Ceci dit, je trouve assez naturel et attendu que les plateformes basées sur l'écosystème Linux (et/ou GNU/Linux) deviennent "rentable" du point de vue du développeur de malware : Linux n'est plus cantonné aux serveurs depuis longtemps, et les objets connectés sont nombreux à être mal/pas maintenus.
Merci pour cet usage de uBlock, je ne connaissais pas !
À noter, car ça m'a dérouté : le site Let's block it insiste un peu pour que le visiteur crée un compte, mais ce n'est pas nécessaire pour utiliser les filtres générés.
Dans le genre, il y a eu L'art et la science dans Alien (Ed. La Ville Brûle) pour les 40 ans du film. C'est plusieurs textes sur l'univers d'Alien, le premier texte est une étude anatomique assez passionnante (j'ai moins aimé les autres textes).
En vrai, ce serait bien que ce soit l'achat du siècle. Le dernier pour les 78 ans à venir. C'est à dire, que des lois anti trust et anti monopolistiques entrent en vigueur pour éviter que ces monstres puissent se constituer.
Il y a quelques trucs intéressants autour de Facebook et ses filiales (instagram et whatsapp), d'Amazon, de NVidia et le rachat d'ARM.
En marge, ce rachat pourrait expliquer les rumeurs de rachat de Discord (très utilisé par les joueurs en ligne) par Microsoft.
Pour C++, j'ai fait la démonstration rigoureuse que ça ne compile pas sous Linux. Concernant le C, chacun sait que c'est en fait de l'assembleur déguisé !
Ne te laisse pas berner par le lobby des BigMalloc ;) !
Alors que le CD est connu pour avoir une grande dynamique, au moins 90 dB
Je crois qu'un défaut de l'encodage du niveau sonore dans le CD, est qu'il est fait sur une échelle linéaire LPCM. Ainsi, un pas représente le même écart sur toute la plage dynamique. Et c'est dommage, car l'oreille perçoit beaucoup mieux les nuances à faible volume qu'à fort volume.
Ainsi, il aurait fallu une échelle progressive, qui réserve plus de bits aux volumes faibles qu'aux volumes forts (genre une échelle logarithmique).
Je vais essayer d'expliquer le principe du race condition.
D'un côté, le programme "nettoyeur" a pour mission de supprimer les dossiers et fichiers qui sont plus vieux que 1 mois en dessous de /var/spool/pad (par exemple). Les liens symboliques ne sont pas suivis mais sont supprimés. Ce programme tourne en root.
/var/spool/pad/ contient un répertoire par utilisateur, comme ceci :
D'un autre côté, les utilisateurs font un peu ce qu'il veulent dans leurs dossiers, mais ne peuvent en sortir.
Le nettoyeur va faire son scan de temps en temps et supprimer les vieux fichiers, en respectant la règle du mieux qu'il peut. Horreur, il a supprimé des fichiers en dehors de /var/spool/pad/alice !
Passons la scène au ralenti sur un IBM 8088 à 10MHz (1979) :
11h22 - Le nettoyeur scanne /var/spool/pad/alice et trouve un dossier caca et un fichier pipi (alice est un peu sénile) qui ont plus d'un mois. Il note dans son carnet qu'il faudra les effacer. Etc pour les autres dossiers.
11h23 - Alice supprime le dossier caca et le remplace par un lien vers /usr/bin/. (Elle n'est pas si sénile que ça semble-t-il).
11h24 - Confiant, le nettoyeur rentre dans le dossier caca et supprime son contenu, qui est en fait /usr/bin.
11h24 aussi - Fin du jeu :'( .
Le principe n'a rien de spécifique à Rust. C'est un bug, qui provoque un trou de sécurité.
En quoi est-ce grave pour un programme non privilégié ?
Ça ne fait certes pas un CVE, mais ça fait un comportement inattendu avec un effet potentiellement catastrophique, un genre de bug critique quand même, sans être un trou de sécurité.
Quand tu as un bug dans ext4 et que tu perds tes données, tu vas pas dire que ce n'est pas grave.
