J'utilise du vinaigre d'alcool […] C'est […] écologique.
Moyennement. C'est biodégradable, ce qui est déjà bien. Mais les acides sont une source importante de pollution de l'eau. Depuis une vingtaine d'années, les industriels de la chimie (et les normes afférentes) tentent de les éliminer des produits d'entretiens…
bon on va voir qui se fait révoquer, entre quelques centaines de milliers et plusieurs millions.
C'est pour ça qu'il ne faut vraiment vraiment pas perdre la clef privée… Et qu'on a plusieurs autorités qui peuvent signer des passes sanitaires.
Pas de serveur de temps et tout le foin à côté, comme les signatures ailleurs?
Les serveurs d'horodatage, c'est globalement un service qui signe un timestamp avec sa clef privée, qui est elle-même certifiée par une chaîne de confiance X.509, avec sa propre hiérarchie de certificat. Ta signature va ajouter ce timestamp aux données signées, et ça permettra à une autorité extérieure de vérifier la date de ta signature. C'est quand tu ne fais pas confiance au signataire.
Ici, le serveur de signature est l'autorité, on peut partir de l'idée qu'on lui fait confiance (c'est la base), et que sa base de temps est fiable. Ajouter un serveur d'horodatage ça veut dire une seconde chaîne de confiance à gérer, et donc deux fois plus de clef privées à ne vraiment vraiment pas perdre, au risque d'invalider des millions de certificats… et visiblement, une, c'est déjà trop.
TOTP, c'est à priori, ce qui est utilisé dans la plupart des systèmes ; mais ils ne transmettent pas la clef, tu ne peux pas la mettre dans l'appli que tu veux.
Pour FIDO/Webauthn, à ma connaissance VISA a lancé une expérimentation en europe sur une authentification DSP2 basée sur webauthn. Je crois que CarteBanquaire étudie aussi le sujet. Mais même si les schemes se mettent à le proposer, il faut encore que les banques l'adopte (et donc le paye), que ce soit validé par l'ACPR (ce qui est toujours plus long et plus cher que comme les autres, etc.
Pour être aussi convaincant que possible, j'aimerais comprendre quelles sont, selon eux, les "questions multiples" qui justifient de refuser un appareil rooté. Je ne peux pas communiquer directement avec leur service technique, mais seulement par un malheureux conseiller très aimable mais complètement perdu.
Avez-vous une idées des questions auxquelles il est fait allusion ? Selon vous, motivent-elles de façon justifiée le refus des appareils rootés ? Si non, quels sont les arguments qui permettrait de réfuter au mieux leur position ?
J'ai un téléphone Lineage rooté, et privé d'appli aussi. Je pense, dès que ce sera nécessaire, passer au boîtier séparé du téléphone, qui me semble une bonne solution (même si en vrai, je préférerais un truc avec/sur la carte).
Pour les "questions multiples" qui posent problème avec les téléphones rootés, j'en vois au moins une : sur un téléphone rooté, un utilisateur privilégié a accès à toutes les (bases de) données des applications. Ce qui veut dire qu'il est possible d'extraire les clefs de vérification (la plupart des ces systèmes sont basés sur TOTP, donc une clef secrète) et de les transférer dans une autre appli.
Je ne sais pas ce qu'il en est pour l'appli de ta banque, mais sur une des applis que j'ai pu tester au moins, et à une période donnée, la "protection" anti-téléphone rooté consistait simplement en une vérification de la présence du binaire "su". Il suffisait de le renommer pour ne plus avoir de problème…
Dans notre cas (pour la pluspart), par exemple, Syntec limite le forfait jour aux personnes ayant un rôle effectif d'encadrement, aux commerciaux et aux consultants.
Je n'ai pas encore eu le temps de la lire, mais comme j'ai cherché le papier original, justement pour tenter d'y voire plus claire sur cette historie de Linage, je partage…
Ah ? J'avais jamais entendu le terme 0G, pourtant j'ai travaillé sur les réseaux LPWAN, mais bon, c'était il y a un moment maintenant (environ 3 ans).
Sigfox et Lora (comme NB-Iot et peut-être BT6), utilisent des fréquences "civiles1" avec des puissances assez faibles, donc les brouilleurs sont assez facile à réaliser. Niveau sécurité, LoraWAN propose une du chiffrement et du contrôle d'intégrité au niveau de la couche de transport (opérateur) alors que Sigfox ne propose aucune garantie.
