Glandos a écrit 1217 commentaires

Y a une présentation là : https://ploum.net/offpunk-et-cyberpunk-le-texte-et-la-voix/

LibreElec ne fait pas usage de X également (peut être utilisent ils directement le framebuffer ?);

Ça utilise GBM. Ça se lance avec /usr/bin/kodi-standalone --windowing=gbm, et ça utilise directement les pilotes graphiques, l'écran, sans X ni Wayland. Évidemment, c'est qu'une seule application à la fois. Et c'est complètement parfait chez moi.

Ça, ça sent la tentative d'écrire dans le localStorage alors qu'en navigation privée, c'est pas possible. Ou alors dans je sais plus quelle base de données accessible. Mais j'ai déjà eu ce problème, et avec Firefox en navigation privée, ça fait ça.

Mais il est obligé de mettre son GROS micro dans le champ ? ;)

Mes repères sont très perturbés.

Le concepteur d’un code informatique est toujours protégé par le droit d’auteur (copyright) dont la portée mondiale est de 70 ans.

Ah non, au Canada, c'est 50 ans.

Le modèle de sécurité de Android est quand même vachement bien pensé et implémenté. Il a mis longtemps à arriver dans cet état, mais voilà, on finit avec quelque chose qui tient la route, tant du point de vue de l'utilisateur que de la sécurité (la fameuse histoire du compromis).

Le Google Play Store est toxique, et c'est ce que j'essaye de mettre en avant. Il demande un compte, même « factice » qui permet de suivre mes usages. Et il donne accès à une autorité tierce pour supprimer sans ma permission des logiciels. Je ne sais même pas pourquoi ce n'est pas encore envisagé comme angle d'attaque dans le monde juridique actuel. Bref.

Les magasins alternatifs tels que F-Droid sont nés de ce constat, et ont donc évité soigneusement ces écueils. Comme tous les libristes, j'ai des grosses œillères quand il s'agit de voir les défauts d'un logiciel libre et promouvant ses valeurs. Donc j'apprécie fortement ces contrepoints. Qui en plus sont techniquement recevables, et proposent des solutions : il est coûteux de le faire, mais faire évoluer le modèle de confiance de F-Droid est possible.

Rien que pour ça, j'ai « pertinenté » les commentaires. Le point de vue est différent, les arguments sont détaillés. Ils peuvent ne pas plaire, mais pour une fois que c'est ouvert à la discussion, laissons là s'installer.

Je ne pourrais pas me passer de la liberté d'installer les logiciels que je souhaite sur mon ordinateur. Quand je vois le chemin qu'emprunte Windows 11, je suis abasourdi. Et en même temps, je constate qu'importer le modèle de sécurité des systèmes mobiles sur les ordinateurs de bureau ne serait pas … inutile.

L'article fait vraiment le tour de ce qui ne va pas avec F-Droid, sans pour autant dire que c'est impossible de corriger le tir.

Mais je trouve qu'il minimise grandement le problème Play Store. Il est :
- Impossible de savoir si une application est libre, et de trouver son code source
- Impossible de savoir si une application pratique le suivi des utilisateurs
- Difficile de savoir si les recommandations ne sont pas là pour nous faire baver

F-Droid télécharge un index complet, local, et on peut faire des recherches dedans. Sans compte. La critique sur Aurora Store est particulière :

I’d recommend against using the shared “anonymous” accounts feature: you should make your own throwaway account with minimal information.

Je ne devrais même pas avoir besoin d'un compte chez un tiers pour installer un logiciel sur une machine qui m'appartient. Surtout quand ce tiers a la possibilité de supprimer ces mêmes applications sans ma permission.

Enfin, il pointe vers une future application (https://github.com/GrapheneOS/Apps) qui est prometteuse. Et vers une tentative de dépôt d'applications qui corrigerait les manquements de F-Droid et Aurora Store (https://nitter.fdn.fr/lberrymage/status/1475307653089792003), même si ce n'est qu'un projet. C'est quand même une bonne note de fin.

