Personnellement je ne me prononce pas du tout lĂ dessus. C'est probablement pas une bonne ou une mauvaise chose, mais un choix, une direction qu'ils veulent donner et c'est leur rĂ´le.
Your credentials fall into any of these three categories: something you know (like a password or PIN), something you have (like a smart card), or something you are (like your fingerprint). Your credentials must come from two different categories to enhance security – so entering two different passwords would not be considered multi-factor.
je ne suis perso pas fana des interfaces qui masquent des trucs, mĂŞme si je peux comprendre le besoin d'une interface qui simplifie les choses ou les rend plus visuel
Le fait qu'il n'y ai pas eu de rappel de produit me semble aller vers le, ça n'est pas "impropre à l'usage" et tu as 2 ans après l'achat pour l'activer.
Entre les processeurs Intel de 2010 et les derniers AMD, je ne mesure guère qu'un petit facteur 2 à 4 selon les calculs. Pas de quoi balancer les machines.
[^] # Re: C'est moi ou c'est idiot ?
Posté par barmic 🦦 . En réponse au journal Google forke C++. Évalué à  3.
Ah non je n'ai pas dis que c'était en particulier des problèmes d'ABI.
Pour les modules, à partir de java11, tu dois déclarer tes modules à ouvrir à ouvrir tout puis à partir de java17 tu ne peux plus tout ouvrir il faut lister tous les modules au quel tu souhaite accéder. Pour moi si tu faisais :
avec java8 et qu'en mettant à jour java la commande tel quelle ne fonctionne plus c'est un problème de rétrocompatibilité. Que tu ajoute cette liste de modules dans le module info dans le jar ou via la ligne de commande ne change rien.
Pour les sealed, tous les enum sont sealed. J'ai découvert pour l'occasion que tu pouvais mock un enum avant (et qu'on avait un test qui s'en servait), c'est une (très) mauvaise idée amha, mais tu ne peux plus à partir de java17. Moi j'en ai aucun usage, mais je serais pas vraiment surpris qu'un outil s'en serve pour une raison ou une autre (même un spoke par exemple).
Je retrouve plus la référence mais en ajoutant une méthode sur une interface des collections ils ont cassé la compatibilité d'eclipse-collections. Je présume que ça n'est pas le seul cas où c'est arrivé (pour eclipse ou autre).
Mais du coup tu entends quoi par « sainte » ? Parce que non seulement ils cassent la compatibilité, mais en plus ils déprécient des parties (le plus connu c'est quand ils ont souhaité déprécier
sun.misc.Unsafe). Probablement pas autant que tu le souhaiterais, mais du coup je ne vois pas ce que tu entends par « sainte compatibilité ».Quel est le remplacement de HashMap ? Je viens de vérifier je ne vois pas dans le standard ce qui ces dernières versions auraient donné de quoi le déprécier.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: C'est moi ou c'est idiot ?
Posté par barmic 🦦 . En réponse au journal Google forke C++. Évalué à  3.
Présenté comme ça je dirais que tout langage qui permet l'introspection a ce problème. Si je compte le nombre de méthodes d'un objet python, j'ai strictement le même problème.
Mais ça me gratte un peu parce que c'est pour moi un bug de l'utilisateur pas du langage ou de la bibliothèque.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: C'est moi ou c'est idiot ?
Posté par barmic 🦦 . En réponse au journal Google forke C++. Évalué à  3.
Elle n'est pas si sainte que ça. Tu as eu plusieurs changements de compatibilité ces dernières années.
Rien de très méchant et tu as des discussions pour être encore plus disruptif.
Java n'est pas si rigoriste que ça
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: C'est moi ou c'est idiot ?
Posté par barmic 🦦 . En réponse au journal Google forke C++. Évalué à  2.
Go s'en affranchi et la plus part des langages de scripts je présume, je ne sais pas ce qu'il en est des langages à machines virtuelle comme java. Je sais que le format de la représentation binaire est versionné, mais je ne suis pas assez familiarisé avec ce qu'est l'abi pour savoir. Si je peux changer ma représentation interne d'une classe, ne pas recompiler ceux qui utilisent cette classe et tout de même linker avec c'est qu'il n'y a pas de problème d'abi ?
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Mauvais facteur
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  0.
[Tu parle donc d'une replay attaque ce qui n'a rien avoir avec le vol de ton téléphone et toutes les 2FA ne sont pas protégées contre ça effectivement parmi les 3 facteurs possibles seul celui qui prouve que tu possède quelque chose (avec TOTP par exemple) interdit le rejeu.]'https://linuxfr.org/news/pypi-deploie-le-systeme-2fa-pour-les-projets-critiques-ecrits-en-python#comment-1896446)
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: C'est moi ou c'est idiot ?
