L'article a été publié dans la rubrique Opinions du journal. Et s'agissant d'une opinion, aussi détestable soit-elle, pourquoi n'y aurait-elle pas sa place ?
Maintenant, on me répondra que la rédaction choisie quand même ce qu'elle publie, certes. Mais il y a quand même une grosse différence d'implication entre le contenu de ce genre de rubrique (qui contient le courrier des lecteurs) et les pages "normales".
Et puis c'est maaaaaal de tirer sur les blessés...
Et puis je connais assez bien l'entourage de mon immeuble, et s'il y avait ici un mec assez calé pour m'espionner, je le saurai, t'inquiète pas !
La préservation de la confidentialité est un aspect de la protection d'un réseau WiFi. Un autre est l'authentification des gens qui y accèdent et l'utilisent, et par ce biais l'accès Internet qui est derrière.
<begin of "moi je" section>
En ce qui me concerne, un problème majeur que je vois à l'ouverture de son accès WiFi est le fait que n'importe qui puisse l'utiliser comme il veut, le propriétaire de l'accès restant responsable de ce qui est fait... Ça m'embêterait de voir débouler les flics à la maison à 6h00 pétantes parce qu'un guignol télécharge des DivX ou pire comme un porc sur mon accès, et puis l'éventuelle difficulté que je pourrais avoir à me disculper (n'étant pas juriste, je ne préfère pas me risquer à des hypothèses foireuses).
<end of "moi je" section>
Donc je suis en WPA2 à la maison, surtout pour ça. Mais en dehors des mots de passe, ça me ferait quand même chier que n'importe qui puisse aussi facilement regarder ce que je fais, même si c'est en clair à travers le n'Internet plein de méchants pervers curieux travaillant pour des organismes à 3 lettres (ou 4, c'est selon).
En quoi avoir ta passphrase permet d'accéder à tes mots de passe ?
Parce qu'elle permet d'accéder au réseau. Si tu n'as pas accès au réseau, tu dois casser la protection WPA pour y entrer et appliquer les techniques de détournement de trafic classiques.
Une machine connecté en ethernet laisse l'accès aux mots de passe contenus dessus à tous le monde puisque ce qui sort de la carte n'est pas crypté ?
La différence notable, c'est que pour sniffer sur Ethernet, il faut être branché sur le réseau, ce qui veut rien avec pas trop possible pour le mec moyen qui n'habite pas chez toi et qui n'a pas les clés. Tandis qu'en WiFi, paf le chien. Sauf à appliquer une protection qui tient la route (i.e. WPA/WPA2).
Mais de toute manière, ça ne protège que la couche 2 (mais c'est déjà pas mal) en l'amenant à un niveau grosso modo équivalent à de l'ethernet filaire (sauf disponibilité). À partir de là, tout ce que tu aurais chiffré sur Ethernet devra évidemment être chiffré au dessus du WiFi, cela va de soit, mais il est parfois bon de le rappeler.
Pour les problème de module propriétaire, ce n'est pas sur le(s) développeur(s) du driver qu'il faut taper, mais sur Philips et son NDA à la con. Ceci étant, on pouvait utiliser pwc sans la partie propriétaire qui, jusqu'à la fameuse prise de gueule, était introduit via un patch.
Mais ceci dit, repense un peu à l'époque à laquelle est sorti le driver pwc. Philips, moyennant son module proprio, était probablement le seul à fournir des specs pour ses chips, alors que la plupart des autres drivers[1] étaient issus de reverse (comme de très nombreux drivers, toutes classes confondues, d'ailleurs). J'ai par exemple pu avoir un support décent de ma Logitech Webcam II, driver cpia, qu'après avoir attendu très longtemps, si bien que j'ai préféré me payer une Philips entre temps, et j'étais bien content de pouvoir la faire marcher.
[1] Si je n'écris pas *tous*, c'est parce que je n'en suis pas 100% sûr...
Ben avant de pouvoir tester, il faut accéder au contenu. Je ne sais pas si c'est le peering de mon FAI avec leur hébergeur qui se ramasse, mais chez moi, le site de l'INA rame comme c'est pas permis. Ça fait presqu'une heure que je suis dessus, et je n'ai pas encore vu le bout d'un stream ou téléchargement...
Des mauvaises langues pourraient dire qu'ils ont mieux réussi leur campagne de pub (j'ai du l'entendre une 10e de fois à France Info ce matin) que le dimensionnement de l'accès ;)
D'un point de vue technique il y a aucune différence dans la difficulté de mettre en oeuvre soit l'un soit l'autre.
On se heurte ici à l'énorme différence entre la technique/théorie et la pratique.
Dernièrement, j'ai du configurer le WPA sur un laptop XP pour le faire entrer dans mon réseau. Je ne suis certes pas doué en Windows, mais j'ai halluciné du temps qu'il m'a fallu pour que le faire marcher. D'abord, il a fallu le mettre à jour parce que le XP installé n'avait pas le WPA. Ensuite, comme je ne trouvait toujours pas où ça se cachait, j'ai mis le driver à jour. Et puis le gestionaire de réseau ne me proposait toujours pas de WPA pour mon réseau : il me disait qu'il fallait un clé, je rentrais ma PSK, et paf "euh monsieur, votre clé WEP est trop longue". Gni ?! En fait, ça se cachait dans un menu "Avancé" du gestionnaire de XP dans lequel il fallit que je lui dise de faire du WPA-PSK et lui filer ce qui allait bien.
Donc maintenant, supposons que je sois Mme Michu. Déjà, ça marche pas, faut tout mettre à jour. Ensuite, le gestionnaire n'est pas capable de voir que l'AP est en WPA (je veux dire, c'est pas comme si chaque beacon contenait une string wpa_ie que même mon iwlist sans lire) et me propose de le configurer en WEP. Et enfin, si je veux du WPA, je dois aller chercher dans un menu auquel je ne veux pas toucher parce que c'est pour ceux qui s'y connaissent... Franchement...
