Fin 2013

C'est pas que ce blog semble à l'abandon, mais presque. Un peu par manque de temps. D'un point de vue un peu plus personnel, en 2013 j'ai pu :

- faire un Paris-Londres à vélo cet été (je ferai un petit post à ce sujet un jour)

- passer une certification dans le domaine de la sécu (GIAC Reverse Engineering Malware, là aussi je ferai un petit post de review de la formation FOR610 du SANS qui allait avec)

- changer de boîte (bon, pas de post à ce sujet là, j'évite un maximum de parler d'aspects pro sur ce blog)

Sinon internet n'est toujours pas tombé. Pourtant on nous annonce tous les six mois qu'une nouvelle faille énorme arrive et va faire tomber le commerce en ligne. Encore que là, c'est les "révélations" de Snowden dont les gens parlent depuis le début de l'été (je n'irais pas jusqu'à dire "tout le monde", parce que je suis pas certain que le citoyen lambda que je croise dans la rue soit conscient de grand chose à ce sujet là).

D'ailleurs, tout le monde s'offusque des pratiques de la NSA, genre "oh mon dieu on nous espionne". Mais, sans vouloir faire de mauvais esprit (non, ce n'est pas mon genre), si la NSA a réussi, c'est que des services de contre espionnage ont échoué, ou en tout cas, mal fait leur boulot. Puis quand on espionne nous mêmes les USA, on espère que leurs services de contre espionnage se vautrent afin de récupérer une info précieuse, par-ci par là.

Lorsque j'ai commencé à m'intéresser à "la sécu", au tout début des années 2000 (oui, bon, c'était en 2000, OK), on parlait déjà un peu de la NSA, et d'un truc qui, visiblement, n'était pas connu de nos élus en 2013: ECHELON. C'est con, parce que le parlement européen avait pondu un joli petit rapport à propos d'ECHELON et de ses capacités présumées. Alors qund je vois nos élus raler en disant qu'ils ne savaient pas, et que c'est inacceptable, presque 15 ans plus tard, j'ai à peine l'impression d'être pris pour un abruti (ou alors, certains ont de grosses pertes de mémoire).

En 2014, on va peut-être nous dire que des reptiliens ont pris le contrôle des gouvernements de la planète...

Perseus -vs- la NSA

En plein "scandale" PRISM, Eric Filiol et son équipe ont sorti l'application "SMS Perseus" qui permet de "protéger" ses SMS de la NSA. La lecture du billet blog justifiant cette démarche m'a un peu fait tiquer sur certains points; mon but n'étant pas ici de troller...

Bon, déjà ça veut dire que la NSA intercepterait des SMS en France. Jusque là, pourquoi pas hein, mais bon, passons.

Ensuite, citation :

"Au plan sociétal et au rôle des USA dans le monde (ou du moins celui que nous acceptons de lui accorder). Les prochains jours vont être intéressants. Je dirais -- avec un certain plaisir -- que la NSA est face à un dilemme : soit elle fait retirer l'application (mais on la mettra ailleurs, sur F-Droid par exemple) mais c'est un aveu d'échec à traiter ce type de trafic soit elle le laisse en espérant que peu de gens l'utiliserons et en organisant une campagne de dénigrement via toutes les marionnettes qu'elle contrôle dans le monde (trolleurs, certains universitaires, journalistes...)."

Hmm, je crois qu'il y a une troisième option à ce dilemme (qui par définition n'est plus un dilemme, dans la mesure où un dilemme accepte deux propositions) qui est que la NSA est en mesure de "casser" Perseus et qu'ils s'en foutent un peu qu'une nouvelle application de crypto débarque sur Android.

Ce qui nous mène au dernier point que je voulais aborder : Android et la phrase suivante : "nous avons voulu une application qui soit réellement sécurisée et je l'utilise moi-même parce que je veux pouvoir échanger sans que la NSA ou les Apple, Google, Microsoft... ne me lisent.". Ouais, une application dont les mécanismes cryptographiques pourraient être interceptés car s'exécutant sur un kernel (Android) développé par Lucifer en personne (Google); Le texte clair pouvant être récupéré avant chiffrement par l'émetteur, ou récupéré après déchiffrement par le récepteur, et dans tous les cas transmis au Diable. Ensuite je dis ça, je dis rien.

