je ne sais pas vous, mais j'ai rarement pu redémarrer un PC dans un cybercafé… je veux dire, on ne me l'autorise pas…
ensuite sur les PC des entreprises désormais il est impossible de rebooter sur une clé USB sans avoir le pass admin de l'UEFI…
bref j'aime ce genre de clés mais c'est de plus en plus dur de les utiliser "en mobilité" justement.
Tiens… question… en forenscis, les experts demandent les clés admin de l'uefi pour faire leurs investigations ?
Alors pour la partie "websocket passe facilement les proxy" encore faut-il que le proxy ne réinitialise pas les connections "régulièrement" et qu'il supporte autre chose comme method HTTP que GET et POST…
Moi j'utilise ninjabackup pour extraire mes bases dans un répertoire.
je l'utilise aussi pour me faire des sauvegardes des machines virtuelles et des configurations.
ensuite j'ai urbackup pour uploader ces fichiers sur mon nas à la maison.
Ton post m'a donné envie de tester cette application sur mon Android.
Alors:
- l'interface à l'air très bien faite
- les podcasts s'importent très bien via l'URL RSS
- sous Firefox lorsque je clique sur un lien podcast RSS il me propose l'importation directe dans l'application et ça fonctionne parfaitement.
- on télécharge les podcasts avec le WIFI et après plus besoin de connexion.
On a fait un script de sauvegarde "à la main" avec des DBA qualifiés de l'époque…
Et puis on a mis à jour les moteurs de BDD Oracle 8 puis 9 jusqu'à 11
et on a pas mis à jour le script de sauvegarde…
Qui ciblait les fichiers plutôt que le répertoire de DATA
Qui utilisait des "tar cvjf" au lieu des procédures d'ORACLE
Procédure qui "fonctionnaient mal" sur la version 7 mais parfaitement adapté depuis la 9…
Arf l'historique pas mis à jour car "touche pas malheureux, car simplement ça marche !!"
J'ai eu le cas en tant que Freelance dans une grande société Française qui vend pas mal de choses dans le domaine du Sport un incident de production.
une mise à jour qui foire une BDD (c'était une MAJ Oracle alors j'ai encore des doutes sur le faite que c'était peut etre une erreur humaine).
toujours est-il que la BDD de prod est HS… on remonte une sauvegarde qui est… HS !
et les précédente aussi (un script qui "oublie" certains fichiers..).
Bref on revient en arrière grâce à la copie de prod utilisée pour monter la préproduction (2 mois de perdu…).
Une simple question qui à fait saigner les admins… "pour mettre à jour les BDD de préproduction ou de staging vous utilisez pas les bakups de production, justement pour les tester ?"
Ben non car "c'est trop long !"
Du coup j'ai rendu cela obligatoire… et du coup le processus de sauvegarde est testé au moins une fois par mois (soit la staging soit la préproduction)
Le pire c'est qu'il existe la "réquisition" qui permet d'obtenir les outils pour ce genre de choses, les outils INTERNE à la SG.
ce qui aurait pu se passer dans ce cas:
Juge: SG, nous avons besoin d'être sur que tout les documents ont été fourni par conséquent nous allons devoir lire les emails, documents techniques, financiers, les transactions, ainsi que les bandes d'écoute de vos entretiens téléphonique et conférences.
Par conséquent j'entame une réquisition de vos données de productions ainsi que vos outils de travail informatiques.
Il va de soit qu'étant donné la réquisition, vos outils informatiques sont figés et vous ne pouvez plus les utilisés.
SG: Mais ! on a besoin de ces outils, vous allez nous faire perdre une somme folles ! on parle de nos outils de production la !
Juge: J'entends vos arguments, mais je ne peux juger des responsabilités que vous donnez à m. Kerviel sans ces données ni les outils pour les analyser, ceux ci sont détenu par vous !
SG: Est-ce que l'on ne pourrait pas trouver une solution ? par exemple vous fournir des extraits ?
Juge: extrait par vous ? non je ne peux juger de la pertinence.
Par conséquent, si vous avez la possibilité de fournir à la justice une plateforme d'analyse, ainsi que les données associés, et cela à vos frais, je consent à ne pas bloquer vos outils de production. Sinon j'estimerai que vous ne voulez pas que l'on découvre la vérité.
mais cela c'est dans les films, en vrai il y a l'argent, la politique, les lobbies… etc…
La NSA non mais les agences gouvernementale des pays "amis" de la NSA, voir les amis des amis… la je t'assure que SI.
mais la n'est pas le problème, pour moi la seule possibilité est le chiffrement coté client, afin que chaque client aie des clés différentes et donc des chiffrements différents.
