pasBill pasGates a écrit 16044 commentaires

Euuuhhh… https://threatpost.com/google-fixes-12-high-severity-flaws-in-chrome-browser/122223/

Note je dis pas que Chrome est pire que Edge, mais il a des RCE.

Je pense que cela a trait au fait que faire des comparaisons entre Windows et Linux n'a de sens que lorsque l'on regarde un système complet, pas juste le kernel. Et de ce point de vue la openssl fait partie du système vu son utilisation.

Dès les origines de Unix dans les années 70, les concepts d'utilisateurs (dont root), et de permissions sur les fichiers permettaient de mettre en échec toutes les menaces des années 90 (virus principalement) là où Windows, c'était un peu la fête du slip.

Fais moi rire, Windows NT supportait cela depuis sa naissance en 1992.

Et même aux débuts d'Internet grand public dans les années 2000, il a fallu un petit moment avant que Windows ne soit plus une passoire tandis que ces bons vieux mécanismes d'utilisateurs et de permissions protégeaient encore relativement un utilisateur de Unix/Linux.

Non, c'est le fait qu'ils étaient totalement absents du marché grand public surtout. Ils avaient plein de failles à l'époque (comme Windows), y compris pour passer d'utilisateur simple à administrateur. Mais évidemment quand la faille touche 10 machines plutôt que 10'000 cela ne fait pas le même bruit dans la presse…

les devs Linux ont conscience depuis le quasi-départ de l'importance de la sécurité (disons 1994 pour être large).

Et tu te bases sur quoi pour affirmer cela ?

https://www.blackhat.com/docs/us-16/materials/us-16-Weston-Windows-10-Mitigation-Improvements.pdf

https://grsecurity.net/passing_the_baton_faq.php

I do not want to spend money, what alternatives are there?

Unfortunately, in contrast to Microsoft's post-Windows XP Trustworthy Computing initiative which drastically changed its security trajectory, the Linux community at large has failed to invest adequately in security over the past two decades. Partially due to this, there is no direct alternative to grsecurity or even any option that provides a substantial fraction of grsecurity's features or overall benefits.

C'est pas moi qui le dit hein… Ok j'aurais peut-être dû attendre Vendredi…

Le defaut change selon le mode du système. Quand c'est un tablet, il utilise l'UI moderne, quand c'est un desktop-server il utilise l'ancienne UI par défaut.

Et comme tu le dis, le changement était le bienvenu car le mode moderne sur un desktop-server était pas idéal.

Non elle est toujours là. Clique en bas à gauche de l'écran et elle apparait.

Je me demande… Tu t'attends à ce qu'une boite libre n'achète que des produits et services libres aussi ?

Parce-que personne ne fait cela, c'est simplement impossible. Partant de la choisir aléatoirement un critère genre "toute société achetée doit avoir offert ses produits en libre" est arbitraire et… franchement loufoque.

J'avais justement pris un jour de congé ce jour là! Preuve que sans moi l'internet s'ecroulerait…

Ce n'est pas le cas. Selon le contrat :

Si je bosses à Amazon, et que demain je crée un traitement de texte sur mon temps libre (bref un truc qui ne concurrence rien de ce que fait Amazon), sans utiliser les ressources d'Amazon, le truc est à moi.

Si je bosses à Amazon, et que demain je crée un service de stockage en ligne sur mon temps libre, alors il appartiendra à Amazon, sauf si j'ai demandé un accord de moonlighting qui a été accepté (et dans ce cas précis il serait probablement rejeté).

AWS a eu des petits problèmes hier avec S3 dans une région (us-east-1), si leurs systèmes en dépendait cela pourrait l'expliquer.

La crypto n'est pas mon domaine mais il n'y a pas de risque d'affaiblir l'algo de manière non linéaire (relatif aux bits enlevés) en faisant cela ?

160bit vs 256 aussi. Pour certains usages ou les données sont petites cela a son importance.

On a tous cela dans nos contrats ici. Rien de nouveau, tout ce que cela dit est que tout ce que tu fais pendant que tu es employé par cette boite appartient à la boite. Cela n'inclut évidemment pas ce que tu fais après avoir été employé par eux ou avant. Il y a souvent aussi une clause de "moonlight" qui permet à l'employé de bosser sur son temps libre sur un truc sans rapport avec l'activité de la boite et ne pas avoir à donner les droits.

D'ailleurs, pour travailler dans les métiers de l'ingénierie aux États-Unis, il vous est interdit de jamais revenir au type travail que vous faisiez pour votre employeur après avoir quitté votre emploi.

C'est absolument et totalement faux. Moi et la plupart des gens que je connais avons changé de boite et travaillons souvent sur le même genre de choses que l'on faisait avant. Notre boite précédente le sait et s'en fout totalement.

