Le Future Combat Systems c'est un gigantesque programme de l'armée de terre américaine (200 milliards de dollars !) qui est destiné à révolutionner l'art de la guerre et à remplacer pratiquement tous les matériels existants.
En gros il s'agit d'en finir avec les tanks lourds (M1 Abrams) ou les véhicules de combat d'infanterie (M2 Bradley) et tous ces gros matériels issus de la guerre froide pour les remplacer par des véhicules et des systèmes plus rapides, plus légers et surtout mis en réseau afin d'agir plus rapidement.
Le slogan du programme est : "See first, understand first, act first, and finish decisively" et pour y arriver le FCS développe 18 matériels différents (véhicules, drones, robots de combats et munitions intelligentes) + un équipement high-tech pour le fantassin + un système informatique ultra-complexe pour faire fonctionner le tout.
Vous pouvez voir sur cette image ce qui est prévu globalement en terme de matériels.
Pour la partie spécifiquement software il y a cet article assez détaillé et cette image globale.

Tout cela est bien intéressant me direz-vous, mais quel rapport avec le libre ?
Le rapport réside tout simplement dans l'expression "système informatique ultra-complexe" employé ci-dessus.
En quoi consiste ce système ultra-complexe dont le contrat a été attribué à Boeing ? Un article du Washington Post fait le point là-dessus : "Le logiciel a pour but de réaliser ce dont les militaires ne pouvaient que rêver jusqu'à présent : donner aux soldats le pouvoir de communiquer par réseau sans fil en temps réel avec des drones, contrôler à distance des robots de déminage, lancer des missiles guidés par laser sur des ennemis en mouvement et faire des téléconférences dans des tank lancés à pleine vitesse dans le brouillard de la bataille".
Selon le journaliste du Washington Post ce projet est "le plus grand programme logiciel de l'histoire du département de la Défense, un projet dont les militaires disent qu'il éclipse complètement en taille Microsoft Windows".
Initialement prévu à plus de 30 millions de lignes il est maintenant reconnu que le nombre de lignes de code va dépasser largement les 60 millions.
Je ne résiste pas au plaisir de citer cette phrase de l'article : "Boeing et l'armée de Terre ont dit qu'ils ont choisi de ne pas utiliser les logiciels propriétaires de Microsoft parce qu'ils ne voulaient pas dépendre d'une société. Au lieu de ça ils ont choisi de développer un système d'exploitation basé sur Linux et son code source disponible publiquement.
Microsoft, qui fait un volume important de ventes avec l'armée, s'est refusé à tout commentaire".

L'article explique que Boeing fait travailler directement plus de 2000 développeurs sur le projet logiciel du FCS et collabore avec des compagnies comme Red Hat et Wind River Systems.

Linux va donc former le coeur de ce nouvel OS qui répond au doux nom de SOSCOE pour "System-of-Systems Common Operating Environment".
Donc maintenant quand quelqu'un affirmera que Linux n'est pas assez mûr/robuste/sérieux/ pour concurrencer les OS propriétaires nous pourrons lui rire au nez. Le plus gros projet logiciel de toute l'histoire de la défense américaine, un domaine vital s'il en est, a rejeté Windows et a choisi Linux !
Pour nous libristes c'était déjà évident mais pour le reste du monde c'est un argument plus que probant.
La seconde réflexion consiste à s'interroger sur la licence. Si le SOSCOE est basé sur Linux alors la GPL doit s'appliquer. Boeing en livrant le produit à son client doit donc obligatoirement lui fournir les sources. Plus drôle encore: Si ce système est vendu à d'autres pays (ce qui est probable à plus au moins long terme ne serais-ce que par souci d'interopérabilité avec les armées des pays amis) alors le source devra aussi leur être fourni.

> Lire le journal (65 commentaires, moyenne: 3,9).

Arjan van de Ven, le développeur Intel fou, récidive et nous propose cette fois un outil permettant de visualiser les latences des programmes sous Linux et de déterminer leur origine au sein du noyau..
Moins d'un an après l'annonce de PowerTOP voici venir LatencyTOP.
L'outil, dont le site se trouve ici, se concentre sur les situations ou la latence empêche une application de faire son travail, par exemple un lecteur vidéo qui fige l'image quand le disque est utilisé par une autre application.
C'est un programme en espace utilisateur associé à un patch noyau qui permet d'annoter les diverses opérations du kernel pour pouvoir ensuite les compter.
L'utilisation à l'air très simple et cet outil va sans doute permettre, comme PowerTOP l'a fait en 2007, d'améliorer techniquement de nombreuses applications.

Selon Arjan les patchs noyaux ne sont pas encore prêts pour une inclusion en mainline et doivent être relus de manière critique par les autres contributeurs LKML : "The patches aren't quite ready for mainline inclusion yet (assuming they aren't hated universally in the first place)...At this point, I would like to invite comments and reviews of the concept and the code to see if people consider this tool useful"

> Lire le journal (11 commentaires, moyenne: 3,8).

En ce moment les choses vont mal pour la distribution source Gentoo.

