pasBill pasGates a écrit 16278 commentaires

Et je pense que ça n'est pas subjectif : objectivement, du point de vue de l'efficacité et de la sécurité, Linux est techniquement meilleur que Windows.

Pas d'accord. Tu te bases sur quoi pour affirmer ca ? Et je veux des elements techniques hein, pas des rumeurs, avis de copains linuxiens, etc...

La loi dit qu'il y a exception quand c'est dans l'interet du consommateur.

Resultat, dire que la loi est violee est serieusement tire par les cheveux, il est tout a fait concevable que permettre le lien entre OS et machine soit dans l'interet du consommateur moyen.

Je bosses chez MS, et on a tendance a se prendre des proces pour tout et n'importe quoi comme tu le sais surement.

Ca n'a rien a voir avec securite par obscurite, cela a tout avoir avec le choix suivant :

- On sort ces outils en public, on aide les developpeurs, on risque d'aider certaines personnes mal-intentionnees et on risque de se prendre des proces
- On ne les sort pas, on n'aide personne, mais au moins on ne se prend pas de proces

Eh oui, c'est le genre de choix que tu es amene a faire quand tu es une societe americaine, la beaute du systeme judiciaire US.

Ben faut expliquer cela a notre departement legal, c'est de chez eux que vient l'interdiction. Meme les qqe bouquins de securite que des gars de MS ont ecrit ont ete presque censure par LCA car ils voulaient eviter qu'on decrive des techniques d'attaque dedans. Il a fallu leur expliquer que le bouquin ne servirait a rien sans ca et que ce qui etait ecrit n'etait pas nouveau pour qu'ils se calment.

Et je les comprends en partie, MS c'est un peu l'elephant dans le couloir, une cible ideale, le nombre de proces qu'on se prend(justifies OU PAS) est grand, et aux USA tu peux te prendre un proces tres facilement, surtout si tu as de l'argent a donner en amendes.

Quand tu fais un send() ou un recv() sur un socket, cela n'a absolument RIEN a voir avec la taille d'un paquet IP(sauf si tu joues avec les raw sockets).

Si tu fais un send de 300 bytes, il pourrait envoyer 1, voire 2, voire encore plus de paquets IP, de meme, quand tu fais un recv() il pourrait te renvoyer le contenu d'un, deux, trois ou meme un demi ou un tiers de paquet IP.

Je te conseillerai d'aller etudier les protocoles TCP/IP un peu, il semble que tu aies certains coins sombres de ce cote la.

Les protocoles sont couche sur couche, ca ne veut pas dire qu'un packet IP connaisse, ou meme se soucie de la taille d'une requete HTTP.

HTTP est (d'habitude) au dessus de TCP, qui lui est d'habitude au dessus de IP.

HTTP connait la taille de la requete.
TCP s'en fout, c'est ce qu'on appelle un "streamed" protocole: tu ecris des donnees dans le tube, il envoie ce que tu ecris, sans savoir a l'avance combien tu vas ecrire au total. Il attend genre 200ms que tu ecrives, et il envoie tout ce que tu as ecris jusque la.

IP en dessous est un protocol qui n'a aucun concept de connection, il envoie des bouts de donnees l'un apres l'autre, il n'a lui-meme aucune connaissance de la taille totale des donees envoyees et ne sait meme pas si 2 paquets qu'il envoie font partie de la meme requete TCP ou HTTP.

Comment récupérer de façon fiable une trame réseau ? Mon problème est que je n'ai jamais réussi à être certain de la quantité de donné à lire pour obtenir complètement UNE trame. Soit j'en lis trop, soit pas assez.

Ca depend du protocole.

Avec SNMP par exemple, t'as la taille dans l'entete du header ASN.1

Avec HTTP, faut lire jusqu'a ce que tu trouves 2 retours de chariot, ce qui te donnera le header complet, et t'as la taille du corps de la reponse dans l'attribut Content-Length du header, si c'est du chunked c'est plus complique mais pas bcp.

On combat rien du tout, on veut eviter d'etre poursuivi devant un tribunal par un gars qui se serait fait piquer ses donnees ou autre grace a une faille trouvee par un de nos softs.

Je sais parfaitement que ces outils serviraient a plein de developpeurs interesses, mais malheureusement si ils etaient public ils serviraient aussi a plein de gens mal intentionnes, et c'est la le probleme.

Le probleme c'est qu'enormement de softs( LL ou pas hein) ne font quasiment aucuns tests de securite.

