Bah, ton serveur est connecté aux autres, donc tes messages apparaissent pour les gens qui s'abonnent à ton flux, et tu n'as que les gens à qui tu t'es abonné.
Ou tu veux ne pas voir les messages des gens auquel tu n'es pas abonné, mais que les gens voient les tiens sans avoir besoin de le demander ?
pas d'indicateurs, mais ça peut se faire du coté du client
pas de notifications (ça, je suppose que ça va pas être rajouté vu que ça doit être coté serveur)
pas de quote tweets. Je comprends l'argument, mais c'est aussi trompeur, car si ton but est d'afficher quelqu'un, suffit de le faire avec un screenshot. Donc j'aurais tendance à demander à voir.
pas de recherche intégral par défaut. Ce qui a mon sens n'est qu'une question de temps avant que quelqu'un indexe les serveurs.
Je suis dubitatif sur les 4 fonctions en questions, car Twitter n'a pas rajouté ça pour faire joli, et je doute que les besoins initiaux aient disparus, au moins pour le dernier. La capacité à fouillé le passé pour le harcèlement est aussi la capacité à fouiller pour voir ce qui se dit sur un sujet, et je pense que c'est un besoin qui peut être légitime pour se renseigner sur un sujet.
Sur openshift, chaque conteneur tourne dans un contexte selinux séparé (en utilisant MCS ), et sur ma Fedora, les conteneurs tournent aussi via une politique SELInux qui bloque l’accès au fs (ce qui fait que je doit changer le label des fichiers pour donner accès). Il y a quelques articles sur https://github.com/containers/container-selinux
Donc si jamais un process arrive à contourner les limitations des namesapces suite à une faille, il reste encore les permissions SELinux pour éviter de faire trop de choses.
Et Openshift par défaut bloque le fait de lancer un conteneur en temps que root, en mappant root vers autre chose automatiquement via les userns.
Il faut donc comprendre « officielle à docker » et non «
officielle au projet conteneurisé »…
Pour la défense de Docker, ça a pu changer depuis que l'article a été posté. Je ne connais pas assez Debian pour savoir.
Mais oui, c'est un peu le souci. Je trouve que l'approche de Fedora consistant a publier son propre registre intéressante, vu que tu sais que c'est fait par le projet vu que le domaine corresponds.
Je ne veux pas reconstruire les images à partir du dockerfile,
ce sont des images externes que j'utilise, que je n'ai pas
créées moi-même. Je veux un moyen de mettre à jour les
distributions des images présentes sur dockerhub
C'est sans doute mort. Les devs de logiciel se sont lancés sur docker en se disant "ça va éviter de faire le taf des distributions", mais c'est une connerie, ça évite pas les distributions du tout, ça obscurcit le tout.
Les conteneurs sont un outil et un format d'image pour distribuer des logiciels. Mais il n'y a pas de solution technique pour la question de la curation de contenu, et c'est ce qui coince ici.
Fedora a tenté de pousser ça, des conteneurs basés sur Fedora utilisant les paquets et avec des standards et une gestion des versions. Ça n'a pas trop décollé que je sache.
Et Dockerhub vise plus à avoir tout le monde pour des questions de croissances que de devoir faire un choix, donc tu as effectivement plein de trucs douteux.
Alors pour ça, j'ai un certain nombre de choses, car la sécurité, c'est vaste (tm)
Primo, j'expose pas les conteneurs directement, mais j'ai un proxy devant. Ça permet d'éviter les soucis liés à de la crypto pas à jour (bien que je pense que ça soit rarement applicable en pratique), et ça m'assure des logs. Ça permet aussi d'éviter les soucis dans le gestion du protocole HTTP en utilisant une pile éprouvé (en l’occurrence, apache httpd ou HAProxy).
Ensuite, j'utilise SELinux. Au taf, c'est directement dans la plateforme (Openshift), chez moi, c'est directement dans l'OS, les conteneurs ne tournent pas en root autant que possible. Le but est d'éviter les sorties du conteneur trop facile en cas d'execution dans le conteneur.
Ensuite, je prends pas n'importe quel image, et je fait mes propres images ou mes propres déploiements.
J'essaye de partir d'images de distros en vérifiant que c'est bien officiel, avec l'orga derrière et pas juste un dev.
L'exemple de Debian est un bon cas, car je ne connais pas la situation maintenant, mais avant, c'était un peu bizzare.
J'essaye donc de faire mes images et d'automatiser la recompilation via une CI, en utilisant les paquets de la distro autant que possible.
L'exemple que j'ai, c'est un dépôt github qui recompile les images toutes les semaines et qui changent automatiquement la version de base de Fedora:
Donc je sais que si je déploie un site sur hugo ou zola, la CI qui recompile le site en prenant mon conteneur va utiliser la dernière stable du logiciel qui tourne sur la dernière Fedora automatiquement (ou avec grosso modo 1 semaine de délai). Il faut juste que je clique un bouton tout les 6 mois, ou que je fasse un commit pour pas que github coupe la CI (et j'imagine, à terme, que je nettoie le dépôt).
J'évite les images des projets qui utilise node ou python comme base parce que je ne sais pas ce qu'il y a dedans ou à quoi m'attendre. Parfois, je prends des images pour tester (par exemple, grist), ou pour des trucs que j'estime mineur et difficile à exploiter (par exemple, ethercalc), mais pour la production, je passe plus de temps à faire gaffe.
Et c'est pas tant la sécurité qui me chagrine (car ça reste assez rare) que les incompatibilités qui peuvent arriver (l'exemple que j'ai est sur un blog qui est en panne, mais c'était une histoire d'userspace Ubuntu qui ne marche pas sur une Fedora, et qui casse de façon subtil).
