Je ne vois pas trop ce que tu veux dire. La plupart doivent correspondre à ce critère.
Le font il bien ? Il s'agit d'avoir une bonne assurance de ça. Par exemple, est il possible quand tu fais une opération de signature, tu ne signes que ce que tu penses signer et pas autre chose, genre t'as pas une vulnérabilité béante qui fait qu'il est possible quand tu signes un PDF d'ordre de virement en 1 vers A il te fait signer un virement de 10 vers B.
Ben, tu prends celle du HSM
Comment tu t'assures de la qualité des clefs qui sont dans le HSM ? Et de la PKI qui va autour ? Il ne s'agirait pas d'utiliser des clefs faibles parce que l'on a utilisé une entropie toute naze.
Ça aussi, la plupart des softs doivent le faire.
…
Certitude de quoi ?
Il faudrait que tu regardes un peu le RGS, je pense. Toute la logique y est expliquée et notamment les niveaux d'assurance. Je peux te dire que pour avoir une signature équivalente niveau preuve à une signature manuscrite (le ***), on tape dans du dur.
En fait, je m'étonnais justement du faible nombre de trace vis à vis de RGS dans le monde du libre.
Le problème du "libre" sur ces sujets, c'est que personne ne porte le sujet de la compliance à quelque norme que ce soit.
Dans le cas du RGS, il faut en plus s'assurer que la solution complète tienne la route. Dans l'exemple du lecteur de PDF : token+drivers, soft PDF, PKI, etc. Donc l'intégrateur doit s'y coller.
le libre est souvent en avance sur la sécurité (notamment le chiffrement, du fait de la difficulté d'avoir un code qui est exempt d'exploit).
Je ne vois pas sur quoi tu peux te fonder pour balancer une affirmation de ce genre. Sur la crypto, wat ? Sur les codes exempts d'exploits, je rappelle que ce n'est pas parce qu'un code est ouvert qu'on le regarde. Ex. OpenSSL et ses multiples déboires, XEN et ses XSA monstrueux, etc.
Le fonctionnement de RGS encourage des comportements dangereux,
C'est le cas de n'importe quel truc un peu contraignant. On peut aussi ne rien faire et laisser n'importe qui signer n'importe quoi avec mupdf dans la joie et la bonne humeur.
Du coup in fine, quand il y aura contestation judiciaire (parce qu'il s'agit bien de cela, le RGS est là pour apporter une preuve) ça sera compliqué.
Oui, c'est de la preuve, cf mon post du dessus.
Avec un bricolage à base de mupdf, même si techniquement ça fonctionne, tu t'auto-démolis juridiquement.
J'ai créé ce journal pour aborder l'aspect open-source des implémentations.
Et du coup, qu'est ce que tu veux que l'on te dise, exactement ?
La compatibilité avec le RGS passe par une certification variable sur une base d'exigences. A priori, il n'y a pas de solutions libres avec le tampon kivabien.
C'est regrettable, mais c'est ainsi, that's law.
Alors pardonnez moi du peu. je crains que les garanties n'engages que ceux qui y croient !
Ben en l'espèce, ça ne semble pas être un problème de RGS, mais plus un problème de sécu opérationnelle.
mupdf permet de signer et valider qu'un PDF est signé par exemple
Il y a des millions de logiciels qui permettent de signer des PDF. Le tout est d'en trouver un qui fasse ça suffisamment proprement pour que ce soit compatible du RGS.
Je cite (RGS v2, annexe A1 v3, page 5, L28-30) :"La mise en œuvre d’un procédé de signature électronique respectant les exigences définies pour le niveau *** permet de bénéficier de la présomption de fiabilité du procédé de signature telle que prévue dans l’article 1316-4 du code civil."
Traduction : il faut taper dans du *** pour avoir une valeur probante équivalente à une signature manuscrite originale. C'est WTF, mais c'est comme ça.
Le RGS pour la signature c'est 1) un logiciel qui ne fait pas n'importe quoi, 2) avec des clefs qui ne viennent pas de n'importe où, 3) en utilisant plus ou moins une fonction crypto de confiance, 4) avec un certain niveau de certitude.
Entre le * et le ***, les critères varient et le niveau d'assurance, mais avec mupdf, on peut signer, mais de ce que j'en vois, ça ne pourrait même pas être sur le radar du RGS.
