Stéphane Bortzmeyer a écrit 682 commentaires

me demandais d'ailleurs si unbound avait hard-codé la liste des serveurs de .org, .net et autres, en oubliant les serveurs racines).

Non (et ce serait une drôle d'idée, ce ne sont pas ces TLD qui sont menacés par une éventuelle redélégation hostile).

Plus clairement, dans la config de la carte réseau, on peut indiquer plusieurs serveurs DNS.

Résolveurs (il faut éviter de dire « serveur DNS » tout court, les résolveurs et les serveurs faisant autorité sont deux bêtes très différentes).

Est-ce que ça marcherait d'indiquer l'adresse du Pi-Hole en premier puis celui du fournisseur d'accès en second au cas où le premier est hors-service ?

Non. Le timeout de la glibc est beaucoup trop long. Il faudrait plutôt un relais local, avec répartition des requêtes (par exemple dnsdist) qui est justement conçu pour cela.

La Freebox, oui mais, à ma connaissance, la Livebox d'Orange et sans doute d'autres ne permettent pas de changer de résolveur (« c'est pour la sécuritay ! »).

C'est même pas écrit en Rust, ce truc.

LATIN SMALL LIGATURE LONG S WITH DESCENDER S (U+1DF95) ? Je ne comprends pas le drama.

Et il faut toujours rappeler un principe de base d'Unicode : la priorité n'est pas de faciliter la vie des programmeurs mais de respecter les écritures existantes, même si les informaticiens auraient tout voulu réformer.

Non, pas supprimé (cf. mon article).

Comme l'explique mon article, ce sont les serveurs faisant autorité pour autistici.org qui ne donnent plus la réponse, changer de résolveur ne change donc rien.

« Le NDD c'est un détail, ça se change. »

Ben voyons. Il faut juste faire corriger tous les liens hypertexte qui sont partout sur le Web et dans les articles, tous les signets dans tous les navigateurs qui l'ont enregistré, tous les carnets d'adresses pour le courrier…

Je suis étonné qu'il n'y ait encore aucune faille nommée Hantavirus.

Sauf que des gens ont supprimé le contournement (le dirtyfrag.conf) une fois le noyau mis à jour (par exemple les gens qui avaient besoin d'IPsec).

Notez que le POC ne marche ni avec Debian, ni avec Kali. https://www.bortzmeyer.org/fragnesia.html

Et rappelons-le un million de fois : CopyFrag et DirtyFail ne nécessitent PAS de shell pour être exploités.

Attention, accès local ne veut pas dire un compte avec un shell et un mot de passe et qu'on se connecte en SSH. Ça peut vouloir dire aussi un démon non privilégié mais bogué (comme Apache cette semaine ou comme certainement beaucoup de scripts PHP).

Attention, c'est faux. Même si les modules ne sont pas chargés, la machine est vulnérable. (Ils sont chargés par le programme d'exploitation.)

https://dirtyflag.io/

Si on veut des explications techniques détaillées : https://thecybersecguru.com/news/dirty-frag-linux-kernel-root-vulnerability/

Les noyaux mis à jour viennent d'arriver dans Debian.

Encore mieux, appliquer le contournement documenté par les découvreurs de la faille, 'echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf'

https://wiki.debian.org/fr/KernelModuleBlacklisting explique bien pourquoi blacklist ne marche pas.

L'une des meilleures est la contribution commune CZ-NIC/ISC/NLnetLabs (et un quatrième que je ne connais pas) : https://www.isc.org/blogs/open-digital-ecosystem-response/

Je suis complètement opposé à l'idée de faire un curl https://xxx | bash

Lu sur le fédivers : If we added a --install option to curl, we could optimize many a | sh - pipeline away.

Mais les très nombreuses contributions sont publiques : https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/16213-European-Open-Digital-Ecosystems/feedback_en?p_id=21875

Hop, et voici, c'est publié (comme les autres contributions) : https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/16213-European-Open-Digital-Ecosystems/F33370689_en

Oui, le texte de la Commission reste fidèle au marché. Quand il dit « la viabilité commerciale des innovations libres », il affirme bien qu'il n'y aura pas de préférence politique pour le logiciel libre, qu'il faudra que PeerTube boxe dans la même catégorie que GoogleTube :-(

Forces, faiblesses et obstacles : « Quelles sont les forces et les faiblesses du secteur open source de l’UE ? Quels sont les principaux obstacles qui entravent (i) l’adoption et la maintenance d’un open source de haute qualité et sécurisé ; et (ii) les contributions durables aux communautés open source ? »

Ce n'est pas tout à fait ce qui est demandé. Le texte parle bien de logiciel libre. Je copie-colle ici : « Quelles sont les forces et les faiblesses du secteur des solutions libres de l’UE? Quels sont les principaux
obstacles qui entravent i) l’adoption et la maintenance de solutions libres de qualité et sécurisées et (ii) les contributions durables aux communautés des solutions libres? »

Je suis en train de rédiger la proposition de réponse de mon employeur. C'est toujours un plaisir de lire les textes européens. Bon, je trolle, mais cette consultation est importante et j'invite tout le monde à participer.

Quel rapport, puisqu'aucun de ces deux sites ne vend quelque chose ?

Autre « red flag », le nom de domaine openalis.fr (utilisé pour leur courrier électronique) est enregistré par une personne physique (et pas une entreprise) et donc masqué. Ça ne fait pas très sérieux.