Par contre, systemd a éliminé la chiadée de scripts d'init
qu'il fallait constamment maintenir, par exemple.
Ou les bugs impossible à corriger sans réimplementer systemd.
Je n'ai plus le lien, mais il y avait une race condition (je crois) dans le script bind de Debian du au fonctionnement de named (qui utilise les signaux pour s'eteindre), race condition impossible à éviter sans l'usage des cgroups.
Mais on a largement commentés systemd y a 7 ans, il faut vraiment lire les archives.
Ansible fait partie de la seconde catégorie pour moi, et n'est
peut-être pas vraiment utilisé par les communautés BSD. Mais le
support en question dépend plus d'Ansible que des BSD.
Visiblement oui, il n'y a pas eu beaucoup d'usage d'Ansible.
Ensuite, c'est mon point. L'adéquation d'un OS pour le serveur, c'est aussi lié à la qualité de son écosystème, et pour le logiciel libre, c'est directement lié au fait qu'assez de personnes l'utilisent pour ça.
Et ce que j'ai vu, c'est que des choses que j'avais supposé comme de base sur un système Linux (avoir un moyen d'installer un serveur automatiquement, avoir des images cloud officiels, avoir un support basique pour des outils populaires) ne le sont pas forcément.
Et pour en revenir au point de base, si ça n'était qu'une question de hardware, ça irait, parce qu'on peut s'en sortir avant des achats judicieux ou de l'occase. Ça coûte un peu d'argent si tu dois changer ton matos, mais on s'en sort.
Sortir 50€ pour une carte wifi qui marche, c'est chiant, mais ça va.
Par contre, quand c'est du logiciel, l'investissement pour faire marcher est différent, et plus coûteux.
J'ai 7 process avec systemd comme prefixe sur mon portable dans ps fax.
J'ai 114 threads dans le kernel qui apparaissent dans ps fax
Il est intéressant de voir qu'on suppose que les devs du kernel savent ce qu'ils font, mais pas les devs des distros ou les devs systemd vu que 7, c'est trop, mais 114, ç'est pas du tout un signe de complexité croissante dans le kernel.
Par comparaison, la machine FreeBSD dans ma chambre a 27 threads kernel, et 33 sur le même hardware dans le salon sous OpenWRT.
Alors bien sur, d'un coté, c'est un portable, et de l'autre, 2 Rpi 1, donc il y a moins de hardware. Mais logiquement, si on veux réduire la complexité, c'est pas forcément au niveau de l'OS qu'il faut commencer.
En quoi est-ce la faute des BSD ? Ansible fait partie de
l'installation de base ? Non, donc là, c'est plutôt du côté
d'Ansible qu'il faut regarder.
Mon point n'est pas qu'il y a un bug (ça arrive), mais que la communauté autour des BSD me semble trop petite car sinon, les bugs auraient été trouvé plus tôt. Et de ce point découle le fait que l'affirmation "c'est mieux" ne me parait pas se vérifier dans les chiffres.
L'écosystème compte aussi un peu.
Pourquoi ? Les trois fonctionnent très bien ? Perso, il y a 15
ans environ, j'étais passé d'IPFilter à PF sans aucun souci et
sans rien installer de supplémentaire, juste une config noyau
parce qu'à l'époque, je construisais mes noyaux.
Mais le point n'est pas de savoir si ça marche ou pas. Le point est que si il y a 3 firewalls, c'est parce que le ménage n'a pas été fait. Il y a sans doute des bonnes raisons (compat, manque de ressources, etc), mais ça veut dire aussi que tout comme Linux, les noyaux de NetBSD et FreeBSD ont des vieux trucs qui traînent, et que ce n'est pas comme j'ai entendu plusieurs fois "sur FreeBSD, on pense d'abord et ensuite on ajoute quand c'est bon". Le fait d'avoir la même fonction 3 fois me laisse à croire que les 2 premières n'étaient pas assez bonnes, un point normal surtout pour des bénévoles mais omis dans le discours.
Et mon point n'est pas que les BSD sont mauvais, ou que ça soit un souci d'avoir 3 firewalls. Ça tourne correctement, la communauté fait avec ce qu'elle a comme ressources, et clairement, il y a moins de monde payé pour coder que sur les distros Linux, donc c'est assez impressionnant de réussir à maintenir l'OS.
Mais j'ai trop souvent l'impression qu'on invente des qualités la ou il n'y a rien.
C'est un peu ce que je retient de la présentation de 2017 que j'ai collé explique. C'est pas que les BSD sont mieux écrit que Linux qui fait qu'il y a moins de CVE. C'est qu'il y a moins de monde qui trouve car il y a moins de monde qui cherche.
Et hélas, c'est sans doute pareil pour les soucis autre que les failles de sécurités, ce qui me fait relativiser beaucoup les affirmations sur le fait que ça soit mieux.
Si c'était que le hardware, ça passerait encore. Mais même sur le serveur, les BSDs sont un peu à la ramasse.
Par exemple, j'ai du corriger quelques bugs pour Ansible sur NetBSD et FreeBSD (la détection du système de paquet, ce genre de chose) parce que je devais être le premier à m'en servir.
Automatiser l'installation d'un OpenBSD ou de NEtBSD m'a toujours donné l'impression d'être un bricolage (e.g., pas de preseed/kickstart à l'époque).
Et l'intégration, c'est un peu de la propagande, n'importe qui ayant utilisé de façon un peu poussé voit bien que ça ne corresponds pas vraiment à la réalité.
