thedude a écrit 2062 commentaires

Je ne juge rien, je constate que la justice n'a pas fait ce qu'elle aurait dû pour faire émerger la vérité.

d'un autre cote, la justice, elle allait pas mettre 4 enqueteurs et mobiliser un labo de police scientifique pour un pare choc raye (260 euros, vu les tarifs en carrosserie, devait pas y avoir lourd de reparation a faire) et un majeur tendu, elle a surement d'autre chat a foutter...

aller aussi loin en justice sur simple preuve d'une photo prise sur un portable, sans etre capable d'identifier le conducteur du scooter, c'est abuse serieux...

Non, pas trop un troll.

en fait ca depend ce que t'appelles applications web.
Si tu parles juste d'un blog tout simple, d'un forum ou ce genre de choses, ouais, c'est encore viable. Mais bon, ca reste assez simple dans l'ensemble quand meme.

Le php de par sa nature bordelique et scriptee, non typee etc me parait une heresie pour developper une grosse appli.
Et les applis web, elles grossissent quand meme de plus en plus.
Et l'ecosysteme des grouik developeurs qui tourne autour aide franchement pas (et desole aux "vrais" developeurs php si je les blesse, mais ils sont pas si nombreux que ca visiblement).

My 2 cents, mais bossant dans le milieu, j'ai pas trop connaissance de grosses appli web (metier ou pas) qui soient ecrites en php (autre que maintenance de trucs qui datent de l'age d'or du php).

Bref, pour faire un pti truc pas trop statique, je dit pas, si tu veux une vraie appli qui dure et qui soit maintenable, je doute vraiment que php soit un choix judicieux.

- paye au lance pierre (pour comparaison, mon premier boulot a 26kE sur rennes... Et c'etait pas fabuleux a l'epoque non plus...). Perso, 25kE brut sur paris, meme en premier taff, je perd meme pas 5 minutes a ne serait ce que lire la premiere ligne de l'annonce.

- PHP est un aimant a incompetent

- surement plus de boulots interessants dans des langages plus haut niveau (j2ee, .net) qui trustent les personnes competentes.
Le php pour les applis web c'est un peu depasse quand meme et personne je l'utiliserais tout juste pour generer du html sur un site perso... Et encore...

bon, ok, je peux etoffer un peu si tu veux:
ton compte ebay,
ton webmail d'entreprise,
l'extranet de ton entreprise en regle generale,
ton site de payroll (tres utilise aux us, et ya des infos interessantes dessus),
le site des impots,
n'importe quel site de vente en ligne,
que sais je encore

Le nombre de sites vers lesquels transitent soit de l'argent soit des informations personnelles sensibles est quand meme loin d'etre negligeable, la banque n'est que l'exemple le plus evident et eloquent. Et aussi parce que c'est plus simple de prendre l'argent la ou il yen a le plus.

Le numero de secu aux us par exemple est une donnee tres sensible qui t'identifie dans toutes les institutions "vitales". Ca m'a servi a debloquer ma carte de retrait par telephone l'autre jour, par exemple, donc c'est clairement qq chose de tres important.

Si t'utilise https c'est que t'as des infos confidentielles a faire transiter et que ces infos peuvent interesser des mechants.
Ou alors c'est que tu veux juste te palucher en disant que t'as un acces "secu".

Sans compter que mon dernier point met en exergue la necessite d'utiliser reellement ssl: la tendance est au renforcement des systemes d'authent', donc de mot de passe, ce qui deporte donc les vecteurs d'attaques du vol de mot de passe "simple" (ce que font les sites bidons sur un dns qui ressemble au site attaque) vers d'autres failles.
Les mechants vont toujours utiliser la breche la plus simple pour casser le systeme, donc renforcer une partie du systeme va detourner l'attention vers une autre partie du systeme.

En l'occurence, une fois un systeme d'authent' fort mit en place, il devient necessaire de se rabattre sur ce genre de faille dns poisoning, et donc un certif auto signe est une grosse faille.

Cela dit, une fois le dns poisoning resolu, je ne doute pas que le mechant trouveront d'autre vecteurs d'attaque :)

En conclusion, SSL sert a 2 choses:
- Authentification d'une ou des deux parties (handshake)
- Confidentialite et non alteration en chemin des donnees echangees (chiffrement de la communication)

HTTPS n'est reellement fiable que si les 2 sont utilisees.

Enfin, ton exemple a besoin d'une attaque DNS pour marcher... Même si ton exemple est valable, j'aimerais avoir les statistiques de ce genre d'attaque ?

A mon avis, c'est très faible

Pour avoir bosse dans l'authentification forte pour l'eBanking, et developpe une rustine contre le mitma, ton avis est faux.
J'ai pas les chiffres precis des attaques, mais c'etait demande par les clients.
Ok, les banquiers sont tres frileux, mais ils sont aussi pret de leurs sous, et s'ils en ont pas besoin, ils vont pas le payer...