Ajoutons à cela que Mme Michi va sûrement rencontrer le même problème avec son routeur (ou AP), et qu'elle va devoir flasher le firmware pour avoir du WPA. Je dis ça parce que je pense à deux constructeurs qui distribuent encore du matos avec des firmwares WEP only (et juste un sticker sur la boîte qui dit que c'est WPA compliant si on flashe). Ajoutons à cela que la plupart des docs ne sont pas à jour, que certaines recommandent l'usage de WEP (quand elles ne déconseille pas celui de WPA) pour éviter des soucis de compatibilité, comment voulez-vous que même avec la meilleure volonté du monde les gens s'en sortent. Ajoutons encore tous les périphériques qui ne font que du WEP, genre lapin en plastique, lecteur de DVD WiFi, PDA japonais prisé des Linuxiens en ROM de base, etc., et vous avez des gens qui ne veulent tout simplement pas se faire chier et qui restent en WEP parce que _ça marche_. Et alors que monter un WPA-PSK ne devrait présenter aucune différence ergonomique, dans la pratique, c'est la croix et la bannière.
Dans la pratique, j'arrive nettement mieux à configurer mon wpa_supplicant en éditant le fichier de config à la mimine pour faire ce que je veux qu'un Windows XP avec sa super GUI dummy compliant.
Bref, si la sécurité des installations WiFi est aussi minable à l'heure actuelle, c'est à mon avis en grande partie la faute des constructeurs et éditeurs qui ne font pas leur part du boulot en continuant à livrer des matériels et logiciels qui ne sont pas capables de faire du WPA (au minimum) out-of-the-box (y'a des exceptions quand même). Et ça entretient les discours du genre "mon laptop/AP/routeur ne sait pas faire du WPA" alors que ce n'est pas vrai.
Dans le lien[1] que j'indiquais sur l'autre thread pointant sur le post d'un gars qui a eu la journaliste au téléphone, on pourra noter le "mon G3 ne supporte pas WPA, ma Livebox non plus", ce qui est faux dans les cas, mais modulo une MAJ de OSX et du fimware de la LB...
Quand un journaliste interview quelqu'un, il tourne, et après il choisit les morcaux au montage. Dans le cas présent, ces derniers ont indiqué que WEP se cassait et que les outils existaient, que WPA c'était mieux, mais ça a été coupé au montage.
Sinon, comme éclairage complémentaire, ce post sur fr.comp.securite :
je trouve dommage qu'une initiative se fasse descendre par un certain nombre ici
T'es sur Linuxfr aussi, le pays du sapussaipalibre. Mais comme on dit, l'enfer est pavé de bonnes intentions :)
Ceci étant, si on est d'accord sur l'utilisation des formats ouverts, parmi lesquels figure le format PDF, je n'ai rien à ajouter sur ce point.
Au dela de cela, l'auteur/mainteneur/etc. fait ce qu'il veut, ce n'est pas à moi de lui reprocher, mais si son but est de produire un service libre au sens large accessible informatiquement, je _pense_ qu'il devrait s'appuyer sur du LL (cf. noyau Linux et BitKeeper) pour s'affranchir de limites bassement matériel qui pourraient ruiner le projet dans son ensemble, ce qui serait très dommage en définitive. C'est pourquoi je _pense_ en définitive que les questions techniques ne doivent pas être écartées de simple revers de main et séparées au simplement.
Si on laisse de côté les considération techniques, ce site ne permet-il pas un partage des connaissances de quelque spécialistes des sciences sociales par la diffusion (gratuite par ailleur) de documents de références sur les sciences sociales ?
En théorie oui. Mais suppose deux secondes que tes documents soient diffusés sous format Word, et qu'il y ait un spécialiste sur Terre, n'importe lequel, n'importe où, qu'importe, qui n'ait pas Word. Comment il faut pour accéder à ce savoir ? Est-il normal qu'il ne puisse pas y accéder ? Le fait de ne pas posséder Word le rend-il moins spécialiste en sciences sociales au point de lui fermer l'accès à ces documents ? Donc en pratique non. Ce site restreindrait la liberté de certains à accéder aux savoir qu'il diffuse, et ce pour des considérations techniques, qui sont, amha, les plus injustes qui soient.
Les formats ouverts, c'est à mon avis une autre question.
Absolument pas.
Si tu veux diffuser une connaissance, tu dois lui fournir un support. Ce support peut prendre un nombre considérable de formes, comme l'oral, l'écrit, l'informatique, etc. Si tu veux assurer une bonne diffusion de cette connaissance, alors ce support doit être appréhendable par les gens auxquels tu destines ta diffusion. Si tu le fais à l'oral, tu le diffuses aux gens qui parlent ta langue, si tu le fais par écrit, alors c'est aux gens qui savent lire et parler ta langue, etc. Tout ceci, ce sont que tu le veuilles ou non des format d'échange d'information ouvert, ce que tout le monde peut en comprendre le fonctionnement et les pratiquer. On apprend à parler une ou plusieurs langue, à les lire, etc. Maintenant, si tu le fais sur un support informatique, alors tu le destines aux gens disposant des logiciels permettant d'accéder à ce support. Et ce n'est pas parce que c'est un support informatique qu'il doit être considéré comme quelque chose de différent des autres supports. Il véhicule un savoir et si on veut rendre accessible le savoir, alors on doit rendre accessible la lecture du support sur lequel il est transmis.
Or, le fait d'utiliser un certain type de format, i.e. propriétaire, restreint de facto l'accès à cette connaissance à la possession des logiciels capables de les lire, quelle que soit ta capacité à en appréhender le contenu (langue, niveau, etc.). Et dans le mondre propriétaire, la lecture d'un format fermé passe à un moment ou à un autre par l'acquisition d'une licence, donc une subordination de l'accès au savoir à ses moyens financiers.
Tu ne peux pas dissocier ton contenu du support sur lequel tu le diffuses. Et si tu décides de diffuser informatiquement ton contenu, alors tu dois entrer dans ces considération que tu juges bassement techniques de format utilisé. Je ne te parle pas, comme je le disais précédemment de ce qui fait tourner la plate-forme, mais juste de ce qu'elle diffuse.
Excuses moi d'y aller un peu fort, mais refuser le débat des formats ouverts sous prétexte que c'est bassement technique, c'est oublier que tout le monde n'a pas les moyens de se payer un OS propriétaires et qu'il est des pays où on accède à Internet et au savoir qu'il rend accessible grâce à des machines généreusement offertes et des logiciels libres acquis gratuitement également. Dès lors que tu décides de diffuser en format propriétaire, tu fermes la porte de ton savoir à ces gens là. C'est ça la liberté ? Diffuser son savoir à ceux qui ont les moyens financiers d'y accéder ? C'est un réflexe d'habitant gâté de pays riche qui a de facto Windows, Word et tout une tripotée de logiciels à la con servi avec le moindre PC acheté et qui finit par oublier que ce n'est pas la norme, et que c'est loin d'être le cas de tout le monde.
