwares est apparu en premier sur Goodtech.

Bref

Le SilverStone FLP02 ramène l’esthétique beige des années 90 tout en intégrant des standards modernes. Avec ses trois baies 5,25 pouces, un bouton Turbo fonctionnel, la compatibilité GPU jusqu’à 386 mm et radiateur 360 mm, il s’adresse aux nostalgiques comme aux assembleurs exigeants. Prévu au 4e trimestre 2025 à 220 $, il se positionne comme l’un des boîtiers rétro les plus complets du marché.

SilverStone n’en est pas à son coup d’essai dans le revival rétro, mais avec le FLP02, la marque joue clairement la carte de la nostalgie assumée. Ce grand boîtier tour beige évoque immédiatement les PC familiaux de la seconde moitié des années 90, tout en proposant une compatibilité irréprochable avec les configurations actuelles.

présenté au computex 2025, le FLP02 trois véritables baies 5,25 pouces, un bouton Turbo comme sur les Pentium d’époque, et même une clé de verrouillage pour sceller la façade. Un design old school qui cache pourtant une mécanique parfaitement à jour.

Caractéristiques principales

Compatibilité et format

Le FLP02 prend en charge les cartes mères SSI-CEB, ATX, micro-ATX et Mini-ITX. Il propose 7 slots d’extension, auxquels s’ajoutent 2 emplacements supplémentaires pour installer un GPU à la verticale.

Dimensions et espace interne

Avec ses 232 x 494 x 472 mm, il offre suffisamment de volume pour accueillir des cartes graphiques longues de 386 mm, à condition de retirer la cage avant.

Refroidissement

Le boîtier supporte un radiateur de 360 mm en partie supérieure. SilverStone l’équipe de base avec trois ventilateurs de 120 mm noirs (deux en façade, un à l’arrière).

Stockage et baies

On retrouve trois baies 5,25 pouces accessibles en façade, parfaites pour un lecteur optique, un contrôleur ou un rack hot-swap. À l’intérieur, des cages permettent de monter des disques 3,5 et 2,5 pouces.

Panneau avant et connectique

La façade mélange rétro et pratique : port USB-C, deux ports USB-A 5 Gbps, combo audio, interrupteur Power à bascule, Reset, bouton Turbo relié au contrôleur PWM des ventilateurs, et même une clé de verrouillage.

Design rétro, fonctionnalités bien actuelles

SilverStone soigne les détails visuels avec son plastique beige, ses fausses façades de lecteurs et un afficheur numérique rappelant les fréquences des processeurs Pentium.

À l’intérieur, rien de vieillot : support GPU pour éviter le sagging, gestion moderne des câbles et contrôleur PWM capable de piloter huit ventilateurs. Le fameux bouton Turbo n’est pas un gadget, puisqu’il force instantanément les ventilateurs à pleine vitesse en cas de forte charge thermique.

Nos propres clichés du FLP02, capturés lors du Computex 2025 à Taipei, confirment que SilverStone n’a pas simplement joué la carte du marketing rétro. Le châssis beige affiche bien ses trois baies 5,25 pouces, son afficheur numérique et son imposant bouton Turbo, fidèles à l’esprit des tours des années 90.

Ces photos exclusives montrent aussi l’agencement interne moderne, avec support GPU renforcé et espace optimisé pour la ventilation, preuve que le look old school cache une conception parfaitement actuelle.

Prix et disponibilité

Le SilverStone FLP02 sera commercialisé au prix de 220 dollars sur le marché américain à partir du quatrième trimestre 2025. Les déclinaisons régionales seront précisées ultérieurement.

Conclusion

Le SilverStone FLP02 réussit l’équilibre entre hommage et modernité. Avec ses baies 5,25 pouces fonctionnelles, son look beige assumé et ses équipements haut de gamme, il parlera autant aux passionnés de rétrocomputing qu’aux assembleurs en quête d’originalité. À 220 dollars, il vient occuper une niche que peu de constructeurs osent exploiter.

Les souris sans fil pour joueurs très légères, c'est devenu ces dernières années un marché florissant et les fabricants nous en sortent à la pelle au point qu'il est parfois difficile d'en voir se démarquer réellement. CORSAIR vient cependant de marquer des points en ce mois de septembre 2025 en lan...

Apple en a déjà marre du titane ?

D'après nos constatations, le firmware 236050WD du SSD Western Digital WD Green SN350 est désormais disponible via l'application Dashboard pour une mise à jour automatique. Certains SN350 étaient bien équipés d'origine de ce firmware 236050WD mais ceux dotés des précédentes versions 236020WD ou 2360...

