oliverpool a écrit 22 commentaires

Donc tous les programmes sont concernés: https://pkg.go.dev/vuln/GO-2025-3563

Après si je comprend bien, c'est surtout problématique quand il y a des proxys successifs (comme Traefik ou Caddy): https://github.com/golang/go/issues/71988#issuecomment-2701935167

https://github.com/YaLTeR/niri/

https://ersei.net/en/blog/niri

aucune preuve, aucun extrait, pas de site visé mentionné, juste une libre interprétation

Citer des extraits aurait donné de la visibilité aux attaques. Ce qui aurait donc fait le jeu des attaquants.

augmentation des tensions entre forces du pays par la Russie ou la Chine

On parle d'une simple association (équivalent loi 1901): verser dans l'international me parait être une interprétation beaucoup plus osée…

Il faut savoir que les allemands sont appelés à voter à la fin du mois, donc beaucoup d'actions actuelles ont des visées politiques (quelque soit le bord concerné).

Cf Rasoir d'Ockham

…disponible dans la langue de Rodin: https://cosmowenman.substack.com/p/scans-3d-secrets-devant-le-conseil

L'idéal serait probablement d'avoir un système (invisible) qui coupe l'alimentation batterie dès qu'un câble USB est branché.

Comme ça un attaquant se retrouve en BFU si il ne fait pas attention et un utilisateur malhabile apprendra à ne pas brancher de câble USB (sans perte de donnée ou de matériel :).

Merci pour ce journal !

Je trouve ce choix assez décevant, car cela augmente de manière assez importante la complexité pour les navigateurs/clients.
Par exemple, comment est-ce que cURL va gérer cela? (remarque aussi valable pour les systèmes qui sont dans des conteneurs temporaires)

L'avantage de OCSP Staple, c'est que c'était une complexité côté serveur (certes mal implémentée par certains serveurs…). J'appelle cela un avantage, car les serveurs sont aussi censés intégrer plus de complexité avec ARI.

Même si les buts sont différents, je pense que les mécanismes sous-jacents sont similaires : il s'agit d'interroger régulièrement (et en arrière-plan) l’émetteur du certificat (dans le cas de l'OCSP pour confirmer la non-révocation / dans le cas de l'ARI pour savoir quand le meilleur moment pour renouveler le certificat).

PS: discussion en anglais sur lobste.rs à ce propos avec un dev de Let's Encrypt

Voir https://www.aprilcools.club/ pour des articles insolites mais vrais (publiés le 1er avril, en réactions aux "poissons").

Apparemment il y a "Courrier ados" https://www.courrierinternational.com/sujet/courrier-ados

supplément exceptionnel de 32 pages destiné aux 10-14 ans

Mais je n'ai aucune idée de la disponibilité en papier.

Dans un style un peu différent, j'utilise NetlifyCMS (désormais Decap CMS) pour permettre à des personnes sans connaissance en informatique d'éditer le contenu d'un site web statique.

En gros c'est une interface d'édition des fichiers stockés sur github (avec support de markdown, de listes et d'autres formats).

Dans mon cas ça permet d'ajouter des articles de blog (markdown), des dates importantes (liste) et autre. Le site statique est ensuite généré automatiquement (donc attente de quelques minutes avant visibilité). Mais sachant que l'interface d'édition récupère les fichiers directement auprès de github, on peut continuer d'éditer pendant cette période (cette page ou d'autres pages), car celle-ci présente la version actuelle.

En revanche ça nécessite clairement un·e développeur·se qui mette la base en place (donc public un peu différent).

mon blog, mais malheureusement, je n'ai jamais fait l'effort d'en maintenir un.

Voilà une idée de projet :)
Si tu pouvais y documenter toutes tes expériences (sous licence réutilisable idéalement) je suis sûr que ça serait super intéressant !

Tout comme tu le fais avec l'alternant, je pense que la transmission des connaissances est un domaine très important.

Lecteur assidu de tes billets, je suis prêt à donner un coup de main pour mettre en place une solution sur sourcehut :

git push > python build > http+gemini hosting

N'hésite pas à me contacter directement : https://log.pfad.fr/contact/

Peut-être que le projet https://garagehq.deuxfleurs.fr/ est intéressé par un "datacenter" supplémentaire (https://matrix.to/#/%23garage:deuxfleurs.fr)

C'est un logiciel de stockage objet (S3) développé par une association rennaise, dont le but est de fonctionner avec des datacenters connecté avec une latence potentiellement élevée.

J'ai découvert un projet qui à l'air assez sympa pour la gestion des IPs: https://www.agwa.name/blog/post/using_sni_proxying_and_ipv6_to_share_port_443

L'idée est que chaque service écoute sur une IPv6 publique unique (normalement tu as un préfixe IPv6 public, donc assez d'IP uniques pour tes services) et que snid écoute sur le port 443 de l'IPv4 et renvoie vers la bonne IPv6 interne pour chaque connexion https.

