Sur le forum Usenet sci.crypt, un certain Beale Screamer a annoncé qu'il avait réussit a cracker le Digital Right Management de Microsoft.

Cet ensemble de composants est censé faire respecter les droits que les licences accordent aux utilisateurs. Ainsi un éditeur peut vous accorder une licence vous permettant d'envoyer tutut.wma vers les baffles, mais vous interdira de l'expédier sur le réseau.

C'est MS-DRM qui s'occupe du respect des licences en utilisant des canaux cryptés (de manière à éviter l'espionnage) entre des composants certifiés (de manière à éviter les indésirables).
Le crack de Screamer permet de délivrer le fichier des restrictions qui lui ont été attribués. Pour arriver a ceci, il a exploité les failles du schéma :
- Pour avoir des canaux cryptés, il va falloir que l'OS stocke des clefs privés qu'il aimerait vous cacher;
- L'OS peut certifier des composants, mais l'inverse n'est pas vrai. Un composant n'a pas de moyen de vérifier que l'OS est sain.

Screamer aprés avoir bien détaillé la cuisine interne, indique ses motivations à la fin du message. Il s'adresse aux utilisateurs, à Microsoft, aux DOJ, aux artistes, aux éditeurs. Il n'a pas travaillé la dessus pour qu'on se mette à déchirer toutes les licences mais pour attirer l'attention sur une situation qu'il pense préoccupante.
Microsoft a indiqué qu'il corrigerait promptement pour contrer l'exploit. Screamer précise que ca leur sera effectivement facile et conseille de ne pas upgrader.

Les jeux suivant vous intéressent?

Heroes of Might and Magic III
Railroad Tyconn II Gold
Soldier of Fortune
Quake III
Descent III
Heretic II
Myth II
Heavy Gear II

Cela tombe bien, ils sont bradés à maximum $9.99

C'est le moment d'acheter : bientôt les jeux estampillés par Loki seront collector ;-)

Le Défi'Con, pour ceux qui ne le connaissent pas encore, est un petit pari mensuel à vocation purement ludique visant à exercer nos connaissances avec un maximum d'imagination et de perversité (ie scripts root et manipulation de devices bienvenus :).
Le nouveau défi consiste, ce mois-ci, à trouver un moyen subtil de synchroniser facilement l'utilitaire ical entre ses différentes machines. Les interessés pourront trouver plus de détails à l'URL ci-dessous. Bonne chance !

NB: la page du défi est en pleine construction, de même que la V2 du site parinux qui l'entoure, alors soyez indulgents et ne vous étonnez pas de croiser de nombreuses erreurs 404. Le plus important, c'est-à-dire le dernier défi, est lisible, et ça c'est le plus important :)

La Red Hat 7.2 vient de sortir avec, comme nouveautés :

Kernel 2.4.7
Système de fichiers journalisé Ext3
Outils de configuration réseau, firewall, matériel, gestion des utilisateurs
Support USB amélioré
Mozilla remplace Netscape
Les dernières versions de Gnome (1.4) et KDE (2.2)
Les serveurs seront sûrement saturés. Je conseille quand même d'attendre quelques jours avant de se lancer dans un téléchargement.

Note du modérateur : un grand merci à tous pour avoir proposé cette news. Une mention spéciale à lio et à l'anonyme qui sont les deux seuls à savoir écrire le mot "miroir" :P

Le CEO de TransGaming a été interviewé par le site de jeux GamespyDaily. Pour rappel, TransGaming est la société qui développe WineX et qui a récemment passé un accord avec MandrakeSoft pour la création de la distribution Mandrake Linux Gamer Edition (sortie prévu le 9 novembre).

Les questions portent sur la société en elle-même, sur Wine, et surtout sur la licence utilisée par WineX, ainsi que sur des points techniques. On apprend également que TransGaming compte porter des jeux Windows sous Linux.

