J'ai bien identifié dans la norme que l'évaluation doit être associée à une version précise :
logiciel : il est sous-entendu, dans une version donnée, dans un packaging pour une distribution donné.
Et prévu le cas si certains éditeurs voudraient filouter/confusioner l'utilisateur avec plusieurs versions :
Si certaines les versions / variantes d'un logiciel ne respectent pas le même niveau de la norme, seul le niveau moins-disant de toutes les versions proposées sur le site peu apparaitre ou alors, les niveaux doivent apparaitre en face de la désignation explicite des versions / variantes concernées.
Ensuite, si l'évaluation est extérieure au projet, elle aura lieu quand quelqu'un voudra bien la faire !
de quelles données parle-t-on ? Par exemple, est-ce que la recherche d’une mise à jour sur le site de l’éditeur devrait être considérée comme une fuite ? → il vaudrait certainement le coup de définir formellement « donnée de l’utilisateur »
Je l'ai défini via « Absence de fuite » : « le logiciel n'effectue pas de connexions autres que celles explicitement requises par l'utilisateur final »; ça reste interprétable et subjectif mais je pense que cette définition ne peut être améliorée que par des exemples (sinon j'accepte vos propositions !).
Pour répondre à la question, la recherche de mise à jour ne fait pas partie des fonctions pour lesquelles l'utilisateur télécharge/installe le logiciel, donc cela constituerait bien une fuite.
Quel processus pour catégoriser un logiciel ? Je ne veux pas avoir à faire confiance à l’éditeur du logiciel pour la catégorie, alors :
qui fait l’audit ? Si le processus est collectif, comment la procédure est organisée ? Consensus ? J’imagine que l’évaluation d’un logiciel pourrait être faite par différentes personnes / différents organismes qui pourraient arriver à des conclusions différentes.
Je pense qu'on devrait autoriser l'éditeur à s'auto-évaluer pour 2 raisons :
- c'est lui qui connaît le mieux ce qu'il a implémenté (cf plus loin, l'évaluation agnostique peut demander beaucoup de temps)
- s'il ment, un audit indépendant pourra toujours découvrir la tricherie (dans le cas où les sources sont disponibles) et faire une très mauvaise presse sur l'éditeur
A voir si le concept convainc suffisamment d'éditeurs pour avoir rapidement des auto-évaluations (je l'espère ! Si des dev de projets populaires me lisent, leurs intentions m'intéressent particulièrement !), mais je pense que dans tous les cas une base centralisée collaborative sera nécessaire, pour faciliter la catégorisation d'un grand nombre de logiciel, surveiller l'évolution au cours du temps, …
y a-t-il une procédure systématique proposée pour catégoriser le logiciel ? (étude du code – comment ?, analyse des accès réseaux avec un outil tel que Wireshark, etc)
Clairement, pas pour le moment; c'est compliqué d'avoir des outils systémiques garantissant la couverture de n'importe quel code en n'importe quel langage, pour n'importe quel OS ! Je pense que ça pourrait venir dans un deuxième temps. Pour le moment on ne peut que rassembler quelques conseils/recommandations pour dégrossir.
Globalement, dans cette première phase on pourra au moins commencer à identifier les logiciels qui ont des fuites avérées avec les outils dispo (Wireshark, PiHole, …). Garantir qu'un gros logiciel n'a pas de fuite sans outil d'analyse me parait chronophage.
Si plusieurs manières de catégoriser peuvent être employées, la ou les méthodes qui ont été utilisées devraient-elles clairement apparaître, de façon normée ?
Oui la méthode utilisée devrait bien être renseignée (pour la traçabilité/reproductibilité).
est-ce que le caractère libre ou source-available est un pré-requis ?
Non, car :
- l'analyse par « l'extérieur » (Wireshark, proxy…) suffit pour identifer des fuites (donc suffit pour classer un logiciel en autre chose que 0L)
- l'éditeur peut toujours s'auto-évaluer; bien sûr dans ce cas l'impossibilité de vérification extérieure devrait apparaître.
est-ce que la production de binaire doit être reproductible ? (sinon difficile de garantir qu’un binaire correspond aux sources, et donc de garantir son bon comportement vis-à-vis de la norme)
Effectivement c'est un point important à mentionner.
est-ce qu’il est prévu de documenter un niveau d’utilité des fonctionnalités est prévu (core, essential, optional…)
Il me semble que c'est ce que j'ai proposé de définir en Possible (pour les fonctions secondaires) et Systématique (pour les fonctions incontournables) ?
est-ce que la direction de la fuite est considérée ? Par exemple on peut vouloir faire confiance à l’éditeur d’un logiciel mais pas à des « partenaires commerciaux » ou autre tiers.
