Guarded Pangolin : les outils tiers sont vérifiés avant chaque exécution

Une mise à jour de sécurité. Rien ne change à l'usage, mais deux failles réelles sont fermées.

Les outils de téléchargement vidéo étaient exécutés sans vérification

Pour télécharger une vidéo, NotchIA installe deux outils tiers — yt-dlp et ffmpeg — dans un dossier de votre bibliothèque. Ils y étaient déposés puis exécutés sans aucun contrôle d'intégrité.

Le risque n'était pas théorique : ce dossier est modifiable sans privilège particulier. Un programme malveillant déjà présent sur la machine pouvait y remplacer yt-dlp par le sien, et NotchIA l'aurait exécuté au téléchargement suivant. C'est un moyen discret de se maintenir sur un système.

Ce qui change :

• yt-dlp est comparé à l'empreinte que ses auteurs publient avec chaque version — une vraie vérification de chaîne d'approvisionnement.
• ffmpeg est comparé à la taille publiée par son distributeur, qui ne fournit pas d'empreinte.
• L'empreinte de ce qui a été installé est enregistrée, puis revérifiée avant chaque exécution. C'est ce dernier contrôle qui compte vraiment : il détecte un remplacement survenu longtemps après l'installation, quelle que soit la confiance accordée au téléchargement initial.
• Si un outil a été modifié, NotchIA le réinstalle proprement. Vous n'avez rien à faire.

Licence

Quatre corrections, dont trois totalement invisibles pour un utilisateur légitime.

• Limite d'appareils appliquée. Le serveur signalait qu'une licence dépassait son quota de Mac, mais l'app l'ignorait. Elle en tient désormais compte. Si vous atteignez la limite, NotchIA vous l'explique et il suffit de déconnecter un autre Mac : votre clé n'est jamais effacée, le Pro revient de lui-même à la vérification suivante.
• Horloge système. L'expiration d'un abonnement se fiait à l'heure de la machine, que l'utilisateur contrôle. Elle s'appuie maintenant sur la date la plus avancée jamais observée.
• Format des licences durci. Une licence dont la version ou la date d'expiration sont incohérentes est refusée, au lieu d'être interprétée au mieux.
• Clé de développement. Elle n'est plus conservée en clair dans le trousseau.

Sous le capot

Le fichier de tests de signature de licence référençait des fonctions supprimées lors d'une refonte antérieure : il ne correspondait plus au code réel. Réécrit autour de la partie qui décide si une licence est recevable.

Comment l'obtenir

Déjà utilisateur ? L'auto-update Sparkle vous propose la 2.9.19 automatiquement. Pour forcer : menu NotchIA → Vérifier les mises à jour.

Nouvel utilisateur ? brew install --cask coaxel2/notchia/notchia, ou le .dmg depuis la page d'installation.

← Tous les articles