cg a écrit 1924 commentaires

Ça a l'air très très sympa comme truc. Je n'avais pas imaginé qu'on puisse faire un MCU RISC-V avec aussi peu d'entrées-sorties. Les exemples sont en C, donc il doit bien y avoir un compilateur dispo pour ce processeur, c'est cool.

Par contre entre l'alim (bon, un truc USB 5V de récup ça va), la petite carte de programmation (réutilisable pour d'autres choses), et les frais de ports, ça peut vite faire autour de 30-40 euros au lieu de 1€, bon. C'est un peu le même problème que pour la Raspberry Pi finalement. On te vend un truc pas cher¹ et petit, mais faut tout un bordel autour pour en faire quelque chose.

Sur mon clavier, elle est au centre (c'est un Typematrix), mais c'est pas pareil, parce que c'est différent (et parce que c'est vendredi, aussi).

Désolé, j'ai pas pu regarder jusqu'au bout. C'est insoutenable de voir quelqu'un appuyer sur la touche Enter avec la main gauche.

Ça me rappelle qu'à une époque OpenSSL avait une option FascistLogging. Il paraît que des anciens cadres de la Stasi se sentaient exclus, du coup l'option a été renommée.

L'histoire de la terminologie master/slave/blacklist/whitelist versus main/primary/secondary/blocklist/allowlist est un vrai marronnier, avec plus ou moins de valeur historique et d'émotion.

Le fait est qu'il y a souvent un meilleur mot que "esclave" pour désigner un rôle d'interface agrégée. Par contre bond j'aimerais bien que ça reste encore un peu :-# s'il vous plaît.

Bizarrement, il n'y a pas gitk, qui est pourtant incontestablement le mieux meilleur (et donc celui que j'utilise :p).

C'est sans doute le moment de s'intéresser aux Quines, ces programmes qui affichent leur code.

Exemple extrème de quine polyglotte : quine-relay :).

Pour le CPF, le courrier a été nécessaire, mais a suffi

Félicitations ! C'est en effet pour pouvoir faire une formation financée par le CPF que j'ai créé cette identité numérique. J'étais un peu pris par le temps, je suis rentré dans le système…

Je reste content, après environ 8 mois avec un smartphone, de n'avoir pas bougés mes usages, en continuant de faire quasiment tout avec mon PC. J'ai tout juste mes nouveaux mails (mais pas les anciens) sur le téléphone, et comme évoqué, Bitwarden qui me dépanne de temps en temps.

De mon expérience, pour ce que ça vaut :

j'ai une Yubikey qui règle quasi tous les cas avec Webauthn ou les passkeys. Et pour les quelques cas où ça ne va pas car il faut un TOTP, Bitwarden complète (en plugin de navigateur). J'ai géré comme ça pendant des années.

MAIS depuis 6-8 mois j'ai remplacé mon Nokia 130 par un smartphone d'occasion, à cause de France Connect+ qui dépende l'Identité Numérique :(. C'est un tout petit plus pratique pour la doublotentitification mais pas tellement, en vrai.

Non passer par les dépôts de ta distribution

Oui, tout à fait, c'est ce que je voulais dire. Merci de la précision.

Oui, sur les environnements de bureau comme Gnome ou KDE, ça va être une dépendance optionnelle.

Un truc que j'aime bien faire est de demander à apt de ne pas installer de telles dépendances, avec APT::Install-Recommends "false"; dans la configuration d'apt. Ainsi, on a un système qui fonctionne, mais pas avec tout le confort, et on peut ajouter les options au fur et à mesure. Je trouve que c'est une meilleure approche que d'installer plus, puis de supprimer.

Sur une Debian, ça reviendrait à :
- ne pas installer la couche graphique pendant l'install
- configurer apt pour ne pas installer les dépendances optionnelles
- installer la "task" ou le méta-paquet qui correspond à ce que tu veux.

Avec un fichier pre-seed on peut aussi faire :

d-i base-installer/install-recommends boolean false

Sur un serveur c'est génial, l'install devient assez petite :)

Je vois bien :). Je crois que s'il y un problème du type "une seule personne sait s'occuper de ce composant", et bien sans doute est-ce un indicateur qu'il faut améliorer la documentation interne et vos procédures.

Sauf que ça rend un peu lourdingue le travail quand on est une petite boîte. Ce genre de discipline n'est pas forcément compatible avec toutes les organisations. Si ce n'est pas souhaité, en échange, il faudra alors apprendre à attendre le retour de l'être aimé^H^H de la ou du collègue qui a l'info :p.

Au niveau gestion des risques, ça me fait un peu penser au célèbre Facteur d'autobus.

Ce que tu décris sur le temps de travail et le temps flexible ressemble diablement à ce qui est mis en place chez 37signals (chez qui bosse DHH l'auteur initial de Ruby on Rails).

Cette entreprise passe à 4 jours de mai à octobre pour certaines équipes (pas le support ni la prod, en gros) puissent profiter plus des beaux jours.

À une époque, je travaillais 4 jours par semaine (du lundi au jeudi, payé 20% de moins qu'un temps plein), et je me sentais plus reposé et plus performant. Je pense (attention c'est très subjectif) que je travaillais mieux, et j'hésitais moins à "offrir" à l'employeur une demie-heure ou une heure le soir pour terminer un truc avant de quitter.

J'encourage Algoo a explorer cette voie là - avec maintient de la rémunération bien sûr :)

Pour ce cas précis, il y a une différence : le premier installeur de Rust télécharge un second script, en fonction de la machine cible, mais ne fait pas de contrôle du téléchargement.

Le seul élément de contrôle est que le téléchargement se fait en https, donc risque faible de modif en cours de transfert.

Comme tu le dis, un gestionnaire de paquet type apt vérifie les signatures des dépôts, des listes de paquets, et des téléchargements. C'est tellement robuste que les téléchargements des paquets peuvent se faire en http. C'est très différent d'un wrapper qui télécharge un second wrapper sans le vérifier, mine de rien.

Passer par son gestionnaire de paquets, c'est se garantir qu'un travail de contrôle a été fait, que ce que tu récupères est bien ce que tu crois, et que le logiciel s'intègre bien avec l'ensemble du système.

La question de la confiance reste entière, on est d'accord :).

C'est vachement bien comme outil, j'en ai rêvé par moments. Pouvoir attribuer des pouvoirs sur des opérations spécifiques et pas du tout ou rien (root/pas root), changer d'identité ou de groupe mais dans un contexte précis… C'est vraiment cool.

Faut que j'essaye ça !

Tu as Polkit aujourd'hui, qui permet de donner des droits différents selon les actions dans un logiciel (je crois que gparted s'en sert, par exemple), qui tu es, et comment tu t'es logé sur la machine. Je pense que c'est le successeur de consoleHelper.

L'autre approche, adoptée par Wireshark, est de séparer les actions privilégiées dans un binaire setgid, comme tu l'expliques.

D'ailleurs la doc de Polkit dit "si vous pouvez faire un setuid/setgid, allez-y c'est plus simple :).

Enfin, on peut citer les capabilities, qui permettent de donner accès à certaines actions sur certains binaires de manière très granulaires (genre autoriser rsync à changer la date d'un fichier qui ne t'appartient pas).

Y'a plein de métiers ou pouvoir imprimer est important, voire critique (au hasard, une imprimerie). Donc un serveur d'impression peut être considéré comme critique.

En tout cas l'imprimante du service proctologie du CHU du coin est plus critique pour moi que les load-balancers de Facebook.

MacOS je ne sais pas, mais je suis certain qu'il existe plein d'imprimantes réseau qui utilisent Cups en interne. Ce ne sera pas forcément les plus simples à exploiter, mais y'a pas forcément de mises à jours très longtemps sur ces bestioles.

Oui, c'est une blague de mauvais goût, j'admets. Mais elle contient un fond de vérité : si Tracim est libre avec un backend en licence MIT, Firefox aussi est libre avec sa licence MPL, donc confusion ? (je ne suis pas expert en licences, ne surtout pas hésiter à me contredire si j'écris des bêtises).

in fine, je crois comprendre que le problème de Mozilla (Corp ou Fondation) est surtout de diversifier ses sources de revenus, avec plus ou moins de bonheur, pour limiter sa dépendance au bon vouloir de Google.

(disclosure : je souhaite beaucoup de bien à Tracim et son éditeur)

C'est drôle dans mon firefox c'est décoché et grisé, je ne PEUX PAS cocher la case ^{.^}

Et Tracim :p

(c'est bon je sors)

Sait-on jamais, si ça peut aider. J'avais eu une blague dans ce goût pendant plusieurs mois : à chaque démarrage, la carte son (ou le driver) "mentait" sur sa sortie active, sur un laptop avec détection d'insertion de fiche jack. Il fallait que je sélectionne la sortie Speakers, puis Headphones pour que ça fonctionne sur la prise casque. Ça s'est réglé tout seul au bout d'un moment…

Comment souhaites-tu gérer ces fichiers compressés ? Pour chaque consultation, il faudra les décompresser, ce qui n'est pas toujours pratique.

Les options par défaut sont un bon équilibre entre vitesse et taille. Tu peux tenter ta chance avec d'autres algo de compression, comme zstd, qui est parallélisé et saura profiter de la présence de plusieurs CPUs.

Si tu souhaites compresser vraiment beaucoup de fichiers, tu peux aussi regarder du côté des systèmes de fichiers qui supportent la compression, comme btrfs ou ZFS. Ça se fait tout seul, c'est très pratique.

C'est une des raisons de l'abandon de Wordfreq :

Generative AI has polluted the data

I don't think anyone has reliable information about post-2021 language usage by humans.

The open Web (via OSCAR) was one of wordfreq's data sources. Now the Web at large is full of slop generated by large language models, written by no one to communicate nothing. Including this slop in the data skews the word frequencies.

À ce niveau, autant choisir une autre partie du corps en référence.

J'ai eu un moment un poste en CDI à +5000 par mois (en net, bien sûr), j'étais en gros directeur informatique, mais avec une équipe de un ou deux. Il y avait des trucs vraiment passionnants et hyper variés (du dev, de l'infra, du réseau, de la sécu, du support, déboucher les chiottes¹, du viiiiiiiieux code Perl²…).

Mais… pendant toutes les années où j'y étais, je n'ai jamais pu éteindre mon téléphone la nuit, le week-end, en vacances… J'emportais mon ordi avec moi en vacances, et en général j'avais bien un appel ou deux bien urgent (alarme ou problème technique), car l'équipe IT était toute petite et j'étais devenu un SPOF (par ma faute sans doute, d'ailleurs). Et petite équipe veut dire pas possible de mettre en place de vraies astreintes. C'était un peu usant et j'ai fini par partir.

Là j'ai un taf bien moins payé mais quand je suis pas au boulot, ben je suis pas au boulot. Je l'apprécie à sa juste valeur.

Contraignant, oui, ça existe. Inutilisable, ça n'existe pas (sinon c'est idiot de fournir un ordi alors qu'un carton à pizza ou une brique suffirait).

Beaucoup d'attaques réussies passent par la compromission du poste de travail. Partant de là, on ne peut pas renvoyer la balle aux "responsables de la sécu", et en faire les gardiens du temple. C'est réellement une responsabilité partagée¹. Les malwares sont très sophistiqués, et l'équilibre des forces est injuste : tu peux investir beaucoup de temps et d'argent pour sécuriser un truc, et au final, tu as toujours des malins (ou des mafias) qui te pètent ton truc pour 10% des investissements que tu as fait.

Mais oui, la "sécurité", qui est un truc abstrait tant que tout va bien, et qui fait mauvais ménage avec la liberté de mouvement qu'on souhaite avoir en tant qu'humain. C'est pour ça que c'est un équilibre entre praticité et sécurité.

Pour revenir sur cette notion :

l'infrastructure est censée être organisée de manière à ce que la compromission d'un poste […]

Il suffit de considérer que les postes de travail font partie de l'infrastructure. Ce n'est pas vrai partout, mais c'est suffisamment vrai pour que ce soit un problème.