Non, car je pense que la norme doit rester simple; quelque soit le destinataire de la fuite, il faut que l'éditeur l'affiche à l'utilisateur. Ensuite c'est à l'utilisateur de juger s'il est OK ou pas de prendre ce risque, pour cette application (suivant son usage).
Dans le cas d’un logiciel composé d’un client et d’un serveur, l’évaluation n’est-elle pas différente si le serveur est installé chez soi ou chez un prestataire ? (zéro fuite chez soi, mais « tout » fuite chez le presta).
Comme indiqué dans la FAQ, je ne m'intéresse (au moins dans un premier temps) qu'aux logiciels en interface avec l'utilisateur final : dans tous les cas le client doit informer qu'il y a une fuite vers un serveur; si le serveur est configurable alors l'utilisateur le sait via la norme ('''IC'''); sur le fait de choisir plutot XXX que YYY comme serveur ce ne peut pas être du périmètre de la norme !
Y a-t-il une notion de « tiers de confiance » à introduire pour rendre la norme plus informative pour ce genre de cas ?
Pas sur de bien saisir cette question, mais la norme n'a pas vocation à donner des préférences de serveurs ! Il y a quelques sites comparatifs spécialisés suivant les protocoles/applications.
Ce n'est pas l'usage premier mais toutes les fonctions demandées peuvent être remplie par l'outil. D'autres cités au dessus y répondent certainement plus proprement, néanmoins l'avantage de celui-ci peut être d'améliorer la communication générale dans une communauté.
Pour le vote (en supposant qu'il n'y ait pas une exigence de vote secret), j'apprécie particulièrement les réactions aux messages proposés dans Mattermost (et qui peuvent être personnalisés au besoin).
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
Et si on ne trouve pas son bonheur, on peut se rabattre sur eOS (basé sur LineageOS, tracking Google en moins), avec un comparateur moins bien que celui donné ci-dessus, mais mieux que celui fourni par Lineage sur leur site : https://doc.e.foundation/devices/
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
/etc/host.conf ça va pour gérer quelques domaines, mais quand la liste s'allonge et qu'il faut la maintenir sur plusieurs clients (PC, téléphone) ça peut devenir lourd. Dans ce cas je conseille Pi-hole, à installer quelque part sur le réseau, cela permet d'intercepter les requêtes DNS (donc vous protège aussi en dehors du navigateur). Il y a une belle interface web pour suivre le nombre de requêtes bloqués au cours du temps.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
L'initiative collaborative https://privacytools.dreads-unlock.fr/ semble déjà couvrir ce besoin depuis un moment, du coup je me demande si ça ne fait pas doublon.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
Il est vrai que la cible du message est mal définie.
Je pense que c'est effectivement difficilement accessible pour un utilisateur isolé. Cependant pour qui a un minimum de débrouille c'est la bonne solution; par exemple quelqu'un qui se débrouille avec l'auto-hébergement comme Yunohost. Et ça tombe bien, Yunohost inclut par défaut un serveur XMPP qui fonctionne bien. L'auto-hébergement est une pratique encore marginale mais Yunohost a permis une véritable diffusion; par ailleurs il suffit d'un membre dans la famille / dans un groupe pour fournir des accès à quelques dizaines de personnes inexpérimentés, cela me semble une voie possible en complément de CHATONS et de serveurs plus "officiels" pour éviter les gros cluster.
Par ailleurs, sur pourquoi XMPP plutôt que Matrix : outre le réinventage de roue et la perfo dissuadant l'auto-hébergement, le seul client utilisable l'étant par une société lucrative vers qui fuitent des métadonnées à chaque lancement me parrait inacceptable pour qui souhaite protéger sa vie privée.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
A un moment, il faut peut-être se demander si on ne va pas trop loin. Critiquer une fonctionnalité parce qu'elle permettrait une fuite de donnée sans pour autant proposer d'alternative, c'est comme les libristes qui critiquent du proprio sans proposer d'alternative (viable, hein, on a l'habitude des alternatives libres pourries), ça dégoûte plus qu'autre chose.