* Tout d'abord (gênant) la dernière Gentoo Weekly Newletter est parue le 15 Octobre 2007 ce qui, pour une lettre hebdomadaire, n'est pas un signe rassurant. Il a été évoqué un projet de passer à une périodicité mensuelle mais rien de concret n'a encore émergé.

* Deuzio (emmerdant) Le site gentoo-wiki.com a été hacké le 12 décembre par un pirate qui a effacé de nombreux fichiers. La restauration a été assez rapide mais des données récentes n'étant sur les sauvegardes ont été perdues.

* Ensuite (plus grave) la version Gentoo 2007.1 a été annulée du fait du manque de développeurs pour faire face au travail nécessaire.
Traduction : "Le travail a commencé normalement sur cette version mais le grand nombre de vulnérabilités apparues entre septembre 2007 et décembre 2007 ainsi que le manque de développeurs a laissé la team responsable de cette version constamment surbookée. La team a décidé juste avant Noël d'annuler cette version".

* Enfin (carrément catastrophique) Les membres du bureau de la fondation Gentoo (qui détient tous les copyrights du code, le logo et la marque elle-même) ont "oublié" de renouveler les documents légaux auprès de l'état du Nouveau-Mexique. La conséquence c'est que la fondation n'existe plus juridiquement. En fait c'est pire que ça puisque qu'il s'avère que tous les membres (sauf deux) ont démissionnés ou ne sont plus joignables !
L'annonce par Daniel Robbins : http://blog.funtoo.org/2008/01/and-it-gets-worse.html

Un jour après avoir révélé le problème sur son blog Daniel a présenté une offre pour résoudre les problèmes : http://blog.funtoo.org/2008/01/here-my-offer.html
Il propose de reprendre le leadership de la distribution qu'il a fondé pour "get Gentoo going in the right direction from a legal, community and technical perspective.
Pour cela il demande basiquement d'avoir tous les pouvoirs pour changer les choses : virer les anciens membres du bureau et nommer discrétionnairement des nouveaux membres.
Traduction : "En d'autres termes si les membres actuels acceptent mon offre, cela signifie qu'ils me confient le leadership de la Fondation à moi et aux membres que je choisirai.
Si je reviens en tant que président je préserverai le fait que Gentoo est une distribution non commerciale. Au delà de ça vous pouvez vous attendre à ce que tout le reste soit très, très différent de l'état actuel des choses."

> Lire le journal (61 commentaires, moyenne: 3,8).

Les deux organisation Electronic Privacy Information Center (us) et Privacy International (uk) organisent depuis plusieurs années un classement des pays en fonction du respect de la vie privée.
L'article récapitulatif est ici : http://www.privacyinternational.org/article.shtml?cmd%5B347%(...)

Une étude est faite des lois de divers pays (47 dont ceux de l'Union européenne) sur des sujets comme la surveillance des citoyens, les divers droits de recours, le respect de l'anonymat...etc
Le résultat est synthétisé dans un volumineux rapport annuel (plus de mille pages) et un classement est effectué en fonction de 14 critères. Un pays se voit alors attribuer une note ce qui le permet de le comparer facilement aux autres.
Les critères complets sont listés ici http://www.privacyinternational.org/article.shtml?cmd%5B347%(...)

Il est donc tenu compte des critères suivants :

- La protection constitutionnelle
- Le statut de la protection des droits
- La garantie de la confidentialité
- La biométrie
- Le partage de données
- Les caméras de surveillance
- L'interception des communications
- La surveillance par l'employeur
- L'accès aux données par le gouvernement
- La rétention des données
- Les données médicales et financières
- La surveillance des frontières
- L'adhésion aux conventions internationales
- Les contre-pouvoirs démocratiques

ATTENTION : le rapport se base sur le corpus législatif des pays et pas sur l'application réelle de ces lois. Un pays bien classé (ayant des lois protectrice de la vie privée) peut être gangrené par d'innombrables atteintes illégales à la vie privée.

La France obtient la note peu reluisante de 1,9 (avant dernière de l'UE) mais nous avons la satisfaction de voir que les USA sont derrière nous avec 1,5. Au niveau des champions on trouve la Grèce, le Canada et la Roumanie. Les cancres sont la Russie, la Malaisie et la Chine. Au niveau mondial le rapport constate une détérioration assez générale depuis l'an dernier.

Juste pour vous faire froid dans le dos voici le paragraphe de synthèse sur la France :

FRANCE

* No explicit right to privacy in constitution, though constitutional court has ruled that it is implicit
* Comprehensive privacy law; though the law permits intellectual property rights holders to create records of rights infringers
* Data privacy authority well known for its strong stance on many issues, investigates, warns and imposes financial sanctions (the first of the latter was in 2006)
* DPA has limited powers over large government systems
* Tort of privacy in civil code, and sectoral laws also exist, as well as protections in the penal code
* DNA database is expanding to include nearly all crime investigations, and is known to be a register of 'civil disobedience' since the protests in 2005 and 2006; compels DNA collection from immigrants if parentage is questioned
* Interception authorised by investigative judge and lasts four months (renewable)
* In 2007, the highest administrative court ruled that database of illegal migrants was excessive, though not on privacy grounds
* Retention policy applies for up to one year; subscriber data and identifying data may only be disclosed upon judicial request
* This was expanded under terrorism law allowing access without any judicial order by the police
* Latest draft rules on retention requires all service providers to retain all information on users and deliver to police upon mere request, and may even require retention of passwords, and payment details; and police may then retain the data for three years
* Intellectual property rights holders may monitor online activity
* Individuals must be identifiable whilst online if they wish to publish content
* Still maintain encryption restrictions
* CCTV is spreading, and may be installed prior to any authorisation
* Collects passenger data
* Biometric ID scheme is still postponed
* Border and visa data is now accessible to all police since 2006
* No fingerprints in passports as yet
* Serious lack of data protection and many security breaches identified in computerized patient records, according to data privacy authority in 2007

> Lire le journal (16 commentaires, moyenne: 3,9).

