devnewton 🍺 a écrit 9264 commentaires

Le texte commence par un argument d'extrême droite…

Security is the bedrock upon which all our freedoms are built.

Non, la première des libertés, c'est la Liberté. La sécurité doit se concevoir selon les contraintes imposées par la liberté, pas l'inverse.

Comme dit le proverbe : si vous voulez rater un projet, confiez les specs à un RSSI.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Tu as déjà fait du développement en entreprise?

80% de l'appli sont des libs libres dont le développement est plus sérieux que les 20% privateurs fait en mode à Gilles en enfreignant toutes les bonnes pratiques possibles pour livrer à temps.

Ces applis tournent ensuite sur un OS libre bien sécurisé mais auquel une DSI en mode devoups ajoute des couches privatrices dont tu ne voudrais même pas sur un serveur de test tellement elles sont bloated et troués.

L'exploitation se fait ensuite selon la règle du pas vu pas pris et on enterre les tickets secu sous le tapis.

Sans transparence, la confiance est juste un mot marketing.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Aucune banque ne couvrira les transactions frauduleuses si c'est toi qui t'occuppes de la sécurité de la connexion avec l'API bancaire

C'est faux : elle tolère bien que j'utilise ma connexion internet personnelle, un smartphone personnel…

On ne peut pas aborder sereinement ce sujet si on est mode RSSI bouché :-)

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Rien ne me prouve que le terminal que me présente un commerçant lambda dans lequel je mets ma carte est "conforme". Tout se joue à la "confiance".

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Est-ce que les utilisateurs "libristes" souhaitent réellement s'auto-assurer vis-à-vis de la fraude bancaire?

Non, mais on est plus en sécurité avec une approche libre et ouverte.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Je comprends, mais la security by what could go wrong, c'est pas mon truc.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

qu'il semble assez clair que pour une application bancaire on ne peut pas se permettre de supporter les OS qui ne sont plus maintenus—le problème vient donc plutôt de l'arrêt du support que des applications elles-mêmes

Avec une simple webapp, il est facile et peu coûteux de gérer des terminaux très divers (PC, console, tablette, smartphone, télé connecté, montre…) et très vieux (plusieurs dizaines d'années avec un site léger).

Bonne chance pour faire ça avec une appli native (privatrice en plus).

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

One more time : il suffit de faire valider le paiement dans l'espace client.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

La CB est conforme car le terminal de paiement affiche directement la somme.

Rien ne prouve qu'il n'a pas été compromis. C'est aussi fiable qu'un SMS :-)

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Sans faire de FUD, on ne peut pas savoir ce qu'il y a dans une appli privatrice.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

La gratuité ne veut pas dire que les coûts ne sont pas intégrés dans le budget de la banque, mais l'avantage serait d'obliger la banque à gérer de façon plus durable un parc de terminaux si elle ne peut pas directement en imputer le coût aux clients.

Dans le même genre avec les applis mobiles, ça encourage un renouvellement plus régulier des smartphones chez les particuliers, ce qui une source majeure de pollution.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Il y a déjà des contraintes d'accessibilité pour des services essentiels (malheureusement les jeux vidéos n'en font pas partie), mais c'est comme les normes environnementales…

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

C'est une interprétation débile qui conduit à des aberrations en terme de sécurité (coucou la bnp et tes iframes).

La validation du paiement dans l'espace client serait 42 fois plus sécurisé.

Pour l'authentification, l'usage de certificat client serait la solution idéale si les brouteurs se décidaient à leur dédier une UX/UI correcte: on génère une paire de clefs publique / privée, on donne la clef publique à l'enrôlement et hop on ne se tape pas des codes à saisir ou des applis pénibles.

Bref ils ne cherchent pas de solutions, car imposer leurs applis les arrangent commercialement.

En attendant les passgrids ou TOTP sont des solutions ecoresponsables (pas besoin de nouveaux périphériques ou de changer de terminal).

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Imagine ça avec ruby ou python ou le besoins d'une version particulière de ton compilateur et tu dispose d'un environnement dev aux petits oignons.

Justement je n'imagine pas : je fais du Go ou du Java, j'utilise la dernière version stable fournie par ma distribution et si j'ai des besoins particulier, je change des variables d'environnement. Bref j'utilise des technos et des méthodes KISS :-)

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Dans un monde où les technos de développement permettent de linker en statique ou de tout empaqueter dans un seul fichier, est-ce qu'une solution comme Nix n'est pas overkill ?

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Nimrod est assez proche de ça :-)

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

C et C++ ?

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

L'avantage d'être ceinture noire d'asocialilité, c'est que tu peux lui répondre et alors ? voilà un PC sous Debian, c'est le seul ami dont tu auras besoin !

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Pour le toolkit, il suffit de choisir le meilleur existant, c'est à dire heu…

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

A priori, QNX est en prod depuis un moment.

Sinon en plus répandu, il y a la pile d'Android : https://source.android.com/docs/core/graphics/architecture

Plus globalement, si je devais imaginer une pile graphique, je partirais des besoins des utilisateurs pour en déduire ce qu'il faut inclure:

• pour les devs: facile à comprendre et à utiliser => une API de dessin ;
• pour les utilisateurs: facile à configurer et uniforme => un toolkit unique pour toutes les applications afin de pouvoir configurer les polices/thèmes/raccourcis/… pour tout l'OS et pas par appli ;
• pour les mainteneurs : facile à contribuer sur un petit bout de code => un système de modules/plugins/extensions ;
• pour les utilisateurs (bis) : on utilise rarement un affichage seul, il faut que ce soit synchro avec l'audio et les entrées => là c'est plus dur à envisager :-)

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Le mieux c'est d'avoir une carte de visite pour les employés mal comprenant.

Et écrit gros pour les mal voyants.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Le dilemme est facile à résoudre : à l'auditeur français, il suffit de présenter la politique de diversité. A l'auditeur américain, il suffit de présenter ses résultats.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Les mails! Attrapez les tous!

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Pour contourner les malices des vils sites mal codés, j'utilise un alias pokemon.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board

Ce n'est pas un choix si ça t'est (quasi) imposé.

Ce post est offensant ? Prévenez moi sur https://linuxfr.org/board