Astaoth a écrit 922 commentaires

Ca dépend aussi du logiciel utilisé, la config peut être plus ou moins alambiquée.

Ah ca, c'est bien vrai, surtout si on ne veut pas se contenter de reprendre bêtement un fichier de conf un peu adapté, mais tout comprendre et faire la conf entièrement à sa sauce.

Et puis tu découvres des trucs chelous, genre les mails envoyés en "Content-transfer-encoding : 8bit" ne peuvent pas avoir une signature DKIM. Pourquoi donc ? j'en sais rien, mais c'est la RFC qui le dit, et les serveurs de destination appliquent ça bêtement et invalide la signature. La RFC dit en gros que ton serveur doit convertir le mail en "7bit" ou "quoted printable" par exemple, avant signature. Sauf que si le mail est préalablement signé avec PGP et qu'on convertit le mail, on casse la signature PGP. Du coup, si on ne convertit pas, la signature PGP est bonne mais la signature DKIM sera vue comme fausse, et si on convertit la signature PGP sera fausse.

Tu attises ma curiosité, dans quels cas tu envoies des courriels en "Content-transfer-encoding : 8bit" ? Est-ce un paramétrage par défaut des principaux serveurs ou client courriel ?

Emacs le fait depuis 30 ans.

Honnêtement, à une étape près, ce n'est pas compliqué de s'auto-héberger pour les mails. Pour reprendre ta liste :
- IP fixe : prendre un bon FAI ou louer un kimsufi à pas cher
- Reverse DNS : bah en prenant son domaine chez un bon registrar, y a pas de problème
- les certificats : bah y a lets encrypt maintenant
- DKIM : ca c'est la partie pénible à faire, surtout que certains fournisseurs mails peuvent être un peu particulier. Je crois avoir entendu parler de certains d'entre eux parmi les gros que, si on met en place le DKIM, faut mettre une policy strict dessus si on veut que nos mails soient acceptés.
- SPF et DMARC : c'est l'affaire de 5 minutes en étant large.

Y a au moins une autre étape à faire en plus : vérifier les listes noires pour demander à s'en faire retirer. Si les courriels sont toujours refusés après tout ca, c'est potentiellement une question de réputation de l'IP, va falloir la laisser quelques temps en jachère ou essayer d'en avoir une autre. Si c'est Microsoft qui les refuse, ils ont leur propre blacklist, et c'est un peu pénible d'en sortir mais ca se fait.

Pour le spam, bah c'est comme pour les adresses normales en fait. Suffit de pas mettre son adresse courriel n'importe où, y a yopmail pour ca. Pour l'anecdote, mon adresse "à spam" qui me sert à m'inscrire sur les trucs de e-commerces, ne reçoit finalement que les newsletters de ces sites. Le mois dernier a été la première fois en 5 ans que j'ai reçu du spam pour du viagra dessus, à cause d'un leak.
Mais dans ces cas, le filtrage peut être très simple et rapide. Il suffit d'utiliser les tags dans les adresses (vous savez le login+tag@domain.tld) en remplacant le '+' par un point ou un '-' pour que ca soit incognito, et de gérer ca à coup de filtres sieve.

Emacs le fait depuis 30 ans.

Je suis aussi atteint par un écosystème qui a changé : qui héberge encore son email personnel sur un postfix / sendmail / exim ? Peine perdue, ça va être bourré de spam et vous allez être blacklisté par de nombreux fournisseurs. De manière générale, l'auto-hébergement est malheureusement devenu d'une complexité imbitable pour le commun des mortels.

Ah bon, y a du spam quand on s'auto-héberge maintenant ? Le seul que j'ai reçu était dû à une des dernières leaks de mails (merci kubii de pas avoir prévenu ! sympa aussi les mdp en MD5, ça fait plaisir de voir que vous vous tenez au courant depuis 2004).
Pour les blacklists, les seules qui sont un peu pénible sont celles de Microsoft, principalement parce qu'ils ne préviennent pas quand on ne passe pas leur antispam, et parce qu'il n'est pas franchement évident d'en sortir. Mais avec un peu de patience ca passe.

Emacs le fait depuis 30 ans.

Bref, préférez installer cette jolie application sur votre propre serveur ;-)

Sur le même serveur physique que ton serveur mail ou en monter un autre dédié à ca ?

Pour de l'auto-hébergement, c'est pas 5-10Go de stockage de boites mails de plus ou de moins qui va changer grand chose, surtout quand le kimsufi premier prix propose 500Go.

Emacs le fait depuis 30 ans.

Super, ca donne envie de l'essayer !

Par ailleurs, j'ai vu qu'une webui est déployable, mais seul un screenshot de présentation est disponible dans la doc. Est-ce qu'il serait possible d'avoir plus d'informations sur les possibilités de cette UI, voir une démo ? Tout est dans la doc avec le nom de la techno utilisée.

Justement, je posais la question parce qu'en cherchant dans la doc, je n'y a qu'un seul screenshot et que des instructions d'installation et de démarrage/arrêt.

Emacs le fait depuis 30 ans.

Car sans NAT et IP publique limitées, ça laisse des plages d'attaques très large pour qui veut exploiter les milliards d'IPs du /64 de son subnet direct. Un peu comme le fait de pourrir le NDP des switches en local. Il me semble que ça pourrait servir à deux choses :
- Changer d'IP source à chaque tentative pour ne jamais déclencher la protection
- Saturer la blacklist centralisée avec des milliards de milliards d'IPv6

Est-ce que les serveurs AWS, OVH ou autres qui proposent de l'IPV6 attribuent une adresse unique ou un /64 complet au serveur ?

Emacs le fait depuis 30 ans.

Le principe est intéressant, cependant lève en moins plusieurs questions :

Tout d'abord : est-ce qu'un support de FreeBSD est prévu ? Outre le déploiement possible sur les prods FreeBSD, ca permettrait également d'intégrer CrowdSec directement dans les firewall Opn/Pf/Sense.

Si je comprends bien le fonctionnement, ce sont les bouncers qui réagissent en bloquant les nouvelles adresses ajoutées à la DB centrale de Crowdsec :
- est-ce que cette DB peut être sur un hôte distant, même en sqlite ?
- si une adresse est supprimée de la DB, est-ce que le bouncer dé-bloque la dite adresse IP ? Je pense en particulier à celui-ci : https://hub.crowdsec.net/author/crowdsecurity/bouncers/cs-netfilter-blocker
- est-ce qu'un mécanisme de deban automatique est prévu ?
- (question bonus) si on entre manuellement une adresse directement en base de données (avec le bon format de données évidement), et donc sans passer par cscli, est-ce qu'elle sera traitée de la même façon que celles ajoutées par crowdsec ?

Par ailleurs, j'ai vu qu'une webui est déployable, mais seul un screenshot de présetantion est disponible dans la doc. Est-ce qu'il serait possible d'avoir plus d'informations sur les possibilités de cette UI, voir une démo ?

Emacs le fait depuis 30 ans.

Mais du coup, ce qui est dommage, c'est que dans ce cas, on est obligé d'utiliser BTRFS, ce n'est pas FS agnostique.

Emacs le fait depuis 30 ans.

Je plussoie pour borg. Avec borgmatic, ca prend moins de 5 min à configurer, créer le dépôt de sauvegarde, tester et automatiser.

Emacs le fait depuis 30 ans.

Mais bon, j'ai clairement l'impression d'être une exception, une sorte de vieux dinosaure barbu, tendance geek…

T'inquiète, y a toujours les utilisateurs de SailfishOS pour te donner l'impression d'être mainstream. Nous on a pas même pas le droit d'avoir une version de TousAntiCovid à installer. En même temps, on doit être encore moins nombreux que les personnes n'ayant pas du tout de téléphone portable, même stupide.

Emacs le fait depuis 30 ans.

Il y beaucoup d'autres alternatives qui pourraient être citées, mais je trouve dommage de ne pas mentionner Retroshare. Il est certes moins sexy que des applis web ou mobile avec ses clients uniquement desktop, mais il a la particularité de ne pas dépendre d'un serveur central pour son fonctionnement.

Pour ceux qui ne le connaitrait pas, Retroshare est un logiciel de P2P F2F (en gros de partage entre amis) qui permet de partager des fichiers, d'échanger des messages instantanés ou équivalent à des courriels, privés ou public, et d'héberger des forums distribués, le tout en protégeant sa vie privée.

Emacs le fait depuis 30 ans.

Qui sache, peut-être pas, mais qui savent, surement plus. Ca dépend des écoles et des profs, si il y en a encore pour enseigner les systèmes legacy ou si ils sont tous orientés vers des techos actuelles.

Emacs le fait depuis 30 ans.

J'ai plussé le journal pour l'originalité de l'introduction.

Emacs le fait depuis 30 ans.

