Ph Husson a écrit 2706 commentaires

J'ai absolument aucune idée du sujet de ce poste, je comprends rien.

Nous sommes en plein milieu d’une guerre d’informations

Oui, depuis que la démocratie existe, on a eu une guerre d'informations entre "la droite" et "la gauche"? (c'est évidement une simplification extrême, des gens apolitiques pouvant aussi faire des guerres d'informations, cf EEE de Microsoft)

Moi je préfère commencer mon texte par "L'air nous entoure tous". Tout aussi plat, et inutile, mais je cherche pas à attirer l'attention/les clics (comme l'ont prouvé les réactions facebook qui valent 5 fois plus si c'est l'énervement)

et d’une guerre juridique.

Euh, oui? Qui? Tu parles de la guerre juridique de la CNIL contre les sites qui font mal leur bandeau de cookies?

Ah, du coup tu parles de la guerre des informations privées gouvernée par la RGPD, c'est ça?

Nous savons maintenant qu’une grande partie de notre gouvernement est corrompue au point de jeter son propre peuple en pâture à n’importe quelle multinationale pour quelques miettes de monnaie dette.

Je trouve que le débat du gouvernement qui achète des licences Microsoft pour l'éducation nationale commence à se faire un peu vieux, mais euh soit.

Un grand pouvoir ou un grand sauveur ne nous sortiront pas de cette folie. C’est bien bien nous, les gens ordinaires, qui pouvons trouver des actions de bonté, d’amour et de résistance dans notre quotidien.

Bah euh… du coup, tu veux un grand pouvoir qui est la démocratie? Je euh… oui, c'est bien. Pareil, ce débat me parait un peu désuet, j'ai l'impression qu'il est résolu depuis quelques siècles, mais euh soit.

J'avoue avoir beaucoup de mal à voir la cohérences entre les différents sujets présentés.

Les médias et les politiques s’enfoncent dans le ridicule

J'avoue m'être arrêté à Loana de Loft Story, et au casse-toi pauv'con de Sarkozy. Y a vraiment plus ridicule que ça depuis? Enfin si, j'ai entendu qu'un prétendant avant sorti un doigt à une mémé, soit. Rien de vraiment neuf sous les tropiques.

et provoquent le seuil critique du réveil en masse des consciences. Encourageons ce réveil.

Ah, ça y est, les gens arrêtent d'utiliser les réseaux sociaux comme source principale d'information? La valeur à la bourse de Facebook^WMeta me fait dire que non. Tu aurais des sources pour étayer cette assertion stp?

Fuir le conflit est devenu impossible pour celui ou celle qui refuse de se soumettre.

Tu sais, Someone is wrong on the internet n'est qu'une blague. Elle représente certes un fond de réalité, sur lequel est basé les réseaux sociaux, pour autant, il est réaliste pour l'être humain de s'arrêter. (mais je dois bien avouer, que là, présentement, je suis tombé en plein dedans)

Le conflit devient bénéfique lorsqu’il est admis, affronté et vécu. Résoudre et non se résoudre (ou se dissoudre).

Ah, pardon, j'ai mal lu la salle. Tu fais ton entretiens psy de couple sur un journal LinuxFR? ok ok, pardon. Je trouve qu'on passe vraiment du coq à l'âne dans ton journal. Peut-être as-tu des troubles de l'attention? Si c'est le cas, dis le explicitement, je pense que les gens ici sont ouverts à ces troubles, et peuvent t'aider à vivre avec.

Le narratif du méchant virus s’épuise. Quelle pourrait être la prochaine étape ?

J'avoue, log4shell était bien bruyant, j'aimerais bien avoir des vrais stats du nombre de services impactés. Depuis shellshock, ça faisait longtemps qu'on avait pas vu autant de sysadmins travailler. Prochaine étape? Bah écoute, on a fait la faille dans du CGI, puis dans du java. Je pense que la prochaine étape, c'est une faille dans le Go?

