A priori je pense pas que que le SSI soit adapté à de grosse échelles. Disons un petit cluster classique entre 128 et 512 cores avec dans les 1Go de RAM/Core.
> qu'est ce que tu entends par application reelle ?
Souvent le SSI est présenté comme une solution pour faire tourner des applications "classiques". On a une image unique pour tout un cluster. On laisse, plus ou moins, le système gérer seul la distribution. Une application classique serait éffectivement une application avec CPU intensif et memoire partagée.
Si il n'y a que du CPU et des workers stateless, type demon httpd/dns, alors on peut en general faire du loadbalancing sur les processus. Si il n'y a que des gros besoin mémoire alors des solutions types jumbomem fonctionnent aussi. Et enfin quand on veut réellement se soucier d'écrire une application distribuée alors on utilise un middleware adéquat.
Je pense que votre cluster est justement fait pour jouer, donc ce qui sera intéressant ce sont les retours d'éxpérience.
Quelle est la duree moyenne de survie du cluster ? Par ce que si tu extrapoles sur la frequence des incidents hardware sur des plateformes comme grid5000, Egee, Naregi ou DAS, c'est une chance si tu passes la semaine.
Ne pas gerer la tolerance aux pannes dans un environment reparti c'est faire un jouet pas un outil.
Autrement tu as des exemples d'applications reelles qui scalent sur du SSI ?
> si tu connais un projet libre qui mange du XML en entrée et qui est simple à scripter en ligne de commande, je peux voir ce que je peux faire
Disons que c'est pas si "simple". Il faut que l'outil soit capable de manger un fichier XML d'exemple, mais aussi le XSD associé pour en extraire les contraintes.
Avec juste le XML cela reste difficile d'arriver a quelque chose de correct. Par example avec:
Comment peux tu deviner que: type ne peut prendre que les valeures tcp ou udp, port doit etre un entier positiif, server et port sont liés pas une contrainte sur la cle id1 ? Si ces contraintes ne sont pas prises en compte alors on test le parseur XML et non pas l'application derriere.
Pour ce qui est de l'outil, tu me sembles vouloir directement utiliser les API pour manipuler du XML disponible dans a peut pres tout les langages (exemple: DOM + XPATH). Par contre ca ne regle pas le probleme non trivial de tenir compte des Schemas, ca permet juste de manipuler tres facilement un fichier exemple pour lui faire des mutations.
> Le logiciel propriétaire dans toute son horreur !
Heu non... C'est a priori qu'ils ne sont pas diffusés. La licence importe peut dans ce cas...
De plus c'est typiquement le type de logiciel dont la licence ne me gène pas. Ça fait gagner du temps (compare le prix des licences a mon salaire), ça ne compromet pas la pérénité du projet, et ça évite des retours au support... Bref au final ca fait gagner de l'argent et du temps. Si un framework équivalent libre existe évidement il sera favorisé.
Mais pour le moment j'ai pas mis la main sur un truc correct que ce soit proprio ou libre...
Bien sur ce n'est interessant que si l'outil est capable de comprendre les contraintes du Schema: restritction de type, integrite des keyref, cardinalitees etc.
Pour l'instant je n'ai pas mis la main sur quelque chose avec un minimum d'intelligence.
> peut-etre que contribuer a un des frameworks existants serait plus efficace
J'en profite pour demander si il existe de bon outils pour faire du fuzzing sur du XML.
Le parseur XML protège l'application des erreurs de format; une attaque bête et méchante n'est donc pas intéressante. Par contre pouvoir tester des documents valides permet de tester si il est possible de perturber la couche métier.
Alors ce petit bijou existe-il ? Les tests unitaires a la main sont assez laborieux a faire...
De plus il est éminement stupide d'utiliser une donnée biométrique pour s'authentifier. D'une part par ce qu'il est impossible de le revoquer sans changer de moyen d'authentification, de l'autre tu utilises une donnée publique comme secret... Ton empreinte digitale tu la laisses quand tu vas faire une carte d'identité, aux frontières, quand tu bois un verre, quand tu debugs en mettant ton gros doigt sur l'écran etc. Faut avoir sacrément confiance dans le fait que leur bouzin réussira a voir que c'est bien ton doigt et pas un de ses 450 clones...
La lecteur d'empreinte c'est cool pour pas a avoir à tapper son login ou pour des trucs sans valeur autrement...
> C'est possible avec gcc (de signaler les parties de code nécéssitant une meilleur optim) ?
Pas a ma connaissance. Tu actives les options globalement ou pas du tout.