Par exemple, il y a 3 firewalls sur NetBSD (PF, NPF, IP Filter) et FreeBSD (PF, IPFW et IPFILTER). Ce n'est pas un souci, mais c'est pas ce que j'appelle de l'intégration.
Et de même, l'idée que "les BSDs sont mieux écrit", ça me parait être surtout le signe qu'il y a moins de monde, cf une présentation de 2017 toujours valable.
C'est assez triste, car je pense qu'il est important que des alternatives à Linux existent, mais pour avoir tenter l'aventure, c'est quand même aller contre le courant.
Mais il est vrai que je trouve que ce système d’initialisation
gère un peu trop de chose sans qu’on le sache. Dernier exemple
en date : (m)locate. J’ai découvert par hasard il y a peu que
le rafraîchissement de la base de données était gérée via un
timer systemd. (J’avoue que je m’étais jamais posé la
question).
C'était sans doute un cron avant, ou anacron (vu que le cron qui rafraichi à 3h du mat, quand tu éteint la machine, c'est pas terrible).
Mais du coup, je pige pas le souci, ta distro a choisi d'utiliser systemd pour lancer une tache périodique (sans doute parce qu'un timer permet aussi de limiter les I/O), mais comme tu le dis, tu ne t'es jamais posé la question, c'est peut être parce que ça n'a pas une grande importance ?
Surtout que vixie-cron, le programme que la plupart des distros utilisent, a été écrit en 1987, avec sa dernière release en 2004:
que des logiciels vont continuer à changer d’heure sur la base
d’une TZ Database obsolète…
Pas plus que ce qui arrive maintenant avec des dates de changements qui changent au dernier moment.
Par exemple, le gouvernement du Chili a annoncé le 9 août que le changement d'heure se fait le 11 septembre, et pas le 4 septembre.
Celui d'Égypte fait ça aussi, et je pense que le pays tient le record pour le moment, avec 3 jours de délai entre le changement prévu et le changement (ou plutôt, non changement) effectif.
ce n'est pas toxique lorsque c'est clair, la c'est très clair
:) et même binaire.
y pas moins toxique
Alors si, vu que pour commencer, en 7j, tu as sans doute pas le temps de faire des tests utilisateurs ou des études de marché pour savoir si la fonctionnalité a du sens. Tu as sans doute pas le temps de définir exactement ce qui va être un succès ou pas.
Si maintenant, tu parles du fait de regarder le code comme "clair", non, c'est aussi toxique car il n'y a pas de critéres, et qu'en général, on fait plus qu'écrire du code. L'aide des autres employés, les réunions pour s'organiser, la lecture de bug, etc, tout ça, c'est des activités importantes (surtout quand tu es senior), et c'est pas du code.
Et c'est un buffer overflow avec fort peu de marge de maneuvre, dans un monde ou on a des protections dans les compilos (activé par quasiment toute les distros), et ou il faut un certificat signé par quelqu'un avant d'exploiter quoi que ce soit.
Il y a pas non plus d'exploit dispo pour le moment, et je pense que ça va sans doute prendre un peu de temps avant d'avoir un PoC utilisable.
Hélas, l'informatique n'est pas épargné, entre les gens qui ont grandi sur le forum JV 12-25 (et qui sont donc sur le marché du travail), et les groupes de fachos qui s'incitent entre eux à aller poster ça via des groupes discord/facebook/telegram dans le but de normaliser et faire bouger la fenêtre d'Overton, c'est pas étonnant.
La pandémie n'a pas aidé, vu que ça aussi donner tout un vivier de personnes en recherche de sens à détourner (on se rappelle de l'incident avec la pancarte antisémite à metz, la fresque de Macron à Avignon, les manifs de Phillipot contre le gouvernement et le passe sanitaire).
Il y a aussi tout une frustration sans doute lié au décalage entre ce qu'on a dit aux étudiants en école d'ingé (à savoir, à vous la belle vie, vous êtes l'élite des devs, etc), et la réaité (à savoir, faire du code de merde qui sert à rien). Le décalage entre ce qu'on attends et ce qu'on a est un moteur assez puissant pour trouver des boucs émissaires, et il se trouve qu'il y a des idéologies qui sont spécialisées dans le sujet.
On peut aussi rajouter qu'il y a sans doute plein de gens qui sont vexés de se faire fermer leur compte twitter, donc c'est une façon de prendre leur revanche.
Gnome a migré son infra sur un cluster openshift, donc je suppose qu'il y a un rapport. J'ai cru voir un certain nombre de changements (remplacement du nom de domaine pour les checkouts pour raison technique, dépréciation de ldap en faveur d'un portail basé sur keycloak, etc), mais j'ai pas vu de discussions virulentes sur le canal des admin sys.
En même temps, je ne suis pas sur qu'il y a beaucoup d'alternatives crédibles.
Ça aurait pu être Intel (psa beaucoup mieux que Microsoft).
Ça aurait pu être un état (par exemple, les USA, comme pour le DNS avant 2016 vu que l'ICANN était une agence du département du commerce des USA), ou un groupe d'état (exemple, l'ITU, une agence de l'ONU). Ou ça aurait pu être un consortium d'entreprises (comme la Linux Foundation), ou un groupe de divers groupes (comme l'ICANN après 2016) ou un système plus ou moins distribué avec des états et des entreprises comme le système de PKI sur le web.
Aucune ne semble parfaite, ou rapide en mettre en place. Maintenant, peut être qu'il est temps de transitionner ça vers une autre structure, mais laquelle.
Pas de délégation. Donc les gens à qui je fais confiance (ma
conjointe, mes enfants) doivent utiliser mon appareil. Rien à
voir avec une organisation Bitwarden (et des mots de passe
généré à 40 caractères) ou équivalent.
