BAKfr a écrit 76 commentaires

Pourtant je croyais naïvement que leur argumentaire sur la protection de la vie privée de l'internaute aller cartonner

Il faut dire que l'image de Mozilla de défenseur de la vie privée a été sérieusement écornée ces dernières années, avec l'intégration de service propriétaire (Pocket), la présence de Google Analytics sur la page "about:addons", la pré-installation de l'extension/tracker Cliqz sur 1% des téléchargements de Firefox en Allemagne, et l'installation forcée d'une extension de publicité pour Mr.Robot.

Je ne dis pas que c'est du même niveau que Chrome, mais le discours de Mozilla a perdu beaucoup en crédibilité.

MariaDB gère très bien les transactions, et cela depuis sa création en tant que fork de MySQL.

Étrange. Non seulement les chiffres ne sont pas du tout les mêmes chez moi, mais en plus ils ne correspondent pas avec ce que flatpak lui-même indique.

$ du -sh /var/lib/flatpak/runtime/*
1,1G    /var/lib/flatpak/runtime/org.freedesktop.Platform
258M    /var/lib/flatpak/runtime/org.gnome.Platform
796K    /var/lib/flatpak/runtime/org.gnome.Platform.Locale
550M    /var/lib/flatpak/runtime/org.kde.Platform
1,1M    /var/lib/flatpak/runtime/org.kde.Platform.Locale

$ flatpak list -d
org.freedesktop.Platform/x86_64/1.6      flathub 3b442ccf3e8e  -       1,1 GB       system,runtime
org.freedesktop.Platform/x86_64/18.08    flathub b85155963350  -     747,8 MB       system,runtime
org.gnome.Platform/x86_64/3.28           flathub cd176f8f59d2  -       1,3 GB       system,runtime
org.kde.Platform/x86_64/5.9              flathub 42d2df3bf0ea  -       1,6 GB       system,runtime

Les trucs de sandbox contraignantes pour l'écriture de fichiers, c'est toujours pareil pour les applis sur des OS Desktop, ça finit désactivé dans quasiment toutes les applis parce que c'est trop chiant à gérer pour écrire des fichiers utilisateur. J'ai vu le même souci avec les Snaps de Ubuntu (utilisables aussi sur d'autres OS).

De ce coté, je trouve le système proposé par flatpak plutôt bien pensé. Les boites de dialogue de sélection de fichier sont des "portes de sorties" de la sandbox et c'est complètement transparent sous GTK et Qt.
Avec ça et la whitelist des fichiers et dossiers à autoriser, ça couvre déjà pas mal de cas.

Les runtimes de Gnome et de KDE ont plus ou moins la même taille.

Sur mon PC:
org.gnome.Platform prend 1,3 GB
org.kde.Platform prend 1,6 GB

Je n'ai pas retrouvé la procédure exacte que j'avais utilisé, mais il me semble m'être servi de ce post de blog. Il y a aussi ce guide plus récent.

Ça ne lance que openssh-server ou sa lance aussi d'autres softwares?

Dans mon cas, ça ne lance que beardrop, un serveur SSH très léger et avec une config très simple, plus approprié que openssh-server pour ce genre de situation.

Je n'ai aucune idée de si c'est possible d'y ajouter tor.

N'est-ce pas déconseillé d'utiliser ce genre de chiffrement sur les techno Flash (ssd, etc)?

Je ne sais pas si c'est déconseillé, mais en terme de durée de vie du SSD, ça ne semble pas poser de problème particulier.
Mon PC utilise un SSD acheté fin 2014 autour de 120€ (Crucial CT128M550SSD1). Il est chiffré et toutes mes données hors contenu multimédia. J'utilise cet ordi tout les jours ou presque, autant pour le loisir que le travail (beaucoup de télétravail). Je fais énormément de compilation (donc d'écriture disque) puisque le système tourne sous Gentoo.
Aujourd'hui, l'indicateur de "temps de vie" utilisé, reporté par S.M.A.R.T, m'indique 16%. Donc, si l'indicateur est fiable, j'en ai encore pour 20 ans.

Je crois me souvenir qu'il y avait des problèmes éventuelles avec le trim (souvent activé par défaut), qui était recommandé pour les SSD, mais qui pouvait théoriquement permettre à un attaquant analysant le SSD de récupérer certaines information.

