Psychofox a écrit 10948 commentaires

Oui niveau casseroles c'est gratiné chez microsoft.

Sans vouloir se lancer dans le gros bordel qui traine dans la registry, un exemple bête :

PS C:\Users\thomas> (Get-Command powershell.exe).Definition
C:\WINDOWS\System32\WindowsPowerShell\**v1.0**\powershell.exe
PS C:\Users\thomas> Get-Host


Name             : ConsoleHost
Version          : **5.1.15063.674**
InstanceId       : 0fefe7b6-8d91-4bb7-999c-66493c1d8a84
UI               : System.Management.Automation.Internal.Host.InternalHostUser
                   Interface
CurrentCulture   : fr-CH
CurrentUICulture : en-US
PrivateData      : Microsoft.PowerShell.ConsoleHost+ConsoleColorProxy
DebuggerEnabled  : True
IsRunspacePushed : False
Runspace         : System.Management.Automation.Runspaces.LocalRunspace



PS C:\Users\thomas> $host.version

Major  Minor  Build  Revision
-----  -----  -----  --------
**5**      **1**      15063  674
```Alors on peut très bien comprendre pourquoi ils ont décidé de mettre les executables de powershell.exe version 2,3,4,5,6 au même endroit que la version 1.0, surtout qu'ils ont gardé la compatibilité ascendante, mais bon ils auraient du s'en douter qu'ils ne s'en tiendraient pas à la version 1 et qu'ils voudraient maintenir une compatibilité.

Après bon c'est pas les seuls (coucou Oracle) et on a déjà vu des trucs débiles et/ou incohérents sur les unix et sur des distribs linux. Genre qu'est-ce que font des trucs volatiles comme la mtab dans /etc (d'autant plus qu'on a un /proc/mounts à dispo) ?

Dans le cas des App, je trouve le modèle économique de Conversations très intéressant au niveau éthique par exemple : leur app est disponible sur le Google Store de façon payante, gratuite sur FreeDroid ou si on compile soit-même, avec plusieurs possibilité pour donner sur leur site (Flattr, Paypal, Bitcoin). Est-ce que ça leur permet de dégager un revenu ? Je n'en sais rien.

D'après une interview que j'avais lu de son auteur, ça lui permettait de bosser dessus à temps plein. Par contre c'est pas une équipe de 20 personnes non plus et j'imagine qu'il ne croule pas sous les demandes de support pro.

Qui a dit que cela tournait sur des OS GPL ?

Personne mais la question est : est-ce que ça a besoin d'être sous GPL ?

Perso si je prends l'exemple de mon chauffe-eau je m'en fous du code tant que c'est un truc déconnecté qui ne fait qu'une tâche basique et le fait bien. Par contre s'il s'agit d'un truc comme une télé qui est connecté au web ou ces sortes "d'assistants personnels" comme ils appellent comme Google home ou amazone Echo là j'ai plus envie d'avoir qui tourne dessus parce que ça peut avoir un impact réel sur ma vie privée, la sécurité de mes autres appareils, etc.

Soit-dit en passant tu peux déjà utiliser du docker sous windows avec des containers windows ou linux (bon il y'a une couche virtu derrière mais tu n'as pas besoin de la voir).

C'est complètement faux : cf le problème de certificat Microsoft pour l'UEFI

Ouais dans le cas où tu insistais pour utiliser UEFI. Mais si tu passais en mode legacy il n'y avait aucune problème. Je n'ai personnellement jamais vu de firmware/bios pc qui ne fournissait pas ce mode legacy qui fonctionne comme un bios standard.

Ça c'est ton interprétation.

T'as le code source de ta machine à laver, de ton chauffe-eau, de ta voiture ?

Ce que je vois c'est que ce document est un simple document présentant les best practices pour avoir une sécurité au plus haut dans un environnement microsoft. On voit ce genre de documents pour tous types de matériels/logiciels.

Ce n'est donc pas une norme et rien qui soit destiné à pourrir le monde linux. De ce que j'en sais il y'a déjà plein de trucs dans ce document qui existent déjà (comme TPM par exemple) que tout un chacun peut décider de désactiver dans le firmware/bios de sa machine.

Du reste pendant des années les fabricants ont maintenu des firmware qui fonctionnent de façon bios legacy ou UEFI ce qui a fait que l'UEFI n'a jamais pourri la vie de qui que ce soit. Mon Linux boote très bien sur UEFI merci bien.

L'utilisateur, c'est moi. Donc non, cette licence ne maximise pas la liberté des utilisateurs mais maximise éventuellement la liberté des entreprises, voir des développeurs.

As-tu achetéà Intel une licence pour accéder à ta machine à distance via le AMT ? Si oui tu en est l'utilisateur. Si non même si le code tourne sur ta machine on pourrait considérer que tu n'es pas utilisateur de ce minix embarqué puisque tu n'interragis pas avec.

Bien sûr que oui elle existe. Et c'est pas un truc que tu rencontres, c'est un truc que tu décides.

Genre tu prends les images de docker pour des bases comme postgresql ou mariadb ils te montrent des exemples pour monter un volume hébergeant les données :

postgres:

$ docker volume create pgdata
$ docker run -it --rm -v pgdata:/var/lib/postgresql/data postgres

mysql:

Where to Store Data
Important note: There are several ways to store data used by applications that run in Docker containers. We encourage users of the mariadb images to familiarize themselves with the options available, including:

Let Docker manage the storage of your database data by writing the database files to disk on the host system using its own internal volume management. This is the default and is easy and fairly transparent to the user. The downside is that the files may be hard to locate for tools and applications that run directly on the host system, i.e. outside containers.
Create a data directory on the host system (outside the container) and mount this to a directory visible from inside the container. This places the database files in a known location on the host system, and makes it easy for tools and applications on the host system to access the files. The downside is that the user needs to make sure that the directory exists, and that e.g. directory permissions and other security mechanisms on the host system are set up correctly.
The Docker documentation is a good starting point for understanding the different storage options and variations, and there are multiple blogs and forum postings that discuss and give advice in this area. We will simply show the basic procedure here for the latter option above:

Create a data directory on a suitable volume on your host system, e.g. /my/own/datadir.
Start your mariadb container like this:

$ docker run --name some-mariadb -v /my/own/datadir:/var/lib/mysql -e MYSQL_ROOT_PASSWORD=my-secret-pw -d mariadb:tag
The -v /my/own/datadir:/var/lib/mysql part of the command mounts the /my/own/datadir directory from the underlying host system as /var/lib/mysql inside the container, where MySQL by default will write its data files.

Et comme ce sont des paramètres que toute personne utilisant docker plus de 2 minuts connait, ce n'est pas forcément précisé dans les readme de toutes les images fournies par les projets upstream.

Oui l'idée est bien de séparer données et code. Ça peut être fait de différentes façons, montage de filesystem du host vers les containers, container dédiés au stockage, plugins qui permettent d'interagir directement avec une baie de stockage, des trucs comme flocker, etc.

Cesse de me parler d'apt, c'est hors-sujet et tu es le seul à le faire rentrer dans l'équation.

Après je ne suis pas nécessairement quelqu'un qui va pousser à utiliser docker à tir larigot. Pour moi si on me fournit juste une image monolithique "boite noire" avec un gros mélange (backend/frontend) dedans ça ne m'intéresse pas. Si par contre j'ai accès aux dockerfiles et éventuellement compose mais surtout une doc bien écrite Docker peut être une techno pertinente.

L'idée c'était juste de réagir à ta remarque comme quoi des maj seraient compliquées avec Docker alors qu'une maj se résume à peu près à 3 commandes docker build / docker stop / docker run et que t'as accès à tout instant à "l'ancien environnement" si tu as un problème en stoppant le nouveau container et relançant l'ancien.

Une vm et un container ça n'a pas grand chose à voir. Je ne vois pas vraiment en quoi ton exemple du mailman soit pertinent.

Hum… en quoi les paquets apt seraient-ils lents, non-reproductibles ou empêcheraient le retour en arrière?

Ça tombe bien je n'ai pas dis ça. Tu te prends pour Zénitram à vouloir inventer des dire aux gens ?

mais c'est un docker (difficulté de mise à jour)

C'est un peu curieux comme remarque et ça semble dénoter une grosses méconnaissance des principes des containers puisque c'est justement un de ces points forts. L'idée c'est justement de ne pas avoir à faire de mises à jours proprement dites mais de lancer un nouveau container à la place ce qui avoue le est bien plus rapide, reproductible et facilite le retour arrière si besoin.

Dans le cas de firefox qu'est-ce que tu entends par mal intégré ?

Je t'avoue que j'utilise firefox actuellement sur plusieurs OS et environnement de bureaux et je ne remarque rien de choquant mais peut-être que c'est juste une question d'habitude. J'ai à une époque utilisé epiphany qui me semblait un peu plus léger et avait une interface plus clean mais ça c'était avant que mozilla fasse un peu le ménage.

Microsoft, Apple et Samsung gèrent des dizaines de produits logiciels et matériels en simultanées. Donc il faut vérifier qui est concerné, comment, établir le correctif pour chacun.

Faudrait arrêter de faire passer le truc comme s'il y'avait une personne unique dans chacune de ces boites qui allait devoir se palucher tous les repos de sources de sa boite.

Ben non pour chaque produit il y'a un product owner, avec une équipe derrière.

Et oh magie ils ont plus qu'une place de travail et peuvent travailler à plusieurs en même temps !

Échelles de valeurs, toussa. OpenBSD n'a pas patché immédiatement non plus. Entre 2h et 4 mois il y'a bien moyen de trouver un juste milieu non ?

Oui, le méchant gouvernement est au courant donc ils vont profiter de l'embargo pour attaquer tous azimuts.

