pasBill pasGates a écrit 16062 commentaires

car ce qui compte est la liberté, l'égalité, la fraternité, pas la suppériorité technique. Cette dernière découle des valeurs imposées par le libre

Oui oui bien sur. Il y a largement assez d'exemples pour montrer que non, le libre ne signifie par superiorite technique.

Et il faudrait faire confiance aux gouvernements ? Quelle blague.

T'as raison, je suis sur que lorsque la France, l'Allemagne, les Pays-Bas, etc... decouvrent qu'il y a des backdoors dans Windows ils vont garder Windows sur leurs systemes juste afin que tu ne te doutes de rien, pas grave si les USA peuvent acceder a leur systemes, il est beaucoup plus important que toi tu ne te doutes de rien !

Et c'est pas « tous les gouvernements », arrête de raconter n'importe quoi.

C'est un nombre tres tres large de gouvernements, maintenant si le fait que l'Iran et le Soudan ne sont pas compris dedans te pose un probleme de credibilite, c'est triste.

De plus, à lire le site, on a pas l'air de pouvoir télécharger les sources mais juste les voir depuis un browser (d'où leur super fonctionnalité de recherche dont ils parlent aussi), donc recompilation impossible.

C'est parce que tu as tres mal compris. Ils peuvent telecharger les sources et les recompiler. L'acces a travers un site ne signifie pas qu'ils ne peuvent pas ramener les sources sur leurs systemes et les recompiler. Aucun gouvernement ne serait assez stupide pour accepter un systeme ou ils ne peuvent meme pas verifier ce qu'ils recoivent.

arrête un peu de péter plus haut que ton cul pcq tu sais faire du kernel space, alors que tu conviendra que n'importe quel programmeur sérieux trouve rapidement que c'est overrated une fois plongé dedans

Peter plus haut que mon cul ? Certainement pas, GeneralZod me demandait si j'avait deja touche un driver pour avoir l'opinion que j'ai, et je lui dit que vu ou je bosses et sur quoi je bossais certainement oui, en quoi cela serait peter plus haut que mon cul ?
Sinon, c'est certainement overrated, apres tout ce n'est que de la programmation avec quelque concepts en plus, rien d'extreme.

en disant qu'une expérience sur une stack IP (et tu excusera tous les linuxiens de pas avoir l'habitude d'appeler une stack IP un driver, mais en même temps si ça te gène c'est le même prix) peut difficilement servir à justifier une espèce "d'autorité" en matière de driver de CG et de l'architecture système d'un GNU/Linux. (bon arrivé à ce point je veux aussi préciser que si ça se trouve je vais avoir l'air totalement ridicule pcq j'aurais loupé un truc, mais en même temps je sais même pas où trouver ton si fameux CV...)

Mon experience sur Linux ne vient pas de cela, mais de ce que je faisais avant d'etre chez MS (et de ce que je fais encore ici ou la) ou mon environnement de 1995 a 2000 etait 100% Linux, et je ne me suis pas arrete en entrant chez MS (bien que cela ait diminue clairement).
Sinon, on parlait de developpement de drivers sous Windows en general (notamment PnP), ce qui n'est pas specifique aux drivers CG.

à partir de 2003... ce qui a laissé le temps de mettre des backdoors subtiles (dont je parlais dans la suite du paragraphe)

Oui bien sur, pure speculation. C'est dingue comme il n'y a _jamais_ la moindre preuve quand meme non ? Parce que ajouter ces backdoors reviendrait a le faire dans un service pack, hors les changements sont limites dans les service packs, ca serait plutot facile a voir vu que les gouvernements ont acces aux depots et peuvent voir les changements.

Et sachant également que seulement 90% du code n'est à disposition sauf exceptions http://www.microsoft.com/resources/sharedsource/initiative/f(...) ça laisse de la place...

