Le problème (entre autres) de la certification c'est que le
processus n'est pas public.
tu parles de quel certification ?
Des trucs comme FIPS sont publics, c'est globalement juste une liste de chose à mettre ou ne pas mettre. Une certification E4L+ est aussi public, tu connais les critères et tu peux techniquement faire la vérification toi même.
Le souci, c'est que les gens savent pas exactement ce que la certif veut dire. Un appareil certifié NF ne va pas forcément être de qualité et durer 10 ans. mais on sait qu'il va marcher sur les prises francaises. Un logiciel certifié FIPS-140-2 va pas forcément avoir du code sans bug ( loin de la ), mais tu sais qu'il implémente une liste précise d'algo et qu'il retire d'autres, etc. Bien sur comme les certifications sont des documents longs et chiants, personne ou presque ne les lit, et les gens comprennent pas ( ce qui implique aussi le responsable marketing moyen et le décideur moyen, voir le codeur moyen qui est à 100 lieux d'avoir le recul pour voir ce que ça recouvre et le but ).
Je te cite :
"c'est de recommander des produits que l'on sait être pourvus de porte(s) dérobée(s) (obligation légale pour les société américaines). "
FISA et Patriot Act, c'est kif kif, le second "patchant" la première. Et ça concerne les communications et les données, ce qui est différent des logiciels vendus ( je dit vendu, pas loué, au contraire du modèle SaaS dans le cloud computing ).
L'obligation de donner accès aux données ( chose qu'on retrouve dans beaucoup de législation je pense ) ne veut pas dire "obligation de mettre une porte dérobé". Et Calea concerne les entreprises du domaine des télécoms, ce qui est différent des "entreprises américaines", qui sous entends quand même "toute les entreprises américaines". Et je pense que Calea implique pas forcement une backdoor logiciel, mais plus que la FBI soit capable de demander à faire une écoute sur ton installation, ou le fait d'avoir la possibilité de le faire. Dans le cas d'un routeur cisco, ça serait sans doute équivalent à la fonction de port mirroring, qui sert aussi pour le debug. Si faire une écoute, ça se fait en mettant un compte pour eux, pareil, ça satisfait la loi. On est bien loin de "mettre des backdoors".
Visiblement, au vue des liens qui pointent sur des articles pas forcément utiles ( car bon, le wikipedia fr donne juste "Calea est un genre végétal de la famille des Asteracées" ), je voit que c'est pas la précision et le souci du détail qui t'étouffe.
Quand à déduire à partir du nom d'une variable la présence d'une backdoor, ça me semble des plus faible. Surtout si c'est pour dire "elle existe encore, mais on ne voit plus rien", ie que rien ne prouve quoi que ce soit, mais qu'il faut faire acte de foi dans ce qu'un inconnu dit sans avoir le moindre fait.
Tu crois que distribuer le code source va empecher l'insertion
d'une backdoor ?
Si tu veux faire une backdoor, tu as 2 choix. Soit tu fait un truc générique pour tout le monde, et je pense que oui, certains clients vont voir que le code fait pas la même chose que le binaire. Soit tu fait un rpm pour un client spécifique et tu lui donnes, mais du coup, ça implique de mettre vachement plus de gens au courant ( genre l'équipe QA qui va devoir tester la backdoor, l'équipe support qui va devoir savoir quoi répondre, les gens qui gèrent les miroirs, etc ). Et ils sont pas tous aux USA, loin de la pour des questions évidentes de support 24/7.
Donc le risque est de mettre au courant plein de gens qui sont pas forcément sous ta juridiction ( voir potentiellement des agents ennemis ). Autant dire qu'aucune agence de renseignement ne va prendre ce risque, et on le voit via l'unité qui rajoute les firmwares customs dans les routeurs.
Et il reste donc le fait de demander de rajouter une backdoor générique pour tous. Et la, c'est pareil. Si la NSA demande un patch difficile à justifier à ajouter par une ou deux personnes, ça change rien au fait que tout le monde peut voir, à commencer par les concurrents qui se feront un plaisir de leaker la chose pour pourrir la boite. Ce qui implique donc de griller un agent et/ou une personne, ce qu'ils veulent visiblement éviter.
On noteras aussi que pour le moment, la majorité des méthodes sont soit via les moyens légaux ( ie, des écoutes légales ), soit via du parasitisme ( ie, l'ajout de sonde au niveau réseau ). Il n'y a que des suppositions non fondés sur la présence d'agent dormant, pas le moindre document publié que je sache.
Justement si. Tous les fournisseurs de services sont dans le
même panier, tous les fournisseurs d'OS sont dans le même
panier aussi
Je ne doute pas que ça arrangerais bien Microsoft, surtout vu la nouvelle direction visant à se positionner autrement, et je veux bien laisser le bénéfice du doute à Microsoft. Mais tu peux dire ce que tu veux, le fait de publier le code pour tous change radicalement les choses et complexifie grandement la tache de rajouter une backdoor.
Tout comme le fait d'avoir des signatures sur les rpms pour vérifier la provenance ( car par exemple, je ne pense pas qu'une installation Windows soit vérifiable vis à vis d'une base signé des hashs des fichiers pour voir que personne n'a modifié l'OS avant de le donner ).
je demande à voir, parce que je pense que ta compréhension des textes est fausse, et semble oublier pas mal de choses, genre les conditions d'applications. Donc plutôt qu'une affirmation non fondé, donne un lien vers un texte juridique.