Alors oui certains softs les utiliseraient et deviendraient plus robustes.

Tout comme plein d'autres softs ne les utiliseraient pas (manque d'interet, temps, connaissances, ...) et seraient des grosses cibles potentielles, avec les utilisateurs comme victimes. D'ailleurs meme les softs ayant utilise ces fuzzers seraient potentiellement vulnerable a une utilisation avec une approche/configuration differente.

Resultat, pour des raisons legales(on a assez de proces au cul), on ne peut pas sortir les softs qui risqueraient de servir a des gens mal intentionnes.

Les raisons n'ont en fait rien a voir avec le fait que le code est proprio(on ne vend pas ces softs de toute facon), mais plutot avec la dangerosite de ces jouets dans les mains de gens mal intentionnes, ce qui fait qu'on les garde en interne et qu'on ne les met pas a disposition de tout un chacun.

J'en connais plusieurs dont un fait par moi meme mais malheureusement je ne peux pas te les donner :)

A noter que non seulement il faut que ce soit du XML correct, mais souvent il faut que cela soit correct vis-a-vis du schema aussi, ce qui rend le developpement de ces jouets assez amusant.

Je confirme.

L'enorme majorite des bugs qu'on trouve en interne est trouve a travers le fuzzing. D'ailleurs je trouves ce journal tres sympathique car c'est justement ce que je fais pendant genre 50-70% de mon temps depuis plus 2 ans et c'est cool de voir pour une fois un journal sur le QA, ce qui est assez rare.

Un truc que je me demandes, pourquoi est-ce que tu as ecris ton propre framework plutot qu'utiliser/etendre un des framework connus, genre Peach qui est en python aussi ?

Je ne veux pas te decourager, mais developper un framework complet et vraiment efficace prend un temps non negligeable, j'en suis perso a plus de 2 ans d'efforts et il y a toujours des choses a ajouter/ameliorer, peut-etre que contribuer a un des frameworks existants serait plus efficace, a moins que tu sois interesse personnellement a apprendre et decouvrire comment ecrire un tel framework auquel cas rien de tel que le faire soi-meme.

C'est super les fonds de pension US, on ne compte plus le nombre de societes qui ont annonce a leurs employes et anciens employes qu'ils toucheraient bcp moins que ce qui etait prevu car il n'y a parait il pas assez d'argent(ben oui, faut payer les 20 millions au CEO qui s'est fait virer car incompetent).

Il y a vraiment des gens en France qui devraient se reveiller. La regle de base, c'est qu'on depense ce qu'on a. Si il n'y a pas assez pour payer 25'000 euros de retraite par mois a chacun, ben on paie moins, ou on a moins d'annees de retraite, ou on cotise plus. Il y a pas 3000 chemins.

Ca depend de l'utilisation, un switch peut etre utilise de differentes manieres, moi j'ai longtemps utilise un switch comme appui-pied dans mon bureau par exemple.

Ok, je -->[]

Non ce n'est pas lie, et pratiquement c'est tres peu utile:
- il faut avoir acces a l'espace memoire du processus, ou lsass.exe pour SSL(lsass.exe qui tourne en admin) pour pouvoir decoder des connections passees
- il y a une fenetre dans laquelle tu peux le faire: faut le faire avant que le seed ne soit regenere, seed qui est regenere automatiquement tous les 16000 nombres je crois, apres c'est trop tard pour decoder les connexions avec le seed precedent.

Bref, pour un hacker c'est d'une utilite assez limitee, meme si l'attaque en elle meme est interessante.

Tout à fait. Du coup, pourquoi Apple ne le fait-il pas ? (C'est peut-être une raison politique, je n'en sais rien).

Je sais pas, ca peut etre autant technique(pas eu le temps, ca sera fait dans la version suivante) que politique.

Je suis parfaitement d'accord. Mais que ce soit pour OOXML ou ODF (que je ne défends pas, je me pose juste la question de faire le meilleur format possible), le problème est que le format devrait être suffisamment complet pour ne pas avoir à insérer des objets OLE. Si tu dois en insérer, c'est que le format ne comble pas ce besoin particulier. Il faut alors le compléter pour qu'il soit réellement multiplateforme.

Ben c'est tout le probleme de permettre des formats extensibles. Si ils sont pas extensibles, ca met une limitation, si ils le sont, ca ouvre la porte a des contenus propres a une plateforme.