Pour motiver les développeurs sur GNUStep, une vente de T-Shirt a été organisée et le fruit de la vente (400$) servira à financer un développement pour GNUStep lui-même ou d'une killer-app utilisant GNUStep.

Tous les projets sont les bienvenus, GNUStep ayant fait un sacré bon en avant ces derniers temps, il suffit de regarder l'application GNUMail.app pour en être convaincu.

Sylpheed-0.6.4 est sorti !!

Pour info, sylpheed est ce qu'on appelle un "mailer".
Il dispose d'une interface graphique gtk, mais le gros avantage, c'est qu'il possède une foultitude de raccourcis clavier qui vont séduire les fans de mutt, pine et autres engins en mode texte...

Pour les "features" et le "changelog", voir le lien ci-après...

Certains d'entre vous connaissaient peut-être l'excellent site de Hrvoje Crvelin, qui regroupait bugs, solutions et exploits depuis 1996.
Il a malheureusement décidé d'arrêter ce travail le 9 septembre dernier, laissant bon nombre d'administrateurs en manque d'une source d'informations claire et concise.

Pour y remédier, une association vient de faire renaître Security BugWare.

Cette faille a été découverte par Christophe Casalegno et Aurélien Cabezon.
Webmin souffre d'un problème de sécurité concernant la création temporaire de fichier qui peut être utilisée pour compromettre le compte root.

En effet, Webmin crée des fichier temporaires dans /tmp qui ont les permissions : -rwxrwxrwx (777) et qui appartiennent à l'utilisateur root (ex : commandes personnalisées). N'importe qui peut modifier le fichier créé pendant l'exécution de la commande par le système. Il suffit donc pour l'attaquant de rajouter une commande dans le fichier, qui sera exécutée par le root. L'attaquant pourra donc à loisir, lancer des commandes, créer/effacer/modifier des fichiers/répertoires, etc...
Exemple:
Il suffit de rajouter la commande suivante à la fin du fichier temporaire crée par webmin pendant son exécution pour gagner les privilèges de root:
cp /bin/sh /tmp/.backdoor vous donnera un shell root dans /tmp
Le problème est situé dans le script run.cgi qui crée le fichier temporaire en lui donnant de mauvaises permissions.
$temp = &tempname();
open(TEMP,">$temp");
...blablabla...
chmod(0777, $temp);
Pour fixer le problème il suffit de hanger la ligne chmod(0777, $temp); par chmod(0700, $temp);

Note du modérateur : Il ne semble pas y avoir de confirmation sur le site de Webmin. En outre, webmin 0.89 devrait sortir sous peu.

La version 1.2.1 de balsa est disponible. Pas mal de petites modifs et corrections ont été faites depuis la 1.2

Pour ceux qui ne le connaissent pas, Balsa est un lecteur de mail pour gnome.

Ca y est, il est là ! Plus besoin d'utiliser XEmacs pour avoir la couleur en mode texte ! Pour ceux qui ne connaitraient pas Emacs (il y en a ?), c'est un éditeur couteau suisse, et même un mini OS à lui tout seul, une sorte de légende créée en 1985 par une autre légende, Richard Stallman, le responsable de la Free Software Foundation à l'origine de la licence GNU GPL.

Note du modérateur: il n'existait pas d'accès anonyme aux sources de Emacs21, c'est enfin le cas. Depuis le temps que beaucoup le demandaient... Notez qu'il est disponible en package debian sur debian.linuxfr.org pour potato.

Update: le package Debian de la release officielle est maintenant en ligne sur debian.linuxfr.org, les sources apt ont elles aussi été mises à jour...

