An IPv6 can de divided into 3 pieces:

• 48 or more bits of network identifier (also known as the subscriber prefix)
• 16 or fewer bits of subnet identifier
• 64 bits of interface identifier

The RFC mentioned can be obsolete, but are kept up to date at
Using MAC adresses was flawed, and location data was too. The randomization defined in RFC 30411 was then refined in RFC 7217. Here comes the SLAAC protocol.

Steps:

1. Calculating a link-local address
2. Link-local Duplicate Address Detection (DAD)
3. Locating a router (by sending a Router Advertisement (RA) message)
4. Calculating a routable address

DHCPv6 (RFC 3315) solves also the domain name association with IPv6 while distributing additional information.

There is an address renegotiation to preserve privacy.

Slaac is vulnerable to RA spoofing, and DNS spoofing. The proposed solution is to use IPsec, but it's complicated to deploy. SEcure Neighbor Discovery introduced a dedicated cryptographic authentication protocol for network discovery.

Another potential issue is that a network device can respond with Neighbor Advertisement packets for every Neighbor Discovery it sees. This will effectively block any device from completing Duplicate Address Detection, hence blocking SLAAC from completing. Preventing this attack is a current research topic 1, 2, 3

Persona’s exposed code compares your selfie to watchlist photos using facial recognition, screens you against 14 categories of adverse media from mentions of terrorism to espionage, and tags reports with codenames from active intelligence programs consisting of public-private partnerships to combat online child exploitative material, cannabis trafficking, fentanyl trafficking, romance fraud, money laundering, and illegal wildlife trade.

Once a user verifies their identity with Persona, the software performs 269 distinct verification checks and scours the internet and government sources for potential matches, such as by matching your face to politically exposed persons (PEPs), and generating risk and similarity scores for each individual. IP addresses, browser fingerprints, device fingerprints, government ID numbers, phone numbers, names, faces, and even selfie backgrounds are analyzed and retained for up to three years.

We are cooked by this

Les captures montrent des accès à plusieurs outils internes de la Gendarmerie :

• Recrutement : gestion et consultation de dossiers de candidatures
• Gendform : plateformes de formation
• Oryx : outils de reconversion professionnelle

Les captures montrent également un accès au compte Keycloak du ministère, le système central qui gère l’authentification et les autorisations vers de nombreux services internes de l’État.

Ainsi qu'une capture d'écran au compte MindefConnect qui configure le 2FA aux applications.

Le risque principal n’est donc pas “des sites gouvernementaux hackés”, mais la compromission d’identités d’agents, susceptible de provoquer un effet domino sur des systèmes sensibles de l’État.

On December 12, 2025, PayPal identified that due to an error in its PayPal Working Capital ("PPWC") loan application, the PII of a small number of customers was exposed to unauthorized individuals during the timeframe of July 1, 2025 to December 13, 2025

The data breach involves 100 customers

AVIF est à préférer. Le codec est plus performant que VP9 (dans WebP) et H.264 (dans JPEG). La qualité de l'image est aussi meilleure (gammes de coloeur, divers espaces colorimétriques) et sans redevance. Le support d'AVIF n'est pas encore optimal pour les navigateurs, mais atteint Baseline 2024.

WebP est au contraire établi, avec ou sans perte.

Passer les PNG/JPEG qualité 90 à AVIF qualité 50 permet d'économiser au moins 75% de bande passante.

L'idée plus innovante est de compresser au préalable les ressources avant qu'elles soient utilisées.

[Précompresser avant de déployer] veut dire qu’on peut les compresser une seule fois, avec le niveau maximum, et demander à nginx de servir directement les fichiers pré-compressés. Zéro CPU à chaque requête, mais surtout un meilleur ratio au final, car on peut compresser plus fort.

En outre, Zopfli permet de compresser en .zip avec 3 à 8% d'efficacité en plus.

# Serve pre-compressed files generated at build time
gzip_static on;
brotli_static on;  # nécessite libnginx-mod-http-brotli-static

# Fallback pour les contenus non pré-compressés
gzip on;
gzip_vary on;
gzip_min_length 1024;
gzip_types text/plain text/css text/xml text/javascript
           application/javascript application/json
           application/xml image/svg+xml;

La compression Brotli permet de compresser à hauteur de 81% le HTML. La score des Web Core Vitals est passé de 70-85 à 99%.

