Non, je dis que Windows c'est pas le mieux, loin de là. Après depuis le temps que je bricole Windows, il y a rien qui m'arrête trop.
Ben j'aimerais comprendre la difference entre Windows et Linux.
Non et non, la man page ne contient ce que tu dis. Tu as présenté un théorème inapplicable sur une manière farfelue de passé par sudo pour gagner les droits.
Tu fud, tu fud et tu persistes et signes.
Inapplicable ? Farfelu ? Explique-moi donc ce qu'il y a de farfelu. Explique moi donc ce qui empeche cette technique de fonctionner.
Mais oui, et toi tu me réponds "j'ai trouvé la solution" avec des trucs qui ne fonctionnent Windows XP/Vista/Seven seulement si tu as du Windows Server ... Donc soit tu me prouves que Windows XP/Vista/Seven peut faire toutes ces choses fantastiques sans GPO, soit tu admets enfin que Windows XP/Vista/Seven n'est pas utilisable à 100% sans un Windows Server derrière.
Evidemment qu'il n'est pas utilisable a 100% sans un Windows Server derriere, si on pouvait faire la meme chose sans un Windows Serveur, il servirait a quoi ?
La question est plutot : qu'est ce qu'on peut faire avec un Linux qu'on ne peut pas faire avec un desktop Windows
essayé un projet Libre qui proposait une autre DLL pour l'authentification. Mais comme dans tous les cas on avait besoin d'un serveur Samba, on a gardé l'authentification Windows standard.
Donc oui je connais GINA, j'ai passé beaucoup de temps à lire la documentation sur ce sujet et non, tu ne m'apprends rien de nouveau.
Et tu trouves pas un peu gonfle de dire qu'il n'y a rien d'autre que Windows Server pour gerer les desktops quand tu connais GINA ?
Un truc à GPO, de nouveau. Confond pas connaissance et volonté. Je connais ce qui peut être fait avec les GPO, une grande partie est faites avec des scripts qui modifient la base de registre au démarrage de la session. C'est une solution lourde à gérer et j'aimerais avoir une vrai solution élégante, mais hors Windows Server, c'est impossible (pour le moment).
Et tu as quoi comme equivalent GPO sous Linux ? A peu pres rien.
Tu fud, tu fud ... Source ou ce n'est pas vrai ...
Je t'ai montre par a+b comment un malware tire avantage de sudo, la man page de sudo elle meme dit tres clairement qu'un compte avec sudo doit etre considere comme un compte root niveau protection, c'est pas par hasard.
On peut pas modifier les programmes depuis la machine ...
disque dur ou pas ca n'y change absolument rien, il y a plein de solutions PXE qui vont rafraichir l'image sur disque a chaque fois.
Ça fait quelques années que je me bats avec du Windows Server, NT, 2000, XP et Vista et Seven. Dans la pratique, ça n'a rien à voir avec les jolis document de la msdn.</>
Je penses que niveau experience Windows, tu n'as pas grand-chose a m'apprendre si je peux me permettre, j'ai vu le meilleur et le pire, vu que mon boulot est de reparer le pire depuis 10 ans.
Mais bon si tu veux venir me prouver le contraire dans la pratique, je te donne volontiers le droit de venir migrer tous les serveurs sous Windows Server en gardant les fonctionnalités nécessaires au bon fonctionnement de l'ensemble (c'est pour le cluster openMosix-coMosix que ça va être le plus délicat, je penses) et pour convaincre le directeur d'augmenter les budgets informatiques (pour toutes ces licences serveurs).
Ton cas particulier je m'en fiche un peu, on parlait de deux choses tres precises :
a) le fait que sudo est une passoire
b) Windows comme desktop sans Windows Server
Alors oui il est tre clair que Windows comme desktop sans Windows Server c'est moins bien qu'avec Windows Server, mais j'ai du mal a voir en quoi c'est pire techniquement qu'un Linux.
Mais je n'ai jamais dit que c'etait different sous Windows, c'est le meme probleme. Le but de tout cela est simplement de demontrer que sudo et/ou UAC ne sont pas des features de securite, car elles ne protegent pas le systeme.
y a NIS. Ça fait déjà deux. Et la solution AD de MS, c'est plus qu'un LDAP et c'est surtout fait pour ne pas être copié trop ...
Super, et Windows a les credentials providers (Vista et +) ou GINA pour les versions precedentes ( http://www.sun.com/blueprints/0604/817-7043.pdf pour un exemple) qui lui permettent d'authentifier d'a peu pres n'importe quelle maniere possible: NIS, LDAP, POP3, MySQL, ...
Non j'ai pas Windows ... Si, si, j'ai vu toutes les méchancetés qui existaient. C'est pourquoi je n'ai pas d'antivirus sur les machines utilisateurs.
Windows est un client lourd, mais lourd de chez lourd. Linux à la souplesse nécessaire pour être un client léger ou lourd.
Moi je dirais que tu n'as pas les memes connaissances Windows que Linux, ce qui est demontre par le fait que tu n'aies jamais entendu parler de GINA.
En entreprise je considère que le terminal lourd n'a plus de raison d'être. Il faut une interface pour lancer des applications et accéder à des fichiers. Le reste est sur le serveur. Dans ce domaine, Linux est meilleure et même si tu fais tu MS Terminal Server.
Le jour ou tes utilisateurs se mettront a regarder des videos, des plugin flash, etc... tu va tres tres vite changer d'avis car ton serveur sera a genous, tout sera saccada. Alors que dans le meme temps, TS Server (dans sa derniere version) lui fera de l'off-loading de ces choses sur le client, liberant les CPUs du serveur et evitant les saccades vu que les videos sont jouees directement sur le client.
