Victor STINNER a écrit 1632 commentaires

Mais c'est pas grave, y'a les commentaires.

Article sur le site web de Wormux :
http://www.wormux.org/wiki/en/translation.php

Pour faire votre propre traduction, un simple éditeur de texte suffit (l'encodage UTF-8 est préférable, mais n'importe quel encodage parlé par gettext nous convient). Par contre, les outils gettext et KBabel sont plus agréables à utiliser et ont plein de petits outils qui facilitent la vie (KBabel est bien plus poussé).

Haypo

Ils font chier avec ces "-preX" ! Il faut assumer ses bugs :-p Ça me fait penser aux services Google en béta ...

Haypo

Salut,

J'ai remarqué que le site rame (il se fait linuxfr-doté ? :-)). En ceci met en évidence une mauvaise organisation des informations dans la page HTML. Utilisez Firefox (ou autre), et désactivez le rendu CSS (View > Page style > No style). On voit alors une loooongue liste de catégorie, un menu, la zone pour lancer une recherche, etc. Alors qu'on s'en fout, on veut le texte en 1er !!! MediaWiki est très fort pour ça : essayez de lire un article Wikipédia sans CSS pour voir ;-)

Critique inutile : j'aime pas la nouvelle couleur de libre-apps, c'est un peu agresif. Une couleur plus pâle serait plus agréable.

Haypo

Un des objectifs lorsque j'ai conçu le logiciel Hachoir (*) était d'être capable de savoir ce qu'il y a dans un fichier. Je veux dire : savoir à quoi correspond chaque bit d'un fichier ! Et en développant l'outil j'ai découvert pas mal de trucs :

- Beaucoup de fichiers ont des octets inutiliés pour aligner les structures sur des adresses multiple de 2, 4 ou 8. Un film AVI a en général 2 Ko appelés "junk" où on peut mettre tout ce qu'on veut => ceci pourrait être utilisé pour cacher des informations (pas très discrêtement certe). Bon, le pire est le format Word 2000 qui a des secteurs de 512 octets inutiles qui sont des dumps de zones mémoires (l'affaire est bien connue d'ailleurs) ;

- Il y a souvent des champs qui ne sont pas facilement accessibles dans un fichier : méta-données dans un fichier AVI, commentaire dans une archive gzip, etc. Avec le Hachoir j'ai découvert l'URL du site d'où provenait un film par exemple, ou encore le logiciel utilisé pour créer un son WAV ;

- Il y a des formats de fichiers très complexes, et donc très difficile à lire. Je pense que les programmes qui ouvrent ce type de fichier sont très sensibles aux fichiers corrompus (ie. faille de sécurité). Je pense, par exemple, aux documents Word 2000.

À terme, il sera possible d'éditer des fichiers avec le Hachoir. On peut imaginer un outil "hachoir-strip" (ou un nom plus marrant genre strip-tease ... en espérant que France3 et/ou Demi Moore ne m'attaquent pas en justice) qui supprimerait les champs indésirables comme le numéro de série ou le logiciel utilisé pour créer le document => yapluka (ou yakuake ... ah il se fait tard, au lit !)

Tiens, maintenant que j'y pense : j'avais eu écho d'un auteur de virus qui s'était fait chopper après l'analyse du programme exécutable qu'il avait produit. Apparemment, l'exécutable contenait le numéro de série de son compilateur (truc Visual chose) ... Bon, ma mémoire me fait défaut, mais des histoires similaires doivent exister. Faut pas être parano, mais quand on écrit des virus, vaut mieux être AWARE comme dit JCVD ;-)

(*) Outil Hachoir - parseur universel de fichiers binaires
http://hachoir.python-hosting.com/

Haypo

Ça me rappelle beaucoup Turbo Pascal 7 :-D (et le truc équivalent de Borland pour le C)

Haypo

Quoi ? Nupik n'est pas dans ta liste ??? Comment est-ce possible :-)
http://www.nufw.org/index.php3?lang=fr

yekcim, un des graphistes du jeu Wormux, a fait des skins d'un bon nombre des masquotes que tu cites :
http://www.wormux.org/wiki/en/skins.php

Haypo

Ouh là, ça devient compliqué ...

