Jux a écrit 743 commentaires

C'est pas vraiment une porte dérobée qui permettrait à un attaquant de se connecter sur la machine.
Il s'agit d'une porte dérobée qui *permettrait* à un attaquant sachant qu'elle existe de casser un algorithme de crypto.

Le meilleur exemple, c'est le coup de Debian avec OpenSSL. Un mainteneur debian a enlevé une ligne de code qui initialisait le générateur aléatoire d'OpenSSL. Du coup, ce dernier avait seulement 98301 valeurs d'initialisation possibles. Et même si ça semble beaucoup, ça permet à un attaquant de retrouver la clé privée associée à une clé publique.

Bref, la crypto c'est vraiment un domaine ultra sensible où une simple addition ou une valeur qui traîne dans un buffer peut complètement casser un algorithme. Certains s'amusent même à mesurer le temps que prends le processeur pour vérifier un mot de passe ou calculer un hash afin d'en tirer de l'information[2].

Donc c'est vraiment loin d'être facile de s'assurer qu'un logiciel - même libre - n'est pas sujet à ce genre de chose. D'ailleurs en général, le code des fonctions de crypto est très très peu digeste, donc on a vite fait d'y cacher une petite erreur.

Et puis bon, être capable de s'assurer qu'une fonction de crypto fonctionne correctement, ça demande un sacré niveau en maths ET en informatique, donc le nombre de potentiels relecteurs est pas si grand que ça. D'ailleurs sur la discussion sur la liste OpenBDS, il est à plusieurs reprise mentionné que ça serait bien si un "vrai" cryptographe pouvait jeter un oeil.

[1] http://wiki.debian.org/SSLkeys#Howweak.3F
[2] http://fr.wikipedia.org/wiki/Attaque_temporelle

Effectivement, le schéma original de Paypal est illisible, le tient est nettement mieux. Je soupçonne d'ailleurs celui de Paypal d'avoir été généré automatiquement d'après le code :)

L'idéal, ça reste d'avoir l'UML pour les relations entre les classes et une description en langage naturel pour les paramètres/attributs et les trucs un peu complexes.

Dans l'exemple de Paypal, ce que j'ai fais, c'est survoler la page décrivant l'API en langage naturel, puis j'ai jetté un oeil au diagramme version PlantUML pour voir un peu où sont les liaisons et je suis revenu à la description textuelle pour comprendre les détails.

Bref, c'est un peu comme toujours, c'est un outil intéressant quand il est bien utilisé et ça ne sert à rien d'avoir uniquement des schémas UML comme documentation. Mais bon, ça permet d'avoir une vision global des liens entre les objets.

La liste des projets en question :
http://developers.facebook.com/opensource/?_fb_noscript=1
http://twitter.com/about/opensource

Je recommande d'ailleurs à pankkake la lecture de l'article sur Cassandra de Facebook.
http://www.cs.cornell.edu/projects/ladis2009/papers/lakshman(...)

Je ne pense pas que les problèmes de disponibilité soient uniquement une question de compétence technique des développeurs/administrateurs.

Facebook stock quand même un nombre impressionant de photo/vidéos et si mes souvenirs sont bon, c'est LE site web sur lequel les gens passent le plus de temps (US + EU en tout cas).

Facebook a fait des choses intéressantes dans le domaine des systèmes distribués. Ils ont libéré Cassandra ( http://cassandra.apache.org/ ) (BDD NoSQL distribuée).

Je pense que c'est un peu facile de traiter les gens d'incompétents. Ce sont juste des sites qui ont grandit extrêmement vite et qui ont de la peine à développer leurs infrastructures pour tenir la charge.

D'un point de vue charge, c'est aussi plus compliqué d'avoir N rédacteurs et N lecteurs que 10 rédacteurs et N lecteurs comme sur les sites tradionnels. (N est grand, genre des millions).

Alors après, sur la sécurité et l'utilisation des données privées, Facebook me fait peur, mais c'est un autre débat.