Non, les gouvernements ont acces a tout, c'est un programme different pour eux : http://www.microsoft.com/resources/sharedsource/gsp.mspx et la ils peuvent avoir acces aux parties crypto, aux sources des outils de developpements(= compilo), etc...

ensuite ce genre de choses n'apporte de sécurité que si les gouvernements en question peuvent recompiler leur windows à leur sauce (et recompiler le compilateur), et surtout installer et utiliser leur propre version en lieu et place des versions préinstallées par les fournisseurs de matériel (et donc ajouter leurs propres patches). Ce dont je doute fort qu'ils aient la possibilité (juridique et technique).

Ils peuvent recompiler leur Windows, ils peuvent verifier avec un desassembleur que le code ressemble au code source, ils peuvent utiliser un debugger pour voir ce qu'il se passe, etc...

C'est tout ce dont ils ont besoin pour verifier qu'il n'y a pas de backdoor, ajouter leurs propre patchs n'entre certainement pas dans ce creneau.

Et c'est quoi le probleme avec ca ? Il y avait quoi de scandaleux dans ce document ? Qu'est ce que Microsoft fait dans ce document qui va plus loin que ce que la justice demande ?
Tu aurais voulu que MS fasse quoi ? Qu'ils donnent un doigt d'honneur a la justice quand ils debarquent avec un mandat ? Moi je croyais que tu voulais que MS respecte la loi non ?

Une balance ?

a) En quoi MS est une balance ? Ils donnent eux-meme des infos ? Non, ils donnent un soft, que n'importe qui pourrait ecrire, rien de secret ou de personnel la dedans

b) En quoi c'est etre une balance d'aider la police ? C'est quoi ce comportement debile qui dit qu'il ne faut pas aider la police sinon t'es une balance ?

Et quand on voit ça http://en.wikipedia.org/wiki/IBM_Lotus_Notes#Security ("workload reduction factor", aka une large partie des clefs de chiffrement est elle-même chiffrée avec une clef de la NSA, comme ça la sécurité est préservée pour tout le monde sauf la NSA), franchement les backdoors faites exprès dans les systèmes propriétaires sont une réalité, pas de la science-fiction. Dans les projets libres, c'est plus difficile, mais laisser ou introduire des failles de sécurité subtiles est relativement facile - même une relecture avisée de code pourra passer à côté d'un off by 1 dans le tas, qui quand on sait qu'il est là peut mener à la création d'un exploit...

Sachant que tous les gouvernements ont acces aux sources, et qu'ils sont toujours sous Windows, clairement il n'y a pas de probleme, parce que si c'etait vraiment le cas, ca aurait etre tres clairement visible dans les sources et aucun gouvernement n'aurait continue a utiliser Windows a part les USA.

C'est quoi cryptomio ? Meme une recherche sur Google et Bing ne ressort rien dessus.

Ah cette chere nsa_key, je te proposes d'aller lire ce que Bruce Schneier en pense de cette rumeur a la con : http://www.schneier.com/crypto-gram-9909.html#NSAKeyinMicros(...)

Quand a la vie privee de ses clients, tu te plains de quoi ? Que MS offre des softs a la police pour l'aider a resoudre des crimes ? Tu as un probleme avec le fait d'aider la justice ? MS n'offre pas un systeme pour aveuglement prendre les donnees de monsieur tout le monde, c'est une cle USB, donc la police doit deja avoir le PC entre ses mains, ce qui demande un mandat et l'accord d'un juge.

la NSA n'a pas au regard de son passé , accordé beaucoup de garantie au données personnelles et à la vie privée .. (echelon toussa ) , couplé à la puissance de google , il y a qqch de pas très rassurant disont ....

Tu crois que la NSA a besoin de s'associer publiquement a Google pour voir ton e-mail ?

je ne souhaite meme pas évoqué l'affaire du COFFE made in Microsoft , et l'affaire cryptomio récemment sourcé par wikileak

COFFE ? Oh mon dieu, une cle usb pour lire les infos plus facilement d'un disque dur lors d'une investigation, quelle horreure ! Ca a quelque chose d'invasif ? Non, les gens qui l'utilisent ont par definition ta machine entre leurs mains pour l'utiliser, cette cle USB est bien le dernier de tes soucis des lors, et inutile de dire que seuls les polices en ont besoin, bref pour des crimes standards, pour ce qui est de l'espionnage ils ont pas attendu MS pour savoir lire le contenu d'un PC et extraire les elements interessants.

