Si un attaquant qui compromet ta chaîne de démarrage ne fait pas partie de ton modèle de sécurité, pourquoi ne pas tout simplement désactiver secure boot ?
Est-ce que tu as un exemple de jurisprudence ? Après j'imagine que le simple fait de garder la signature ou l'en-tête sur des données modifiées pourrait être interprété comme une altération de la vérité de qui est l'auteur du certificat.
Ce n'est pas tant pour l'acte de mariage que pour la publication des bans : ils sont affichés devant les mairies de résidence de chacun des époux, ce qui est théoriquement utile pour… je ne sais pas trop, soulever une nullité à propos du mariage de tes voisins ?
Il y a une dizaine d'années, l'agent comptable de la CPAM 94 exigeait que les RIBs soient datés et signés au dos.
Évidemment cette exigence n'était documentée nulle part, même les agents dans les antennes locales du département n'étaient pas toujours au courant, on ne le découvrait qu'au moment du refus du dossier (renvoyé dans son intégralité, il fallait tout recommencer à zéro).
Je suis très content de fastmail, très pro, fervent défenseur des standards ouverts, excellent service client (anglophone). Mais c'est potentiellement cher si tu as besoin de beaucoup d'utilisateurs, et ils ne font plus XMPP depuis 2016 (ils avaient commencé en 2008) : https://fastmail.blog/historical/shutting-down-our-xmpp-chat-service/
[Je travaille chez Google, mais je n’ai aucune information interne sur cette décision et ce qui suit est un commentaire personnel qui n'engage pas mon employeur.]
Car en effet, et comme dit, certains services restant accessibles, l'une des clefs reste valide pour ces cas là. Mais le développeur qui proposera un tel accès sera facturé dès la première connexion.
Ce n’est pas ce que dit l’article d’AlienBob.
L’accès à safe-browsing (et autres services qui nécessitent de contacter les serveurs de Google sans authentifier l’utilisateur) restera possible avec une API key et un certain quota d’utilisation gratuit. Par contre, les mainteneurs de distributions ont bénéficié jusqu’à présent d’une augmentation de ce quota, en raison du large nombre d’utilisateur. AlienBob n’est pas sûr pour l’instant de si ce quota élargi sera maintenu après le 15 mars, mais Google n’a pas prétendu qu’il sera restreint, et la communication envoyée ne concernait ni cette API, ni la question de la gratuité. Par ailleurs, AlienBob indique dans les commentaires de son propre article qu’il va finalement attendre de voir ce qu’il en est du quota et de l’usage en pratique avant de décider s’il force les distributions dérivées à obtenir leur propre API key. A priori, il devrait être possible aux mainteneurs de ces distributions de demander un quota élargi au besoin pour leur propre clé.
En revanche, l’accès à Cloud Sync (et autres APIs nécessitant un Client-ID, ie. accédant à des données personnelles de l’utilisateur) sera coupé purement et simplement. Google invoque des raisons de sécurité des données. On lit entre les lignes une volonté de changer les mécanismes de sécurité à moyen terme, pour une version qui ne serait sans doute plus compatible avec le modèle actuel, mais ils ne donnent pas plus de détails à part qu’il n’y a à leur connaissance pas eu d’incident de sécurité (donc que la faille, s’il y en une, n’a pas été exploitée en pratique). Là il n’est pas question de coût du tout, des intégrateurs de ChromiumOS ont demandé sur le thread chrome-packagers s’ils pouvaient payer pour continuer d’avoir accès, et la réponse a été clairement non. Ceux dans la pire situation ne sont pas les fabricants de SmartTV mais les vendeurs de portables sous ChromiumOS (à part pour les revendeurs officiels comme Acer et Samsung), parce que leurs utilisateurs ne pourront plus se connecter du tout à leur ordi !
Je trouve également très frustrant le manque de transparence sur ce changement brutal, mais s’il s’agit effectivement d’une faille potentielle mais pas exploitée, on peut comprendre la grande prudence à ne pas communiquer plus de détails.