Par contre il existe un petit nombre de mots magiques pour l'aider par exemple __builtin_expect qui permet d'indiquer quelle branche sera la plus probablement utilisée (les likely/unlikely de linux viennent de la), _builtin_prefetch pour charger des adresses en cache.
> et surtout il n'y a pas de moyen de lui dire "ça c'est LA boucle où on va passer 95% du temps je me que tu me l'optimise à bloc"
le --fprofile-arcs et ses amis de gcc servent à ca. L'idée est simple, sans aide un compilateur aura beaucoup de mal a savoir si la branche if ou else a plus de chance d'être exécutée. On peut demander au programmeur d'annoter son code mais c'est lourd et souvent le programmeur n'en sait trop rien voir se trompe.
L'idée de générer un premier exécutable non optimisé avec le profiling activé pour ensuite se reservir des informations d'exécution pour recompiler le programme est très bonne.
Au passage si un compilateur sait optimiser a bloc du code ca coute pas plus cher de tout optimiser à bloc. On est pas en train de payer un ingé expert à la minute pour le faire :-)
La gestion mémoire ce n'est pas simplement faire des couples malloc/free. C'est savoir gérer ses données pour optimiser un paramètre qui peut être la taille ou la vitesse d'exécution. Ce qui n'a pratiquement rien a voir avec la VMM qui basiquement ne te fournit qu'un espace d'adressage.
C'est au langage de se débrouiller avec cette plage de mémoire pour l'utiliser au mieux possible. Par exemple si tu allignes pas tes données sur un mot machine soit ca sera horriblement lent soit ca explosera. La gestion mémoire est donc au contraire extrêment interessante quelle soit réalisée par un compilateur ç la main ou je ne sais. Un cache miss c'est cher, une lecture sur le disque n'en parlons même pas...
Il y a aussi la gestion du code pour tirer au maximum parti du fonctionnement des CPU mordernes et leur eviter d'avoir un pipeline vide ou à flusher toute les 12 instructions. Bien évidement ca n'a aucun interet dans 99% des projets; mais il reste les 1% ou ces optimisations vont te faire gagner un facteur 50 ou 100.
Toutes ces choses sont très difficiles à réaliser avec un langage de haut niveau. Et même en bas niveau y'a pas grand monde qui a les compétences pour pondre un code rapide, portable et maintenable. Et bien sur cela à un coup qui est de réinventer la roue à chaque fois alors que tu pourrais utiliser des fonctionalités très puissantes. Il reste à définir tes priorités chose qui est bien difficile.
Combien de machines vérollées dans le monde ou il va y avoir au moins deux possésseurs pour une même clé privée ?
> On ne peut pas "prendre la clé de quelqu'un".
Évidement que si. GPG suppose la clé en sécurité et la passphrase tappée uniquement sur des machines sures. Dans tout les cas GPG t'assures uniquement que celui qui a signer le message disposait du couple passphrase/clé privée. Savoir QUI detient ce couple est en dehors de la problématique de GPG...
> Pour ce qui est du lourdingue, thunderbird + enigmail marche très bien (cryptage, signature activés d'un clic)
- Recuperer les cles publiques qui t'interesse
- Avoir un reseau de confiance fiable et suffisament dense
- Activé la signature
- Tapper le mot de passe a chaque fois (le mettre en cache renforce mon point 2)
- Verifier que c'est bon
C'est typiquement ce que j'appele lourdingue. T'as envie de passer 15 minutes rien que pour envoyer un mail a un type que tu ne connais pas ? Moi pas
> A priori, quelqu'un peu aller sur mon ordi, écrire un mail, vouloir signer avec ma clé *privée* (en qui on a confiance), et là on lui demande un... mot de passe ?
> Je me trompe ?
Oui.
Ca montre parfaitement que la solution n'est pas adaptée puisque ni toi ni l'auteur original n'a pu saisir le problème dans sa globalité.
Une fois que le méchant virus a infecté ta machine il va prendre la clé privé et le mot de passe. Pas difficile il a les mêmes privilèges que l'utilisateur y'a qu'a attendre que l'utilisateur saisisse sont mot de passe [1].
Il n'y a pas de technologie "saint graal" en sécurité. Et en l'occurence pour GPG les conditions nécéssaires sont beaucoup trop fortes pour être utilisable à grande échelle (la clé doit être en sécurité, ne pas s'en servir sur des machines non sures, établir un réseau de confiance fort, et un gros problème d'usabilité exemple envoyer un mail, impossibilité d'envoyer un mail automatique). Bref sur la totalité des machines ayant à envoyer un mail ces conditions sont irréalistes et même si ca demande une clé par minutes il suffit de regarder les stats sur les botnet pour voir que ca ne possera pas de problèmes...