Imagine que rm -r se mette à suivre les liens symboliques ;).
Il faudrait plutôt dire, pour décrire le problème plus simplement, qu'un programme peut être amené à suivre un lien symbolique et effacer des fichiers en dehors de l’arborescence ciblée au départ.
Le fait que ça puisse être réalisé par un programme privilégié est la cerise sur le gâteau, mais déjà en soi c'est assez grave.
La gestion des permissions, quand à elle, reste correcte d'un point de vue système.
Posté par cg .
En réponse au message NAS: chiffré or not chiffré.
Évalué à 5.
Dernière modification le 20 janvier 2022 à 00:45.
difficultés pour récupérer les données en cas de crash du disque
Déjà, fais des sauvegardes ! (chiffrées, avec un copie de la clé en dehors de l'ordi)
action manuelle au reboot
Tu pourrais avoir la clé (ou une seconde clé) sur un autre ordi du réseau, et aller la chercher au boot (avec curl par exemple). Si ton NAS boote en dehors de ton réseau, la clé n'est plus accessible. Bien sûr, c'est compliqué si c'est ton / qui est chiffré, mais pour une partition de données ça se fait. Je crois même qu'il y a des paquets qui servent à ça.
Ah oui exactement, merci (j'avais cherché vite mais sans succès). C'est moins touffu en terme de bus industriels (genre CAN ou PROFIBUS), mais ça semble prometteur aussi !
Par exemple, le monde change et aujourd'hui les alternatives industrielles ouvertes sont légions ! On pourrait parler d'une très récente avec le Revolution Pi qui se base sur une raspberry pi CM3 et à mis en place tout ce qu'il fallait pour avoir un remplacement de beaucoup de modules standard des PLC tout en ne faisant que de l'OpenSource !
Oh la la j'en ai rêvé de ça !
Bon à vrai dire avec un microcontrôleur plus simple (moins de possibilités, mais moins de bugs potentiels), ça me ferait encore plus rêver, mais quand même, c'est sexy, la gamme a l'air un minimum complète.
Mmmm, alors peut-être que tu vis dans un pays dans lequel les politiciens appliquent les programmes pour lesquels ils sont élus, respectent les lois, et ne pratiquent pas le clientélisme.
Personnellement, j'habite en France, pays dans lequel un ancien président de la République a été condamné récemment, et a beaucoup occupé divers représentants de la justice. Mais il y aussi François Mitterrand, François Fillon… Il y a même une petite page dédiée sur Wikipedia.
À sa décharge, Emmanuel Macron avait annoncé avant son élection qu'il n'en ferait qu'à sa tête en gouvernant par ordonnances (en pratique ça n'a pas été sans accrocs, mais Mister T était occupé semble-t-il ;) ).
Enfin, je ne pensais par que la corruption politique pouvait être considéré comme une private joke :D.
Oui, pour favoriser l'adoption dans certains contextes (embarqué, par exemple) :
[The MIT Licence] potentially makes it more attractive for use in places where software licensed with GPLv3 is not adopted due to its restrictions on Tivoization among other things
J'ai pas compris ta réponse :-/. Mais je trouvais que la phrase citée correspond justement à certains élus. Ils sont payés et font ce qu'ils veulent. C'était plus humour léger que troll mais j'ai raté :).
De mémoire il faut le détremper, éventuellement le déchirer avant s'il semble résistant (si tu as des enfants en bas âge tu as de quoi les occuper :D). J'ai pas de spécialement de tuto mais si tu cherches je suis certain que tu vas trouver. (il n'y a plus de cheminée là où j'habite maintenant).
[^] # Re: Méfions-nous des pourcentages...
Posté par cg . En réponse au lien Linux malware sees 35% growth during 2021 [principalement sur l'embarqué]. Évalué à 3.
En effet, merci pour la précision.
Ceci dit, je trouve assez naturel et attendu que les plateformes basées sur l'écosystème Linux (et/ou GNU/Linux) deviennent "rentable" du point de vue du développeur de malware : Linux n'est plus cantonné aux serveurs depuis longtemps, et les objets connectés sont nombreux à être mal/pas maintenus.
