Ventoy
,
je vous en ai déjà parlé
à de multiples reprises et vous connaissez ça mieux que moi ! C'est cet outil open source qui transforme une clé USB en clé bootable sur laquelle vous glissez vos ISO comme de simples fichiers, sans avoir à reformater à chaque fois. Et ça c'est super pratique puisque comme ça, au démarrage de votre ordi, vous avez un menu qui vous laisse choisir sur quoi démarrer... Windows 10 ? Windows 11 ? Un Linux ? Mais il lui manquait tout de même quelque chose ! Pouvoir lancer SteamOS !
Et c'est chose faite depuis aujourd'hui puisque Ventoy vient de se voir ajouter du support, encore expérimental certes, des images de récupération de SteamOS, c'est à dire celles que Valve propose sur
son site d'assistance de Steam
afin de réinstaller la console.
Le souci avec SteamOS venait de l'image elle-même, qui n'est pas une ISO mais un fichier .img contenant un disque GPT brut, et que Ventoy ne parvenait pas à démarrer convenablement. Mais c'était sans compter sur matte-schwartz, un des contributeurs au projet qui a proposé un correctif en juillet, sur lequel le développeur de Ventoy a ensuite apporté ses propres optimisations avant de l'intégrer définitivement dans le projet.
Par contre, "cuidado con el ISO" car Valve distribue cette image compressée, en .img.bz2 ou en .img.zip, et Ventoy ne lit PAS le .img.bz2. Donc vous devrez d'abord décompresser ce truc .img (avec bunzip2 pour le .bz2, par exemple), puis la copier sur la clé avec le reste.
L'autre gros morceau de cette nouvelle version de Ventoy concerne Linux. Maintenant, quand vous booterez une distrib live direct depuis votre clé USB, la partition qui contient vos ISO sera accessible directement depuis la barre latérale du gestionnaire de fichiers. Et ça c'est cool !
Cette partition Ventoy porte aussi désormais un nom stable, /dev/mapper/VentoyPart, et les icônes de disque en double qui encombraient la barre latérale de certaines distributions ont totalement disparu ! Et si la vôtre n'est pas dans la liste et vous répond "device busy", ne stressez pas, suffit juste de monter /dev/mapper/VentoyPart à la mano.
Et s'il n'existe pas, lancez ces deux commandes puis réessayez :
sudo udevadm trigger
sudo udevadm settle
Voilà et pour le reste des news, cette 1.1.18 corrige le démarrage de la bêta de Fedora 45, la vérification de version du Secure Boot qui échouait avec Windows et WinPE, ainsi que la persistance qui lâchait de temps en temps sous Ubuntu Desktop. Et CloneZilla peut maintenant monter la partition des ISO lui aussi.
Si ça vous chauffe de mettre à jour, récupérez la version sur
la page GitHub de la release
, puis passez par la mise à jour plutôt que par une nouvelle installation, comme ça vos ISO resteront alors en place.
Le P.T. de Kojima, ce "playable teaser" de Silent Hills que Konami a retiré du PlayStation Store en 2015, a maintenant un portage natif pour Windows et Linux et c'est signé Lorean Xavier.
Pour ceux qui ne connaissent pas ce jeu, P.T. est sorti gratuitement sur PS4 en août 2014, sous le nom d'un studio qui n'existait pas, 7780s Studio. On y parcourt un couloir en L qui tourne en boucle, en marchant et en zoomant, pendant que Lisa, un fantôme, nous traque. Et si elle nous attrape, eh bien la boucle infernale recommence encore et encore... Et bien sûr, ce maudit couloir change à chaque tour réussi !
Ensuite, une fois la dernière énigme résolue, on avait droit à un trailer annonçant Silent Hills, réalisé par Hideo Kojima et Guillermo del Toro avec Norman Reedus dans le rôle principal. Le vrai jeu a ensuite été malheureusement annulé, et P.T. n'a survécu depuis uniquement sur les PS4 qui l'avaient conservé ou via l'émulation.
Mais c'était sans compter sur Lorean qui l'a recompilé pour en faire un portage natif, comme
celui d'Animal Crossing
dont je vous parlais en juillet. La logique du jeu a été intégralement reconstruite en C++ à partir du comportement de l'original et le rendu tourne sur Vulkan, alors que les niveaux, les modèles, les textures, les sons et les cinématiques, eux, sont lus lors de l'exécution à l'aide de votre propre copie PS4 (ce qui évite de diffuser du contenu sous copyright donc).
Tout ce que le portage ajoute est désactivé ou calé sur l'original par défaut. On y retrouve donc des upscalers (FSR 3.1 et XeSS sur n'importe quel GPU récent, DLSS 4.5 sur GeForce RTX, sous Windows seulement), un mode photo sur F7 et un dossier de mods qui accepte des scripts Lua.
Côté fidélité, Lance McDonald, le dataminer qui avait fouillé P.T. à l'époque, y voit, autant qu'il puisse en juger, un portage 1:1 de toute la base de code, qui reproduit tous les comportements non documentés qu'il connaît. Et bien sûr, même si le dev de ce portage a dû gérer l'archi du code de A à Z, c'est l'IA qui s'est occupée du dev et du debugging.
Bref, comme je vous le disais, ce portage ne contient aucun fichier de Konami, donc c'est à vous de fournir le jeu. Il vous faudra donc un dossier dump sorti de votre console (ou d'une archive en ligne si vous êtes un affreux criminel ^^), ou un faux PKG fabriqué à partir de ce dump. Un PKG du store ne marchera pas par contre puisqu'il est chiffré pour la console qui le possède. Et bien sûr, seule la version américaine (CUSA01127) a été testée. A tester donc avec les versions européenne et japonaise pour voir si ça passe.
Côté machine, il vous faudra à minima un Windows 10 ou 11 en 64 bits, ou un Linux x86-64 avec glibc 2.38 minimum (Ubuntu 24.04, Debian 13, Fedora 39, Arch ou SteamOS ça passe.), ainsi qu'un GPU compatible Vulkan 1.3. Sur Steam Deck, l'installation se fera depuis le mode bureau, puis faudra ajouter le jeu comme jeu non-Steam.
De son côté, macOS est annoncé pour la 1.0.2, mais ses paquets ne sont pas encore téléchargeables (faudra compiler les amis !). Pour le reste, les menus et les sous-titres sont disponibles en français, mais les voix restent en anglais, et le passage où le jeu a besoin de votre micro peut être joué au clavier quand même, si vous n'avez pas le matos.
Voilà... Je ne m'en souvenais pas, mais en faisant mes recherches, j'ai appris que ce n'est pas la première tentative de portage de P.T. sur PC. Il y a eu un remake de Qimsar, fan de 17 ans, qui est sorti gratos en juillet 2018 et malheureusement, Konami l'a fait fermer quelques jours plus tard pour des raisons légales, tout en lui proposant un stage (beaux joueurs quand même).
On verra à quelle sauce ce projet sous licence MIT se fera manger ou pas.
Sachez que si vous avez déjà votre copie de P.T. sous la main, les installeurs Windows et Linux sont sur la page Releases du
dépôt GitHub
!
