jyes a écrit 897 commentaires

Content-Type: multipart/signed; micalg=pgp-sha1;
 boundary="Sig_/uJgZNEH_BKzxBiybsydNVyX"; protocol="application/pgp-signature"

Ce n’ est pas un pièce jointe. Du moins, c’est une pièce jointe définie comme signature et non comme un fichier attaché. Si ton client de courrier électronique ne sais pas gérer ça, il pourrait (devrait ?) très bien ne pas l’afficher. Dong GPG fonctionne comme tu voudrais, mais tu n’aimes pas le comportement de ton lecteur de courriel, donc GPG est mauvais… ben, tu ne m’as pas convaincu sur ce coup.

Voir ce commentaire : la campagne a été étendue après publication du journal.

> > La crypto version Javascript impose que tu fasses confiance à 100% au serveur

> OpenPGP ou S/MIME pour protéger le corps du message contre […] les intermédiaires

D’où la conclusion du message à laquelle tu réponds, OpenPGP en Javascript a une utilité proche du néans (pas tout à fait, mais pour des usages différents en tout cas).

Ce lien a déjà dû passer plusieurs fois sur LinuxFr, mais je prend le risque de te saouler avec une redite car il illustre parfaitement comment pense un utilisateur de Git avec un tout petit peu d’habitude de l’outil. Il y a effectivement des soucis d’UI indéniables dans Git, mais en pratique ils ne sont pas si fréquents, car beaucoup de commandes prennent leur sens une fois que l’on a compris la logique sous-jacente à Git.

Dans la mesure ou Epeios est un framework « peu répandu » (pour rester dans l’euphémisme) et que cette manière de lire les paramètres de la ligne de commande nous a bien été vendue dans ce journal, c’est vrai qu’une lib à part pour cet usage me paraîtrait tout à fait bienvenue. En tout cas, je vois personnellement un usage qui m’intéresse d’une telle lib si elle existait alors que je ne vois aucune raison d’utiliser Epeios puisque je ne le connais pas en dehors de cette fonctionnalité.

Je n’ai regardé qu’une vidéo pour le moment, alors peut-être les licences varient elles avec les contenus, mais celle que j’ai vue est en CC BY NC SA, donc non libre, contrairement à ZeMarmot et les films de la Blender Foundation.

Bien sûr que non, ils servent aussi dans des codes comme OpenSSL et sont très significatifs sur le plan des « fonctionnalités ».

Surtout que les musiciens affiliés SACEM ne peuvent pas diffuser sous licence libre, donc cette perception sur les musiques libres reversées aux artistes affiliés SACEM est par construction incapable de nourrir les artistes dont elle rend la musique payante contre leur gré. Bravo !

Ce serait très étonnant…

Bien sûr il y a toujours des exceptions, mais en temps normal les dépendances cassées dans « testing » sont impossibles. C’est d’ailleurs la seule règle de migration dans « testing » : un temps de maturation et toutes les dépendances déjà présentes. Sauf grosse migration, « testing » n’est qu’une Sid avec du retard et une garantie de dépendances cohérentes. Après si par cassées, tu veux dire qui ne marchent pas, ça arrive, plutôt moins souvent qu’en Sid, mais là ce n’est pas une règle appliquée par un robot alors cela relèvera de la perception de chacun.

Tu as raison. Il faut soumettre un patch pour que ce JavaScript respecte DoNotTrack ¹.

Debian utilise le même systemd que les autres distributions, il n’est donc pas nécessaire de fournir une documentation spécifique à Debian. La doc de systemd est fournie dans les paquets, les ressources sur Internet sont mutualisables. Ce n’est pas tout à fait pareil pour Fedora, car étant parmi les premières distributions à basculer sur systemd, les informations manquantes dont auraient pu avoir besoin ses utilisateurs ont bien dues être publiées quelque-part, et certaines sont notamment fournies sur le site de la distribution.

Les distributions n’ont pas une page web spécifique de doc pour chaque paquet qu’elles proposent (même pour les paquets système). En cas de besoin irrépressible de lire une doc spécifique Debian, le fichier README.Debian à extraire de l’archive ici contient les premières pistes d’information nécessaires.

Si t’as une meilleure idée qu’un tiers de confiance, je suis tout ouïe.

J’ai effectivement dû mal m’exprimer.

PGP ne supprime pas la nécessité d’un tiers de confiance, mais ce tiers est une toile (soit des tiers de confiance) et la confiance que l’on accorde à chacun est pondérée et à la discrétion de l’utilisateur, là où le système de CA n’est qu’une liste de toiles à un fil qui obligent à faire confiance à chaque tiers au bout de chaque fil. Il faut donc identifier chaque tiers individuellement, ce que personne ne fait et préfère considérer que la liste de CA qu’il a récupérée en HTTP avec son Firefox vérolé sur télécharger.com est fiable. PGP permet juste de de ne choisir de faire confiance que si un chemin de confiance — qui peut s’établir uniquement via des échanges de clés sûrs (physiques présentiels) — nous lie au signataire de la ressource à authentifier.

