j-c_32 a écrit 1462 commentaires

Pour moi, ça n'a jamais été une question de personne lisant le code, mais d'incitant à l'acte ou non.

Dans le cadre d'un logiciel fermé, le code problématique passe plus inaperçu, puis on peut prétendre que c'est un bug (même si le code était lui-même clairement pas un bug), et puis le public a alors le choix entre continuer à utiliser le produit ou se passer du produit.
Dans le cadre d'un logiciel libre, il est plus facile de savoir vraiment ce qui s'est passé, qui a rajouté le code quand, … et surtout, on a une troisième possibilité: utiliser le produit forké.
À ça s'ajoute que le public du libre est plus sensible à ce genre de question et va donc plus facilement chercher à changer de produit s'il perd la confiance.

En d'autres termes: dans le libre, le jeu en vaut moins la chandelle: on risque plus facilement de se faire prendre (cela ne veut PAS dire que TOUT le code est lu, cela veut dire qu'il y a une probabilité plus élevée que le code que je piège sera lu), et on risque plus de conséquences négatives (plus d'abandon du produit, moins de "bénéfice du doute" sur le jugement à porter, …).

C'est un peu comme vendre des pilules dans un ruelle sombre ou dans une pharmacie. Alors qu'il aurait pu facilement remplacer une pilule par une pilule piégée dans la boîte, je ne vérifie pas la composition des pilules de mon pharmacien, et très très peu de client le font (c-à-d qu'il y a donc réellement des "paquets dont le code source n'est pas lu"). Pourtant, je lui fais plus confiance qu'à un vendeur anonyme dans une ruelle sombre.

Sauf qu'aujourd'hui, les crapwares n'ont même pas besoin de se faire chier à remplacer firefox, firefox leur fournit direct tout ce qu'il leur faut.

C'est d'ailleurs intéressant: si tu utilises une version modifiée de firefox qui contient une extension non signée, tu es légalement interdit de la diffusée comme étant "Firefox" (voilà pourquoi la version unbranding peut utiliser des extensions non signées).
Alors qu'à l'heure actuelle, les crapwares qui rajoutent des pubs dans les pages webs sont légaux (il y a sûrement une clause quelque part dans l'installeur), celui qui remplace firefox sera soit un contrefacteur, soit risquera de se faire remarquer (vu qu'il ne pourra pas utiliser la même icone et le nom "firefox").

C'est donc bel et bien mieux que rien, même si c'est pas 100% parfait.

Quant à Linux, c'est justement très intéressant, car ça comble un problème qui existait: si on arrive à exécuter du code arbitraire en tant qu'utilisateur sur mon ordi via une faille du navigateur, on pouvait m'installer à mon insu une extension foireuse.
Avec ça, il faudrait remplacer firefox. C'est toujours possible en planquant un executable dans le home et en changeant/ajoutant les .desktop qui vont bien, mais ensuite, ça passe moins bien selinux ou apparmor.

Au final, tu sembles justement rejeter en bloc tout ce qui ne va pas dans ton sens pour essayer de convaincre que t'es plus malins que certains cons qui sont Mozilla-fanboy. Et ? T'es vraiment à ce point haineux ? Il s'est passé quoi dans ta petite enfance, tu t'es fait frappé par un type ayant un autocollant firefox ?
De nouveau (mais est-ce que ça vaut la peine de le dire ?), cette décision pue. Mais les grandes personnes en profiteront pour en discuter sereinement, regarder le problème et avoir suffisamment d'autocritique pour par exemple avouer qu'il y a aujourd'hui une possibilité d'exploitation malveillante.

Quant à la perte de liberté, c'est tout aussi stupide de dire que moi, utilisateur de linux, je perds ma liberté parce que windows 10 va sortir. Je perds ma liberté quand j'utilise un logiciel qui entrave ma liberté. Ici, quand firefox empêchera les extensions non signées, je passerai juste à son fork (qui sera facile à faire, vu que pour chaque release, il y aura une version unbranded). Point. Aucune perte de rien du tout.

