RECHERCHE
Juillet 2026 : signatures post-quantiques attaquées, empreintes d'appareils et mini-apps
En juillet 2026, quelques bits divulgués suffisent à retrouver les clés de Falcon, HAWK et ML-DSA, et des réseaux de neurones automatisent les attaques par canal auxiliaire sur ML-KEM. Téléphones et navigateurs se reconnaissent à des centaines de propriétés ou aux écarts de fabrication des GPU. Les mini-apps WeChat ratent OAuth et un rendu retardé trompe les détecteurs de phishing.
Archives : reconstitution rédigée en novembre 2026
1. Halfspace Learning for Lattice Signature Key Recovery from Signs
CRYPTO · Marcus Brinkmann, Nicolai Kraus, Alexander May · Cryptographie post-quantique
En bref: Connaître le seul signe de quelques valeurs aléatoires suffit à retrouver les clés secrètes de HAWK, Falcon et ML-DSA.
Les auteurs montrent qu'une fuite minime de l'aléa utilisé à la signature, même un bit ou le poids de Hamming, révèle le signe d'une combinaison de la clé secrète. Ils traitent la récupération comme un problème d'apprentissage connu et obtiennent la clé HAWK avec 30 signatures en 10 minutes, Falcon avec 100 en moins d'une minute et ML-DSA avec 190 000.
Pourquoi c'est important. Les signatures post-quantiques arrivent dans les produits et certificats : les implémentations doivent être vérifiées contre les fuites minimes, pas seulement contre la cryptanalyse classique.
2. Neur-SASCA: High-Noise-Tolerant and Automated Single-Trace Attack against NTT
IACR Transactions on Cryptographic Hardware and Embedded Systems · Yuxuan Wang, Jintong Yu, Yihan Nie, Yubo Zhao et al. · Cryptographie post-quantique
En bref: Neur-SASCA attaque ML-KEM à partir d'une seule trace de consommation grâce à des réseaux de neurones, même bruitée et sur d'autres appareils.
La transformée NTT est au cœur de ML-KEM et une cible connue des attaques par canal auxiliaire. Jusqu'ici, ces attaques exigeaient des modèles faits main, des traces alignées et la localisation des fuites. Neur-SASCA traite directement les traces brutes par un réseau de neurones, tolère bruit non gaussien et décalages et se transfère d'un appareil à l'autre.
Pourquoi c'est important. L'automatisation réduit le coût des attaques physiques sur les algorithmes post-quantiques : les systèmes embarqués qui les adoptent doivent intégrer des contre-mesures dès la conception.
3. EXADPrinter: Semi-Exhaustive Permissionless Device Fingerprinting Within the Android Ecosystem
Proceedings on Privacy Enhancing Technologies · Sihem Bouhenniche, Pierre Laperdrix, Walter Rudametkin · Web et mobile
En bref: Sans aucune permission, une app Android collecte plus de 200 000 propriétés de l'appareil, et cinq suffisent à l'identifier.
Avec des règles de confidentialité plus strictes, les traqueurs cherchent des identifiants moins surveillés. EXADPrinter extrait de chaque téléphone Android plus de 200 000 propriétés du matériel, du système et de l'utilisateur, par réflexion Java et commandes shell, sans permission. Sur 4 004 empreintes de 3 143 appareils, cinq attributs sans données personnelles suffisent.
Pourquoi c'est important. Le pistage sans consentement échappe aux permissions visibles : pour qui traite des données personnelles, c'est un risque de conformité qui entre par les bibliothèques tierces des apps.
4. DRAWNAPART: A Device Identification and Spoofing Detection Technique Based on Remote GPU Fingerprinting
ACM Transactions on Privacy and Security · Tomer Laor, Naif Mehanna, Antonin Durey, Vitaly Dyadyuk et al. · Web et mobile
En bref: DrawnApart distingue des ordinateurs au matériel et logiciel identiques grâce aux infimes écarts de fabrication de leurs GPU.
Les empreintes de navigateur évoluent et finissent par se confondre avec celles d'appareils proches. DrawnApart exploite les variations de production entre GPU d'un même modèle, mesurées par un script dans le navigateur, pour séparer des machines identiques. Il vérifie aussi le modèle de GPU déclaré et démasque qui imite l'appareil de la victime pour contourner la double authentification.