Mais comme tu dis, il y a de la marge ;).
# Pas besoin de compte
Posté par cg . En réponse au lien Let's Block It: créez des listes uBlock personnalisées pour cacher le contenu de faible qualité. Évalué à 5.
Merci pour cet usage de uBlock, je ne connaissais pas !
À noter, car ça m'a dérouté : le site Let's block it insiste un peu pour que le visiteur crée un compte, mais ce n'est pas nécessaire pour utiliser les filtres générés.
[^] # Re: Saine lecture pour compléter
Posté par cg . En réponse au sondage Mon adaptation de Dune préférée. Évalué à 3.
Dans le genre, il y a eu L'art et la science dans Alien (Ed. La Ville Brûle) pour les 40 ans du film. C'est plusieurs textes sur l'univers d'Alien, le premier texte est une étude anatomique assez passionnante (j'ai moins aimé les autres textes).
# L'achat du siècle : un message d'espoir ?
Posté par cg . En réponse au journal L'achat du siècle : Microsoft achète Activision-Blizzard. Évalué à 4. Dernière modification le 22 janvier 2022 à 21:32.
En vrai, ce serait bien que ce soit l'achat du siècle. Le dernier pour les 78 ans à venir. C'est à dire, que des lois anti trust et anti monopolistiques entrent en vigueur pour éviter que ces monstres puissent se constituer.
Il y a quelques trucs intéressants autour de Facebook et ses filiales (instagram et whatsapp), d'Amazon, de NVidia et le rachat d'ARM.
En marge, ce rachat pourrait expliquer les rumeurs de rachat de Discord (très utilisé par les joueurs en ligne) par Microsoft.
[^] # Re: Migration vers Python 3 et GTK 3 pour la version Linux (toujours à travers WxWidgets)
Posté par cg . En réponse à la dépêche Sortie de Kicad 6, la référence libre pour la CAO électronique. Évalué à 2.
Pour C++, j'ai fait la démonstration rigoureuse que ça ne compile pas sous Linux. Concernant le C, chacun sait que c'est en fait de l'assembleur déguisé !
Ne te laisse pas berner par le lobby des BigMalloc ;) !
# Merci !
Posté par cg . En réponse au journal Redécouverte : Roff. Évalué à 4.
Excellent journal, ça donne envie d'apprendre l'outil (les outils) en effet.
La simplicité et la pérennité font également partie de mes préoccupations.
J'ai récemment commencé à utiliser dot/graphviz (car frustré par Draw, Dia, Diagram, Yed…). Pic a l'air chouette !
[^] # Re: Migration vers Python 3 et GTK 3 pour la version Linux (toujours à travers WxWidgets)
Posté par cg . En réponse à la dépêche Sortie de Kicad 6, la référence libre pour la CAO électronique. Évalué à 3.
Scandale ! C'est du FUD !
La preuve :
Plus sérieusement, il y a des outils écrits en Python, et le langage pour les extensions/plugins/scripts est en Python aussi.
# Sous-titres en texte ?
Posté par cg . En réponse au message Extraction des sous-titre des JT des chaînes TV. Évalué à 3.
Il n'y a pas les sous-titre sous forme de texte, dans un flux séparé, par exemple ?
[^] # Re: Il y a compression et compression
Posté par cg . En réponse au lien La musique compressée : un danger pour votre audition. Évalué à 6.
Je crois qu'un défaut de l'encodage du niveau sonore dans le CD, est qu'il est fait sur une échelle linéaire LPCM. Ainsi, un pas représente le même écart sur toute la plage dynamique. Et c'est dommage, car l'oreille perçoit beaucoup mieux les nuances à faible volume qu'à fort volume.
Ainsi, il aurait fallu une échelle progressive, qui réserve plus de bits aux volumes faibles qu'aux volumes forts (genre une échelle logarithmique).
[^] # Re: La description n'est pas claire je trouve.
Posté par cg . En réponse au journal Une CVE dans le compilateur rust. Évalué à 10. Dernière modification le 21 janvier 2022 à 21:46.