Finalement le problème c'est que sur une machine multi-utilisateurs, tu peux faire tourner un client pirate pour voler les connexions de tes petits camarades

Hum ... tu veux dire que le client pirate répond "c'est moi qui ait ouvert la connexion" puis arrive à récupérer les paramètres de la socket (IP + TCP/UDP) ? Sous Linux, je vois mal comment récupérer les paramètres d'une socket TCP/IP, et donc la voler. De plus, ceci suppose que le pirate soit authentifié auprès de nuauth ... donc qu'il ait un compte ou volé un compte.

Je pense que pour éviter que sur une même machine des utilisateurs d'une application de single sign on ne se volent les sessions les uns les autres, il faut d'une certaine manière faire confiance aux clients. (...) Dans ce cas les utilisateur peuvent se piquer leurs sessions les uns aux autres.

Je pense que le seul risque est que le client donne des informations erronées sur le nom de l'application qui a ouvert la connexion. Par contre, une connexion est associée à un utilisateur (et non pas à une IP) de manière sûre. En effet, un tunnel TLS est monté lorsque le client s'authentifie.

Nufw authentifie chaque nouvelle connexion. Le SSO est réalisé du côté serveur et non d'une information venant du côté client. Contrairement à Kerberos, il n'y a aucun ticket sur le poste de travail.

Naturellement root (...)

Root a tous les droits oui. Installer un pare-feu c'est une chose, mais la sécurité ne doit pas se résumer à ça. Il faut former tout le monde pour éviter le social engineering :-)

Alors voilà ce que je me disais : au lieu d'avoir autant de clients que d'utilisateurs connectés, ne serait-il pas possible d'avoir un seul client sur la machine, tournant sous le compte root, qui se chargerait de faire le chef d'orchestre, (...)

Je ne vois pas en quoi ça serait un plus niveau sécurité. Ou alors je n'ai pas saisi la subtilité ?

--

J'ai peut-être répondu à côté de la plaque, mais le problème n'est pas simple et je ne suis pas sûr d'avoir compris ton commentaire :-)

Haypo

Le programme aurait d'ailleurs besoin d'un vrai parseur C pour éviter les #define qui cassent un peu la beauté du résultat. Une fois que ça sera fait, je proposerai à Nvidia de libérer leurs sources ... mais après un passage dans Tachatte bien sûr.

Blague à part, il existe des Tachatte commerciaux ! Un exemple (donné par un lien commercial de Google Ads) :
http://www.semdesigns.com/Products/Obfuscators/index.html?Ho(...)

Haypo

filtrage au niveau des applications

Hum, typiquement, on peut filtrer sur le port destination. Un navigateur utilise les ports 80 et 443 (https), 110 pour POP3, 6667 pour IRC, etc. Liste un peu plus longue par ici :
http://www.haypocalc.com/wiki/Liste_des_ports_TCP_et_UDP

Et la liste de l'IANA (c'est eux qui attribuent les numéros de port) :
http://www.iana.org/assignments/port-numbers

Mais la réalité est un peu plus floue : les applications peuvent utiliser un autre port (les clients P2P utilisent un peu tout et n'importe quoi), il existe des proxys, des tunnels, etc.

Pour reconnaître une application selon son traffic et non pas les ports, on peut utiliser une suite de motifs pour reconnaître une application. Euh ... j'ai pas trop d'exemple ... disons "GET HTTP/1.1" pour une requête HTTP par exemple. Il existe plusieurs projets pour Netfilter pour réaliser ça ... mais j'ai plus les noms en tête. Sous Linux, on peut remonter un paquet en espace utilisateur (avec la rêgle QUEUE) : il existe, par exemple, un programme en Perl (!) pour lancer des regex dessus.

Tout ceci est expliqué dans un article du magazine MISC dispo dans toutes les librairies.

Haypo

Ha oui, mais non :-/ Hachoir ne supporte pas Python 2.3 (qui date de juillet 2003), uniquement Python 2.4 (nov. 2004). Cette version est dispo' partout (Debian, Ubuntu & co).

Haypo

Pourquoi ne pas surcharger le paquet avec l'authentification (application, uid) cela supprimerai le client?

Hum, je vois mal comment faire pour ajouter ces informations sans aller triffouiller dans le noyau (kernel Windows / Linux). De plus, un pirate se fera un plaisir d'utiliser uid=0 par exempe :-)

Autre idée. Pourquoi ne pas attribué une ip par utilisateur?

Parce qu'une IP est "facilement" spoofable ? De plus on peut avoir plusieurs personnes qui ont la même IP, voir une personne mobile (avec un pc portable) qui change d'IP ...