"Cyber-défense : Google pourrait collaborer avec la NSA

La vaste cyber-attaque subie par les infrastructures de Google depuis la Chine intéresse aussi les services secrets américains comme la NSA.

Selon le Washington Post, le groupe Internet pourrait entamer une collaboration avec la plus puissante agence fédérale de renseignements aux Etats-Unis afin d’analyser le vaste assaut informatique observé fin 2009."

Super, et ? La NSA a notamment pour tache la _defense_ , dans le cas de Google vu la quantite de donnees qu'ils ont, c'est normal. D'ailleurs, je me souviens pas t'avoir vu hurler lorsque la NSA s'est mise a bosser sur Linux.

En revanche l'auteur de Groklaw elle doit s'y connaitre en matière de droit et elle n'est pas de ton avis.

Qu'on ne s'y trompe pas, elle en connait probablement un peu plus que moi, mais Groklaw n'est pas un avocat, c'est un paralegal : Aux USA ces gens s'occupent d'ecrire des papiers legaux, ils ne s'occupent pas de la loi elle-meme. En gros, c'est un secretaire pour un avocat.

Bref, elle a surement eu des connaissances de droit basique de par son travail, cela n'en fait pas un avocat tres loin de la. Ma fiancee qui est en train de faire son master de droit en ce moment a plusieurs collegues qui etait paralegal avant. Ils sont dans la meme mouise qu'elle quasiment, ils ne connaissent pas forcement la loi, comment interpreter les choses, etc... Par contre ils savent ecrire un document legal avec les formes qui vont bien, etc...

Il n'y a aucune education demandee pour etre un paralegal par exemple, tu peux avoir ete menuisier et devenir paralegal le jour d'apres. Beaucoup ont suivi un minimum d'etudes, mais c'est pas des etudes de droit, sinon ils seraient avocats (et gagneraient beaucoup plus)

Le seul code sûr est le logiciel libre, où tout un chacun (comprenez, avec le compétences nécessaires) pourra auditer, modifier, tester et améliorer le code.

C'est bien, tu as recite la legende du logiciel libre.

Et maintenant, tu nous expliques comment il se fait qu'en realite c'est pas vrai ?

Il y a juste un tout petit probleme a ta theorie... les preuves vont dans l'autre sens. C'est dommage mais a moins que tu en amenes d'autres ce que tu fais c'est encore une fois la definition du FUD

Ah ben voila, tu le dis, il y a des preuves, montres les. Genre tu dois avoir un exemplaire de la lettre de MS a TH c'est ca ?

Hein comment ? Tu te defiles ? Quelle surprise

Au passage si IBM avait vraiment degaine les premiers je suis persuade que TH se serait fait un plaisir de montrer l'email ou la lettre le prouvant de tel sorte a appuyes leurs dires. Ce n'est pas le cas curieusement...

TH a montre ce qu'ils voulaient montrer : la lettre precedente n'aurait rien change pour les gens comme toi qui ne veulent voir que ce qui leur fait plaisir.

Maintenant moi j'ai donne une autre hypothese tout aussi plausible et pour laquelle j'ai autant de preuves que toi c'est a dire aucune. Ce sont juste des presomptions base sur le comportement precedent de Microsoft.

Moi j'ai la lettre de TH qui dit "We also were surprised at the suggestion that our TurboHercules product " et clairement vu comme c'est ecrit (pas les details), c'est une reponse a quelque chose qu'IBM leur a envoye, parce que si c'etait venu de quelqu'un d'autre, il y aurait eu des details pour clarifier ce qu'ils entendent par la.

A dernier point, je ne suis pas haut cadre de TH ou de IBM du coup le tu sais tres bien c'est carrement idiot vu que seul les personnes impliques directement connaissent la plupart des tenants et aboutissant (et encore).

Miracle, un truc ou on est d'accord.

Toutefois les donnees actuellement public ne pointe absolument pas, comme il a fallu que te l'explique patrick (ah la la tes problemes d'oeuilleres commence a te jouer de sacre tour) vers le fait que IBM soit l'agresseur.

