Diffusée via Cursor, la version 2.1.313 de Claude Code installait la clé SSH d’un attaquant et un tunnel persistant. Voici comment vérifier si vous êtes touché.
Le post Claude Code : une version piégée de l’extension a ouvert une porte dérobée SSH chez des utilisateurs de Cursor a été publié sur IT-Connect.
KB5127936 : menu contextuel personnalisable, Cloud rebuild, CLAT pour IPv6 et correctif Always On VPN. Voici l'essentiel de la mise à jour Windows 11 d'octobre.
Le post Windows 11 KB5127936 : beaucoup de changements et le menu contextuel devient personnalisable a été publié sur IT-Connect.
La course à l’IA pousse certains sous-traitants, principalement irlandais, à s’inspirer des méthodes managériales états-uniennes et à exploiter les travailleurs venus d’Europe de l’Est notamment, qui maîtrisent mal l’anglais, accumulant les accidents du travail.
Les « travailleurs du clic » sous-payés dans des pays pauvres pour entraîner les modèles de langage ne sont pas les seuls à être exploités et maltraités par leurs employeurs engagés dans la course à l’IA. Une enquête de cinq mois menée par Investigate Europe avec des médias partenaires dans neuf pays, dont Le Monde, révèle que, ces deux dernières années, les pratiques dangereuses se sont multipliées sur les chantiers de data centers dans plusieurs pays européens.
Il y est notamment question de trois accidents mortels, de nombreux cas d’électrocution, brûlures et blessures graves. Le recours aux sous-traitants, lui-même facilitant l’embauche de travailleurs étrangers, notamment roumains, y est pour beaucoup.
Pour construire ces centres de données, les entreprises de la tech et leurs sous-traitants de construction, « principalement irlandais, importent pour beaucoup sur le sol européen des pratiques américaines, souvent antisyndicales et au mépris des normes de travail locales », résume Le Monde.
« On observe une tendance similaire sur des sites partout en Europe », explique James McCabe, représentant régional de « Unite the Union », un syndicat irlandais et britannique regroupant plus de 1,2 million de salariés :
« Partout où nous avons rencontré des sous-traitants irlandais travaillant dans les centres de données de géants de la technologie, nous avons constaté un manque d’accès normal et effectif des syndicats, des difficultés à obtenir des informations, ainsi que de graves préoccupations concernant des infractions au droit du travail et l’exploitation des travailleurs. Partout. »
Certains travailleurs se voient ainsi contraints à devoir effectuer des heures supplémentaires, les poussant à l’erreur. D’autres ne sont pas déclarés, et ne bénéficient donc pas de la protection sociale à laquelle ils ont pourtant droit. Les instructions, en anglais, sont parfois mal transmises ou interprétées.
Les conditions de vie sur les chantiers sont elles aussi parfois déplorables. Dans un chantier de construction d’un centre de données pour Microsoft, en Suède, un Roumain est « tombé gravement malade », avant que ne lui soit diagnostiquée, après plusieurs passages à l’hôpital, une « tuberculose active ».
Il vivait en effet dans une unité modulaire où 14 hommes se partageaient une seule salle de bains, avec un trou condamné par des planches par lequel les rats se faufilaient depuis des mois, sans chauffage et avec un système de ventilation en panne.
Dès le 15 janvier 2027, Intune n’utilisera plus le CNAME EnterpriseEnrollment pour l’inscription Windows MDM-only. Qui est concerné et comment s’y préparer ?
Le post EnterpriseEnrollment : ce qui change pour l’inscription des postes Windows dans Intune a été publié sur IT-Connect.
Microsoft avait promis de remanier le menu contextuel de Windows 11 sur les fichiers. C’est désormais chose faite, avec la mise à jour KB5127936 disponible depuis peu en option. Ce qui signifie qu’elle n’apparaitra que si vous déclenchez une recherche volontaire de mise à jour dans Windows Update. Sinon, elle sera installée automatiquement le mois prochain.
Problème : comme toujours chez Microsoft, les nouvelles fonctions n’apparaissent pas tout de suite. Le nouveau menu contextuel est en cours de déploiement. Pour vérifier si vous l’avez après l’installation de la mise à jour, il suffit de vérifier en faisant un clic droit sur un fichier. Si c’est bien le nouveau menu, vous verrez une ligne « Personnaliser le menu » tout en bas. Il existe toutefois un moyen de forcer l’activation en passant par l’outil ViVeTool, dans un Terminal avec droits administrateur, via la commande :
vivetool /enable /id:60813048Sur certaines configurations, cet ID peut ne pas suffire. Auquel cas, il faudra tenter avec la fin de commande « /id:49453572,60813048 », voire « /id:49453572,60813048,61934903 ». Dans notre cas, la commande simple a suffi.
Après un redémarrage, vous aurez alors le nouveau menu. Le jeu en vaut-il la chandelle ? Tout dépend de votre utilisation du fameux menu. Le nouveau est clairement plus réactif, ce qui était un point régulier de friction jusqu’ici. Surtout, le menu est maintenant personnalisable. En cliquant sur le dernier élément du menu, le panneau idoine s’ouvre dans Paramètres.
