Psychofox a écrit 10855 commentaires

Oui, le méchant gouvernement est au courant donc ils vont profiter de l'embargo pour attaquer tous azimuts.

Le problème ce n'est pas les gouvernements, c'est qu'en 4 mois vu le nombre d'acteur t'es certain que la faille a fuité, et que l'information est forcément arrivé chez des gens qui ont envie de l'utiliser à mauvais escient.

Du reste cette faille a une solution de contournement très simple et facile : ne pas utiliser le wifi.

Bref, les entreprises commerciales ont une certaine inertie pour ce genre de correctifs mais c'est justifié. Ils doivent reproduire le soucis, trouver le correctif adéquat, le tester sur tous les appareils concernés (quand tu as une vraie QA, cette étape prend du temps).

Reproduire le souçis, trouve le correctif adéquoit. Ce sont des étapes qui ne prennent pas plus de temps à GROSSEMEGACORPORATION qu'à un dev openbsd ou wpa_suppliquant.

Il n'y a que la partie test et contrôle qualité qui prend un temps supplémentaire.

Et après je serais tenté de dire qu'il faut se donner les moyens de ses ambitions. Si tu affirmes pouvoir supporter et assurer la sécurité de x milliers/millions/millards de devices différents , tu dois aussi faire les investissements nécessaire pour assurer un contrôle qualité dans un temps raisonnable pour une faille jugée critique. Sinon tu ne vends que du mensonge. Parce que non un embargo long ça n'assure pas la sécurité.

Et j'ajouterai que dans certains cas la correction de failles jugées importantes doit pouvoir primer sur le fait que x milliers de devices pourraient éventuellemnent être briqués si MEGACORPORATIONTARTANPION n'a pas trouvé moyen d'en assurer un contrôle qualité en un temps raisonnable (et à charge du fournisseur d'en assurer la réparation ou le remplacement). C'est un peu comme quand dans des traitements médicamenteux pour soigner des maladies potentiellement mortelles. Tu sais qu'il va y avoir des effets secondaires indésirables mais la finalité de la guérison du plus grand mal prime sur le bon fonctionnement, momentané ou pas, de certains organes. Un ordinateur/smartphone, ça se sauvegarde et peut se remplacer, on le fait tout le temps quand ils tombent en panne où qu'on les casse. Un vol d'identité c'est potentiellement bien plus emmerdant par exemple.

Ça c'est la théorie.

En pratique on se rend compte que certaines applis continuent à fonctionner en background pour recevoir des notifs push, de la geoloc, etc, et parfois après x semaines d'utilisation certaines applis finissent par bugger (dernier exemple en date chez moi il y'a quelques mois l'application gallery de mon smartphone qui ne voulait plus jouer les vidéos) ou que le téléphone perd en réactivité genre t'es sur l'appli x, tu reçois un appel mais manque de bol t'as beau appuyer sur le bouton de décrochage ça ne réagit pas avant x secondes. Dans mon cas je fais un reset du smartphone une fois de temps en temps si j'ai un comportement bizarre.

Forcément quand on a le modèle le plus haut de gamme avec beaucoup de mémoire c'est très très rare. Quand tu utilises un smartphone à 100-150 balles c'est bien plus récurrent.

Donc non android c'est pas un truc magique qui t'isole de tout memory leak ou bug.

Je ne vois pas bien le rapport tu parles de deux choses qui n'ont rien à voir entre elles.

La question c'est plutôt qui utilise encore du disque mécanique ?

Dans le cas du ssd, tu t'en fous royalement et le mettre au début permet de facilement le trouver au cas où tu serais dans un invite grub et que tu chercherais la partition boot. Dans le cas de la virtualisation t'as meilleur temps de le mettre au début au cas où tu souhaiterais étendre ta partition (bien que souvent c'est plus simple de rajouter un disque virtuel).

Du coup même avec GPT, des firmwares récent et intelligent sans limitation débile je ne vois pas d'intérêt à le mettre à la fin.

Ben dans le cas ici-présent un chercheur est tombé sur un bout de code qui lui a mis la puce à l'oreille (alors qu'en fait il ne cherchait pas une faille). Ce qui me semble plutôt positif du côté du logiciel libre.