Ou sinon, on utilise OpenID et http://openid.xmpp.za.net, ce qui permet d'avoir le meilleur des deux mondes : un système qui marche sur tous les sites implémentant OpenID et l'authentification via xmpp. Ça fait une bonne décennie que ça marche…
Il n’est pas développeur, il est responsable de la sortie des versions stables. C’est un rôle différent, de coordination : vérifier que le projet est stable, qu’il n’y a pas de bug critique, sortir une version RC, recueillir des retours, faire une archive de la version stable, l’annoncer, etc. Parfois, c’est le développeur principal (et unique) qui joue ce rôle, mais ici, c’est quelqu’un de distinct, et quelqu’un qui — apparemment — n’a pas l’envie ou les compétences de toucher au code lui-même.
De même, il n’a pas forké le projet : il a créé un projet périphérique, dspam-milter, qui permet d’interfacer dspam avec d’autres logiciels.
[Tout ceci est une analyse rapide, après 5 minutes de recherches, sous réserve que j’ai raté des infos importantes.]
Je me rends bien compte que je réponds sérieusement à un commentaire humoristique, mais juste au cas où certains passent à côté de l’ambiguïté :
"bananes difficiles"
J’ai utilisé le terme de « questions pièges » et non pas « questions difficiles » pour une raison. Il n’est pas question de remettre en cause le fait que les questions posées sont effectivement difficiles. Elles ne sont juste pas piègeuses, dans le sens où elles ont un rapport très direct avec le poste espéré : pas de question de physique ou de zoologie (comme dans l’exemple du mixeur) pour un poste de développeur par exemple.
J’ai la même réflexion sur l’exagération. En fait, l’esprit de ces questions (raisonner en ordre de grandeur) n’est pas totalement étranger à certaines questions vraiment posées. Donc je me demande si l’on ne se trouve pas face à une « traduction » pour l’homme de la rue du genre de questions posées — pour en saisir vulgairement l’essence sans rentrer dans des détails d’ingénierie qui ont, malgré tout en fait, leur importance.
Pour avoir passé plusieurs interviews avec des entreprises telles qu’Apple et Google, je ne comprends pas ce délire des « questions pièges » qui revient comme un marronnier dans la presse. On ne m’a jamais posé de telles questions. Il y a parfois des questions de Fermi (donner un ordre de grandeur pour un résultat), mais toujours lié à un problème d’informatique — le débit de telle communication, le temps d’exécution de tel algorithme. Essentiellement, les questions concerne de la programmation et de la conception de système ou d’API ; suivant les postes, un peu de réseau, OS et bases de données aussi.
J'avais essayé hevea aussi, mais le résultat est vraiment peu fidèle à l'original, je n'aimais pas du tout. J'ai été enchanté par le peu connu htlatex pour produire du html à partir du tex.
Il y a aussi sa-exim, qui analyse le message avec spamassassin au moment de sa réception (avant de dire à l'émetteur qu'il a été accepté) et applique du greylisting seulement si le score est ambigu.
Sinon, paraîtrait-il qu'un bon rendu sur un navigateur en mode texte serait le signe d'une bonne compatibilité avec les lecteurs d'écran pour aveugles
La réalité est bien plus complexe, parce qu'il n'y a pas un profil typique de l'internaute aveugle.
Une étude de 2012 qui met en lumière cette diversité : http://webaim.org/projects/screenreadersurvey4/
En vrac : certains utilisent le braille, d'autres la synthèse vocale, voire un mélange des deux; javascript est le plus souvent activé; les CAPTCHA et le flash sont une plaie.
On remarquera quand même l'importance de bien structurer les pages (avec h1, h2, etc.) et d'inclure des liens hypertextes et un module de recherche.
[^] # Re: Statut de bcachefs
Posté par MrLapinot (site web personnel) . En réponse au journal les dépêches noyal Linux me manquent. Évalué à 8 (+6/-0).
Absolument pas, ils utilisent ostree, qui fonctionne au-dessus du système de fichier : https://ostreedev.github.io/ostree/
[^] # Re: fin du support 32 bits - meme question
Posté par MrLapinot (site web personnel) . En réponse à la dépêche Debian GNU/Linux 13 : prêt pour le service. Évalué à 2 (+0/-0).
Si un attaquant qui compromet ta chaîne de démarrage ne fait pas partie de ton modèle de sécurité, pourquoi ne pas tout simplement désactiver secure boot ?
[^] # Re: Ce n'est pas parce que c'est pas un faux que ce n'est pas illégal
Posté par MrLapinot (site web personnel) . En réponse au journal Du travail de vraissaire. Évalué à 5.