Dying Light: The Beast vient juste d'être lancé en France en ce 18 septembre 2025 à 18h00 précisément, et AMD n'a finalement pas manqué le rendez-vous en lançant juste à temps ses pilotes graphiques supportant officiellement le jeu : les Adrenalin 25.9.2. Si vous êtes par exemple en train de télécha...

Alors là, accrochez-vous à votre clavier parce que je vais vous parler d’un truc qui défrise. Si je vous disais qu’il est possible de simuler l’univers entier, sa structure à grande échelle, ses milliards de galaxies… sur votre MacBook Air ??

Pas besoin de réserver du temps sur un supercalculateur, pas besoin de faire la queue pendant des semaines pour obtenir vos résultats. Hé bien c’est ce que permet de faire Effort.jl, et c’est de la bombe pour astrophysiciens !

Mais avant que je vous retourne le cerveau encore une fois, voici un peu de contexte. En mars 2025, le projet DESI a lâché une nouvelle incroyable : l’énergie noire, cette force mystérieuse qui fait accélérer l’expansion de l’univers, pourrait ne pas être constante mais évoluer dans le temps. C’est potentiellement le plus gros bouleversement en cosmologie depuis des décennies, sauf que pour prouver ça, il faut analyser des quantités astronomiques de données (j’assume ce jeu de mots), et c’est là que ça coince.

Le problème, c’est que modéliser la “cosmic web” (cette toile cosmique gigantesque où les galaxies forment des amas reliés par des filaments de matière) ça nécessite des calculs d’une complexité monstrueuse. On utilise pour ça la théorie des champs effectifs de la structure à grande échelle ( EFTofLSS pour les intimes), et une seule analyse peut prendre des jours entiers sur un supercalculateur. Multiplié par les milliers d’analyses nécessaires pour faire de la science solide, on arrive vite à des mois de calculs !!

C’est là qu’intervient Marco Bonici de l’Université de Waterloo et son équipe. Plutôt que de continuer à se battre avec des files d’attente interminables sur les supercalculateurs, ils ont eu une idée géniale : Apprendre à une IA comment la physique fonctionne, et la laisser faire les calculs à notre place.

Effort.jl, c’est donc un peu comme le DLSS de Nvidia mais pour l’univers. Vous savez le DLSS c’est cette techno qui utilise l’IA pour calculer des images haute définition sans faire suer votre GPU. Bon bah là, au lieu de cracher des graphismes de jeux vidéo, on crache… l’univers lui-même. Et le résultat est incroyable… C’est une accélération de x1000 fois par rapport aux méthodes traditionnelles de génération.

La beauté du truc, c’est que l’équipe n’a pas juste balancé des données dans un réseau de neurones en espérant que ça marche. Non, ils ont intégré dès le départ les lois physiques connues dans l’architecture même de leur IA. Comme l’explique Bonici dans une interview , c’est comme décrire l’eau dans un verre. Plutôt que de calculer le mouvement de chaque molécule (ce qui serait impossible), on encode les propriétés microscopiques importantes et on regarde leur effet au niveau macroscopique.

Le réseau de neurones d’Effort.jl est donc relativement simple. Il est constitué de 5 couches cachées de 64 neurones chacune, entraînées sur 60 000 combinaisons de paramètres cosmologiques. Ainsi grâce à l’intégration intelligente de la physique, il peut calculer en 15 microsecondes ce qui prenait des heures avant. Et niveau précision c’est identique, voire parfois meilleure que les modèles originaux.

En plus, tout est codé en Julia , un langage de programmation scientifique qui monte en flèche. L’équipe a même créé deux backends différents : SimpleChains.jl pour faire tourner ça sur CPU (ultra rapide) et Lux.jl pour exploiter les GPU si vous en avez. Et cerise sur le gâteau, tout est différentiable, ce qui veut dire que l’IA peut non seulement calculer les résultats, mais aussi comprendre comment ils changent quand on modifie légèrement les paramètres.

Pour valider leur bébé, l’équipe a donc fait tourner Effort.jl sur les vraies données du Baryon Oscillation Spectroscopic Survey (BOSS) et le résultat est ouf.. On obtient exactement les mêmes conclusions que les méthodes traditionnelles, mais en seulement quelques minutes sur un laptop au lieu de plusieurs jours sur un cluster. C’est testé, validé, et ça marche.