Pourquoi c'est important. La même technique sert à pister les utilisateurs et à protéger les comptes : les équipes d'authentification peuvent l'utiliser contre le vol de session, en respectant la protection des données.
5. Overcoming Language Barriers: Multilingual Analysis of the 2023 Swiss Privacy Law’s Impact
Proceedings on Privacy Enhancing Technologies · Luka Nenadic, David Rodríguez, Joseph A. Calandrino · Politiques, droit et société
En bref: Après la révision de 2023, les politiques de confidentialité des sites suisses citent bien plus souvent les droits des personnes.
En 2023, la Suisse a aligné sa loi sur la protection des données sur le RGPD. Les auteurs construisent un système à base de modèles de langage qui lit les politiques en allemand, français, italien et anglais sans les traduire, et l'appliquent à plus de 35 000 sites avant et après la réforme. Les mentions des droits progressent nettement, surtout grâce aux générateurs automatiques.
Pourquoi c'est important. Les réformes changent les textes plus que les pratiques : mesurer l'effet réel d'une loi exige des outils comme celui-ci, utiles aussi pour évaluer la conformité des clients.
6. Mini-Programs, Mega-Problems: Unveiling OAuth-based Authentication Misuses in Mini-Programs via Dynamic Analysis
arXiv · Zidong Zhang, Zhentao Xie, Lingyun Ying, Qinsheng Hou et al. · Identité et authentification
En bref: Sur plus de 46 000 mini-apps WeChat et Baidu, 1 834 erreurs de connexion OAuth permettent d'usurper les utilisateurs.
Les mini-apps tournent dans des super-apps comme WeChat et utilisent l'OAuth de la plateforme pour la connexion. Les auteurs identifient trois nouveaux types d'erreurs visibles seulement à l'exécution et créent MiniAuth, qui exécute les flux même sur du code obscurci. Sur 44 273 mini-apps WeChat et 2 721 Baidu, ils trouvent 1 834 cas, dont des identifiants exposés et une faille chez Baidu.
Pourquoi c'est important. Qui propose des services via des super-apps hérite des risques d'intégrations écrites par des tiers : la connexion doit être vérifiée à l'exécution, pas seulement dans le code.
7. Investigating Developers’ Usage and Perception of Trusted Execution Environment Features in Android
IEEE European Symposium on Security and Privacy · Abdullah Imran, Güliz Seray Tuncay, René Mayrhofer, Antonio Bianchi · Web et mobile
En bref: Moins de 6 % des développeurs Android utilisent sans difficulté les fonctions de sécurité matérielles, et beaucoup en surestiment les garanties.
Android propose des API fondées sur l'environnement d'exécution de confiance, qui résistent même à un système compromis. Une enquête auprès de 396 développeurs et 20 entretiens montrent que plus de 70 % en auraient besoin, moins de la moitié les connaît et moins de 6 % les adopte sans accroc. 62,4 % croient à tort que le KeyStore résiste aux manipulations physiques.
Pourquoi c'est important. Les apps bancaires et d'assurance comptent sur ces protections pour les clés et la biométrie : sans meilleure documentation ni outils, elles restent souvent inutilisées ou mal configurées.
8. I can’t recognize (yet): Delayed Rendering to Defeat Visual Phishing Detectors
IEEE European Symposium on Security and Privacy · Ying Yuan, Cristiano Alex Rado, Giovanni Apruzzese, Mauro Conti et al. · Malware et menaces
En bref: Retarder le chargement des logos et formulaires suffit à tromper les détecteurs de phishing qui jugent une page sur son apparence.
Les détecteurs de phishing les plus avancés comparent une capture de la page à celle du site légitime imité. Pour cela, ils doivent prendre l'instantané à un moment donné. Les auteurs montrent que cette classe de défenses n'a jamais envisagé les attaques temporelles : retarder le rendu des éléments reconnaissables rend la page anodine à l'instant du contrôle.
Pourquoi c'est important. De nombreux filtres de messagerie et de navigation d'entreprise utilisent cette technique : une astuce quasi gratuite l'affaiblit, d'où le besoin de contrôles répétés ou d'autres signaux.
9. Cross-Host Lateral Movement Attacks Detection with QUIC-Aware Dynamic Information Flow Tracking
IEEE European Symposium on Security and Privacy · Kokthay Poeng, Laurent Schumacher · Sécurité réseau
En bref: Un suivi des flux entre hôtes reconstitue les mouvements latéraux même quand les attaquants utilisent QUIC.