Chez moi si tu veux utilisez Linux, tu pars en PXE et tu as un Debian complète qui arrive.
Genial, la meme chose existe pour Windows, je vois pas le miracle
Non, pas du tout. Tu peux avoir ton système inscrit sur un CD ou DVD ou sur un partage NFS lecture seule.
Super, quelle difference avec un boot par ces methodes ? Le manque de disque dur ? C'est un veritable detail.
Je lis ça en page 12 :
These significant changes prevent Windows Vista from loading user profiles from previous versions of Windows
Et pour les "Folder Redirection" (si c'est ce bricolage là qui permet de faire un truc presque compatible), c'est GPO, GPO c'est Windows Only, pas viable en environnement hétérogène.
Faut savoir mon cher, tu me parles de gerer les profiles de Windows, je te resoud le probleme des profiles Windows. Si t'as des Linux qui sont incapable de gerer les profiles, c'est le probleme de Linux.
Oui dans le monde Windows, pas le choix de faire comme ça. Sudo, par exemple, solutionne se problème très bien et personne n'a plus de droit.
Comme je te l'ai deja montre c'est absolument faux, car sudo est un trou de securite en puissance. sudo est equivalent a avoir le mot de passe.
Sinon dans les petites structures, tout le monde est admin parce qu'ils voudraient pouvoir régler l'heure.
En fait j'ai dû le faire parce que les gars, pour voir le calendrier, ils avaient pris l'habitude d'ouvrir le réglage de l'heure sous Windows. Le jour où ils n'ont plus eu les droits d'administration, ils ont paniqué.
C'est dommage que ta meconnaissance de l'OS te bloque une fois de plus :
Tu esperais passer inaperçu à reprendre les arguments déjà discuté ici. Sudo tu peux :
1) Utiliser le mode "requiretty"
2) Utiliser le mode "nopasswd"
3) Utiliser le mode "otp" (one-time password)
3) Utiliser un des 14'000 modes de fonctionnements, configurable depuis un annuaire LDAP centralisé, pour avoir + ou - de sécurité.
1) n'empeche rien, une fois que t'as le mot de passe, tu peux faire joujou de plein de manieres differentes
2) rend les choses plus facile, plus besoin de mot de passe...
3) idem a 2)
4) c'est con que personne le fasse alors non ? Le truc est qu'ils ne bloquent rien.
Ensuite pour que cette situation arrive, il faut quand même un sacré malware. J'ai beau réfléchir je vois pas comment tu vas arriver à voler un mot de passe avec ta procédure, donc je m'impatiente de voir l'exemple de malware que tu va présenter.
Mais mon cher, tu n'as pas vu les malware qui existent sous Windows, tu n'as pas vu la complexite qu'ils atteignent, certains sont dignes d'un mini-OS tellement ils sont avances. Je te suggeres d'aller voir le boulot de Joanna Rutkowska sur les rootkits, tu vas etre effare par les techniques utilisees pour cacher le rootkit.
Mais tu crois qu'il a le mot de passe root ? T'as déjà travailler dans une entreprise avec des utilisateurs et des administrateurs ? Tu sais ce que c'est une entreprises ?
Parfait, dans ce cas pas de probleme, exactement comme avec Windows. C'est clair qu'enlever sudo completement empeche d'utiliser sudo pour passer root, mais ca rend sudo completement inutilisable aussi...
Ce que je mettais en évidence ici : Pour avoir toutes les fonctionnalités "network entreprise" sur Windows côté desktop, tu _dois_ avoir un Windows Server avec AD et Co.
Donc sans Windows Server, je trouve que Apple est une alternative beaucoup plus viable que Windows. Avec un Windows Server, c'est différent, mais sans, c'est des terminaux très, très mauvais.
Apple en entreprise j'y connais rien, j'aurais du mal a en parler.
J'ai du mal a voir quelle difference il y a entre un Windows sans AD et un Linux sans LDAP.
Avec du Unix tu montes /home en RW et le reste en RO. Ensuite tu sais où sont les données.
Genial, tu as jamais decouvert l'utilite des ACLs ? C'est la meme chose.
Donc 4 méthodes que j'ai trouvé pour avoir le mix, 4 méthode qui me plaisent pas. Si tu en as d'autres je suis preneur, car je suis +/- confronté à ce problème (un jour je pourrais plus acheter autre chose que Vista/7).
Mwarf, avant de dire des bétises, il faudrait peut etre faire attention à ce que tu dis ;) Effectivement, avec ton fake sudo et ton PATH, tu peux récupérer le passwd d'un utilisateur de la ligne de commande...
Mais on parle de desktop la, et Ubuntu quand elle demande le mot de passe, elle appelle /usr/bin/sudo et se fout de ce qu'il y'a dans le PATH...
Le coup du path c'est pour la ligne de commande, pour l'UI il suffit de prendre l'executable en charge de l'UI qui est lance par Ubuntu, et qui lui tourne en mode utilisateur, pour y injecter du code et prendre le mot de passe ou changer le soft a lancer.
Dans les 2 cas, l'utilisateur se fait entuber et n'y voit que du feu.
Et oui, ca marche idem sous Windows avec runas, tout cela pour dire que ni runas, ni sudo ou equivalents ne sont une mesure de securite, si le compte est compromis, a la premiere utilisation le malware deviendra root.
Oui, faire un standard n'est pas que reprendre des choses disponible sous Linux, mais non, OpenGL n'est pas une merde. Oui, il avance plus lentement, mais c'est aussi ça d'écouter. C'est toujours plus rapide de créer une dictature, plus long de faire une démocratie...
J'ai jamais dit qu'OpenGL etait une merde, il est visiblement encore tres utile pour tout ce qui est CAD et autre.
