claudex a écrit 14700 commentaires

Jython, jruby,… sont de très mauvaises idées.

Pas sûr que ce soit de mauvaise idées (sauf si tu vise uniquement les performances). Ça permet de s'interfacer facilement avec du code Java (legacy, pour faire des plugins pour une appli Java…).

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Plus les GUI obligatoires qui me hérissaient un peu le poil.

Tu peux tout faire en CLI, de la création à la configuration.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Juste pour info, Ubuntu (et maintenant, même Debian) fournit un bootloader qui fonctionne avec Secure Boot.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Les programmes actuels utilisent de plus en plus l'accélération graphique, les capacités de décodage vidéo matériel ou le GPGPU et au final la solution APU va se retrouver plus rapidement limitée autant dans le domaine GPU que CPU.

Mouaif, c'est la configuration que tu retouve dans tous les ordinateurs portables (sauf orientation gaming) actuellement et ils le vivent bien.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Je peux te donner des crédits si tu veux.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Marrant, tous les www que tu cite sont des alias de fastly (contrairement au domaine sans www).

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Effectivement, je n'avais jamais vu ce comportement de merde de l'interface graphique. Par contre, ce qui m'a induit en erreur, c'est que j'avais une autre mesure et seulement les 3215 présentaient une erreur: https://atlas.ripe.net/measurements/22766261/#!probes

(accessoirement, je n'avais pas blaeu sur le PC sur lequel je faisais les tests, du coup je me suis rabattu sur l'interface web)

C'est un peu dommage que l'interface web ne donne pas pas une vue utilisable, ça empêche de partager les résultats facilement.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Ce sont des sondes déployées par le RIPE¹ qui permettent de faire des mesures basiques (ping, traceroute, DNS)² sur des IP. Il est donc possible de faire des mesures à partir de plein de FAI dans le monde pour vérifier le fonctionnement d'Internet.

Ça peut être utilisé pour voir si on est le seul à avoir un problème ou pour vérifier qu'une adresse est bien joignable correctement dans le monde.

L'exemple que j'ai donné, c'est une mesure de 50 sondes RIPE dans le réseau Orange (AS3215) qui demande la résolution DNS www.twitch.tv.

C'est plus clair comme ça ?

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

On voit que chez Orange (AS3215), les sondes atlas remontent pas mal d'erreur pour twitch.tv.

https://atlas.ripe.net/measurements/22766270/#!probes

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Il me semblait que c'était pour la consommation des ressources. Moindre par défaut avec exim. Quand on l'installe par défaut, ça me semble un critère à prendre en compte.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Je ne vois pas pourquoi tu fais confiance à Apple sur la durée d'exposition. Et pour la partie "ce n'était pas un exploit à grande échelle", c'est complètement faux. N'importe qui qui allait sur le site était impacté. On ne parle pas d'une attaque ciblée sur 10 personnes.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Je vois qu'il existait un module pour synfig: https://wiki.synfig.org/Sif2svg

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Je pense qu'il est plus difficile pour un hacker de repérer qu'une faille a été corrigée (en interne), ou que c'est un simple ajout, ou modification apportée dans le code dans le cadre de l'évolution du logiciel.

Sauf qu'il n'y a pas d'évolution dans les releases Android, uniquement des corrections de failles de sécurités. Genre tu prends la branche "oreo-security" et tu as les fix de securité pour oreo.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Bien sûr, mais dans la pratique, surtout avec du développement en mode open source, ce n'est pas viable, car le code source patché mais pas distribué c'est du pain béni pour les hackers

Tu sais que c'est déjà le cas ? Il y a plein de faille corrigées chaque mois. Je ne vois pas l'intérêt d'en cacher une.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Je suppose que Google project zero ne peut pas parler objectivement des failles qu'il trouve dans Android, car Google est dans l'incapacité de patcher rapidement ou même simplement.

Google a la capacité de patcher rapidement. Ce sont les constructeurs qui ont le problème. Et Google a intérêt à motiver les constructeurs à le faire rapidement (ça fait des années qu'ils essayent). Ils auraient tout intérêt à en parler justement.

ici on parle d'Android
https://www.volexity.com/blog/2019/09/02/digital-crackdown-large-scale-surveillance-and-exploitation-of-uyghurs/

Qui cite Forbes…

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Pour le coup, j'ai plus confiance dans le project zero que dans forbes pour signaler s'il y a des failles qui traînent.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Non, F2FS est destiné aux support flash avec management (SSD, carte SD, eMMC…).

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Que tu peux éditer un odt avec onlyoffice. Comment ça fonctionne en interne avec une conversion de format qui est l'origine de ce bug n'est pas l'objet de cette page.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Google aurait pu exiger que chaque smartphone dispose de l'équivalent d'un UEFI (ou autre solution permettant de booter un kernel générique…), mais ne l'a pas fait.

Ils ont tenté de le faire à plusieurs reprises mais n'ont pas encore réussi. Google n'est pas assez gros pour les vendeurs de smartphone.

Si on n'avait pas décrété que "stable_api_nonsense" (ideologie qui date d'un autre temps et d'un autre contexte), on n'en serait pas à avoir une tetrachiée de kernels propriétaires

Je doute fortement, les fabricants préfèrent maintenir un fork inutilisable, ça permet que les acheteurs achètent le nouveau SoC pour avoir les nouvelles fonctionnalités. La preuve, c'est compliqué d'avoir les sources de leurs forks. Si c'était lié aux problèmes des api, ont aurait facilement accès aux sources des forks.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

C'est hyper décevant qu'une fonctionnalité aussi basique n'est pas encore été implémentée dans nftables.

Perso, je ne vois pas l'intérêt de la fonctionnalité, ça peut même être très dangereux. Donc, ça ne m'étonne pas trop que ce ne soit pas implémenté.

J'ai l'impression que nftables n'est pas encore suffisamment mature pour remplacer iptables.

Je dirais plutôt qu'il est mature pour la plupart des cas.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Oui, tu as raison, mais on pourrait par exemple, déjà accepter le JS de sozi qui est un logiciel libre, cela permettrait de pouvoir l'utiliser.

Je n'ai pas regarder le js de sozi mais a priori, il permet de faire pas mal de modification, ce qui en fait un bon vecteur d'attaque.

près il suffit de devoir cliquer sur l'élément avec un message sur la dangerosité du JS, cela éviterait aux modérateurs de devoir analyser le code.

Si c'est pour mettre un warning "ne cliquez pas ici", je ne suis pas sûr que ce soit pertinent. Autant renvoyer sur un autre page.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

pas d'exploit/payload dans des images (ça existe ?).

Oui, il y a eu déjà plein de faille dans les libs qui décodent les différents formats d'image.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Ça, je ne le garantirais pas. (qu'ils gagnent leur procès, c'est autre chose)

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

Je propose de garder les choses telles quelles (je trouve la police effectivement jolie, je ne connaissais pas), mais de retirer le téléchargement des polices web (mais j'ai conscience que ça fait perdre beaucoup d'intérêt à la chose).

Quel intérêt ? Si tu ne veux pas télécharger les polices web, tu n'active pas la fonctionnalité dans ton navigateur. Pour les autres qui veulent bien, ça permet d'avoir la police sans l'installer.

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

On remarquera que bien sûr IBM est sponsor platinium d'OpenPower mais RedHat est sponsor Gold.

(je sais, ça date d'avant le rachat)

« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche