jben a écrit 841 commentaires

Tout d'abord à propos de la machine.

• Comment comptez-vous la transporter ? Sacoches, remorques, remorque monoroue ? Et quelle protection ? J'ai déjà fait de la rando vélo avec un ordinateur, c'est quelque chose à prendre en compte pour le choix de la machine (solidité, masse…).

• Es-tu sûr que de GiB de RAM est suffisant pour ton usage ? Je traite de temps en temps des raws avec ma machine, et j'utilise pour cela environ 4 GiB de RAM, après ça dépends de ce que tu fais, mais perso quand ça se met à swapper je deviens fou.

• SSD ou disque dur de 128 ou 256 GiB… Dans les deux cas c'est pas suffisant pour garder en stock vos six mois de voyages. Ça passe si vous faites le traitement au fur et à mesure, mais vous ne pourrez pas garder les raws. Après vous prévoyez peut-être d'uploader au fur et à mesure les raws. Pour avoir déjà vécu deux semaines de rando vélo avec une connexion aléatoire, ça me semble hasardeux.

À propos de l'OS et des logiciels.

Ce qu'il vous faut c'est installer un OS stable, et vous n'avez semble-t'il aucun besoin de temps réel, donc ubuntu studio n'apparait pas necessaire, et utiliser un noyau temps-réel si vous n'en avez pas besoin, c'est au mieux inutile.
Après au niveau soft, pour le traitement photo perso j'ai un fort amour pour darktable. Mais l'essentiel est que vous prépariez la machine bien avant de partir, et que vous vous entrainiez à utiliser les logiciels avant de partir, ainsi si vous avez des problèmes, vous pouvez encore les corriger. Il faut aussi que vous téléchargiez toute la doc possible et inimaginable.

Et enfin pour vous faire peur, vous avez prévu quoi si la machine vous lache en plein millieu ? Dans une modeste rando vélo de quelques centaine de kilometres sur une dizaine de jour mon ordi m'a laché, il me servait pour les itinéraires… Ça arrive ce genre de chose.

Ce n'est pas de toi dont je parlais, nous savons bien tous ici que tu n'as aucune haine contre ce système d'exploitation (il n'y a aucune attaque dans cette phrase).

Tes arguments sont recevables, mais ils ne contredisent pas les miens. Je ne me fais aucune illusion, avec une distribution libre, nous sommes potentiellement soumis au même risque, que nous ayons accès aux sources ou non. La proportion de personnes lisant les sources, et étant en mesure de faire une analyse assez poussée pour détecter une faille vicieusement introduite est absolument ridicule.

Alors oui, il est plus simple de le faire sur du code fermé, il n'y a pas à écrire du code vicieux qui passe pour du code anodin, mais à mon sens c'est négligeable. Vu les moyens de la NSA, entre introduire une backdoor visible dans le code avec une procédure de collaboration de Microsoft ou introduire une backdoor avec du code vicieux en apparence anodin dans une distribution libre, ils ont probablement les moyens de faire les deux.

Quand je parlais de bugs, il fallait lire code au comportement anodin ayant un effet différent que celui qui est affiché, comprendre que ça inclue les failles potentiellement volontaire.

Pour moi, l'accès au code source, et la possibilité de compilation de code modifié, offre plein d'avantages, mais pas celui de lutter contre des backdoors volontairement introduites, dans un cas on a une procédure de pression sur l'éditeur, dans l'autre cas on a un déploiement de trésors d'inventivité comme la modification de l'aléa des générateurs pseudo-aléatoire, la proposition d’algorithme cryptographique, l'écriture de code très vicieux. La NSA ne semble être à court ni de moyens ni d'inventivité.

À un moment il faudrait arrêter de faire les gamins.

Je n'utilise pas windows mais je n'ai aucune haine contre ce système d'exploitation. Il faudrait arrêter de toujours vouloir dire que ce qu'on utilise est le meilleur de ce qui existe en dénigrant tout le reste. Et en plus en arrêtant le dénigrement systématique on y gagne en crédibilité, du moins avec les gens n'étant pas soumis à un aveuglement.