D’autres manipulations médiatiques sournoises risquent d’être tentées pour nous faire accepter une chute des monnaies dettes.

Ah, on parle économie Turque maintenant… On passe plutôt du netcat à l'âne là, tellement les sujets ont rien à voir. Mais du coup oui, c'est une bonne remarque. Ces manipulations ont déjà été faites, Erdoğan a déjà fait sa comm pour manipuler sa monnaie. Ni la population ni les économistes n'ont l'air super convaincus, je sais pas trop ce que ça va donner. J'espère que le peuple Turc s'en sortira bien.

Un « pseudo-hack » géant justifiant la grande réinitialisation de tout le système bancaire et financier? Persévérons dans les systèmes d’échanges et d’entraide alternatifs.

Oh, économie mondiale maintenant? T'es entrain d'espérer que des gens arrivent à justifier que tous les comptes en banques tombent à 0, pour effacer toutes les dettes et tous les gens riches exclusivement par leur héritage, et donc permettre aux gens à salaire acceptable mais avec faible héritage de vivre correctement? Écoute. Je suis de tout cœur avec toi dans cet espoir de faire une "grande réinitialisation". C'est beau d'avoir des rêves. Perso j'y crois hélas pas trop.

Boycottons l’ancien monde.

Euh… "l'ancien monde" c'est l'Europe correct? Les Amériques le nouveau monde donc? Ça parait osé pour le Québec de vouloir ignorer la France, après ils ont déjà bien forké la langue, ils ont pas notre monnaie. J'ai envie de dire, que notre culture est libre, s'ils veulent la forker, grand bien leur fasse. Refuser de cherry-picker des morceaux de notre culture me parait être un choix étrange, mais la culture est libre, c'est tout à fait leur choix. Et s'ils veulent plus tard changer d'avis, pour reprendre des morceaux de notre culture Européenne, grand bien leur fasse!

Préparons nous à rendre les monnaies dettes à leurs créateurs.

Je ne crois pas qu'on puisse donner de l'argent à la BCE contre sont gré…? Disons que dans leur arsenal d'outils de régulation de l'économie, ça serait un outil bien bizarre. Je pense que cet argent tu peux directement le donner à des mendiants, ça sera bien plus efficace pour l'économie. Sauf si ton but est de faire stagner l'économie pour faire de la décroissance, auquel cas, donne ton argent à Bill Gates

Méfions nous des informations anxiogènes ou euphoriques (opposition contrôlée ou contenue) qui nous découragent à l’action.

Je crois que les informations anxiogènes ont, pour le moment, assez fortement poussé à l'action.

Le reste me parait être équivalent à la première phrase: du texte auto-généré par un chatbot Bernard-Henri Lévy-esque sur de la "philosophie"

En tout cas, je te souhaite beaucoup de courage pour tes troubles de l'attention! Vivre avec est dur, mais c'est faisable. Et je réitère: Tu trouveras ici beaucoup de gens pour t'aider sur cette question. C'est une maladie amplifiée par les réseaux sociaux, donc c'est un vrai sujet d'actualité et chacun est différent sur ces questions. En t'exprimant sur tes problèmes au quotidien, on doit pouvoir t'aider à construire des mécanismes pour te rendre fonctionnel.

Superbe boulot, bravo!

Quelques analyses supplémentaires qui ne devraient pas être trop dures à ajouter je pense:
- Analyse de sentiment par sujet. Typiquement pour le nucléaire, il manque de savoir si c'est un sentiment d'angoisse qui en ressort, ou un sentiment d'espoir, ou autre
- Analyse de sentiment global. (Est-ce que CNEWS est plus angoissant que France Info?)
- Analyse par heure. Comme déjà mentionné un certain nombre de chaînes sont connues pour tricher leurs stats CSA en utilisant des horaires au milieu de la nuit

Plus dur, et probablement moins utile:
- Détection du sexe des interlocuteurs
- Identification de la voix pour voir qui réutilise en permanence les mêmes "experts"
- Détection de l'age basé sur la voix

Pour moi ce service est comme Whatsapp avant son rachat par Facebook. Ça parait cool, mais ça reste complètement centralisé, donc aucune idée de ce qu'il va se passer dans le futur. L'application est certes opensource, mais la licence interdit de se connecter sur le serveur officiel si on fork.

