oinkoink_daotter a écrit 1687 commentaires

Ils ne votent pas on s'en fout :)
Plus sérieusement, j'y avais pensé, mais je ne l'ai pas écrit parce que les deux réseaux dont tu parles ne permettent pas trop de véhiculer des idées. Il n'y a qu'à voir le contenu de l'instagram élyséen.

Bah d'un côté tu as un outil audité par l'ANSSI dont ils disent que le code est "propre et lisible",

Non, tu as un outil audité par un CESTI, Amossys, sur la base d'une cible de sécurité validée par l'Agence. Cet audit/évaluation a fait l'objet d'un rapport sur lequel l'Agence s'est fondée pour mettre son tampon parce qu'elle sait qu'Amossys travaille bien. CSPN ça veut dire "Certification de sécurité de premier niveau", ce qui veut dire "ça fait ce que ça dit que ça fait de façon pas trop mal à priori". Elle n'a jamais audité elle même le truc.

Je ne me rappelle plus des détails, mais il me semble que plus de la moitié des trucs qui se présentent en évaluation CSPN se font retoquer au premier passage.

ni en https alors même qu'ils se sont déjà fait p0wn par la NSA via du man in the middle, les loosers)

Je ne retrouve pas de trace d'un tel truc. T'es sûr que tu ne confonds pas avec l'attaque plus classique "type Podesta" qui avait eu lieu où des gars du staff avaient reçu un vilain spearphishing leur demandant de s'authentifier sur un lien présent dans un mail, lien qui renvoyait sur une mire ressemblant à la mire d'authentification de l'Elysée, mais sur un site extérieur tenu par les pirates ?

Je pense que l'analyse ça a été : où est notre audimat ? Sur Facebook. Allons les chercher et rassemblons les sur Facebook. En plus, il y a un système assez évolué de gestion et modération de commentaires, ça permet d'offloader de la charge. En plus, ça fait jeune.

L'employeur a le droit de déchiffrer les paquets mais ne peut pas lire le contenu.

Si, il peut. Le principe de n'importe quel antivirus, de flux ou de fichier, ou même d'une solution de DLP, c'est de s'intéresser au contenu et pas juste aux métadonnées ; solutions qui à ma connaissance ne sont pas interdites en France. Il faut juste que ce soit écrit et (réputé) connu du salarié.

• Il faut prévenir avant.

Oui. Mais attention, le coup de la signature obligatoire de la charte, c'est un coup oui, un coup non. Dans certains cas l'annexion au règlement intérieur peut suffire (c'est ce que m'avait indiqué le cabinet d'avocats dans mon ancienne boîte)

• Il faut informer du pourquoi.

Oui, mais il ne faut pas oublier qu'à ton niveau c'est une information, pas une négociation. T'as le droit de ne pas être d'accord, tout comme l'employeur n'est pas tenu de te fournir l'internet.

• Il faut informer sur le temps de rétention des données (pour la CNIL, c'est 6 mois max)

Non, la CNIL dit qu'une durée de l'ordre de 6 mois est généralement suffisante, pas que c'est le max. C'est écrit ici. Dans le cas où ça peut être aussi utilisé en réponse à incident, on peut très bien vendre un an.

On doit pouvoir consulter les procédures d’accès à ces données

Individuellement, à ma connaissance, tu n'as aucune base de droit pour ça. Pas plus que tu n'as le droit de consulter les procédures de Facebook pour t'assurer que tes données sont secure. L'autorité de contrôle, par contre, oui.

L'ANSSI est assez frileuse sur le sujet.

C'est surtout pas vraiment son sujet et ils ont d'autres chats à fouetter.
Dans la note technique de l'Agence pointée plus bas, il y a un élément qui va dans le sens du journal : la R22 avec l'exemple des banques. Cependant c'est toujours une histoire de bénéfice/risque. A priori, je serai enclin à ne pas intercepter le trafic vers paypal ou la BNP, par contre ne pas le faire avec le webmail d'Octave serait suicidaire. Donc c'est pas une généralité. Dans ce cas, je préfère bosser un peu avec le fournisseur pour mon registre de traitements gédépéhère.

(la R4 avec le gag sur l'IGC/A me fait hurler de rire)

Souvent dans ces machins, t'as plusieurs niveaux de whitelist, avec des effets de bords en fonctions de whitelist. Essayé et détesté avec un manteau bleu.

