il suffira d'envelopper la carte d'identité par une feuille de papier alu
Dans le genre définitif, il y un passage rapide au micro onde aussi :) le problème c'est que ça invalide certainement la carte. Et si on te demande de la refaire ... (sachant qu'elle est payante)
Et c'est toujours vrai quelque soit le résultat, et quelque soit l'opinion d'un individu en particulier.
Quoi que tu en penses, il a raison.
NON
Ils n'ont pas répondu à la question !
Ah ? tu es donc médium ? que sais tu des motivations qui ont poussé les gens à voter OUI ou NON ?
Dans mon entourage (qui n'est pas représentatif je l'admets), ceux qui ont voté NON ont dans la majorité lu le traité et ont voté en connaissance, et ceux qui ont voté OUI l'ont fait sans lire le traité mais juste en pensant dire OUI à l'Europe. Je pourrais donc dire que ce sont les partisants du OUI qui n'ont pas répondu à la question, mais je m'abstiendrais, pour ne pas faire la même erreur que toi en considérant que ceux qui ont une opinion différente de la mienne sont forcèment des abrutis illettrés.
The moral is obvious. You can't trust code that you did not totally create yourself. (Especially code from companies that employ people like me.) No amount of source-level verification or scrutiny will protect you from using untrusted code. In demonstrating the possibility of this kind of attack, I picked on the C compiler. I could have picked on any program-handling program such as an assembler, a loader, or even hardware microcode. As the level of program gets lower, these bugs will be harder and harder to detect. A well installed microcode bug will be almost impossible to detect.
Qu'il n'y ait pas de garantie sur du code qui fait (ou essaye de faire) ce qu'il dit faire, par exemple lire des videos dans le cas de vlc est une chose.
Insérer volontairement du code ayant clairement un objectif malhonnête, comme logguer le clavier en l'envoyer quelque part sur Internet, ou relayer du spam, est autre chose, et licence GPL ou pas, l'auteur peut être poursuivi je pense.
Pour en revenir à la différence entre LL et LP sur la sécurité, il suffit de citer la loi du plus grand nombre: "Étant donnés suffisamment d'observateurs, tous les bugs sautent aux yeux " qui peut aussi bien s'appliquer sous la forme "Étant donnés suffisamment d'observateurs, tous les fonctions malicieuses sautent aux yeux".
Le fait que je n'ai pas personnellement relu les 6672856 lignes du noyau linux ne m'empêche pas d'avoir une confiance relative. (en tous cas bien supérieure à celle que je peux avoir dans un truc du genre wxyz.dll ...
maginons des documents crées avec une suite office Schmilblick, qui necessitent un mot de passe pour pouvoir les lires. Cette suite office est libre, on a donc accés au code source.
Ce qui veut dire que l'on peut trés bien hacker Schmilblick pour pouvoir lire ces documents sans avoir à donner de mots de passe
C'est de l'ironie ? Je me permets de te signaler que l'exemple que tu donnes est tout à fait valable pour MsOffice, qui n'a rien d'un LL et que les 12 milliards de solutions pour passer outre les mots de passe sont disponibles depuis des années sur Internet, et personne n'a eu besoin d'avoir accès au code source pour rendre ça possible...
Ce que tu décris s'appelle la "sécurité par l'obscurantisme" et bien qu'il soit déjà prouvé que ça ne sert à rien. Il y a encore des éditeurs de logiciels proprio pour y croire. Ça pourrait être une histoire drôle, mais le plus grave c'est qu'ils trompent leurs clients qui s'imaginent avoir mis leur données à l'abri en cochant la case "protéger par un mot de passe".
L'avantage du logiciel libre sur ce point, c'est que ça suggère fortement l'usage d'une _*vraie*_ solution de cryptage.
Le vrai cracker, il s'en fout d'avoir les sources, une décompilation lui suffit, et si ton algo de protection est minable, ce n'est pas l'absence des sources qui va le rendre plus solide...
MS est fort pour avoir des bonnes idées et mal les implémenter
MS est surtout trés fort pour piquer les bonnes idées des autres... t'es sûr que la base de registre est une idée à eux ?
Pour ce qui est de l'implémentation par contre, on est d'accord ;) mais ne pas oublier que dans la majorité des cas, leurs 'problèmes' d'implémentation ne sont pas des bugs, mais des 'fonctionnalités'.
1/ Il est clair que pour pouvoir offrir une migration douce, avoir des applications multi-plateformes est un atout. Une fois que la personne utilise Firefox, Thunderbird et OpenOffice, le passage vers Linux (ou autre) peut sembler plus simple.
