La sécurité, c'est parfois une sensation de fraîcheur dans la nuque :p.
Mais dans le cas du MFA, tu as des moyens simples et gratuits de la mettre en œuvre, et qui réduisent drastiquement l'impact d'un vol de mot de passe (par exemple tu te fais piquer un mot de passe commun à deux-trois sites web). Microsoft et Google disent que ça fait échouer 99.9% des tentatives. Bon, ils ont peut-être quelque chose à vendre, et comment leur faire confiance ? Divisons le nombre par deux, et disons que ça fait échouer seulement 49,95% des attaques. C'est déjà énorme !
Pour reprendre l'exemple de tes enfants et des téléphones, avec du MFA, tu fais passer le risque associé au vol des moyens d'authentification de "tous les pirates d'Internet" à "quelques dizaines de personnes".
Après, ce n'est pas parfait non plus comme solution. Mais associé à un truc genre 5 essais et verrouillage du compte (fail2ban par exemple), ça devient super efficace.
Ah, je n'avais pas constaté, c'est curieux comme contrainte. J'avais pu configurer ma Yubikey bien avant le TOTP (que j'ai fait en plus une fois abonné à Bitwarden, mon téléphone n'étant pas soire :D).
Et en plus, ils ont rendu l'authentification à 2 facteurs bientôt obligatoire et j'ai pas envie de leur donner mon numéro de téléphone
Tu peux utiliser du TOTP (dans un gestionnaire de mot de passe comme bitwarden ou keepassxc et/ou une appli type FreeOTP) ou une clé matérielle type Yubikey ou Nitrokey (open hardware).
C'est une excellente chose que l'authentification à deux facteurs deviennent obligatoire dès que possible, je trouve.
Étant donné que n'importe quel système de traitement de l'information se fonde sur ce qui est disponible, en moyenne, le système va représenter l'opinion des groupes sociaux qui sont le plus visibles… C'est à dire les hommes blancs de culture occidentale1.
En dehors des ouvrages scientifiques, qui fournissent une information objective, le reste sera plus ou moins de la propagande pour les pensées dominantes.
D'ailleurs je me demande ce que ça donne dans une bulle comme la Corée du Nord. ↩
La différence que je vois entre "côté client" et "connaissance nulle" c'est que "connaissance nulle" insiste sur le fait que le tiers n'a pas - et ne doit pas avoir - les clés. "Chiffrement côté client" n'implique pas qu'il n'y a pas aussi de clé privée chez le tiers (ce qui peut servir pour la récupération, mais là c'est un peu dommage, n'est-il pas ?).
Le chiffrement homomorphique, c'est assez fascinant vu de loin. Les maths n'ont pas fini de nous étonner :D.
C'est quand même dommage de faire une page comme celle-ci sans parler des services qui utilisent du chiffrement à connaissance nulle (technique mieux connue sous le nom de zero knowledge).
Y'a aussi la planche avec l'alarme DIY, dans laquelle le cambrioleur s'empêtre dans les fils :).
Ceci dit, j'ai un chat, et pendant les cambriolages que j'ai subi (pendant que toute la famille dormait paisiblement), il n'a pas vraiment eu le même comportement :-/.
Depuis quelques temps Martin travaille dans la cybersécurité, et sa formation l’a rendu quelque peu méfiant. On dit même que ce métier peut même rendre paranoïaque.
C'est totalement vrai :).
Alors un jour, Martin prend ses outils, et se met à regarder ce qui se passe.
Et Martin a bien fait. Mention spéciale pour le revendeur qui a fait le dos rond et n'a pas attaqué son client (oui, ça existe).
Quand tu discutes en entreprise sur la limitation des accès à Internet pour les personnes qui manipulent du contenu sensible ou de valeur (c'est à dire quasiment tout le monde, si tu y penses), chaque équipe est ok pour le mettre en œuvre, mais "sauf pour mon équipe, on est conscient des risques, nous1".
à . chaque . fois .
