Larry Cow a écrit 5011 commentaires

Dans un état fédéral comme la Belgique, en effet, il y a pire. Dans un état très centralisé comme la France, ce serait catastrophique (et durerait probablement moins longtemps aussi, il faut bien dire).

C'est pour cela que la sécurité sur un OS libre se résume à:

• une implémentation correcte de SSH, même sur Debian?

Ce n'est jamais bon de se croire invincible.

on ne peut se permettre 5 ans de Sarko de plus,

Mais si on peut!

(et joyeux vendredi à tous)

Tiens question : comment vous gérez la mise-à-jour des softs tiers (Apache et Postfix, notamment) ? Vous vous reposez sur les dépôts de la distrib, ou bien vous gérez ça à la main?

Parce que je me souviens de mes premiers essais sous Zimbra, et de l'horreur absolue de leur installeur qui imposait d'avoir ses propres versions des logiciels, rendant totalement dépendant du cycle de mises-à-jour de Zimbra. Y compris pour la sécu.

Pas forcément. Des webclients Jabber gèrent ça très bien (genre https://jappix.com/?r=support@muc.jappix.org).

Après, je ne connais pas de client "lourd" qui gère ce genre de choses, mais à mon avis c'est surtout un manque d'usage : quand tu as pris la peine de télécharger un client, c'est que tu envisages d'avoir un compte Jabber quelque-part.

Merci pour ta réponse. Là où je coince un peu, c'est dans le schéma général de ton truc. Dis-moi si j'ai bien compris.

• Lors de la connexion à ton appli/portail/truc d'un utilisateur, un mot de passe temporaire est généré et stocké en base.
• Lors du clic sur un lien "le chat est par là" (en substance), tu passes ce mot de passe à Jappix via GET (je ne me souvenais pas que Jappix savait faire ça, mais je vois ça comme une bonne nouvelle).
• Et donc Jappix utilise ce mot de passe "contre" la base pré-renseignée, et ça roule.

C'est ça, l'idée?

Tel que je comprends le texte, rien ne s'oppose à ce qu'il y ait plusieurs organismes en concurrence, tant qu'ils sont tous agréés par le ministère de la culture. Si?

Sauf quand le site du projet te file un lien en xmpp:. Un peu comme IRC quoi :)

Je ne sais pas, je n'ai pas de stats précises. Il y a quelques années, j'aurais été aussi convaincu que toi. Aujourd'hui, ça me semble moins écrasant - même s'il reste du chemin.

IRC qui a pris un sacré coup de vieux mais qui reste très pratique et très utilisé pour le chat de groupe sans authentification. Le manque d'authentification est un problème pour retrouver les gens, il faut souvent s'envoyer un mail "on se retrouve sur tel serveur, tel chan".

Moué, à tel point que de plus en plus de projets libres passent désormais par des "MUC" Jabber pour ce genre d'usage. Avec un client comme poezio, la différence avec irssi est tout juste discernable. Et il y a des clients web très corrects (i.e. sans Flash, ni proxy Websocket sur le serveur, ni latences de malade) pour les accès anonymes.

les tribunes qui grâce aux norloges sont la meilleure technologie pour le chat de groupe. L'absence de chat privé les empêche de dominer le monde.

Hem ;)

Mumble spécialisé dans le chat par voix durant les jeux.

Son problème majeur, en termes de protocole, étant d'être la seule et unique implémentation. Libre, certes, mais néanmoins.

Retroshare qui fonctionne sans serveur et proposent une messagerie de type mail, des forums et du partage de fichiers.

Et qui ne marche pas très bien dans les réseaux où l'on n'est pas admin (i.e. au boulot). Sinon, même souci que Mumble.

psyced, un serveur qui permet de servir IRC, XMPP, web, telnet.

Pas vraiment un protocole non plus ;)

Sur le site dont je m'occupe, nous avons une contrainte forte : interdiction de sauvegarder un mot de passe et aucun mot de passe ne doit passer en clair. Afin d'éviter de redemander aux utilisateurs déjà identifiés sur le site (via ldap) de se relogguer pour accéder au chat, nous générons un mot de passe à usage temporaire (le temps de la session) qui sert de mot de passe pour jabber. Ainsi les clients web utilisent ce mot de passe pour s'authentifier. Ceci était plutôt simple à mettre en place avec ejabberd et tout simplement impossible avec OpenFire.

Intéressant. Tu as des billes, là-dessus? Genre module d'eJabberd utilisé? Comment eJabbard vérifie-t-il que le mot de passe est valide?