Posté par barmic 🦦 . En réponse au journal Google forke C++. Évalué à  7.
Personnellement je ne me prononce pas du tout lĂ dessus. C'est probablement pas une bonne ou une mauvaise chose, mais un choix, une direction qu'ils veulent donner et c'est leur rĂ´le.
Mais disons que si livrer un standard rapidement en s'interdisant de revoir leur copie semble vouer à produire des problèmes de plus en plus aberrants. Python nous a montré ce que donne les ruptures de compatibilité et c'est un traumatisme aujourd'hui pour beaucoup de développeurs de langage.
Il n'y a pas de tout noir ou tout blanc, mais je vois comme une contradiction l'idée de vouloir évoluer vite sans rompre la compatibilité. C'est amha un point qui fait la différence entre python et perl aujourd'hui.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Mauvais facteur
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  4.
Je reprends sans coupe ton commentaire en lien :
La phrase qui m'interpelle (et que j'avais déjà cité c'est :
L'authentification à 2 facteurs consiste à devoir prouver 2 choses parmi :
Si on te vol l'objet que tu as et qui te sert pour le point 1 dans une implémentation correct de la 2FA ça ne devrait pas pouvoir prouver :
Hors le nist dont j'ai donné le lien un peu plus haut affirme :
Au risque de me répéter si tous tes facteurs que tu en ai 1, 2 ou 1000 entrent tous dans « ce que tu possède », même s'il s'agit d'un objet différents pour chacun de tes 1000 facteurs, ça ne devrait pas être considéré comme du multifacteur.
J'affabule ?
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: C'est moi ou c'est idiot ?
Posté par barmic 🦦 . En réponse au journal Google forke C++. Évalué à  6.
Je crois me souvenir que c'est pas la première fois que tu es très critique sur ce sujet. Je suis bien trop loin du c++ pour pouvoir juger, mais un comité de décision ISO aurait pu semblé être l'organisation parfaite pour éviter ce genre d'écueils. Privilégiant la qualité et la pérennité.
Si le comité prend des décisions qui sont aussi discutables tout en refusant de les remettre en question ensuite, ça ne va pas poser de gros problèmes pour la pérennité du langage d'après toi ? Indépendamment des choix de google.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: C'est moi ou c'est idiot ?
Posté par barmic 🦦 . En réponse au journal Google forke C++. Évalué à  10. Dernière modification le 21 juillet 2022 à 18:21.
Ça peut aussi être une façon d'influencer le commité. La création par facebook de hiphop puis de hhmv a donné un coup de fouet à php qui s'est vachement repris ensuite pour php8.
S'ils obtiennent une perf intéressante par rapport à C++. Détrôner C++ de sa place de langage généraliste le plus performant peut faire changer beaucoup de choses.
Même sans parler de bras de fer, peut être que les gens du commité verront d'un autre œil le fait de garder l'ABI selon ce que ça apporte dans les faits. Bref ça peut devenir une preuve de concept.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Mauvais facteur
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  3.
Non tu as dis et répété que 2FA n'est pas fait pour survivre à la compromission d'un seul des facteurs. Et je te dis que si un seul facteur permet l'authentification ce n'est pas du multifacteur. Après tu maintiens du flou entre les attaques par rejeu (ce à quoi tous les 2FA ne sont pas protégés) et la prise de contrôle d'un des facteurs (ce pour quoi le 2FA existe).
Que le 2FA ne soit pas suffisant c'est une évidence, qu'il faille resté vigilent c'est toujours le cas, il n'existe pas de silver bullet. Mais il ne faut pas pour autant jeter le bébé avec l'eau du bain.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Mauvais facteur
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  6.
Ça c'est une faille d'implémentation. L'authentification 2 facteur est un principe.
Encore une fois c'est comme dire que le mot de passe ne protège pas parce qu'il est toujours possible d'écrire son login et mot de passe sur sa bio twitter.
Un service qui renvoie ce genre de données sans s'être assuré de la personne qui était en face commet une faute au même titre que quand debian casse openssl.
Le principe reste valide et ce n'est pas le fait que certains l'implémentent avec les pieds qui va changer ça.
Et le principe dis explicitement que tu ne dois pas relier les facteurs entre eux. Dire "le 2FA ne protège pas du vol d'un facteur" c'est faux, par contre dire que certains pensent implémenter un 2FA mais le font tellement mal que ça n'en est pas un, c'est tout à fait légitime.