Mais desole, pour ce qui est de la vitesse d'innovation, OpenGL a pendant tres tres longtemps stagne, et c'est pas une question de dictature/democratie , dans ce cas-ci c'etait une question de quasi-paralysie.
Mais maintenant, l'API utile est celle qui va être le plus cross-platform, et la DirectX commence à perdre du terrain au niveau utilité.
Pour moi l'API utile est pas celle qui est cross-platform, celle qui est la plus rapide, ... C'est celle qui repond le plus aux besoins des gens.
Je dirais que pour les logiciels "pro" c'est OpenGL vu leurs besoins, pour le marche "ludique" et l'OS lui-meme, OpenGL a encore un train de retard, et a moins qu'ils se bougent, va en avoir 2
MS refusait aussi de faire une vraie norme OfficeXML , en disant comment certains octets étaient interprétables (ceux... des anciennes normes MS!) pour être le seul à pouvoir être 100% compatible, résultat OfficeXML est mis à la poubelle. Et ce sera sans doute une idée de ce qui va se passer pour DirectX, faute de volonté d'ouverture de MS.
J'aimerais bien savoir quelle partie d'OpenXML est non-documentee... sinon il n'est pas mort, depuis le debut ils ont annonce qu'il serait supporte dans Office 2010
DirectX lui visiblement je vois pas trop ce qui le ferait chuter, il a toujours une longueur d'avance sur OpenGL et les editeurs ont plus tendance a aller vers DirectX que l'inverse.
C'est dommage, DirectX était une bonne chose, mais cette volonté de toujours enfermer l'utilisateur qui marché dans les années 1990-2000 risque de moins marcher dans les années 2010... C'est dommage, mais c'est la faute uniquement de MS
Enfermer l'utilisateur ? DirectX c'est un API, c'est pas pour l'utilisateur final, c'est pour les editeurs. Tu noteras que Windows propose les 2 : OpenGL et DirectX, il propose un choix, les 2 sont traites de la meme maniere, ils n'ont pas amputes OpenGL.
Maintenant dis-moi, c'est quoi le probleme ici ? Ils donnent le choix entre une techno interoperable, et une qui ne l'est pas.
Des softs interopérables, vraiment, et pas des trucs "tournant sur les plateformes parceque codés dans la même famille"... non non simplement parcequ'utilisant les mêmes standards.
Tu me fais bien rire. A t'entendre les seuls API qu'on aurait le droit d'utiliser sont ceux qui existent pour plateforme Unix.
Pas de probleme pour creer de multiple forks de frameworks libres hein, par contre il est totalement impensable d'avoir des frameworks sous Windows qui n'existent pas sous Linux/Unix, oh non, ca c'est un crime !
Faudra penser a revenir sur terre, Unix/Linux c'est un type d'OS, c'est pas l'OS ultime, c'est pas la panacee et ecrire des softs pour d'autres OS, qui sont bases sur d'autres APIs c'est tout aussi acceptable.
Specifiquement, OpenGL est un ancetre qui bouge extremement lentement, en comparaison DirectX avance rapidement et innove. Devoir se limiter a supporter OpenGL juste parce qu'il a le mot standard attache est une idiotie, point barre.
Le but du soft c'est de resoudre des problemes, pas de faire plaisir aux fans du libre hein, partant de la, l'API la plus pratique est utilisee, pas celle qui fait plaisir au plus grand nombre de libristes.
Part contre, l'interface utilisateur reste, a mon sens, assez mauvaise.
Il y avait certains trucs a fignoler c'est clair (UAC notamment)
Une petite etude statistique nous montre que les gens se loggant se trompent en moyenne 1 fois sur 2, hesitent entre les 2 boutons l'autre fois.
Et se retrouvent parfois a cliquer 2 a 4 fois sur ce foutu bouton switch user avant de comprendre que c'est la fleche qu'il faut cliquer.
C'est peut-etre pas clair pour le pekin moyen je sais pas, mais le truc dit quand meme "switch user" ... il me semble que pour des anglophones ca devrait etre clair :)
La seule campagne reussie dernierement, c'est I'm a PC, et c'est juste un spin off des pubs apple...
C'est clairement pas un manque de moyen, pourquoi MS n'arrive pas a faire des campagnes qui tiennent la route?
Si tu savais le nombre de gens chez MS qui se posent cette question tu serais surpris, quand je pense au fric que cette merde de pub avec Seinfeld a coute et au resultat, j'esperes bien que le responsable s'est fait vire...
Si tu veux dire par là qu'un serveur windows ne peut être dédié qu'a une seule tâche, chapeau le serveur...
J'ai dit ca ? Non
Je vois toujours pas en quoi le serveur en charge des desktops a _besoin_ d'avoir OCFS2 dessus pour pouvoir gerer les desktops, les profiles n'ont pas besoin d'etre sur le DC
Mais sans doute que votre OS est beaucoup plus avancé techniquement et plus pro pour ne pas être en mesure de faire ces fonctions de base simplissimes ? Car sinon je ne vois pas pourquoi...
\o/ Une autre phrase a la con \o/
Ton OS il est sacrement plus avance techniquement et plus pro pour etre incapable de faire les nombreuses fonctions de base simplissmes que Windows fait et pas Linux aussi je presumes ?
Oui, alors la pour le coup, meme en etant objectif, ya aussi plein de gens qui n'en sont pas franchement content.
Tout a fait, mais c'etait surtout au debut, lorsqu'il n'y avait pas les bons pilotes, les constructeurs etaient pas foutus de l'installer correctement, ...
Depuis le SP1 a resolu la majorite des problemes, mais il y a encore un certain aura negatif autour de Vista.
si MS a sorti 7 aussi vite la ou ils nous avaient habitues a des cycles vachement plus long
Ben en fait non. La grosse bevue ca a ete le cycle de Vista qui a ete un vrai desastre en terme de management de projet.