Les options sont assez nombreuses. On peut voir notamment une ligne permettant de retrouver les options Couper/Copier/Coller en liste, et plus les icônes en tête de menu. Il aura donc fallu cinq ans à Microsoft à comprendre qu’un élément aussi basique que le menu contextuel doit être réactif, personnalisable et que l’on ne casse pas plusieurs décennies de mémoire musculaire impunément.
La mise à jour KB5127936 contient d’autres nouveautés, comme une fenêtre modernisée pour AutoPlay, un affichage plus cohérent pour les résultats de recherche dans l’Explorateur, une nouvelle Gaming Task View en mode Xbox, ou encore l’intronisation officielle de la réinstallation par le cloud, que Microsoft avait présentée en juillet.
Le PAM face aux identités non humaines : comment limiter les droits des agents IA et des comptes de service, et tracer leurs actions.
Le post Le PAM face au défi des identités non humaines a été publié sur IT-Connect.
Intel, Amazon, Google : les trois entreprises souffrent en Bourse avec des reculs prononcés. L’action d’Intel en particulier dévisse de quasiment 30 % à Wall Street. Coup de semonce passager ou explosion de la bulle ?
Plus dure sera la chute pour Intel. En Bourse, la baisse de l’action du groupe flirte actuellement avec les 30 %. Celle d’Amazon est de 2 %. Ce jeudi 29 octobre, Alphabet a lâché 13 %, soit environ 500 milliards de dollars de capitalisation – le pire recul depuis janvier 2025 et le dégonflage de 595 milliards de NVIDIA.
La facture colossale de l’IA inquiète les investisseurs, mais les raisons de ces sanctions boursières diffèrent d’un groupe à l’autre. Intel paie surtout des prévisions médiocres pour le 4ᵉ trimestre, avec un chiffre d’affaires attendu de 15,5 milliards de dollars (contre 16,5 milliards au 3ᵉ trimestre) et une marge brute en recul de 6,1 points, à 38 %. La situation sur le marché du PC est un gros point noir : la division essuie en effet un recul de 5 % sur un an et de 9 % par rapport au précédent trimestre.
Surtout, le groupe prévoit une baisse supplémentaire de plus de 20 % de cette activité au 4ᵉ trimestre. Sans surprise, la crise de la mémoire et les prix qui flambent désespèrent la demande, et la situation ne va pas s’arranger de sitôt. Pour le reste, la performance d’Intel pour le 3ᵉ trimestre demeure solide avec un chiffre d’affaires en progression de 20,9 % et un résultat opérationnel ajusté de 3,2 milliards.
Du côté d’Amazon, les investissements dans l’IA absorbent davantage de trésorerie que le groupe n’en génère. L’objectif pour l’année 2026 est toujours de dépenser 220 milliards de dollars dans les infrastructures (capex). Sur les douze mois terminés fin septembre, le flux de trésorerie disponible est négatif de 42,4 milliards, contre un positif de 14,8 milliards il y a un an.
Les activités d’Amazon ont bien généré de l’argent, mais les dépenses d’investissement ont dépassé ces rentrées de plus de 42 milliards de dollars sur douze mois. Cela ne signifie pas que ses comptes sont à découvert : le groupe doit financer cet écart en mobilisant ses réserves ou d’autres ressources. L’entreprise peut compter sur l’excellente santé d’AWS dont le chiffre d’affaires a progressé de 39,3 %, à 46 milliards de dollars.
Amazon Web Services représente 23 % des ventes du groupe (201,9 milliards), mais 63 % de son résultat opérationnel (17,8 milliards sur un total de 28,1 milliards sur le trimestre). La poule aux œufs d’or continuera de produire ses effets bénéfiques sur les résultats à venir d’Amazon ; Andy Jassy, le directeur général, prévoit une croissance d’AWS supérieure à 40 % en 2027 comme en 2028.
Les boursicoteurs ont sanctionné Google pour une raison similaire : une trésorerie disponible négative. Alphabet, la maison mère, a généré 42,3 milliards de dollars de trésorerie opérationnelle au 3ᵉ trimestre, mais elle a dépensé 51,4 milliards en investissements (majoritairement dans les infrastructures IA). Résultat : un flux de trésorerie disponible négatif de 9,1 milliards, après un déficit de 5,9 milliards au deuxième trimestre. Sur douze mois, l’indicateur reste cependant positif de 19,7 milliards, alors que celle d’Amazon est négative.
Dans le cas de Google, les investisseurs ont surtout sanctionné le fait que l’IA rapporte encore trop peu par rapport aux investissements.
Autre poids lourd qui a publié ses résultats trimestriels cette semaine : Microsoft. L’annonce de ces chiffres le 28 octobre au soir n’a pas provoqué de panique boursière le lendemain, l’action ayant terminé la séance presque à l’équilibre (−0,16 %).