C'étaient mes 5 minutes de questions du jour. Merci de votre attention. En attendant, je serais ravi d'avoir des avis éclairés sur ces points là.

OVH - Incident de sécurité

C'est moche ça...

Bonjour,Il y a quelques jours, nous avons découvert que la sécurité de notre réseau interne dans nos bureaux à Roubaix a été compromise. Après les investigations en interne, il s'avère qu'un hackeur a réussi à obtenir les accès sur un compte email d'un de nos administrateurs système. Grâce à cet accès email, il a obtenu l'accès sur le VPN interne d'un autre employé. Puis grâce à cet accès VPN, il a fini par compromettre les accès de l'un des administrateurs système qui s'occupe du backoffice interne.

Alors je connais pas l'infrastructure du réseau administratif OVH, mais ce que j'en comprends c'est qu'un des admins avait les identifiants VPN d'un autre mec dans sa boite mails. DAFUQ DID I JUST READ ?!

De l'interprétation des advisos de sécurité : BES

En faisant un peu de veille sur Twitter, je suis tombé sur un lien vers un article parlant d'une vulnérabilité de la mort qui tue, affectant les serveurs BlackBerry :

La semaine dernière, les responsables de la sécurité de RIM ont reporté une vulnérabilité assez importante. En l’espèce, il s’agirait d’une faille qui toucherait surtout BlackBerry Enterprise Server, la solution professionnelle de BlackBerry.

De façon succincte, du code malveillant véhiculé à travers une image au format TIFF pourrait ouvrir une backdoor sur le téléphone, simplement en visitant un site Web comportant la dite image, ou envoyée en pièce jointe par email ou par BBM, la messagerie instantanée de BlackBerry.

Ca a l'air sexy, mais le peu que je connais du fonctionnement d'un serveur BlackBerry est en contradiction avec certains trucs écrits là dedans, et le fait de lire qu'une faille dans le processing TIFF du BES permet d'exécuter du code arbitraire sur le téléphone me chiffonne. Voyons ce que dit BlackBerry (ex RIM) dans son adviso...

Déjà, ce n'est pas une vulnérabilité, mais deux (CVE-2012-4447 et CVE-2012-2088). Il s'agit de deux overflows dans la bibliothèque LibTIFF, qui est utilisée dans un paquet de solutions diverses, commerciales ou non (merci la licence BSD qui le permet). Ces deux vulnérabilités permettent d'exécuter du code arbitraire avec les privilèges de "l'utilisateur" faisant tourner une hypothétique application utilisant la libtiff (donc du code en tant que user si une version vulnérable de la bibliothèque libtiff est embarquée dans le navigateur web d'une personne sous Linux par exemple). Bon, puis il s'agit de vulnérabilités qui ont été remontées il y a déjà un an pour la plus vieille, et il y a plus de six mois pour la seconde.

Ensuite, on voit que le score CVSS attribué aux deux vulnérabilités est de 10 (le max). C'est déjà le niveau au dessus de "assez importante". Mais passons, en fonction du contexte, le score CVSS de ces vulnérabilités pourrait varier de 10 (libtiff dans une application s'exécutant avec des privilèges d'administrateur) à 7.5 (libtiff dans une application s'exécutant sans privilèges) en pouvant même chûter à 6.8 si on ajoute la nécessité d'une interaction utilisateur (on attend qu'il visite une page web contenant un .tiff malveillant) . Dans le cadre du BES, c'est évidemment le premier cas qui s'applique.

Au niveau des logiciels impactés par ces vulnérabilités, toujours sur la page de l'adviso publié par BlackBerry, on expand le champ "affected software" de la catégorie "products" et on voit que seul le produit "BlackBerry Enterprise Server" et ses composants pour Domino, Exchange, etc. sont affectés. Dans la catégorie "non-affected software" on retrouve certaines versions du BES intégrant une version non vulnérable de la libtiff, ainsi que "BlackBerry Desktop Software" (le truc qui permet de synchroniser un device BlackBerry avec son PC) et "BlackBerry Device Software", qui est l'OS tournant sur les téléphones BlackBerry (BlackBerry OS). A ce niveau là, on a donc effectivement la confirmation que ça touche le BES, mais par contre on apprend que les smartphones ne sont pas impactés.

