GIRARD Mathieu retweeted
If all the govs shutting down servers for a PHP update, all the hosters & enterprises terrified by the vuln, gave $100k, or just $50k a year to the PHP Foundation, things could look very differently. Go, make your employer sponsor *today* thephp.foundation/sponsor/ #php #phpc @ThePHPF
GIRARD Mathieu retweeted
Sinon, mon fidĂšle Diego ayant demandĂ© un Inception Made in France, voici. OĂč il est question d'une spĂ©cialitĂ© française.
đ€ Made with AI
GIRARD Mathieu retweeted
đš Un dĂ©veloppeur pense avoir dĂ©masquĂ© un faux recruteur utilisant un deepfake grĂące Ă une demande toute simple⊠« Montre-moi trois doigts devant ton visage. »
Pendant un prĂ©tendu entretien pour un projet blockchain, son interlocuteur lui demande de cloner un dĂ©pĂŽt GitHub et de lâexĂ©cuter sur son ordinateur avant de poursuivre lâentretien technique.
MĂ©fiant, le dĂ©veloppeur accepte mais demande dâabord au recruteur de lever trois doigts devant son visage.
Lâhomme se fige quelques secondes, lâappel se coupe puis le dĂ©veloppeur est bloquĂ©.
Il soupçonne alors lâutilisation dâun visage gĂ©nĂ©rĂ© ou modifiĂ© par IA.
Cette histoire illustre surtout une arnaque devenue particuliĂšrement dangereuse dans lâĂ©cosystĂšme crypto : de faux recruteurs approchent des dĂ©veloppeurs avec une offre crĂ©dible avant de leur demander dâexĂ©cuter un projet GitHub prĂ©tendument nĂ©cessaire au test technique.
Le dépÎt peut en réalité contenir un malware conçu pour voler mots de passe, clés privées, cookies ou accÚs aux wallets.
GIRARD Mathieu retweeted
Your #PHP project has an email for security reports and nobody can find it. đ
RFC 9116 fixes that with security.txt, a plain text file served over HTTPS at /.well-known/security.txt. Two required fields, that's ALL:
Contact: a mailto:, https:// or tel: URI.
Expires: an ISO 8601 date, so a stale file is obviously stale.
Two fields and a text file. That's the whole standard.
GIRARD Mathieu retweeted
#PHP 8.6 turns on three session settings that should have been default 20 years ago. đ
session.use_strict_mode goes from 0 to 1, so the engine REFUSES a session ID it never issued. That flag kills session fixation.
session.cookie_httponly goes to 1 and session.cookie_samesite becomes "Lax".
RFC session_security_defaults, by Jorg Adam Sowa. Custom handler? Implement validateId().
GIRARD Mathieu retweeted
Composer already audits your #PHP dependencies on EVERY install, update and require. đ
It reads composer.lock, asks the Packagist advisories API and reports the known CVEs for the exact versions you installed.
composer audit --format=summary turns it into something a CI job can gate on. --no-dev if only production matters.
You've been running it for years without reading the output.
GIRARD Mathieu retweeted
Il y a moins de 2 siĂšcles, les mĂ©decins tuaient jusquâĂ 1 femme sur 5 lors des accouchements.
Parce quâavant dâaider Ă donner la vie, ils cĂŽtoyaient de trop prĂšs la mort.
Ă lâhĂŽpital gĂ©nĂ©ral de Vienne, dans les annĂ©es 1840, la mortalitĂ© maternelle atteint des niveaux effrayants dans un des services dâobstĂ©trique, mais pas dans un autre.
Ignaz Semmelweis cherche Ă comprendre pourquoi.
Il finit par remarquer une diffĂ©rence dĂ©cisive : les mĂ©decins et les Ă©tudiants pratiquent des autopsies avant dâaller examiner les femmes enceintes.
Ils passent de la morgue à la maternité.
Sans se laver les mains.
Les bactĂ©ries nâont pas encore Ă©tĂ© dĂ©couvertes. Pasteur nâa pas encore dĂ©montrĂ© le rĂŽle des microbes.
Semmelweis ignore donc la nature exacte du danger.
Mais il comprend quâil vient des mains des mĂ©decins.
En 1847, il leur impose de les laver avec une solution de chlorure de chaux.
La mortalité maternelle, qui pouvait approcher 20 %, tombe sous les 2 %.
Cette histoire paraĂźt aujourdâhui presque incomprĂ©hensible parce que nous avons oubliĂ© le monde dont nous venons.