Je n'ai pas critiqué la fonctionnalité, j'ai reconnu au contraire qu'elle était utile pour beaucoup. Je critique le fait que l'utilisateur n'est pas informé de la fuite de métadonnées engendrée.
Bah, ça fera comme les bandeaux RGPD : les gens trouveront que les emmerdeurs vie privée sont vraiment bien des emmerdeurs, et râleront de ne pas trouver un équivalent à I don't care about cookies. Trop de demandes tuent la demande.
en nuisances collatérales il y a une différence notable entre être pollué par un bandeaux RGPD à chaque visite d'un site et pollué par un dialogue au premier lancement d'un logiciel.
je peux comprendre que certains n'en n'ont rien à faire et voudraient pouvoir tout accepter sans réfléchir. On peut très bien envisager une variable d'environnement I_dont_care_about_metadata_leaks=True à vérifier par chaque logiciel, qui bypasserait alors le dialogue.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
Certes, c'est une fonctionnalité utile pour un nombre certain. Certes, ce n'est qu'une petite méta-donnée (quand est-ce que mon navigateur tourne).
Ça ne reste pas moins une fuite de méta-donnée, dont un certain gars a montré qu'elles étaient suffisantes pour porter atteinte à la vie privée, affectant l'ensemble des utilisateurs. Si ni le RGPD (pas de donnée personnelle prise séparément) ni aucune licence libre (comme très justement rappelé plus haut) ne peut obliger le fournisseur du logiciel respecter l'information et le recueil du consentement préalable à la fuite, il me semble que c'est une exigence supplémentaire que nous, pour qui la notion de vie privé à un sens, devons désormais exiger de nos logiciels, libres ou non.
Ce n'est pas qu'un doux rêve : VLC le fait depuis plusieurs années.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
C'est parfois difficile de savoir si les logiciels qu'on utilise ont des fuites (que ce soit des données personnelles au sens du RGPD ou de « simples » méta-données) : si par définition les sources de nos logiciels opensources/libres sont accessibles, qui osera dire qu'il a vérifié l'intégralité des sources des logiciels installés sur sa machine ? :D
J'ai découvert récemment un outil très pratique : Pi-hole, à installer quelque part sur votre réseau, cela permet d'intercepter les requêtes DNS et donc de faciliter l'identification de communications non-désirées lorsque vous utilisez un logiciel donné.
Par la suite vous pouvez bloquer les noms de domaines « indésirables ». Le tout via une jolie interface web. Bien sûr ce n'est pas parfait : parfois c'est difficile de retrouver quel logiciel fait la requête DNS; parfois un logiciel peut légitimement avoir à se connecter à un ndd alors qu'un autre non… mais ça aide à dégrossir.
Quelques belles prises dans mon filet lors du dernier mois :
- Firefox : detectportal.firefox.com : >32k requêtes bloquées
- Thunderbird : incoming-telemetry.thunderbird.net : >5k requêtes bloquées
- Redshift-gtk : faisait régulièrement appel à un service de géolocalisation à mon insu (mais modifiable par fichier de conf)
- Element (client matrix) : se connecte aux serveurs vector.im et matrix.org même sans utiliser de compte matrix.org.
…
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
Une app a été créée pour Yunohost pour ceux qui ne veulent pas mettre les mains dans le cambouis ! C'est tout frais donc peut-être que tout ne marche pas encore parfaitement du premier coup.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
Je me permets de mettre quelques compléments concernant /e/ OS que j'avais préparé dans une autre dépêche en cours de rédaction, qu'il était convenu de déplacé ici et j'ai raté le passage en modération !
/e/ peut être vu comme l'Ubuntu pour les téléphones mobiles : utilisant LineageOS, il facilite la prise en main pour les personnes non expertes (ou qui n'ont pas envie de mettre les mains dans le cambouis). Il est possible d'acheter des téléphones déjà installés comme le Fairphone 3, ou de l'installer soit même (voir la liste des modèles pris en charge).
