Mozilla oblige ses développeurs d’extension à passer à la double authentification

Featured

Cette nouvelle règle entrera en vigueur à partir de l’année prochaine, en 2020 et vise à sécuriser l’écosystème d’extensions de Firefox.

Mozilla a annoncé cette semaine que tous les développeurs de modules complémentaires Firefox devront activer une solution d’authentification à deux facteurs (2FA) pour leur compte.

« À partir du début de 2020, les développeurs d’extensions devront activer l’authentification à double facteur sur AMO [addons.mozilla.org, le portail d’extensions de Mozilla] », a déclaré Caitlin Neiman, Community Manager des modules complémentaires de Mozilla.

« Cette mesure est destinée à empêcher les acteurs malveillants de prendre le contrôle des modules complémentaires légitimes et de leurs utilisateurs », a ajouté Neiman.

Lorsque cela se produit, les pirates peuvent utiliser les comptes compromis des développeurs pour envoyer des mises à jour corrompues aux utilisateurs de Firefox au travers des extensions.

Étant donné que les modules complémentaires de Firefox ont une position assez privilégiée dans le navigateur, un attaquant peut utiliser un module complémentaire compromis pour voler des mots de passe, des cookies d’authentification/session, espionner les habitudes de navigation d’un utilisateur ou rediriger les utilisateurs vers des pages de phishing ou des sites de téléchargement de logiciels malveillants.

Ces types d’incidents sont généralement appelés attaques sur la chaîne d’approvisionnement.

Lorsqu’elles se produisent, les utilisateurs finaux n’ont aucun moyen de détecter si une mise à jour complémentaire est malveillante ou non, en particulier lorsqu’une mise à jour corrompue provient du store Mozilla AMO officiel – une source considérée comme sécurisée par tous les utilisateurs de Firefox.

Mieux vaut prévenir que guérir

La décision de Mozilla est la meilleure mesure que le fabricant de navigateurs aurait pu prendre pour éviter de futurs incidents de ce type.

Bien qu’il n’y ait eu aucun cas connu de détournements de compte AMO pour les modules complémentaires de Firefox ces dernières années, de nombreux cas ont été constatés sur Chrome.

Les développeurs d’extensions Chrome sont soumis à un flot constant d’e-mails de phishing via lesquels les pirates tentent d’accéder à leurs comptes Chrome Web Store. ZDNet a documenté une de ces campagnes de phishing de masse contre les développeurs d’extensions Chrome l’année dernière, mais elles se poursuivent encore aujourd’hui.

Ces attaques ciblent principalement les développeurs d’extensions Chrome en raison de la part de marché du navigateur Chrome, actuellement évaluée entre 65 % et 70 %. Firefox, avec seulement 10%, est très probablement une cible moins attrayante pour les groupes criminels. Il est cependant louable de voir Mozilla prendre des mesures préventives.

Source : ZDNet.com

KDEConnect pour Android, mais aussi pour les smartphones Linux

Featured

La nouvelle version de KDEConnect n’est plus limitée à Android. Elle permet de communiquer avec un smartphone Linux.

C’est quoi KDE Connect ?

KDE Connect est une application KDE permettant de créer une connexion entre un smartphone et un bureau Linux doté de KDE, sans câble. L’application
KDE Connect permet de créer une connexion entre votre smartphone et votre bureau Linux, le tout sans fil.

Ses fonctions principales :
Recevoir les notifications de son smartphone sur l’écran de l’ordinateur ;
Partager des adresses internet (URL) ;
Transférer des fichiers ;
Répondre aux messages ;
Contrôler la musique de son ordinateur ou le niveau sonore depuis le téléphone ;
Utiliser le smartphone comme télécommande pour l’ordinateur de bureau ;
Vérifier le niveau de la batterie ;
Savoir où se trouve son téléphone (sonnerie) ;
Partager des fichiers avec d’autres appareils ;
Parcourir le contenu du téléphone depuis un ordinateur ;
Lancer un certain nombre de commandes.

KDE Connect : Android et Linux

Une application de messagerie SMS

La dernière version estampillée « décembre 2019 » permet de bénéficier d’une interface propre aux SMS. On y retrouve l’historique des conversations. Il est ainsi possible de recevoir et de lire les messages, mais aussi d’y répondre. À l’image de ce que propose Apple avec Message sur macOS.