Je vais essayer d'expliquer le principe du race condition.
D'un côté, le programme "nettoyeur" a pour mission de supprimer les dossiers et fichiers qui sont plus vieux que 1 mois en dessous de
/var/spool/pad(par exemple). Les liens symboliques ne sont pas suivis mais sont supprimés. Ce programme tourne en root./var/spool/pad/contient un répertoire par utilisateur, comme ceci :D'un autre côté, les utilisateurs font un peu ce qu'il veulent dans leurs dossiers, mais ne peuvent en sortir.
Le nettoyeur va faire son scan de temps en temps et supprimer les vieux fichiers, en respectant la règle du mieux qu'il peut. Horreur, il a supprimé des fichiers en dehors de
/var/spool/pad/alice!Passons la scène au ralenti sur un IBM 8088 à 10MHz (1979) :
11h22 - Le nettoyeur scanne
/var/spool/pad/aliceet trouve un dossiercacaet un fichierpipi(alice est un peu sénile) qui ont plus d'un mois. Il note dans son carnet qu'il faudra les effacer. Etc pour les autres dossiers.11h23 - Alice supprime le dossier
cacaet le remplace par un lien vers/usr/bin/. (Elle n'est pas si sénile que ça semble-t-il).11h24 - Confiant, le nettoyeur rentre dans le dossier
cacaet supprime son contenu, qui est en fait/usr/bin.11h24 aussi - Fin du jeu :'( .
Le principe n'a rien de spécifique à Rust. C'est un bug, qui provoque un trou de sécurité.
[^] # Re: La description n'est pas claire je trouve.
Posté par cg . En réponse au journal Une CVE dans le compilateur rust. Évalué à 6.
Ça ne fait certes pas un CVE, mais ça fait un comportement inattendu avec un effet potentiellement catastrophique, un genre de bug critique quand même, sans être un trou de sécurité.
Quand tu as un bug dans ext4 et que tu perds tes données, tu vas pas dire que ce n'est pas grave.
Imagine que
rm -rse mette à suivre les liens symboliques ;).# La description n'est pas claire je trouve.
Posté par cg . En réponse au journal Une CVE dans le compilateur rust. Évalué à 10. Dernière modification le 21 janvier 2022 à 00:56.
Il faudrait plutôt dire, pour décrire le problème plus simplement, qu'un programme peut être amené à suivre un lien symbolique et effacer des fichiers en dehors de l’arborescence ciblée au départ.
Le fait que ça puisse être réalisé par un programme privilégié est la cerise sur le gâteau, mais déjà en soi c'est assez grave.
La gestion des permissions, quand à elle, reste correcte d'un point de vue système.
# sauvegardes + clé sur le réseau ?
Posté par cg . En réponse au message NAS: chiffré or not chiffré. Évalué à 5. Dernière modification le 20 janvier 2022 à 00:45.
Déjà, fais des sauvegardes ! (chiffrées, avec un copie de la clé en dehors de l'ordi)
Tu pourrais avoir la clé (ou une seconde clé) sur un autre ordi du réseau, et aller la chercher au boot (avec curl par exemple). Si ton NAS boote en dehors de ton réseau, la clé n'est plus accessible. Bien sûr, c'est compliqué si c'est ton / qui est chiffré, mais pour une partition de données ça se fait. Je crois même qu'il y a des paquets qui servent à ça.
# Tennis
Posté par cg . En réponse au lien Le départ fulgurant d'un drone qui passe de 0 à 200 km/h en 1 seconde. Évalué à 7.
Le record du monde de vitesse d'une balle de tennis frappée par un humain avec une raquette est de 262km/h (73m/s).
Ça relativise quand même la performance du drone ;).
Et de toute façons c'est la joueuse de tennis qui gagne à la fin
# Le tout pour Gil et moi ?
Posté par cg . En réponse au message Donne livres. Évalué à 3.
Hello Loic, donc si les bouquins sont toujours dispo, je prend le tout et je partage avec Gil, comment je t'envoie mon adresse et l'argent ?
Merci pour ton don !
