aiolos a écrit 1166 commentaires

La sécurité c'est un domaine vaste, parfois très technique. Le mieux, à mon avis, pour devenir pentester, c'est avant tout d'apprendre comment fonctionne un ordinateur.

Pour cela, pas de secret : il faut apprendre à programmer, comment marche un système d'exploitation, un serveur web, etc. ; de bonnes notions de bas niveau sont un (gros) plus. Le C et le modèle de mémoire sont des indispensables ; installer ton propre serveur avec quelques services et le maintenir en état opérationnel t'apprendra beaucoup… Bref, étudie l'informatique en général, garde toujours en tête la sécurité, cherche où pourraient se trouver les problèmes. Si tu en as la possibilité, entamer ou reprendre des études d'informatique te permettra de te spécialiser en sécurité par la suite (Master ou école d'ingénieur).

Après, attaquer un système, c'est avant tout le cartographier puis trouver le serveur qui n'est pas mis à jour ou mettre à l'épreuve le bon service. Il existe des outils à apprendre à maîtriser, à commencer par nmap et les fuzzers. C'est vrai que la distribution Kali Linux permet d'en découvrir beaucoup. Mais ces outils, encore une fois, te seront surtout utile si tu comprends ce qu'ils font et ce qu'ils mettent en évidence…

Ceci dit, tu trouvera sur le web plein de ressources pour apprendre les bases : vidéos de démos de hacking, jeux de recherche de failles, livres/tutoriels d'informatique et d'infosec… N'hésite pas non plus à lire des récits de "social hacking", c'est très instructif !

Bon courage, apprendre tout ça prend du temps !

P.S. Je ne suis pas pentester, mais je travaille dans la R&D en sécurité, j'ai fait des études en sécurité (école d'ingé + fac) et plusieurs de mes camarades de promo ont exercé ce métier un temps.

aucun usager cycliste ne paie sa route.

Pour ma part, je paie autant d'impot qu'un usager de sa voiture, et chez moi, les routes payantes, ça n'existe pas !

Ma compagne a un vélo pliant, qu'elle met facilement dans le coffre du car, et parfois dans le coffre de la voiture (pourtant pas grand sur une Suzuki Swift…)

À ma connaissance, pour l'instant, seul VISA a lancé une expérimentation sur l'utilisation de FIDO dans le cadre de la DSP2. Après, si VISA lance ça en offre générale, il faudra encore que les banques le propose à leurs clients.

Moi, en fait, je fais les deux : des sorties loisir (VTT ou route) et des trajets velotaf (j'ai pas mal de poids gras à perdre)… mais si je ne vais pas au taf, je n'arrive pas forcement à compenser par une sortie loisir :/

Oui, je l'ai compris comme ça. Mais en attendant, dans beaucoup de cas, je ne suis pas d'accord avec tes constats de différence ; dans les deux exemples ci-dessus, je ne vois pas de différence significative.

Au niveau de l'article, je peux détailler aussi pourquoi je ne trouve pas que certaines des différences que tu présente en sont :

Remarquez qu’ici encore, le droit moral inaliénable de l’auteur peut également restreindre la liberté de modification de l’œuvre.

idem pour le logiciel écrit par un français (le code est une œuvre de l'esprit également).

Avez-vous beaucoup d’exemple de romans que d’autres ont modifié pour l’améliorer et commercialisé ?

La première chose qui me vient à l'esprit, c'est les éditions résumées de grande œuvres. Et que penser des romans inachevés et publiés complétés par d'autres ? Je pense, par exemple, à la seconde version du Conte de fées à l'usage des moyennes personnes de Boris Vian. Enfin, sans être une amélioration d'une œuvre, il y a les fan fictions dont certaines auraient un niveau suffisant pour être éditées, mais qui le peuvent pas puisqu'il n'y a pas le droit.

Mais soyons honnête, les échanges de textes d’un écrivain à un autre sont rares voir inexistants.