Red hat ne fait quasiment pas d’hébergement et pas envers des particuliers ( ie, openshift online se destine plus pour les entreprises et les startups, et comme c'est sur amazon, je pense qu'ils peuvent directement se passer de demander à RH et directement aller chez Amazon ).
Quand à rajouter une backdoor, ça serait relativement pas discret, vu que Red Hat distribue le code source ( sauf à violer la GPL ) des logiciels. Il serait aussi plus efficace d'aller directement upstream.
Et bon, on noteras aussi que Red hat ( ni même les autres fournisseurs de systéme d'exploitation libre, à l'exception de Google ) n'apparaissent dans une liste publié par Edward Snowden.
Donc mon hypothése est que la NSA s'est surtout focalisé sur les actions directs et ciblés sur les données via les fournisseurs SaaS que sur les logiciels, ne serais que parce que c'est moins couteux, bien plus facile à justifier et moins risqué.
Donc c'est bien tenté de mettre tout le monde dans le même panier, mais c'est pas le cas.
C'est globalement ce qui se passe quand tu payes une boite pour bosser sur un logiciel libre qu'elle produit au lieu de passer par les versions communautaires du truc. Genre, quand tu payes puppetlabs au lieu de prendre le puppet depuis les sources et de refaire le taf toi même.
Sauf que l'état, comme la majorité des clients, préfèrent payer des millions d'euros à des boites qui vendent cher leur truc et de mégoter sur les boites plus petites.
Moi, j'ai entendu dire que l'équipe cloud de Bull s'est fait débauché par Mirantis ( qui a d'ailleurs aussi forké les meetups en créant un contre groupe sur paris pour faire d'autres rencontres, mais juste pour eux ).
Sinon, tu peux aussi regarder du coté d'openshift ( https://www.openshift.com/products/pricing ). Je sais pas vraiment si c'est moins cher pour ton use case, mais je pense que pour ton site perso, un prix de 0$ me parait pas mal ( sans le ssl, ça fait du 30$ avec ).
En rajoutant du code ( grosso modo ~ 10 lignes de selinux, plus sans doute une 10 à 20aine de lignes pour ta configuration, ou plus ), tu peux faire une transition d'un type selinux qui a l'accès au réseau à un type qui le supporte pas.
Alors même si ça ne fait pas exactement la même chose, et que je pense que mettre seccomp dans un programme permet de rajouter un filtre après traitement divers et variés, il est possible d'utiliser systemd pour avoir une partie des avantages de seccomp sans rajouter de code.
Grosso modo, pour les projets modernes, tu as 3 cas d'usages. Un usage. Le mode "block" ( ie, tu exportes un bloc ), le mode filesystem ( ie, tu export directement un file system ) et le mode objet ( ie, tu exportes des objets, un peu comme swift et s3 ).
Gluster est surtout fort dans filesystem, ce qu'il fait nativement, et on a rajouté les 2 autres modes par dessus.
Ceph au contraire est à la base un système d'objet distribué sur lequel on rajoute le mode filesystem et block.
Donc chacun a ses faiblesses et ses forces. Ceph a une architecture plus complexe que Gluster, ce qui lui permet d'être entièrement distribué. Par contre, gluster a un système de layer, ce qui permet d'être plus souple ( à mon sens ) d'un point de vue de ce que tu peux rajouter.
Mais je connait surtout gluster et pas trop Ceph, donc je dit peut être de la merde.
Doc l'idée, c'est d'avoir 2 systèmes, pour adresser 2 cas d'usages différents, avec des fondements différents d'un point de vue technique.
Et pour être franc, j'aurais été déçu que personne ne pointe la chose. Il y a plein de trucs à redire sur les suppositions de ce poste de blog, et c'est pour ça que je pensais qu'il était parfait pour une discussion durant un vendredi, comme par exemple, la perception "business" et le fait que les communautés sont oubliés.
Mais bon, ça ne prends pas, personne ne discute, tant pis :)
Je n’aime pas trop miser sur des outils spécifiques : je peux
être amené à changer de distribution
alors utilise l'outil spécifique pour lancer un truc comme ansible
et par ailleurs, on n’est jamais sûr qu’ils ne disparaissent pas
brusquement
au contraire d'un outil non spécifique ? les choses partent pas "brutalement", c'est plus les gens qui découvrent brutalement qu'il fallait suivre les changements. Je dit pas que c'est simple ceci dit, vu comme le monde du libre bouge. Mais par exemple, puppet, non spécifique, a des soucis de versions en fonction du client puppet, qui lui même depend de la version de ruby et des gems. De même, ils ont retiré les manifests en ruby dans la version 3.0, et y a des gens qui s'en servaient.
Cela a été remplacé par gnome-initial-setup ( https://fedoraproject.org/wiki/Features/NewFirstboot ), qui en effet ne propose pas un réglage aussi fin que tu voudrais de ldap, ceci étant reservé à la commande authconfig
Mais RH dit que c'est pas supporté pour RHEL. Et pour Fedora, la communauté se bat depuis des années pour savoir si ça marche ou pas, et comment ( ie, preupgrade/fedup vs yum ). Y a pas moyen de tester de façon exhaustive, mais les gens le font et corrige à la main et disent de le faire. Et parfois, garder une vielle configuration montre des comportements inattendus dans les softs.