Bref, un bon discours bien égoïste de quelqu'un qui ne se pose pas la question de l'acquisition des moyens d'accès aux supports du savoir sous prétexte que c'est bassement technique. Ça, ça me fait bondir tellement cette question ma parait essentiel. Ce serait un peu comme ouvrir des bibliothèque publique sans école publique pour apprendre à lire...
Non pas du tout.
Je reproche aux gens qui offrent ce service d'en restreindre l'accès par l'utilisation de formats propriétaires. Je n'ai rien écrit d'autre, en particulier en ce qui concerne l'utilisateur.
Je vais donc oublier ton commentaire, exactement comme je me suis garder de faire des commentaires ce le genre de personne que tu pourrais avoir l'air d'être :)
Dans les valeurs du LL, il y a "partage de la connaissance". Le site y colle parfaitement, et a exactement cet objectif, si je ne m'abuse.
Ben justement non, il n'y colle pas parfaitement. En restituant le contenu en utilisant des formats propriétaires, il contraint l'utilisateur dans sa capacité à accéder au contenu en le contraignant dans le choix des outils qui lui permettent d'y accéder.
Le partage de connaissance dans le monde informatique, ça commence par l'utilisation de formats ouverts, avant même tout considération technique sur la plate-forme qui l'héberge.
Pour résumé, un contenu libre, c'est chouette, mais si le contenant n'est pas utilisable librement, alors il n'y a plus de liberté. Encore une fois, un service se définit par ses utilisateurs, sans lesquels il n'est rien. Sa liberté s'exprime donc du point de vue de l'utilisateur.
Je sais bien que le contenu n'est pas libre dans sa diffusion si son "canal" ne l'est pas. Encore une fois, je parle de la liberté que les gens qui produise ce contenu ont, et font partager
Dans mon esprit, le but d'une bibliothèque, c'est d'offrir du contenu au public. Si ce contenu n'est pas accessible librement, alors elle n'est pas libre, quel que soit le degré de liberté offert aux gens qui la gère. Et d'ailleurs, s'ils ont autant de liberté, ce n'est que perte de temps et d'énergie que de restituer tout cela à l'aide de solutions et de formats propriétaires qui réduisent la liberté des utilisateurs.
Exemple extrême. Chez moi, j'amasse des livres. En totale liberté, sans contrainte. Cela constitue-t-il pour autant une bibliothèque libre ? À mon sens clairement pas, je ne redistribue rien. Aucun gain pour l'utilisateur.
Pour revenir sur le ligiciel... La conversion est en cours ? Cool. Maintenant, quid de la plate-forme ? Tu me diras que ce n'est pas important. Je te répondrai de regarder ce qui s'est passé pour le noyau Linux avec Bitkeeper... Si un jour, pour une raison X ou Y, la license d'un logiciel propriétaire support de ce service n'est pas renouvelée, alors le service en pâtira (pour ne pas dire qu'il cessera), et ses utilisateurs avec.
Alors bibliothèque libre ou pas ? Pour moi, la réponse est non. Le contenu n'étant pas accessible librement, elle ne l'est pas. Affirmer le contraire, c'est à mon avis perdre de vue le but de la bibliothèque, et c'est tout aussi criticable que l'attitude de certains informaticiens qui perdent de vue que l'informatique est avant tout un outil au service de l'utilisateur...
Évidemment, si tu arrives 15 ans après la guerre pour monter ton process qualité, alors que tu as 100 millions de lignes dans la tronche, ça pose clairement un problème. Mais cette situation actuelle découle directement du "j'en ai rien à foutre" initial. Tu me diras, c'est toujours facile de critiquer à posteriori, et c'est vrai, et encore une fois, ce n'est pas propre à Microsoft et le marché a également une grosse part de responsabilité là-dedans.
Pour la taille des logiciels qui sont utilisés dans un Airbus, elle est suffisament raisonnable pour demander énormément de boulot. Ne serait-ce que parce qu'ils ont des features qu'un OS grand public n'a pas, comme la gestion de la sûreté de fonctionnement dans son ensemble par exemple. En gros, ce n'est pas parce qu'à chaque fois que tu tires sur le joystick, tu n'as pas un trombone qui apparait sur un super afficheur tête-haute LCD stéréoscopique pour te demander si tu 1) es bien sûr de vouloir monter 2) ne voudrais pas descendre par hasard 3) ne serais pas tenter de consulter l'aide en ligne, que ça ne fait pas tourner quelques millions de lignes de code derrière...
3°) tu pense que airbus dirais la meme chose si il y a un bug dans les commandes de vol?
oui il y a 200 morts mais les gens font des erreurs vous savez....
Oui mais il y a une différence fondamentale entre Airbus et Microsoft (mais ça s'applique à n'importe quel éditeur) qui s'appelle la responsabilité. Chaque action, de la conception jusqu'à la fin de la vie d'un avion est tracée (qui, quand, quoi, comment, pourquoi, etc.) et engage la responsabilité de son auteur, aussi bien civilement que pénalement. Et ce n'est pas le cas des éditeurs de logiciels courants. Forcément, quand on a une autorité de régulation sur le dos qui vient vérifier la qualité de tout ce que vous faites, sous peine de ne pas autoriser la mise sur le marché de l'avion, qu'on peut venir vous chercher parce qu'un ch'tit buffer overflow de rien du tout au milieu de votre million de lignes de code a contribué au crash d'un avion et fait 250 morts, et bien on met ce qu'il faut de procédure de contrôle qualité dessus pour que ça n'arrive pas. Et ça n'arrive pas.
Chez les gros éditeurs, on n'a rien de cela. Alors pourquoi investir dans la mise en place de tels process, qui sont très lourds et donc coûteux, alors que personne ne vous y oblige d'une part, et que le marché ne semble pas franchement prêt à en supporter le coût d'autre part ?