Au moment ou on a fini Vista, on savait deja que le cycle suivant serait bcp plus court, les tetes qui avaient cause ce desastre au niveau management avaient deja ete coupees.
Euh, « la plupart », c'est seulement Ubuntu. Aucune autre ne configure sudo d'entrée. Et comme je l'ai dit, un sudo, ça se configure finement, pas n'importe comment.
Elles ont soit sudo soit su, et les 2 sont des trous
Là, c'est une question d'éducation. Je considère qu'à partir du moment où l'on confie un mot de passe admin, l'utilisateur doit savoir ce qu'il fait et avoir un minimum de compétences en sécurité, le minimum étant :
Arf, mais mon cher, on ne vit pas sur la meme planete, tu oublies qu'on parle du grand public.
Le malware, il lui suffit de mettre un petit moniteur pour voir ce que l'utilisateur fait/ce qui tourne et pondre un pop-up qui ressemble a Firefox, OpenOffice, ... disant que le systeme a besoin de mot de passe pour installer une update et 90% des gens entreront leur mot de passe.
Il peut meme s'inserer dans le process KDE qui demande le mot de passe de su/sudo et discretement remplacer la commande a executer par ce qu'il veut sans meme avoir a intercepter le mot de passe, et la grand public ou pas, tu l'as dans le fion bien profond
Alors, la plupart des gens ne sont pas au courant de son existence, mais dès qu'ils sont en entreprise ils le savent ?
Tu crois sincerement que les departements informatiques ne sont pas au courant qu'il y a un OS qui s'appelle Linux qui existe ?
Linux a 20% du marche serveur, il apparait tous les jours sur les sites de news informatique, Redhat, IBM, Novell envoient leurs marketeux pour essayer de piquer les clients de MS tous les jours, faudrait etre aveugle pour bosser dans un departement IT et pas savoir que Linux existe.
Pas du tout. À partir du moment où l'exécutable sudo n'a pas le bit SUID, il ne peut pas élever des privilèges. Et ce bit, c'est root qui le place, donc installer un fake sudo dans ton compte utilisateur ne te permettra pas de passer root.
Mais t'as pas compris... le fake sudo il est la pour que tu tapes le mot de passe dedans, pas pour executer quoi que ce soit...
Et une fois qu'il a le mot de passe, il peut faire un sudo de ce qu'il veut, parce que la plupart des distrib grand-public, elles laissent sudo largement assez ouvert pour que tu puisses drolement t'amuser.
Et meme celles qui ne le font pas sont dans la meme mouise, parce que dans ce cas la, l'utilisateur il fera un su root, et il suffit alors de mettre aussi un fake su dans le path...
C'est-à-dire qu'ils ne sont même pas au courant qu'il existe des alternatives. Alors forcément, ils s'en contentent. Remarque, j'en connais beaucoup qui s'en plaignent tout en croyant que rien d'autre n'existe, comme quoi je n'avais pas tout à fait tort.
A peu pres tout le monde en entreprise sait que Linux existe, cette excuse ne tient pas.
Pas faux. Mais apparemment elles préfèrent encore déployer XP à Vista et Seven, donc pour l'instant, 1 partout.
J'ai l'impression que celles qui passent à Vista le subissent plutôt.
Certains peut-etre, mais c'est tres loin d'etre le cas de tout le monde, il y a plein de gens qui sont tres content de leur Vista, Seven quand a lui, a peu pres tout le monde le trouve superbe de ce que j'en ai vu (forums/reviews/...)
Tu parlais d'installation, pas de desinstallation, choses qui sont sacrement differentes.
(Quand t'installes, nouveaux fichiers --> personne a de lock dessus --> ca s'installe sans probleme et sans reboot, quand tu desinstalles, si en utilisation -> lock -> reboot necessaire)
Malware s'introduit dans le compte de l'utilisateur.
Il ne lui reste plus qu'a mettre son propre "fake" sudo dans le compte de l'utilisateur, modifier le PATH pour rediriger sudo sur son propre sudo, et la prochaine fois que l'utilisateur lance sudo, le malware peut passer root.
Ca c'est un des nombreux exemples pour passer d'un compte utilisateur sudo-enabled a root.
Vingt milliards de mouches ne peuvent pas se tromper, mangez de la merde !
Ah oui la phrase bateau.
La difference etant que j'ai un minimum de respect pour les gens, quand la majorite d'entre eux utilise un OS et ne se plaint pas, j'ai tendance a les croire plutot que me dire que ce sont des idiots.
Comme elles peuvent...
Ouaip, et visiblement elles preferent ca a deployer Linux
Si, là maintenant tout de suite, toutes les personnes emmerdées par IE décidaient de faire comme s'il n'existait pas, et de ne s'en tenir qu'aux standards, on peut prévoir que:
- madame Michu laisserait vite tomber ce navigateur de merde,
- Microsoft bougerait vite son cul pour faire un navigateur potable,
Ben ouais, ils sortiraient un browser qui respecte les standards.
Ah attends, c'est deja fait(ie7 / ie8)
Ben non, c'est pas la solution, ca va pas faire disparaitre ie6
Tout comme les nombreux exemples ou Vista tourne sans probleme sur le PC et Linux se merde lamentablement.
La difference entre toi et moi, c'est que moi j'arrives a rester objectif et mettre le blame la ou il est(manque de driver, driver instable, ...) plutot que partir sur des prejuges a la con sans savoir de quoi je parles.
La meme chose qu'une distrib Linux : un systeme inutilisable par le pekin moyen, parce que soyons honnete, ni Gnome ni KDE derniere mouture ne tourne la dedans, et OOo a lui tout seul sans OS aurait du mal.