Ce mercredi 18 févriers, une intrusion a permis l'accès à 1.2 millions de compte.

Another casualty of social media ban for kids.

Note that the social media affects is not wrong, but the "media" part of Facebook or TikTok: the platform decides what to show instead of a simple timeline.

Microsoft serves a AI diagram that is clearly plagiarism.

take someone's carefully crafted work, run it through a machine to wash off the fingerprints, and ship it as your own.

and a sloppy content compared to the original

On a appris que chaque commit devait être atomique, qu’il ne doit concerner qu’une seule chose, la plus petite possible, qu’il doit laisser le repository dans un état cohérent, sans test en échec, et qu’il doit avoir un message concis mais précis.

Ahaha excellent ces règles du git zen

1. Commitez quand vous voulez, quand vous pouvez, quand vous devez ⌚
   Suivez votre rythme, pas celui du code. Commitez quand vous êtes satisfait·e de ce que vous avez écrit, quand vous partez en pause déjeuner, quand vous devez passer sur un autre sujet, quand ça fait un moment que vous ne l’avez pas fait.
2. Merges uniquement 🔀
   Laissez tomber le rebase, laissez tomber le squash, mergez les branches quand elles doivent converger, point. Le rebase vous posera des pièges, sera plus exigeant, créera des conflits là où il n’y en a pas, sera plus risqué. Le merge ne vous trahira jamais.
3. Libérez les messages de commit 🗯️
   "pause café" est un message de commit parfaitement valide. "tous les tests passent !!!!" en est un autre. Si l’historique doit raconter une histoire, alors que ce soit la vôtre.
4. Nommez correctement vos branches 💾
   On interrompt la déconne au moment de nommer une branche. Peut-être que vous allez avoir plusieurs branches en cours dans votre espace de travail, que vous allez devoir jongler entre celles-ci. Leur donner des noms explicites vous aidera à ne pas être perdu·e.
5. Ne regardez jamais l’historique git 🙈
   Dédiez votre attention au présent, au futur, pas au passé.

C'est excellent que 2000 établissements sanitaires et médico-sociaux essaient de s'émanciper en développant leurs propres outils pour améliorer les services aux adhérents, rendre les offres de marchés plus lisibles et optimiser son organisation interne.

Le ministère de l'intérieur rejette les adresses email en @protonmail.com puisqu'elles sont considérées comme jetable? Et celle en gmail alors?

[Generated by AI]

The paper critically analyzes the security claims made by several widely-used cloud-based password managers that advertise “zero-knowledge encryption”. This is the property where the provider theoretically has no access to users’ plaintext passwords or vault contents.

The researchers assume a fully malicious server — that is, attackers who have complete control over the server infrastructure and can respond arbitrarily to client interactions. This is stronger than traditional models where attackers might only obtain stored encrypted data.

Three major password managers were analyzed: Bitwarden, LastPass, Dashlane. These services account for 10 millions of users (~23% market share).

The paper identifies multiple distinct attacks that break various security guarantees under the malicious-server model:

• 12 attacks against Bitwarden
• 7 against LastPass
• 6 against Dashlane

These range from integrity violations of specific user vaults to complete compromise of all vault data in an organization. Many of the identified attacks can lead to full recovery of stored passwords when the server behaves maliciously — undermining the advertised zero-knowledge guarantees.

The results highlight a broader point: cryptographic assurances depend heavily on threat models — in particular, whether the server can be fully malicious. If real zero-knowledge security under malicious servers is required, current designs may be insufficient.

Takeways:

• Users should be aware that “zero-knowledge encryption” may not be robust in server-compromise scenarios — even if it protects against passive breaches of encrypted data.
• The security of password managers still significantly improves over reusing passwords or storing passwords unencrypted — but the strongest claims require careful interpretation relative to rigorous threat models.

Murena Maps prend le contre-pied, car l’application fonctionne nativement en ligne avec les données OpenStreetMap. Elle offre une précision immédiate sans encombrer la mémoire du téléphone, tout en garantissant qu’aucune donnée de localisation n’est vendue à des tiers.