J'assistait récemment à une conférence d'un gars de chez Oracle (et je vais remettre ça avec une liste de question à jour dans pas longtemps ;)), nous expliquant façon Caliméro que la qualité logicielle c'est difficile, bla bla bla. Finalement, à la fin de la séance de questions, deux éléments qui contribuent amha fortement à la mauvaise qualité du code qu'on utilise tous les jours ressortent :
1. l'absence d'obligations règlementaires quant à la qualité du code produit
2. les décideurs ne sont pas prêts à supporter le coût induit par un véritable process de gestion qualité
Or, dans le cas d'Airbus, on a les deux. Dans le cas des grands éditeurs, aucun. Forcément, ça n'aide pas, et dans une certaine mesure, avec pas forcément énormément de cynisme (réalisme ?), c'est compréhensible. Ceci étant, on notera qu'il n'y a pas non plus le moindre début d'un engagement de la part de l'éditeur (cf. CLUF, licences d'utilisation, etc.), à part de belles promesses, des études vaseuses et des arguments éculés et largement contredits par les faits.
Il faut regarder les choses en face. Même un vendeur de pelles à tarte (honorable profession contre laquelle je n'ai rien) a plus d'obligations règlementaires d'un éditeur de logiciels. Et tant que ce genre de chose ne changera pas, je ne pense pas que la situation s'améliore énormément....
Il est vrai que taper sur Microsoft et se sentir obliger de dénoncer la théorie du complot, ça fait toujours quelques hits sur son site web. Mais si je vous dit que récemment a été publié un bulletin d'alerte faisant état d'un compte superutilisateur non documenté avec un password par défaut présent sur toute une gamme d'appliance d'un constructeur bien connu, me rétorquera-t-on que c'est peut-être trop gros pour véritablement ressembler à s'y méprendre à une backdoor "oubliée" ? C'est bizarre comme certaines failles monopolise l'actualité, alors que d'autres, passent inaperçues au milieu du tumulte.
Je vous laisse chercher de quoi il s'agit, c'est facile...
Et puis ça avait déjà été couvert par Dino et K2 à Cansecwest/core05, en mai dernier.
C'est bizarre cette manie des gens à s'émouvoir pour certaines choses, mais pas d'autres. Voir la faille WMF, à comparer à des buffers overflow sur JPG ou encore PNG.
Sur le plan purement technique, pleins d'apport pour corriger l'énorme foutoir qu'est IPv4 :
. simplification de l'entête protocolaire : taille fixe, plus de checksum à deux balles, extension de manière clean
. simplification du routage de manière très drastique, par affectation géographique des préfixes principalement
. plus de fragmentation sur les routeurs
. plus besoin d'ARP, du fait de la construction des adresses
. affectation des adresses quasiment à vie par device
. mécanismes de découvertes sympas basés sur ICMPv6, comme les préfixes de routage exportés, les MTU de liens, etc.
. gestion native d'IPSEC
. Etc.
Et évidemment, plus d'adresses IP, mais tu le savais déjà. Pour ta dernière remarque, Nerim distribue des /48 à ses clients. Et puis ça permet d'avoir un vrai Mobile IP, qui te permet d'être joint sur la même adresse IP où que tu sois sur Terre. Parfois, c'est utile.
Maintenant, côté applications, les trucs genre VoIP ou visio, qui sont méga-casse-couille derrière un NAT sans utiliser une architecture externe, un truc P2P massif ou un peu des deux (genre Skype) deviennent simple, idem pour le P2P qui le devient vraiment (exit les relais, ou les connexions impossibles entre deux hôtes NATés). Si si, je t'assure, y'a des gens qui s'en servent. Évidemment, toi non, mais bon, personne ne t'oblige (pour le moment) à migrer. D'ailleurs moi aussi ça me va l'IPv4, juste que si je veux pêter une visio pour voir ma nièce, faut que je colle mon laptop au cul du modem à la place du routeur pour pas exploser la conf en redirection de ports parce que chaque partie est NATée... Côté informatique facile, ergonomique et "Mme Michu compliant", on repassera. D'ailleurs, si Skype est aussi populaire, c'est pas pour rien, hein ?
Pour moi, l'argument, c'est surtout de rétablir la connectivité globale du réseau, qui n'est possible en IPv4 qu'au prix de la grosse magouille qu'est le NAT. Bien sûr, ça risque faire chier pas mal de gens pour qui le NAT constitue une "solution" de sécurité qui vont devoir apprendre à remplacer un -j MASQUERADE par une règle de filtrage, une vraie (ceci dit, je suis sûr qu'on leur recollera un -j MASQUERADE qui fera ce qu'il faut automagiquement).
Et puis, y'a les gens qui n'ont plus assez d'adresses IP publiques pour leurs besoins, tout simplement, genre les japonais (t'as jamais fait attention au nombre de développeur japonais pour ces trucs là ?) ou les chinois, et qui se retrouvent avec des FAIs qui adressent en RFC1918. Ça t'éclaterait d'avoir une IP privée au cul de lien ADSL ? Moi pas. Ce sera également le cas des pays qui actuellement développent leur infrastructure Internet avec trois francs, six sous. Sans parler qu'ils se passeraient bien de payer des blocs d'IP à des prix exorbitants, alors qu'ils ont tellement mieux à faire avec cet argent. Pour eux aussi, on pourrait aussi faire un petit effort.
Je dirais pour pousser le bouchon sûrement trop loin (hein Maurice ?) que rester à IPv4 alors qu'IPv6 est dispo, c'est juste se complaire dans son merdier, juste parce "chez moi ça marche". Si le LL était développé dans le même esprit, je crois qu'on serait beaucoup à être encore sous Windows. Bref, vivement que mon FAI me file de l'IPv6 natif.
# Arrêtez de tirer sur Libé...
Posté par Cédric Blancher . En réponse à la dépêche Il n'a de libre que le nom. Évalué à 1.
Maintenant, on me répondra que la rédaction choisie quand même ce qu'elle publie, certes. Mais il y a quand même une grosse différence d'implication entre le contenu de ce genre de rubrique (qui contient le courrier des lecteurs) et les pages "normales".
Et puis c'est maaaaaal de tirer sur les blessés...
[^] # Re: pas glop
Posté par Cédric Blancher . En réponse au journal Wikipedia fr: vue imprenable sur des cabalistes à l'oeuvre :-). Évalué à 2.
[^] # Re: Quid du WPA ?
Posté par Cédric Blancher . En réponse au journal Carte Wifi Belkin/Ralink : OK !. Évalué à 3.