Patrck ne m'a rien explique, il a donne son avis sur ce que tu lui a montre et sur mon opinion. C'est pas Dieu non plus hein, son avis n'est pas plus ou moins important que tout autre avis.

Je trouve que tu vas un peu vite en raccourcis entre « microsoft, dans une de ses initiatives, fait un truc correct pour la sécurité » et « microsoft est l'exemple à suivre en matière de sécurité ».

Je ne fais aucun raccourci, car c'est :
a) Exactement ce qu'il dit, la SDL, c'est purement securite et c'est du lourd, c'est pas une petite initiative, tout produit qu'on sort passe la dedans
b) Il n'est de loin pas le seul a le dire dans la communaute securite

Le modèle sources fermées et portes dérobés intégrés de base des windows, c'est pas un exemple à suivre en matière de sécurité.

a) Les sources fermees ca n'a rien a voir niveau securite, car les sources sont consultables par nombre de gens
b) Il n'y a pas de portes derobees

De toute manière les ingénieurs auront beau s'évertuer d'inventivité pour améliorer la sécurité, au bout il y aura toujours des utilisateurs qui eux n'y comprennent rien (s'en contrefiche d'ailleurs souvent tant qu'ils peuvent voir le ppt avec les chatons) et continuerons à faire n'importe quoi, et surtout ce qu'il ne faut pas.

Ca c'est sur, et le but sera toujours de les encourager a ne pas faire les idiots sans rendre le systeme chiant a utiliser, et c'est pas facile

Ca utilise la base de registres, mais c'est pas que ca. En gros, ca s'occupe de gerer la configuration de nombreux parametres des systemes sur le domaine, ces parametres sont notamment dans la base de registre mais pas seulement.

Quand a cfengine, c'est loin des possibilites d'un systeme AD, rien que la possibilite de choisir et filtrer, les conditions de cfengine palissent en comparaison de ce que WMI permet de faire et sa simplicite.

Et on ne parlera pas de l'integration de la chose, pour utiliser cfengine il faut se coltiner tout un langage bizarre, ne pas oublier que les 3/4 de Linux ne se gerent pas avec GConf donc faut y aller au script bien degueu pour changer un element de config, ...

Quand il parle d'assurance, ca n'a pas grand-chose a voir avec certaines des garanties que tu demandes.
Il parle ici specifiquement de developpement avec la securite et qualite en tete, il ne parle pas de garantir le fonctionnement, simplement de garantir qu'un processus a ete suivi pour le developpement, ca n'exclut pas l'existence de problemes.

Sinon je notes avec sourire qu'il prend lui-aussi ce que fait MS comme exemple a suivre, ca ouvrira peut-etre les yeux de certains ici qui sont ancres dans leur idee que MS et securite sont antinomiques.

Tu sais tres bien que si cela avait IBM, ce serrait le service juridique et personne d'autre qui s'en serait occupe.

Oui bien sur, comme Ballmer et les brevets concernant Linux ?

Tu sais tres bien qui a fait la suggestion, ca te casse juste les couilles de l'admettre.

Tu m'expliqueras le rapport entre GConf et GPO... GPO != Registry

Il n'y a absolument rien d'equivalent a GPO en fonctionnalites sous Linux, c'est d'ailleurs a mon avis le plus gros probleme pour l'administration de desktops Linux en entreprise.

Si tu fais tout en graphique c'est parce que tu le veux, quasiment tout peut se faire a distance a travers WMI et des scripts.

Chez moi ça veut dire "collection de sites faisant autorité".

Moi aussi, mais ca veut pas dire qu'ils font autorite par l'exactitude du contenu, dans le cas present c'est par leur popularite et leur sujet.

Pour moi le site a simplement gagné sa légitimité à travers ses analyses sur les affaires antérieures.

Qu'on se comprenne, je ne dis pas que TOUT ce qu'elle/il dit est des conneries. Mais il y a tres clairement detournement et partialite selon les sujets.

