Il manque le certificat intermédiaire "QuoVadis Global SSL ICA G3"
Le serveur étant bien configuré, il transmet toute la chaîne de certification y compris le certificat intermédiaire. Il n'a donc pas besoin d'être connu par Firefox.
Dans l'ordre c'est d'abord l'établissement de la connexion TLS puis les échanges HTTP dont le code d'erreur.
Du coup, sur ton PC : pas d'établissement de connexion TLS donc pas d'erreur HTTP.
Sur ta VM : établissement de la connexion TLS puis erreur HTTP.
Si sur ton PC, tu passes outre les avertissements de sécurité, tu obtiendras aussi l'erreur 500.
Donc on a le même certificat qui nous est présenté, mais chez toi le chemin de certification n'est pas validé, ce qui est probablement dû à une autorité de certification non reconnue.
Je suis sur KDE Neon, il faudrait un autre utilisateur de Cinnamon pour vérifier si ça vient de la distrib ou de ta config (ou alors tu réinstalles dans une VM pour vérifier).
Il semblerait que le message que vous avez reçu correspondrait à celui émis lorsqu’une machine est configurée avec une date dans le futur/passé (une date supérieure à 23/03/2022 ou inférieure à 31/03/2021).
Le message d'erreur de FF dans ce cas aurait été différent de celui de ton screenshot : "Soit le site est mal configuré, soit l’horloge de votre ordinateur est réglée à la mauvaise heure."
Personne d'autre n'a réussi à reproduire cette erreur de certificat ?
Pas moi. Pour confirmer qu'il s'agit bien d'un problème de CA chez toi, clique sur le bouton "Avancé" et regardes le code d'erreur. Pour une CA non reconnue, c'est SEC_ERROR_UNKNOWN_ISSUER
Par ailleurs, si tu affiches le certificat, tu as quoi comme empreinte SHA-256 pour vérifier qu'on parle bien du même ?
De mon côté, c'est :
F9:0F:D8:63:D5:9A:FE:EC:1B:73:07:AE:8B:63:CC:CF:66:A4:8B:8D:B8:38:47:1C:A0:D1:5C:67:73:50:B2:C2
Petit point de détail : le chiffrement "se fait". Par contre, tu n'as pas de garantie qu'il soit fait de manière à ce que seuls la société générale et toi puissiez déchiffrer le trafic.
Pourquoi exponentielle reste toujours toute seule en boîte de nuit ? Parce que malgré tous les efforts qu'elle fait pour s'intégrer, ça ne change rien.
Si π n'est pas un nombre univers, alors ce système de fichier[1] risque de causer pas mal de pertes de données.
Pas de soucis, ils recherchent la position de chaque octet, du coup ça marche même si π n'est pas un nombre univers. Tu peux déployer en prod les yeux fermés, c'est robuste !
Version sans aléa : le code des noyaux linux, bsd et windows NT existent dans toutes leurs versions passées, à venir et même non publiées dans π, et ce n'est pas du hasard, car ils y seront toujours, de manière prévisible, à ces endroits.
Si tu arrives à le prouver, tu vas intéresser quelques mathématiciens. A ce jour, il n'a pas été démontré que π était un nombre univers.
Par contre, une question qui m'est venue pendant l'écriture de mon commentaire, c'est : que faire d'un dev qui produit par hasard fortuitement un code suffisamment proche d'un code existant ?
Pour moi il n'est pas coupable, mais il pourrait être condamné s'il n'arrive pas à prouver qu'il n'a jamais vu ce code existant.
En théorie c'est simple, si le code est "suffisamment proche" et "non trivial", c'est une contrefaçon. La bonne foi de l'auteur de la copie/réinvention n'entre pas en compte.
En pratique, le "suffisamment proche" et "non trivial" sont loin d'être rigoureusement définis et laissent une grande marge d'interprétation.
Selon l'article du Parisien, ce serait Romain Bignon et Laurent Bachelier qui auraient co-fondé le projet. Or disent des gens du projet sur la page de discussion de l'article Wikipedia c'est faux.
Du coup, il ne devrait pas y avoir de débat. Wikipedia n'a pas pour vocation à dire la Vérité mais à donner des informations dont la source est vérifiable (https://fr.wikipedia.org/wiki/Wikip%C3%A9dia:Citez_vos_sources).
C'est peut-être moins louable mais ça a l'avantage d'être plus objectif et plus réaliste.
Du coup, selon ce critère et en supposant qu'il n'y ait rien d'autre que la parole des gens du projet (je ne suis pas allé vérifier), il faudrait garder la version du Parisien.
