Cet article a été réalisé en collaboration avec Synology
Angles morts, câblage, multiplication des équipements : surveiller un bureau ou un commerce peut vite virer au casse-tête. C’est dans ce genre de situation que les caméras à 360°, comme la FC600 de Synology, et la surveillance assistée par IA prennent tout leur sens.
Cet article a été réalisé en collaboration avec Synology
Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.
Si vous voulez recevoir les meilleures actus Frandroid sur WhatsApp, rejoignez cette discussion.
Pour nous soutenir gratuitement, dites simplement à Google d’ajouter Frandroid à vos sources préférées en cliquant ici.
En France, même si ça les défrise, un policier ou un gendarme en service ne peut pas s'opposer à ce qu'on l'enregistre (vidéo, photo et son), tant qu'on n'est pas dans un lieu privé. C'est la Défenseure des droits qui l'a rappelé dans un avis de 2020, en s'appuyant sur une circulaire de 2008 du ministère de l'Intérieur, excluant aussi qu'on vous interpelle ou qu'on vous retire votre matériel pour ça .
J'irais même plus loin en disant que filmer est même un devoir, tant ça peut vite déraper d'un côté comme de l'autre...
Bref, filmer est donc un droit acquis, mais publier l'enregistrement c'est autre chose... Le Conseil constitutionnel ayant censuré en 2021 le délit de provocation à l'identification des policiers prévu par la loi Sécurité globale, parce que le texte était trop imprécis, il ne nous reste que l' article 223-1-1 du Code pénal , qui punit de 3 ans de prison et 45 000 euros d'amende le fait de diffuser des informations permettant d'identifier quelqu'un dans le but de l'exposer à un risque direct d'atteinte. Et ça monte à 5 ans et 75 000 euros si la personne est dépositaire de l'autorité publique.
En langage clair et en théorie, cela veut dire que publier le visage d'un policier ne suffit pas à faire un délit... C'est l'intention d'exposer qui doit être prise en compte, et la LDH le rappelle, il n'y a aucune obligation légale qui impose de flouter les agents.
Reste que flouter est LE choix de la prudence, parce qu'une vidéo est là pour documenter des faits et pas pour afficher des personnes. Et surtout ça vous évite tout procès d'intention. La Défenseure des droits juge d'ailleurs que publier des images d'interventions de police est légitime et nécessaire dans une société démocratique, donc même s'il y floutage de visage, ça ne retire rien au document : les gestes, les mots et le contexte restent à l'image.
Mais attention, le floutage ne vous protège pas non plus de tout puisque si vous n'êtes ni journaliste ni en train de constituer une preuve en justice, diffuser des images de violences peut vous exposer à 5 ans de prison, au titre de l'article 222-33-3, d'après ce qu'explique la LDH.
Après, en ce qui concerne le visage des manifestants, c'est également très bien de les flouter puisque le fichier TAJ des antécédents judiciaires peut être interrogé par reconnaissance faciale, et le Sénat a dénombré 498 871 consultations de ce type en 2021 rien pour la seule police nationale. Donc j'imagine pas en 2026...
Reste le côté "pratique" de la chose, parce que flouter une vidéo à la main, image par image, c'est pas si simple quand on ne maitrise pas les outils de montage vidéo. Mais il y a une application web libre nommée Masque du collectif onestla.tech qui vous permet d'uploader des photos, en lot (avec ZIP à la sortie), ou une vidéo, et celui-ci masquera tous les visages. Tout se passe uniquement dans votre navigateur (rien n'est envoyé sur des serveurs tiers) et une fois chargée l'appli peut même fonctionner offline sur votre téléphone par exemple.
Chaque masque peut ainsi être revu avant l'export, et pour un visage raté, il suffit de glisser le doigt ou la souris dessus pour l'ajouter. Le fichier qui sort ensuite a été totalement nettoyé de ses métadonnées (ni EXIF, ni GPS, ni date de création) et porte un nom aléatoire. Comparé au floutage ou à la mosaïque, notez que le style "Solid" qui met un calque noir ou Emoji sur les visages sont les plus safe pour protéger l'anonymat des personnes.
Après, oui, la détection automatique peut manquer des visages, et les vêtements, les tatouages, les banderoles ou encore les lieux permettent évidemment d'identifier encore des gens donc là faudra se relever un peu plus les manches pour sécuriser à fond la vidéo Et pour le son, si vous en avez besoin, Masque propose une option "Supprimer le son" en précisant que les voix peuvent également permettre d'identifier des personnes, donc pensez-y avant de publier si le son n'a pas d'utilité. Sinon, trouvez un outil pour modifier les voix afin qu'on puisse quand même savoir ce qui est dit mais sans reconnaitre la voix des personnes.
Voilà, ce projet est tout jeune mais je l'ai trouvé bien utile. Et si vous filmez pour documenter, gardez bien évidemment l'original dans un endroit safe que vous maîtrisez, sachant que votre téléphone l'a peut-être déjà envoyé dans un cloud.
Ah et si Masque ne vous convient pas, il y a aussi deface , que j'avais déjà présenté et dont Masque reprend le modèle de détection.
C'est un outil en ligne de commande qui tourne sous Linux, Windows et macOS, python3 -m pip install deface puis deface video.mp4, qui détecte les visages image par image et les floute ou les cache sous des boîtes noires. Pas d'interface graphique prévue cependant et l'audio est viré par défaut.
Et pour les photos uniquement, tout le monde l'ignore mais Signal a un outil de floutage dans son éditeur d'images depuis 2020, sur Android et iOS, avec un traitement à 100% local. Sa détection, elle non plus, ne trouve pas tous les visages à coup sûr, d'où le pinceau pour flouter à la main ce qu'elle a raté mais c'est aussi très pratique. Ah et j'avais aussi parlé de cet outil gratuit pour anonymiser les photos de manifs si vous voulez en essayer encore un autre.
Bref, filmez partout et tout le temps mais pensez bien à flouter avant de publier quoi que ce soit et surtout à garder l'original au chaud pour aider les victimes plus tard.
Source : le dépôt de Masque
Les caméras de surveillance domestiques et les caméras embarquées pour automobiles se sont installées dans notre quotidien pour veiller sur les logements, les véhicules et les biens personnels. Problème, ces appareils enregistrent 24 heures sur 24 et réécrivent sans cesse les mêmes cellules mémoire, un régime pour lequel les cartes classiques n’ont pas été pensées. C’est précisément pour répondre à cette contrainte que Sandisk dévoile la gamme Guardian Series, composée de deux cartes mémoires haute endurance, la Dash Cam Card et la Security Cam Card.
« Les solutions de stockage classiques n’ont pas été conçues pour répondre aux exigences d’un enregistrement en continu dans des environnements difficiles. Nous avons donc développé la gamme SANDISK Guardian Series pour offrir des performances plus fiables, à toute heure », explique Susan Park, VP Consumer Products chez Sandisk, qui met en avant l’endurance et la fiabilité des enregistrements comme fil conducteur de cette nouvelle famille de produits.
La Dash Cam Card, déclinée avec des capacités de stockage de 32 Go à 512 Go, vise les caméras embarquées. Elle prend en charge l’enregistrement de la Full HD (1 920 × 1 080 pixels) à la 4K UHD (3 840 × 2 160 pixels) et se veut résistante à la chaleur et à l’humidité, deux ennemis des habitacles de voiture exposés au soleil.
Le constructeur annonce (sur la base de tests internes) jusqu’à 40 000 heures d’enregistrement de trajets pour la version 512 Go. Les capacités inférieures suivent une progression logique, avec 20 000 heures pour le modèle 256 Go, 10 000 heures en 128 Go, 5 000 heures en 64 Go et 2 500 heures pour la déclinaison 32 Go. À noter que ces chiffres valent pour la vidéo Full HD uniquement, et que Sandisk précise lui-même que le nombre réel d’heures sauvegardées reste en deçà de ces valeurs théoriques.