RNDS-Stream
, c'est une appli homebrew incroyable pour la Nintendo DSi (sortie en 2008 quand même... ça date de fou !) qui affiche en live n'importe quel jeu depuis votre PC Linux. Le PC capture la fenêtre du jeu et l'envoie en MJPEG sur le réseau local, puis la console décode ce flux vidéo, et le clavier et la souris du PC sont pilotés à distance via
ydotool
.
Si ça vous intéresse, la vidéo ci-dessous montre le projet en action (vers les 4 min 48) avec côté console, le décodage du MJPEG passant par
RubyNDS
, qui est le framework Ruby que l'auteur s'est monté pour programmer la DSi. Et avec les bons réglages de GStreamer, ça peut grimper à 20 images par seconde avec saut d'images, ou plus modestement de 10 à 15 images par seconde en résolution max sur la DSi. Le serveur de son côté, repère tout seul votre bibliothèque Steam et vos instances Prism Launcher pour vous permettre de lancer les jeux de votre choix.
Pour l'essayer, faut déjà que vous soyez bien chaud bouillant ^^. Ensuite, il faut un flashcart qui permet de lancer l'outil en copiant son .nds sur une microSD, avec à la racine un fichier rnds-stream.txt qui contient uniquement l'adresse IP locale de votre PC. Bref, rien à copier sur la SD interne de la DSi.
Côté PC, c'est du Linux sous X11 ou Wayland, puisque les fenêtres en Wayland pur ne sont pas détectées, avec wmctrl et GStreamer installés à côté du Flatpak du serveur, qui n'est pas entièrement autonome. Sachez que l'auteur n'a testé que Fedora KDE, donc à voir comment ça se passe sur les autres distrib.
Reste le Wi-Fi car d'après
le wiki DS Homebrew
, une appli DS classique ne gère que le WEP ou les réseaux ouverts, le WPA et le WPA2 n'étant possibles qu'en mode DSi.
Voilà, on est dans l'hyper expérimental, y'a des bugs, aucune sécurité (donc restez bien en local) mais c'est assez insolite pour que je vous en parle.
Ces derniers temps, il y a beaucoup de hype sur la distribution Linux Omarchy.
C'est sûr qu'elle présente de nombreux avantages comme une installation en moins de 2 minutes sur la plupart des machines, un bureau en mosaïque pilotable au clavier et des thèmes qui changent réellement l'habillage de tout le système mais elle est aussi vivement critiquée par les puristes du libre parce que, pour certains, elle ne serait qu'une Arch Linux avec les dotfiles de son créateur DHH (David Heinemeier Hansson). Pour
Matthew Garrett
, fervent défenseur du libre, elle est même, je cite "fondamentalement incompatible avec les objectifs du logiciel libre".
Bon, moi vous me connaissez, ces guerres de clochers techniques, ça ne me passionne pas... Et pourtant, aujourd'hui, Omarchy vient clairement de changer de visage. En effet, suite à mon article d'hier sur un projet en lien justement avec Omarchy, un lecteur de Korben.info m'a averti que DHH, le créateur d'Omarchy, diffusait actuellement de "drôles" d'idées sur
son blog
, où il publie depuis plus d'un an, des billets notamment sur l'immigration en Europe.
Je vous cite quelques extraits que j'ai traduits en dessous :
"Unwilling to resign the rest of the country to the kind of demographic replacement that befell London over the last two decades."
"Refusant de se résigner à voir le reste du pays subir le genre de remplacement démographique qui a frappé Londres ces vingt dernières années."
"As I remember London", septembre 2025
"Like an immigration policy designed to rival America's cherry-picking of the world's best, rather than mass immigration from low-average-IQ regions of net-negative contributors to the economy (and society)."
"Par exemple une politique d'immigration conçue pour rivaliser avec la manière dont l'Amérique va chercher les meilleurs du monde, plutôt qu'une immigration de masse venue de régions au QI moyen bas, faite de contributeurs nets négatifs pour l'économie (et la société)."
"Europe is weak and delusional (but not doomed)", 9 décembre 2025
"You can't save the continent's declining birth rate, growing retiree burden, or even economy as a whole by importing millions of people from a culturally incompatible third world."
"On ne sauvera ni la natalité en baisse du continent, ni le poids croissant des retraités, ni même son économie, en important des millions de personnes d'un tiers-monde culturellement incompatible."
"Three sacred cows that must die so Europe can live", 16 juillet 2026
"Because the sacred cow here is not just that mass migration must stop going forward. It's also that millions who are already in Europe must go."
"Parce que la vache sacrée ici n'est pas seulement qu'il faut arrêter l'immigration de masse pour l'avenir. C'est aussi que des millions de personnes qui sont déjà en Europe doivent partir."
"Three sacred cows that must die so Europe can live", 16 juillet 2026
"When wolves get out of control, you shoot them. When gypsies take over public spaces, you deport them."
"Quand les loups deviennent incontrôlables, on les abat. Quand des gypsies s'emparent de l'espace public, on les expulse."
"Wolves, sheep, and gypsies", 21 juillet 2026 ("gypsies" est son mot, je ne l'ai pas traduit)
Alors oui, je sais, les idées de merde ont le vent en poupe en ce moment, et je vais encore tendre des strings avec cet article mais bon, comme toujours je m'en tape parce que c'est impossible pour moi d'ignorer ça.
Je sais que certains vont encore venir me dire que je n'ai pas à faire de "politique", mais sachez que de mon point de vue, ça n'en est pas. La xénophobie et les idées anti-démocratiques n'ont pas leur place sur l'échiquier politique. C'est un cancer qui n'a d'autre but que d'anéantir la démocratie, et je trouve aberrant que l'organisme vivant "démocratie" accueille cette maladie mortelle à bras ouverts. Mais bref...
Ce genre d'idées que diffuse DHH et d'autres, si on peut appeler ça des idées, en plus d'être faciles à penser, totalement pré-machées, ce sont des idées mortifères à la fois pour les humains et pour la démocratie. Ce sont des idées dont nos parents et grands-parents ont été victimes durant la seconde guerre mondiale et l'occupation, et dont beaucoup de monde sont encore victimes tous les jours (
dernier exemple en date qui m'a choqué
).
Bref, avec Omarchy, ce n'est pas possible pour moi de dissocier l'homme de l'artiste ou devrais-je dire, dissocier le développeur de ses idées racistes. La xénophobie est un "choix" quasi primitif en terme de logique, j'en conviens. Ça ne demande pas trop d'effort et ça permet de rendre responsable "les autres" de tous ses problèmes, ce qui évite aux gens d'endosser leurs responsabilités, de se prendre en main, ou d'être solidaires comme le feraient des adultes. C'est clairement un désir de confort qui s'adosse à la haine, mais ça n'a jamais été une solution.
Et Omarchy étant très fortement incarnée par DHH, qui adore mettre son nom partout sur le site web de cette distrib, c'est difficile d'ignorer la situation. Bien sûr, je sais qu'il y a, à ses côtés de nombreux contributeurs qui ne connaissent pas et ne partagent pas ses idées et c'est pareil avec les utilisateurs de cette distrib.