Donc pour l'installation d'une backdoor sur le téléphone, on repassera.

De toutes façons, la vulnérabilité se situe dans le moteur de traitement des images du BES (exemple, un utilisateur de smartphone blackberry reçoit un e-mail avec une image, le BES va la convertir dans un format et des dimensions adaptés au téléphone - c'est lors de ce traitement que la vulnérabilité dans la libtiff est exploitée et que du code arbitraire peut-être exécuté sur le BES, et non sur le téléphone). Il y a quelques années, une vulnérabilité permettant la même chose, exploitable par le même biais (pièce-jointe malveillante) avait été identifiée dans le composant PDF du BES.

Continuons la lecture de l'article...

Pour en revenir à la vulnérabilité, elle ne concerne pas uniquement que les entreprises, mais finalement, tous les possesseurs de BlackBerry car RIM a intégré sa propre vulnérabilité dans son système : BlackBerry Messenger.Considéré comme le killer apps  de la marque, il reste l’un des seuls atouts majeurs de BlackBerry face à Apple, Samsung et Nokia. Or, cette application est parfaite pour une attaque de type « drive-by-download » et nécessite Java pour fonctionner pleinement.

Il m'a fallu relire quelques fois la phrase pour comprendre qu'il s'agissait d'humour. Mais si on considère qu'un smartphone BlackBerry est vulnérable à cause de BlackBerry Messenger (BBM), on doit se rappeler qu'il y a 3 ou 4 ans, il était possible d'exécuter du code arbitraire sur un iPhone juste en lui envoyant des SMS (Charlie Miller, où que tu sois, on pense à toi).

J'ai eu un peu de mal à comprendre la petite phrase "et nécessite Java pour fonctionner pleinement". En effet, la majorité des téléphones BlackBerry en circulation utilisent un BlackBerry OS basé sur Java, donc le fait que BBM dépende de Java me semble évident : les applications BlackBerry sont en Java ! En regardant le lien vers lequel pointe cette petite phrase j'ai compris pourquoi l'auteur de l'article l'a mentionné; il y est dit que BBM  exige "Un téléphone Blackberry compatible Java", car effectivement, les premiers devices BlackBerry n'utilisaient pas Java.

Chaque smartphone BlackBerry possède un PIN (Personal Identification Number) composé de huit caractères, mélangeant chiffres et lettres, de façon apparemment aléatoire. Les rares documentations accessibles à ce sujet sont peu parlantes et ne permettent pas de déterminer si cette suite répond à une logique similaire à celle des IMEI ou des numéros de cartes de crédit.Dans la mesure où le PIN est limité à huit caractères, qu’il ne comporte pas de caractères spéciaux, qu’il n’est pas sensible à la casse, on peut émettre l’hypothèse d’une tentative d’attaques par le biais de BBM, en tapant quelque peu au hasard, du moins dans un premier temps et qu’une fois certaines informations collectées, l’attaquant peut ajuster son tir.

En fait ces "huit caractères, mélangeant chiffres et lettres, de façon apparemment aléatoire" sont la représentation hexadécimale d'un entier non-signé de 32 bits (donc dans les 4 milliards de possibilités, allant de 0x00000000 à 0xffffffff, tout en gardant à l'esprit que ces deux là sont peut-être réservés). Du coup, dans la mesure où il s'agit d'hexadécimal, on peut considérer qu'il est normal qu'il n'y ait pas de caractères aléatoires (et même qu'il n'y ait pas tout l'alphabet).

Concernant ensuite les infections de smartphones BlackBerry par "des petits malins générant des PIN aléatoires" et invitant les victimes à les rejoindre dans des groupes avant de les infecter, il ne semble pas y avoir eu de cas documenté. D'autant plus que dans le cas des vulnérabilités de la libtiff citées ci-dessus, il ne peut pas y avoir de compromission du téléphone, donc je ne vois pas bien ce que ces petits malins pourraient exploiter (mis à part se faire des amis sur BBM...).