Si une agence entre dans la course il lui faudra intercepter toutes les nouvelles clés, si ces clés peuvent être partagées par plusieurs réseaux ou nœuds différents, cela limite les possibilités d'attaque globale…
Mais je pense que ce que vont faire les agences c'est cibler des cibles justement, se limiter à des personnes bien précises ou juste utiliser les méta données, et donc les habitudes des utilisateurs plutôt que le contenu des messages…
tu publies ta clé publique sur l'annuaire et l'application va chercher cette clé sur le serveur de clé et non sur trytolisten(to).me
tu coups un "autre" canal est utilisé pour vérifier la clé (et le fingerprint).
de plus OpenPGP.js vérifie forcément le fingerprint de la clé lors du déchiffrement du message.
ton projet est une bonne initiative même si je pense que la création d'un nouveau canal de discussion (il y en a tellement) pose problème. À l'heure actuelle et à ma connaissance, seul TextSecure (https://whispersystems.org/) permet une discussion asynchrone, chffrée, avec garantie de PFS. WhatsApp a déclaré qu'ils s'en étaient inspirés, mais sérieusement, quel utilisateur de WhatsApp croit au respect de sa vie privée?
Effectivement je ne crois pas au respect de la vie privée de ces applications, c'est aussi cela qui me pousse à développer une autre alternative.
Je ne suis pas utilisateur de messagerie instantanée, car soit les garanties en termes de sécurité sont absentes, soit (comme pour XMPP), cela demande aux deux parties d'être connectées. Et cela est un souci. Je n'utilise pas non plus TextSecure car, pour l'instant, il repose encore sur le framework GCM de Google pour le Push de messages. En attendant l'implem à base de Websockets, je n'utilise rien d'autre
En fait je dis "chat" et "discussion" mais ce n'est pas réellement de l'instantané, si tu cliques sur un amis et que tu lui envoies des chats alors qu'il n'est pas connecté, il les recevra lorsqu'il cliquera à nouveau sur toi. par contre il seront supprimés dés qu'il les aura reçus.
Du coup pas la peine que les deux soient connectés en même temps.
Tu peux laisser des messages à ta douce sans qu'il me soit possible de les lire.
D'où ma question, connaissez vous des recherches ou des papiers parlant du problème de la distribution des clés publiques via un annuaire (comme une sorte de DNS de la crypto), de façon sécurisée? De sorte que si l'annuaire tombe entre les mains du vilain, les utilisateurs le voit. Et le tout, sans contrainte de connexion des deux parties simultanément (Diffie-Hellman).
C'est une bonne question, je n'ai pas d'exemple à te donner, par contre on peux aussi ajouter un facteur humain, un message qui doit être envoyé lors de l'envoie d'un nouvelle clé, et les amis prennent la décision du message et son contenu dans un lieu en dehors de ce canal, par exemple "lorsque je change de clés je te dis : tiens il poule aujourd'hui ? et tu dois me répondre "oui effectivement mais j'aime le chocolat" etc… ?
mais pour cela il va falloir éduquer les peuples, le but de cette application est justement de déployer des alternatives.
ton projet est une bonne initiative même si je pense que la création d'un nouveau canal de discussion (il y en a tellement) pose problème.
Oui je me suis aussi posé la question d'utiliser XMPP mais cela est beaucoup trop lourd à mettre en place pour tout un chacun. et pour l'adoption dans d'autres solutions.
La au moins, avec un navigateur, et un peu de temps, tout le monde peut l'utiliser.
Avec une API JSON/REST on peut interfacer des applications et d'autre sites web pour créer un chat chiffré sur d'autre devices.
Oui tu as raison, je ne veux pas non plus d'une plateforme propriétaire ni trop dur à faire évoluer ni d'ailleurs refermée sur elle même.
Si le fichier est en local, on peut imaginer qu'une faille de sécurité du navigateur serait insuffisant pour attraper le fichier en question à distance. Le principe est toujours d'avoir des couches de sécurité qui sont suffisantes et le plus indépendante possible.
