Jul a écrit 825 commentaires

On reconnaît le Hurdiste :)

Mon prof d'assembleur m'a toujours dit que le secret était dans le blindage de l'appel système. Et une architecture simple avec une API propre kernel/user space est une solution. Un des secrets de la sécurité des applis réside dans la conception à mon avis.

Pour les perfs c'est un mythe : avec les cartes graphiques modernes, on peut minimiser les appels systèmes en envoyant les données par rafales par exemple.

Et contrôler les cartes graphiques user space sans interface kernel sur le PC nécessite des privilèges assez concésquent fort (accès aux mmios, aux zones mémoires). C'est certain qu'il y a un coût en terme de perfs. Mais il y a aussi un gain en sécurité.

J'ai connu un sys admin rigide. Genre Je bloque tout avec un firewall, et je m'emferme dans mon bureau.

Une partie des communications et des services était tellement contraignants pour les utilisateurs, que des modems ont commencer à émerger dans les bureaux connectés en 24/7 pour que les gens puissent accéder à leur données. Le réseau était hyper protégé ... en façade. Un réseau qui ne permet plus de communiquer ne sert plus à rien. Et la sécurité n'est finalement qu'un équilibrage entre coût de la restriction des fonctionalités (données perdus en enlevant les attachements de mail par exemple) VS gain liés à la prévention de risque (risque de recevoir un trojan).

Le coût n'est ni déterminable par des ordinateurs, ni par des financiers avec une calculette, mais par des personnes à l'écoute des risques émergents, et des besoins de ces utilisateurs réels. C'est pour ça que je trouve ridicule l'idée de réduire des problématiques sécurités à des problématiques techniques.

Tant qu'il y aura des hommes il y a aura des problèmes de sécurité. Supprimes les, et tu as la solution ultime.

C'est très amusant, quand on essaie de modéliser les comportements d'adoption on utilise souvent deux termes:
- la valeur d'adéquation (ce produit me va)
- la valeur d'usage (soit j'imite mon voisin pour être sûr que je ne vais pas faire pire, soit je fais le contraire car c'est un des rares paramètre sur lequel je peux me différencier et casser la baraque) (XOR)

Mon expérience m'amène à penser que la valeur fantasmée du produit est en fait déterminante : la valeur affichée de l'entreprise est celle que je pense avoir donc j'achète ses produits.

Je prend du IBM car je pense moi aussi être un poids lourd pérenne et rassurant
Je prend du M$ parce que moi aussi mon Dieu c'est le flouze...

Les entreprises se construisent un mythe de leur valeur, en l'achetant aussi auprès des autres.

Ainsi, linux avec son image d'innovation à attirer IBM qui voulait se rajeunir.

Le logiciel libre attire aussi les rigoristes qui pensent que le respect des normes est plus importants que le discours marketing ...

Trouver la valeur du logiciel libre, parlez en, et miraculeusement il se vendra tout seul.

Le côté tétra-capilectomie-longitudinale et droso-sodomitique, si on le pousse bien devrait nous faire adopter par les grosses administrations par exemple. :P

Le end user n'a pas à s'occuper de la sécurité de son outil. C'est comme si tu transférais la responsabilité du bon fonctionnement d'une machine outil potentiellement dangereuse de son propriétaire à l'ouvrier. Par contre, c'est la repsonsabilité de l'utilisateur d'avoir un comportement qui ne soit pas dangereux.


Je reprend => l'entreprise fait la maintenance préventive et corrective (c'est son outil sur lequel elle se doit d'avoir une expertise pour ne pas être dépendante du travailleur)
et le travailleur doit respecter les règles de sécurité pour ne pas se mettre en danger.

Pourquoi? Une maintenance mal faite peut donner une sécurité illusoire et entraîner un sur-accident, et un remède mal appliqué peut être pire que le mal.

Dans ton monde les passagers d'un avion vont dans le cockpit faire la checklist à la place du pilote avant de décoller.

Dans mon monde, chacun son métier, et les vaches en sont mieux gardées.

ouais, au départ X était monolithique et attaquait directement la carte video (il tournait chmod +s). C'était quand même un beau trou de sécu. Avec XF 4.0 ils ont introduit les modules apparemment ils ont un peu corrigé le défaut , néanmois je trouve qu'un système graphique kernel space (à la framebuffer) + API user space aurait quand même permis de résoudre le problème plus proprement.

