Nico C. a écrit 797 commentaires

Oui d'accord mais sur quels éléments tu te fondes pour t'assurer que le certificat émane bien de celui que tu attends ?
Évidemment, il vaut mieux éviter le pur déclaratif et encore plus les informations déclarées DANS le certificat…

En conséquence, la notion même de certificat auto-signé n'a même pas besoin d'être abordée par le navigateur lorsqu'il demande à l'utilisateur s'il veut accepter ou non le certificat.

Et l'utilisateur fonde son jugement sur quoi concrètement ?
Et à terme, ça deviendra une énième pop-up validée sans même jeter un oeil sur ce qu'elle demande…

Oui donc au final il y a toujours quelqu'un qui prend la décision de dire si c'est ok ou pas. Personnellement, je n'aime pas l'idée de trouver un autre responsable que soi-même en cas d'erreur, parce que finalement c'est de ça dont il s'agit, pas tellement l'identification.

Ben ouais, mais en tant que particulier, tu as beaucoup moins de capacité à vérifier un certificat par toi-même… ou alors, explique moi comme tu envisages le truc parce que je suis curieux…

Diffamation ?

Faut pas utiliser les grands mots pour si peu… d'une, Cisco n'a jamais été un grand champion dans la sécurité de ses firmwares et, pire, dans la conf par défaut de ses équipements (bien trop souvent déployés avec cette même conf par défaut). Et de deux, Cisco n'a jamais fait la fine gueule pour aider joyeusement son gouvernement. La vraie question étant, pendant combien de temp la NSA a t'elle vraiment vraiment agi dans le dos de Cisco ? Des rumeurs sur ces détournements existaient depuis bien longtemps (la 1ère fois que j'en ai entendu parlé sans vraiment le croire évidemment, c'était en 2003-2004), il serait étonnant que Cisco n'ait pas investigué un minimum sur le sujet.
Et de trois, Juniper s'est fait gauler (mais a surtout eu l'honnêteté de dévoiler publiquement le problème), sommes nous vraiment sûrs que Cisco n'a rien à se reprocher de ce genre et aura l'honnêteté de l'annoncer publiquement si jamais il découvrait qqch ? Personnellement, connaissant le passif de Cisco sur la publication des failles, j'ai comme un doute…

Quel ton vrai problème derrière tout ce déluge d'octets ?

Si j'ai bien compris, 2 choses :
1 - le prix des certificats
2 - le message d'alerte en cas de certificat invalide ou autosigné

Concernant le prix des certificats, tu te trompes. Déjà, le prix moyen d'un certificat standard tourne autour des 50$/an environ. On en trouve même des gratuits chez RapidSSL pour une utilisation personnelle (à renouveler tous les ans).
Je trouve ça plutôt raisonnable globalement.

Pour le problème du message d'alerte, faut pas oublier que la principale utilité des certificats jusqu'à aujourd'hui concerne les paiements en ligne pour le commun des mortels. Les gens ne lisent pas les messages, ils voient juste les couleurs effrayantes et éventuellement le titre du message. Pour leur faire comprendre qu'il y a un risque, il faut vraiment envoyer un message fracassant.
Toi, moi et tous les gens qui fréquentent ce site et qui savent de quoi parle ce message et ce que veut dire "autosigné" représentent même pas 0,001% de la population. Va t'on faire prendre un risque trop important pour 99,999% de la population à cause d'un message d'alerte trop complexe pour satisfaire le désir de pinaillage technique de qq geeks ?

