raphj a écrit 1789 commentaires

j'aurai bien aimé faire du copyleft "correct" (je pense notamment à la MPL) mais les pro-GPL m'ont poussé dans les bras du permissif à force de faire la pub sur du copyleft "fort"

Pourquoi ne pas avoir adopté la MPL ?

Après, sur les libertés, il faut bien séparer liberté des utilisateurs et liberté des développeurs. C'est la première qui m'intéresse en premier. Les licences non-copyleft donnent plus de liberté aux développeurs, mais ce n'est pas ça que je recherche perso.

je pense que les gens adeptes du copyleft et de la GPL ont surtout peur que leur code leur échappe.

Non, pour moi il s'agit surtout de faire mon maximum pour que le travail que je produis finit dans des logiciels dont les utilisateurs bénéficient des droits qui définissent le logiciel libre et qu'ils puissent en conséquence avoir le contrôle sur leur informatique.

Avec comme hypothèse de base que le logiciel propriétaire ne leur permet pas ce contrôle et que ce contrôle est souhaitable (même s'ils ne l'utilisent pas à chaque fois, mais c'est vrai pour tous les droits).

Faire du permissif c'est pour moi prendre le risque que mon code finisse dans un logiciel dont les utilisateurs ne peuvent pas avoir le contrôle.

À noter que je vois le libre comme une condition nécessaire à ce contrôle, mais pas suffisante.

Pour moi c'est acceptable qu'une boite se serve de mon code en interne et qu'elle ne redistribue pas ses modifs pourvu que les clients de cette boite ou n'importe qui d'extérieur à la boite n'y soit pas exposé (c'est ce qu'essaie de faire la AGPL pour les outils qui tournent sur un serveur). Parce qu'ici, l'utilisateur c'est la boite. Bien sûr, ce serait gentil et cool que les modifs soient redistribuées mais je ne voudrais pas l'imposer.

La viralité rassure, car du coup, on se dit que si quelqu’un fork, on pourra toujours récupérer les modifications si ça nous intéresse. Mais est-ce vraiment le cas ?

Non. Il peut exister des forks privés.

Cela me chagrine d'autant plus que ces décisions coïncident avec l'arrivée en mainteneur de Tantacrul, déjà responsable sur Musescore, et dont j'apprécie assez les vidéos

Je ressens exactement la même chose et recommande les mêmes vidéos.

la GPL interdit d'interdire de tuer

c'est plutôt qu'elle n'interdit aucun usage.

Je ne pense pas que l'intention de la personne à laquelle tu réponds était mauvaise, parler de FUD me parait un peu sévère. Après, effectivement sur le fond, c'est ça. La loi pose un cadre que la licence ne peut pas dépasser.

Sinon oui, je ne comprends pas bien la direction que prend Audacity. Musescore, qui appartient à la même boite, n'a pas l'air de subir le même traitement.

ça me va très bien que tu apprennes de mon code libre pour faire ce que tu veux. Je préfèrerais que tu ne fasses pas de code proprio mais je ne voudrais pas te l'interdire. Parce qu'on est au niveau du partage de connaissance.
Par contre, ne produit pas d'oeuvre dérivé de mon travail qui est non libre.

Soit je t'ai mal compris, soit toi moi, soit tu caricatures ma position.

Nos peurs sont finalement avérée avec Copilot mais ça ne change pas grand chose à mon avis.

https://twitter.com/mitsuhiko/status/1410886329924194309

Copilot regurgitating Quake code, including sweary comments

Et en soit, des projets qui ont absorbé ces codes pour divers usages sans l'accord explicite des détenteurs du copyright, ce n'est ni le premier ni le dernier, c'est juste mieux marketé.

Tu as des exemples ? Ça m'intéresse.

Je comprends la présomption d'innocence, mais que faire si la ressemblance est considérée comme une preuve ?

(à vrai dire, je ne sais pas comment ça se passe en pratique, si ça ce trouve je dis totalement de la merde)

Mhm… le Paradoxe du singe savant vient du fait que la séquence générée est vraiment aléatoire. Sur une infinité de temps on aura « presque sûrement » généré le noyau Linux. Mais si on retire l'aspect strictement aléatoire (l'IA n'est pas vraiment aléatoire), c'est foutu ma pauvre Lucette ! Il n'y a plus de garantie que ça va presque sûrement arriver.

Par contre, une question qui m'est venue pendant l'écriture de mon commentaire, c'est : que faire d'un dev qui produit par hasard fortuitement un code suffisamment proche d'un code existant ?
Pour moi il n'est pas coupable, mais il pourrait être condamné s'il n'arrive pas à prouver qu'il n'a jamais vu ce code existant.

Ça doit forcément arriver, en plus, pour des bouts de codes relativement courts…

Normalement, les licences prennent effet sur des bouts de codes non triviaux. Si on « copie » des petits bouts « non significatifs », c'est tout bon, la licence ne s'applique pas.

Où est la limite ? Je ne sais pas. Autant être prudent, du coup.

Pour moi, si cette IA recrache un extrait significatif d'un code (à des renommages / indentations prêt), le développeur risque de produire ce qui pourrait être considéré comme un travail dérivé. Peu importe la techno derrière l'outil. Sauf qu'il ne le sait pas, contrairement à quelqu'un qui copierait directement sans utiliser un outil qui le fait pour lui.

Sinon, si cette IA ne recrache que des extraits non significatifs, c'est ok. Sauf si la somme des extraits sortis par l'IA reconstitue un code existant sur lequel elle s'est appuyée, ou un truc qui y ressemble « suffisamment ». Ou que le développeur fait ressembler l'ensemble à ce code déjà existant. Difficile à savoir aussi.

Après, est-ce très différent d'une personne qui a vu beaucoup de code (propriétaire ou non, GPL ou non) et qui écrit un nouveau code, certainement en s'inspirant de son expérience et de ses lectures passées ? Je ne sais pas non plus.

Dans tous les cas, si l'outil a des chances de recracher un bout de code non significatif existant, c'est juste un outil qui a permis de copier, de manière un peu fancy, sans même s'en rendre compte, et le dev n'a pas trop de manière de prouver qu'il n'a pas intentionnellement copié et qu'il a utilisé ce genre d'outil. C'est certainement lui qui est responsable d'un plagiat « fortuit ».

En tant qu'auteur de logiciels libres, je suis mal à l'aise sur le fait que mon code puisse être utilisé de cette manière pour produire un outil non libre et commercial¹ permettant d'écrire du code non libre. Je voudrais interdire ça. Par contre, je ne peux pas interdire les gens à publier mon code sur GitHub (ce que je ne fais pas moi-même pour le code que je contrôle, et c'est tant mieux), parce que ça demanderait de rendre mon code non libre. Donc je suis niqué, je crois.

J'imagine que les avocats de chez GitHub ont bien bossé sur le sujet mais j'espère quand-même que quelqu'un finira par trouver que ce n'est pas légal de prendre du code pour entrainer une telle IA, sans respecter les licences. Les licences comme la (A)GPL, certes, et c'est ma licence de choix, mais aussi des licences permissives qui requièrent quand-même de mentionner les auteurs.

En tant qu'utilisateur potentiel de l'outil, perso je passe mon tour. Ça me parait trop risqué légalement, et si on sort du cadre légal, je ne suis pas à l'aise avec l'idée vis à vis des auteurs des codes sur lesquels il a été entrainé.

Je trouve l'idée très cool et très intéressante (voire géniale) sur un point de vue scientifique, l'outil concret, un peu moins.

Tout ça est une réaction à chaud, c'est encore trop tôt pour avoir un avis tranché sur tout cas pour le moment.

¹ dans la FAQ du site :

Will there be a paid version?
If the technical preview is successful, our plan is to build a commercial version of GitHub Copilot in the future. We want to use the preview to learn how people use GitHub Copilot and what it takes to operate it at scale.

(et donc si vous l'essayez, vous aidez GitHub à élaborer son outil commercial sans rémunération. On peut voir l'échange comme gagnant-gagnant, ou pas, à chacun de voir)

Perso, je trouverais ça très pratique de voter par correspondance. Mais il y a un problème majeur avec ça : on ne peut pas s'assurer que les gens ne votent pas sous la contrainte de quelqu'un d'autre, et de manière confidentielle. Ça ne concerne pas que le vote électronique : c'est vrai aussi pour le vote par courrier. Pour moi, c'est le premier argument contre le vote par correspondance : il est simple à comprendre et puissant.

Une solution intermédiaire serait de pouvoir voter dans n'importe quelle mairie, mais ça veut dire d'introduire des ordinateurs dans toutes les mairies, avec toutes les galères que ça peut entrainer (problèmes de connexions, bugs, plantages, ralentissements…).

Ensuite, bien sûr qu'il faut que le système de vote soit vérifiable, et donc le code accessible, mais ça c'est loin d'être suffisant parce qu'il faudrait théoriquement pouvoir analyser tout le matériel aussi.

J'étais venu pour suggérer KAlgebra effectivement, et GeoGebra :-) (les deux sont dans les dépôts de beaucoup de distributions)

Oui, on parle d'un problème présent depuis les débuts de Let's Encrypt si j'ai bien compris, donc depuis cinq-six ans, donc quelques heures de plus…

Après, je comprends qu'on demande à une autorité d'être impeccable niveau temps de réponse et réactivité. J'imagine que dans ce milieu, ça la fout mal que dans un rapport d'incident, tu dises « ouais, ben on a été se coucher et on a étudié l'affaire qui impacte nos XXX millions de certificats actuellement valides le lendemain matin tranquilou bilou ».

Et je comprends aussi que dans ce domaine, on a besoin de gens attachés aux règles et aux procédures et à leur application stricte.

Quelqu'un se rend compte que Let's Encrypt propose des certificats dont la durée de validité est de 90 jours, mais qu'en fait, la vraie validité est de 90 jours PLUS une seconde.

L'explication grossière, c'est que les certificats ont des champs notBefore et notAfter définis à la seconde près, et que le champ notAfter est calculé en faisant notBefore + 90 jours. Façon classique de faire, mais là ça ne marche pas parce que l'intervalle ]notBefore, notAfter[ est défini comme étant un intervalle ouvert par la norme, ce qui veut dire que le certificat est valide pour toute la seconde de la date notAfter. Pas de bol, les outils de linting / vérification auto étaient configurés pour vérifier que la duré de validité des certificats ne dépassait pas… deux cent et quelques jours. On est loin des 90 jours attendus.

Et du coup, après des années de fonctionnement comme ça sans que personne ne s'en rende compte, une équipe chez Let's Encrypt travaille en pleine nuit, dans l'urgence, pour rectifier le problème en faisant notAfter := notBefore + (90 jours - 1 seconde) pour les nouveaux certificats produits. Une très longue et verbeuse discussion s'en suit avec l'équipe conformité des autorités de certification de Mozilla sur le rapport d'incident chez eux.

Je comprends que c'est, formellement, un problème de sécurité / conformité à résoudre, mais j'ai du mal à voir les implications réelles, et imaginer des cas où ça peut poser problème en pratique, et par conséquent à comprendre pourquoi on fait travailler une équipe de nuit dans l'urgence pour un tel problème qui parait relativement bénin. D'autant qu'à un moment dans cette très longue discussion, une personne se demande « ah mais au fait vous avez pensé aux secondes intercalaires ? » pour que plus tard personne ne sache vraiment si les implémentations garantissent en pratique une granularité aussi fine que la seconde. En parallèle, on sent que les personnes ayant rédigé le rapport sont passablement agacées par le fait que du coup, elles sont obligées de spécifier des paramètres en secondes et plus en heures ou en jour, et plus tard dans les commentaires des gens se demandent si notAfter ne devrait pas être excluant et donc être renommé en un truc du genre before ou quelque chose comme ça.

J'ai l'impression que pour que l'incident pose réellement un problème de sécurité, il faudrait que un certificat affecté ait été volé, et là les attaquants pouvent exploiter le certificat compromis… 1 seconde de plus, à supposer que les implémentations sont aussi fine que ça ? Ou je suis complètement à côté de la plaque ?

Enfin bon, c'est un off-by-one amusant, et c'est un bon exemple de rapport d'incident auprès de l'équipe de conformité CA chez Mozilla facile à comprendre.

Beaucoup de mots pour un décalage d'une seconde (parce que bien sûr ça révèle des problèmes de procédures / vérifs, du coup), c'est là que finalement tu te rends compte que ton autorité de certification n'est probablement pas trop mal si elle en est à ce niveau de problème.

Dans le doute tu peux toujours essayer avec un profil vierge.

C'est dingue, je n'avais jamais remarqué ce bouton ! Bon, en tout cas j'ai bien un "Copy link" sur Firefox 89 dans ce bouton "…".

En même temps, pour un humain, ça demanderait des contorsions remarquables, de se mettre entre un miroir et la webcam ou de faire la réunion dos à la webcam (ce qui me semble peu commun et peu commode). Peu pratique. Le chat, lui, peut taper son message incompréhensible dans ta messagerie instantanée ET orienter son postérieur vers la caméra sans trop de difficulté…

Très correct. Vu sous cet angle… :-)

La litière du chat remplace avantageusement le collègue qui ne se lave pas, et le chat ne porte pas de chaussette sous ses sandales ni de cravate. Comme toi en télétravail sauf en visio, il ne porte rien.

récemment la barre d'adresse qui grossit. Je m'y suis habitué donc ça ne me perturbe plus, mais je trouve ça toujours autant inutile, et surtout, inutilement différent du reste du monde

En fait je retire ça, Chrome le fait aussi (maintenant ?). Donc c'est la norme.

devoir à nouveau repasser des chemises et prendre une douche tous les jours

Essaie sans ? :-)

Bon ok, je ne parle que des chemises, j'ai laissé la douche dans la citation pour rigoler mais je suggère de continuer à la prendre au moins quand tu as transpiré ou que tu pues des pieds. Sinon, les collègues ne vont pas te remercier.

T-Shirt troués, sandales avec chaussettes, pas de cravatte : au plus proche des client·e·s… tels qu'ils sont dans leur vie familière, sans leurs barrières corporates.

Ah ah. C'est certainement vrai pour beaucoup de gens, mais pas pour moi. Pour Firefox, j'ai globalement aimé toutes les évolutions (en particulier sur les onglets) ; je trouve que l'interface s'est beaucoup affinée, progressivement, au fil du temps. Et donc la nouvelle interface était quasi systématiquement meilleure pour moi que l'ancienne. Sauf :

• la disparition, par défaut, du champ de recherche mais c'était facile à rétablir et je dois avouer que la barre d'adresse est maintenant tellement bonne pour distinguer les recherches des URL que la barre d'adresse ne me sert quasi plus (ce qui n'était pas le cas au moment de ce changement). J'ai laissé les suggestions dans la barre de recherche et pas dans la barre d'adresse (pour la confidentialité), mais les suggestions de Duck Duck Go ne sont pas ouf de toute façon donc rien ne m'invite à continuer à utiliser la barre de recherche.
• les espaces autour de la barre d'adresse qui bouffent de la place utile pour rien (éviter les interface trop denses, bla bla, oui ok. Franchement, la population générale s'en sort très bien avec Chrome qui n'a pas ces espaces). Mais bon, ça s'enlève facilement.
• récemment la barre d'adresse qui grossit. Je m'y suis habitué donc ça ne me perturbe plus, mais je trouve ça toujours autant inutile, et surtout, inutilement différent du reste du monde.
• la sélection de l'adresse entière au clic. Je m'y suis fait et c'est rentré dans mes muscles, mais on ne peut pas dire que j'y gagne en efficacité. C'est mieux pour la plupart des gens cela dit, on est probablement peu à bidouiller les adresses. Je n'aime pas trop ce changement, mais je pense que je suis pour. Je regrette la disparition de la possibilité de le désactiver.
• Ces nouveaux onglets

L'évolution des onglets dans les navigateurs est intéressante à suivre :

• Firefox < 4 avait des onglets "plutôt" carrés, ceux des interfaces de l'époque. Ceux de Windows 95-2000, quoi, avec cette mise en relief qui utilisait cette astuce très intelligente qui jouait avec la couleur bordures.
• Ensuite avec Firefox 4, on a eu des onglets ronds, parce que rond c'est joli (et les gens usaient et abusaient de (-moz-)border-radius à l'époque, et simulaient border-radius à grands coups de soupes de s avec des arrières-plan de png transparents quand ce n'était pas possible d'utiliser border-radius). Et j'ai plutôt apprécié ce changement, je trouvais le nouveau look rafraîchissant.
• Chrome est arrivé avec ses onglets trapézoïdales que j'ai trouvé super élégants.
• Ensuite retour des onglets carrés dans Firefox. Au final, avec le flat design surtout présent dans Windows et les produits microsoft, tout était à nouveau carré et Firefox a suivi. Perso, pas fan du Flat Design mais j'ai beaucoup aimé ce changement. C'était une espèce de retour en arrière, mais entre temps, l'apparence de Firefox s'était beaucoup affinée et ça faisait toute la différence.
• Et là, v'là-t-y pas qu'en septembre 2018 Chrome abandonne ses onglets pour des onglets arrondis, le faisant ressembler à une vieille version de Firefox avec ses onglets encore arrondis. Je trouvais les onglets trapézoïdales bien plus fins en apparence, mais bon je n'utilise pas Chrome donc je m'en fiche un peu, et c'est surtout une question de goût, je n'ai pas d'argument raisonnable contre ce changement. J'ai un petit argument pour : ces onglets trapézoïdales, c'était une particularité qu'on ne retrouvait nul part ailleurs. En fait ils sont quand même très bien ces nouveaux onglets, et ils gardent une courbe très élégante avec un arrondi en bas qui leur donne un aspect quand même bien travaillés et raffinés.
• Et là avec Firefox 89, on a ces onglets complètement séparés de la barre d'outils, dont je n'arrive pas à me faire l'avocat du diable.

Bref, l'onglet, un élément central du navigateur qui inspire les designers et qui subit des changements plus ou moins gratuits, plus ou moins constamment. Alors peut-être que c'est pour rester dans l'ère du temps, dans un monde où les interfaces suivent des modes plus ou moins cycliques, et je veux bien croire que l'ajout puis la suppression d'arrondis dans les onglets de Firefox ainsi que le remplacement des onglets trapézoïdales dans Chrome s'inscrivent dans ces modes (je ne dis pas ça de façon péjorative, il y a des changements que j'ai aimés… dans les deux sens !!). Par contre, pour les nouveaux onglets de Firefox, je ne vois pas. Je ne trouve pas à quoi ça peut ressembler à part des boutons, et c'en n'est pas.

Les interfaces graphiques, ça parle un langage commun. Un bouton ça ressemble toujours plus ou moins à la même chose, un menu hamburger, un champ de texte, le bouton "fermer la fenêtre" et les onglets aussi. Ils ont un look similaire partout et c'est pour ça qu'on sait les utiliser et les reconnaître dans une nouvelle interface.

Si tu décides que dans ton logiciel, tel élément va avoir un look distinctif, tu prends le risque de ne pas être bien compris, ou de surprendre, ou de déclencher toutes les réactions autour de la résistance au changement, ou de produire les ressentis divers et variés que tu peux ressentir quand on est perdu, ou qu'on nous parle une langue qu'on comprend bien mais avec un accent ou un argot difficile à comprendre, voire une langue qu'on a déjà du mal à bien comprendre et en plus qui change pour les moins à l'aise en informatique d'entre nous.

Faire ça, ça peut permettre d'introduire du nouveau vocabulaire dans cette langue, mais franchement, tu as intérêt d'avoir de bonnes raisons de le faire (il faut que ça vaille le coup, puisque ça a un coût non négligeable), surtout quand ton public est aussi large que celui de Firefox, et il ne me semble pas que Firefox soit dans une position de faire des révolutions dans le domaine.

Heureusement, la plupart des gens habitués aux navigateurs vont reconnaître ces onglets parce qu'il n'y a pas de changement de paradigme (ça fonctionne pareil qu'avant), les onglets se comportent pareil et sont à la même place qu'avant. Il y a plein de gens qui aiment ce changement (on en trouve pas mal en lisant les commentaires des articles sur le web), mais j'ai peur que des gens quittent Firefox ou ne l'adopte à cause de ces onglets bizarres (simplement parce qu'ils ne se sentent pas chez eux, puisqu'on leur parle une langue étrangère) et je crois que c'est ce qui me gène le plus, avec cette perte objective de place pour le contenu, or, la tâche principale d'un navigateur, c'est d'afficher ce contenu avant tout (et s'effacer derrière).

Ce changement présente à mon avis tous ces inconvénients sans avantage clair, quoi que peut en dire la vidéo creuse qui le présente.

Ce lien semble prendre le meilleur des deux mondes entre l'ancienne interface (Firefox 88) et la nouvelle (Firefox 89). Vous pourriez préférer installer la solution présentée.

Cependant, si l'ancienne interface vous satisfait, il vous suffit de passer l'option browser.proton.enabled à false dans about.config (jusqu'à ce qu'elle ne soit plus proposée). C'est probablement plus simple à mettre en place.

À croire que moi non plus, avec mon absence d'accord sur « équivalent » ;-P

J'hésite un peu à annoncer cela ici… pfiou ! allez, courrage… Le livre est dispo en CC-BY-SA.

patapé

Ah bah si, tu t'en doutes bien. C'est horrible… d'écrire « courage » comme ça ! :-P
Bon, plus sérieusement, la CC-BY-CA, je la vois comme la GNU GPL du contenu artistique, avec des droits équivalent, et des obligations équivalentes, en particulier le copyleft. Je ne vois pas en quoi on te taperait dessus ici pour ça.

Et surtout, merci pour la réflexion sur le sujet et félicitations pour l'écriture de ce livre et l'invitation à contribuer :-)

Si vous préférez le look de Firefox 88, vous pouvez passer le paramètre browser.proton.enabled à false dans about:config.

Ça ne corrigera pas la diminution décevante de contraste dans les boutons (les icônes ont des traits plus fins ou plus gris dans la nouvelle version - mais bon je suppose que comme la cible principale d'utilisateurs contient principalement des aigles avec des yeux parfaits c'est ok), et ça ramène cette mise en avant un peu bizarre du bouton précédent qui a enfin été retirée dans la version 89, mais par contre vous retrouvez des onglets élégants et modernes qui prennent moins de place en largeur (donc, oui, pour vous gros utilisateurs d'onglets qui êtes visés par l'explication du nouveau look, c'était mieux avant (!!)) et qui ne bouffent pas le contenu en hauteur à cause de marges additionnelles, mais qui sont au moins aussi lisibles que les nouveaux.

Je ne crois pas une seconde que ce nouveau look permettra aux gens de découvrir les interactions possibles avec les onglets plus que l'ancien look, par contre je suis raisonnablement certain que leur ressemblance avec des boutons va en surprendre d'autres que moi.

J'espère que cette option va être proposée encore longtemps mais je ne retiens pas mon souffle.

Mis à part cette nouvelle interface que je trouve décevante, félicitations pour les nouveaux développements, et merci pour ce navigateur sur lequel on est beaucoup à compter au quotidien !

C'est déjà arrivé, mais il n'y avait pas de loi obligeant à respecter le souhait. Peut-être que ça pourrait marcher aujourd'hui ?