La couche graphique accélérée dans le noyau (kgi+ggi) a été envoyée bouler méchamment par linus qui considérait ça comme une hérésie. Et pourtant à l'époque X était autant un trou de sécu que windows (l'interface graphique).

un mauvais programmeur, qui par dessus le marché n'en a rien à foutre de la programmation est mauvais quelque soit la plate-forme.
Dis toi que le jour où il y aura ces même éditeurs avec les même programmeurs qui travailleront sous linux, ils feront des logiciels également aussi pourri. Socialement ça reste quand même mieux toléré que de voler, tuer ou violer.

Je ne comprend pas que l'on puisse désirer devenir la plate-forme que tout le monde utilise, et ne pas accepter quelle soit utilisée par tous (les plus mauvais inclus). C'est assez inhumain de refuser au gens le droit d'être mauvais dans leur métier.

Bref, la démocatisation de linux est un voeu que certain vont regretter d'avoir fait.

Ben je pensais au ramen worm qui attaquaient les Red Hats.

Un logiciel c'est sécure si c'est bien configuré et seulement pour un temps. En faisant l'hypothèse qu'il y a des personnes pour ignorer le concept trivial mais nécessaire de la mise à jour des logiciels pour raisons de sécurité et adepte des configurations par défaut, si tu attends 2 ans (histoire que les exploits soient bien connues), et en essayant au hasard tu tomberas toujours sur une machine pas sécurisée.

Si nunux se généralise et que les services informatiques n'appliquent pas de règles de sécurité, ton nunux il vaut rien. Et toi tu es dangereux si tu donne un sentiment de confiance éxagéré à ces personnes (car ils ne se protégeront pas et pourront être une menace pour d'autres).

Linux c'est un bon outil pour la sécurité parmi tant d'autre, mais l'outil ne fait pas le travail tout seul. Il faut arrêter d'entretenir le mythe sécurité = installer linux, car la sécurité est aussi un gros problème de politique de l'entreprise et de confiance dans les "experts". Dire installer linux = sécurité équivaut à dire avocat de nunux = pipoteurs. Et si tu pipotes, t'es pas crédible pour parler de sécurité. Et même sans connaître linux, les bons ingénieurs savent qu'un outil informatique est une condition presque nécessaire, mais non suffisante pour être en sécurité (une excellente serrure montée du mauvais côté d'une porte n'est pas très efficace). De même Unix n'est pas meilleur que W9K parce qu'il a été fait avec les compilos élevé au meilleur grain (outils) mais parce qu'il a été conçu par des génis avec une vie saine, et non par un surdoué aigri qui voulait devenir l'homme le plus riche du monde parce que les filles du secrétariat se moquaient de son appareil dentaire. (Et maintenant les secrétaires, elles pleurent
1) de pas lui avoir mis le grapin dessus
2) de devoir utiliser son OS
)


A noter qu'au niveau sécurité wintel sont les plus forts, pour t'obliger à mettre à jour ton OS (pour raison de sécurité) le hardware change lui tout les 6 mois.

Perso, j'aime trop linux pour laisser des personnes le défendre avec des arguments d'une mauvaise foi aussi pitoyable. De la mauvaise foi si vous voulez, mais avec brio, s'il vous plaît.


PS
Allez comme exercice tu me copieras 100 x
Défendre une cause avec de mauvais arguments c'est lui nuire de façon certaine.

Pour paraphraser les commentaires cites plus haut: ca leur aurait coute quoi de copier-coller le texte et les images dans un "vrai" editeur html? 10 minutes a tout casse.
tu oublies les 1 ans dans un shakra rempli de pingouins d'arizona pour comprendre l'importance de ce qu'il ne voit pas (le format) + 3 semaines pour apprendre le HTML + 3 ans pour comprendre qu'un ordinateur n'est pas qu'une machine à écrire .
Bref, il y a des actes qui semblent rapides à celui qui les fait à l'issue d'une longue préparation.

Ben je pensais au ramen worm qui attaquaient les Red Hats.

Un logiciel c'est sécure si c'est bien configuré et seulement pour un temps. Puis après il y a des idées, des gens, des bugs, des lois qui viennent à bout des sécurités informatiques.

En faisant l'hypothèse qu'il y a des personnes pour ignorer le concept trivial mais nécessaire de la mise à jour des logiciels pour raisons de sécurité et adepte des configurations par défaut, si tu attends 2 ans (histoire que les exploits soient bien connues), et en essayant au hasard tu tomberas toujours sur une machine pas sécurisée.

Si nunux se généralise et que les services informatiques n'appliquent pas de règles de sécurité, ton nunux il vaut rien. Et toi tu es dangereux si tu donne un sentiment de confiance éxagéré à ces personnes (car ils ne se protégeront pas et pourront être une menace pour d'autres).

