oinkoink_daotter a écrit 1687 commentaires

Pourquoi ?

Les logs OCSP pourraient donner pas mal d'info ?

Pour être exact :

je peux générer un mot de passe spécifique utilisable seulement par un client mail désigné par moi.

Tu peux générer un mot de passe qui il me semble n'est propre à aucune application (il marche pour imap, pop, smtp, caldav, carddav etc) et qui marche depuis n'importe quel client

Mon compte sur le site de ma banque, où se trouve mon argent : « protégé » par un unique « mot de passe » de 6 chiffres …

Mauvaise banque…
Cela dit, il se bloque probablement au bout de 3 essais faux, et il ne doit pas être possible de tranférer de l'argent vers un compte non déjà référencé dans l'interface sans action spécifique (envoi sms, courrier)

Je pense que tu confonds mise à jour de l'OS et mise à jour du SE.

Je ne confonds rien du tout. Ce que je dis, c'est qu'apparemment, il est (serait?) possible de mettre à jour secure enclave sans effacer les données et sans que le truc soit en mode "dévérouillé".
On est d'accord que c'est très très mal.

Si le secure enclave est un carte à puce, genre tpm, une mise à jour entraine un effacement.

A priori, justement, non, ça ne fonctionne pas (encore?) comme ça avec SE.

Y a eu une ou deux sorties assez saignantes du patron de l'ANSSI au FIC.

Sauf qu'en vrai c'est faux. Tout d'abord l'article d'ARS parle de la désactivation de Secure Boot et non de la gestion des clefs par l'utilisateur. Mais même.
Le PDF avec les exigences est par là, en bas de la page "download offline …". Il faut regarder page 684(!) la partie qui dit "On non-ARM".
Ca dit exactement l'inverse de ce qui est écrit (ou pas) dans l'article d'ARS :
- l'utilisateur doit pouvoir gérer ses bases de clef;
- l'utilisateur doit pouvoir désactiver secureboot.

Sauf si vous êtes sur une plateforme ARM, auquel cas vous puez du groin. Mais vous puiez déjà du groin sous Windows 8.1

Normalement, ça devrait pas.
Lors du tollé sur secure boot, MS avait été obligé d'ajouter la possibilité de gérer ses clefs à la certification logo windows.

Wai. Gare à la sauvegarde quand même. Une clef USB, ça se casse, ça se petitsuicide, ça se perd.
Donc en confidentialité, voir en intégrité, c'est plutôt bien, mais en dispo, c'est pas terrible.

À bien y réfléchir, je suppose que c'est pour gérer les mouvements de la tête comme une entrée hid ? Ça pourrait pas être bêtement géré comme une périphérique USB?

Ben oui, y a un acceleromètre/gyroscope dans le casque pour détecter les mouvements de la tête et adapter le champ visuel présenté par le casque. D'ailleurs quand je l'ai essayé l'année dernière, c'était assez précis (l'image présentée était celle attendue par le cerveau), mais il y avait un lag notable entre les mouvements de tête et le déplacement du champ, et la résolution n'était pas géniale. Du coup, ça collait quand même vaguement la gerbe.

Le principal problème de la margarine, c'est surtout que c'est absolument dégueulasse.

D'autant que le principe ne doit pas si clair (comprendre interprétable vu les éléments présentés à l'écran) que ça, dans la mesure où l'achat en un clic est possible en France chez Amazon (testé à l'instant).

En même temps, vu ce que tu dois payer en plus de nos abonnements tripleuh play à nous qu'on a ici, on doit pouvoir en visionner un paquet avant de te rattrapaÿ.

Krkrkrk /o\

D'après le ton de son tweeter, ça le fait surtout marrer ?

Pourtant tu reproches à des brouteurs de ne pas avoir de client mail ni IRC :/. Ce qui est à la fois pas très cohérent et pas superkiss/lourdingue.

tu as oublié Microsoft Edge dans ta liste

Y a que le moteur kkscript d'Edge qui est Open Source (pas regardé s'il était libre).
Mais il manque quand même Gecko dans la liste de BohwaZ<.

Et ça contraint à parler français de France ?

Déjà que ça ne contraint même pas écrire en francééé…
Sauf à estimer que Linuxfr est une personne morale de droit public et ou une personne morale de droit privé dans l'exercice d'une mission de service public.

Tu racontes n'imp.

• les utilisateurs de Mac détestent? Ce n'est pas obligatoire (ou pas gênant : les updates système, ou alors on doit détester aussi "yum update"), donc c'est surtout une posture. A moins que les développeurs utilisent que ce canal mais du coup c'est sans doute pour une bonne raison que les développeurs le font?

En tant qu'utilisateur, je te confirme ce que te donnera la moindre recherche google à ce sujet. C'est buggué jusqu'à la moelle. Apple est parti à fond dans iOS et délaisse OSX et particulièrement le MacApp Store depuis son lancement (au MacAppStore). Du coup, y a plein de petits trucs relous (le rechargement systématique des onglets quand tu cliques sur un truc, les téléchargements à la con qui gauffrent et qu'il faut recommencer si tu n'as pas de bol quand tu mets le machin en veille -kikoo xcode-, ca te demande de t'authentifier un peu quand ça veut, le bouton "tout mettre à jour" qui est des fois grisé alors que les maj individuelles sont possibles, les maj qui ne se font pas quand tu cliques sur mettre à jour, etc.). Et y a pas vraiment d'applis à valeur ajoutée, à part les machins apple, pixelmator et 1password. Y a pas les outils des éditeurs historiques (adobe, Ms, etc). La faute aux 30% de taxe. Belle réussite.