Une solution simple et moderne, c'est l'isolation du navigateur (Remote Browser Isolation), qui permet d'aller visiter tout ce qu'on veut, mais limite drastiquement les téléchargements et les connexions louches. Faudrait que je fasse un journal là-dessus, tiens.
traduire par : on est pas des nazes contrairement aux nanas de la compta (raccourci sexiste volontairement provoquant). ↩
J'ai dû chercher ce que veut dire AST, alors voila, pour résumer :
Un arbre de la syntaxe abstraite est […] comme la représentation intermédiaire interne d'un programme informatique pendant qu'il est optimisé et à partir duquel la génération de code est effectuée.
Oui, pour moi avec la gratuité pour les enfants de moins de douze ans, et des tarifs réduits via la ville de Paris, on a pu aller à six personnes aux concerts pour soixante euros. On a été que le dimanche, mais on aurait pu y aller les trois jours.
Et on a eu la pluie dedans la gare de RER bondée gratos :D !
L'appli, peut-être pas, mais la somme des personnes qui s'en servent, éventuellement. Un BBS sur modem était centralisé, pourtant on peut parler de réseau social. Idem pour le Minitel : ultra-centralisé, mais utilisateurs en réseau.
C'est une question de point de vue : point de vue service ou point de vue infrastructure.
[^] # Re: MFA sans téléphone
Posté par cg . En réponse au journal Importer des "issues" GitHub dans des "tickets" Trac. Évalué à 7.
La sécurité, c'est parfois une sensation de fraîcheur dans la nuque :p.
Mais dans le cas du MFA, tu as des moyens simples et gratuits de la mettre en œuvre, et qui réduisent drastiquement l'impact d'un vol de mot de passe (par exemple tu te fais piquer un mot de passe commun à deux-trois sites web). Microsoft et Google disent que ça fait échouer 99.9% des tentatives. Bon, ils ont peut-être quelque chose à vendre, et comment leur faire confiance ? Divisons le nombre par deux, et disons que ça fait échouer seulement 49,95% des attaques. C'est déjà énorme !
Pour reprendre l'exemple de tes enfants et des téléphones, avec du MFA, tu fais passer le risque associé au vol des moyens d'authentification de "tous les pirates d'Internet" à "quelques dizaines de personnes".
Après, ce n'est pas parfait non plus comme solution. Mais associé à un truc genre 5 essais et verrouillage du compte (fail2ban par exemple), ça devient super efficace.
[^] # Re: Wiki
Posté par cg . En réponse au journal Importer des "issues" GitHub dans des "tickets" Trac. Évalué à 4.
Ce doit être que ton code est Parfait™ et que l'extension
horrors'est désinstallée d'elle-même au crépuscule :).[^] # Re: Wiki
Posté par cg . En réponse au journal Importer des "issues" GitHub dans des "tickets" Trac. Évalué à 7.
git --horrorfait pareil quecatsur mon code, c'est grave ?[^] # Re: MFA sans téléphone
Posté par cg . En réponse au journal Importer des "issues" GitHub dans des "tickets" Trac. Évalué à 2.
Ah, je n'avais pas constaté, c'est curieux comme contrainte. J'avais pu configurer ma Yubikey bien avant le TOTP (que j'ai fait en plus une fois abonné à Bitwarden, mon téléphone n'étant pas soire :D).
# MFA sans téléphone
Posté par cg . En réponse au journal Importer des "issues" GitHub dans des "tickets" Trac. Évalué à 10.
Merci pour le script !
Sur ce point :
Tu peux utiliser du TOTP (dans un gestionnaire de mot de passe comme bitwarden ou keepassxc et/ou une appli type FreeOTP) ou une clé matérielle type Yubikey ou Nitrokey (open hardware).
C'est une excellente chose que l'authentification à deux facteurs deviennent obligatoire dès que possible, je trouve.
[^] # Re: Attention aux effets pervers
Posté par cg . En réponse au lien Vous pouvez dire à Google si vous refusez que votre site serve à entraîner ses IA via robots.txt. Évalué à 8.
Étant donné que n'importe quel système de traitement de l'information se fonde sur ce qui est disponible, en moyenne, le système va représenter l'opinion des groupes sociaux qui sont le plus visibles… C'est à dire les hommes blancs de culture occidentale1.