Effectivement c'est une bonne idée, ajouter des couches de sécurité supplémentaire.
pourquoi pas d'ailleurs penser à un système ou la clé privée est elle même sécurisé par un schéma, ou un code pin, ou un fichier d'entropie oui…
J'ai aussi pensé que je pourrais permettre deux couple de clés, un pour discuter avec les amis, l'autre utiliser pour archiver les discussion sur le serveur.
D'ailleurs, vu que le seul moyen d'avoir une discussion en PGP sans man in the middle avec une personne connu, est de vérifier le finger print de la clef depuis un autre canal, tu devrais aussi voir pour utiliser une clef symétrique. Les 2 personnes se débrouillent pour se refiler la clef (un fichier image ?).
J'avais pensé à utiliser un couple de clés PGP échangé lors de la connexion entre les amis celui qui crée le canal de conversation, génère une clé publique/privée qui est envoyé via la clé publique de chaque utilisateur pour chiffré les échanges juste pendant cette conversation (ce qui ne retire pas le fait que si la clé est corrompu, l'envoie de la clé de discussion également) mais on peux penser à un échange de ce couple par un autre canal (mail chiffré ou autre) ce qui permet aussi de convier d'autres personnes à une "conférence" sans échanger avec celles-ci ses propres clés.
Attention avec ces gestions de clef complexes, c'est facile que l'utilisateur fasse n'importe quoi. Si la clef est compromise, signer avec l'ancienne clef, ne sert à rien.
Au départ je ne voulais même pas enregistrer les clés publiques des utilisateurs dans la base, je ne l'ai fait que pour "simplifier" l'utilisation de l'outil, mais il est vrai que pouvoir vérifier les clés par un autre canal serait beaucoup mieux, et devrait pouvoir être fait.
de plus ce qui devrait pouvoir être fait, c'est de signer sa clé publique "publique" (qui est stockée dans l'application) avec une clé privée qui n'est JAMAIS publiée (utiliser une fois à chaque renouvellement de clé et stocké dans un coffre derrière un pitbull, ou chez la belle mère).
Du coup lors du changement de clé on peut vérifier celle-ci avec la signature de la clé publique "de référence" dont la clé privée est bien cachée.
Nos amis devant vérifier que les clés publiques sont bien signées avec les clés "de confiances" (mais l'application peut s'en charger également).
Effectivement je n'en ai pas parlé mais j'ai pensé aussi à CryptoCat.
Et j'ai également pensé au forward secrecy.
En fait le but a terme est de TOUT chiffré concernant l'utilisateur.
C'est à dire :
* avoir la liste des amis connu avec le fingerprint des clés publiques.
* avoir pour chacun la dernière clé publique utilisée.
* la clé publique des amis connus ne devrait changée et n'être acceptée QUE si la nouvelle est chiffrée avec l'ancienne etc…
* signer et dater les messages envoyé avec sa clé privée.
tout cela chiffré avec sa clé privée et stocké au choix en local sur le navigateur ou à distance sur le serveur.
Pour le "secret" stocker dans le navigateur tu veux dire que ce fichier serait demandé en plus de la passphrase lors de l'ouverture de la session et ne SERAIT PAS stocké en local dans le localstorage ? car sinon on a la clé privée ET le secret au même endroit ce qui revient à n'avoir que la passphrase à trouvée non ?
Effectivement j'ai aussi commencé à faire un chat en WebRTC afin que le serveur ne serve "que" de relais le temps d'établir la connection ;) merci de souligner ce point j'aurai du en parler.
Dans un second temps il faudrait directement étendre cela à tout…
les fichiers à partager via des clés générées et partagées pour l'occasion.
Les pages web via un proxy PGP…
etc…
J'ai pas mal d'idées et de choses à mettre en place, merci pour les remarques constructives ;) ça me pousse à continuer.
Fun_Plug est la possibilité pour la plupart des NAS vendu sur le marché d'exécuter un script au démarrage du serveur avec les droit ROOT.
ce script est généralement appelé fun_plug et placé à la racine du disque dur.
de la a été créé ffp un ensemble de script qui ajoute uclibc ainsi que pas mal de librairies et petit programme, notamment telnet et ssh en premier lieu.
voir ici : ffp
Dans mon cas pour travailler avec de grands groupes qui suive une "liste blanche" d'entreprise pour choisir leurs partenaires.