Linux c'est un bon outil pour la sécurité parmi tant d'autre, mais l'outil ne fait pas le travail tout seul. Il faut arrêter d'entretenir le mythe sécurité = installer linux, car la sécurité est aussi un gros problème de politique de l'entreprise et de confiance dans les "experts". Dire installer linux = sécurité équivaut à dire avocat de nunux = pipoteurs. Et si tu pipotes, t'es pas crédible pour parler de sécurité. Et même sans connaître linux, les bons ingénieurs savent qu'un outil informatique est une condition presque nécessaire, mais non suffisante pour être en sécurité (une excellente serrure montée du mauvais côté d'une porte n'est pas très efficace). De même Unix n'est pas meilleur que W9K parce qu'il a été fait avec les compilos élevé au meilleur grain (outils) mais parce qu'il est bien conçu.


A noter qu'au niveau sécurité wintel sont les plus forts, pour t'obliger à mettre à jour ton OS (pour raison de sécurité une fois par an) le hardware change lui tout les 6 mois.

Perso, j'aime trop linux pour laisser des personnes le défendre avec des arguments d'une mauvaise foi aussi pitoyable. De la mauvaise foi si vous voulez, mais avec brio, s'il vous plaît.


PS
Allez comme exercice tu me copieras 100 x
Défendre une cause avec de mauvais arguments c'est lui nuire de façon certaine.

En biaisant bien, en tirant fort, on arrive toujours à tout, surtout à avoir du plaisir.
Séguéla

Le truc est mal posé. C'est un peu réducteur de confondre sécurité et technique.

Biais 1 Windows ou linux le faux choix

Linux ou n'importe quel implémentation d'un OS bien conçu peut faire l'affaire. Il n'y a pas que windows et linux sur la planète.
Darwin (peut être même mac os X) apporte sur le plan de la sécurité un niveau équivalent à linux sur le plan de la conception (ce sont des unix).

Linux a beacoup d'avantages pour lui, c'est p^te't pas la peine d'en rajouter.


Biais 2 sécurité = technique.
Rambo VS bobbies qui gagne?

OK windows a des défauts structurels de conception, mais les organisations sont encore plus boguées puisqu'elles l'utilisent. Si tu as une connexion sécurisée qui utilise un super algo avec un certificat de 16K mais que ta passphrase c'est toto, écrit sur un postit sur ton écran cela ne sert pas à grand chose.

Par exemple, si tu installe un linux avec la conf par défaut, et sans jamais le mettre à jour, au bout de deux ans ils diront plus probablement quoi ?

• Linux ça pue on m'avait dit que c'était sécure, et maintenant je suis attaqué
• Oh! je ne comprend pas quelque soit l'équipement informatique j'ai des problèmes. Si cela ne viens pas des machines, cela viendrait de moi?

Corollaire 1
Si les entreprises comprenaient l'informatique/la sécurité, cela ferait des lustres qu'elles n'utiliseraient plus windows. Et, si les linuxiens comprenaient les entreprises ça ferait depuis qu'ils arrêteraient de vouloir évangéliser les entreprises avec des arguments rationels.
=>exemple

Corollaire 2 ! comment vendre linux
Linux c'est bien parce que c'est pas à la portée de tout le monde (le luxe ça fait toujours rêver). Si vous l'installez aujourd'hui vous serez à la mode et vous pourrez vous gaussez des suivants. (Le lamer effect, la touche qui tue).


Moi je dis ça, c'est comme si je disais rien.

Entre le moment ou la news a été publiée et le moment ou les modéros m'ont contacté, j'ai eu le temps de voir ce petit fichier. En fait, il y a deux sous-répertoires dans le répertoire d'install. Un où se trouve ghostscript, et l'autre ou se trouve leur logiciel.

J'aimerais savoir comment on fait pour lire la table des symboles pour une dll ou un exe sous windows. Comme ça éventuellement je pourrais vérifier qu'il n'appellent pas de fonctions exportées par ghostscript. Je me sens pas encore assez chaud pour désassembler le code.

Sinon, j'ai demander à un officiel de la FSFE chapîte France qui se reconnaîtra j'espère ce qu'on est censé faire. Il m'a dit la chose suivante:
Quand tu penses avoir à faire à une violation de la GPL fait la chose suivante :
- essaies de trouver les preuves par toi même,
- éventuellement discutes en avec l'auteur du logiciel,
- si tu penses avoir des preuves, discutes en avec le possible copiteur,
- et si les choses ne s'arrangent pas à l'amiable contacte la FSF.

Bref, lire
http://www.gnu.org/licenses/gpl-violation.html(...)