En quoi le fait que les organisations gouvernementale puisse recompiler le code source qu'elle reçoivent de Microsoft nous concerne t'il ? Nous n'avons pas accès au code source de Microsoft, qu'ils puissent le recompiler ou non après l'avoir reçu, comme dirait notre ancien président, ça m'en touche une sans faire bouger l'autre. J'ose espérer que les organisations gouvernementales savent ce qu'elle font, et il serait un peu prétentieux de dire qu'elle ne font qu'un partie du boulot et que nous grands savant de dlfp connaissont mieux leur boulot.

Après il faut aussi être réaliste, l'accès au code source et pouvoir le modifier c'est bien, c'est bien pour ajouter des fonctionnalités, faire autre chose que ce à quoi il est destiné, bref jouir du logiciel de manière complète. Par contre pour la sécurité, seulement une petite partie des failles est trouvée par une analyse du code source, et d'autre techniques comme le fuzzing donnent des résultats autrement plus intéressants.

Je crois que j'ai confondu avec zhe.

Est-ce que xhe est une abomination de plus dans le même goût ?

(Je trouve que le temps pour éditer son message est trop cout. Voici que je suis en train d'être obligé de me répondre, c'est comme ça que commence la folie.)

Il me semblait que xhe était une horreur introduite pour remplacer he or she, en gros l'invention américaine pour remplacer le they singulier, trop britanique à leur goût (et surtout trop correct à mon sens). Donc ça me semble en plus d'être une abomination (le fait de mettre xhe quel que soit le contexte), une erreur ici de remplacer the par xhe.

Pourtant le fait de changer de vocabulaire ne dit disparaître ni les idées ni les concepts, tout au plus il réduit les manières de les exprimer.

Dans le cas des DNS on est purement dans la notion d’asservissement, et il semble judicieux d'utiliser le concept de maître-esclave. Il ne faut pas oublier que nous sommes en train de parler de serveurs.

L'esclavage des serveurs (je ne parle pas des étudiants officiants dans les cafés) ne choque pas ma morale, c'est l'esclavage des êtres humains qui est choquant. Le fait de réduire l'interprétation d'un mot en lui refusant la possibilité d'un autre contexte, car en effet quand nous parlons d'esclavage sans préciser le contexte, nous parlons d'esclavage d'être humains, induit une prohibition sur le mot, même quand dans le contexte où il est employé, il décrit parfaitement la situation.

C'est justement l'utilisation des mots pour ce qu'ils sont, et donc de parler d'esclavage pour des serveurs, qui nous permets de garder la signification profonde du mot, et ainsi nous rendre abjecte l'application de ce qu'il véhicule aux êtres humains.

Je désapprouve de nombreuses fois l'usage du terme novlangue, mais je dois bien avouer qu'il est ici précisément employé dans le contexte de 1984, c'est à dire tenter de supprimer une réflexion par la suppression du vocabulaire approprié. Si un jour l'esclavage redevenait à la mode, serions-nous condamné à utiliser primaire/secondaire pour parler des être humains ? Je préférerai utiliser les mots pour ce qu'ils véhiculent, quelque chose d'acceptable pour des serveurs, d'intolérable pour des êtres humains.

Ben non il ne sais pas s'en servir. Désolé de te décevoir.

Il est vulnérable à toutes les arnaques inimaginables, de la plus simple comme une clef avec une fausse identité, à la plus complexe. Ce n'est pas ce que j'appelle savoir s'en servir.

Et c'est même encore pire, puisqu'il a un faux sentiment de sécurité. En fait je ne pense pas que tu lui a rendu service.

Vu le site étrange de l'INPI, je ne te ferai pas de lien. Mais après des recherches aussi chiantes qu'exaspérantes le l'ai trouvé. J'avoue que j'étais également très dubitatif.

• Aller sur le moteur de recherche de l'INPA
• Séctionner la recherche avancée
• Cocher la case « françaises non en vigueur »
• Rentrez le numéro 3113870

C'était donc vrai.

Pourrais-tu indiquer la chaîne de recherche utilisée ? Leurs liens sont… étranges. En fait apparement il ne stocke pas la reference de la fiche dans le lien mais dans la session. De plus les recherches sembles non-deterministes. Ça a l'air d'être une incitation à effectuer une recherche payante.