2/ Le problème est que si l'offre applicative est strictement équivalente sous un OS Libre et sous MS. Le choix de l'OS va se faire sur d'autres critères, qui ne seront pas forcèment à l'avantage du Libre.
Et le problème est là.
A base applicative équivalente, les OS libres vont cruellement souffrir du manque de drivers. On risque d'arriver au stade ou il sera plus facile d'utiliser Gimp sous windows parce que le nouveau scanner marchera sous Windows et pas sous Linux. Il sera plus facile d'utiliser OOo sous Windows parce que l'imprimante multi-fonction pourra faire du recto-verso, plier et agrafer, alors que sous Linux je pourrais juste imprimer (avec de la chance) et je ne pense pas que le coté éthique soit un argument valable pour la masse.
Une solution (à mon avis à moi que j'ai) serait de brider les versions officielles Windows, de façon à conserver un attrait pour une migration sous un Os Libre. (après il faut doser pour rester concurrentiel contre les autres applis windows) ça n'a rien d'évident à faire, c'est facilement coutournable (puisque les sources sont disponibles).
« la Commission attend du Conseil une formalisation de la proposition de mai 2004, aussitôt que possible, afin de poursuivre le processus d'adoption. »
Pour mémoire, la «proposition» de mai 2004 en question était déjà un affront au parlement, puisque toutes ses remarques avait été balayées d'un revers, pour produire un texte 110% pro-brevets.
En parlant de couverture de presse, toute cette aventure mériterait bien la une de journaux grand-public.
Ils attendaient encore un peu et ils pouvaient titrer 'Les brevets logiciels adoptés la semaine dernière en conseil des ministres ...'
Par contre je remarque (avec plaisir) que Michel Rocard semble parti en campagne médiatique sur le sujet. C'est une bonne chose parce que le plus gros problème des brevets, c'est déjà que personne (en dehors du microcosme activiste) n'en a entendu parler, y compris dans le milieu informatique, complétement hallucinant.
... avant d'avaler la moindre anerie lancee sur le dos de MS ...
Oui, enfin faut pas non plus faire la vierge effarouchée, la première réaction qui m'est venu, c'est pas "En seraient ils capable ?", mais plutôt "Aussi ouvertement ?".
Je me souviens d'une époque pas si lointaine, où très régulièrement la préférence du navigateur par défaut revenait sur IE sans aucune intervention de l'utilisateur. Plus subtil, mais efficace aussi.
«La (les) personne(s) à qui vous le donnez (vendez) possède(nt) les mêmes libertés que vous». Ceci est complètement faux, car cela voudrait dire que les logiciels sous licence type BSD ne serait pas libres.
Ah bon ?
Si ton code est bien sous licence BSD, c'est pourtant exact. La nuance dont tu parles, c'est que BSD t'autorise à réutiliser du code libre dans un produit non-libre (qui n'est donc plus sous licence BSD), c'est un sujet de discussion vieux comme la GPL...
>où la configuration du système est bien trop facilement accessible en écriture
Exemple ?
Ben la base de registre, et les clés Run RunOnce RunService, par exemple.
>De plus le modèle de sécurité des unix, même s'il est loin d'être parfait a quand même plusieurs longueurs d'avance sur celui de Microsoft.
Detailles donc un peu ca, ca m'interesse _beaucoup_
voir le chapitre "Windows vs. Linux Design" de l'url ci-dessus.
>Ah... Slammer (presque au hasard) tu ne le comptes pas parce qu'...
Parce que je n'ai pas compte non plus le virus qui a touche openssl.
Pourtant les dommages causés sont difficilement comparables... la diffusion et l'impact de slapper n'a pas eu grand chose à voir avec slammer... Pourtant, en tenant compte du fait que slapper pouvait aussi s'en prendre aux serveurs solaris, hpux, bsd et autres unix like, on part pourtant avec une base de départ plus importante non (ne pas oublier que dans ces deux cas on parle de serveur connectés sur Internet) ? De mémoire l'ordre de grandeur entre les 2 infections tounait autour de 10 (75000+ pour slammer contre 7500+ pour slapper)
>où la qualité de conception de l'ensemble oblige quasiment l'utilisateur lambda à tourner avec un compte administrateur ou équivalent.
Ca c'est du blabla, je veux des exemples de taches qui requierent d'etre logge en admin sous Windows et pas sous Linux.
