Je voudrais faire un bac en info avec une spécialisation en cybersécurité, mais je me demandais s'il reste encore des opportunités pour les nouveaux diplômés ou si je vais me retrouvé avec un bac qui me sert à rien et devoir peut-être tout recommencer.

Salut tout le monde,
On essaie de se faire une idée de la réalité du marché TI montréalais cette année, et les sondages de salaires sont souvent désuets. Si vous avez été embauché ou avez changé de poste en 2026, pourriez-vous partager votre expérience?
Format suggéré :
Titre du poste :
Domaine : (support, sysadmin, cybersécurité, dev, réseau, cloud, etc.)
Années d'expérience :
Salaire annuel (CAD) :
Type d'entreprise : (PME, grande entreprise, jeu vidéo, gouvernement, consultation, etc.)
Mode de travail : (présentiel, hybride, télétravail)
Avantages : (assurances, REER collectif, vacances, bonus, budget formation/certifications, etc.)
Aucun nom d'employeur nécessaire, seulement des chiffres et des conditions pour mieux se situer. Vous pouvez aussi nous dire si les offres vous ont semblé meilleures ou moins bonnes que l'an dernier.
Merci d'avance, ça va sûrement aider beaucoup de monde! 🙏

Security by obscurity is dead.

Le seul point qui me rassure c'est que je ne m'en sert plus!

Je considère extraire la key du device, télécharger le firmware et tenter de faire un service local web based pour le contrôler et capter le feed vidéo :)

Je me demande si 1) il y a un microphone et si oui 2) si je pourrais l'utiliser pour faire un genre de "sentinel". Ex il y a un bruit la nuit dans la maison, la balayeuse se réveil et va faire une ronde en filmant.

To be continued..

---

SECURITY.md (findings so far)

• Secrets in the APK: these are readable by anyone who unpacks it.
• Vendor CLIENT_ID/CLIENT_SECRET
• Tuya app key/secret
• Coolkit app IDs
• Tange AppId
• OneLogin/Tencent keys, Umeng push key/secret, JPush key
• Weak vendor API signing: the sign header is md5(client-id + timestamp + key), using a key that ships in the app. Anyone can forge requests that look like the official app. The request body isn't signed.
• Password sent as typed: the login password goes to /v5/client/login-with-password without hashing, so it's protected by TLS alone.
• OTA endpoint with no auth: POST https://iot-cn.useerobot.com/coolkit/ota/version skips signing entirely. Anyone who knows or guesses a model, PN and device_id can query firmware metadata and download links.
• The vendor holds your Tuya login: the backend issues the Tuya username and password (third_reg_uuid / third_password). If the vendor backend is compromised, the attacker gets cloud control of the devices.
• Production app points at test servers: it uploads logs to api-test.useerobot.com/v1/test-log/upload-app-log.
• Large native attack surface: OpenSSL 1.1 (libcrypto.1.1.so, end of life), ffmpeg/ijkplayer, WebRTC, the V8 engine and a P2P SDK all ship inside the app.
• Firmware: nothing has been checked yet. Whether images are signed, and whether the download URLs use HTTP or HTTPS, still needs a firmware sample.

PRIVACY.md (signals so far)

• Permissions that could be used for snooping:
  • CAMERA
  • RECORD_AUDIO, MODIFY_AUDIO_SETTINGS (wtf)
  • ACCESS_FINE_LOCATION, ACCESS_BACKGROUND_LOCATION
  • READ_PHONE_STATE, READ_PRIVILEGED_PHONE_STATE
  • GET_TASKS
• Bluetooth scan/advertise
• com.google.android.gms.permission.AD_ID
• BROADCAST_PACKAGE_*, SET_WALLPAPER, WRITE_SETTINGS
• Video and audio from the robot: libTGVideoCore, libPPCS_API (P2P), libjingle_peerconnection (WebRTC), libWebAec and libagc (echo cancellation and gain control for two-way audio), and the Thing Camera/Audio/CloudStorage SDKs. Camera models can stream video and audio, and store it in the cloud.
• Many third-party tracking and push SDKs: JPush, Umeng, Bugly (Tencent crash reporting), Huawei/Honor/Xiaomi/OPPO push, and Tencent OneLogin. Several of these are China-based and collect device identifiers.
• Home data held in the cloud: maps and cleaning history live on servers (sweep-robot-cleanning-map, -history, Tuya sweeper storage). That includes the floor plan of your home.
• Three cloud operators: Tuya, CoolKit/eWeLink and Tange, plus the vendor's own backend, all handle device and account data.

Two pieces of verification haven't been done yet and would be worth running before the docs are final:

• Check what the camera and microphone code paths actually do, and whether recording is opt-in.
• Check which SDKs start at launch, before any consent screen.

Salut,

Je compte passer des entrevues pour Revenu Québec, au siège social (3800, rue de Marly, Québec), et j’aimerais avoir le vécu de gens qui y travaillent déjà (ou qui y ont travaillé récemment).

Puisqu'on est de retour au bureau la majorité de la semaine, j’aimerais savoir concrètement à quoi ça ressemble sur place :

- Est-ce des aires ouvertes, cubicles, bureaux fermés ? Y a-t-il des zones silencieuses ?
- Est-ce que l'ambiance est plutôt professionnelle et calme, ou bruyante ou dynamique?
- Il y a-t-il des bureaux escamotables / assis-debout, salles de réunion faciles à réserver, casques fournis, etc. ?

Bref, est-ce que vous êtes quand même content d'aller en présentiel?

Merci, ça va vraiment m'aider à me faire une idée