Joris Dedieu a écrit 1614 commentaires

Je ne connaissais effectivement pas la relation entre la forme ascii et Unicode des IDN ainsi que la façon dont tout ça est définie dans la rfc5890. J'aurais du être plus nuancé. Ma grande faute. Pardon aux familles.

Je me demande toutefois si il ne faudrait pas également nuancer l'affirmation inverse ?
Dire aujourd'hui en l'état des implémentations que le DNS supporte Unicode me semble un peu péremptoire.

Ce que je comprends du truc c'est qu'il existe un équivalant Unicode (u-label) au pnuycode (a-label) et inversement. Je ne remets pas en cause l'existence des nom de domaines internationalisé.

La question que je me pose est dans quelle mesure le u-label est utilisé pour autre chose que l'affichage et éventuellement la conf. Y-a-t-il du transfert binaire directement en unicode ?

En tout état de cause ce que décrit la rfc5890 ne peut en aucun cas être pris comme une prise en charge directe d'utf-8 par les dns.

Je cite le post de Bortzmeyer :

Toute chaîne Unicode n'est pas forcément un U-label. Elle doit être normalisée en NFC et ne compter que des caractères autorisés. Tout U-label peut être converti en un A-label unique et réciproquement.

On peut tout à fait définir des noms de domaines contenant des octets hors ASCII,

Tu aurais une référence la dessus ? Parce que je n'ai pas trouvé grand chose si ce n'est une doc de Microsoft de 2005 qui explique qu'ils ont fait cela en dehors du cadre des rfc :

http://technet.microsoft.com/en-us/library/cc738403%28WS.10%29.aspx
> To remove these limitations, Microsoft expands DNS character support beyond the RFC 1035 specification. The DNS service now provides enhanced default support for UTF-8, a Unicode transformation format.

Après c'est vrai que la rfc1035 n'interdit pas explicitement l'usage d'octets non ascii, je trouves le paragraphe "2.3.1" quand même relativement explicite à ce sujet

ben oui, si je ne suis pas francais (clavier anglais), comment je fais pour aller sur le site santé.fr ?

santé.fr c'est xn--sant-epa.fr. Le protocole dns ne gère pas l'unicode.

Va dire ça à Mallaury Nataf.

Il n'y a également une allusion à un film dans le journal. Saurez-vous trouver lequel ?

Tu as bien fait de le rajouter, j'ai été trop vague sur ce point.

Après en raisonnant par l'absurde on peut aussi se poser la question de savoir si les apiculteurs produisant du miel transgénique devront payer une redevance à Monsanto.

Le miel ne dispose pas des éléments minéraux nécessaire à la fermentation. Si tu veux le faire fermenter il faut nécessairement les rajouter. Cf l'article de wikipedia sur l'hydromel. http://fr.wikipedia.org/wiki/Hydromel#Sels_nourriciers

ITK est ~2 à 5 fois plus lent que apache-prefork, mais beaucoup plus rapide que suphp ou suexec. Le plus efficace semble être mpm-peruser, mais n'est pas packagé dans debian. Des infos : http://blog.stuartherbert.com/php/2008/03/20/using-mpm-peruser-to-secure-a-shared-server/

Le problème est complexe et n'a pas de bonnes solutions. Pour ma part mes tests montrent de bien moins bons résultats avec itk qu'avec suexec. suphp est disqualifié pour cause de cgi.

En tout état de cause je déconseillerai vivement l'utilisation de itk ou peruser pour la simple et bonne raison qu'ils nécessitent de faire tourner apache en tant que root.

La gestion de la mémoire. php fuit,

l'empreinte mémoire d'un processus php laissé en tâche de fond augmente. C'est d'ailleurs pour cela que la variable PHP_FCGI_MAX_REQUESTS a été créée.

Tu peux détailler ?

Je parlais de tous ces exploits qui ont permis la désactivation de l'open_basedir, du safe_mode, du disable_functions. J'avais lu un article à ce sujet (dans misc peut-être) je n'arrives pas à remettre la main dessus. De ce que j'ai compris dans la quasi totalité des cas c'est on arrivait dans un traitement (particulièrement dans un traitement d'erreur) à modifier une variable dans la conf. Il faut vraiment que je retrouve cet article sinon je vais dire des conneries.

