Grunt a écrit 4733 commentaires

Non, il n'utilise pas Skype ;+)

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Tu leur envoies un mail depuis le compte root@machine, ça fait toujours son effet sur un admin.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Oui à la redistribution des centres de tri.
Oui à la privatisation.
Oui à la concurrence.

Ça dépend.

Si c'est pour faire de la pseudo concurrence comme le fait le cartel des trois opérateurs de téléphonie, non merci.
Si c'est pour privatiser l'incontournable réseau unique de boîtes aux lettres et de bureaux de postes, et d'accorder à un groupe privé ce qui était un monopôle d'état, comme ça se passe avec les fils téléphoniques de l'entreprise privée FranceTelewanadorange, non merci.

Si c'est une vraie concurrence libérale avec un réel choix, sans foutage de gueule, sans monopôle, sans entente illégale, alors oui à 100%.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Me fait penser à la réaction idiote d'un pote geek qui avait un serveur dédié..
il était root dessus (normal, c'est lui qui payait le dédié) et il y avait plusieurs comptes utilisateurs.

En apprenant l'existence d'une faille du noyau Linux qui permettait de passer root depuis un compte utilisateur, je lui en cause..

Il me fait "Ah mais attends c'est une faille locale??"
Moi: "Ben oui. Les utilisateurs locaux peuvent devenir root."
Lui: "Ah ben ça risque rien alors, y'a personne en local sur le serveur, on y accède à distance via SSH..."

Bon, il s'est vite rendu compte de son erreur.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Ouais, ceci dit Skype n'est pas non plus fourni directement dans Debian, faut aller le chercher dans non-free aussi.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Ouais mais je sais pas si t'as suivi, Qemu => vm.mmap_min_addr = 0 => faille.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Entre "ouvrir un port à l'écoute via UPnP" et "amorcer une connexion sortante vers un serveur" j'ai du mal à voir la différence.
Une fois que le virus est "dans la place", il y est, et voilà.
UPnP demande un mot de passe? La belle affaire, si ta bonne pratique se généralise, le virus n'aura qu'à sniffer ce mot de passe.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

On lit souvent, dans la réponse au mail de Linus que j'ai cité, que les faille de sécurité sont la porte ouverte au *vol de centaines de cartes bleues* et autres conséquences exagérées.

Ben, tu m'excuseras, mais si sur le serveur qui gère les numéros de carte bleues, y'a un technicien, ou un développeur, qui a un compte, et qu'il y a une faille qui permet de passer root, il peut effectivement "voler des centaines de cartes bleues". S'il y a une séparation des droits sur un OS c'est pas pour rien, et ce n'est pas juste pour empêcher qu'une fausse manip ne casse tout.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

l'autre truc (en plus de passer les box) qui facilite la vie de madame michou c'est qu'avec skype tu n'a pas a choisir un serveur ou autre truc a configuré, t'as pas besoin de dire a ton contact que tu est sur tel ou tel serveur, tu crée un compte et c'est tout, c'est la seul config à faire, après ca marche.
Je vous l'accorde c'est restrictif mais d'un autre coté tout le monde est connecté sur le même "réseau" c'est aussi ce qui fait la force de msn, c'est son "réseau" (bin quoi on est presque vendredi?)
Assez d'accord. C'est ce que j'ai constaté en incitant des gens à me rejoindre sur XMPP.
Tous les non geeks posent la question "je prends quel serveur?????" en découvrant Gajim et en cherchant à se créer un compte.

Je pense très sérieusement que c'est bien plus une question de mentalité que de technique/développement. Les utilisateurs lambda n'ont pas l'habitude de choisir et n'aiment pas choisir:
- leur PC est installé avec Windows, ils utilisent Windows. ils râlent parce que y'a Vista, mais ils l'utilisent. Et ils râleraient encore plus si le vendeur demandait "Vous voulez Windows XP, Windows Vista, Windows Seven, Ubuntu, gNewSense, Debian, FreeBSD, Haiku ou MultiDeskOS?"
- ils utilisent Internet Explorer (y compris la version 6) parce que c'est l'icône du bureau qui permet d'aller sur "Internet" (le Web, bordel!). On va bien rigoler avec l'arrivée de l'écran de choix du navigateur sur Windows, je vois d'ici les "je prends quoi comme navigateur???" posté en catastrophe sur CommentCaMarche depuis un cybercafé après l'achat d'un nouveau PC sous Windows,
- ils utilisent MSN de la même façon,
- la quasi totalité des gens que je connais utilisent un service de mail parce que quelqu'un qu'ils connaissent utilisent le même, voire leur a indiqué comment faire.