Mais bon, c'est pas grave, moinse-moi, les gens ici prendront ce qui les intéressent, et même s'ils ne sont pas d'accord avec moi (c-à-d s'ils sont pro-Mozilla, vu que je suis contre cette décision), j'espère que ma contribution leur aura été utile plutôt que juste "regardez-moi, hier, quelqu'un m'a dit qu'il aimait trop Mozilla et s'est moqué de ma coupe de cheveux, mais maintenant, il dit plus rien, hein".

C'est vrai, mais il y a une subtilité.
Dans le cas de Mac OS X, le but est d'empêcher l'execution d'un logiciel qui est peut-être un malware alors qu'on est sur une machine saine. Si l'option "protège-moi" est cochée, alors, l'utilisateur est "safe".
Dans le cas de Firefox, le problème apparait lorsqu'on installe des crapwares, qui eux peuvent installer des extensions. S'ils peuvent installer des extensions, ils peuvent encore plus facilement modifier le fichier de configuration de firefox.
Dans ce cas, si Mme Michu ne décoche pas l'option "protège-moi", le crapware va décocher l'option pour elle. Donc, tout ça ne sert strictement à rien.

C'est une question de chaine de confiance: pour Mac OS X, tout est sain sauf quand on décoche l'option, pour Firefox, la machine est compromise et firefox doit utiliser un système où il ne peut plus faire confiance aux éléments de cette machine qui sont facilement corrompus.

Ça reste de toutes façons foireux, mais difficile de trouver une autre solution que de se fier à l'unique machine dans laquelle on a confiance (le serveur distant) (et l'avis des râleurs ne vaut pas grand-chose tant qu'ils ignorent sciemment cette question).
Mon avis perso c'est que ça ne vaut pas le coup (la question de savoir comment Mozilla va traiter les extensions avec lesquelles il est en conflit d'intérêt est trop dérangeante) et tant pis pour Michu.

Ok.

La situation actuelle est, si je ne m'abuse:
- si non signé: message "êtes-vous sur" (et ça ne résout pas le problème)

La situation proposée par Mozilla est, à terme:
- si non signé: impossible à installer

La situation "debian" que tu proposes est:
- si non signé: impossible à installer, à moins que la clé soit installée par ailleurs par l'utilisateur dans une interface dédiée

Cette dernière solution peut convenir également à condition que l'ajout d'une clé soit impossible à faire à partir d'un installeur (en fait, c'est le même problème qu'avoir une option pour accepter l'extension non signée).
(je ne sais pas comment c'est fait sous windows. sous linux, le rajout d'une clé pour les dépôts implique de passer par les droits administrateurs)

Je pense que le problème est: à la place d'avoir un virus / cheval de troie qui corrompt le système, on peut tout simplement rajouter à firefox l'extension qui fait le travail.
Comme l'existence d'extension (qui parfois se connectent à d'autres sites, envoient des infos, modifient le contenu des pages visitées) est quelque chose de non-suspect, le malware n'est pas repérable par un anti-malware (et celui-ci peut servir pour rajouter des pubs dans un page web, envoyer des infos de l'utilisateur, servir pour un réseau d'attaque ddos, faire du fishing, …).
Le but de Mozilla (ou du moins, l'excuse officielle) est d'empêcher qu'un installeur malveillant exploite les possibilités des extensions.
La difficulté est donc d'avoir un système où l'installeur est obligé de faire quelque chose de suspect pour installer l'extension. Modifier un binaire système est quelque chose de suspect. Modifier des fichiers de configuration ne l'est pas.

C'est pas déjà le cas (les extensions non signée sont signalée et doivent être approuvées par l'utilisateur) ? Or, cela ne permet pas d'empêcher le problème que Mozilla veut résoudre.

Le problème que Mozilla souhaite régler, c'est l'installation d'extension non demandée par l'utilisateur.

Sous Debian (ou sous Linux), le problème ne se pose pas: l'installation "normale" de logiciel se fait via les dépôts officiels, qui apportent certaines garantie sur la non malveillance des logiciels (ceux qui installent autrement sont suffisamment au courant pour éviter les problèmes).
Sous Windows, l'installation traditionnel, c'est d'exécuter un logiciel d'installation, qui n'est garanti non malveillant que par le créateur du logiciel lui-même (et évidemment, un créateur malveillant dira qu'il ne l'est pas).