Le système de toile a pour seul défaut (encore majeur pour le moment, je l’admets volontiers) son manque d’utilisateurs à portée des Michu pour établir les premiers fils vers la toile, défaut qui doit beaucoup au peu de support proposé par les gros acteurs du Web. Mais à l’inverse, établir une mini-toile avec des potes ou un client que l’on a l’occasion de rencontrer au moins une fois physiquement, c’est très facile et bien plus sûr que le système des CAs pour lequel on a rarement l’occasion de visiter les bureaux de Verisign avec une clé USB pour récupérer leur empreinte.

Et à force de message qui font peur partout, le PEBKAC a appris à passer outre n’importe quelle alerte de sécurité, ayant pris l’habitude qu’elles soient trop techniques et cryptiques pour lui. Un message, moins alarmiste et plus clair ne serait sûrement pas une diminution de la sécurité des PEBKAC. Les pires continueraient à valider mais les autres auraient au moins une chance de comprendre à quoi correspond leur validation.

Ta réponse me laisse penser que ton usage de GPG est très modéré, voire inexistant, pourtant il répond bien au problème de l’identification avec sa toile de confiance qui évite le SPOF que constitue chaque CA. HTTPS malgré ses défauts répond à un certain besoin, mais du point de vue de la sécurité ce n’est quand-même pas la panacée et je suis surpris de ton entêtement à le défendre. Par exemple, dans la pratique, je ne me rappelle jamais avoir récupéré un clé SSH sur une page Web, par contre, plusieurs fois depuis un e-mail signé (en même temps je suis un admin sys amateur du dimanche et veux bien croire que des pratiques différentes sont communes). Je ferais volontiers pareil pour le certificat de mon serveur auto-hébergé si ce n’était pas aussi compliqué pour les utilisateurs de faire accepter un certificat récupéré depuis ailleurs que la page d’alerte de sécurité dans les navigateurs courants. Les « gens du web » (comme dirait Tanguy) ont une vision CA-centriste qui me déçoit.

J'avoue ne pas encore avoir été convaincu par les exemples de chiffrement utile sans authentifier le correspondant…

Je suis d’accord avec toi là dessus. Sauf qu’HTTPS et le système de CA n’est ni la seule, ni la meilleure manière d’authentifier un correspondant.

Mais pour qu’il puisse modifier la page (enlever les javascripts traceurs etc) il faut bien qu’il puisse la faire digérer au butineur sans que celui-ci se mette à hurler à l’usurpation d’identité du serveur. C’est l’un des rôles de TLS de s’assurer que les informations ne sont pas modifiées en cours de route. La solution est donc aussi du côté de TLS, avec certificat auto-signé, man-in-the-middle et tout le toutim et ses désagréments importants.

Firefox est actuellement dans le dépôt F-Droid. Mais il contient apparemment des binaires non libres !

Qu’est-ce qui t’échappe la dedans ? Fennec n’étant qu’un Firefox nettoyé, il épie ton utilisation du web et promeut tout autant des extensions privatrices que l’original, mais il est libre.

Python/Numpy/Scipy […] est la meilleure alternative actuelle à Matlab
Scilab […] me semble en bien mauvaise posture face à un écosystème python

Puisqu’on a affaire à un connaisseur, je suis surpris de ne voir aucune mention d’Octave dans ce commentaire. Comme alternative à Matlab il semble un excellent candidat puisqu’il est très compatible avec ce dernier et en partage la syntaxe. De plus, bien que je trouve cela plutôt contre-productif à titre personnel, les dernières versions se dotent d’un environnement graphique qui devrait rassurer les moins barbus. Est-ce par oubli, par méconnaissance de cet outil ou à cause de ses défauts qu’il est absent de ce tour d’horizon. Si c’est la troisième option, je serais intéressé par une critique plus en détail de ceux-ci. Merci ;-)

Le panneau de configuration nommé "Affichage" dans XFCE permet de le faire

Non, car les résolutions et fréquences listées dans ce panneau reposent sur les informations fournies par l’écran, afin de ne pas lui envoyer un signal qu’il ne saurait pas traiter. Dans le cas de Riendf, il a un écran foireux qui envoie des informations erronées, et apprécie que sous Windows, on puisse envoyer n’importe quelle fréquence et n’importe quelle résolution, quitte à détériorer le matériel.

