cg a écrit 2049 commentaires

C'est donc la sixième fois que France Travail se fait piquer des données cette année.

En combinant les fuites, on trouve ces données :

adresse mail
adresse postale
numéro de téléphone

avis d’imposition
carte d’identité

RIB

civilité, prénom, nom
date de naissance

contrats de travail
attestation de formation
autorisation de travail
statut RSA

données d’authentification en clair
email du conseiller
identifiant CIR
identifiant France Travail
identifiant technique
status France Travail
catégorie d’inscription

numéro de sécurité sociale
attestation de Sécurité Sociale

…

Certaines informations laissent songeur. Pourquoi l'agence de l'emploi a-t-elle besoin de CONSERVER une copie de la CNI ou de l'avis d'imposition ?

J'ai une amie qui est prof dans un lycée à Aubervilliers, et l'établissement utilise des "pochettes à téléphone" qui sont sur chaque table, les élèves mettent leur téléphone dedans en début de cours, et voila. C'est simple et ça se passe bien. Entre les cours, ce n'est pas bridé par contre.

Pas vraiment : c'est seulement la partie du pilote qui permet de faire la glu entre le noyau et un affreux blob propriétaire qui contient le code important. Et en plus ce n'est que pour les cartes plutôt récentes.

L'intérêt est la possibilité d'activer SecureBoot tout en utilisant le driver NVidia proprio.

n'est pas encore terminé…

C'est donc en cours, un peu de patience :).

[…] et auraient satisfait 95% des utilisateurs

C'est déjà le cas : 95% des personnes ne sont pas des power-users, et s'en foutent royalement de faire du pixel-fucking sur leurs fenêtres.

(je bosse pour OVH¹, mon avis n'est probablement pas neutre)

Je trouve ça plutôt bien que OVH freine des quatre fers, et que ça monte en mayonnaise au niveau étatique.

Le droit international et les lois extraterritoriales, quels bourbiers !

Si je partage le stockage genre avec un ZFS over iSCSI sur le cluster, est-ce cela va être la même problématique (même si à mon sens il n'y a plus de problème de duplication puisque stockage partagé) qu'avec un stockage sur chaque hôtes ?

Oui, si tes stockages de VMs (et les templates le cas échéant) sont sur le SAN, migrer une VM revient à copier la RAM et l'état des vCPUs vers un autre hyperviseur (quelques secondes), et faire redémarrer une VM sur un autre pve est rapide.

Comme dit par d'autres, tu as un toujours un SPOF avec le SAN, mais après c'est fonction de la continuité que tu veux.

Ceph marche bien en hyperconvergé dans Proxmox si tu as du matériel et un réseau rapides. Ça coûte en général plus cher qu'un SAN aussi, car il y a plus de redondance.

Ça me rappelle que l'export de tout le Wiki sous forme de PDF avec sommaire est bien pratique ! Par exemple pour avoir une copie papier de tes procédures dans la salle machine, utile en cas de panne totale :).

J'ai un super souvenir de Redmine : spartiate, simple, rapide, frugal (l'inverse de Jira en fait :D).

Niveau administration pour Redmine, j'ai utilisé la méthode download du tgz et lancement des migrations pour passer d'une version à l'autre. À voir si c'est mieux.

Sinon, il y a les des forges dispos chez des CHATONS, qui contiennent des modules de gestion de projet : Recherche de forges logicielles
.

En effet, LUKS seul ne peut pas déverrouiller le disque sur la base d'un 'OK' de la part du jeton FIDO2. La bonne explication est dans le blog de Lennart Poettering : l'appareil FIDO2 doit être compatible avec une extension "hmac-secret", le jeton FIDO2 envoi une chaîne de caractère qui est le secret. C'est ce que j'utilise pour mon laptop perso.

Au boulot on utilise le mode "challenge-response", mais sans FIDO2, associé à un secret comme décrit dans la page Yubikey du Wiki ArchLinux. Ce secret est stocké dans le un des slots de la yubikey (il y en a 2).