Mais maintenant qu'on est tous au courant, je pense qu'il est temps d'être cohérent avec nos valeurs qu'elles soient libristes, humanistes ou démocratiques pour ne pas faire par exemple comme 1Password et 37signals qui s'engagent à financer ce projet à hauteur de 100 000 dollars par an chacun, tout en affirmant, comme l'a fait le PDG de 1Password, que, hey, l'entreprise n'approuve pas les opinions de DHH, donc que c'est bon, y'a totem d'immunité.
Bah non, moi je trouve ça trop facile.
Donc voilà, vous faites ce que vous voulez mais maintenant que je sais quelles sont les idées de celui sur qui repose Omarchy, ne comptez plus sur moi pour utiliser et promouvoir cette distrib.
Une PS5, au fond, c'est juste un PC comme les autres. Elle a un processeur AMD x86-64 (c'est du Zen 2, en gros un Ryzen) ainsi qu'une puce graphique RDNA 2, ce qui est grosso merdo la même came que ce qu'il y a dans votre tour de gamer.
Et pour ça que le pari d'
AnyPS5
est possible ! L'objectif de ce projet c'est qu'au lieu de lancer un n-ième émulateur qui "imite" la console pendant que vous jouez, l'outil prend le code binaire d'un jeu PS5, le décompile et le recompile intégralement sous la forme d'un vrai programme Linux ou Windows, que votre système peut ensuite lancer comme n'importe quel autre.
Pour y parvenir, ce projet repose sur 2 briques. D'abord il y a un "relinker", qui lit l'exécutable du jeu et le reconstruit au format natif de la cible, c'est à dire ELF pour Linux ou PE pour Windows. Mais comme le jeu continue d'appeler des fonctions système PS5 que votre PC ne connait pas, AnyPS5 réimplémente les bibliothèques de Sony, libc, libkernel et toute la famille libSce, en bibliothèques dynamiques que le chargeur de votre OS peut alors lier au programme converti.
Résultat, le jeu tourne comme un processus normal, sans runtime à part... C'est beau non ?
Mais tout n'est pas réécrit d'avance pour autant puisque côté graphique, le jeu envoie ses files de commandes comme s'il causait à la puce AMD de la console, et c'est donc la version maison du projet de libSceAgcDriver qui les interprète pendant l'exécution. Les shaders RDNA, eux, sont recompilés en SPIR-V pour Vulkan quand le jeu les demande, puis rangés dans un cache sur le disque pour les lancements suivants. Donc ça veut dire que certes, le code processeur tourne en natif, mais la partie GPU, elle, est traduite à la volée.
La conversion elle-même, après c'est juste une ligne de commande. Vous indiquez l'exécutable du jeu et son dossier sce_module côte à côte, et vous choisissez le nom du binaire cible (le .exe quoi) :
Sur un processeur Intel, ajoutez le paramètre --to-intel, qui convertira les instructions propres aux puces AMD qu'il connaît.
Et quand le jeu touche à quelque chose que le projet ne gère pas encore, AnyPS5 lève une exception, en affiche la raison dans le terminal et le processus s'arrête. Ça veut dire qu'un jeu qui boote n'est pas forcément un jeu auquel vous pourrez jouer jusqu'au bout.
Et justement, qu'est-ce qui va jusqu'au bout ?
Hé bien la liste de compatibilité officielle est trèèès courte puisqu'elle ne contient qu'un seul jeu : Dreaming Sarah. C'est un jeu de plateforme 2D sorti sur Steam en 2015 et vendu moins de 5 € (1,49 € en promo au moment où j'écris).
Sous Windows, après recompilation, il est noté "in game, playable", à 60 images par seconde sur une GTX 1050 Ti et 36 sur une puce Intel HD 620 et sous Linux, on ne connait pas encore les stats même si l'ELF Linux a été généré.
Bien sûr, comme toujours avec ces projets de recompilation ou d'émulation, aucun firmware, ni jeu, ni clé n'est fourni. Et comme vous le savez, pour déchiffrer un jeu et l'extraire, il faut un exploit du firmware en cours, autrement dit une console débridée. Donc ça limite un peu les ambitions de pas mal de monde. Mais ça n'en reste pas moins possible pour qui a un peu de volonté (et une PS5 jailbreakée).
Sachez que ce projet AnyPS5 nécessite une carte graphique Vulkan 1.1, que les manettes Xbox ou PlayStation reconnues par SDL fonctionnent avec sticks et gâchettes analogiques, et que le clavier se remappe sans souci dans un fichier anyps5-input.ini que vous devez éditer.
Voilà...
Les émulateurs PS5
dont je vous ai parlé, recréent la console autour du jeu alors qu'AnyPS5 tente de recréer le jeu pour n'importe quelle machine. On verra qui y parvient massivement en premier, mais en tout cas, la course à l'émancipation de la PS5 et de ses jeux est lancée !
Mise à jour du 8 octobre 2026 : depuis la publication de cet article, j'ai découvert les idées que diffuse DHH, le créateur d'Omarchy. Je ne recommande plus cette distribution, et je vous explique pourquoi dans
Omarchy, non merci
.
Omarchy-apple-dev
, c'est un projet qui vous permet de compiler une app codée en SwiftUI, l'installer sur votre iPhone via le cable USB et l'envoyer à TestFlight d'Apple, tout ça depuis une machine Linux sous Omarchy... Oui oui, sans Mac !
Le gros du boulot est assuré par
xtool
, qui sait déjà compiler, signer et installer une app iOS sous Linux, mais ce dépôt omarchy-apple-dev y ajoute un script ship.sh, qui permet de créer le .ipa, d'y renseigner les clés de build que le traitement App Store lit, puis d'envoyer tout ça à Apple comme un grand.
Bref, en langage clair, ça veut dire que vous pouvez être développeur iOS depuis votre PC Linux. Cool hein ?
Pour l'installer, c'est juste 3 lignes avec install du SDK d'Apple.
git clone https://github.com/joshuaswarren/omarchy-apple-dev
cd omarchy-apple-dev
./install-toolchain.sh
Les morceaux du SDK iOS n'existant que dans la distribution Xcode d'Apple, il faut donc télécharger le Xcode.xip sur developer.apple.com avec un Apple ID gratuit, depuis n'importe quel OS. Vous relancez ensuite le script avec XCODE_XIP=/chemin/Xcode.xip, puis device-run.sh installera l'app sur l'iPhone branché. Un compte gratuit suffit pour ça, mais Apple le limite à 3 apps par appareil avec des profils qui expirent au bout de 7 jours. Pour TestFlight, il faudra par contre un compte développeur payant et une clé d'API App Store Connect.
Après, les CGU d'Apple pour Xcode et ses SDK disent bien que ces logiciels ne sont autorisés uniquement sur un produit de marque Apple tournant sous macOS, et que tout autre usage est une violation du contrat. Sa clause 2.5 interdit aussi d'utiliser les SDK séparément ou de les faire tourner sur du matériel qui n'est pas Apple. Or le SDK que le script installe vient forcément d'un Xcode d'Apple. Voilà, au moins vous savez...