Je parle aussi du fait que l'utilisation sur des serveurs en thread n'est pas possible. Parce qu'au dernières nouvelles le parser n'est ni thread-safe ni réentrant.

L'utilisation en event n'est pas possible non plus car le processus php ne peut rester en tâche de fond pour cause de gonflement de l'empreinte mémoire.

On doit donc rester dans un modèle un processus par requête.

e pense que tu parle de récusion. En effet, PHP crash en cas de récursion trop profonde, parce que chaque niveau de récursion prend un peu de place sur la pile, et quand la pile est pleine, ça crash.

Oui ça crashe et c'est bien normal. Par contre sous apache ça te sert une page et pas en fastcgi. Il n'y a pas de mystère la dedans. C'est la gestion de la sortie standard qui est différente. Le problème ici n'est pas d'avoir une erreur 500 en fastcgi mais d'avoir un 200 sous apache.

De quoi tu parles ?

Voir plus haut

Ce sont des "features" dépréciée et désactivée par défaut dans 5.3.

Non. Les fonctions de sandboxing ne sont pas dépréciées (sauf le safe_mode).

Et permet moi d'avoir un léger doute quand je vois comment un serveur http a été introduit à l'arache dans la sapi cli. Php 5.3 est un progres peut-être mais beaucoup de travail reste à faire.

Pour open_basedir je n'ai rien constaté d'hallucinant personnellement

teste avec magento c'est flagrant. Après est-ce l'open_basedir ou un effet induit par l'open_basedir. Je ne saurais le dire.

Mon propose concernait la suppression de ces fonctions de "sandboxing".

La possibilité d'utiliser des urls dans les fopen, file_get_contents etc. : je vois pas trop le souci ?

je dirais que c'est bien ça le problème. Coder un client http robuste ne se limite pas à faire un fopen. C'est bien pour un environnement de bureau mais pour du code serveur il y a un tas de problèmes à gérer qui méritent un minimum d'attention. Tu ne peux pas présumer d'un tas de circonstances au niveau du réseau ou du serveur en face. Curl t'offres les moyens de faire ça, url_fopen non.

Parler d'efficacité mémoire et des avantages de Suhosin

Je ne parle pas d'efficacité. Je parle de sécurité.

NE pas confondre mature (adj.) et mâture (nom féminin)

De toute façon maintenant on dit cougar

Désormais, les test unitaires accompagnant PHP seront tous valides

Marf ils vont faire quoi ? Si j'étais mauvaise langue, je dirais supprimer ceux qui ne passent pas ?

Plus généralement (et n'oublions pas qu'ils nous avaient déja fait le coup avec la 5.2.15), il y a deux problèmes fondamentaux :

• la gestion de la mémoire. php fuit, php est capable de s'écraser lui même en parti, php n'est pas réentrant ...

Cela est un problème fondamental car, il implique un comportement aléatoire du code en fonction des spécificités de l'environnement (typiquement ça marche sur mon ubuntu mais pas chez mon hébergeur).

Le cas typique est une fonction qui boucle à l'infinie avec un final une page en module apache, pas de page en fastcgi.

Suhosin est pour l'heure le seul mécanisme à sécuriser ce point un tant soit peu (suhosin.executor_maxdepth par exemple). Mais finalement le travail est gigantesque. Car c'est le fonctionnement de l'interpréteur lui même qu'il faudrait pouvoir remettre en cause.

La contrainte est qu'il faut assurer le recyclage des process, ce qui avec du code mal branlé et en haute charge peut se finir par un système qui passe son temps à forker. C'est aussi l'impossibilité d'utiliser php directement en threads ou en event.

• l'approche par sandboxing dans le core mais oui mais non (j'ai nommé le safe_mode, l'open_basedir, le disable_functions, le logging de la fonction mail, le memory_limit, le max_execution_time ...).