La préservation de la confidentialité est un aspect de la protection d'un réseau WiFi. Un autre est l'authentification des gens qui y accèdent et l'utilisent, et par ce biais l'accès Internet qui est derrière.
<begin of "moi je" section>
En ce qui me concerne, un problème majeur que je vois à l'ouverture de son accès WiFi est le fait que n'importe qui puisse l'utiliser comme il veut, le propriétaire de l'accès restant responsable de ce qui est fait... Ça m'embêterait de voir débouler les flics à la maison à 6h00 pétantes parce qu'un guignol télécharge des DivX ou pire comme un porc sur mon accès, et puis l'éventuelle difficulté que je pourrais avoir à me disculper (n'étant pas juriste, je ne préfère pas me risquer à des hypothèses foireuses).
<end of "moi je" section>
Donc je suis en WPA2 à la maison, surtout pour ça. Mais en dehors des mots de passe, ça me ferait quand même chier que n'importe qui puisse aussi facilement regarder ce que je fais, même si c'est en clair à travers le n'Internet plein de méchants pervers curieux travaillant pour des organismes à 3 lettres (ou 4, c'est selon).
[^] # Re: Quid du WPA ?
Posté par Cédric Blancher . En réponse au journal Carte Wifi Belkin/Ralink : OK !. Évalué à 4.
Parce qu'elle permet d'accéder au réseau. Si tu n'as pas accès au réseau, tu dois casser la protection WPA pour y entrer et appliquer les techniques de détournement de trafic classiques.
Une machine connecté en ethernet laisse l'accès aux mots de passe contenus dessus à tous le monde puisque ce qui sort de la carte n'est pas crypté ?
La différence notable, c'est que pour sniffer sur Ethernet, il faut être branché sur le réseau, ce qui veut rien avec pas trop possible pour le mec moyen qui n'habite pas chez toi et qui n'a pas les clés. Tandis qu'en WiFi, paf le chien. Sauf à appliquer une protection qui tient la route (i.e. WPA/WPA2).
Mais de toute manière, ça ne protège que la couche 2 (mais c'est déjà pas mal) en l'amenant à un niveau grosso modo équivalent à de l'ethernet filaire (sauf disponibilité). À partir de là, tout ce que tu aurais chiffré sur Ethernet devra évidemment être chiffré au dessus du WiFi, cela va de soit, mais il est parfois bon de le rappeler.
[^] # Re: Philips et créative
Posté par Cédric Blancher . En réponse au journal webcam: à qui donner mon argent?. Évalué à 3.
[^] # Re: Philips et créative
Posté par Cédric Blancher . En réponse au journal webcam: à qui donner mon argent?. Évalué à 4.
Pour autant que je sache, pwc est complètement libre aujourd'hui.
http://www.saillard.org/linux/pwc/
Pour les problème de module propriétaire, ce n'est pas sur le(s) développeur(s) du driver qu'il faut taper, mais sur Philips et son NDA à la con. Ceci étant, on pouvait utiliser pwc sans la partie propriétaire qui, jusqu'à la fameuse prise de gueule, était introduit via un patch.
Mais ceci dit, repense un peu à l'époque à laquelle est sorti le driver pwc. Philips, moyennant son module proprio, était probablement le seul à fournir des specs pour ses chips, alors que la plupart des autres drivers[1] étaient issus de reverse (comme de très nombreux drivers, toutes classes confondues, d'ailleurs). J'ai par exemple pu avoir un support décent de ma Logitech Webcam II, driver cpia, qu'après avoir attendu très longtemps, si bien que j'ai préféré me payer une Philips entre temps, et j'étais bien content de pouvoir la faire marcher.
[1] Si je n'écris pas *tous*, c'est parce que je n'en suis pas 100% sûr...
[^] # Re: quelle version de freebox ?
Posté par Cédric Blancher . En réponse à la dépêche Modifier le firmware d'une Freebox grâce à OpenFreeBox. Évalué à 3.
# Faut tester, mais avant...
Posté par Cédric Blancher . En réponse au journal La VOD de l'INA sera (est ?) compatible GNU/Linux !. Évalué à 2.
Des mauvaises langues pourraient dire qu'ils ont mieux réussi leur campagne de pub (j'ai du l'entendre une 10e de fois à France Info ce matin) que le dimensionnement de l'accès ;)
En tout cas, c'est un excellente initiative.
[^] # Re: Le coup de vieux...
Posté par Cédric Blancher . En réponse au journal Multi-Pointer X Server. Évalué à 1.
[^] # Re: Euh
Posté par Cédric Blancher . En réponse au journal On parle de sécurité wifi au 20h de France 2. Évalué à 2.
On se heurte ici à l'énorme différence entre la technique/théorie et la pratique.
Dernièrement, j'ai du configurer le WPA sur un laptop XP pour le faire entrer dans mon réseau. Je ne suis certes pas doué en Windows, mais j'ai halluciné du temps qu'il m'a fallu pour que le faire marcher. D'abord, il a fallu le mettre à jour parce que le XP installé n'avait pas le WPA. Ensuite, comme je ne trouvait toujours pas où ça se cachait, j'ai mis le driver à jour. Et puis le gestionaire de réseau ne me proposait toujours pas de WPA pour mon réseau : il me disait qu'il fallait un clé, je rentrais ma PSK, et paf "euh monsieur, votre clé WEP est trop longue". Gni ?! En fait, ça se cachait dans un menu "Avancé" du gestionnaire de XP dans lequel il fallit que je lui dise de faire du WPA-PSK et lui filer ce qui allait bien.
Donc maintenant, supposons que je sois Mme Michu. Déjà, ça marche pas, faut tout mettre à jour. Ensuite, le gestionnaire n'est pas capable de voir que l'AP est en WPA (je veux dire, c'est pas comme si chaque beacon contenait une string wpa_ie que même mon iwlist sans lire) et me propose de le configurer en WEP. Et enfin, si je veux du WPA, je dois aller chercher dans un menu auquel je ne veux pas toucher parce que c'est pour ceux qui s'y connaissent... Franchement...
