Antoine a écrit 5722 commentaires

Et J'avais souvenir que les VPS d'OVH était des chroots openvz, mais ça a du changer visiblement.

Oui, la nouvelle gamme (2016 je crois) est passée sous KVM. C'est un progrès…

si le support est pourri, c'est sans doute les conséquences de 2 et 3.

Excellente démonstration.

C'est l'auteur du journal qui tente de discréditer OVH […]

je trouve cela très pénible les gens qui déversent leur bile sur une marque ou un produit sans jamais citer le nom.

L'auteur ne cite pas OVH explicitement, tu lui reproches de discréditer OVH tout en ne mentionnant pas qu'il s'agit d'OVH, ce qui ne te permet pas de te défier des produits d'OVH (!). J'ai du mal à comprendre la logique…

Le positionnement d'OVH a toujours été de vendre de l'hébergement de masse à pas cher (c'est-à-dire moins cher que l'immense majorité de la concurrence). Cela explique son succès, mais aussi la médiocrité des réponses apportées en cas de problème.

Statistiquement, les services fonctionnent bien, mais si tu as un problème il ne faut pas compter sur la qualité du support (dans mon cas, un "serveur virtuel" OpenVZ qui se bloquait intempestivement et devait être redémarré en dur, mais où le support disait que ce n'était pas son problème parce que "ça pingue"—forcément, vu que la pile réseau tourne dans le noyau de l'hôte et pas dans le conteneur OpenVZ…). C'est un paramètre à prendre en compte, en fonction de la criticité de ce que tu héberges et du prix que tu es prêt à payer pour une alternative plus chère (sans que la qualité soit forcément meilleure, d'ailleurs : difficile de juger a priori…).

Par exemple favoriser plus agressivement les transports en commun plutôt que la voiture personnelle, bien que même rentable économiquement pour la population dans son ensemble

En quoi est-ce « même rentable économiquement » ? Les transports en commun sont une bonne chose pour des tas de raisons, mais il faut comprendre qu'ils sont massivement subventionnés afin que le prix affiché du trajet ne dissuade les usagers de se débrouiller autrement.

En pratique, ça ne se fait que dans les cas où vraiment la voiture individuelle devient juste absurde (centre des grandes villes, trajets rapides en train entre grandes villes,

Pas « absurde », mais moins efficace. Or, pour que ce soit moins efficace, il faut justement qu'il s'agisse de dessertes très empruntées.

Et les trains en dehors des connexions entre grandes villes, c'est plus ce que c'était non plus

Pour une raison simple : la majorité des gens aujourd'hui ont une voiture et ces trajets sont beaucoup plus commodes à effectuer, porte à porte, en voiture individuelle. On pourrait certainement améliorer la situation à la marge, mais ça ne changerait pas fondamentalement les données du problème.

C'est le problème avec la philosophie « on utilise le pesticide tant qu'on ne connaît pas très bien les défauts mais bien les avantages, plutôt que de s'assurer qu'il ne soit pas trop dangereux avant »

En même temps, le problème avec la philosophie inverse, c'est qu'on ne fait jamais rien, parce que la plupart des inventions humaines ont, d'une manière ou d'une autre, des effets néfastes sur « l'environnement ». Après tout, l'agriculture, peut-être une des deux inventions les plus fondamentales (avec l'écriture) de l'histoire technique, a eu un effet cumulatif absolument dévastateur sur l'environnement (bien plus que la voiture, l'avion, etc.). Si l'homme du néolithique avait écouté les prescriptions « écologistes », il serait resté chasseur-cueilleur et n'aurait jamais développé les civilisations qui ont suivi le passage à l'agriculture (qui a permis la densification des peuplements, et donc les villes, la division du travail, etc.). En réalité, le changement technique comporte toujours une part de saut dans l'inconnu, et vouloir éviter tout risque implique de se priver de la plupart des innovations potentielles.

Une grande partie des traitements que l'on utilise aujourd'hui vient des plantes et on été découvertes par des médecines telles que l'ayurveda ou la médecine chinoise.

« Une grande partie » ? Combien exactement ? Quelle est ta source ?

Les huiles essentielles sont une bonne illustration de cela.

Et ça soigne quoi, exactement, les « huiles essentielles » ? À part soulager le porte-monnaie du gogo de quelques euros, je veux dire.

On parle ici du cancer. Serais-tu en train de prétendre que les « huiles essentielles » soigneraient le cancer aussi bien que les traitements modernes ?