Bref, pour bricoler sur votre iPhone avec un compte gratuit, ça peut le faire... Après, pour l'App Store, sachez qu'Apple exige en plus depuis avril dernier, que vos apps soient compilées avec Xcode 26 ou plus récente alors qu'ici, ce bon vieux script contourne ça... Donc à voir si vous voulez tenter votre chance.
Au pire, pour la phase finale (la compilation de la release de votre app), vous sortez un Mac rien que pour ça et le reste du temps, vous codez et compilez vos tests à 100% dans Omarchy. A vous de voir :)
Farid Zakaria calls this his "magnum opus of Nix work", and I can see why.
trynix.dev provides a qemu-wasm powered x86_64 Linux virtual machine running entirely in your browser through WebAssembly. That VM can then be booted with any Nix package from the past 13 years. They are URL addressable, so you can navigate to this page:
GitHub action that comments a link on a pull request which lets you boot the PR’s build in the browser using https://trynix.dev. No servers, just browsers.
Hier, je vous parlais de mdBook, avec un petit reminder de Deckset et aujourd’hui, je suis tombé sur Slidev, un outil très sympa pour vous aider à concevoir vos présentations style Powerpoint.
Sauf qu’avec cet outil, fini les heures perdues à galérer sur la mise en forme et la disposition de vos slides. Grâce à sa syntaxe intuitive basée sur Markdown, vous pourrez vous concentrer vraiment sur le contenu et laisser Slidev s’occuper du reste. En plus de son éditeur intégré, Slidev propose même une extension pour VS Code qui vous permettra de profiter d’une expérience de développement optimale, avec tous les avantages de votre IDE préféré.
Mais attention, Slidev ne se contente pas d’être un simple convertisseur Markdown vers des slides. Il propose des tas de fonctionnalités super cools comme une coloration syntaxique impeccable, et même la possibilité d’exécuter du code, peu importe le langage, en direct pendant votre présentation. Je vous invite à regarder cet exemple pour vous rendre compte du délire. Il y en a plein des comme ça.
Slidev vous offre également un choix de thèmes varié et professionnels, que vous pourrez personnaliser à votre guise ou même créer de toutes pièces. Votre présentation aura alors un look unique qui reflètera votre style personnel. ! Il offre également des fonctionnalités avancées comme le mode présentateur, l’enregistrement vidéo, l’exportation vers différents formats (PDF, PNG, SPA), et bien plus encore
Et grâce à son intégration parfaite avec Vue.js, vous pourrez même créer des composants interactifs directement dans vos slides pour afficher par exemple des graphiques dynamiques, des quiz, des sondages en temps réel, et bien plus encore. Bref, vous l’aurez compris, c’est un super projet open source, totalement hackable qui vous fera gagner bien du temps.
Pour démarrer un nouveau projet Slidev, utilisez la commande :
npm init slidev@latest
Et si vous préférez utiliser l’interface en ligne, rendez-vous sur sli.dev.
Je suis sûr que ça vous plaira !
A vous de jouer maintenant et n’oubliez pas, la seule limite est votre créativité !
Si votre disque dur se rempli à vue d’œil et que vous ne savez pas comment faire le ménage, rmlint peut vous aider. Cet outil open source, disponible sur la plupart des distributions Linux, va vous permettre d’optimiser votre espace disque en un rien de temps.
Contrairement à d’autres outils du même genre, il se distingue par sa rapidité d’exécution en scannant vos disques en un clin d’œil pour dénicher tous les fichiers qui encombrent inutilement votre précieux espace de stockage. Au menu des fonctionnalités, rmlint est capable de détecter :
Les fichiers dupliqués et les répertoires en double
Les binaires non strippés (c’est-à-dire avec des symboles de débogage)
Les liens symboliques brisés
Les fichiers et répertoires vides
Les fichiers avec des ID utilisateur ou groupe invalides
Mais ce n’est pas tout puisqu’il propose également un mode paranoïa pour ceux qui veulent être sûrs à 100% de ne pas supprimer de fichiers importants par erreur. Il offre également de multiples options pour s’adapter à vos besoins et peut même se limiter aux fichiers plus récents qu’une certaine date.
Pour les fans de systèmes de fichiers modernes comme btrfs, sachez que rmlint les gère comme un chef et peut tirer parti des fonctionnalités avancées de ce dernier pour vous faire gagner encore plus d’espace disque.
Pour l’installer sous Debian / Ubuntu, un petit
sudo apt install rmlint
fera l’affaire. Ensuite pour le lancer, tapez simplement la commande rmlint suivie du répertoire que vous voulez analyser. Par exemple :
rmlint /home/utilisateur/dossier-bordel
Vous pouvez ajouter des options pour affiner l’analyse, comme -o pour spécifier un format de sortie ou
--paranoid
pour activer le mode paranoïa si vous ne faites pas confiance aux hashs retournés par l’outil et que vous craignez que des fichiers non-duplicate soient supprimés.
Et voilà, en quelques secondes (ou minutes selon la taille du répertoire), rmlint vous pondra un joli rapport listant tous les fichiers qui méritent de passer à la trappe. Il ne vous restera plus qu’à les supprimer d’un coup de rm bien placé et à profiter de vos gigaoctets fraîchement libérés !
Ah les années 90… L’époque bénie des interfaces old school, des systèmes bien bruts de décoffrage et du code qui sent bon le bricolage ! C’était le bon vieux temps. Mais si je vous disais qu’on peut avoir le beurre et l’argent du beurre ? Profiter de la beauté vintage d’une interface bien rétro et des muscles d’un UNIX moderne ?
Eh oui, c’est le pari un peu fou de SerenityOS, un OS fait maison avec amour qui marie l’interface cosy des 90s et le power user d’aujourd’hui.
Le look d’un Windows 95 croisé avec un Mac OS 8, mais qui repose sur un kernel custom fait à la main, avec une architecture bien clean, des applis maison et des outils qui déchirent. C’est ça SerenityOS.
Alors oui, c’est sûr que ça va pas remplacer votre Ubuntu ou votre Debian pour bosser (quoique, bossez-vous vraiment ?). Mais franchement, pour le fun, ça vaut grave le détour.
Le truc de ouf, c’est que tout est fait from scratch par une équipe de devs passionnés : le browser, la GUI, les jeux, les démos… Même le kernel et la LibC sont faits maison, c’est dire ! Et pourtant, ça reste super cohérent et intégré, avec une vraie philosophie derrière. C’est pas juste de la nostalgie, c’est aussi des idées neuves et du code au top !
Sous le capot, SerenityOS carbure à un kernel préemptif qui gère le multi-threading, un système de fichiers compatible POSIX, une stack réseau IPv4 qui cause TCP et UDP, et même un serveur graphique maison. Tout ça tourne sur du x86 64 bits, et c’est cross-compilé avec les outils modernes comme GCC et Clang. Et si vous êtes du genre power user à la recherche de la moindre killer feature, vous allez être servis :
Un browser digne de ce nom, avec support de JavaScript, WebAssembly et des technos web modernes
Des applis pour gérer votre vie numérique : mail, chat, calendar…
Des outils pour les devs : terminal, éditeur, débogueur, profiler…
Des jeux old-school : démineur, solitaire, échecs…
Et même un spreadsheet façon Excel, mais en mieux !