Je pointais simplement que l'argument «la base de données doit être planquée sur un réseau privé» est plus proche du dogme que de l'argument étayé.
Ça dépend de ce que tu compares. Est-ce que tu compares une base de données + 1 service par dessus (type serveur web), tous les 2 exposés sur internet, à l'équivalent avec uniquement le service web exposé et la base en back-end privé ?
Dans ce cas, la solution avec la base planquée est clairement meilleure, elle diminue la surface d'attaque.
Par contre, si tu compares 1 base de données exposée directement par rapport à 1 base de donnés "planquée" avec 1 service par dessus qui l'expose, effectivement là les arguments sont moins évidents.
Il semblerait que ces assistants répondent à des commandes diffusées en ultrasons. Du coup, j'imagine qu'avec le bon matériel, tu pourrais diffuser une commande pour chacun des assistants répandus de manière discrète. Par contre, je pense que si il y a un assistant qui répond, c'est forcément à "voix haute". Mais, j'ai l'impression que tout les possesseurs d'iPhone/Android sont habitués à des faux positifs, donc ça n'étonnera personne s'ils se mettent à parler tout seuls.
Le domaine des numéros de téléphone étant assez réduit (en france c'est de l'ordre de 5 * 108),
autant un sha1 se fait en milliard de test à la seconde sur un GPU, autant un bcrypt tombe à 5000
Avec ces chiffres, il faudrait donc 5 * 108 / 5000 = 500 000 secondes, soit même pas 1 semaine. Donc c'est réalisable assez facilement.
Sur le papier on peut rendre bcrypt aussi lent qu'on veut. Sauf qu'en pratique d'un côté on a un utilisateur qui n'a pas envie que son téléphone mette plus de quelques secondes à calculer le hash et de l'autre on a un attaquant potentiel disposant d'une puissance de calcul beaucoup plus puissante que le téléphone et d'un temps beaucoup plus important. L'attaquant est beaucoup trop avantagé sur un nombre de combinaisons aussi faible.
Revoir ça un à plusieurs jours après ça fait sauter aux yeux ce qu'on n'avait pas vu avant.
Même entre les 2 relectures (celle sur l'orthographe/grammaire/fautes évidentes, et celle plus sur le fond), il faut que je laisse passer du temps pour oublier. Sinon, je tiens trop pour acquis ce que j'ai lu lors de ma première lecture et j'ai du mal à le contester.
Il faudrait remettre au gout du jour des applications SMS (gestion des conversations multiples actuellement assez pourris). Au moins les SMS ne forcent pas l'usage d'un outil à ses destinataires.
C'est pas gagné. Aujourd'hui, sur mon Android en lançant l'application pour les SMS, j'ai eu un message de Google m'invitant à activer des fonctionnalités de chat supplémentaires. En creusant un peu, il s'agissait surtout de remplacer les SMS par un autre protocole faisant passer tous les messages sur un serveur Google https://support.google.com/messages/answer/9592174?hl=fr. Alors oui c'est censé être compatible SMS/MMS, mais si ça offre des fonctionnalités supplémentaires et que le protocole SMS/MMS ou les applications associées n'évoluent pas, la communication va être difficile.
La plupart prennent quelques point litigieux et le démontent, mais ne parlent pas du reste.
Parce que ce “documentaire” est un ramassis de conneries qui a été fait exactement dans ce but. Il est excessivement long et mal monté,
Cette technique porte un nom : le mille feuille argumentatif. On te balance tellement d'infos/raisonnements faux/biaisés/détournés que pour répondre à chacun il faut du temps et de l'énergie que la plupart des gens n'ont pas.
De plus pour bien faire, on touche plusieurs domaines différents (biologie, économie, social, …). Comme ça pour démonter intégralement, il faut une équipe d'experts venant de plusieurs domaines aussi.
Parfois un vélo avec une remorque est même plus pratique qu'une bagnole sans remorque
C'est con mais ça ne m'était jamais venu à l'esprit :).
Du coup, j'ai quelques questions :
- C'est quoi la taille et poids approximatif de la remorque ? C'est facile à tracter / manoeuvrer ? Tu le fais avec un vélo avec assistance electrique ?
- Ça se passe bien dans les descentes un peu fortes ?
- J'imagine que tu te gares sur les emplacements voiture avec ça ?