La seconde carte de la gamme s’adresse aux caméras de vidéo surveillance, en intérieur comme en extérieur. Également proposée de 32 Go à 512 Go, la Security Cam Card résiste aux hautes températures, à l’eau et à la poussière, de quoi équiper des caméras extérieures tout au long de l’année. Elle prend elle aussi en charge l’enregistrement de la Full HD à la 4K UHD.
Son argument principal tient dans le fonctionnement en continu, en complément ou en remplacement du stockage dans le cloud. L’intérêt ? Les vidéos restent conservées localement même en cas de coupure du Wi-Fi, un scénario où les solutions reposant uniquement sur le cloud laissent l’utilisateur sans images.
Les deux cartes de la gamme Guardian Series sont disponibles dès maintenant. La Security Cam Card est proposée à partir de 25,99 € et la Dash Cam Card à partir de 26,99 €, prix de vente conseillés pour les versions 32 Go.
Le Zollkriminalamt, l'office d'enquête de la douane allemande, est capable de lire des conversations WhatsApp, Signal ou Telegram sans utiliser aucun logiciel espion ! On vient de l'apprendre grâce au média Netzpolitik qui a publié le 2 septembre dernier une note interne classée du Zollkriminalamt expliquant que depuis fin 2023, la méthode était testée pour finalement devenir un outil permanent pour les enquêteurs (surtout pour les enquêtes sur la criminalité organisée) depuis un peu plus d'un an.
Le principe est celui de WhatsApp Web ou de Signal Desktop... en fait, quand vous liez un ordinateur à votre compte en scannant un QR code depuis votre téléphone, cet ordinateur peut ensuite recevoir vos messages en même temps que le téléphone. Les enquêteurs configurent donc l'un de leur ordi, au poste de la douane en tant qu'appareil lié, ce qui fait que le chiffrement de bout en bout n'est plus un problème puisque l'appareil fait partie intégrante du compte.
Mais bon, pour que ça fonctionne, il faut réussir à faire valider la liaison de l'appareil par la cible. Pour faire ça, il faut donc ruser par exemple en convoquant les gens comme témoins et en les incitant à leur confier leurs téléphones pour faire des captures écran sur un sujet qui n'a rien à voir. Cela leur permet d'activer à leur insu la liaison WhatsApp Web ou autre. Ils peuvent également mettre en place une campagne de phishing dans la lignée des hackers russes qui piégeaient des fonctionnaires que je vous racontais en mars. Ou encore, quand c'est Telegram, avec son SMS de validation, le code de connexion peut être récupéré via une interception téléphonique classique.
Ils ont fait ça sur des dizaines de comptes. En 2022, un trafiquant de produits dopants de Basse-Saxe s'est même rendu compte que la douane se connectait à son compte. Il a alors coupé l'accès quelques heures plus tard... mais trop tard, ses échanges sur les 6 derniers mois étaient déjà copiés.
Car oui, c'est surtout ça qui donne de la valeur à la manœuvre puisque l'appareil lié récupère tout l'historique dès que la liaison est effective. La plupart des clients web reçoivent l'archive complète, et Signal propose de transférer les conversations ainsi que 45 jours de médias au moment de lier les appareils. Le BfV et le BSI ajoutent dans leur rapport que la cible met, en général, un peu de temps avant de remarquer que quelqu'un est en train de lire ses conversations, et aussi que la douane allemande peut écrire à sa place.
Alors, maintenant est-ce que c'est légal ?
Hé bien le 20 janvier dernier, la Cour fédérale de justice allemande a tranché sur le cas de Telegram. Ils ont validé le fait que se connecter en secret à un compte, c'était de la surveillance à la source, et que seuls les messages postérieurs à l'ordonnance du juge pouvaient être lus. Dans cette affaire de dopage, les messages antérieurs à l'ordonnance sont donc inutilisables au procès, faute d'infraction assez grave pour justifier une perquisition en ligne.