Qu'en est-il de la stabilité ?
Avec la Cyanogen sur mon téléphone, je remarque des problèmes qui sont apparus avec la 2.2 (qui n'étaient pas présent dans la 2.1) :
- le market a tendance à crasher
- les téléchargements prennent des plombes à commencer
- la lecture de la musique saccade si je fais autre chose (navigateur web) en même temps

J'ai pourtant désactivé JIT (qui bouffe plus de mémoire d'après ce que j'ai lu), mais bon ça ne semble rien changer.


Question subsidiaire : je suis chez Swisscom, quelqu'un sait s'ils ont prévu la mise à jour également ?

C'est triste ta vision de l'informatique.

J'aurais plutôt formulé de la façon suivante :
J'explique sans arrêt à mes étudiants que l'informatique, c'est un domaine ingénieux et en plein développement.

Parce qu'en général, les programmes qui font les choses à notre place, ils sont loin d'être simple à écrire. Et puis bon, escroc[1], tu y vas un peu fort. C'est assez triste d'insinuer que les développeur font exprès de laisser des bugs dans leurs programmes. C'est juste un domaine très compliqué.

[1] http://fr.wiktionary.org/wiki/escroquer

D'après ce que je comprends de la discussion, un ingénieur en informatique en France c'est quelqu'un qui ne code pas ? C'est quoi le contenu de la formation alors ? Les codeurs ils ont quoi comme formation ?

J'ai fais une formation d'ingénieur en informatique en Suisse (Bachelor/Master) et on a mangé du code mais aussi de la modélisation. Les "Software Architect" que je connais ben ils codent quand même (pas à 100%, mais ils participent aux projets). Mais globalement, la majorité des développeurs (architectes ou codeurs) sont ingénieurs en informatique.

Ce que tu décris, c'est la méthode "Comet" :
http://en.wikipedia.org/wiki/Comet_%28programming%29

C'est effectivement très utilisé pour les clients qui ne supportent pas un vrai push.

Mais c'est un gros hack. Ca fait exploser le nombre de connexions HTTP simultanés à maintenir entre les clients qui attendent et le serveur.

Je m'intéresse un peu à Scala et c'est vraiment un langage assez génial.
Par contre au niveau de la syntaxe, je trouve que ça n'est pas super clair. J'ai l'impression qu'il y a un peu une tendance à abuser de la définition de nouveaux opérateurs.

Tiré de l'article cité ci-dessus :

# A =:= B, which mandates that A and B should exactly match
# A <:< B, which mandates that A must conform to B
# A A <%< B, which means that A must be viewable as B


Les opérateurs ne sont pas franchement explicites pour quelqu'un qui n'utilise pas ça tous les jours. Pourquoi ne pas utiliser des mots-clés genre "conform" "viewable" et "is" ou que sais-je ? Ca ne rendrait pas tout ça un peu plus clair ?

Qu'en pense ceux qui font du Scala régulièrement ? On s'y habitue facilement une fois qu'on est plongé dedans ?

Elle impose que les morceaux qui sont dans une autre licence soient compatible avec la GPL,. C'est à dire que l'ensemble du logiciel DOIT être distributé sous GPL (et ce sans violer les conditions des autres licences).

Concrètement, tu peux distribuer un programme sous GPL qui utilise du code sous BSD parce que la BSD est compatible avec la GPL.

Par contre tu ne peux pas distribuer un programme sous GPL qui utilise du code CDDL parce que la CDDL t'interdit de redistribuer sous la GPL ([3] pour une explication - la CDDL est dérivée de la MPL).

http://en.wikipedia.org/wiki/License_compatibility
http://en.wikipedia.org/wiki/GNU_General_Public_License#Comp(...)
[3] http://www.tomhull.com/ocston/docs/mozgpl.html

Je cite [1] :
Ainsi, il devient possible à un programmeur désireux de faire un logiciel propriétaire, d'utiliser certains outils du monde libre (ex : la bibliothèque graphique GTK ou nouvellement Qt (depuis la version 4.5)) sans contraindre son logiciel à l'être également.

[1] http://fr.wikipedia.org/wiki/Licence_publique_g%C3%A9n%C3%A9(...)

