82 314 dollars, c'est l'incroyable facture que s'est mangé un dev mexicain après 48 heures d'utilisation frauduleuse de sa clé API Gemini. Sa dépense habituelle était de 180 dollars par mois environ, j'imagine que ça lui a fait un peu mal aux fesses. Et c'est une bonne raison pour moi de vous inciter une nouvelle fois à bien sécuriser vos clés API !

Le gars bosse dans une petite startup et de ce que j'ai compris, quelqu'un a chopé ses credentials et s'est lâché sur Gemini 3 Pro pendant deux jours. La réponse de Google ? "Responsabilité partagée". En gros, eux sécurisent l'infra, et vous sécurisez vos clés. Si vous vous faites plumer, c'est votre problème !

Et c'est pas un cas isolé car les chercheurs de Truffle Security ont scanné le web et trouvé 2 863 clés Google API exposées en clair sur des sites publics. Toutes identifiables par le préfixe AIza.

Sauf que comme je vous l'expliquais dans un article précédent, ces clés, à la base, étaient conçues comme de simples identifiants de projet pour Maps et Firebase et la doc Google disait carrément qu'elles n'étaient pas secrètes ! Et quand l'API Gemini a été activée sur ces projets, hé bien ces clés sont devenues des clés d'authentification, sans que personne ne réalise ce changement de paradigme.

Mais bon, plutôt que de chialer comme des fragiles, voyons comment éviter de se retrouver dans cette situation ^^.

Scanner vos secrets existants

Avant tout, faut savoir si vous avez déjà des fuites. Deux outils open source font ça très bien.

TruffleHog scanne vos dépôts Git, vos fichiers, et même vos buckets S3 pour trouver des secrets qui traînent. L'install est simple :

brew install trufflehog
trufflehog git https://github.com/user/project --only-verified

grep -r "AIza" . --include="*.js" --include="*.py" --include="*.env"

brew install git-secrets
cd mon-projet
git secrets --install
git secrets --register-aws

git secrets --add 'AIza[0-9A-Za-z_-]{35}'
git secrets --add 'sk-proj-[0-9a-zA-Z]{48}'

gcloud services api-keys list
gcloud services api-keys create --display-name="gemini-prod-$(date +%Y%m)"
gcloud services api-keys delete ANCIENNE_CLE_ID

Vous savez ce qui est encore mieux qu'un bon film de super-héros ?

Une hacktiviste déguisée en Pink Ranger des Power Rangers qui supprime en direct des sites de nazis devant une salle comble de hackers en délire. Et ce moment de liesse s'est passé fin décembre au 39C3 , le Chaos Communication Congress à Hambourg. Mais avant d'en arriver là, il a fallu une sacrée investigation.

Tout commence avec WhiteDate, une sorte de Tinder pour suprémacistes blancs. À côté, deux autres sites du même acabit : WhiteChild (un truc glauque pour matcher des donneurs de sperme et d'ovules "de race pure") et WhiteDeal (une marketplace pour embaucher uniquement des racistes). Ça devait être sympa l'ambiance, n'empêche !

Les stats de WhiteDate parlent d'elles-mêmes puisque le site comptait environ 3600 profils aux USA, 600 en Allemagne, et la France, le Canada et le UK loin derrière. Et surtout 86% d'hommes. On imagine bien le niveau des conversations sur ce site de losers qui cherchent l'âme sœur aryenne dans un océan de testostérone frustrée.

Les trois sites étaient gérés par une certaine "Liff Heide". Un pseudo un peu trop allemand pour être vrai. Deux journalistes, Eva Hoffmann (investigatrice freelance) et Christian Fuchs (qui couvre l'extrême droite depuis 20 ans), ont mené l'enquête pour Die Zeit et ont fini par identifier la vraie personne : Christiane Haar, 57 ans, qui vit près de Kiel en Allemagne.

Et comment l'ont-ils trouvée ? Hé bien par l'enregistrement de la marque déposée "WhiteDeal" au registre du commerce allemand. Parce que oui, quand tu montes un réseau clandestin de nazis, tu n'oublies pas de déposer ta marque à l'INPI local.