C'est factuellement faux. Un exemple, bien connu, est la morale du Lièvre et la Tortue de Lafontaine qui est de Rabelais. Je suis sûr d'avoir déjà rencontré d'autres exemples, mais je ne les retrouve plus.

La citation “de code” sous copyright est bien entendu impossible.

En es-tu sûr ? Selon moi, les même règles que pour du texte s'appliquent puisque c'est le même droit qui régit les deux, mais je peux me tromper.

Ces deux droits permettent largement d’exercer une très large liberté de modifier un texte littéraire, quelle que soit sa licence.

Il donne des droits, certes, mais c'est encore limité à la parodie (le droit de citation n'offre pas à mon avis le droit de modifier une œuvre, au contraire).

Tout d’abord, un livre est quasiment un consommable : à part quelques exceptions, on ne lit un texte qu’une seule fois, éventuellement on le consulte de temps en temps.

Je connais plein de gens qui relisent des livres. Je le fais assez régulièrement, ma fille le fait tout le temps.

Il est également inerte et ne vous espionnera pas, même s’il est sur notre table de chevet.

Je suis d'accord avec le constat final, à partir du moment où tu contrôle la diffusion, il y a possibilité de surveillance même si ce n'est pas à la même échelle, ce que pointait également ce commentaire d'Ysabeau dans une autre discussion : https://linuxfr.org/nodes/124114/comments/1851191 . Sans parler d'une éventuelle forme de censure où quelqu'un pourrait acquérir une œuvre pour ne pas qu'elle soit diffusée.

Les monopoles en littérature se cachent ailleurs que dans des licences fermées, mais dans les infrastructures et les réseaux de distribution.

C'est une problématique générale à la vente de bien physique, sans doute plus marqué dans les biens culturels, et encore plus dans le livre. Mais ce n'est pas parce qu'il y a d'autres problèmes qu'il ne faut pas régler celui des licences. Et offrir les livres sous une licence ouverte pourrait permettre à de nouveaux acteurs d'offrir de nouvelles filières de distribution. Sans compter que le livre se numérise de plus en plus, et, en matière de distribution numérique, les communautés internet se montrent en général assez efficace (tu peux demander aux éditeurs producteurs de musique et de films)…

L’enjeu pour un auteur dans “sa contribution” à la liberté, c’est avant tout d’être lu. Je pense que le choix d’une licence doit être choisi selon cet objectif et non pour des raisons strictement idéologiques.

C'est peut être là ton erreur principale ; les licences libre ne sont pas au bénéfice de l'auteur, mais de celui qui reçoit l'œuvre. Et si le but de l'auteur c'est avant tout d'être lu, pourquoi limiter la diffusion de son œuvre ?

Après tout cela, je vais quand même préciser que je lis des livres publiés sous licence non libres, j'apprécie le travail d'édition et j'ai conscience de la difficulté à trouver un modèle pérenne de financement des auteurs et des éditeurs. J'apprécie également beaucoup que tu viennes ici débattre avec nous, et j'avais beaucoup aimé lire les premiers fils de discussion sur le sujet.

En fait, pour la plupart de tes arguments, que ce soit ici où dans ton texte, je ne vois pas bien en quoi c'est différent pour du logiciel…

Quand tu dis

Comment proposer un e-book CC BY (gratuitement en téléchargement sur mon site) alors que des boutiques en ligne le vendent et le mettent en valeur…

Il y a la même problématique avec le binaire de ton appli. Ce ne sont pas les exemples de logiciels libres vendus sur les store des téléphones par d'autres que leurs auteurs qui manquent…

De même, tu dis

Je pense que c'est souvent illusoire d'imaginer qu'un roman va connaitre le succès, juste comme ça parce qu'il va trouver un public qui va s'impliquer et faire des traductions et des spins off. Un roman va connaitre un succès parce que des gens vont le pousser en avant : auteur, éditeur, etc. Ils vont également investir : passer du temps, payer des traducteurs, des graphistes, des imprimeurs.