[1] Même pas puisque aucun utilisateur n'accepterait de saisir 46 fois le même mot de passe dans la journée il va le mettre en cache y'a plus qu'à aller le lire sur le disque ou dans la mémoire.
> En même temps j'ai quelques doutes sur l'utilité d'écrire directement à un développeur. Combien Linus reçoit-il d'email par jour ?
Tu es au courant qu'il doit y avoir 1000 fois plus de petits developpeurs que les 100 grands gourous du libre (*) ? Des petits projets avec un à trois developpeurs c'est le vivier du libre, il y a très peu de projets qui passent les 10 développeurs et je te jure que ces gens là peuvent être content de recevoir des mails...
Et évidement si tu rapportes un bug alors qu'il y a un système adapté tu fais une erreur. Par contre si tu as une question sur un bout de code ou une remarque le plus rapide c'est de regarder sur le gestionnaire de revision ou le (c) qui a écrit et de lui demander directement. Tu tombes souvent sur des gens très gentils qui n'ont pas 8000 mails à lire par jour.
Il n'y a pas que des bugreports froids et aseptisés dans la vie.
Et pour ce qui est des mailing lists si elles sont monstrueuses c'est qu'elles sont mal gérées et qu'il faut les découper, lkml en est l'exemple typique.
(*) de plus je ne considère pas linus comme un developpeur mais comme un manager.
Le spammeur prendra la clé de quelqu'un noté comme non spammeur et fera un usage unique de la clé en arosant tout le monde.
Sans compter le fait que ce n'est pas possible car les notions de réseau de confiance sont beaucoup trop complexes pour les gens utilisant le mail [1] [2]. Au final tout le monde accepte tout le monde et on revient a la case départ mais avec un système lourdingue en plus.
Comme déjà débattu des centaines de fois le problème n'est pas technique il est législatif. Lorsque spammer coutera trop cher ou sera trop dangereux pour le gain retiré alors le problème se résoudra de lui même. Ne pas oublier que le mail est fait pour que n'importe qui puisse rentrer en contact avec n'importe qui. Accepteriez vous que france telecom décide unilatéralement que le démarchage téléphonique ne doit pas vous parvenir (et au passage quelques autres coups de téléphone) ? Moi je prefere raccrocher moi même...
[1] Renommer un .bmp en .jpg ne le compresse pas
[2] Quand un serveur indique que le certificat SSL est moisi il ne faut pas cliquer sur OK
J'espère qu'aucune liste de diffusion n'a plus de 50 abonnés...
J'espère qu'aucun fournisseur ne broadcast ses offres à plus de 50 personnes
J'espère etc.
> Comment faites vous pour recevoir autant de spam ? Il faut changer votre comportement.
Tu as raison !
Allez que tout les developpeurs ne mettent plus leur adresse, il ne faudrait surtout pas être joignable, de même pour les traducteurs et bugreporteurs. Ne postez surtout plus sur les listes de diffusion. Ne donnez pas non plus votre mail a des amis windowsiens. Quand vous ecrivez à un inconnu * creez vous un compte spécial et unique.
Peut être que simplement les gens utilisent leur mail pour être joignable et ont besoin de rendre cette adresse publique. Mais effectivement si tu ne fais rien de tout ca et que as 4 contacts dans ton carnet d'adresses alors oui tu as une chance de ne pas recevoir de spam..
* client, fournisseur, relation, connaissance lointaine, ami d'école, chien de la voisine
Supposons que tu as 1Go de RAM ton disque dur fait disons du 30Mo/s ce qui fait dans les 35 secondes pour reveiller le portable ! À raprocher de la vitesse de boot des distros avec un bon système d'init.
Sans oublier qu'au passage tes connexions réseau ont expirées etc. Au final ce n'est pas la killer feature, avec une machine qui boot rapidement et un DE qui sait se retrouver dans l'état ou il était ca va aussi vite.
Le suspend to ram est lui très interessant et permet vraiment d'exploiter la mobilitée d'un portable. Par exemple mon ibook peut rester plus de 3 semaines en suspend to ram sans problème. Tu ouvres le capot et c'est reveillé entre 5 secondes.
Personne n'a dit que les chiffres étaient faux et ce ne sont pas les auteurs des chiffres qui sont en cause.
Par contre c'est bien l'auteur du journal qui fait une analyse digne d'un stagiaire de TF1 qui au passage prend tout les utilisateurs d'un FAI pour des cyber blairaux qui est visé.
Comme toujours la collecte des chiffres est aisée mais faire quelque chose de ceux ci est un tantinet plus difficile. Avant d'énnoncer qu'un critère de proportionalité devrait s'appliquer il faudrait peut être vérifier si ca à un sens non ?