La différence c'est qu'un unix étant modulaire, je peux donner des droits sur un utilitaire, sans comprometrre tout le modèle de sécurité. Si j'en besoin/envie qu'un utilisateur puisse s'amuser avec ifconfig/dhclient pour changer son adresse à volonté, je peux, Sous windows non. C'est pourtant bien pratique avec un portable qu'on connecte à droite et à gauche.
> Le libre n'a pas besoin d'anti-virus. Depuis combien d'années Windows se traine des problèmes de conception qui imposent des anti-virus ?
Mon oeil qu'il n'en a pas besoin, il n'y a _aucune_ difference de conception entre Windows et Linux sur ce plan, je serai ravi que tu me montres cette difference de conception de l'OS si tu n'es pas d'accord
Difficile d'être d'accord ;)
D'un coté on a un système dont les versions se comptent sur les doigts d'une main (bon allez deux), dont la plupart partagent un gros pool de binaires communs, et où une faille exploitée peut donc potentiellement infecter la totalité du parc. Où la quasi-totalité des services du sytème tournent avec des droits bien supérieurs à ce qui devrait être nécessaire, où la configuration du système est bien trop facilement accessible en écriture, où la séquence de démarrage est altérable presque à volonté, où la qualité de conception de l'ensemble oblige quasiment l'utilisateur lambda à tourner avec un compte administrateur ou équivalent. En gros, un paradis à scripts-kiddies.
De l'autre, on a un système qui varie tellement d'une machine à une autre, de par la diversité des alternatives disponibles (un bug postfix ne sera pas dans sendmail, ni dans exim), de par la diversité des binaires générés (combien d'architectures supportées ?) sans compter les variations dues aux options de compilation, qu'écrire un virus susceptible de marcher sur la totalité du parc relève du pari impossible (à moins de founir le source à compiler soi-même, et encore...). De plus le modèle de sécurité des unix, même s'il est loin d'être parfait a quand même plusieurs longueurs d'avance sur celui de Microsoft. Alors oui, écrire des virus pour unix/linux c'est certainement possible, écrire LE virus, j'attend encore...
>Puis c'est MS et ses virus qui coutent plusieurs milliard de $ par an et pas Linux.
C'est clair que 3% des utilisateurs desktop...
Ah... Slammer (presque au hasard) tu ne le comptes pas parce qu'il n'a rien couté ? ou parce qu'il ne concernait pas particulièrement les utilisateurs desktop ?
il y a bien des outils pour les détecter, mais pas vraiment pour nettoyer un système
La différence aussi, c'est qu'un bon admin unix qui se fait rootkiter, il ne cherche pas à nettoyer les fichiers infectés, c'est sauvegarde des données, réinstallation, restauration.
la notion d'anti-virus "à la windows" (protection en temps réel, scan de fichiers et élimination des fichiers contaminés, restauration du système)
Ces notions (moi j'en vois plusieurs) sont des illusions que l'on donne en pature aux admins fainéants.
- la protection en temps réel, c'est ce que fait un unix avec les privilèges utilisateurs, pas la peine de faire des signatures de code soit disant "dangeureux"
- L'analyse de fichiers existe sous unix (le contraire serait surréaliste) principalement pour detecter les virus windows dans les partages samba, d'ailleurs. Mais faire confiance à un analyseur de fichiers sur un système compromis pour te dire quoi nettoyer/réinstaller, c'est stupide. Le méchant pirate peut avoir modifié la base des signatures, le programme chargé de la vérification, ou encore le coeur du système (noyau ou dll) pour retourner le résultat attendu, c'est vieux comme le détournement de l'interruption 13 sous msdos...
Ce n'est pas une question d'outils, c'est une question de méthode.
Dès que la notoriété d'un concurrent leur fait de l'ombre, une "graaaaaannde annonce", pour un "produit révolutionnaire" "disponible trés bientôt" leur permet de faire douter les clients sur l'opportunité de migrer.
Pourquoi aller sur Firefox aujourd'hui, si IE7 sort cet été ? Attendons de voir, se dit le client... Et peu importe que ça sorte effectivement "cet été" (déjà ça fait plusieurs mois, l'été), il sera toujours temps de l'annoncer pour l'hiver suivant...
Sur la forme, je dirais que peut importe si le produit est bon ou pas, le fait est qu'avec ce genre d'annonce ils rendent toute décision de migration vers Firefox (ou autre) encore plus difficile à justifier, c'est fort de chocolat, mais ce n'est pas Microsoft qu'il faut blamer, plutôt les "décideurs" qui trouvent ici une bonne raison de ne rien décider, et donc de ne pas se mouiller.