Super, et je peux te trouver un exemple similaire avec un gars sous Linux sur une machine dernier cri qui avait un systeme inutilisable aussi, ca ne veut absolument rien dire.
Il y a des millions de machines sous Vista qui ont un CPU pas tres puissant, 2Go de RAM, et qui tournent parfaitement et rapidement.
Quand tu vois une machine qui sort du lot, faudrait penser a te demander pourquoi plutot que partir sur le prejuge immediat "Vista c'est lourd/lent/de la merde"
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
Ben j'aimerais comprendre la difference entre Windows et Linux.
Non et non, la man page ne contient ce que tu dis. Tu as présenté un théorème inapplicable sur une manière farfelue de passé par sudo pour gagner les droits.
Tu fud, tu fud et tu persistes et signes.
Inapplicable ? Farfelu ? Explique-moi donc ce qu'il y a de farfelu. Explique moi donc ce qui empeche cette technique de fonctionner.
http://serverfault.com/questions/42173/how-can-an-attacker-g(...)
https://wiki.ubuntu.com/DesktopTeam/Specs/PolicyKitIntegrati(...) explique ce type d'attaque tres bien
Pas aussi farfelu que tu le pensais hein ?
Mais oui, et toi tu me réponds "j'ai trouvé la solution" avec des trucs qui ne fonctionnent Windows XP/Vista/Seven seulement si tu as du Windows Server ... Donc soit tu me prouves que Windows XP/Vista/Seven peut faire toutes ces choses fantastiques sans GPO, soit tu admets enfin que Windows XP/Vista/Seven n'est pas utilisable à 100% sans un Windows Server derrière.
Evidemment qu'il n'est pas utilisable a 100% sans un Windows Server derriere, si on pouvait faire la meme chose sans un Windows Serveur, il servirait a quoi ?
La question est plutot : qu'est ce qu'on peut faire avec un Linux qu'on ne peut pas faire avec un desktop Windows
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
Donc oui je connais GINA, j'ai passé beaucoup de temps à lire la documentation sur ce sujet et non, tu ne m'apprends rien de nouveau.
Et tu trouves pas un peu gonfle de dire qu'il n'y a rien d'autre que Windows Server pour gerer les desktops quand tu connais GINA ?
Un truc à GPO, de nouveau. Confond pas connaissance et volonté. Je connais ce qui peut être fait avec les GPO, une grande partie est faites avec des scripts qui modifient la base de registre au démarrage de la session. C'est une solution lourde à gérer et j'aimerais avoir une vrai solution élégante, mais hors Windows Server, c'est impossible (pour le moment).
Et tu as quoi comme equivalent GPO sous Linux ? A peu pres rien.
Tu fud, tu fud ... Source ou ce n'est pas vrai ...
Je t'ai montre par a+b comment un malware tire avantage de sudo, la man page de sudo elle meme dit tres clairement qu'un compte avec sudo doit etre considere comme un compte root niveau protection, c'est pas par hasard.
On peut pas modifier les programmes depuis la machine ...
disque dur ou pas ca n'y change absolument rien, il y a plein de solutions PXE qui vont rafraichir l'image sur disque a chaque fois.
Ça fait quelques années que je me bats avec du Windows Server, NT, 2000, XP et Vista et Seven. Dans la pratique, ça n'a rien à voir avec les jolis document de la msdn.</>
Je penses que niveau experience Windows, tu n'as pas grand-chose a m'apprendre si je peux me permettre, j'ai vu le meilleur et le pire, vu que mon boulot est de reparer le pire depuis 10 ans.
Mais bon si tu veux venir me prouver le contraire dans la pratique, je te donne volontiers le droit de venir migrer tous les serveurs sous Windows Server en gardant les fonctionnalités nécessaires au bon fonctionnement de l'ensemble (c'est pour le cluster openMosix-coMosix que ça va être le plus délicat, je penses) et pour convaincre le directeur d'augmenter les budgets informatiques (pour toutes ces licences serveurs).
Ton cas particulier je m'en fiche un peu, on parlait de deux choses tres precises :
a) le fait que sudo est une passoire
b) Windows comme desktop sans Windows Server
Alors oui il est tre clair que Windows comme desktop sans Windows Server c'est moins bien qu'avec Windows Server, mais j'ai du mal a voir en quoi c'est pire techniquement qu'un Linux.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 2.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
Super, et Windows a les credentials providers (Vista et +) ou GINA pour les versions precedentes ( http://www.sun.com/blueprints/0604/817-7043.pdf pour un exemple) qui lui permettent d'authentifier d'a peu pres n'importe quelle maniere possible: NIS, LDAP, POP3, MySQL, ...
Non j'ai pas Windows ... Si, si, j'ai vu toutes les méchancetés qui existaient. C'est pourquoi je n'ai pas d'antivirus sur les machines utilisateurs.
Windows est un client lourd, mais lourd de chez lourd. Linux à la souplesse nécessaire pour être un client léger ou lourd.
Moi je dirais que tu n'as pas les memes connaissances Windows que Linux, ce qui est demontre par le fait que tu n'aies jamais entendu parler de GINA.
En entreprise je considère que le terminal lourd n'a plus de raison d'être. Il faut une interface pour lancer des applications et accéder à des fichiers. Le reste est sur le serveur. Dans ce domaine, Linux est meilleure et même si tu fais tu MS Terminal Server.
Le jour ou tes utilisateurs se mettront a regarder des videos, des plugin flash, etc... tu va tres tres vite changer d'avis car ton serveur sera a genous, tout sera saccada. Alors que dans le meme temps, TS Server (dans sa derniere version) lui fera de l'off-loading de ces choses sur le client, liberant les CPUs du serveur et evitant les saccades vu que les videos sont jouees directement sur le client.