L’entreprise a enregistré un chiffre d’affaires de 92,3 milliards de dollars (+ 19 %), pour un bénéfice net de 36,6 milliards (+ 32 %). Azure est le joyau de Microsoft avec une croissance du chiffre d’affaires de 48 %. En revanche, le vilain petit canard de la bande, en dehors de Xbox toujours dans le rouge, est l’activité Windows et appareils dont les revenus ont chuté de 22 %.
L’éditeur a généré 58 milliards de dollars de trésorerie opérationnelle et décaissé 39,4 milliards en investissements, soit deux fois plus qu’un an auparavant. Il lui reste donc un excédent de 18,6 milliards, un chiffre certes en baisse de 27 %. Prochains résultats très attendus : ceux de NVIDIA, programmés pour le 17 novembre.
On y verra alors un peu plus clair sur le marché de l’IA, mais pour le moment ces secousses peuvent difficilement être interprétées comme un signe sûr de l’éclatement de la bulle. Il s’agit surtout de sanctionner des résultats et des prévisions propres à chaque entreprise, sur des marchés qui s’emballent facilement dans un sens ou dans un autre.
Une version piégée de l’extension Claude Code pour Visual Studio Code a été distribuée le 29 octobre dans la boutique Cursor. Elle installait une porte dérobée SSH persistante. Même si le problème a été résolu, l’extension frelatée a été installée par environ 5 000 personnes et pose de nouveau la question des chaînes d’approvisionnement.
Dans la journée du 29 octobre, quelque part entre 10h27 et 21h35 (heure de Paris), une version vérolée de l’extension Claude Code pour VS Code a été distribuée dans la boutique de Cursor. Estampillée 2.1.313, elle est restée suffisamment de temps en ligne pour avoir été téléchargée. Les 5 000 personnes concernées sont actuellement contactées, a indiqué Cursor.
L’éditeur dit avoir supprimé la version, arrêté intégralement sa boutique d’extensions, audité les accès, renouvelé ses clés, reconstruit la boutique et fait mettre hors ligne le serveur de l’attaquant par son hébergeur. Les différents contrôles n’ont révélé aucune autre extension modifiée.
Le principal point flou dans cette histoire est que l’on ne sait pas exactement quand tout a commencé. Tout dépend de qui raconte l’incident.
Chez Phorion par exemple, l’attaque est présentée comme une compromission de la fiche officielle sur Open VSX, la marketplace ouverte de la Fondation Eclipse pour l’écosystème des éditeurs API compatibles avec VS Code. Phorion affirme également qu’Anthropic a retiré la version 2.1.313 d’Open VSX, de npm et même du Marketplace de Microsoft pour VS Code.
OpenSourceMalware, qui a publié la première analyse, indique que l’échantillon analysé provenait bien d’Open VSX. Le site en a déduit une diffusion par npm et le Marketplace de Microsoft en se basant sur un constat : la version 2.1.313 n’y figurait plus. Il précise que la provenance de l’artefact n’est pas établie et que ses conclusions ne prouvent pas une compromission de la distribution officielle d’Anthropic. Et pour cause, les retraits de npn et du Marketplace peuvent n’être qu’une mesure de sécurité, dans l’optique de supprimer toutes les versions 2.1.313 existantes. Problème, pour l’instant, ni Anthropic ni Microsoft n’ont réagi publiquement à l’incident.
Chez StepSecurity, on affirme que la compromission a commencé chez Open VSX avant d’être étendue à Cursor, puisque la boutique de ce dernier est un intermédiaire dont la base se synchronise avec le registre Open VSX. Les contrôles de sécurité appliqués sur ce dernier sont limités, avec un examen portant sur les motifs malveillants les plus connus. Ce qui signifie que l’extension vérolée aurait passé non seulement ces contrôles, mais également ceux de Cursor, plus poussés.
Illustration de ces incertitudes, The Hacker News a mis à jour son article pour indiquer que la compromission venait de Cursor seul. Pour cela, il faudrait que l’infrastructure propre à Cursor ait été compromise, ce que l’éditeur ne dit pas clairement. Cependant, le nombre d’actions entreprises pourrait aller dans ce sens, Cursor ayant renouvelé ses clés et reconstruit son magasin.
Si on ne sait pas comment tout a commencé ni qui est réellement concerné, on connait en revanche mieux le fonctionnement du code malveillant, les analyses de Phorion, OpenSourceMalware et Cursor s’accordant sur les détails.
L’extension contient ainsi un chargeur de 66 lignes, placé en tête du fichier extension.js. Il se lance dès le chargement du module, sans nécessiter d’action de l’utilisateur et donc avant même de lancer une conversation avec Claude. Ce chargeur ajoute une clé publique SSH liée à l’attaquant dans le dossier ~/.ssh/authorized_keys, pour lui donner un accès distant permanent sur l’ordinateur de la victime. La clé est étiquetée « svc-telemetry » pour paraitre anodine.
Le code vérifie ensuite que le service SSH est présent et actif. Dans le cas contraire, il tente de l’activer. Sur la plupart des Mac et PC sous Windows, l’étape échoue, non seulement faute de droits administrateur mais aussi car le code contient des erreurs. Sur Linux, le code réussit.
