Victor STINNER a écrit 1632 commentaires

Pourquoi écrire du code alors que c'est évident ?

Évident, c'est pas gagné, surtout avec Perl qui contient énormément de règles implicites qu'il faut connaître pour comprendre le code (il me semble que Ruby et Ruby on rails fonctionnent pareil). L'avantage d'un code explicite est que n'importe qui (ayant une connaissance minimale du langage) peut comprendre facilement le code et donc : le corriger et l'améliorer. D'une manière générale, un code explicite est un gage de pérénité : si le développeur disparait, on peut le remplacer.

En Python : import re
m = re.match(r"(\w+)=(\d+)", line)
if m:
__ident = m.group(1)
__value = int(m.group(2))
où __ représente l'indentation, ex: 4 espaces (la base HTML code vire les espaces sur linuxfr).

Je trouve ça plus clair que Perl car où sait d'où viennent et sont les données. Il n'y pas de variable magique comme les $xxx. Perl a l'avantage d'intégrer les expressions régulières à son langage : en Python, il vaut mieux préfixer les chaînes par « r » (chaîne raw, n'interprète pas les antislashs).

Faudrait-il encore qu'il y en ait, des DRM... Les données passent en clair (non chiffrées) sur le réseau dans le protocole AMF (format de diffusion de contenu utilisé par Flash). Il me semble qu'on n'a pas le droit de coutourner des DRM efficaces, mais quid des fausses protections ?

Euh, il me semble que le journal n'était pas clair. Google est disponible en IPv6 depuis pas mal de temps sur (bon FAI, mauvais FAI, tunnel ou autre) :
http://ipv6.google.com/

Là il est question d'activer la résolution DNS IPv6 (type AAAA) pour le domaine www.google.com.

Free offre un préfixe /64 mais dans les 64 bits de poids fort, il y également des bits pour distinguer l'utilisateur !

En janvier 2008, Free a obtenu le préfixe 2a01:5d8::/32. Le client obtenait le préfixe 2a01:5d8:5xxx:xxx::/64 où xxx:xxxx est son IPv4.

En mars 2008, Free a obtenu un préfixe plus gros : 2a01:e00::/26 (64 fois plus d'adresse). Le client obtient maintenant un préfixe 2a01:e35:xxxx:xx0/60 (ce qui permet d'avoir 16 réseaux /64 chez soit).
(lire http://www.freenews.fr/nat/5813-services-ipv6-chez-free-du-n(...) pour les détails)

Enfin, j'ai pas bien compris les détails (/64 ou /60 ?), mais tout ça pour dire que le préfixe est fixe pour chaque abonnement ADSL.

Windows XP génère une IPv6 au hasard, contrairement à Linux qui utilise l'adresse MAC pour remplir les 64 bits de poids faible. Je suppose que l'utilisation de l'adresse MAC pose problème, on pourra changer l'algorithme de génération d'adresse.

Peuh, il n'y a même pas de tortue qui danse si on est en IPv6. J'espère au moins qu'en IPv6 il y aura plus de résultats pour le porno ! Sur http://www.apnic.net/ un petit bonhomme agite une pancarte « via IPv6 » avec un grand sourire !

les réseaux IPv6 mal configurés ou mal déservis (comme le 6to4)

Qu'appelles-tu réseau mal configuré ? Pour détecter 6to4, il y a les préfixes 2001:0000::/32 (Teredo, 6to4) et 2002::/16 (6to4). Free utilise aussi un genre d'IPv6 par IPv4 mais bidouillé maisons (6rd) et utilise le préfixe 2a01:0e00::/104. Si le préfixe suffit pour détecter le tunneling IPv6 dans IPv4, quel est l'intérêt de cette liste blanche Google ?

T'as déjà essayé de compiler quoi que ce soit sous Windows ? Windows est le pire environnement pour compiler un logiciel :-)

Et Céline Dion alors ? Elle a également la Légion d'Honneur depuis mai 2008. Rue89 parle de cette légion :
http://www.rue89.com/hoax/2009/01/14/faut-il-demander-la-leg(...)

Le projet Python songe à passer un gestionnaire de sources distribué. Bien sûr, Mercurial est envisagé et semble même en bonne position pour remplacer Subversion. « Bien sûr » car Mercurial est écrit en Python ;-) Bon, je pense que ça prendra encore mois/années et fils de discussions pour migrer complètement à Mercurial. Ça pourrait même ne jamais se faire. En attendant, il y a déjà des développeurs qui l'utilisent pour Python.

Chevallier et Laspales, Le train pour pau, ha ha ha ! J'ai un copain qui nous a joué le sketch hier soir parce qu'on lui a offert l'intégrale en DVD.

D'après ce que j'ai lu sur LWN le problème c'est que si on indique qu'une correction bouche un trou de sécu cela implique que les autres corrections ne concernent pas la sécurité.