C'est pas impossible mais en l'espèce, on ne désigne pas un coupable, on cible méchamment une perquisition/enquête, donc ce n'est pas le seul élément qui entre en ligne de comte. D'autant que si tu ne veux pas te faire gauler, il ne faut pas juste chopper les credentials d'un collègue. C'est pour ça qu'en entreprise on limite (ou on essaye de limiter) ce que peuvent faire les gens avec les machines, c'est pas juste parce qu'on est des nazis.

Mais encore une fois, ici, tu vas te faciliter la vie par rapport à un proxy openbar et la problématique sera à peu près identique qu'avec un proxy authentifiant classique.

En cas d'activité frauduleuse, ce sera donc à l'entreprise de démontrer que ce n'est pas elle qui est à l'origine de l'activité, et surtout de désigner le coupable. C'est pas évident.

Elle va montrer sa bonne et foi et balancer les logs. Ca tombe bien, un des avantages des boîtes magiques type Zscaler/Bluecoat, c'est que ça fait des logs de fou et que ça authentifie. Quel est le truc compliqué, ici ?
En faisant ça, paradoxalement, elle se compliquera moins la vie qu'avec un proxy à l'ancienne qui n'intercepte pas le traffic SSL et non authentifié/journalisé (puisqu'à priori ce n'est pas obligatoire), où elle risque une perquisition à grosse maille pour trouver d'où vient la merde. Parce que bon, ça ne se termine pas à "désolé, msieur le policier, j'ai pas de logs parce que je ne suis pas obligé".

Je pense que ce qui intéresse l'administration fiscale, c'est plus ce qui a trait à la facturette que le transfert d'argent de compte à compte qui a lieu via le chéquier. J'imagine que l'horodatage du terminal CB est plus ou moins réputé sûr, alors que le chèque, voilà, quoi.

Il me semble qu'au moins Microsoft l'utilise sur ses "surface" (les ARM, donc "pas pro"). On le voit grâce au (UEFI) secure boot non désactivable.

Mais c’est quoi ce truc, c’est pas toxique au moins ? Parce que les fluides qu’on livre dans cette gamme de quantité, généralement ça dépote : comme les colles cyanoacrylates (celles qui tiennent le monsieur la tête en bas collé par les semelles de ses chaussures, et qui vous collent les doigts tout aussi fermement en cas de mauvaise manip’…).

Les cyanocrylates ne sont pas particulièrement toxiques pour l'humain. Elles sont d'ailleurs souvent utilisées en médecine humaine.

il y a de forte chance que le PC infecté soit celui du concepteur,

Non. Sauf à être complètement teubé, quand tu développes un malware, tu ne le fais pas avec un antivirus actif (et tu accèdes à Virustotal via un proxy pour soumettre ton truc puis le bricoler jusqu'à ce qu'il passe sous le radar).

Concernant ce qu'il s'est passé (ce n'est pas particulièrement pour toi), je pense qu'il est important de lire l'analyse qu'a fait Kaspersky sur l'incident (c'est ici). L'aspect collaboration avec le KGB n'est pas abordé et honnêtement on s'en fout. Potentiellement, oui, potentiellement non.
Sur les faits, Kasperky a vu sur un PC (complètement vérolé) sur lequel a été lancé un full scan un truc qui ressemblait à un APT. Il a uploadé l'archive dans lequel se trouvait le truc pour analyse… Le truc a été analysé. Oups il y avait des trucs dans l'archive qui n'aurait pas du être dedans.

C'est le fonctionnement de n'importe quel antivirus un peu évolué du moment sur lequel la télémétrie n'est pas désactivé (dans le cas Kasperky, ils disent qu'elle ne l'était pas).
Microsoft fait à peu près PAREIL avec l'automatic sample submission. La seule différence c'est que si MS estime que le sample "peut contenir" (bien évidemment sans expliquer comment) des informations personnelles, il va te demander s'il peut uploader.
Après savoir si MS va contacter la NSA s'il détecte une nouvelle variante d'un APT Russe …

Par contre, je pense que cette affaire a été un wakeup call pour rappeler qu'effectivement, il y a pas grand chose qui empêche un fabriquant d'AV de demander à uploader tous les fichiers dans lequel il y a la signature "top sicrête". Mais je ne pense pas cette histoire, à elle seule, justifie le bannissement prononcé au niveau européen. Il doit y avoir d'autres trucs (et pas que les whitelists).

c'est quand même pas la mort!

Il me semble qu'à une époque udev foutait la grouille, genre il numérotait Slowlaris staÿle les interfaces réseau en fonction du nom du driver associé, et donc du coup, la reconnexion réseau se passait moins bien si le driver de la carte réseau changeait à la migration. Ça n'est plus vrai ?

