barmic 🦦 a écrit 6259 commentaires

Je ne partage pas cette facon d'aborder les choses, surtout pour des jeunes lorsque la relecture est aussi un moyen de transmettre des connaissances (dans les deux sens). Je peux apprendre de celui qui a écrit le code s'il y a des choses que je ne connaissais pas et je peux transmettre si mes remarques sont constructives. Alors oui, la reclecture de code, ce n'est pas toujours un échange constructif pendant lequel on peut apprendre, c'est souvent plus simplement pour améliorer le code et ne pas laisser d'erreur.

Je pense qu’il y a méprise. Je me fou de la méthode qui est utilisé pour produire le code. Quand tu soumet du code tu le fait en ton nom. Tu n’a pas à te dédouaner sur claude, gemini ou chatgpt.

Concernant la dernière phrase, je préfère un jeune développeur qui doute de lui qu'un jeune trop sûr de lui, je suis convaincu que l'un progressera plus vite que l'autre.

Je pense que l’incompréhension du paragraphe n’a pas aidé avec cette phrase mal écrite. J’attends à ce que quelqu’un qui soumet du code « own » ce code. Il peut l’avoir fait écrire par des outils, mais il a une compréhension de son code. Tu parle des jeunes dans le cas contraire il n’y aura jamais d’apprentissage

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Du coup c'est cool on va vachement vite sur le JIRA, bon courage pour ceux qui suivront, les derniers qui s'en vont penseront à éteindre la lumière.

Je suis pas particulièrement pro IA, mais ce que tu décrit est de l’accumulation de dette classico-classique. L’IA peut avoir tendance à en produire plus efficacement, mais le fait de ne pas intégrer l’essorage de la dette dans les tâches ou régulièrement ce n’est pas la faute de l’IA.

Les LLM mettent ici en exergue des problèmes pré existant : les dev qui en ont rien à faire de la qualité de ce qu’ils produisent et/ou la hiérarchie qui ne donne pas le temps pour s’en occuper.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Cette génération propre permet également un gain de temps, on ne perd plus de temps avec les remarques sur la forme (taille des fonctions, structure du code, nom des variables, absence de commentaire…).

Il y a des moyens plus simple d’y arriver avec un linter type blake.

Si le mauvais code ne peut plus se repérer aussi facilement, en quelques questions, on peut remarquer la personne qui a relu, critiqué, modifié et compris le code généré de la personne qui a pondu quelque chose sans réfléchir. Les questions "pourquoi avoir fait cela ?" et "pourquoi l'avoir fait comme cela ?" offrent des réponses très révélatrices.

Personnellement je me fou de savoir comment le code a était écrit. Que mon collègue applique TDD, TCR, qu’il ai fait une méditation avant, qu’il code dans un autre langage et transpile vers le notre ou utilise un LLM. Il y a son nom sur le commit, il doit avoir un bon niveau de confiance en ce qu’il soumet.

En résumé, est-ce que l'absence de remarque sur la forme ne permettrait pas de se concentrer sur le fond ?

En fait je trouve que ça demande de plus de travail à la relecture parce qu’avant tu avais des indices plus flagrant là où maintenant c’est plus subtil de repérer des problèmes qui des fois existaient déjà.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Et sinon, qu’est-ce que cela apporte aux usagers de ta solution d’ouvrir ce flux réseau pour te téléphoner leur utilisation ?

En tant que développeur savoir ce qui est utilisé est vraiment une énorme différence. Ça évite ce que l’on voit régulièrement : une annonce de suppression d’une fonctionnalité et d’un coup la terre entière qui vient avec un ton agressif expliquer au développeur à quel point il est un moins que rien et que des suppôt de Satan comme lui il faut les bruler.

Ça permet de savoir sur quoi priorisé parce que les gens l’utilise plus.