SerenityOS c’est un peu comme si vous vous étiez tous réunis dans un garage pour faire le système de vos rêves, avec les technos d’aujourd’hui mais l’état d’esprit et le goût du pixel d’hier. C’est frais, c’est fun, ça donne envie de bidouiller et de se replonger dans les joies du code et de l’OS DIY.
Alors si vous aussi vous avez gardé votre âme de geek des 90s, foncez sur SerenityOS pour tester tout ça !
Aujourd’hui, on va parler d’un truc qui s’appelle LSD, mais attention hein, je parle pas de votre dernière soirée chemsex hein… C’est plutôt un clone open-source de la commande ls en mode survitaminé ! Développé par la communauté et écrit en Rust, il rajoute plein de fonctionnalités hyper stylées comme les couleurs, les icônes, la vue en arbre, des options de formatage en pagaille…
L’idée vient du projet colorls qui est vraiment super aussi. Mais LSD pousse le délire encore plus loin. Déjà il est compatible avec quasi tous les OS : Linux, macOS, Windows, BSD, Android…
Et hyper simple à installer en plus… un petit
apt install lsd ou brew install lsd
et c’est réglé.
Ensuite il est ultra personnalisable. Vous pouvez faire votre thème de couleurs et d’icônes sur mesure juste en bidouillant des fichiers de config en yaml. Et il supporte les polices Nerd Font avec des glyphes spéciaux trop classes ! Bon faut avoir la bonne police installée sur son système et le terminal configuré, mais c’est pas bien compliqué. Et si vous êtes sur Putty ou Kitty, y’a des tweaks spécifiques à faire, mais c’est expliqué dans la doc.
Mais attendez c’est pas fini ! LSD gère aussi les liens symboliques, la récursion dans les sous-répertoires (avec une profondeur max en option), des raccourcis pour les tailles de fichiers plus lisibles, des indicateurs pour les exécutables, les dossiers, etc. Il peut même vous sortir des infos de git sur les fichiers de ton repo si vous activez l’option ! Et pleins d’autres trucs que j’ai même pas encore testés…
Depuis que je l’ai installé et que j’ai changé mon alias ls, je me régale à chaque fois que je liste un dossier. J’ai l’impression d’être dans un vaisseau spatial avec des néons partout ! Bon j’exagère à peine, mais franchement ça envoie du lourd.
Allez je vais pas tout vous spoiler non plus, je vous laisse le plaisir de découvrir LSD par vous-même et customiser votre expérience du terminal. Moi en tout cas je suis fan, et je dis pas ça parce que je plane ! 😄
Figurez-vous qu’Elektrobit, le géant allemand de l’électronique automobile, vient de nous pondre un truc qui va faire plaisir aux fans de libre : EB corbos Linux, le premier système d’exploitation open source qui respecte les normes de sécurité les plus pointues du monde de la bagnole.
En gros, les constructeurs en ont marre de se trimballer des kilomètres de câbles et des centaines de boîtiers noirs dans leurs caisses-. L’idée, c’est de tout centraliser sur quelques « super ordinateurs » qu’ils appellent des « plateformes de calcul haute performance ». Et chacun gère son domaine : la conduite, l’info-divertissement, les aides à la conduite… Bref, ça simplifie le bordel et ça permet de faire évoluer les fonctionnalités sans toucher au hardware.
Le hic, c’est que tout ce bazar logiciel doit être hyper sécurisé. Parce que si votre autoradio plante, c’est pas bien grave, mais si c’est votre direction assistée qui décide de partir en vacances, bonjour les dégâts ! C’est là qu’EB corbos Linux entre en scène.
Grâce à son architecture unique, ce système d’exploitation prend Linux et le rend compatible avec les exigences les plus draconiennes en matière de sécurité automobile, genre les normes ISO 26262 et IEC 61508 en utilisant un hyperviseur et un système de monitoring externe qui valide les actions du noyau. En gros, Linux peut continuer à évoluer tranquillou sans compromettre la sécurité.
Comme cette distrib est basé sur du bon vieux Linux, il profite de toute la puissance de l’open source. Genre les milliers de développeurs qui bossent dessus, les mises à jour de sécurité en pagaille, la flexibilité, la rapidité d’innovation… Tout ça dans une distrib’ véhicule-compatible, c’est quand même cool. En plus, Elektrobit a développé ce petit miracle main dans la main avec l’équipe d’ingénieurs d’Ubuntu Core chez Canonical. Autant dire que c’est du lourd !
Elektrobit a pensé à tout puisqu’ils proposent même une version spéciale pour les applications critiques, genre les trucs qui peuvent tuer des gens s’ils plantent. Ça s’appelle EB corbos Linux for Safety Applications, et c’est le premier OS Linux à décrocher la certification de sécurité automobile auprès du TÜV Nord.
Mais le plus cool, c’est qu’avec cet OS, vous pouvez laisser libre cours à votre créativité de développeur automobile. Vous voulez intégrer les dernières technos de conduite autonome, d’intelligence artificielle, de reconnaissance vocale… Pas de problème, Linux a tout ce qu’il faut sous le capot.
Imaginez que vous bossiez sur un système de reconnaissance de panneaux pour aider à la conduite. Avec ça, vous pouvez piocher dans les bibliothèques open source de traitement d’image, de machine learning, etc. Vous adaptez tout ça à votre sauce, en respectant les contraintes de sécurité, et voilà ! En quelques sprints, vous avez un truc qui déchire, testé et approuvé pour la route. Et si un autre constructeur veut l’utiliser, il peut, c’est ça la beauté de l’open source !
Autre exemple, vous voulez développer un système de monitoring de l’état de santé du conducteur, pour éviter les accidents dus à la fatigue ou aux malaises. Là encore, EB corbos Linux est votre allié. Vous pouvez utiliser des capteurs biométriques, de l’analyse vidéo, des algorithmes de détection… Tout en étant sûr que votre code ne mettra pas en danger la vie des utilisateurs.
Bref, vous l’aurez compris, c’est le meilleur des deux mondes avec d’un côté, la puissance et la flexibilité de Linux, de l’open source, de la collaboration à grande échelle et de l’autre, la rigueur et la sécurité indispensables au monde automobile, où la moindre erreur peut coûter des vies.
Vous en avez marre de jongler avec une multitude d’outils de gestion de paquets sur vos différents systèmes Linux et Unix ? apt sur Debian, dnf sur Fedora, pacman sur Arch, emerge sur Gentoo, pkg sur FreeBSD… Et je ne parle même pas de Homebrew sur macOS ou Scoop sur Windows ! Bref, un vrai casse-tête pour s’y retrouver et se rappeler de toutes les commandes spécifiques à chaque plateforme.
Heureusement, y’a un p’tit dev malin qui a décidé de nous faciliter la vie. Un certain Sigoden a créé upt, pour Universal Package-management Tool. L’idée c’est d’avoir une interface unique pour gérer ses paquets, quelque soit le système utilisé. Sous le capot, upt se base sur le gestionnaire natif de chaque OS mais vous permet d’utiliser une syntaxe commune pour les opérations de base : rechercher, installer, mettre à jour ou supprimer un paquet.