Ajoutons à cela que Mme Michi va sûrement rencontrer le même problème avec son routeur (ou AP), et qu'elle va devoir flasher le firmware pour avoir du WPA. Je dis ça parce que je pense à deux constructeurs qui distribuent encore du matos avec des firmwares WEP only (et juste un sticker sur la boîte qui dit que c'est WPA compliant si on flashe). Ajoutons à cela que la plupart des docs ne sont pas à jour, que certaines recommandent l'usage de WEP (quand elles ne déconseille pas celui de WPA) pour éviter des soucis de compatibilité, comment voulez-vous que même avec la meilleure volonté du monde les gens s'en sortent. Ajoutons encore tous les périphériques qui ne font que du WEP, genre lapin en plastique, lecteur de DVD WiFi, PDA japonais prisé des Linuxiens en ROM de base, etc., et vous avez des gens qui ne veulent tout simplement pas se faire chier et qui restent en WEP parce que _ça marche_. Et alors que monter un WPA-PSK ne devrait présenter aucune différence ergonomique, dans la pratique, c'est la croix et la bannière.
Dans la pratique, j'arrive nettement mieux à configurer mon wpa_supplicant en éditant le fichier de config à la mimine pour faire ce que je veux qu'un Windows XP avec sa super GUI dummy compliant.
Bref, si la sécurité des installations WiFi est aussi minable à l'heure actuelle, c'est à mon avis en grande partie la faute des constructeurs et éditeurs qui ne font pas leur part du boulot en continuant à livrer des matériels et logiciels qui ne sont pas capables de faire du WPA (au minimum) out-of-the-box (y'a des exceptions quand même). Et ça entretient les discours du genre "mon laptop/AP/routeur ne sait pas faire du WPA" alors que ce n'est pas vrai.
Dans le lien[1] que j'indiquais sur l'autre thread pointant sur le post d'un gars qui a eu la journaliste au téléphone, on pourra noter le "mon G3 ne supporte pas WPA, ma Livebox non plus", ce qui est faux dans les cas, mais modulo une MAJ de OSX et du fimware de la LB...
[1] http://groups.google.com/group/fr.comp.securite/msg/eefb4930(...)
# Faut-il pour autant taper sur les intervenants
Posté par Cédric Blancher . En réponse au journal Les conflits d'intérêt. Évalué à 9.
Quand un journaliste interview quelqu'un, il tourne, et après il choisit les morcaux au montage. Dans le cas présent, ces derniers ont indiqué que WEP se cassait et que les outils existaient, que WPA c'était mieux, mais ça a été coupé au montage.
Sinon, comme éclairage complémentaire, ce post sur fr.comp.securite :
http://groups.google.com/group/fr.comp.securite/msg/eefb4930(...)
Les journalistes ont fait des choix, mais pas le bons. Point.
[^] # Re: Bof...
Posté par Cédric Blancher . En réponse au journal La position d'Alternative Libérale sur les logiciels libres. Évalué à 6.
Hummm, mais sont-ils si libre que ça de ne pas les acheter ? ;)
[^] # Re: Plop
Posté par Cédric Blancher . En réponse au journal This is not a VALID free content. Évalué à 1.
T'es sur Linuxfr aussi, le pays du sapussaipalibre. Mais comme on dit, l'enfer est pavé de bonnes intentions :)
Ceci étant, si on est d'accord sur l'utilisation des formats ouverts, parmi lesquels figure le format PDF, je n'ai rien à ajouter sur ce point.
Au dela de cela, l'auteur/mainteneur/etc. fait ce qu'il veut, ce n'est pas à moi de lui reprocher, mais si son but est de produire un service libre au sens large accessible informatiquement, je _pense_ qu'il devrait s'appuyer sur du LL (cf. noyau Linux et BitKeeper) pour s'affranchir de limites bassement matériel qui pourraient ruiner le projet dans son ensemble, ce qui serait très dommage en définitive. C'est pourquoi je _pense_ en définitive que les questions techniques ne doivent pas être écartées de simple revers de main et séparées au simplement.
[^] # Re: Plop
Posté par Cédric Blancher . En réponse au journal This is not a VALID free content. Évalué à 1.
Si on laisse de côté les considération techniques, ce site ne permet-il pas un partage des connaissances de quelque spécialistes des sciences sociales par la diffusion (gratuite par ailleur) de documents de références sur les sciences sociales ?
En théorie oui. Mais suppose deux secondes que tes documents soient diffusés sous format Word, et qu'il y ait un spécialiste sur Terre, n'importe lequel, n'importe où, qu'importe, qui n'ait pas Word. Comment il faut pour accéder à ce savoir ? Est-il normal qu'il ne puisse pas y accéder ? Le fait de ne pas posséder Word le rend-il moins spécialiste en sciences sociales au point de lui fermer l'accès à ces documents ? Donc en pratique non. Ce site restreindrait la liberté de certains à accéder aux savoir qu'il diffuse, et ce pour des considérations techniques, qui sont, amha, les plus injustes qui soient.
[^] # Re: Plop
Posté par Cédric Blancher . En réponse au journal This is not a VALID free content. Évalué à 1.
Absolument pas.
Si tu veux diffuser une connaissance, tu dois lui fournir un support. Ce support peut prendre un nombre considérable de formes, comme l'oral, l'écrit, l'informatique, etc. Si tu veux assurer une bonne diffusion de cette connaissance, alors ce support doit être appréhendable par les gens auxquels tu destines ta diffusion. Si tu le fais à l'oral, tu le diffuses aux gens qui parlent ta langue, si tu le fais par écrit, alors c'est aux gens qui savent lire et parler ta langue, etc. Tout ceci, ce sont que tu le veuilles ou non des format d'échange d'information ouvert, ce que tout le monde peut en comprendre le fonctionnement et les pratiquer. On apprend à parler une ou plusieurs langue, à les lire, etc. Maintenant, si tu le fais sur un support informatique, alors tu le destines aux gens disposant des logiciels permettant d'accéder à ce support. Et ce n'est pas parce que c'est un support informatique qu'il doit être considéré comme quelque chose de différent des autres supports. Il véhicule un savoir et si on veut rendre accessible le savoir, alors on doit rendre accessible la lecture du support sur lequel il est transmis.
Or, le fait d'utiliser un certain type de format, i.e. propriétaire, restreint de facto l'accès à cette connaissance à la possession des logiciels capables de les lire, quelle que soit ta capacité à en appréhender le contenu (langue, niveau, etc.). Et dans le mondre propriétaire, la lecture d'un format fermé passe à un moment ou à un autre par l'acquisition d'une licence, donc une subordination de l'accès au savoir à ses moyens financiers.