Et puis, le laïus sur les tiers de confiance auxquels tu n'as pas confiance. OK sur le principe. Sauf que ta solution de remplacement est carrément plus nulle car comment valider soi-même que le mec qui te présente un certificat est bien celui qu'il dit être ? Tu vas le voir personnellement ? Tu vas visiter sa baie ? tu envoies un mail à postmaster et tu attends qu'il te réponde ? Tu fais une key-signing-party tous les WE à l'échelle mondiale ?
Les tiers de confiance ne font que de la vérification automatisée pour les certificats pas chers (ils font bien mieux pour les certificats plus chers) mais ce minimum syndical assure tout de même que le mec qui demande un certificat pour un domaine est en lien avec celui qui détient le domaine.
Les tiers de confiance, pour moi, c'est un peu comme la démocratie. C'est le pire des régimes à l'exception de tous les autres… et on a pas encore trouvé mieux.
Enfin, tu te trompes une dernière fois : avec les tiers de confiance, on ne délègue pas la sécurité, on délègue la vérification du mec qui présente son certificat. C'est pas tout à fait la même chose.

Pour moi, le seul "moyen" de débloquer cette situation pas géniale que tu dénonces maladroitement mais avec raison sur le constat, ce serait que l'État propose une autorité de certification lui-même au même titre qu'il distribue des cartes d'identités… Mais on tombe de nouveau dans d'autres problématiques liées au fichage et au contrôle gouvernemental sur l'activité des citoyens. Et encore fadrait il avoir confiance dans tous les États de cette planète…

Pas besoin de réinventer la roue pour la synchro vers un serveur, des solutions comme seafile ou btsync sont excellentes.
Sinon, un NAS type Synology propose le stockage et le client de synchro (cloudstation)

et pour la correction, ca se passe comment avec les moteurs ? tu en arretes un ou tu le fais tourner moins vite ?

C'est dommage que les tags rfid soient necessaires pour les intersections, ca pourrait pas se faire tout seul en ajoutant des capteurs IR supplémentaires ?

L'histoire de la peinture, c'est quoi le problème ? Le capteur n'est pas assez tolerant ? problème de réflexion de l'infrarouge ?
Comment ca marche pour les intersections ? tu détectes le 2e chemin avec les capteurs lateraux et tu bascules dessus en fonction de l'entree de l'utilisateur ?

Ca me donne vachement envie mais j'y panne que dalle en electronique et je suis plus a l'aise avec du raspberry pi que de l'arduino.

Effectivement, la presentation du jeu est assez succinte et pas hyper claire mais en voyant le bazar, on comprend quand meme.

Malgré ca, je trouve ca absolument délirant. C'est vraiment super bien et ca pourrait vraiment éclater des enfants à la fois sur le montage et sur le jeu lui même !

Par contre, y'a un point que je ne suis pas sur d'avoir pigé : faut il déclarer la piste dans le programme aussi ? Pas sur d'avoir compris l'utilité ?
Peut etre que tu pourrait fournir un generateur de piste qui produit les pages et le code associé ?

Ouais mais pour le coup JJ Abrams est réal, co-producteur et co-scenariste du film… Bref, c'est vraiment son bébé.
Et pour les 2 suites, il sera producteur (autrement dit, le patron).

C'est pourquoi la critique sur le dernier star war est facile, les gens comparent ce qu'ils auraient voulu voir avec ce qu'ils ont vu. Ça ne peut pas être objectif comme comparaison.

Je crois aussi que le coté nostalgique de certains pour SW est particulièrement prononcé et ça leur fait devenir complètement myopes devant la trilogie originale, ultra impitoyables pour la 2e trilogie et méga méfiants pour la 3e.

Mouais… Il semble que l'OP n'a pas du voir les autres SW (surtout les EP4-5-6) qui regorgent de conneries de ce genre. SW n'a jamais été une reference en terme de cohérence à ce niveau… (Je dirai rien sur les ST car je ne suis pas vraiment un connaisseur de la série)
On peut dire ce qu'on veut de JJ Abrams sur ses autres films, son job sur SW n'a pas été mauvais (loin de là). D'ailleurs, globalement, il n'est pas mauvais tout court.
Ca reste de la SF familiale, plausible dans l'ensemble et gentillette, à croquer avec môman et les gosses penards dans le canap'. Personne ne lui a demandé de faire des trucs ultra pointus non plus…

Franchement, JJ Abrams est probablement le seul réal de SF "familiale" (et de méga blockbusters) à faire un boulot encore potable, le chicaner sur des détails ne sert à rien car on peut en trouver au moins autant chez tous les autres réals de SF quelque soit leur "qualité" (et parfois des bien pires). Perso, je préférerai qu'on débarrasse le monde de M. Bay, R. Emmerich, C. Colombus et d'autres… Rien que leurs bandes annonces me font mal à la tête quand je vais voir un vrai film.

