Larry Cow a écrit 5011 commentaires

J'ai peut être pas tout compris, mais les CA doivent être authentifiés eux aussi, pour que ce soit fiable.

Sauf les racines. C'est tout le problème : il faut bien commencer par faire confiance à quelqu'un pour te dire à quoi faire confiance. Ce dilemme "de la poule et de l'oeuf" se règle en considérant par défaut un certain nombre de CAs "de base" comme étant fiables.

Mais rien n'empêche d'en rajouter, plein de gens font ça pour garder la main sur leur PKI et/ou éviter de payer une fortune pour une CA intermédiaire "reconnue".

Si je regarde la liste des CA reconnues par mon Firefox, j'ai entre autres :

* America Online Inc.
* AOL Time Warner Inc.
* Deutsche Telekom AG
* Microsoft Internet Authority

Ainsi que quelques CA gouvernementales (Pays-bas, Japon, Taiwan).

Est-ce que tu penses vraiment que, là-dessus, il n'y en a pas un qui se laisserait tenter par une opération "intox'" d'envergure?

Sans parler du fait qu'il était question pour le gouvernement français de fournir leur propre CA. Ce qui serait assez génial à plein d'égards (notamment pour les collectivités territoriales, leur permettre d'avoir des certificats SSL reconnus sans gaspiller l'argent du contribuable), mais ça simplifierait beaucoup ce genre d'attaque.

C'est aussi pour ça que, le plus souvent, je préfère faire ajouter à mes administrés une CA maison, dont je suis sûr, que de dépendre d'une CA tierce qu'il pourrait être utile, un jour, de supprimer de la liste des racines.

Non, quand bien même le certificat serait préinstallé (j'ai un gros doute sur mon linux ;) ), il ne permettra pas de faire du mitm.

Ben... si? En admettant que Orange ait effectivement installé une CA sur ton poste, et en admettant que megashare.com ou rapidupload.net ait un mode HTTPS pour tromper l'ennemi, qu'est ce qui empêche Orange de proxy-fier les requêtes à destination de ces deux serveurs, après les avoir muni de certificats signés par leur CA et correspondant bien au nom requis? Évidemment, si tu regardes l'autorité signataire des certificats concernés, tu pourras déceler le pot au roses (et encore : rien n'empêche de rajouter une CA intermédiaire dont l'Organisation serait un truc plus crédible que "Orange Ltd")

Bref, je ne vois pas bien comment le pékin lambda pourra flairer l'embrouille.

Je suppose qu'on ne gagne pas suffisamment en performance en descendant au dessous de 35, et que du coup le perte "sèche" du temps de travail n'est plus compensée par une augmentation du nombre de trucs réalisés par heure.

Ouh, pardon, oui. J'ai pensé très fort "républicains" et j'ai écrit "révolutionnaires".

Bah, ne pas sympathiser plus que cela pour les révolutionnaires, c'est déjà sympathiser avec Franco ;)

Ca permet surtout de pérenniser les jeux, et de leur permettre d'exister sur des plateformes conçues après la fin de vie de leurs studios.

Une petite règle privoxy corrige ce problème :

{ +block }
/favicon.ico\?[0-9]*

Y'a pas moyen de forger un identifiant aléatoire, plutôt que de bloquer? Histoire qu'en plus, leurs stats soient le moins utilisables possibles...

L'alternative (utiliser des carburants fossiles pour faire tourner l'incinérateur) n'est pas forcément glorieuse non plus.

Zemmour a bel et bien affirmé l'existence des races humaines.

Oula, effectivement. Rien de bon ne peut sortir d'un tel homme.

Euh, ça dépend des têtes jetables. Les miennes en ont toujours contenu deux.

et tout le monde s'en accommode.

Surtout les mecs ;)

Ce n'est pas si drôle, c'est assez typique des multiples interprétations du concept de liberté. Y'a des libristes (au sens de "logiciel libre") qui s'étoufferaient avec leur barbe si tu les qualifiais de "libéralistes" ;)

C'est tout à fait mon propos : en censurant les écrits du monsieur, on censure du même coup tous les gens qui y répondaient - pour certains en étayant leur critique. On censure à la fois ce monsieur et son opposition, je ne sais pas si c'était le but recherché ou pas.