Et oui il y a très certainement beaucoup de personnes infectées chez wanadoo. Des gens qui voudraient utiliser des choses simples avec l'informatique on sait comment ca se fini...
Y'a un tantinet plus de paramètres qui entrent en jeu que ça. Le plus basique est peut être le fait que le FAI donne une IP statique ou non. Une machine infectée free n'est comptabilisée qu'une seule fois dans les stats. Un abonner wanadoo va avoir une nouvelle ip toute les 24h et va donc se faire comptabiliser pleins de fois.
Dire que Wanadoo a très certainement plus d'abonnés lambda est une évidence; des gens qui ne sont pas forcement informaticien, n'en ont peut etre rien a foutre d'avoir du 10Mb, et veulent juste que ca marche 24h après avoir fait kikoo à l'agence ou qui tout simplement préfère avoir un interlocuteur physique plutôt qu'une ligne chaude. Évidement que cette clientèle est plus vulnérable. Mais ce journal est puant de mépris et de raccourcis à deux francs.
"The following top-20 lists were generated from legitimate TCP sessions from attempted attacks over the last 6 months and are presented in percentage of the total sum. Percentages are based off of numbers of unique IP addresses from each network / country. "
Ca voudrait pas seulement dire qu'il y a plus de clients wanadoo ?
Enfin je suis heureux que tu me prennes pour un demeuré moi pauvre utilisateur de wanadoo.
Je viens de lire les réponses ci dessus et je les trouvent toute... déplacées !
Le problème :
Quelqu'un, quelque chose en réalité, cherche à exploiter des couples login/mot de passe faibles sur toutes les machines de la planète. Alors de deux choses l'une. Ou ta machine est vulnérable et dans ce cas la changer de port ou faire du port knocking, qui sert a rien mais est à la mode, ne changera rien. Au mieux tu réduis la fenêtre de temps ou tu es vulnérable. Super ! La solution ne serait elle pas simplement de faire que ta machine ne soit pas vulnérable ? [1]
Si ta machine est pas vulnérable qu'est ce que cela peut bien te faire ? Porte plainte, harcèle abuse mais changer ton démon de port ne reglera rien.
C'est aussi bête que de mettre son apache sur le 34590 par ce que y'a des méchants vers qui cherchent des failles IIS ou ton smtp en openrelay sur le 7975 pour éviter les spammeurs. Mauvaise réponse à la question...
[1] Mot de passe corrects c'est aussi basique que cela. Chaque tentative correspond à 3 ou 4 mot de passe par login ! Faudrait *vraiment* pas avoir de bol
Note: Si la sécurité de ta machine était importante tu aurais constaté que ca a commencé à se propager réellement y'a plus de 12 mois...
Ce que je te dis c'est que tu apprecierais moyennement qu'une multinationale vienne dire ce que tu dois faire dans ton pays. Elle s'adapte aux différentes législations .| Il n'y a pas de notion de bien ou de mal la dedans. Soit tu veux le marcher soit tu ne le veux pas, il n'y a pas de rôle de libérateur a avoir.
Je suis totallement contre ces mesures, mais pour moi vous vous trompez totallement de cible. D'une part vous vous focalisez sur Microsoft alors qu'ils sont très très loin d'être les plus impliqués dans l'histoire. De l'autre c'est au peuple chinois de régler ses affaires. Je suis sur que si on envoit les GI pour changer le gouvernement chinois qui n'est pas démocratique on va avoir le droit au cirque de l'Irak, faudra choisir un jour.
Si le sujet te tient tellement à coeur je t'invite d'ailleurs à créer un service équivalent à celui de Microsoft destiné à la population chinoise sans limitations, qu'on rigole un coup.
[^] # Re: Robustesse?
Posté par ckyl . En réponse à la dépêche Un cluster Kerrighed de 252 coeurs basé sur un noyau Linux 2.6.20. Évalué à 3.
A priori je pense pas que que le SSI soit adapté à de grosse échelles. Disons un petit cluster classique entre 128 et 512 cores avec dans les 1Go de RAM/Core.
> qu'est ce que tu entends par application reelle ?
Souvent le SSI est présenté comme une solution pour faire tourner des applications "classiques". On a une image unique pour tout un cluster. On laisse, plus ou moins, le système gérer seul la distribution. Une application classique serait éffectivement une application avec CPU intensif et memoire partagée.
Si il n'y a que du CPU et des workers stateless, type demon httpd/dns, alors on peut en general faire du loadbalancing sur les processus. Si il n'y a que des gros besoin mémoire alors des solutions types jumbomem fonctionnent aussi. Et enfin quand on veut réellement se soucier d'écrire une application distribuée alors on utilise un middleware adéquat.