Il me semble que le type a revendu ses Btc AVANT d'écrire son article. En tout cas, il l'annonce dès l'intro…

Pour moi, cet article donne plus l'impression d'un mec franchement triste et qui souhaite passer à autre chose que d'un spéculateur, un nuisible ou un revanchard plein de mauvaise foi. En connaissant le sujet de très loin, ses arguments, même si ils ne sont pas nouveaux, restent tout de même clairs et précis. On est loin de l'argumentaire standard anti-bitcoin qui parle de "chaine de ponzi" ou de "tous pourris".

sinon y'a la commande "time" qui fait pareil en plus simple…

Mais à part ça, ça répond pas à la question car le môsieur cherche à connaitre le temps de démarrage au boot. Ce qui n'est pas tout à fait la même chose…

Effectivement, les avis ne sont pas reluisants…

En même temps, 300 balles pour un portable, il en a eu pour son argent… même si il serait normal qu'il marche au moins 2 ou 3 jours…

C'est pas deja fait depuis plusieurs mois ??? Ils ont demarré le projet en 2011, ca devrait etre fini, non ?

Ben ouais mais faut bien voir que l'extreme majorité des utilisateurs de clavier ne font justement que du youtube… et a peine plus…
Aujourd'hui, on a une touche Windows ou Apple mais ca serait plus utile pour l'extreme majorité des gens d'avoir une touche Google plutot. C'est un peu provocateur et je ne le souhaite pas mais c'est quand meme la realité de l'informatique…

Je sais que ce genre de sondage n'a absolument rien de scientifique ni de representatif mais quand meme…
Quand je pense comme je me suis fait pourrir la fois ou j'ai osé dire que ces touches ne servaient plus a rien et que ca serait une bonne idée de reformer nos bons vieux claviers azerty avec des touches plus utiles…
Voila, on est sur un site de gros geeks bien épais et y'en a 5% qui déclarent utiliser ces 2 touches tous les jours. 5% sur une communauté qui doit meme pas representer 0,01% des utilisateurs d'informatique. Et je suis pres a parier ma chemise que le taux ne monterait pas beaucoup plus haut si on y ajoutait les touches de fonction, orig, fin, pgup, pgdown, …

Et encore merci à Willy Tarreau et tous les autres contributeurs pour cet "amazing" logiciel.

Et si la sélection naturelle n'aboutissait pas à la promotion des individus les plus sages et les plus intelligents, mais favorisait au contraire les plus bêtes et les plus hargneux ?

La selection naturelle favorise celui qui est le plus capable de se reproduire. Peu importe son caractère ou ses "competences".

Dans les autres partis, c'est du militantisme plus ou moins "individuel". Le militants commentent en fonction de leur humeur et relaient les infos ou les avis des grands pontes mais y'a pas d'organisation particulière autre que la communication "normale" du parti.

Dans le cas du FN, c'est réellement organisé : les cibles du jour sont fournies par les responsables "reseaux sociaux" du parti ainsi que les éléments de langages associés. Et ensuite, ils lâchent les chiens.
Coté communication "institutionnelle", les éléments de langage sont beaucoup plus policés de facon a faire passer les têtes de gondoles nationales pour des gens modérés au dessus de la mêlée mais l'idée de fond reste la même.
L'ensemble est entièrement coordonné et téléguidé par le parti.

Oui, je doute serieusement qu'elle lise numerama elle meme.

Le FN a une belle petite "armée" du net qui inonde les commentaires pour defendre ou attaquer (c'est selon) chaque actualité qui touche de pres ou de loin le FN ou ses principaux chevaux de bataille (securité, immigration, anti-PS, anti-UMP/LR), etc
C'est exactement le meme systeme que les trolls professionnels russes mis en place par Poutine.