Une plaie pouvait tuer.
Une dent infectée pouvait tuer.
Un accouchement pouvait tuer.
Un verre dâeau pouvait tuer.
Puis sont arrivĂ©s les antiseptiques, lâassainissement, la chloration de lâeau, les vaccins, lâanesthĂ©sie, les antibiotiques et des milliers de mĂ©dicaments.
En 1900, lâespĂ©rance de vie mondiale Ă©tait dâenviron 31 ans.
Aujourdâhui, elle dĂ©passe 71 ans.
Bien sûr, la chimie a aussi produit ses erreurs et ses catastrophes.
Mais elle a participĂ© Ă lâune des transformations les plus extraordinaires de lâhistoire humaine : rendre exceptionnels les drames autrefois trop banals.
Le progrÚs possÚde cette étrange faiblesse :
lorsquâil rĂ©ussit vraiment, nous finissons par oublier le monde quâil a fait disparaĂźtre.
GIRARD Mathieu retweeted
Il y a 50 ans, les chimistes mesuraient couramment des concentrations de lâordre de la partie par million.
Aujourdâhui, ils atteignent la partie par trillion.
Ce progrĂšs vous paraĂźt abstrait ?
Il est vertigineux.
Une partie par million, câest une seconde sur douze jours.
Une partie par milliard, une seconde sur trente-deux ans.
Une partie par trillion, une seconde sur prĂšs de 32 000 ans.
Les humains ont construit des instruments capables de retrouver une seconde perdue depuis le dĂ©but de lâagriculture.
Puis ils ont commencĂ© Ă sâinquiĂ©ter de tout ce que ces instruments dĂ©couvraient.
PFAS dans lâeau.
Pesticides dans les cheveux.
Métaux dans le sang.
Résidus de médicaments dans les riviÚres.
La détection est réelle.
Le danger ne lâest pas nĂ©cessairement.
Car une machine répond à une seule question :
« Cette molécule est-elle présente ? »
Elle ne répond pas à :
« Cette quantité peut-elle provoquer un effet ? »
Cette seconde question exige la dose, la durĂ©e dâexposition, la voie dâentrĂ©e dans lâorganisme, le mĂ©tabolisme et la relation dose-effet.
Un verre dâeau contient environ 10ÂČâ” molĂ©cules.
Ă cette Ă©chelle, il contient statistiquement des molĂ©cules passĂ©es par NapolĂ©on, ClĂ©opĂątre, Jules CĂ©sar et presque tous les ĂȘtres vivants ayant existĂ©.
Cela ne transforme pas lâeau en dĂ©chet biologique.
Cela montre seulement quâĂ lâĂ©chelle molĂ©culaire, la puretĂ© absolue nâexiste pas.
MĂȘme lâeau devient toxique lorsquâon en boit plusieurs litres en quelques heures.
MĂȘme la toxine botulique devient un mĂ©dicament lorsquâelle est injectĂ©e localement Ă une dose prĂ©cisĂ©ment calculĂ©e.
La présence ne suffit donc jamais.
La molécule ne suffit pas non plus.
Le risque commence avec lâexposition.
Pourtant, une grande partie du débat public fonctionne encore ainsi :
détecté,
donc contaminé ;
contaminé,
donc dangereux ;
dangereux,
donc responsable.
Trois conclusions lĂ oĂč lâinstrument nâen avait fourni quâune.
Les humains disposent dĂ©sormais dâune capacitĂ© presque divine Ă observer lâinfiniment petit.
Ils doivent encore apprendre Ă ne pas confondre la puissance de leurs instruments avec lâampleur de la menace.
Car le progrĂšs scientifique ne consiste pas seulement Ă voir davantage.
Il consiste Ă comprendre ce que lâon voit.
GIRARD Mathieu retweeted
đšđ± LE PIĂGE ANTI-IA LE PLUS DIABOLIQUE
Un prof a piĂ©gĂ© ses Ă©tudiants qui trichaient avec lâIAâŠ
Il a cachĂ© du TEXTE BLANC invisible dans son sujet dâexamen.
Résultat ?
32 élÚves sur 35 se sont fait griller et ont échoué au partiel.
LâIA a tout recopié⊠y compris le texte invisible đ
Câest diabolique (et gĂ©nial).
We're partnering with @huggingface to investigate an unprecedented security incident.
Cyber-capable OpenAI models compromised Hugging Face production during a benchmark evaluation.