Sans même regarder les CV en général…
Je suis obligé, moi freelance, de passer par d'autre entreprise qui prennent entre 15 et 20% de mon chiffre journalier… pour me prêter leurs noms…
bon par contre avec un peu de négociation tu peux profiter d'un paiement à échéances (au lieu d'attendre au mieux 45 jours) et de leurs assurances professionnel (ce qui n'est pas rien)
je te propose de passer par ce genre de cabinet (comme le plus connu dans le nord "espace freelance" ou alors d'autre comme "oceane consulting" ou même de "petit" comme "ntico")
Si en plus tu te présentes AVEC le contrat et le client ils ne vont pas dire non, et la grosse boite aura un nom "connu" avec qui signé.
cela s'appelle les apporteurs d'affaire, même si dans ton cas tu auras fait le boulot.
si tu veux des noms et/ou des contacts envoie moi un mail ;).
Je suis en train de penser à l’implémentation d'un export PDF.
on met des articles dans poche, on les exportent en pdf et on peux les lire partout et aussi les conserver, les mettre sur sa liseuse etc…
avec un format beaucoup plus joli à regarder.
le principe serait de faire un export des poches sélectionnées ou des poches "à lire" et pourquoi pas des favoris.
ainsi on a plusieurs mode de lecture hors ligne tout en restant KISS (Nicolas me dira ce qu'il en pense mais je serais pour ma part contre des applications spécifiques qui doivent être synchronisés, maintenu selon les plateformes et pas forcément à jour).
il est certes possible d'utiliser HTML5 et le "local storage" mais c'est une solution lourde à mettre en place et qui ne devrait pas être implémenté pour le moment (le menu administration n'est même pas encore mis en place…).
J'avais un souci avec la page "config" qui avait un content main trop grand (du coup une barre horizontale)
c'est pour ça que j'ai mis une taille à 98% et une marge à 1%
J'ai déjà mis à jour le "fork" que je viens de faire ;)
j'ai modifié un peu le style pour qu'il ne soit plus fixé à 600px et qu'il s'adapte à toute taille d'écran.
quand j'aurai fini je ferai un pull "request" et vous prendrez ce que vous voulez ;).
[^] # Re: Résultat surprenant !
Posté par Memiks (site web personnel) . En réponse au journal Ras le bol de ces moteurs de merde!. Évalué à 0.
Bonjour,
Je pense que comme tous les moteurs de recherche, il y a énormément de serveurs différent.
Et certains "foirent" du coup on a ce genre de résultat…
OU "pire" la mise à jour est en train de se faire et on aura bientôt Java tout le temps…
Un bug de version…
# Reboot de machine qui prennent en charge le démarrage USB ?
Posté par Memiks (site web personnel) . En réponse à la dépêche DoBuKe : une clef USB amorçable orientée données. Évalué à 4.
Hello,
je ne sais pas vous, mais j'ai rarement pu redémarrer un PC dans un cybercafé… je veux dire, on ne me l'autorise pas…
ensuite sur les PC des entreprises désormais il est impossible de rebooter sur une clé USB sans avoir le pass admin de l'UEFI…
bref j'aime ce genre de clés mais c'est de plus en plus dur de les utiliser "en mobilité" justement.
Tiens… question… en forenscis, les experts demandent les clés admin de l'uefi pour faire leurs investigations ?
[^] # Re: Pourquoi ?
Posté par Memiks (site web personnel) . En réponse au journal Tiens ? Voilà Nextcloud Talk !. Évalué à 3.
Alors pour la partie "websocket passe facilement les proxy" encore faut-il que le proxy ne réinitialise pas les connections "régulièrement" et qu'il supporte autre chose comme method HTTP que GET et POST…
en entreprise c'est pas encore le plus courant…
# MERCI !!
Posté par Memiks (site web personnel) . En réponse à la dépêche Grammalecte, correcteur grammatical [2]. Évalué à 6.
Vraiment merci, je ne connaissais pas l’extension Firefox et je viens de l’installer elle est vraiment magnifique !
Je n’ai pas encore eu le temps de lire l’article mais la partie « comment ça fonctionne » semble à lire.
Merci encore pour ce très bon programme fait par des passionnés j’en suis sur.
[^] # Re: HTTP remplacent ?
Posté par Memiks (site web personnel) . En réponse au journal Debian va débrancher ses dépôts FTP. Évalué à 7.
Du coup raison de plus de pousser apt-p2p du moment que le protocole de récupération / vérification des clés GPG est sur lui.
[^] # Re: Et les autres sources de données
Posté par Memiks (site web personnel) . En réponse à la dépêche Urbackup un logiciel de sauvegarde moderne. Évalué à 3.