Vous êtes un admin consciencieux et vous avez toujours le souci de vos utilisateurs. Vous les maternez, vous les chouchoutez, vous les protégez...ce sont un peu vos enfants et vous ressentez une pulsion protectrice à leur égard qui ferait passer une maman-ourse pour un vulgaire saumon de rivière.

Si l'un de ces chers users se fait subtiliser son mot de passe comment allez vous pouvoir faire pour défendre ses précieuses données contre l'ignoble pirate sans foi ni loi détenteur du sésame ?

C'est ici qu'intervient la technique d''analyse statistique de l'entrée des passwords au clavier => http://www.ibm.com/developerworks/opensource/library/os-keys(...)

Dans cet article vous allez pouvoir modifier le programme xev (X event viewer) qui s'occupe de la capture des évènements comme les frappes clavier.
Une fois cela fait il vous suffira de passer ces évènements par l'intermédiaire d'un pipe qui alimentera les scripts perl listés dans l'article pour analyser statistiquement la frappe des mots de passe.
Ainsi vous aurez des chances de déceler l'infâme imposteur se faisant passer pour votre user et de lui interdire l'accès aux données.

Les scripts permettent de vérifier le temps total d'entrée du password (qui pour un utilisateur légitime est remarquablement constant). On peut aussi analyser le temps entre chaque frappe clavier : si par exemple le user entre les lettres rapidement mais les chiffres lentement (il a un laptop et doit appuyer sur shift à chaque fois) alors que le pirate entre les chiffres rapidement (il a un pavé numérique) alors l'analyse le décéléra.

En définitive l'analyse statistique des saisies de passwords permet d'ajouter une couche de protection pour vos users qui s'apparente à la biométrie.
Cette technique n'est pas nouvelle ( http://en.wikipedia.org/wiki/Keystroke_dynamics )
mais les scripts disponibles sur le site ibm permettent de se lancer facilement dans l'implémentation d'une telle solution.

> Lire le journal (25 commentaires, moyenne: 4,2).

Trolltech, l'éditeur de la bibliothèque multiplateforme Qt, vient de mettre à disposition de tous la "technical preview" de Qt 4.4 alors que la version finale est encore "several months away".

La page de téléchargement est ici : http://trolltech.com/developer/downloads/qt/qt44-preview-dow(...)
Elle propose 4 versions différentes, Windows, Mac, Linux et Linux embarqué.

Une page des présentations des nouveautés est disponible : http://trolltech.com/products/qt/whatsnew/qt44-preview

Au niveau des nouveautés la plus remarquable est l'intégration au sein de Qt du moteur WebKit. Cela permet aux applications Qt d'avoir à disposition un moteur de rendu HTML 4.01, XHTML 1.1, XML, CSS 2.1, JavaScript 1.5, SVG 1.2, et qui implémente partiellement le CSS 3.
Il parait évident que ce moteur va remplacer KHTML dans l'environnement KDE (mais il y aura sans doute des remous de la part de certains développeurs).

On a ensuite l'intégration de Phonon, la couche d'abstraction multimédia de la branche 4 de KDE. On peut penser que Trolltech a absorbé Phonon car cela leur facilite le boulot pour déployer Qt sur différentes plateformes ayant différents moteurs multimédias (QuickTime pour Mac ou DirectShow pour Windows ou GStreamer pour Linux).
C'est quand même un signe que les relations Trolltech/KDE sont très étroites et cela démontre aux sceptiques (dont j'étais) que Phonon a sans doute été une bonne décision.

Il y a aussi une amélioration du support du XML avec le support des requêtes au format XQuery 1.0. L'inclusion d'un framework facilitant l'écriture de code multithreadé (sans avoir à s'embarrasser des mutexes et autres joyeusetés). Un nouveau système pour l'aide (QHelpSystem) qui n'est plus une grosse application mais devient une bibliothèque de programmes d'aides reposant sur une base SQLite.

En gros c'est quand même assez alléchant et le futur de KDE, qui reposera un jour ou l'autre sur cette version, s'annonce riant....du moins pour les versions ultérieures à la redoutable 4.0.0.

> Lire le journal (30 commentaires, moyenne: 2).

Richard Stallman est un des types les plus ferme et campé sur ses opinions qui existe. Il se moque des convenances sociales et n'est pas diplomate pour un sou.
Theo de Raadt est un des types les plus têtus et trollifique qui existe. Il se moque des conventions sociales et n'est pas diplomate pour un sou.