Ça marche avec Debian, mais c'est pas non plus "j'ai rien à faire" comme on m'a vendu ça y a plusieurs années ( et dieu merci, sinon j'aurais pas eu de boulot à corriger ça ).
RedHat, que tu sembles tant aimer, supporte encore un kernel
2.6.18 en 2014. Je ne crois pas que ce soit encore upstream.
Donc cela ne semble pas infaisable.
Je pense aussi que c'est faisable, mais je pense aussi que Canonical n'a pas les moyens qu'a Red Hat en terme de dev à temps plein, donc je peux dans une certaine mesure comprendre les doutes des gens.
Tout le monde demande du MySQL, de plus :
- Tu peux installer MariaDB à partir des repo
- Très peu de distributions utilisent MariaDB par défaut, donc
il ne faut pas pointer du doigt Ubuntu comme si c'était une
exception.
Je pense que la raison, c'est plus le coté totalement faux jeton de Mark Shuttleworth vis à vis d'Oracle. Tout comme Mark a fait un volte face sur le bug #1, il fait de la com pour faire plaisir à Oracle, car les devs Oracles sont venus tout d'un coup faire du taf avec les distros le jour ou les gens ont dit "tiens, et si on prenait Mariadb à la place, car Oracle ferme trop Mysql". Et pour moi, c'est clairement parce que RHEL part sur du Mariadb par défaut dans la 7 que Canonical tente de se distinguer car sinon, ça part pour être libreoffice vs openoffice à nouveau.
Pour le reste, c'est pas parce qu'ils n'ont aucune compéténce en
lutherie que le violoniste ou le simple mélomane ne sont pas
habilités à juger de la qualité d'un instrument (les luthiers ne
fabriquent pas les violons pour d'autres luthiers).
Ils ne jugent pas l'instrument, mais le son qu'on arrive à en tirer, et autant la prestation de la personne que l'instrument.
Ici, on a clairement des gens qui vont pas voir les résultats. Et je doute aussi que de nombreux mélomanes viennent sortir des arguments comme "mais ce violon contredit les principes de Stradivari" ( à prendre pour l'argument des principes Unix ) ou "mais non, regarde, c'est aussi facile de jouer avec les cordes mises comme ça, mais ça joue pas toute les notes, mais je m'en fout, j'ai pas besoin du Do mineur, et j'ai jamais eu le cas ou je devais me servir de plus d'une corde à la fois" ( à prendre pour les nombreux exemples de scripts d'init du thread ).
Je pense qu'il y a une incompréhension. Le premier message, il dit "on va permettre de le compiler pour un usage ou systemd n'est pas lancer".
"After udev is merged into the systemd tree you can still build it for usage outside of systemd systems, and we will support these builds officially."
Jamais il ne dit ou promer comment il faut le compiler, il parle juste d'usage après build.
Le second message dit la même chose, d'une autre façon. Je comprends que ça soit pas ce que tout le monde veuille et un peu plus de clarté aurait sans doute grandement éviter les incompréhensions, mais en relisant bien, c'était marqué noir sur blanc.
Le but ici était de montrer que l'on peut faire des scripts
bash aussi court que systemd.
Parfait, et mon but est de montrer que faire des scripts bash, ça donne en général des scripts incorrects dans des cas d'usages qui sont pas totalement farfelus.
Docker ne faisant pas parti de slackware (ni de debian) donc
ça ne me choque pas plus que ça.
Les outils lxc vont avoir les mêmes soucis, et ils sont disponibles sur Slackware de ce qu'on me dit. Docker fait parti de Debian, cf https://packages.debian.org/fr/sid/docker.io .
Mais y a pas que docker/lxc/vserver/openvz/etc, y a aussi les bons vieux chroots. Même si c'est mal de part l'isolation inexistante entre le chroot et dehors, le souci est le même, et des gens qui ont des systèmes dans des chroots, y en a.
Critiquer des options (restart/stop…) que ne fait pas systemd
c'est plutôt marrant quand même. Par curiosité, tu fais
comment l'équivalent sous systemd ?
L'équivalent de quoi, de stop, start ? C'est déjà de base. Y a stop, start, reload, restart, try-restart, reload-or-restart, reload-or-try-restart. Et c'est fait sans avoir à copier coller que restart, c'est stop + start X fois, etc.
Bémol quand même, il ne faut pas oublier l'épisode udev. Le fait
d'intégrer (en revenant sur sa parole) pareille pièce à systemd
ça s'appelle quand même forcer la main.
Qui est revenu sur sa parole ?
Que je sache, le mainteneur du code d'udev l'a fait de manière consciente et volontaire upstream.
Et bon, faut pas oublier que personne ne force la mise à jour d'un soft, que udev a été forké par des devs Gentoo ( fork que pas grand monde semble utiliser à vue de nez ), donc le mainteneur downstream avait largement les moyens d'éviter qu'on force quoi que ce soit. Donc ta vision me semble ne pas coller avec la réalité documenté.
Car c'est bien connu, dès que tu installes un BSD, en sus des
orgasmes portés à 180 minutes tu deviens développeur système.
Au vue du nombre de gens qui s'estiment compétent en design de système unix qui postent régulièrement sur les news et journaux en rapport avec systemd, oui. Ou alors, c'est la premise "compétent en design de système" qui est fausse, car "avoir le temps pour contribuer" est déjà réglé. Si tu as le temps de poster sur linuxfr, tu as le temps de coder.