De son côté, le professeur Christian Rückert, spécialiste du droit pénal informatique à Bayreuth, juge la méthode "problematisch" parce que l'appli permet d'écrire au nom de la cible, alors que la loi exige de ne pas pouvoir en faire plus que de récupérer les messages. Mais bon, comme d'hab, avec la police et la justice, leur propre tambouille ne les concerne jamais vraiment hein...
Maintenant, si la douane ou la police peut le faire, n'importe quel script kiddie peut le faire aussi... Donc je vous invite vraiment à contrôler régulièrement la liste des appareils liés de vos applis. Si vous tombez sur des appareils que vous ne reconnaissez pas, virez-les immédiatement. Et dans la mesure du possible, pensez toujours à activer une vérification en deux étapes avec une application de double authentification et surtout pas un code SMS.
Source : Netzpolitik , repéré grâce au billet de Bruce Schneier .
J'espère que si vous avez une entreprise, vous êtes au courant de cette information, car depuis le 1er septembre, la facturation électronique a été mise en place. La communication autour de ça a été assez chaotique et j'ai vu circuler tout et son contraire sur le sujet. Par exemple, des indés persuadés qu'ils devaient tout basculer en urgence, d'autres convaincus que ça ne visait que les grosses boîtes... Du coup, ce que je vous propose aujourd'hui, c'est qu'on remette tout ça à plat.
En gros, il y a deux dates charnière à connaitre et elles n'ont pas les mêmes implications. En effet, depuis le 1er septembre 2026, toutes les entreprises françaises doivent pouvoir recevoir une facture électronique. Mais c'est seulement à partir du 1er septembre 2027 que les micro-entreprises, TPE et PME devront également savoir émettre les leurs par le circuit officiel.
Le premier point dont personne ne parle alors que POURTANT c'est dans le guide pratique publié par la DGFiP cet été : Un client n'a pas le pouvoir d'imposer une facture électronique à une entreprise dont l'échéance d'émission est fixée à septembre 2027. Mieux, il ne doit pas refuser de traiter ou de payer votre facture au seul motif qu'elle n'est pas électronique !
Heureusement !
Et bien sûr, inversement, si un fournisseur vous envoie encore un PDF par mail après le 1er septembre, la facture reste valable et votre droit à déduction de TVA est bien sûr conservé. Bref, on peut tous respirer. Sauf que "respirer" ne veut pas dire "ne rien faire", et c'est là que ça se corse...
Comme vous l'aurez compris parce que vous êtes supers malins, recevoir des factures électroniques, ça suppose donc d'avoir désigné une plateforme agréée pour les réceptionner. Sans ça, vous n'êtes pas dans l'annuaire, et une grande entreprise qui vous facture ne saura tout simplement pas où envoyer sa facture électronique.
Et là, malheureusement la sanction est un peu plus difficile que celle qu'agite les médias d'habitude. Car vous l'avez sûrement lu, par ci par là, tout le monde le répète, ça vous coutera 50 € par facture non conforme, plafonnés à 15 000 € par an. Sauf qu'en cas d'absence de plateforme de réception, le mécanisme est différent. Ça commence par une mise en demeure, ensuite, vous avez 3 mois pour vous mettre en règle, puis vous vous prendrez une amende de 500 €, puis 1 000 € si au bout de trois mois de plus vous n'êtes toujours pas en règle. Ce mécanisme-là n'a donc rien à voir avec le plafond de 15 000 € par an.
Mais j'ai une bonne nouvelle quand même : la DGFiP a annoncé qu'elle n'appliquerait pas les sanctions de façon automatique et aveugle au lancement, si la difficulté d'inscription est réelle et que vous avez engagé une démarche. en gros si vous n'êtes pas de mauvaise foi et que vous essuyez les plâtres de cette nouveauté, l'Administration sera clémente. Mais attention, sa clémence n'est ni un report ni une suspension et le calendrier devra être respecté.
Maintenant, je vous propose qu'on zoome un peu plus sur les détails concrets car ça, vous pouvez le mettre en place, même sans outil. Il s'agit de 4 nouvelles mentions qui deviennent obligatoires sur les factures B2B qui entrent dans le champ de la réforme :
Jusqu'ici aucun identifiant client n'était vraiment exigé, mais maintenant, vous allez devoir chercher le SIREN de chacun de vos clients pro.