En plus, l'avantage avec un faux noms DNS, c'est que tu peux balancer 10000 pourriels et espérer que deux ou trois couillons tombent dans le panneau.
Ca depend de la cible attaquee.
Pas mal de banques ont des systemes de One Time Password (password unique changeant en permanence au cours du temps), et la, a part du mitma synchrone, ya pas grand chose comme moyen d'attaque.

Ah bon, et si je chiffre tout mes mails plutot que juste ceux qui sont hautement confidentiel, ça fera pas de différence au niveau de ce qu'il faut décrypter ?
Bof.
Quelqu'un qui veut t'espionner recherche a priori quelque chose de precis, et sait donc quels sont tes interlocuteurs qui l'interessent, le reste il s'en tamponne.
Alors que tout ton traffic soit chiffre ne le derangera pas, vu que l'attaquant cible des interlocuteurs en particulier, il droppera tout simplement tout le traffic qui va vers/viens de qq1 qui ne l'interesse pas.

Puis je vois pas ce qui m'empêche d'utiliser le système de message privée de linuxfr pour envoyer des données confidentielles.

Oui, et rien ne t'empeche non plus de mettre ton numero de carte bleu et les 3 chiffres du dos de la carte sur ta page perso free, c'est pas pour autant que c'est intelligent.

1) linuxfr n'est surement pas l'endroit pour envoyer des infos confidentielles, de base. Tes infos confidentielles vont se retrouver en clair dans la DB d'un site public que tu ne maitrises pas, on fait mieux niveau confidentialite, non?
2) Linuxfr utilise peut etre https, mais aussi http. Conclusion, ton interlocuteur utilise peut etre http, et la confidentialite du coup, bof bof.

La remarque faite plus haut est assez pertinente, le fait de chiffrer un maximum de choses permet de masquer ce qui est réellement confidentiel.
Certes. Et encore...
Si on suit cette idee, tout envoyer en clair pourrait aussi masquer ce qui est confidentiel, vu les volumes qui transitent et le fait qu'a priori on va chercher des flux chiffres.
Et pourtant c'est le meme genre de raisonnement. Et ca ressemble beaucoup a de la securite par l'obscurite, qui ne tiendra pas longtemps: faut pas etre sorti de centrale pour se douter que ce qui transite vers linuxfr a franchement rien de confidentiel.
Par contre ce qui va vers societegenerale.com ou gmail.com, c'est tres certainement beaucoup plus interessant.
Bref un tri rapide permet d'enlever 95% du bruit.
Au final, on s'emmerde pour pas grand chose.

De plus, une grosse partie de la securite qu'apporte HTTPS est justement le certificat signe par un tiers de confiance envoye dans le handshake.

S'habituer a accepter des certificats auto signe, c'est ne pas avoir la puce a l'oreille quand t'arrives sur un site reellement sensible qui subit un MITMA. Et la t'auras plus que tes yeux pour pleurer.

Perso, un certif invalide, ca me fait toujours froncer des sourcils pour 2 raisons:
- La premiere, c'est que je vais devoir me fader un certif pour savoir ce qui ne va pas, et ca me saoule,
- La deuxieme c'est qu'a priori, la securite de la transaction est compromise.

Si tu veux écouter un morceau DRMisé acheté sur iTunes, tu dois avoir un iPod.

T'as completement craque ou quoi?

Option 1: Tu le lit avec itunes, sur ton pc ou sur ton mac.
Option 2, pas le plus pratique effectivement: tu graves un cd via iTunes. Tu peux ensuite lire la galette dans n'importe quelle lecteur de CD, et meme reimporter pour le mettre dans ton balladeur.

Franchement, limiter un morceau a 5 peripheriques (revocables qui plus est) et autoriser l'export sans protection des morceaux achetes, on a vu pire comme DRM quand meme...

Apple n'a strictement aucun interet dans les drm, c'est meme l'inverse: plus l'ipod limite l'ecoute, moins les gens l'achetent.
Plus iTunes verouille ses formats, moins les gens l'utilisent.

iTunes est drmise par defaut parce que les fournisseurs de contenus l'ont exige et qu'apple ne peut rien faire a part se plier a cette exigence, mais steve jobs a fortement pousse dans la direction de la de-drmisation (cf itunes plus).

t'oublies drag'n'drop, click gauche (pas nouveau ceux deux la), click droit, (bon pas tout a fait click droit), precedent, suivant, zoom...

Enfin des touchpad reellement utilisable, et plus besoin du pti clito dans le clavier...

mesure de privation ou pas, tu as toujours le droit de l'ecouter.

Le contournement est peut etre illegal (ou pas), mais l'ecoute est parfaitement legale...

Si ça n'existe pas, tu n'as pas légalement le droit de voir ces œuvres.

Ah sisisi, chaque etre humain a le droit inalienable de se servir de ses yeux et oreilles.
Tu as legalement le droit de voir cette oeuvre.

La diffusion de l'oeuvre est elle par contre soumise au droit d'auteur.

C'etait juste pour souligner que l'idee communement admise qui dit que quand on achete un cd, on achete le droit d'ecouter l'oeuvre est totalement fausse.
On achete juste une galette en plastique avec de l'info dessus, ni plus ni moins.

ou est ce que j'ai dit que tu avais dis qu'ils faisait correctement leur boulot ?

ici:
http://linuxfr.org/comments/965114.html#965114

Faut arreter la paranoia, j'ai le droit d'expliquer mon commentaire sans t'attaquer directement !