Sinon, question : est-ce qu'il existe un équivalent à OLE pour Mac, et dans ce cas OOXML permet-il d'en insérer des instances ? Si OOXML n'est pas prévu pour insérer d'autres modèles de composant que OLE, il faut reconnaître qu'on est dépendant de Windows (dans des cas spécifiques, je te l'accorde).

OLE etait inclus dans MacOS < X, je sais pas si c'est encore le cas.

Il suffit que la méthode de lecture soit triviale mais que celle d'écriture nécessite une connaissance particulière

Exemple ?

Tu peux facilement générer des documents OOXML qui, tout en étant conformes à la norme, ne seront pas lus par Office vu que celui-ci n'est pas conforme à cette norme et a des exigences différentes pour déclarer un document valide.

Et ici on parle du format OOXML, pas de son implementation dans Office. C'est OOXML qui a ete standardise par ECMA, pas Office.

tu veux dire que parceque cela a ete propose cela devait etre accepte sans discussion?

Non, mais quand plusieurs entites, dont certaines plutot importantes, se mettent derriere une proposition et que celle-ci est refusee, on est en droit de se poser des questions non ?


Florian Reuter : I also worked together with the OpenDocument Foundation on the ODF plug-in for Microsoft Office.. Je dis pas qu'il est nul mais de la a pretendre comme tu le dis qu'il est impartial il y a pas que je n'oserai pas franchir...

Je dis pas qu'il est impartial, je dis que le gars connait le domaine pour y avoir baigne depuis longtemps.

Oui enfin, un format indépendant d'une plate-forme seulement en lecture, je ne trouve pas ça terrible... Dans les faits, tu as actuellement toujours besoin de Windows si tu veux écrire du OOXML.

Si tu peux le lire, qu'est-ce qui t'empeche techniquement de l'ecrire ?

Après tu vas me dire que Microsoft va sortir Office 2008 pour Mac avec le support de OOXML (ce qui est vrai), il n'empêche que si c'est pour se retrouver avec des morceaux du fichier transformés en images et non éditables d'une plate-forme à l'autre (comme on a déjà vu), ça ne sera pas vraiment un exemple d'indépendance...

ODF a exactement le meme probleme, car il traite les elements OLE exactement de la meme maniere: il sauve une image de l'objet et utilise celle-ci si l'objet en question n'est pas instantiable, alors faut savoir, ODF il est independant ou pas ?

Alors ca ca doit etre vachement plus objectif que Rob Weir... Et bon ca vient d'un lien de Edwards et pas d'autre donc pas tres credible pour le moment (et non je vais pas me taper les minutes de l'OASIS). Je me suis deja tape la prose bien lourde de Edwards.

Oh mais il est 100% partial bien entendu. Le truc c'est que les minutes du TC elles sont impartiales elles, suffit d'aller y jeter un oeil...

Seul "petit" detail, le plugin n'a jamais ete opensource! Donc bon les accords ca marche dans les deux sens... Tu fais ta part on fait ta part. Tu montres a quoi ca sert et on le met dans le format. La partie 1 a pas ete realise alors pourquoi s'emmerder a rajouter des elements pour rien?

Ah oui mais avec des arguments comme ca on n'avance pas. Je ne fais rien tant que tu ne fais rien. Le probleme c'est que toi non plus tu ne fais rien tant que je ne fais rien....

Ah oui ils ont reussi cela alors que le format Microsoft OpenXML n'etait pas encore fini d'etre defini. Tres tres fort!!!! Petite remarque au passage, la demo a ete si bien reussi que cela a ete refuse par la Massachusetts...

Et ils ont dit que c'etait une version definitive ? Il est interdit de bosser sur des standards quasi-termines ?
Quand au Massachussets, ils ont refuse quoi ? Et pourquoi ?

Il faut preciser que tes citations viennent toutes de Gary Edwards. C'est rigolo comme tu consideres Rob Weir comme n'etant pas objectif et que tous ce qu'il est dit est au minimum entache de betises (normal il parle contre des truc de ta boite) Alors que dans le meme temps tu prends comme parole d'evangile les propos de Gary Edwards de la fondation en question qui la pour le coup sont clairement absolument pas objectif et clairement de partis pris.