Ce script la à un bug en plus. Si tu utilises docker, alors les processus dans le container sont visibles de l'extérieur.
Exemple:
$ docker run -i -t ubuntu /bin/bash
# vi
et sur un autre terminal:
$ ps fax | grep -A 2 /bin/docker
13583 ? Ssl 0:00 /usr/bin/docker -d
14007 pts/3 Ss 0:00 \_ /bin/bash
14054 pts/3 S+ 0:00 \_ vi
Donc "killall vi" en root lancé en dehors du docker va tuer le processus vi dans le container docker ( ie, du lxc tout con ).
Si tu remplaces vi par httpd, tu as un bug, sauf à vouloir que ton script httpd externe tue le processus qu'il lance et celui lancé ailleurs.
Et je passe sur le fait que httpd peut aussi lancer des processus qui s'appelle pas "httpd", au hasard, tout les processus wsgi lancé par mod_wsgi, et qu'ils vont totalement être oublié en cas de problème par le "killall httpd". IE, le nettoyage est incomplet.
Ensuite, dans l'action restart, le signal envoyé par le script est SIGTERM. Ce qui veut dire qu'un processus peut l'ignorer et/ou ne pas le traiter à temps, et donc que apache peut continuer de tourner, ce qui fait que le démarrage va échouer. Bien sur, jamais apache n'est surchargé et jamais il ne va mettre trop longtemps à mourir. Et jamais personne ne va injecter du code dans un processus apache via un interpréteur embarqué php. Car bon, tout le monde a retiré mod_php, qui tourne dans le même espace mémoire qu'apache par design, non ?
(et je parle pas d'attaque sr le code de php, je parle d'une personne qui va utiliser pcntl_signal en php dans une page pour dire à apache d'ignorer SIGTERM ou ce genre de trucs crades. J'ai pas testé, mais je serais pas étonné que ça marche).
Mais bon, j'imagine que "utiliser des containeurs" et "avoir des processus apache qui partent modérément en sucette" arrive pas si souvent, c'est juste la faute à pas de chance, et qu'on peut continuer à garder des scripts rempli de boilerplates et de bugs parce que c'est mieux (tm) ?
Non ! C’est justement en voulant à tout prix essayer de gérer
les 0.1% (et encore) de cas tordus directement dans le script
qu’on en est venu à des scripts d’init de deux cents lignes
Je suis pas sur que les coupures de courant et l'usage de puppet/ansible/etc rentre dans les 0.1%. Surtout les coupures de courant. Parce que bon, si tu veux faire un script buggué pour toi en te disant "ça a pas besoin d'être robuste", pas de souci, mais tu comprends bien que les gens qui font des softs pour les autres (exemple, les distributions) veulent des solutions plus solide que ton script, et donc que pour eux, il faut soit avoir des scripts qui font des trucs que tu trouves inutiles, soit se prendre des bugs et la réputation de faire du taf de merde ( réputation à juste titre ).
D’ailleurs, que propose systemd dans ce cas de figure ?
De lancer le soft en premier plan, donc il peut connaitre le pid sans souci. Ou de faire comme d'hab, utiliser les cgroups. Le fichier de pid sert juste à signaler "je suis prêt" et à donner le nom du PID, mais sinon, je pense que l'option "GuessMainPID" doit marcher si tu insistes sur "passer en arrière plan".
[^] # Re: Chiffrement matériel
Posté par Misc (site web personnel) . En réponse au journal TrueCrypt, la fin ?. Évalué à 3.
tu parles de quel certification ?
Des trucs comme FIPS sont publics, c'est globalement juste une liste de chose à mettre ou ne pas mettre. Une certification E4L+ est aussi public, tu connais les critères et tu peux techniquement faire la vérification toi même.
Le souci, c'est que les gens savent pas exactement ce que la certif veut dire. Un appareil certifié NF ne va pas forcément être de qualité et durer 10 ans. mais on sait qu'il va marcher sur les prises francaises. Un logiciel certifié FIPS-140-2 va pas forcément avoir du code sans bug ( loin de la ), mais tu sais qu'il implémente une liste précise d'algo et qu'il retire d'autres, etc. Bien sur comme les certifications sont des documents longs et chiants, personne ou presque ne les lit, et les gens comprennent pas ( ce qui implique aussi le responsable marketing moyen et le décideur moyen, voir le codeur moyen qui est à 100 lieux d'avoir le recul pour voir ce que ça recouvre et le but ).
[^] # Re: le code avait été audité
Posté par Misc (site web personnel) . En réponse au journal TrueCrypt, la fin ?. Évalué à 1.
Je te cite :
"c'est de recommander des produits que l'on sait être pourvus de porte(s) dérobée(s) (obligation légale pour les société américaines). "
FISA et Patriot Act, c'est kif kif, le second "patchant" la première. Et ça concerne les communications et les données, ce qui est différent des logiciels vendus ( je dit vendu, pas loué, au contraire du modèle SaaS dans le cloud computing ).