Le malware cherche ensuite à faire établir une connexion sortante vers le serveur de l’attaquant et à la maintenir ouverte. L’attaquant n’a alors plus qu’à emprunter ce tunnel en sens inverse pour atteindre la porte SSH et entrer avec sa clé privée, ouvrant la voie vers un terminal et la possibilité de lancer des commandes.
Le code installe aussi un petit script qui se relance à chaque démarrage de l’ordinateur et retente la connexion une fois par minute. Sur macOS, ce script se déguise en composant Apple (com.apple.sysmond), sur Windows en tâche Sysmon ou en script dans le dossier Démarrage, et sur Linux en tâche planifiée. La désinstallation de l’extension ne suffit donc pas. Le code envoie enfin une fiche descriptive de la machine avec nom de l’ordinateur, utilisateur, système, adresse IP publique, adresse électronique Git et dossier de travail.
Cette charge utile ne vole donc en elle-même aucune information cruciale, mais elle prépare le terrain. Le danger vient avant tout de ce que le pirate peut réaliser une fois la connexion établie via SSH.
La fiche de Cursor sur l’incident, publiée hier soir, mentionne uniquement des vérifications à faire pour macOS et Windows. L’éditeur ne le dit pas explicitement, mais il semble que Linux ne soit curieusement pas concerné, malgré les détails techniques allant pourtant dans ce sens.
Faute de script officiel, les analyses de Phorion et OpenSourceMalware présentent une série de commandes bash. Dans les trois cas cependant, si une preuve de compromission est détectée, il faudra effectuer plusieurs manipulations. Mais la recommandation est claire : réinstaller complètement la machine sera l’option la plus sûre.
Cursor indique dans son billet que les 5 000 personnes (environ) qui ont installé l’extension modifiée sont contactées pour être averties du problème.
Les lunettes connectées permettent d'enregistrer discrètement des vidéos, menaçant la vie privée des citoyens. Pourtant, des garde-fous existent dans l'UE.
![[MàJ] La taxe au gigaoctet emportée par le rejet du projet de loi de finances 2027](https://next.ink/wp-content/uploads/2024/02/Fibre1.webp "[MàJ] La taxe au gigaoctet emportée par le rejet du projet de loi de finances 2027")
Le Parti socialiste avait réussi à faire passer sa « taxe au gigaoctet » censée faire contribuer les géants du numérique à l’infrastructure française. Une taxe finalement rejetée lors du vote lapidaire du volet recettes du projet de loi de finances 2027.
Mise à jour du 5 novembre à 21h04. La partie recettes du projet de loi de finances 2027 a été rejetée à l’unanimité par l’Assemblée : 458 voix contre, aucune voix pour, pas même un député macroniste. Cette première partie n’ayant pas été adopté, c’est tout le texte qui est rejeté.
À l’AFP, le Premier ministre Sébastien Lecornu relativise : « C’est le scénario classique, puisque c’est ce qui se passe depuis trois exercices budgétaires, depuis l’automne 2024 ». Le texte proposé par le gouvernement avait été largement modifié par les députés avant le vote. Le projet de loi reste en piste, il sera examiné à partir du 20 novembre au Sénat, mais dans sa version initiale. Donc avant l’adoption surprise du fameux amendement sur la taxe au gigaoctet qui a fait tant parler.
Article original du 30 octobre. Cet été, le Parti socialiste a exposé son projet politique pour les prochaines années. Nous en avions détaillé le pan numérique qui incluait une taxe de 0,10 euro par gigaoctet distribué par les géants du numérique sur le territoire pour financer « l’infrastructure du réseau » français.
Dans une ambiance très incertaine sur le vote final de la loi de finances 2027, il semble avoir fait un pas symbolique dans ce sens. En effet, le député PS Laurent Lhardit avait déposé un amendement portant sur la création d’une taxe sur les producteurs de données numériques, qui a été adopté ce vendredi 30 octobre à l’Assemblée. Il a été voté dans un hémicycle quasiment vide : en effet, comme le relate le compte rendu de la session, seuls 35 députés étaient présents, 21 se sont exprimés et 11 ont voté pour.
Ce texte institue « une taxe assise sur les flux de données numériques émises par les fournisseurs de contenu et acquittée par ces derniers ».
Il demande aux fournisseurs d’accès à Internet « et toute entreprise proposant un service d’accès à internet aux ménages et entreprises » de mettre en place une procédure de collecte des quantités de données transitant vers leurs clients en identifiant l’émetteur de ces données. Cette collecte doit être faite, selon le texte, de façon anonymisée et consolidée. La procédure doit être supervisée par l’Arcep.
« Lorsqu’un émetteur de données utilise un réseau de diffusion de contenus visant à mettre en cache le contenu à proximité des utilisateurs finaux, la quantité de données émises est considérée égale à la somme des flux sortant du réseau de diffusion », ajoute le texte : « L’émetteur est redevable d’une taxe égale au produit de la somme des volumes de données produits et relevés par les fournisseurs d’accès à internet exprimés en gigaoctet et 0,055 euros ».