Après ça donne aussi libre accès à toute espèce de margoulin d'aller chercher les failles dans une optique plus hostile mais bon ça peut aussi être fait par reverse engineering de code proprio.

Je n'ai pas dis dévoiler immédiatement. J'ai dis pas la peine d'attendre 4 mois, on écris des patchs en moins de temps que cela.

T'es pas obligé de tout faire planter. Tu peux aussi informer tes utilisateurs et les inciter à désactiver le wifi en attendant.

Après chacun est responsable de faire le choix entre "envoyer du traffic à peine aussi sécurisé que si ça passait en clair" via le wifi ou se passer du wifi dans l'intervalle de la sortie du patch officiel.

Et entre laisser des millions de devices vulnérables dans la nature où avoir un pourcentage négligeable de dommages collatéraux comem des dysfonctionnements dans la nature je sais ce qui me semble le plus responsable, même si ce n'est pas ce qui est le plus joli en terme d'image de marque pour l'utilisateur non informé.

En 2008, l’embargo autour de la « faille Kaminsky » dans les implémentations DNS avait été beaucoup plus long (si je me souviens bien, au moins de mars à août).

Ce n'est pas parce qu'on la déjà fait qu'on se rend service à faire des embargos aussi long à chaque fois. D'autant plus que pendant cette période on n'a aucune idée des éventuelles fuites qui peuvent se faire entre ceux qui savent et des tiers hostiles.

En même temps 1 mois c'est déjà extremement long pour ce type de failles. Une boite qui n'est pas capable de fournir et pousser un patch dans un délai d'un mois sur une faille aussi critique va de toute façon demander des délais à l'infini. Ce n'est pas rendre service aux utilisateurs que de cacher ces failles aussi longtemps. On est en octobre tout de même.

Perso j'ai juste envie de jeter mon tuer mon smartphone à coup de pioche car je n'ai aucune garantie que le fabricant fournira une update de firmware rapidement.

Pas si tu en as besoin d'en avoir une de toute façon. c'est à dire que tu dois faire régulièrement des trajets que tu ne peux pas faire en transport en commun

Si. Même s'il y'a des prix fixes le kilométrage et l'usure n'est pas le même, la problématique du coût de stationnement non plus, éventuellement le prix de l'assurance.

Du reste si je prends mon exemple perso j'ai fais le calcul et même si j'utilise un peu la voiture je m'en sortirait pour bien moins cher avec un système de car sharing (qui en plus me permettrait d'avoir accès à un minibus quand j'en ai besoin et une citadine quand ce n'est pas le cas). Là mon auto vient tout juste de passer les 100000km donc elle est dans sa période la plus économique, je pense lâcher l'assurance casco complète à la prochaine échéance et elle ne nécessite pas encore de gros frais type embrayage ou autre. Mais le jour où je décide que le coût de l'entretien de la mienne prend l'ascenseur exit la bagnole et je pense que je me tournerais vers du partage de voiture.

1 ticket de bus ça vaut à peu près 1l d'essence, et pour aller dans le centre, généralement, il en faut aussi un pour revenir. Avec 1l d'essence, à 6l au 100, on fait 16,6km. C'est à dire largement assez pour n'importe quel trajet urbain.

Ça c'est une énorme simplification. Le coût de revient au kilomètre doit prendre en compte le prix d'achat du véhicule, ton kilométrage annuel, les taxes, le coût de tes moyens de parking, le coût de ta prime d'assurance, le prix des entretiens, des pneus et autres consommables, la dépréciation de ta voiture et sa valeur à la revente, le nombre d'années que tu gardes ton auto.

Et si tu comptes tout ça l'utilisation de la voiture est bien plus onéreux au kilomètre.

Je suis à moitié d'accord avec toi.

Par contre ce n'est pas parce qu'une tonne d'infrastructure est créé qu'un village est finalement plus vivant. Dans beaucoup de cas les campagnes sont transformées grosso-merdo en dortoirs. On crée des infra pour le transport entre les nouveaux lotissements desdits dortoirs et les concentrations d'emplois principaux, mais au final la vie de village n'a pas forcément repris de plus belle. T'as de la chance s'il y'a encore une boulangerie et un bistrot au centre du village et qu'il ne faut pas aller à l'hypermarché 10km plus loin (là encore trop souvent en voiture).

