• # F-Droid

    Posté par  . Évalué à 9 (+7/-0). Dernière modification le 27 mars 2024 à 10:39.

    Du coup pour télécharger manuellement VLC, allez sur cette page : https://www.videolan.org/vlc/download-android.html
    et cherchez le lien "APK package"

    N'est-ce pas l'occasion parfaite pour inviter les gens à utiliser F-Droid du coup ? Installer un paquet APK manuellement ça devrait être du dernier ressort de chez dernier ressort : il n'y a pas de gestion de mise à jour, et prendre l'habitude de télécharger des APK depuis internet c'est peut-être pas le top quand on a F-Droid qui existe. VLC y est à jour, justement, et F-Droid est cité sur cette page de téléchargement.

    Sinon oui, devoir donner sa clé privée à Google, ça n'a pas de sens. S'ils veulent signer un truc, qu'ils le fassent avec leur clé ou alors il faut changer de manière de distribuer et signer. On peut tout à fait signer une même chose avec plusieurs clés. Dans "clé privée", il y a "privée", on ne peut pas être plus clair sur l'intention du système.

  • # VLC pour Android n'a pas été mis à jour depuis des mois, tout court

    Posté par  (site web personnel, Mastodon) . Évalué à 3 (+1/-0).

    La dernière version date de décembre 2022 (et n'est parue sur F-Droid qu'en février 2023). J'avais des bugs qui n'étaient pas corrigés par cette version et j'ai fini par en avoir marre d'attendre ; j'utilise Auxio désormais. Sauf tout le respect que je dois aux devs (à qui Google ne facilite certainement pas la tâche), je trouve ça vraiment trop lent comme rythme de mise à jour.

  • # 3.5.4 ?

    Posté par  . Évalué à 2 (+1/-0).

    Pas tout compris.
    La version officielle du site Videolan est la 3.5.4
    Comme celle installée sur mon espionphone

    • [^] # Re: 3.5.4 ?

      Posté par  . Évalué à 3 (+1/-0).

      L'idée c'est que ça va être difficile de pousser la prochaine version sur le Play Store sans donner la clé privée de VLC à Google, ce que l'équipe VLC ne veut pas faire parce qu'on ne partage pas sa clé privée (sinon, la personne avec qui on la partage peut lire les messages qu'on nous envoie et/ou se faire passer pour nous)

      • [^] # Re: 3.5.4 ?

        Posté par  . Évalué à 5 (+3/-0).

        Le chantage de google est peut-être une bonne occasion pour faire connaître F-Droid. La dernière version de VLC y est dispo.
        https://f-droid.org/en/packages/org.videolan.vlc/

      • [^] # Re: 3.5.4 ?

        Posté par  . Évalué à 3 (+2/-0).

        Ah c'est ça que j'ai pas pigé ? C'est pour les futures versions ?

        Ce que j'avais bien pigé, c'est que Google peut aller se gratter pour récupérer tous les moyens de se faire passer pour VLC !
        C'est tellement énorme qu'ils pensent que ça va passer ?

      • [^] # Re: 3.5.4 ?

        Posté par  . Évalué à 8 (+6/-0).

        ce que l'équipe VLC ne veut pas faire parce qu'on ne partage pas sa clé privée

        • Même si nous ne partageons pas les mêmes valeurs sur les question de vie privée &co, j'ai tendance à me dire que les ingénieurs de chez Google ne sont pas des manches et que je ne suis pas plus malin qu'eux. Ils mettent en place des procédures IAM très précises ("ultra précises" :-)). Et paf, ils te sortent un process où tu es censé leur donner ta clé privée. Le contraire du B-A BA de la sécurité. Je ne sais pas trop qu'en penser…

        • Pareil les gars de chez VLC sont assurément plus malin que moi du coup je ne comprends pas pourquoi ils n'utilisent pas la solution évidente qui me vient à l'esprit : créer une nouvelle clé privée, dédiée à Google. Comme ça elle ne sera pas utilisée chez leurs autres distributeurs "(our website, Amazon AppStore, Huawei AppGalery)". Et en profiter pour avoir une clé par canal. Ainsi la fuite de l'une d'entre elles n'impacterait pas l'ensemble du réseau de distribution.

        • [^] # Re: 3.5.4 ?

          Posté par  . Évalué à 8 (+6/-0).

          Pour ton deuxième point, je pense qu'un problème est que ça va générer une rupture dans la continuité de la clef de signature. Or, c'est exactement ce qu'Android vérifie : que la clef de signature ne change pas d'une version à l'autre lors d'une mise à jour. Rien d'autre, pas de chaîne de certificat ou autre toile de confiance. C'est plus ou moins un modèle de sécurité dit opportuniste.

          Donc changer la clef de signature de la version Playstore oblige tous les utilisateurs qui ont installé VLC à le réinstaller après avoir eu une alerte de sécurité. Paye ton travail de communication pour gérer le truc !

          • [^] # Re: 3.5.4 ?

            Posté par  . Évalué à 2 (+0/-0).

            Très juste, merci pour l'éclaircissement.

            Pour ma part je n'avais pas fait attention à ces versions, l'aboutissement de VLC tel quel me convient parfaitement.

          • [^] # Re: 3.5.4 ?

            Posté par  . Évalué à 2 (+0/-0).

            changer la clef de signature de la version Playstore oblige tous les utilisateurs qui ont installé VLC à le réinstaller après avoir eu une alerte de sécurité.

            Ils ont forcément prévu le cas d'une clé compromise (le genre de trucs que je me dis quand j'imagine que leurs ingénieurs sont pas plus cons que moi) et la possibilité de la changer sans alerter tous les utilisateurs. Lui semble le dire.

          • [^] # Re: 3.5.4 ?

            Posté par  . Évalué à 4 (+2/-0).

            S'ils n'ont pas prévu de rotation des clefs, il me semble qu'il y a un gros problème dans la méthodologie.

            https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Envoyer un commentaire

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.