Oui, c'est l'idée de l'auth 2 facteurs, tu peux plus simplement donner le mot de passe. Dans un monde idéal, tu peux le faire dans le logiciel (eg, une vraie délégation ou tu dis X a le droit de voir Y), mais ça n'arrive jamais sur la plupart des logiciels grand public :/
L'implémentation a l'air incroyablement complexe à faire.
Évidemment, y aura des bibliothèques, mais ça a l'air pire que
OAuth :)
En fait, ça existe déjà, non ?
Comment on fait pour être « anonyme » ? C'est sûrement
possible, mais j'ai pas compris.
Il faut définir "anonyme" un peu plus précisement, à savoir qui ne doit pas savoir quoi (vu que la, ç'est pour l'authentification, ç'est un peu le but de vérifier que tu es toi). Mais ça utilise webauthn, et donc chaque site a un identifiant séparé.
Si son but est de virer du monde sans payer d'indemnités (et je pense que c'est le but), alors ça ne va pas trop marcher.
Ceci dit, j'imagine que ça va être une raison de plus de pousser des syndicats dans l'industrie informatique (dit le gars qui n'a toujours pas fini de remplir le papier qui est sur son bureau depuis 2 ans)
Nan mais Raoult a fait beaucoup pour vulgariser la science. Après lui, il y a beaucoup de gens qui sont vachement plus vulgaires en science, par exemple :p
Parce que les articles de recherche, les présentations à
destination des pairs sont en fait bourrés de jargon et
d'hypothèses non écrites qui sont normales et comprises par les
pairs, mais hermétiques pour le grand public (même si ça parait
clair).
Mais d'un point de vue pratique, une fois que c'est sur internet (comme c'est le cas ici), c'est publique et à disposition du grand public. On est plus au siècle dernier ou il suffit d'écrire ton rapport sur les pingouins homosexuels en grec pour éviter de choquer la société.
Est ce que les journaux et les complotistes antivaccins ne devraient pas faire de bruit autour de ça car c'est mal compris ?
Ça me parait logique, mais ils vont quand même le faire, car ils en tirent un bénéfices. Les journaux (ou plutôt, certaines publications) le font pour survivre via du trafic web (donc des pubs, donc des salaires).
Les complotistes antivaccins le font pour la même raison (pour le début de la chaîne), ou parce que ça justifie leur vision du monde (cf cet article que j'ai vu sur un article de blog sur la question des TERFs, un sujet qui est quand même assez éloigné des complots antivaxx, mais visiblement, les concepts s'appliquent aussi).
L'auteur explique qu'il y a une offre pour des complots car il y a une demande, et que la demande est liée à la nature humaine.
Donc du coup, en théorie, oui, les choses ne devraient pas être publié sans vulgarisation. En pratique, qui va devoir faire la vulgarisation quand il y a des acteurs qui ne respectent pas les "règles" à dessein, et quand la non publication n'est à mon sens pas une solution ?
Ce n'est pas vraiment à lui de se méler de l'opération en
détail.
En effet, mais visiblement, il le fait. Ensuite, je ne sais pas si c'est dans un but de communication à l'attention des investisseurs, ou à l'attention des salariés.
J'ai du mal à comprendre l'intérêt de ce genre de vérification.
Peut être qu'il n'y en a simplement pas, et que c'est une erreur.
Genre un système d'apprentissage automatique qui a juste appris un mauvais truc, une lib importé pour vérifier si une requête HTTP est conforme sans avoir pensé à la poignée de gens qui utilisent Linux sur le desktop (voir même sans avoir vu la vérification en question caché dans un truc au fin fond d'une dépendance).
Si ça semble non communiqué et inutile, y a quand même plus de chance que ça soit un bug qu'autre chose.
[^] # Re: Ce que Mastodon devrait procurer au minimum
Posté par Misc (site web personnel) . En réponse au lien 4 fonctionnalités de Twitter que Mastodon ferait mieux de ne pas avoir. Évalué à 6. Dernière modification le 04 novembre 2022 à 18:56.
Bah, ton serveur est connecté aux autres, donc tes messages apparaissent pour les gens qui s'abonnent à ton flux, et tu n'as que les gens à qui tu t'es abonné.
Ou tu veux ne pas voir les messages des gens auquel tu n'es pas abonné, mais que les gens voient les tiens sans avoir besoin de le demander ?
# 4 fonctions
Posté par Misc (site web personnel) . En réponse au lien 4 fonctionnalités de Twitter que Mastodon ferait mieux de ne pas avoir. Évalué à 10.
Donc:
pas d'indicateurs, mais ça peut se faire du coté du client
pas de notifications (ça, je suppose que ça va pas être rajouté vu que ça doit être coté serveur)
pas de quote tweets. Je comprends l'argument, mais c'est aussi trompeur, car si ton but est d'afficher quelqu'un, suffit de le faire avec un screenshot. Donc j'aurais tendance à demander à voir.
pas de recherche intégral par défaut. Ce qui a mon sens n'est qu'une question de temps avant que quelqu'un indexe les serveurs.
Je suis dubitatif sur les 4 fonctions en questions, car Twitter n'a pas rajouté ça pour faire joli, et je doute que les besoins initiaux aient disparus, au moins pour le dernier. La capacité à fouillé le passé pour le harcèlement est aussi la capacité à fouiller pour voir ce qui se dit sur un sujet, et je pense que c'est un besoin qui peut être légitime pour se renseigner sur un sujet.