La raison est la suivante : ils ont très peu de moyens, il est donc nécessaire, (et je trouve sain) que les personnes apportent comme première contribution leur travail sur le sujet.

Pour ma part, après avoir bien regardé, je m'aperçois que je suis strictement incapable de pouvoir déterminer si le logiciel incriminé appelle ghostscript par un system() ou non.

Je me fous un peu de la licence remarquez, pour moi il n'y a peut être pas viol technique de la licence, mais il y a sûrement un viol moral de la licence. Bref, j'aime pas.

Plutôt que d'installer leur click'a click il existe une solution smart. Pour ceux qui veulent générer du pdf sous windows avec ghostcript voici un lien pertinent et utilisable :
http://www.cs.wisc.edu/csl/doc/howto/pdf_generation/index.html#writ(...)

Bruce Perens ne défend pas les logiciels libres, il déend leur esprit. Il se met des fois en porte à aux avec les intégristes.
"Unlike the most radical elements in the open-source movement, Perens maintains that a complete ban on state purchases of proprietary closed-source software isn't necessary. "

Et oui, Bruce aime les solutions élégantes: plutot obliger les administrations à utiliser des standards ouverts, et que le meilleur gagne.

Ah, c'est beau, c'est même plus du troll.
http://www.sfgate.com/cgi-bin/article.cgi?file=/gate/archive/2002/0(...)

Les montants officiels (partie émergées de l'Iceberg) dépensés contre l'amendement Speier pour protéger la vie privée sur la vie financière des consommateurs amécricains ont été de 20 millions de $. Ce qui en fait la campagne officielle de lobyying la plus chère après celle en faveur de la déruglation de l'electricité en Californie.
Je tiens a vous rassurer, ils ont gagné. Cela n'a pas été de l'argent gaché.

Parmi les plus gros contributeurs :
Citigroup $878,875
American Insurance Association $310,662,
MBNA Corp., $500,871.

L'amendement Speier avait pour but de restreindre la possibilité pour les compagnies financière de vendre et de disséminer des informations concernant les revenus et dépenses de leurs clients.

Pour la petite histoire deux députés californiens ont encaissés les soutiens financiers (pot de vins officiels) et ont voté pour l'amendement.

Les américains soupçonnent les dons d'argent aux députés d'influencer la vie politique de manière non démocratique. (mdr)

[ source san francisco gate chronicle
http://sfgate.com/cgi-bin/article.cgi?f=/c/a/2002/09/07/MN52669.DTL(...) ]

PS Bill = amendement ?

La délation est un processus de délation anonyme qui peut servir comme fondement pour une poursuite judiciaire.

Sur internet quand tu administres un réseau si un pirates essaie de casser ta machine tu vas contacter l'administrateur du réseau dont tu auras obtenu l'adresse par la base whois.
La différence est que
- tu n'est pas anonyme;
- tu traites directement avec la personne, sans que cela entraîne forcément une action en justice.

Le fascisme ce n'est pas de dénoncer, ce de ne pas assumer ses accusations à visage découvert.

A votre avis pourquoi ils cherchent à être exonéré des actes de leur citoyen devant le TPI.

Après le procès Pinochet ils auraient peur de voir H. Kissinger (un homme plutôt de gauche selon leurs critères) devant ce tribunal. http://www.wikipedia.org/wiki/Henry_A._Kissinger(...)

[tient je m'aperçois que c'est dur de faire de l'humour là dessus]

Au fait Wikipedia contient 40 000 definitions en anglais, et la section française est plutôt pauvre. Alors si vous avez besoin de définition en Français dans vos articles utilisez wikipedia (FDL) et contribuez si vous le pouvez.

Ben manatane a raison, pour des raisons de compatibilité, les applis compilés pour les versions inférieures à MAC OS X utilise cette gestion mémoire antédéluvienne, ce qui n'est pas le cas des applis natives. En fait, il me semble qu'elles partage tous un espace commun pour les applis émulées : quand une crashe ... les autres aussi. C'est fun non?

Pour avoir vécu et essuyer les platres du passage de MAC 68K à MAC PPC je peux vous dire que leur transitions sont un peu laborieuses. A l'époque par exemple ils émulaient soft le code 68K, et pourtant les applis natives PPC tournaient moins vite que les applis 68K émulées. En imaginant qu'ils n'ont pas viré tous leurs développeurs, et qu'ils sont toujours aussi rigoureux, je plains les utilisateurs mac qui font la transition.

VRAI!!!!

Il y a un port de ce thême sur golem :P

Les hommes and les women ne se comprennent pas toujours, ils causent avec la parole.