Compatibilité avec les smartphones Linux

C’est bien naturel, mais il fallait créer les conditions pour le faire. Les ordinateurs et smartphones Linux – comme les Librem 5 et PinePhone – peuvent désormais communiquer, grâce à une nouvelle interface basée sur Kirigami.

Tout comme pour Android, les fonctions vont du contrôle média à la télécommande en passant par le transfert de fichiers, les commandes Linux et la possibilité de faire sonner son téléphone s’il est égaré.

Liens

La page KDEConnect
L’application Android (et sur F-Droid).

Source toolinux.com

Firefox 71 active le picture-in-picture sous Windows, 1 000 milliards de traqueurs bloqués

Featured

Firefox 71 est désormais disponible au téléchargement pour l’ensemble des utilisateurs sous Linux, macOS et Windows, sous forme de mise à jour depuis le navigateur ou de téléchargement depuis le site officiel.

Les nouveautés sont encore une fois assez nombreuses, et certaines sont particulièrement bienvenues. Notamment sous Windows, où le mode picture-in-picture est activé par défaut.

Il est donc possible de « sortir » n’importe quelle vidéo dans une fenêtre dédiée, qui reste toujours au premier plan. Le contrôle s’affiche à droite de la vidéo au survol de la souris. Le fonctionnement est le même que dans Opera, qui propose la fonction depuis longtemps. La fenêtre peut être fermée ou réintégrée dans Firefox, et possède son propre bouton de lecture/pause.

Les utilisateurs sous Linux et macOS n’auront pas trop longtemps à attendre, Mozilla prévoyant le déploiement du mode pip dans Firefox 72, prévu pour le 7 janvier.

On note également un gros changement pour la page about:config, intégralement refaite en HTML, un panneau d’informations plus complet pour les détails du certificat de sécurité et l’arrivée du mode kiosque pour les entreprises, qui permet d’afficher un site en masquant les éléments d’interface.

Parmi les autres nouveautés, signalons la reconnaissance par Lockwise (voir notre article) des sous-domaines et le remplissage automatique des identifiants concernés, une prise en charge des alertes Monitor par les lecteurs d’écran, des notifications quand des mineurs de cryptomonnaie sont détectés et l’accès à la liste des traqueurs bloqués pour le site en cours via le bouton bouclier à gauche de l’écran.

Firefox 71 corrige enfin douze failles de sécurité, dont sept sont considérées de dangerosité haute. Il y a donc tout intérêt à mettre à jour rapidement.

Notez que dans un billet de blog séparé, Firefox fait un point sur sa protection intégrée pour la vie privée. La fondation annonce avoir bloqué plus de 1 000 milliards de traqueurs depuis son activation en juillet dernier.

Télécharger Firefox 71

Source nextinpact.com

Mozilla exclut quatre extensions Firefox d’Avast et AVG

Featured

La Fondation Mozilla dit avoir reçu des informations “crédibles” selon lesquelles ces extensions collecteraient des données personnelles et des historiques de navigation.

Avast Online Security, AVG Online Security, Avast SafePrice et AVG SafePrice. Ces quatre extensions Firefox ont été bannies par Mozilla au motif qu’elles ponctionneraient des données utilisateurs ainsi que des historiques de navigation. La Fondation Mozilla a pris cette décision sur la foi d’un rapport de Wladimir Palant, le créateur de l’extension Adblock Plus. Il a découvert que les extensions incriminées récoltaient bien plus de données qu’il ne leur en fallait pour fonctionner.

La collecte de l’historique de navigation est une pratique prohibée par Mozilla mais aussi Google. Or, Wladimir Palant dit avoir constaté que les deux extensions Avast (avertissent lorsque vous naviguez vers des sites malveillants ou suspects connus) ainsi que les deux extensions AVG (comparateurs de prix, coupons de réduction) sont toujours disponible sur le Chrome Web Store. Selon lui, “Les extensions n’ont été retirées du Chrome Web Store qu’après une couverture médiatique considérable”. D’où sa démarche publique pour attirer l’attention et obtenir le retrait de ces extensions trop intrusives. (Eureka Presse).