[^] # Re: Ce que Mastodon devrait procurer au minimum
Posté par Misc (site web personnel) . En réponse au lien 4 fonctionnalités de Twitter que Mastodon ferait mieux de ne pas avoir. Évalué à 4.
Une solution simple, c'est d'avoir son propre serveur, ça se fait facilement avec gotosocial.
[^] # Re: SELinux et co, faire mes propres images
Posté par Misc (site web personnel) . En réponse au journal Comment sécurisez-vous les images docker externes ?. Évalué à 4.
Sans doute, mais à quel niveau ?
Sur openshift, chaque conteneur tourne dans un contexte selinux séparé (en utilisant MCS ), et sur ma Fedora, les conteneurs tournent aussi via une politique SELInux qui bloque l’accès au fs (ce qui fait que je doit changer le label des fichiers pour donner accès). Il y a quelques articles sur https://github.com/containers/container-selinux
Donc si jamais un process arrive à contourner les limitations des namesapces suite à une faille, il reste encore les permissions SELinux pour éviter de faire trop de choses.
Et Openshift par défaut bloque le fait de lancer un conteneur en temps que root, en mappant root vers autre chose automatiquement via les userns.
Pour la défense de Docker, ça a pu changer depuis que l'article a été posté. Je ne connais pas assez Debian pour savoir.
Mais oui, c'est un peu le souci. Je trouve que l'approche de Fedora consistant a publier son propre registre intéressante, vu que tu sais que c'est fait par le projet vu que le domaine corresponds.
[^] # Re: Titre
Posté par Misc (site web personnel) . En réponse au journal Comment sécurisez-vous les images docker externes ?. Évalué à 7.
Vaguement, des choses comme
https://fedoramagazine.org/community-container-images-available-for-applications-development/
Le logiciel s'appelle osbs, et c'est du coté de Fedora cloud, mais je trouve pas trop de doc et/ou de discussion.
L'approche que tu proposes marcherais, mais j'ai peur que tu tombes assez vite dans des cas ou ça marche pas, vu que tu supposes:
que les logiciels sont installés via le gestionnaire de paquet natif (quid de pip install)
que la distribution est encore maintenu (eg, quid d'un conteneur basé sur une version EOL)
que la distribution lors de sa mise à jour ne va pas casser la compatibilité quelque part
que l'image a un gestionnaire de paquet dispo en premier lieu (il y a sans doute des images ultra minimalistes sans ça)
Ensuite, peut être qu'on parle de cas mineurs.
[^] # Re: Titre
Posté par Misc (site web personnel) . En réponse au journal Comment sécurisez-vous les images docker externes ?. Évalué à 10.
C'est sans doute mort. Les devs de logiciel se sont lancés sur docker en se disant "ça va éviter de faire le taf des distributions", mais c'est une connerie, ça évite pas les distributions du tout, ça obscurcit le tout.
Les conteneurs sont un outil et un format d'image pour distribuer des logiciels. Mais il n'y a pas de solution technique pour la question de la curation de contenu, et c'est ce qui coince ici.
Fedora a tenté de pousser ça, des conteneurs basés sur Fedora utilisant les paquets et avec des standards et une gestion des versions. Ça n'a pas trop décollé que je sache.
Et Dockerhub vise plus à avoir tout le monde pour des questions de croissances que de devoir faire un choix, donc tu as effectivement plein de trucs douteux.
# SELinux et co, faire mes propres images
Posté par Misc (site web personnel) . En réponse au journal Comment sécurisez-vous les images docker externes ?. Évalué à 8.
Alors pour ça, j'ai un certain nombre de choses, car la sécurité, c'est vaste (tm)
Primo, j'expose pas les conteneurs directement, mais j'ai un proxy devant. Ça permet d'éviter les soucis liés à de la crypto pas à jour (bien que je pense que ça soit rarement applicable en pratique), et ça m'assure des logs. Ça permet aussi d'éviter les soucis dans le gestion du protocole HTTP en utilisant une pile éprouvé (en l’occurrence, apache httpd ou HAProxy).
Ensuite, j'utilise SELinux. Au taf, c'est directement dans la plateforme (Openshift), chez moi, c'est directement dans l'OS, les conteneurs ne tournent pas en root autant que possible. Le but est d'éviter les sorties du conteneur trop facile en cas d'execution dans le conteneur.
Ensuite, je prends pas n'importe quel image, et je fait mes propres images ou mes propres déploiements.
J'essaye de partir d'images de distros en vérifiant que c'est bien officiel, avec l'orga derrière et pas juste un dev.
L'exemple de Debian est un bon cas, car je ne connais pas la situation maintenant, mais avant, c'était un peu bizzare.
J'essaye donc de faire mes images et d'automatiser la recompilation via une CI, en utilisant les paquets de la distro autant que possible.
L'exemple que j'ai, c'est un dépôt github qui recompile les images toutes les semaines et qui changent automatiquement la version de base de Fedora:
https://github.com/mscherer/various_containers/blob/main/.github/workflows/build_docker.yml
Donc je sais que si je déploie un site sur hugo ou zola, la CI qui recompile le site en prenant mon conteneur va utiliser la dernière stable du logiciel qui tourne sur la dernière Fedora automatiquement (ou avec grosso modo 1 semaine de délai). Il faut juste que je clique un bouton tout les 6 mois, ou que je fasse un commit pour pas que github coupe la CI (et j'imagine, à terme, que je nettoie le dépôt).
J'évite les images des projets qui utilise node ou python comme base parce que je ne sais pas ce qu'il y a dedans ou à quoi m'attendre. Parfois, je prends des images pour tester (par exemple, grist), ou pour des trucs que j'estime mineur et difficile à exploiter (par exemple, ethercalc), mais pour la production, je passe plus de temps à faire gaffe.