Le souci du détail administratif, c'est toujours magique.

Le parcours de Christiane Haar est d'ailleurs assez dingue. Ancienne pianiste prodige, elle a vécu à Paris dans les années 2000 où elle a épousé un banquier... dont le père avait survécu à la Shoah. Oui, vous avez bien lu... Son ex-mari a raconté aux journalistes qu'elle s'était radicalisée après 2014, persuadée que l'attentat de Charlie Hebdo était une "opération false flag". La descente aux enfers conspirationniste classique. Et le brave homme a fini par divorcer "pour raisons politiques" après qu'elle ait pété un câble antisémite lors d'un dîner avec des amis.

Côté autorités allemandes, c'est la lose totale par contre. Le Verfassungsschutz (les services de renseignement intérieur) surveillait le dossier depuis 2019... sauf qu'ils ont passé des années à traquer la mauvaise personne. Il existe en effet une romancière qui s'appelle vraiment Liff Heide, et ces brillants enquêteurs ont confondu les deux femmes malgré des différences flagrantes : pas le même âge, pas la même couleur de cheveux, l'une vivait à Paris depuis des décennies, l'autre à Berlin. Résultat, la pauvre romancière a perdu son job dans une université berlinoise à cause de cette bourde monumentale.

C'est là qu'entre en scène Martha Root (un pseudo, évidemment), une hacktiviste qui a décidé de faire ce que les services de renseignement n'avaient pas réussi en six ans.

Pour infiltrer ces plateformes, elle a utilisé des chatbots IA (Llama et compagnie). Elle a créé un faux profil avec une photo générée par IA, et quand son compte a bugué à force de bidouiller les champs de texte, elle a contacté le support. Ces génies lui ont non seulement débloqué son compte, mais lui ont offert 3 mois de premium gratuit. Merci les gars.

Mais le meilleur c'est quand Martha a demandé à une connaisseuse plus calée qu'elle de jeter un œil. Cinq minutes plus tard (pour de vrai), sa pote lui envoie la faille. Il suffisait de taper WhiteDate.net/download-all-users dans la barre d'adresse. C'est tout. Pas d'injection SQL sophistiquée, pas d'exploit zero-day... juste une URL en clair dans l'API WordPress. La "race supérieure" a oublié de protéger son endpoint JSON.

Comme l'a dit Martha Root : "Avant de vouloir dominer le monde, apprenez déjà à sécuriser un WordPress". C'est drôle ^^.

Martha Root est donc montée sur scène au 39C3, déguisée en Pink Ranger, aux côtés des deux journalistes. Et au lieu de se contenter de slides PowerPoint bien sages, elle a décidé de passer à l'action : une suppression en direct des trois sites devant une salle en délire.

Les données récupérées (100 Go quand même) ont été transmises à DDoSecrets, le collectif qui a pris la relève de WikiLeaks pour ce genre de fuites. Ils ont baptisé ça "WhiteLeaks" et le partagent avec les journalistes et chercheurs vérifiés. Comme le faisait Anonymous à la grande époque, le hacktivisme continue de faire le ménage là où les autorités traînent des pieds.

L'admin des sites a réagi sur X en pleurnichant que c'était du "cyberterrorisme" et en promettant des représailles. Elle envoie même chaque mois un fax (oui, un fax) aux journalistes pour réclamer de la thune en dédommagement. Ah oui, parce que supprimer des sites de nazis, c'est du terrorisme, mais matcher des donneurs de sperme pour la pureté raciale, c'est juste un hobby sympa entre amis.

Pour couronner le tout, le site WhiteDate était développé par une boîte IT en Inde, avec la comptabilité gérée depuis Madagascar. L'internationale brune qui sous-traite à l'étranger, ça ne s'invente pas, les amis...

Bref, ce que Martha a trouvé en quelques jours, toute l'infrastructure de renseignement allemande n'a pas réussi à le faire en six ans.

Encore raté.