Quand deux champions de cette envergure s'empoignent dans une flame war d'anthologie ça donne ça :
http://www.sigmasoft.com/~openbsd/archives/html/openbsd-misc(...)

Tout a débuté par un post de RMS sur la mailing list d'OpenBSD. Dans celui-ci il expliquait pourquoi il ne pouvait pas recommander l'utilisation d'OpenBSD :
"its ports system does suggest non-free programs, or at least so I was told when I looked for some BSD variant that I could recommend. I therefore exercise my freedom of speech by not including OpenBSD in the list of systems that I recommend to the public"..

La réplique a été fulgurante et les abonnés à la mailing list se sont déchaînes (ici Marc Espie) :

"The real reason he doesn't recommend OpenBSD is because OpenBSD represents a viable alternative to his political views, and a very loud counter-voice to the `GPL world'.
I've thought some more about it, and I cannot find any charitable interpretation of Stallman's words.
You've got a choice of:
1/ complete idiot
2/ senile old fool disconnected from reality
3/ dangerous political activist with a hidden agenda".

De Theo de Raadt :
"Richard does not understand that the entire free source world is a meritocracy of source code creation and modification. He has done nothing in 10-15 years, except wave his long hair and moan in front of crowds"

Et encore lui dans un style assez fleuri :
"Richard, your pants are full of hypocritical poo" qu'on pourrait traduire par "Richard, ton pantalon est plein de merde hypocrite".

Les gens raisonnables se seront détournés de cette Flame war consternante depuis longtemps...mais ils auront manqué cette perle ultime de la nerditude, ce joyau de geekerie de la part de RMS. Richard ne browse pas le net comme tout le monde, non monsieur, il utilise une méthode assez originale :
"For personal reasons, I do not browse the web from my computer. (I also have not net connection much of the time.)
To look at page I send mail to a demon which runs wget and mails the page back to me. It is very efficient use of my time, but it is slow in real time".

> Lire le journal (57 commentaires, moyenne: 1,6).

SquirrelMail est un logiciel de webmail écrit en PHP et disponible sous licence GPL.
Apparemment les versions 1.4.11 et 1.4.12 ont été compromises et les packages qui étaient disponibles en téléchargement sur le site ( http://squirrelmail.org/index.php ) contenaient une modification permettant de prendre le contrôle du serveur exécutant SquirrelMail.

"While initial review didn't uncover a need for concern, several proof of concepts show that the package alterations introduce a high risk security issue, allowing remote inclusion of files. These changes would allow a remote user the ability to execute exploit code on a victim machine, without any user interaction on the victim's server. This could grant the attacker the ability to deploy further code on the victim's server.
We STRONGLY advise all users of 1.4.11, and 1.4.12 upgrade immediately.".

La version de dev 1.5.1 est également compromise : http://thread.gmane.org/gmane.mail.squirrelmail.user/33503

Le problème a été détecté car les sommes de contrôles MD5 des versions téléchargées ne correspondaient pas avec celles publiées sur le site.
Une version saine 1.4.13 est maintenant disponible est les utilisateurs des deux versions antérieures sont invités à mettre à jour d'urgence leur application.

Sur LWN les commentaires se sont orientés sur la résistance réelle de MD5 et sur l'urgence qu'il y aurait à basculer vers SHA-1 ou SHA-256.

En définitive cette affaire est quand même une invitation a toujours vérifier la somme de contrôle quand on télécharge un logiciel sur le net.

> Lire le journal (13 commentaires, moyenne: 1,4).

Le journal Linux Magazine ( http://www.linux-magazine.com/ ) propose chaque mois quelques articles du numéro en cours sous forme de fichiers pdf.
Par exemple en octobre il y avait un test assez complet de GCC 4.2 avec des comparatifs de vitesse: http://w3.linux-magazine.com/issue/83/GNU_GCC_4.2_Review.pdf

Ce mois-ci j'ai repéré deux articles qui sont intéressants.
Le premier compare 4 clients mails sous Linux. Les trois plus connus sont bien évidemment Evolution, KMail et Thunderbird mais ce qui est bien (hello Colin) c'est que Claws Mail entre dans la compétition ! C'est donc une forme de consécration.
Les points forts de Claws (légèreté et plugins) sont soulignés mais le caractère primitif du carnet d'adresse a été regretté.
En définitive un bon article qui permet de faire le point sur les principaux clients lourds.
Le pdf est ici : http://w3.linux-magazine.com/issue/86/Email_Suites_Review.pd(...)

Le second article est une introduction au mode de développement du noyau Linux. On évoque un peu d'histoire, qu'est-ce qu'un noyau, l'organisation pyramidale et les différentes branches...etc etc.
Rien de révolutionnaire mais c'est toujours sympa d'avoir ce genre d'article introductif général.
Le pdf de l'article : http://w3.linux-magazine.com/issue/86/Kernel_Tricks_Intro.pd(...)

> Lire le journal (40 commentaires, moyenne: 3,3).

Oyez, Oyez !

Appel à la population !

Tu t'intéresses aux sciences, tu te passionnes pour le savoir mais, depuis le temps béni de Stardust@Home ( http://linuxfr.org/~patrick_g/22342.html ) tu ne trouvais plus rien pour donner un sens à ta vie ? La relève est là !