Moi j'utilise ninjabackup pour extraire mes bases dans un répertoire.
je l'utilise aussi pour me faire des sauvegardes des machines virtuelles et des configurations.
ensuite j'ai urbackup pour uploader ces fichiers sur mon nas à la maison.
[^] # Re: Quant à moi
Posté par Memiks (site web personnel) . En réponse au journal Et pour écouter vos podcast vous utilisez quoi ?. Évalué à 2.
Oui j'avoue je n'ai pas assez de mémoire pour gérer les 23 flux et 4400 émissions que je viens d'ajouter à AntennaPod…
mais je suis petit joueur je pense ;)
[^] # Re: Antennapod
Posté par Memiks (site web personnel) . En réponse au journal Et pour écouter vos podcast vous utilisez quoi ?. Évalué à 4.
Ton post m'a donné envie de tester cette application sur mon Android.
Alors:
- l'interface à l'air très bien faite
- les podcasts s'importent très bien via l'URL RSS
- sous Firefox lorsque je clique sur un lien podcast RSS il me propose l'importation directe dans l'application et ça fonctionne parfaitement.
- on télécharge les podcasts avec le WIFI et après plus besoin de connexion.
Merci pour le partage.
[^] # Re: De la nécessité d'inclure les sauvegardes dans un processus plus grand
Posté par Memiks (site web personnel) . En réponse au journal De l'importance (des tests réguliers) des sauvegardes. Évalué à 3.
En fait pas si gros que ça…
On a fait un script de sauvegarde "à la main" avec des DBA qualifiés de l'époque…
Et puis on a mis à jour les moteurs de BDD Oracle 8 puis 9 jusqu'à 11
et on a pas mis à jour le script de sauvegarde…
Qui ciblait les fichiers plutôt que le répertoire de DATA
Qui utilisait des "tar cvjf" au lieu des procédures d'ORACLE
Procédure qui "fonctionnaient mal" sur la version 7 mais parfaitement adapté depuis la 9…
Arf l'historique pas mis à jour car "touche pas malheureux, car simplement ça marche !!"
# De la nécessité d'inclure les sauvegardes dans un processus plus grand
Posté par Memiks (site web personnel) . En réponse au journal De l'importance (des tests réguliers) des sauvegardes. Évalué à 7.
Mes deux cents…
J'ai eu le cas en tant que Freelance dans une grande société Française qui vend pas mal de choses dans le domaine du Sport un incident de production.
une mise à jour qui foire une BDD (c'était une MAJ Oracle alors j'ai encore des doutes sur le faite que c'était peut etre une erreur humaine).
toujours est-il que la BDD de prod est HS… on remonte une sauvegarde qui est… HS !
et les précédente aussi (un script qui "oublie" certains fichiers..).
Bref on revient en arrière grâce à la copie de prod utilisée pour monter la préproduction (2 mois de perdu…).
Une simple question qui à fait saigner les admins… "pour mettre à jour les BDD de préproduction ou de staging vous utilisez pas les bakups de production, justement pour les tester ?"
Ben non car "c'est trop long !"
Du coup j'ai rendu cela obligatoire… et du coup le processus de sauvegarde est testé au moins une fois par mois (soit la staging soit la préproduction)
Mes deux cents "fin"
# Et si on t'aidait pas à pas ?
Posté par Memiks (site web personnel) . En réponse au journal Git : les bases et guide d'utilisation en mode centralisé (à la SVN). Évalué à 3.
Je te conseille de passer la durée d'un épisode de série à faire les tutos de ce site :
http://learngitbranching.js.org/
il est vraiment bien, il te permet de simuler GIT ET de t'expliquer les concepts.
avec cela tu pourras oublier ton script je pense.
[^] # Re: ouais
Posté par Memiks (site web personnel) . En réponse au journal de l'utilité des formats ouverts. Évalué à 10.
Le pire c'est qu'il existe la "réquisition" qui permet d'obtenir les outils pour ce genre de choses, les outils INTERNE à la SG.
ce qui aurait pu se passer dans ce cas:
Juge: SG, nous avons besoin d'être sur que tout les documents ont été fourni par conséquent nous allons devoir lire les emails, documents techniques, financiers, les transactions, ainsi que les bandes d'écoute de vos entretiens téléphonique et conférences.
Par conséquent j'entame une réquisition de vos données de productions ainsi que vos outils de travail informatiques.