Une des avancées majeures de eOS par rapport à LineageOS est la dégoogleisation du code, permettant de réduire les fuites à votre insu de vos (méta-)données vers Google ((en)Différences LineageOS/eOS; (en)Tâches de dégoogleisation achevées/en cours).
Ceux qui le souhaitent peuvent synchroniser leurs données dans le cloud de /e/ (basé sur Nextcloud).
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
Avec un clic gauche tu as la liste des réseaux vu par chaque carte réseau . Tu peux vérifier que tu vois actuellement bien 2 sections "Réseau sans-fil".
Comme indiqué ici, tu peux ensuite relever l'adresse MAC de tes 2 interfaces, puis modifier la connexion à ton wifi (clic droit > éditer la conf de ton réseau pour l'associer à l'adresse MAC de ta nouvelle carte wifi).
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
2 options :
- cela doit être réglable via Network-manager (clic ou clic droit sur l'icone réseau dans la barre des tâches)
- bannir le module noyau permettant de gérer ton ancienne carte via /etc/modprobe.d/blacklist.conf ; j'ai l'impression que ton ancien wifi est géré via iwlwifi.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
Yunohost est un super projet que je recommande pour les petits et les grands :
- Pour les novices, facilite la prise en main pour tester l'auto-hébergement, et découvrir plein de services libres sans avoir à mettre les mains dans le cambouis.
- Pour les plus expérimentés aussi, à moins d'avoir des besoins très spécifiques, cela permet de gagner beaucoup de temps dans la mise en place et l'administration d'un serveur; et d'éviter d'oublier par exemple la mise en place de sécurités comme fail2ban, configuré et activé avec l'installation de base de Yunohost.
Il y a énormément d'apps, la stabilité globale est bonne voire très bonne, et la communauté est super.
Le principal bémol de mon point de vue est le manque d'un indicateur de respect de la vie privée (voire un indicateur sécurité) des app proposées. En effet, la plupart des apps récupèrent et installent brutalement du code externe, sans vérification systématique par un tiers de ce que fait réellement le code (fuites de (méta-)données). Ainsi un administrateur peu averti ou pressé peut prendre des risques (pour lui-même voire des personnes qu'il héberge) sans en avoir conscience.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
Je trouve qu'il manque un moyen de pouvoir donner à des projets libres de manière anonyme, les dons en espèces étant particulièrement difficiles en ce moment.
Car qui a une vision complète sur nos dons, notre banque ou Paypal ou Stripe, a une bonne vision de nous. Et même Liberapay qui a beau être libre, n'y change rien.
Un jour viendra peut être Taler mais il lui faudra encore beaucoup de dons pour devenir opérationnel :-)
Où connaissez-vous d'autres moyens ?
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Belle initiative !
Posté par anubis . En réponse au journal Une norme pour les logiciels respectueux de la vie privée ?. Évalué à 1.
J'ai bien identifié dans la norme que l'évaluation doit être associée à une version précise :
Et prévu le cas si certains éditeurs voudraient filouter/confusioner l'utilisateur avec plusieurs versions :
Ensuite, si l'évaluation est extérieure au projet, elle aura lieu quand quelqu'un voudra bien la faire !
Il sera possible de tracer les évolutions du support de la norme au cours du temps/des versions, un peu à la manière de WineHQ : https://appdb.winehq.org/objectManager.php?bIsQueue=false&bIsRejected=false&sClass=version&sTitle=&sReturnTo=&iId=2633
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Belle initiative !
Posté par anubis . En réponse au journal Une norme pour les logiciels respectueux de la vie privée ?. Évalué à 2.
Je l'ai défini via « Absence de fuite » : « le logiciel n'effectue pas de connexions autres que celles explicitement requises par l'utilisateur final »; ça reste interprétable et subjectif mais je pense que cette définition ne peut être améliorée que par des exemples (sinon j'accepte vos propositions !).
Pour répondre à la question, la recherche de mise à jour ne fait pas partie des fonctions pour lesquelles l'utilisateur télécharge/installe le logiciel, donc cela constituerait bien une fuite.