Repérer un attaquant qui passe d'un hôte à l'autre exige des liens causaux entre flux réseau. QUIC masque ces liens aux moniteurs fondés sur les appels système, et les outils existants perdent plus de la moitié de leur précision. Les auteurs combinent surveillance légère du noyau et instrumentation des serveurs QUIC, pour une attribution complète en moins de 15 microsecondes.
Pourquoi c'est important. Le mouvement latéral décide de l'ampleur d'une attaque : les nouveaux protocoles peuvent aveugler les outils de détection s'ils ne sont pas mis à jour.
10. Banshee: Target Switch Attacks on Gimbal-Stabilized Visual Tracking Systems via Acoustic Injection
IEEE Symposium on Security and Privacy · Jiarui Li, Joseph Brewington, Qingzhao Zhang, Zhuoqing Morley Mao · Web et mobile
En bref: Avec un son ciblé sur le stabilisateur de la caméra, Banshee fait suivre à un drone une cible choisie par l'attaquant.
Les drones qui suivent un objet utilisent une caméra sur nacelle stabilisée dont les capteurs sont sensibles au son. Banshee génère des ondes acoustiques qui font osciller la caméra de façon calculée et rompent l'association entre images : le suivi bascule vers l'objet choisi par l'attaquant. En vol, contre un drone du commerce, l'attaque réussit dans 95,5 % des cas.
Pourquoi c'est important. Les drones d'inspection, de sécurité et de livraison reposent sur le suivi visuel : une attaque physique bon marché peut détourner leur mission sans toucher au logiciel.
Lire l'article · PDF · Code
Les tendances du mois
Cryptographie post-quantique
72 articles du mois sur ce thème
Les standards post-quantiques étant fixés, la recherche se tourne vers les implémentations. Quelques bits divulgués suffisent pour les clés de Falcon, HAWK et ML-DSA, et les réseaux de neurones rendent les attaques par canal auxiliaire sur ML-KEM plus automatiques et robustes. La migration exige des implémentations vérifiées, pas seulement de nouveaux algorithmes.
Articles cités:
- Halfspace Learning for Lattice Signature Key Recovery from Signs
- Neur-SASCA: High-Noise-Tolerant and Automated Single-Trace Attack against NTT
Vie privée
76 articles du mois sur ce thème
Le pistage passe des cookies aux caractéristiques des appareils. Une app sans permission collecte plus de 200 000 propriétés du téléphone et les écarts de fabrication des GPU distinguent des ordinateurs identiques. En Suisse, la réforme de 2023 change surtout le texte des politiques de confidentialité, souvent rédigées par des générateurs automatiques.
Articles cités:
- EXADPrinter: Semi-Exhaustive Permissionless Device Fingerprinting Within the Android Ecosystem
- DRAWNAPART: A Device Identification and Spoofing Detection Technique Based on Remote GPU Fingerprinting
- Overcoming Language Barriers: Multilingual Analysis of the 2023 Swiss Privacy Law’s Impact
Identité et authentification
83 articles du mois sur ce thème
Les erreurs d'intégration pèsent autant que les failles de protocole. Les mini-apps ratent leur connexion OAuth de façons visibles seulement à l'exécution, très peu de développeurs Android utilisent bien les protections matérielles et les détecteurs visuels de phishing tombent face à un simple rendu retardé. Les outils existent, encore faut-il les adopter et les vérifier.
Articles cités:
- Mini-Programs, Mega-Problems: Unveiling OAuth-based Authentication Misuses in Mini-Programs via Dynamic Analysis
- Investigating Developers’ Usage and Perception of Trusted Execution Environment Features in Android
- I can’t recognize (yet): Delayed Rendering to Defeat Visual Phishing Detectors
Comment ce digest est réalisé
Ce numéro fait partie des archives du digest, reconstituées a posteriori. Les articles du mois ont été collectés depuis arXiv, l'archive IACR ePrint et les principales conférences et revues de sécurité ; la sélection tient aussi compte des citations reçues depuis la publication. Un modèle d'intelligence artificielle a évalué les candidats et rédigé les synthèses, qui reposent sur les abstracts : pour les détails, l'article original fait foi.
Articles du mois évalués : 1939.