Je pense que votre cluster est justement fait pour jouer, donc ce qui sera intéressant ce sont les retours d'éxpérience.
[^] # Re: Robustesse?
Posté par ckyl . En réponse à la dépêche Un cluster Kerrighed de 252 coeurs basé sur un noyau Linux 2.6.20. Évalué à 4.
Ne pas gerer la tolerance aux pannes dans un environment reparti c'est faire un jouet pas un outil.
Autrement tu as des exemples d'applications reelles qui scalent sur du SSI ?
[^] # Re: huum
Posté par ckyl . En réponse au journal Fusillez vos applications (Fusil le fuzzer). Évalué à 1.
Disons que c'est pas si "simple". Il faut que l'outil soit capable de manger un fichier XML d'exemple, mais aussi le XSD associé pour en extraire les contraintes.
Avec juste le XML cela reste difficile d'arriver a quelque chose de correct. Par example avec:
<root>
<server refid="id1" />
<port id="id1" type="tcp" port="80"/>
</root>
Comment peux tu deviner que: type ne peut prendre que les valeures tcp ou udp, port doit etre un entier positiif, server et port sont liés pas une contrainte sur la cle id1 ? Si ces contraintes ne sont pas prises en compte alors on test le parseur XML et non pas l'application derriere.
Pour ce qui est de l'outil, tu me sembles vouloir directement utiliser les API pour manipuler du XML disponible dans a peut pres tout les langages (exemple: DOM + XPATH). Par contre ca ne regle pas le probleme non trivial de tenir compte des Schemas, ca permet juste de manipuler tres facilement un fichier exemple pour lui faire des mutations.
[^] # Re: huum
Posté par ckyl . En réponse au journal Fusillez vos applications (Fusil le fuzzer). Évalué à 1.
Heu non... C'est a priori qu'ils ne sont pas diffusés. La licence importe peut dans ce cas...
De plus c'est typiquement le type de logiciel dont la licence ne me gène pas. Ça fait gagner du temps (compare le prix des licences a mon salaire), ça ne compromet pas la pérénité du projet, et ça évite des retours au support... Bref au final ca fait gagner de l'argent et du temps. Si un framework équivalent libre existe évidement il sera favorisé.
Mais pour le moment j'ai pas mis la main sur un truc correct que ce soit proprio ou libre...
[^] # Re: huum
Posté par ckyl . En réponse au journal Fusillez vos applications (Fusil le fuzzer). Évalué à 1.
Bien sur ce n'est interessant que si l'outil est capable de comprendre les contraintes du Schema: restritction de type, integrite des keyref, cardinalitees etc.
Pour l'instant je n'ai pas mis la main sur quelque chose avec un minimum d'intelligence.
[^] # Re: huum
Posté par ckyl . En réponse au journal Fusillez vos applications (Fusil le fuzzer). Évalué à 1.
J'en profite pour demander si il existe de bon outils pour faire du fuzzing sur du XML.
Le parseur XML protège l'application des erreurs de format; une attaque bête et méchante n'est donc pas intéressante. Par contre pouvoir tester des documents valides permet de tester si il est possible de perturber la couche métier.
Alors ce petit bijou existe-il ? Les tests unitaires a la main sont assez laborieux a faire...
[^] # Re: Cherche bonne poire payée pas trop cher
Posté par ckyl . En réponse au journal L'INRIA recrute un ingénieur débutant pour mettre en place des grappes virtuelles. Évalué à 3.
Y'a vraiment pire comme premier boulot :-)
Si kerrighed t'intéresses pas, si t'aimes pas le temps de la bretagne, tu peux fouiller la dedans http://talentsplace.com/syndication1/inria/freng/list.html?L(...)
[^] # Re: Pas besoin de couper ton doigt
Posté par ckyl . En réponse au journal Vers le support du lecteur d'empreintes des Thinkpad. Évalué à 2.
Exemple au what the hack : http://rehash.whatthehack.org/wth/rawtapes/wth_spoofing_fingerprint(...)
De plus il est éminement stupide d'utiliser une donnée biométrique pour s'authentifier. D'une part par ce qu'il est impossible de le revoquer sans changer de moyen d'authentification, de l'autre tu utilises une donnée publique comme secret... Ton empreinte digitale tu la laisses quand tu vas faire une carte d'identité, aux frontières, quand tu bois un verre, quand tu debugs en mettant ton gros doigt sur l'écran etc. Faut avoir sacrément confiance dans le fait que leur bouzin réussira a voir que c'est bien ton doigt et pas un de ses 450 clones...