J'imagine que dans cette organisation, y'en a bien 1 ou 2 avec assez de cerveau pour remonter les infos et les elements de langages qu'il faut a la patronne pour creer un peu de buzz sur le net (et quoi de mieux qu'attaquer W10 en plein deploiement ?)
Le FN est probablement le parti le plus connecté et le plus a l'aise sur le net et les reseaux sociaux en France actuellement.

Ils ont voté contre car ils estiment que cette loi ne va pas assez loin… pas parce qu'ils considerent que c'est une atteinte aux libertes, hein…
Faut pas oublier que c'est un parti (de) facho(s). Supprimer les libertés et surveiller tout le monde, c'est un peu dans leur adn…

Je souhaitais répondre à la partie "révolution", car tu te trompes
Quand j'ai commencé à travailler, en 1997, le DevOps existait déjà (un mec - ou une fille, hein ! - qui poussait ses développements en production et en assurait l'exploitation),

Non, je ne suis pas d'accord. Dans les DSI avec assez de personnels, les equipes dev et ops etaient deja bien separées a cette epoque. Et meme avant ca encore. Y'avait que les petites boites sans admin sys qui laissaient le(s) dev s'occuper de l'exploitation. A ce niveau, y'a pas grand chose de different avec aujourd'hui. Mais ce dev là n'est pas un "devops" pour autant.

Même si, je te l'accorde, une grosse différence existe ; Le DevOps d'aujourd'hui s'appuie d'avantage sur des outils de déploiement (Deployt chez nous), mais il assure l'exploitation de ses développements.

C'est une enorme difference pour moi… Et au dela de l'outillage de deploiement, il y a aussi tout l'outillage de developpement, de test et l'automatisation des worklows. C'est CA la vraie difference entre un dev qui faisait de l'operationnel y'a 20 ans et un devops aujourd'hui.
D'ailleurs, un devops "pur jus" (note les guillemets) est justement là pour travailler sur la partie automatisation (des devs, des tests, de la fabrication des environnements et du deploiement) grace a ses connaissances du fonctionnement interne de l'appli ET du systeme.

La virtualisation, cela devrait te rappeler le principe des "gros systèmes" du même grand bleu

Faut arreter, les gros systèmes et la virtualisation n'ont pas grand chose à voir. Oui, l'innovation s'appuie toujours sur ce qui existe déjà, c'est evident et la virtualisation n'est pas sortie du chapeau d'un soit-disant genie en pleine crise de "disruptive innovation". MAIS il n'empêche que la virtualisation a bien plus revolutionné le monde que les gros systemes. Ne serait-ce que par son accessibilité…
Les gros systemes ont toujours ete reservés aux tres grands groupes. La virtualisation est accessible à n'importe qui et touche TOUS les admins systemes aujourd'hui. Le Cloud est le rejeton de la virtualisation, pas des gros systemes.

Moi, je veux bien qu'on cherche à établir des liens entre les differentes grandes phases d'innovation car c'est bien de savoir d'ou les choses proviennent mais faut pas non plus partir dans l'extreme en disant qu'il n'y a pas plus d'innovation aujourd'hui que ce qu'on avait y'a 20 ou 30 ans. C'est une erreur car meme si on ré-utilise des anciens concepts, ce n'est ni de la meme facon, ni pour le meme usage ni pour le meme prix.

Innover en creant de nouveaux concepts est evidemment le plus prestigieux mais faut pas negliger l'innovation sur la maniere d'implementer un concept, sur la maniere de l'utiliser et sur les couts.
C'est toute la difference entre une grande banque avec un gros systeme dans les annees 80 et une startup qui peut centupler de taille en 1 an avec AWS en 2015.

Devops ne designe pas les outils mais plutot les gens et leur maniere de travailler. Mais en fait, ca designe plus des principes qu'une reelle methode ou un poste défini.
DevOps est la contraction de Developer - Operations (dans le sens "exploitant"). Autrement dit, c'est la reunion des dev et des admins sys grosso modo et ca provient effectivement des methodes Agile.

