moi1392 a écrit 756 commentaires

Pour les transformations non bijectives, c'est plus clair. Même s'il reste des zones d'ombres, notemment au niveau des commentaires et de la lisibilité.

Pour ce qui est bijectif j'ai tout de même tendance à penser que c'est plus une histoire d'outils. Pour reprendre du gzip, bien sur que je ne lis et n'écrit pas en gzip, mais il y a des tas de logiciels qui me montrent et me permettent d'éditer un fichier texte gzippé (du verbe gzipper…) à la volée. Même si je suis d'accord que c'est un peu nul niveau consommation de ressources.

De toute façon sur quasi nimporte quelle définition même les plus simples, dès qu'on gratte un peu on voit que les bords sont flous.
Alors quand on part sur quelque chose d'aussi complexe qu'une licence libre…

Et comme j'avais dit c'était du chipotage ;)

Pour moi des conditions acceptables de travail sont liées à la qualité des locaux, du mobilier voir du matériel, mais en aucun cas aux règles d'accès des données. (j'exagère un peu, des fois ça peut être très chiant je sais, mais vous avez l'idée)

Alors juste pour chipoter.
Il n'y a pas de différence entre une version "source code" telle que l'on l'entends et une version « rot-13 » ou « base64 » ou « gzippée »
les 3 dernières propositions sont simplement un détail d'implémentation au niveau de l'encodage, voir du stockage.
Dans tous les cas j'ai besoin d'un logiciel pour pouvoir la lire car je ne sais pas lire directement les cellules magnétiques d'un support de stockage.
Et à ma connaissance, il n'y a pas dans la définition de la GPL (corrigez moi si je me trompe) de spécification sur le format : zcat est un outil de visualisation autant GPL-friendly que nano.
Et pour rot-13 c'est encore plus évident, la table ASCII étant une interprétation des données binaires, il me suffit de définir une table d'interprétation des caractères qui va bien.

Pas certain que ça soit un hasard que ça sorte maintenant.

Avec la pression de trump pour ne pas qu'on touche aux entreprises de la merde de la tech américaine. Aucune institution ne va bouger et ça risque d'enterrer l'initiative.

Pour en avoir vu une redémarrer récemment, les caisses automatiques d'une grande chaine de distribution française (je ne cite pas de nom pour ne pas faire de pub) tournent sous suse également.

En parlant de site respectable, j'ai eu des soucis d'acces au docker hub pour récup des images ce matin.

ça peut commencer à toucher des choses un peu plus importantes et sensibles que des sites de jeux.
Ce qui ajoute (s'il en fallait…) du poids au fait de ne pas mettre toutes ses poules dans la même cabane à oeufs.

Le message sur le lien à cliquer est : "Ce commentaire/Ce contenu est il pertinent ou inutile ?"

Et pas "Est ce qu'il me plait ou pas ?"

Après on peut aussi ignorer ce qui est écrit et répondre à la question "Est ce qu'il produit une bonne tarte au citron ?" Dans ce cas on aura tous les journaux/message inutiles sauf certains parmi ceux qui proposent une recette de tarte au citron.

À un moment il s'agit aussi de lire ce qui est écrit et y répondre et ne pas répondre à la question qu'on a envie.
Ou alors, si c'est l'idée à la base, on peut aussi changer la question et mettre "j'aime/j'aime pas" avec des pouces vers le haut et vers la bas pour ceux qui sont pressés.

il exprime une opinion minoritaire

j'ai un sérieux problème avec ça…

En quoi le fait qu'une opinion soit minoritaire ne la rends pas pertinente ?
Si elle est :
- correctement argumentée ( * )
- non contraire à la loi ( ** )

Le fait qu'elle soit minoritaire, ou même qu'elle soit contraire à mon opinion (et dans ce cas, qu'elle soit majoritaire ou minoritaire n'a pas d'importance) ne la rends jamais automatiquement non pertinente.

(*) c'est la partie difficile à évaluer,

(**) dans ce cas cela se rapproche plus de la censure, et c'est un des rares cas que je peux admettre et comprendre.