Ce n’est pas pour ça qu’il faut que ce soit en opt-out, qu’il faut aller loin dans la précision voir qu’il faut en mettre, mais il est assez évident l’intérêt que ça peut avoir. Je ne dis pas que la vie privée on s’en fout, mais j’explique l’intérêt que ça peut avoir. Il est tout à fait possible par exemple de dire que la moindre info même en opt-in est de trop par rapport à ce que ça apporte au développeur. Ce ne sont que des opinions.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

hombrew, pkg-src, nix, guix,… Si la communauté linux n’a pas 7 gestionnaires de paquets pour chaque usage, elle explose.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

C’est pas nouveau. Je vois pas bien l’intérêt avec linux. Disons qu’on ne manque pas de gestionnaire de paquet.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Or, un tel système existe, avec le protocole LSP ! On ferait d'une pierre plein de coup, s'intégrant mieux qu'un plugin dans emacs, neovim, sublime-text, vscode, et j'en passe :)

Ça ne parait pas être une très bonne idée. LSP n’est pas fait pour ça et cela ne fonctionnera pas très bien. Si tu veut corriger un fichier markdown, html, latex, csv, json, yaml, org-mod,… LSP ne pourra rien pour toi ou alors tu dois avoir un LSP qui gère tous ces formats. On a déjà des choses comme aspell ou ispell qui sont fait pour ça. Les éditeurs qui le prennent en charge font le boulot pour que ce soit utilisable avec d’autres formats comme ceux précédemment cité.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Je sais pas ce qu’il en est actuellement mais pendant un temps à Marseille il se disait qu’il n’y avait plus un grand réseau mais une myriade et que globalement il suffisait de 3 personnes et une baignoire pour avoir une nouvelle source de drogue. Si on a bien quelque chose comme ça, l’infiltration n’a pas de sens. Les actions coup de point non plus (à mon avis elles ne servent qu’une logique électoraliste et rien d’autres).

Mais oui prendre le sujet d’un point de vu de santé publique avec des accompagnements plutôt que de la pénalisation comme quand on donnait des seringues pour endiguer le SIDA. La fameuse balance bénéfice-risque etc.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Nouveau sur linuxfr ?

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

tkr ? Je sais pas ce que tu veux dire, mais je m'autoheberge depuis quelques mois et avant même d'avoir installé un serveur http, j'ai été obligé de configurer un firewall car les tentatives de connexion ssh sauraient ma bande passante. Je ne parle pas d'être horipilé en allant voir des logs, je devais éteindre mon serveur quelques minutes pour pouvoir utiliser internet.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Et on se réjouit d’avoir au moins 121 appels inutiles et aléatoires par an ? C’est donc cela la joie d’avoir un numéro de téléphone ?

Tu as le même avis sur les firewalls ? Tu désespère de pouvoir désactiver celui de ton serveur parce que dans un monde parfait tu ne recevrait que des requêtes légitimes ?

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

C’est faux, ils le font car ils veulent pas casser le réseau. SS7 c’est vraiment de la merde et tu as un paquet d’équipements qui ne supportent pas les techniques anti spoofing. Donc soit tu dis à tes clients qu’ils ont un paquet de trucs qui ne marcheront pas. Contacter une ligne de certains autres opérateurs par exemple possiblement pas dépendant de l’opérateur mais aussi de la localisation géographique, soit tu accepte tout et n’importe quoi.

SS7 c’est de la merde ça doit crever. Ceux qui fantasme que c’est mieux qu’IP (par exemple en disant que RCS est fondamentalement mauvais par rapport à ce bon vieux MAP) n’y ont jamais mis les doigts.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Et c'est vrai que si on veut être bon citoyen numérique et distribuer une application portable et pas limitée à Linux, ça fait pas de mal de rester sur du posix, une norme c'est fait pour ça même si c'est limitant.

D'une part ça dépend de ce que tu entends par distribue. Si je veux faire comme toi et pousser les contraintes, je dirais que si tu veux être un bon citoyen numérique tu paquage ce que tu distribue donc tu t'adapte a tes plate-forme cible. C'est mieux pour tes utilisateurs Mac que tu ai distribué via brew (même si tu as ajouté la dépendance bash 5 qui sera géré par brew) que de s'être limité à POSIX (dans la syntaxe et dans les utilitaires) mais que tu fournisse qu'un gist jamais mis à jour pas versionné.