J'ai un serveur distant qui est complètement chiffré. Au démarrage, il lance un serveur SSH qui ne permet que de rentrer la clé. Du coup, je perd le redémarrage automatique, mais ça n'a pas d'autre impact sur le fonctionnement.

En pratique, j'utilise un initramfs créé à la main qui contient dropbear pour le serveur SSH. Le chiffrement est basé sur LUKS. Je n'ai pas vu de configuration prête à l'emploi, mais on trouve pas mal de tuto sur le net.

C'est le même mécanisme qu'Ubuntu propose lorsqu'on formate une machine ou rien a voir? :)

Ce sont les mêmes briques de base, donc oui, il y a moyen de créer la même configuration que ce que fait Ubuntu.

Sauf que de nos jours, les mails viennent avec le chiffrement, la mise en forme en fil de discussions, l'autocomplétion des adresses mails, les actions groupées, le drag&drop, un support du HTML beaucoup plus complexe, et des tonnes de détails qu'on remarque très peu, comme la demande de confirmation à la détection des mots "ci-joint" quand tu n'a pas mis de pièce jointe.

C'est vrai que la ratio performance/fonctionnalité a certainement baissé, mais même les clients mails font plus aujourd'hui qu'il y a 15 ans.

Je ne l'ai jamais utilisé, mais il me semble que LXC en mode application fait quelque chose de ce genre là.

Il y a aussi Flatpak qui est prometteur: une application flatpak arrive sous forme d'archive contenant un système de fichier, dans lequel tout est en lecture seule sauf certains dossiers spécifiques.
Pour accéder au système de fichier réel, une application a deux possibilités:

• Définir les chemins demandés dans le fichier de build de flatpak: ces permissions sont normalement affichées à l'installation (ce n'est pas encore le cas par les graphiques comme Gnome Software, mais c'est prévu pour la suite).
• Demander d'ouvrir une boite de dialogue pour sélectionner un fichier en passant par le protocole xdg-desktop-portal. Gtk et Qt sont compatible avec cette API, c'est donc transparent pour le dev.

On peut donc créer un paquet flatpak de façon à ce qu'une application ait un accès seulement vers une liste de dossiers spécifique (au hasard, ~/.local/share/my_app et ~/.config/my_app), et qu'elle soit obligée de passer par une boite de dialogue gérée par le système pour demander à ouvrir un fichier spécifique.

D'ailleurs, il y a pas mal de jeux piratés pour Linux qui utilisent flatpak pour la distribution, et qui s'assure que les jeux ne mettent pas de fichier en vrac dans le dossier home. Les fichiers sont "redirigés" au bon endroit via un système de lien symbolique dans l'archive flatpak.

Le schéma demandé relève du détail technique dont l'utilisateur ne devrait pas avoir à se préoccuper.

Quelle est ta cible d'utilisateurs, exactement ?

En tant que développeur de métier, le contexte dans lequel mon application est exécutée est une des premières choses que je vais regarder. L’environnement de l’application a toujours un impact, plus ou moins important, sur celle-ci.
Dans le cas d'atlas, qu'est-ce qui se passe si je tente d'accéder à des fichiers distants ? À des fichiers présente sur le réseau local de ma machine ? Est-ce qu'il est possible d'ouvrir des ports réseaux supplémentaires ? Est-ce compatible avec un support des websockets ?
C'est tout un tas de cas particuliers qui peuvent changer (ou non) par rapport à une exécution classique, et c'est pourquoi si mes pages web sont servit par une serveur distant, j'ai besoin de le savoir.

Cela ne veut pas dire que je suis contre la simplicité. Si altas permet de commencer à coder sans s'en préoccuper, c'est très bien, et je comprend parfaitement l'argument. Mais la documentation sur ce type de détail technique est indispensable. C'est ce qui va faire la différence entre passer 3 jours pour fixer un bug incompréhensible ou passer 2h avant de comprendre une subtilité de l'implémentation de la lib.

Alors là, oui mais non ! Stop à la course au surarmement ! C'est à cause de ce type de raisonnement qu'on n'a jamais assez de ressources, même si on en a toujours plus.