Sur le fond, je pense qu'IE7 sera dans la lignée des produits précédants, aussi peu standard, aussi peu sécurisé, pas parce que Microsoft n'a pas compris la leçon, mais parce que vu la masse de client à qui ils ont vendu des IIS avec ActiveX et code HTML pourri généré par FrontPage et autres, il va bien falloir garder une compatibilité avec IE6 et inférieur. Et chez Microsoft, "être compatible", a un certain moment ça veut dire émuler les bugs...
Plutôt que les mettre en concurrence, sur les points qu'ils savent traiter tous les deux, il vaut mieux parler de leurs points forts spécificiques:
- Si tu fais du RAID soft, LILO est probablement le meilleur choix, il peut dupliquer les MBR, y compris sur des partitions extérieures au RAID, et en une seule passe. (Je crois bien que GRUB sait aussi faire un peu de RAID, mais ça m'a l'air moins trivial, sauf à ce que ça ait changé depuis)
- Si tu fais du nfsroot, ou que tu as besoin de charger tes noyaux et tes initrd par le réseau, il n'y a que GRUB qui sait faire du PXE.
Ben y'a du nouveau visiblement. Sur la page d'accueil:
"Announcements February 8, 2005
We are now accepting contributions for the Slackware Linux Project. Slackware users who download their software rather than purchasing our CD products are encouraged to support continued Slackware development in this way."
Chez moi ça marche, ton lien pointe sur un bug qui concerne network.standard-url.encode.utf8 , or on parle ici de désactiver network.enableIDN , ce que j'ai fait, et qui marche puisque maintenant quand je clique sur les liens foireux, il m'envoit promener.
Bon , tu peux déjà ne pas tenir compte des photos flous, de celles ou tout le monde tourne le dos, et des plan larges ou on ne reconnait pas les visages :)
Théoriquement, pour les gros plans il faudrait un accord écrit de chaque personne figurant sur les photos, mais la population montrée ici n'est pas trés timide, il suffit de voir le nombre de galeries et autres photoblogs disponibles...
Et le dernier bloc "Pour visiter cet espace ..." aurait du être placé après le lien vers openweb, là on dirait qu'il faut avoir un navigateur "respectueux des standards" pour y aller.
Je trouve le texte bien, mais il faut y aller doucement, prévenir les gens qu'ils utilisent une daube oui, rendre l'accès au site plus ch^H^H difficile NON ! (pas de sectarisme à l'envers du genre site optimisé pour ....)
--
Quiconque appose sur une page du web un logo du type : 'Cette page est optimisée pour le navigateur X' est quelqu'un qui semble souhaiter revenir à l'époque préhistorique d'avant le web, lorsque l'on avait très peu de chances de pouvoir lire un document écrit sur un autre ordinateur, un autre traitement de texte, ou un autre réseau. -- Tim Berners-Lee
J'ai patché pwgen en partant de cette idée.
J'ai rajouté une option qui permet d'utiliser le hash sha1 d'un fichier (connu) comme moteur d'entropie, à la place de /dev/random.
L'idée est qu'il suffit de se souvenir du fichier en question et d'un identifiant en clair pour regénérer à volonté un mot de passe.
[^] # Re: POur le premier
Posté par Olivier Guerrier . En réponse au journal Un monde meilleur (avec DRM + RFID). Évalué à 1.
Dans le genre définitif, il y un passage rapide au micro onde aussi :) le problème c'est que ça invalide certainement la carte. Et si on te demande de la refaire ... (sachant qu'elle est payante)
[^] # Re: Je suis fier d'être français
Posté par Olivier Guerrier . En réponse au journal J'ai honte d'être français !. Évalué à 5.
Et c'est toujours vrai quelque soit le résultat, et quelque soit l'opinion d'un individu en particulier.
Ah ? tu es donc médium ? que sais tu des motivations qui ont poussé les gens à voter OUI ou NON ?
Dans mon entourage (qui n'est pas représentatif je l'admets), ceux qui ont voté NON ont dans la majorité lu le traité et ont voté en connaissance, et ceux qui ont voté OUI l'ont fait sans lire le traité mais juste en pensant dire OUI à l'Europe. Je pourrais donc dire que ce sont les partisants du OUI qui n'ont pas répondu à la question, mais je m'abstiendrais, pour ne pas faire la même erreur que toi en considérant que ceux qui ont une opinion différente de la mienne sont forcèment des abrutis illettrés.