En dehors des ouvrages scientifiques, qui fournissent une information objective, le reste sera plus ou moins de la propagande pour les pensées dominantes.
D'ailleurs je me demande ce que ça donne dans une bulle comme la Corée du Nord. ↩
# Les autres aussi
Posté par cg . En réponse au lien Vous pouvez dire à Google si vous refusez que votre site serve à entraîner ses IA via robots.txt. Évalué à 8.
Cette article de NixCraft explique comment en bloquer d'autres :
https://www.cyberciti.biz/web-developer/block-openai-bard-bing-ai-crawler-bots-using-robots-txt-file/
[^] # Re: Chiffrement à connaissance nulle
Posté par cg . En réponse au lien You Can't Control Your Data in the Cloud. Évalué à 4.
C'est vrai que c'est plus clair.
La différence que je vois entre "côté client" et "connaissance nulle" c'est que "connaissance nulle" insiste sur le fait que le tiers n'a pas - et ne doit pas avoir - les clés. "Chiffrement côté client" n'implique pas qu'il n'y a pas aussi de clé privée chez le tiers (ce qui peut servir pour la récupération, mais là c'est un peu dommage, n'est-il pas ?).
Le chiffrement homomorphique, c'est assez fascinant vu de loin. Les maths n'ont pas fini de nous étonner :D.
# Chiffrement à connaissance nulle
Posté par cg . En réponse au lien You Can't Control Your Data in the Cloud. Évalué à 4.
La liste est tellement longue :).
C'est quand même dommage de faire une page comme celle-ci sans parler des services qui utilisent du chiffrement à connaissance nulle (technique mieux connue sous le nom de zero knowledge).
# Lassant
Posté par cg . En réponse au lien La vidéosurveillance algorithmique pourrait être maintenue après les Jeux olympiques de Paris 2024. Évalué à 10.
Au début c'est amusant de répondre "la surprise est totale" ou encore "qui aurait pu prévoir ?", mais bon, on se lasse de tout.
[^] # Re: La version Gaston Lagaffe
Posté par cg . En réponse au journal Avoir l'alarme à l'oeil. Évalué à 4.
Y'a aussi la planche avec l'alarme DIY, dans laquelle le cambrioleur s'empêtre dans les fils :).
Ceci dit, j'ai un chat, et pendant les cambriolages que j'ai subi (pendant que toute la famille dormait paisiblement), il n'a pas vraiment eu le même comportement :-/.
[^] # Re: Un peu de poésie :-)
Posté par cg . En réponse au lien Firefox 118 : avec une version de décalage la traduction locale respectueuse de la vie privée est là. Évalué à 5.
Et j'abonde en pointant que le français du Québec n'a pas de genre de problème.
Infonuagique, TI pour IT, fin de semaine, et j'en passe…
[^] # Re: Blague
Posté par cg . En réponse au journal Avoir l'alarme à l'oeil. Évalué à 4.
Tant qu'à faire des blagues : une pub avec une maison connectée
# Merci !
Posté par cg . En réponse au journal Avoir l'alarme à l'oeil. Évalué à 4.
Merci pour cette belle histoire !
C'est totalement vrai :).
Et Martin a bien fait. Mention spéciale pour le revendeur qui a fait le dos rond et n'a pas attaqué son client (oui, ça existe).
[^] # Re: Et le blocage pour Linux ?
Posté par cg . En réponse au lien Blocking Visual Studio Code embedded reverse shell before it's too late. Évalué à 10. Dernière modification le 24 septembre 2023 à 15:25.
Quand tu discutes en entreprise sur la limitation des accès à Internet pour les personnes qui manipulent du contenu sensible ou de valeur (c'est à dire quasiment tout le monde, si tu y penses), chaque équipe est ok pour le mettre en œuvre, mais "sauf pour mon équipe, on est conscient des risques, nous1".
à . chaque . fois .