Dit comme cela, on a l'impression que l'on échange des ressources contre rien du tout, juste pour se faire plaisir. Mais ça n'est pas exact: en pratique, on échange ces ressources contre du temps de développement.

Le temps de dev, c'est souvent la ressource dont on manque le plus. Il y a beaucoup plus de logiciels qui disparaissent ou ne voient jamais le jour par manque de (temps de) dev. Les logiciels qui disparaissent à cause de leurs mauvaises performances sont beaucoup plus rare.

surtout qu'à l'origine le choix du masculin n'a rien de sexiste c'est juste que la forme masculine étant plus simple que la forme féminine, on l'a prend pour défaut. C'est les machos qui ont inventé l'expression "le masculin prévaut sur le féminin" mais à l'origine ça n'a rien avoir.

En fait, il s'est passé le contraire.
Avant la création de l'académie française, on utilisait souvent la règle de l'accord au plus proche.

C'est lorsque l'on a souhaité unifier et normaliser la langue française, avec la création de l'académie, que la prévalence du masculin a été choisie. Cette citation de Claude Favre de Vaugelas, l'un des premiers académiciens, montre bien que ce choix est basé sur l'idée de supériorité de l'homme sur la femme:

Le genre masculin étant le plus noble, il doit prédominer chaque fois que le féminin et le masculin se trouvent ensemble

Ce choix a été pas mal critiqué à l'époque, et le concept de genre neutre semble avoir été créé pour faire taire les critiques.

L'article de Féminisation en français apporte plus de détails.

Il semblerait que la puissance de calcul du réseau Bitcoin soit plus de 250 fois plus importante que la somme des supercalculateurs du top 500.

Donc même pour un état, c'est une angle d'attaque difficile à envisager. Il serait beaucoup plus efficient de prendre le contrôle de plusieurs pool de minage jusqu'à atteindre les 51%.

Mais en pratique, l'attaque des 51% est loin d'être aussi intéressante que cela. Beaucoup de personnes pensent que c'est un joker permettant de faire ce que l'on veut, mais ce n'est pas le cas. Elle n''offre que deux effets possibles:

• Bloquer les transactions sur le réseau. On peux choisir de cibler une transaction particulière, ou de paralyser tout le système. Dans tout les cas, ça dure tant que l'on continue l'attaque: aussitôt que l'on perd les 51%, les transactions vont passer. On peut voir ça comme l'équivalent d'une attaque DDOS.
• Annuler des transactions déjà validées sur le réseau. Là encore, on ne peut valider que les transactions suffisamment récentes: on doit "recréer" une chaîne de bloc à partir du premier bloc que l'on souhaite modifier, jusqu'au présent. Si je veux modifier une transaction datant d'une semaine, il faut en gros repartir de 1000 blocs en arrière, et miner la chaîne de bloc en rattrapant les autres membres du réseau (qui eux ne s’arrêtent pas).

Et bien sûr, le point le plus important: ça n'est pas possible de faire ça de façon discrète. De par sa nature, la présence de l'attaque et ses effets sont publics.

TD;DR: l'attaque des 51% est un gouffre à pognon monstrueux, et n'offre aucun gain concret, autre que de bloquer le réseau pour un laps de temps donné.

Pour que le système marche, il faut qu'un consensus apparaisse à partir de chaque nœud du réseau, et qu'il ne soit pas possible pour un attaquant "d'imposer" ce consensus.

Un nœud, c'est une instance de client Bitcoin. Si seul le nombre de nœuds était pris en compte, un attaquant pourrait facilement lancer des milliers d'instance de son propre client Bitcoin malicieux, et imposer ses règles par le nombre.

Pou résoudre le problème, il faut que le poids décisionnel de chaque membre du réseau soit déterminée à partir d'une ressource qui ne puisse pas être monopolisé par un seul acteur.

Le Proof of Work répond à cette problématique: d'une part en utilisant la puissance de calcul, ressource coûteuse en énergie (et donc avec un coût monétaire), et d'autre part en incitant fortement les utilisateurs à participer au réseau.

Pokémon Go utilisait les tiles de Google Maps jusque là, mais les données d'OSM sont bien utilisées depuis le début.