Je pense qu'on devrait autoriser l'éditeur à s'auto-évaluer pour 2 raisons :
- c'est lui qui connaît le mieux ce qu'il a implémenté (cf plus loin, l'évaluation agnostique peut demander beaucoup de temps)
- s'il ment, un audit indépendant pourra toujours découvrir la tricherie (dans le cas où les sources sont disponibles) et faire une très mauvaise presse sur l'éditeur
A voir si le concept convainc suffisamment d'éditeurs pour avoir rapidement des auto-évaluations (je l'espère ! Si des dev de projets populaires me lisent, leurs intentions m'intéressent particulièrement !), mais je pense que dans tous les cas une base centralisée collaborative sera nécessaire, pour faciliter la catégorisation d'un grand nombre de logiciel, surveiller l'évolution au cours du temps, …
Je verrai bien une interface à la WineHQ : https://appdb.winehq.org/objectManager.php?sClass=version&iId=2633
Clairement, pas pour le moment; c'est compliqué d'avoir des outils systémiques garantissant la couverture de n'importe quel code en n'importe quel langage, pour n'importe quel OS ! Je pense que ça pourrait venir dans un deuxième temps. Pour le moment on ne peut que rassembler quelques conseils/recommandations pour dégrossir.
Globalement, dans cette première phase on pourra au moins commencer à identifier les logiciels qui ont des fuites avérées avec les outils dispo (Wireshark, PiHole, …). Garantir qu'un gros logiciel n'a pas de fuite sans outil d'analyse me parait chronophage.
Oui la méthode utilisée devrait bien être renseignée (pour la traçabilité/reproductibilité).
Non, car :
- l'analyse par « l'extérieur » (Wireshark, proxy…) suffit pour identifer des fuites (donc suffit pour classer un logiciel en autre chose que 0L)
- l'éditeur peut toujours s'auto-évaluer; bien sûr dans ce cas l'impossibilité de vérification extérieure devrait apparaître.
Effectivement c'est un point important à mentionner.
Il me semble que c'est ce que j'ai proposé de définir en Possible (pour les fonctions secondaires) et Systématique (pour les fonctions incontournables) ?
Non, car je pense que la norme doit rester simple; quelque soit le destinataire de la fuite, il faut que l'éditeur l'affiche à l'utilisateur. Ensuite c'est à l'utilisateur de juger s'il est OK ou pas de prendre ce risque, pour cette application (suivant son usage).
Comme indiqué dans la FAQ, je ne m'intéresse (au moins dans un premier temps) qu'aux logiciels en interface avec l'utilisateur final : dans tous les cas le client doit informer qu'il y a une fuite vers un serveur; si le serveur est configurable alors l'utilisateur le sait via la norme ('''IC'''); sur le fait de choisir plutot XXX que YYY comme serveur ce ne peut pas être du périmètre de la norme !
Pas sur de bien saisir cette question, mais la norme n'a pas vocation à donner des préférences de serveurs ! Il y a quelques sites comparatifs spécialisés suivant les protocoles/applications.
C'est clairement ce qui m'a inspiré !
Merci ce retour riche; ne pas hésiter à passer sur le salon xmpp:sécurité-vie-privée@chat.jabberfr.org?join pour compléter/discuter un peu plus dans le détail les propositions.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: À part ça
Posté par anubis . En réponse au journal [RGPD] Qq1 peut-il m'expliquer ce choix entre cookie et cookie pour une vidéo YouTube sur france24 ?. Évalué à 0.
Sinon tu peux utiliser une extension comme Invidious, qui fait systématiquement proxy et mange les mauvais (et les bons ?) cookies YouTube pour toi : https://addons.mozilla.org/firefox/addon/invidition
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# Mattermost
Posté par anubis . En réponse au message Site de proposition d'idées. Évalué à 1.
Ce n'est pas l'usage premier mais toutes les fonctions demandées peuvent être remplie par l'outil. D'autres cités au dessus y répondent certainement plus proprement, néanmoins l'avantage de celui-ci peut être d'améliorer la communication générale dans une communauté.
Pour le vote (en supposant qu'il n'y ait pas une exigence de vote secret), j'apprécie particulièrement les réactions aux messages proposés dans Mattermost (et qui peuvent être personnalisés au besoin).