Et il y a un troisième volet dont on parle beaucoup moins : l'e-reporting. En gros, tout ce qui ne passe pas par la facturation électronique doit quand même être déclaré à l'administration. C'est le cas de vos ventes à des particuliers, ou à des clients installés hors de France où c'est votre outil qui transmet ces données au fisc à votre place. Autant dire qu'à la main, dans un tableur, ça ne tiendra pas 3 mois.
C'est là qu'arrive le sponsor de cet article, et je vais vous dire à quoi ça sert avant de vous dire pourquoi ça vaut le coup.
Freebe est un logiciel de gestion français pour indépendants, lancé en 2018 par une petite boîte bretonne. Et ce n'est pas un simple générateur de factures comme on en voit parfois, mais plutôt l'endroit où vit toute votre activité : vos clients, vos devis, vos factures, votre trésorerie, votre livre des recettes, vos déclarations URSSAF et le temps passé sur chaque mission.
Le tableau de bord d'un compte micro-entreprise, avec le chiffre d'affaires encaissé, la répartition par client et les cotisations du mois
Historiquement c'était réservé aux micro-entrepreneurs mais depuis 2024, l'outil accepte aussi les EI, les SASU, les SAS, les EURL, les SARL, les GIE, les artistes-auteurs et les SCI depuis cette semaine, ce qui veut dire que si demain votre statut évolue, par exemple, si vous passez d'entreprise individuelle à SAS, vous pouvez continuer à utiliser l'outil au lieu de tout redéménager.
Freebe a donc également évolué par rapport à la facturation électronique. Ainsi, quand vous créez un client, vous tapez juste son nom et Freebe interroge les bases de l'INSEE et récupère le SIRET, dont les neuf premiers chiffres sont justement le SIREN, plus l'adresse. Vous ne saisissez rien, et surtout vous ne pouvez pas vous tromper ! De la charge mentale en moins, c'est ça que j'aime !
La fenêtre d'ajout d'un client : on cherche l'entreprise par son nom, et Freebe remplit le SIRET et l'adresse
Ensuite, vous pouvez y faire un devis en 3 clics depuis votre catalogue de prestations, le transformer en facture quand le client signe. Les factures sortent alors au format Factur-X, ce fameux PDF qui embarque en douce des données XML, comme ça, votre client voit une facture normale, mais la machine, elle, voit des données structurées qu'elle peut importer. Ça permet de tout ranger au même endroit avec l'état de chaque paiement en face.
La liste des factures de vente, avec le montant net, la TVA et l'état de chaque paiement
Et depuis peu, vous pouvez enfin personnaliser l'allure de vos factures avec votre logo, vos couleurs, la mise en page. C'est cosmétique dit comme ça, mais c'est ce qui fait qu'une facture ressemble à votre boîte et pas à un modèle sorti d'un moule.
La partie que je trouve la plus utile, c'est surtout la synchronisation bancaire. Freebe se branche sur plus de 450 banques, et rapproche automatiquement les virements reçus des factures correspondantes. C'est ce rapprochement qui tient votre trésorerie et votre livre des recettes à jour sans que vous ayez à saisir quoi que ce soit. Autrement dit, le truc chiant est fait dans la foulée sans que vous n'ayez à vous pencher dessus.
Un virement reçu qu'on associe à son client et à son justificatif, ce qui fait passer la facture en encaissée
Et pour les micro-entrepreneurs, il y a aussi la déclaration URSSAF automatisée avec chiffre d'affaires pré-rempli, cotisations calculées, déclaration envoyée depuis l'outil via un mandat. Rien que ça, ça évite un oubli à 22h le dernier jour de l'échéance...
Les déclarations mensuelles de chiffre d'affaires, avec le montant déclaré et les cotisations correspondantes
Concernant l'inscription à l'annuaire central, ça se fait aussi depuis l'interface, et sachez qu'on vous demandera une pièce d'identité. C'est une vérification KYC classique imposée par la réglementation, qui sert à éviter que n'importe qui s'inscrive à la place d'une entreprise dans le circuit des factures.