Source zdnet.fr

Allemagne : la CDU veut donner la priorité au logiciel libre

Featured

Le logiciel libre est une arme anti-GAFAM et un outil permettant de stimuler la concurrence en Allemagne. Le parti CDU tient à en faire une priorité stratégique et politique. Satisfecit de la FSFE.

Lors de sa dernière convention, qui se tenait à Leipzig fin novembre, la CDU (démocrates chrétiens) a annoncé sa volonté de rendre accessible au public tout développement de logiciel réalisé avec des fonds publics. Traduction : des API à la fois ouvertes et libres pour faciliter le développement tiers.

L’idée de la formation politique d’Angela Merkel est de donner la priorité aux logiciels libres et aux standards ouverts dans le processus de numérisation de l’État allemand. L’attribution des contrats et des financements publics devrait être, selon la CDU, soumise à l’acceptation et au respect des principes du logiciel libre et des normes ouvertes.

L’idée défendue est celle d’une stimulation saine de la concurrence entre les éditeurs d’applications pour défier les principaux acteurs du domaine, allusion à peine voilée aux GAFAM contre lesquels l’Allemagne mène un lent combat de résistance. Il passe par exemple par l’adoption de solutions de cloud souveraines pour les différents niveaux de pouvoirs. Des solutions basées, notamment, sur le nuage Nextcloud.

Dans un communiqué, la FSF Europe salue cette volonté politique affichée et la soutient, rappelant par ailleurs l’existence de sa campagne « Public Money, Public Code » (argent public, code public).

Source toolinux.com

Gaël Duval, l’adepte de Linux qui veut libérer les smartphones

Featured

Face au duopole de Google et d’Apple sur les systèmes d’exploitation mobiles, ce Normand développe «/e/», un système d’exploitation affranchi des Gafam.

 

Pour rencontrer Gaël Duval, aucune adresse n’est spécifiée, aucun bureau, aucun espace de coworking. De son propre aveu, son lieu de travail, « c’est Internet ». Depuis son entrée à la fac dans les années 1990, toute la carrière de ce Normand de naissance s’est structurée autour de l’informatique. De ses premiers émois numériques, il a gardé des valeurs chères à de nombreux acteurs des débuts du Web : l’échange, l’accessibilité au plus grand nombre, la transparence.

Des idéaux que l’on retrouve dans son dernier projet en date, «/e/» (à prononcer « i »), un système d’exploitation (OS) pour mobile conçu pour garantir le respect de la vie privée de ses utilisateurs. Le but : proposer une solution de rechange solide aux deux systèmes d’exploitation pour mobile les plus utilisés au monde, Android (Google) et iOS (Apple), à l’heure où la défiance envers les grands empires du numérique ne cesse de gonfler.

Une passion de jeunesse pour les machines

Pour les connaisseurs, Gaël Duval est avant tout derrière l’une des premières distributions Linux « grand public » : Mandrake, lancée en juillet 1998. Mais sa passion pour les machines est largement antérieure. Dès 1983, il bidouillait quelques modestes programmes sur son premier micro-ordinateur, un Laser 200. Un engin rudimentaire, dépourvu de mémoire et d’interface graphique, mais qui provoque un choc chez le gamin seulement âgé de 10 ans.

« Un micro-ordinateur, c’est un truc qu’on ne voyait que dans les films ou les séries » Gaël Duval

Il grandit en dévorant les revues spécialisées fournies par Alfred, son grand-père, qui s’intéresse lui aussi à cette technologie balbutiante. Il y découvre des personnalités encore peu connues à l’époque, comme Steve Jobs ou Bill Gates. « C’était hyperexcitant », se souvient-il. « J’avais l’impression d’appartenir à une famille d’initiés. Un micro-ordinateur, c’est un truc qu’on ne voyait que dans les films ou les séries. »

Le second choc survient en 1990, alors qu’il accompagne un ami anglais dans le laboratoire de son père astrophysicien, à Cambridge. Il y assiste à un événement aussi inhabituel pour l’époque que banal de nos jours : l’envoi d’un e-mail. La possibilité de communiquer avec le monde entier lui fait tourner la tête.