J'ai l'impression que tu confonds « médecine moderne » avec le rayon bobo-psychologie de ta parapharmacie de quartier. Oui, lorsqu'il s'agit de soulager quelques soucis sans risque et sans lendemain, il y a myriade de « traitements » charlatanesques à base d'huiles essentielles, de bidules ancestraux ou ésotériques, de gelée royale, etc. (le champ lexical serait intéressant à analyser, d'ailleurs). Le tout végan et sans gluten, bien sûr (et surtout, pas de « produits chimiques », parce que le Chimique c'est mal et le Naturel c'est bien).

Les médecines séculaires soignaient avant que l'on puisse expliquer pourquoi. Un médecin constatait une corrélation de manière empirique et la reproduisait.

Elles soignaient quoi, exactement, les « médecines séculaires » ?

Enfin, sous Linux il existe les patches de grsecurity qui propose un ASLR, via les patches PaX, dans le noyau Linux avant son apparition dans le noyau Linux et partout ailleurs je pense. À lire noyaux durcis pour tout le monde.

Oui, à lire pour comprendre pourquoi, ces noyaux durcis, à peu près personne ne les utilise. Les utilisateurs tournent sous le noyau par défaut de leur distrib.

Le fait que ces super fonctionnalités de sécurité n'existent pas dans le noyau mainline devrait t'interpeller. Soit ces fonctionnalités sont en réalité inutiles, soit c'est que le noyau officiel (celui que tout le monde utilise, à quelques modifications près qui n'incluent pas grsecurity) ne se soucie pas assez de la sécurité des utilisateurs. Choisis l'explication qui t'arrange…

Histoire de ne pas être plus précis, chez « Wazo », on trouve les phrases suivantes :

Sylvain then moved to Quebec City and founded Proformatique, Inc. where the XiVO core development team worked from 2011 until November 2016.

In November 2016, Proformatique Inc. was shut down and the development team forked XiVO to create Wazo. Its first release, Wazo 16.16, was released in December 2016.

Ce n'est pas comme ça que se sont déroulés les faits. D'après Wikipédia :

« Lorsque les positions secrètes ont été découvertes le 18 janvier 2008, la perte latente enregistrée était assez faible au vu des montants engagés, mais la Société générale a estimé que cela l'exposait à des risques considérables. […] La banque a donc préféré déboucler dans le secret les positions au plus vite en vendant pour 60 milliards d'euros d'options du lundi au mercredi suivant »

Donc voilà, dès que la hiérarchie a découvert les positions prises par Kerviel, elle n'a pas « toléré » que ces turpitudes continuent discrètement, non : elle a cherché à régler le problème au plus vite (trop précipitamment, apparemment, ce qui a entraîné une lourde moins-value qui motivait la condamnation initiale au civil).

La fable d'un employé qui aurait « obéi aux ordres » est une falsification.

devrait conduire à une concurrence accrue dans le secteur, avec des prix (et surtout des prestations) tirés vers le bas, baisses concurrentielles qui vont engendrer mécaniquement une baisse des marges.

Je ne vois pas trop pourquoi. Le secteur est déjà concurrentiel, ce n'est pas une obligation légale qui va le rendre plus concurrentiel qu'il ne l'est déjà.

Outre le fait que ces baisses ne se feront pas à l'avantage des salariés (car il s'agira surtout d'une baisse des prestations pour eux),

Pour les salariés, c'est un jeu à somme nulle, puisque l'assurance complémentaire est directement payée par leur salaire brut. Et personnellement, dans le domaine, je préfère payer moins pour moins de prestation, l'idéal étant de ne pas me faire imposer la moindre complémentaire maladie privée.

Il y a aussi cette volonté d'imposer aux employés de faire basculer les clients sur de nouveaux contrats plus chers et qui couvrent moins

Je ne comprends pas : si ça devient plus concurrentiel, alors logiquement, les assureurs devront au contraire consentir de meilleures prestations à tarif égal (mais je n'y crois pas, cf. ci-dessus).

Ben oui, c'est super juteux, surtout avec les contrats de « mutuelle » signés au niveau de l'entreprise, parfois avec des tarifs délirants (au prétexte de fournir des avantages aux salariés, ce qui est évidemment bidon : c'est juste un bout de salaire versé d'une façon différente, sans que le salarié ait son mot à dire sur la destination de l'argent). En fait de « mutuelles », ce sont de bêtes complémentaires maladie privées.

Il faisait ce qu'on lui disait

Il a volontairement maquillé ce qu'il faisait pour que son employeur ne se rende pas compte des sommes englouties. Tu crois que maquiller son activité était un ordre de son employeur ?

Il a sans doute sa part de responsabilité mais la banque est bien plus coupable

C'est Kerviel qui a été reconnu coupable pénalement, pas la banque. La banque est peut-être responsable de ses propres imprudences (contrôles internes pas assez poussés, par exemple), mais pas des activités de Kerviel. D'où le fait que la condamnation civile a été cassée (la banque aurait pu éviter les dommages si elle avait pris les précautions nécessaires) mais pas la condamnation pénale (Kerviel est bien coupable des délits qui lui sont reprochés).