Ensuite il faut pas s'ajouter du travail pour le principe. L'énorme majorité des scripts qu'on écrit ne sortiront jamais de nos machines

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

T'as pas le choix quand tu fais un script awk.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

bash 4 avait apporté des trucs cool.

• le globstar pour utiliser ** dans les expansions en interactif c’est très aggréable
• les tableaux associatifs et ça c’est vraiment confortable par rapport à avoir un tableau de clefs et un tableau de valeurs
• les braces expansions qui gèrent le 0 padding donc {02..24} c’est très agréable quand tu manipules des fichiers qui correspondent ou des heures

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Est-ce que mylib est disponible si je change de distributions ?
Est-ce que mylib est disponible sous MSYS2,macos ?
Est-ce qu'elle est disponible en wasm ?

Rien de tout cela n’ajoute de la sécurité. C’est des questions liées à la portabilité est beaucoup de dev s’en foutent.

Si-non, comment je l'inclus dans mon projet ? je la build moi-même ?

C’est ce que fait cargo donc.

Est-ce que j'ai vraiment besoins de mylib ?

En vrai tu as même pleins de développeurs qui ne font pas vraiment attention à s’ils utilisent une bibliothèque qui est hors de leur projet. Il n’y a pas d’endroit où documenter la version des dépendances qu’ils utilisent.

Croire qu’on gère mieux les dépendances parce qu’on ne les gère pas c’est un leurre. Des dépendances ça doit être cloisonné, ça doit être versionné etc. Sans ça tu fait bon gré malgré comme tu peut (généralement avec d’autres outils). Ce n’est pas pour rien que make est souvent utilisé avec cmake ou les autotools.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Make bizarrement lui quand tu rajoutes une dépendance, tu forces à te poser la question du besoin de cette dépendance. Même si contrairement à Rust, c'est un effet de bord de son manque de fonctionnalités.

De quel question tu parle ? Quelle est la question qui te vient à l’esprit quand tu fais

LDFLAGS += -lmylib

que tu n’a pas quand tu fais

[dependencies]
mylib = "1.0"

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Alors dans le libre […]

Alors je n’ai pas dis que personne n’en parlait, j’ai dit que je n’étais exposé qu’ici. Je n’ai par exemple jamais suivi les communications ni de framasoft, ni de mozilla, ni de l’OSI, ni de la FSF, ni de la Quadrature, ni de l’EFF, l’EDRi je ne connais même pas tu vois. Boulet je vais de temps en temps sur ses streams probablement pas assez pour avoir vu ce genre de choses. David Revoy récement il a posté ça https://www.davidrevoy.com/article1099/keeper-of-forbidden-knowledge, mais je ne dirais pas que c’est même un sujet récurent sur le flux RSS que je vois de lui. Pour ce qui est des « pin’s IA » pour avoir des financements c’est des trucs que je ne suis pas particulièrement.

Je ne dit pas que j’en entends jamais parlé ailleurs, mais que linuxfr est ma source qui en parle le plus (et de loin de manière la plus négative).

Et LinuxFr.org n'échappe pas à cette lame de fond, dont les médias et les GAFAM et les monceaux de thunes investies et le lobbying sur les politiques et les leaders ne sont sans doute pas innocents dans cette omniprésence dans une jolie spirale à la Debian.

Moi j’ai l’impression que ce n’est pas vraiment un phénomène de tendance mais d’inquiétudes à disons 3 niveaux : l’écologie, la société et la philosophie (sur la question de l’intelligence).

Après on peut comprendre qu'il soit plus « facile » de discuter / argumenter autour d'une techno qui promet tout et plus en se parant de quasi magie et en demandant toutes les ressources pour un futur parfait éventuel, que de savoir si « A implique B » veut bien dire que « non B implique non A » ou « faut-il ou pas vacciner ? » ou « c'est quoi le mieux entre solution 1 qui a comme critères a) bien b) bof c) nulle et solution 2 qui a critères a) nulle b) bien c) bof » ou « au fait comment on change la société pour décarboner ? ».