Nouveau résumé Gnome cette semaine (en fait, deux ;-)

Au menu (entre autre) :

1. Préversion de cette traduction
2. Aaron (de Ximian) synthétise la liste des fonctionnalités les plus demandées pour GNOME 2.0
3. Gnomehide est maintenant disponible
4. Efforts pour porter GNOME Core et GNOME utils sous GNOME 2
5. Le nouveau site GNOME est sur les rails
6. Coup d'oeil au sein des politiques de motivation de Ximian
7. Examen de GNOME et du XML
8. L'accueil de nouveau membre a la fondation GNOME, ainsi que de nouvelles élections sont pour bientôt.
9. Bulletin Hebdomadaire d'Abiword n°55
10. Un paon se dévoile
11. Traduction des Résumés GNOME
12. Développement
13. Logiciels, nouveautés et mises à jour

Voila.

KaZaA, un programme de peer2peer permettant d'échanger tous types de fichiers, vient d'être porté sous GNU/Linux. Ses avantages sur Gnutella : plus d'utilisateurs, moins de trafic et plus grande rapidité grâce à son système de "supernodes" (voir le lien).

Cette annonce intervient peu de temps après le changement de protocole visant à empêcher le développement d'un client FasTrack libre (giFT)...

Il s'agit pour le moment d'un client fonctionnant en console, avec une interface sommaire, et auquel manquent beaucoup de fonctionnalités de la version windows, mais les auteurs promettent dans le readme des améliorations rapides, ainsi que des ports vers *BSD, Mac OS X, BeOS et Solaris.
Les premiers tests que j'ai effectués n'ont posés aucun problème, et tout serait donc parfait si...

Vous vous en doutiez sûrement, ce client n'est pas open source, et encore moins libre. Mais surtout, la licence sent très très mauvais (mais il vous faudra télécharger le client pour la lire, ce n'est pas la même que celles du site. On peut y lire notamment -sur le site aussi, pour ça- que la licence peut changer à tout moment, sans prévenir les utilisateurs, et que le simple fait de continuer à utiliser le client vaut acceptation).

Vu sur Linuxgames.com.

D'après cet article sur Bluesnews, MandrakeSoft, l'éditeur français de la distribution du même nom, et Transgaming, une boîte de développement visant à améliorer la compatibilité de Wine afin de faire tourner le plus de jeux Windows possible sous Linux, ont annoncé ensemble la disponibilité prochaine de la "Mandrake Linux Gamer Edition" pour le 9 novembre 2001. Elle comprendrait la Mandrake 8.1, The Sims (on ne sait pas s'il s'agit d'un portage sous Linux ou de la version Windows qui fonctionnerait sous Wine) et de la "technologie Wine de Transgaming qui permet à beaucoup d'autres jeux Windows de fonctionner sous Linux". D'après eux, cette distribution "marquera le début d'une nouvelle ère pour les joueurs et les utilisateurs de Linux, car le dual boot ne sera plus nécessaire pour jouer".

Prix annoncé de la chose: 69,99$, et tout reste encore à prouver, mais MandrakeSoft et Transgaming semblent bien sûrs d'eux. Si les progrès de Wine et de Transgaming permettent la fin du dual boot, c'est bien, mais des jeux natifs ça ne serait pas mieux?

D'après la directive européenne 91/250/CEE du Conseil datée du 14 mai 1991, il est autorisé d'effectuer un "reverse engeenering" de composants logiciels :

« Les opérations de chargement et de déroulement nécessaires à l'utilisation d'une copie d'un programme légalement acquis, ainsi que la correction de ses erreurs, ne peuvent pas être interdites par contrat; que, en l'absence de clauses contractuelles spécifiques, notamment en cas de vente d'une copie du programme, toute autre opération nécessaire à l'utilisation de la copie d'un programme peut être effectuée, en conformité avec son but prévu, par un acquéreur légal de cette copie »

j'en passe et des meilleures :) Enfin, lisez quand meme le texte de loi avant de faire n'importe quoi, merci ...

Note du modérateur: il s'agit d'une lettre ouverte sur le site Advogato d'un développeur qui demande à Bill de lui laisser accéder aux spécifications de certains standarts fermés de Windows pour les rendre intéropérables avec d'autres systèmes.