Sur mon laptop perso ça ressemble à ça :

Keyslots:
  0: luks2 <-- slot pour le FIDO2
    Key:        512 bits
    Priority:   normal
    Cipher:     aes-xts-plain64
    Cipher key: 512 bits
    PBKDF:      pbkdf2
    Hash:       sha512
    Iterations: 1000
    Salt:       1a [...] ca 
                b8 [...] 2f 
    AF stripes: 4000
    AF hash:    sha512
    Area offset:32768 [bytes]
    Area length:258048 [bytes]
    Digest ID:  0
  4: luks2 <-- slot pour passphrase de récupération
    Key:        512 bits
    Priority:   normal
    Cipher:     aes-xts-plain64
    Cipher key: 512 bits
    PBKDF:      argon2id
    Time cost:  4
    Memory:     985496
    Threads:    4
    Salt:       53 [...] 96 
                03 [...] 15 
    AF stripes: 4000
    AF hash:    sha256
    Area offset:290816 [bytes]
    Area length:258048 [bytes]
    Digest ID:  0
Tokens:
  1: systemd-fido2
    fido2-credential:
                a3 [...] c0
                    [...]
                85 [...] 5b
    fido2-salt: 91 [...] 58
                d5 [...] 93
    fido2-rp:   io.systemd.cryptsetup
    fido2-clientPin-required:
                false
    fido2-up-required:
                true
    fido2-uv-required:
                false
    Keyslot:    0 <-- le slot 0 est associé à ce token FIDO2
Digests:
  0: pbkdf2 <-- je ne sais pas à quoi sert cette partie :)
    Hash:       sha256
    Iterations: 82539
    Salt:       c2 [...] 7b 
                53 [...] d3 
    Digest:     43 [...] de 
                be [...] d8 

L'impact des représailles des États-Unis sur la vie quotidienne.

Donc s'auto-censurer pour ne pas risquer de se faire fermer son compte Instagram, GMail ou que sais-je…

Voir ce lien : France : les comptes Facebook et Instagram d’une sage-femme supprimés après avoir évoqué l’IVG, c'est un bon exemple.

Tout le monde n'a pas l'énergie de quitter les GAFAMs et migrer son réseau avec soi :(.

Le cas typique étant le reset de mots de passe par un lien envoyé par mail qui arrive dans une boîte elle-même pwnée. Peu de personnes se rendent compte de comment le mail est super central dans la vie numérique.

La recommandation est souvent d'avoir deux clés physiques (ou deux méthodes de MFA distinctes), ou bien un mécanisme de récupération.

Par exemple, sur Bitwarden, en plus du mot de passe principal, j'ai deux Yubikeys, un TOTP (qui est dans une appli type Aegis Authenticator), et un code de récupération imprimé dans une enveloppe cachée chez moi. Oui c'est galère quand tu perds ou casse ta clé.

Au travail, on utilise principalement des Yubikeys et on a des procédures pour renouveler les accès en cas de perte.

Hello,
pour le mail, je dirais que ça dépend de qui gère le service.
Si tu as une VM et que tu gère tes services par toi-même, c'est différent de si c'est l'hébergeur qui s'occupe de l'infra, et toi tu payes à la BAL.

J'ai mon nom de domaine et mes mails chez Infomaniak, et quand je suis passé de Gandi à Infomaniak, ça a été simple : la BAL était prête chez Infomaniak, la migration DNS a fait le boulot. Mais j'ai une config simple : je ne laisse pas mes mails sur le serveur (je garde la copie sur mon PC, et backup externe chiffré), donc pas de soucis de synchro. De mémoire quand j'étais passé de GMail à Gandi, avec offlineimap j'avais pu migrer mes messages facilement.

En conclusion, si j'étais toi, je n'hésiterais pas trop à mettre mes mails chez Infomaniak.

Si tu fais l'intersection de :

• Utilise Windows
• Utilise Firefox
• Migre vers Linux

ça ne doit pas faire lourd, donc bon…

C'est assez incroyable qu'un décret puisse comme cela bloquer les comptes individuels personnels en dehors de la fonction de représentation à la CPI.

Oui, en effet si on change de sujet et qu'on part sur Beaux-Arts, c'est tout autre, et je suis plutôt d'accord avec toi.

Mais je parle d'un artefact précis, dont le fonctionnement - et donc l'intérêt scientifique - se situe dans son principe et pas sa manufacture (ce serait de la magie voire de la superstition sinon). On peut refaire des pascalines simples en carton, sur Thingiverse, y'a plein de modèles aussi. J'avais même trouvé des plans pour faire des machines Enigma en carton, et c'est autrement plus complexe¹ !