Merci pour ce retour, c'est quand même vachement intéressant.

Par contre, le gros défaut des AAB, c'est que c'est forcément lié à Google, il me semble. Merci de me contredire, ça me fera plaisir.

Et les magasins alternatifs peuvent-ils gérer les AAB ? Sinon, est-ce que des versions mise-à-jour seront disponibles sur F-Droid malgré tout ?

Les APK, c'est bien. J'ai une tablette à la maison qui est verrouillée : elle n'a pas Internet. Je télécharge l'APK à la main, transfert via Bluetooth, et pouf, GCompris est disponible.

https://www.elsalvador.com/opinion/caricaturas/alecus/caricatura-de-alecus/897117/2021/

J'aime beaucoup aussi la phrase d'intro :

Libertarianism's attraction is based on ignoring externalities, and cryptocurrencies are no exception.

Avec ça, j'ai plus trop besoin de lire la suite. Mais si, je vais quand même le faire ;)

Tiens, autre extrait intéressant :

Anonymity for small transactions is important, but for large transactions it provides the infrastructure for major crime. In the physical world cash is anonymous, but it has the valuable property that the cost and difficulty of transacting increase strongly with size.

J'adhère, parce que oui, on a tous besoin d'anonymat. Mais quand on paie 100 000 € en liquide, y a rien de normal.

Allez, ça m'a motivé : https://news-web.php.net/php.internals/117005

Je me servais de https://www.capeutservir.com/mots/ en 2005. C'est pas récent, et ça existe toujours ;)

Y a aussi systemd-socket-proxyd, qui permet de faire ça. Quand le service principal possède StopWhenUnneeded, ça l'arrête. Inconvénient : ça demande un deuxième socket, juste pour faire transiter les infos et que systemd-socket-proxyd puisse voir s'il y a de l'activité.

Du coup, je l'ai mis que sur les services qui n'ont pas d'activation par socket.

Et surtout vu les algorithmes utilisés. C'est sûr que tous les ordinateurs individuels font tourner des regex-redux en permanence.

C'est une excellente chose que d'avoir cette étude, mais il faut la garder dans son contexte : du calcul CPU intense.

En tant que développeur et possesseur d'une machine faible énergie pour auto-hébergement, j'ai étudié le comportement de pas mal de programme qui font des réveils inutiles. Et souvent, les développeurs en ont qu'une petite considération.

Par exemple, j'ai beaucoup bossé sur gunicorn : https://github.com/benoitc/gunicorn/pull/502 La démarche a été couronnée de succès (avec l'intégration de https://github.com/benoitc/gunicorn/pull/687) mais c'est un long combat.

Énormément de serveur font ce genre de truc, parce que juste c'est leur modèle : 1 réveil par seconde. Ça paraît peu, mais pour ma machine qui ne fait rien, c'est énorme. PHP-FPM fait ça par exemple. dnsdist aussi, etc. Ça consomme du courant, littéralement pour rien.

Allez, je partage mon retour, parce que je pense avoir amélioré le truc. Attention, seulement la partie FPM, je suis resté classique pour nginx, il tourne toujours en root.

Ce que je n'aime pas, c'est devoir écrire partout mon-application. Pour installer une nouvelle application, il faut copier-coller un fichier, et faire du rechercher-remplacer partout. Moins j'en fais, mieux je me porte. Et surtout, la maintenance est plus facile en cas d'édition d'un fichier.
Il se trouve que PHP (et donc FPM) supporte les variables dans le fichier de configuration. Donc on peut faire son fichier qui ressemble à :

• /etc/php/7.4/fpm/base.conf

[global]
pid = /run/${APP_NAME}/pid
error_log = /var/log/${APP_NAME}/error.log

[${APP_NAME}]
listen = /run/php/${APP_NAME}.sock
access.log = /var/log/${APP_NAME}/access.log