La loi change par état, et pour que ton employeur précédent puisse te poursuivre il faut un certain concours de circonstances (connaitre en détails les futurs projets de la boite, etc…) qui font que cela ne s'applique réellement qu'aux gens haut placés genre directeur d'un groupe de dizaines de gens ou plus haut, ou alors les vrais pontes techniques vu qu'ils se promènent souvent dans les meetings ou toute la stratégie sur des années est discutée.

Les idées nouvelles ou non dominantes sont non seulement ignorées, mais supprimées par les individus qui les produisent, pour des raisons de sécurité personnelle ou pour des gains financiers immédiats.

Et la marmotte… Non mais sérieusement faut arrèter de raconter n'importe quoi pour essayer de convaincre les gens de ton point de vue hein… C'est non seulement totalement faux, mais ce l'est de manière tellement flagrante que tout ton article passe à la poubelle dans ma tête, tu as perdu toute crédibilité. Il n'y a jamais eu autant de créativité dans l'industrie informatique qu'en ces dernières années, que ce soit au niveau HW ou SW.

La distance est de genre 5km entre les anciens bureaux et les nouveux. Aller dire qu'ils ont fait cela pour arranger un coup fumeux est ridicule. Il y a plein de contraintes pour trouver des locaux de la taille nécessaire, avec les connections routières, transports publics, …

Oui tout à fait on rigole.

On rigole des guignols qui lancent des conneries sans se rendre compte que Microsoft a son siège à Munich depuis des années, et qu'ils ont simplement déménagé d'une banlieue de Munich à une autre, dans un nouvel immeuble.

Je savais bien qu'on finirait par être d'accord sur quelque chose un jour ! :)

Ou plutôt que tu as compris ce que tu voulais comprendre car ca t'arrange.

Ce qui est du grand n'importe quoi vu que tout ce qu'il faut pour compiler Windows est dans le repo et qu'une fois le repo amené sur une machine, après quelque étapes de config, il suffit de lancer le build.

Tout développeur dans la division Windows fait cela régulierement, la marche à suivre est clairement documentée histoire que tous les nouveaux développeurs sachent le faire.

Donc non, ce n'est pas de la magie noire. Ce n'est pas le truc le plus simple du monde non plus, mais un développeur pas trop stupide qui suit la doc y arrive sans trop de problème.

Si quelqu'un devait recréer le système de build ce serait une horrible expèrience, mais utiliser le système de build existant (ou qui existait il y a 3 ans quand j'y étais), pas trop.

ChromeOS, la Gentoo personnalisée par Google, a la réputation d'être le système d'exploitation existant le plus sécurisé, et continue son bout de chemin sans faire de vagues, challenge après challenge personne n'arrive à le casser ni à passer root de manière insidieuse sur un ChromeBook neuf.

Euh…. comment dire…

Déjà un bug bounty ne montre en rien que c'est le système le plus sécurisé… Cela montre juste qu'ils font des efforts (ce qui est bien hein, je ne dis pas que ChromeOS c'est de la merde)

Ensuite, ben vu ton respect pour PaX et GrSec ben je te laisse méditer sur leur opinion de Windows 10 :

https://twitter.com/paxteam/status/809454992155443200

@epakskape excellent, now all you need is RAP and you're the best in the business ;). congrats, you 'got it' before anyone else!

Pour ce qui est de la politique, tout à fait oui, c'est le grand cirque, et effectivement les inégalités sont absolument sans comparaison avec l'Europe. C'est triste à voir, mais ce qui est vraiment dramatique est que bcp des gens qui souffrent de cela … ben… ils votent pour les gens qui les entubent (= les Républicains et Trump). Alors à part leur dire qu'ils se fourvoient et devraient regarder en détail ce qui leur arrive, ben tu ne peux malheureusement pas faire grand chose… Ils n'ont pas de bonne éducation car ils n'en ont pas les moyens, et ils apprennent tout à travers la TV en 5 minutes.

Ensuite niveau financier et qualité de vie, pour un développeur c'est absolument sans comparaison avec l'Europe, et même la Suisse n'arrive pas à régater (j'en sais qqe chose, je suis Suisse)

Le coût de la vie est plus élevé (pas comparé à la Suisse, mais certainement comparé à la France), mais le salaire est tellement plus haut que c'est un détail. Emprunt pour l'université idem. Quand tu fais 3 ou 400'000 par an et qu'en Suisse tu ne ferais même pas $200'000 pour le même boulôt ben c'est vite calculé.

Coût de la santé pas trop car toutes les boites tech te paient ton assurance santé. Violence ? Ben quand tu as une assise financière pareille tu ne vis pas dans la banlieue sud de Chicago d'habitude… C'est clairement pas aussi propre et carré que la Suisse, mais en contrepartie tu as d'autres choses (vie nocturne bien plus développée par exemple)

Ca donne envie de déménager aux US hein ?

Euuh non. Cela fait partie de Windows Server: https://technet.microsoft.com/en-us/windows-server-docs/get-started/getting-started-with-nano-server et tu peux l'installer sur ton reseau interne si ca te chante.