Maintenant, je préfère le dire, parce que vous allez forcément le découvrir tout seuls : Freebe n'est pas une plateforme agréée par l'État. C'est ce que la réforme appelle une "solution compatible", c'est-à-dire un logiciel branché sur une plateforme agréée partenaire, en l'occurrence SUPER PDP, immatriculée par la DGFiP.
Alors est-ce que c'est un problème ?
Hé bien non, et c'est même le cas le plus courant chez les éditeurs qui visent les indépendants. La réforme prévoit ce statut, et pour vous le résultat est identique puisque vos factures partent dans le bon format, via le bon circuit.
La différence est ailleurs, et plutôt à l'avantage de Freebe puisqu'une plateforme agréée est conçue pour faire transiter des flux à grande échelle, et pas pour vous prévenir par exemple que vous approchez du plafond de la franchise de TVA. Vous trouverez par exemple des concurrents agréés en direct qui facturent gratuitement, et qui font ça bien mais ils ne vous permettront pas de faire votre déclaration URSSAF, votre livre des recettes et le suivi de rentabilité de vos missions. On n'est donc pas sur le même niveau de service, ni les mêmes fonctionnalités qui simplifient la vie.
Si vous vous êtes intéressé à la facturation électronique, vous avez sûrement vu passer les mêmes trucs que moi cet été. Des tribunes qui expliquent qu'on va confier toutes les factures de France à des prestataires pas fiables. Fin août, un sénateur, le maire de Cannes, une députée européenne et le patron de Clever Cloud réclamaient même un moratoire sur le sujet et le gouvernement a dit "non".
Mais si vous regardez de plus près ce qui a déclenché cette colère, ce n'est pas parce qu'une plateforme privée s'est faite trouer. Non, c'est l'État. On a eu le fichier Ficoba d'abord, avec 1,2 million de comptes bancaires consultés illégitimement fin janvier. Puis une intrusion chez la DGFiP en juin-juillet, concernant 678 000 particuliers et professionnels, que les premiers contrôles n'avaient même pas détectée. Donc difficile de reprocher ça aux éditeurs de logiciels de facturation électronique, pour le moment, même si je ne doute pas que des incidents arriveront.
Du côté des plateformes agréées, à l'heure où j'écris ces lignes, sachez qu'aucune faille n'a été publiée, aucun avis du CERT-FR, aucune fuite. Ça ne veut pas dire que tout est parfait, mais que pour le moment, il n'y a rien à leur reprocher pour l'instant. N'oubliez pas aussi que pour être immatriculées, elles doivent être certifiées ISO 27001, qualifiées SecNumCloud en cas d'hébergement cloud, et garantir qu'aucune donnée ne sort de l'Union européenne.
Maintenant, le cas qui nous intéresse, c'est SUPER PDP qui porte cette casquette pour Freebe. Il s'agit d'une jeune boîte, montée fin 2024, par des gens qui ont déjà construit des trucs sérieux, l'un des cofondateurs de Capitaine Train (revendu à Trainline) et un cofondateur de Memo Bank.
Freebe, lui, est hébergé chez AWS et Scaleway, donc en Europe et bénéficient par rebond des certifications de sécurité de leur plateforme agréée.
Je précise aussi que l'exigence de ne pas sortir de l'Union repose sur la plateforme agréée, donc sur SUPER PDP. Côté Freebe, leur politique de confidentialité indique que certains sous-traitants, Stripe et Google par exemple, sont situés hors de l'UE. Sur la sécurité du compte, sachez également que la double authentification est en chantier. Ça devrait donc rapidement se bonifier avec le temps.
Dernier truc rassurant que peu de gens connaissent, si vous changez de plateforme, un décret de cette année oblige l'ancienne à maintenir vos services durant un an donc si vous n'êtes pas content, vous n'êtes pas coincé chez un prestataire dont vous ne voulez plus.