Et c'est pas tant la sécurité qui me chagrine (car ça reste assez rare) que les incompatibilités qui peuvent arriver (l'exemple que j'ai est sur un blog qui est en panne, mais c'était une histoire d'userspace Ubuntu qui ne marche pas sur une Fedora, et qui casse de façon subtil).
[^] # Re: Si on repart aux sources...
Posté par Misc (site web personnel) . En réponse au journal Les problèmes d’un desktop sans systemd ?. Évalué à 7.
Ou les bugs impossible à corriger sans réimplementer systemd.
Je n'ai plus le lien, mais il y avait une race condition (je crois) dans le script bind de Debian du au fonctionnement de named (qui utilise les signaux pour s'eteindre), race condition impossible à éviter sans l'usage des cgroups.
Mais on a largement commentés systemd y a 7 ans, il faut vraiment lire les archives.
[^] # Re: Je pose la question dans l'autre sens
Posté par Misc (site web personnel) . En réponse au journal Les problèmes d’un desktop sans systemd ?. Évalué à 4.
Visiblement oui, il n'y a pas eu beaucoup d'usage d'Ansible.
Ensuite, c'est mon point. L'adéquation d'un OS pour le serveur, c'est aussi lié à la qualité de son écosystème, et pour le logiciel libre, c'est directement lié au fait qu'assez de personnes l'utilisent pour ça.
Et ce que j'ai vu, c'est que des choses que j'avais supposé comme de base sur un système Linux (avoir un moyen d'installer un serveur automatiquement, avoir des images cloud officiels, avoir un support basique pour des outils populaires) ne le sont pas forcément.
Et pour en revenir au point de base, si ça n'était qu'une question de hardware, ça irait, parce qu'on peut s'en sortir avant des achats judicieux ou de l'occase. Ça coûte un peu d'argent si tu dois changer ton matos, mais on s'en sort.
Sortir 50€ pour une carte wifi qui marche, c'est chiant, mais ça va.
Par contre, quand c'est du logiciel, l'investissement pour faire marcher est différent, et plus coûteux.
[^] # Re: Une mode ?
Posté par Misc (site web personnel) . En réponse au journal Les problèmes d’un desktop sans systemd ?. Évalué à 8.
Je ne dirait pas qu'Alsa a suffit pendant un moment. On avait aRts et ESD il y a 20 à 25 ans parce que justement Alsa et OSS n'étaient pas suffisant.
[^] # Re: Il dit qu'il ne voit pas le rapport
Posté par Misc (site web personnel) . En réponse au journal Les problèmes d’un desktop sans systemd ?. Évalué à 10.
J'ai 7 process avec systemd comme prefixe sur mon portable dans ps fax.
J'ai 114 threads dans le kernel qui apparaissent dans ps fax
Il est intéressant de voir qu'on suppose que les devs du kernel savent ce qu'ils font, mais pas les devs des distros ou les devs systemd vu que 7, c'est trop, mais 114, ç'est pas du tout un signe de complexité croissante dans le kernel.
Par comparaison, la machine FreeBSD dans ma chambre a 27 threads kernel, et 33 sur le même hardware dans le salon sous OpenWRT.
Alors bien sur, d'un coté, c'est un portable, et de l'autre, 2 Rpi 1, donc il y a moins de hardware. Mais logiquement, si on veux réduire la complexité, c'est pas forcément au niveau de l'OS qu'il faut commencer.
[^] # Re: Je pose la question dans l'autre sens
Posté par Misc (site web personnel) . En réponse au journal Les problèmes d’un desktop sans systemd ?. Évalué à 8.
Mon point n'est pas qu'il y a un bug (ça arrive), mais que la communauté autour des BSD me semble trop petite car sinon, les bugs auraient été trouvé plus tôt. Et de ce point découle le fait que l'affirmation "c'est mieux" ne me parait pas se vérifier dans les chiffres.
L'écosystème compte aussi un peu.
Mais le point n'est pas de savoir si ça marche ou pas. Le point est que si il y a 3 firewalls, c'est parce que le ménage n'a pas été fait. Il y a sans doute des bonnes raisons (compat, manque de ressources, etc), mais ça veut dire aussi que tout comme Linux, les noyaux de NetBSD et FreeBSD ont des vieux trucs qui traînent, et que ce n'est pas comme j'ai entendu plusieurs fois "sur FreeBSD, on pense d'abord et ensuite on ajoute quand c'est bon". Le fait d'avoir la même fonction 3 fois me laisse à croire que les 2 premières n'étaient pas assez bonnes, un point normal surtout pour des bénévoles mais omis dans le discours.
Et mon point n'est pas que les BSD sont mauvais, ou que ça soit un souci d'avoir 3 firewalls. Ça tourne correctement, la communauté fait avec ce qu'elle a comme ressources, et clairement, il y a moins de monde payé pour coder que sur les distros Linux, donc c'est assez impressionnant de réussir à maintenir l'OS.
Mais j'ai trop souvent l'impression qu'on invente des qualités la ou il n'y a rien.
C'est un peu ce que je retient de la présentation de 2017 que j'ai collé explique. C'est pas que les BSD sont mieux écrit que Linux qui fait qu'il y a moins de CVE. C'est qu'il y a moins de monde qui trouve car il y a moins de monde qui cherche.
Et hélas, c'est sans doute pareil pour les soucis autre que les failles de sécurités, ce qui me fait relativiser beaucoup les affirmations sur le fait que ça soit mieux.