Je crois que tu te trompes : autant je suis d'accord avec toi sur les questions de préjudice et de non-utilisation, autant le terme falsifier implique une altération de la vérité. C'est aussi l'analyse de toutes les sources que je trouve, par exemple :
- https://www.service-public.fr/particuliers/vosdroits/F31612
- http://zarawoh.free.fr/doc%20opj/OPJ_%5B01%5D_DROIT_PENAL_SPECIAL/documents/46513.pdf
Est-ce que tu as un exemple de jurisprudence ? Après j'imagine que le simple fait de garder la signature ou l'en-tête sur des données modifiées pourrait être interprété comme une altération de la vérité de qui est l'auteur du certificat.
[^] # Re: Ma vie
Posté par MrLapinot (site web personnel) . En réponse au journal Du travail de vraissaire. Évalué à 7.
Ce n'est pas tant pour l'acte de mariage que pour la publication des bans : ils sont affichés devant les mairies de résidence de chacun des époux, ce qui est théoriquement utile pour… je ne sais pas trop, soulever une nullité à propos du mariage de tes voisins ?
[^] # Re: Ma vie
Posté par MrLapinot (site web personnel) . En réponse au journal Du travail de vraissaire. Évalué à 6.
Il y a une dizaine d'années, l'agent comptable de la CPAM 94 exigeait que les RIBs soient datés et signés au dos.
Évidemment cette exigence n'était documentée nulle part, même les agents dans les antennes locales du département n'étaient pas toujours au courant, on ne le découvrait qu'au moment du refus du dossier (renvoyé dans son intégralité, il fallait tout recommencer à zéro).
# Citer la source
Posté par MrLapinot (site web personnel) . En réponse au journal Challenge: Écrire la plus petite implémentation de /bin/true. Évalué à 10.
Ça serait chouette de citer la source ayant inspiré ce billet : http://rachelbythebay.com/w/2022/04/06/text/
Ou alors c'est un hasard mais dans ce cas il est absolument extraordinaire ;-)
[^] # Re: un livre australien ludique
Posté par MrLapinot (site web personnel) . En réponse au journal Livre pour expliquer l'architecture informatique aux enfants. Évalué à 8.
https://csunplugged.org/
# Fastmail
Posté par MrLapinot (site web personnel) . En réponse au journal courriels,calendrier,contacts,clavardage sans "google suite"... . Évalué à 9.
Je suis très content de fastmail, très pro, fervent défenseur des standards ouverts, excellent service client (anglophone). Mais c'est potentiellement cher si tu as besoin de beaucoup d'utilisateurs, et ils ne font plus XMPP depuis 2016 (ils avaient commencé en 2008) : https://fastmail.blog/historical/shutting-down-our-xmpp-chat-service/
# Précisions : gratuité et sécurité
Posté par MrLapinot (site web personnel) . En réponse au journal AlienBob et les dédales de Chromium sous Slackware. Évalué à 10.
[Je travaille chez Google, mais je n’ai aucune information interne sur cette décision et ce qui suit est un commentaire personnel qui n'engage pas mon employeur.]
Ce n’est pas ce que dit l’article d’AlienBob.
L’accès à safe-browsing (et autres services qui nécessitent de contacter les serveurs de Google sans authentifier l’utilisateur) restera possible avec une API key et un certain quota d’utilisation gratuit. Par contre, les mainteneurs de distributions ont bénéficié jusqu’à présent d’une augmentation de ce quota, en raison du large nombre d’utilisateur. AlienBob n’est pas sûr pour l’instant de si ce quota élargi sera maintenu après le 15 mars, mais Google n’a pas prétendu qu’il sera restreint, et la communication envoyée ne concernait ni cette API, ni la question de la gratuité. Par ailleurs, AlienBob indique dans les commentaires de son propre article qu’il va finalement attendre de voir ce qu’il en est du quota et de l’usage en pratique avant de décider s’il force les distributions dérivées à obtenir leur propre API key. A priori, il devrait être possible aux mainteneurs de ces distributions de demander un quota élargi au besoin pour leur propre clé.