La lecteur d'empreinte c'est cool pour pas a avoir à tapper son login ou pour des trucs sans valeur autrement...
[^] # Re: dites
Posté par ckyl . En réponse à la dépêche Flash player 8 recherche son ingénieur linux. Évalué à 2.
Pas a ma connaissance. Tu actives les options globalement ou pas du tout.
Par contre il existe un petit nombre de mots magiques pour l'aider par exemple __builtin_expect qui permet d'indiquer quelle branche sera la plus probablement utilisée (les likely/unlikely de linux viennent de la), _builtin_prefetch pour charger des adresses en cache.
Il y en a peut être d'autres.
[^] # Re: dites
Posté par ckyl . En réponse à la dépêche Flash player 8 recherche son ingénieur linux. Évalué à 8.
le --fprofile-arcs et ses amis de gcc servent à ca. L'idée est simple, sans aide un compilateur aura beaucoup de mal a savoir si la branche if ou else a plus de chance d'être exécutée. On peut demander au programmeur d'annoter son code mais c'est lourd et souvent le programmeur n'en sait trop rien voir se trompe.
L'idée de générer un premier exécutable non optimisé avec le profiling activé pour ensuite se reservir des informations d'exécution pour recompiler le programme est très bonne.
Au passage si un compilateur sait optimiser a bloc du code ca coute pas plus cher de tout optimiser à bloc. On est pas en train de payer un ingé expert à la minute pour le faire :-)
[^] # Re: La memoire goulot d'etranglement
Posté par ckyl . En réponse au journal Comment résoudre la "crise du logiciel" ?. Évalué à 7.
La gestion mémoire ce n'est pas simplement faire des couples malloc/free. C'est savoir gérer ses données pour optimiser un paramètre qui peut être la taille ou la vitesse d'exécution. Ce qui n'a pratiquement rien a voir avec la VMM qui basiquement ne te fournit qu'un espace d'adressage.
C'est au langage de se débrouiller avec cette plage de mémoire pour l'utiliser au mieux possible. Par exemple si tu allignes pas tes données sur un mot machine soit ca sera horriblement lent soit ca explosera. La gestion mémoire est donc au contraire extrêment interessante quelle soit réalisée par un compilateur ç la main ou je ne sais. Un cache miss c'est cher, une lecture sur le disque n'en parlons même pas...
Il y a aussi la gestion du code pour tirer au maximum parti du fonctionnement des CPU mordernes et leur eviter d'avoir un pipeline vide ou à flusher toute les 12 instructions. Bien évidement ca n'a aucun interet dans 99% des projets; mais il reste les 1% ou ces optimisations vont te faire gagner un facteur 50 ou 100.
Toutes ces choses sont très difficiles à réaliser avec un langage de haut niveau. Et même en bas niveau y'a pas grand monde qui a les compétences pour pondre un code rapide, portable et maintenable. Et bien sur cela à un coup qui est de réinventer la roue à chaque fois alors que tu pourrais utiliser des fonctionalités très puissantes. Il reste à définir tes priorités chose qui est bien difficile.
# Routeur a une interface ?
Posté par ckyl . En réponse au journal ordinateur embarqué. Évalué à 1.
1 port ethernet
[^] # Re: Signature GPG
Posté par ckyl . En réponse au journal Idée pour les FAI ?. Évalué à 2.
Combien de machines vérollées dans le monde ou il va y avoir au moins deux possésseurs pour une même clé privée ?
> On ne peut pas "prendre la clé de quelqu'un".
Évidement que si. GPG suppose la clé en sécurité et la passphrase tappée uniquement sur des machines sures. Dans tout les cas GPG t'assures uniquement que celui qui a signer le message disposait du couple passphrase/clé privée. Savoir QUI detient ce couple est en dehors de la problématique de GPG...
> Pour ce qui est du lourdingue, thunderbird + enigmail marche très bien (cryptage, signature activés d'un clic)
- Recuperer les cles publiques qui t'interesse
- Avoir un reseau de confiance fiable et suffisament dense
- Activé la signature
- Tapper le mot de passe a chaque fois (le mettre en cache renforce mon point 2)
- Verifier que c'est bon
C'est typiquement ce que j'appele lourdingue. T'as envie de passer 15 minutes rien que pour envoyer un mail a un type que tu ne connais pas ? Moi pas
[^] # Re: Signature GPG
Posté par ckyl . En réponse au journal Idée pour les FAI ?. Évalué à 3.
> Je me trompe ?
Oui.
Ca montre parfaitement que la solution n'est pas adaptée puisque ni toi ni l'auteur original n'a pu saisir le problème dans sa globalité.