Bon alors techniquement, c’est écrit en Rust donc faudra passer par l’installation de cargo et de quelques dépendances. Mais rassurez-vous, c’est assez simple et bien documenté sur le dépôt GitHub du projet. Une fois que c’est fait, vous pourrez utiliser la commande upt de la même façon sur tous vos systèmes. Voici quelques exemples :
upt update pour mettre à jour le gestionnaire upt install package_name pour installer un paquet upt upgrade package_name pour le mettre à jour upt remove package_name pour le désinstaller upt search keyword pour chercher un paquet
Plutôt cool non ?
Fini les prises de tête à se rappeler si c’est apt search ou dnf search, pacman -S ou emerge… Maintenant on fait tout pareil avec upt !
Et ça supporte tous les outils suivants sous Linux, macOS, Windows, BSD :
Bon, j’avoue qu’il y a quelques petites limitations. Déjà upt n’est qu’une surcouche, donc il faudra quand même connaître les noms exacts des paquets pour chaque distrib. Pas de nom universel type « python3-dev » qui fonctionnerait sur Ubuntu comme sur Fedora.
Ensuite, si un même paquet est dispo dans plusieurs formats (deb, snap, flatpak…), upt va suivre un ordre de priorité pour choisir lequel installer. Mais vous pouvez outrepasser ça en définissant la variable d’environnement UPT_TOOL avec le nom du gestionnaire souhaité.
Par exemple, pour forcer upt à utiliser les paquets snap pour VLC plutôt que apt ou autre :
export UPT_TOOL='snap' upt install vlc
Dernier point, certaines commandes un peu plus avancées ne seront pas gérées directement par upt. Il faudra alors repasser par le gestionnaire natif. Mais pour une utilisation basique au quotidien, ce petit outil vous fera gagner pas mal de temps et de neurones.
Après, je dis pas que c’est la solution révolutionnaire qui va unifier une bonne fois pour toutes le monde des paquets sur Linux et Unix. Y’a encore du taf pour ça. Mais en attendant, upt est bien pratique pour ceux qui doivent régulièrement passer d’un système à l’autre.
Et puis soyons honnêtes, nous les linuxiens on est un peu maso sur les bords. On aime bien quand c’est compliqué et qu’il faut batailler pour faire un truc. Alors un outil qui simplifie les choses, ça va en rebuter plus d’un ! Mais je suis sûr que ça peut rendre service à pas mal de monde malgré tout.
En attendant, amusez-vous bien et n’oubliez pas : dans le doute, RTFM ! 😄
Dans le monde de la cybersécurité, la découverte de failles 0day critiques est un enjeu important, car elles peuvent être exploitées par des acteurs malveillants pour compromettre des systèmes qui n’ont pas encore eu le temps d’être mis à jour.
Récemment, un chercheur en sécurité a fait une découverte plutôt alarmante : 2 failles 0day sont présentes dans les noyaux Linux 6.4 à 6.5. Cependant, cette histoire a pris une tournure inattendue… En effet, il y a quelques jours, le chercheur en sécurité, connu sous le pseudonyme YuriiCrimson, a publié sur GitHub les détails de 2 exploits pour des failles 0day qu’il avait découverts dans le pilote n_gsm des noyaux Linux.
Sauf que l’une de ces 2 failles avait en réalité déjà été divulguée par un autre chercheur, Jmpeax. D’après YuriiCrimson, celui-ci lui aurait racheté pour la publier comme si c’était sa propre découverte. Il explique sur sa page Github qu’ignorant cette divulgation, il a involontairement « re-divulgué » sa propre découverte.
Face à cette situation assez malaisante, YuriiCrimson a alors décidé de « riposter » en publiant immédiatement un second exploit, encore inconnu, affectant une plage plus large de noyaux Linux, des versions 5.15 à 6.5. Cette nouvelle divulgation un peu précipitée ayant pour but de couper l’herbe sous le pied de Jmpeax et de prouver à tout le monde que c’était bien lui, le papa de la première vuln.
Ah l’égo !
Si tout cela se confirme, ça met en lumière plusieurs problématiques. Tout d’abord, racheter le travail d’un autre chercheur pour se l’attribuer c’est très moche. Et vendre son travail pour ensuite le rendre public, c’est très moche aussi.
De plus, la divulgation non coordonnée de failles 0day peut avoir des conséquences désastreuses. En rendant publics les détails d’exploitation avant que les éditeurs n’aient pu corriger les vulnérabilités, on expose les systèmes à des attaques immédiates. Une divulgation responsable, en collaboration avec les éditeurs concernés, permet donc de laisser le temps nécessaire pour développer et déployer des correctifs, protégeant ainsi les utilisateurs.
Voilà, c’était l’histoire cybersec moche du jour, dont nous sommes maintenant tous victimes, car il y a 2 jolis 0day non encore patchés qui se baladent.
Vous êtes-vous déjà demandé ce que vos applications faisaient dans votre dos ? Quelles données elles envoyaient sur Internet à votre insu ? Je suis sûr que oui !
C’est pourquoi, si vous êtes soucieux de votre confidentialité et de la sécurité de vos informations, il est temps de faire connaissance avec OpenSnitch, le pare-feu interactif qui va vous permettre de mieux sécuriser et gérer les connexions sur votre ordinateur Linux.
Inspiré du célèbre Little Snitch sur macOS, OpenSnitch agit comme un garde-fou en vous alertant chaque fois qu’un programme tente d’établir une connexion sortante. Comme ça, plus besoin de laisser les applications communiquer sans votre consentement, vous avez le contrôle !
OpenSnitch utilise évidemment iptables couplé à NFQUEUE et ftrace présent par défaut dans le noyau pour détecter et alerter l’utilisateur d’un poste client Linux que quelque chose ne tourne pas rond. Top pour détecter les trucs louches comme l’exploitation d’une faille ou une fuite de données.
L’interface d’OpenSnitch est simple à prendre en main. Lorsqu’une application essaie d’accéder à Internet, une pop-up apparaît, vous donnant toutes les informations nécessaires pour prendre votre décision : le nom de l’application, l’adresse IP et le port de destination, et même le chemin de l’exécutable. Vous pouvez alors choisir d’autoriser ou de bloquer la connexion, de manière ponctuelle ou permanente.
OpenSnitch ne se contente pas de filtrer les connexions puisqu’il vous permet également de garder un œil sur l’activité réseau de votre système. Via son interface graphique, vous pourrez consulter l’historique des connexions, voir quelles applications communiquent le plus, et même exporter les données pour une analyse plus poussée.
OpenSnitch est disponible dans les dépôts de la plupart des distributions Linux, et son installation se fait en quelques commandes. Vous pouvez même l’essayer dans une machine virtuelle pour vous faire une idée avant de l’adopter sur votre système principal.
Envie d’un terminal nouvelle génération qui allie performance et flexibilité ? Ne cherchez plus, Alacritty est fait pour votre bonheur !
Disponible sur toutes les plateformes qui comptent (Linux, macOS, Windows, BSD ^^), ce terminal au look sobre et épuré cache sous son capot une configuration ultra complète. Pas besoin de réinventer la roue, Alacritty s’intègre avec vos applications préférées pour vous offrir une expérience sur-mesure sans compromis sur la vitesse. Bon OK, c’est encore un peu jeune, il est un peu long à configurer et il reste quelques fonctionnalités à ajouter et bugs à corriger, mais ça n’empêche pas de nombreux baroudeurs du shell de l’utiliser quotidiennement. YOLO comme on dit.
Mais Alacritty, c’est pas qu’un simple émulateur de terminal de base. Il embarque des features bien pratiques pour améliorer la vie des accros de la ligne de commande :
Vous aimez vim ? Ça tombe bien, avec le mode Vi vous pouvez retrouver vos réflexes pour vous déplacer et sélectionner du texte.
Vous avez la flemme de scroller manuellement pour retrouver une commande ou une erreur ? Utilisez la recherche intégrée pour localiser ce que vous voulez en un clin d’œil.
Vous en avez marre de jongler entre votre souris et votre clavier ? Avec les hints façon regex, plus besoin de quitter le clavier, interagissez avec n’importe quel texte à l’écran.
Votre PC rame quand vous ouvrez 10 terminaux en même temps ? Pas de problème, avec le mode multi-fenêtres , un seul process Alacritty est partagé intelligemment.
Et je vous ai parlé que de quelques fonctionnalités, y’en a bien d’autres à découvrir dans la doc.
Après la théorie, passons à la pratique. Pour l’installer, c’est ultra simple. Si vous êtes sur macOS ou Windows, direction la page des releases GitHub pour chopper le binaire. Sous Linux ou BSD, il est sûrement déjà dans le gestionnaire de paquets de votre distrib. Sinon, les instructions détaillées vous expliqueront comment compiler depuis les sources.
Une fois installé, pas besoin de vous embêter à configurer, les options par défaut sont déjà pas mal. Mais si vous voulez quand même mettre votre patte, le fichier de config en TOML se trouve, en fonction de votre OS, dans $XDG_CONFIG_HOME/alacritty, $HOME/.config/alacritty ou %APPDATA%\alacritty.
Par exemple, pour l’installer sous macOS, vous pouvez faire également :
Voici un exemple de config à mettre dedans pour obtenir un truc comme ça :
# Configuration du shell et des variables d'environnement
shell = { program = "/bin/zsh", args = ["-l"] }
[env]
TERM = "xterm-256color"
# Activation du rechargement dynamique de la configuration
#live_config_reload = true
# Configuration de la fenêtre pour un look minimaliste et semi-transparent
[window]
decorations = "buttonless"
dynamic_padding = false
opacity = 0.9
padding = { x = 25, y = 20 }
# Configuration de la police personnalisée avec styles spécifiques pour différents états du texte
[font]
size = 20.0
[font.normal]
family = "JetBrains Mono"
style = "Medium"
[font.bold]
family = "JetBrains Mono"
style = "Heavy"
[font.italic]
family = "JetBrains Mono"
style = "Medium Italic"
[font.bold_italic]
family = "JetBrains Mono"
style = "Heavy Italic"
# Configuration des couleurs
[colors]
[colors.primary]
background = '#282a36' # Arrière-plan foncé
foreground = '#f8f8f2' # Texte clair
[colors.cursor]
text = 'CellBackground'
cursor = '#ff79c6' # Couleur du curseur
[colors.selection]
text = 'CellBackground'
background = '#44475a'
# Configuration du curseur
[cursor]
style = { shape = "Block", blinking = "On" }
thickness = 0.25
# Ajout de raccourcis clavier pour améliorer l'efficacité
[keyboard]
bindings = [
{ key = 'N', mods = 'Control|Shift', action = 'CreateNewWindow' },
{ key = 'C', mods = 'Control|Shift', action = 'Copy' },
{ key = 'V', mods = 'Control|Shift', action = 'Paste' },
{ key = '+', mods = 'Control', action = 'IncreaseFontSize' },
{ key = '-', mods = 'Control', action = 'DecreaseFontSize' },
{ key = '0', mods = 'Control', action = 'ResetFontSize' }
]
Mais du coup, c’est vraiment le terminal le plus rapide ?
Difficile à dire… Mesurer les perfs d’un terminal, c’est compliqué. Sur les benchmarks, en tout cas, Alacritty s’en sort bien, surtout grâce à l’accélération GPU. Après, sur des critères plus subjectifs comme la latence ou la fluidité de l’affichage, difficile de départager les challengers. Le mieux est de l’essayer et de voir s’il convient à VOS usages.
Par contre, ne vous attendez pas à retrouver toutes les fonctionnalités de terminaux plus anciens. Pas de tabs, pas de splits, Alacritty se concentre sur son cœur de métier. Pour ces features, votre gestionnaire de fenêtres ou un multiplexeur comme tmux feront très bien l’affaire. Et si vous voulez faire un peu de customisation, il faudra vous plonger dans la doc.
Après, si jamais il vous manque un truc indispensable, le projet est ouvert aux contributions. Alacritty est d’ailleurs distribué sous licence Apache 2.0. Donc si vous vous sentez de rajouter ce p’tit truc manquant, la communauté vous accueillera à bras ouverts. Comme quoi, y’a pas que Microsoft qui sait faire dans l’open source ! mdr.
En attendant de voir vos pull requests pleuvoir sur ce projet, je ne peux que vous conseiller de tester Alacritty. Vous verrez, c’est le genre d’outil auquel on s’habitue vite et qui change la vie. Bon OK, ça reste un terminal, faut pas exagérer non plus. N’empêche que depuis que j’ai goûté à la fluidité de son rendu, j’avoue que j’aurais du mal à revenir en arrière !
Aïe aïe aïe, ça sent le roussi ! Une vilaine backdoor a été dénichée dans l’utilitaire xz Utils, un outil de compression présent dans un paquet de distributions Linux. Et attention, c’est du lourd : cette saloperie est capable de contourner l’authentification SSH et donc de permettre un accès non autorisé aux systèmes. Autant vous dire que c’est la panique générale !
La faille a été découverte le 29 mars 2024 par un dénommé Andres Freund, un développeur qui a flairé l’embrouille dans les versions 5.6.0 et 5.6.1 de xz Utils dont la liblzma. La backdoor se planque dans les fichiers de test bad-3-corrupt_lzma2.xz et good-large_compressed.lzma, et utilise un script appelé par build-to-host.m4 pour s’incruster dans le processus de build. Cerise sur le gâteau, elle exploite le mécanisme IFUNC de la glibc pour détourner l’authentification d’OpenSSH à l’exécution. Machiavélique !
En fait, le code malveillant ne se trouve pas directement dans le dépôt mais uniquement dans les archives de release 5.6.0 et 5.6.1. Un examen du code source ne révèle donc rien de suspect, il faut télécharger les tarballs pour chopper la version vérolée. Vicieux !