L'obligation de donner accès aux données ( chose qu'on retrouve dans beaucoup de législation je pense ) ne veut pas dire "obligation de mettre une porte dérobé". Et Calea concerne les entreprises du domaine des télécoms, ce qui est différent des "entreprises américaines", qui sous entends quand même "toute les entreprises américaines". Et je pense que Calea implique pas forcement une backdoor logiciel, mais plus que la FBI soit capable de demander à faire une écoute sur ton installation, ou le fait d'avoir la possibilité de le faire. Dans le cas d'un routeur cisco, ça serait sans doute équivalent à la fonction de port mirroring, qui sert aussi pour le debug. Si faire une écoute, ça se fait en mettant un compte pour eux, pareil, ça satisfait la loi. On est bien loin de "mettre des backdoors".
Visiblement, au vue des liens qui pointent sur des articles pas forcément utiles ( car bon, le wikipedia fr donne juste "Calea est un genre végétal de la famille des Asteracées" ), je voit que c'est pas la précision et le souci du détail qui t'étouffe.
Quand à déduire à partir du nom d'une variable la présence d'une backdoor, ça me semble des plus faible. Surtout si c'est pour dire "elle existe encore, mais on ne voit plus rien", ie que rien ne prouve quoi que ce soit, mais qu'il faut faire acte de foi dans ce qu'un inconnu dit sans avoir le moindre fait.
[^] # Re: 1994
Posté par Misc (site web personnel) . En réponse au journal TrueCrypt, la fin ?. Évalué à 3.
Si tu veux faire une backdoor, tu as 2 choix. Soit tu fait un truc générique pour tout le monde, et je pense que oui, certains clients vont voir que le code fait pas la même chose que le binaire. Soit tu fait un rpm pour un client spécifique et tu lui donnes, mais du coup, ça implique de mettre vachement plus de gens au courant ( genre l'équipe QA qui va devoir tester la backdoor, l'équipe support qui va devoir savoir quoi répondre, les gens qui gèrent les miroirs, etc ). Et ils sont pas tous aux USA, loin de la pour des questions évidentes de support 24/7.
Donc le risque est de mettre au courant plein de gens qui sont pas forcément sous ta juridiction ( voir potentiellement des agents ennemis ). Autant dire qu'aucune agence de renseignement ne va prendre ce risque, et on le voit via l'unité qui rajoute les firmwares customs dans les routeurs.
Et il reste donc le fait de demander de rajouter une backdoor générique pour tous. Et la, c'est pareil. Si la NSA demande un patch difficile à justifier à ajouter par une ou deux personnes, ça change rien au fait que tout le monde peut voir, à commencer par les concurrents qui se feront un plaisir de leaker la chose pour pourrir la boite. Ce qui implique donc de griller un agent et/ou une personne, ce qu'ils veulent visiblement éviter.
On noteras aussi que pour le moment, la majorité des méthodes sont soit via les moyens légaux ( ie, des écoutes légales ), soit via du parasitisme ( ie, l'ajout de sonde au niveau réseau ). Il n'y a que des suppositions non fondés sur la présence d'agent dormant, pas le moindre document publié que je sache.
Je ne doute pas que ça arrangerais bien Microsoft, surtout vu la nouvelle direction visant à se positionner autrement, et je veux bien laisser le bénéfice du doute à Microsoft. Mais tu peux dire ce que tu veux, le fait de publier le code pour tous change radicalement les choses et complexifie grandement la tache de rajouter une backdoor.
Tout comme le fait d'avoir des signatures sur les rpms pour vérifier la provenance ( car par exemple, je ne pense pas qu'une installation Windows soit vérifiable vis à vis d'une base signé des hashs des fichiers pour voir que personne n'a modifié l'OS avant de le donner ).
[^] # Re: le code avait été audité
Posté par Misc (site web personnel) . En réponse au journal TrueCrypt, la fin ?. Évalué à 2.
je demande à voir, parce que je pense que ta compréhension des textes est fausse, et semble oublier pas mal de choses, genre les conditions d'applications. Donc plutôt qu'une affirmation non fondé, donne un lien vers un texte juridique.
[^] # Re: 1994
Posté par Misc (site web personnel) . En réponse au journal TrueCrypt, la fin ?. Évalué à 5.
Red hat ne fait quasiment pas d’hébergement et pas envers des particuliers ( ie, openshift online se destine plus pour les entreprises et les startups, et comme c'est sur amazon, je pense qu'ils peuvent directement se passer de demander à RH et directement aller chez Amazon ).
Quand à rajouter une backdoor, ça serait relativement pas discret, vu que Red Hat distribue le code source ( sauf à violer la GPL ) des logiciels. Il serait aussi plus efficace d'aller directement upstream.
Et bon, on noteras aussi que Red hat ( ni même les autres fournisseurs de systéme d'exploitation libre, à l'exception de Google ) n'apparaissent dans une liste publié par Edward Snowden.
Donc mon hypothése est que la NSA s'est surtout focalisé sur les actions directs et ciblés sur les données via les fournisseurs SaaS que sur les logiciels, ne serais que parce que c'est moins couteux, bien plus facile à justifier et moins risqué.
Donc c'est bien tenté de mettre tout le monde dans le même panier, mais c'est pas le cas.
[^] # Re: Et le nom du projet ?
Posté par Misc (site web personnel) . En réponse au journal La novlangue fait son entrée dans Django. Évalué à 1.
Ça vient de Django Reinhart, le musicien.
[^] # Re: Oui, mais
Posté par Misc (site web personnel) . En réponse au journal Système d'exploitation "made in france" -- Cocorico. Évalué à 5.