??
Ou ai je dit que tu m'avais attaque?

nan, la seule chose que je veux, c'est voir le budget miracle de briaeros007, le mec super baleze qui va sauver l'economie francaise.

Il a ouvert en grand, maintenant soit il se ridiculise en disant qu'effectivement, il est pas capable de pondre ce budget, soit il se ridiculise en nous sortant un budget farfelu.

M'est avis qu'il va prendre la troisieme voie, a savoir se defiler et continuer a troller dans les autres fils, maintenant qu'il est coince dans celui ci.
Technique de politiciens, tu sais, ceux qu'il critiquait 2 posts plus haut ;)

ou est ce que j'ai dit qu'ils faisaient correctement leur boulot?

quand je pense que le sauveur economique de la france traine sur linuxfr...
mais quel gachis!!!
Je viens de voir une news yahoo sortir, lehman bank regrette amerement de ne pas avoir fait appel a briaeros007, ca leur aurait eviter de se bananer ce matin.

s'il te plait, briaeros007, presente toi en 2012, sauve nous de ce marasme economique!!!

ah ben non, j'suis con, tu peux pas, t'as pas les copains qu'il faut.
Bon, ben t'as raison en fait, retourne mouler sur linuxfr, c'est surement plus intelligent.

Bon, j'arrete les sarcasmes.
Tu l'ouvres, tu l'ouvres, a t'ecouter ca a l'air si facile de boucler ce budget.
Alors tu sais ce que tu vas faire?

Tu vas nous pondre le budget 2009.
Et du precis hein, pas une estimation au milliard d'euros pres.

Ah ben oui, quand c'est ton fric, tu fais plus attention que quand c'est pas ton fric
oui, oui...

si tu cumule une dette, c'est pas toi qui doit manger des pates pendant 30 ans.
Je doute fortement que tu manges des pates pendant les 30 annees a venir...

Ps : tu crois vraiment qu'au gvt ils sont supérieument intelligent et ils savent calculer 2 + 2 ?
ben sont moins idiots que toi visiblement, vu qu'eux ils y sont au gouvernement, et que toi tu philosophe sur ton bout de comptoir a toi...

Je ne peux que rencherir.

Enfin, je preconise surtout pour ces dames.
:)

clair que ton mega budget faramineux d'environ 30-40k euros/an que t'es le seul a depenser (allez, avec ta copine, on pousse a 60k), c'est une sacre reference...

Et ben, moi, une fois, je suis parti en vacance a la plage, ben j'avais prit 20 franc une apres midi: 10 pour acheter une glace, 10 pour au cas ou, on sait jamais (ma maman m'a toujours dit de sortir avec au moins 10 francs dans la poche).
Ben j'ai prit la glace et j'ai resiste a la gaufre au chocolat avec les 10 francs qui me restaient. Pourtant elle avait l'air bonne cette gauffre.
Tu crois que je peux postuler au gouvernement pour les aider?

On pourrait monter une equipe si tu veux.

j'ai du mal avec l'argument naturel...
Pis la weed est naturelle elle aussi (quoique, quand tu vois ce qui sort de chez dutch passion, tu te poses des questions).

A noter que c'est aussi legal en californie, sous reserve d'avoir une ordonnance (cherche pas a faire pousser chez toi par contre, faut pas deconner)

Bref, le probleme est pas la, meme si la legislation est assez floue effectivement...

pas une raison pour lui pourrir la journee pour autant...

et puis meme, c'est pas comme si la hollande ne produisait pas de quantite industrielle de bonne beuh chimique qui attaque bien le cerveau, ou de champipi, de champignons qui font rigoler...

toi par contre, tu peux en donner, des lecons d'economie.

faut ptetre arreter de rassembler tout et n'importe quoi sous le terme vie privee aussi.
Le droit a la vie privee n'implique de pouvoir etre anonyme partout ou tu vas.

Quand tu marches dans la rue, ce n'est pas ta vie privee, tu es dans un lieu public, ca n'a strictement rien de prive.
Tu ne veux pas qu'on te voit dans un lieu public? Ben n'y va pas qu'est ce que tu veux qu'on te dise...

Et je considere que quand tu vas sur un site internet public, ben c'est la meme chose, ca n'a rien de prive, tu t'exposes au grand jour en demandant a un hebergeur de te fournir la page en question.

Il y avait eu des actions comme ca pour eteindre tous les ecrans de demonstration de la fnac, par exemple.

La ca me depasse.
Si les ecrans teles te genent et polluent ton espace visuel, faut etre un peu SM pour aller trainer chez un revendeur de teles...
Ca sert a quoi, mis a part emmerder gratuitement des gens qui essayent de faire leur boulot?

(Note que le tu employe est un tu general, je ne te vise pas toi directement, hein :) )

verifies qu'on t'ai pas mit un gps dans l'alim, c'est peut etre ca qui fait ramer ton internet...