(… Mais encore faut-il être sur qu'on a besoin d'un tampon RGS)
un décideur s'est fait plaisir (peut être influencé par un commercial) et a mis en place une solution certifiée/évaluée/qualifiée alors qu'il n'y en avait pas besoin
il n'existe pas de solution libre conforme et certifiée comme telle répondant au niveau d'exigence retenu/imposé vis à vis du RGS (il y a des exigences différentes quand on vise le une ou trois étoiles)
je pense que j'entendrais les coups de fouet claquer à chaque fois que je devrais taper ces mots.
Pour resituer, l'abolition de l'esclavage aux USA, c'était il y a 135 ans, à la fin de la guerre de Sécession, soit à peu près 5 générations, si on met 30 ans dans une génération, ce qui est beaucoup. Je pense sincèrement que pour une très très grande partie des descendants des concernés, ça ne doit plus claquer très fort.
Il y a quand même un truc : ce n'est pas parce que quelqu'un se sent offensé par quelque chose que ce quelque chose doit être changé. Ici, le terme maître/esclave tel qu'utilisé en informatique me semble assez éloigné niveau sens des plantations et des champs de coton.
c'est que la plupart des grands journaux (et en particulier ceux qui sont détenus par les dits milliardaires) ont la même opinion, à quelques nuances près.
Le figaro, Le Monde et Libé ne sont pas d'accord sur grand chose, hein.
maintenant un iPhone concurrence complètement un Reflex, chose impensable il y a encore quelques années (double capteur f/1.8 et zoom optique f/2.4, smart HDR, neural engine…)
Euh … non. Déjà un, y a pas vraiment de zoom, donc ça reste grand angle only, il ne faut pas l'oublier (même avec le "x2"). Deux, même si ça s'améliore de génération en génération, les photos de nuit restent très bruitées. Trois, autant la profondeur de champ à postériori ça peut être rigolo, autant non, la gestion de la profondeur de champ n'arrive pas au niveau d'un reflex et ça n'y arrivera jamais très bien. Je m'explique. L'iPhone "mesure" la distance entre l'objectif et l'image pour déterminer le sujet et l'arrière plan puis il bricole un truc pour créer un flou à l'arrière plan, soit en prenant une photo hors zone de focus avec le deuxième objectif, soit en floutant lui même (avec le Xr?). Le truc c'est que le détourage du premier plan ne marche pas super, notamment :
quand les cheveux ne sont pas plaqués contre le visage (sur un portrait humain);
au niveau des limites des objets (exemple entre un verre et l'arrière plan, on voit bien ou il a bricolé);
quand il y a autre chose qu'un visage au premier plan, par exemple avec un mur à gauche de la photo et un visage à droite, il va flouter le mur même s'il est dans le même plan focal que le visage.
Donc on final, ça fait des trucs très sympa, mais avec des aberrations quand on sait quoi chercher.
Je resterai prudent quand on compare au reflex…
Sauf pour le Max sur les version CN si on veut ergoter.
A priori pas de support en France pour la eSIM pour le moment. Ce qui est normal puisque ça n'arrange pas du tout du tout les opérateurs.
Ce n'était pas les navigateurs le problème mais les lecteurs de fichiers audio/vidéo
Pas que. Il y a aussi eu une histoire avec IE par défaut vers 2010. Officiellement un gus l'a fait sauter par inadvertance en 2013, et ça leur a couté 730myons.
Les arguments déployés par Gof< au dessus ont un vrai intérêt pour les fabricants de téléphones. Aujourd'hui dans les couches basses d'un téléphone, tu as un petit jeu de cons à trois/quatre intervenants que sont Google, pour la baseline du kernel, les fabricants de SOC et baseband pour la fourniture de code spécifique (binaire) plus le fabriquant de téléphone pour encore du dev spécifique et l'intégration.
Le passage à Fuschia pourrait peut être (!) permettre de tracer des lignes précises de responsabilité entre les différents domaines et d'inaugurer une vraie compatibilité binaire
Est-ce que ce sont des permissions unix habituelles ou des ACL ?
Je vois mal comment on peut gérer finement des permissions type telle appli à un accès RW à tes données, mais telle appli non c'est juste du R, avec le modèle UGO classique.
Ou alors j'imagine un modèle batard ou l'accès niveau FS est "tout ou rien" niveau R/W et la VM filtre les appels Read et Write ?
Je pense que c'était ironique rapport au post de chat_de_sorciere< plus haut.
En France lors d'un licenciement il y a un préavis + une prime de licenciement + le chômage par la suite.
Alors ça, ça dépend. C'est la baseline, sauf que si l'employeur licencie pour faute lourde ou grave, où dans ce cas, c'est zobi pour les indemnités et préavis hors compensation des jours de CP.