Source | Vidéo du talk au 39C3

Vous êtes-vous déjà demandé comment les plus grands magiciens réussissent leurs tours les plus incroyables ? Comment font-ils pour faire disparaître la Statue de la Liberté, se couper en deux ou léviter dans les airs ? Eh bien accrochez-vous, parce que tous ces secrets vont être révélés en seulement 8 minutes chrono !

Dans une vidéo aussi instructive que divertissante, le YouTuber The Paint Explainer nous emmène dans les coulisses de la magie. Tel un Morpheus de l’illusion, il nous propose de prendre la pilule rouge et de découvrir la vérité derrière les plus grands tours.

On commence en beauté avec la disparition de la Statue de la Liberté par le grand Copperfield. Le truc ? Un savant jeu de rideaux et une plateforme tournante qui cache discrètement la statue derrière un pilier. Simple, mais terriblement efficace ! On enchaîne avec l’illusion des lasers qui coupent le corps de David en deux. En réalité, notre cher David a surtout un talent incroyable pour se mettre dans des positions improbables et cacher une paire de fausses jambes devant lui. Un vrai contorsionniste de la manipulation !

Mais le meilleur reste à venir. Que diriez-vous d’attraper une balle de revolver avec les dents ? Évidemment, il n’est pas question de vraies balles ici. Le pistolet tire à blanc et le magicien, dans un tour de passe-passe digne de Lucky Luke, glisse subtilement la balle marquée qu’il avait en main dans sa bouche. Et on pourrait continuer comme ça pendant des heures. La femme coupée en trois ? Une question de placement de lames et de contorsion. La lévitation ? Des fils invisibles et beaucoup de dextérité. La liste est longue et les astuces toujours plus ingénieuses.

Mais au-delà de la révélation des secrets, ce que cette vidéo nous montre, c’est l’incroyable inventivité et la rigueur des magiciens. Chaque tour demande des heures de préparation, de répétition et une précision d’exécution à toute épreuve.

Alors certes, on perd peut-être un peu de la magie en découvrant l’envers du décor. Mais on gagne en admiration pour ces artistes qui nous font rêver et nous émerveillent avec des techniques somme toute très terrestres.

Et vous, quel est votre tour de magie préféré ? Celui qui vous laisse pantois à chaque fois, même en connaissant le secret ? Personnellement, j’ai un faible pour la femme coupée en trois. Un classique indémodable !

En tout cas, je vous invite à regarder cette vidéo si vous voulez découvrir tous les secrets de la magie. Mais attention, cela pourrait bien briser quelques rêves d’enfant ! Il paraît que quand on sait comment ça marche, on ne voit plus jamais un tour du même œil.

M’enfin, rassurez-vous, même en connaissant tous les rouages, il reste toujours une part de mystère et d’émerveillement, parce que la vraie magie, celle qui nous fait vibrer, ce n’est pas seulement une question de technique. C’est aussi et surtout la capacité à nous faire croire, l’espace d’un instant, que l’impossible est possible.

En attendant, amusez-vous bien et n’oubliez pas : un magicien ne révèle jamais ses secrets… sauf sur YouTube apparemment ! 😉

Source

Vous pensiez que vos secrets étaient en sécurité dans vos images Docker ? Détrompez-vous ! Une étude de l’Université d’Aix-la-Chapelle a révélé que près de 10% des images publiques sur DockerHub contenait des secrets (donc des identifiants, des clés API, des mots de passe, des endpoints sensibles…Etc).

Ça fait froid dans le dos.

On parle de plus de 50 000 clés d’API et d’identifiants accessibles publiquement. Et ce n’est que la partie émergée de l’iceberg puisque les chercheurs de Redhunt Labs ont aussi trouvé plus de 46 000 Dockerfiles exposant des infos sensibles. Bref, c’est la fête du slip côté sécurité !

Mais comment ces secrets se retrouvent-ils à fuiter comme une passoire ? Et bien c’est souvent, c’est à cause d’opérations de fichiers trop permissives, de secrets mis en dur dans les Dockerfiles…etc

Par exemple, beaucoup de tutos et même la doc officielle de Docker suggèrent d’utiliser COPY . . pour copier tout le répertoire courant dans l’image. Sauf que ça inclut aussi les fichiers sensibles comme .env ou l’historique Git. Pas top pour la confidentialité.