En séance, Laurent Lhardit a affirmé que « son rendement est estimé à 10 milliards d’euros. La taxe serait principalement acquittée par les géants mondialisés du numérique, puisqu’ils émettent l’immense majorité des flux adressés aux abonnés internet en France ».
Il a ajouté que cette taxe devrait rétablir une « équité fiscale entre l’économie implantée de nos commerces, qui souffrent tant aujourd’hui, et les géants du commerce en ligne, américains et asiatiques, qui échappent très largement à l’impôt si l’on considère la valeur financière qu’ils retirent de leurs activités sur le marché français ».
Le rapporteur général de la commission des finances, Philippe Juvin, a exprimé le désaccord de cette commission : « le risque est [que les GAFAM] répercutent le poids de cette taxe sur les annonceurs. Avis défavorable », affirmait-il.
Côté gouvernement, David Amiel a lui aussi exprimé un avis défavorable : « le dispositif que vous proposez obligerait à disposer de capteurs de flux, ou, à tout le moins, à mesurer ceux-ci au niveau des terminaux individuels de réception ». Il a aussi estimé que « la moitié de la taxe – soit tout de même 5 milliards d’euros selon votre proposition – ne pèserait pas sur les grandes entreprises du numérique mais sur des fournisseurs de contenus de plus petite taille, notamment sur des fournisseurs français ».
Reste que le futur de cette taxe est assez flou. En effet, il est peu probable qu’elle soit votée par le Sénat à majorité LR. De plus, il n’est pas certain que le budget soit lui-même voté par le parlement. La présidente de l’Assemblée nationale, Yaël Braun-Pivet, a d’ores et déjà appelé le Premier ministre, Sébastien Lecornu, à utiliser l’article 49.3 pour couper court aux débats, dans un entretien au Figaro ce mardi 27 octobre. Le gouvernement aurait tout le loisir de ne pas inclure cet amendement, même voté, au texte sur lequel il engagerait sa responsabilité.
Un hadron est une particule composite, composée de particules subatomiques régies par l'interaction forte, nous dit Wikipédia. Si cela vous fait penser à Proton, ce n’est peut-être pas parce qu’un proton est un hadron, mais parce que Hadron, comme Proton, promet de faire tourner vos jeux (et plus) n’importe où, même sur des systèmes terreux.
Vous connaissez peut-être Proton, l’assemblage de Wine et d’autres composants libres que Valve emploie pour faire tourner des jeux Windows sous Linux pour sa plate-forme Steam. Hadron propose la même chose pour macOS.
Des jeux Windows ? Sous macOS ? Quel est le 🌀️💀️⚡️⁉️ de rapport avec LinuxFr.org et son objectif de promotion des logiciels libres ? C’est parce que Hadron est construit de briques libres du sol au plafond : Wine, FEX, Mesa, vkd3d…
Le logiciel libre 7zFM pour Windows x86-64 s‘exécutant sur un Mac mini M1 sous macOS 27 sans utiliser Rosetta 2.
Le développement de Hadron est encore très jeune, confidentiel, mais très rapide et réactif. Votre serviteur a testé de faire tourner le jeu libre Unvanquished et a rencontré deux bugs (1, 2) qui ont tous deux été corrigés dans les deux jours (1, 2), et une nouvelle version incorporant les correctifs a été publiée sous cinq jours (1).
Les spéculations sur « qui est derrière Hadron » pourraient se tourner naturellement vers Valve, qui est le premier bénéficiaire économique d’un tel système, mais le README du projet Hadron est explicite : « It is unofficial. Hadron is not affiliated with or endorsed by Valve, Apple, CodeWeavers or any of the projects it builds on », « C’est un projet non officiel. Hadron n’est ni affilié à, ni approuvé par Valve, Apple, CodeWeavers ou l’un des projets sur lesquels il s’appuie ».
Il semble donc que Hadron soit simplement l’initiative de son auteur David Andrews (Broyojo), ni plus ni moins.
Au delà de la proximité de nom entre Hadron et Proton, Hadron reste délibérément focalisé sur Steam : la fenêtre qui s’affiche quand vous lancez Hadron ne sert qu’à intégrer Hadron à Steam, et les premières versions ne proposaient d’ailleurs pas d’option pour lancer un programme non-Steam (fonctionnalité ajoutée très rapidement en quelques jours aussi). Le but premier de Hadron est Steam, et quand vous rapportez un bug pour un jeu, il vous est demandé l’identifiant Steam de ce jeu (cet identifiant est heureusement optionnel).
En 2027, Apple sortira macOS 28 et à cette occasion, a prévu de drastiquement réduire l’étendue de la compatibilité Rosetta 2. Rosetta 2 est le système de traduction automatique qui permet de faire tourner des binaires amd64 (x86-64) sur arm64 (Apple Silicon ici, dans les macs « M »). Rosetta 2 a un 2 parce que Rosetta premier du nom s’occupait de traduire les binaires PowerPC vers Intel il y a très longtemps. Par commodité nous dirons simplement Rosetta au lieu de Rosetta 2 dans la suite de l’article.