Il va de soit qu'étant donné la réquisition, vos outils informatiques sont figés et vous ne pouvez plus les utilisés.
SG: Mais ! on a besoin de ces outils, vous allez nous faire perdre une somme folles ! on parle de nos outils de production la !
Juge: J'entends vos arguments, mais je ne peux juger des responsabilités que vous donnez à m. Kerviel sans ces données ni les outils pour les analyser, ceux ci sont détenu par vous !
SG: Est-ce que l'on ne pourrait pas trouver une solution ? par exemple vous fournir des extraits ?
Juge: extrait par vous ? non je ne peux juger de la pertinence.
Par conséquent, si vous avez la possibilité de fournir à la justice une plateforme d'analyse, ainsi que les données associés, et cela à vos frais, je consent à ne pas bloquer vos outils de production. Sinon j'estimerai que vous ne voulez pas que l'on découvre la vérité.
mais cela c'est dans les films, en vrai il y a l'argent, la politique, les lobbies… etc…
bref, kerviel est coupable.
[^] # Re: rsync.net
Posté par Memiks (site web personnel) . En réponse au journal Les produits de Silent Circle sont-ils compromis ?. Évalué à 2.
La NSA non mais les agences gouvernementale des pays "amis" de la NSA, voir les amis des amis… la je t'assure que SI.
mais la n'est pas le problème, pour moi la seule possibilité est le chiffrement coté client, afin que chaque client aie des clés différentes et donc des chiffrements différents.
Si une agence entre dans la course il lui faudra intercepter toutes les nouvelles clés, si ces clés peuvent être partagées par plusieurs réseaux ou nœuds différents, cela limite les possibilités d'attaque globale…
Mais je pense que ce que vont faire les agences c'est cibler des cibles justement, se limiter à des personnes bien précises ou juste utiliser les méta données, et donc les habitudes des utilisateurs plutôt que le contenu des messages…
bref compromis ou pas… le canary siffle…
[^] # Re: Annuaire clés publiques
Posté par Memiks (site web personnel) . En réponse au journal Try To Listen Me, nouveau site Open Source de communication chiffrée. Évalué à 2.
Un annuaire de clés comme celui la : https://keyserver.pgp.com/vkd/GetWelcomeScreen.event
tu publies ta clé publique sur l'annuaire et l'application va chercher cette clé sur le serveur de clé et non sur trytolisten(to).me
tu coups un "autre" canal est utilisé pour vérifier la clé (et le fingerprint).
de plus OpenPGP.js vérifie forcément le fingerprint de la clé lors du déchiffrement du message.
[^] # Re: Webapp
Posté par Memiks (site web personnel) . En réponse au journal Try To Listen Me, nouveau site Open Source de communication chiffrée. Évalué à 1.
Oui la webapp est à faire et partager le package et le code sur le github pour ceux qui veulent la vérifier ;)
pour le nom :/ désolé je vais changer cela… pourquoi ? un moment d'égarement je suppose.
[^] # Re: Annuaire clés publiques
Posté par Memiks (site web personnel) . En réponse au journal Try To Listen Me, nouveau site Open Source de communication chiffrée. Évalué à 2.
Effectivement je ne crois pas au respect de la vie privée de ces applications, c'est aussi cela qui me pousse à développer une autre alternative.
En fait je dis "chat" et "discussion" mais ce n'est pas réellement de l'instantané, si tu cliques sur un amis et que tu lui envoies des chats alors qu'il n'est pas connecté, il les recevra lorsqu'il cliquera à nouveau sur toi. par contre il seront supprimés dés qu'il les aura reçus.
Du coup pas la peine que les deux soient connectés en même temps.
Tu peux laisser des messages à ta douce sans qu'il me soit possible de les lire.
C'est une bonne question, je n'ai pas d'exemple à te donner, par contre on peux aussi ajouter un facteur humain, un message qui doit être envoyé lors de l'envoie d'un nouvelle clé, et les amis prennent la décision du message et son contenu dans un lieu en dehors de ce canal, par exemple "lorsque je change de clés je te dis : tiens il poule aujourd'hui ? et tu dois me répondre "oui effectivement mais j'aime le chocolat" etc… ?
mais pour cela il va falloir éduquer les peuples, le but de cette application est justement de déployer des alternatives.
Oui je me suis aussi posé la question d'utiliser XMPP mais cela est beaucoup trop lourd à mettre en place pour tout un chacun. et pour l'adoption dans d'autres solutions.
