khivapia a écrit 2562 commentaires

ça fait longtemps que les utilisateurs ont une carte vitale à puce et les soignants une carte de professionnel de santé à puce également.
J'ignore les capacités de la carte des professionnels.

Mais je me rappelle qu'en TP d'école d'ingé, les informations de la carte Vitale étaient lisibles avec un simple lecteur de carte, et "codées" en BCD.

J'ai toujours la même carte Vitale depuis cette époque. Contrairement à ce qu'on savait déjà faire depuis la fin des années 1980 en cartes à puces, les cartes Vitale ne font pas de sécurité :
* pas d'authentification mutuelle du lecteur et de la carte
* pas de chiffrement des données de la carte
* …

C'est "amusant" de constater que les ministres des armées demandent toujours plein de plans pour faire face à des crises, de type "d'ici 1 semaine je suis capable de déployer tant d'hommes à tant de kilomètres", "d'ici 9 mois, en activant tel et tel contrat avec tel et tel fournisseur et appelé tant de réservistes, je suis capable de projeter 10 fois plus de monde 2 fois plus loin" alors que le ministère de la santé n'avait visiblement aucun plan pour faire face à une épidémie. C'est pas comme si on n'avait pas eu quelques semaines de prévision et un avertissement avec la grippe aviaire à la fin des années 2000.

la ceinture de sécurité obligatoire en voiture
Avec les conséquences que l'on connaît maintenant en matière de pénurie de dons d'organes.

Ils sont contre l'obligation vaccinale ?

Non, le marchand qui voyage avec des épices fourni un service, et même un travail, qui ajoute de la valeur au produit lors du transport, ce que ne fait pas le THF, ni même la finance en général.

C'est discutable. Après tout, le vendeur d'épice trouve des clients de la même façon que le trader haute fréquence trouve des acheteurs qui sont intéressés par lui acheter les actions qu'il revend ailleurs. Ainsi, dans les deux cas l'acheteur final bénéficie du service rendu par le vendeur (et le vendeur a travaillé pour rendre ce service - je ne pense pas qu'un travail ajoute toujours de la valeur à quelque chose ex nihilo, la valeur étant par définition le prix auquel quelqu'un est prêt à acheter).

Bon bien sûr cela suppose que l'acheteur est libre d'acheter, ce qui est variable selon les temps et les époques…

La valise de billets ne traverse pas les frontières
C'est une blague ? Bien sûr que si, sinon transporter des sommes conséquentes en liquide sans déclaration en douane ne serait pas si lourdement réprimé, et les monnaies dites fortes (dollar, euro, yen…) ne seraient pas si utilisées en liquide dans bon nombre de pays dont ce n'est pas la monnaie nationale.

Ce n'est pas pour rien que tous les ransomwares se paient en bitcoin.
C'est un moyen apparemment séduisant de régler le problème de toutes les rançons : comment la récupérer. Mais là ce qui est optionnel avec les rançons dans le monde concret (billets marqués ou compte en banque destination visible), toutes les transactions depuis l'adresse bitcoin utilisée sont traçables, donc les bitcoins correspondants ne sont pas récupérables sous forme d'argent liquide utilisable dans la vie de tous les jours de manière anonyme.

Je ne crois pas à la théorie du complot (gouvernement vendu au US), je crois plutôt en des raisons plus pragmatiques, comme la pré-existence d'un contrat ou la qualité de service rendue par MS.

De mon côté je crois qu'une explication est dans la force de frappe financière des grands industriels américains de l'informatique : ils peuvent mettre les ressources nécessaires pour être certifiés plus vite que leurs concurrents plus petits, notamment européens, et remportent les marchés par la suite.
(Marchés qui sont lancés suite à marketing bien effectué et démarchage commercial).

De plus étant plus gros leur résilience est plus forte, là où les coûts de certification font que le choix de lancer une démarche ou non est beaucoup plus périlleuse pour une entreprise plus petite.

En insistant bien sur le fait que vous n'avez jamais reçu de mail (rien ne peut le prouver).

Petite subtilité : insister sur le fait que vous n'avez jamais reçu le mail, étant faux, peut se retourner contre vous en cas de problème.

J'insisterais plutôt pour qu'ils prouvent vous avoir bien prévenu - après tout, c'est à eux de prouver vous avoir prévenu à temps, pas à vous d'affirmer que vous n'avez rien reçu.

Merci pour cette dépêche très intéressante.
La clef RSA générée est générée par la puce TPM, ce qui peut être problématique car le générateur d'aléa du TPM n'est pas auditable (et les histoires de générateurs d'aléa troués sont légion).

Est-ce possible de générer sa propre clef, en dehors du TPM, typiquement avec ssh-keygen ou gnupg, pour ensuite la protéger avec le TPM de sorte qu'elle ne soit utilisable que par le TPM ?

de l'illétrisme des parents ou de leur absence dans le soutien au devoirs pour différentes raisons.
Ou de leurs carences éducatives, combien de parents prêtent leur téléphone portable à leurs enfants de 3, 2 voire 1 an pour "avoir la paix"…

Je partage les remarques de l'auteur du journal.