- Et du coup, tu roules au milieu d'une voie classique ? C'est quoi le comportement des autres usagers de la route ? Ils gardent les mêmes distances de sécurité vis à vis de toi qu'avec une remorque attachée à une voiture ou les mêmes distances de sécurité qu'avec un vélo seul ? Tu mets des drapeaux ou autre à ta remorque pour qu'elle soit visible ?
Je ne m'opposais pas au post d'Ysabeau. Au contraire, je suis d'accord qu'il ne faut pas se fier à une seule étude et je voulais juste souligner que c'était vrai aussi même si l'étude était de qualité.
de temps en temps a la radio on nous sort : une étude américaine prouve que la consommation de piment réduit le risque de cancer. ou un autre truc bidon voir même sans mentionner l'origine
Et quand on creuse, on s'aperçoit que l'étude établit juste une corrélation entre la consommation de piment et la réduction de cancer et que la conclusion de l'étude c'est juste qu'il faut approfondir pour voir s'il y a vraiment un lien de cause à effet.
[^] # Re: Pipeau
Posté par NicolasP . En réponse au lien Évaluez l’impact de la vaccination sur l’épidémie (résumé : en pratique risque individuel /4). Évalué à 9. Dernière modification le 17 août 2021 à 20:47.
Auteur original
[^] # Re: Lien
Posté par NicolasP . En réponse au journal Certificat non reconnu, qui contacter à la Société Générale ?. Évalué à 2.
Un point qui pourrait être intéressant à vérifier c'est si c'est bien le même certificat de la CA entre le PC et la VM (même empreinte ?).
[^] # Re: Lien
Posté par NicolasP . En réponse au journal Certificat non reconnu, qui contacter à la Société Générale ?. Évalué à 1. Dernière modification le 15 août 2021 à 20:20.
Le serveur étant bien configuré, il transmet toute la chaîne de certification y compris le certificat intermédiaire. Il n'a donc pas besoin d'être connu par Firefox.
[^] # Re: Source du problème
Posté par NicolasP . En réponse au journal Certificat non reconnu, qui contacter à la Société Générale ?. Évalué à 1.
Du coup, c'est peut-être une extension qui pose problème. Si tu en as qui font des actions sur les certificats, essaye de les désactiver.
[^] # Re: Source du problème
Posté par NicolasP . En réponse au journal Certificat non reconnu, qui contacter à la Société Générale ?. Évalué à 2.
Dans l'ordre c'est d'abord l'établissement de la connexion TLS puis les échanges HTTP dont le code d'erreur.
Du coup, sur ton PC : pas d'établissement de connexion TLS donc pas d'erreur HTTP.
Sur ta VM : établissement de la connexion TLS puis erreur HTTP.
Si sur ton PC, tu passes outre les avertissements de sécurité, tu obtiendras aussi l'erreur 500.
[^] # Re: Source du problème
Posté par NicolasP . En réponse au journal Certificat non reconnu, qui contacter à la Société Générale ?. Évalué à 4.
Donc on a le même certificat qui nous est présenté, mais chez toi le chemin de certification n'est pas validé, ce qui est probablement dû à une autorité de certification non reconnue.
Je suis sur KDE Neon, il faudrait un autre utilisateur de Cinnamon pour vérifier si ça vient de la distrib ou de ta config (ou alors tu réinstalles dans une VM pour vérifier).
[^] # Re: Source du problème
Posté par NicolasP . En réponse au journal Certificat non reconnu, qui contacter à la Société Générale ?. Évalué à 4.
Le message d'erreur de FF dans ce cas aurait été différent de celui de ton screenshot : "Soit le site est mal configuré, soit l’horloge de votre ordinateur est réglée à la mauvaise heure."
Pas moi. Pour confirmer qu'il s'agit bien d'un problème de CA chez toi, clique sur le bouton "Avancé" et regardes le code d'erreur. Pour une CA non reconnue, c'est SEC_ERROR_UNKNOWN_ISSUER
Par ailleurs, si tu affiches le certificat, tu as quoi comme empreinte SHA-256 pour vérifier qu'on parle bien du même ?
De mon côté, c'est :
F9:0F:D8:63:D5:9A:FE:EC:1B:73:07:AE:8B:63:CC:CF:66:A4:8B:8D:B8:38:47:1C:A0:D1:5C:67:73:50:B2:C2
# Le chiffrement ne se fait pas
Posté par NicolasP . En réponse au journal Certificat non reconnu, qui contacter à la Société Générale ?. Évalué à 3.