Comme ça les connexions IPv6 sont directement gérées par le bon service et les connexions IPv4 font un léger détour.

Réponse de https://github.com/pestphp/pest/issues/447

En fait on peut faire plusieurs expectation à la suite (toBeInstanceOf, not, toEqual).
L'objet initial sera rétabli sur la prochaine méthode qui ne soit pas une expectation (->name en l'occurence).

Donc l'exemple fonctionne bien, j'avais juste compris de travers :-)

Mais du coup le ->not->toEqual($user) étant précédé d'un toBeInstanceOf, il s'applique expect($user)?

J'ai retrouvé la doc officielle d'où cet exemple est tiré : https://pestphp.com/docs/expectations#higher-order-expectations

Your Higher Order Expectations can reach as deep into an object or associative array as you like. Once you perform one or more of Pest's expectations, the expectation's scope will reset to the initial value again:

J'ai demandé sur github pour vérifier tout ça : https://github.com/pestphp/pest/issues/447

Merci pour cette dépêche très intéressante et qui donne envie d'aller tester soit-même !

Question bête concernant cet exemple:

  expect($user)
      ->companies->first()->owner->toBeInstanceOf(User::class)->not->toEqual($user)
      ->name->toEqual('Nuno');

Ici, name se rapporte à $user, et non à companies : PEST est capable de revenir à l’objet initialement traité (celui passé en paramètre à expect)

Comment est-ce PEST sait qu'on veut faire le dernier test sur $user et non sur owner?

Formulé autrement, comment est-ce que je pourrais faire un test supplémentaire sur owner (pour vérifier son nom par exemple).

peut-on spécifier une fonte à chasse fixe

Si je comprends bien, ce pdf ne spécifie pas une fonte à chasse fixe :

Avec podofobrowser, je change donc ce flag pour y mettre la valeur 33, je sauvegarde, je recharge dans okular… et rien, nada, toujours la même police… Bigre… Mais si je change le BaseFont (le nom donc) en «/Monospace», là le remplacement est bien fait et le texte s'affiche correctement. Sur mupdf, le flag est suffisant par contre pour qu'une belle police à chasse fixe soit prise.

Du coup la vérification de largeur des caractères est une astuce des visionneuses si ce flag n'est pas renseigné mais que la police (inconnue) est bien à chasse fixe

Je ne connais pas la traduction française de "Yak shaving", mais je trouve que cet article en est une belle illustration:
on commence par vouloir simplement imprimer une attestation de mutuelle, on fait un détour par les codes sources de plusieurs visionneurs de PDF pour finir par proposer une correction de bogue dans une bibliothèque de gestion des polices d'écritures.

Bref, merci pour ce journal à la fois divertissant et instructif !

PS: en anglais un article de blog que j'ai lu hier à ce sujet, où j'ai découvert l'expression "Yak shaving": https://antfu.me/posts/about-yak-shaving

C'est effectivement peu probable, mais pas impossible : https://www.cloudflare.com/magic-transit/ agit au niveau des paquets

Par exemple rejeter les paquets UDP si le site n'accepte que du TCP, ou faire du rate-limiting (pour que le site fonctionne quand même pour certains utilisateurs lorsque la charge globale est trop importante), ou du blocklist selon les IPs.

Mais je suis d'accord avec toi, que c'est peu probable.

Sur https://www.ameli.fr le certificat n'est pas émis par Cloudflare, donc pas sûr que Cloudflare puisse lire les données qui transitent (à la différence de https://www.bilderbrief.de par exemple, dont le certificat est émis par Cloudflare).

Mais peut-être qu'ils envoient la clé de ce certificat à Cloudflare pour qu'il fasse la terminaison https (et donc qu'ils ont bel et bien accès au contenu des échanges https).

Edit: pour voir le certificat dans Firefox, il faut cliquer sur le cadenas à gauche de l'URL.

Projet un peu similaire : https://github.com/patacrep

Le développement n'est malheureusement plus très actif, mais il m'a permis de générer pas mal de carnets !

J'utilise pass : c'est un outil en ligne de commande, qui utilise gpg pour le chiffrement (open source GPLv2+).

Il suffit de faire pass -c linuxfr.org/pass (qui demande la passphrase de la clé gpg si nécessaire) pour avoir le mot de passe dans le presse-papier !

L'outil est aussi capable de générer des clés aléatoires.

Bref, c'est probablement similaire à "je place tout dans un fichier texte chiffré", mais beaucoup plus facile à utiliser :-)