Bref, rien à voir avec la choucroute de Morning.

Certes, la choucroute de Morning n'a pour l'instant fait l'objet d'aucune condamnation judiciaire, alors que la culpabilité de Kerviel est établie de façon définitive. Les sommes engagées ne sont pas les mêmes non plus : Morning, c'est un milli-Kerviel.

Mais ce que je pointais, c'était la similitude de prise de parti, avec un mécanisme basé sur le ressentiment instinctif vis-à-vis des banques et la tendance à penser que « les ennemis de mes ennemis sont mes amis ».

Il faut tout de même saluer la langue de bois qui consiste à parler de structure « 100% indépendante » quand dès le début on fait entrer des investisseurs institutionnels comme la MAIF. Plus c'est gros, plus ça passe. Mais le gars connaît son créneau : il sait que dans certains milieux abondent les zozos qui sont prêts à croire à n'importe quel discours promotionnel capitalisant sur l'aversion aux banques et peu disposés à gratter le vernis communicationnel pour découvrir la réalité des faits. Cela me rappelle Kerviel soudain repeint en figure christique par certain(s) responsable(s) politique(s) de la « gauche de gauche ».

(pour git tu as mercurial par exemple, pour linux les BSD, windows, MacOS)

Il faut être sérieux deux secondes. Windows et MacOS ne sauraient remplacer Linux, pour une raison simple : Linux est gratuit (et libre), ce qui est évidemment un très gros argument de vente. Quant aux BSD (ou Darwin), le retard à combler (support matériel, fonctionnalités, performances…) est énorme. Bref, oui, Linux est pépère sur son créneau aujourd'hui, et il le resterait un certain temps même si son développement venait à ralentir.

Quant à git, il me semble que ça fait longtemps que Linus a passé la main.

mais on peut difficilement dire que linux se porterait mieux si Linus se comporterait mieux

Le gros problème en effet c'est que c'est impossible à déterminer rigoureusement : il faudrait pouvoir tester avec et sans Linus, de façon réversible, et toutes choses égales par ailleurs. On ne peut donc que spéculer de façon plus ou moins informée, par exemple par des situations passées (genre glibc ou XFree86) dont la ressemblance est loin d'être évidente.

Ce n'est peut-être pas une bonne idée de se baser sur un site anglo-saxon pour parler des dispositions du droit français en matière de faillite des sociétés.

Qui parle de peur ou de mise en danger ? J'ai dit « menaçait de diminuer la qualité de l'écosystème logiciel utilisé par des millions de personnes ». Un projet n'a pas besoin d'être de très bonne qualité pour survivre (OpenSSL existe toujours).

Ce qui me frappe surtout, c'est qu'il prétend que Morning « innove ». Peut-être que pour lui c'est évident, mais vu de loin, je ne vois pas trop en quoi un service comme Morning est « innovant ».

Les suspicions de complot trahissent en général une absence d'arguments non étayés.

Le lecteur aura corrigé la négation en trop :-)

Sur le fond, je suis d'accord, la forme des échanges sur Linuxfr est aussi peu agréable que sur la LKML, mais en même temps, Linuxfr c'est un peu accessoire, c'est pas comme si effrayer de temps en temps des lecteurs et contributeurs potentiels de ce site menaçait de diminuer la qualité de l'écosystème logiciel utilisé par des millions de personnes.

Je ne dis pas que c'est une raison pour laisser faire, mais simplement qu'il y a beaucoup moins lieu de s'en inquiéter sérieusement.

Mais vraiment par hasard, juste au moment où Morning lance un service bancaire et vient marcher sur les plates-bandes des banques traditionnelles, ils se font geler les comptes par l'ACPR

Bon, les établissements financiers « alternatifs » qui proposent des services bancaires, ça existe, par exemple la NEF, et à ma connaissance ils ne se sont pas fait geler leurs comptes par l'ACPR.

Les suspicions de complot trahissent en général une absence d'arguments non étayés.

J'ajoute que sur le site de Morning, je ne trouve pas la liste des dirigeants ni d'autres infos potentiellement intéressantes (structure du capital, investisseurs principaux, par exemple). Par contre, l'équipe a des photos cool, ils travaillent dans un open space avec des murs en brique à nu et ce sont des « X Men », j'imagine que c'est important.

Les quelques fois où j'ai lu une discussion sur les listes Debian, ça avait l'air assez salé… Bref le caractère démocratique du projet n'offre aucune protection contre les prises de bec, les messages agressifs ou les attaques personnelles. C'est surtout une question culturelle, une « ambiance » ayant tendance à s'auto-reproduire par sélection et/ou auto-adaptation des participations.

