Fossil est le système de fichiers de Plan9. Ce n'est pas le sujet de cete dépêche.

Fossil c'est aussi un outil de gestion de version décentralisé, DCVS en court. Il est toujours un peu osé, par les temps qui courent, de parler d'un autre DCVS que le très apprécié Git, mais Fossil c'est aussi un peu plus que ça ; un plus qui m'a beaucoup séduit.

Fossil c'est aussi un wiki, un outil de gestion de tickets et une interface Web (et son serveur) dans un seul exécutable. Sans entrer dans les détails, il prend en charge les mêmes fonctionnalités que la plus grande partie des DCVS. Il se veut robuste et fiable, simple, un protocole réseau simple (HTTP) rendu suffisamment efficace pour fonctionner sur une ligne téléphonique 56k et facile d'utilisation (pas de configuration, commande simple). Ça c'est la partie "marketing".

Si la description sonne un peu comme celle de SQLite, ce n'est pas un hasard : Fossil est développé par les mêmes personnes, utilise SQLite pour le stockage et est utilisé comme gestionnaire de versions pour ce projet (et d'autres). Fossil n'est donc pas juste un projet sombre dans un coin du Net.

NdM : merci à Etienne Bagnoud pour son journal.

Le 28 novembre commençait l'affaire cablegate pour WikiLeaks ; le site délivrait 291 documents communiqués par différentes ambassades des États-Unis d'Amérique avec l'aide de la presse traditionnelle, Le Monde, El Paìs, Der Spiegel, The Guardian et The New York Times.

La libération de ces documents au public a déclenché ce qui a été annoncé, le 3 décembre sur Twitter, comme la première guerre de l'information par John Perry Barlow, membre fondateur de l'Electronic Frontier Foundation : « The first serious infowar is now engaged. The field of battle is WikiLeaks. You are the troops », ce qui peut se traduire par « La première guerre de l'information sérieuse est engagée. Le champ de bataille est Wikileaks. Vous êtes les troupes ».

Petit retour en arrière ...

Ce bon vieux et néanmoins ami protocole HTTP fonctionne selon le principe très simple de "question-réponse" (ou requête-réponse). Rapidement les cookies ont été ajoutés au protocole afin de pouvoir garder un état lors d'une série de transactions, par exemple, d'un magasin en ligne, ou d'un site d'actualités tel LinuxFr.org. Depuis l'arrivée du cookie, c'est devenu le moyen de maintenir une session pour les utilisateurs des sites.

Personne n'est dupe et l'on sait très bien que ce cookie est un simple morceau de texte passant en clair dans les entêtes du protocole HTTP. Nous savons aussi qu'il suffit d'obtenir ce texte afin de voler l'identité de la personne. Nous savons que le meilleur moyen pour s'en protéger est d'utiliser la version sécurisée du protocole HTTP soit HTTPS.

Malheureusement, les sites comme Facebook ou Twitter utilisent le HTTP si rien d'autre ne leur est demandé. Pire, le site Facebook n'est pas entièrement fonctionnel via HTTPS (le seul que j'ai personnellement testé), le chat ne fonctionne pas.

C'est là qu'interviennent Eric Butler et Ian "craSH" Gallagher. "Comment faire réagir ces sites" a dû être la question de départ. Après maintes réflexions (je suppose), ils ont décidé d'amener la possibilité de détourner une session HTTP à un clic de souris de tous les utilisateurs de Firefox.

Et ils ont créé Firesheep, à utiliser sur tous vos wifi non-protégés. Cet outil va permettre de sniffer le réseau à la recherche de cookies se baladant et vous afficher, dans une interface simple et intuitive, la liste des personnes ayant un compte sur divers sites sociaux et sur le même réseau que vous. Il ne vous reste plus qu'à cliquer pour obtenir l'identité de cette personne sur le site en question.

Enfin, c'est ce que dit la publicité. Je ne l'ai pas testé, la version Linux n'est pas encore dehors, il y a uniquement la version Windows et la bêta pour Mac OS X. Mais comme c'est du logiciel Libre, vous pouvez rapidement adapter le code pour tourner sur Linux.

NdM : concernant LinuxFr.org, la liste des cookies utilisés est dans l'aide, et nous invitons à préférer l'accès par HTTPS (un cookie permet de forcer tous les accès suivants en HTTPS si quelqu'un se loggue en HTTPS). Voir aussi la discussion précédente sur Cadriciel d'espionnage/gestion de témoin de connexion evercookie 0.3.

Suite à une dépêche de pBpG sur la sécurité et le "Threat Modeling", j'ai eu une intéressante discussion avec ce dernier.
Je suis parti de l'idée que pour améliorer la sécurité, il fallait commencer par fournir des garanties aux utilisateurs de logiciel.

Aujourd'hui, je reçois Crypto-Gram, par Bruce Schneier. Le dernier article traite des assurances dans le domaine de la sécurité logiciel et émet l'avis qu'elles sont nécessaires pour faire réellement avancer la sécurité et que les nouvelles méthodes n'apporteront rien.

J'ai donc tenté l'exercice (fort difficile) de la traduction, Lord, have mercy...

Le projet Debian vient d'adopter une nouvelle stratégie pour les « gels » de la version de test du système d'exploitation. En effet, cette stratégie, décidée lors de DebConf9, fixe le début de la période de gel de nouvelles fonctionnalités au mois de décembre des années impaires.

Ce changement implique que les nouvelles versions de Debian GNU/Linux devraient sortir tous les deux ans à partir du printemps 2010. Ce changement de stratégie ne garantit pas pour autant une date de sortie fixe.