La au moins, avec un navigateur, et un peu de temps, tout le monde peut l'utiliser.
Avec une API JSON/REST on peut interfacer des applications et d'autre sites web pour créer un chat chiffré sur d'autre devices.
Oui tu as raison, je ne veux pas non plus d'une plateforme propriétaire ni trop dur à faire évoluer ni d'ailleurs refermée sur elle même.
[^] # Re: cryptocat ?
Posté par Memiks (site web personnel) . En réponse au journal Try To Listen Me, nouveau site Open Source de communication chiffrée. Évalué à 2.
Effectivement c'est une bonne idée, ajouter des couches de sécurité supplémentaire.
pourquoi pas d'ailleurs penser à un système ou la clé privée est elle même sécurisé par un schéma, ou un code pin, ou un fichier d'entropie oui…
J'ai aussi pensé que je pourrais permettre deux couple de clés, un pour discuter avec les amis, l'autre utiliser pour archiver les discussion sur le serveur.
J'avais pensé à utiliser un couple de clés PGP échangé lors de la connexion entre les amis celui qui crée le canal de conversation, génère une clé publique/privée qui est envoyé via la clé publique de chaque utilisateur pour chiffré les échanges juste pendant cette conversation (ce qui ne retire pas le fait que si la clé est corrompu, l'envoie de la clé de discussion également) mais on peux penser à un échange de ce couple par un autre canal (mail chiffré ou autre) ce qui permet aussi de convier d'autres personnes à une "conférence" sans échanger avec celles-ci ses propres clés.
Au départ je ne voulais même pas enregistrer les clés publiques des utilisateurs dans la base, je ne l'ai fait que pour "simplifier" l'utilisation de l'outil, mais il est vrai que pouvoir vérifier les clés par un autre canal serait beaucoup mieux, et devrait pouvoir être fait.
de plus ce qui devrait pouvoir être fait, c'est de signer sa clé publique "publique" (qui est stockée dans l'application) avec une clé privée qui n'est JAMAIS publiée (utiliser une fois à chaque renouvellement de clé et stocké dans un coffre derrière un pitbull, ou chez la belle mère).
Du coup lors du changement de clé on peut vérifier celle-ci avec la signature de la clé publique "de référence" dont la clé privée est bien cachée.
Nos amis devant vérifier que les clés publiques sont bien signées avec les clés "de confiances" (mais l'application peut s'en charger également).
encore des idées à mettre en place.
[^] # Re: Titre
Posté par Memiks (site web personnel) . En réponse au journal Try To Listen Me, nouveau site Open Source de communication chiffrée. Évalué à 1.
Effectivement, j'ai essayé de faire simple et court mais je m'y suis mal pris…
tant pis ce sera un "coquille" du coup…
faudra que je corrige le nom.
[^] # Re: cryptocat ?
Posté par Memiks (site web personnel) . En réponse au journal Try To Listen Me, nouveau site Open Source de communication chiffrée. Évalué à 3.
Effectivement je n'en ai pas parlé mais j'ai pensé aussi à CryptoCat.
Et j'ai également pensé au forward secrecy.
En fait le but a terme est de TOUT chiffré concernant l'utilisateur.
C'est à dire :
* avoir la liste des amis connu avec le fingerprint des clés publiques.
* avoir pour chacun la dernière clé publique utilisée.
* la clé publique des amis connus ne devrait changée et n'être acceptée QUE si la nouvelle est chiffrée avec l'ancienne etc…
* signer et dater les messages envoyé avec sa clé privée.
tout cela chiffré avec sa clé privée et stocké au choix en local sur le navigateur ou à distance sur le serveur.
Pour le "secret" stocker dans le navigateur tu veux dire que ce fichier serait demandé en plus de la passphrase lors de l'ouverture de la session et ne SERAIT PAS stocké en local dans le localstorage ? car sinon on a la clé privée ET le secret au même endroit ce qui revient à n'avoir que la passphrase à trouvée non ?
Effectivement j'ai aussi commencé à faire un chat en WebRTC afin que le serveur ne serve "que" de relais le temps d'établir la connection ;) merci de souligner ce point j'aurai du en parler.
Dans un second temps il faudrait directement étendre cela à tout…
les fichiers à partager via des clés générées et partagées pour l'occasion.
Les pages web via un proxy PGP…
etc…
J'ai pas mal d'idées et de choses à mettre en place, merci pour les remarques constructives ;) ça me pousse à continuer.