Pour un système d'alarme, ces protocoles seront très limités, ce ne sera utilisable que pour la remontée d'état des capteurs (et encore, pas trop, Sigfox, c'est 140 messages de 12 octets maximum par jour !). De plus, l'IoT ce n'est pas vraiment de l'internet : les protocoles LPWAN remontent les infos sur une passerelle (gateway), et à partir de là, tu as de l'IP. Pour de l'IP (v6) de bout en bout, il faut passer par des protocoles en couche "applicative" du point de vue du protocole LPWAN, comme SCHC.
1 Quand je bossais sur LoraWAN, pour observer mes trames j'utilisais un tuner TV et GNURadio…
GSM, c'est déjà de la 2G… 1G, ça correspond en France au Radiocom 2000, sur lequel marchaient essentiellement les téléphones dans les voitures dans les années 80-90. 0G, je vois pas.
Sur les roues vélos, le nombre et la taille des billes est variables. Elles se trouvent dans le moyeux, cela devrait t'aider pour trouver des vidéos te permettant de les démonter. Tu peux aussi en trouver dans les jeux de direction. Par contre, tu risque d'avoir du mal à récupérer les cuvettes dans lesquelles elles logent (mais ça doit pouvoir s'imprimer en 3D).
Autant pour moi, en relisant, je réalise que j'avais pas forcement bien compris ton propos. Ce que tu applaudis c'est le fait ne pas s'opposer à ce que d'autres recréé leurs ajouts non-libres qu'ils vendent. Et dans ce cas, je te rejoint. Toutes mes excuses.
Et perso, ça fait plaisir de voir qu'on peut être bankable sans utiliser le libre comme produit d'appel pour du non libre qu'on empêche la concurrence de faire.
Autant je suis d'accord sur le fait qu'ils font du vrai open-source sur la partie qui l'est, sans empêcher les autres de faire pareil, autant ne suis pas convaincu que le libre ne serve pas essentiellement de produit d'appel pour le non-libre. Il y a quand même plein de fonctionnalités quasi-indispensables ou très très utiles qu'ils ne libèrent pas (le SSO, par exemple).
Si, si, les protocoles utilisés par le télépégage appartient bien aux protocoles RFID, en SHF (bande de fréquence 2450-5 800 MHz), décrite par la spec ISO/IEC 18000, partie 4.
La puce en elle-même, je ne sais pas si elle fait la taille d'un grain de riz mais elle plutôt petite. Par contre, le circuit autour et la batteries, eux prennent de la place, on est d'accord.
Pour les animaux (et le contrôle d'accès), on utilise du RFID LF (120–150 kHz - ISO/IEC 18000, partie 2), qui a une portée bien plus réduite et est très lente à lire, mais qui peut fonctionner en passif.
Le NFC (ISO 14443), quand à lui, n'appartient pas vraiment au RFID, mais reprend les caractéristiques du RFID HF, sur la bande de fréquence 13,56 MHz, décrite par la spec ISO/IEC 18000, partie 3). Il peut fonctionner en passif et en actif et a une portée encore inférieure.
Il me semble quand même que SailfishOS, bien que pas libre, est basé sur un noyau linux, ce qui le met quand même un peu plus dans le sujet de linuxfr.org que Windows 10, il me semble.
Pour windows 11, je ne sais pas, c'est peut être basé sur Linux, je ne suis pas beaucoup les actus des OS non libres :P
En fait, je voulais pas parler ici de la pertinence d'utiliser MS Office plutôt que LibreOffice mais d'utiliser les outils bureautiques comme support d'apprentissage de la programmation.
Parce qu'honnêtement, à l'époque, la question d'utiliser une autre suite bureautique ne se posait pas vraiment (StarOffice n'était même pas encore disponible gratuitement… je suis vieux -_-).
[^] # Re: Twitter
Posté par aiolos . En réponse au message Linux sur MacBook Air m1 ( résolu ). Évalué à 4.
C'est ce qu'il semble dire… Mais, il semble aussi qu'il manque un peu plus que ça :
# Twitter
Posté par aiolos . En réponse au message Linux sur MacBook Air m1 ( résolu ). Évalué à 3.
