Moonz a écrit 3542 commentaires

mais je n'avais pas vu de gesionnaire de mots de passes qui soit libre, dont on peut installer sa propre instance, disponible à distance, et si possible pas en Java ou NodeJS

Tu n’as pas bien cherché alors:

https://www.passbolt.com
https://bitwarden.com
https://github.com/clipperz/password-manager
https://github.com/ehazlett/locksmith
http://indefero.soutade.fr/p/gpass/
https://github.com/sloonz/wkr/

Sinon, pourquoi utiliser SHA256 (sans salt en plus !) pour dériver une clé AES à partir d’un mot de passe, alors que PBKDF2 est fait pour ça et dispo dans WebCrypto ?

    (max-src-conn-rate 3/60, \
    overload <blacklist> flush global)

Moi, ce que je lis de cette règle, c’est placer dans la blacklist toute connexion "trop rapide" (ie >3/minute). fail2ban ne met en blacklist que les tentatives infructueuses.

Avec ta règle, si j’ouvre 4 connections valides (avec la bonne clé/le bon mot de passe), ben je me fais quand même jeter.

Dans un article sur medium, François Chollet, lui, dit que c'est linéaire (c'est une opinion, pas plus, mais d'un spécialiste du domaine quand même).

Et pour ceux qui sont intéressés par le débat, une réponse du MIRI.

The first 56 planes encode possible ‘queen moves’ for any piece: a number of squares [1..7] in which the piece will be moved, along one of eight relative compass directions {N,NE,E,SE,S,SW,W,NW}

Je ne vois pas ce qu’il y a de pas clair là dedans ?

Le premier échiquier représente la probabilité P(i,j) que la pièce à l’emplacement (i,j) bouge d’une case vers le nord.
Le second échiquier représente la probabilité P(i,j) que la pièce à l’emplacement (i,j) bouge de deux cases vers le nord.
…
Le septième échiquier représente la probabilité P(i,j) que la pièce à l’emplacement (i,j) bouge de sept cases vers le nord.
Le huitième échiquier représente la probabilité P(i,j) que la pièce à l’emplacement (i,j) bouge d’une case vers le nord-est.
…
Le 56e échiquier représente la probabilité P(i,j) que la pièce à l’emplacement (i,j) bouge de sept cases vers le nord-ouest.

MacOS X non plus n’arrive pas à détrôner Windows. C’est parce que Apple c’est des buses aussi ?

Pour détrôner Windows, il ne faut pas être équivalent, ou légèrement meilleur. Il faut être significativement meilleur, le genre de différence entre MS-DOS et Windows 95 (parce que changer demande de l’effort, parce que passer dans la minorité signifie se couper de pas mal d’aide potentielle, parce que habitudes, parce que retrocompatibilité, parce que le moindre petit souci sous Linux = Linux c’est de la merde tout en acceptant sans broncher de plus gros soucis sous Windows…). Personne sur ce site ne prétend que Linux est à ce point meilleur que Windows.

Permet nous par contre d’être légèrement agacé par vos « si Linux ne perce pas c’est parce qu’il a une logithèque de merde lol ».

Sauf qu’entre XUL et l’API actuelle (WebExtension), Mozilla a créé puis déprécié deux API (JetPack et une autre dont j’ai oublié le nom). C’est un peu difficile ensuite de reprocher aux développeurs de vouloir targeter l’API qui est là depuis le début plutôt que "la dernière à la mode promis cette fois c’est la bonne".

