dudule42 a écrit 44 commentaires

Effectivement un très long texte alors que la base du protocole n'est pas clairement expliquée.
Une fois le calcul est "HMAC-SHA256(secret, domaine)" puis il devient "HMAC-SHA256(mot, domaine + sel)" dans une réponse sans justifier pourquoi le sel a été ajouté. L'IA a dû trouver que ça faisait bien d'ajouter du sel.

La formule de calcul du mot de récupération n'a aucun intérêt puisque le calcul n'est fait que côté client. Le serveur vérifiera juste que le secret qu'il reçoit correspond à celui que l'utilisateur a fourni à l'inscription.
Le serveur doit stocker 2 secrets au lieu d'un seul. L'utilisateur doit se souvenir de 2 secrets au lieu d'un seul.

J'aime beaucoup aussi "Le secret n'est donc pas dans le mot de passe, il est dans le moyen de le retrouver, sans e-mail ni tiers.". Le mot de passe n'est même plus secret ?

Dans le cas de récupération du niveau 3 nous avons "Identifiant public" et "Username". Les deux sont publiques et donnent déjà 50 points sur 100. À 60 points on a accès à la réinitialisation automatique.
Il manque juste les "Bonus passifs : IP connue (+5), fingerprint connu (+5)."
Donc n'importe qui, depuis le navigateur habituel de l'utilisateur (IP connu + fingerprint connu) a un total de 60 points et peut fait un reset du mot de passe.
C'est peut-être ça la vrai innovation ? :-)

Excellent article.
Je note 2 typos :

la constante de Boltzmann, k, est égale à 1,380 649 × 10^{–23 J/K}

L'unité J/K ne devait PAS être en exposant.

l’efficacité lumineuse d’un rayonnement monochromatique de fréquence 540 × 10 12 Hz

C'est 540 x 10¹² avec le 12 en exposant.

Je vois dans les exemples des appels à iptables mais aucune utilisation de ip6tables.

Sur le blog j'ai trouvé:

  patterns: {
    ip: {
      regex: @'(([0-9]{1,3}\.){3}[0-9]{1,3})|([0-9a-fA-F:]{2,90})',
    },

qui semble matcher des adresses IPv4 et aussi IPv6. Mais toujours pas d'appel à ip6tables.

Une des limitations de fail2ban est l'absence de support d'IPv6. C'est ce qui m'a fait changer pour Crowdsec.

Est-ce que reaction supporte IPv6 ?

Le problème de pcscd qui ne démarre pas tout seul est surement le bug pcscd: dh_installsystemd doesn't handle files in /usr/lib/systemd/system #1034209 (Debian) ou pcscd.socket is disabled after installation (Ubuntu)
Il a été corrigé juste avant la release de Debian 12 (Bookworm) en juin 2023.

Concernant la distribution utilisée par l'auteur du journal je ne sais pas puisque la distribution n'est pas nommée.

Je pense que plus aucun réseau local n'est sûr.

Exact.

Pour résoudre ce problème socat(1) sait faire du TLS pour chiffrer la communication.

J'ai même travaillé sur un patch de socat pour faire de l'authentification du client par le serveur avec une carte à puce (ou tout autre token PKCS#11). C'est sur mon blog "PKCS#11 support in socat"

à propos de la sérigraphie des touches : est-ce que, pour l'AZERTY+, elle sera conforme à la figure sur https://norme-azerty.fr/#explore avec en particulier les caractères obtenus par Alt-GR sur les touches en question (en version Mont Inaccessible) ?

Par exemple la touche du 9 indique t'elle aussi « et " ?

J'ai bien envie d'avoir un clavier AZERTY+ mais sans les caractères dessinés sur les touches modifiées ça va pas être facile.

PS : désolé pour la question sur les dimensions du clavier. Je n'avais pas vu qu'il y avait une FAQ :-)

Ni dans l'article ni sur la page kisskissbankbank je n'ai trouvé les dimensions du clavier.