Conclusion : l'auteur de l'article initial n'a vraisemblablement pas lu l'adviso de sécurité de BlackBerry (ex RIM quoi), et démontre sa totale méconnaissance de l'architecture blackberry (j'ai tenté d'être constructif en avançant mes arguments, ce n'est donc pas une attaque gratuite). Ce qui est un comble dans la mesure où la même personne a fait un talk à la Nuit du Hack l'an dernier parlant de sécurité mobile se soldant par la destruction d'un BlackBerry à l'aide d'un marteau (vers la 33e minute sur cette vidéo) :

Aide Google aux webmasters de sites compromis

C'est quelque chose qui est arrivé à un paquet de webmasters/administrateurs. Ca se matérialise parfois par un appel (en pleine nuit), avec au bout du fil quelqu'un qui dit (pas forcément en ces termes) :

"Google dit que le site est hacké"

Soudain, c'est la panique.

Que s'est-il passé ? Que faire ? C'est des conneries ?

Non.

Une faille merdique dans le CMS (moisi, genre Joomla) utilisé par le site/blog, ou un serveur encore vulnérable à une vulnérabilité dans Exim ou ProFTPd a permis à un Jean-Kevin (enfin, pas forcément, ça peut-être un bot à lui, ou son homologue russe Ivan-Boris) de venir polliniser (ou souiller) l'hébergement dudit site avec divers kits d'exploitation ou de phishing afin de contribuer à agrandir tel ou tel botnet.

A ce moment là commence la réponse à incident (enfin, en réalité ça commence avant la compromission en étant prêt à réagir). Pour le webmaster du dimanche, ça ne sera pas forcément évident.

Google a pensé à eux et a mis en ligne un guide (pour l'instant en anglais uniquement) expliquant tout un tas de choses :

- Pourquoi et comment les sites se font compromettre

- Mise en quarantaine du site

- Recherche du contenu posant problème

- Recherche de la vulnérabilité ayant permis la compromission

- Nettoyage du contenu malveillant

- Vérification du nettoyage

Ce guide permettra donc au responsable d'un site compromis de comprendre ce qui est attendu de lui au moment où il découvrira que son site héberge du blackhole. Le niveau de complexité des opérations est croissant, et si les premières étapes sont relativement simples, la fin l'est un peu moins (on ne peut en effet pas vraiment attendre de tous les webmasters qu'ils soient capables de faire du network forensics sur les logs du serveur hébergeant leur site). D'ailleurs, Google rappelle que s'il est possible de faire ça soi-même si on est à l'aise dans ces choses là, il est possible de faire appel à des spécialistes.

Bref, un bon guide qui mérite d'être mis plus en avant (et éventuellement traduit en français pour ceux qui ne sont pas compatibles avec l'anglais).

NSA CryptoChallenge

La NSA recrute à fond en ce moment [1]. Pour attirer des tonnes de gens pouvant l'aider dans ses tâches habituelles, ils ont mis en ligne un jeu sur iPhone et Android dont le but est de "casser" le chiffrement de messages secrets (en l'occurence, il s'agit par exemple de citations d'hommes politiques célèbres ou de banalités sur la cuisine du monde).

Le chiffrement en lui même est assez simpliste, il s'agit d'un chiffrement par substitution monoalphabétique pouvant être "cassé" par une bête analyse de la fréquence d'apparition des lettres et un peu de logique (je pense qu'un grand nombre d'écoliers ont déjà communiqué avec leurs potes en cours en mettant au point un truc comme ça)

Vu que sur iTunes on nous que cette application est "Developped by the National Security Agency", on s'attend à avoir une application ultra protégée. En réalité, pas du tout. En se balladant dans le dossier de l'application sur un iPhone jailbreaké, on peut tomber là dessus :

MeiK:/var/mobile/Applications/1EA019DB-BBD6-4414-81C2-CFF692C3D07B/Documents/PuzzlePacks root# ls -l

total 48

-rw-r--r-- 1 mobile mobile 12970 Nov 26 15:28 CCPPFamousQuotes.xml

-rw-r--r-- 1 mobile mobile  6771 Mar 23  2012 CCPPGreenFacts.xml

-rw-r--r-- 1 mobile mobile  6948 Nov 26 14:35 CCPPPopCulture.xml

-rw-r--r-- 1 mobile mobile  5510 Mar 23  2012 CCPPStemTrivia.xml

-rw-r--r-- 1 mobile mobile  5696 Nov 26 14:39 CCPPWorldCulture.xml

MeiK:/var/mobile/Applications/1EA019DB-BBD6-4414-81C2-CFF692C3D07B/Documents/PuzzlePacks root#

Dans chaque fichier XML, on va retrouver en clair les citations. Dans l'exemple montré en début de post, on voit que c'est la quote #18 de la catégorie "World Culture & Cuisine", du coup on va chercher la 18e quote du fichier "CCPPWorldCulture.xml" qui est "Some airlines won't allow transport of canned Swedish surstromming (fermented Baltic herring) because cans have been known to explode."...