L'apparition des Pokémon est fortement influencée par l'environnement, et celui-ci provient directement d'OSM. Les lieux proche des cours d'eau voient beaucoup plus de Pokémon aquatique. Il y a beaucoup plus de Pokémon autour des routes et chemins, y compris les chemins de randonnées qui n'apparaissent que sur OSM. À l'inverse, les lieux marqués comme étant des écoles sont vides de Pokémon.

Certains joueurs s'en sont aperçus, et il y a eu un impact direct sur OSM. Plein de joueurs ont voulu ajouter des rivières ou des églises manquantes, ou modifier des bâtiments marqués à tort comme école. Il y a aussi eu du vandalisme, des joueurs ajoutant des éléments inexistants.

Ça dépend vraiment des cas, et surtout des technologies utilisées.

Par exemple, si tu veux faire une appli graphique en Python qui utilise des ressources (images, fichier de traduction, etc.), tu t'aperçoit vite qu'il n'y a pas de moyen propre de packager cela sous debian.
J'ai un collègue qui y a passé plusieurs jours pour comprendre quels étaient les bonnes pratiques, avant de faire un script moche mais qui fait le travail. Et on parle seulement de faire un PPA, pas de l'intégrer à une distrib.

On peut ajouter à cela que la moitié des libs Python utilisée ne sont pas fournies par les distribs, et qu''il faut soit les packager aussi.

Bref, en dehors des langages compilés, c'est beaucoup plus compliqué.

cela risque de rajouter pas mal de choses en python comme en java, mais c'est normal
ces langages n'ont pas le même usage.

En python, pas vraiment, c'est très simple:

import sys
import os

rep = sys.argv[1]
os.path.isdir(rep) or os.mkdir(rep)

Je dirais même qu'au contraire, on gagne en ligne des qu'on dépasse le cas très simple. Par exemple, on peut tester si une option est passée en argument sans devoir se soucier de l'ordre des arguments:

if "--my-arg-1" in sys.argv:
  action_1()

Je vois plusieurs raisons.

Comme tu le dit, en cas de vol, il y a des mesures qui sont prises immédiatement. Ce n'est pas forcément le cas pour le harcèlement, car justement la ligne est flou entre ce qui relève d'une attitude grossière ou insistance et ce qui est du harcèlement. Par exemple, une série de blague sexiste peut être considérée comme bénigne pour certains, mais perçue comme quelque chose de violent pour la victime. Et du fait de cette limite imprécise, beaucoup de personnes peuvent ressentir le malaise sans pour autant réagir.
Le code de conduite a pour effet de fixer plus précisément cette limite. Il dit que oui, telle et telle action peuvent être considérées comme du harcèlement. Si l'agresseur commence à sortir la défense "oui mais c'était juste une blague/c'est pas méchant", on peut lui montrer ce code et lui dire que non, ce genre de comportement n'est pas toléré ici.

D'autre part, le fait qu'il y ai un code envoie un message politique: Nous savons qu'il y a des problèmes de harcèlement dans le milieu, et nous voulons améliorer les choses. Nous nous sentons concerné par ces problèmes.
Les victimes auront une incitation plus forte à se tourner vers le staff plutôt que de prendre sur elles, et les personnes qui sont témoins d'un acte de harcèlement, qui hésitent parfois à intervenir, auront tendance à réagir plus tôt.

Le rendement de 0.098 W/Gh concerne les Antminer S9, qui sont les meilleurs machines sur le marché. En pratique, ceux qui ont acheté d'autres machines vont les garder le plus longtemps possible pour les rentabiliser. Pour les mineurs pro, ceux qui ont des fermes de calcul, le problème n'est pas directement le coût de l'électricité. Le problème, c'est de rentabiliser la machine qui a un coût d'achat important. Et donc elle minera jusqu'à qu'elle ne soit plus rentable (ou qu'elle soit revendue/jetée pour faire de la place pour les nouvelles machines).
Il est difficile de mettre un chiffre, mais l'estimation des 2,2GW me semble plutôt correct.

Dans le cas d'Ethereum, il y a des travaux en cours pour passer d'un système de proof of work (les blocks sont créés par minage) vers un système hybride mélangeant proof of work et proof of stake (les blocks sont créés par les possesseurs de la monnaie, qui sont récompensés sous forme d’intérêt). Le proof of stake ne consomme quasiment pas de CPU, mais possède d'autres inconvénients pour la fiabilité de la blockchain. D'ici quelques mois, on devrait voir 1% des blocks d'Ethereum générés par proof of stake (une phase de test pour voir comment le réseau réagit).
Bref, cela indique qu'il y a des travaux et des tentatives pour réduire la consommation énergétique des blockchains.