Chez moi si tu veux utilisez Linux, tu pars en PXE et tu as un Debian complète qui arrive.
Genial, la meme chose existe pour Windows, je vois pas le miracle
Non, pas du tout. Tu peux avoir ton système inscrit sur un CD ou DVD ou sur un partage NFS lecture seule.
Super, quelle difference avec un boot par ces methodes ? Le manque de disque dur ? C'est un veritable detail.
Je lis ça en page 12 :
These significant changes prevent Windows Vista from loading user profiles from previous versions of Windows
Et pour les "Folder Redirection" (si c'est ce bricolage là qui permet de faire un truc presque compatible), c'est GPO, GPO c'est Windows Only, pas viable en environnement hétérogène.
Faut savoir mon cher, tu me parles de gerer les profiles de Windows, je te resoud le probleme des profiles Windows. Si t'as des Linux qui sont incapable de gerer les profiles, c'est le probleme de Linux.
Oui dans le monde Windows, pas le choix de faire comme ça. Sudo, par exemple, solutionne se problème très bien et personne n'a plus de droit.
Comme je te l'ai deja montre c'est absolument faux, car sudo est un trou de securite en puissance. sudo est equivalent a avoir le mot de passe.
Sinon dans les petites structures, tout le monde est admin parce qu'ils voudraient pouvoir régler l'heure.
En fait j'ai dû le faire parce que les gars, pour voir le calendrier, ils avaient pris l'habitude d'ouvrir le réglage de l'heure sous Windows. Le jour où ils n'ont plus eu les droits d'administration, ils ont paniqué.
C'est dommage que ta meconnaissance de l'OS te bloque une fois de plus :
http://msdn.microsoft.com/en-us/library/ms813808.aspx
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à -1.
1) Utiliser le mode "requiretty"
2) Utiliser le mode "nopasswd"
3) Utiliser le mode "otp" (one-time password)
3) Utiliser un des 14'000 modes de fonctionnements, configurable depuis un annuaire LDAP centralisé, pour avoir + ou - de sécurité.
1) n'empeche rien, une fois que t'as le mot de passe, tu peux faire joujou de plein de manieres differentes
2) rend les choses plus facile, plus besoin de mot de passe...
3) idem a 2)
4) c'est con que personne le fasse alors non ? Le truc est qu'ils ne bloquent rien.
Ensuite pour que cette situation arrive, il faut quand même un sacré malware. J'ai beau réfléchir je vois pas comment tu vas arriver à voler un mot de passe avec ta procédure, donc je m'impatiente de voir l'exemple de malware que tu va présenter.
Mais mon cher, tu n'as pas vu les malware qui existent sous Windows, tu n'as pas vu la complexite qu'ils atteignent, certains sont dignes d'un mini-OS tellement ils sont avances. Je te suggeres d'aller voir le boulot de Joanna Rutkowska sur les rootkits, tu vas etre effare par les techniques utilisees pour cacher le rootkit.
Mais tu crois qu'il a le mot de passe root ? T'as déjà travailler dans une entreprise avec des utilisateurs et des administrateurs ? Tu sais ce que c'est une entreprises ?
Parfait, dans ce cas pas de probleme, exactement comme avec Windows. C'est clair qu'enlever sudo completement empeche d'utiliser sudo pour passer root, mais ca rend sudo completement inutilisable aussi...
Ce que je mettais en évidence ici : Pour avoir toutes les fonctionnalités "network entreprise" sur Windows côté desktop, tu _dois_ avoir un Windows Server avec AD et Co.
Donc sans Windows Server, je trouve que Apple est une alternative beaucoup plus viable que Windows. Avec un Windows Server, c'est différent, mais sans, c'est des terminaux très, très mauvais.
Apple en entreprise j'y connais rien, j'aurais du mal a en parler.
J'ai du mal a voir quelle difference il y a entre un Windows sans AD et un Linux sans LDAP.
Avec du Unix tu montes /home en RW et le reste en RO. Ensuite tu sais où sont les données.
Genial, tu as jamais decouvert l'utilite des ACLs ? C'est la meme chose.
Donc 4 méthodes que j'ai trouvé pour avoir le mix, 4 méthode qui me plaisent pas. Si tu en as d'autres je suis preneur, car je suis +/- confronté à ce problème (un jour je pourrais plus acheter autre chose que Vista/7).
La reponse a tes soucis se trouve ici (a partir de la page 12) : http://download.microsoft.com/download/3/b/a/3ba6d659-6e39-4(...)
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
Mais on parle de desktop la, et Ubuntu quand elle demande le mot de passe, elle appelle /usr/bin/sudo et se fout de ce qu'il y'a dans le PATH...
Le coup du path c'est pour la ligne de commande, pour l'UI il suffit de prendre l'executable en charge de l'UI qui est lance par Ubuntu, et qui lui tourne en mode utilisateur, pour y injecter du code et prendre le mot de passe ou changer le soft a lancer.
Dans les 2 cas, l'utilisateur se fait entuber et n'y voit que du feu.
Et oui, ca marche idem sous Windows avec runas, tout cela pour dire que ni runas, ni sudo ou equivalents ne sont une mesure de securite, si le compte est compromis, a la premiere utilisation le malware deviendra root.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
Et Linux n'est pas different, il a aussi plusieurs installers differents.
[^] # Re: Et pourtant...
Posté par pasBill pasGates . En réponse au journal La guerre des trolls aura bien lieu. Évalué à 0.
J'ai jamais dit qu'OpenGL etait une merde, il est visiblement encore tres utile pour tout ce qui est CAD et autre.