[^] # Re: re
Posté par Olivier Guerrier . En réponse au journal Code malveillant ?. Évalué à 2.
"Reflections on Trusting Trust" par Ken Thompson
http://www.acm.org/classics/sep95/(...)
[^] # Re: Répartie
Posté par Olivier Guerrier . En réponse au journal Code malveillant ?. Évalué à 2.
Insérer volontairement du code ayant clairement un objectif malhonnête, comme logguer le clavier en l'envoyer quelque part sur Internet, ou relayer du spam, est autre chose, et licence GPL ou pas, l'auteur peut être poursuivi je pense.
Pour en revenir à la différence entre LL et LP sur la sécurité, il suffit de citer la loi du plus grand nombre: "Étant donnés suffisamment d'observateurs, tous les bugs sautent aux yeux " qui peut aussi bien s'appliquer sous la forme "Étant donnés suffisamment d'observateurs, tous les fonctions malicieuses sautent aux yeux".
Le fait que je n'ai pas personnellement relu les 6672856 lignes du noyau linux ne m'empêche pas d'avoir une confiance relative. (en tous cas bien supérieure à celle que je peux avoir dans un truc du genre wxyz.dll ...
[^] # Re: La partie "on ne veut pas qu'ils touchent au code"
Posté par Olivier Guerrier . En réponse au journal Transcription commentée de l'émission 8-FI sur les logiciels libres. Évalué à 5.
C'est de l'ironie ? Je me permets de te signaler que l'exemple que tu donnes est tout à fait valable pour MsOffice, qui n'a rien d'un LL et que les 12 milliards de solutions pour passer outre les mots de passe sont disponibles depuis des années sur Internet, et personne n'a eu besoin d'avoir accès au code source pour rendre ça possible...
Ce que tu décris s'appelle la "sécurité par l'obscurantisme" et bien qu'il soit déjà prouvé que ça ne sert à rien. Il y a encore des éditeurs de logiciels proprio pour y croire. Ça pourrait être une histoire drôle, mais le plus grave c'est qu'ils trompent leurs clients qui s'imaginent avoir mis leur données à l'abri en cochant la case "protéger par un mot de passe".
L'avantage du logiciel libre sur ce point, c'est que ça suggère fortement l'usage d'une _*vraie*_ solution de cryptage.
Le vrai cracker, il s'en fout d'avoir les sources, une décompilation lui suffit, et si ton algo de protection est minable, ce n'est pas l'absence des sources qui va le rendre plus solide...
[^] # Re: un petit rectificatif...
Posté par Olivier Guerrier . En réponse au journal Transcription commentée de l'émission 8-FI sur les logiciels libres. Évalué à -1.
J'avoue ne jamais avoir entendu ça, et ça m'intrigue...
[^] # Re: choix du codec ?
Posté par Olivier Guerrier . En réponse au journal Transcription commentée de l'émission 8-FI sur les logiciels libres. Évalué à 0.
[^] # Re: Elektra
Posté par Olivier Guerrier . En réponse au journal libetc: faire le ménage dans son $HOME, la fin des fichiers de configuration cachés (dotfiles). Évalué à 0.
MS est surtout trés fort pour piquer les bonnes idées des autres... t'es sûr que la base de registre est une idée à eux ?
Pour ce qui est de l'implémentation par contre, on est d'accord ;) mais ne pas oublier que dans la majorité des cas, leurs 'problèmes' d'implémentation ne sont pas des bugs, mais des 'fonctionnalités'.
# Ils ont raison tous les 2, mais le problème est ailleurs
Posté par Olivier Guerrier . En réponse à la dépêche [débat] Pour ou contre le développement des logiciels libres sous Windows ?. Évalué à 10.
1/ Il est clair que pour pouvoir offrir une migration douce, avoir des applications multi-plateformes est un atout. Une fois que la personne utilise Firefox, Thunderbird et OpenOffice, le passage vers Linux (ou autre) peut sembler plus simple.
2/ Le problème est que si l'offre applicative est strictement équivalente sous un OS Libre et sous MS. Le choix de l'OS va se faire sur d'autres critères, qui ne seront pas forcèment à l'avantage du Libre.
Et le problème est là.