Le projet Galaxy Zoo ( http://galaxyzoo.org/ ) recherche des internautes volontaires pour classer les galaxies dans deux catégories : elliptiques ou spirales.
Une galaxie spirale possède des "bras" d'étoiles alors qu'une elliptique n'est qu'un gros "tas" informe. Curieusement les ordinateurs n'arrivent pas vraiment à distinguer entre les deux, surtout quand la galaxie est vue par la tranche, et l'oeil humain est bien plus performant.

Donc il faut aider les astrophysiciens à classer les millions de galaxies présentes dans leurs photos et ainsi mieux comprendre leur évolution et leur mode de formation.
Pour cela c'est très facile, on va sur cette page : http://galaxyzoo.org/Tutorial.aspx et on fait un petit tutorial afin d'emmagasiner de l'expérience et d'être averti des pièges pouvant exister (trace de satellite et autres).
Si on veut plus de renseignements la FAQ est présente et réponds à beaucoup de question : http://galaxyzoo.org/faq.aspx

Une fois qu'on est bien rodé et prêt à attaquer on s'enregistre en tant que contributeur et va ici : http://galaxyzoo.org/GalaxyAnalysis.aspx

Alors certes le microscope de Stardust@Home était plus ludique mais bon on n'est pas là que pour rigoler hein ! Il s'agit de faire progresser la science et d'éclipser Newton, ce petit rigolo, des tablettes de l'Histoire.

Il y a aussi des forums ou les participants peuvent échanger sur les images curieuses qu'ils ont repérés : http://www.galaxyzooforum.org/

Il y a l'image du jour : http://www.galaxyzooforum.org/index.php?PHPSESSID=14e6f3c677(...)
Une magnifique fusion de galaxies.

Il y a les astéroïdes qui apparaissent multicolores du fait des différents filtres de prise de vue et de leur déplacement sur la voute céleste : http://www.galaxyzooforum.org/index.php?PHPSESSID=14e6f3c677(...)

Chacun peut donc passer 5mn chaque jour à classifier une vingtaine de galaxies et avoir ainsi le chaud sentiment du devoir accompli. Voyez-ça comme un rapport de bug qu'un newbie fait pour contribuer à l'avancement du libre : Si tout le monde le fait alors un projet bénéfique pour tous avance plus vite.

> Lire le journal (20 commentaires, moyenne: 4,5).

Un article au sujet de la mission Olivennes sur le site du Monde :
http://www.lemonde.fr/web/imprimer_element/0,40-0@2-3232,50-(...)

Un extrait : Nombre de logiciels utilisés aujourd'hui par les pirates sont des logiciels libres ou "open source". Ils sont élaborés par des communautés d'internautes, non par un seul individu. Leur cryptage, souvent sophistiqué, rend difficile le repérage des fautifs

Je vois pas le rapport entre le logiciel libre et le piratage mais bon...C'est comme si on disait "Nombre de voitures de marque Renault sont utilisés aujourd'hui dans des braquages". Quel est le rapport de causalité ?

Sinon il semble que des solutions non conventionnelles commencent à apparaitre dans des grands médias : la mission Olivennes n'explore pas de pistes alternatives. Elles existent pourtant. Elles partent du constat que si nombre d'internautes refusent de débourser 1 cent pour écouter un morceau de musique ou voir un film, mieux vaut les laisser les télécharger gratuitement.

> Lire le journal (10 commentaires, moyenne: 4,7).

J'ai lu cet article du Monde : http://www.lemonde.fr/web/article/0,1-0@2-3224,36-982943@51-(...) et j'ai voulu en savoir un peu plus sur ce fameux ISIS ultra-sécurisé.
Pensez-donc ! Des phrases comme ça ça met l'eau à la bouche:

La "chose" se cache à 6 mètres sous terre. Il faut descendre deux étages, passer un double sas de portes blindées et entrer dans une cage de Faraday, laquelle empêche l'intrusion de tous les signaux électromagnétiques, pour entrer dans le saint des saints.

Boudiou mais qu'est-ce qui se cache vraiment dans ce bunker souterrain ?
Ce n'est pas en lisant l'article du Monde qu'on va avoir des détails techniques alors direction le site du Secrétariat Général de la Défense Nationale (SGDN) : http://www.sgdn.gouv.fr/article.php?id_article=57

Après avoir lu le communiqué officiel qui est également pauvre en détails on rebondit sur http://www.ssi.gouv.fr/isis/ qui donne un lien vers un pdf descriptif : http://www.ssi.gouv.fr/isis/fonctions.pdf

Donc il s'agit d'un réseau sécurisé qui permet aux hautes autorités de l'Etat d'échanger des documents secret-défense de puvoir communiquer en cas de crise grave. L'accès se fait à l'aide d'une carte à puce et le réseau repose sur une fibre optique dédiée (complètement séparée d'Internet).
ISIS a été élaborée à l'aide d'une fiche d'analyse des menaces potentielles et des attaques possibles: http://www.ssi.gouv.fr/fr/documentation/150/index.html

Voici par exemple les attaques listées dans cette fiche :