Tu ne peux pas dissocier ton contenu du support sur lequel tu le diffuses. Et si tu décides de diffuser informatiquement ton contenu, alors tu dois entrer dans ces considération que tu juges bassement techniques de format utilisé. Je ne te parle pas, comme je le disais précédemment de ce qui fait tourner la plate-forme, mais juste de ce qu'elle diffuse.
Excuses moi d'y aller un peu fort, mais refuser le débat des formats ouverts sous prétexte que c'est bassement technique, c'est oublier que tout le monde n'a pas les moyens de se payer un OS propriétaires et qu'il est des pays où on accède à Internet et au savoir qu'il rend accessible grâce à des machines généreusement offertes et des logiciels libres acquis gratuitement également. Dès lors que tu décides de diffuser en format propriétaire, tu fermes la porte de ton savoir à ces gens là. C'est ça la liberté ? Diffuser son savoir à ceux qui ont les moyens financiers d'y accéder ? C'est un réflexe d'habitant gâté de pays riche qui a de facto Windows, Word et tout une tripotée de logiciels à la con servi avec le moindre PC acheté et qui finit par oublier que ce n'est pas la norme, et que c'est loin d'être le cas de tout le monde.
Bref, un bon discours bien égoïste de quelqu'un qui ne se pose pas la question de l'acquisition des moyens d'accès aux supports du savoir sous prétexte que c'est bassement technique. Ça, ça me fait bondir tellement cette question ma parait essentiel. Ce serait un peu comme ouvrir des bibliothèque publique sans école publique pour apprendre à lire...
[^] # Re: Plop
Posté par Cédric Blancher . En réponse au journal This is not a VALID free content. Évalué à 2.
Je reproche aux gens qui offrent ce service d'en restreindre l'accès par l'utilisation de formats propriétaires. Je n'ai rien écrit d'autre, en particulier en ce qui concerne l'utilisateur.
Je vais donc oublier ton commentaire, exactement comme je me suis garder de faire des commentaires ce le genre de personne que tu pourrais avoir l'air d'être :)
[^] # Re: Plop
Posté par Cédric Blancher . En réponse au journal This is not a VALID free content. Évalué à 1.
Ben justement non, il n'y colle pas parfaitement. En restituant le contenu en utilisant des formats propriétaires, il contraint l'utilisateur dans sa capacité à accéder au contenu en le contraignant dans le choix des outils qui lui permettent d'y accéder.
Le partage de connaissance dans le monde informatique, ça commence par l'utilisation de formats ouverts, avant même tout considération technique sur la plate-forme qui l'héberge.
Pour résumé, un contenu libre, c'est chouette, mais si le contenant n'est pas utilisable librement, alors il n'y a plus de liberté. Encore une fois, un service se définit par ses utilisateurs, sans lesquels il n'est rien. Sa liberté s'exprime donc du point de vue de l'utilisateur.
[^] # Re: Plop
Posté par Cédric Blancher . En réponse au journal This is not a VALID free content. Évalué à 1.
Dans mon esprit, le but d'une bibliothèque, c'est d'offrir du contenu au public. Si ce contenu n'est pas accessible librement, alors elle n'est pas libre, quel que soit le degré de liberté offert aux gens qui la gère. Et d'ailleurs, s'ils ont autant de liberté, ce n'est que perte de temps et d'énergie que de restituer tout cela à l'aide de solutions et de formats propriétaires qui réduisent la liberté des utilisateurs.
Exemple extrême. Chez moi, j'amasse des livres. En totale liberté, sans contrainte. Cela constitue-t-il pour autant une bibliothèque libre ? À mon sens clairement pas, je ne redistribue rien. Aucun gain pour l'utilisateur.
Pour revenir sur le ligiciel... La conversion est en cours ? Cool. Maintenant, quid de la plate-forme ? Tu me diras que ce n'est pas important. Je te répondrai de regarder ce qui s'est passé pour le noyau Linux avec Bitkeeper... Si un jour, pour une raison X ou Y, la license d'un logiciel propriétaire support de ce service n'est pas renouvelée, alors le service en pâtira (pour ne pas dire qu'il cessera), et ses utilisateurs avec.
Alors bibliothèque libre ou pas ? Pour moi, la réponse est non. Le contenu n'étant pas accessible librement, elle ne l'est pas. Affirmer le contraire, c'est à mon avis perdre de vue le but de la bibliothèque, et c'est tout aussi criticable que l'attitude de certains informaticiens qui perdent de vue que l'informatique est avant tout un outil au service de l'utilisateur...
[^] # Re: C'est trop lent tout ca !
Posté par Cédric Blancher . En réponse au sondage Presse informatique : mon magazine papier préféré. Évalué à 10.
[^] # Re: Le pauvre...
Posté par Cédric Blancher . En réponse au journal Steve Gibson accuse Microsoft. Évalué à 2.
Pour la taille des logiciels qui sont utilisés dans un Airbus, elle est suffisament raisonnable pour demander énormément de boulot. Ne serait-ce que parce qu'ils ont des features qu'un OS grand public n'a pas, comme la gestion de la sûreté de fonctionnement dans son ensemble par exemple. En gros, ce n'est pas parce qu'à chaque fois que tu tires sur le joystick, tu n'as pas un trombone qui apparait sur un super afficheur tête-haute LCD stéréoscopique pour te demander si tu 1) es bien sûr de vouloir monter 2) ne voudrais pas descendre par hasard 3) ne serais pas tenter de consulter l'aide en ligne, que ça ne fait pas tourner quelques millions de lignes de code derrière...
[^] # Re: Le pauvre...
Posté par Cédric Blancher . En réponse au journal Steve Gibson accuse Microsoft. Évalué à 7.
oui il y a 200 morts mais les gens font des erreurs vous savez....
Oui mais il y a une différence fondamentale entre Airbus et Microsoft (mais ça s'applique à n'importe quel éditeur) qui s'appelle la responsabilité. Chaque action, de la conception jusqu'à la fin de la vie d'un avion est tracée (qui, quand, quoi, comment, pourquoi, etc.) et engage la responsabilité de son auteur, aussi bien civilement que pénalement. Et ce n'est pas le cas des éditeurs de logiciels courants. Forcément, quand on a une autorité de régulation sur le dos qui vient vérifier la qualité de tout ce que vous faites, sous peine de ne pas autoriser la mise sur le marché de l'avion, qu'on peut venir vous chercher parce qu'un ch'tit buffer overflow de rien du tout au milieu de votre million de lignes de code a contribué au crash d'un avion et fait 250 morts, et bien on met ce qu'il faut de procédure de contrôle qualité dessus pour que ça n'arrive pas. Et ça n'arrive pas.