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# eOS
Posté par anubis . En réponse au lien Trouver facilement un téléphone compatible avec LineageOS. Évalué à 1.
Et si on ne trouve pas son bonheur, on peut se rabattre sur eOS (basé sur LineageOS, tracking Google en moins), avec un comparateur moins bien que celui donné ci-dessus, mais mieux que celui fourni par Lineage sur leur site :
https://doc.e.foundation/devices/
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Liste des ip disponible ?
Posté par anubis . En réponse au lien Cette extension imagine un Internet sans les géants du web . Évalué à 5.
/etc/host.conf ça va pour gérer quelques domaines, mais quand la liste s'allonge et qu'il faut la maintenir sur plusieurs clients (PC, téléphone) ça peut devenir lourd. Dans ce cas je conseille Pi-hole, à installer quelque part sur le réseau, cela permet d'intercepter les requêtes DNS (donc vous protège aussi en dehors du navigateur). Il y a une belle interface web pour suivre le nombre de requêtes bloqués au cours du temps.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# Doublon ?
Posté par anubis . En réponse au lien PMSInternet : annuaire des logiciels et des services qui respectent votre vie privée sur internet. Évalué à 1.
L'initiative collaborative https://privacytools.dreads-unlock.fr/ semble déjà couvrir ce besoin depuis un moment, du coup je me demande si ça ne fait pas doublon.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: A qui parle on ?
Posté par anubis . En réponse à la dépêche Messagerie instantanée : ce n’est pas une question d’applications. Évalué à 5.
Il est vrai que la cible du message est mal définie.
Je pense que c'est effectivement difficilement accessible pour un utilisateur isolé. Cependant pour qui a un minimum de débrouille c'est la bonne solution; par exemple quelqu'un qui se débrouille avec l'auto-hébergement comme Yunohost. Et ça tombe bien, Yunohost inclut par défaut un serveur XMPP qui fonctionne bien. L'auto-hébergement est une pratique encore marginale mais Yunohost a permis une véritable diffusion; par ailleurs il suffit d'un membre dans la famille / dans un groupe pour fournir des accès à quelques dizaines de personnes inexpérimentés, cela me semble une voie possible en complément de CHATONS et de serveurs plus "officiels" pour éviter les gros cluster.
Par ailleurs, sur pourquoi XMPP plutôt que Matrix : outre le réinventage de roue et la perfo dissuadant l'auto-hébergement, le seul client utilisable l'étant par une société lucrative vers qui fuitent des métadonnées à chaque lancement me parrait inacceptable pour qui souhaite protéger sa vie privée.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Un outil : pi-hole
Posté par anubis . En réponse à la dépêche Changeons ces logiciels open source qui nous espionnent. Évalué à 5.
Je n'ai pas critiqué la fonctionnalité, j'ai reconnu au contraire qu'elle était utile pour beaucoup. Je critique le fait que l'utilisateur n'est pas informé de la fuite de métadonnées engendrée.
I_dont_care_about_metadata_leaks=Trueà vérifier par chaque logiciel, qui bypasserait alors le dialogue.aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# Pourquoi faire ?
Posté par anubis . En réponse au message Bons usages de LineageOS ?. Évalué à 2.
Si tu nous dis pourquoi tu as choisi d'installer LineageOS peut être qu'on pourra mieux t'aiguiller.
Si c'est pour avoir un téléphone dégoogleisé il te reste un peu de boulot en ayant choisi LineageOS :
https://www.reddit.com/r/degoogle/comments/cldohl/how_to_degoogle_lineageos_in_2019/
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Un outil : pi-hole
Posté par anubis . En réponse à la dépêche Changeons ces logiciels open source qui nous espionnent. Évalué à 3.
Certes, c'est une fonctionnalité utile pour un nombre certain. Certes, ce n'est qu'une petite méta-donnée (quand est-ce que mon navigateur tourne).
Ça ne reste pas moins une fuite de méta-donnée, dont un certain gars a montré qu'elles étaient suffisantes pour porter atteinte à la vie privée, affectant l'ensemble des utilisateurs. Si ni le RGPD (pas de donnée personnelle prise séparément) ni aucune licence libre (comme très justement rappelé plus haut) ne peut obliger le fournisseur du logiciel respecter l'information et le recueil du consentement préalable à la fuite, il me semble que c'est une exigence supplémentaire que nous, pour qui la notion de vie privé à un sens, devons désormais exiger de nos logiciels, libres ou non.