Le problème ce n'est pas les gouvernements, c'est qu'en 4 mois vu le nombre d'acteur t'es certain que la faille a fuité, et que l'information est forcément arrivé chez des gens qui ont envie de l'utiliser à mauvais escient.

Du reste cette faille a une solution de contournement très simple et facile : ne pas utiliser le wifi.

Bref, les entreprises commerciales ont une certaine inertie pour ce genre de correctifs mais c'est justifié. Ils doivent reproduire le soucis, trouver le correctif adéquat, le tester sur tous les appareils concernés (quand tu as une vraie QA, cette étape prend du temps).

Reproduire le souçis, trouve le correctif adéquoit. Ce sont des étapes qui ne prennent pas plus de temps à GROSSEMEGACORPORATION qu'à un dev openbsd ou wpa_suppliquant.

Il n'y a que la partie test et contrôle qualité qui prend un temps supplémentaire.

Et après je serais tenté de dire qu'il faut se donner les moyens de ses ambitions. Si tu affirmes pouvoir supporter et assurer la sécurité de x milliers/millions/millards de devices différents , tu dois aussi faire les investissements nécessaire pour assurer un contrôle qualité dans un temps raisonnable pour une faille jugée critique. Sinon tu ne vends que du mensonge. Parce que non un embargo long ça n'assure pas la sécurité.

Et j'ajouterai que dans certains cas la correction de failles jugées importantes doit pouvoir primer sur le fait que x milliers de devices pourraient éventuellemnent être briqués si MEGACORPORATIONTARTANPION n'a pas trouvé moyen d'en assurer un contrôle qualité en un temps raisonnable (et à charge du fournisseur d'en assurer la réparation ou le remplacement). C'est un peu comme quand dans des traitements médicamenteux pour soigner des maladies potentiellement mortelles. Tu sais qu'il va y avoir des effets secondaires indésirables mais la finalité de la guérison du plus grand mal prime sur le bon fonctionnement, momentané ou pas, de certains organes. Un ordinateur/smartphone, ça se sauvegarde et peut se remplacer, on le fait tout le temps quand ils tombent en panne où qu'on les casse. Un vol d'identité c'est potentiellement bien plus emmerdant par exemple.

Ça c'est la théorie.

En pratique on se rend compte que certaines applis continuent à fonctionner en background pour recevoir des notifs push, de la geoloc, etc, et parfois après x semaines d'utilisation certaines applis finissent par bugger (dernier exemple en date chez moi il y'a quelques mois l'application gallery de mon smartphone qui ne voulait plus jouer les vidéos) ou que le téléphone perd en réactivité genre t'es sur l'appli x, tu reçois un appel mais manque de bol t'as beau appuyer sur le bouton de décrochage ça ne réagit pas avant x secondes. Dans mon cas je fais un reset du smartphone une fois de temps en temps si j'ai un comportement bizarre.

Forcément quand on a le modèle le plus haut de gamme avec beaucoup de mémoire c'est très très rare. Quand tu utilises un smartphone à 100-150 balles c'est bien plus récurrent.

Donc non android c'est pas un truc magique qui t'isole de tout memory leak ou bug.

Je ne vois pas bien le rapport tu parles de deux choses qui n'ont rien à voir entre elles.

La question c'est plutôt qui utilise encore du disque mécanique ?

Dans le cas du ssd, tu t'en fous royalement et le mettre au début permet de facilement le trouver au cas où tu serais dans un invite grub et que tu chercherais la partition boot. Dans le cas de la virtualisation t'as meilleur temps de le mettre au début au cas où tu souhaiterais étendre ta partition (bien que souvent c'est plus simple de rajouter un disque virtuel).

Du coup même avec GPT, des firmwares récent et intelligent sans limitation débile je ne vois pas d'intérêt à le mettre à la fin.

Ben dans le cas ici-présent un chercheur est tombé sur un bout de code qui lui a mis la puce à l'oreille (alors qu'en fait il ne cherchait pas une faille). Ce qui me semble plutôt positif du côté du logiciel libre.

Après ça donne aussi libre accès à toute espèce de margoulin d'aller chercher les failles dans une optique plus hostile mais bon ça peut aussi être fait par reverse engineering de code proprio.

Je n'ai pas dis dévoiler immédiatement. J'ai dis pas la peine d'attendre 4 mois, on écris des patchs en moins de temps que cela.

T'es pas obligé de tout faire planter. Tu peux aussi informer tes utilisateurs et les inciter à désactiver le wifi en attendant.

Après chacun est responsable de faire le choix entre "envoyer du traffic à peine aussi sécurisé que si ça passait en clair" via le wifi ou se passer du wifi dans l'intervalle de la sortie du patch officiel.

Et entre laisser des millions de devices vulnérables dans la nature où avoir un pourcentage négligeable de dommages collatéraux comem des dysfonctionnements dans la nature je sais ce qui me semble le plus responsable, même si ce n'est pas ce qui est le plus joli en terme d'image de marque pour l'utilisateur non informé.