Alors que you see, les poissons eux, ils communiquent par ondes, des waves, des mivrowaves. Des ondes de love and hate, qui font qu'ils se comprennent beaucoup mieux.

[Ca fait beaucoup moins smart que de mettre du français dans de l'anglais, je sais.]

[[ Yes, tu as découvert, que je suis bien le #1 aware guy, my name is Clod, Jean Clod, oh damn, je ne suis plus incognito]]

-1 parceque l'amour et la haine ne sont pas linux compliant.

fluxbox
blackbox
sont admirablement lights et sexys
http://www.julbox.net/misc/theme/screenshot-bb-jul.png(...)
(mon P100 sur ADSL va peut être ramé un peu)

9wm et moche et léger, (lwm itou)

L'ami benji fait tourner emacs en plein écran sous 9wm pour avoir toutes les super features de emacs.

And, j'en passe et des meilleurs.

Bref, on a le choix et pourquoi s'arrêter uniquement sur icewm qui n'est pas exactement la dernière killer-app ?

Mais en lisant la signature de l'article tout s'explique : this very dear Marcel veut faire croire que les hommes sont semblables aux femmes : en disant rien mais d'une façon si charmante.

Anyway, c'est quand même le reflet de la spiritualité de notre wonderful culture dans la silicon valley alors je m'incline, car je ne suis ni that spiritual, nor embauched en Californie.


-1 parce que c'est plus drôle comme ça.

Je n'ai plus eu l'occasion de tester depuis longtemps le dual head.

Mes souvenirs sont les suivants :
AGP + PCI marche toujours nickel (à partir du momemt où au moins une des cartes et conformes à la norme PCI 97 (autrement dit la plupart des cartes faites depuis ... 1997)). Favoriser les drivers natifs (Xfree) au frame buffer pour des raisons d'accélération. Je ne m'avancerais pas sur ce point là en ce qui concerne le driver FB de la G550 celui de Pietr Vandrovec était plutôt bien fait, et les specs de la matrox sont téléchargeables! Si vous aimez hackez, c'est la carte !!!
http://developer.matrox.com/(...)
Il va falloir s'enregistrer :(. Mais super specs!


Pour pouvoir bien rigoler XGGI permettait de faire du multihead dans tous les sens
display étendus avec résolutions différentes, et overlapping possible des display virtuel.

Par contre les perfs de XGGI sont légères pour plus de 4 écrans.
Un super projet qui a subi quelques petites contrariétés. Il existe un port de XGGI sur cygwin http://www.ggi-project.org/screenshots.html(...)

bientot display étendu sur plusieurs ordinateurs peut être :P

Le multi head c'est de la balle. 4 écrans au minimum :)

Il y a quand même eu 145 commentaires pour arguer de ce qui n'était finalement pas une nouvelle (mais plutôt un ancienne information).

Je répète pour ceux qui n'ont pas compris :
le mp3 c'est potentiellement mal, et, accessoirement ogg vorbis est meilleur techniquement.

C'est juste que votre lecteur de DVD de salon/votre autoradio CD que vous acheté pour lire vos CD de musique rippés (à partir de vos propre CDs évidemment puisque tout le monde respecte la loi) il ne les lis pas, pas plus que vos potes qui ne comprennent pas l'importance des standards ouverts.

Alors si vous n'êtes pas convaincu par ogg vorbis, je ne comprend pas.

Et pour vos potes/lecteurs de salons/..., si ils ne veulent pas comprendre, essayez la massue, et si ils ne veulent vraiment pas comprendre essayez l'incantation suivante : GNU, t'es là?

Ce sont des propos qui ont été prêté à Voltaire, mais c'est pas grave.
-1 HS

Une chose peut t'empêcher de créer ta licence avec peu de modifs et en l'appelant GP pas L c'est que les auteurs pensent qu'il y a plagiat de leur travail. Toute modification de la GPL est contraire à son copyright, mais l'usage est que les gens qui la modifient (cf la licence de linux qui est une GPL V2 modifiée) ne sont pas poursuivis. Rien n'empêche un changement de politique futur.

Néanmoins, j'ai toujours pensé que l'on pouvait faire confiance de manière aveugle aux gens/organisations biens.

Même si cela est exclu par la licence de la licence, j'espère que rms et eben ne nous demanderons pas un jour des royalties pour avoir utilisé leur licence.
:))

GNU GENERAL PUBLIC LICENSE
Version 2, June 1991

Copyright (C) 1989, 1991 Free Software Foundation, Inc.
59 Temple Place, Suite 330, Boston, MA 02111-1307 USA
Everyone is permitted to copy and distribute verbatim copies
of this license document, but changing it is not allowed.