Ce n'est pas qu'un doux rêve : VLC le fait depuis plusieurs années.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# Un outil : pi-hole
Posté par anubis . En réponse à la dépêche Changeons ces logiciels open source qui nous espionnent. Évalué à 5. Dernière modification le 15 janvier 2021 à 21:46.
Merci pour cette dépêche.
C'est parfois difficile de savoir si les logiciels qu'on utilise ont des fuites (que ce soit des données personnelles au sens du RGPD ou de « simples » méta-données) : si par définition les sources de nos logiciels opensources/libres sont accessibles, qui osera dire qu'il a vérifié l'intégralité des sources des logiciels installés sur sa machine ? :D
J'ai découvert récemment un outil très pratique : Pi-hole, à installer quelque part sur votre réseau, cela permet d'intercepter les requêtes DNS et donc de faciliter l'identification de communications non-désirées lorsque vous utilisez un logiciel donné.
Par la suite vous pouvez bloquer les noms de domaines « indésirables ». Le tout via une jolie interface web. Bien sûr ce n'est pas parfait : parfois c'est difficile de retrouver quel logiciel fait la requête DNS; parfois un logiciel peut légitimement avoir à se connecter à un ndd alors qu'un autre non… mais ça aide à dégrossir.
Quelques belles prises dans mon filet lors du dernier mois :
- Firefox : detectportal.firefox.com : >32k requêtes bloquées
- Thunderbird : incoming-telemetry.thunderbird.net : >5k requêtes bloquées
- Redshift-gtk : faisait régulièrement appel à un service de géolocalisation à mon insu (mais modifiable par fichier de conf)
- Element (client matrix) : se connecte aux serveurs vector.im et matrix.org même sans utiliser de compte matrix.org.
…
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Android SDK
Posté par anubis . En réponse à la dépêche Changeons ces logiciels open source qui nous espionnent. Évalué à 4.
eOS propose une version dégoogleisée d'Android (en dégoogleisant LineageOS); on peut suivre notamment l'avancement ici.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# WLAN associatifs
Posté par anubis . En réponse au lien Le FreeWifi c'est (bientôt) fini :(. Évalué à 3.
L'occasion de (re)lancer des réseaux wifi communautaires/associatifs ?
J'admire l'Allemagne qui a de tels réseaux dans plus de 400 villes sous une initiative unique : https://freifunk.net/wie-mache-ich-mit/community-finden/ !
En France je ne connais que très peu de villes, ce que semble confirmer Wikipedia : https://fr.wikipedia.org/wiki/R%C3%A9seaux_sans_fil_communautaires#R%C3%A9seaux_communautaires_en_France
Et dans le reste de la francophonie ?
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# App Yunohost
Posté par anubis . En réponse à la dépêche Galène, un serveur de vidéoconférence libre. Évalué à 4.
Une app a été créée pour Yunohost pour ceux qui ne veulent pas mettre les mains dans le cambouis ! C'est tout frais donc peut-être que tout ne marche pas encore parfaitement du premier coup.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Modération
Posté par anubis . En réponse à la dépêche Systèmes d’exploitation pour téléphones — partie 3 : Android 🤖💚 . Évalué à 2.
Autant pour moi pour les liens, ceux-là sont bons, c'était mon DNS qui n'était pas bon.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# maj /e/OS
Posté par anubis . En réponse à la dépêche Systèmes d’exploitation pour téléphones — partie 3 : Android 🤖💚 . Évalué à 1.
Je me permets de mettre quelques compléments concernant /e/ OS que j'avais préparé dans une autre dépêche en cours de rédaction, qu'il était convenu de déplacé ici et j'ai raté le passage en modération !
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# Modération
Posté par anubis . En réponse à la dépêche Systèmes d’exploitation pour téléphones — partie 3 : Android 🤖💚 . Évalué à 1.
Ça me semble nécessaire de mettre un avertissement que globalement cette dépêche date de 2018 et donc les info sont partiellement périmées (versions, fonctionnalités, liens…).