EEE est une stratégie précise, qui fonctionne très bien car justement cela suit ces étapes. Si tu n'as pas l'extend, le reste n'est absolument pas pareil.

Techniquement, dans l'exemple Skype, le truc ayant été proprio et non interopérable depuis 0, ça n'a été ni "Embrace" ni "Extinguish" non plus. Ça commence à faire beaucoup de trucs qui manquent dans Embrace, Extend et Extinguish.

le représentant de Microsoft a évoqué la mise en place d'une « intelligence artificielle » dans Github, qui, je suppose, sera une sorte de data mining permettant de rechercher rapidement des morceaux de code. J'imagine très bien Microsoft rechercher les algorithmes les plus brillants pour les intégrer dans ses propres produits propriétaires. La GPL c'est bien, mais j'imagine qu'une fois le code compilé et intégré dans un ensemble plus vaste, la réutilisation illégale du code est indétectable.

Je pense que tu devrais te poser deux secondes et arrêter de supposer.
Au delà du fait que c'est frontalement illégal (il y a quand même des gens chez MS qui gèrent le risque légal et à l'image), qu'il ne faudra pas oublier de ne pas le breveter ce truc génial (on parle de boîtes qui "inventent" régulièrement des trucs genre boucle "if") parce que ce serait très très con d'inventer un truc sur lequel il y a un prior art dispo en GPL sur Internet, on peut se poser la question du quoi chercher et comment. Question simple, par exemple : 1)comment caractériserais-tu un algorithme de tri "brillant", 2) comment le détecterais-tu dans 1Go (au hasard) de code qui peut être dans une dizaine de langages ?
Le "data mining", le "machine leurningue", etc, c'est pas magique.

Par contre, pourquoi est que cette IA ne serait pas un truc pour faciliter la vie du développeur ? Par exemple un truc qui au git push/commit va regarder le code et dire : "oulà ce que tu fais ici, ça a l'air bien foireux" ou "vu les commits de résolutions de tickets, le truc que tu as fait là ressemble à un truc qui va te claquer entre les doigts", ou "nan nan, vu comment t'as appelé la fonction bidule, ça va probablement pas faire ce que tu veux" … Ou alors c'est pour la compliance au GDPR ou l'article 13…

C'est fou comment MS est perçu sur Linuxfr. Je sais que ce ne sont pas des tendres mais on en fait une sorte de méta entité démoniaque aux moyens illimités qui aurait dépensé 26myards (linkedin) plus 7.5myars (github) pour trouver les meilleurs développeurs et les algos GPL les plus brillants.

Il faut relire la définition d'Embrace, Extend, Extinguish. Il s'agit de prendre des standards, de les étendre puis couic interopérabilité (mode IE4/5/6 qui été le maître étalon).

En l'espèce, sur les sujets que tu as donné, ils ont essayé d'Embracer quoi comme standard ou même comme truc existant ?
Parce que là tu me parles d'un OS réécrit sur les cendres d'un OS mobile qui leur appartenait, d'un antivirus probablement pas basé sur clamav et qui marche pour des raisons commerciales assez moyennement, d'un cloud (qui contrairement à ce que tu penses marche plutôt du feu de Dieu commercialement), de la revente d'info personnelles (seriously, saikoi le rapport), des consoles de jeu sur lesquelles le truc le plus grave qu'ils aient fait c'est de négocier des exclus comme tous les autres. A l'extrême limite, on pourrait peut être trouver des trucs du côté du store, mais il faudrait vraiment tordre le concept.

Et clairement ils ont essayés dans tout un tas de domaines.

Ou ??????
Y a pas un seul cas dans tes exemples qui ne tombent pas dans la case de "on a tenté de lancer un produit"… comme n'importe quel industriel, en fait.

Ils ont essayé en tout cas : skype par exemple (racheté en 2011), linkedin (rachat en 2016)

Il faut relire la définition d'Embrace, Extend, Extinguish. Il s'agit de prendre des standards, de les étendre puis couic interopérabilité.
La, tu me parles de rachat de services propriétaires. Quel rapport ?

Embrace,_extend_and_extinguish, comme tu l'as fort bien expliqué dans le débat.

Sérieusement, ces 10 dernières années, ils ont embracé, extendé et extinguishé quoi, Microsoft ?