Je ne suis pas sûr de comprendre.

Avant il y a très très longtemps dans les années COVID on était tous spécialistes en logistique, épidémiologie, virologie, communication, gestion de foule et réindustrialisation[…]

Je suis un peu déçu je ne retrouve pas un journal complotiste qui m’avait assez profondément marqué. Je voulais au moins pour moi, faire une sorte de bilan de ce que sont devenus les divers éléments de l’époque. Je ne l’ai pas gardé et j’ai l’impression que le journal a était supprimé (je suis probablement mauvais pour chercher sur wayback machine aussi).

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Impossible de réagir intelligemment face au harcèlement des fanboys de l'IA (synonyme aujourd'hui de LLM enshi, hanshi…

Je suis surtout exposé à des trucs sur l’IA ici personnellement et c’est vraiment entrain de devenir l’un des grands sujets de linuxfr dont la communauté semble majoritairement semble globalement contre. Je sais pas si l’arrivée d’intelligence artificielle est une bonne occasion pour devenir bête.

Je présume que ce ne sera qu’une passade comme linuxfr en à déjà connu.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Sauf que les attaques mémoire concernent aussi Rust…

De quoi parle tu ?

Aussi, entre une erreur mémoire dans un programme comme ls, qui de toutes manières demande d'avoir accès à ton ordi en physique pour être exploité, et un bout de code ajouté par une dépendance derrière ton dos, qui va te modifier sshd_config à l'init de ls si tu es en root.

On peut très bien imaginer te faire télécharger un fichier qui si tu le donne à ls va lui faire exécuter du code arbitraire. ls est assez simple pour que ça n’arrive pas, mais c’est un type d’attaque relativement classique d’avoir un fichier empoisonné qui une fois donné à un programme va faire n’importe quoi.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Une lib dynamique packager par APT donc un mainteneur de ta distro (donc fix sur un apt update), c'est la même chose qu'une lib static tirer par une autre dépendance que tu as utilisé, et maintenue par 1/4 de personnes qui sait même pas que ça lib est utilisé sur ta distro ?

Pas forcément un mainteneur de ta distro, tu peut avoir de multiples sources, tu peut aussi avoir une bibliothèque qui arrive par ailleurs en soit c’est la sécurité de ton système de fichier qui est en jeu.

Parce que en Rust la majorité de tes dépendances sont statiques, et tu peux avoir plusieurs fois la même, mais a des versions diférents dans le même projet. (ce qui arrive à peu près jamais en C).

Dans le même projet ? Tu veut dire qu’une crate aurait linké statiquement une dépendance que tu récupère par ailleurs ? Les crates étant non compilées je ne vois pas comment ça pourrait arriver.

Et si ta dépendance casse, bah, tu gardes la faille tant que ton binaire n'a pas étais packager.

Les usines de build sont la norme, ça n’est plus un si gros problème. Le linkage dynamique élève d’un cran la complexité des problèmes qui peuvent arriver comme l’a très bien montré CVE-2024-3094 sur xz l’an dernier.

Donc cargo est meilleur pour te prendre pleins de dépendances que tu sais même pas que tu les utilises, et qui sont maintenus par personnes.

Je trouve en soit toujours très surprenant quand dans une communauté autour du libre on pointe de doigt le fait de réutiliser du code comme un problème.

L’approche consistant à avoir peu de dépendances et ne pas trop gérer leurs versions en délégant ça aux distributions n’est pas sans conséquence. Il est mathématiquement largement plus simple de sécuriser une supply chain que l’ensemble des machines des utilisateurs.

Mais tout ça pour dire que c’est un problème indépendant du langage et qu’ils sont plus système que des problèmes de programmation. Ils apparaîtront plus si un jour on arrive à supprimer tous les problèmes mémoire, mais on sera bien content de voir ça arriver (tout comme tu es content de ne plus voir d’erreur de collision de hash arriver quand tu passe à une bonne fonction de hash).