Haypo

Oups, j'ai pas fini mon commentaire. Pour ceux qui n'ont toujours rien compris, cette interview aurait donnée l'idée à Magritte pour ce tableau :
http://www.haypocalc.com/wiki/Image:MagrittePipe.jpg

Pour info, il y a a une expo' « Magritte tout en papier » au Musée Maillol du 8 mars au 19 juin (à Paris). C'est plutôt sympa :
http://www.museemaillol.com/
« Pour visionner le site du Musée Maillol, vous devez être équipé du plugin flash en version 6.0 » -- Ha ha, décidément -- donc : 61, rue de Grenelle Paris 7e -- 01 42 22 59 58 -- 8¤ et 6¤ en réduit.

Haypo

Merde, comment fait Flash pour le lire sans le télécharger ? Balèze Macromedia ! Donc :
http://download.arteradio.com/sons/08lechat_hq_fr.mp3
(et le OGG ? il est où le OGG hein ?)

Sans l'aimable autorisation de Marie-Puck Broodthaers.

Haypo

J'ai lu le très bon rapport de l'équipe de recherche en sécurité. Le problème soulevé est un manque de cohérence dans la politique de sécurité.

Le système méconnu mis en avant dans ce rapport est le mode de fonctionnement "System Managment Mode" spécifique aux processeurs (compatibles) Pentium. À ce que j'ai compris, c'est un mode 16 bits dans lequel *tout est permis* (écriture n'importe où en mémoire avec un accès directement, ie. sans MMU, communication _directe_ avec la matériel, etc.). Note : malgré le fait que le jeu d'instruction soit en 16 bits, 4 Go (pas plus) de mémoire restent accessibles.

Ce mode est activé par un message matériel (ne pouvant, à priori, ne pas être déclanché par le logiciel) particulier. Mais en fait, le rapport prouve qu'il est possible de déclancher ce message simplement en écrivant sur un port particulier (les ports 16 bits : intructions assembleurs Intel IN/OU).

Là où le bas blesse, c'est que Xfree/X.org a un accès direct au matériel. Je pense que c'est pour des questions de performance. Accès direct : écriture n'importe où en mémoire (en particulier, dans des projections mémoire de registre matériel) et écriture dans les ports 16 bits.

Pour exploiter ce mode, il faut :
- Pouvoir injecter son propre code => possible si on a un accès à toute la mémoire (ce que Xorg peut faire)
- Entrer dans le mode "System Managment Mode" => en écrivant dans un port particulier

Plusieurs solutions sont proposées, plus ou moins compliquées à mettre en ½uvre.

Note : Je pense que Windows est très certainement victime de ce problème de politique de sécurité.

Bon, je ne suis pas sûr que mes explications soient très claires, mais reportez-vous au PDF sinon :-)
http://www.ssi.gouv.fr/fr/sciences/fichiers/lti/sstic2006-du(...)
(version française)

Haypo

La réunion était sympa, mais on était peu nombre. Olivier Grisel nous a appris à faire un ½uf Python. C'est facile est vraiment sympa. On a d'ailleurs enpaqueté Hachoir avec ça. J'ai mis en ligne l'½uf, et maintenant ça s'installe super facilement :

wget http://peak.telecommunity.com/dist/ez_setup.py ez_setup.py
sudo python ez_setup.py
sudo easy_setup hachoir

(les deux premières lignes servent à installer l'installeur

Faites un tour dans le CheeseShop, il y a beaucoup de bonnes choses !
http://cheeseshop.python.org/

Haypo

Hachoir est surtout une bibliothèque pour parser. Ethereal est une application complète. Disons que Hachoir représente juste la partie qui découpe les paquets réseaux dans Ethereal.

Mon objectif est de permettre l'écriture d'applications de plus haut niveau, mais également de scripts. J'ai pensé par exemple à un script qui va extraire toutes les pièces jointes d'un dossier mail, puis extraire toutes les images de présentations PowerPoint. Le but étant de voir uniquement les images qu'on m'envoie sans utiliser moultes outils qui font perdre un temps fou (cliquer sur chaque email dans Kmail) et relancer OpenOffice après chaque crash :-) (OpenOffice met environ 5 sec à charger un ridicile fichier .ppt).

Haypo

Ah, j'oubliais de dire : je viens à la réunion d'AFPy d'Avril 2006 qui aura lieux le 6 _Mai_ (huhu). Je vais parler du Hachoir, et il y aura peut-être des activités autour de ce projet.
http://www.afpy.org/groups/gr_adherents/wikis/ReunionDAvril2(...)