Je suppose que l'alcool, c'est pour l'alcool.
Mais entre le sexe et l'accordéon, lequel est pour le plaisir, et lequel pour le sommeil ?

j'ai travaillé longtemps avec des développeurs qui utilisaient le mot "infini" pour dire qu'un algo est trop lent…
Donc exponentiel, c'est presque pas beaucoup pour moi…

Dans ma tête il est plutôt là pour bloquer les attaques en brute force, dont en particulier celles des bots.

Et je me pose une question, les gens ici préconisent de désactiver la connexion à ssh par mot de passe.
À priori (je ne suis pas allé voir le protocole, donc n'hésitez pas à me corriger), ssh réponds la même chose que le mot de passe soit faux ou que la connexion par mot de passe soit désactivée, donc impossible (sauf effet de bord) pour l'attaquant de savoir que sa tentative de connexion à échoué à cause d'un mot de passe invalide ou de la désactivation de la connexion par mot de passe.
Qu'est ce qui change vraiment alors ? Si j'ai un mot de passe suffisament robute, une règle fail2ban assez violente (comme je l'ai dit, au bout de 2 erreurs -> 1 semaine de ban), le brute force de mot de passe est aussi difficile que le brute force de clé sur mon serveur non ?
L'argument des ip qui changent, je le trouve pas très fort, si on reste en ipv4, il y en a au max 4 milliard (2³32) et je doute qu'un attanquant puisse toutes les exploiter, même s'il arrive à en avoir 1 million de disponibles, ça réduit d'environ 2²20 la complexité à casser le mot de passe en brute force.

Pour ma part, c'est un aussi un complément, mais j'ai rendu un peu plus violent le ban : au bout de 2 erreurs en moins d'une heure, je banni 1 semaine.

Genre que OVH sous traite une majorité de ses services à microsoft ? (:

Je pense que la comparaison est au mieux fallacieuse..

Le corps des médecins va, dans son ensemble, donner des réponses à des soucis de santé qui ont été éprouvés et validés par des méthodes dont l'efficacité est plus que remarquable.
Et de temps en temps ça va mal se passer, des fois ça ne va rien faire et la majorité du temps ça aidera à la guérison..
Le corps des marabouts/magiciens/voyants va bullshiter 100% du temps, et de temps en temps ça va par hasard coïncider avec une guérison, souvent ça ne va rien faire et des fois ça va mal se passer.

Et c'est bien parce que les gens croient "bêtement", comme tu dit, ce que leur dit leur voyant ou médecin du coin, qu'il est important de donner plus de poids à la parole du médecin qu'à celle du magicien du village.

J'ai l'impression qu'elle est bonne seulement si l'attaquant n'a pas une stratégie dédiée à ce type de mots de passes.
Sinon je ne sais pas trop ce qu'elle vaut.

Si je prends 100000 mots pour la langue française (j'ai cherché un peu et ça me semble être un ordre de grandeur correct)
On pourrait dire qu'on a, pour 4 mots (comme l'exemple de XKCD) (10⁵)⁴ possibilités, soit 10²⁰.

Avec un algo qui priorise la fréquence des mots, on peut quand même espérer dans la plupart des cas tomber sur les bons mots au début de la recherche, ce qui réduit tout de même de quelques ordres de grandeur l'espace de recherche.

Bien sûr mon raisonnement ne vaut que si l'attaquant connait la stratégie utilisée pour le mot de passe et tente un algorithme spécifique.

À l'origine, faire la publicité de quelque chose, ça veut dire le rendre publique.
Et je ne vois pas trop de soucis à cela, je pense même que c'est essentiel.

Ce que l'on appelle publicité aujourd'hui, ce sont des campagnes et pratiques marketing très discutables.
C'est de ce coté là qu'il y a des choses à faire.

Tu as certainement raison, désolé d'avoir réagi un peu trop vite.
Le monde part tellement en couilles en ce moment…

Juste… pourquoi le journal est moinssé ?
C'est quelque chose d'important qu'il dénonce, ça n'a pas l'air d'être une fake news (à confirmer) et si c'était le cas, les moinseurs auraient pu être un peu plus sympa en l'indiquant en commentaire.
Ça a même le bon goût d'avoir un lien avec le monde du numérique en général.