Au-delà de l’exploit technique, Effort.jl arrive à un moment important car avec les télescopes comme DESI et Euclid qui génèrent des téraoctets de données, et surtout cette découverte potentielle que l’énergie noire évolue, on a besoin d’outils capables de suivre le rythme. Bah oui, c’est fini le temps où les chercheurs passaient plus de temps à attendre le résultat de leurs calculs qu’à faire de la science.

Et en plus, Effort.jl est totalement open source et sur GitHub . N’importe qui peut donc télécharger le code, l’installer sur son laptop, et commencer à explorer l’univers depuis son canap'.

Alors oui, on pourrait dire que c’est “juste” une accélération de calculs, mais en réalité, c’est bien plus que ça. C’est la différence entre attendre des mois pour tester une hypothèse et pouvoir explorer des milliers de scénarios en temps réel. C’est la possibilité pour des équipes sans accès aux supercalculateurs de faire de la recherche de pointe. Et c’est, potentiellement, ce qui nous permettra de comprendre enfin ce qu’est cette foutue énergie noire qui compose 70% de l’univers…

Bref, l’IA quand elle est bien utilisée et combinée avec une vraie compréhension de la physique, ça décuple les capacités de la science et ça c’est beau !

Source

Si vous êtes sous Mac, je pense que comme moi, vous passez votre temps à chercher des fichiers ou lancer des applications avec Spotlight… Si vous ne connaissez pas cet outil, c’est un truc super pratique d’Apple qui indexe tout votre disque dur pour vous faire gagner du temps. Command+Espace, trois lettres tapées, et hop, votre document apparaît. Pratique, non ?

Sauf que voilà, depuis presque 10 ans maintenant, ce même Spotlight peut servir de cheval de Troie pour siphonner vos données les plus privées. Et le pire, c’est qu’Apple le sait et n’arrive toujours pas à vraiment colmater la brèche.

Patrick Wardle, le chercheur en sécurité derrière plusieurs outils populaires comme LuLu , vient d’expliquer sur son blog Objective-See une technique ahurissante qui permet à un plugin Spotlight malveillant de contourner toutes les protections TCC de macOS. Pour info, TCC (Transparency, Consent and Control), c’est le système qui vous demande si telle application peut accéder à vos photos, vos contacts, votre micro… Bref, c’est censé être le garde du corps de votre vie privée sous Mac.

Alors comment ça marche ?

Hé bien au lieu d’essayer de forcer les portes blindées du système, le plugin malveillant utilise les notifications Darwin comme une sorte de morse numérique. Chaque byte du fichier à voler est encodé dans le nom d’une notification (de 0 à 255), et un processus externe n’a qu’à écouter ces notifications pour reconstruire le fichier original, octet par octet. C’est du génie dans sa simplicité !

Ce qui rend cette histoire encore plus dingue, c'est que cette vulnérabilité a été présentée pour la première fois par Wardle lui-même lors de sa conférence #OBTS v1.0 en 2018. Il avait déjà montré comment les notifications pouvaient permettre aux applications sandboxées d'espionner le système.

Plus récemment, Microsoft a “redécouvert” une variante de cette technique cette année et l’a baptisée “ Sploitlight ”. Ils ont même obtenu un joli CVE tout neuf (CVE-2025-31199) pour leur méthode qui consistait à logger les données dans les journaux système. Apple a corrigé cette variante dans macOS Sequoia 15.4… mais la méthode originale de Wardle fonctionne toujours, même sur macOS 26 (Tahoe) !

Et sinon, savez-vous ce que ces plugins peuvent voler exactement ?

Il y a notamment un fichier bien particulier sur votre Mac, caché dans les profondeurs du système, qui s’appelle knowledgeC.db. Cette base de données SQLite est littéralement le journal intime de votre Mac. Elle contient tout :

• Quelles applications vous utilisez et pendant combien de temps
• Vos habitudes de navigation web avec Safari (historique détaillé, fréquence des visites, interactions)
• Quand vous branchez votre téléphone
• Quand vous verrouillez votre écran
• Vos trajets en voiture avec CarPlay
• Vos routines quotidiennes et patterns comportementaux

C’est le genre de données qui raconte votre vie mieux que vous ne pourriez le faire vous-même. Et avec les nouvelles fonctionnalités d’Apple Intelligence dans macOS Tahoe, cette base de données alimente directement l’IA d’Apple pour personnaliser votre expérience.