En fait, il y a un constat depuis longtemps stipulant que c'est bien d'ameliorer la qualité logicielle et d'accelerer fortement les cycles de release mais si les types qui mettent en prod et gerent la prod ne suivent pas, ca sert a rien.
Un autre constat aussi est que bien souvent les dev travaillent dans le monde ou il faut produire vite, changer les choses vite et d'un autre ou la production necessite au contraire de la stabilité. Ainsi les equipes ont tendance a fonctionner en silos ou chacun reste de son coté de la barriere et ne communiquent que via des livrables ou des tickets d'incidents.
Une derniere chose aussi, quand on est une startup, on a souvent peu de ressources et donc ce sont les devs qui font un peu tout donc ils codent mais ils doivent aussi se sortir les doigts pour gerer leur prod. Donc ils ont vite compris que l'integration, les tests de charge/perf/dispo, la doc, le packaging, etc sont aussi importants que les nouvelles fonctionnalités et les corrections de bugs. Et d'un autre coté, celles qui embauchaient des admins sys les integraient au sein des equipes des dev et ils devaient aussi se sortir les doigts pour etre aussi "agiles" que les copains
Bref, tout ca melangé a fait que les equipes de prod et de dev se sont sérieusement rapprochées les unes des autres au point que certains sont à cheval sur les 2. Dans tous les cas, l'idee est que les dev et les ops doivent travailler ensemble et pas les uns "contre" les autres comme c'est trop souvent le cas.
Ainsi, pleins d'outils pour automatiser et provisionner des plateformes entieres (puppet, ansible, etc), faire des contenaires (docker), piloter des solutions de virtualisation par fichiers et scripts (vagrant) sont apparus, les admins sys se sont appropriés Git, etc
Au point qu'aujourd'hui, un devops "code" son infra : il la décrit dans des fichiers comme un dev code ses fonctionnalités. Puis il execute ses outils comme on compilerait du code et il obtient un resultat (une infra avec une configuration specifique) unique et reproductible.

Apres, les principes sont hyper interessants mais les outils sont encore en heavy dev. Autrement dit, ca bouge enormement en ce moment et c'est difficile de se tenir à jour. Et la qualité des outils est parfois variable… Quand on est un admin sys pur souche et qu'on cherche a embrasser cette maniere de faire, c'est parfois un peu rugueux et ca choque de confier son infra a des outils qu'on sait etre encore un peu verts. Et surtout, ca n'ote pas la necessite de bien connaitre et savoir parametrer les services qu'on installe donc ca fait une couche technique supplementaire a connaitre et maintenir.
De plus, cette facon de faire ne s'applique pas partout et dans tous les contextes pro. Ca marche bien quand les devs sont deja en agile avec des technos modernes. Ca marche moins bien quand il y a un vieil existant produit et géré "à l'ancienne" (enfin, ca pourrait marcher mais le ticket d'entrée est tres lourd pour mettre ca en place).
C'est extremement bien adapté au Cloud (type AWS par exemple).

Au final, pour moi, c'est une vraie revolution dans le monde et dans le petit train-train de l'exploitation/production et des admins sys en general. Une revolution équivalente à l'arrivée de la virtualisation, je pense.
C'est vraiment passionnant et ca nous (les sysadmins) oblige a remettre en cause nos manieres de faire et de voir les choses. D'un autre coté, ca force aussi les devs a prendre en compte le cycle de vie entier de leur code et pas s'en laver les mains une fois que le zip a ete balancé a l'exploitation.
Je pense que tout le monde y gagne a se serrer les coudes et travailler ensemble…

Désolé pour le pavé :)

OH MON DIEU !!!

Quel horrible amalgame !! Désolé Joël Bernier, c'est pas volontaire…

Effectivement, ma 1ere distro etait une Caldera (Bouh SCO !) mais j'ai très vite switché sur une Kheops d'ou la confusion…