Mais desole, pour ce qui est de la vitesse d'innovation, OpenGL a pendant tres tres longtemps stagne, et c'est pas une question de dictature/democratie , dans ce cas-ci c'etait une question de quasi-paralysie.
Mais maintenant, l'API utile est celle qui va être le plus cross-platform, et la DirectX commence à perdre du terrain au niveau utilité.
Pour moi l'API utile est pas celle qui est cross-platform, celle qui est la plus rapide, ... C'est celle qui repond le plus aux besoins des gens.
Je dirais que pour les logiciels "pro" c'est OpenGL vu leurs besoins, pour le marche "ludique" et l'OS lui-meme, OpenGL a encore un train de retard, et a moins qu'ils se bougent, va en avoir 2
MS refusait aussi de faire une vraie norme OfficeXML , en disant comment certains octets étaient interprétables (ceux... des anciennes normes MS!) pour être le seul à pouvoir être 100% compatible, résultat OfficeXML est mis à la poubelle. Et ce sera sans doute une idée de ce qui va se passer pour DirectX, faute de volonté d'ouverture de MS.
J'aimerais bien savoir quelle partie d'OpenXML est non-documentee... sinon il n'est pas mort, depuis le debut ils ont annonce qu'il serait supporte dans Office 2010
DirectX lui visiblement je vois pas trop ce qui le ferait chuter, il a toujours une longueur d'avance sur OpenGL et les editeurs ont plus tendance a aller vers DirectX que l'inverse.
C'est dommage, DirectX était une bonne chose, mais cette volonté de toujours enfermer l'utilisateur qui marché dans les années 1990-2000 risque de moins marcher dans les années 2010... C'est dommage, mais c'est la faute uniquement de MS
Enfermer l'utilisateur ? DirectX c'est un API, c'est pas pour l'utilisateur final, c'est pour les editeurs. Tu noteras que Windows propose les 2 : OpenGL et DirectX, il propose un choix, les 2 sont traites de la meme maniere, ils n'ont pas amputes OpenGL.
Maintenant dis-moi, c'est quoi le probleme ici ? Ils donnent le choix entre une techno interoperable, et une qui ne l'est pas.
[^] # Re: Et pourtant...
Posté par pasBill pasGates . En réponse au journal La guerre des trolls aura bien lieu. Évalué à 0.
Tu me fais bien rire. A t'entendre les seuls API qu'on aurait le droit d'utiliser sont ceux qui existent pour plateforme Unix.
Pas de probleme pour creer de multiple forks de frameworks libres hein, par contre il est totalement impensable d'avoir des frameworks sous Windows qui n'existent pas sous Linux/Unix, oh non, ca c'est un crime !
Faudra penser a revenir sur terre, Unix/Linux c'est un type d'OS, c'est pas l'OS ultime, c'est pas la panacee et ecrire des softs pour d'autres OS, qui sont bases sur d'autres APIs c'est tout aussi acceptable.
Specifiquement, OpenGL est un ancetre qui bouge extremement lentement, en comparaison DirectX avance rapidement et innove. Devoir se limiter a supporter OpenGL juste parce qu'il a le mot standard attache est une idiotie, point barre.
Le but du soft c'est de resoudre des problemes, pas de faire plaisir aux fans du libre hein, partant de la, l'API la plus pratique est utilisee, pas celle qui fait plaisir au plus grand nombre de libristes.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 3.
Il y avait certains trucs a fignoler c'est clair (UAC notamment)
Une petite etude statistique nous montre que les gens se loggant se trompent en moyenne 1 fois sur 2, hesitent entre les 2 boutons l'autre fois.
Et se retrouvent parfois a cliquer 2 a 4 fois sur ce foutu bouton switch user avant de comprendre que c'est la fleche qu'il faut cliquer.
C'est peut-etre pas clair pour le pekin moyen je sais pas, mais le truc dit quand meme "switch user" ... il me semble que pour des anglophones ca devrait etre clair :)
La seule campagne reussie dernierement, c'est I'm a PC, et c'est juste un spin off des pubs apple...
C'est clairement pas un manque de moyen, pourquoi MS n'arrive pas a faire des campagnes qui tiennent la route?
Si tu savais le nombre de gens chez MS qui se posent cette question tu serais surpris, quand je pense au fric que cette merde de pub avec Seinfeld a coute et au resultat, j'esperes bien que le responsable s'est fait vire...
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
J'ai dit ca ? Non
Je vois toujours pas en quoi le serveur en charge des desktops a _besoin_ d'avoir OCFS2 dessus pour pouvoir gerer les desktops, les profiles n'ont pas besoin d'etre sur le DC
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à -2.
\o/ Une autre phrase a la con \o/
Ton OS il est sacrement plus avance techniquement et plus pro pour etre incapable de faire les nombreuses fonctions de base simplissmes que Windows fait et pas Linux aussi je presumes ?
Sinon, t'as un truc intelligent a dire ?
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 2.
Tout a fait, mais c'etait surtout au debut, lorsqu'il n'y avait pas les bons pilotes, les constructeurs etaient pas foutus de l'installer correctement, ...
Depuis le SP1 a resolu la majorite des problemes, mais il y a encore un certain aura negatif autour de Vista.
si MS a sorti 7 aussi vite la ou ils nous avaient habitues a des cycles vachement plus long
Ben en fait non. La grosse bevue ca a ete le cycle de Vista qui a ete un vrai desastre en terme de management de projet.