Franchement, le réflexe "je demande aux gens ce qu'ils ont et s'ils en sont contents, je me documente sur ce qui existe, je compare", si courant quand il s'agit d'acheter une voiture, un frigidaire, un micro-onde, une chaîne Hi-Fi, ben dès qu'il s'agit de logiciels et de services, les gens ne l'ont plus. Premièrement parce qu'ils n'y comprennent rien, ou pas assez pour faire la différence entre X et Y, deuxièmement parce que c'est gratuit.

Objectivement, se créer un compte XMPP est bien plus simple que se créer un compte MSN: pas de captcha, de données personnelles à saisir, juste lancer le client, choisir son service, son login, son mot de passe, et c'est fait. Y'a pas plus simple. Mais la seule étape "choisir son service" suffit à donner l'impression à madame Michu que c'est plus compliqué que MSN. renseigner son nom, son prénom, ça ne lui demande pas de choisir. Choisir un service, arg, au secours!

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

J'ai un peu du mal à capter la dangerosité de la faille. En particulier du fait que le bug permette une escalade de droits à partir d'un compte utilisateur normal.

Ainsi, par exemple, je ne me soucie pas trop de cette faille sur ma machine personelle. Je suis le seul à avoir un accès. D'autre part, si on parle d'accès distant sur un serveur, alors il y a de grandes chances que WINE et consors soient complètement hors-jeu, donc l'administrateur a juste à positionner le flag qui va bien, et je suis sur que c'est deja probablement le cas..

Ben je vais te donner un exemple tout con qui m'est réellement arrivé.

J'avais un PC de bureau, sous Debian. Il ne servait rien sur Internet, n'était utilisable physiquement que par des gens de confiance et des noobs. J'avais créé dessus un compte "invite" avec comme mot de passe "invite", pour les gens de passage.

Et puis je déménage, je prends une connexion @Internet. Ah, zut, je n'ai pas de serveur sous la main (j'aime bien avoir un serveur chez moi). Bon ben pas grave, je récupère mon vieux Desktop, c'est cool il a deux cartes réseau, j'en fais une passerelle, avec NAT, iptables et tout ça. Je configure iptables comme il faut, en laissant juste le port 22 ouvert (en fait je laisse un screen + irssi dedans, c'est ma principale utilisation pour l'instant d'un "serveur").

Bon, certes, je n'ai pas viré le compte "invite/invite", mais je fais toujours gaffe à avoir un mot de passe, et perso, et root, qui soient solides, question de principe. Bon.

Ben ce qui devait arriver m'est arrivé: bruteforce, et quelqu'un est entré sur le compte "invite".
Tu me diras, "ouais ben j'avais qu'à pas faire de la merde", et j'admets avoir fait de la merde. Je le dis tout haut: J'ai merdé!

Bon, pour la petite histoire, le gars n'a pas réussi à passer root: coup de bol, je n'utilise pas pulseaudio, et ça date d'avant la publication de cette faille (à quelques jours prêts, j'ai eu chaud).

Ceci dit, un OS sur lequel n'importe quel utilisateur lambda peut passer root, ben heu..
Moralité: je vais passer mes serveurs à BSD, _et_ apprendre à administrer correctement mes machines. Deux sécurités valent mieux que zéro.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

ils sont fini avec un éditeur de texte et de gcc
Note qu'on pourrait très bien coder avec de l'urine:
http://www.snowgo.com/images/yellowsnow.jpg
Par contre ça risque d'augmenter (si c'est possible) la consommation de bière des libristes. Et il faudra doter gcc d'un module d'OCR.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Dosbox roxxe tout.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Finalement, cette faille, c'est encore la faute à Microsoft \o/