Accessoirement je préfèrerai vieux stade en mauvais état mais ouvert à tous que des stades tout neufs grillagés mais uniquement accessible par le club de foot et les écoles dans des horaires très limités.

Après ça reste aussi de la responsabilité des habitants desdits dortoirs de se sortir les doigts du cul et de s'approprier leur village et y mettre de la vie à travers la vie associative et des organisations diverses. Taper uniquement sur les mairies est un peu facile, c'est pas au maire d'aller sortir le soir et d'enfiler son costume de clown pour proposer un spectacle aux habitants de son village.

Ce que tu appelles la peur, je peux tout aussi bien appeler ça la prise de conscience.

S'il y a 1 chance sur 10,000 que ton enfant soit enlevé. Tu veux la prendre?

Être parent c'est aussi devoir apprendre à lâcher prise. Je sais bien je le suis aussi.

Et il ne faut pas confondre mettre son enfant en sécurité et être maniaque du contrôle. Parce que contrairement à ce que l'instinct pourrait nous faire croire ce n'est pas parce que ton enfant est avec toi qu'il est plus en sécurité qu'ailleurs. Ça peut juste vouloir dire qu'il mourrait avec toi par exemple dans ta voiture au lieu de survivre sur un trottoir. Et à un moment donné il faut apprendre à faire confiance aux institutions et systèmes mis en place, de toute façon en tant que parent tu n'as aucun contrôle sur ce qui va se passer à l'école et tu dois faire face à un certain fatalisme. C'est impossible à entendre si le pire arrive mais ça reste la réalité.

C'est le taux de crime en général que j'ai cité.

Pour le coup je ne crois pas que ça vienne d'une préférence pour la voiture mais plutôt de la culture de la peur. Les medias et agences de marketing délivrent de la peur depuis plus de 30 ans à la télé et la radio. Du coup pas question pour un parent de laisser leur enfant être véhiculé par un chauffeur de bus probablement repris de justice et pédophile de surcroit. Déjà que ledit parent a du faire un effort sur lui-même pour laisser son enfant dans l'enceinte d'une école remplie de gens douteux prêts à les pervertirs mais bon pas le choix, c'est obligatoire et on peut pas se les trainer au bureau. En plus c'est plein de maladies les bus.

Un exemple en grande bretagne avec cet article sur la réduction des zones de libertés des enfants d'une famille en seulement 4 génération :

How children lost the right to roam in four generations

Pourtant le taux de crime est à son plus bas depuis plus de 30ans d'après les statistiques britanniques.

On risque moins mais on a paradoxalement plus peur pour nos enfants.

Ouais si on met de côté le côté olfactif du métro Paris est une des références mondiales en terme d'efficacité sur ce point. Le réseau métro/RER/Bus y est hyper efficace. Le truc c'est qu'enterrer des trains c'est un investissement lourd pour une plus petite ville et que ce n'est pas forcément aussi facile de créer des grands couloirs de bus dans des rues étroites que dans des boulevards Haussmanniens.

Après je ne cautionne pas le "tout voiture" loin de là. Je m'étonne à chaque fois que je demande un renseignement ou une direction et que les gens grimacent quand ils apprennent que je compte faire les 2 ou 3 km à pied ou le double à vélo alors que c'est loin d'être un exploit pour une personne en bonne santé.

Je ne connaissais pas votre site https://obsd4a.net/ . C'est une très bonne initiative pour les débutants où frileux à openbsd.

Par contre le lien dans le journal pourrait être mis à jour ( s/qa/forum/ ) ou une redirection activée. J'imagine que vous avez recopié le canevas d'une annonce précédente.

Les scripts mentionnés ci-dessus font référence à l'ancienne api xml-rpc. Si tu as passé tes domaines sur la nouvelle api LiveDNS c'est différent.