Oui, l'activation manuelle peut sans doute être contournée.
Autre élément: l'installeur malintentionné peut créer une extension dont la signature est unique "extension-pourrifox-AdvsfR" qui n'est pas encore sur la liste noire (contrairement à "extension-pourrifox-svajMM").
Du coup, il faudrait plutôt un système de liste blanche, plutôt que liste noire.
Et arriver à contrôler que les votes ne sont pas frauduleux.

Justement, il existe toujours sous Windows, Mac OS X et Android des installeurs qui profitent de Firefox.
Preuve que concevoir une telle interface pour atteindre le but qui est l'excuse de Mozilla ne marche pas.
CQFD.
(par contre, cette interface n'est pas utilisé dans le même but par Windows, Mac OS X et Android)

Sinon, 100% d'accord avec le fait que c'est un choix de Mozilla.
Si ce choix se confirme en pratique, je n'hésiterais pas une seconde à passer sous le fork qui en résultera.

Une exception uniquement activable manuellement par l'utilisateur en connaissance de cause via une IHM judicieusement pensée pour cela.

Je pense que c'est justement assez difficile à concevoir.
Si c'est un panneau qui informe l'utilisateur avec un bouton "installer quand même", je pense que les expériences précédentes montrent que ce n'est pas du tout efficace.

Si c'est une option globale, il faut faire en sorte qu'elle soit intouchable par le système d'extension (sinon l'extension le désactivera sans prévenir l'utilisateur).
Finalement, si c'est sauvé dans un fichier de configuration, le problème reste le même: certains installeurs changent le moteur de recherche par défaut, ils peuvent tout aussi bien changer l'option et ajouter leur extension malveillante comme avant.

Avec un système de vérification "en dur", il faudra modifier un binaire (sans doute un binaire du système, ce qui, je l'espère, est contrôlé et par défaut interdit sous windows) ce qui est un comportement qu'on peut facilement qualifier de malveillant (tandis que modifier une option dans les fichiers utilisateurs ne l'est pas, puisque ça peut être requit pour des actions légitimes).

Ça reste cependant possible. Par exemple un choix lors de l'installation ?

Mais la solution qui semble être préférée et contre laquelle tu n'as aucun argument moral, c'est la possibilité de désactiver la vérification dans les options.
Sauf qu'avec cette solution, l'argument que tu donnes ici est toujours valide (il est même PIRE, vu qu'un fork sans vérification par défaut n'existera même pas).

Ton argument est: "les gens utiliseront le firefox par défaut quoi qu'il arrive".
Cela implique que les gens utiliseront l'option par défaut.
Pourquoi une option qui sera désactivée uniquement par les experts est acceptable et un fork qui sera utilisé uniquement par les experts est une mauvaise solution ?

+1

Pour moi, la situation est similaire à la différence entre un smartphone verrouillé (le verrouillage de iOS) et un smartphone avec un OS proprio mais qui te donne l'accès root par défaut et pour lequel il existe des roms alternatives (le verrouillage de Firefox).
C'est pas idéal, mais il y a clairement une différence entre le premier et le deuxième.

Reste que restreindre les marges d'extension "sans compilation" (quand elles sont disponibles techniquement, j'entends)

Ok, je pense que pour Qupzilla, il n'est pas possible de faire une extension "sans compilation", leur système d'extension n'est pas capable de ça.
Donc, Qupzilla, c'est ok, alors, j'imagine (et "konsole" aussi du coup ?).

Ok, donc, selon toi, qupzilla est tout aussi mauvais de firefox.
Merci d'avoir répondu à ma question.
Personnellement, je trouve que Qupzilla est le meilleur navigateur libre dès qu'on veut éviter firefox et chrome et leur dérivées.
Quid de konsole, dans ce cas ?