Je viens de tomber sur le lien suivant : https://twitter.com/marcan42/status/1458473546225577987
[^] # Re: vinaigre d'alcool
Posté par aiolos . En réponse au journal Du ménage autour de nos ordinateurs. Évalué à 2.
Moyennement. C'est biodégradable, ce qui est déjà bien. Mais les acides sont une source importante de pollution de l'eau. Depuis une vingtaine d'années, les industriels de la chimie (et les normes afférentes) tentent de les éliminer des produits d'entretiens…
[^] # Re: Comprends pas...
Posté par aiolos . En réponse au lien Des pass sanitaires européens au nom de Bob l’Éponge et d’Adolf Hitler :). Évalué à 3. Dernière modification le 03 novembre 2021 à 11:16.
C'est pour ça qu'il ne faut vraiment vraiment pas perdre la clef privée… Et qu'on a plusieurs autorités qui peuvent signer des passes sanitaires.
Les serveurs d'horodatage, c'est globalement un service qui signe un timestamp avec sa clef privée, qui est elle-même certifiée par une chaîne de confiance X.509, avec sa propre hiérarchie de certificat. Ta signature va ajouter ce timestamp aux données signées, et ça permettra à une autorité extérieure de vérifier la date de ta signature. C'est quand tu ne fais pas confiance au signataire.
Ici, le serveur de signature est l'autorité, on peut partir de l'idée qu'on lui fait confiance (c'est la base), et que sa base de temps est fiable. Ajouter un serveur d'horodatage ça veut dire une seconde chaîne de confiance à gérer, et donc deux fois plus de clef privées à ne vraiment vraiment pas perdre, au risque d'invalider des millions de certificats… et visiblement, une, c'est déjà trop.
[^] # Re: Wiki de l'April qui recense les alternatives
Posté par aiolos . En réponse au message Paiement sécurisé sur un téléphone rooté. Évalué à 3.
TOTP, c'est à priori, ce qui est utilisé dans la plupart des systèmes ; mais ils ne transmettent pas la clef, tu ne peux pas la mettre dans l'appli que tu veux.
Pour FIDO/Webauthn, à ma connaissance VISA a lancé une expérimentation en europe sur une authentification DSP2 basée sur webauthn. Je crois que CarteBanquaire étudie aussi le sujet. Mais même si les schemes se mettent à le proposer, il faut encore que les banques l'adopte (et donc le paye), que ce soit validé par l'ACPR (ce qui est toujours plus long et plus cher que comme les autres, etc.
# Justification
Posté par aiolos . En réponse au message Paiement sécurisé sur un téléphone rooté. Évalué à 5.
J'ai un téléphone Lineage rooté, et privé d'appli aussi. Je pense, dès que ce sera nécessaire, passer au boîtier séparé du téléphone, qui me semble une bonne solution (même si en vrai, je préférerais un truc avec/sur la carte).
Pour les "questions multiples" qui posent problème avec les téléphones rootés, j'en vois au moins une : sur un téléphone rooté, un utilisateur privilégié a accès à toutes les (bases de) données des applications. Ce qui veut dire qu'il est possible d'extraire les clefs de vérification (la plupart des ces systèmes sont basés sur TOTP, donc une clef secrète) et de les transférer dans une autre appli.
Je ne sais pas ce qu'il en est pour l'appli de ta banque, mais sur une des applis que j'ai pu tester au moins, et à une période donnée, la "protection" anti-téléphone rooté consistait simplement en une vérification de la présence du binaire "su". Il suffisait de le renommer pour ne plus avoir de problème…
[^] # Re: au moins c'est écrit français …
Posté par aiolos . En réponse au lien IGN (France) : le nouveau service web de calcul d’itinéraire est ouvert. Évalué à 2.
Tu as raison, il s'agit d'un nom propre, ça devrait s'écrire Web.
[^] # Re: Contournements
Posté par aiolos . En réponse au lien Initiative nationale de la CGT pour la réduction du temps de travail et les 32h. Évalué à 2.
Le forfait jour est normalement très encadré.
Dans notre cas (pour la pluspart), par exemple, Syntec limite le forfait jour aux personnes ayant un rôle effectif d'encadrement, aux commerciaux et aux consultants.