Apple a annoncé que Rosetta ne sera plus disponible pour les applications, mais qu’ils conserveront une petite sous-partie prévue uniquement pour faire tourner des vieux jeux non maintenus s'appuyant sur des bibliothèques pour Intel (« we will keep a subset of Rosetta functionality aimed at supporting older unmaintained gaming titles, that rely on Intel-based frameworks » (source). C’est une affirmation super floue. Que restera-t-il de Rosetta ? Sur quoi pourra-t-on compter et ne pas compter ?
Pour Apple, décommissionner Rosetta a un intérêt : ne plus fournir toutes les bibliothèques systèmes en double, ne plus avoir à apporter de la maintenance et du code système pour l’architecture amd64, etc. Tout l’effort de migration vers arm64 est entièrement externalisé vers le développeur indépendant. Ça coûte très cher à l’échelle globale, mais rien du tout pour Apple, et leur clientèle est suffisamment captive pour que le développeur au milieu y soit contraint. Si un développeur échoue à porter son logiciel, le développeur perdra des ventes, mais pas nécessairement Apple. Ce n’est pas le problème d’Apple, surtout quand l’acquisition du logiciel a lieu probablement en dehors de leur marché. Ceci est d’autant plus vrai en dehors du jeu : un logiciel de production concurrent remplace facilement un autre s’il venait à disparaître.
Pour un consommateur de jeu, c’est insupportable : il ne veut pas perdre son jeu parce que le développeur ne le développe plus. Il y a un attachement affectif, le joueur y a investi une partie de sa vie, il peut être attaché à l’histoire, etc. Et si le jeu est encore développé, le joueur ne trouve pas d’intérêt à ce que le développeur se retrouve avec plus de travail qui ne lui apportera aucun changement en jeu. Rajouter gratuitement du travail au développeur de jeu n’apporte rien au joueur.
Et pour une plate-forme tierce de vente et de location de logiciels comme Steam et autre GOG GALAXY, c’est une catastrophe : si un développeur échoue à porter son logiciel, ou n’est plus disponible pour cette tâche, ce sont des ventes en moins pour le développeur et pour le vendeur. Un vendeur de jeux qui prend sa commission à chaque vente (et dont ce serait la première sinon la seule activité économique) a intérêt à ce que le moindre effort soit proposé aux développeurs de jeux.
Ne pas confondre avec le Grand collisionneur de hadrons ! L’architecture de Hadron est très différente, mais fait aussi se rencontrer plein de particules élémentaires libres pour observer des effets très intéressants.
Diagramme de l’architecture de Hadron, telle que décrite dans la documentation du projet.
Comme alternative à Rosetta pour traduire les instructions amd64 vers arm64 pour exécuter des logiciels, il existe au moins deux logiciels libres : FEX (dont le développement était initialement secrètement soutenu par Valve), et Box64 développé par notre ptitSeb national.
Ces deux logiciels libres ont été à la base développés pour s’exécuter sous Linux. Hadron a choisi FEX et le fait tourner sous macOS. Ainsi, plus besoin de compter sur Rosetta et d’être dépendant du bon-vouloir d’Apple !
Le choix de FEX correspond bien à l’écosystème de Valve : l’intégration de FEX peut prendre exemple sur celle déjà réalisée pour Steam sur le Steam Frame (un produit de réalité virtuelle tournant sous Linux et sur ARM), et permet d’hériter des tests déjà réalisés par Valve pour le Steam Frame.
En intégrant FEX, Hadron rend les jeux et autres logiciels indépendants de la volonté d’Apple d’abandonner la prise en charge de l’architecture x86.
On ne présente plus Wine, le logiciel libre qui permet de faire tourner depuis des décennies des programmes Windows sous Linux, BSD et macOS. En 2022 Arek Hiler avait prononcé la désormais célèbre phrase Win32 Is The Only Stable ABI on Linux, Win32 est la seule interface binaire de programmation qui soit stable sous Linux. Ce constat de l’ABI Win32 comme une interface très stable s’étend en fait bien au-delà des utilisateurs de Linux.
Wine est une brique fondamentale de Proton, la sous-couche de Valve pour faire tourner des jeux Windows sous Linux. Hadron fait de même pour macOS.
Hadron intègre donc FEX et Wine pour faire tourner des programmes Windows compilés pour x86 (32-bit et 64-bit) sur les macs exécutant macOS sur des processeurs ARM. L’héritage Wintel ne s’effacera donc jamais.
En intégrant Wine, Hadron rend les jeux et autres logiciels indépendants des interfaces de programmation de macOS.
Mesa est la collection de pilotes graphiques libres qui domine nos écosystèmes Linux et BSD. Mais Mesa propose aussi des pilotes pour d’autres plate-formes, comme Windows et macOS.
L’article Le pilote open-source Vulkan pour AMD “RADV” de chez Mesa bientôt disponible sous Windows ? posait ce constat en répondant à la question « Et pour Vulkan sur macOS ? » :
En participant au développement de RADV sous Linux et Windows, Valve se donne le pouvoir de contrôler la qualité de la pile logicielle d’exécution des jeux qu’ils vendent, jusqu’au pilote graphique inclus.