Par contre, tu as le droit au chômage, mais une recherche simple ne m'a pas permis de savoir si ça faisait sauter les mois de carence (en toute logique, non). Donc il est bien possible que si tu te fais lourder pour faute lourde ou grave que tu te retrouves à poil du jour au lendemain en attendant les indemnités de retour à l'emploi qui arriveront … plus tard.
Du coup quel intérêt de prendre le Kadjar plutôt que le Scenic ?
L'esthétique ou les 3cm de plus de la garde au sol, je dirais. Y a aussi un seuil de chargement plus large et à plat pour le coffre ce qui est assez sympa pour charger des meubles quand tu vas à Ikea. Y a un comparatif là. Niveau conso et prix a priori, c'est quasi kif kif au très léger avantage du Kadjar.
[^] # Re: Un peu cher non ?
Posté par oinkoink_daotter . En réponse au journal IBM achète Red Hat. Évalué à 3.
Dans ces cas là, au moment du rachat, on intéresse financièrement les personnels clef à rester X années.
[^] # Re: Titre faux ou je comprends rien?
Posté par oinkoink_daotter . En réponse au journal RGS et open source. Évalué à 2.
Le font il bien ? Il s'agit d'avoir une bonne assurance de ça. Par exemple, est il possible quand tu fais une opération de signature, tu ne signes que ce que tu penses signer et pas autre chose, genre t'as pas une vulnérabilité béante qui fait qu'il est possible quand tu signes un PDF d'ordre de virement en 1 vers A il te fait signer un virement de 10 vers B.
Comment tu t'assures de la qualité des clefs qui sont dans le HSM ? Et de la PKI qui va autour ? Il ne s'agirait pas d'utiliser des clefs faibles parce que l'on a utilisé une entropie toute naze.
…
Il faudrait que tu regardes un peu le RGS, je pense. Toute la logique y est expliquée et notamment les niveaux d'assurance. Je peux te dire que pour avoir une signature équivalente niveau preuve à une signature manuscrite (le ***), on tape dans du dur.
[^] # Re: Titre faux ou je comprends rien?
Posté par oinkoink_daotter . En réponse au journal RGS et open source. Évalué à 3.
Le problème du "libre" sur ces sujets, c'est que personne ne porte le sujet de la compliance à quelque norme que ce soit.
Dans le cas du RGS, il faut en plus s'assurer que la solution complète tienne la route. Dans l'exemple du lecteur de PDF : token+drivers, soft PDF, PKI, etc. Donc l'intégrateur doit s'y coller.
Je ne vois pas sur quoi tu peux te fonder pour balancer une affirmation de ce genre. Sur la crypto, wat ? Sur les codes exempts d'exploits, je rappelle que ce n'est pas parce qu'un code est ouvert qu'on le regarde. Ex. OpenSSL et ses multiples déboires, XEN et ses XSA monstrueux, etc.
C'est le cas de n'importe quel truc un peu contraignant. On peut aussi ne rien faire et laisser n'importe qui signer n'importe quoi avec mupdf dans la joie et la bonne humeur.
Oui, c'est de la preuve, cf mon post du dessus.
Avec un bricolage à base de mupdf, même si techniquement ça fonctionne, tu t'auto-démolis juridiquement.
[^] # Re: Titre faux ou je comprends rien?
Posté par oinkoink_daotter . En réponse au journal RGS et open source. Évalué à 0.
Et du coup, qu'est ce que tu veux que l'on te dise, exactement ?
La compatibilité avec le RGS passe par une certification variable sur une base d'exigences. A priori, il n'y a pas de solutions libres avec le tampon kivabien.
C'est regrettable, mais c'est ainsi, that's law.
Ben en l'espèce, ça ne semble pas être un problème de RGS, mais plus un problème de sécu opérationnelle.
[^] # Re: Titre faux ou je comprends rien?
Posté par oinkoink_daotter . En réponse au journal RGS et open source. Évalué à 3.
Il y a des millions de logiciels qui permettent de signer des PDF. Le tout est d'en trouver un qui fasse ça suffisamment proprement pour que ce soit compatible du RGS.
Je cite (RGS v2, annexe A1 v3, page 5, L28-30) :"La mise en œuvre d’un procédé de signature électronique respectant les exigences définies pour le niveau *** permet de bénéficier de la présomption de fiabilité du procédé de signature telle que prévue dans l’article 1316-4 du code civil."
Traduction : il faut taper dans du *** pour avoir une valeur probante équivalente à une signature manuscrite originale. C'est WTF, mais c'est comme ça.