ça donnerait quoi comme dépense énergétique pour gérer mettons 10% des échanges mondiaux ?

C'est difficile à dire, puisque la consommation énergétique ne dépend pas du nombre d'utilisateurs (enfin, seulement indirectement). Si 99% des mineurs disparaissaient, le réseau pourrait toujours accueillir le même nombre de transactions.

La puissance de calcul (et donc la consommation) dépend du prix du bitcoin en rapport avec le prix du matériel pour miner: plus c'est rentable, plus il y a de mineurs. Bien sûr, si 10% des échanges mondiaux étaient gérés par le bitcoin, le prix monterait beaucoup plus.

Tu peux utiliser plus de BTC que ce que tu possèdes, mais uniquement parce que Poloniex possède des réserves de BTC. Poloniex ne peut pas prêter plus de BTC que son stock, contrairement aux banques qui peuvent prêter plus d'€ qu'elles n'en ont en stock.

La blockchain Bitcoin ne le permet pas (ni aucune autre blockchain à ma connaissance).

Mais la technologie "blockchain" elle-même pourrait très bien accepter un négatif. Il faudrait cependant trouver un moyen de définir des règles pour les prêts: comme il n'y a pas de notion de banque et que n'importe qui peut créer des comptes à souhait en quelques minutes, on ne peut pas forcer quelqu'un à rembourser son compte.

J'avais déjà entendu parler des deux projets, mais je ne m'y étais jamais intéressé de près jusque là.
Aujourd'hui, j'ai téléchargé l'application android OpenStreetCam pour tester.
Je précise que j'ai testé en marchant.

L'application est très simple, avec la carte en plein écran et un bouton pour commencer à prendre des photos.
Une fois l'enregistrement démarré, les photos se prennent automatiquement, et il n'y a rien à faire, si ce n'est orienter la caméra vers devant soi. Un autre appui sur le bouton pour couper l'enregistrement, et l'appli nous indique le nombre de photo prise, l'espace de stockage occupé, et le nombre de "points" gagnés.

Les photos sont regroupées sont forme de tracks. On peut voir celles qui sont déjà présentes sur la carte, et celles que l'on viens de créer, sous forme de diaporama. On peut passer d'une photo à l'autre, on tout faire défiler. Cela dit, l'interface a des comportement très bizarres, et je ne sais toujours pas si c'est dû à une mauvaise ergonomie, des bugs, ou des problèmes de chargement des photos.
Les photos ne sont pas uploadées directement (il me semble que c'est configurable). On retrouve la liste des tracks dans "menu" -> "Téléverser", avec un bouton pour tout envoyer d'un coup. L'opération se fait en arrière-plan sans problème, et on peut voir les photos s'ajouter au fur et à mesure depuis leur site web.

Pour environ 30 minutes de marche, j'ai un total de 372 photos. Les photos sont plutôt bien espacées, pas de gros trou ni de photos trop rapprochées. Il m'est arrivé d'attendre sur des passages piétons sans que cela génère plus de photo du même endroit, donc je suppose que l'application utilise principalement la vitesse et le GPS pour déterminer quand prendre la photo suivante.

Le gros point noir, c'est le floutage qui ne marche pas. La grosse majorité des personnes n'ont pas été floutées, même en étant au premier plan. Ça semble être plus efficace sur les plaques d'immatriculations, mais c'est très loin d'être parfait. Et au contraire on retrouve des faux-positifs comme des morceaux de grillage floutés sans raison.
Il n'existe actuellement aucun moyen pour modifier cela soi-même. Il y a un bouton d'ajustement du flou à partir du site internet, mais celui-ci nous affiche un panneau "fonctionnalité en cours de développement".

Après, je suppose que les enregistrements piétons sont l'exception par rapport aux enregistrements depuis une voiture ou un vélo, et que les algorithmes sont plus fiable dans ces cas-là.

Les cookies sont automatique envoyés dans les requêtes HTTP, donc coté Twitter, ils peuvent faire une association cookie-referrer.