Au moment ou on a fini Vista, on savait deja que le cycle suivant serait bcp plus court, les tetes qui avaient cause ce desastre au niveau management avaient deja ete coupees.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
Elles ont soit sudo soit su, et les 2 sont des trous
Là, c'est une question d'éducation. Je considère qu'à partir du moment où l'on confie un mot de passe admin, l'utilisateur doit savoir ce qu'il fait et avoir un minimum de compétences en sécurité, le minimum étant :
Arf, mais mon cher, on ne vit pas sur la meme planete, tu oublies qu'on parle du grand public.
Le malware, il lui suffit de mettre un petit moniteur pour voir ce que l'utilisateur fait/ce qui tourne et pondre un pop-up qui ressemble a Firefox, OpenOffice, ... disant que le systeme a besoin de mot de passe pour installer une update et 90% des gens entreront leur mot de passe.
Il peut meme s'inserer dans le process KDE qui demande le mot de passe de su/sudo et discretement remplacer la commande a executer par ce qu'il veut sans meme avoir a intercepter le mot de passe, et la grand public ou pas, tu l'as dans le fion bien profond
Alors, la plupart des gens ne sont pas au courant de son existence, mais dès qu'ils sont en entreprise ils le savent ?
Tu crois sincerement que les departements informatiques ne sont pas au courant qu'il y a un OS qui s'appelle Linux qui existe ?
Linux a 20% du marche serveur, il apparait tous les jours sur les sites de news informatique, Redhat, IBM, Novell envoient leurs marketeux pour essayer de piquer les clients de MS tous les jours, faudrait etre aveugle pour bosser dans un departement IT et pas savoir que Linux existe.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 2.
Mais t'as pas compris... le fake sudo il est la pour que tu tapes le mot de passe dedans, pas pour executer quoi que ce soit...
Et une fois qu'il a le mot de passe, il peut faire un sudo de ce qu'il veut, parce que la plupart des distrib grand-public, elles laissent sudo largement assez ouvert pour que tu puisses drolement t'amuser.
Et meme celles qui ne le font pas sont dans la meme mouise, parce que dans ce cas la, l'utilisateur il fera un su root, et il suffit alors de mettre aussi un fake su dans le path...
C'est-à-dire qu'ils ne sont même pas au courant qu'il existe des alternatives. Alors forcément, ils s'en contentent. Remarque, j'en connais beaucoup qui s'en plaignent tout en croyant que rien d'autre n'existe, comme quoi je n'avais pas tout à fait tort.
A peu pres tout le monde en entreprise sait que Linux existe, cette excuse ne tient pas.
Pas faux. Mais apparemment elles préfèrent encore déployer XP à Vista et Seven, donc pour l'instant, 1 partout.
J'ai l'impression que celles qui passent à Vista le subissent plutôt.
Certains peut-etre, mais c'est tres loin d'etre le cas de tout le monde, il y a plein de gens qui sont tres content de leur Vista, Seven quand a lui, a peu pres tout le monde le trouve superbe de ce que j'en ai vu (forums/reviews/...)
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à -2.
(Quand t'installes, nouveaux fichiers --> personne a de lock dessus --> ca s'installe sans probleme et sans reboot, quand tu desinstalles, si en utilisation -> lock -> reboot necessaire)
Bref, faudrait penser a savoir de quoi tu parles.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
[^] # Re: Mais où est donc passé PBPG ?
Posté par pasBill pasGates . En réponse au journal Plusieurs bourses internationales migrent sous unix. Évalué à 0.
Ca veut dire qu'il suffit que je poste un truc pour que vous baissiez la queue ? Eh ben, si seulement j'avais autant de pouvoir dans la vraie vie ...
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
Malware s'introduit dans le compte de l'utilisateur.
Il ne lui reste plus qu'a mettre son propre "fake" sudo dans le compte de l'utilisateur, modifier le PATH pour rediriger sudo sur son propre sudo, et la prochaine fois que l'utilisateur lance sudo, le malware peut passer root.
Ca c'est un des nombreux exemples pour passer d'un compte utilisateur sudo-enabled a root.
Vingt milliards de mouches ne peuvent pas se tromper, mangez de la merde !
Ah oui la phrase bateau.
La difference etant que j'ai un minimum de respect pour les gens, quand la majorite d'entre eux utilise un OS et ne se plaint pas, j'ai tendance a les croire plutot que me dire que ce sont des idiots.
Comme elles peuvent...
Ouaip, et visiblement elles preferent ca a deployer Linux
[^] # Re: Z'ont qu'à se bouger le cul au lieu de chialer.
Posté par pasBill pasGates . En réponse à la dépêche Vers un accord Microsoft vs. Commission européenne ?. Évalué à -5.
- madame Michu laisserait vite tomber ce navigateur de merde,
- Microsoft bougerait vite son cul pour faire un navigateur potable,
Ben ouais, ils sortiraient un browser qui respecte les standards.
Ah attends, c'est deja fait(ie7 / ie8)
Ben non, c'est pas la solution, ca va pas faire disparaitre ie6
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à -2.
La difference entre toi et moi, c'est que moi j'arrives a rester objectif et mettre le blame la ou il est(manque de driver, driver instable, ...) plutot que partir sur des prejuges a la con sans savoir de quoi je parles.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 1.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à -1.
Il y a des millions de machines sous Vista qui ont un CPU pas tres puissant, 2Go de RAM, et qui tournent parfaitement et rapidement.
Quand tu vois une machine qui sort du lot, faudrait penser a te demander pourquoi plutot que partir sur le prejuge immediat "Vista c'est lourd/lent/de la merde"
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à 0.
Jamais qu'ils bossent chez MS parce qu'ils trouvent l'OS bien.
[^] # Re: Mon dieu quelle horreur
Posté par pasBill pasGates . En réponse au journal Projet Églantine et les ouinedoziens - Épisode 2. Évalué à -1.
Mais c'est tellement plus facile de parler de ce qu'on ne connait pas hein...