C'est globalement ce qui se passe quand tu payes une boite pour bosser sur un logiciel libre qu'elle produit au lieu de passer par les versions communautaires du truc. Genre, quand tu payes puppetlabs au lieu de prendre le puppet depuis les sources et de refaire le taf toi même.
Sauf que l'état, comme la majorité des clients, préfèrent payer des millions d'euros à des boites qui vendent cher leur truc et de mégoter sur les boites plus petites.
[^] # Re: Le cloud de bull ?
Posté par Misc (site web personnel) . En réponse au journal Système d'exploitation "made in france" -- Cocorico. Évalué à 3.
"Vite, ATOS veut nous racheter, on fait tomber le cloud pour réduire notre prix en bourse"
# Le cloud de bull ?
Posté par Misc (site web personnel) . En réponse au journal Système d'exploitation "made in france" -- Cocorico. Évalué à 6.
Moi, j'ai entendu dire que l'équipe cloud de Bull s'est fait débauché par Mirantis ( qui a d'ailleurs aussi forké les meetups en créant un contre groupe sur paris pour faire d'autres rencontres, mais juste pour eux ).
peut être ceci explique pourquoi il réponds pas ?
[^] # Re: Hébergement
Posté par Misc (site web personnel) . En réponse au journal Help Me Quit ou comment j'ai arrêté de fumer en aidant des gorilles. Évalué à 4.
Sinon, tu peux aussi regarder du coté d'openshift ( https://www.openshift.com/products/pricing ). Je sais pas vraiment si c'est moins cher pour ton use case, mais je pense que pour ton site perso, un prix de 0$ me parait pas mal ( sans le ssl, ça fait du 30$ avec ).
[^] # Re: Autres projets utilisant seccomp-bpf
Posté par Misc (site web personnel) . En réponse au journal Seccomp, une sandbox intégrée au noyau Linux…. Évalué à 4.
Sans rajouter de code, non.
En rajoutant du code ( grosso modo ~ 10 lignes de selinux, plus sans doute une 10 à 20aine de lignes pour ta configuration, ou plus ), tu peux faire une transition d'un type selinux qui a l'accès au réseau à un type qui le supporte pas.
C'est pas trop dur à faire, faut juste s'en tirer avec le peu de code d'exemple qui existe. Par exemple la fonction condSELinuxContext du patch https://lists.fedoraproject.org/pipermail/devel/2013-September/188732.html
Ou ce genre de chose, ou tu forkes après :
http://cgit.freedesktop.org/systemd/systemd/commit/?id=7b52a628f8b43ba521c302a7f32bccf9d0dc8bfd
( ce que iodine fait aussi, par exemple )
https://github.com/yarrick/iodine/blob/eca80f769bfeaa3a33392c569506f1186e3a4654/src/common.c#L241
Et faire une policy qui permette la transition :
http://danwalsh.livejournal.com/23944.html
https://wiki.gentoo.org/wiki/SELinux/Tutorials/How_does_a_process_get_into_a_certain_context
# Et sinon, y a systemd
Posté par Misc (site web personnel) . En réponse au journal Seccomp, une sandbox intégrée au noyau Linux…. Évalué à 4.
Alors même si ça ne fait pas exactement la même chose, et que je pense que mettre seccomp dans un programme permet de rajouter un filtre après traitement divers et variés, il est possible d'utiliser systemd pour avoir une partie des avantages de seccomp sans rajouter de code.
Cf https://lwn.net/Articles/507067/
perso, je trouve ça un peu contraignant, mais ceci dit, c'est pas pire que selinux à ce niveau la, donc why not ?
[^] # Re: Lapin
Posté par Misc (site web personnel) . En réponse à la dépêche Red Hat rachète la société Inktank à l'origine de Ceph. Évalué à 5.
Grosso modo, pour les projets modernes, tu as 3 cas d'usages. Un usage. Le mode "block" ( ie, tu exportes un bloc ), le mode filesystem ( ie, tu export directement un file system ) et le mode objet ( ie, tu exportes des objets, un peu comme swift et s3 ).
Gluster est surtout fort dans filesystem, ce qu'il fait nativement, et on a rajouté les 2 autres modes par dessus.
Ceph au contraire est à la base un système d'objet distribué sur lequel on rajoute le mode filesystem et block.
Donc chacun a ses faiblesses et ses forces. Ceph a une architecture plus complexe que Gluster, ce qui lui permet d'être entièrement distribué. Par contre, gluster a un système de layer, ce qui permet d'être plus souple ( à mon sens ) d'un point de vue de ce que tu peux rajouter.
Mais je connait surtout gluster et pas trop Ceph, donc je dit peut être de la merde.
Doc l'idée, c'est d'avoir 2 systèmes, pour adresser 2 cas d'usages différents, avec des fondements différents d'un point de vue technique.
[^] # Re: Léger détail
Posté par Misc (site web personnel) . En réponse au journal C'est vendredi, c'est permis, aka, MS devrait faire une offre à MS pour sa boite. Évalué à 6.
C'est vrai, et puis un vendredi de pont, c'est un peu comme un samedi. Bon, le jour aprés, c'est aussi un peu comme un samedi ceci dit.
[^] # Re: Léger détail
Posté par Misc (site web personnel) . En réponse au journal C'est vendredi, c'est permis, aka, MS devrait faire une offre à MS pour sa boite. Évalué à 4.