Petit point de détail : le chiffrement "se fait". Par contre, tu n'as pas de garantie qu'il soit fait de manière à ce que seuls la société générale et toi puissiez déchiffrer le trafic.
[^] # Re: C'est bien c'est pas du tout artificiel
Posté par NicolasP . En réponse au journal Deux petits problèmes de math niveau lycée.. Évalué à 3.
Pourquoi exponentielle reste toujours toute seule en boîte de nuit ? Parce que malgré tous les efforts qu'elle fait pour s'intégrer, ça ne change rien.
[^] # Re: Un sacré merdier ?
Posté par NicolasP . En réponse au journal GitHub lance copilot, un générateur de code entraîné sur du code GPL. Évalué à 3.
Pas de soucis, ils recherchent la position de chaque octet, du coup ça marche même si π n'est pas un nombre univers. Tu peux déployer en prod les yeux fermés, c'est robuste !
[^] # Re: Un sacré merdier ?
Posté par NicolasP . En réponse au journal GitHub lance copilot, un générateur de code entraîné sur du code GPL. Évalué à 5.
Si tu arrives à le prouver, tu vas intéresser quelques mathématiciens. A ce jour, il n'a pas été démontré que π était un nombre univers.
[^] # Re: Un sacré merdier ?
Posté par NicolasP . En réponse au journal GitHub lance copilot, un générateur de code entraîné sur du code GPL. Évalué à 3.
En théorie c'est simple, si le code est "suffisamment proche" et "non trivial", c'est une contrefaçon. La bonne foi de l'auteur de la copie/réinvention n'entre pas en compte.
En pratique, le "suffisamment proche" et "non trivial" sont loin d'être rigoureusement définis et laissent une grande marge d'interprétation.
# Parisien VS gens du projet
Posté par NicolasP . En réponse au journal Weboob renommé en Woob et tambouille wikipédienne. Évalué à 3. Dernière modification le 30 mars 2021 à 19:29.
Du coup, il ne devrait pas y avoir de débat. Wikipedia n'a pas pour vocation à dire la Vérité mais à donner des informations dont la source est vérifiable (https://fr.wikipedia.org/wiki/Wikip%C3%A9dia:Citez_vos_sources).
C'est peut-être moins louable mais ça a l'avantage d'être plus objectif et plus réaliste.
Du coup, selon ce critère et en supposant qu'il n'y ait rien d'autre que la parole des gens du projet (je ne suis pas allé vérifier), il faudrait garder la version du Parisien.
[^] # Re: Dans quel cas ?
Posté par NicolasP . En réponse au journal SQL Server sous Linux : enjeux de sécurité. Évalué à 2. Dernière modification le 18 mars 2021 à 20:47.
Ça dépend de ce que tu compares. Est-ce que tu compares une base de données + 1 service par dessus (type serveur web), tous les 2 exposés sur internet, à l'équivalent avec uniquement le service web exposé et la base en back-end privé ?
Dans ce cas, la solution avec la base planquée est clairement meilleure, elle diminue la surface d'attaque.
Par contre, si tu compares 1 base de données exposée directement par rapport à 1 base de donnés "planquée" avec 1 service par dessus qui l'expose, effectivement là les arguments sont moins évidents.
# J'avais un petit VPS avec LibreOffice
Posté par NicolasP . En réponse au journal OVH - Le nuage part en fumée ?. Évalué à 10.
Je peux vous dire que le parefeu de LibreOffice, il est pas à la hauteur de celui d'OpenOffice …
[^] # Re: Le classique...
Posté par NicolasP . En réponse au message Peut-on savoir si on est à proximité d'un assistant vocal ?. Évalué à 4.
Il semblerait que ces assistants répondent à des commandes diffusées en ultrasons. Du coup, j'imagine qu'avec le bon matériel, tu pourrais diffuser une commande pour chacun des assistants répandus de manière discrète. Par contre, je pense que si il y a un assistant qui répond, c'est forcément à "voix haute". Mais, j'ai l'impression que tout les possesseurs d'iPhone/Android sont habitués à des faux positifs, donc ça n'étonnera personne s'ils se mettent à parler tout seuls.
[^] # Re: signal
Posté par NicolasP . En réponse au journal Signal la bonne alternative à Whatsapp ?. Évalué à 5.
Avec ces chiffres, il faudrait donc 5 * 108 / 5000 = 500 000 secondes, soit même pas 1 semaine. Donc c'est réalisable assez facilement.