De la triche quoi.

[1] C'est pas les seuls :-)

Test du casque Parrot Zik

Après quelques semaines d'utilisation du casque "Zik" de chez Parrot, je me suis dit que ça pourrait peut-être valoir le coup d'écrire une petite review sur ce blog.

Présentation du produit

Le Zik est présenté comme un casque audio sans-fil haut de gamme (au même titre que des casques de référence comme le Bose QC 15 par exemple) en raison de ses fonctionnalités (très nombreuses) mais aussi de son prix (349 euros au lancement).

Fonctionnalités

Le casque présente un très grand nombre de caractéristiques et de fonctionnalités :

- sans-fil (bluetooth et fonctionne via le protocole A2DP)

- annulation active du bruit via de multiples capteurs

- parrot concert hall (permet de simuler un effet concert donnant l'impression que le son vient de devant)

- equalizer embarqué dans le casque

- appairage via NFC

- contrôles via un pavé tactile (volume, pause, morceau suivant/précédent)

Test

J'ai toujours eu besoin, quel que soit mon casque, d'activer un equalizer afin de corriger un éventuel biais introduit par la qualité du casque (et à peu près tous les casques en ont un j'ai l'impression). Typiquement je me contente d'un equalizer "rock" qui rend un son à peu près potable, surtout sur du mp3 à la qualité variable (on pourrait aussi s'enliser dans un troll à ce sujet, mais on va s'en passer). Toujours est-il que dans le Zik, sans activer d'equalizer, j'ai à peu de choses près le son que j'attends d'un morceau de musique donné. Je ne suis pas non plus un puriste extrême, de toutes façons, quand on écoute (entre autres) du black metal enregistré dans un garage, plus ça sature, mieux c'est. J'ai pu constater une baisse de la qualité audio en fonction de l'usage ou pas du cable jack. Avec mon dongle bluetooth un peu pourri payé 13 euros en grande surface, l'écoute en A2DP dans un endroit silencieux s'est révélée assez douloureuse pour les oreilles. Une écoute depuis un iPhone en A2DP semble déjà plus écoutable. Avec le cable jack fourni, j'ai pu entendre certaines subtilités dans certains morceaux de musique (au point d'arriver à entendre la respiration de musiciens de l'orchestre dans une interprétation des Quatre Saisons de Vivaldi !)

Le casque se configure via une application iPhone ou Android, gratuite, qui communique via bluetooth. Elle permet l'activation/désactivation de l'ANC, du Parrot Concert Hall et de l'equalizer, puis aussi d'effectuer la mise à jour du firmware, changer le nom du device qui apparaîtra dans un scan bluetooth ainsi que vérifier l'état de la batterie.

Au niveau de l'isolation active du bruit (ANC), c'est tout à fait correct et conforme à ce que j'attendais. Lors de mon premier contact avec l'outil, dans une grande chaîne de magasins qui vend "de la culture" (en boîte) et qui vend également ce casque, je n'entendais plus la musique d'ambiance du magasin, ni le brouhaha des gens qui se demandaient s'ils devaient acheter le MacBook exposé 2m plus loin ou un 4x4 (au même prix (presque)). Il n'y avait pas de musique dans le casque, juste l'annulation du bruit. J'entendais par contre, tout doucement, un vendeur juste à côté qui essayait de refourguer un produit à un hypothétique futur client.

Après l'achat, et depuis bientôt 3 semaines, je l'utilise entre autres dans les transports en commun. On entend la musique, et rien que la musique. Sauf certains cas exceptionnels où on peut distinguer l'horrible grincement des roues du matériel de la RATP en raison de son grand âge (j'exagère, le matériel a tout juste 40 ans sur ces lignes là, il en a pour encore une dizaine d'années). Un test dans un bar parisien il y a quelques jours s'est également révélé concluant.