• les développeurs de Mac détestent? Ce n'est pas obligatoire ils peuvent s'en passer et vendre en direct. A moins que les utilisateurs utilisent que ce canal mais du coup c'est sans doute pour une bonne raison que les utilisateurs le font, et que les 30% prélevés dont certes râler mais les 70% restant c'est quand même bon?

Il me semble qu'il y a beaucoup de devs qui détestent. Pour 3 raisons : la taxe apple, l'application à géométrie variable de l'équivalent des CGU pour les développeurs et un sous point très important de celles-ci mais qui fait bien chier tout le monde, le sandboxing. Encore une fois, Google c'est en haut à droite. Après, y a le délais de review, l'impossibilité de répondre aux commentaires, etc.

Dire que le MacApp Store est une réussite, ça montre surtout qu'on ne l'utilise pas. Je me répète, mais encore heureux que ce n'est pas obligatoire. L'AppStore iOS, ok, mais celui d'OSX, sérieux ?

La distrib de chauvounet< il me semble. Du coup, je ne comprends pas trop le thread /o\

Justement, jusqu'à preuve du contraire, ce que font les américains aux personnes physiques ne s'applique pas aux filiales des personnes morales. Sinon Apple, n'aurait pas de soucis avec ses 70myars de dollars qui sont aux frais aux bahamas, l'IRS se serait déjà servie.

L'argent sort de France il est taxe.

Et comment tu gères les virements entre deux filiales de la même boîte entre deux pays ?

La justice qui se dit submergé de boulot, je lui propose un truc: virer les avocats qui deposent ce genre de plainte pour attaques frivoles.

Ca c'est un bon argument marinelepenesque, justement : "le bon sens paysan"… Le truc c'est que sauf à te résoudre à l'arbitraire "ah oui, mais ça non, c'est des conneries, tant pis pour ta gueule", il n'y a pas moyen de ne pas traiter toutes les plaintes. Quitte à prévoir le coup d'après (dénonciation calomnieuse, abus, etc).

Ensuite, il n'y a pas besoin d'un avocat pour déposer une plainte.

Par contre, il y a des policiers qui décident ou non de prendre une plainte. Ca, c'est illégal.

Oui, mais non, ce n'est pas si simple.
Il existe plein de façons pour une cochonnerie de bypasser l'UAC, et un clic malheureux est de toute façon possible (Windows 7 a rendu le truc plus tolérable, genre quand tu bricoles dans program files, il ne te demande pas systématiquement de valider un popup UAC, par exemple si tu crées un répertoire et que tu le renommes ensuite. De mémoire vistouille était relou la dessus).

Donc du coup, les best practices, ca reste quand même de considérer qu'un gars qui a les droits admin est admin et qu'il vaut mieux avoir un compte normal normal et un compte admin considéré admin admin par personne. (pis des comptes nominatifs, des GPO pour l'audit et les logs, une forêt d'admin, … et on va s'arrêter là /o\).

C'est un long article pour expliquer qu'il faut créer une clef dans la BDR qui s'appelle HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoRebootWithLoggedOnUsers de type DWORD à 1. Ce n'est pas la mort, pas spécialement dangereux si tu ne fais pas n'imp (genre la roulette russe à supprimer des clefs au hasard) mais pas nécessairement à la portée de tout le monde.
L'article ne dit pas que c'est dangereux.

Mais tu aurais pu vérifier ça en un clic.

Pour le 1) c'est le cas de tout truc normatif d'origine administrative. Ce n'est pas choquant en soi. On a la même avec le contrôle technique ou les normes anti pollution.
Pour le 2) au delà du fond, sur lequel on note effectivement un mouvement assez généralisé de transfert de responsabilité de l'autorité judiciaire à des machins Administratifs et un renversement de la charge de la preuve sur certaines choses, sur la forme tu prends le problème Hadopi par le mauvais bout.
La logique est :
1. Tu télécharges comme un goret sur ta ligne
2. Tu te fais toper par TMG qui donne ton dossier à Hadopi
3. Comme on est incapable de prouver que tu as fait une contrefaçon car on ne sait pas qui était derrière ta ligne lorsque ça s'est produit, mais qu'on est quand même globalement sûr que ça vient de chez toi
4. On crée un délit de non sécurisation de ton accès internet parce que tu as laissé une contrefaçon se produire depuis ton accès.

Tu n'es pas coupable de contrefaçon mais de non sécurisation, ce qui n'est pas puni des mêmes peines (artillerie lourde d'un côté, contre contravention de 5eme classe et privation d'internet d'un mois en continuant à le payer de l'autre). Sachant que je n'ai jamais rien vu qui dise que tu ne puisses pas te manger la triple peine (amende, coupage d'internet et poursuite au pénal dans un vrai procès) dans tout le fatras législatif qui a été commis à cette occasion.

Je trouve ça à la dois tordu et lumineux.

Je pense que le truc est notamment ciblé contre le mode training des caisses. Ça correspond avec le machin W9 que j'ai vu il y a quelques semaines. Sur les caisses il y a(vait) un mode d’entrainement pour les caissiers dont le but est de permettre aux gens de maniper la machine sans fusiller la caisse. Toute l'idée est de faire en sorte que la machine puisse passer en mode training sans l'afficher en gros sur le ticket de caisse. Ce qui permet d'oublier certaines écritures en tapotant une séquence de touches ou en tournant une clef pour passer d'un mode à l'autre .

Et ça, ça ne se gère pas avec une écriture en ROM ou une imprimante.