Je trouve l'exploit assez incroyable !

Et en terme de perspectives, je me demande si le procédé pourrait être amélioré pour fonctionner sur d'autres architectures que la xbox360, comme par exemple x86 ou amd64.
Déjà en terme de jeux, ça voudrait dire la quasi intégralité des jeux actuel sur PC, mais aussi (et surtout pour moi) faire revivre tous les vieux jeux plus supportés/vendus avec en prime un code c++ qui devrait permettre un peu plus facilement de corriger d'éventuel soucis (même si je suppose que le code généré est très dur à lire)

Et une fois là, pourquoi pas viser plus loin avec des applis qui ne sont pas des jeux.

N.B. : ce ne sont pas des décision en Cassation, elles ne font donc pas jurisprudence.

juste sur ce point là, il ne me semble pas que le terme jurisprudence soit réservé aux décisions de la cour de cassation, mais qu'il s'applique à toute décision de justice, quelle qu'elle soit.
Par contre effectivement, une décision prise par une cour de plus haute importance aura plus de poids.
Donc une jurisprudence de cour de cassation à plus de poids qu'une jurisprudence de cours d'appel qui à plus de poids qu'une jurisprudence de première instance.
Et même si aucune loi ne l'interdit, en général une cours ne désavoue pas un arreté donné par une autre cours sur un dossier similaire.

source : https://www.dictionnaire-juridique.com/definition/jurisprudence.php

ce qui m'a le plus dérangé, c'est que les 3 km de nage en 30 minutes doivent être fait avec 20 kg et non 30 kg. (ça me fait un peu le même effet qu'un parenthèse fermante manquante

Il manque un chasseur

Un bon ou un mauvais chasseur ?

En tout cas ça me va bien que ça ne soit pas actif sur mon serveur, c'est bien de devoir être root.

C'est l'idée effectivement, car autrement si un malware arrive à exécuter du code en tant que ton utilisateur sur ta machine, il peux ptrace les autres processus et lire leur mémoire, ça veut dire potentiellement lire la mémoire de firefox ou ssh et y trouver des mots de passe en clair.
C'est pour cela que par défaut, un processus ne peux ptrace que ses processus enfant, c'est à dire ceux qui ont été lancés par lui ou par un de ses enfants.

À noter que lorsqu'on demande à strace de lancer le processus, aucun droit particulier n'est nécessaire (comme gdb, finalement, vu que ça passe aussi par ptrace)

Car un process peut toujours ptrace un de ses enfants. Mais il est possible d'interdire cela aussi (voir le lien plus bas)

Je me doutais que ce genre de truc existait, merci pour la mention. Il y a peut-être aussi des solutions à base de groupe unix ?

j'ai un peu cherché et j'ai trouvé quelque chose qui pourrait être intéressant, un processus peut demander à être éxonéré de cette restriction grace à un appel système. Comme je m'attache à des processus de binaires que je développe, je peux facilement ajouter cet appel système dans mon code pour être tranquille et ne pas avoir à réduire la sécurité de toute mon installation.

https://www.man7.org/linux/man-pages/man2/PR_SET_PTRACER.2const.html

Pour contourner le problème d'interdition de ptrace, tu utilises sudo. C'est peut-être la bonne solution dans ton cas, mais il y a aussi la possibilité (avec tout les risques que cela comporte) d'autoriser les utilisateurs à ptrace leurs processus en modifiant le bon paramètre du kernel :

echo "0" > /proc/sys/kernel/yama/ptrace_scope

En tant que développeur qui débogue régulièrement des programmes sur ma machine, c'est un des premiers réglage que je fais (que j'oublie de faire, plus exactement…) lors d'une nouvelle installation.

ça n'est pas la question du NULL, qui effectivement peut tout à fait être légitime, qui fait de ce post un troll mais les arguments avancés.

+rpd a ékrir ?
PLUS LISIBLE CAR EN MAJUSCULES ?

Sérieusement ?