C'est même pire que ça : le représentant de MS a clairement dit qu'ils allaient vers un modèle cloud locatif, donc oui il vont proposer du service, mais plus à la location qu'à la vente. Et pour moi, ça signifie beaucoup plus de difficultés à changer de prestataires.

Je ne comprends pas cette phrase. Un cloud à la base c'est de la location : tu donnes une quantité extravagante d'argent à un prestataire tous les mois et en échange il te fournit un service qui peut aller jusqu'à l'applicatif sizé pour tes besoins. Dans certains cas, tu payes à l'usage. Quand tu ne payes plus … ben tu pries pour que ton prédécesseur ait bien négocié la clause de réversion.
Que MS pousse de plus en plus vers du tout locatif ce n'est pas un secret, ni une nouveauté. Par exemple, en entreprise, O365 c'est 2011, la Software Assurance c'est 2006. Mais "en même temps", MS te permet aussi d'héberger des trucs Azure en mode "On Premise", donc dans ton datacenter.

• on a foiré (avis perso) pas mal de choses, sur la sensibilisation, sur l'éducation au numérique, sur notre capacité à co-construire avec les utilisateurs, avec les designeurs,

Moi je pense que ce qu'on a surtout pas compris c'est que pour un utilisateur final le fait qu'un logiciel soit libre (pour le soft classique) et qu'il soit maître de ses données (pour le soft classique ou le cloud) n'est qu'un critère parmi d'autres. Du coup, toute la stratégie de comm de ces 15 dernières années est passée à côté (ex. les multiples solutions libres de video conf vs Skype ou le four absolu du mot dièse deletefacebook lors du "scandale" Cambridge Analytica).

sur le fait qu'on se marre sur TapTempo mais qu'on ne met pas vraiment nos talents aux services de personnes qui veulent vraiment changer la société, etc.

C'était rigolo TapTempo :D

Sur un iPhone oO'

Le système de permissions permet de savoir à priori si l'application a l'intention de faire n'importe quoi, tandis que la pseudo-clairvoyance de l'OS (qui ne sera jamais parfaite d'où le "pseudo-")

Malheureusement, c'est un peu la seule solution quand tu as un historique à maintenir (genre une compatibilité plus ou moins fonctionnelle jusque Windows 95). Quand tu as la main sur l'évolution du parc applicatif et capacité à tordre le bras aux développeurs, c'est plus facile de passer à un modèle impératif et à sandboxer les applis (kikoo Apple, kikoo Google ; quoi qu'Apple galère depuis des années pour tenter d'imposer le sandboxing sous macOS dans le macAppStore car ses parts de marché - au macAppStore - sont ridicules, donc les gens préfèrent quitter le store)

Pour ce qui est de AppLocker, ça semble être à configurer, donc aucun personne lambda ne va l'utiliser.

Pourtant, bien configuré, il faut reconnaître que ça tabasse et restreint monstrueusement la surface d'attaque. Par contre, le vrai problème c'est que ce n'est dispo que sur les versions entreprise/ultimate (et education pour W10), donc du coup, ce n'est pas très répondu.

Au moins un peu, puisque sinon je sens qu'on va me dire "Windows Store" (ou "Microsoft Store" ou encore un autre nom ?), qui effectivement est bien là, mais il ne gère à ma connaissance que les applications acceptées par Microsoft contrairement à APT ou F-Droid, ce qui n'est pas une bonne chose pour son extension et éviter de devoir faire confiance à un unique tiers (en l'occurrence Microsoft).

C'est plus compliqué que ça.

• Windows et les applications Microsoft classiques (genre pack office) sont mises à jour via le mécanisme type "WSUS" du panneau de configuration;
• Les applications dispo dans le *store sont mises à jour via le *store.
• du coup, les applications ont bien souvent (comme sous macos) leur mécanisme propre de maj. Hashtag yolo.

il suffit de ranger dans un coin les applications inamovibles et elles ne feront rien.

Tu peux aussi maintenant les "supprimer" en grande partie. Entre guillemet parce que comme ça fait partie de la flash en read only, c'est pas supprimé, mais juste masqué (ce qui ne règle pas le problème d'Albert_< du coup)

Premièrement, la loi ne le fait pas, le vol et la contrefaçon sont deux délits totalement disjoints.

La jurisprudence est en train de très fortement amoindrir cette séparation dans le cadre des données informatiques (kikoo bluetouff)

ui, et c'est aussi le nom du site.

Si y a pas que le référencement, y a les cookies d'affiliations de tous les gens de linuxfr qui vont cliquer sur le lien et plus tard acheter des trucs sur _o<~base.