Pour macOS, la solution n’est pas à voir du côté de RADV (les derniers macs n’ont plus de cartes graphiques AMD de toute façon), mais du côté de MolktenVK et KosmicKrisp, des pilotes libres convertissant les appels Vulkan vers l’API Metal de macOS.
Sur macOS Vulkan est déjà disponible grâce à MoltenVK, une implémentation libre traduisant Vulkan pour l’API propriétaire Metal de macOS. Valve a investi dans MoltenVK. Cela permet par exemple à Valve de faire tourner leur jeu Dota2 sur macOS et pouvoir continuer à le vendre aux utilisateurs de macOS sans se soucier de l’obsolétisation d’OpenGL sur macOS par Apple.
KosmicKrisp est lui un pilote Mesa qui fait de même (convertir Vulkan vers Metal) mais de façon intimement spécialisée pour les puces AGX que l’on trouve dans les ordinateurs Apple M1, M2, etc. (aussi appelé « Apple Silicon »).
Et vous le voyez venir en mille, Hadron intègre KosmicKrisp pour fournir la prise en charge de l’API graphique Vulkan. KosmicKrisp traduit les appels Vulkan vers l’Interface de programmation (API) propriétaire Metal.
En intégrant KosmicKrisp, Hadron rend les jeux et autres logiciels indépendants de la politique d’Apple refusant de prendre en charge le standard industriel Vulkan.
Mais, et pour OpenGL ? Zink est un pilote Mesa qui implémente OpenGL au dessus de Vulkan, quel que soit le système (Zink tourne déjà sous Linux et Windows, et donc aussi macOS comme on peut le voir). Voilà, problème résolu.
En fait macOS fournit déjà OpenGL, mais ils l’ont déclaré obsolète depuis longtemps et ne fournissent qu’une ancienne version 4.1 qui date de 2010 (16 ans déjà !) qui est 7 ans plus ancienne que la dernière version d’OpenGL (4.6).
Zink implémente donc OpenGL 4.6 et en intégrant Zink, Hadron rend les jeux et autres logiciels indépendant de la volonté d’Apple d’abandonner OpenGL.
Et au passage, Zink propose la dernière version d’OpenGL et est un pilote désormais bien connu des développeurs de jeu, c’est tout bénef !
Hadron a comme politique de favoriser Zink à la place de l’implémentation OpenGL maison d’Apple. Quand un des bugs donnés comme exemple et affectant Unvanquished a été rapporté, l’expérimentation avait été réalisée avant que Hadron ne propose un moyen simple de lancer un logiciel en dehors de Steam, et donc l’expérimentation avait été faite en appelant Wine directement sans passer par le lanceur de Hadron. Le développeur Broyojo a constaté en lisant le journal du moteur de jeu Dæmon que dans ces circonstances, le jeu utilisait l’implémentation OpenGL d’Apple, chose qu’il s’est empressé de corriger fissa. Et pour le coup, ce changement est ce qui a corrigé le bug, trop facile.
L’article sur RADV et Windows indiquait :
Pour un distributeur de jeu vidéo comme Valve c’est excellent : ça signifie que — si nécessaire — le jeu peut être distribué avec RADV sur Windows et Linux pour les utilisateurs de cartes graphiques AMD, et MoltenVK ou KosmicKrisp sur macOS afin de fournir une expérience Vulkan finement contrôlée, et autres combinaisons sus-mentionnées. Cela permet de contrôler et donc d’assurer au maximum la compatibilité d’un jeu.
Nous y sommes. À part que cette fois-ci, ce n’est pas Valve qui en aurait eu l’initiative.
Là où Zink implémente OpenGL sur Vulkan, vkd3d-proton fait de même et implémente DirectX 12 sur Vulkan, lui-même implémenté par KosmicKrisp.
DirectX 12 est l’interface de programmation graphique propriétaire de Microsoft pour Windows, elle est similaire à Metal et Vulkan.
Un développeur de jeu libre n’en a pas besoin : il peut utiliser OpenGL ou Vulkan, mais de très nombreux jeux utilisent Direct X 12, et Hadron s’assure donc de fournir cette prise en charge.
Comme son nom l’indique, vkd3d-proton est une brique essentielle de Proton, et l’est aussi maintenant pour Hadron.
Vous connaissez peut-être le logiciel DXVK qui implémentent Direct3D 8, 9, 10 et 11 au dessus de Vulkan. Vous aviez peut-être entendu parlé de D9VK qui faisait de même pour D3D9 mais qui est désormais intégré à DXVK, ou WineD3D qui implémentait Direct3D 8, 9, 10 et 11 au dessus de OpenGL.
Proton utilise DXVK sous Linux, implémentant donc D3D sur Vulkan, et Hadron pourrait faire de même, à la façon dont c’est effectivement implémenté avec vkd3d-proton.
Mais il existe deux logiciels qui implémentent D3D sur l’API Metal directement, ce qui permet de supprimer une couche intermédiaire de traduction.
Ces deux logiciels libres sont mtld3d qui implémente D3D9 sur Metal, et dxmt qui implémente D3D10 et D3D11 sur Metal.