Et même si vous supprimez ces fichiers sensibles après le COPY, ils restent présents dans les couches précédentes de l’image. Un attaquant pourra donc toujours y accéder. Merci les layers 🙂

Autre coup classique : mettre directement les secrets dans le Dockerfile ou les passer en argument au build. Là encore, c’est cadeau pour les hackers. Un simple docker history --no-trunc et hop, vos secrets sont à nu.

Heureusement, il existe des solutions pour sécuriser tout ça. Par exemple, les builds multi-stages permettent d’isoler les secrets dans une étape intermédiaire qui ne sera pas conservée dans l’image finale. Et depuis peu, BuildKit propose une option --secret pour injecter les secrets sans les stocker dans l’image, mais attention aux pièges ! Si votre app log le secret qu’elle utilise, il finira quand même dans l’image. Les builds multi-stages restent donc plus safe de ce côté là.

Bref, vous l’aurez compris, la gestion des secrets dans Docker, c’est pas de la tarte mais en suivant les bonnes pratiques, vous pourrez limiter les risques.

Bref, pensez builds multi-stages, utilisez .dockerignore, oubliez les secrets en dur et n’abusez pas des arguments de build. Et surtout, ayez le réflexe d’auditer vos images avec des outils comme TruffleHog. Parce qu’un secret qui fuite, c’est votre réputation qui coule.

Vous connaissez le refrain, les mots de passe, c’est comme les slips sales, on ne les laisse pas traîner. Mais à l’ère du numérique, notre trousseau de mots de passe pèse lourd, très lourd.

Alors, que diriez-vous de confier ces précieux sésames à un gardien de confiance ? Ça tombe bien, KWalletManager est là pour ça.

C’est gratuit et vous n’êtes pas le produit

KWalletManager, c’est l’outil qu’on n’attendait pas, mais dont les linuxiens ne vont plus pouvoir se passer.

Son job ? Gérer vos mots de passe sur votre système KDE d’une main de fer. Cet outil utilise le framework de gestion de portefeuille de KDE et offre ainsi accès à un espace sécurisé où vos applications peuvent stocker leurs petits secrets chiffrés.

Là où KWallet fait mouche, c’est dans son intégration avec l’écosystème KDE. Il ne se contente pas de stocker vos mots de passe, il gère l’accès à toutes les applications compatibles. Par exemple, si vous souhaitez que votre client mail se souvienne de votre mot de passe ou stocker la phrase de passe de votre clé SSH, KWallet peut se mettre sur le coup.

Alors bien sûr comme de nombreux logiciels libres (et d’autres gestionnaires de mots de passe Linux), KWalletManager peut sembler austère au premier abord, mais c’est justement sa force. Pas de fioritures, pas de gadgets inutiles, juste un service essentiel : protéger vos mots de passe. Certains diront qu’il est brut de décoffrage, mais si ce que vous cherchez c’est un outil fiable sans chichis, vous êtes au bon endroit.

C’est simple

Là où d’autres gestionnaires de mots de passe vous bombardent de fonctionnalités, KWallet vous permettra de rester zen et sécurisé sans vous noyer dans les détails. Il fait ce qu’on lui demande et il le fait bien. Pas de générateur de mot de passe, pas de synchronisation, mais un service de chiffrement solide qui fait le job.

KWallet est donc un peu à l’ancienne, mais il y a une beauté dans cette simplicité ^^. Et pour ceux qui veulent un peu plus, des solutions comme Keepass sont souvent recommandées pour compléter l’arsenal de sécurité.

Conclusion

KWallet, c’est un peu comme ce vieux sage dans les films qui connaît tous les secrets, mais ne parle que lorsqu’on l’interroge. Il est là, intégré dans votre système KDE, veillant sur vos mots de passe sans vous enquiquiner. Pas d’extension, pas de fioriture… c’est fiable et discret. C’est en ça que KWallet a tout compris.

D’autres gestionnaires de mots de passe pour Linux :

• Gnome Keyring
• GNOME Password Safe