Chez les gros éditeurs, on n'a rien de cela. Alors pourquoi investir dans la mise en place de tels process, qui sont très lourds et donc coûteux, alors que personne ne vous y oblige d'une part, et que le marché ne semble pas franchement prêt à en supporter le coût d'autre part ?
J'assistait récemment à une conférence d'un gars de chez Oracle (et je vais remettre ça avec une liste de question à jour dans pas longtemps ;)), nous expliquant façon Caliméro que la qualité logicielle c'est difficile, bla bla bla. Finalement, à la fin de la séance de questions, deux éléments qui contribuent amha fortement à la mauvaise qualité du code qu'on utilise tous les jours ressortent :
1. l'absence d'obligations règlementaires quant à la qualité du code produit
2. les décideurs ne sont pas prêts à supporter le coût induit par un véritable process de gestion qualité
Or, dans le cas d'Airbus, on a les deux. Dans le cas des grands éditeurs, aucun. Forcément, ça n'aide pas, et dans une certaine mesure, avec pas forcément énormément de cynisme (réalisme ?), c'est compréhensible. Ceci étant, on notera qu'il n'y a pas non plus le moindre début d'un engagement de la part de l'éditeur (cf. CLUF, licences d'utilisation, etc.), à part de belles promesses, des études vaseuses et des arguments éculés et largement contredits par les faits.
Il faut regarder les choses en face. Même un vendeur de pelles à tarte (honorable profession contre laquelle je n'ai rien) a plus d'obligations règlementaires d'un éditeur de logiciels. Et tant que ce genre de chose ne changera pas, je ne pense pas que la situation s'améliore énormément....
Mes 0,02¤ du matin trop tôt.
# Pourquoi toujours taper sur Microsoft ?
Posté par Cédric Blancher . En réponse au journal Steve Gibson accuse Microsoft. Évalué à 3.
Je vous laisse chercher de quoi il s'agit, c'est facile...
[^] # Re: d'accord avec vous
Posté par Cédric Blancher . En réponse au journal Encore une nouvelle feature de Windows découverte !. Évalué à 5.
C'est bizarre cette manie des gens à s'émouvoir pour certaines choses, mais pas d'autres. Voir la faille WMF, à comparer à des buffers overflow sur JPG ou encore PNG.
[^] # Re: Euh
Posté par Cédric Blancher . En réponse au journal Rapport US-CERT et ZDnet.... suite. Évalué à 9.
[^] # Re: lapin compris
Posté par Cédric Blancher . En réponse au journal IPv6 pour tous ???. Évalué à 5.
Sur le plan purement technique, pleins d'apport pour corriger l'énorme foutoir qu'est IPv4 :
. simplification de l'entête protocolaire : taille fixe, plus de checksum à deux balles, extension de manière clean
. simplification du routage de manière très drastique, par affectation géographique des préfixes principalement
. plus de fragmentation sur les routeurs
. plus besoin d'ARP, du fait de la construction des adresses
. affectation des adresses quasiment à vie par device
. mécanismes de découvertes sympas basés sur ICMPv6, comme les préfixes de routage exportés, les MTU de liens, etc.
. gestion native d'IPSEC
. Etc.
Et évidemment, plus d'adresses IP, mais tu le savais déjà. Pour ta dernière remarque, Nerim distribue des /48 à ses clients. Et puis ça permet d'avoir un vrai Mobile IP, qui te permet d'être joint sur la même adresse IP où que tu sois sur Terre. Parfois, c'est utile.
Maintenant, côté applications, les trucs genre VoIP ou visio, qui sont méga-casse-couille derrière un NAT sans utiliser une architecture externe, un truc P2P massif ou un peu des deux (genre Skype) deviennent simple, idem pour le P2P qui le devient vraiment (exit les relais, ou les connexions impossibles entre deux hôtes NATés). Si si, je t'assure, y'a des gens qui s'en servent. Évidemment, toi non, mais bon, personne ne t'oblige (pour le moment) à migrer. D'ailleurs moi aussi ça me va l'IPv4, juste que si je veux pêter une visio pour voir ma nièce, faut que je colle mon laptop au cul du modem à la place du routeur pour pas exploser la conf en redirection de ports parce que chaque partie est NATée... Côté informatique facile, ergonomique et "Mme Michu compliant", on repassera. D'ailleurs, si Skype est aussi populaire, c'est pas pour rien, hein ?
Pour moi, l'argument, c'est surtout de rétablir la connectivité globale du réseau, qui n'est possible en IPv4 qu'au prix de la grosse magouille qu'est le NAT. Bien sûr, ça risque faire chier pas mal de gens pour qui le NAT constitue une "solution" de sécurité qui vont devoir apprendre à remplacer un -j MASQUERADE par une règle de filtrage, une vraie (ceci dit, je suis sûr qu'on leur recollera un -j MASQUERADE qui fera ce qu'il faut automagiquement).
Et puis, y'a les gens qui n'ont plus assez d'adresses IP publiques pour leurs besoins, tout simplement, genre les japonais (t'as jamais fait attention au nombre de développeur japonais pour ces trucs là ?) ou les chinois, et qui se retrouvent avec des FAIs qui adressent en RFC1918. Ça t'éclaterait d'avoir une IP privée au cul de lien ADSL ? Moi pas. Ce sera également le cas des pays qui actuellement développent leur infrastructure Internet avec trois francs, six sous. Sans parler qu'ils se passeraient bien de payer des blocs d'IP à des prix exorbitants, alors qu'ils ont tellement mieux à faire avec cet argent. Pour eux aussi, on pourrait aussi faire un petit effort.
Je dirais pour pousser le bouchon sûrement trop loin (hein Maurice ?) que rester à IPv4 alors qu'IPv6 est dispo, c'est juste se complaire dans son merdier, juste parce "chez moi ça marche". Si le LL était développé dans le même esprit, je crois qu'on serait beaucoup à être encore sous Windows. Bref, vivement que mon FAI me file de l'IPv6 natif.