Moi ce que je voudrais c'est une transformation ala email. Les emails sont plutôt décentralisés. Tout en étant plutôt interopérable. Des acteurs qui reçoivent déjà des sous de ma part peuvent l'héberger pour moi (mon opérateur), donc pas besoin de pubs, ou espérer que les dons suffisent.

On peut en discuter de façon plus informelle que sur XDA,

J'aime pas XDA (notamment à cause de l'absence d'arbre), je préfère ici :-)

Sinon en chat, j'ai t.me/phhtreble (@phhusson) sur telegram, ou #phh-treble (phh) sur freenode.net

J'ai un nokia 6.1 plus. J'ai cravacher pour débloquer le bootloader (avec intervention d'un chinois en prise en main à distance sur une vm windows, qui a installé des devices USB dont je ne soupconnais même pas l'existence…).

On parle d'Hikari Calyx j'imagine? Les Nokia ont leur bootloader officiellement non verrouillable, c'est pour ça que t'as eu de la complexité… Perso depuis les GSIs, la possibilité de dévérouiller un bootloader fait parti de mes critères sine qua non pour acheter un téléphone.

Avant les GSIs, je voyais la possibilité de flasher une ROM alternative comme une possibilité lointaine, qui serait cool 2 ans plus tard. Maintenant, je sais que si je prends un téléphone qui est dévérouillable niveau bootloader quel qu'il soit, je peux installer une autre ROM day one (point noir pour Xiaomi, ou c'est D+30…), donc je le fais.

mais pourquoi certaines roms veulent absolument remplacer la partition vendor ?

C'est plus souvent idéologique qu'autre chose. Un grand nombre d'utilisateurs considèrent que une ROM générique ne peut pas fonctionner correctement, une ROM doit être spécialement optimisée pour un téléphone spécifique (oui le vendor et le kernel sont fournis par le constructeur, donc il est déjà optimisé pour). Même si c'est faux, le fond est que les utilisateurs préfèrent utiliser une ROM qui a été "spécialement validée pour ce téléphone", à mon avis plus par sens de petite communauté spécifique au téléphone, que pour de vraies raisons de stabilité, mais c'est un vrai phénomène psychologique.

Que la ROM contienne le vendor rentre aussi dans cette optique. Un téléphone peut avoir de nombreux vendors différents, avec des comportements différents. Fournir le vendor permet de "garantir" cette stabilité.

• est-il toujours nécessaire de mettre à jour la partition Vendor (j'imagine qu'elle contient seulement les drivers matériels) ou est-ce que ca marche avec la partition d'origine

C'est mieux, car il peut y avoir des failles corrigées côté vendor (le GSI ne peut pas mettre à jour le kernel ou les drivers). Mais c'est casse-gueule (quand on dit mettre à jour le vendor, c'est la partition vendor + boot + … et c'est les … qui font perdre). Perso je ne le fais que très rarement.

• est ce que changer de version - Android 10 vers 11 par exemple - est censé être supporté ?

C'est une question indépendante des GSIs, c'est valable pour toutes les ROMs. Globalement la réponse est oui, néanmoins il faut faire attention aux pré-versions des ROMs: je ne serais pas étonné que mettre à jour de LineageOS 17 vers une pré-version de LineageOS 18 ne fonctionne pas correctement. Aussi, il faut faire attention à garder le même genre de "variante". Mettre à jour d'une variante avec appli Google vers une variante sans appli Google va rater (même si c'est la même version)

• quel est la spécificité de ton GSI ? "sans aucune modification autre que le support matériel", si Vendor est indépendant de la GSI utilisée, je ne comprends pas cette phrase

Sa spécificité c'est justement qu'il ne change presque rien, mais qu'il marche :P. On peut compiler un GSI pur souche depuis les sources Android fournies par Google tel quel, mais le résultat ne démarre que sur une fraction des smartphones, et n'est utilisable que sur une fraction encore plus faible. Mon AOSP fourni des briques de base qui permettent à d'autre gens de construire des ROMs qui fonctionnent partout.