J'ai pas compris ta remarque.
Es-tu en train de dire que si firefox était peu connu, le fait d'utiliser un store utilisant des DRM serait ok ? (ce avec quoi je ne suis pas d'accord: l'idée de Mozilla est foireuse quoi qu'il est soit)

Plus généralement, ce que je dis peux s'étendre à plus de choses.
Par exemple "konsole" est très utilisé, mais ses fonctionnalités sont toutes "hard-codées" et on ne peut pas distribuer ses propres fonctionnalités sans soit forker, soit avoir l'aval des développeurs.

Si tu trouves qu'un monde où il n'y a pas de différence entre l'utilisateur et le développeurs est idéal, pas de problème.
Mais cela ne veut pas dire que c'est la réalité.

Par ailleurs, je ne comprends pas vraiment pourquoi on critique firefox, du coup: s'il n'y a pas de différence entre développeur et utilisateur, en tant qu'utilisateur de firefox, tu es développeur de firefox, et tu peux donc modifier tout les comportements que tu veux.
Si tu réponds qu'il existe un fossé entre "utiliser" et "développer/maintenir un outil développé par une autre personne", dans ce cas, tu confirmes qu'il y a bien 3 groupes: le groupes des développeurs de firefox, le groupe des développeurs d'extentions pour firefox, le groupe des utilisateurs.
S'il n'y a pas de distinction entre "utilisateur" et "développeur d'extention", pourquoi y en a-t-il une entre "développeur de firefox" et "utilisateurs" ?

Petite question plus générale:
Qupzilla est un navigateur qui lui aussi permet des extensions.
De ce que je sais, celles-ci ne sont disponibles pour l'utilisateur uniquement si elles se trouvent sur le dépôt officiel de qupzilla (sinon, il faut, il me semble, compiler soi-même).
Est-ce que cela implique que qupzilla est tout aussi mauvais que firefox-avec-extensions-restreintes ?

La confiance, c'est dans les deux sens.

N'est-ce pas justement l'origine du choix de Mozilla ?

Il y a 3 acteurs: Mozilla, les utilisateurs, les développeurs.
Ce dont parle coid, il me semble, c'est de la confiance utilisateurs <-> Mozilla.

Mozilla a également fait confiance aux développeurs.
Elle a constaté que les développeurs trahissaient sa confiance en en profitant pour abuser de l'utilisateur.
Du coup, la confiance dans les développeurs a été perdue, de la part de Mozilla ET de la part des utilisateurs.

Par conséquent, Mozilla fait quelque chose qui restreint les développeurs (mais pas les utilisateurs directement).
Je ne vois pas pourquoi la relation de confiance "Mozilla <-> utilisateurs" est endommagée par ça.
Au contraire, Mozilla réagit pour protéger les utilisateurs, la confiance en Mozilla de la part des utilisateurs devrait au contraire augmenter.

Cela dit, je trouve leur idée stupide, et je m'attends à soit un revirement, soit un fork/patch dans les versions distribuées sous Linux.

Euh, t'es au courant qu'il existe un monde entre "le secteur a 0% à voir dans le problème" (ce que tu dis) et "le secteur a 100% à voir dans le problème" (ce que tu penses que je dis simplement parce que je dis que c'est stupide de prétendre que c'est 0%).

Tu prétends que si on a l'audace de dire qu'un comportement du secteur qu'on pourrait changé a aussi un impact sur le problème, c'est qu'on prétend que tout le secteur doit être interdit, et que donc, logiquement, on ne peut jamais rien reprocher au secteur.
Et c'est moi qui ai un sens de la mesure qui fait peur ?

(Par ailleurs, tu confirmes en faisant de nouveau la même erreur: j'ai dit "il existe des gens qui …" et tu en déduis que c'est mon opinion.)

Content de constater que selon toi, il n'y a aucun problème avec l'islam (et par extension avec la religion en général), vu qu'il existe des musulmans biens sous tout rapport.
Les anti-religions sont donc des coincés du cul.
Même chose pour la politique: si les politiciens sont pourris, ça n'a rien à voir avec la démocratie représentative française, vu que certains maires sont honnêtes (et donc tout ceux qui parlent de démocratie directe ou de tirage au sort sont des coincés du cul).
Même chose avec tout ceux qui disent "le problème du libre" ou "le problème du proprio": ce sont des coincés du cul, vu qu'avoir ce genre de raisonnement implique d'être coincé du cul vu que quand on a ce genre de raisonnement à propos du porno, c'est qu'on est forcément un coincé du cul.