Euh non, pas nécessairement. Marquer qu'un commit corrige une vulnérabilité n'indique rien quant aux autres commits. Ça demande aussi un peu de bon sens : la majorité des développeurs sont incapables de savoir si un bug quelconque peut avoir une implication sur la sécurité. Je préfère largement que les failles connues soient explicitement notées.

Si j'étais un sponsor, j'exigerai qu'il travaille main dans la main avec les développeurs noyau et qu'une partie soient accepté upstream avant un certain délai sinon je ne donne plus de sous. Hop, chantage, mais dans l'autre sens :-)

Si 80% des patchs de Grsecurity étaient intégrés upstream, je pense que la maintenance de Grsecurity serait déjà plus simple. On pourrait même penser qu'il y aurait plus d'utilisateurs. Si le code est dans le noyau, ça donne confiance, ex: quand à la pérénité.... Les 20% restant seraient maintenus en dehors et serviraient à renforcer encore la sécurité.

Le « problème » est qu'il faut être patient, faire de petits patchs, accepter les critiques, et suivre les règles :-) Ça me rappelle le dernier ordonnanceur de processus : y'avait deux projets en lice et celui qui a gagné n'était pas le meilleur, mais celui qui a accepté les critiques.

Le patch grsecurity modifie 539 files fichiers et fait environ 37.000 lignes. C'est un très gros patch monolithique qui doit être redécoupé pour être inclu dans le noyau. Est-ce que ce travail a déjà été fait ?

PaX seul modifie 455 fichiers et pèse environ 23.000 lignes.

> .. vendre à tarif variable .... pratique interdite à la SNCF

Hum, je paie rarement mes billets SNCF au même tarif. Genre 60€ l'aller et 40€ le retour. Ça dépend :
- du jour de l'année
- de l'heure du départ
- du nombre de places restantes

Et sûrement d'autres choses comme des papillons.

Quelqu'un pourrait demander une nouvelle carte SIM pour ton numéro de téléphone avec le même numéro. Ce qui pourrait être drôle :-)

Mouais, enfin on peut pas changer un type aussi facilement : il y a des histoires de compatibilité binaire entre les APIs. De plus, le "format time_t 32 bits signé" est aussi utilisé dans des formats de fichier comme les archives gzip ou le système de fichier ext3. Il faut donc modifier les formats et convertir les fichiers. Heureuseument, ext4 arrive avec ses 64 bits pour les estampilles de temps (enfin !). Windows commence aussi à utiliser 64 bits un peu partout pour le temps.

Ah ouais ok, j'avais pas fait le lien. Bah il suffit de vérifier que le certificat n'est pas signé en utilisant MD5 ;-) Et puis bon, c'est pas courant 200 PS3 en réseau, il faut relativiser un peu.

SSL n'est pas sûr

De quoi tu parles ? Si tu fais référence à la précédente faille OpenSSL Debian, elle est corrigé depuis plusieurs mois.

Pourquoi payer un ordinateur super cher si la plus part du temps on s'en sert que pour faire du traitement de texte ?

Pourquoi payer la licence d'un logiciel propriétaire quand on peut utiliser un équivalent libre et gratuit qui répond à nos besoins (OpenOffice / Abiword / KOffice / ..., Gimp / Krita / ..., etc.) ?

Ah non en fait, ça parle de louer du matériel... mais perso j'ai l'impression que la finalité est de louer une licence d'un logiciel juste pour quelques semaines. Tu veux retoucher tes photos au retour de tes vacances d'été : hop, tu loues Photoshop 1 mois. À noël, tu remarques que tu as oublié de corriger les yeux rouges des photos à la montagne : ... il faut relouer le logiciel :-p

Pas mal d'infos sur les réactions de VeriSign :
http://www.heise-online.co.uk/security/Verisign-RapidSSL-clo(...)

Verisign are in the process of discontinuing the use of MD5 hashes for signing, saying it had been planning to stop use of MD5 in customer certificates by the end of January 2009

Il est certain que la conférence du CCC soit liée à ce changement !

Un mec qui s'appelle Julien Coupable, je m'en méfie !

Mais on peut décider de s'en passer, non?

J'ai répondu au post d'arno qui explique comment le désactiver.

Ayant deux comptes Jabber, j'aime bien la porte-feuille qui gère les deux mots de passe faible pour ne demander que la clé du porte-feuille (mot de passe fort). En désactivant ça, les mots de passe Gajim sont stockés en clair et peuvent être lus très facilement par un pirate :
http://www.haypocalc.com/wiki/Lamer

Le problème de stocker les mdp en clair est que la moindre faille dans votre logiciel de messagerie (instantannée ou pas), navigateur web ou autre permet de les lire.

Gnome-keyring et KWallet chiffrent les mots de passe et la clé de déchiffrement est salée et hachée (~1500 fois pour KWallet !).
http://www.haypocalc.com/wordpress/2008/05/where-are-my-pass(...)