S'ils ne sont pas prêts à changer leurs habitudes, c'est qu'ils jugent qu'ils n'y ont pas intérêt, donc c'est bien le problème de GNU/Linux qui ne leur donne pas assez d'arguments pour qu'ils changent d'avis.

Par quels virus ou autre logiciels malveillants seraient donc infectés les postes de travail des développeurs Debian ?

Tu crois vraiment que les exploits pour machines Linux n'existent pas ? Malgré les centaines de CVE qui atterrissent tous les ans ?

Donc tu critiques la sécurité de GNU/Linux dans son ensemble pour la façon de faire de Debian alors que Fedora fait exactement l'inverse. Sous Fedora tout est centralisé à l'inverse de Debian.

Les deux modèles sont perfectibles. Le truc, c'est que la technique qui permet de consolider les deux modèles est refusée par Fedora et Ubuntu (avec des arguments assez vaseux, je dois ajouter, si l'on en croit l'article). Au moins, cette technique est acceptée et progressivement mise en place par Debian. Mais PasBillPasGates a raison : pendant 20 ans, des paquets critiques ont été compilés et uploadés depuis des machines personnelles de développeurs et publiés sans audit particulier ensuite, sur Debian qui est une des distributions les plus utilisées et les plus réputées (notamment pour des usages critiques sur serveur).

D'ailleurs comment fait-on sur Microsoft Windows pour avoir des builds reproductibles ?

Personnellement, j'utilise GNU/Linux, pas Windows. Et les remarques de PasBillPasGates à propos de GNU/Linux me semblent tout à fait pertinentes, quel que soit le niveau comparatif de sécurité sous Windows.

PS :

Debian arriverait aujourd'hui à 91 % de paquets reproductibles

Vu le nombre de paquets qui n'abritent que de la doc, par exemple, il est certain qu'un bon nombre de paquets n'ont dû poser aucun problème. Il faudrait faire le compte sur les paquets contenant du code exécutable, et de préférence pondérer en fonction de la popularité ("est-ce que le build Firefox est reproductible" me semble une question plus importante que la même question posée à propos de xbill). Or les programmes les plus populaires sont en général assez sophistiqués, et donc les plus susceptibles de poser des problèmes…

Je ne suis pas PasBillPasGates, mais j'ai parcouru la description technique : https://breakingmalware.com/injection-techniques/atombombing-brand-new-code-injection-for-windows/

Je peux donc essayer de faire un petit résumé. La faille impose que l'attaquant contrôle déjà un processus sur l'ordinateur cible. Alors la faille permet d'envoyer du code et de l'exécuter dans un autre processus. J'imagine que c'est restreint aux processus du même utilisateur, bien que la documentation de la fonction QueueUserAPC ne dise rien à ce sujet.

Alors quel est l'intérêt ? S'il s'agit d'autoriser un processus à exécuter du code dans un autre processus du même utilisateur, il paraît a priori limité. Mais si des permissions fines ont été réglées sur les processus, ce qui paraît plausible, alors il peut être intéressant de transmettre le code à exécuter à un processus qui a des permissions plus larges. Cela est expliqué par les auteurs ici :

For example, let’s say an attacker was able to persuade a user to run a malicious executable, evil.exe. Any kind of decent application level firewall installed on the computer would block that executable’s communication. To overcome this issue, evil.exe would have to find a way to manipulate a legitimate program, such as a web browser, so that the legitimate program would carry out communication on behalf of evil.exe.

Il s'agit bien d'un défaut de conception ici, mais je pense qu'il serait tout de même possible pour Microsoft de le corriger. Une possibilité serait de limiter la fonction QueueUserAPC par défaut au processus courant, et de ne l'autoriser vers d'autres processus que si le processus courant a été spécialement autorisé à cela (par exemple un débugueur).

Je note que la technique générale ne semble pas nouvelle, cf. DLL Injection using QueueUserAPC publié en 2013.

Linux n'a pas d'équivalent à ma connaissance de QueueUserAPC. Les signaux sont un mécanisme beaucoup plus rudimentaire et difficile à exploiter (on envoie un numéro de signal, mais c'est le processus cible qui choisit quel code à exécuter en fonction du signal, au lieu de se laisser dicter docilement un pointeur de fonction…).

Jamais l'agriculteur utilise cette technique pour faire pousser la plante, il ne peut donc pas violer de brevet dessus.

Eh bien, tu n'as plus qu'à proposer à l'agriculteur cette ligne de défense et voir ce qu'en disent les tribunaux compétents. Le droit, ce n'est pas toi ou moi qui l'écrivons…