Sur le papier on peut rendre bcrypt aussi lent qu'on veut. Sauf qu'en pratique d'un côté on a un utilisateur qui n'a pas envie que son téléphone mette plus de quelques secondes à calculer le hash et de l'autre on a un attaquant potentiel disposant d'une puissance de calcul beaucoup plus puissante que le téléphone et d'un temps beaucoup plus important. L'attaquant est beaucoup trop avantagé sur un nombre de combinaisons aussi faible.
[^] # Re: Un avis
Posté par NicolasP . En réponse au journal La lecture, l'écriture et les tours que nous joue le monde dans intervalle.. Évalué à 2.
Même entre les 2 relectures (celle sur l'orthographe/grammaire/fautes évidentes, et celle plus sur le fond), il faut que je laisse passer du temps pour oublier. Sinon, je tiens trop pour acquis ce que j'ai lu lors de ma première lecture et j'ai du mal à le contester.
[^] # Re: Spammer WhatsApp
Posté par NicolasP . En réponse au journal WhatsApp et Facebook, quels sont mes droits?. Évalué à 4.
Si nombreux est négligable devant le nombre d'utilisateurs de WhatApps, ok ça sera peut-être amusant y compris pour WhatApps.
Si nombreux est non négligeable, ça serait peut-être mieux de consacrer ces efforts pour utiliser/améliorer/promouvoir une alternative.
[^] # Re: où est le problème ?
Posté par NicolasP . En réponse au journal WhatsApp et Facebook, quels sont mes droits?. Évalué à 4.
C'est pas gagné. Aujourd'hui, sur mon Android en lançant l'application pour les SMS, j'ai eu un message de Google m'invitant à activer des fonctionnalités de chat supplémentaires. En creusant un peu, il s'agissait surtout de remplacer les SMS par un autre protocole faisant passer tous les messages sur un serveur Google https://support.google.com/messages/answer/9592174?hl=fr. Alors oui c'est censé être compatible SMS/MMS, mais si ça offre des fonctionnalités supplémentaires et que le protocole SMS/MMS ou les applications associées n'évoluent pas, la communication va être difficile.
[^] # Re: media ouvert
Posté par NicolasP . En réponse au journal Réaction envers ce Hold-Up !. Évalué à 6.
Cette technique porte un nom : le mille feuille argumentatif. On te balance tellement d'infos/raisonnements faux/biaisés/détournés que pour répondre à chacun il faut du temps et de l'énergie que la plupart des gens n'ont pas.
De plus pour bien faire, on touche plusieurs domaines différents (biologie, économie, social, …). Comme ça pour démonter intégralement, il faut une équipe d'experts venant de plusieurs domaines aussi.
[^] # Re: mouais
Posté par NicolasP . En réponse au lien Les voitures hybrides rechargeables polluent beaucoup plus qu'annoncé. Évalué à 3.
C'est con mais ça ne m'était jamais venu à l'esprit :).
Du coup, j'ai quelques questions :
- C'est quoi la taille et poids approximatif de la remorque ? C'est facile à tracter / manoeuvrer ? Tu le fais avec un vélo avec assistance electrique ?
- Ça se passe bien dans les descentes un peu fortes ?
- J'imagine que tu te gares sur les emplacements voiture avec ça ?
- Et du coup, tu roules au milieu d'une voie classique ? C'est quoi le comportement des autres usagers de la route ? Ils gardent les mêmes distances de sécurité vis à vis de toi qu'avec une remorque attachée à une voiture ou les mêmes distances de sécurité qu'avec un vélo seul ? Tu mets des drapeaux ou autre à ta remorque pour qu'elle soit visible ?
[^] # Re: Randi et la science « rigoureuse »
Posté par NicolasP . En réponse au lien Bronsonisation de James Randi. Évalué à 1.
Voici le XKCD de circonstance : https://xkcd.com/882/
[^] # Re: Randi et la science « rigoureuse »
Posté par NicolasP . En réponse au lien Bronsonisation de James Randi. Évalué à 1.
Je ne m'opposais pas au post d'Ysabeau. Au contraire, je suis d'accord qu'il ne faut pas se fier à une seule étude et je voulais juste souligner que c'était vrai aussi même si l'étude était de qualité.
[^] # Re: Randi et la science « rigoureuse »
Posté par NicolasP . En réponse au lien Bronsonisation de James Randi. Évalué à 3.
Et quand on creuse, on s'aperçoit que l'étude établit juste une corrélation entre la consommation de piment et la réduction de cancer et que la conclusion de l'étude c'est juste qu'il faut approfondir pour voir s'il y a vraiment un lien de cause à effet.