Cela dit ça ne doit pas être coûteux de partager le parent du dossier utilisateur (traditionnellement /home) sous linux. Cela dit je me demande comment smbnetfs s’en sort avec l’option de samba qui cache à l’utilisateur identifié les fichers et dossiers qu’il ne peut pas lire, puisque si j’ai bien compris l’intérêt de smbnetfs est de tout montrer côté client, et une fois que tout est là, seuls ceux qui ont accès parcourent l’arborescence. Hors avec ladite option de Samba, c’est le serveur qui cache des choses de l’arborescence au client… À essayer mais pour le moment j’ai du mal à imaginer comment ça pourrait marcher…

Puisque ton serveur est sous Samba et non Active Directory, la solution est simple : monte le parent, globalement (/home) avec un partage NFS.

et ce quelque chose, en plus de recevoir l’identifiant et le mot de passe pour le transférer à gnome pour les composants qui en ont besoin (seahorse),

Je n’utilise pas gnome, mais le wiki ArchLinux me dit que c’est possible d’ouvrir le keyring seahorse avec PAM: https://wiki.archlinux.org/index.php/GNOME/Keyring#PAM_method

utiliserait l’identifiant et le mot de passe pour, entre autre : […] mount

N’utilise pas le mot de passe de l’utilisateur pour monter un partage Samba. Kerberos c’est fait pour ça. sssd te fournis automatiquement un TGT à l’ouverture de la session.

(une recherche rapide me montre que quelqu’un a réussi avec pam_mount: https://lists.samba.org/archive/samba/2015-November/195569.html)

J’ai regardé vite fait l’exemple. Deux trucs louches pour ton usage (qui est: on veut un domaine par défaut) :

• Pas de default_realm dans /etc/krb5.conf
• use_fully_qualified_names à true dans sssd.conf. Comme indiqué dans la doc :

set to true, all requests to this domain must use fully qualified domain names. It also means that the output from the request displays the fully-qualified name. Restricting requests to fully qualified user names allows SSSD to differentiate between domains with users with conflicting user names.

Est-ce que cette configuration est indépendante de l’utilisateur ?

Avec cette configuration (fstab + script dans /etc/X11/Xsession.d) ça peut être un poil compliqué : il va falloir une entrée /home/$login par utilisateur dans /etc/fstab. Une solution serait de faire un script suid root qui créé l’entrée dans /etc/fstab dynamiquement et qui serait appelé par ton script dans /etc/X11/Xsession.d.

Une autre solution serait de passer par pam_mount, mais encore une fois j’ai jamais touché à ça.

Une troisième solution serait d’avoir un montage samba statique sur /home au lieu d’un montage samba dynamique sur /home/$login.

Déjà rien que pour commencer il faudrait que l’utilisateur n’ait pas à saisir le domaine quand il s’identifie… Ça commence là.

Je ne sais pas comment tu as configuré l’intégration AD, mais je l’ai fais plusieurs fois avec sssd et il n’y a pas besoin de saisir le domaine (sauf au moment où l’admin joint la machine au domaine)

la session s’ouvre avec tous les dossiers réseaux monté

Ajoute l’entrée dans /etc/fstab avec les options user,sec=krb5. L’utilisateur pourra monter le dossier avec mount sans avoir à saisir son mot de passe. Tu peux ajouter la commande mount quelque part dans /etc/X11/Xsession.d/ si tu veux automatiser ça.

Il y a certainement moyen avec pam_mount de faire le point de montage dans $HOME (ou quelque chose comme /run/user), mais comme chez nous on a besoin que ce soit sur un chemin fixe, j’ai pas expérimenté avec ça.

i3. Raison n°1 pour laquelle je suis sous Linux alors que la majorité des logiciels que j’utilise tournent sous wine.

Tu mélanges les deux termes différents derrière le mot déflation : variation du pouvoir d’achat d’une unité de compte ou variation de la quantité de monnaie. Généralement sur des monnaies stables mélanger les deux n’est pas très grave parce qu’ils vont ensemble (il y a quelques contre-exemples historiques mais c’est de l’ordre du point de détail), mais ce n’est pas le cas de bitcoin.