A la lecture des lettres échangées je n'ai pas du tout compris ça. D'ailleurs l'auteur de l'article Groklaw n'est pas d'accord avec toi puisqu'elle écrit : "So it was actually TurboHercules who asked for the list that IBM sent".

Moi je regardes ce que TH a envoye a IBM :

We also were surprised at the suggestion that our TurboHercules product -- which merely relies on Hercules open source emulation software to run z/OS on Intel-based servers -- might infringe certain IBM intellectual property

Clairement, quelqu'un a tape a leur porte et leur a suggere que leur soft pourrait violer des brevets IBM. D'apres toi, ca serait qui ?

Le 1er, pas besoin des sources, il est tres simple d'instrumenter un binaire sans les sources comme ils le font.

Le 2eme lien que tu donnes, c'est un outil qui n'utilise absolument pas les sources, il travaille sur les binaires uniquement en analysant le comportement de l'application lorsque elle processe les donnees, et c'est de tres loin le fuzzer le plus efficace que je connaisse, d'ailleurs je ne le considere meme pas comme un fuzzer, car il est beaucoup, beaucoup, plus intelligent qu'un fuzzer normal.

- Garantie sur l'intégrité des données. Si, en cas d'utilisation normal, les données venaient à se corrompre, Microsoft assume la responsabilité.

Impossible a garantir techniquement. Remarque deja aujourd'hui dans ce genre de cas on essaierait de creer un outil pour extraire les donnees car on est pas des peaux de vache, mais prendre une responsabilite dessus, alors que c'est un truc impossible a garantir techniquement, c'est une tout autre histoire.

Garantie sur les corrections de bug. Si un bug apparaît, la garantie que la correction est effectuée dans un temps X

Et si le bug requiert des changements massifs on fait quoi ? On sort le truc non teste et ont met tout le monde dans la merde ?

Garantie sur le choix matériel/logiciel. Si je prends le matériel Y (spécifié par Microsoft), j'ai une garantie de fonctionnement (donc je peux installer le système dessus depuis un CD/DVD officiel, ça va marcher (pas passer des heures sur le net à trouver une solution)).

MS ne controle pas le matos et les drivers, resultat il ne peut pas garantir cela, et meme si il le controlait, les bugs hardware ca existe et ca ne manque pas car c'est devenu extremement complexe, demande a NVidia et ATI...

Garantie sur la sécurité. Les X attaques connues ont été testées en profondeur et si mon serveur meurt d'une de ces X attaques, Microsoft assume.

T'entends quoi par "attaque connue" ? Si c'est une attaque precise sur un composant precis, possible. Si c'est un type d'attaque general, impossible.

Et ce n'est rien d'exceptionnel là, puisque Microsoft fait déjà se travail mais ne fournis pas de garanties contractuelles sur ces sujets (ou en partie). Je n'ai jamais eu le cas d'un NTFS se corrompre en utilisation normal, faites le pas, garantissez maintenant.

De nouveau, c'est pas possible techniquement de le garantire. La jouer sur les probabilities ? Si on se loupe et ne serait-ce que 1% des machines sont touchees, c'est un million de machines dont on parle...

C'est _TECHNIQUEMENT_ impossible, pas qu'on veuille pas ou que ca coute trop cher, c'est pas possible de garantir qu'un bug ne se produira pas dans un composant donne tout simplement.

http://lcweb2.loc.gov/diglib/lcwa/html/lawlb/lawlb-overview.(...)

The Legal Blawgs Web Archive is a selective collection of authoritative sites (associated with American Bar Association approved law schools, research institutes, think tanks, and other expertise-based organizations) that contain unique, born digital content. These blogs contain journal-style entries, articles and essays, discussions, and comments on emerging legal issues, national and international.

Tu me montresla partie ou ils disent que le contenu est correct et valide ? Ah oui, tu peux pas car ce n'est pas mentionne. Ils parlent du fait que le contenu est unique et sur un certain type de sujet, c'est tout.

Tu vois, la difference entre toi et moi, c'est que moi je recherche et je m'informes avant de poster, ca m'evite de sortir connerie sur connerie et passer pour un clown.