Tu penses réellement qu'il n'y a pas cette problématique dans le code ? Des logiciels libres qui ne trouvent pas leur succès tout seul, il y en a plein. Et la conséquence c'est qu'il y a des sociétés qui se créent pour soutenir les développements, il y a en même plein. Et ça implique également largement plus de monde que des codeurs (Maketting, vente, traduction, etc.).

Les employés les mieux payés, eux peuvent se permettre de s'aménager une pièce dédiée avec le bureau et le fauteuil qui vont bien, les employés lambda, prendront une chaise de cuisine sur la table de cuisine. Quid des stagiaires/apprentis ?

C'est à l'employeur de vérifier que le télétravailleur a bien un poste de travail adapté et de prendre en charge les frais d'équipement.

Je me suis mis au velotaf (18km aller, autant au retour) il y a relativement peu, et parfois, j'ai l'impression que je vais au taf uniquement pour faire du vélo (bon, et voir un peu les collègues, parce-que j'ai l'impression que le teletaf, ça me rend un peu misanthrope…)

Moi aussi, j'aime bien le télétravail partiel, que je module en fonction de mes besoins familiaux et professionnels. Et je pense que dans mon taf, on ne reviendra pas totalement au présentiel, on s'est bien fait au nouveau rythme…

Pour ma part, j'avais cru qu'il s'agissait d'un nouveau vocabulaire, référant à une nouvelle logique. J'ai donc été voire la RFC pour voir de quoi il s'agissait et me rendre compte que c'était simplement un "stream" et rien de nouveau :(

edit : je n'avais pas vu/lu la parenthèse

C'est surtout, à mon avis, que ces failles ont révélé des vecteurs d'attaques qui étaient peu exploités avant (Rowhammer est plus ou moins la combinaison de deux types failles qui étaient connues qui a rendu leur exploitation plus facile). Ça a ouvert la voie vers un nouvel angle de recherche sur lequel de nombreux labos se sont penchés en même temps, pour comprendre, reproduire, corriger et approfondir.

Ajoute à ça les effets de modes qui font que ces papiers sont assez facile à publier et les projets de recherche faciles à financer, et ça crée une période propice à la découverte de ce genre de failles (ce qui n'est pas une mauvaise chose, à mon avis).

Je suis d'accord. Il n'empêche que si la majorité des policiers—qui sont sensés être du côté de la loi—se mettaient ensemble à lutter contre ceux qui agissent mal et à faire respecter la loi par leur collègue, le systémique serait brisé. S'ils ne le font pas c'est clairement qu'ils n'ont pas le soutiens de la majorité de leurs collègues.

Pour moi, il faudrait faire passer un message clair : condamnation des auteurs de violence, renvoi de tous ceux qui sont témoins passifs de ces actes !

S'ils arrêtent leur collègue en flagrant délit devant les mêmes caméra qui filment les violences, je ne vois pas bien ce que pourra faire la hiérarchie.

Par contre, les collègues complices qui promettent de leur mettre la misère… C'est pour ça qu'il faudrait un mouvement de groupe de "bons" policiers, mais il faut croire qu'ils ne sont pas assez nombreux…

Je pense qe tu voulais parler de Nexus, le gestionnaire d'artefacts de Sonatype. Nessus est un outil d'évaluation des vulnérabilités.

Comme alternative à Nexus, je connais au moins Artifactory de Gfrog, mais je ne pense pas que ce soit léger…

Je suis d'accord. Sur les vidéos où tu vois des flics frapper des mecs alignés devant eux, sous les yeux de leurs collègues qui ne bougent pas, je suis presque autant choqué par ces derniers que par celui qui commet l'acte. Ils devraient tous passer les menottes à leur collègue qui commet un acte manifestement illégal devant eux ! C'est leur putain de taf !

Outre la censure de l'article 52, dont je me réjouis, c'est ce chiffre qui m'interpelle… Quasiment 1/3 des articles de cette loi étaient inconstitutionnels !!