Mais le plus dingue dans l’histoire, c’est que cette backdoor a été commitée par un certain JiaT75, aka Jia Tan, l’un des deux principaux développeurs de xz Utils, qui bosse sur le projet depuis 2022 ! En fait, ce type a commencé par introduire une vulnérabilité dans libarchive en 2021 avant de s’attaquer à xz.
Quand des problèmes sont apparus avec Valgrind sur la liblzma juste après la release 5.6.0 en février, ce cher Jia Tan a suggéré qu’il s’agissait d’un bug de GCC. Il a même poussé un commit bidouillant le code pour contourner les erreurs Valgrind, en pointant vers un rapport de bug GCC n’ayant rien à voir. À ce stade, il n’y a plus de doute possible : le compte JiaT75 est contrôlé par un acteur malveillant, point barre. Reste à savoir si Jia Tan a toujours été un méchant ou si son compte a été compromis.
Depuis son entrée en scène, JiaT75 n’a pas chômé. Infrastructure de test vérolée, prise de contrôle progressive du projet, jusqu’à tenter de refiler la version backdoorée à Debian, Fedora et Ubuntu. Un certain Hans Jansen, dont le compte semble avoir été créé spécialement pour ça, a même ouvert une pull request pour intégrer le code malveillant ! Et dire que GitHub a attendu le dernier moment pour mettre le grappin sur JiaT75 et bloquer l’accès au dépôt, bien joué les gars. Ils ont même suspendu le compte de Lasse Collin, le mainteneur principal.Heureusement qu’Andres veillait au grain, sinon on n’imagine même pas le bordel.
Parce que oui, ces versions 5.6.0 et 5.6.1 ont failli se faufiler dans les releases stables des principales distribs. Par chance, elles ne se sont glissées que dans quelques bêtas, notamment Fedora 40, Fedora Rawhide et les distribs testing, unstable et experimental de Debian. Même Arch Linux y a eu droit dans une release stable. Bref, ça a failli faire très mal !
Comme le souligne Will Dormann, un analyste en sécu chez Analygence, si la backdoor n’avait pas été repérée à temps, ça aurait pu être une véritable hécatombe. Les systèmes les plus à risque sont ceux qui tournent avec glibc et xz 5.6.0 ou 5.6.1, surtout s’ils exposent un serveur SSH public. Là c’est défcon 1, faut mettre à jour TOUT DE SUITE MAINTENANT ! Pour les autres, pas de panique, mais mieux vaut jouer la prudence et updater fissa. Plus d’infos sur les systèmes touchés et comment les patcher dans cet article.
Mais qu’est-ce que SSH vient faire dans cette galère ? En fait, beaucoup de distribs Linux patchent sshd pour ajouter des fonctionnalités systemd, et libsystemd utilise la liblzma. Résultat, le code d’initialisation de liblzma est exécuté au démarrage de sshd. Et devinez quoi ? La backdoor vérifie si le programme lancé est /usr/bin/sshd et remplace des fonctions comme RSA_public_decrypt, utilisée pour valider les clés SSH. On vous laisse imaginer la suite… Une analyse complète est en cours, attendez-vous à d’autres révélations dans les prochains jours.
Depuis, c’est le branle-bas de combat. Les mainteneurs de Fedora et Debian se sont empressés de retirer les versions vérolées et de revenir à une release clean de xz Utils. Et les utilisateurs sont appelés à vérifier s’ils sont affectés en utilisant un script de détection mis à dispo par Andres himself. Mais le mal est fait et la confiance est ébranlée.
L’avenir du projet xz est incertain et il faut s’attendre à un ou plusieurs hard forks et à un gros nettoyage. Pour plus d’infos, jetez un œil aux alertes de sécurité de Redhat et Debian, ainsi qu’au thread oss-security sur le sujet.
Cet épisode rappelle cruellement qu’en matière de sécurité, la vigilance est mère de sûreté, même au sein des projets open source. Il met aussi en lumière la fragilité de notre écosystème, où des pans entiers reposent sur les épaules fatiguées de quelques mainteneurs débordés. Il est grand temps d’avoir une prise de conscience collective et de mieux soutenir ces projets critiques. Parce que mine de rien, on parle quand même des fondations qui font tourner une bonne partie d’Internet et des infrastructures critiques.
Saviez-vous qu’une faille de sécurité plus vicieuse qu’un boss de fin de niveau est tapie dans les entrailles de notre cher Linux depuis plus d’une décennie ? Et attention, on ne parle pas d’un vulgaire bug qui fait planter votre distrib’ préférée, non non. Cette saleté, baptisée « WallEscape » par Skyler Ferrante, un chercheur en sécurité un peu barré (on y reviendra), permet ni plus ni moins à un petit malin de vous subtiliser votre précieux mot de passe Admin !
Tout commence avec une commande anodine appelée « wall« , présente dans le package util-linux. Son petit boulot à elle, c’est d’envoyer des messages à tous les utilisateurs connectés sur une même machine. Jusque-là, rien de bien méchant, vous me direz.
Sauf que voilà, un beau jour, ou plutôt un sale jour de 2013, un commit un peu foireux est venu s’immiscer dans le code de wall tel un cheveu sur la soupe. Depuis, cette brebis galeuse s’est gentiment propagée dans toutes les versions de util-linux, tel un virus informatique qui s’ignore.
Mais qu’est-ce qu’il y avait de si terrible dans ce ce commit ? Eh bien, pour faire simple, le dev qui l’a poussé, a tout bonnement oublié de filtrer correctement les fameuses « escape sequences » dans les arguments de la ligne de commande. Résultat des courses : un petit malin un peu bricoleur peut maintenant s’amuser à injecter tout un tas de caractères de contrôle pour faire des trucs pas très catholiques sur votre terminal.
Et c’est là que notre ami chercheur en sécurité dont je vous parlais au début de l’article, entre en scène. Armé de sa curiosité légendaire et de son sens de l’humour douteux, il a flairé le potentiel de la faille et s’est amusé à monter un scénario d’attaque digne d’un film de ma saga préférée : « Die Hard ». L’idée, diaboliquement géniale, est d’utiliser ces fameuses « escape sequences » non filtrées pour créer de fausses invites sudo sur le terminal de la victime. Ainsi, tel un loup déguisé en agneau, l’attaquant peut vous inciter à gentiment taper votre mot de passe administrateur, pensant avoir affaire à une véritable demande d’authentification système.
Bon, je vous rassure tout de suite, il y a quand même quelques conditions à remplir pour que l’attaque fonctionne. Déjà, il faut que l’option « mesg » soit activée sur votre machine et que la commande wall ait les permissions setgid.
Bien sûr, en tant que vrai geek qui se respecte, vous avez probablement déjà mis à jour votre système avec la dernière version de util-linux qui colmate la brèche. Sinon, vous pouvez toujours vérifier que les permissions setgid ne sont pas activées sur wall ou carrément désactiver cette fonctionnalité de messages avec « mesg« .
En attendant, je ne peux que vous encourager à jeter un coup d’œil au PoC de notre ami chercheur, histoire de voir à quoi peut ressembler une fausse invite sudo des familles. C’est toujours ça de pris pour briller en société.
Allez, amusez-vous bien et n’oubliez pas : sudo rm -rf /*, c’est le mal !