Mandrake, une envie pressante d’entreprendre

C’est finalement pendant une licence en informatique qu’il découvre le système d’exploitation libre Linux, alors que Windows 95 commence à prendre une place importante dans les foyers. Avec son adaptabilité aux besoins de chacun, le noyau développé par Linus Torvalds séduit le jeune passionné d’interfaces graphiques.

« Je trouvais les produits de Microsoft inintéressants » Gaël Duval

Un choix plus pratique que politique selon lui : « Je trouvais les produits de Microsoft inintéressants ». Poussé par une envie pressante d’entreprendre, Gaël Duval entend démocratiser cet outil jusque-là surtout réservé aux bidouilleurs et développe Mandrake.

Dans un premier temps, ça ne prend pas du tout. Mais un court billet publié quelques semaines plus tard sur le site américain Slashdot va changer la donne. « Je suis parti en vacances deux semaines à Marseille », se souvient-il. « Un ami linuxien m’a contacté et m’a conseillé de trouver un moyen de vérifier mes mails. A mon retour, ma boîte contenait 350 messages. »

Choix stratégiques hasardeux

Six mois plus tard, en janvier 1999, Gaël Duval cofonde la société MandrakeSoft avec Frédéric Bastok et Jacques Le Marois. Ce dernier se souvient de débuts « folkloriques », livrant lui-même « des CD gravés à la main dans des enseignes spécialisées, comme Surcouf, dans le 10e arrondissement de Paris, à vélo ».

Mais en l’espace de quelques mois, les levées de fonds se multiplient, les partenariats commerciaux se mettent en place dans le monde entier et 150 salariés sont recrutés. Mandrake devient la distribution pour ordinateur de référence pour Linux.

« Avant Mandrake, je trouvais Linux et le logiciel libre passionnants en théorie, mais difficile dans la pratique », témoigne Alexis Kauffmann, qui cofondera plus tard l’association « libriste » Framasoft. « C’est cet outil qui a permis à des gens comme moi, non geek, simple prof de maths intéressé par les nouvelles technos, de découvrir et d’utiliser Linux pour la première fois. L’installation était considérablement simplifiée, il tournait sur davantage d’ordinateurs et s’ouvrait sur un environnement graphique ressemblant à Windows. »

L’aventure Mandrake – devenu entre-temps Mandriva à la suite d’un procès mal négocié – se conclut en 2006 pour Gaël Duval. Minée par une gestion financière et des choix stratégiques hasardeux, la société doit réduire les coûts et se sépare de nombreux salariés, y compris de son cofondateur.

« La solution que tout le monde attendait »

Dans les années 2010, l’idée d’«/e/» vient à Gaël Duval avec en toile de fond les révélations d’Edward Snowden sur la surveillance numérique et la mise au premier plan du débat sur la protection des données personnelles. « J’avais aussi remarqué à titre personnel que je glissais de plus en plus du monde du libre vers le propriétaire, sans même m’en rendre compte », analyse-t-il :

« J’utilisais des outils Google, très pratiques, j’étais passé de Linux à Mac, j’avais un iPhone depuis 2007… Et un jour, lors d’une réunion de famille, j’ai pris mon père en photo avec son téléphone Android, qui lui a ensuite envoyé une notification pour avoir son avis sur le restaurant dans lequel on était. Je me suis dit “ce n’est pas possible, il y a quelque chose qui ne va pas”. »

Gaël Duval veut passer à l’action. En résulte l’« e Foundation », qu’il préside, dédiée à la diffusion d’un système d’exploitation open source pour appareils mobiles, qui met l’accent sur la protection de la vie privée de ses utilisateurs. La fondation compte une trentaine de collaborateurs, dont 25 indépendants à travers le monde, ainsi que de nombreux volontaires.