Oui, c'est pas à moi qu'il faut le dire.
Et pour être franc, j'aurais été déçu que personne ne pointe la chose. Il y a plein de trucs à redire sur les suppositions de ce poste de blog, et c'est pour ça que je pensais qu'il était parfait pour une discussion durant un vendredi, comme par exemple, la perception "business" et le fait que les communautés sont oubliés.
Mais bon, ça ne prends pas, personne ne discute, tant pis :)
[^] # Re: Fedora
Posté par Misc (site web personnel) . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 2.
alors utilise l'outil spécifique pour lancer un truc comme ansible
au contraire d'un outil non spécifique ? les choses partent pas "brutalement", c'est plus les gens qui découvrent brutalement qu'il fallait suivre les changements. Je dit pas que c'est simple ceci dit, vu comme le monde du libre bouge. Mais par exemple, puppet, non spécifique, a des soucis de versions en fonction du client puppet, qui lui même depend de la version de ruby et des gems. De même, ils ont retiré les manifests en ruby dans la version 3.0, et y a des gens qui s'en servaient.
En effet, j'ai pas installé de Fedora 20, j'ai juste fait un yum search firstboot et j'ai pas vu qu'il était installé, pas dispo. Et donc en effet : https://admin.fedoraproject.org/pkgdb/acls/name/firstboot
Cela a été remplacé par gnome-initial-setup ( https://fedoraproject.org/wiki/Features/NewFirstboot ), qui en effet ne propose pas un réglage aussi fin que tu voudrais de ldap, ceci étant reservé à la commande authconfig
Il est présent dans EL7 ceci dit.
[^] # Re: OSEF
Posté par Misc (site web personnel) . En réponse au journal Ubuntu 14.04 LTS : Pourquoi il vaudrait mieux ne pas du tout s'en servir. Évalué à 3.
Mais RH dit que c'est pas supporté pour RHEL. Et pour Fedora, la communauté se bat depuis des années pour savoir si ça marche ou pas, et comment ( ie, preupgrade/fedup vs yum ). Y a pas moyen de tester de façon exhaustive, mais les gens le font et corrige à la main et disent de le faire. Et parfois, garder une vielle configuration montre des comportements inattendus dans les softs.
Ça marche avec Debian, mais c'est pas non plus "j'ai rien à faire" comme on m'a vendu ça y a plusieurs années ( et dieu merci, sinon j'aurais pas eu de boulot à corriger ça ).
[^] # Re: Pitoyable
Posté par Misc (site web personnel) . En réponse au journal Ubuntu 14.04 LTS : Pourquoi il vaudrait mieux ne pas du tout s'en servir. Évalué à 4.
Je pense aussi que c'est faisable, mais je pense aussi que Canonical n'a pas les moyens qu'a Red Hat en terme de dev à temps plein, donc je peux dans une certaine mesure comprendre les doutes des gens.
Je pense que la raison, c'est plus le coté totalement faux jeton de Mark Shuttleworth vis à vis d'Oracle. Tout comme Mark a fait un volte face sur le bug #1, il fait de la com pour faire plaisir à Oracle, car les devs Oracles sont venus tout d'un coup faire du taf avec les distros le jour ou les gens ont dit "tiens, et si on prenait Mariadb à la place, car Oracle ferme trop Mysql". Et pour moi, c'est clairement parce que RHEL part sur du Mariadb par défaut dans la 7 que Canonical tente de se distinguer car sinon, ça part pour être libreoffice vs openoffice à nouveau.
[^] # Re: If it works, don't fix it.
Posté par Misc (site web personnel) . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 2.
Ils ne jugent pas l'instrument, mais le son qu'on arrive à en tirer, et autant la prestation de la personne que l'instrument.
Ici, on a clairement des gens qui vont pas voir les résultats. Et je doute aussi que de nombreux mélomanes viennent sortir des arguments comme "mais ce violon contredit les principes de Stradivari" ( à prendre pour l'argument des principes Unix ) ou "mais non, regarde, c'est aussi facile de jouer avec les cordes mises comme ça, mais ça joue pas toute les notes, mais je m'en fout, j'ai pas besoin du Do mineur, et j'ai jamais eu le cas ou je devais me servir de plus d'une corde à la fois" ( à prendre pour les nombreux exemples de scripts d'init du thread ).
[^] # Re: If it works, don't fix it.
Posté par Misc (site web personnel) . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 1.
Je pense qu'il y a une incompréhension. Le premier message, il dit "on va permettre de le compiler pour un usage ou systemd n'est pas lancer".
"After udev is merged into the systemd tree you can still build it for usage outside of systemd systems, and we will support these builds officially."
Jamais il ne dit ou promer comment il faut le compiler, il parle juste d'usage après build.
Le second message dit la même chose, d'une autre façon. Je comprends que ça soit pas ce que tout le monde veuille et un peu plus de clarté aurait sans doute grandement éviter les incompréhensions, mais en relisant bien, c'était marqué noir sur blanc.
[^] # Re: Il y a desktop et desktop.
Posté par Misc (site web personnel) . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 4.
Si tu fait des trucs comme "installer des tas de machines", il y Kickstart, tout comme dans la doc de RHEL.
On configure nos postes clients linux en ldap + kerberos via sssd grâce à ça. ( avec authentification offline possible ).
