Vous utilisez un VPN ou Tor pour protéger votre vie privée en ligne et vous pensez être tranquille derrière votre petit tunnel chiffré ?

Que nenni les amis ! Car un chercheur vient de montrer qu'il existe une technique pour démasquer les proxies TCP... et ça concerne potentiellement votre VPN aussi. Du coup, même si vous faites tout bien, y'a quand même moyen de vous griller.

Le projet s'appelle Aroma et son principe est redoutable car au lieu de chercher à identifier votre IP ou analyser votre trafic, il se contente de mesurer le temps de réponse de vos paquets TCP. C'est un peu comme si on pouvait deviner que vous portez un déguisement de dinosaure gonflable juste en chronométrant le temps que vous mettez à venir répondre à la porte (vous avez l'image ?).

Car oui, le ratio entre le RTT minimum et le RTT lissé donne un score. Connexion directe ? Ratio entre 0.7 et 1. Proxy TCP ? Ça chute en dessous de 0.3. Et sous 0.1, c'est quasi certain que vous passez par un intermédiaire.

Bref, ça s'appuie sur un principe physique qu'on ne peut pas contourner qui est la vitesse de propagation dans la fibre. Un RTT de 4 millisecondes correspond à environ 400 km max en ligne droite. Ça permet de poser comme une borne théorique sur la distance réelle entre le serveur et son interlocuteur direct.

Et pour les utilisateurs de Tor, la nuance est importante car le site distant voit la connexion avec l'exit node, donc le RTT mesuré côté serveur reflète surtout le chemin serveur ↔ exit node, pas l'ensemble du circuit. Donc c'est OK mais si l'exit node lui-même passe par un proxy TCP, là ça peut poser problème.

Maintenant côté contre-mesures, j'avoue c'est pas simple car cette technique ne repose pas sur des listes d'IP connues ou du fingerprinting de navigateur, donc les méthodes habituelles ne servent à rien. Toutefois en théorie, un proxy physiquement très proche (moins de 1ms de latence ajoutée) pourrait passer sous le radar...

J'ai trouvé cet outil intéressant car ça montre que même avec les meilleures protections logicielles, y'a des contraintes physiques fondamentales qu'on ne peut pas contourner. La bonne nouvelle c'est que pour l'instant, Aroma reste un proof of concept que vous pouvez tester ici , mais bon, rien n'empêche un gouvernement autoritaire (ou pas) de pousser le curseur un peu plus loin...

Vous avez toujours voulu créer des workflows d’agents IA mais vous avez la flemme de coder tout ça à la main ? Hé bien y’a un projet open source qui va vous faire plaisir. Ça s’appelle Sim Studio et c’est une plateforme qui permet de construire des workflows d’agents IA de manière visuelle, un peu comme sur Figma.

Le principe c’est d’avoir un canvas sur lequel vous glissez-déposez des blocs : des LLMs, des outils, des connexions à des services tiers comme Slack, Gmail, Supabase ou Pinecone. Vous reliez tout ça avec des flèches et hop, vous avez votre workflow qui tourne. Pas besoin d’écrire une seule ligne de code si vous voulez pas.

Et le truc sympa c’est qu’il y a un Copilot intégré qui peut générer des nœuds, corriger les erreurs et améliorer vos flows directement à partir de langage naturel. Vous lui décrivez ce que vous voulez et il vous pond les blocs correspondants. Pratique pour les feignasses comme moi.

Côté fonctionnalités, c’est plutôt complet. Vous pouvez connecter différents modèles (des LLMs hébergés mais aussi des modèles locaux), brancher des bases de données vectorielles pour que vos agents puissent répondre à des questions basées sur vos propres documents, et contrôler finement comment chaque outil est utilisé.

Et une fois votre workflow prêt, vous avez plusieurs options pour le déployer. Soit vous le déclenchez manuellement, soit vous le transformez en API, soit vous le programmez pour qu’il tourne périodiquement. Y’a même moyen de le faire réagir à des webhooks, genre quand vous recevez un message Slack, ou de le déployer comme un chatbot standalone.

Le projet est backé par Y Combinator et ils annoncent déjà plus de 60 000 développeurs qui utilisent la plateforme. De plus, c’est SOC2 et HIPAA compliant, donc niveau sécurité c’est du sérieux pour ceux qui bossent dans des environnements exigeants.