En comparaison avec mon précédent casque à isolation du bruit, le Zik est nettement plus efficace.

Je ne vais pas spécialement m'étendre sur le "Parrot Concert Hall". En gros ça donne un semblant d'impression que le son provient de devant nous (suivant un angle et une distance qui se règlent (salle silencieuse, salon, club de jazz et salle de concert)). C'est marrant 5 minutes sur certains styles de musique (exemple du blues), mais ce n'est clairement pas une fonction particulièrement utile (elle est désactivée chez moi).

L'equalizer embarqué dans le casque peut également avoir son utilité. Plusieurs presets sont disponibles (punchy (qui est très proche du preset "rock" que l'on rencontre ailleurs), crystal, etc). Il est également possible de faire son propre réglage ("Utilisateur1"). D'après une info rencontrée sur le forum Parrot, dans une mise à jour à venir il sera possible d'enregistrer plusieurs réglages personnalisés (contre un seul à l'heure actuelle). Ensuite, la qualité du rendu du casque, de base, étant convenable, il m'arrive de désactiver l'equalizer. A ce niveau là, ça dépendra du goût de la personne qui écoute (mais il est inconcevable d'écouter certains morceaux sans booster les basses parfois).

D'ailleurs puisqu'on parle de mises à jour, lorsque l'on branche le casque sur le port USB d'un PC (c'est ainsi que se charge la batterie de l'engin, mais j'y reviendrai plus tard), un périphérique mass storage de 10mo apparaît. C'est dans celui-ci que l'on dépose un fichier "PLF" (un format proprio de Parrot) qui permettra d'effectuer la mise à jour du firmware du casque lorsque lorsque l'on ne dispose pas d'un iPhone ou d'un téléphone sous Android. Une fois reversé, le fichier PLF contient plusieurs "sections" dont peuvent être extraits un certain nombre de fichiers, dont un kernel (qui semble être "ECOS") ainsi qu'un rootfs. D'ailleurs c'est blindé de sqlite tout ça, ce qui est assez déroutant (de se dire qu'on a du sqlite en marche autour de la tête). Voilà, ça c'était pour la minute reverse engineering du post (pas très poussé je le reconnais).

Je n'ai pas testé l'appairage via NFC, ne disposant pas d'un téléphone compatible, mais il semblerait que ça soit pour simplifier l'étape extrèmement compliquée d'appairage bluetooth qui consiste juste à choisir le device dans la liste d'équipements bluetooth détectés à portée et sans avoir de PIN à saisir (de toutes façons c'est 0000).

Les contrôles du casque quant à eux se font via un petit pavé tactile sur l'écouteur droit. Une tape simple pour mettre en pause/reprendre la musique ou un appel, pour monter ou baisser le volume il suffit de faire glisser son doigt vers le haut ou vers le bas, et vers l'avant ou l'arrière pour passer au morceau suivant ou précédent. Il existe aussi des combinaisons pour gérer le double appel, mais n'utilisant absolument jamais cette fonction, je n'ai pas la moindre idée du fonctionnement (mais vous saurez qu'elle est prise en compte par le casque). Bon du coup ça donne la possibilité à n'importe qui de faire un DoS sur nos oreilles en venant tripatouiller l'écouteur après avoir spoofé notre identité (mouahah).

Le tout est assez massif, mais je n'ai ressenti aucune gêne après de longues heures d'utilisation. De toutes façons, en mode A2DP + ANC, le casque ne tient pas plus de 5 à 6 heures (je n'ai pas encore eu trop l'occasion de tester juste l'ANC en mode connecté via prise jack afin de voir l'autonomie). Certains se plaindront que 5-6 heures ne suffisent pas pour leur trajet en avion, mais le "mode avion" du téléphone désactivera le bluetooth de  toutes façons, donc ils devront brancher leur casque à la prise jack, et l'autonomie sera peut-être plus longue (à tester du coup).

Défauts

Je déconseille formellement l'écoute de musique avec le cable jack lorsque le casque est en charge (en USB) sur un PC. Il doit y avoir une masse flottante ou un truc dans ce genre là qui fait qu'on entend de gros bruits parasites. Il aurait peut-être été amusant que le casque, lorsque branché en USB, soit reconnu comme un périphérique audio (comme les cartes son sur port USB quoi) par l'ordinateur, afin de ne pas avoir à brancher de cable jack, mais ça n'est malheureusement pas le cas.