Sharing preliminary findings to help defenders understand emerging risks:
openai.com/index/hugging-facâŠ
GIRARD Mathieu retweeted
Here's what the Dev workflow looks like with the integration of our 2 autonomous agents.
- DevAgent, an Developer agent.
- Code Review Assistant, an assistant which is responsible to review.
GIRARD Mathieu retweeted
Coucou les gens.
Aujourd'hui je vais vous parler d'Alice. Alice c'est un pseudo, mais son histoire est tellement emblématique des arnaques qui détruisent des vies que je voulais vous la raconter.
Et surtout : j'ai besoin de vous.
Alice a la trentaine, vit en pleine campagne dans le département 50 (la Manche, du cÎté de Saint-LÎ). Elle bossait comme auxiliaire de vie chez les personnes ùgées. Pour ce métier, en zone rurale, vous devez avoir une voiture. C'est pas une option, c'est la base.
En novembre 2021, elle achÚte une bagnole d'occasion à un vendeur PRO situé dans le 57 (la Moselle, du cÎté de Metz). Vente à distance via Le Bon Coin, livraison à domicile. 8 900 balles. Pour elle, c'est un gros budget.
Une semaine aprÚs les premiers tours de roue : surchauffe, fumée du moteur, voyant rouge. Elle appelle le garage. "Pas de souci on vient récupérer la voiture pour réparer." Personne ne vient. Jamais.
Le garagiste de son ex-conjoint démonte le truc. Et là ... putain. L'expert judiciaire (parce que oui, l'affaire est allée au tribunal) constate qu'un produit anti-fuite avait été versé délibérément dans le circuit de refroidissement avant la vente. Pas un oubli. De la dissimulation active. Le moteur est mort. Le devis : remplacer le moteur. Plus cher que la voiture.
Bon, là , vous vous dites "elle a porté plainte, ça va se régler". Bah non.
Alice gagne au tribunal en avril 2024. Le juge tranche à 100% en sa faveur : résolution de la vente, 21 000 ⏠à lui rembourser. Champagne, fin de l'histoire ? Bah non.
A savoir, que l'avocat en question avait un délai de quatre mois pour déposer le dossier de créance auprÚs du mandataire chargée de cette derniÚre, mais ayant dépasser ce délai, Alice a du payer une somme en plus, pour demander auprÚs du tribunal le droit de la déposer quand meme, ce qui a retarder encore plus les choses et a couté encore plus cher de sa poche.
Parce que le garage a dĂ©posĂ© le bilan QUELQUES MOIS AVANT le jugement. Redressement judiciaire. Sa crĂ©ance est inscrite "Ă titre chirographaire" â pour ceux qui ne sont pas du mĂ©tier, ça veut dire qu'elle est tout en bas de la pile, derriĂšre le fisc, l'URSSAF, les salariĂ©s, les banques. Sur ce genre de dossier on rĂ©cupĂšre entre 0 et 5%. Sur 10 ans. Dix ans.
Pendant ce temps Alice :
a dû démissionner (pas de bagnole = pas d'auxiliaire de vie en zone rurale)
vit au RSA depuis (536 euros par mois)
a la voiture en panne sur son terrain, juridiquement bloquée, qu'elle ne peut ni vendre ni mettre à la casse, mais qu'elle doit continuer d'assurer
a un avocat qui lui répond invariablement "on ne peut rien faire, il faut attendre"
a tapé à toutes les portes : CAF, services sociaux, médiateurs, assoces, fonds de crédit social, protection juridique. Tout le monde lui a dit non.
Elle a mĂȘme saisi le SARVI (le fonds qui avance de l'argent aux victimes d'infractions). Refus catĂ©gorique : "Ce n'est pas une infraction, c'est juste du civil." Et c'est lĂ que ça devient intĂ©ressant.
Parce que justement, c'est une infraction. La dissimulation active d'un vice par un vendeur professionnel, c'est de la tromperie aggravée (L441-1 Code de la consommation) et probablement de l'escroquerie (313-1 Code pénal). Mais il faut une plainte pénale pour que ce soit qualifié comme tel, et personne ne l'a accompagnée là -dessus.
Perso je trouve cette histoire enrageante. Une jeune femme Ă qui on a refilĂ© une bagnole pourrie en sachant ce qu'on faisait, qui a tout fait dans les rĂšgles, qui a mĂȘme GAGNĂ son procĂšs, et qui se retrouve au RSA, sans vĂ©hicule, isolĂ©e, en se faisant balader par tout le systĂšme.