Comme c'est de l'Open Hardware je me suis dis que l'information devrait se trouver quelque part. Et je crois que j'ai trouvé sur #910-001-Casing-Clavier.PDF. C'est juste la tôle du dessous. Mais je ne pense pas que le clavier entier dépasse. Pour la hauteur il y a bien le schéma d'un galet dans #G10-001-Galet.PDF mais pas sa hauteur :-(

Les dimensions sont donc de 362 mm x 128 mm. J'estime la hauteur totale à 1 ou 2 cm.

C'est un clavier 40% plus petit que mon clavier actuel : un Cherry Secure Board 1.0 (~9 cm moins large et ~4 cm moins profond). Et c'est pas forcement plus mal.

En y réfléchissant, c'est un clavier pour ordinateur portable donc c'est pas surprenant qu'il soit plus petit qu'un clavier "classique".

Je n'ai pas trouvé non plus la longueur du câble micro USB. J'espère qu'il sera assez long.

Peut-être que la (petite) taille peut être un argument de vente à mettre en valeur ?

Du côté macOS, la vie est beaucoup moins rose, avec une activité lente, sinon moribonde.

Je ne pensais pas que c'était à ce point.

Je suis développeur. J'utilise macOS et un peu GIMP.
Je peux me dévouer et voir ce que je peux faire pour le package de GIMP pour macOS.
Si il existe une machine de build GIMP pour macOS c'est déjà un (très) bon départ.

Je fais déjà le package macOS pour Grisbi (Voir https://linuxfr.org/news/sortie-de-la-version-2-0-de-grisbi-logiciel-de-comptabilite) donc j'ai un peu d'expérience avec les applications GTK+ sur macOS. C'est pas simple (beaucoup moins que sur GNU/Linux) mais faisable.

La liste gimp-developer-list semble avoir une activité raisonnable. C'est là que je fais ma proposition ? :-)

Toutafé. Je viens de téléverser 0 A.D. alpha XXIV dans Debian experimental.
C'est trop tard pour Bullseye qui est déjà en soft freeze et passe en hard feeze le 12 mars 2021 (dans 5 jours).

Voir aussi la réponse sur la liste debian-devel-games https://lists.debian.org/debian-devel-games/2021/03/msg00001.html

Un grand merci à Benoît Sibaud pour son patch dans https://linuxfr.org/users/oumph/journaux/compilation-de-0-a-d-alpha-24-pour-debian-buster qui m'a motivé et montré que c'était pas trop compliqué :-).

J'ai utilisé Grisbi pendant des années, mais j'ai fini par laisser tomber. Beaucoup de bugs, et surtout c'était mort (pas de release, aucune réaction sur les bugs).

Grisbi est un vieux projet (1er commit en 2002 d'après git log). Les mainteneurs ont changés au cours du temps et la motivation aussi.

Par exemple j'ai commencé par utiliser Grisbi comme simple utilisateur, puis j'ai proposé des patchs, puis corrigé le code dans le repository officiel, puis modifié le site web. Et maintenant je fais une annonce de Grisbi 2.0 sur LinuxFR :-)

C'est l'occasion de jeter un coup d’œil. Si je vais sur le site, j'ai
"Dotclear
Blog is not defined.
Did you change your Blog ID?"

L'équipe de Grisbi actuelle n'a pas d'accès root au site web. Je peux juste ajouter des articles dotclear. Oui, le site web et un peu en panne et certaines pages ne s'affichent pas correctement. Le problème est connu et on essaie de le corriger.

Grisbi utilise déjà un fichier de lock pour éviter que le même fichier soit modifié par 2 Grisbi en même temps.
Le fichier de lock pour /path/machin.gsb est /path/.machin.gsb.lock. Donc si /path/ est sur un partage synchronisé il n'y rien de plus à faire à la main.

L'article est vraiment excellent. Bravo.