Le RGS pour la signature c'est 1) un logiciel qui ne fait pas n'importe quoi, 2) avec des clefs qui ne viennent pas de n'importe où, 3) en utilisant plus ou moins une fonction crypto de confiance, 4) avec un certain niveau de certitude.
Entre le * et le ***, les critères varient et le niveau d'assurance, mais avec mupdf, on peut signer, mais de ce que j'en vois, ça ne pourrait même pas être sur le radar du RGS.
(… Mais encore faut-il être sur qu'on a besoin d'un tampon RGS)
[^] # Re: vente forcée ?
Posté par oinkoink_daotter . En réponse au journal Vie privée et voitures connectées par Google. Évalué à 6.
Ce n'est pas plus forcé qu'avec un système multimédia bricolé par un sous-traitant de PSA.
[^] # Re: Ne pourrait-on pas tout simplement obliger les constructeurs à rendre optionnel
Posté par oinkoink_daotter . En réponse au journal Vie privée et voitures connectées par Google. Évalué à 4.
Le GDPR est là komem.
Il me tarde que les voitures refusent de démarrer tant que l'on n'a pas accepté les TOS <3
[^] # Re: Titre faux ou je comprends rien?
Posté par oinkoink_daotter . En réponse au journal RGS et open source. Évalué à 5.
Au hasard :
# Hop, fini, terminé pour ce coup ci.
Posté par oinkoink_daotter . En réponse au journal Windows 10 fait la publicité de Edge pendant l'installation de Firefox et Chrome !. Évalué à 3. Dernière modification le 15 septembre 2018 à 08:21.
MS fait machine arrière et va lécher ses plaies en compagnie de son brouteur dont tout le monde se fiche : https://www.neowin.net/news/microsoft-ditches-warning-against-installing-rival-browsers-in-latest-windows-10-build
[^] # Re: Liberté d'expression vs oppression
Posté par oinkoink_daotter . En réponse au journal Terminologie Master/Slave . Évalué à 6.
Pour resituer, l'abolition de l'esclavage aux USA, c'était il y a 135 ans, à la fin de la guerre de Sécession, soit à peu près 5 générations, si on met 30 ans dans une génération, ce qui est beaucoup. Je pense sincèrement que pour une très très grande partie des descendants des concernés, ça ne doit plus claquer très fort.
[^] # Re: Anthropomorphie mal placée
Posté par oinkoink_daotter . En réponse au journal Terminologie Master/Slave . Évalué à 2. Dernière modification le 14 septembre 2018 à 15:20.
-oups doublon-
[^] # Re: Anthropomorphie mal placée
Posté par oinkoink_daotter . En réponse au journal Terminologie Master/Slave . Évalué à 10. Dernière modification le 14 septembre 2018 à 15:19.
Il y a quand même un truc : ce n'est pas parce que quelqu'un se sent offensé par quelque chose que ce quelque chose doit être changé. Ici, le terme maître/esclave tel qu'utilisé en informatique me semble assez éloigné niveau sens des plantations et des champs de coton.
[^] # Re: Conclusion étrange
Posté par oinkoink_daotter . En réponse au journal Directive sur le droit d’auteur adoptée. Évalué à 1.
Le figaro, Le Monde et Libé ne sont pas d'accord sur grand chose, hein.
[^] # Re: Apple maintient sa place de leader
Posté par oinkoink_daotter . En réponse au journal Je suis vener.. Évalué à 10.
Euh … non. Déjà un, y a pas vraiment de zoom, donc ça reste grand angle only, il ne faut pas l'oublier (même avec le "x2"). Deux, même si ça s'améliore de génération en génération, les photos de nuit restent très bruitées. Trois, autant la profondeur de champ à postériori ça peut être rigolo, autant non, la gestion de la profondeur de champ n'arrive pas au niveau d'un reflex et ça n'y arrivera jamais très bien. Je m'explique. L'iPhone "mesure" la distance entre l'objectif et l'image pour déterminer le sujet et l'arrière plan puis il bricole un truc pour créer un flou à l'arrière plan, soit en prenant une photo hors zone de focus avec le deuxième objectif, soit en floutant lui même (avec le Xr?). Le truc c'est que le détourage du premier plan ne marche pas super, notamment :
Donc on final, ça fait des trucs très sympa, mais avec des aberrations quand on sait quoi chercher.
Je resterai prudent quand on compare au reflex…
[^] # Re: Apple maintient sa place de leader
Posté par oinkoink_daotter . En réponse au journal Je suis vener.. Évalué à 0.
Sauf pour le Max sur les version CN si on veut ergoter.