• est-ce que le TWRP est GSI (ou il est recommandé d'utiliser fastboot pou une compatibilité maximum ?)

Il n'existe pas de TWRP générique, même si c'est techniquement faisable, mais ta parenthèse n'a pas l'air de parler de ça. Entre flasher par TWRP ou par fastboot, perso je préfère par fastboot, mais bon TWRP ça devrait marcher aussi, s'il est fonctionnel.

De manière générale, j'ai aussi enormément de soucis pour trouver une bête description des partitions et leur fonction. J'en ai une tetrachiée, et au dela du recovery, recovery-vendor, vendor, system A et B, datas, media,ril et frp… Je ne sais pas du tout à quoi servent les autres.

Au-delà de recovery, vendor, system, boot, les partitions ne sont plus standard Android, mais dépendent du constructeur de téléphone. J'essaie au maximum d'avoir un point de vue générique, donc j'ai tendance à ignorer ces partitions. Mais bon si t'as des questions pour des partitions précises, vas-y, je pense quand même savoir répondre :-)

Sisi ton téléphone est supporté par LineageOS. Tu peux même installer /e/ dessus. cf par exemple https://forum.xda-developers.com/galaxy-a50/how-to/guide-lineageos-17-1-rom-galaxy-a50-t4096735 pour Lineage.

Tous les smartphones sortis avec Android 8 ou plus récent supportent des "GSI"s (Generic System Image). Il existe un GSI Android sans aucune modification autre que le support matériel (le mien): https://github.com/phhusson/treble_experimentations/releases/, et après il existe plein d'autres ROMs Android basées là-dessus

Un GSI /e/ est dispo ici: https://community.e.foundation/t/gsi-q-gsi-new-version-october-17th/21395

Pas besoin de scan, des /64 complets. cf par exemple http://netpatterns.blogspot.com/2016/01/the-rising-sophistication-of-network.html

Est-ce qui concerne "exposer des services sensibles", chacun a son usage de sa machine, mais perso j'ai installé pas mal de choses au fil du temps, sans trop réfléchir à s'y j'avais fini de l'utiliser et qu'il était temps que je l'enlève, résultat, exposé sur mon réseau, j'ai:
- un cups
- un exim4 (c'est un desktop, pas un serveur, j'ai honnêtement aucune idée de pourquoi j'aurais installé un serveur smtp)
- un smbd
- init qui expose un portmapper. systemd s'est déjà ratés plusieurs fois sur leur client DHCP, donc j'ai vraiment pas confiance.
- spotify
- avahi
- gradle (build system android, qui se met daemon pour se lancer plus vite… aucune idée de pourquoi il listen sur ::)

La probabilité qu'un de ces services ait une faille? Très proche de 1. Donc oui je suis bien content que le comportement par défaut de ma box soit de bloquer les connexions entrantes.

Et là je ne parle que de ma bécanne à moi que je contrôle. Mon niveau de confiance envers mes gadgets (smartphone, tablette, lampe connectée, …) est encore bien plus bas.

De ma compréhension, il y a 3 opt-ins à faire avant de communiquer quoique ce soit à Google:
- optin du tracking local
- optin pour dire qu'on est testé positif au Covid19
- optin pour "publier" l'information

De ma compréhension(2), "plus tard", il y aura la possibilité que ce soit géré par une appli gouvernementale.
Auquel cas les deux derniers points ne passeront pas par Google du tout.