Le coup de "on ne voit pas avec le centre de l’œil" il y a une expérience assez déroutante à faire. J'ai pas trouvé de vidéo la montrant, je vais tenter de l'expliquer.

Tu prends une feuille sur laquelle tu fais un trait horizontal continu au milieu, de part en part. Au milieu de ce trait tu dessines une étoile (un gribouilli marche aussi, c'est pas important). Tu caches ton œil droit par exemple et regarde la feuille avec l’œil gauche. En tenant la feuille à bout de bras, tu fixes bien la ligne et tu vois la marque au milieu. Mais en avançant et en reculant, il y aura un moment où tu verras la ligne parfaitement continue, mais sans le gribouilli au milieu. Ton cerveau reconstruit la zone manquante (on n'a évidemment pas une zone noire au centre) et il fait une sorte d'interpolation. Aussi génial que terrifiant en fait.

C'est pas tout à fait ca. C'est plutôt la zone de vision qui se reflète dans la rétine au niveau du nerf optique qui n'est pas visible. L’endroit du nerf optique varie d'un individu à l'autre. Généralement il n'est pas au milieu de la vision mais de quelques degrés sur les côtés extérieurs.
On m'en avait fait la démo à mon auto-école, intéressant quand on ne connait pas.

Emacs le fait depuis 30 ans.

La "machine" est un ensemble d'enregistrements faits par la même personne au sein de la SNCF. C'est toujours plus humain qu'une synthèse avec pico-TTS, qu'on retrouve souvent sur les boites vocales.

Emacs le fait depuis 30 ans.

Par contre pour l'IPv6 on a qu'un minable /61 chez eux. 8 réseaux c'est un peu limite, ca oblige à faire du NAT. Certes, on peut se payer le luxe d'en faire du 1:1, mais c'est un peu dommage de devoir en faire sur une techno faite pour ne plus avoir à en faire.

Emacs le fait depuis 30 ans.

Tu veux un truc comme Syncthing quoi.

Emacs le fait depuis 30 ans.

Perso j'attends de mon fournisseur de mail qu'il trashe complètement dans une trou noir les spams, sans qu'il ne m'avertisse (et je me fous un peu qu'il avertisse le spammeur, ou plutôt je comprend : vaut mieux ne pas aider le spammer en lui disant que sont test ne marche pas).

Parce que le spammeur ne peut pas créer une boîte sur outlook pour vérifier si ses mails passent de base ? Et franchement, vu tout les spams que je recois sur mes boites hotmails, leur méthodologie a pas l'air tellement plus efficace que chez les autres fournisseurs qui respectent les RFC.

Emacs le fait depuis 30 ans.

Perso moi c'est l'inverse, je peste dès que je croise un logiciel qui utilise un langage de programmation comme syntaxe de configuration (Ejabberd, Prosody par exemple)
Ceux en charge du déploiement ne sont pas ceux en charge du développement. Ils n'ont pas besoin de connaître les syntaxes (qui parfois paraissent complètement absurdes) des langages utilisés. Et la lisibilité d'une fichier de config est hyper importante aussi.

Une opinion qui peut se défendre.

Bref, je suis partisan du YAML pour la conf (qui est à la fois lisible par un humain, et facilement parsable pour une machine)

Tu veux dire le langage de fichier de conf qui te chie dans les bottes dès que tu loupes un espace comme en python ? Je préfère largement des fichiers de confs qui utilisent une syntaxe de langage de programmation avec des exemples en commentaire, et qui n'ont pas d'erreurs de syntaxe provoqués par du vide.

Emacs le fait depuis 30 ans.

Les isochrones et isodistances de géoportail ne sont pas à vol d'oiseaux mais en calculant la distance réelle des trajets, non ?

Emacs le fait depuis 30 ans.

Je comprends pour la main droite, mais pas pour la main gauche: la colonne est alors… perpendiculaire au balancier du doigt !

Hum, c'est une question de position du clavier, de la souris, et du clavier utilisé.

J'ai eu pendant longtemps un Logitech G11, avec son cluster de touches à gauche qui décale le clavier. Et vu sa taille, je mettais pas tout le temps la souris à côté, ca dépend des bureaux utilisés. Mais globalement, j'ai tendance à centrer le clavier devant moi, comme avec un laptop, pour garder une position droite. Avec un clavier qui est plus sur un côté, je vais naturellement me tourner vers lui, et donc être tordu devant mon écran.