Et sur ce chiffre minable, Darmanin a le culot de twitter :

Je me félicite des nombreuses dispositions validées qui aideront notre politique de sécurité

on est parfois bien content de pouvoir compter sur eux

Encore faudrait-il qu'on le puisse. Parce qu'une fois qu'on les appelle, il faut encore qu'ils acceptent de se déplacer, qu'ils le fassent tant qu'il est encore temps et qu'ils ne traitent pas la victime comme un coupable…

Quand tu t'es heurté à tout ça, te faire arrêter dans la rue pour être humilié un contrôle d'identité sans raison devient encore plus insupportable.

Non, mais je suis depuis longtemps assez gêné par cette forme de nationalisme particulière… Elle ne semble pas choquer grand monde, au contraire, mais ça reste tout de même une forme de nationalisme, ce qui ne me gratouille aux entournures quand même.

Mouais. Et aussi d'un côté tu as un projet entièrement communautaire qui ne fait que l'os de ton téléphone, qui permet de ne même pas avoir les API des gapps.

De l'autre côté, tu as un projet à but commercial, visant à proposer une écosystème près configuré en remplacement de l'écosystème Google, qui inclue par défaut le support des API Google. Et qui, pour vendre, utilise les techniques commerciales habituelle d'approximation avec la réalité de marketing.

Bref, ta présentation était peut être un peu partiale…

C'est plus ou moins dit dans le lien. C'est une petite machine, qui demande donc moins de produit et donc utiliser des tablettes ou des gels consomme (et rejette donc) plus de produit que nécessaire.

Par contre, dans les lave-vaisselles "classiques"^1, il y a des réservoirs pour produit, liquide de rinçage et sel de vaisselle, ils auraient pu en équiper la machine aussi… Mais ça fait de moins joli slides à présenter aux investisseurs quand tu ne peux pas montrer de revenus récurrents, surtout quand tu fais du hardware qui est déjà un domaine réputé difficile à financer.

¹ y compris les petits modèles, par exemple ceux conçus pour les camping cars, très similaires dans le prince, mais moins jolis et hypes.

J'ai un XA2, acheté reconditionné, et je suis assez surpris par ton retour, je n'ai pas la majorité des problèmes mentionnés. Le GPS est parfois capricieux, et la qualité de l'appareil photo n'est pas extraordinaire. La radio en général est correcte, mieux que sur d'autres tels, mais pas extraordinaire (notamment le WiFi chez moi), mais c'était pareil en stock.

Pour le reste, j'ai une autonomie correcte pour ce genre d'appareil (mais je n'ai pas de comparaison, je n'ai utilisé la ROM stock que pour vérifier qu'il marchait correctement avant de le passser sur Lineage), pas de problème de SIM, lenteur, lags, plantages nécessitant un reboot…

Parce que les boites à livres

Pour le coup, c'est pas encore plus facile en numérique (sans DRM) ?

Oui mais la consommation n'est pas l'origine des émissions. Par ailleurs si on va par là les livres consomment moins que les liseuses.

Justement, une liseuse dure beaucoup plus longtemps qu'une tablette.

Et même si on reprend les chiffres plus haut, 65 livres (pire estimation) sur 4 ans (durée de vie d'une tablette), ça fait environ 17 livres par an (un livre toutes les 3 semaines) pour être rentable écologiquement, c'est pas énorme, d'autant plus que je pense que les gens intéréssé par l'investissement sont probablement de gros lecteurs. En guise de comparaison, la moyenne nationale est autour de 12 livres par an pour les 15-44ans, 20 par an au delà (source.

En effet, par beau temps, le mieux c'est d'aérer en permanence, et inversement, quand il n'est pas possible d'aérer, le risque est présent. Entre les deux situations, tu as les moments où aérer n'est pas impossible mais pas forcement très agréable. Dans ce cas, avoir un détecteur te permet de maintenir un degré de risque raisonnable tout en n'ayant pas à subir les désagréments d'une aération permanente.

Sans oublier que c'est beaucoup plus facile de diffuser les livres, donc de diffuser la connaissance/culture. Et en matière d'émancipation et de libération des peuples, c'est un grand grand pas en avant.