[^] # Re: Je pose la question dans l'autre sens
Posté par Misc (site web personnel) . En réponse au journal Les problèmes d’un desktop sans systemd ?. Évalué à 9.
Si c'était que le hardware, ça passerait encore. Mais même sur le serveur, les BSDs sont un peu à la ramasse.
Par exemple, j'ai du corriger quelques bugs pour Ansible sur NetBSD et FreeBSD (la détection du système de paquet, ce genre de chose) parce que je devais être le premier à m'en servir.
Automatiser l'installation d'un OpenBSD ou de NEtBSD m'a toujours donné l'impression d'être un bricolage (e.g., pas de preseed/kickstart à l'époque).
Et l'intégration, c'est un peu de la propagande, n'importe qui ayant utilisé de façon un peu poussé voit bien que ça ne corresponds pas vraiment à la réalité.
Par exemple, il y a 3 firewalls sur NetBSD (PF, NPF, IP Filter) et FreeBSD (PF, IPFW et IPFILTER). Ce n'est pas un souci, mais c'est pas ce que j'appelle de l'intégration.
Et de même, l'idée que "les BSDs sont mieux écrit", ça me parait être surtout le signe qu'il y a moins de monde, cf une présentation de 2017 toujours valable.
C'est assez triste, car je pense qu'il est important que des alternatives à Linux existent, mais pour avoir tenter l'aventure, c'est quand même aller contre le courant.
[^] # Re: Même réflexion ... parfois
Posté par Misc (site web personnel) . En réponse au journal Les problèmes d’un desktop sans systemd ?. Évalué à 10.
C'était sans doute un cron avant, ou anacron (vu que le cron qui rafraichi à 3h du mat, quand tu éteint la machine, c'est pas terrible).
Mais du coup, je pige pas le souci, ta distro a choisi d'utiliser systemd pour lancer une tache périodique (sans doute parce qu'un timer permet aussi de limiter les I/O), mais comme tu le dis, tu ne t'es jamais posé la question, c'est peut être parce que ça n'a pas une grande importance ?
Surtout que vixie-cron, le programme que la plupart des distros utilisent, a été écrit en 1987, avec sa dernière release en 2004:
https://github.com/vixie/cron/blob/master/Documentation/Changelog.md
Maintenant, il y a un dépôt de code publique, mais ça n'a pas été le cas pendant très longtemps.
[^] # Re: tz database
Posté par Misc (site web personnel) . En réponse au journal Passage Heure d'hiver : SFR a oublié ?. Évalué à 5.
Pas plus que ce qui arrive maintenant avec des dates de changements qui changent au dernier moment.
Par exemple, le gouvernement du Chili a annoncé le 9 août que le changement d'heure se fait le 11 septembre, et pas le 4 septembre.
Celui d'Égypte fait ça aussi, et je pense que le pays tient le record pour le moment, avec 3 jours de délai entre le changement prévu et le changement (ou plutôt, non changement) effectif.
[^] # Re: rien de choquant
Posté par Misc (site web personnel) . En réponse au lien « Dirigeant toxique », une définition . Évalué à 4.
Alors si, vu que pour commencer, en 7j, tu as sans doute pas le temps de faire des tests utilisateurs ou des études de marché pour savoir si la fonctionnalité a du sens. Tu as sans doute pas le temps de définir exactement ce qui va être un succès ou pas.
Si maintenant, tu parles du fait de regarder le code comme "clair", non, c'est aussi toxique car il n'y a pas de critéres, et qu'en général, on fait plus qu'écrire du code. L'aide des autres employés, les réunions pour s'organiser, la lecture de bug, etc, tout ça, c'est des activités importantes (surtout quand tu es senior), et c'est pas du code.
[^] # Re: Ça aurait pu être pire
Posté par Misc (site web personnel) . En réponse au lien Ce 1er Novembre, OpenSSL 3.0.7 corrige une faille critique. Évalué à 6.
Et c'est un buffer overflow avec fort peu de marge de maneuvre, dans un monde ou on a des protections dans les compilos (activé par quasiment toute les distros), et ou il faut un certificat signé par quelqu'un avant d'exploiter quoi que ce soit.
Il y a pas non plus d'exploit dispo pour le moment, et je pense que ça va sans doute prendre un peu de temps avant d'avoir un PoC utilisable.
[^] # Re: grève ?
Posté par Misc (site web personnel) . En réponse au lien « Dirigeant toxique », une définition . Évalué à 7. Dernière modification le 01 novembre 2022 à 15:01.
Hélas, l'informatique n'est pas épargné, entre les gens qui ont grandi sur le forum JV 12-25 (et qui sont donc sur le marché du travail), et les groupes de fachos qui s'incitent entre eux à aller poster ça via des groupes discord/facebook/telegram dans le but de normaliser et faire bouger la fenêtre d'Overton, c'est pas étonnant.
La pandémie n'a pas aidé, vu que ça aussi donner tout un vivier de personnes en recherche de sens à détourner (on se rappelle de l'incident avec la pancarte antisémite à metz, la fresque de Macron à Avignon, les manifs de Phillipot contre le gouvernement et le passe sanitaire).
Il y a aussi tout une frustration sans doute lié au décalage entre ce qu'on a dit aux étudiants en école d'ingé (à savoir, à vous la belle vie, vous êtes l'élite des devs, etc), et la réaité (à savoir, faire du code de merde qui sert à rien). Le décalage entre ce qu'on attends et ce qu'on a est un moteur assez puissant pour trouver des boucs émissaires, et il se trouve qu'il y a des idéologies qui sont spécialisées dans le sujet.
On peut aussi rajouter qu'il y a sans doute plein de gens qui sont vexés de se faire fermer leur compte twitter, donc c'est une façon de prendre leur revanche.
