Cédric Foll a écrit 158 commentaires

ClamWin n'est pas viable:
http://fr.clamwin.com/content/view/35/27/
En plus pas de gestion centralisée des mises à jours. C'est injouable avec 30 000 PC où les gens cliquent commen des fous sur les .pif en pièce jointe.

En revenche, une fois de plus, nous utilisons ClamAV sur les serveurs pour filtrer les flux SMTP et HTTP! C'est un excellent soft et la réactivité excellente.
Et d'ailleurs vous le trouverez mentionné:
http://asi.insa-rouen.fr/actualite/jtasi2005/presentation_pr(...)
http://www.01net.com/editorial/310536/trophees-des-rssi/l-ac(...)

Le personnel informatique dans les Rectorat est qualifié et correctement payé.
Je suis personnelement ingénieur INSA et j'ai deux collègues INSIMAG.
Coté salaire je suis mieux payé qu'une bonne partie des gens de ma promo (INSA Rouen 2002).

Ce n'est pas tout a fait vrai.
Je suis ingénieur réseau employé dans l'éducation nationale.

La plupart des serveurs de mon Rectorat (environs 80) sont sous linux, de même que la quasi totalité des serveurs des établissements (environs 400), en particulier les distributions slis (www.ac-grenoble.fr/carmi-internet/slis/) et amon (eole.orion.education.fr).
C'est malheureusement la partie non visible de l'iceberg...
Il en est de même dans la plupart des académies.

Les décideurs de l'éducation nationale sont pour la plupart pro-linux. Par contre cela ne redéssent pas jusqu'aux postes de travail des établissements scolaires, faute de ressources humaines en interne.
Qu'on le veuille ou non gérer un poste de travaille sous windows c'est plus simple que sous linux...

Ma base faisant environs 100 Mo.
Le processseur était je crois un PIII 1 à GHz (à moins que ce soit un PIV, je me souviens plus trop).
Disque dur SCSI.

C'est le principe du filtre bayesien.

Thunderbird fait exactement la même chose. De même que bogofilter, dspam, crm114, ...
En fait la différence est que spamassassin fait d'autres trucs en plus alors que ces derniers ne font que ça. C'est à dire que même sans rien avoir apris, spamassassin sait deja classer a peu prêt bien ce qui est spam de ce qui ne l'est pas.

Faudrait que je teste bogofilter à la maison, je me demande si ça pourrait pas passer sur mon p200 avec 160Mo de RAM ?

Sans aucun problèmes!
bogofilter ne fonctionne pas en mode démon, il se lance pour chaque mail mais est super rapide. Sur mon ex MX (un PIII avec 512 Mo de ram) l'analyse d'un message prenait qq centièmes de secondes.

"Comparatif" à vu de nez!

Je reçoit énormément de spam personnelement sur mon adresse non-pro (environs 300 par jours) et spamassassin me les bloque bcp mieux (et fait bcp moins d'erreurs).

Sur les 300, thunderbird m'en bloque environs 290 et par contre c'est là ou le bas blaisse, il m'en met assez souvent en spam à tord.
En fait, à ma connaissance, thunderbird ne fait que du bayesien tout bête, système qui commence à montrer ses limites. Spamassassin de son coté fait bcp plus de tests, mais est bcp plus lent et consomme bcp plus de ressources.

On peut faire pareil.

En fait dspam est utilisable via amavis-new dans les dernières versions.
cf http://www.ijs.si/software/amavisd/release-notes.txt(...)
Cependant je ne l'ai jamais testé.

Je gère le domaine ac-rouen.fr qui contient environs 47 000 mails comptes mails (et qq autres domaines bcp plus modestes).
J'utilise postfix avec amavis-new.

On peut faire tout ce que tu veux (différentes cfg suivant les domaines et les users locaux).

Avec pour comme AV ClamAV (génial) et spamassassin (génial aussi).

Mes 2 MX sont des Bi-Xeon avec 2 Go de ram pour l'un 1Go de ram pour l'autre.