A base applicative équivalente, les OS libres vont cruellement souffrir du manque de drivers. On risque d'arriver au stade ou il sera plus facile d'utiliser Gimp sous windows parce que le nouveau scanner marchera sous Windows et pas sous Linux. Il sera plus facile d'utiliser OOo sous Windows parce que l'imprimante multi-fonction pourra faire du recto-verso, plier et agrafer, alors que sous Linux je pourrais juste imprimer (avec de la chance) et je ne pense pas que le coté éthique soit un argument valable pour la masse.
Une solution (à mon avis à moi que j'ai) serait de brider les versions officielles Windows, de façon à conserver un attrait pour une migration sous un Os Libre. (après il faut doser pour rester concurrentiel contre les autres applis windows) ça n'a rien d'évident à faire, c'est facilement coutournable (puisque les sources sont disponibles).
[^] # Re: La Commission ne relancera pas la directive (d'aujourd'hui)
Posté par Olivier Guerrier . En réponse à la dépêche Les brevets logiciels dans décision-micro. Évalué à 2.
Pour mémoire, la «proposition» de mai 2004 en question était déjà un affront au parlement, puisque toutes ses remarques avait été balayées d'un revers, pour produire un texte 110% pro-brevets.
En parlant de couverture de presse, toute cette aventure mériterait bien la une de journaux grand-public.
# Mieux vaut tard ...
Posté par Olivier Guerrier . En réponse à la dépêche Les brevets logiciels dans décision-micro. Évalué à 10.
Par contre je remarque (avec plaisir) que Michel Rocard semble parti en campagne médiatique sur le sujet. C'est une bonne chose parce que le plus gros problème des brevets, c'est déjà que personne (en dehors du microcosme activiste) n'en a entendu parler, y compris dans le milieu informatique, complétement hallucinant.
# Dead zone ?
Posté par Olivier Guerrier . En réponse au journal Jef Raskin est mort. Évalué à 9.
Si tu penses réellement avoir un fluide, fais plutôt un journal sur les brevets logiciels...
[^] # Re: Fake ou Comment faire...
Posté par Olivier Guerrier . En réponse au journal Encore le grand méchant loup..... Évalué à 8.
Oui, enfin faut pas non plus faire la vierge effarouchée, la première réaction qui m'est venu, c'est pas "En seraient ils capable ?", mais plutôt "Aussi ouvertement ?".
Je me souviens d'une époque pas si lointaine, où très régulièrement la préférence du navigateur par défaut revenait sur IE sans aucune intervention de l'utilisateur. Plus subtil, mais efficace aussi.
[^] # Re: la liberté 2
Posté par Olivier Guerrier . En réponse au journal Fiche Libre #9 : Les systèmes BSD. Évalué à 4.
Ah bon ?
Si ton code est bien sous licence BSD, c'est pourtant exact. La nuance dont tu parles, c'est que BSD t'autorise à réutiliser du code libre dans un produit non-libre (qui n'est donc plus sous licence BSD), c'est un sujet de discussion vieux comme la GPL...
[^] # Re: Ce mec a tort mais...
Posté par Olivier Guerrier . En réponse au journal FFox vu par un IEuser : la suite. Évalué à 2.
ça peut être moins, ça peut être plus..., j'ai téléchargé une fois la version windows, je l'ai installé bien plus d'une fois...
[^] # Re: N'importe quoi
Posté par Olivier Guerrier . En réponse au journal Windows Server 2003 plus securisé que RedHat ?. Évalué à 0.
http://www.theregister.co.uk/security/security_report_windows_vs_li(...)
>où la configuration du système est bien trop facilement accessible en écriture
Exemple ?
Ben la base de registre, et les clés Run RunOnce RunService, par exemple.
>De plus le modèle de sécurité des unix, même s'il est loin d'être parfait a quand même plusieurs longueurs d'avance sur celui de Microsoft.
Detailles donc un peu ca, ca m'interesse _beaucoup_
voir le chapitre "Windows vs. Linux Design" de l'url ci-dessus.
>Ah... Slammer (presque au hasard) tu ne le comptes pas parce qu'...
Parce que je n'ai pas compte non plus le virus qui a touche openssl.
Pourtant les dommages causés sont difficilement comparables... la diffusion et l'impact de slapper n'a pas eu grand chose à voir avec slammer... Pourtant, en tenant compte du fait que slapper pouvait aussi s'en prendre aux serveurs solaris, hpux, bsd et autres unix like, on part pourtant avec une base de départ plus importante non (ne pas oublier que dans ces deux cas on parle de serveur connectés sur Internet) ? De mémoire l'ordre de grandeur entre les 2 infections tounait autour de 10 (75000+ pour slammer contre 7500+ pour slapper)
>où la qualité de conception de l'ensemble oblige quasiment l'utilisateur lambda à tourner avec un compte administrateur ou équivalent.