Ouais sauf qu'ici on parle de personnes et pas de mots et il faut donc comprendre genre comme définit par les sciences sociales. ( http://fr.wikipedia.org/wiki/Genre_%28sciences_sociales%29 )

Avec leur Android qui est opensource mais dont on peut pas virer les services Google
Il y a plusieurs ROM faites par la communauté basées sur ce qui est open source dans android. Et ça tourne très bien sans les applications Google (qu'on peut installer après si on veut). Cyanogenmod par exemple http://cyanogenmod.com/.

leur pseudo-services gratuits financés par les petites mains qui leurs fournissent de plein gré une main d'oeuvre bon marché pour constituer une base de données gigantesque
C'est quoi un "pseudo-service" ?
"Financés par les petits mains" ? Les petites mains donnent de l'argent donc ? (http://fr.wiktionary.org/wiki/financer)

Je n'approuve pas tout ce que fait Google et certaines critiques sont justifiés (sur la vie privée, toussa), mais il faut éviter de raconter de la merde juste pour soutenir ta parano.

Ca change qu'une société qui est en bourse va passer beaucoup de temps à essayer d'optimiser sa valeur boursière. Ca amène à des situations débiles du genre des sociétés qui font des profits monstrueux mais qui licencient pour faire monter leur valeur en bourse.

A la base, l'idée de la bourse (permettre à des investisseurs de "prêter" de l'argent à des entreprises) est pas forcément mauvaise, c'est juste que c'est devenu complètement perverti. La bourse a mis un tel niveau d'abstraction que beaucoup de spéculateurs ne savent même pas forcément dans quelle boîte ils investissent, ou ce qu'elle fait exactement. Ca a l'effet pervers d'éloigner les investisseurs des réalités économique et de baser leurs décisions uniquement sur des courbes de rendement basées sur du court terme.

Le problème c'est pas vraiment l'idée de la bourse, c'est les 45 couches d'abstraction que ça rajoute par rapport à l'économie "réelle"... C'est la même histoire qu'avec les super rachats de prêts composés que proposaient les banques...

Je ne crois pas que Java a expliqué que les pointeurs sont trop compliqués à manier. Ce que Java évite, c'est la gestion de la mémoire et l'arithmétique sur les pointeurs.

Autant sans pointeurs, on ne va pas très loin, même en Java. Autant l'arithmétique sur des pointeurs à la C, on peut tout à fait s'en passer*. Même chose pour la gestion de la mémoire.

D'ailleurs, le langage Go ( http://golang.org/ ), dont le but est de remplacer le C pour la prog système introduit justement un garbage collector et interdit l'arithmétique sur les pointeurs. Mais on a toujours des pointeurs.

* sauf peut-être pour certains trucs très très bas niveau

Je suis vraiment pas convaincu qu'on va faire mieux avec une wiimote qu'avec une souris. Niveau précision, la wiimote ne sera jamais autant précise que la souris. Ne serait-ce que parce que le fait de devoir tenir la wiimote devant soi pour viser ça va te faire trembler après quelques seconds. Même si ce sont des tremblements faibles, par rapport à une souris, c'est énorme.

La souris a l'énorme avantage d'être très reposante pour les muscles (un peu moins pour les tendons mais c'est une autre histoire). Ca ne demande quasiment aucun effort et ça permet de faire des mouvements très petits et maîtrisés.

Après, on peut utiliser intelligemment la wiimote pour immerger le joueur. Si tu t'y crois et que tu tiens ta wiimote comme un pistolet devant ta télé, ça peut être super niveau immersion. En tout cas mieux qu'avec wasd et une souris :)

Donc à mon avis, on ne verra jamais un joueur de Quake 3 au pad/wiimote battre un joueur PC.

J'ai effectivement l'impression que ça ne va pas spécialement aider à porter les jeux.

Bon déjà, si le code du moteur du jeu est pas complètement dégueulasse et que y'a un minimum d'abstraction, c'est pas un travail énorme de développer un backend OpenGL en parallèle au backend Direct3D.
D'ailleurs, beaucoup de moteurs font ça (tous les jeux Blizzard qui tourne sur mac, les jeux Valve qui tournent sur mac, les jeux ID Software).

En plus, avec la percée des platformes mobiles (Android, iPad/iPhone) qui utilisent OpenGL ES, les développeurs de jeux vidéos semblent être tout à fait capable de porter leurs jeux. Les Sims existe sur iPhone, Epic Games a sortit une démo technologique de leur moteur sur iPhone, ID Software a sortit Rage.