Avec ce fichier, quelqu’un pourrait non seulement voir ce que vous faites maintenant sur votre Mac, mais aussi reconstituer vos habitudes des 30 derniers jours. À quelle heure vous commencez votre journée, quelles apps vous lancez en premier, combien de temps vous passez sur tel ou tel site… C’est le rêve de n’importe quel espion ou publicitaire, et c’est accessible via une simple vulnérabilité Spotlight.

Apple a bien sûr essayé de corriger le tir. Dans macOS 15.4, ils ont ajouté de nouveaux événements TCC au framework Endpoint Security pour mieux surveiller qui accède à quoi. Ils ont aussi corrigé la variante découverte par Microsoft (CVE-2025-31199).

Mais… la vulnérabilité de base présentée par Wardle fonctionne toujours sur macOS 26 (Tahoe), même en version Release Candidate avec SIP activé ! C’est comme ajouter une serrure supplémentaire sur la porte alors que tout le monde passe par la fenêtre depuis 10 ans.

Wardle a une idée toute simple pour régler définitivement le problème : Apple pourrait exiger une notarisation pour les plugins Spotlight, ou au minimum demander l’authentification et l’approbation explicite de l’utilisateur avant leur installation. Actuellement, n’importe quel plugin peut s’installer tranquillement dans ~/Library/Spotlight/ et commencer à espionner vos données, sans même nécessiter de privilèges administrateur.

Alors bien sûr, avant que vous ne couriez partout comme une poule sans tête, il faut relativiser :

1. Cette attaque nécessite un accès local à votre système - on ne parle pas d’une vulnérabilité exploitable à distance
2. Il faut qu’un malware ou un attaquant installe d’abord le plugin malveillant sur votre Mac
3. La “bande passante” est limitée - transmettre octet par octet n’est pas très efficace pour de gros fichiers
4. macOS affiche une notification quand un nouveau plugin Spotlight est installé (même si cette alerte peut être contournée)

Ça fait quand même quelques conditions… mais le fait que cette faille existe depuis près de 10 ans et fonctionne toujours sur la dernière version de macOS reste préoccupant.

Cette histoire nous rappelle que les outils les plus dangereux sont souvent ceux auxquels on fait le plus confiance… Wardle fournit même un proof-of-concept complet sur son site pour que la communauté puisse tester et comprendre le problème. Espérons qu’Apple prendra enfin cette vulnérabilité au sérieux et implémentera les mesures de sécurité suggérées.

En attendant, restez vigilants sur les applications que vous installez et gardez un œil sur les notifications système concernant l’installation de nouveaux plugins Spotlight !

Alors celle-là, je ne l’avais pas vue venir… Vous utilisez BitLocker depuis des années pour protéger vos données sensibles, vous dormez sur vos deux oreilles en pensant que votre laptop est un vrai coffre-fort… et puis paf, on découvre qu’il y avait une faille MONUMENTALE dans TOUS les boot managers de Windows créés entre 2005 et 2022 ! Et oui, la vulnérabilité affecte même des boot managers sortis un an avant que BitLocker n’existe !

L’équipe de SySS a analysé dernièrement cette vulnérabilité baptisée BitPixie (CVE-2023-21563) et comme j’ai trouvé leur article intéressant, je me permet de vous le partager. En fait, le bug dormait tranquillement dans le Windows Boot Manager depuis octobre 2005, et personne ne s’en était rendu compte. BitLocker est ensuite arrivé en 2006 avec Windows Vista, et a donc été bâti littéralement sur des fondations déjà pourries.

L’attaque paraît simple en surface… un câble réseau, un clavier et environ 5 minutes si tout est préparé. De plus, son exploitation est totalement non-invasive et ne laisse aucune trace permanente sur l’appareil. Mais attention, derrière cette simplicité apparente se cache quand même pas mal de technique… Il faut créer un fichier BCD personnalisé (Boot Configuration Data), configurer un serveur TFTP/DHCP, et dans certains cas exploiter une faille Linux (CVE-2024-1086) pour contourner les protections du kernel. Donc bon, c’est pas non plus à la portée du premier venu, mais ça reste faisable pour quelqu’un de motivé.