Pour son ancien collaborateur Jacques Le Marois, «/e/» est le fruit d’un cheminement similaire à Mandrake : « L’idée géniale de Gaël a été de créer la solution que tout le monde attendait. Il est simplement en train d’appliquer le même modèle sur le marché des OS mobiles. »

Aujourd’hui, «/e/» est toujours en version bêta depuis son lancement, en septembre  2018. L’OS ne compte aujourd’hui que 2 000 utilisateurs quotidiens, même s’il tourne sur 85 modèles. Le système n’étant pas encore stable, Gaël Duval ne vise pour le moment pas une clientèle grand public, mais invite déjà les personnes « sensibles à la protection des données personnelles, au développement durable et à tous ces enjeux colossaux » à lui donner une chance.

« Si tu ne peux pas utiliser Spotify ou Waze, c’est foutu »

Face au poids écrasant d’Android et d’iOS, le pari ne sera pas simple à réaliser. Avant «/e/», d’autres tentatives similaires ont déjà vu le jour : Firefox OS, Ubuntu Touch ou encore Tizen se sont cassé les dents.

L’erreur de ces projets, selon Gaël Duval : le manque d’applications disponibles. « Tu peux faire un OS plus léger qu’Android, plus fluide… Mais si tu ne peux pas utiliser Spotify ou Waze, c’est foutu. » Pour le moment, «/e/» étant basé sur Lineage, un système d’exploitation lui-même dérivé d’Android, les applications proposées sont celles qui existent déjà dans le Play Store (le catalogue d’applications d’Android). Elles sont cependant agrémentées d’un système de notation en fonction de leurs pratiques en matière de données personnelles.

Le problème est donc contourné… pour le moment. A terme, si l’OS gagne en popularité, les éditeurs d’applications pourraient bien se pencher sur ce système, et demander à ce que les applications redistribuées à partir du Play Store soient enlevées du catalogue de téléchargement d’«/e/». Il s’agit là du « plus gros enjeu du projet », estime M. Duval. Plusieurs voies de secours sont d’ores et déjà étudiées, notamment la mise en place d’accords avec les éditeurs, ou le recours aux applications Web, fonctionnant directement à travers un navigateur.

Source lemonde.fr

Sauvons le .org !

Featured

L’April soutient la lettre ouverte demandant de stopper la vente de Public Interest Registry (PIR), organisme sans but lucratif qui gère le domaine internet « .org », à un fonds d’investissement privé (Ethos Capital).

Le domaine « .org » concerne avant tout les organisations à but non lucratif. Il est utilisé par exemple par la Free Software Foundation (FSF), l’Electronic Frontier Foundation (EFF), Wikipédia, Internet Archive, Framasoft, Creative Commons, LinuxFr.org et bien sûr, l’April.

Ce domaine est géré par une organisation sans but lucratif Public Interest Registry (PIR), détenue par l’Internet Society. PIR va désormais appartenir à un fonds d’investissement privé (Ethos Capital), si ce changement est validé début 2020.

Ce changement suscite d’importantes craintes, en termes de coût d’une part (le tarif d’enregistrement d’un sous-domaine en « .org » était plafonné jusqu’à récemment), mais aussi en termes de risques de censure. L’EFF a lancé une campagne « Save .ORG » pour expliquer les dangers d’un tel changement et pour demander l’annulation de la vente de PIR à Ethos Capital. La campagne prend la forme d’une lettre adressée à Andrew Sullivan président de l’Internet Society. Nous vous encourageons à co-signer la lettre.

Lire et co-signer la lettre ouverte

Pour en savoir plus (en français) :

« .org » : l’un des plus vieux domaines du net en danger ?

Que va changer la vente de l’extension de nom de domaine .org à un fonds privé?

Sauvez le .org !

Source april.org

Le noyau Linux 5.4 est disponible, quoi de neuf ?

Featured

Linus Torvalds vient d’annoncer disponibilité d’un noyau Linux 5.4. Présentée comme une version importante, il introduit de nouvelles fonctionnalités, renforce la sécurité et profite des pilotes mis à jour pour un meilleur support matériel.

Le noyau Linux 5.4 est en développement depuis plusieurs semaines. Il a bénéficié de plusieurs publications afin d’obtenir ce titre de Release Candidate. Sa sortie permet d’implémenter des nouveautés. Par exemple nous avons la prise en charge du système de fichiers exFAT de Microsoft. Elle est désormais intégrée au noyau afin de proposer le support en natif d’un périphérique de stockage formatés exFAT. En parallèle une fonction de verrouillage du noyau fait son apparition. Elle est proposée en tant que module de sécurité pour empêcher certaines applications d’avoir trop de liberté. Il s’agit d’une nouvelle couche de protection permettant d’exécuter un logiciel tout en bloquant certains acteurs malveillants.