Préambule: Je suis un utilisateur de GnuPG, je signe tous mes mails, et certaines de mes conversations sont intégralement chiffrés (et fait celles qui contiennent des infos confidentielles). Je trouve ça génial, et j'essaie d'inciter les gens autour de moi à utiliser les moyens cryptographiques mis à leurs dispositions. Mais je ne suis pas d'accord avec toi.

[…] un néophyte de mes connaissances à mis 15min il y a peu […]

C'est cher payé, non ?

Bien en 15 minutes ton néophyte à une clef publique une clef privée, et c'est tout.

Ça prends combien de temps à former quelqu'un à OpenPGP à ton avis ? Personnellement, avec des gens interessés et un bon niveau en informatique je dis au moins deux heures. Pour moi, être formé ça consiste en:

• avoir des certificats de révocations prêts
• savoir générer des certificats de révocation
• avoir compris la notion d'expiration de clef
• savoir mettre à jour l'expiration de sa clef
• avoir séparé la clef de signature et la clef de certification, et de ne pas garder la clef de certification sur une machine allumée
• avoir compris la notion de validité
• avoir compris la notion de confiance en le propriétaire de la clef (de ce coté là GnuPG n'aide pas en parlant de trust pour designer la validity ou le owner trust suivant le contexte)
• avoir compris la notion de réseau de confiance et ses règles de propagation
• savoir certifier des clefs (ce qui implique avoir expliqué la notion de fingerprint et l'importance de la vérifier en intégralité. J'ai même illustré cette partie là dans un de mes précedents journaux, ça ne se fait pas en 20 secondes)
• savoir mettre à jour son réseau de confiance
• savoir révoquer une certification

et enfin bien sûr

• savoir signer un message
• savoir chiffrer un message
• savoir vérifier une signature d'un message
• savoir déchiffrer un message.

Mais j'ai plûtot l'impression que pour toi, les 15 minutes necessaires à ton néophytes ont permis d'atteindre l'objectif de ces quatre derniers points, mais pas du reste. Ou alors tu es un formateur de génie.

Sans vouloir me prononcer sur le fond de l'affaire. Le procédé me parait totalement odieux. Nous sommes dans le cadre d'un litige entre deux entreprises, un litige pénal avec une procédure toujours en cours, sauf si je ne me trompe.

Le fait de publier, via un site web dédié, au nom sans aucune équivoque ces propos (je ne sais pas si on peut leur donner le titre d'information), afin de discréditer l'adversaire me semble bien étrange.

Il m'est d'avis qui vont se prendre une plainte en diffamation de leur adversaire, et toujours sans juger du fond, je trouverai ça totalement justifié. Nous sommes purement dans le cadre de faits précis portant atteinte à l'honneur et à la considération. De plus aucune des deux excuses utilisable me parrait recevable. L'excuse de vérité à un formalisme très précis, et si ils n'ont pas encore été capables de clôre à ce jour la procédure judiciaire, ça me semble difficile d'invoquer cette excuse. L'excuse de bonne foi consiste à invoquer le fait que porter atteinte à l'honneur et la considération n'étaient pas les but premier de la publication, c'est souvent celle qu'utilise les journalistes en invoquant la notion d'information, et pour quelle soit acceptée il faut souvent que la publications fassent l'objet d'une rigueur et des reserves propres à la notion d'information, ce qui ne me semble en aucun cas le cas ici.

Après ce n'est que mon avis, mais ce procédé me choque, et ça me paresserait normal que Linagora en subisse les conséquences.

Et pour rajouter une couche au scepticisme, SS2L n’apparaît pas dans la liste des marques déposés par Linagora.

Tu mélanges plusieurs choses.

L'agent ssh qui stocke les clefs ssh déchiffrés, qui est utilisé pour se connecter en ssh sans redemander la passphrase à chaque fois. Et l'agent gpg qui stocke la clef privée gpg déchiffrée pour éviter de ressaisir la passphrase à chaque fois.

Là où c'est subtil c'est que le programme gpg-agent fournit les deux services (si on lui demande).

Pour être plus précis, j'ai déjà utilisé 3 agent ssh:

• Celui par défaut livré avec openssh. Il faut lui rentrer la clef avant de l'utiliser (via ssh-add) si tu essai de te connecter sur un hôte qui accepterai une clef connue de l'agent mais non déchiffrée, il ne l'ajoute pas.