C'est le point où je vous conseille de bien regarder, parce que le prix dépend de votre statut :
| Statut | À l'année | Au mois |
|---|---|---|
| Micro-entreprise | 150 € TTC | 15 € TTC |
| Entreprise individuelle | 300 € TTC | 30 € TTC |
| GIE | 180 € TTC | 20 € TTC |
| Société (SASU, SAS, EURL, SARL) | 540 € TTC | 54 € TTC |
Toutes les fonctionnalités sont bien sûr incluses quel que soit le statut, il n'y a pas de palier à débloquer ni d'option cachée. Et il y a 60 jours d'essai sans carte bancaire, ce qui est la bonne façon de se faire un avis solide.
Bref, si vous êtes en micro entreprise et que vous facturez 3 clients par an, honnêtement, vous pouvez tenir encore un moment avec vos PDF, jusqu'en septembre 2027 pour l'émission, tant que vous avez désigné une plateforme pour la réception.
Par contre, si vous facturez pour de vrai, si vous jonglez avec la TVA, les acomptes, les seuils et les déclarations URSSAF, la question n'est plus vraiment la conformité mais plutôt combien d'heures vous passez chaque mois à faire un boulot que personne ne vous paye. À 150 € par an pour une micro, la question elle est vite répondue comme disent les jeunes entrepreneurs.
Voilà... en tout cas, ce que j'aime bien dans Freebe, c'est que c'est fait par des gens qui ont manifestement compris que l'administratif d'un freelance ce n'est pas de la comptabilité d'entreprise en plus petit. C'est vraiment un taf différent, avec ses seuils débiles, ses déclarations et ses plafonds et l'outil est vraiment construit autour de ça.
Au début du mois d'août, une Toyota Yaris de 2009 est passée devant une caméra Flock à Las Vegas sans être "vue". Car même si la caméra l'a filmée correctement, le logiciel de détection, lui, n'a rien inscrit dans ses logs, comme si la rue était restée vide...
J'ai trouvé ça intéressant parce que ça ne nécessite pas de grande technologie... Non, il faut juste que la voiture soit recouverte d'un certain motif généré à l'aide d'un ordinateur. C'est un motif qui ne cache rien puisque la plaque d'immatriculation reste à sa place réglementaire et est parfaitement visible.
Mais ce qu'il faut savoir avant pour bien comprendre comment ça fonctionne, c'est qu'une caméra de lecture de plaques ne lit pas une plaque en permanence. Elle repère d'abord un véhicule dans l'image, puis va chercher la plaque dessus. Du coup, en cassant la première étape, la seconde n'a jamais lieu. La plaque reste donc visible mais le système n'a pas l'idée d'aller la lire...
Derrière l'expérience, on retrouve Bill Swearingen, un vieux de la vieille de la sécu qui a cofondé SecKC, le meetup sécurité de Kansas City. Son projet s'appelle noRecognition et fonctionne comme un fuzzer. Il génère un motif, le passe devant des modèles de détection, note ce qui échoue, et recommence et ainsi de suite... 31,7 millions de tests plus tard, il produit alors des motifs à la demande pour déjouer ce genre de caméra.
Alors pourquoi quelqu'un irait dépenser un an de calcul machine là-dessus ? Hé bien parce que Flock revendique 93 plaques correctement lues sur 100, pour plus de 20 milliards de lectures par mois et que l'Institute for Justice a recensé au moins 27 automobilistes innocents arrêtés, détenus ou emprisonnés depuis 2018 à cause d'une de ces erreurs de lecture...
Et dans près des deux tiers des cas, les policiers s'en sont rendu compte après avoir sorti leur arme. Bref, la polémique enfle aux États-Unis, encore plus depuis février dernier, dans l'Arkansas, quand un couple s'est retrouvé injustement menotté au bord de la route à cause d'une de ces caméras, pendant que leur bébé de six semaines attendait dans le siège auto.