J'ai épluché son dossier. Il y a au moins quatre pistes à exploiter :
Plainte pénale pour débloquer le SARVI
Action en responsabilitĂ© personnelle du dirigeant (la "faute dĂ©tachable" â un truc bien connu mais peu utilisĂ© par les avocats gĂ©nĂ©ralistes)
Aide juridictionnelle totale (elle y a droit, on lui a fait croire que non)
Mobilité d'urgence : garage solidaire, cagnotte, don de bagnole
GIRARD Mathieu retweeted
Jâai revu cet extrait environ 200 fois en 2008 parce que je bossais comme assistant-Ă©talonneur sur le film. Il Ă©tait dĂ©jĂ sorti mais ils ont dĂ©cidĂ© de corriger lâĂ©talo pour de nouvelles copies 35 sur lâĂ©tĂ©.
Petit problĂšme : le champ Kad Merad et le contre-champ Bosso nâavaient
This Post is from an account that no longer exists. Learn more
GIRARD Mathieu retweeted
Jour 126, orbite 1954 â Lâos est un tissu vivant : pour rester solide, il a besoin dâĂȘtre soumis Ă la gravitĂ© qui sâexerce lorsque nous sommes debout, bougeons ou faisons de lâexercice. Sans cette stimulation, il sâaffaiblit rapidement â câest lâune des raisons pour lesquelles les astronautes font du sport pendant environ deux heures par jour. Mais ce nâest pas seulement un enjeu pour lâexploration spatiale : sur Terre aussi, le vieillissement, certaines maladies ou les blessures peuvent rĂ©duire ces sollicitations, fragilisant les os et rendant leur rĂ©paration plus difficile.
Ă bord de la Station spatiale internationale, lâexpĂ©rience commerciale GreenBone Ortho, soutenue par les programmes BASS et BSGN de lâESA, transforme ce dĂ©fi en opportunitĂ©. GreenBone Ortho teste b.Boneâą avec des cellules osseuses humaines en micropesanteur, oĂč la perte osseuse est beaucoup plus rapide. Ce biomatĂ©riau est porteur de rĂ©sultats prometteurs sur Terre chez des patients non atteints dâostĂ©oporose, et la Station permet dâĂ©valuer ses performances dans un environnement qui reproduit certains aspects clĂ©s de lâostĂ©oporose, avant une phase dâessais cliniques ciblĂ©s.
Câest un exemple parlant de ce que la recherche spatiale apporte : un moyen unique dâaller plus vite et dâouvrir la voie Ă de meilleurs thĂ©rapies pour les patients sur Terre. Vive la science !
đž @esa / @NASAÂ
#Δpsilon âąÂ @esaspaceflight âą @Space_Station âą @nasajohnson âą @ESA_fr âą @CNES
GIRARD Mathieu retweeted
Day 125, orbit 1938 â Many thanks to all of you following along on social media, and to all the incredible teams behind Δpsilon! Itâs been an amazing adventure so far, and I couldnât be more grateful for your support. Looking forward to sharing the second half of the journey with you all!
đ„ @esa / @NASA
#Δpsilon âąÂ @esaspaceflight âą @Space_Station âą @NASAJohnson
GIRARD Mathieu retweeted
Incroyable Sophie Adenot !!! Tellement Ă©mu par ce message. Merci merci merci đ @esa
GIRARD Mathieu retweeted
Today @weaverryan would be turning 42, to celebrate this spectacular guy's birthday I'd love it if you would go for a run/walk/bike today and think about him! And please share any photos of your time outdoors enjoying one of his passions <3
GIRARD Mathieu retweeted
Timing attacks are real, and most devs don't protect against them.
When you compare two strings with === or strcmp(), #PHP stops at the first different byte. If the first character matches, it takes slightly longer than if it doesn't.
An attacker can measure response times to guess a secret character by character. HMAC token, API key, CSRF token... byte by byte, statistically.
hash_equals() was added in PHP 5.6 specifically for this. It always compares ALL bytes, regardless of where the first mismatch is. Constant time.
Same applies to #golang: use crypto/subtle.ConstantTimeCompare().
Same in #nodejs: crypto.timingSafeEqual().
If you're comparing secrets with == or ===, you may be leaking information through time!






