Niveau déploiement, bien sûr, vous avez le choix. Soit vous utilisez leur version cloud sur sim.ai , soit vous self-hostez le bazar avec Docker Compose ou Kubernetes. Pour les paranos qui veulent garder le contrôle total sur leurs données, c’est possible de tout faire tourner en local avec Ollama.

Pour l’installer en local, c’est assez simple. Vous pouvez lancer directement avec npx simstudio ou passer par Docker. Niveau technos, le projet utilise Next.js, PostgreSQL avec pgvector, et ReactFlow pour l’éditeur visuel.

Bref, si vous cherchez un outil pour bricoler des workflows d’agents IA sans vous prendre la tête avec du code, c’est open source et gratuit .

Merci à Letsar pour la découverte !

Bonne nouvelle, les amis, Tor vient d’implémenter CGO (Counter Galois Onion) !

Si ça ne vous dit rien, c’est normal, moi non plus je ne connaissais pas, mais je vais tout vous expliquer !

Jusqu’à maintenant, le réseau Tor protégeait votre anonymat avec du chiffrement en oignon. Plusieurs couches de crypto, une par relais et ça marche bien… sauf qu’il existe une technique vicieuse qu’on appelle les attaques par tagging.

Le tagging c’est quand un attaquant modifie votre trafic chiffré à différents endroits du réseau (genre en ajoutant un marqueur invisible dans certains noeuds), puis il observe ce qui sort de l’autre côté pour vous tracer. C’est comme quand vous collez un traceur GPS dans votre voiture, sauf que là c’est des bits dans du trafic chiffré.

Et de son côté, CGO fait encore mieux que de bloquer cette attaque. En effet, il transforme chaque attaque en auto-sabotage ! Si quelqu’un modifie ne serait-ce qu’un seul bit de votre trafic chiffré, tout le message devient illisible. Et pas seulement ce message… tous les messages futurs de la session deviennent du bruit blanc irrécupérable.

Avec ça en place, l’attaquant se tire une balle dans le pied à chaque tentative.

Derrière ce système, il y a 4 cryptographes qui ont bossé très dur : Jean Paul Degabriele, Alessandro Melloni, Jean-Pierre Münch et Martijn Stam. Ils ont publié leur recherche cette année et ça a été implémenté dans Arti, la version Rust de Tor et l’implémentation C arrive bientôt.

Ce qui change tout, c’est le calcul risque/bénéfice pour les attaquants car avant, tenter de tracer quelqu’un avait peu de conséquences si ça échouait. Mais maintenant, tenter de tracer quelqu’un détruit définitivement votre capacité à surveiller cette personne. Et vous vous en doutez, les agences de surveillance détestent perdre leur accès… Elles préfèrent observer en silence plutôt que de tout casser dans une tentative maladroite. Du coup CGO les force à choisir. Soit rester invisibles, soit tout perdre.

Et puis il y a un autre aspect génial à cette techno, c’est le forward secrecy renforcé que ça engendre car à chaque message, CGO transforme les clés de chiffrement de façon irréversible. Même si un attaquant récupère vos clés actuelles, il ne peut pas déchiffrer les messages précédents car les clés précédentes ont été broyées et remplacées à chaque étape.

CGO remplace aussi l’ancien système d’authentification qui utilisait un digest de 4 bytes par un authenticateur de 16 bytes. C’est donc bien plus costaud et plus difficile à falsifier ainsi qu’à contourner.

Comme d’hab, Tor publie l’algorithme en open source donc vous pouvez vous plonger dans le code si ça vous amuse.

Cette implémentation de CGO est encore expérimentale pour le moment, mais une fois que cela aura été éprouvé par la communauté et testé pendant plusieurs mois, voire des années, ce sera déployé officiellement dans les futurs relais, puis dans les services onion de Tor.

Voilà donc comment Tor fait de chaque tentative de surveillance un auto-sabotage irréversible, et ça les amis, c’est un message qui devrait faire réfléchir pas mal de gens dans des bureaux sans fenêtres.

Source

Une fausse note militaire biélorusse dissimule une porte dérobée via Tor, rappelant les méthodes du groupe APT Sandworm....

Faille critique CVE-2025-8489 dans King Addons for Elementor : des pirates exploitent activement la vulnérabilité pour compromettre des sites WordPress.

BreachForums saisi. Scattered Spider maintient la pression. ZATAZ éclaire l’angle intégrations SaaS et les opérations françaises liées au forum....