En revanche, l’accès à Cloud Sync (et autres APIs nécessitant un Client-ID, ie. accédant à des données personnelles de l’utilisateur) sera coupé purement et simplement. Google invoque des raisons de sécurité des données. On lit entre les lignes une volonté de changer les mécanismes de sécurité à moyen terme, pour une version qui ne serait sans doute plus compatible avec le modèle actuel, mais ils ne donnent pas plus de détails à part qu’il n’y a à leur connaissance pas eu d’incident de sécurité (donc que la faille, s’il y en une, n’a pas été exploitée en pratique). Là il n’est pas question de coût du tout, des intégrateurs de ChromiumOS ont demandé sur le thread chrome-packagers s’ils pouvaient payer pour continuer d’avoir accès, et la réponse a été clairement non. Ceux dans la pire situation ne sont pas les fabricants de SmartTV mais les vendeurs de portables sous ChromiumOS (à part pour les revendeurs officiels comme Acer et Samsung), parce que leurs utilisateurs ne pourront plus se connecter du tout à leur ordi !
Je trouve également très frustrant le manque de transparence sur ce changement brutal, mais s’il s’agit effectivement d’une faille potentielle mais pas exploitée, on peut comprendre la grande prudence à ne pas communiquer plus de détails.
# OpenID et XEP 0070
Posté par MrLapinot (site web personnel) . En réponse à la dépêche Authentifiez-vous sans mot de passe grâce à XMPP !. Évalué à 10.
Ou sinon, on utilise OpenID et http://openid.xmpp.za.net, ce qui permet d'avoir le meilleur des deux mondes : un système qui marche sur tous les sites implémentant OpenID et l'authentification via xmpp. Ça fait une bonne décennie que ça marche…
[^] # Re: Lapin compris
Posté par MrLapinot (site web personnel) . En réponse au journal Antispam sans DSpam. Évalué à 4.
Il n’est pas développeur, il est responsable de la sortie des versions stables. C’est un rôle différent, de coordination : vérifier que le projet est stable, qu’il n’y a pas de bug critique, sortir une version RC, recueillir des retours, faire une archive de la version stable, l’annoncer, etc. Parfois, c’est le développeur principal (et unique) qui joue ce rôle, mais ici, c’est quelqu’un de distinct, et quelqu’un qui — apparemment — n’a pas l’envie ou les compétences de toucher au code lui-même.
De même, il n’a pas forké le projet : il a créé un projet périphérique, dspam-milter, qui permet d’interfacer dspam avec d’autres logiciels.
[Tout ceci est une analyse rapide, après 5 minutes de recherches, sous réserve que j’ai raté des infos importantes.]
[^] # Re: Cafetière à piston
Posté par MrLapinot (site web personnel) . En réponse au journal Un café avec Google. Évalué à 7.
Tu mouds ton thé toi-même ?
[^] # Re: Réponses de cachalot
Posté par MrLapinot (site web personnel) . En réponse au journal Un café avec Google. Évalué à 4.
Je me rends bien compte que je réponds sérieusement à un commentaire humoristique, mais juste au cas où certains passent à côté de l’ambiguïté :
J’ai utilisé le terme de « questions pièges » et non pas « questions difficiles » pour une raison. Il n’est pas question de remettre en cause le fait que les questions posées sont effectivement difficiles. Elles ne sont juste pas piègeuses, dans le sens où elles ont un rapport très direct avec le poste espéré : pas de question de physique ou de zoologie (comme dans l’exemple du mixeur) pour un poste de développeur par exemple.
[^] # Re: Questions d’interview
Posté par MrLapinot (site web personnel) . En réponse au journal Un café avec Google. Évalué à 2.
J’ai la même réflexion sur l’exagération. En fait, l’esprit de ces questions (raisonner en ordre de grandeur) n’est pas totalement étranger à certaines questions vraiment posées. Donc je me demande si l’on ne se trouve pas face à une « traduction » pour l’homme de la rue du genre de questions posées — pour en saisir vulgairement l’essence sans rentrer dans des détails d’ingénierie qui ont, malgré tout en fait, leur importance.
[^] # Re: Questions d’interview
Posté par MrLapinot (site web personnel) . En réponse au journal Un café avec Google. Évalué à 2.
Oui, on m’a fait plusieurs offres.
# Questions d’interview
Posté par MrLapinot (site web personnel) . En réponse au journal Un café avec Google. Évalué à 9.
Pour avoir passé plusieurs interviews avec des entreprises telles qu’Apple et Google, je ne comprends pas ce délire des « questions pièges » qui revient comme un marronnier dans la presse. On ne m’a jamais posé de telles questions. Il y a parfois des questions de Fermi (donner un ordre de grandeur pour un résultat), mais toujours lié à un problème d’informatique — le débit de telle communication, le temps d’exécution de tel algorithme. Essentiellement, les questions concerne de la programmation et de la conception de système ou d’API ; suivant les postes, un peu de réseau, OS et bases de données aussi.