; single entry point
security.limit_extensions = /index.php

pm = ondemand
pm.max_children = 5
pm.process_idle_timeout = 600s;

Oui, je préfère ondemand, mais ce n'est pas le sujet. Le sujet, c'est ${APP_NAME}. Comment on lui passe ? Hé bien, on demande à systemd :

• /etc/systemd/system/php-fpm@.service

[Service]
Environment="APP_NAME=%i"

Et avec ça, il n'y a parfois aucune configuration supplémentaire. Par exemple, pour Roundcube packagé par Debian, j'ai un simple lien symbolique de roundcube.conf vers base.conf. Le service systemd est édité, pour autoriser les connexions à mon serveur de courriel.

D'ailleurs, je me suis permis de renforcer la sécurité en utilisant security.limit_extensions = /index.php ce qui empêche PHP d'accepter autre chose que /index.php. La valeur par défaut est .php, acceptant tous les fichiers PHP. Comme la plupart des applications n'ont plus qu'un seul point d'entrée, c'est toujours bon à prendre. Même si ça ne vous empêche pas de faire une configuration correcte de votre serveur Web en amont.

Enfin, clairement, DynamicUser=true, c'est compliqué. Par exemple, Roundcube de Debian peuple /var/lib/roundcube avec des liens symboliques un peu partout, et il faut que tout ça soit accessible à cet utilisateur dynamique. C'est quand même compliqué.
Donc j'ai mis en commentaire ça, et pour que les sessions marchent, j'ai remis ReadWritePaths=/var/lib/php/sessions. Oui, a priori ça va mettre les sessions dans le même répertoire, mais les droits semblent corrects…

Oui ! J'ai hérité d'un fabuleux préfixe de trait souligné. Ça me va bien comme ça ;)

Je sais, c'est juste qu'il manque celui de la fin pour faire de l’italique comme les autres. Et que je suis vexé d'être le dernier du classement du mois, évidemment.

Je me réponds à :

Ah, et pour ReadWritePaths avec DynamicUser, ça fait quoi ? Les fichiers sont écrits avec un UID/GID qui peut être réutilisé

En effet, pour la documentation de StateDirectory et consort, ça dit :

If DynamicUser= is used, the logic for CacheDirectory=, LogsDirectory= and StateDirectory= is slightly altered: the directories are created below /var/cache/private, /var/log/private and /var/lib/private, respectively, which are host directories made inaccessible to unprivileged users, which ensures that access to these directories cannot be gained through dynamic user ID recycling. Symbolic links are created to hide this difference in behaviour. Both from perspective of the host and from inside the unit, the relevant directories hence always appear directly below /var/cache, /var/log and /var/lib.

C'est compliqué. Ça veut dire aussi que l'application doit se trouver dans /var/lib/mon-application. J'avoue que j'aime bien /var/www/application.example.com/mon-application…

Très intéressant, merci.

Je m'étais attelé à la même tâche avec uWSGI, que je trouvais justement plus facile d'intégrer à l'activation par socket de systemd. Malheureusement… le plugin PHP (voir uWSGI en entier) est plutôt à l'abandon et le support de PHP 8.1 (qui vient d'arriver dans Debian/testing) est encore bien cassé. Le correctif a été intégré, mais il n'y a toujours pas de version publiée.

Donc je vais me pencher pour l'utilisation de PHP-FPM, en enlevant les pools que j'utilisais jusque là.

J'irais même jusqu'à créer des utilisateurs différents par applications (www-application1, etc) et à le mettre comme paramètre de l'instance php-fpm@.socket:

SocketUser=www-%i
SocketGroup=www-%i

Mais y a un truc que je ne comprends pas… Dans php-fpm@.service il y a SupplementaryGroups=%i ce qui veut dire que le groupe mon-application doit exister. Par contre, php-fpm@.socket crée un socket 0660 appartenant à php:www-data. Il manque pas un truc ?