• Celui fourni par gnome-keyring. Il est bien, quand tu veut te connecter à un hôte qui accepterai une clef que tu n'as pas déverrouillée, il te propose de la déverrouiller. Le problème c'est qu'il n'a pas de ttl, une fois qu'une clef est déverrouillée, elle l'est pendant la durée de vie de l'agent.

• Celui fourni par gpg-agent, il a les mêmes caractéristiques que celui fournit par gnome-keyring, mais il gère le ttl. C'est celui que j'utilise maintenant.

Coté agent gpg, ce qui t'éviterai de retaper sans cesse ta passphrase dans thunderbird, je n'ai utilisé que gpg-agent, et je n'ai rien de mal à en dire.

Après, personnellement pour j'ai configuré pour la partie agent gpg un ttl très court. Il est important d'avoir ce temps d'arrêt au moment où je signe un mail, de même que quand je signe un courrier. Pour moi c'est l'étape mentale nécessaire à « j'en accepte la pleine et entière responsablilité »

Après rélexion je ne sais pas comment interpreter exactement ta demande. Si tu ne désire pas que la première sous section affiche l'image (je n'ai pas bien compris si tu le voulais où non), il suffit de procéder de même, mais de tester la valeur du compteur :

\def\subsection{ %
\ifnum \value{subsection} > 0 %
\includegraphics{jacques-chirac} %
\fi %
\oldsubsection}


Sans tester, moi je proposerai quelque chose du genre :

Tout d'abort je definis \oldsubsection comme un alias de \subsection, comme ça quand je fais redéfinir subsection je pourrai faire appel à la définition original avec \let\oldsubsection\subsection.

Puis je redéfini \subsection en faisant appel à l'alias que je viens de définir, mais aussi je rajoute une image de papi avec \def\subsection{\includegraphics{jaques-chirac} \oldsubsection}

Bon c'est à l'arrache et je ne l'ai pas testé, mais à priori ça devrait marcher.

Édit: C'est moi où le parseur n'aime pas les \ ?

Nota: je ne sais pas ce que font les éditions Atlantes.

En fait, j'en ai jamais eu vraiment besoin, et je me suis toujours contenté de faire de l’électronique de grand-papa. Je suis sûr que le jour où j'en aurai besoin, j'y arriverai. J'ai déjà vu des gens faire, et ça n'a pas l'air très compliqué, mais d'avoir déjà vu des gens faire n'est pas suffisant pour que je puisse dire « je sais faire ».

Par contre la soudure à la flamme pour la plomberie, j'en ai eu besoin, j'ai essayé… et j'ai fait appel à quelqu'un qui savait faire.

ceux qui savent faire une soudure

Même ça, ça se sous-divise, et ça peut ne rien n'avoir à voir.

• Électronique de grand-papa : soudure à l’étain. Pour faire du hacking ou du DIY en éléctronique, je pratique.
• Électronique moderne : soudure type CMS. Pour faire du hacking ou du DIY en éléctronique sans prendre la taille d'un paquebot pour faire un réveil. Je ne sais pas faire.
• Mécanique, bricolage divers : soudure à l'arc pour faire du DIY ou des réparations, je pratique.
• Plomberie : soudage à la flamme. Je ne sais pas faire.

Et il y en a encore plein d'autre.

Alors dans quel catégorie suis-je ? Car quand on parle de hacking, chacune de ses méthodes de soudure est utile, ça dépend de ce que tu veux faire.

[Mais] ça doit être gérable.

Oh que non.

Pour avoir déjà travaillé sur du routage dans un graphe (cf. mon précédent journal), la recherche d'une route dans un graphe est un problème complexe. En en plus j'étais dans un graphe qui a une représentation géographique, et pour cause c'est un graphe routier. Alors dans le cas d'un graphe comme celui d'internet je n'ose pas imaginer le problème.

Après tu peux imaginer une solution où les routeurs annonceraient à leur voisins quelles sont les routes disponibles, mais là… le coté géographique ne sert plus à rien, et en sophistiquant un peu, tu réinventeras BGP.

Et ce pour plusieurs raisons.

Tout d'abord du parle le GPS, je pense que tu veux parler de coordonnées GPS, ou pour être plus précis de coordonnées dans le référentiel WGS84. Je vais donc baser mon commentaire sur cette interprétation.