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

il faut aller te soigner, tu es atteint de dépendance grave à l'informatique.
Je me soigne, docteur, je me soigne.
Sinon, l'exemple était peut-être mal choisi pour illustrer le propos, mais c'est vraiment ce que je trouve intéressant avec OSM: le fait qu'on puisse utiliser en local sa base de donnée. Peut-être que pour faire un plan c'est un peu disproportionné (quoi que, si j'ai déjà le serveur et déjà mon "OSM local" dessus, le plus gros est fait), mais l'idée est là: avec OSM, on dispose d'une base sur laquelle on peut ajouter ses propres données. Et c'est, à mes yeux, ce qui le différencie d'un point de vue pratique de Google Maps.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Fais gaffe, il peut arriver que
0 == 65536

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Par exemple. Ou des points d'accès WiFi que tu as sauvagement dont tu as convaincu les propriétaires de te donner la clef. Ou ce que tu veux dont tu veux trier les gens qui y ont accès.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Blanc sur bleu: QBASIC.
(Désolé).

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Il répond de nouveau ;+)

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Ils ont essayé, mais c'est marqué:
/************* DO NOT ALTER ANYTHING BELOW THIS LINE ! **************/
dans la page.
Donc ben, s'il faut toucher à rien, on touche à rien..

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Ah bon, je peux récupérer les données brutes de Google Map, et les mettre sur mon serveur à moi? En séparant le terrain, les routes, les objets, en ajoutant mes propres repères et que ça soye tout bien intégré?
Je ne parlais pas de faire une copie d'écran ou une impression, hein.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

On veut des noms.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

mettre les libertés logicielles avant la famille (femme et enfants) dans ses priorités, je trouve ça... comment dire... oh allez, tant pis pour le moinssage : complètement con.
C'est ton avis, et il n'y a pas de quoi moinsser.

Ce que moi je trouve complètement con, ce n'est pas de dire "je préfère ceci à cela", mais de prétendre:
- qu'on n'a pas le choix alors qu'on l'a,
- et de se plaindre des conséquences de son choix.

Un peu comme si je disais "Je ne peux pas utiliser Skype, je n'ai pas le choix." et qu'en plus je me plaigne de ne pas pouvoir faire de la VoIP facilement.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Je pense qu'il voulait dire:
"Si t'as un problème avec un logiciel libre, adresse-toi à la communauté du libre. Si t'as un problème avec un logiciel propriétaire, adresse-toi à son éditeur."
C'est vrai que les demandes d'aide pour Skype, MSN, Flash, n'ont strictement rien à faire sur des salons IRC, des forums, des newsgroups destinés au libre.

Le gars qui n'arrive pas à installer Flash sous Windows ne va pas sur un forum dédié à l'OS Windows. S'il n'arrive pas à l'installer sous Linux il n'y a aucune raison qu'il aille sur LinuxFR ou ubuntu-fr pour se faire aider: l'aide pour Flash faut aller la demander à Adobe. "Chacun sa merde" comme on dit.
Et c'est également valable pour les problèmes de connexion à MSN: faut s'adresser à Microsoft. Le gars qui utilisait aMSN hier, ça marchait, aujourd'hui ça ne marche plus, son problème n'a strictement rien à faire dans la communauté du libre: son logiciel fonctionnait hier, s'il n'a touché à rien le problème est du côté du service, donc il doit s'adresser au fournisseur du service.
Et ainsi de suite.
C'était l'instant "coup de gueule", contre les gens qui s'imaginent que, parce qu'ils sont sous Linux, ils auront un support gratuit pour tout et n'importe quoi, de la part de la communauté du libre, alors que leur problème n'a rien à voir avec Linux.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Du noir sur blanc pour flatter le décideur, et une option "mettre en blanc sur noir" destinée au développeur, en somme.

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

Ce que je trouve sympa avec OSM, c'est surtout qu'on peut en tirer sa propre carte personnelle et à usage privé.
Exemple tout bête: je veux faire un plan à des amis pour qu'ils viennent faire la fête chez moi.
Je télécharge les bouts qui vont bien sur OSM, j'ajoute mon plan par dessus, j'envoie ça à mes amis en privé.
Google ne propose pas, me semble-t-il, d'équivalent. Ou alors, stocké chez lui, ce qui n'est pas pareil niveau vie privée.

Comme quoi, mine de rien, "licence libre" et "vie privée" vont bien ensemble. ;+)

THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.