Les 2 sont partis pris, tout autant l'un que l'autre. Mais le fait que ces elements aient ete proposes au TC et refuses, lui est clair. Tout comme le fait que Florian Reuter ait propose ces memes changements qui ont aussi ete refuses. Et Reuter c'est pas un debutant hein, il bossait chez Sun sur StarOffice avant de quitter Sun, il maintenait(maintient encore?) les filtres d'import/export .doc d'OO et il continue de bosser sur OO.

Ouhais enfin lorsque le W3C dis clairement que le CDF c'est pas du tout fait pour ce que la fondation prevoyait de faire ca laisse reveur sur leur capacite technique et donc sur la reelle necessite des 5 extensions. C'est rigolo mais ce sont les seuls a vouloir les mettre

http://docs.google.com/View?docid=dghfk5w9_43f2cmkj

In the past year there were no less than five iX proposals submitted to the OASIS ODF TC for discussion. Three of these were submitted by the Foundation with the signed off approval of Massachusetts ITD. Two others were submitted by Novell as part of their agreement with Microsoft to create an OOXML plug-in for OpenOffice.

suivi de plus loin :

The roadmap was signed off on by Massachusetts, California, IBM and Oracle. Louis had convinced the Foundation to open source da Vinci and InfoSet (a portable ODF iX conversion engine for embedding in applications), and was determined to build an ODF Community around da Vinci. To do this he turned to IBM and Oracle. And they in turn set out to gather a group of benefactors willing and able to fund the complete development of da Vinci - InfoSet.

Alors bon, si on compte, ca fait IBM, Oracle, departement du Massachussets, Novell. J'ai vu pire...

Ils ont les specification, le code et ben ils ont qu'a implementer cela et prouver leur dire. C'est assez logique comme demarche et c'est d'ailleurs c'est celle prone dans le logiciel libre: "tu dis que cette methode est mieux, implemente et prouve le". Je vois pas tres bien ou le fait d'etre objectif ou pas rentre en jeu.

cf. le lien donne plus haut :

On August 13th, 2006 the re written "ODF iX" version of da Vinci was delivered to Massachusetts for demonstration purposes only. This is the version with the ACME 376 conversion pre-processor capable of achieving near perfect fidelity! The impossible had been achieved, even though it's true that we use the MSOffice "internal conversion process" to achieve this magic. It's the same internal conversion process used by the OOXML plug-in! The only problem left was the grunt work of piping ACME 376 XML encoded RTF to ODF iX.

et oblige l'achat d'une licence de Microsoft Office (en contradiction flagrante avec le but d'un format interperable).

C'est un plugin ODF pour Office, tu m'etonnes qu'il faille une licence Office...

uniquement par l'utilisation de Microsoft Office et d'une traduction XML d'un format RTF (si j'ai bien compris son systeme) et ceci fait juste une traduction "high fidelity" meme pas parfaite.

C'est pas RTF comme le format RTF, c'est un format interne a Office qui est utilise pour la representation du document selon ce qu'il dit, eux l'appellent MS RTF.

Si il faut uniquement passer par la suite Microsot Office pour arriver a avoir un rendu parfait de Microsoft OpenXML cela prouverait bien que MSOpenXML n'est pas un format fait pour etre utiliser ailleurs que dans cette suite office.

Et t'as vu ou que c'etait la seule methode ?

PS: pour une fondation qui pronait un format ouvert, elle n'a jamais publie son plugin de facon open source cela laisse reveur. En gros comme dit par Rob Weir leur participation a ODF fut plus pour critiquer que pour reelement apporter une solution a la perenite des informations dans un format ouvert et interoperable.

Les minutes des TC sont ouvertes, les gens peuvent clairement voir quel a ete leur apport, partant de la, l'opinion de Rob Weir dont on connait tres clairement la partialite n'a aucune importance.

J'ai dit que Hiser etait objectif ? Vu son avis sur MS, t'imagines ce que j'en pense.

Quand tu donnes un avis non-objectif, la logique veut que tu regardes ce que l'autre cote en dit histoire de se faire une opinion, mais toi et logique, on sait que c'est pas compatible.

On recapitule :

TU insinues qu'ils voulaient mettre des blobs non documentes dans ODF : http://linuxfr.org/comments/881585.html#881585

JE te donne la liste des modifications qu'ils ont demande : http://linuxfr.org/comments/881617.html#881617

qui clairement ne contient rien de non-documente

Tu es vraiment un gros guignol

T'iras expliquer ca a Apple qui lit les documents OpenXML avec sa suite Office, ils ont du operer un miracle je suppose ?