[^] # Re:Déjàun paquet pour FUN PLUG
Posté par Memiks (site web personnel) . En réponse à la dépêche Sortie de Gzip 1.6. Évalué à 4.
Oui effectivement…
Fun_Plug est la possibilité pour la plupart des NAS vendu sur le marché d'exécuter un script au démarrage du serveur avec les droit ROOT.
ce script est généralement appelé fun_plug et placé à la racine du disque dur.
de la a été créé ffp un ensemble de script qui ajoute uclibc ainsi que pas mal de librairies et petit programme, notamment telnet et ssh en premier lieu.
voir ici : ffp
je maintient un dépot avec les logiciels que j'utilise.
http://ffp.memiks.fr/pkg (pour les noyaux récent en EABI)
http://ffp.memiks.fr/pkg/oarm/ (pour les noyaux OABI)
Fred.
# Déjà un paquet pour FUN PLUG
Posté par Memiks (site web personnel) . En réponse à la dépêche Sortie de Gzip 1.6. Évalué à 2.
Hello,
Pour ceux qui ont un NAS et qui ont installé Fun Plug dessus (voir fun_plug)
J'ai déjà compilé un petit paquet pour slacker (ffp 0.7 EABI) : gzip-1.6-arm-1.txz
Pour ceux qui veulent tester ;)
Fréd.
[^] # Re: prestation impossible?
Posté par Memiks (site web personnel) . En réponse au journal L'open source va me tuer .... Évalué à 4.
Dans mon cas pour travailler avec de grands groupes qui suive une "liste blanche" d'entreprise pour choisir leurs partenaires.
Sans même regarder les CV en général…
Je suis obligé, moi freelance, de passer par d'autre entreprise qui prennent entre 15 et 20% de mon chiffre journalier… pour me prêter leurs noms…
bon par contre avec un peu de négociation tu peux profiter d'un paiement à échéances (au lieu d'attendre au mieux 45 jours) et de leurs assurances professionnel (ce qui n'est pas rien)
je te propose de passer par ce genre de cabinet (comme le plus connu dans le nord "espace freelance" ou alors d'autre comme "oceane consulting" ou même de "petit" comme "ntico")
Si en plus tu te présentes AVEC le contrat et le client ils ne vont pas dire non, et la grosse boite aura un nom "connu" avec qui signé.
cela s'appelle les apporteurs d'affaire, même si dans ton cas tu auras fait le boulot.
si tu veux des noms et/ou des contacts envoie moi un mail ;).
Fréd.
[^] # Re: Poche vs Sync
Posté par Memiks (site web personnel) . En réponse à la dépêche Alternatives : Pinry et Poche. Évalué à 0.
Je suis en train de penser à l’implémentation d'un export PDF.
on met des articles dans poche, on les exportent en pdf et on peux les lire partout et aussi les conserver, les mettre sur sa liseuse etc…
avec un format beaucoup plus joli à regarder.
le principe serait de faire un export des poches sélectionnées ou des poches "à lire" et pourquoi pas des favoris.
ainsi on a plusieurs mode de lecture hors ligne tout en restant KISS (Nicolas me dira ce qu'il en pense mais je serais pour ma part contre des applications spécifiques qui doivent être synchronisés, maintenu selon les plateformes et pas forcément à jour).
il est certes possible d'utiliser HTML5 et le "local storage" mais c'est une solution lourde à mettre en place et qui ne devrait pas être implémenté pour le moment (le menu administration n'est même pas encore mis en place…).
enfin c'est ce que je pense…
Fréd
[^] # Re: Read-It-Yourself
Posté par Memiks (site web personnel) . En réponse à la dépêche Alternatives : Pinry et Poche. Évalué à 1.
J'avais un souci avec la page "config" qui avait un content main trop grand (du coup une barre horizontale)
c'est pour ça que j'ai mis une taille à 98% et une marge à 1%
Fréd.
[^] # Re: Read-It-Yourself
Posté par Memiks (site web personnel) . En réponse à la dépêche Alternatives : Pinry et Poche. Évalué à 1.
J'ai déjà mis à jour le "fork" que je viens de faire ;)
j'ai modifié un peu le style pour qu'il ne soit plus fixé à 600px et qu'il s'adapte à toute taille d'écran.
quand j'aurai fini je ferai un pull "request" et vous prendrez ce que vous voulez ;).
Fréd.