Pour la souris, comme j'utilise souvent des modèles configurés à 2000 dpi, j'ai pas besoin de bouger beaucoup ma main pour traverser mon dual-screen, donc pas de problème de place de ce point de vu là. Et quand j'utilise un trackball (soit très souvent maintenant que mon poignet faiblit), j'ai tendance à le mettre devant le clavier, entre les deux bras, pour limiter les mouvements pour passer du clavier au trackball.

Emacs le fait depuis 30 ans.

Pourquoi on continue à s'évertuer à décaler les rangées de touches à chaque ligne du clavier ?

J'ai tenté d'utiliser un ergodox (jusqu'à ce qu'un composant crame en fait, j'ai plus qu'un demi clavier maintenant) et je me suis aperçu que je tournais tout le temps les deux pads pour avoir à nouveau les touches "décalées", ou plutôt alignées par rapport à mes doigts.

C'est bête mais sur un clavier standard avec les touches décalées, comme mes bras sont de travers pour pouvoir taper dessus, les touches décalées en fait alignées pour mes doigts. Quand je pose mes mains dessus, mes doigts sont piles alignées sur les rangées de touches en diagonale, ce qui ne serait pas le cas avec un clavier orthogonale.

Emacs le fait depuis 30 ans.

"second degré" bonne excuse… Pas de chance, il y en a qui le pensent vraiment (voir par exemple cet endroit où une personne indique que bon les sympathisants de LinuxFr ont fait un DDOS…)

Bah écoute, j'y peux rien si t'as oublié d'activer ton trollomètre, pourtant c'est pas faute de connaître LinuxFR de ta part ;).

voila. Tout est dit dans la non légitimité que tu trouves légitime, en minimisant.

Jugement et absence d'argument, juste du vent réthorique ; est-ce nécessaire pour une discussion apaisée ?

Je sais bien que pas mal de monde adore fantasmer sur l'idée que le droit de grève est un droit de rendre un site physique indisponible.
Je me suis renseigné, ce n'est pas le cas.
Je t'invite à te renseigner…

Humm, une manif rend indisponible divers lieux public, plus particulièrement par l'occupation de la chaussée (les CRS aussi d'ailleurs). Je me tenterais pas à faire mes courses tranquillement au milieu d'un cortège de manif, surtout que les magasins seront très probablement fermés.
Un DDOS ne bloque pas l'accès au site web techniquement, juste occupe la chaussée virtuelle menant à une (ou plusieurs si spécifié dans les paramètres du DDOS) adresse(s) ip. Comme pour une manif légale, cette occupation peut être partielle, ce qui n'empêche donc pas l'accès au site via les ip visées, ou totale, ce qui n'empêche pas d'accéder au site via des ip qui ne sont pas visées.

une manif, c'est pareil, tu peux mettre tes pancartes devant l'entré d'un bâtiment mais tu n'as aucun droit et aucune légitimité d’empêcher une personne d'entrée (résultat d'un DDOS).

Donc en gros, on est bien d'accord que tu viens bien de dire qu'un DDOS qui ne fait que ralentir l'accès à un site mais qui ne le bloque pas, est légal ?

Bref, ce n'est pas parce que toi tu penses à une quelconque légitimité sous couvert de second degré avec tes amis que ça a la moindre légitimité (on contraire).

Tu supposes encore une fois des choses sur moi que tu n'as que très peu de chance de connaître réellement, tout en en faisant une affirmation. Est-ce nécessaire pour rester apaisé ?

Je sais bien que j'aurai du mal à convaincre certains de faits, donc passons… Je suis heureux de vivre en démocratie même imparfaite car tant de monde aimerait imposer ses idées contre les gens pas d'accord…

Peut-être qu'une bonne façon de procéder serait de ne pas supposer ce qu'on ignore sur les gens, et pour faire des affirmations sérieuses, de rester sur du factuel et non du jugement ?

Emacs le fait depuis 30 ans.

Chez IBM en interne, lorsqu'on a besoin d'utiliser Linux au lieu du Windows fourni, c'est Fedora qui est recommandé, et on va dire "semi-supporté". Et ca date de bien avant le rachat de Red Hat.

Emacs le fait depuis 30 ans.

et si on essayait de voter pour des gens qui au moins promettent de permettre au peuple de les virer en cas de mensonges, de manipulations évidentes?

Au vu du moinsage du poste précédent, visiblement je me fourvoie. Comme je n'ai pas un avis très éclairé sur les personnalités politiques, y en a-t-elles qui répondent à ce critère ?

Emacs le fait depuis 30 ans.