Une solution simple et moderne, c'est l'isolation du navigateur (Remote Browser Isolation), qui permet d'aller visiter tout ce qu'on veut, mais limite drastiquement les téléchargements et les connexions louches. Faudrait que je fasse un journal là-dessus, tiens.
traduire par : on est pas des nazes contrairement aux nanas de la compta (raccourci sexiste volontairement provoquant). ↩
[^] # Re: L'IDE fait le travail
Posté par cg . En réponse au lien Tabs are objectively better than spaces. Évalué à 4.
J'ai dû chercher ce que veut dire AST, alors voila, pour résumer :
Un arbre de la syntaxe abstraite est […] comme la représentation intermédiaire interne d'un programme informatique pendant qu'il est optimisé et à partir duquel la génération de code est effectuée.
[^] # Re: Nothing is objectively better than spaces and tabs
Posté par cg . En réponse au lien Tabs are objectively better than spaces. Évalué à 2.
Oui, mais comment faire si tu es en thème sombre ? Retirer le blanc revient à supprimer certaines lettres.
Alors, tabulations et thème sombre, ou espaces et thème clair ? Slip ou caleçon ?
Au final, le must n'est-il pas de programmer du Whitespace, nu·e et sur un terminal Braille ?
Perso je suis plus tongs-chaussettes pour programmer en Shakespeare, mais chacun fait bien ce qu'il veut.
[^] # Re: Désolé pour le dérangement
Posté par cg . En réponse au lien Mozilla à la fête de l’Humanité ce week-end - Communauté Mozilla francophone. Évalué à 3.
Oui, pour moi avec la gratuité pour les enfants de moins de douze ans, et des tarifs réduits via la ville de Paris, on a pu aller à six personnes aux concerts pour soixante euros. On a été que le dimanche, mais on aurait pu y aller les trois jours.
Et on a eu la pluie dedans la gare de RER bondée gratos :D !
[^] # Re: demande clarification
Posté par cg . En réponse au journal Nouveau serveur "Revolt Linux Fr" vient d'ouvrir ces portes sur le réseau open source "Revolt".. Évalué à 6.
L'appli, peut-être pas, mais la somme des personnes qui s'en servent, éventuellement. Un BBS sur modem était centralisé, pourtant on peut parler de réseau social. Idem pour le Minitel : ultra-centralisé, mais utilisateurs en réseau.
C'est une question de point de vue : point de vue service ou point de vue infrastructure.
Si j'ai 8/20 je suis content :D
[^] # Re: Open source hooliganism
Posté par cg . En réponse au journal Du rififi chez les rubyistes qui font du JavaScript. Évalué à 2.
Exact, j'ai confondu ! Et donc Turbo est en licence MIT aussi.
(DHH a aussi écrit le bouquin Rework avec son camarade Jason Fried, c'est le meilleur de leurs livres, je trouve)
# Pendant ce temps, le noyau 3.10
Posté par cg . En réponse au lien Les noyaux linux LTS supportés uniquement 2 ans?. Évalué à 4.
Dans RHEL 7, le kernel 3.10 (entre autres vieilleries) est maintenu jusqu'en 2026 :).
[^] # Re: Open source hooliganism
Posté par cg . En réponse au journal Du rififi chez les rubyistes qui font du JavaScript. Évalué à 1.
Parce qu'il s'agit de Ruby On Rails, qui est sous licence MIT.
[^] # Re: Beta
Posté par cg . En réponse à la dépêche Sortie de Fedora Linux 39 Beta. Évalué à 7. Dernière modification le 20 septembre 2023 à 07:26.
J'ajoute que le second paragraphe est un appel éhonté aux testeurs et testeuses de tout poils :). (ce qui est bien)
# README.txt
Posté par cg . En réponse au journal Les distributions Linux abandonnent X11 pour Wayland. Évalué à 7.
Le README de xterm¹ commençait tout de même par :
Abandon All Hope, Ye Who Enter Here
¹ qui est malgré tout pas si mal
[^] # Re: Le titre me laisse perplexe
Posté par cg . En réponse au lien Migration de plein de sites de services publics sous le domaine gouv.fr. Évalué à 4.
Vu le temps qu'a pris la présentation de EduConnect et WebCollège à la réunion de rentrée de ma fille ainée, ce n'est pas superflu.
L'ergonomie - et donc une partie du design - est important quand on a des publics très différents.