"Tracking local" signifie que les données ne sont envoyées à personne et restent sur le téléphone.
Néanmoins il signifie quand même que le téléphone "s'annonce" en permanence aux alentours. Cette annonce change toutes les 15 minutes, et n'est théoriquement exploitable que lors du 3e optin: lors de la publication de l'information comme quoi la personne a le Covid19

J'avais lu que les SMS n'étaient pas considérés comme sécurisés (et d'ailleurs ils ne le sont effectivement pas pour du bancaire), et que c'était pour ça qu'ils devaient utiliser une solution foireuse comme celle ci.

Désolé de te décevoir, mais Huawei va certainement pas se tourner vers un écosystème open-source.
Ils ont d'ores-et-déjà une variante sans applications Google, pour le marché Chinois (qui doit représenter la majorité de leur volumes en fait), qui n'a absolument rien d'ouvert.

Typiquement, ils ont fermé leur bootloader il y en a un an, et ils ont interdit la possibilité d'installer des launchers alternatifs sur la variante chinoise.
La seule raison pour laquelle les versions occidentales des téléphones Huawei n'ont pas eu cette dernière interdiction, est que c'est interdit par la certification Android/Google.

Je suis globalement d'accord avec toi, excepté pour le dernier point.
Oui la maintenance a un coût, mais un téléphone non maintenu doit être considéré comme inutilisable de part la quantité de failles de sécurités connues qu'il contient, et donc ne pas prévoir de faire de mise à jour, c'est de l'obsolescence programmée.

De la même manière qu'un fabricant de voiture est responsable des rappels bien après la garantie s'il trouve des problèmes dangereux,
un fabricant de téléphone est(devrait?) être responsable des mises à jours de sécurité.

Chaque firmware de téléphone déclare une liste de features (aussi bien logicielles que matérielles), et avoir les gapps en est une.
Ensuite, les applications déclarent quelles features elles utilisent, et desquelles elles ont besoin, ce qui permet aux stores de filtrer en fonction de ce qui est supporté ou non.
Ça tient plus à la bonne foi qu'autre chose (il est possible de dépendre des gapps sans le déclarer, et il est possible de ne pas en avoir besoin alors qu'une appli le déclare), mais c'est un indicateur plutôt pertinent.

Ce procès a déjà eu lieu, et Google a déjà perdu.
Par contre, comme ça l'a été pour Windows Media Player, il a été considéré que ce sont les constructeurs qui subissent cette vente liée, et non l'utilisateur final.
Ainsi, il est désormais possible pour les constructeurs de ne pas installer Chrome par exemple.

Cette décision a changé le business model en Europe de Google/Android:
Précédemment, les applications Google étaient fournies gratuitement, du moment qu'elles étaient toutes présentes.
Maintenant, elles sont payantes (de quelques euros pour les bas de gammes, à 50€~ pour le haut de gamme de ce que j'ai lu).
Après, j'imagine que pour compenser la perte, Google a créé ou augmenter un partage de revenu avec les constructeurs…

C'est un peu décalé par rapport à ta question d'origine, mais il y a eu un changement récent là-dessus:
Depuis Android Oreo (sorti il y a 1 an et demi, donc pour les téléphones assez récents quand même), Android a imposé le support du Projet Treble au constructeur.

Le résultat concret de ce projet est qu'il est possible de compiler un Android complètement opensource (dénué d'applications Google ou constructeur), et de le flasher* sur n'importe quel téléphone certifié Google/Android, ça fonctionnera. Booter AOSP fait partie de la certification, d'où la garantie que ça marchera.

Évidement tout n'est pas parfait, du coup y a une ROM communautaire qui contient quelques correctifs additionnels ( https://forum.xda-developers.com/project-treble/trebleenabled-device-development/aosp-9-0-phh-treble-t3831915 )

*: Les constructeurs peuvent toujours interdire aux utilisateurs de flasher quoique ce soit, donc c'est pas encore complètement automatique, il faut encore vérifier avant d'acheter un téléphone

J'imagine qu'il parle des frais du réseau, du coup c'est les mineurs (plus précisement le mineur qui a trouvé le bloc prouvant sa transaction), qui ont gagné cet argent.