[^] # Re: /e/
Posté par aiolos . En réponse au lien Les téléphones Android espionnent leurs utilisateurs et transmettent des informations sensibles. Évalué à 10. Dernière modification le 13 octobre 2021 à 23:04.
Le papier est ici, pour qui veut juger de source première : https://www.scss.tcd.ie/Doug.Leith/Android_privacy_report.pdf
Je n'ai pas encore eu le temps de la lire, mais comme j'ai cherché le papier original, justement pour tenter d'y voire plus claire sur cette historie de Linage, je partage…
[^] # Re: Expiration des mots de passe
Posté par aiolos . En réponse au lien Recommandations [de l'ANSSI] relatives à l’authentification multifacteur et aux mots de passe. Évalué à 3.
Exact ! J'ai déjà utilisé cette "astuce" :D
[^] # Re: distance travail/maison
Posté par aiolos . En réponse au journal Le pétrole, le GPL, la voiture électrique, et mon portefeuille. Évalué à 5.
:sifflotte:
[^] # Re: Licence
Posté par aiolos . En réponse au journal Gitlab va entrer en bourse. Évalué à 3.
Autant pour moi, la dernière fois que j'avais regardé, je n'avais pas trouvé d'implémentation libre et à peu près complète ni de SAML, ni de OAuth.
[^] # Re: À peu près les même critères
Posté par aiolos . En réponse au message Recherche modèle d'alarme pour maison. Évalué à 5.
Les alarmes, c'est pas juste un truc inventé par les assureurs pour ne jamais rembourser les cambriolages car tout le monde les désactive ?
Ça a même tellement bien marché comme plan qu'ils l'ont étendu aux détecteurs de fumées, non ?
[^] # Re: La notif par texte me semble trop limitée
Posté par aiolos . En réponse au message Recherche modèle d'alarme pour maison. Évalué à 3.
Ah ? J'avais jamais entendu le terme 0G, pourtant j'ai travaillé sur les réseaux LPWAN, mais bon, c'était il y a un moment maintenant (environ 3 ans).
Sigfox et Lora (comme NB-Iot et peut-être BT6), utilisent des fréquences "civiles1" avec des puissances assez faibles, donc les brouilleurs sont assez facile à réaliser. Niveau sécurité, LoraWAN propose une du chiffrement et du contrôle d'intégrité au niveau de la couche de transport (opérateur) alors que Sigfox ne propose aucune garantie.
Pour un système d'alarme, ces protocoles seront très limités, ce ne sera utilisable que pour la remontée d'état des capteurs (et encore, pas trop, Sigfox, c'est 140 messages de 12 octets maximum par jour !). De plus, l'IoT ce n'est pas vraiment de l'internet : les protocoles LPWAN remontent les infos sur une passerelle (gateway), et à partir de là, tu as de l'IP. Pour de l'IP (v6) de bout en bout, il faut passer par des protocoles en couche "applicative" du point de vue du protocole LPWAN, comme SCHC.
1 Quand je bossais sur LoraWAN, pour observer mes trames j'utilisais un tuner TV et GNURadio…
[^] # Re: La notif par texte me semble trop limitée
Posté par aiolos . En réponse au message Recherche modèle d'alarme pour maison. Évalué à 5. Dernière modification le 22 septembre 2021 à 22:52.
GSM, c'est déjà de la 2G… 1G, ça correspond en France au Radiocom 2000, sur lequel marchaient essentiellement les téléphones dans les voitures dans les années 80-90. 0G, je vois pas.
[^] # Re: dans un roulement à billes pardi
Posté par aiolos . En réponse au message récupération de billes de roulement. Évalué à 4.
Une bille de souris ? Ce sera une bille plastique, et il faut une souris d'un certain age…
[^] # Re: roulement roue
Posté par aiolos . En réponse au message récupération de billes de roulement. Évalué à 3.
Sur les roues vélos, le nombre et la taille des billes est variables. Elles se trouvent dans le moyeux, cela devrait t'aider pour trouver des vidéos te permettant de les démonter. Tu peux aussi en trouver dans les jeux de direction. Par contre, tu risque d'avoir du mal à récupérer les cuvettes dans lesquelles elles logent (mais ça doit pouvoir s'imprimer en 3D).