Quand on dit (comme plus haut et ce à quoi je réagis) que Bitcoin est par design déflationniste, c’est par référence à la deuxième définition (quantité de monnaie limitée). Quand tu parles du prix d’un iPhone en bitcoin, tu fais référence à la seconde définition. Tu as parfaitement raison mais c’est à coté de la plaque sur la discussion actuelle. Le fait est qu’actuellement bitcoin est par design inflationniste, dans le sens où la quantité de bitcoin en circulation (l’offre de bitcoin) augmente continuellement. Si la demande de bitcoin restait constante, on constaterait effectivement une diminution de la valeur de chaque bitcoin.

L’explosion de la valeur du bitcoin proviens avant tout d’une explosion de la demande (peu étonnante, quand on passe d’un jouet de Geek à faire les gros titres). Mais c’est quelque chose de circonstanciel (hype/bulle), qui n’a rien à voir avec le design fondamental de bitcoin, qui est actuellement à 4% d’inflation de la masse monétaire/an.

Donc la technologie est mauvaise, c'est tout. a ne pas utiliser tant qu'on n'a pas trouvé le "remède" au gros problème engendré

Toute technologie a des problèmes, surtout au début. Ça ne veut pas dire tout abandonner tant que la perfection n’est pas atteinte, sinon on avance pas. Il y a ~5000 morts par accident de la route en France, ce qui me semble autrement plus grave que « pas super efficace énergétiquement », c’est pas pour autant qu’il faut arrêter d’utiliser la voiture.

reference needed

Flemme de trouver la référence exacte d’autant plus que je doute que tu t’y intéresses réellement, mais je suis sur à 90% que Rothbard en parle dans le chapitre 11 de Man, Economy and State

L’autre explication est que Bitcoin a été créé avant tout en tant que POC/jouet (un peu comme ça). C’est extrêmement complexe de permettre les transactions instantanées dans un système P2P (à mes maigres connaissances aucune cryptomonnaie n’a encore réussi ça, atteindre un consensus dans le réseau ça prend du temps). L’aspect énergivore, jusqu’à preuve du contraire (cad quand quelqu’un aura réussi à faire fonctionner une cryptomonnaie basée sur du PoS) est nécessaire pour garantir la sécurité du réseau. L’aspect déflationniste est (1) pour le futur, donc je vois pas pourquoi tu en parles comme au présent (là, maintenant, bitcoin est toujours dans sa phase d’inflation) et (2) désirable économiquement selon les autrichiens (théorie économique assez populaire dans le milieu geek/libertarien).

Mais la théorie « c’est une arnaque » étant tellement plus fun, pourquoi s’en priver ?

https://en.wikipedia.org/wiki/Bitcoin#/media/File:Total-bitcoins.svg

Entre 2010 et 2013 tes deux points sont respectés : la quantité de monnaie augmente continuellement, et la récompense par bloc miné est constante. Dirais-tu pour autant qu’à cette époque il n’y avait pas de prime au premier arrivant ?

(tu noteras que la création de bitcoins n’a que légèrement diminuée depuis, on en est pas encore à la phase "quantité totale de bitcoin limitée)

comme par hasard

Du coup je suis curieux, comment tu designerais une monnaie virtuelle de telle sorte que ses possesseurs initiaux ne soient pas favorisés ? J’ai du mal à voir comment tu peux faire ça…

nettement plus qu'un code écrit en Brainfuck par un obscur codeur

Tu peux aussi faire des diagrammes mal chiadés, qui partent dans tous les sens, avec des libellés absolument pas explicites voire trompeurs. Après, c’est sur que si ta référence de qualité pour le code c’est du brainfuck…

Je te donne les plans d’architecte d’un aéroport et tu as deux heures pour m’expliquer ce que tu as compris.

Personne n’a dit le contraire. Ce qu’on dit, c’est qu’ajouter des fonctionnalités n’est pas un bénéfice « gratuit » sans contrepartie. Implémenter ou non implémenter, les deux ont des bénéfices et des couts. Pour le type somme, les concepteurs de Go ont jugé que le bénéfice apporté (dont personne n’a soutenu qu’il était nul) était plus faible que les surcouts.