Merci pour ton explication éclaircissante.

Faisons quelques calculs pour justifier (ou pas en fait.) le Bitcoin Cash:
Si Bitcoin{, Cash} envisage de remplacer, disons Visa, il faut pouvoir gérer 20k transactions/seconde
Actuellement, une transaction fait de l'ordre de 300o.
Ça nous fait des blocs de 3Go.

Si on regarde l'historique des transactions bitcoin, le x8 proposé par Bitcoin Cash a été atteint en 4 ans.
Donc, il faudrait recommencer tous les 4 ans?

Même si, en soit, recommencer tous les 4 ans ne parait pas horrible, le problème est que les différents outils utilisés (connexion internet et stockage entre autre), ne vont pas suivre aussi rapidement, et vont pousser encore plus à la centralisation des mineurs, ce qui est assez catastrophique pour l'avenir d'une crypto-monnaie.

Surtout que c'est la deuxième fois que cette équipe se rate en trois mois…

Euh oui je peux.
C'est certes très chiant, mais c'est documenté et supporté.
Ça s'appelle compiler et flasher AOSP.

Pour moi le titre est racoleur parce qu'il dit que c'est à cause d'Android, alors que non.
Éventuellement on peut considérer que c'est à cause de Google, mais à peine. Il ne fait que fournir le moyen technique de vérifier si le téléphone est rooté. (les auteurs de Tor sont responsables de son contenu?)

J'ai mal.
(globalement la vidéo vaut pas grand chose, même si je m'attendais à pire)

D'ailleurs c'est pour ça que t'as un ancien dev de Mozilla qui dit que les anti-virus autre que celui de Microsoft sont nuisibles, et qu'il vaut mieux ne garder que celui de Microsoft (gratuit, intégré à Windows par défaut)

Euh non…
Les données ne transitent pas par Facebook Messenger, le vote se fait sur laprimaire.org, Facebook Messenger ne sert franchement pas à grand chose dans l'histoire.

Tu fais confiance au service qui te donne l'APK pour te dire que l'APK est valide?
T'es du genre à cliquer sur "sisi je te jure ce certificat SSL est bon" sur le site de ta banque non?

Et pour remonter plus loin encore, au niveau de la conception, le choix du processeur Qualcomm avec son lot de firmware propriétaire est également un choix regrettable dès le départ.

C'est facile à dire.
Tu proposes quoi à la place?
Qualcomm est le seul constructeur de SoC mobiles à fournir la majorité des sources Android, et à mainstreamer beaucoup de leur code au niveau kernel.
En plus, c'est l'une des rares archis de SoC mobile à avoir un support GPU libre (non supporté par le constructeur)

Et petit détail cocasse, malgré ce choix propriétaire, le processeur ne passe pas le dernier Compatibility Test Suite (CTS) d'Android qui aurait permis à Fairphone de proposer Android Nougat. (Le FP2 est vendu sous Android Lollipop bien que Android Marshmallow était disponible quand l'appareil a été mis sur le marché). (On peut néanmoins saluer les régulières mises à jour des patch de sécurité d’Android).

La liste releases Qualcomm sont publiques: https://wiki.codeaurora.org/xwiki/bin/QAEP/release
Et il y a bien un Android 6 pour MSM8974… (Je n'ai jamais vu Qualcomm faire de release Android ne passant pas les CTS)
Néanmoins, le plus récent date du 5 mai 2016, donc il faudra appliquer les patchs de sécurité des bulletins AOSP, publiques, à la main (c'est un peu de boulot, mais pas bien compliqué)

Après, rien n'oblige à utiliser l'Android fournit par Qualcomm, typiquement Wileyfox a certifié plusieurs fois des CyanogenOS.

Lennart a un droit unilatéral de commit dans Firefox, c'est ça?

et bon pour les robots

De mémoire, Google a commencé à mettre un score supérieur à du https que du http