Mais pas de panique, la doc est complète :
http://doc.livedns.gandi.net/

et il existe des exemples sur leur github, notemment ce simple script bash qui fait le job :
https://github.com/Gandi/api-examples/blob/master/bash/livedns/mywanip.sh

Tout à fait d'accord.

https://linuxfr.org/nodes/112778/comments/1715341

C'est exactement ce que je dis. Pour qu'un stockage dans le cloud puisse être considéré comme un backup il doit offrir certaines fonctionnalités étendues que la plupart ne fournissent pas dans leur offre de base. Chaque offre est à étudier et dès lors que tu peux manipuler en écriture les fichiers sauvegardées, les snapshots et/où les périodes de rétention directement depuis le client tu ne peux plus considérer ça comme une sauvegarde fiable.

Autrement dit ce n'est pas parce qu'une donnée est sur un stockage distant qu'elle ne peut pas être altérée depuis ta machine locale.

Parce qu'un service de stockage dans le cloud ne fournit pas nécessairement un système de snapshot qui te permet de revenir à une version antérieure. N'empêche pas un ransomware de chiffrer tous tes fichiers, ne te protège pas forcément contre tes propres erreurs de manipulation. Après il y'a des services qui ont des fonctionnalités (comme des snapshots) qui permettent de s'en approcher mais ce sont souvent des fonctionnalitées optionnelles sur des abos pro et de toute façon à partir du moment où la gestion de tes données/snapshots/ou autre se fait sur un client en local tu n'auras jamais la sécurité d'une infra vraiment séparée. Ça peut éventuellement être un complément pour synchroniser les données d'un serveur de backup mais en soit synchroniser tes données sur google drive par exemple ça ne te protège de pas grand chose.

Il y'a des vrais services de backup dans le cloud (crashplan, carbonite) mais ce ne sont pas des outils de synchronisation dans le cloud.

J'ajouterai une chose. La synchro auto dans le cloud, ce n'est pas un backup non plus.

Qu'est-ce que tu n'as pas compris par "nom d'emprunt" ?

J'veux dire on est capable de se souvenir du pseudo de quelqu'un (mieux que d'un numéro de téléphone), un pseudo est un nom d'emprunt. Et d'ailleurs je ne sais pas pour vous mais dans les contacts lists de mon téléphone, que j'utilise également avec whatsapp, il y'a parfois les noms réels, mais d'autres fois des trucs plus abstraits comme Mylène au coeur à droite (question d'anatomie chez elle) , Bibine la pochtronne ou Vincent2 et je n'ai aucune idée de leur numéro de tel réel.

Alors dans ce cas c'est moi qui les ai nommées comme ça mais ce qui compte c'est qu'il y ait un identifiant unique et suive la personne toute sa vie. Et le DNS est tout à fait prêt pour cela. Dans mon cas c'est simple car je n'ai qu'une dizaine d'homonymes dans le monde et d'autres utilisent un prénom raccourci alors j'ai utilisé mon prénom/nom mais rien ne m'y obligeait. J'ai des projets de quitter le pays dans lequel j'ai vécu ces 15 dernières années mais je garderai ce domaine même si le tld ne correspondra plus à mon pays de résidence. Ce n'est pas important.

Ça c'est un faux problème, tu as un nom hyper commun dans les pays hispanophones mais n'importe qui peut utiliser ses éventuels deuxièmes voire troisèmes prénoms et/où nom d'usage différent de son nom de naissance. Avec 26 charactères différents il est de toute façon bien plus facile d'avoir des noms uniques courts que des numéros de téléphones courts. Et accessoirement tu peux même mettre des numéros dans ton nom.

Ce qu'il explique c'est qu'il faudrait que ce soit aussi simple d'avoir son propre domaine, potentiellement à vie, pour un utilisateur que pour un numéro de téléphone.

Les personnes qui me demande mon émail perso sont souvent surpris, même dans le mon IT/pro, que j'utilise un simple prénom@nom.ch et c'est pourtant bien plus facile à noter/se souvenir qu'un numéro de tel. D'ailleurs il y'a le tld .name qui a été conçu pour cela.

En soit c'est pas si compliqué et ça coûte quasi rien (comparé à un abo de téléphone) mais personne n'a pris la peine de promouvoir ça chez les gens.