Concrètement, voilà comment ça marche. L’attaquant modifie le fichier BCD pour activer le démarrage réseau, puis effectue ce qu’on appelle un “PXE soft reboot” en utilisant un ancien boot manager non patché (celui de 2011 fait très bien l’affaire). Le problème, c’est que pendant ce redémarrage PXE, le système oublie complètement de nettoyer la mémoire où est stockée la clé maître du volume BitLocker (VMK pour Volume Master Key). Du coup, on peut tranquillement démarrer sur un Linux, scanner la mémoire, récupérer la clé et déverrouiller le disque. C’est aussi simple que ça…

Faut savoir que le TPM (cette puce de sécurité dans votre ordi) utilise des trucs appelés PCR (Platform Configuration Registers) pour vérifier que personne n’a trafiqué le processus de démarrage. Normalement, si quelque chose change, pouf, le TPM refuse de donner la clé BitLocker. Sauf que l’attaque BitPixie arrive à contourner ça en exploitant le fait que le redémarrage PXE ne réinitialise pas correctement la mémoire.

Même les systèmes configurés avec l’authentification pré-démarrage (PBA) et protection par code PIN restent partiellement vulnérables. Alors attention, nuance importante ici : si vous avez mis un code PIN et qu’un voleur pique votre laptop, il sera bien embêté car l’attaque ne marchera pas sans le PIN. Par contre, si l’attaquant connaît le PIN (genre un employé mécontent ou quelqu’un qui vous a vu le taper), il peut toujours escalader ses privilèges locaux via des techniques de manipulation mémoire. Donc votre PIN à 4 chiffres est une protection, oui, mais pas la muraille de Chine face à un insider malveillant avec BitPixie.

D’ailleurs, certains systèmes résistent mieux que d’autres. Plusieurs ordinateurs portables HP, par exemple, ne permettent pas de démarrer des boot managers tiers, ce qui bloque l’attaque. Mais bon, on peut pas vraiment compter là-dessus comme stratégie de sécurité…

C’est le chercheur Rairii qui a découvert cette vulnérabilité en août 2022, mais ce n’est qu’en février 2023 que Microsoft l’a publiquement divulguée. Entre temps, ils ont sorti le patch KB5025885 en mai 2023. Ce patch remplace l’ancien certificat Microsoft de 2011 par le nouveau certificat Windows UEFI CA 2023, et il ajoute l’ancien certificat à la liste de révocation. Comme ça, impossible de faire une attaque par downgrade avec un vieux boot manager. Sauf que… à cause de certaines limitations dans le standard Secure Boot, la vulnérabilité reste exploitable aujourd’hui sur les systèmes qui n’ont pas appliqué ce patch.

Ce qui est sûr c’est que Microsoft savait pertinemment que leurs certificats allaient expirer. D’après le support Microsoft , les trois certificats Microsoft (Microsoft Corporation KEK CA 2011, Microsoft Windows Production PCA 2011, et Microsoft UEFI CA 2011) expirent tous en juin 2026. C’est cette expiration qui va enfin forcer tout le monde à mettre à jour. Il aura donc fallu attendre une contrainte administrative pour que tout le monde corrige une faille critique vieille de presque 20 ans.

Compass Security a même publié un PoC (Proof of Concept) montrant comment exploiter BitPixie avec une édition WinPE personnalisée.

Cette carte graphique là, on peut sans doute dire que personne ne l'avait vu venir ! Il y avait bien eu des rumeurs au sujet d'une carte du même nom il y a deux ans environ, mais qui n'annonçaient de toute manière pas du tout les caractéristiques de celle qui vient d'être officialisée par AMD en ce...

Enregistrez de manière sécurisée tous vos mots de passe, générez des mots de passe complexes et retrouvez-les simplement et sûrement à partir de n'importe quel ordinateur ou de votre smartphone...

Logiciel de généalogie disponible gratuitement et en français...

Gestionnaire de fichiers multi-onglets qui est une alternative intéressante à l'Explorateur de Windows, disponible gratuitement et en français...

Utilitaire gratuit, en français et portable permettant de centraliser l'ensemble de vos connexions à distance, identifiants et mots de passe...

Apple vient de présenter de nouveaux iPhone 17 Pro et Pro Max. Sont-ils à la hauteur de nos espérances ?

Navigateur Web performant et personnalisable...

Excellent client FTP...

Utilitaire gratuit proposé par Microsoft permettant d'ajouter des fonctionnalités supplémentaires destinées à simplifier et optimiser l'utilisation que vous faites de votre ordinateur...

Apple a un soucis avec son Mac Studio M3 Ultra. Il refuse de se mettre à jour.

Vous souhaitez vous équiper d'un nouveau clavier, d'une nouvelle souris ou webcam pour votre Mac, mais vous n'avez pas forcément le budget pour acheter chez Apple ? Amazon brade justement une large sélection d'équipements de la marque Logitech, qui constitue une alternative plus abordable et tout aussi efficace que les appareils de la marque à la pomme.