Je note une erreur sur le fonctionnement de pcsc-lite dans la chapitre « Le middleware PCSC-Lite ». Les lecteurs USB sont, bien sûr, détectés lors de leur branchement et pas seulement au démarrage de pcscd. Sinon c'est pas la peine de faire de l'USB.

La commande pcscd --hotplug ne sert que pour les lecteurs série ou PCMCIA. Ces lecteurs ne sont plus trop utilisés je crois :-)

De plus pcscd n'est pas forcement lancé au démarrage mais peut l'être à la demande d'un programme en utilisant systemd. Voir http://ludovicrousseau.blogspot.fr/2011/11/pcscd-auto-start-using-systemd.html

Bonjour labiloute,

J'ai installé le bidule sur un Ubuntu 12.04 i386 et j'ai une erreur comme quoi mon GALSS.INI est non conforme.

Je m'y connais en carte à puce (étant l'auteur de pcsc-lite) mais pas encore en carte vitale. Y'en a qui font vraiment des logiciels compliqués :-)

Merci de me contacter

http://ludovicrousseau.blogspot.com/

Y'a, par exemple, des exemples de programmes pour causer à une carte à puce en plein de langages http://ludovicrousseau.blogspot.com/2010/04/pcsc-sample-in-d(...)

Le logiciel sur le site de l'ANTS n'est pas un pilote de carte à puce mais un intergiciel fournissant une interface PKCS#11 (http://www.rsa.com/rsalabs/node.asp?id=2133).
Le logiciel s'appuie (sur Unix) sur pcsc-lite (http://pcsclite.alioth.debian.org/ BSD) et le pilote CCID du lecteur (http://pcsclite.alioth.debian.org/ccid.html LGPL).

Le projet OpenSC (https://www.opensc-project.org/opensc) est un équivalent libre du logiciel de l'ANTS.

D'ailleurs si vous chercher un lecteur qui fonctionne sur GNU/Linux je recommande http://pcsclite.alioth.debian.org/section.html

Il semble qu'ILOG va bientôt changer de nom pour IBM.
"IBM Annonce le Projet d'Acquisition d’ILOG" http://www.ilog.fr/corporate/releases/fr/080728_ibm.cfm

L'Europe va donner des sous à IBM ?

Peut-on estimer le gâchis de tous ces octets téléchargés pour rien ?

Je ne sais pas.

Mais je me pose une autre question : est-ce que les routeurs et autres éléments de l'infrastructure Internet consomment moins quand il n'y a rien à transmettre ?

Exemple précis : est-ce que ma freebox consomme moins si je ne transfert rien ? Je dirais non.
Quelqu'un a un avis autorisé sur la question ?

Ça me fait penser que la DGME fait développer des logiciels propriétaires. Le cas qui m'intéresse ici et le projet Adèle (Administration en ligne) [http://fr.wikipedia.org/wiki/ADELE] et la prochaine carte d'identité française à puce appelée carte IAS (Identification Authentication Signature) [http://synergies.modernisation.gouv.fr/article.php?id_articl(...) et http://pilotecarteias.referentiels-generaux.gouv.fr/].

La carte à puce IAS devrait être utilisée par les citoyens pour accéder aux serveurs de l'administration française pour faire du téléservice. Il y a un schéma ici [http://www.synergies-publiques.fr/rubrique.php?id_rubrique=1(...)].

Le problème est que pour utiliser la carte IAS il faut installer un pilote qui n'existe qu'en logiciel propriétaire. Il est gratuit et disponible sur [http://pilotecarteias.referentiels-generaux.gouv.fr/] mais n'est pas libre et le code source n'est pas disponible. Les seules plateformes supportées sont Windows (2000, XP, Vista), Mandriva 2007 et Mac OS X 10.4.

Il est prévu une présentation d'Adèle lors de Solution Linux 2008 [http://www.synergies-publiques.fr/article.php?id_article=839]. Je ne sais pas si la partie carte à puce (avec son pilote non libre) sera abordée.

- pourquoi financer des logiciels propriétaire ?
- comment feront les citoyens qui n'utilisent pas une des 3 plateformes supportées ?
- comment faire confiance à un logiciel propriétaire ?

Une bonne base pour faire un équivalent en logiciel libre est OpenSC [http://www.opensc-project.org/]. La carte IAS n'est pas encore supportée mais j'imagine que des sociétés françaises sont capables d'ajouter ce qui manque.

Sur ma Debian j'ai une commande ffmpeg2theora :

ffmpeg2theora is a program that converts any media file that ffmpeg can decode to Ogg Theora for video and Ogg Vorbis for audio.

Je m'en sers pour réencoder les fichiers .avi de mon APN.

C'est pas un scrpt mais un binaire. ll est fournis par le paquet Debian ffmpeg2theora (http://packages.debian.org/unstable/graphics/ffmpeg2theora).

Je n'ai aucune idée en ce qui concerne la comparaison sur la vitesse par contre.

« RC : Le choix de la distribution se fera au moment de la conclusion de l'appel d'offres. Le prestataire choisi proposera un poste de travail type, et aura en charge le déploiement de la solution ; il devra en outre s'assurer de la compatibilité matérielle des nouveaux ordinateurs avec sa solution logicielle. »

Ce que Richard Cazenave utilise à titre personel est son problème. Peut-être qu'il a pris un abonement de support payant chez Ubuntu ? Le choix de migration de l'Assemblée Nationale va de toute façon générer de l'argent dans le monde du logiciel libre.

Je n'ai rien contre Mandriva, j'ai même souscris au club Mandrake quand la société allait mal.

C'est incroyable le nombre de personnes qui croient que des professionnels font forcement du meilleur travail que des amateurs, surtout en programmation logiciel.

- Le professionnel est quelqu'un qui est payé pour faire ce qu'il fait.
- L'amateur le fait pour le plaisir et/ou parce qu'il en a besoin.
D'après vous qui fait le plus attention à ce qu'il fait ?

Travaillant dans une equipe de développement soft (en propriétaire mais je travaille sur une version Linux du produit dans mon coin en réutilisant/améliorant plein de composants logiciel libres) je peux vous dire que mes collègues font ce qu'ils font pour bouffer, pas pour le plaisir ni, surtout, parce ce qu'ils ont besoin du soft qu'il développent.

Une remarque provocative : avoir des bugs à corriger permet de continuer à avoir un boulot.

NetBSD supporte un nombre impréssionnant de plate formes.
Et pourtant le nombre de contributeurs est inférieur à celui de Debian.
Comment font ils?

Ils ne supportent pas toutes les plateformes annoncées ?

Je viens de vérifier pour le port Atari/m68k (http://www.netbsd-fr.org/mirror/Ports/atari/).(...) NetBSD 2.0 est sortie en décembre 2004 avec le support officiel de l'Atari/m68k mais les binaires ne sont pas disponibles. Alors que Debian sarge existe pour m68k.

Donc Debian n'a pas la même défintion de « plateforme supportée » que NetBSD.

Notre gouvernement actuel (qui n'est pas trop différent de celui d'avant le 29 mai) est à la fois pour le logicel libre et pour les brevets logiciels.

Donc ne s'en sortiront que les grosses entreprises du logiciel (Françaises ou non) qui ont un portefeuille de brevets et peuvent se défendre/attaquer en utilisant les brevets.

Pour Renaud Dutreil actuel (post 29 mai) ministre des Petites et Moyennes Entreprises, du Commerce, de l'Artisanat et des Professions libérales c'est un discours qui pose certaines questions. Le gouvernement ne travaillerait que pour les grosses sociétés qui arrivent à se faire entendre à l'élysée et à matigon ?

La réponse est non. Ce sont les auteurs de Subversion eux-mêmes qui le disent.

voir http://subversion.tigris.org/subversion-linus.html(...)

c'est une forme d'art.

Et donc non brevetable...