Une fois que le méchant virus a infecté ta machine il va prendre la clé privé et le mot de passe. Pas difficile il a les mêmes privilèges que l'utilisateur y'a qu'a attendre que l'utilisateur saisisse sont mot de passe [1].
Il n'y a pas de technologie "saint graal" en sécurité. Et en l'occurence pour GPG les conditions nécéssaires sont beaucoup trop fortes pour être utilisable à grande échelle (la clé doit être en sécurité, ne pas s'en servir sur des machines non sures, établir un réseau de confiance fort, et un gros problème d'usabilité exemple envoyer un mail, impossibilité d'envoyer un mail automatique). Bref sur la totalité des machines ayant à envoyer un mail ces conditions sont irréalistes et même si ca demande une clé par minutes il suffit de regarder les stats sur les botnet pour voir que ca ne possera pas de problèmes...
[1] Même pas puisque aucun utilisateur n'accepterait de saisir 46 fois le même mot de passe dans la journée il va le mettre en cache y'a plus qu'à aller le lire sur le disque ou dans la mémoire.
[^] # Re: Comment faites vous ?
Posté par ckyl . En réponse au journal Idée pour les FAI ?. Évalué à 3.
Tu es au courant qu'il doit y avoir 1000 fois plus de petits developpeurs que les 100 grands gourous du libre (*) ? Des petits projets avec un à trois developpeurs c'est le vivier du libre, il y a très peu de projets qui passent les 10 développeurs et je te jure que ces gens là peuvent être content de recevoir des mails...
Et évidement si tu rapportes un bug alors qu'il y a un système adapté tu fais une erreur. Par contre si tu as une question sur un bout de code ou une remarque le plus rapide c'est de regarder sur le gestionnaire de revision ou le (c) qui a écrit et de lui demander directement. Tu tombes souvent sur des gens très gentils qui n'ont pas 8000 mails à lire par jour.
Il n'y a pas que des bugreports froids et aseptisés dans la vie.
Et pour ce qui est des mailing lists si elles sont monstrueuses c'est qu'elles sont mal gérées et qu'il faut les découper, lkml en est l'exemple typique.
(*) de plus je ne considère pas linus comme un developpeur mais comme un manager.
[^] # Re: Signature GPG
Posté par ckyl . En réponse au journal Idée pour les FAI ?. Évalué à 3.
Sans compter le fait que ce n'est pas possible car les notions de réseau de confiance sont beaucoup trop complexes pour les gens utilisant le mail [1] [2]. Au final tout le monde accepte tout le monde et on revient a la case départ mais avec un système lourdingue en plus.
Comme déjà débattu des centaines de fois le problème n'est pas technique il est législatif. Lorsque spammer coutera trop cher ou sera trop dangereux pour le gain retiré alors le problème se résoudra de lui même. Ne pas oublier que le mail est fait pour que n'importe qui puisse rentrer en contact avec n'importe qui. Accepteriez vous que france telecom décide unilatéralement que le démarchage téléphonique ne doit pas vous parvenir (et au passage quelques autres coups de téléphone) ? Moi je prefere raccrocher moi même...
[1] Renommer un .bmp en .jpg ne le compresse pas
[2] Quand un serveur indique que le certificat SSL est moisi il ne faut pas cliquer sur OK
[^] # Re: Certains le font...
Posté par ckyl . En réponse au journal Idée pour les FAI ?. Évalué à 8.
J'espère qu'aucun fournisseur ne broadcast ses offres à plus de 50 personnes
J'espère etc.
[^] # Re: Comment faites vous ?
Posté par ckyl . En réponse au journal Idée pour les FAI ?. Évalué à 9.
Tu as raison !
Allez que tout les developpeurs ne mettent plus leur adresse, il ne faudrait surtout pas être joignable, de même pour les traducteurs et bugreporteurs. Ne postez surtout plus sur les listes de diffusion. Ne donnez pas non plus votre mail a des amis windowsiens. Quand vous ecrivez à un inconnu * creez vous un compte spécial et unique.
Peut être que simplement les gens utilisent leur mail pour être joignable et ont besoin de rendre cette adresse publique. Mais effectivement si tu ne fais rien de tout ca et que as 4 contacts dans ton carnet d'adresses alors oui tu as une chance de ne pas recevoir de spam..
* client, fournisseur, relation, connaissance lointaine, ami d'école, chien de la voisine
[^] # Re: suspend to disk
Posté par ckyl . En réponse à la dépêche Bilan du sommet 2005 des développeurs du noyau Linux. Évalué à 4.