Prend l’exemple sur lequel tu rales depuis le début de ce topic : l’absence de type somme dans Go.

Peut-être que d’un point de vue d’un théoricien, c’est mieux. Peut-être. Je ne suis pas théoricien. Je te fais confiance.

Mais s’ils veulent l’implémenter, il va falloir : l’implémenter, maintenir du code supplémentaire, le documenter, maintenir une documentation plus lourde, le tester, maintenir plus de tests. Et ce n’est pas simplement l’implémentation de référence : l’écosystème aussi va avoir à le supporter (par exemple, les outils d’analyse statique, de fuzzing, de génération de documentation, d’autocomplétion dans les IDE…)

Tout ça a un cout bien réel, peu importe l’élégance théorique du concept.

C'est juste aussi de dire qu'ils n'ont visiblement pas vraiment pris le temps de regarder ce qui s'était fait dans les autres langages pour en reprendre les bonnes idées, et que ça se voit dans le langage.

https://github.com/golang/go/issues/19412

This has been discussed several times in the past, starting from before the open source release

C’est pas qu’ils n’ont pas pris la peine de se poser la question, c’est qu’ils se sont posés la question et qu’ils ont décidé que ça n’en valait pas la peine.

Un des trucs que j'aimais bien dans Lisaac, c'était sa syntaxe à mot clef. C'est à dire que l'on pouvait écrire des fonctions "à trou" genre func CreateUnObjet (string name) with (string comment).

Comme en Objective-C ?

STARTTLS est vulnerables aux attacks MitM

Seulement dans les cas où SMTPS est de toute façon impossible à utiliser.

Les 66% récupérables sur l’IR, ça s’applique à donner à Wikipedia directement ?

l'ajout d'un nouveau champ utilities sur les Housing afin de mentionner si les charges sont incluses ou non dans le loyer récupéré par le module ;

Pourquoi ne pas donner le prix chargé tout simplement ? Franchement, le loyer hors-charge je n’en ai rien à carrer.

Bon, plus lentement.

Le zorgluf est une monnaie déflationniste idéale (idéale dans le sens physique, « pure », pas dans le sens « utopique ») : chaque année le 1er janvier, 10% des zorgluf disparaissent purement et simplement, et tous les prix, salaires, etc baissent de 10%.

Dans cette situation, je te propose le deal suivant : je te prête 100 zorgluf au 31 décembre et tu me rends 100 zorgluf au 1er janvier. Un prêt à un taux d’intérêt nominal de 0%.

Deal ou pas deal ?

Comme tu as une bonne bouille, je te fais un prix d’ami. Je te prête 100 zorgluf au 31 décembre et tu me rends 95 zorgluf au 1er janvier. Taux d’intérêt nominal négatif !

Deal ou pas deal ?

Ouais, donc du coup, je ne vois comment les banques pourraient disparaitre, puisque c'est exactement ce qu'elles font

On a juste un désagrément de terminologie alors. Pour moi la banque c’est avant tout l’organisme qui gère ton compte courant ; qu’elle fasse des prêts ou de l’épargne à coté, c’est qu’un bonus non essentiel.

Pour toi un prêteur sur gage c’est un genre de banquier ?

Je te prête 100 Bt et tu m'en rends 90 dans 1 an? Quel est mon intérêt de te les prêter?

Si 90 btc dans un an a 10% de pouvoir d’achat en plus que 100 btc aujourd’hui, l’intérêt me semble évident.

Je veux dire, le principe de la blockchain (les algos qui permettent la sécurisation d'une information partagée). Il y a quand même un gros travail et une vraie innovation derrière cette technologie.

Je ne comprend toujours pas la distinction que tu fais. La seule innovation de bitcoin à ce niveau c’est l’idée du proof-of-work, ce que tu décris (non pas sans raisons) comme coûteux, anti-écologique et inefficace.