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

il y aurait surement moins d'erreurs mémoire, mais c'est aussi possible qu'il y ait plus d'erreurs par supply chaines.

Les supply chaines ne sont pas des erreurs mes des attaques. C’est tout de même bien différent.

Parce que cargo ressemble beaucoup plus à npm qu'à make.

Ça ne me parait pas très pertinent, tu va récupérer tes dépendances par apt, dnf, pkgsrc ou autre ça revient au même. Tu peut même avoir écrit un logiciel sans la moindre faille et tes utilisateurs et utilisatrices se font avoir parce qu’une lib dynamique qu’ils utilisent s’est fait péter. Ça n’est vraiment pas à observer de la même manière.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

Bref c'est moins facile que parcourir l'IPv4 mais c'est pratiqué par des pénibles quand ils sont un peu motivés.

C’est drastiquement plus compliqué ça ne veut pas dire que ça n’existe pas.

Aujourd’hui le premier énergumène qui se croit malin scanne en boucle IPv4. Je bloque des milliers d’IP qui tentent de faire des trucs pour un serveur qui pour le moment n’héberge rien. En IPv6 j’ai les même protections mais j’ai aucune IP bloquée.

Le volume de noms de domaine est tel qu’il devient bien moins probable qu’on vienne te trouver.

Et il y a des moteurs dédiés à la recherche de failles connues ou d'équipements à problèmes.

Là ça devient de l’attaque ciblée ce qui n’a, il me semble pas grand chose à voir.

Se protéger des scripts kiddies qui balancent leur sauce à l’aveugle sur tout ce qu’ils peuvent trouver n’est pas la même chose que de se protéger d’un attaquant motivé qui t’en veut.

Mon serveur SSH est sur IPv6 pour éviter que les premiers ne saturent ma bande passante avec des tentatives de connexion, il n’accepte des connexions que par clef pour bloquer les second.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

4.216.107.25 - - [06/Nov/2025:14:25:08 +0100] "GET /file2.php HTTP/1.1" 301 162 "-" "-"
4.216.107.25 - - [06/Nov/2025:14:25:08 +0100] "GET /file2.php HTTP/1.1" 404 27 "-" "-"
4.216.107.25 - - [06/Nov/2025:14:25:08 +0100] "GET /vee.php HTTP/1.1" 301 162 "-" "-"
4.216.107.25 - - [06/Nov/2025:14:25:08 +0100] "GET /vee.php HTTP/1.1" 404 27 "-" "-"

Tu peut tracker les débits de requêtes et ban l’IP un certain temps, non ?

Je suis pas encore passé à la partie WAF, mais mon serveur perso j’ai fais en sorte que si tu envoi un paquet n’importe où de bizarre (c’est dire ailleurs que sur les services que j’expose), tu prends un ban de 31 jours (et j’ai ban de manière statique les /24 dont beaucoup d’IP génèrent du trafic. J’ai aussi mis mon serveur SSH uniquement sur IPv6 et si tu envoi un paquet en IPv4 sur le port 22, tu prends le ban de 31 jours.

Je me demande si passer en IPv6 ne réglerais pas le problème. Est-ce que tu pense qu’ils sont venu à toi par ta notoriété ou parce qu’ils scannent tout IPv4 ? Scanner les noms de domaines me parait « un peu » compliqué.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll

déclenche une alarme tonitruante

c’est le genre de choses qui endommages les objets.

plus des vrais barreaux aux fenêtres

C’est interdit, tu n’a pas le droit de changer la façade du palais.

Tout le reste n’aurais pas fais grand chose dans le cas présent. Ils n’ont pas cherché la discrétion. Leur faire perdre 1 minutes sur 7 c’est juste sauver peut être un bijou.

Sauf les gardes armés… Mais sur linuxfr on est pour la prolifération d’arme ? Pour 3 bijoux d’empereurs ? Avec comme explication « c’est comme ça que ça se passe lol » ?

On peut aussi ne montrer que des reproduction et garder les objets dans des lieux sûrs, non ? Ça me parait préférable à faire de nos musées des lieux de fusillades.

https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll