Le pinnage c'est très bien, ça permet de repérer assez rapidement quand quelque chose de louche se passe sur le réseau, mais c'est dommage de limiter ça à HTTP; il y a une proposition "concurrente" sous la forme de TACK, qui cette fois fournit la possibilité de pinner mais directement au niveau TLS, du coup:
TACK est dispo pour toutes les applications, pas seulement pour HTTP
Ça garde les couches bien séparées proprement. Chacun chez soi et les sessions seront bien sécurisées
Lorsque le certificat doit être changé légitimement (parce que la clé privée a fuité, par exemple), HPKP empêche tout accès (impossible de lire de potentiels nouveaux en-têtes HTTP puisque la couche TLS est totalement bloquée); TACK se limite à la couche TLS, et est ainsi capable de fournir les nouveaux éléments indiquant "le certificat a changé, update ton pin"
Malheureusement c'est pas tout rose:
TACK est un peu plus radical et propose de se passer complètement de X.509 en signant directement les clés TLS des serveurs. Du coup ça doit être assez indigeste à déployer sur un gros domaine avec des serveurs qui doivent être changés un minimum fréquemment. En fait TACK se veut un système alternatif aux CAs [1]. Techniquement TACK pourrait être utilisé pour pinner les certificats dans la chaîne plutôt que les serveurs eux-même, mais c'est pas
Comme c'est niveau TLS, c'est autrement plus dur à déployer que 3 lignes dans un nginx.conf.
"Malheureusement" au rythme où vont les choses c'est HPKP qui gagnera, et tout ce qui n'est pas HTTP se retrouvera, une fois de plus, relégué au second rang.
[1] Pour digresser un peu, TACK a l'air de vouloir jeter le bébé avec l'eau du bain. Le système actuel d'autorités de certifications est mauvais parce que les acteurs en haut de la chaine sont mauvais, mais le reste de l'infrastructure reste quand même solide; typiquement ici, ça aurait totalement du sens de ne gérer la confiance qu'au niveau du domaine, pas au niveau de chacun des serveurs, et ça c'est déjà fourni par le système de CAs.
Des entreprises privée telle que FaceBook le font déjà. Pourquoi se priverais on de le faire pour la sécurité nationale.
Ça ne surprendra personne ici, mais Facebook a mes données parce que je les lui donne volontairement, c'est écrit dans les TOS; en revanche il est impossible de se désinscrire de l'État (ou alors j'aimerais bien voir ses TOS, tiens)
Or pour trouver l'aiguille dans la meule de foin, il faut bien vérifier toute la meule. Ce qui reviendrais a mettre sous la surveillance automatisée d'ordinateur tout internaute français.
Alors ça c'est bien le truc que j'ai toujours pas compris. On nous parle de surveillance ciblée sur des individus louches, mais cette surveillance est anonyme pour éviter des débordements … Du coup ça veut dire que c'est pas ciblé ? Une sorte de précision chirurgicale à dommages collatéraux ?
En outre, tout utilisateur de l’œuvre a l'obligation d’indiquer le nom de l’auteur
Vu que ça vient du ministère de la Culture, je pense qu'on peut considérer ça comme une source plutôt sûre, mais en même temps techniquement c'est pas écrit …
Mea culpa, je ne savais pas qu'il y avait obligation de citer l'auteur (je pensais qu'il y avait juste interdiction de fourvoyer sur la paternité, genre "c'est moi qui ai fait ca" ou "on ne sait pas qui a fait ça"), par contre la CC0 reste (si je ne m'abuse) applicable en France justement parce qu'elle contient la clause suivante:
Dans la mesure du possible et sans enfreindre la loi en vigueur
avec l'alternative:
Licence Publique Supplétive. Au cas où une partie quelconque de la Renonciation serait jugée juridiquement nulle ou sans effet pour quelque raison que ce soit en vertu de la loi en vigueur, la Renonciation devra être préservée dans la mesure maximum permise
Autrement dit CC0 n'est pas "domaine public", c'est "le plus possible vers domaine public, dans les limites de la loi du coin".
Non, justement, CC0 c'est la CC qui a 0 clauses (d'où son nom si je ne me trompe pas), donc pas de SA, pas de NC, et pas de BY. Ça veut dire du coup qu'il n'est pas obligatoire pour le ré-utilisateur de citer la source, même si ça reste un geste appréciable.
TextSecure n'est pas qu'un logiciel (libre), c'est aussi un moyen de mettre le chiffrement des communications a la portée de tous. La crainte principale avec F-Droid est que les utilisateurs téléchargent un logiciel potentiellement cassé (pas parce que F-Droid injecte volontairement des bugs, mais parce que la version sur F-Droid est ancienne), qui ne peut pas être mis a jour rapidement (puisqu'il est géré par un tiers), qui ne peut pas remonter les problèmes, mais qui a toujours le même nom; il y a donc de fortes chances que les utilisateurs de F-Droid considèrent TextSecure comme tout cassé (voire pire: qu'ils ne sachent pas que leurs messages peuvent accidentellement être lus par un tiers parce que le chiffrement de leur version est troué) alors qu'ils n'ont même pas la bonne version. En gros il n'y a pas que le logiciel en jeu, il y a aussi l'image d'Open Whisper Systems en jeu derrière.
Note d'ailleurs que moxie n'interdit pas, il est juste fortement contre. Et si quelqu'un veut vraiment installer TextSecure sans passer par les services Google, il peut compiler et installer sur sa machine.
Mes excuses, je pensais que tu te servais de S3 ou de GCS comme d'un bête espace de stockage brut, et que la logique sur les données pouvait se faire côté client ou côté proxy. Dans ce cas-là, camlistore aurait pu t'être utile: en implémentant un blobserver.Storage, tu peux décider où sont lus et où sont écrits les bouts de données, ce qui te permettrait de lire depuis "bucket1" et d'écrire dans "bucket1-test". Note que par défaut Camlistore déduplique déjà automatiquement les données (ce qui fait que les blobs stockés dans S3/GCS n'auraient aucun sens en tant que tel), et que tu peux rajouter par dessus la compression, le chiffrement, le cache…
Ça aurait été, à mon avis, beaucoup plus simple que de faire un proxy HTTP de 0.
Effectivement si la hiérarchie de l'organisation dans S3/GCS compte, camlistore ne peut pas t'aider. Mais je continue de penser qu'il est mauvais de faire trop confiance à un fournisseur de stockage dans les nuages, et qu'il vaudrait mieux les considérer comme un fournisseur de stockage brut.
si c'est juste pour dire qu'il n'y a pas d'autre limite que celle que du client, et si dans le cas du débit des limites sont mentionnées que trouve tu à redire?
Je suis pas Renault mais je suis d'accord avec lui: dire "illimité, puis on verra en tant voulu" c'est mettre des règles a la tête du client. Une limite dite explicitement, même absurde, est plus honnête qu'une limite qui n'est pas dite.
rsync.net propose un accès FTP et SFTP, en plus de quelques commandes bien pratiques pour le transfert et le backup. Par contre on est clairement dans une autre gamme de prix, et a mon avis dans une utilisation plus proche de ce qui t’intéresse, a savoir un bête accès distant que tu utilises avec tes propres outils, contrairement a hubiC qui est clairement oriente alternative a dropbox, avec son logiciel dédié et son interface web.
L'offre de Crashplan est plutôt orientée entreprise
Faux, il y a toujours eu une offre particuliers, avec d'ailleurs un segment "Famille" qui te permettait de sauvegarder plusieurs ordinateurs dans le nuage (l'offre payante de base ne permet d'en sauvegarder qu'un seul) et un côté "Amis" qui te permettait de faire des sauvegardes sur un autre ordinateur (que ce soit ton NAS ou la machine de quelqu'un d'autre à travers internet).
TextSecure avait été supprimé à cause d'un conflit avec le développeur
La phrase parait anodine, mais je pense qu'il est important de préciser: Moxie (le développeur principalement connu derrière TextSecure) veut ces critères pour mettre son application sur un store alternatif:
Un moyen de mettre à jour automatiquement l'application. On peut comprendre le besoin dans la mesure où les failles cryptographiques sont extrêmement importantes à corriger
Une signature de l'APK faite par l'équipe principale. Ça nécessite des builds reproduisibles, ce qui n'existait pas jusqu'à récemment
Un système de crash reporting performant. C'est pas tout de distribuer l'application, si elle crashe il faut que le projet soit au courant pour pouvoir régler le problème rapidement
Des statistiques d'utilisation sur la machine utilisée
F-Droid ne fournit (fournissait?) pas ça, donc les développeurs n'ont pas voulu supporter une nouvelle version qui leur apporterait plus de problèmes qu'autre chose. Son argumentaire, c'est qu'un store alternatif c'est un peu comme un download.com, il y a bien des trucs dessus avec le nom que tu cherches mais t'es pas sûr de savoir sur quoi tu tombes. Au moins avec Google Play il y a un lien beaucoup plus fort entre l'application et le développeur, qui permet d'obtenir plus d'informations plus précises pour améliorer le produit.
C'est là qu'ils sont arrivés à la conclusion que tout ce qui existe sur le marché est médiocre (là faut en avoir une bonne paire tout de même, hein, c'est pas comme si Apple et Google avait pondu un truc vite fait pour le principe).
Tu as l'air d'en savoir plus que moi sur le sujet, mais dans la mesure où il voulaient utiliser un assistant sur leurs machines pour pouvoir les pousser au maximum, peut-être qu'ils n'ont cherché que parmi les assistants self-hosted (voire même libres, pour avoir plus de précisions sur les mesures), ce qui exclue de fait Apple, Google et Microsoft (qui ont aussi leur Kinect) ?
À mon avis c'est quelqu'un qui sait très bien ce qu'il veut mais aussi ce qu'il souhaite sans vouloir l'imposer; le problème c'est que les souhaits sont fondamentalement pas compatibles avec une licence.
Il s'est juste trompé de média, il aurait dû écrire le Don't be a Jerk Manifesto au lieu de la Don't be a Jerk Licence.
Finalement, au vu de l'actualité récente de la marque, quoi de plus normal que cette non-surprise ?
Effectivement c'est une non-surprise, réglé comme une horloge qui fait Tic-tac te voilà déversant ton fiel sur Apple.
Les "fanboysdétesteurs" qui s'attendent à des "révolutionspets dans l'eau" à chaque annonce de leur marque fétiche sont bien à plaindre en ce moment : ne soyez donc pas trop cyniques avec eux, d'autant qu'il en traîne quelques-uns sur linuxfr ;-)
Allez, moi aussi je joue à Madame Irma: contrairement à ce que tu racontes, ça va faire un méga carton, ça va comme d'habitude ficher un bon coup de pied au derrière des autres constructeurs pour changer un peu l'offre au-delà d'un changement de chassis et de couleur, ça va lancer un nouveau marché mobile encore différent et encore plus spécialisé (non, en fait ça a déjà lancé ce marché), et ils vont s'en mettre plein les fouilles.
Peut-être que dans certains cas, le temps de restauration d'une image est inférieur au temps de réinstallation d'une machine via une recette.
Dans ce cas-là, dès que tu mets à jour la recette tu prépares une image que tu peux déployer directement et que tu gardes bien au chaud à côté des recettes. De toute façon si ta procédure de backup est bien faite, tu devras préparer cette image pour la tester; autant la garder après la phase de test (mais, contrairement aux recettes, tu peux te permettre de ne garder que la dernière version).
Je ferais même un autre parallèle avec le logiciel qu'on versionne: vaut-il mieux sauvegarder la recette ou le produit fini ? Ça fait un bail qu'on a la réponse à cette question, et on commence doucement à porter ça vers le monde de l'administration système avec les Ansible/Puppet/Chef d'aujourd'hui et les Nix/Guix/MirageOS de demain.
La distribution de clé est le point noir qui empêche gpg de se déployer. Google et Yahoo ont annoncé il y a un moment vouloir mettre du PGP dans le webmail, et passer par leur propre solution pour cette distribution. C'est un mécanisme assez touffu, j'ai pas tout compris, mais si ça te chante le wiki est ici. Il y a une analyse assez approfondie du problème.
Je vois pas trop l’intérêt de décentraliser une chat room, mais supposons ! Le MUC ne fonctionne pas de cette manière, mais rien empêche de créer une nouvelle extension à XMPP.
L’intérêt majeur c'est de distribuer la charge et réduire le downtime quand un des serveurs tombe en panne. En fait il y a déjà des propositions de salon de discussion plus ou moins décentralisés, notamment FMUC, qui n'a pas bouge depuis un bail.
Et en fait c'est a peu près la même chose pour tout ce qui est XMPP: il y a un gros effort de fait pour standardiser les pratiques, mais ça prend du temps et on en arrive a avoir besoin une bonne dizaine de XEPs pour des besoins "standards":
messagerie instantanée
dans un salon de discussion
avec plusieurs clients
et un historique synchronisé
avec la voix et la video
sur mobile
ou web
Au final ce qui est largement déployé c'est les bouts faciles (messagerie, MUC, web), c'est a dire en fait IRC, fonctionnellement parlant. Des qu'on sort de ces cas d'utilisations (plusieurs clients qui doivent avoir leur historique synchronise, le mobile fiable, la VoIP…) ça a encore du mal a prendre parce que tout le monde doit se farcir l'ensemble des XEPs. Et a ma connaissance, il n'y a pas de liste de XEPs minimum a implémenter pour avoir un client correct.
très dommage de devoir encore créer un nouveau compte sur une nouvelle plate-forme pour répondre à un nouveau besoin
Ben justement, non. Tu peux te créer ton compte sur ton nœud, ou utiliser un identifiant externe qui sera traduit en identifiant utilisable dans matrix, comme ton addresse email actuelle par exemple.
HTTP […] JSON […] base de donnée distribuée et "eventually consistent"
Je dois avouer que quand j'ai lu ça, je me suis mis à imaginer un système où chaque admin hébergerait un CouchDB, dans lequel les clients pousseraient leurs messages, et les différentes instances à travers le monde se synchroniseraient les unes aux autres; toute l'infrastructure étant déjà faite, il "suffirait" de rajouter les bouts d'authentification pour en faire un système de messagerie fonctionnelle…
… Et puis j'ai lu la spec, et je me suis dit que ça ne devait pas être aussi simple que ça. En tout cas, la combinaison HTTP+JSON est à mon avis un atout majeur face aux autres protocoles, parce que ça veut dire que des clients pourront plus facilement être écrits pour le navigateur. J'attends de voir ce que tout ça va donner !
Plus sérieusement, c'est pas tant que t'es physiquement impossible de faire quelque chose, c'est que Mozilla (la boîte qui défend un web ouvert) commence à te dire ce qui est bon pour toi ou pas et t'empêche de manger ce qu'ils ne connaissent pas. C'est bien Mozilla qui fait ça (si tu recompiles ou prend une version alternative, ça sera pas Mozilla derrière). C'est Mozilla le problème (du journal), pas Firefox.
Mouais : si j'ai bien suivi, Tor ne manque pas trop de nœuds intermédiaires, mais manque de nœuds de sortie.
Juste pour contrer ce point, ça n'est vrai que pour les services hors TOR; si on ne considère que les services cachés, ce qu'a fait Mozilla renforce le réseau.
Peut-être que Mozilla a dans les cartons de pousser les gens à utiliser les services cachés, par exemple en résolvant lui-même les .onion ?
# TACK
Posté par rakoo (site web personnel) . En réponse au journal Public Key Pinning Extension for HTTP. Évalué à 6.
Le pinnage c'est très bien, ça permet de repérer assez rapidement quand quelque chose de louche se passe sur le réseau, mais c'est dommage de limiter ça à HTTP; il y a une proposition "concurrente" sous la forme de TACK, qui cette fois fournit la possibilité de pinner mais directement au niveau TLS, du coup:
Malheureusement c'est pas tout rose:
nginx.conf."Malheureusement" au rythme où vont les choses c'est HPKP qui gagnera, et tout ce qui n'est pas HTTP se retrouvera, une fois de plus, relégué au second rang.
[1] Pour digresser un peu, TACK a l'air de vouloir jeter le bébé avec l'eau du bain. Le système actuel d'autorités de certifications est mauvais parce que les acteurs en haut de la chaine sont mauvais, mais le reste de l'infrastructure reste quand même solide; typiquement ici, ça aurait totalement du sens de ne gérer la confiance qu'au niveau du domaine, pas au niveau de chacun des serveurs, et ça c'est déjà fourni par le système de CAs.
[^] # Re: Un résumer ?
Posté par rakoo (site web personnel) . En réponse au journal Puis ils sont venus me chercher, et il ne restait personne pour protester. Évalué à 9.
En vrac:
Ça ne surprendra personne ici, mais Facebook a mes données parce que je les lui donne volontairement, c'est écrit dans les TOS; en revanche il est impossible de se désinscrire de l'État (ou alors j'aimerais bien voir ses TOS, tiens)
Une infographie de Gandi qui explique un peu le processus
Alors ça c'est bien le truc que j'ai toujours pas compris. On nous parle de surveillance ciblée sur des individus louches, mais cette surveillance est anonyme pour éviter des débordements … Du coup ça veut dire que c'est pas ciblé ? Une sorte de précision chirurgicale à dommages collatéraux ?
[^] # Re: La suite pour nous utilisateurs ?
Posté par rakoo (site web personnel) . En réponse au journal La vie privé connectée disparait de France. Évalué à 3.
Fais ta part du boulot, camarade !
[^] # Re: Quoi d'autre ?
Posté par rakoo (site web personnel) . En réponse au journal Le Dessous des cartes + Creative Commons = ♥. Évalué à 2.
Justement, je ne serais pas aussi catégorique:
Vu que ça vient du ministère de la Culture, je pense qu'on peut considérer ça comme une source plutôt sûre, mais en même temps techniquement c'est pas écrit …
[^] # Re: Quoi d'autre ?
Posté par rakoo (site web personnel) . En réponse au journal Le Dessous des cartes + Creative Commons = ♥. Évalué à 4.
Mea culpa, je ne savais pas qu'il y avait obligation de citer l'auteur (je pensais qu'il y avait juste interdiction de fourvoyer sur la paternité, genre "c'est moi qui ai fait ca" ou "on ne sait pas qui a fait ça"), par contre la CC0 reste (si je ne m'abuse) applicable en France justement parce qu'elle contient la clause suivante:
avec l'alternative:
Autrement dit CC0 n'est pas "domaine public", c'est "le plus possible vers domaine public, dans les limites de la loi du coin".
[^] # Re: Quoi d'autre ?
Posté par rakoo (site web personnel) . En réponse au journal Le Dessous des cartes + Creative Commons = ♥. Évalué à -2.
Non, justement, CC0 c'est la CC qui a 0 clauses (d'où son nom si je ne me trompe pas), donc pas de SA, pas de NC, et pas de BY. Ça veut dire du coup qu'il n'est pas obligatoire pour le ré-utilisateur de citer la source, même si ça reste un geste appréciable.
[^] # Re: Précision
Posté par rakoo (site web personnel) . En réponse à la dépêche SMSSecure : les SMS et MMS chiffrés sur Android, ce n'est pas fini !. Évalué à 2.
TextSecure n'est pas qu'un logiciel (libre), c'est aussi un moyen de mettre le chiffrement des communications a la portée de tous. La crainte principale avec F-Droid est que les utilisateurs téléchargent un logiciel potentiellement cassé (pas parce que F-Droid injecte volontairement des bugs, mais parce que la version sur F-Droid est ancienne), qui ne peut pas être mis a jour rapidement (puisqu'il est géré par un tiers), qui ne peut pas remonter les problèmes, mais qui a toujours le même nom; il y a donc de fortes chances que les utilisateurs de F-Droid considèrent TextSecure comme tout cassé (voire pire: qu'ils ne sachent pas que leurs messages peuvent accidentellement être lus par un tiers parce que le chiffrement de leur version est troué) alors qu'ils n'ont même pas la bonne version. En gros il n'y a pas que le logiciel en jeu, il y a aussi l'image d'Open Whisper Systems en jeu derrière.
Note d'ailleurs que moxie n'interdit pas, il est juste fortement contre. Et si quelqu'un veut vraiment installer TextSecure sans passer par les services Google, il peut compiler et installer sur sa machine.
[^] # Re: Déduplication
Posté par rakoo (site web personnel) . En réponse au journal On vient de passer un seuil économique pour la sauvegarde en ligne !. Évalué à 2.
Mes excuses, je pensais que tu te servais de S3 ou de GCS comme d'un bête espace de stockage brut, et que la logique sur les données pouvait se faire côté client ou côté proxy. Dans ce cas-là, camlistore aurait pu t'être utile: en implémentant un blobserver.Storage, tu peux décider où sont lus et où sont écrits les bouts de données, ce qui te permettrait de lire depuis "bucket1" et d'écrire dans "bucket1-test". Note que par défaut Camlistore déduplique déjà automatiquement les données (ce qui fait que les blobs stockés dans S3/GCS n'auraient aucun sens en tant que tel), et que tu peux rajouter par dessus la compression, le chiffrement, le cache…
Ça aurait été, à mon avis, beaucoup plus simple que de faire un proxy HTTP de 0.
Effectivement si la hiérarchie de l'organisation dans S3/GCS compte, camlistore ne peut pas t'aider. Mais je continue de penser qu'il est mauvais de faire trop confiance à un fournisseur de stockage dans les nuages, et qu'il vaudrait mieux les considérer comme un fournisseur de stockage brut.
[^] # Re: double usage
Posté par rakoo (site web personnel) . En réponse au journal Le chiffrement en France. Évalué à 2.
D'accord, mais dans ce cas la je prends quelle colonne dans les tableaux qu'ils donnent ?
[^] # Re: externalisation <=> compétences
Posté par rakoo (site web personnel) . En réponse au journal On vient de passer un seuil économique pour la sauvegarde en ligne !. Évalué à 5.
Je suis pas Renault mais je suis d'accord avec lui: dire "illimité, puis on verra en tant voulu" c'est mettre des règles a la tête du client. Une limite dite explicitement, même absurde, est plus honnête qu'une limite qui n'est pas dite.
[^] # Re: Accès via FTP / SFTP ?
Posté par rakoo (site web personnel) . En réponse au journal On vient de passer un seuil économique pour la sauvegarde en ligne !. Évalué à 2.
rsync.net propose un accès FTP et SFTP, en plus de quelques commandes bien pratiques pour le transfert et le backup. Par contre on est clairement dans une autre gamme de prix, et a mon avis dans une utilisation plus proche de ce qui t’intéresse, a savoir un bête accès distant que tu utilises avec tes propres outils, contrairement a hubiC qui est clairement oriente alternative a dropbox, avec son logiciel dédié et son interface web.
[^] # Re: Déduplication
Posté par rakoo (site web personnel) . En réponse au journal On vient de passer un seuil économique pour la sauvegarde en ligne !. Évalué à 2.
Tu n'as pas assez cherché, alors :)
[^] # Re: Crashplan
Posté par rakoo (site web personnel) . En réponse au journal On vient de passer un seuil économique pour la sauvegarde en ligne !. Évalué à 3.
Faux, il y a toujours eu une offre particuliers, avec d'ailleurs un segment "Famille" qui te permettait de sauvegarder plusieurs ordinateurs dans le nuage (l'offre payante de base ne permet d'en sauvegarder qu'un seul) et un côté "Amis" qui te permettait de faire des sauvegardes sur un autre ordinateur (que ce soit ton NAS ou la machine de quelqu'un d'autre à travers internet).
# Précision
Posté par rakoo (site web personnel) . En réponse à la dépêche SMSSecure : les SMS et MMS chiffrés sur Android, ce n'est pas fini !. Évalué à 5.
La phrase parait anodine, mais je pense qu'il est important de préciser: Moxie (le développeur principalement connu derrière TextSecure) veut ces critères pour mettre son application sur un store alternatif:
F-Droid ne fournit (fournissait?) pas ça, donc les développeurs n'ont pas voulu supporter une nouvelle version qui leur apporterait plus de problèmes qu'autre chose. Son argumentaire, c'est qu'un store alternatif c'est un peu comme un download.com, il y a bien des trucs dessus avec le nom que tu cherches mais t'es pas sûr de savoir sur quoi tu tombes. Au moins avec Google Play il y a un lien beaucoup plus fort entre l'application et le développeur, qui permet d'obtenir plus d'informations plus précises pour améliorer le produit.
(Cf la discussion sur le sujet)
[^] # Re: Petit détail qui a son importance?
Posté par rakoo (site web personnel) . En réponse au journal This project is Sirius. Évalué à 4.
Tu as l'air d'en savoir plus que moi sur le sujet, mais dans la mesure où il voulaient utiliser un assistant sur leurs machines pour pouvoir les pousser au maximum, peut-être qu'ils n'ont cherché que parmi les assistants self-hosted (voire même libres, pour avoir plus de précisions sur les mesures), ce qui exclue de fait Apple, Google et Microsoft (qui ont aussi leur Kinect) ?
[^] # Re: Pas cohérant
Posté par rakoo (site web personnel) . En réponse au journal Licence open source "Don't Be a Jerk". Évalué à 5.
À mon avis c'est quelqu'un qui sait très bien ce qu'il veut mais aussi ce qu'il souhaite sans vouloir l'imposer; le problème c'est que les souhaits sont fondamentalement pas compatibles avec une licence.
Il s'est juste trompé de média, il aurait dû écrire le Don't be a Jerk Manifesto au lieu de la Don't be a Jerk Licence.
# Raaah
Posté par rakoo (site web personnel) . En réponse à la dépêche Meilleures contributions LinuxFr.org : les primées de février 2015. Évalué à 2.
Je savais que j'aurais pas du laisser trainer ce mail. Tant pis, faudra que je retente ma chance !
# Tiens, ça marche dans l'autre sens aussi
Posté par rakoo (site web personnel) . En réponse au journal Tic-tac, tic-tac, tic-tac... plouf.. Évalué à 2.
Effectivement c'est une non-surprise, réglé comme une horloge qui fait Tic-tac te voilà déversant ton fiel sur Apple.
Allez, moi aussi je joue à Madame Irma: contrairement à ce que tu racontes, ça va faire un méga carton, ça va comme d'habitude ficher un bon coup de pied au derrière des autres constructeurs pour changer un peu l'offre au-delà d'un changement de chassis et de couleur, ça va lancer un nouveau marché mobile encore différent et encore plus spécialisé (non, en fait ça a déjà lancé ce marché), et ils vont s'en mettre plein les fouilles.
[^] # Re: Images vs Recettes
Posté par rakoo (site web personnel) . En réponse au journal Les sauvegardes, et les logiciels de sauvegarde. Évalué à 6.
Dans ce cas-là, dès que tu mets à jour la recette tu prépares une image que tu peux déployer directement et que tu gardes bien au chaud à côté des recettes. De toute façon si ta procédure de backup est bien faite, tu devras préparer cette image pour la tester; autant la garder après la phase de test (mais, contrairement aux recettes, tu peux te permettre de ne garder que la dernière version).
Je ferais même un autre parallèle avec le logiciel qu'on versionne: vaut-il mieux sauvegarder la recette ou le produit fini ? Ça fait un bail qu'on a la réponse à cette question, et on commence doucement à porter ça vers le monde de l'administration système avec les Ansible/Puppet/Chef d'aujourd'hui et les Nix/Guix/MirageOS de demain.
[^] # Re: Annuaire clés publiques
Posté par rakoo (site web personnel) . En réponse au journal Try To Listen Me, nouveau site Open Source de communication chiffrée. Évalué à 3.
La distribution de clé est le point noir qui empêche gpg de se déployer. Google et Yahoo ont annoncé il y a un moment vouloir mettre du PGP dans le webmail, et passer par leur propre solution pour cette distribution. C'est un mécanisme assez touffu, j'ai pas tout compris, mais si ça te chante le wiki est ici. Il y a une analyse assez approfondie du problème.
[^] # Re: Nouveaux boutons de souris
Posté par rakoo (site web personnel) . En réponse au journal Superfish ou: j'ai rien compris au logiciel propriétaire. Évalué à 7.
Et bah tu vas être content d'apprendre qu'ils ont écouté et ont remis les boutons dans la dernière version (ie gamme 2015).
[^] # Re: Cette roue roule vachement plus vite !
Posté par rakoo (site web personnel) . En réponse au journal Pas seul dans la matrice. Évalué à 6.
L’intérêt majeur c'est de distribuer la charge et réduire le downtime quand un des serveurs tombe en panne. En fait il y a déjà des propositions de salon de discussion plus ou moins décentralisés, notamment FMUC, qui n'a pas bouge depuis un bail.
Et en fait c'est a peu près la même chose pour tout ce qui est XMPP: il y a un gros effort de fait pour standardiser les pratiques, mais ça prend du temps et on en arrive a avoir besoin une bonne dizaine de XEPs pour des besoins "standards":
Au final ce qui est largement déployé c'est les bouts faciles (messagerie, MUC, web), c'est a dire en fait IRC, fonctionnellement parlant. Des qu'on sort de ces cas d'utilisations (plusieurs clients qui doivent avoir leur historique synchronise, le mobile fiable, la VoIP…) ça a encore du mal a prendre parce que tout le monde doit se farcir l'ensemble des XEPs. Et a ma connaissance, il n'y a pas de liste de XEPs minimum a implémenter pour avoir un client correct.
Ben justement, non. Tu peux te créer ton compte sur ton nœud, ou utiliser un identifiant externe qui sera traduit en identifiant utilisable dans matrix, comme ton addresse email actuelle par exemple.
[^] # Re: Un peu plus sur la matrice...
Posté par rakoo (site web personnel) . En réponse au journal Pas seul dans la matrice. Évalué à 4.
Je dois avouer que quand j'ai lu ça, je me suis mis à imaginer un système où chaque admin hébergerait un CouchDB, dans lequel les clients pousseraient leurs messages, et les différentes instances à travers le monde se synchroniseraient les unes aux autres; toute l'infrastructure étant déjà faite, il "suffirait" de rajouter les bouts d'authentification pour en faire un système de messagerie fonctionnelle…
… Et puis j'ai lu la spec, et je me suis dit que ça ne devait pas être aussi simple que ça. En tout cas, la combinaison HTTP+JSON est à mon avis un atout majeur face aux autres protocoles, parce que ça veut dire que des clients pourront plus facilement être écrits pour le navigateur. J'attends de voir ce que tout ça va donner !
[^] # Re: Pareil
Posté par rakoo (site web personnel) . En réponse au journal Mozilla est-il en train de devenir un Google junior?. Évalué à 10.
Zenitram se faisant Zenitramer, c'est beau.
Plus sérieusement, c'est pas tant que t'es physiquement impossible de faire quelque chose, c'est que Mozilla (la boîte qui défend un web ouvert) commence à te dire ce qui est bon pour toi ou pas et t'empêche de manger ce qu'ils ne connaissent pas. C'est bien Mozilla qui fait ça (si tu recompiles ou prend une version alternative, ça sera pas Mozilla derrière). C'est Mozilla le problème (du journal), pas Firefox.
[^] # Re: Mouais
Posté par rakoo (site web personnel) . En réponse au journal Mozilla fait tourner des nœuds Tor. Évalué à 4.
Juste pour contrer ce point, ça n'est vrai que pour les services hors TOR; si on ne considère que les services cachés, ce qu'a fait Mozilla renforce le réseau.
Peut-être que Mozilla a dans les cartons de pousser les gens à utiliser les services cachés, par exemple en résolvant lui-même les
.onion?