Swearingen a même mis à dispo publiquement un tableau de bord public qui affiche en toutes lettres les résultats chiffrés qui sortent de ses modèles réels avec l'impression et la caméra simulées. Son tableau de bord indique également que pour le moment, aucun motif unique ne bat encore les onze modèles de caméra de son banc d'essai, en même temps, et surtout, il a mesuré jusqu'à 64 % d'écart entre les chiffres de son labo et les vrais tests réalisés dans le monde extérieur. J'ai rarement vu une page de vente aussi peu vendeuse ^^ mais au moins c'est honnête.
Et ça n'a pas empêché sa campagne Kickstarter de dépasser de 20 fois son objectif. Ses motifs générés se vendent en t-shirts et en hoodies, mais ce qui vaut pour une carrosserie ne vaut pas forcément pour un vêtement. En effet, une portière est plate, rigide et ce qui y est imprimé est fixe. Alors qu'un tissu se plie et se déforme, et Swearingen prévient qu'un motif imprimé trop grand ou trop petit cessera de fonctionner sans que ça ne se remarque.
Et chez nous en France ?
Hé bien les lecteurs de plaques tournent aussi donc possiblement, ça pourrait aussi fonctionner ici. Mais tout ceci reste géré au niveau de l'État et des communes, et c'est contrôlé par la CNIL. Même si on n'en est pas loin, ce n'est donc pas encore dans ce cauchemar très américain où ce sont des dizaines de réseaux privés comme Flock, revendus clé en main aux villes, qui font la loi, peu importe le taux d'erreur du logiciel.
Source : Bitdefender
Dans la série "les gens qui assurent notre sécurité n'ont pas fait leur job jusqu'au bout", voici une chouette histoire de caméras montées sur les drones navals de la Royal Navy qui, ÉVIDEMMENT, envoyaient des signaux vers une adresse IP située en Chine. Et cette découverte ne vient pas d'une opération de contre-espionnage mais d'une simple évaluation de vulnérabilité de routine, menée par le ministère de la Défense britannique sur son propre matériel.
Ces caméras sont celles qui équipent les K3 Scout, des bateaux sans équipage que la Royal Navy et les Royal Marines utilisent pour la surveillance et la protection de force.
Et le signal en question porte un nom que tout le monde connaît en domotique : un heartbeat. C'est le ping le plus banal qui existe, celui qui dit "je suis en ligne, je fonctionne" et rien d'autre. C'est le même que crache votre caméra IP du salon, dont je vous parlais déjà avec OpenIPC .
Le ministère britannique affirme qu'aucune donnée sensible, aucun système militaire et aucune donnée gouvernementale n'ont été consultés, compromis ou transmis hors des canaux autorisés et ajoute que ses procédures de test ont repéré le problème "tôt".
La connectivité internet des caméras a quand même été coupée puisque même si ça n'a l'air de rien, un mouchard qui se contente de dire bonjour reste un mouchard qui connaît le chemin.
Reste maintenant la question de comment ce composant est arrivé sur un engin de reconnaissance militaire. En fait, les caméras ne viennent pas de Kraken Technology Group, le constructeur britannique du K3 Scout, mais d'un sous-traitant tiers qui pourtant avait fourni des assurances sur le fait que ses caméras répondaient aux exigences de sécurité, y compris celles rattachées au National Defense Authorization Act américain.
Bref, de la paperasse, des assurances, mais pas un démontage ni une capture de trafic... Kraken dit avoir mené un audit complet avec la Royal Navy une fois les communications découvertes. J'espère bien ^^ !
Côté portée, ça concerne les 20 K3 Scout achetés dans le cadre du Project Beehive, un programme de 12,3 millions de livres, en service chez les Royal Marines depuis mars. Le Telegraph , qui a sorti l'affaire, écrit que du matériel lié à la préparation d'une éventuelle mission britannique dans le détroit d'Ormuz avait été enregistré sur ces appareils.
Par contre, ce qu'on ne sait toujours pas, c'est la marque de la caméra et la nature exacte du composant chinois car aucun rapport ne les nomme pour le moment... Mais j'espère que ça n'a pas été aussi intégré sur du matos français...
Connexion