À moins que l'existence d'une partie "saine" n'implique pas que le secteur ne puisse pas avoir un fonctionnement critiquable.

Bref, plus tu trouves ce genre d'excuses, plus ça me convainc que tu traites le sujet du porno d'une manière subjective. Et je pense que je perds mon temps de toutes façons.

Est-ce que tu as un problème avec toutes les usines en général?

N'est-ce pas exactement ce que disent ceux qui disent que c'est hypocrite de s'en prendre à Apple alors que c'est tout le secteur qui est encouragé par le système à se comportement comme ça ? Ces gens-là concluent donc que le problème est bien au niveau de l'industrie des constructeurs. Pourquoi le même raisonnement devient-il soudain tabou quand il est question de l'industrie porno ?

On en a déjà parlé.
À voir le nombre de débat et le fait que certains se plaignent de ces débats (cf. le journal "la communauté linux n'a plus rien de technique à dire" ou un truc du genre), j'ai eu l'impression qu'ignorer les gens qui gueulent ne marchaient pas pour certains.
J'ai donc simplement proposé une autre solution.
Après tout, proposer une autre solution arrive souvent sur LinuxFr, et même quand une personne ne pense pas que ce n'est pas la bonne solution, cette personne n'engueule pas l'autre aussi violemment.

C'est ce qui m'a le plus dérangé dans cette discussion: pas le fait qu'on ne soit pas d'accord avec "la solution la plus simple", mais le fait que j'étais jugé coupable d'être un coincé simplement parce que je proposais une autre solution et que peu importe ce que je disais, j'étais forcément dans le camp des puritains.

Notons que j'ai l'impression dans ce dialogue que dwd n'est pas celui qui est sensible.
Pour moi, un sujet est sensible lorsque une personne A le traite comme n'importe quel sujet, mais qu'une personne B réagit de manière totalement disproportionnée en considérant directement que A a un problème particulier avec le sujet.
Dans ce cas, c'est la personne B qui, selon moi, est sensible.

Prétendre que la situation du porno est parfaite ne me parait pas très réaliste, et rejeter toutes critiques d'un revers de la main parce qu'on a extrapolé que la personne qui critique a un problème, cela me parait bizarre.
Par exemple, si je dis que ce n'est pas moral que Apple gagne énormément d'argent mais accepte des conditions de travail très précaire pour les employés de ses sous-traitants, je ne comprendrais pas qu'on me réponde: "ouais mais c'est pareil pour coca-cola, donc, c'est juste que t'as un problème avec Apple". Non, j'ai un problème avec Apple ET avec Coca-cola ET avec tout ceux que j'oublie. C'est juste que là Apple est arrivé dans la discussion.
Même chose pour l'argument "ouais mais c'est TA morale, que tu essaies d'imposer aux autres". Le fait de ne pas être capable de discuter avec moi sans partir du principe que forcément si j'ai une critique envers Apple c'est que je suis fondamentalement anti-Apple, cela me pousse à la conclusion que le sujet est sensible.

tout le monde s'en fout complet de chez complet de ce que tu es

et

au nom de ta morale

Mais justement, ma morale n'entre PAS DU TOUT en compte dans mon raisonnement.

Donc, tu prouves bien que tu n'as pas du tout compris ce que je disais, et que tu me classes bel et bien dans le clan des "coincés" (comment est-ce que je peux imposer quelque chose au nom de ma morale si ma morale n'est pas dans le camp des coincés).

Je me contenterai d'un unique résumé de mon raisonnement, je ne souhaite pas relancer le débat vu que je suis convaincu que ça sert strictement à rien.

Mon raisonnement est que certains veulent interdire quelque chose en fonction de leur morale. Alors qu'ils ne cherchent pas de référence au sexe, ils tombent quand même dessus, dans des contextes qui a priori n'ont pas de raison d'être sensible. Ils disent alors que c'est la responsabilité de ceux qui font ces références de "les garder chez eux".
Et d'autres veulent interdire quelque chose en fonction de leur morale. Alors qu'ils choisissent chez eux le nom qu'ils préfèrent, ils ne veulent pas revoir leur choix sous prétexte que ça choque certains et que si leurs choix débordent chez les voisins et qu'ils sont choqués, c'est leur problème, pas le problème de ceux qui ont fait les choix.