[^] # Re: Licence
Posté par aiolos . En réponse au journal Gitlab va entrer en bourse. Évalué à 10.
Autant pour moi, en relisant, je réalise que j'avais pas forcement bien compris ton propos. Ce que tu applaudis c'est le fait ne pas s'opposer à ce que d'autres recréé leurs ajouts non-libres qu'ils vendent. Et dans ce cas, je te rejoint. Toutes mes excuses.
[^] # Re: Licence
Posté par aiolos . En réponse au journal Gitlab va entrer en bourse. Évalué à 4.
Autant je suis d'accord sur le fait qu'ils font du vrai open-source sur la partie qui l'est, sans empêcher les autres de faire pareil, autant ne suis pas convaincu que le libre ne serve pas essentiellement de produit d'appel pour le non-libre. Il y a quand même plein de fonctionnalités quasi-indispensables ou très très utiles qu'ils ne libèrent pas (le SSO, par exemple).
[^] # Re: Retour des fous furieux dans 3...2...1...
Posté par aiolos . En réponse au lien Un vaccin français administrable par voie nasale contre la COVID-19 qui bloque les contaminations. Évalué à 4. Dernière modification le 20 septembre 2021 à 17:57.
Si, si, les protocoles utilisés par le télépégage appartient bien aux protocoles RFID, en SHF (bande de fréquence 2450-5 800 MHz), décrite par la spec ISO/IEC 18000, partie 4.
La puce en elle-même, je ne sais pas si elle fait la taille d'un grain de riz mais elle plutôt petite. Par contre, le circuit autour et la batteries, eux prennent de la place, on est d'accord.
Pour les animaux (et le contrôle d'accès), on utilise du RFID LF (120–150 kHz - ISO/IEC 18000, partie 2), qui a une portée bien plus réduite et est très lente à lire, mais qui peut fonctionner en passif.
Le NFC (ISO 14443), quand à lui, n'appartient pas vraiment au RFID, mais reprend les caractéristiques du RFID HF, sur la bande de fréquence 13,56 MHz, décrite par la spec ISO/IEC 18000, partie 3). Il peut fonctionner en passif et en actif et a une portée encore inférieure.
[^] # Re: C'est peut-être pour leur apprendre à coder finalement
Posté par aiolos . En réponse au journal En Belgique, l’usage de LibreOffice est interdit par les (certaines ?) Écoles !. Évalué à 2.
J'suis vieux, mais pas tant que ça ;) Le cours en question était autour de 1998 (année durant laquelle j'ai passé mon bac).
Effectivement, y'avait Wordstar mais on était sur la fin (j'l'avais oublié celui-là) et la suite Lotus.
[^] # Re: OSEF
Posté par aiolos . En réponse à la dépêche Premier coup d'œil à SailfishOS 4.2.0 (Verla) . Évalué à 5.
Il me semble quand même que SailfishOS, bien que pas libre, est basé sur un noyau linux, ce qui le met quand même un peu plus dans le sujet de linuxfr.org que Windows 10, il me semble.
Pour windows 11, je ne sais pas, c'est peut être basé sur Linux, je ne suis pas beaucoup les actus des OS non libres :P
[^] # Re: Et chez nous ?
Posté par aiolos . En réponse à la dépêche Les Néerlandais peuvent choisir leurs modems et routeurs. Évalué à 2.
Clairement, cette différence de traitement entre les deux de la part de X. Niel m'a toujours agacée…
[^] # Re: Riche d'enseignement
Posté par aiolos . En réponse au lien Professionnels, ne dites plus « smurfing » mais « schtroumpfage ». Évalué à 3.
Personnellement, j'aime beaucoup le penispliquer qui vient traduire le terme anglais mansplaining.
[^] # Re: C'est peut-être pour leur apprendre à coder finalement
Posté par aiolos . En réponse au journal En Belgique, l’usage de LibreOffice est interdit par les (certaines ?) Écoles !. Évalué à 2.
En fait, je voulais pas parler ici de la pertinence d'utiliser MS Office plutôt que LibreOffice mais d'utiliser les outils bureautiques comme support d'apprentissage de la programmation.
Parce qu'honnêtement, à l'époque, la question d'utiliser une autre suite bureautique ne se posait pas vraiment (StarOffice n'était même pas encore disponible gratuitement… je suis vieux -_-).