Ca c'est du blabla, je veux des exemples de taches qui requierent d'etre logge en admin sous Windows et pas sous Linux.
La différence c'est qu'un unix étant modulaire, je peux donner des droits sur un utilitaire, sans comprometrre tout le modèle de sécurité. Si j'en besoin/envie qu'un utilisateur puisse s'amuser avec ifconfig/dhclient pour changer son adresse à volonté, je peux, Sous windows non. C'est pourtant bien pratique avec un portable qu'on connecte à droite et à gauche.
[^] # Re: N'importe quoi
Posté par Olivier Guerrier . En réponse au journal Windows Server 2003 plus securisé que RedHat ?. Évalué à 5.
Mon oeil qu'il n'en a pas besoin, il n'y a _aucune_ difference de conception entre Windows et Linux sur ce plan, je serai ravi que tu me montres cette difference de conception de l'OS si tu n'es pas d'accord
Difficile d'être d'accord ;)
D'un coté on a un système dont les versions se comptent sur les doigts d'une main (bon allez deux), dont la plupart partagent un gros pool de binaires communs, et où une faille exploitée peut donc potentiellement infecter la totalité du parc. Où la quasi-totalité des services du sytème tournent avec des droits bien supérieurs à ce qui devrait être nécessaire, où la configuration du système est bien trop facilement accessible en écriture, où la séquence de démarrage est altérable presque à volonté, où la qualité de conception de l'ensemble oblige quasiment l'utilisateur lambda à tourner avec un compte administrateur ou équivalent. En gros, un paradis à scripts-kiddies.
De l'autre, on a un système qui varie tellement d'une machine à une autre, de par la diversité des alternatives disponibles (un bug postfix ne sera pas dans sendmail, ni dans exim), de par la diversité des binaires générés (combien d'architectures supportées ?) sans compter les variations dues aux options de compilation, qu'écrire un virus susceptible de marcher sur la totalité du parc relève du pari impossible (à moins de founir le source à compiler soi-même, et encore...). De plus le modèle de sécurité des unix, même s'il est loin d'être parfait a quand même plusieurs longueurs d'avance sur celui de Microsoft. Alors oui, écrire des virus pour unix/linux c'est certainement possible, écrire LE virus, j'attend encore...
>Puis c'est MS et ses virus qui coutent plusieurs milliard de $ par an et pas Linux.
C'est clair que 3% des utilisateurs desktop...
Ah... Slammer (presque au hasard) tu ne le comptes pas parce qu'il n'a rien couté ? ou parce qu'il ne concernait pas particulièrement les utilisateurs desktop ?
[^] # Re: N'importe quoi
Posté par Olivier Guerrier . En réponse au journal Windows Server 2003 plus securisé que RedHat ?. Évalué à 7.
La différence aussi, c'est qu'un bon admin unix qui se fait rootkiter, il ne cherche pas à nettoyer les fichiers infectés, c'est sauvegarde des données, réinstallation, restauration.
la notion d'anti-virus "à la windows" (protection en temps réel, scan de fichiers et élimination des fichiers contaminés, restauration du système)
Ces notions (moi j'en vois plusieurs) sont des illusions que l'on donne en pature aux admins fainéants.
- la protection en temps réel, c'est ce que fait un unix avec les privilèges utilisateurs, pas la peine de faire des signatures de code soit disant "dangeureux"
- L'analyse de fichiers existe sous unix (le contraire serait surréaliste) principalement pour detecter les virus windows dans les partages samba, d'ailleurs. Mais faire confiance à un analyseur de fichiers sur un système compromis pour te dire quoi nettoyer/réinstaller, c'est stupide. Le méchant pirate peut avoir modifié la base des signatures, le programme chargé de la vérification, ou encore le coeur du système (noyau ou dll) pour retourner le résultat attendu, c'est vieux comme le détournement de l'interruption 13 sous msdos...
Ce n'est pas une question d'outils, c'est une question de méthode.
# Stratégie classique de Microsoft
Posté par Olivier Guerrier . En réponse au journal IE7.... Évalué à 10.
Pourquoi aller sur Firefox aujourd'hui, si IE7 sort cet été ? Attendons de voir, se dit le client... Et peu importe que ça sorte effectivement "cet été" (déjà ça fait plusieurs mois, l'été), il sera toujours temps de l'annoncer pour l'hiver suivant...