[^] # Re: Et pour ceux qui ne connaissent pas les PLC
Posté par cg . En réponse au journal Quand les entreprises ne reversent rien aux logiciels libres. Évalué à 3. Dernière modification le 15 janvier 2022 à 21:46.
Ah oui exactement, merci (j'avais cherché vite mais sans succès). C'est moins touffu en terme de bus industriels (genre CAN ou PROFIBUS), mais ça semble prometteur aussi !
[^] # Re: Et pour ceux qui ne connaissent pas les PLC
Posté par cg . En réponse au journal Quand les entreprises ne reversent rien aux logiciels libres. Évalué à 2.
Oh la la j'en ai rêvé de ça !
Bon à vrai dire avec un microcontrôleur plus simple (moins de possibilités, mais moins de bugs potentiels), ça me ferait encore plus rêver, mais quand même, c'est sexy, la gamme a l'air un minimum complète.
Merci pour l'info !
[^] # Re: Reverser non, rémunérer oui
Posté par cg . En réponse au journal Quand les entreprises ne reversent rien aux logiciels libres. Évalué à 3.
Mmmm, alors peut-être que tu vis dans un pays dans lequel les politiciens appliquent les programmes pour lesquels ils sont élus, respectent les lois, et ne pratiquent pas le clientélisme.
Personnellement, j'habite en France, pays dans lequel un ancien président de la République a été condamné récemment, et a beaucoup occupé divers représentants de la justice. Mais il y aussi François Mitterrand, François Fillon… Il y a même une petite page dédiée sur Wikipedia.
À sa décharge, Emmanuel Macron avait annoncé avant son élection qu'il n'en ferait qu'à sa tête en gouvernant par ordonnances (en pratique ça n'a pas été sans accrocs, mais Mister T était occupé semble-t-il ;) ).
Enfin, je ne pensais par que la corruption politique pouvait être considéré comme une private joke :D.
# Vectoriel
Posté par cg . En réponse au journal opensara : les doigts dans l'icône. Évalué à 7.
Je suis surpris que les icônes ne soient pas vectorielles, étant donné la variété de densité des affichages (de 75 à 300ppp, pour faire vite).
[^] # Re: Changement de licence au passage
Posté par cg . En réponse au lien Rewriting the GNU Coreutils in Rust. Évalué à 3.
Oui, pour favoriser l'adoption dans certains contextes (embarqué, par exemple) :
[^] # Re: Reverser non, rémunérer oui
Posté par cg . En réponse au journal Quand les entreprises ne reversent rien aux logiciels libres. Évalué à 2.
J'ai pas compris ta réponse :-/. Mais je trouvais que la phrase citée correspond justement à certains élus. Ils sont payés et font ce qu'ils veulent. C'était plus humour léger que troll mais j'ai raté :).
# Changement de licence au passage
Posté par cg . En réponse au lien Rewriting the GNU Coreutils in Rust. Évalué à 3.
Fait notable, la licence n'est pas la GPL mais la MIT. Au moins, c'est clairement indiqué et assumé.
(Perso je trouve ça dommage, mais inutile de démarrer un énième débat sur les licences, on n'est pas dredi non plus).
[^] # Re: Reverser non, rémunérer oui
Posté par cg . En réponse au journal Quand les entreprises ne reversent rien aux logiciels libres. Évalué à 2.
Y'a des élections bientôt non :p ?
[^] # Re: Développer pour soi, partager le résultat
Posté par cg . En réponse au journal Quand les entreprises ne reversent rien aux logiciels libres. Évalué à 2.
Blender est un parfait exemple de réussite.
[^] # Re: Rien ne se perd
Posté par cg . En réponse au journal Nous avons remarqué que vous n'utilisez PAS de bloqueur de publicités !. Évalué à 2.
De mémoire il faut le détremper, éventuellement le déchirer avant s'il semble résistant (si tu as des enfants en bas âge tu as de quoi les occuper :D). J'ai pas de spécialement de tuto mais si tu cherches je suis certain que tu vas trouver. (il n'y a plus de cheminée là où j'habite maintenant).