Et ça n'est pas un détail parce que tu te sert de ces problèmes pour remettre en cause le principe. C'est comme dire que tu en a marre des mots de passe alors qu'on sait très bien que des gens les écrivent sur papier.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Mauvais facteur
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  3.
D'un côté tu parle de vol de périphérique (ce que j'ai compris par comme l'un de des 2 facteur) et de l'autre tu parle de compromission du terminal.
Tu parle donc d'une replay attaque ce qui n'a rien avoir avec le vol de ton téléphone et toutes les 2FA ne sont pas protégées contre ça effectivement parmi les 3 facteurs possibles seul celui qui prouve que tu possède quelque chose (avec TOTP par exemple) interdit le rejeu.
Par contre :
Aucun facteur n'est suffisant pour t'authentifier sinon ce n'est plus de l'authentification multifacteur. Si ce principe n'est pas respecté ce n'est pas du 2FA. Si je dessine un carré avec 5 côtés ce n'est pas un carré.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Mauvais facteur
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  4.
Si, bien sûr sinon ce n'est pas de l'authentification multi facteur1. Toi tu parle de compromission du périphérique et du mot de passe.
C'est comme dire que les mots de passe ne protègent pas du mot de passe
azerty.Si l'utilisateur fragilise activement son authentification, il n'y a pas des masses de protocoles pour l'en protéger.
Si un objet permet à lui seul de t'authentifié ce n'est pas une authentification 2 facteurs. D'ailleurs même si 2 objets différents le permettent ça ne l'est pas non plus.
c'est la définition du multi facteur quelque soit les reproches que tu peux ensuite avoir sur les différentes implémentations du multifacteurs ou des facteurs en eux même. Les facteurs doivent être distincts sinon ça n'en est qu'un seul. Si on prend la description faite par le nist, il est bien dit que tu dois avoir 2 facteurs différents parmi décrivant : ↩
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Je vois pas le rapport!
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  3.
Ma nouvelle signature t'aidera peut ĂŞtre
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Je vois pas le rapport!
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  4.
Il est très rare que je présume que quelqu'un est un troll. Mais un message peu l'être. C'est très différent de mon point de vu.
Par contre, il ne faut pas voir ça comme une disqualification de ma part.
Déjà tu remarquera que je n'ai même pas utilisé le mot pour te répondre.
Mais surtout, le trolling n'est pas systématiquement mauvais. Ça peut faire parti d'un foklore et ça peut même amener des discussions intéressantes1.
La réaction me paraissait épidermique voila tout.
petit journal il y a 8 ans déjà  ↩
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Je vois pas le rapport!
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  6.
Github s'y met aussi, npm aussi. L'authentification 2 facteurs est un mouvement de fond. On considère de moins en moins qu'un mot de passe suffit.
Ça ne concerne pas les projets malveillants, mais les projets qui se font voler leur compte pour déployer du code malveillants. Il y a des cas documenté chez pypi et npm depuis plusieurs années.
Ils augmentent le niveau de garantie que le code que tu télécharge vient bien de l'auteur du code. Il n'y a pas besoin de faire une thèse pour simplement mettre en place une démarche déjà amplement industrialisée.
Pipy n'est pas Google. Et encore une fois ici la seule info que Google peut avoir c'est de connaître quelle clef privée ils ont envoyé à qui. Ils ne savent pas quel compte pipy l'utilise, ils ne savent pas quand est utilisée, l'authentification ne passe pas par chez eux.
Parce qu'une majorité des arguments consiste simplement à lire la nouvelle, c'est bien pour ça que c'est du troll. Tu as semblé être matrixé par le mot google au point de préférer :
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Prendre le temps d'apprendre
Posté par barmic 🦦 . En réponse au journal Bloguer pour pas trop cher, avec du logiciel libre et sobrement, en 2022. Évalué à  2.
Ça dépend de pleins de choses, j'utilise beaucoup git en cli, mais pour naviguer dans un historique j'utilise tig ou une interface hors terminal et pour faire des commit patch je fais moins d'erreur avec l'interface de mon ide (même si elle ne peut pas exprimer tout ce qu'on peut faire dans un patch).
Git n'a pas à être le centre de l'usage, il peut très bien être un détail d'implémentation. Surtout si ton besoin c'est prendre un dossier et l'envoyer sur un serveur sans intérêt pour l'historique.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Prendre le temps d'apprendre
Posté par barmic 🦦 . En réponse au journal Bloguer pour pas trop cher, avec du logiciel libre et sobrement, en 2022. Évalué à  2. Dernière modification le 19 juillet 2022 à 23:32.