Voici les points qui me semblent étranges :

• Tu suggères que les serveurs peuvent tomber facilement. Les serveurs racines sont vraiment difficile à faire tomber. Ils sont dans des endroits non publics, sur des AS différents, et une bonne partie est en anycast donc à plusieurs endroits physiques en même temps.

• Tu propose en fait de remplacer l'adressage par des coordonnées, ça ne résoud en rien le problème des DNS, à moins que tu considère qu'apprendre une IP soit plus difficile qu'apprendre un couple de coordonnées, pour moi c'est pareil. Donc avec ton schema on a toujours besoin d'un système de traduction nom vers quelque chose, quelque chose étant dans ton cas des coordonnées au lieu d'être des adresses.

• La notion d'adresse est prévue pour faciliter le routage (même si c'est de moins en moins vrai avec IPv4), on peut déduire à propos du prefixe de l'adresse la route sans aller dans le détail de l'adresse (c'est ça qui pose problème avec IPv4, on est en train d'avoir des annonces de routes de plus en plus petites, d'où les tailles des tables de routages qui explosent).

• Un routage géographique est un algorithme glouton (au sens de localement optimal) donc sous-optimal, et non garanti. Pour t'en convaincre fait l'essai au niveau d'un graphe routier et cherche une route avec un algorithme glouton entre Paris et Mareille, si par hasard tu arrivais à en trouver une, calcul son coût (comme la distance, le temps necessaire…) et compare le au coût optimal, tu comprendras. Et dans le cas d'un graphe routier, on est dans un cas facile par rapport au problème en question.

Oh, il est facile de détecter un serveur avec une configuration standard.

Par exemple pour openvpn, tu peux essayer de savoir si

• ça cause du TLS sur UDP port 1194
• ça cause du TLS sur TCP port 1194

Tu peux essayer les contournement courants, genre

• en TCP port 443 arrive t'on à établir une connexion HTTPS ?

Bref pour les serveurs de base, ça peut se détecter facilement. Après, il suffit que le serveur lance le VPN sur une IP et que l'IP de sortie soit une autre IP (sur la même machine ou non), il est impossible de faire l'association entre le deux, donc de detecter le serveur VPN. Après il est aussi possible d'avoir une configuration non standard en dissimulant le serveur VPN, et en se protegeant contre le scan de port.

Il semble possible pour moi de détecter automatiquement les configurations VPN standards sans protection particulière.

Les diverses réponses proposés sont pertinents, j'en conviens, mais je m'étonne que personne n'ai ne serais-ce qu'abordé la question de l'IPv6.

Si ça se trouve c'est pas possible, et il convient d'utiliser les arnaques de redirections de ports au niveau de la couche TCP dans la configuration de la boboîte.

Mais il se peut aussi, qu'il soit chez un fournisseur d'accès qui offre l'IPv6, c'est à dire qui ne s'acharne pas à entretenir une vision passéiste où le nombre de machine est faible ou une vision moderne où les machines n'ont pas à être directement sur le réseau, entretenant la centralisation (je ne parle pas d'auto-hebergement, je parle de protocoles P2P).

Si il supporte l'IPv6 c'est assurément la solution la plus simple, la plus élégante, et la plus durable.

J'ai plutot l'impression que tu me parle d'anecdotes professionnelles. Si c'est bien le cas, alors soit

• Tu travailles pour un employeur, et c'est lui qui n'a pas les procédures pour évaluer les conséquences des engagements de sa boite. Si ça lui tombe sur le coin de la gueule, il y aura une raison, d'autant plus que le droit des consommateurs, très protecteur, ne s'applique pas lorsque les deux contractants sont professionnel.

• Tu travailles pour toi, et tu as donc choisi de prendre un risque. Je ne suis pas opposé à la prise de risque, mais c'est quelque chose à savoir.

Personnellement, pour ma vie professionnelle, je suis très rarement dans cette situation, mais quand ça m'arrive, je ne lis pas les contrats, je les transmets au service compétant qui me donne son accord sans les lire. Je considère que j'ai fait ma part du boulot. Dans ma vie personnelle, oui je lis tout ce que l'on me demande de signer et d'accepter, et je t'assure que je suis normal et que cela ne prends pas tant de temps que ça.