Ca marche top !
ClamAV est vif comme l'éclair et consomme très peu de ressources, en plus les signatures sont très souvent dispos avant la plupart des AV propriétaires. En fait il semble que seul Kaspersky soit plus réactif.
Spamassassin consome par contre bcp plus de ressources, 10 process de 50 Mo chacun chez moi. En fait avec amavis-new ce sont des process amavis mais ça revient au même. En ce qui concerne la qualité du filtrage elle est tout simplement excellente !

Avant cette conf j'utilisait un script shell home-made appelé par postfix et qui utilisait bogofilter et clamav. Ca consommait infinement moins de ressources mais le filtrage anti-spam était bcp moins bon et amavis-new fait pleins de choses supères (gestion de quarentaines, cfg par user, par domaine, notif par mail configurable, ...)

Donc Microsoft s'apperçoit que sur ton ip est disponible le code source de w2000, donc ils contactent ton FAI qui relaie la plainte.

C'est bien légal tout ça ?
Il ne faut pas qu'un juge fasse la demande à la suite d'un dépot de plainte pour que le FAI ai le droit de donner cette info ?
Je croyais que ce genre de truc ne pouvait pas être fait (ie une société privée obtienne d'un FAI la correspondance entre IP et personne).

Est ce vraiment le cas dans cette affaire ?

Je l'ai trouvé en effet: http://www.01net.com/article/234176.html(...)

Donc on va avoir des av, de l'anti-spam et même des pare-feu. Génial!
Mais quand même 3 000 000 de boites ça calme!

mettre une solution anti-spam chez toi et chez un ISP c est pas vraiment la meme chose , surtout en terme de ressources...

Ce n'est pas chez moi.
C'est sur le domaine où je suis admin et il y a plus de 50 000 boites. Je suis certains qu'ils ont beaucoup plus de boites que moi mais on peut faire pleins de choses pour diminuer la charge. Ca peut être aussi con que du round robin DNS, la définitions de pleins de MX secondaires ...

J'ai oublié de dire que la première était bcp moins performante sur un gros fichier et que Ruby bossait par defaut en multi-précision:

cedric@follc:~/tmp$ ruby -e 'for i in 1..100000;puts rand(10000000000000000);end' > toto
cedric@follc:~/tmp$ time ruby -e 's=0;while gets do s += $_.to_i end;puts s' < toto
499355529220014254738

real 0m1.828s
user 0m1.780s
sys 0m0.000s


Oui, je sais ça calme ;-)

Mes deux solutions en Ruby.

cedric@follc:~/tmp$ cat toto
1
2
3
4
12

Number one:

cedric@follc:~/tmp$ ruby -e 'puts eval($stdin.gets(nil).split("\n").join("+"))' < toto
22

Number two:
cedric@follc:~/tmp$ ruby -e 's=0;while gets do s += $_.to_i end;puts s' < toto
22

Oui mais coté user ça signifie que pour poster un mail avec son adresse aol faut être sur un pc connecté au net via aol.

Par exemple mes parents ont une adresse mail chez free (parce que c'est leur ancien provider) mais maintena ils ont changés de FAI. Il utilisent donc la passerelle SMTP de leur nouveau FAI.
Donc si free fait ça, leurs mails vont avoir un fort coef de spamicité. Completement crétin.
C'est pareil avec les adresses @laposte.net.
Je poste from laposte.net en passant par un SMTP de wanadoo. Tout ce qui vient laposte.net est deja considéré louche par bcp, avec ça mes destinataires ne risqueraient plus de recevoir grand chose.

Non.
C'est pour montrer que le principe de la mécanique quantique selon laquelle une particule peut être a plusieurs endroits à la fois est incompatible avec la vie réelle (ie le chat est mort et vivant).

Ca finira forcément par converger parce que {signature(fichier), fichier appartenant Univers} est fini (à moins qu'on l'on tombe sur un cycle ce qui est autement improbable à mon avis.)
Par contre on peut espérer que dans la pratique ça ne converge jamais (les algo de hash doivent avoir une proba de colision minimale).