Il me semble que si tu utilise une interface qui te cache git et que tu force toutes tes commandes, c'est proche de ce que tu aura avec sftp ou ftps.
Pour éviter l'oublie de pull (que ce soit un pull git ou un get ftp), il faut passer par un répertoire monté comme tu aurait avec webdav ou syncthings.
Je pense que c'est plus la gestion d'état avec le staging par exemple qui doit faire peur. Il me semble que turtoise git voulait avoir le même fonctionnement que turtoise svn et avait caché cet aspect. Mais je l'ai pas revu depuis des années, je sais pas ce qu'il en est.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: gemini
Posté par barmic 🦦 . En réponse au journal Bloguer pour pas trop cher, avec du logiciel libre et sobrement, en 2022. Évalué à  10.
Si on ne veut pas ĂŞtre lu autant Ă©crire son journal intime dans un fichier texte sans se poser plus de questions :p
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Je vois pas le rapport!
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  4.
Tu as aussi 2 paquets npm
eslint-*qui ont subit ce genre de problème, si j'ai bien compris (il y a 4 ans…).https://eslint.org/blog/2018/07/postmortem-for-malicious-package-publishes/
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Je vois pas le rapport!
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  4.
Tu ne peux pas t'authentifier sur pypi avec autre chose qu'un compte pypi (ils n'ont pas de délégation). Si tu utilise une clef d'authentification que ce soit google ou un autre, si j'ai bien compris le fonctionnement, il peut faire le lien entre une clef et toi (il sait à qui il a envoyé quoi), mais il n'a aucun contrôle sur où est-ce que tu t'en sert, avec quel compte, quand, etc.
C'est une info effectivement, mais tu n'y est pas contraint et pypi ne maintiens aucune dépendance envers google. Ils peuvent demain leur dire d'aller se faire cuir un œuf sans que ça ne change quoi que ce soit.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Abandon
Posté par barmic 🦦 . En réponse au journal Dix ans après : acheter un CPU Intel Ivy Bridge, était-ce judicieux ?. Évalué à  3.
La législation parle expressément de la vente de bien immobilier (source : Article 1646-1 du code civil).
Ça ne parait donc pas être un oubli du législateur.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Abandon
Posté par barmic 🦦 . En réponse au journal Dix ans après : acheter un CPU Intel Ivy Bridge, était-ce judicieux ?. Évalué à  5.
Je suis pas certain que l'antériorité soit recevable s'il a fallut des années de recherche pour trouver la dites failles.
Et de toute manière la gvc dure 5 ans. Intel a cessé de produire des Ivy Bridge en 2015, ils arrêtent leur support en 2020. On pourrait croire qu'ils ont lu la loi.
Le fait qu'il n'y ai pas eu de rappel de produit me semble aller vers le, ça n'est pas "impropre à l'usage" et tu as 2 ans après l'achat pour l'activer.
Bref ça parait vraiment compliqué amha.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Abandon
Posté par barmic 🦦 . En réponse au journal Dix ans après : acheter un CPU Intel Ivy Bridge, était-ce judicieux ?. Évalué à  5.
Sans dire qu'il faut les balancer parce qu'il faut regarder l'ensemble du cycle de vie. Est-ce que tu regarde la puissance de calcul par watt ? Je ne sais pas à quelle point ça s'améliore.
T'es entrain de dire qu'ils vendent des processeurs avec des failles connues ? C'est pas impossible, mais ça me parait être une très grosse accusation. Et si c'est le cas le support n'est pas le principal point à régler.
D'un point de vu moral peut être mais il est évident qu'il y a là dedans de la propriété intellectuelle qu'ils continuent d'utiliser dans les CPU suivant. Donc à moins de les contraindre tu n'obtiendra rien.
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll
[^] # Re: Je vois pas le rapport!
Posté par barmic 🦦 . En réponse à la dépêche PyPI déploie le système 2FA pour les projets critiques écrits en Python. Évalué à  3.
Tu ne vois vraiment pas en quoi réduire les risques de vol de compte augmente la sécurité ? Vraiment vraiment ?
On appel ça un procès d'intention. Aujourd'hui tu as ton compte pypi qui n'a pas à être relié à un compte google, le 2FA demande d'avoir une clef d'authentification (tu peut prendre celle qu'ils proposent ou d'autres qui n'ont aucun rapport avec google) ou tu peux utiliser des solutions purement logiciel qui utilisent uniquement du LL comme oathtool.
Parfaitement, mais tu as peut être d'autres arguments que "Y A GOOGLE !!!!!".
https://linuxfr.org/users/barmic/journaux/y-en-a-marre-de-ce-gros-troll