Je voulais simplement pointer que l'argument scientifique utilisé dans ce contexte est fallacieux. Ça ne m'empêche pas d'aimer aller voir de belles inventions, parfois présentée par l'original, au musées des Arts et Métiers, et si cette petite calculatrice peut s'y retrouver, tant mieux :).

a une valeur scientifique absolument primordiale

Si c'est la partie scientifique qui est importante, la machine a été étudiée et documentée, et est reproductible : la Science est saine et sauve.

Si c'est l'artefact en lui-même qui est important, alors la valeur de l'objet en lui-même est surtout historique et patrimoniale, et pas tellement scientifique.

Arf, il y a tellement de chemins d'interprétations, c'est chouette :).

Je me suis plusieurs fois demandé pourquoi mon beau père avait une appli pour les slips dans son iphone, avant que je comprenne que c'était supposé être un porte-carte :

Ah, j'ignorais ! J'ai juste libreoffice-fresh installé, je ne savais même pas qu'on pouvait changer le jeux d'icônes. Ça s'est fait tout seul pour mon cas, peut-être est-ce celui par défaut ?

Oui clairement, je m'en souviens ! Quand Gentoo a débarqué, plein de Debianistes et Slackawreux, jaloux du make world des Béhèdistes, sont aller voir du côté de Gentoo, qui promettait, en échange de quatre jours de compilation, de gagner 0,5% de perf :D.

J'avais remarqué la substitution, il y a quelques versions déjà, de la disquette violette 💾 par une flèche vers le bas ⬇️ pour enregistrer, dans LibreOffice.

Il faut dire qu'avec le tout-cloud ☁️, et les terminaux étant principalement des rectangles noirs 📱, les iconographes doivent faire preuve d'imagination pour matérialiser des concepts.

La poubelle semble avoir encore de beaux jours devant elle, même si son apparence est mise à la mode régulièrement, comme le montre l'illustration suivante :

Mais ça me paraît très difficile à exploiter

Je vois :

• shoulder surfing
• enregistrement du terminal (sur un bastion ou dans tmux, et/ou parce que tout ce qui est affiché est historisé dans des logs distants)
• Pendant une session de travail en partage d'écran (ou un live Twitch)
• Recall de Windows 11
• Caméra de surveillance mal placée (on pourrait argumenter qu'elle peut choper les touches de clavier aussi, ça n'empêche pas)

Afficher un mot de passe sur une ligne de commande par surprise, ce n'est pas la vuln du siècle, mais ça reste sérieux pour s'intégrer dans autre chose de plus grand.

Après sur la terminologie, il y a des personnes qui considèrent quasi tous les bugs comme des failles de sécu, parce que petit bug + petit bug + petit bug = trou. Ça n'aide pas trop à prioriser et parfois c'est tangent, j'avoue :).

Mais Debian le tout repose sur des mainteneurs qui génèrent eux mêmes les paquets sur leurs machines, faut s'assurer que leur système ne sont pas non plus attaqués.

Oh, ça m'avait totalement échappé. En effet c'est problématique :-/. Merci.

(mais ceci semble le contredire : https://www.debian.org/devel/buildd/)

Ce n'est pas un hasard si Debian a poussé plus que les autres pour la compilation reproductible car c'est une source de vulnérabilité par rapport à des distributions qui génèrent des paquets sur des machines du projet et gérées par une équipe dédiée et compétente.

Totalement d'accord :).

Je ne vois pas trop bien pourquoi on fait une confiance aveugle aux distributions Linux mais pas à Cargo

Je dirais pas "confiance aveugle". Les écosystèmes sont un peu différents.

Ça dépend de la distrib je pense. Sur Debian, le nombre restreint de devs, le fait que pour devenir dev sur Debian, il faut montrer patte blanche, le rythme lent et la pratique de rétroporter les patchs de sécu permet d'assurer une stabilité de l'environnement sur une version stable de la distrib, et donc d'instaurer une certaine confiance.

Cargo (ou npm, ou pip), c'est des milliers de comptes de dev potentiellement trouables facilement, et des mises à jour permanentes.

Je pense que c'est ça une partie de raison de la différence de traitement.

C'est vrai, et comme chez Debian, lorsque le correctif est possible à rétroporter, c'est ce qui est fait : https://lists.ubuntu.com/archives/ubuntu-security-announce/2025-November/009938.html

Ce qui n'enlève rien à la pertinence de ton message, sur une machine pas mise à jour très régulièrement, c'est un problème.