- Attaques cryptologiques
- Attaques TEMPEST, piégeages
- Attaques informatiques
- Attaque par virus, bombes, etc...
- Attaques sur les réseaux
- Attaques sur les systèmes de conception
- Attaques physiques

La conception d'ISIS a tenu compte de 137 vulnérabilités potentielles et toute une batterie de contre-mesures sont mises en place :

- Certification au niveau confidentiel-défense de tous les utilisateurs
- Veille sécuritaire d'une cellule spéciale
- Architecture redondante
- Principe du moindre privilège
- Centre de secours éloigné géographiquement
- Carte à puce
- Chiffrement logiciel de bout en bout
- Chiffrement matériel supplémentaire du réseau
- Cage de faraday pour le centre blindé abritant les serveurs

Bon c'est très bien tout ça mais non d'un chien est-ce que c'est Linux qui tourne dans la fameuse cage de Faraday ou est-ce que c'est un autre truc exotique (je n'ose imaginer qu'ils utilisent Windows) ? Impossible de le savoir.....
La presse nationale a décidé de faire du buzz autour d'ISIS mais il semble très difficile d'avoir de vraies infos sur l'OS qui est utilisé.
Je lance donc un appel : Si un des admins d'ISIS lit ce journal qu'il parle maintenant ou qu'il se taise à jamais !

PS: une petite remarque sur le nombre d'utilisateurs : selon http://www.neteco.com/86854-isis-intranet-gouvernemental-off(...) il est de 400 aujourd'hui et va monter à 1000 fin 2009 (répartis sur tout le territoire). Est-ce que ce n'est pas un gros problème de sécurité d'avoir autant de users sur autant de sites différents ? Cela multiplie clairement les risques non ?

> Lire le journal (15 commentaires, moyenne: 2,5).

Je sais que ça ne se fait pas trop de poster juste un lien vers une connerie au format flash....mais celui-là il m'a vraiment fait marrer :
http://www.terre.tv/indexvod.php?case=1&ref=00151

En gros (pour ceux n'ayant pas le player flash) c'est un pastiche de Star wars pour promouvoir les légumes bio par opposition à ceux issus de la grande distribution.

C'est quand même hallucinant de voir le nombre de copies, pastiches et autres hommages qu'a généré Star wars. Comme tout le monde a vu les films c'est devenu une sorte de référence commune ultime.

> Lire le journal (16 commentaires, moyenne: 2,3).

Bruce Schneier, le grand spécialiste de cryptographie, vient de publier un billet sur son blog au sujet d'une mystérieuse affaire :
http://www.schneier.com/blog/archives/2007/11/the_strange_st(...)

Il s'agit d'une controverse portant sur un générateur de nombres pseudo-aléatoires qui a été standardisé par l'administration américaine (c'est la publication 800-90 du bureau des standards NIST).
Quatre algorithmes sont proposés dans ce standard et l'un d'entre eux se base sur les courbes elliptiques. Il répond au doux et poétique nom de Dual_EC_DRBG.
Il est assez bizarre que cet algo soit présent car il est 1000 fois plus lent que les autres mais, selon Schneier, "It's in the standard only because it's been championed by the NSA, which first proposed it years ago in a related standardization project at the American National Standards Institute".

Bon donc la NSA a voulu que cet algo particulier fasse parti du standard. Après tout ils doivent savoir ce qu'ils font avec leur armée de mathématiciens et leur budget démesuré. Peut-être qu'ils pensent que l'algo est, certes très lent, mais super solide par rapport aux autres ?
L'ennui c'est que deux cryptographes viennent de publier un papier qui démontre la présence d'une vilaine backdoor cachée au plus profond de Dual_EC_DRBG !!!
Ah....On comprends mieux l'insistance de la NSA tout à coup !
Les détails techniques sont difficiles à saisir par le pékin moyen mais, toujours selon Schneier, certaines constantes numériques présentes dans l'algorithme (et donc publiques) peuvent s'associer avec des constantes secrètes afin de briser en un clin d'½il toute la sécurité du générateur aléatoire. Une seule connexion TLS suffit à l'attaquant pour pénétrer le système.

Bien entendu personne n'a la moindre preuve que cette backdoor vicieuse a été implanté sciemment par la NSA.
Schneier trouve que cette histoire n'a ni queue ni tête : "If this story leaves you confused, join the club. I don't understand why the NSA was so insistent about including Dual_EC_DRBG in the standard. It makes no sense as a trap door: It's public, and rather obvious. It makes no sense from an engineering perspective: It's too slow for anyone to willingly use it. And it makes no sense from a backwards-compatibility perspective: Swapping one random-number generator for another is easy".

Donc nous voilà avec un mystère sur les bras. Soit la NSA est pleine de mathématiciens incompétents qui laissent passer d'énormes faiblesses dans leurs protocoles, soit elle est peuplée de décideurs imbéciles qui croient que le reste du monde va gober leurs algorithmes sans les scruter de façon paranoïaque.

Choisissez votre option !

> Lire le journal (42 commentaires, moyenne: 4,2).

Google vient d'annoncer le lancement de sa plate-forme de développement pour les téléphones mobiles. Son nom est "Android" est elle est basée sur un noyau Linux avec en plus une machine virtuelle nécessitant très peu de ressources. le Software Development Kit (SDK) Android sera sous licence Apache.