Pour D3D8, Hadron ne précise pas si quelque chose est prévu, mais il devrait être possible d’utiliser DXVK, ou encore d3d8to9 qui implémente D3D8 sur D3D9. Et on peut supposer que rien ne devrait techniquement empêcher d’utiliser dd7to9 et autres projets de ce type (voir dxwrapper pour plus de détails).
Pour un développeur de logiciel libre, ces APIs DirectX sont peu utiles, mais tout le reste de cet écosystème peut profiter aux développeurs de logiciels libres.
Les compilateurs libres du projet MinGW permettent de compiler pour Win32. Wine permet de faire tourner ces programmes Win32 ailleurs que sur Windows. Et en s’appuyant sur les API graphiques OpenGL ou Vulkan, et des bibliothèques comme OpenAL ou SDL pour le son, le fenêtrage et les entrées, un développeur de jeu libre peut donc produire un seul binaire entièrement libre de la tête aux pieds qui tourne partout, sous Linux, BSD, macOS ou Windows.
Alors bien évidemment, certains préféreront un programme natif à leur système, avec de bonnes raisons. Mais quand un lanceur comme Steam ou une alternative libre comme Lutris fait toute l’intégration pour vous, tout ce qui retient se réduit à un attachement affectif (et ça compte beaucoup). C’est un chagrin légitime mais il n’empêche pas de jouer.
Wine fait déjà tourner naturellement les programmes x86 sur Linux et autres BSD. FEX peut être associé à Wine pour faire tourner des programmes Windows x86 sous Linux et macOS sur les processeurs ARM. Et Box64 sait faire de même sous Linux, non-seulement sur ARM64, mais aussi sur PowerPC (en mode petit-boutiste), RISC-V et Loongson.
Certains ont pu déclarer que « AMD64 is the new Java », en réalité, c’est peut-être la triforce Win32 + Vulkan + AMD64 qui est ce nouveau Java. Vous ferez peut-être autant la grimace, mais ça ne marche pas moins.
Et avec Hadron, votre prochain environnement de développement pour macOS pourrait simplement être MinGW, trop bien !
Avec Hadron, le futur de macOS court-circuite tout macOS, et Apple ne peut rien y faire.
Commentaires : voir le flux Atom ouvrir dans le navigateur
Le casse crypto du siècle. La plateforme Binance a suspendu une partie des transactions après qu’elle a été victime d’un piratage de grande ampleur. 6,3 milliards de dollars en cryptomonnaies ont été dérobés.
Binance a confirmé être victime d’un vol de cryptos ce jeudi 29 octobre, et suspendu les dépôts et les retraits dans la foulée. Ce sont 6,3 milliards de dollars qui ont été subtilisés : l’ordinateur portable d’un ingénieur DevOps aurait permis à un pirate d’accéder à un service interne et de soumettre des transactions de retrait non autorisées, explique la plateforme. Elle a toutefois précisé depuis que son enquête avait mis au jour d’autres points d’intrusion.
L’entreprise a obtenu, avec ses partenaires, le gel d’environ 3 milliards de dollars d’actifs. Les émetteurs de certains stablecoins peuvent placer les adresses des pirates sur liste noire : les jetons concernés sont alors bloqués, ce qui empêche leur transfert ou leur conversion dans d’autres cryptos.
Binance promet aussi de couvrir l’intégralité des pertes avec ses propres ressources et un fonds de protection des utilisateurs (SAFU). Sur les 6,3 milliards de ressources propres qui serviront à couvrir l’incident, 5 milliards sont détenus dans les mêmes cryptos que celles subtilisées. Binance procède actuellement à l’achat du montant restant sur les marchés pour « reconstituer les avoirs dans chacune des cryptomonnaies concernées et combler tout manque ».
Selon le dernier message officiel posté sur les réseaux sociaux, le groupe continue de « localiser, geler et récupérer » des fonds supplémentaires. Les retraits devraient reprendre dimanche matin, a précisé l’entreprise qui assure que les dépôts n’ont pas été affectés.
L’attaque, « complexe », est la plus importante du secteur, devant celle qui avait frappé l’exchange Bybit l’an dernier (1,5 milliard de dollars). Dans les deux cas, il s’agirait d’un hack orchestré par des pirates nord-coréens, plus spécifiquement du groupe TraderTraitor à l’origine des deux casses.
« Il s’agit d’un vol commandité par un État, d’une ampleur qu’aucun groupe criminel n’approche, dont les recettes financent les programmes d’armement de la Corée du Nord », affirme Tom Robinson de la société Elliptic cité par le Wall Street Journal.
La méthode correspondrait à celle des pirates de TraderTraitor, un nom de code utilisé par le FBI pour désigner un groupe de cybercriminels soutenu par Pyongyang. Il aurait été créé entre 2016 et 2017 par les services de renseignement nord-coréens.
L’entité serait aussi à l’origine du vol de 388 millions de dollars chez Bitget, un autre exchange, le mois dernier. Le spécialiste ZachXBT a découvert que les fonds volés de Bitget et de Binance ont été regroupés sur une même adresse.