Du coup, ça me semble normal que XFCE ne le propose pas, c’est clairement un problème au niveau de l’écran, et c’est plutôt appréciable que l’interface d’XFCE ne t’incite pas à faire n’importe quoi. Par contre, ce que Riendf veux nous faire croire qu’il ne sait pas, c’est qu’il peut forcer les résolutions et court-circuiter l’auto-détection qui utilise les infos fournies par son écran, juste en remplissant les bonnes informations lui-même dans son Xorg.conf. Autrement dit, sur un système qui évite que l’utilisateur fasse des manipulations malencontreuses, dans le cas d’un matériel foireux comme le sien, il y a quand même un endroit où ceux qui savent ce qu’ils font peuvent régler leurs soucis.

La vie est bien faite (sous GNU/Linux), mais ça, il ne vous le dira pas !

un pc compatible avec une version X du noyau pourrait ne plus être reconnu par la version X+1 du noyau

Cela arrive avec du très vieux matériel ou des architectures exotiques pour lesquels aucun développeur noyau ne dispose du matériel ni de l’expérience suffisants pour assurer son bon fonctionnement. Dans ce cas, le support est retiré du noyau plutôt que de livrer quelque-chose que personne ne peut tester et qui sera conséquemment inutilisable et plein de bogues. Remarque quand-même que le développement du noyau est relativement conservateur en pratique, et qu’en général ce qui est supprimé a en fait déjà atteint le stade difficilement utilisable et plein de bugs.

Mais ceci concerne les changements de versions du noyau importants (le x dans 3.x), pas les correctifs (le y dans 3.x.y ou toute autre version plus mineure encore). Pour les correctifs une compatibilité ascendante est assurée, aux bogues près. Dans le cas de la mise à jour qui touche Debian, ce sont des bogues qui ont cassé la compatibilité avec certains matériels, d’ailleurs ils devraient être corrigés et distribués rapidement par le canal « security » du projet Debian.

De toute façon, SSH c’est l’outil de crochetage réseau ultime, même ce qu’il ne fait pas, il permet de l’encapsuler. Avec netcat ou sa « nouvelle » (plus tant que ça) option « -W », il permettait déjà de faire passer n’importe quoi, n’importe comment. Après c’est vrai que les clients et serveurs OpenSSH fournissent déjà tellement de choses (VPN tun, Proxy SOCKS, etc…) qu’ils sont souvent suffisants. De plus, ils sont tellement courants et utilisés, que c’est difficile de les interdire complètement sur un réseau de grande taille, du coup, ils permettent de passer quasiment tous les blocages.

Quant à la Chine, je n’ai pas essayé récemment (n’y vivant pas j’avais mis en place des portes de sortie pour des camarades expatriés là-bas, mais ils ne les utilisent plus). Si ça se trouve, même cela ne passe plus.

Et le super outil latexdiff pour un formatage bien lisible des patchs des sources :-)

Le probleme le plus important de LaTeX c'est la collaboration. Avec word ca se fait nettement plus facilement avec le suivit des versions et les commentaires.

Je suis en total désaccord avec cette assertion. En fait, j’aime beaucoup mais je ne cherche pas plus que ça à y convertir mes collaborateurs. Sauf que le suivi de versions est bien la raison qui m’a fait faire basculer toutes les personnes de mon dernier gros projet sur .

Le format texte brut, analysable par un programme de gestion de versions (donc possibilité de création de branches et conservation de l’historique après acceptation des modifications, y compris pour les figures) a été l’argument pour abandonner Word. Quand plus d’une dizaine de personnes travaillent sur un document en même temps, le suivi des modifications dans Word est une blague, et à titre personnel, même à deux je trouve cela assez ridicule.

En fait, même tout seul, coupler à Git me paraît bien plus confortable que le seul suivi d’historique qui marche bien avec Word, à savoir le « cp.old ».

meme si mon message est considere comme impertinent

Il n’est pas considéré comme impertinent mais comme inutile, car à côté de la plaque. Le format utilisé par les photographes peut être quelconque, et si pour le faire imprimer, il leur faut le convertir en un TIFF non compressé, ils le feront, que leur fichier soit du PNG, du JPEG, du BPG, du XCF ou du PSD.

Mais donc sur du web ça me semble peu pratique à utiliser :/

Qu’est-ce qui t’empêche d’encoder tes pages en un dialecte unicode ? UTF-8 est l’encodage par défaut du XHTML et l’encodage recommandé pour HTML5. Si c’est pour la difficulté de taper le caractère, voici la solution dans ton ~/.XCompose :

<Multi_key> <space> <less>      : " "   U202f # NARROW NO-BREAK SPACE

Et si tu utilisais Claws Mail, Thunderbird aussi serait inutile ?