On était un certain nombre à discuter de son message, j'ai du mal à croire qu'on soit tous restés dans du "papa/maman m'ont dit...", non?

Le conteneur d'Apple se nomme Quicktime. C'est le fait de vouloir l'abréger à tout prix qui provoque une homonymie.

C'est bien d'améliorer le respect de la vie privée, mais si c'est pour fermer les sources d'un truc ouvert au passage...

Et cette très jolie perle dans la FAQ :


Can i really check that Iron doesn't submit any private data, how you say?

Yes, you can. There are tools like Wireshark, which scan the whole network-traffic. We could not recognize any obvious activity. But you can proof this by yourself.

mais à mon avis tu prends des risques quand même

C'est, je crois, précisément la raison pour laquelle les autorités catholiques préfèrent les méthodes dites "naturelles" au préservatif : ça laisse une chance plus grande au hasard.

Je proposerais bien un nouveau point adapté à ce genre de discussion.

Pareil, je pense que je vais créer le "point Larry". Défini comme "le point dans toute discussion où l'un des intervenants sort un argument qui ne va pas dans mon sens".

Pour l'État, il ne peut y avoir de différence entre un prêtre qui déclare deux personnes 'mariées', et un clown.

A part le fait que pendant un certain nombre de siècles, c'était officiellement le boulot des prêtres. Assez peu celui des clowns (quoi qu'un mariage macdo, ça pourrait être fun).

c'est débile comme promesse, avec aucune garantie envers soit-même qu'on peut la tenir

Sauf que l'un des éléments essentiels de la foi chrétienne, c'est de faire confiance au patron. Si c'était juste une promesse vis-à-vis de l'institution qu'est l'église catholique, ce serait effectivement un peu vain. Mais pour celui qui croit, c'est du type "je te promets que j'y arriverais, surtout si tu m'en donnes la force". Un peu ce qu'on appelle péjorativement un "vœu pieu".

Le mariage chrétien c'est censé être un "truc à trois", avec le barbu qui joue dans le camp du couple.

De mon point de vue, c'est clair : oui.
C'est en Français la différence entre deux phrase :
"Je promet xxx" --> Tu t'engages à le respecter jusqu'à ta mort quoiqu'il arrive, y compris si ta moité change complètement et devient ton bourreau (tu t'es engagé à vie).
"Je promet d'essayer xxx" --> Tu t'engages à viser tel truc, si c'est trop dur tu peux faire le nécessaire pour arrêter

Non. C'est comme la différence entre obligation de moyens et obligation de résultats.

Si tu promets de réussir, c'est une obligation de résultats. Si tu promets d'essayer, c'est une obligation de moyens. Si tu ne précises pas, c'est lié au contexte, et la langue française ne te fournit aucune indication là-dessus.

"Je te promets de te léguer ma voiture", ça sous-entend tout un tas de choses (si tu me survis, si ma voiture existe encore à ce moment-là, etc.).

"Je te promets un gâteau si tu es sage pendant que j'appelle ton papa", c'est relativement tenable (échéance proche, enjeu limité - et accessoirement co-contractant un peu trop jeune pour porter plainte)

Chaque promesse est différente et comprend son lot de non-dits : la vie c'est pas du Ada.

Faut essayer le geeksphone. Mais pour avoir un Android récent, ça n'a pas encore l'air d'être ça.

Ah, marrant, j'ai toujours entendu dire que la raison venait plutôt de l'imprimerie, avec les accents des majuscules qui se cassaient régulièrement (forcément, un petit appendice sur une grosse lettre, ça dépassait systématiquement et c'était pas bien solide), à tel point qu'on a fini par ne plus les mettre.

Un coup sec derrière la nuque?

Non, le fait de récupérer un DVD des sources en cas de faillite, c'est encore assez fréquent et "dans les moeurs". Par contre, et c'est là que le LL a une carte à jouer, le résultat obtenu est généralement à l'image de la société qui a coulé : pas fiable. Alors qu'un projet dont le code est ouvert depuis le début/longtemps a un peu plus de chances d'être lisible.