Y aussi l'intégration autofs :
https://fedoraproject.org/wiki/Features/SSSDAutoFSSupport
Sinon, y a comme depuis toujours authconfig qui fait exactement ça, en gtk et en mode texte.
Et puis, le dialogue que tu cherches existe encore, il est passé à firstboot, la 2nd partie de l'installeur :
https://fedoraproject.org/wiki/QA:Testcase_SSSD_LDAP_Identity_and_LDAP_Authentication
[^] # Re: USE="-systemd"
Posté par Misc (site web personnel) . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 7.
Parfait, et mon but est de montrer que faire des scripts bash, ça donne en général des scripts incorrects dans des cas d'usages qui sont pas totalement farfelus.
Les outils lxc vont avoir les mêmes soucis, et ils sont disponibles sur Slackware de ce qu'on me dit. Docker fait parti de Debian, cf https://packages.debian.org/fr/sid/docker.io .
Mais y a pas que docker/lxc/vserver/openvz/etc, y a aussi les bons vieux chroots. Même si c'est mal de part l'isolation inexistante entre le chroot et dehors, le souci est le même, et des gens qui ont des systèmes dans des chroots, y en a.
L'équivalent de quoi, de stop, start ? C'est déjà de base. Y a stop, start, reload, restart, try-restart, reload-or-restart, reload-or-try-restart. Et c'est fait sans avoir à copier coller que restart, c'est stop + start X fois, etc.
[^] # Re: If it works, don't fix it.
Posté par Misc (site web personnel) . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 3.
Qui est revenu sur sa parole ?
Que je sache, le mainteneur du code d'udev l'a fait de manière consciente et volontaire upstream.
Et bon, faut pas oublier que personne ne force la mise à jour d'un soft, que udev a été forké par des devs Gentoo ( fork que pas grand monde semble utiliser à vue de nez ), donc le mainteneur downstream avait largement les moyens d'éviter qu'on force quoi que ce soit. Donc ta vision me semble ne pas coller avec la réalité documenté.
Au vue du nombre de gens qui s'estiment compétent en design de système unix qui postent régulièrement sur les news et journaux en rapport avec systemd, oui. Ou alors, c'est la premise "compétent en design de système" qui est fausse, car "avoir le temps pour contribuer" est déjà réglé. Si tu as le temps de poster sur linuxfr, tu as le temps de coder.
[^] # Re: USE="-systemd"
Posté par Misc (site web personnel) . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 7.
En effet, voir ce thread :
https://linuxfr.org/users/claudex/journaux/chronique-des-dinosaures-retrogrades#comment-1534946
Ce script la à un bug en plus. Si tu utilises docker, alors les processus dans le container sont visibles de l'extérieur.
Exemple:
et sur un autre terminal:
Donc "killall vi" en root lancé en dehors du docker va tuer le processus vi dans le container docker ( ie, du lxc tout con ).
Si tu remplaces vi par httpd, tu as un bug, sauf à vouloir que ton script httpd externe tue le processus qu'il lance et celui lancé ailleurs.
Et je passe sur le fait que httpd peut aussi lancer des processus qui s'appelle pas "httpd", au hasard, tout les processus wsgi lancé par mod_wsgi, et qu'ils vont totalement être oublié en cas de problème par le "killall httpd". IE, le nettoyage est incomplet.
Ensuite, dans l'action restart, le signal envoyé par le script est SIGTERM. Ce qui veut dire qu'un processus peut l'ignorer et/ou ne pas le traiter à temps, et donc que apache peut continuer de tourner, ce qui fait que le démarrage va échouer. Bien sur, jamais apache n'est surchargé et jamais il ne va mettre trop longtemps à mourir. Et jamais personne ne va injecter du code dans un processus apache via un interpréteur embarqué php. Car bon, tout le monde a retiré mod_php, qui tourne dans le même espace mémoire qu'apache par design, non ?
(et je parle pas d'attaque sr le code de php, je parle d'une personne qui va utiliser pcntl_signal en php dans une page pour dire à apache d'ignorer SIGTERM ou ce genre de trucs crades. J'ai pas testé, mais je serais pas étonné que ça marche).
Mais bon, j'imagine que "utiliser des containeurs" et "avoir des processus apache qui partent modérément en sucette" arrive pas si souvent, c'est juste la faute à pas de chance, et qu'on peut continuer à garder des scripts rempli de boilerplates et de bugs parce que c'est mieux (tm) ?
[^] # Re: If it works, don't fix it.
Posté par Misc (site web personnel) . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 6.
Je suis pas sur que les coupures de courant et l'usage de puppet/ansible/etc rentre dans les 0.1%. Surtout les coupures de courant. Parce que bon, si tu veux faire un script buggué pour toi en te disant "ça a pas besoin d'être robuste", pas de souci, mais tu comprends bien que les gens qui font des softs pour les autres (exemple, les distributions) veulent des solutions plus solide que ton script, et donc que pour eux, il faut soit avoir des scripts qui font des trucs que tu trouves inutiles, soit se prendre des bugs et la réputation de faire du taf de merde ( réputation à juste titre ).
De lancer le soft en premier plan, donc il peut connaitre le pid sans souci. Ou de faire comme d'hab, utiliser les cgroups. Le fichier de pid sert juste à signaler "je suis prêt" et à donner le nom du PID, mais sinon, je pense que l'option "GuessMainPID" doit marcher si tu insistes sur "passer en arrière plan".