Les partenaires hardware au moment du lancement sont Motorola, HTC, Samsung et LG. Du coté des opérateurs on retrouve T-Mobile et Sprint aux USA, T-Mobile/Deutsche Telekom en Europe et China Mobile en Chine.

Google annonce que, du fait de l'ouverture complète du code, Android sera entièrement adaptable selon les goûts de chacun et qu'il n'existera pas de barrières artificielles (petite pique au IPhone d'Apple).

Il est intéressant de voir que Google ne s'est pas lancé, comme on le pressentait, dans la fabrication d'un GooglePhone mais a préféré faire ce que la firme sait faire le mieux : un logiciel.

Le projet : http://www.openhandsetalliance.com/android_overview.html
La FAQ : http://www.openhandsetalliance.com/android_faq.html
Un article Arstechnica : http://arstechnica.com/news.ars/post/20071105-its-official-g(...)

> Lire le journal (12 commentaires, moyenne: 3,3).

La justice française vient de rendre une décision importante en ce qui concerne la publication d'articles sur Wikipedia.
Dans une affaire de divulgation de préférence sexuelle les plaignants ont été déboutés et Wikipedia est reconnu comme non coupable. La fondation Wikimedia ne fait qu'oeuvre d'hébergement technique et ce sont les contributeurs qui sont responsables de leurs écrits.

Lire l'article du Monde :
http://www.lemonde.fr/web/article/0,1-0@2-651865,36-973824@5(...)

Tout le monde devrait pousser un soupir de soulagement à la lecture du verdict...mais visiblement l'éditorialiste du Monde n'est pas content.
Le thème est celui du "Big Brother mondial à l'envers". Wikipedia serait le règne de l'anarchie ou on peut dire tout ce qu'on veut sur tout le monde sans risque. L'édito prend bien soin d'écrire "Internet" au lieu de "Wikipedia" mais visiblement il n'y a pas de différence dans l'esprit de l'auteur puisqu'il prend prétexte de ce jugement particulier pour se lancer dans sa diatribe.
On y trouve des phrase comme :"Internet devient en effet une arme de diffusion massive de ragots et de fausses nouvelles. Un instrument pratique et redoutable de vengeances anonymes, parfois de menaces. De tout temps, la rumeur a pu détruire des vies et des réputations. Internet démultiplie cet effet, offrant des possibilités nouvelles aux "corbeaux" de tous ordres.".
Selon l'auteur la relaxe de la fondation Wikimedia est le symbole d'une "régression démocratique, un recul des droits de l'individu".
Il ne lui vient pas à l'esprit que le coupable n'est pas Wikipedia mais bien l'auteur de l'article. Que la diffamation est punie par la loi et que les plaignants peuvent porter plainte afin de connaitre l'IP de l'auteur.

L'édito :
http://www.lemonde.fr/web/article/0,1-0@2-3232,36-973820@51-(...)

Bien entendu pour faire bon poids on rajoute un petit article sur les erreurs de Wikipédia, les élucubrations de Pierre Assouline...etc etc. Wikipedia est décrite comme favorisant le fainéantise et le plagiat et comme donnant seulement l'illusion du savoir.

L'article :
http://www.lemonde.fr/web/article/0,1-0@2-651865,36-973825@5(...)

En résumé je pense vraiment que la presse écrite prend de plus en plus conscience que son business est menacé et elle montre les dents.

> Lire le journal (48 commentaires, moyenne: 4,8).

Kris Kennaway, un développeur FreeBSD, vient de publier un très intéressant document sur toutes les nouveautés qui seront présentes dans la version 7.0 (attendue avant la fin de l'année).

http://people.freebsd.org/~kris/scaling/7.0%20Preview.pdf

Des benchmarks de base de données sont proposés dans le pdf (PostgreSQL et MySQL).
Bien entendu il faut prendre ces benchmarks avec une pincée de sel car c'est un dev FreeBSD qui rapporte ces résultats. Il faudra attendre un peu pour que quelqu'un reproduise ces tests et confirmeles résultats.
La diapo 17 compare divers OS et notamment FreeBSD 7.0 et Linux 2.6.22. On voit que les performances de Linux se dégradent quand on dépasse les 8 threads (sur une machine octo-core) alors que FreeBSD reste complètement linéaire.
La synthèse proposée dans le document est que "2.6.22 is still 15% slower than FreeBSD 7.0".

Si on s'interroge sur les perfs du nouveau scheduler présent dans le noyau 2.6.23 on en a pour son argent question ironie : "The new CFS scheduler in 2.6.23 is “Completely Fair”...to FreeBSD"

Après la liste de toutes les nouveautés, Kris Kennaway termine ainsi :
"FreeBSD 7.0 brings FreeBSD back to the forefront of OS performance on modern hardware (it’s good to be back)."

C'est donc clairement un défi qui est lancé aux développeurs de Linux. On attend leur réponse avec impatience.

> Lire le journal (24 commentaires, moyenne: 3,1).