Liens morts : https://androidvulnerabilities.org , https://www.genymotion.com/desktop/ …
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Network-manager ou blacklist module
Posté par anubis . En réponse au message Kubuntu 20 - Adaptateur WIFI TP-Link AC600 Archer T2U Nano. Évalué à 1.
Avec un clic gauche tu as la liste des réseaux vu par chaque carte réseau
. Tu peux vérifier que tu vois actuellement bien 2 sections "Réseau sans-fil".
Comme indiqué ici, tu peux ensuite relever l'adresse MAC de tes 2 interfaces, puis modifier la connexion à ton wifi (clic droit > éditer la conf de ton réseau pour l'associer à l'adresse MAC de ta nouvelle carte wifi).
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# Network-manager ou blacklist module
Posté par anubis . En réponse au message Kubuntu 20 - Adaptateur WIFI TP-Link AC600 Archer T2U Nano. Évalué à 2.
2 options :
- cela doit être réglable via Network-manager (clic ou clic droit sur l'icone réseau dans la barre des tâches)
- bannir le module noyau permettant de gérer ton ancienne carte via
/etc/modprobe.d/blacklist.conf; j'ai l'impression que ton ancien wifi est géré via iwlwifi.aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Intérêt ? Réappropriation des données !
Posté par anubis . En réponse au journal S'occuper pendant les vacances ! YunoHost et AutoHébergement. Évalué à 4.
Yunohost est un super projet que je recommande pour les petits et les grands :
- Pour les novices, facilite la prise en main pour tester l'auto-hébergement, et découvrir plein de services libres sans avoir à mettre les mains dans le cambouis.
- Pour les plus expérimentés aussi, à moins d'avoir des besoins très spécifiques, cela permet de gagner beaucoup de temps dans la mise en place et l'administration d'un serveur; et d'éviter d'oublier par exemple la mise en place de sécurités comme fail2ban, configuré et activé avec l'installation de base de Yunohost.
Il y a énormément d'apps, la stabilité globale est bonne voire très bonne, et la communauté est super.
Le principal bémol de mon point de vue est le manque d'un indicateur de respect de la vie privée (voire un indicateur sécurité) des app proposées. En effet, la plupart des apps récupèrent et installent brutalement du code externe, sans vérification systématique par un tiers de ce que fait réellement le code (fuites de (méta-)données). Ainsi un administrateur peu averti ou pressé peut prendre des risques (pour lui-même voire des personnes qu'il héberge) sans en avoir conscience.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# Qui gère la base de donnée ? Open-source ?
Posté par anubis . En réponse au lien Un nouvel indice de réparabilité en 2021, pour mieux acheter - france inter. Évalué à 1.
Pour information voici les critères et pondérations prévues :
Par contre je crois comprendre que le constructeur du produit s'auto-évalue et le consommateur n'a accès qu'à la note finale ?
Y aura-t-il une base de donnée open-source permettant de contrôler ces notes ? À défaut un équivalent d'OpenFoodFacts pourrait être le bienvenu.
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# Lien fr
Posté par anubis . En réponse au lien Bon anniversaire WWW ! (le web a 30 ans). Évalué à 2.
Comme on est sur LinuxFR : https://home.cern/fr/science/computing/birth-web
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
[^] # Re: Annoncé sur leur blog
Posté par anubis . En réponse au lien Le site web de Debian a changé !. Évalué à 3.
Comme quelqu'un s'est donné la peine de le rédiger en français et qu'on est sur LinuxFR : https://bits.debian.org/2020/12/debian-web-new-homepage-fr.html
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join
# Dons et vie privée
Posté par anubis . En réponse à la dépêche Dons aux associations, épisode 9. Évalué à 3.
Je trouve qu'il manque un moyen de pouvoir donner à des projets libres de manière anonyme, les dons en espèces étant particulièrement difficiles en ce moment.
Car qui a une vision complète sur nos dons, notre banque ou Paypal ou Stripe, a une bonne vision de nous. Et même Liberapay qui a beau être libre, n'y change rien.
Un jour viendra peut être Taler mais il lui faudra encore beaucoup de dons pour devenir opérationnel :-)
Où connaissez-vous d'autres moyens ?
aussi sur le salon xmpp:linuxfr@chat.jabberfr.org?join