J'ajouterais un gros désagrément supplémentaire : si ça vous arrive de commander sur internet dans un endroit où le téléphone ne capte pas bien du tout les données (parce que vous utilisez un PC avec connexion filaire), vous ne pourrez pas avoir une connexion assez fiable, sur votre téléphone, pour envoyer et émettre les données nécessaires à l'authentification.
Expérience vécue plusieurs fois.

Alors qu'un simple SMS passe beaucoup mieux, et qu'une calculatrice + carte bancaire fonctionne même en mode déconnecté.

Ils n'indiquent pas ni ne conseillent de s'entretenir avec un confrère.
C'est un manque de déontologie qui n'est pas à l'honneur du cabinet d'avocats qui a rédigé ce courrier.

"L’avocat doit faire preuve de modération et de délicatesse. Le courrier doit se conclure par la formule invitant la partie adverse à lui communiquer les coordonnées de son conseil.

La Commission de déontologie exerce un contrôle rigoureux sur le respect des règles précitées, pouvant aller jusqu’à inviter l’avocat rédacteur à ne pas produire un courrier non conforme."

Il est très simple de signaler la chose au barreau du cabinet d'avocats concernés (en espérant qu'ils ne soient pas trop copains…) histoire qu'il récolte une bonne soufflante.

https://codedeonto.avocatparis.org/faq/28-relations-avec-la-partie-adverse-et-respect-du-contradictoire/relations-avec-la-partie-adverse-et-respect-du-contradictoire

instaurer une vraie fiscalité carbone
Tu veux dire augmenter les déjà 70% de taxes qu'il y a sur un litre d'essence ?

Regarde lsusb -vv pour avoir les ID USB de ton clavier et powertop pour voir si il est en autosuspend.

Des fois que. En général ce n'est pas mis par défaut mais ça pourrait expliquer le fonctionnement.

Ça signifie que vendre des actifs c'est diminuer ta capacité à emprunter.
C'est vrai pour le privé, mais pas pour l'État.
En effet, le privé (entreprise et individu) ne peut que compter sur ses actifs pour apporter l'argent nécessaire au remboursement de la dette (par génération de cash-flow ou vente d'actif pour solder la dette).

L'État peut aussi lever de nouveaux impôts, et 'on' lui prête même s'il n'a pas d'actifs tant qu'on a confiance dans le fait qu'il peut les augmenter réellement (donc administration fiscale qui marche et sujets de l'État qui ont du pognon à taxer - sous forme d'épargne financière ou de revenus).

Donc
Bref une fois de plus l'État renonce à sa capacité à se financer.
est faux.

Déjà il y a 15 ans en école d'ingénieur on apprenait à fabriquer de fausses lire des cartes Vitale, où les informations sont 'codées' (et non pas chiffrées) dans un semblant de Binary-Coded-Decimal par paquets de 5 bits, et où il ne faut aucune authentification pour mettre à jour quoi que ce soit, ni pour accéder à vos affections de longue durée et autres informations intéressantes.
Des cartes où le soft agréé par la sécu pour qu'un professionnel de santé puisse envoyer une feuille de soin électronique se bornait à vérifier qu'il y avait bien une carte de professionnel de santé insérée dans le lecteur à double fente sans l'utiliser aucunement pour un quelconque protocole sécurisé.

Le téléphone portable n'est pas un objet sécurisé (plusieurs applications bancaires refusent de s'installer sur un téléphone avec LineageOS à jour pour de fausses raisons de sécurité : ce n'est pas l'OS d'origine alors même que le constructeur ne fournit déjà plus de mises à jours depuis longtemps), mais ce sera peut-être moins insécurisé que les cartes Vitale actuelles !

je vérifie qu'il n'y a pas un taré en voiture qui arrive trop vite pour être dans l'impossibilité de me tuer.
Dans ces cas là c'est rigolo (comme piéton) de taper le plus fort qu'on peu, du plat de la main, sur la voiture en train de passer.
Effet garanti.
(Point de bonus avec le dos des doigts, plus durs que le plat de la main, et qui font donc un bruit encore plus inquiétant à l'intérieur de la voiture).

même s'ils endommagent leur milieu.
Probablement qu'ils n'endommagent pas le leur, de milieu. Du coup tout va bien :-)

l'une des deux personnes est un homme, on ne sait laquelle
Encore des stéréotypes de genre !

Peut-être l'une d'eux est se prend pour un homme lesbienne et désire être considéré comme telle. Il ne manquerait plus qu'il soit de couleur non dominant pour pouvoir imaginer que tu es raciste.