Le problème de cette approche est qu'elle donne l'illusion d'une sécurité alors qu'elle n'est en soit qu'un ralentisseur (en gros ça sécurise pour peu que l'attaquant soit mauvais). La encore elles rendent l’exécution du code très dépendante du déploiement.

A mon sens ce code devrait se retrouver dans la partie sapi (lien avec le serveur) en tirant partie des fonctionnalités de l'OS et pas dans le core. Elles sont en plus souvent mal branlés. L'open_basedir par exemple effectue un nombre d'appels système stat simplement hallucinant. Cela veux aussi dire qu'il y a une grosse partie du code à refactoriser, pour augmenter l’homogénéité des contrôles et des appels.

• Les fonctions magiques register_globals, magic_quotes, url_fopen ...

Ces fonctions favorisent inutilement l'écriture de mauvais code.

Bref, j’espère que php va s'améliorer en terme de sécurité. Mais pour l'heure ce que je connais du code et la pratique que j'en ai comme sysadmin, me font douter de cette possibilité si ce n'est en passant par une quasi réécriture du core qui s'il pouvait en plus être lisible, me permettrait de classer php dans autre chose que la liste des softs insecure by design.

J'aime bien php. Il permet à plein de gens de faire des sites facilement. Il est un élément fondamental de la démocratisation du web. Mais de la à parler de sécurité ...

de manière à toujours envoyer la même session sur le même esclave derrière (sympa pour la consistence).

Pourquoi il existe des loadbalancers qui ne font pas ça ?

Mon choix s'était porté sur mod_proxy_balancer parce qu'il fait partie d'Apache

Il me semble que le problème principal de cette solution est justement que tu restes dans le modèle apache soit 1 proc/thread par client. Ce qui constitue une sérieuse limitation.

Du coup tu n'en profite pas pour évacuer les merdes au niveau du proxy. Comment fais tu au niveau du MaxClient ? Tu restes avec la même valeur des deux côtés ? Et pour le keep-alive. Tu en fais en server-side également ? Tu as fais des tests sur de simples attaques par 408 ? Qu'est-ce-que ça donne ? Tu fais le reroutage des requêtes (301, 302) au niveau du proxy ou sur ton backend ?

Si je pose ces questions c'est parce que le sujet m’intéresse hein, y a pas de piège.

"LE SUPERMARCHÉ DE L'ART - L'ART DU SUPERMARCHÉ"

C'est sûr que quand les artistes dépendaient du bon vouloir de l’évêque du coin pour vivre c'était beaucoup mieux.

Je finirais juste par un truc que j'aime bien : l'art n'est pas une marchandise.

Yop camarade, vive l'art subventionné.

Donc tout se résumerai à la culture?

Non mais c'est le propos ici.

nettement plus "utile" à la société que ne l'est universal.

Universal est une verrue tout le monde est d'accord avec ça. Tu aurais plus rajouter les liens entre Apple et Pixar.

Oui ce ne sont pas les plus gros producteur, mais ce n'est pas leur cœur de métier.

L'idée que je défend c'est qu'ils sont aujourd'hui légitimes pour que ça le devienne. Car c'est eux que les gens payent pour accéder aux biens culturels. C'était d'ailleurs le projet de MegaUpload. Mais je ne me fais aucune illusion. Le mécénat, la production sont des activités fortement risqués et peu rentables.

Le jeu vidéo est un bon exemple de ce qui est possible. Pour vendre des consoles, Sony, Nintendo, MS ont besoin de jeux. Du coup ils produisent, ils financent les projets, ils aident les studios et tout l'écosystème.

Faire la même chose pour de la musique, des films ou des oeuvres écrites lorsqu'on vends de l'hébergement de vidéo, des baladeurs, des media-center ou des liseuses ne semble pas aberrent. Ce n'est pourtant pas le cas.

mais c'est surtout un con qui pue la mauvaise foi.

Merci pour te réponse si finement argumenté. J'ai adoré le coup du "besoin humain de base". Je vais peut-être te surprendre, mais je ne suis pas d'accord avec toi sur ce point. La culture est un besoin humain de base parce qu'être humain c'est du langage, des mots au travers desquels nait la conscience de soi, l'individualité.