[^] # Re: En tout cas pour Ole Aamot
Posté par Misc (site web personnel) . En réponse au lien Que se passe-t-il chez Gnome ?. Évalué à 5.
Gnome a migré son infra sur un cluster openshift, donc je suppose qu'il y a un rapport. J'ai cru voir un certain nombre de changements (remplacement du nom de domaine pour les checkouts pour raison technique, dépréciation de ldap en faveur d'un portail basé sur keycloak, etc), mais j'ai pas vu de discussions virulentes sur le canal des admin sys.
[^] # Re: Follow the money
Posté par Misc (site web personnel) . En réponse au lien Brave new trusted boot world. Évalué à 3.
En même temps, je ne suis pas sur qu'il y a beaucoup d'alternatives crédibles.
Ça aurait pu être Intel (psa beaucoup mieux que Microsoft).
Ça aurait pu être un état (par exemple, les USA, comme pour le DNS avant 2016 vu que l'ICANN était une agence du département du commerce des USA), ou un groupe d'état (exemple, l'ITU, une agence de l'ONU). Ou ça aurait pu être un consortium d'entreprises (comme la Linux Foundation), ou un groupe de divers groupes (comme l'ICANN après 2016) ou un système plus ou moins distribué avec des états et des entreprises comme le système de PKI sur le web.
Aucune ne semble parfaite, ou rapide en mettre en place. Maintenant, peut être qu'il est temps de transitionner ça vers une autre structure, mais laquelle.
[^] # Re: Complexité énorme
Posté par Misc (site web personnel) . En réponse au lien Passkeys as a tool for user retention. Évalué à 4.
Oui, c'est l'idée de l'auth 2 facteurs, tu peux plus simplement donner le mot de passe. Dans un monde idéal, tu peux le faire dans le logiciel (eg, une vraie délégation ou tu dis X a le droit de voir Y), mais ça n'arrive jamais sur la plupart des logiciels grand public :/
En fait, ça existe déjà, non ?
Il faut définir "anonyme" un peu plus précisement, à savoir qui ne doit pas savoir quoi (vu que la, ç'est pour l'authentification, ç'est un peu le but de vérifier que tu es toi). Mais ça utilise webauthn, et donc chaque site a un identifiant séparé.
[^] # Re: grève ?
Posté par Misc (site web personnel) . En réponse au lien « Dirigeant toxique », une définition . Évalué à 4. Dernière modification le 01 novembre 2022 à 11:59.
Si son but est de virer du monde sans payer d'indemnités (et je pense que c'est le but), alors ça ne va pas trop marcher.
Ceci dit, j'imagine que ça va être une raison de plus de pousser des syndicats dans l'industrie informatique (dit le gars qui n'a toujours pas fini de remplir le papier qui est sur son bureau depuis 2 ans)
[^] # Re: Ça colle les miquettes !
Posté par Misc (site web personnel) . En réponse au lien vaccins ARNm : L’incidence des lésions myocardiques est 800 fois supérieure à l’incidence habituelle. Évalué à 2.
Nan mais Raoult a fait beaucoup pour vulgariser la science. Après lui, il y a beaucoup de gens qui sont vachement plus vulgaires en science, par exemple :p
Mais d'un point de vue pratique, une fois que c'est sur internet (comme c'est le cas ici), c'est publique et à disposition du grand public. On est plus au siècle dernier ou il suffit d'écrire ton rapport sur les pingouins homosexuels en grec pour éviter de choquer la société.
Est ce que les journaux et les complotistes antivaccins ne devraient pas faire de bruit autour de ça car c'est mal compris ?
Ça me parait logique, mais ils vont quand même le faire, car ils en tirent un bénéfices. Les journaux (ou plutôt, certaines publications) le font pour survivre via du trafic web (donc des pubs, donc des salaires).
Les complotistes antivaccins le font pour la même raison (pour le début de la chaîne), ou parce que ça justifie leur vision du monde (cf cet article que j'ai vu sur un article de blog sur la question des TERFs, un sujet qui est quand même assez éloigné des complots antivaxx, mais visiblement, les concepts s'appliquent aussi).
L'auteur explique qu'il y a une offre pour des complots car il y a une demande, et que la demande est liée à la nature humaine.
Donc du coup, en théorie, oui, les choses ne devraient pas être publié sans vulgarisation. En pratique, qui va devoir faire la vulgarisation quand il y a des acteurs qui ne respectent pas les "règles" à dessein, et quand la non publication n'est à mon sens pas une solution ?
[^] # Re: rien de choquant
Posté par Misc (site web personnel) . En réponse au lien « Dirigeant toxique », une définition . Évalué à 8.
Sauf erreur de ma part, comme il est proprio, il a viré le board et les directeurs.
En effet, mais visiblement, il le fait. Ensuite, je ne sais pas si c'est dans un but de communication à l'attention des investisseurs, ou à l'attention des salariés.
Ou si il est simplement en roue libre.
[^] # Re: je confirme
Posté par Misc (site web personnel) . En réponse au journal Non, mais oui, mais non : Disney+ et Linux. Évalué à 6.
Peut être qu'il n'y en a simplement pas, et que c'est une erreur.
Genre un système d'apprentissage automatique qui a juste appris un mauvais truc, une lib importé pour vérifier si une requête HTTP est conforme sans avoir pensé à la poignée de gens qui utilisent Linux sur le desktop (voir même sans avoir vu la vérification en question caché dans un truc au fin fond d'une dépendance).
Si ça semble non communiqué et inutile, y a quand même plus de chance que ça soit un bug qu'autre chose.