Une conférence sur OpenOffice a eu lieu les 19,20 et 21 septembre à Barcelone: http://marketing.openoffice.org/ooocon2007/index.html
Quand on survole les présentations on peut voir que l'une d'entre elle a été consacré au futur d'OOo. Elle s'intitule "OpenOffice.org 3.0 and Beyond" et on ne peut la lire sans éprouver un sentiment d'horreur et d'incrédulité.

Le fichier pdf: http://marketing.openoffice.org/ooocon2007/programme/wednesd(...)
Un article sur les nouveautés: http://cybernetnews.com/2007/10/13/openoffice-30-wants-to-co(...)

A la diapo 7 on peut lire : "OpenOffice.org 3.0: A shift in focus" ce qui se traduit par "OpenOffice.org 3.0: Un changement d'orientation".
Et c'est vrai qu'on peut parler de changement d'orientation ! Moi je m'attendais naïvement a des efforts pour réduire le temps de lancement et pour diminuer l'empreinte mémoire. Ce que l'ensemble des utilisateurs demande depuis des années et des années quoi !
Mais non. OOo 3.0 va au contraire se bloatifier encore plus. Il va y avoir, tenez-vous bien, l'intégration d'un Personal Information Manager (pour concurrencer Microsoft Outlook). Ce sera basé sur Thunderbird et prendra vraisemblablement la forme d'un greffon intégré qui gèrera les calendriers, les tâches urgentes, les rendez-vous et les réunions...etc etc

Quoi d'autre ? Que diriez-vous d'un peu de Web 2.0 ?
Et oui, le nouveau OOo va permettre de créer des blogs et des wikis en Web 2.0. C'est vrai que toutes les administrations qui utilisent OOo n'attendaient que ça. C'était vraiment leur première demande et je vois déjà les dizaines de milliers de gendarmes qui trépignent d'impatience pour créer leur blog. Quelle importance d'attendre interminablement qu'OOo se lance quand on peut créer des blogs Web 2.0 ?

Ensuite ? Et bien encore plus de "push" pour java de la part de Sun: Le nouveau PIM intégré aura un connecteur pour les serveurs Java System Calendar, on pourra faire du reporting de base de données avec Sun Report Builder et le moteur Java JFree, il y a une intégration des composants Netbeans dans OOo pour toutes les extensions...etc etc

A noter qu'il n'y a pas un seul endroit dans cette présentation ou on parle d'une réduction de la lourdeur d'OpenOffice ou de son temps de lancement. Pas une seule fois !

Je crois que là, ce "shift in focus" va provoquer chez moi un "shift in software".
Abiword, Gnumeric, me voilà !

> Lire le journal (73 commentaires, moyenne: 4,5).

Aujourd'hui j'ai lu cette longue présentation des nouveautés de Xubuntu 7.10 : http://xubuntublog.wordpress.com/2007/10/14/this-is-gutsy/

A la fin de la lecture on en vient à se demander à quoi sert vraiment Xubuntu.
Le but d'origine était d'utiliser le bureau XFCE afin d'avoir une distribution plus légère que la Ubuntu classique basée sur Gnome. C'est clair, c'est simple, c'est précis et surtout c'est légitime.

Pourtant qu'est ce qu'on découvre lors de la lecture de cette présentation de la future Xubuntu ?

1) Xarchiver est viré au profit de l'outil standard Gnome (File-roller)
2) Gxine est viré au profit de l'outil standard Gnome (Totem)
3) Xfburn est viré au profit de Brasero
4) xfce4-taskmanager est viré au profit de l'outil standard Gnome (System monitor)
5) Ajout de tous les jeux de Gnome-games (17 jeux !)

Nom d'un chien mais pourquoi dénaturer ainsi Xubuntu ? Personnellement je m'en fiche car j'utilise une Ubuntu classique et j'aime Gnome....mais j'imagine l'amertume des supporteurs d'XFCE !
Outre le fait que la fameuse légèreté va peut-être en prendre un coup on ne comprends plus bien à quoi sert Xubuntu si elle intègre ainsi pleins de morceaux de Gnome. Les gens vont se dire "Si c'est presque pareil autant prendre l'original".
Est-ce un moyen détourné de la part de Canonical de réduire la charge de travail que représente cette variante de la distro principale ?
Je suis perplexe.

> Lire le journal (48 commentaires, moyenne: 2,6).

Je sais pas si vous avez vu mais le copinage Microsoft/Novell s'intensifie.
Maintenant on en est à l'étape : "nous nous aimons tellement que nous ouvrons un laboratoire commun".

http://www.prnewswire.com/cgi-bin/stories.pl?ACCT=104&ST(...)

Ce labo accueillera un "combined team of the best and brightest Microsoft and Novell engineer" et il sera consacré à améliorer l'interopérabilité entre les technologie de virtualisation de Microsoft et de Novell.

Le plus rigolo c'est d'imaginer tous les non dits de ce genre d'annonce. Est-ce que Microsoft veut s'assurer d'avoir un pied dans le monde Linux au cas où ? Peut-être même à terme racheter Novell ?
Et du coté de Novell est-ce seulement la volonté de s'assurer un avantage comparatif par rapport à Red Hat ou bien est-ce un éloignement progressif de la communauté ?

> Lire le journal (19 commentaires, moyenne: 2,5).