Pour les personnes sur Paris demain, n'hésitez pas à y faire un tour. On parlera d'autres choses que le Hachoir, comme Python 2.5

Haypo

La Suze ça se boit, la Suse ne s'use que lorsqu'on s'en sert :-) Bon blague à part, ça serait bien d'avoir des paquets Suse :-)

Haypo

Scoop : le code du réseau s'écrit discrêtement, mais chuuuuuut, c'est un secret !

Haypo

« GNUstep est pour l'instant à la traîne par rapport à GTK2 ou Cocoa » : ben franchement, je trouve qu'il est mort ce projet. On dirait qu'ils n'y ont pas touché depuis 1990 (bon, disons depuis que j'ai remplacé WindowMaker par XFCE4 ou Gnome2, y'a longtemps donc).

Haypo

Sous Debian, j'ai installé les paquets « gnustep gnustep-make gnustep-devel libgnustep-gui0.10-dev (qui installent plein de trucs dont gobjc) (rien que ça). Ensuite, commandes pour compiler et installer :

. /usr/share/GNUstep/Makefiles/GNUstep.sh
make
sudo make install

Enfin, pour le lancer : « openapp Pake.app ».

Bon, le problème est la détection des dépendences un peu foireuse et que nul part il y a écrit : il faut évaluer /usr/share/GNUstep/Makefiles/GNUstep.sh dans votre shell :-/

Houlà, c'est moche, ça me rappelle ce bon vieux WindowMake ... rah là là, c'est pas gagné GNUstep ...

Haypo

Euh, dans un programme en C je me vois mal appeler "awk .. | cut .." :-P D'une manière générale, je trouve ça bête de sortir l'outil regex pour extraire des infos !

Haypo

Je suis pour le XML dans le réfrigérateur :-) Beaucoup n'ont toujours pas compris ce qu'est le XML : c'est simplement une manière rigoureuse d'écrire des informations (dumoins quand on valide chaque document via une DTD ou XML Schema).

Si on édite un document XML via un éditeur de texte : oui c'est plus lourd. Par contre, pour un fichier de configuration par exemple, un éditeur dédié serait plus adapté. L'idéal serait un éditeur qui construit des formulaires selon une DTD/XML Schema, chose tout à fait envisageable.

Les documents sont plus gros ? On compresse. Le traitement du fichier XML prend plus de mémoire ? Non je ne pense pas si on utilise SAX. Par contre, oui, il est forcément plus lourd qu'un traitement fait à la main (strcmp, strstr, ...). Je pense qu'il faudrait commencer par écrire une bibliothèque (en C ?) basée par libxml2 qui charge un fichier de configuration XML le plus simplement du monde. bibliothèque générique + éditeur dédié, et voilà, tout le monde est content.

D'ailleurs perso, j'en ai marre de réécrire un parseur chaque fois que je rencontre un nouveau type de fichier (fichier .ini, fichier de config unix, chaque fichier de /proc, etc.). Au moins avec XML, suffit d'écrire un bon parseur une fois pour toute et puis c'est tout !

Avantages du XML : outils existants pour le traiter, document valide ou non (mais pas entre les deux), on connait le charset (UTF-8 par défaut, le pied), inter-opérabilité (à cause du charset entre autres), etc.

Haypo
PS: Dans Wormux, tous les fichiers de config (options du jeu, mode de jeu, graphismes, etc.) sont en XML, et ça plait à tout le monde.

Au sujet de HTTP, le passer en XML éviterait les vilaines attaques qu'on peut lire régulièrement dans la magazine MISC :-) Requête HTTP-XML non valide (testé via DTD/XML schema) : on droppe :-)

Haypo

Franchement ... ça me ferait plaisir, car extraire des infos d'un texte plat tel que /proc/cpuinfo ou /proc/net/tcp c'est plutôt complexe et source d'erreur. Alors qu'un joli XML, il n'y a pas d'erreur possible :-)

J'ai écris un parseur pour /proc/net/tcp (enfin amélioré un parseur existant) : ben c'est n'importe nawak, faut supposer qu'on ouvre moins de 10000 connexions, et suposer que le texte est bien aligné avec l'entête ce qui est pas tout à fait le cas ... Bref, c'est un peu au pifomètre !

Bon, remarque, à coup de FUSE ça pourrait se faire facilement (/proc_xml :-))

Haypo