Est-ce que ça peut fonctionner combiné avec une authentification plus classique (genre mot de passe "normal" depuis un client Jabber natif, mais one-time-password depuis une connexion BOSH?

Quand à Jappix, j'ai entendu dire que rien n'était chiffré, du coups les login/pass transitaient en clair sur Internet, et qu'ils étaient visible dans la source HTML. A vérifier.

Jappix s'appuie sur BOSH (Binary Over Streamed HTTP, de mémoire), c'est à dire du XMPP-over-HTTP "propre". Donc effectivement, si ton mode d'authentification utilise des mots de passe en clair ET que ta connexion HTTP est en clair, ton mot de passe sera visible. Comme dit plus haut, c'est exactement pour ça que HTTPS existe (ainsi que certains mécanismes SASL plus chiadés que le "PLAIN", mais je ne garantis pas leur intégration avec Jappix).

Par contre, le fait qu'il soit visible dans le source HTML, je te suis moins. Jappix ne fournit aucun traitement côté serveur : il donne à ton navigateur une application HTML+Javascript, dans laquelle tu saisis ton mot de passe et qui va faire elle-même la connexion à ton XMPPd.

(Note: je viens de voir la fonction "se souvenir de moi" sur la page de connexion, est-ce à cela que tu fais référence?)

Comme quoi le backend LLVM-vers-Javascript est une tuerie : un port Web est déjà disponible. Ici : http://syntensity.com/static/mams/mams.html

Si tu penses "Streetview", le respect de la vie privée est un gros défi. Flouter de manière automatique tous les visages et toutes les plaques d'immatriculation, ce n'est pas rien.

Autrement, l'intérêt d’affréter des voitures qui se contentent de faire des traces GPS… ben c'est déjà le fonctionnement d'OSM, et Google n'aurait jamais lancé Maps s'ils avaient dû attendre que la voiture soit passée partout.

Euh, si, il y a photo. Et j'en manipule tous les jours.

Axes routiers qui mettent des années à être pris en compte, ou qui ne correspondent plus du tout à la réalité (mais pour prélever l'impôt ça ne change rien, donc on laisse comme ça), et j'en passe.

N'oublions surtout pas que la donnée première du cadastre, c'est la parcelle. Les routes apparaissent simplement en négatif. Un jeu de données suit vaguement le tracé des routes, mais sa raison d'être est juste de pouvoir afficher le nom de la voie au bon endroit.

Pour ce qui est du bâti, c'est assez variable, mais on peut trouver des différences de plusieurs dizaines de mètres avec l'ortho-photographie. Et ce n'est pas si rare.

Bref, pour OSM, l'avantage majeur du cadastre c'est le fait qu'il est exhaustif et exploitable en (semi-)automatique. Et c'est précieux. Mais connaître ses limites aide à éviter les fausses joies.

Pas aussi précis (géographiquement parlant), mais effectivement.

En effet, j'ai vu ça trop tard.

Ce n'est pas le petit nom du paresseux (l'animal)?

Pourquoi refaire un clone de Mac OS quand tu peux installer un vrai Mac OS.

Justement : tu ne peux pas. (enfin "you can", but "you may not")

Les "trackbacks" souffrent d'une absence complète d'authentification et de confidentialité. Par contre, le mécanisme sous-jacent (qu'on qualifie aujourd'hui de "web hooks") peut être intéressant.

Sinon, il peut se tourner du côté des technos du "web social libre", soit Salmon, PSHB, Webfinger et compagnie.

a croire que chacun fait le sien chez lui sans regarder pourquoi les existants sont délaissé

http://xkcd.com/927/

Faire le pari du HIB, au moins au début, c'était couillu aussi. Pas de DRM, 1$ minimum par copie du jeu. Ils risquaient gros de pas ramasser un kopeck.

Oui, mais cette connexion directe il faut la négocier avec l'accord du broker, non?

Il ne tape pas sur Wikipedia, il tape sur les élèves qui recopient des bouts de web (et pas que de Wikipedia, si j'ai bien compris) sans réfléchir à ce qu'ils recopient.

Et j'aime bien l'idée. Autant je doute que ce soit reproductible trop souvent - ne serait-ce que parce que WP va criser - autant ça reste un très bon apprentissage de la vie : quand on se croit plus intelligent qu'un prof, c'est toujours sain de se voir démontrer le contraire.

s/explode/fall/