A priori pas de support en France pour la eSIM pour le moment. Ce qui est normal puisque ça n'arrange pas du tout du tout les opérateurs.
[^] # Re: Apple maintient sa place de leader
Posté par oinkoink_daotter . En réponse au journal Je suis vener.. Évalué à 1.
Non, pas un traitre mot. Ce qui est normal puisque pour le moment il n'y a pas de produit.
[^] # Re: Fake ?
Posté par oinkoink_daotter . En réponse au journal Je suis vener.. Évalué à 5.
Ca peut aussi être parce que le clavier s'est blo
[^] # Re: Pub
Posté par oinkoink_daotter . En réponse au journal Windows 10 fait la publicité de Edge pendant l'installation de Firefox et Chrome !. Évalué à 4.
Pas que. Il y a aussi eu une histoire avec IE par défaut vers 2010. Officiellement un gus l'a fait sauter par inadvertance en 2013, et ça leur a couté 730myons.
[^] # Re: arf
Posté par oinkoink_daotter . En réponse au journal Nouveau coup de tonnerre attendu. Évalué à 2.
Ben pas forcément.
Les arguments déployés par Gof< au dessus ont un vrai intérêt pour les fabricants de téléphones. Aujourd'hui dans les couches basses d'un téléphone, tu as un petit jeu de cons à trois/quatre intervenants que sont Google, pour la baseline du kernel, les fabricants de SOC et baseband pour la fourniture de code spécifique (binaire) plus le fabriquant de téléphone pour encore du dev spécifique et l'intégration.
Le passage à Fuschia pourrait peut être (!) permettre de tracer des lignes précises de responsabilité entre les différents domaines et d'inaugurer une vraie compatibilité binaire
[^] # Re: Ou est le journal troll habituel ?
Posté par oinkoink_daotter . En réponse au journal Nouveau coup de tonnerre attendu. Évalué à 2.
non <3
[^] # Re: Permissions Android
Posté par oinkoink_daotter . En réponse à la dépêche Linux capabilities : se passer des commandes su et sudo. Évalué à 3.
Est-ce que ce sont des permissions unix habituelles ou des ACL ?
Je vois mal comment on peut gérer finement des permissions type telle appli à un accès RW à tes données, mais telle appli non c'est juste du R, avec le modèle UGO classique.
Ou alors j'imagine un modèle batard ou l'accès niveau FS est "tout ou rien" niveau R/W et la VM filtre les appels Read et Write ?
[^] # Re: pouvoir exhorbitant...
Posté par oinkoink_daotter . En réponse au journal Chaque été depuis 9 ans, Altran enclenche une procédure de licenciement contre un délégué syndical. Évalué à 1.
Ben que tu te retrouves à chercher un boulot vite vite. Ce qui était le sujet de la discussion au départ. Enfin, je crois.
[^] # Re: pouvoir exhorbitant...
Posté par oinkoink_daotter . En réponse au journal Chaque été depuis 9 ans, Altran enclenche une procédure de licenciement contre un délégué syndical. Évalué à 2.
Ben s'il a fait une faute lourde ou grave…
Ca arrive. Mon post ne préjugeait pas d'une malhonnêteté de l'employeur.
[^] # Re: pouvoir exhorbitant...
Posté par oinkoink_daotter . En réponse au journal Chaque été depuis 9 ans, Altran enclenche une procédure de licenciement contre un délégué syndical. Évalué à 1.
Je pense que c'était ironique rapport au post de chat_de_sorciere< plus haut.
Alors ça, ça dépend. C'est la baseline, sauf que si l'employeur licencie pour faute lourde ou grave, où dans ce cas, c'est zobi pour les indemnités et préavis hors compensation des jours de CP.
Par contre, tu as le droit au chômage, mais une recherche simple ne m'a pas permis de savoir si ça faisait sauter les mois de carence (en toute logique, non). Donc il est bien possible que si tu te fais lourder pour faute lourde ou grave que tu te retrouves à poil du jour au lendemain en attendant les indemnités de retour à l'emploi qui arriveront … plus tard.
[^] # Re: Une faille de sécurité européenne
Posté par oinkoink_daotter . En réponse au journal RGPD, retrait de toutes les listes de MailJet. Évalué à 1.
L'esthétique ou les 3cm de plus de la garde au sol, je dirais. Y a aussi un seuil de chargement plus large et à plat pour le coffre ce qui est assez sympa pour charger des meubles quand tu vas à Ikea. Y a un comparatif là. Niveau conso et prix a priori, c'est quasi kif kif au très léger avantage du Kadjar.