La solution serait d'inventer un format de fichier pour gérer celà.
Par exemple un xml qui intègre un fichier et sa signature.

J'ai installé un serveur de mon réseau sous Fedora.

L'installation n'est pas dutout plus compliqué qu'avant et on a comme gros avantage d'avoir déjà installé yum (clone de apt).

Donc faut pas trop s'inquiéter.
Le seul problème pour nous c'est qu'il va falloir upgrader un bonne trentaine de serveurs d'ici début janvier :-(.

Pour les raisons suivantes:
1) Ca ne tiendra jamais la charge. Spamassassin est très lent et consomme pas mal de ressources.
2) Si tu met le même filtre anti-spam partout il va vite être contourné. Il est assez facile de forger un mail contournant spamassassin. Ce qui fait la force des filtres anti-spam c'est leur variété. Si spamassassin est éfficace c'est parce que peux de réseaux l'utilisent (de même que bogofilter, crm114, ...).
3) Il y aurra tjs des faux positifs. Donc il faut mieux juste tagger.

Bien sur.

Le prochain cvs des sources de Mozilla je l'envoie à une école/entreprise/institution qui n'as pas internet haut débit. Promis. J'aurrai fait ma bo.

De toute façon personellement je continuerai à l'acheter avec ou sans CD. C'est vraiment, avec MISC, ce qui se fait de mieux en mag informatique technique.

En ce qui concerne la qualité du CD je suis certain qu'il y a des choses intéressantes mais en aucun cas 100% pour tout le monde. Disons que 20% sont utile pour une personne donnée. Ca ne fait plus que 120 Mo à dl. C'est très vite fait avec un ADSL 512 et on aurra en plus qq chôse de plus récent (a fortiori avec du CVS).

En plus je pense que depuis janvier 2003 il y a eu bcp de gens qui sont passés au haut débit.

Serait il possible de faire un sondage sur la page d'accueil de linux-mag: "pour ou contre un linux-mag sans CD" ?

Suis je le seul à regretter que l'on ne puisse pas obtenir linux-mag sans le cd qui va avec ?

Depuis que la plupart des gens (tout du moins ceux utilisant linux) on une connection haut débit chez eux ou au travail la présence d'un tel CD devient supperflu (j'ai pas dit TOUS mais à mon avis l'écrasente majorité).

Je me retrouve avec des tas de CD qui me servent de dessous de tasse parce que ça me fait un peu mal au coeur de les foutre à la poubelle.

Et pour les furieux, je crois que etherreal comprend le protocole edonkey.
C'est en effet le cas pour le pkg debian/testing.

J'ai écrit un petit truc là dessus sur la ml snort-sigs qui permet de bloquer le traffic e-donkey en utlisant snort comme IPS (en balançant des RST lorsque l'on détecte une demande de connection e-donkey). Je le fais fonctionner sur un réseau sur un réseau de 500 postes et ça marche top.

cf http://marc.theaimsgroup.com/?l=snort-sigs&m=106563019211265&am(...)

Pour bloquer le traffic il suffit de rajouter un resp:rst_all dans les règles.

Il n'est pas possible, à ma connaissance, de faire ça au niveau iptables à moins d'utiliser des modules externes.

Il est possible de choisir n'importe quel port pour faire serveur (genre 80) donc ça n'est pas suffisant.
Par contre tous les postes dans un réseaux naté sont lowid (ils ne peuvent pas recevoir de connections depuis l'exterieur).
Mais on peut très bien faire du e-donkey en étant lowid. Le download est moins rapide mais le upload n'est pas diminué.

Perso j'en suis à 250 par jour sur mon adresse à laposte.net.
Je fais parti comme toi des exeptions.
C'est sur que si les 50 000 boites de notre domaine en recevaient autant que moi on aurrait un léger problème ...