Une fonctionnalité est décrite dans le manuel, mais n'est pas implémentée : le lancement de la reconnaissance vocale du téléphone (genre SIRI pour ceux qui ont un iPhone 4S) lors d'un toucher "long" (2s) sur le pavé tactile du casque. Ca permettrait de ne pas avoir à sortir son téléphone lorsque l'on s'en sert pour passer des appels, pour saisir le numéro ou le dicter. La fonction est décrite dans le manuel, ils ont probablement eu un peu de retard pour la sortie du casque et n'ont pas implémenté ça, donc ça viendra sûrement plus tard (après tout, lors de la sortie du casque, il n'y avait pas d'application mobile disponible).

Le casque n'est également pas fourni avec un adaptateur pour avion 2x mono vers 1x stereo.

Un autre truc qui manque cruellement, c'est une application permettant de contrôler le Zik en bluetooth depuis un PC sous Windows, MacOS X ou encore Linux, ou du moins, une API permettant de développer une telle application. Car supposons un instant que j'écoute de la musique en A2DP depuis mon PC (bon, la qualité, dans ce cas là, est vraiment atroce en raison de limitations propres à l'A2DP, mais imaginons) et que je veuille changer un paramètre (le parrot concert hall, ou l'équalizer), eh bien je ne peux pas sans déconnecter le Zik du PC, l'associer au téléphone, faire le réglage, déconnecter du téléphone et réassocier au PC. Assez pénible comme manipulation. Alors certes, ce n'est pas le genre de manip qu'on fait tout le temps, mais le contrôle du niveau de batterie du casque, vu son autonomie, oui. Il doit être possible, après un peu de reverse engineering et de sniffing du protocole de communication en bluetooth de déterminer quelles sont les instructions envoyées au casque.
Puis on aimerait bien (du moins, c'est mon cas), avoir la possibilité de modifier le PIN bluetooth du casque.

D'ailleurs, le jonglage avec différents équipements associés au casque s'avère assez pénible (par exemple passer du téléphone à la tablette). Mais je suppose que sur ce point là, c'est un peu le cas de chaque équipement de ce style. L'utilisateur lambda utilise probablement son casque avec un unique téléphone, et non pas la panoplie complète du technophile.

Il y a quelques petits bugs de temps à autres, mais sur ce point, les développeurs de chez Parrot sortent des mises à jour de temps en temps (je suis passé par tous les firmwares en 3 semaines). Seul un bug semble résister (mises en pause intempestives sans qu'aucune commande n'ait été initiée). Un correctif serait à l'étude, il paraït, mais ce bug reste rare (3 fois en 3 semaines).

Le plus gros défaut, et là c'est assez scandaleux, c'est l'autonomie du casque. Entre 5 et 6 heures en mode equalizer + ANC. Je vois pas trop quoi ajouter à ça. Dans mon cas actuel ça ne me dérange pas spécialement, j'ai toujours une prise USB à proximité pour recharger le casque, mais ce n'est pas forcément le cas de tous les autres utilisateurs. Certains souhaiteraient pouvoir acheter des batteries supplémentaires, mais personnellement je ne me vois pas me trimballer un set de batteries dans mes poches ou mon sac. Heureusement qu'on a la possibilité de continuer l'écoute de la musique sans batterie.

Conclusion

Après 2-3 semaines d'utilisation (j'allais quand même pas écrire cette review après 2h d'utilisation quand même), je trouve ce casque plus que correct. J'ai été agréablement surpris par la qualité du son (encore que vu mes casques précédents, ça ne pouvait pas être pire) et par les fonctionnalités qui en font un casque relativement unique dans sa catégorie (il n'y a pas, à ma connaissance, de casque concurrent présentant les mêmes fonctionnalités, même si ce que l'on attend d'un casque c'est qu'il restitue de la musique de manière correcte, ce que fait parfaitement le Zik). Il a malheureusement quelques défauts "de jeunesse", mais qui peuvent, en théorie et pour la plupart, être corrigés par une mise à jour du firmware

Je pense avoir à peu près tout dit, mais si certains points demandent un éclaircissement, la section commentaires est encore accessible !