Je crois franchement que les gros développeurs de jeu n'en ont franchement rien à carrer des 1% de part de marché de Linux. Et puis bon, comme le linuxien moyen est assez bidouilleur, ceux qui veulent jouer sous Linux s'en sortent avec Wine.

C'est assez triste comme situation, mais on peut se tourner vers les éditeurs indépendants (s2games, humble indie bundle, etc..) et les quelques gros qui prennent la peine d'écrire des jeux portables.

Ben si ça aura un effet sur firefox, car même si ce dernier ne tourne que dans un seul processus, ce processus aura plus de temps à disposition. A la limite si firefox est tout seul dans son groupe et que ton make -j 64 est dans un autre groupe, ça donne du 50% firefox 50% make.
Alors que pré-patch, ça donne 1/65 firefox, 1/65 pour tous les autres processus du make.

La page[1] liste des entreprises qui payent des développeurs Debian. Un certain nombre de ces entreprises sont des boîtes de consultants/support.
Au bol, Credativ[2] propose un support professionnel 24x7. Aucune idée si c'est du même niveau que Redhat, je n'ai pas testé.

Il y a aussi une liste[3] de consultants Debian au travers du monde (souvent affiliés à des entreprises).

Enfin bref, je n'ai pas de retour sur ces offres, mais il semble possible d'avoir du support professionnel Debian.

Donc comme le dise d'autre commentaires, ça n'est logiquement pas Debian qui fait ça, mais des entreprises qui gravitent autour. Maintenant c'est clair que le DSI moyen d'une grosse entreprise risque de faire plus confiance à RedHat parce que c'est une grosse boîte.

[1] http://www.debian.org/partners/
[2] http://www.credativ.us/services/support/projects/linux-distr(...)
[3] http://www.debian.org/consultants/

C'est un peu lourd de se faire traiter de bisounours quand on relève les problèmes du système dans lequel on vit. NON je ne me fais pas d'illusion sur l'état du monde politique. NON je ne me fais pas d'illusion sur l'étant actuel du genre humain.

Ca ne m'empêche pas de penser qu'on devrait chercher à améliorer le système plutôt que de se complaire dans les problèmes. Je ne demande pas aux élus d'être parfaits, je leur demande juste d'au moins chercher à s'améliorer et à être un peu plus qu'un simple reflet de la population qu'ils représentent.

Ben le mec peut être honnête et expliquer à la journaliste que même s'il est président de la commission, il s'occupe de la poste et que donc il est pas très au fait des questions relatives à internet...

C'est vraiment super la démocratie si un élu préfère raconter de la merde que d'avouer son ignorance. C'est pas grave de ne pas savoir, c'est plus grave de ne pas l'admettre.

C'est pas pour son ignorance qu'il devrait démissionner de la tête de sa commission, c'est pour sa malhonnêteté.

Je l'ai vu il y a quelques jours. Lorsque les questions utilisaient "Linux" ou "Open Source", il a simplement corrigé les gens en expliquant pourquoi il préférait "GNU/Linux" et "Logiciel libre" respectivement..
J'avais d'ailleurs entendu parler de son caractère un peu impulsif et de son comportement parfois suprenant, mais il n'a rien laisser transparaître de ça à la conférence. Peut-être que c'était un bon jour :)

Si tu ôtes toutes les lois, rien de terrible à ce qu'une entreprise distribue un soft basé sur du code GPL sans filer les sources.

gamer != gars qui bidouille
Ca fait longtemps que la majorité des gamers ne s'intéressent plus forcément à l'informatique.

De plus, j'ai peu entrer dans la catégorie "bidouilleur", je n'ai jamais utilisé (8 ans de Linux) aucune des fonctionnalités réseau de X. Quand j'administre à distance, j'utilise ssh en console, ça me suffit. Pour le reste, je bosse sur mon portable. Par contre, comme je joue de temps à autre, je serais content de pouvoir utiliser Optimus (ou autre technologie).

Rien ne t'empêche de décomposer ton algo en sous-fonctions...