J'ai dit 2 choses:
1) si on ne fait pas partie d'aucun des deux camps, on choisit la solution la plus simple, même si elle satisfait 100% un camp (vu qu'on s'en fout, pourquoi devrait-on renoncer à la solution la plus simple sous prétexte que ce n'est pas juste avec un des deux camps et choisir la solution la moins simple qui n'est pas juste avec l'autre camp ?)
2) si on est dans un des 2 camps, je trouve personnellement que "se battre pour ça" est tout aussi ridicule, et que c'est un enjeu de société très très faible (il ne devient important que lorsqu'on extrapole à fond le danger, ce qu'on peut faire de la même façon dans un cas comme dans l'autre)

Finalement, à chaque fois qu'on a voulu me montrer que la deuxième morale était plus légitime et l'emportait donc sur la première, je trouvais très facilement un exemple d'argument construit exactement de la même façon qui "prouvait" tout autant que la première morale était plus légitime et l'emportait donc sur la deuxième.
(mais de nouveau, seuls les imbéciles ont crus que donc, ma morale correspondait à la première)

J'ai eu également le malheur, dans un autre journal, sur "weboob", d'oser dire que finalement, ceux qui "luttent pour avoir le droit de choisir un nom qui peut choquer" n'était p-e pas beaucoup plus légitimes ou non-ridicules que ceux qui "luttent pour avoir le droit de ne pas avoir un nom qui les choque apparaître sans qu'ils n'aient rien demandé".
Là aussi, ça n'a pas traîné: j'étais donc forcément un puritain chrétien coincé, et tout les contre-arguments ne se basaient uniquement sur ça.
J'ai finalement abandonné la discussion.
Bref: bon courage à toi si tu souhaites continuer la discussion, de mon côté, je n'ai pas trouvé le moyen d'aborder ce genre de sujet tabou sainement.

Ok, mea culpa, je n'aurais pas du dire "les médias où on pouvait ne pas voir de seins a baissé en flèche ces dernières années" mais plutôt "les 'environnements' …" (dans le sens où avant, le sexe était p-e aussi présent, mais 'confiné').

Mon propos est simplement: si ce que dit maclag est vrai, comment est-ce que tout ces exemples peuvent exister ?
Comment est-ce que le puritanisme peut menacer notre société, et en même temps y avoir "autant" de référence sexuelle partout ?

Par ailleurs, attention, je ne dis pas qu'il y a plus de moyens de voir du cul, je dis que le cul s'est plus immiscé dans la société.
Si un puritain ne veut pas voir de cul, il ne regarde pas le film du dimanche soir sur M6, car là, c'est clairement affiché que c'est ce qu'il y trouvera. Même chose pour la TNT et le reste.
Par contre, tu regardes une simple série, qui n'a aucun petit logo en bas à droite, tu as une probabilité non négligeable d'avoir des références au sexe (ce qui selon moi était fortement moins le cas avant).
Ça rejoint ce qui a été dit plus tôt: certains puritains râlent parce qu'ils font des efforts pour ne pas voir de référence mais qu'on leur les mets sous le nez quand même.
Ce à quoi on me sort l'excuse stupide de l'église, à quoi j'ai déjà répondu: si on me prouve qu'il est facile et efficace de créer un bâtiment pour honorer un dieu et qui soit invisible, ok, j'accepte l'argument. De mon côté, je peux facilement prouver qu'il est possible d'exploiter le web sans utiliser de navigateur sans faire référence au sexe.

Si tu ne fais que te foutre de la gueule, alors, pourquoi tu as pris ma moquerie pour toi ?
Il existe clairement des types qui prétendent que "donner raison" aux puritains est une erreur à éviter. Si c'est le cas, c'est que t'es assez bête pour penser que c'est un enjeu important, et dans ce cas, effectivement, je me fous de ta gueule pour ça.