Pour poursuivre sur une note plus drôle, voici les commandes Unix/Linux politiquement correctes (librement adaptées d'ici https://entertainment.slashdot.org/story/17/12/18/024219/ask-slashdot-whats-the-worst-it-related-joke-youve-ever-heard )

• les man pages sont maintenant appelées pages personnelles afin d'éviter tout mansplaining
• pour ne pas froisser les anglophones allergiques aux chats, 'cat' a été toiletté en 'animal_domestique_hypoallergénique'
• 'yes' est un vestige du temps où les hommes dominaient le monde informatique et pensaient que les femmes ne pouvaient que répondre positivement ; afin de rétablir l'équilibre, on a ajouté une commande 'no'
• l'option '-f(orce)' a été retirée de tous les programmes : aucun programme ne devrait être forcé par un autre de faire quelque chose qu'il ne veut pas faire par lui-même
• la commande 'touch' a été retirée suite à nombreux usages inappropriés
• la commande 'unzip' aussi, pour les utilisateurs anglophones
• 'more', vestige du temps où l'ultra-capitalisme pensait que le but de la vie était accumuler des richesses indéfiniment a été remplacée par la commande 'less' qui est meilleure pour l'environnement et favorise la décroissance
• LaTeX a été remplacé par KleeNeX, qui a l'avantage d'être compostable
• la commande 'kill' a été renommée 'euthanasie' ; pour éviter les dérives, les tâches concernées doivent au préalable donner leur accord librement et explicitement
• les utilisateurs anglophones ont totalement réécrit 'history', devenu 'theirstory' et qui n'utilise que des technologies neutres
• 'abort()' est devenu 'ivg()'
• les démons sont maintenant des guides spirituels
• X-Window a été interdit aux mineurs
• les terminaux aux capacités limitées ne sont plus appelés 'dumb terminals' ou terminaux minimaux ; tous les terminaux sont égaux, certains sont seulement à capacités réduites ;
• root, admin, system et l'oligarchie correspondante ont été débarquées au profit de la Démocratie dans l'Organisation des Systèmes. Tous les programmes peuvent faire ce qu'ils veulent, bien sûr ils ne prendront pas plus de ressources que nécessaire.

Il faut faire avec eux… et faire attention à ne blesser ou choquer personne sur ce genre de question…
Moi je suis blessé qu'on puisse être choqué par ma façon de parler de ce genre de questions. J'espère que tout le monde sera consensuel avec moi et aura la délicatesse de ne pas me le faire remarquer.

L'idée de ces fonctions c'est normalement qu'elles sont "réglables" en termes de ressources demandées.

Dans le cas de PBKDF + SHA2, les ressources impliquées sont du calcul (très peu de données, juste celles nécessaires au calcul de la fonction de hachage), c'est réglable avec le nombre d'itérations effectuées.

Les fonctions plus modernes comme Argon2 utilisent à la fois des ressources en calcul et en mémoire (forçant à conserver en mémoire une partie (réglable) des calculs effectués jusqu'à la fin). Ceci est très gênant pour des attaques force brute : plus que les ressources de calcul qui ont évolué (ou peuvent évoluer allant jusqu'à fondre des composants dédiés), les contrôleurs mémoire ont beaucoup évolué pour le débit mémoire mais assez peu pour la latence et les accès aléatoires.
Autrement dit : si avec un GPU on peut calculer beaucoup de hachés SHA256 ou Blake2 par seconde, on a très peu de mémoire cache et une forte latence mémoire (même si on a un gros débit mémoire). Du coup, on ne peut pas calculer tant que ça de hachés Argon2 par seconde.

In fine, il faut bien adapter le coût de la solution de sécurité au besoin de sécurité. Argon2 est flexible de ce point de vue.

j'ai une sortie téléinformation qui va vers mon serveur sur lequel j'enregistre la puissance apparente instantanée toutes les minutes dans une base RRDtool.
Peux-tu détailler un peu plus, notamment la partie électronique (branchement sur le compteur vers serveur) ? As-tu dû bidouiller un peu ou as-tu pris une solution du commerce qui ne passe pas par le stockage des données à l'extérieur ?

Il me semble que la téléinformation Linky est très proche de celle des anciens compteurs électroniques.

Merci !

"Flexibiliser le marché du travail revient à enlever des protections des salariés pris en charge par leur employeurs"
Pas uniquement. Vraiment flexibiliser le marché du travail, c'est aussi donner aux salariés la possibilité de démissionner beaucoup plus vite que 3 mois, afin qu'ils puissent jouer la carte "j'ai une meilleure offre et ne veux pas faire cette tâche de m****" plus facilement.

Bizarrement on n'a pas entendu parler de ça !

dans les départements d'Outre-Mer (…) il y a quantité de choses qu'on ne peut obtenir normalement
Cela se comprend: ils ont une fiscalité spécifique, et un marché tellement petit que beaucoup de boîtes ne font pas l'effort de s'y intéresser.

Par exemple, on peut faire livrer une voiture de métropole dans les Antilles pour environ 500€ (en quelques semaines ; ça ne coûte pas très cher par rapport aux économies des mandataires qu'on trouve en Europe), mais les taxes sont tellement lourdes à l'arrivée pour protéger la rente stimuler l'activité des concessionnaires locaux que ça ne vaut pas la peine.

Autrement dit : les DOM, c'est la France (et l'Europe) mais ce n'est pas Schengen.