Aujourd'hui j'ai visité 8 sites web que je n'avais (probablement) pas visité avant. Pour la plupart, juste un coup d'œil de quelques secondes (je ne compte pas les contenus imbriqués).
Si j'avais lu leurs conditions d'utilisation, combien de temps cela m'aurait coûté ?

Faut être clair. Dans le cas d'une simple consultation d'un site vraissemblablement destiné à être consulté par le public (par exemple Bluetouff sur les serveur de l'ANSES n'était pas dans ce cas, il a compris que c'était une erreur de la part de l'ANSES et aurait du faire machine arrière), les CGU ne peuvent clairement pas nous être nocives. Si quelqu'un s'amusait à mettre de telles clauses, genre « En consultant le site vous acceptez de me verser du pognon… », elles seraient sans aucun problème déclarée abusives, en particulier au fait d'un défaut d'information.

J'ai fait une commande de 45 € auprès d'une société que je ne connaissais pas.

Alors, là, pas le même son de cloche. Moi lis les CGV, je vérifie que la societé mentionnée dans les CGV est bien celle qui a enregistré le domaine, je vais faire un tour sur les informations disponibles par les greffes des tribunaux de commerce, et quand je ne suis pas pleinement satisfait, je passe un coup de fil pour m'assurer de l'existence de la societé et du lien avec le site. Ce n'est pas tout de bien lire le contrat, il faut de plus être sur qu'on le passe avec la bonne personne. Après ça, il est possible, comme un autre, que je sois victime d'une arnaque, mais au moins on ne pourra pas m'accuser de négligence.

Par exemple certaines communes ont une règle de stationnement spécifique.

Les communes ont des obligations d'information et elles doivent utiliser une signalisation en accord avec leurs réglements, et le manquement à ces obligations permet de très facilement contester une verbalisation effectué (même si elle se base sur un arreté municipal) en cas d'absence de panneaux dans les cas les plus courant. Il y a quelques cas de stationnement qui ne font pas l'objet d'un affichage, en particulier la durée à partir e laquelle un stationnement est abusif, mais ces cas ne sont pas couramment rencontré lors de la traversée d'une commune, ou alors nous n'avons pas la même notion de traversée. Dans ces cas, un simple coup de téléphone à la mairie suffit pour obtenir l'information, et par expérience on te répond très aimablement, j'ai même eu un cas où la secrétaire m'a proposé un autre parking gratuit 500 metres plus loin de la gare de laquelle j'avais besoin de laisser ma voiture quinze jours en me disant « il n'y a pas de pression sur ce parking donc la police municipale ne verbalise pas les stationnements long ».

C'est sympathique à toi d'entendre que je n'ai pas une vie normale.

En fait c'est largement faisable de lire toutes les CGU et CGV. Oui ça ne se fait pas en un jour, mais dès que tu utilises un nouveau service, tu lis les CGU et CGV. Plus tu en lis, plus rapidement tu les lis. Très rapidement tu apprends à zapper les clauses de bon sens, les clauses qui ne font que répéter la Loi (certaines CGU en sont pleines), les clauses réputés non écrites, les clauses valides mais inapplicables (principalement pour des questions de preuves), et il ne te reste plus grand chose.

Plusieurs points toutefois:
- Oui, ça necessite d'en avoir lu un certain nombre.
- Ça necessite de connaitre un minimum le droit applicable.
- Il y a des clauses qu'on ne peut pas zapper, en particulier les clauses de définitions, même si elles sont dans 99% des cas que du bon sens, j'ai déjà vu des trucs vicieux.
- Je ne les lis qu'au regard du droit français, je n'ai pas de connaissance dans les droits des autres pays.

Et avec de l'habitude, lire les CGV d'un site, ça prend entre une minute pour les cas simple et cinq minutes pour les cas complexes. Des fois cinq minutes n'est pas suffisant, mais généralement, dans ce cas, je ne le sens pas, et je passe mon chemin, peut-être ai-je tort, mais c'est plus sûr. Et j'en tire cet enseignement : « Si je ne suis pas capable de comprendre en un temps raisonnable, je vais voir ailleurs ».

Essayez de le faire, après quelques mois, vous verrez, ce n'est pas si dur.

Même sqlite ?