Bref, si vous voulez des exemples de comment se passe des entretiens d’embauche chez Google et consorts, allez plutôt jeter un coup d’œil sur Glassdoor : http://www.glassdoor.com/Interview/Google-Interview-Questions-E9079.htm
# tex4ht
Posté par MrLapinot (site web personnel) . En réponse au journal Liseuses ebook : convertir de tex vers epub. Évalué à 4.
J'avais essayé hevea aussi, mais le résultat est vraiment peu fidèle à l'original, je n'aimais pas du tout. J'ai été enchanté par le peu connu htlatex pour produire du html à partir du tex.
http://tug.org/tex4ht/
Ensuite, calibre avec l'option nocover pour la génération d'un epub est effectivement le meilleur choix. Mon Makefile (parce que les options de htlatex sont un peu dures à trouver) :
https://kerneis.info/gitweb/?p=qemu-cpc-article.git;a=blob;f=Makefile;h=bfb787d350d85d8c50448b76ea7353a7283a7307;hb=1c6f6c5fc2e884e931e92e577e8b7c04c6092494
L'original en pdf :
http://gabriel.kerneis.info//research/files/qemu-cpc.pdf
Le résultat en html :
http://gabriel.kerneis.info//research/files/qemu-cpc/
Et en epub :
http://gabriel.kerneis.info//research/files/qemu-cpc.epub
# Merci
Posté par MrLapinot (site web personnel) . En réponse au journal GNOME/GTK+: WTF? (et au passage une astuce). Évalué à 2.
Moi aussi, ça me perturbait, mais je n'avais aucune idée d'où ça pouvait bien venir. Merci !
[^] # Re: Question de noob
Posté par MrLapinot (site web personnel) . En réponse à la dépêche À la Croisée des Chemins: crossroad, environnement de cross-compilation. Évalué à 2.
Magique. Merci beaucoup.
[^] # Re: Question de noob
Posté par MrLapinot (site web personnel) . En réponse à la dépêche À la Croisée des Chemins: crossroad, environnement de cross-compilation. Évalué à 2.
Question de noob qui commence à cross-compiler pour Windows : tu fais comment pour partager un dossier avec ta VM simplement ?
[^] # Re: solution antispam
Posté par MrLapinot (site web personnel) . En réponse à la dépêche Héberger son courriel. Évalué à 4. Dernière modification le 12 octobre 2013 à 10:19.
Il y a aussi sa-exim, qui analyse le message avec spamassassin au moment de sa réception (avant de dire à l'émetteur qu'il a été accepté) et applique du greylisting seulement si le score est ambigu.
[^] # Re: Telnet
Posté par MrLapinot (site web personnel) . En réponse au journal Wikipedia sous Gopher. Évalué à 5.
La réalité est bien plus complexe, parce qu'il n'y a pas un profil typique de l'internaute aveugle.
Une étude de 2012 qui met en lumière cette diversité : http://webaim.org/projects/screenreadersurvey4/
En vrac : certains utilisent le braille, d'autres la synthèse vocale, voire un mélange des deux; javascript est le plus souvent activé; les CAPTCHA et le flash sont une plaie.
On remarquera quand même l'importance de bien structurer les pages (avec h1, h2, etc.) et d'inclure des liens hypertextes et un module de recherche.
[^] # Re: Comment ça se passe d'un point de vue législatif ?
Posté par MrLapinot (site web personnel) . En réponse à la dépêche Financement participatif de dessin symétrique dans GIMP. Évalué à 3.
Par contre, ce qui peut faire mal, c'est la taxe professionnelle (même si l'on est exempté les premières années).
[^] # Re: Jusqu'à quel point…
Posté par MrLapinot (site web personnel) . En réponse au sondage Les révélations sur le programme PRISM.... Évalué à 2.
Ça me semble assez standard, mais je m’y connais trop peu en crypto pour que mon avis puisse te donner la moindre assurance.
[^] # Re: Jusqu'à quel point…
Posté par MrLapinot (site web personnel) . En réponse au sondage Les révélations sur le programme PRISM.... Évalué à 3.
Ça ne veut rien dire. Des certificats pour quelle application, utilisant quel algorithme ?