Le noyau Linux 5.4 ajoute la prise en charge des GPU Navi 12 et 14, Arcturus et de l’APU Dali. De plus, le monitoring des températures des Ryzen 3000 est annoncé ainsi qu’un meilleur équilibrage de charge avec des CPU EPYC.

Noyau Linux 5.4, un peu de patience

Parmi les autres fonctionnalités nous pouvons citer la prise en charge des processeurs Intel Tiger Lake, du SoC Qualcomm Snapdragon 855, des SoC Intel Lightning Mountain, une gestion améliorée de la mémoire des applications sur Android et un nouveau pilote « virtio » (virtio-fs) dit « haute performance » pour le partage de fichiers entre hôtes et invités. A cela s’ajoute une fonction de sécurité nommée fs-verity pour la détection d’une falsification de fichiers.

Les sources du noyau Linux 5.4 peuvent être téléchargées dès maintenant sur kernel.org si vous souhaitez le compiler vous-même. Cette méthode est recommandée uniquement pour les utilisateurs avancés. Dans le cas contraire de la patience est nécessaire. Il faut attendre son arrivée dans les référentiels de logiciels stables des grandes distributions GNU / Linux.

A noter que ce noyau Linux 5.4 est une branche « principale». Bien que stable il est encore considéré comme une version « préliminaire » n’ayant pas tous les atouts pour un déploiement en masse.  Ceci aura lieu après la publication de la premiers version 5.4.x,. Ceci se produit généralement une ou deux semaine après la publication officielle de la branche principale.

Source ginjfo.com

Firefox 72 va vous débarrasser d’une des plaies du Web

Featured

La prochaine grosse mise à jour du navigateur Web de Mozilla, attendue pour 2020, pourrait bien ennuyer beaucoup de sites Internet qui proposent l’envoi de notifications aux personnes qui surfent sur leurs pages par le biais de fenêtres de dialogue.

« Souhaitez-vous recevoir des notifications de la part de notre site Web ? » Ce message, vous l’avez forcément vu s’afficher durant vos longues sessions de surf sur la Toile ces dernières années. Il apparaît sous forme de pop-up dès votre arrivée sur un site, généralement d’informations, en bas de l’écran. En toute innocence. C’est une pratique courante et légale que beaucoup de sites utilisent pour vous fidéliser, se rappeler à votre bon souvenir et vous prévenir lorsque du contenu tout frais vient d’être mis en ligne.

A lire aussi : Mozilla veut accélérer les sorties de Firefox dans le futur

C’est en réalisant une étude que les développeurs de Firefox ont compris que ces messages ennuient les utilisateurs. Ils répondent bien souvent (pour ne pas dire systématiquement) « Pas maintenant » à la question ci-dessus… jusqu’à leur prochaine visite si d’aventures leur choix n’a pas été conservé par le site ou le navigateur (cookie). C’est pourquoi Mozilla va proposer dans la prochaine grosse mise à jour de Firefox (la version 72) prévue pour le mois de janvier prochain de purement et simplement cacher ces pop-ups par défaut.

A lire aussi : Comment supprimer l’historique de saisie automatique sur Firefox et Google Chrome

Pour les faire réapparaître à l’écran, il faudra que l’utilisateur clique sur un petit logo en forme de bulle de dialogue, situé au niveau de la barre d’adresse (un peu comme pour activer le module Flash aujourd’hui) et indique au navigateur que, pour ce site, il souhaite voir les pop-ups s’afficher.

Télécharger Mozilla Firefox 70 pour Windows 32-bit
Télécharger Mozilla Firefox 70 pour Windows 64-bit
Télécharger Mozilla Firefox 70 pour macOS

A l’heure actuelle, si vous utilisez Firefox 70, les fenêtres de dialogue affichées par le navigateur ont remplacé l’option « Pas maintenant » par « Ne jamais autoriser » pour vous débarrasser définitivement des requêtes.

Source 01net.com