Supposons que tu as 1Go de RAM ton disque dur fait disons du 30Mo/s ce qui fait dans les 35 secondes pour reveiller le portable ! À raprocher de la vitesse de boot des distros avec un bon système d'init.
Sans oublier qu'au passage tes connexions réseau ont expirées etc. Au final ce n'est pas la killer feature, avec une machine qui boot rapidement et un DE qui sait se retrouver dans l'état ou il était ca va aussi vite.
Le suspend to ram est lui très interessant et permet vraiment d'exploiter la mobilitée d'un portable. Par exemple mon ibook peut rester plus de 3 semaines en suspend to ram sans problème. Tu ouvres le capot et c'est reveillé entre 5 secondes.
[^] # Re: Explications complémentaires
Posté par ckyl . En réponse au journal Serveurs Debian en vadrouilles, pas de MAJ pendant 1 semaine. Évalué à 1.
Y'a que moi que ca choque ?
[^] # Re: re
Posté par ckyl . En réponse au journal L'Operateur historique. Évalué à 3.
Par contre c'est bien l'auteur du journal qui fait une analyse digne d'un stagiaire de TF1 qui au passage prend tout les utilisateurs d'un FAI pour des cyber blairaux qui est visé.
Comme toujours la collecte des chiffres est aisée mais faire quelque chose de ceux ci est un tantinet plus difficile. Avant d'énnoncer qu'un critère de proportionalité devrait s'appliquer il faudrait peut être vérifier si ca à un sens non ?
Et oui il y a très certainement beaucoup de personnes infectées chez wanadoo. Des gens qui voudraient utiliser des choses simples avec l'informatique on sait comment ca se fini...
[^] # Re: re
Posté par ckyl . En réponse au journal L'Operateur historique. Évalué à 9.
Dire que Wanadoo a très certainement plus d'abonnés lambda est une évidence; des gens qui ne sont pas forcement informaticien, n'en ont peut etre rien a foutre d'avoir du 10Mb, et veulent juste que ca marche 24h après avoir fait kikoo à l'agence ou qui tout simplement préfère avoir un interlocuteur physique plutôt qu'une ligne chaude. Évidement que cette clientèle est plus vulnérable. Mais ce journal est puant de mépris et de raccourcis à deux francs.
# Bonsoir
Posté par ckyl . En réponse au journal L'Operateur historique. Évalué à 10.
Ca voudrait pas seulement dire qu'il y a plus de clients wanadoo ?
Enfin je suis heureux que tu me prennes pour un demeuré moi pauvre utilisateur de wanadoo.
# Et ?
Posté par ckyl . En réponse au journal Mais quels sont ces polonais qui ssh sur vos têtes ?. Évalué à -1.
Le problème :
Quelqu'un, quelque chose en réalité, cherche à exploiter des couples login/mot de passe faibles sur toutes les machines de la planète. Alors de deux choses l'une. Ou ta machine est vulnérable et dans ce cas la changer de port ou faire du port knocking, qui sert a rien mais est à la mode, ne changera rien. Au mieux tu réduis la fenêtre de temps ou tu es vulnérable. Super ! La solution ne serait elle pas simplement de faire que ta machine ne soit pas vulnérable ? [1]
Si ta machine est pas vulnérable qu'est ce que cela peut bien te faire ? Porte plainte, harcèle abuse mais changer ton démon de port ne reglera rien.
C'est aussi bête que de mettre son apache sur le 34590 par ce que y'a des méchants vers qui cherchent des failles IIS ou ton smtp en openrelay sur le 7975 pour éviter les spammeurs. Mauvaise réponse à la question...
[1] Mot de passe corrects c'est aussi basique que cela. Chaque tentative correspond à 3 ou 4 mot de passe par login ! Faudrait *vraiment* pas avoir de bol
Note: Si la sécurité de ta machine était importante tu aurais constaté que ca a commencé à se propager réellement y'a plus de 12 mois...
[^] # Re: Tout comme...
Posté par ckyl . En réponse au journal Microsoft suppôt de la tyrannie chinoise. Évalué à 1.
Je suis totallement contre ces mesures, mais pour moi vous vous trompez totallement de cible. D'une part vous vous focalisez sur Microsoft alors qu'ils sont très très loin d'être les plus impliqués dans l'histoire. De l'autre c'est au peuple chinois de régler ses affaires. Je suis sur que si on envoit les GI pour changer le gouvernement chinois qui n'est pas démocratique on va avoir le droit au cirque de l'Irak, faudra choisir un jour.
Si le sujet te tient tellement à coeur je t'invite d'ailleurs à créer un service équivalent à celui de Microsoft destiné à la population chinoise sans limitations, qu'on rigole un coup.