Ah, et pour ReadWritePaths avec DynamicUser, ça fait quoi ? Les fichiers sont écrits avec un UID/GID qui peut être réutilisé :

Care should be taken that any processes running as part of a unit for which dynamic users/groups are enabled do not leave files or directories owned by these users/groups around, as a different unit might get the same UID/GID assigned later on, and thus gain access to these files or directories.

J'ai l'impression qu'un utilisateur statiquement défini est préférable si l'application a besoin d'écrire son fichier de configuration (au hasard, Nextcloud).

Pour rebondir, d'après la documentation, si DynamicUsers=true, plein d'options sont mises, donc le fichier est plein de redondances. Mais, c'est vrai, des fois, il vaut mieux être explicite…

• Google Cloud Platform (GCP) a activé HTTP/3 sans avertir les utilisateurs
• La télémétrie de Mozilla est sur GCP
• Le composant de télémétrie dans Firefox utilise un composant en Rust utilisé par aucun autre qui modifie des en-têtes (en l'occurrence Content-Length) et y a eu un micmac dans la casse (Content-Length vs content-length).

Bref, c'était pas testé côté Mozilla, et Google est en mode YOLO.

C'est pour :
- Windows
- Mac
- iOS
- Android

Il manquait pas grand-chose pour en faire une version Linux, non ? Ou alors ça tourne sous Wine/Proton ?

Ah un truc que je n'aime pas. Ou au moins trouve dérangeant : https://powerz.tech/app-parents C'est l'application qui permet de « contrôler » les enfants. Ce que je n'aime pas, c'est que ce genre de logiciel entraîne nos enfants à vivre dans la surveillance numérique, comme si c'était normal. C'est normal de surveiller les enfants (voire les gens) avec ses yeux, ses oreilles, bref, son corps, de manière physique. Mais surveiller les gens de manière numérique, et ubiquitaire, c'est le panoptique, c'est … pas le bon chemin. Bref, je m'égare, ce commentaire devient politique ;)

Parce qu'ils ont reçu un cadeau qui se contrôle par Bluetooth LE dans une application Android.

Un OS sans accès à internet, ça c'est du contrôle parental ! :-)

J'ai récemment allumé une tablette Android que je voulais réserver pour mes enfants. Hors de question qu'ils aient Internet. Pas bête, je me suis dit qu'on pouvait limiter les réseaux par compte.

Que dalle. Android permet de limiter des tas de choses, mais pas l'accès au réseau. Enfin si, par des circonvolutions de faux VPN. Blague.

J'ai créé un réseau local sur mon routeur (que je contrôle), verrouillé. Accès au réseau local uniquement. C'était pas simple. Et Android se plaint sans cesse qu'il n'a pas accès à Internet.

Android n'a pas du tout été conçu pour être connecté à un réseau indépendant de Google, c'est très chiant.

(ça se dit encore GaaS ?)

Cool ! Donc Activision-Blizzard est une usine à GaaS.

Clonezilla est extrêmement compliqué. Il m'a fallu plusieurs fois pour comprendre ce qu'il faisait, et je ne suis pas un débutant.

Mais il est possible de le lancer dans un terminal, pour cloner autre chose que le disque système, et c'est très pratique. C'est possible dans Redo Rescue ? J'ai l'impression que les logiciels embarqués dans le live cd ne sont pas dispo ailleurs.

Je pense que l'auteur du lien voulait mettre l'emphase sur ce passage :

l’ocytocine n’est plus brevetable et son développement en tant que médicament pour les troubles d’interaction sociale ne serait pas rentabilisable. Le défi pour le chimiste est donc d’imaginer une molécule nouvelle, brevetable, stable, capable de pénétrer dans le cerveau après administration par voie orale, d’y mimer l’ocytocine et de traiter efficacement la pathologie ciblée.

On en est à un point où le système ne permet pas une coordination des labos pharmaceutiques sur la recherche de molécules non brevetables. Dans le meilleur des cas c'est dommage.