Ce que je réclame c'est de pouvoir faire la même chose avec un film qu'avec un bouquin. Rien de plus mais rien de moins. Ce n'est pas me semble-t-il quelque chose d'hallucinant. Et d'ailleurs, si tu connais un marchand qui offre cette possibilité, je te remercie de me filer son adresse. Pour l'instant je n'ai pas trouvé. Je peux te garantir par contre que d'ici quelques années beaucoup seront contant que des gens comme moi prennent le temps de stocker certaines oeuvres proprement. Ce n'est pas que consommer en rachetant le même film tous les 10 ans sur un support différent jusqu'à ce qu'il ne soit plus réédité. Ce que je fais, c'est avant tout collectionner, aimer et conserver.

Le second point te concerne sans doute plus directement. Aujourd'hui les gens payement leur téléphone portable, leur accès internet, leur abonnement à quelques sites, leurs logiciels, du matériel informatique ... Leur budget loisir à été capté par l'industrie autour d'internet. Et cette industrie dont une grande part du succès vient du fait que les gens veulent pouvoir "télécharger" ou au moins visionner et écouter, bref qui fait son beurre avec les produits culturels des autres, ne produit strictement rien.

Pour moi à l'heure actuel le fait que Google, Apple, Microsoft ne soient pas les plus gros producteurs de bien culturel montre à quel point ces sociétés sont dans une logique de pure accumulation primitive et n'ont aucun sens du bien commun. Le moindre bourgeois au 19eme faisait mieux que ça.

Cher Artiste Volé,

L’indigence de ton argumentation n'a d'égal que ta mauvaise fois. Tu as du mal à vivre de ton travail alors tu t'en prends à quelqu'un. Et comme tu espère être un artiste sous contrat, tu nous ressert le discours de tes maitres. Je pensais que l'Art menait vers la lumière, je vois qu'il mène aussi à la consommations d'idées reçus et mal digérés.

Je suis un pirate et j'ai deux choses à te dire :

1) Je suis prêt à payer mais :

• Je veux une copie de l’œuvre pas un droit d'utilisation
• Je veux pouvoir partager avec mes amis les choses que j'ai aimées.
• Je veux un format correct et un support solide
• Je veux des produis interopérables
• Je veux une qualité impeccable
• Je ne veux pas de pub

2) En leur temps les chaines de télé ont fait de la production. Les radios ont contribué à l'industrie musicale. Va voir les géant d'internet, les FAI et les opérateurs mobile. Ceux sont eux qui ont capté le poste loisir des ménages. Fait les cracher et arrête de chier sur ton public (si tu en as un).

En attendant amis Artiste, je renouvelle mon abonnement à supernews. Au moins je sais pourquoi je paye.

Je te fais de bien gros bisous affectueux
Mes deux cents
Joris

a seule grosse différence est que j'utilise mod_proxy_balancer de Apache, qui est très bien fait plutôt que Pound. Mais je connais des gens qui utilisent des LB hardware ; à toi de voir.

As-tu essayé haproxy ? Parce que quand même au niveau lb c'est quand même la référence et de mon point de vue la rolls.

Elle à l'air intéressante cette tablette ! Tu as une idée de l'autonomie ?

+1
Y a un modem 3g ?

ainsi qu'a flashcode et compagnie pour le driver Eci,

C'est clair. Le jour ou le truc a enfin clignoté c'était le bonheur intégral. Sans parler du lobbying intense pour essayer de le faire inclure dans Mandrake :)

Manque juste des téléphones, tablettes le supportant.

racheter un smartphone tout les 2 ans

Tout les 6 mois tu veux dire

Juste deux détails pour faire mon chieur.

rsync avec des liens symboliques pour gérer la "déduplication"

Tu veux dire des liens hard

rsync + cp -l

rsync sait faire ça comme un grand

man rsync 
/--link-dest=

Pour la faire revenir, j'ai dû relancer gnome-screensaver et forcer le verrouillage à la mano (gnome-screensaver-command -l) et déverrouiller ma session normalement.

T'es bien patient. Moi j'ai fait alt+F2 / urxvt / pkill -U joris :)