Sur la forme, je dirais que peut importe si le produit est bon ou pas, le fait est qu'avec ce genre d'annonce ils rendent toute décision de migration vers Firefox (ou autre) encore plus difficile à justifier, c'est fort de chocolat, mais ce n'est pas Microsoft qu'il faut blamer, plutôt les "décideurs" qui trouvent ici une bonne raison de ne rien décider, et donc de ne pas se mouiller.
Sur le fond, je pense qu'IE7 sera dans la lignée des produits précédants, aussi peu standard, aussi peu sécurisé, pas parce que Microsoft n'a pas compris la leçon, mais parce que vu la masse de client à qui ils ont vendu des IIS avec ActiveX et code HTML pourri généré par FrontPage et autres, il va bien falloir garder une compatibilité avec IE6 et inférieur. Et chez Microsoft, "être compatible", a un certain moment ça veut dire émuler les bugs...
# Complémentarité
Posté par Olivier Guerrier . En réponse au journal LiLo ou GRUB ?. Évalué à 7.
Plutôt que les mettre en concurrence, sur les points qu'ils savent traiter tous les deux, il vaut mieux parler de leurs points forts spécificiques:
- Si tu fais du RAID soft, LILO est probablement le meilleur choix, il peut dupliquer les MBR, y compris sur des partitions extérieures au RAID, et en une seule passe. (Je crois bien que GRUB sait aussi faire un peu de RAID, mais ça m'a l'air moins trivial, sauf à ce que ça ait changé depuis)
- Si tu fais du nfsroot, ou que tu as besoin de charger tes noyaux et tes initrd par le réseau, il n'y a que GRUB qui sait faire du PXE.
Et il y a certainement d'autres particularités.
[^] # Re: Pas de^W^W dons
Posté par Olivier Guerrier . En réponse à la dépêche Slackware 10.1 est sortie. Évalué à 4.
"Announcements February 8, 2005
We are now accepting contributions for the Slackware Linux Project. Slackware users who download their software rather than purchasing our CD products are encouraged to support continued Slackware development in this way."
et aussi ça:
http://store.slackware.com/cgi-bin/store/slackdonation(...)
[^] # Re: pas de correctif mais une astuce simple...
Posté par Olivier Guerrier . En réponse au journal Faille dans Firefox ("spoofing"). Évalué à 1.
Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.5) Gecko/20050110 Firefox/1.0 (Debian package 1.0+dfsg.1-2)
# Droit à l'image
Posté par Olivier Guerrier . En réponse au journal Solutions Linux 2005. Évalué à 2.
Théoriquement, pour les gros plans il faudrait un accord écrit de chaque personne figurant sur les photos, mais la population montrée ici n'est pas trés timide, il suffit de voir le nombre de galeries et autres photoblogs disponibles...
un début de lien:
http://www.droitsurinternet.ca/section_18.html(...)
[^] # Re: Perso j'ai mis ça
Posté par Olivier Guerrier . En réponse au journal Dire poliment que MSIE ça pue ?. Évalué à 2.
Et le dernier bloc "Pour visiter cet espace ..." aurait du être placé après le lien vers openweb, là on dirait qu'il faut avoir un navigateur "respectueux des standards" pour y aller.
Je trouve le texte bien, mais il faut y aller doucement, prévenir les gens qu'ils utilisent une daube oui, rendre l'accès au site plus ch^H^H difficile NON ! (pas de sectarisme à l'envers du genre site optimisé pour ....)
--
Quiconque appose sur une page du web un logo du type : 'Cette page est optimisée pour le navigateur X' est quelqu'un qui semble souhaiter revenir à l'époque préhistorique d'avant le web, lorsque l'on avait très peu de chances de pouvoir lire un document écrit sur un autre ordinateur, un autre traitement de texte, ou un autre réseau. -- Tim Berners-Lee
[^] # Re: md5, sha1 mes amis
Posté par Olivier Guerrier . En réponse au journal Une idée fausse et des idées persos sur les mots de passe. Évalué à 2.
J'ai rajouté une option qui permet d'utiliser le hash sha1 d'un fichier (connu) comme moteur d'entropie, à la place de /dev/random.
L'idée est qu'il suffit de se souvenir du fichier en question et d'un identifiant en clair pour regénérer à volonté un mot de passe.
par ex:
pwgen -H ~/un/fichier.ext#login@host [options standards pwgen]
Du coup, je viens de mettre le patch et les sources prépatchés en ligne:
http://www.guerrier.org/olivier/pwgen/(...)