« How Microsoft Can Spy On You?
The answer is simple, via their NCSI ( Network Connectivity Status Indicator ).

Why should we care of it?
Well... each time we start our Windows Computer an Internet connection test is run automatically to test the Internet availability.

So each time we start it, our PC makes a connectivity request to a text file into the NCSI Server of Microsoft ( 131.107.255.255 & dns.msftncsi.com ).

The Text file should be located here:
http://www.msftncsi.com/ncsi.txt

Where's the fun part?
Microsoft admitted that they DO NOT NOTIFY the user Before attempting to collect informations, infact it is automatically done if you have the Internet!.

 ...In short...

They store, in a NO-ENCRYPTED way, your logs into their WebServer, each time you connect. The logs contain the time of each access and the IP address recorded for that access.


[...]

Alright... So Someone may say that it is a service to help native users see a yellow icon if there is a limited connectivity. »

Le titre est volontairement alarmistes... Plein de constructeurs font que leur appareil teste la connectivité au net via un amer pré-défini... Exemple :  http://shaarli.guiguishow.info/?TLWntQ Là c'est Microsoft donc c'est le mal... Stop.

Mais oui, ça pose des problèmes : à quelle heure vous allumez vos ordis winwin en rentrant chez vous, reboot, autre. C'est encore plus redoutable avec des IPv4 fixes (vos ordinateurs ont donc toujours la même IP derrière votre box) et des IPv6 non temporaires (les 64 derniers bits de votre adresse IPv6 sont les mêmes, quels que soit les réseaux sur lesquels vous êtes).

Via : https://twitter.com/HOCupdate/status/611590452614004736

« Le Conseil National du Numérique (CNNum) a remis jeudi matin son très riche rapport baptisé "Ambition Numérique" (.pdf), qui synthétise le travail de consultation publique mis en place depuis le début de l'année sur ce que devrait être la politique numérique de la France.

[...]

D'emblée, le CNNum prévient qu'il n'est pas question de remettre en cause le régime binaire de la loi pour la confiance dans l'économie numérique (LCEN), entre d'un côté les éditeurs qui sont pleinement responsables de ce qu'ils publient, et de l'autre les hébergeurs qui n'ont qu'une responsabilité limitée sur ce que publient leurs clients. Alors que des voix s'élèvent jusqu'au Conseil d'Etat pour créer un statut hybride pour les plateformes sur Internet, "le CNNum invite à conserver ce régime afin de préserver la liberté de communication, dans la mesure où une responsabilité trop lourde pourrait les pousser à une censure préventive des contenus présents sur leurs sites, par crainte de voir leur responsabilité engagée".

[...]

Mais le plus intéressant est sur la régulation des processus de signalement et de censure des contenus illicites au regard de la loi, ou contraires aux CGU des plateformes. Pour les premières, alors que les hébergeurs sont encouragés par la LCEN à qualifier eux-mêmes les contenus "manifestement illicites" pour les supprimer dès leur signalement, CNNum propose de mettre en place une procédure de suppression temporaire, et de confirmation par la plateforme PHAROS gérée par la police et la gendarmerie.

Tout signalement de contenu contraire à la loi serait ainsi envoyé en double à PHAROS, pour confirmation de son illégalité, dans le respect d'une procédure contradictoire permettant à l'internaute de faire valoir ses arguments contraires. Si les agents (qui ne sont toutefois pas des magistrats) constatent que le contenu ne viole pas la loi, l'hébergeur doit alors le remettre en ligne. Sinon, si le cas est grave, la transmission au parquet est facilitée

[...]

Pour les contenus qui ne sont pas illégaux mais qui sont jugés contraires aux conditions contractuelles (ce qui est une arme de plus en plus utilisée par les Etats pour contourner le contrôle démocratique), le CNNum propose que les hébergeurs/plateformes ne suppriment pas immédiatement le contenu mais ouvrent une phase de débat contradictoire. C'est uniquement à l'issue d'un "délai raisonnable" (non précisé) que le contenu pourra être supprimé. »

« Si on connaît la croissance des ventes des SSD dans le monde et les bénéfices en matière de performance, leur comportement au sein d’un datacenter était peu analysé. C’est chose faite avec une étude « à grande échelle des défaillances des mémoires flash »  menée par des chercheurs de l’Université Carnegie Mellon (Justin Meza et Onur Mutlu) et des salariés de Facebook (Qiang Wu et Sanjeev Kumar). Le choix du réseau social n’est pas anodin. Facebook est un pionnier dans les technologies flash en pariant notamment sur les cartes PCIe de Fusion-IO (depuis racheté par SanDisk).

[...]

Les résultats de cette étude montrent plusieurs causes de défaillances sur la technologie flash utilisée intensivement et à grande échelle. Ainsi sur la température, les SSD sont plus sensibles à ce paramètre que les disques durs traditionnels. En effet, la chaleur impacte leur performance et augmente le taux d’échec. Les chercheurs constatent que des techniques de ralentissement opérationnel des SSD peuvent compenser les effets de la chaleur. Dans l’étude, les SSD de première génération ont été le plus touchés en l’absence de ces techniques de compensation.

Sur la partie consommation énergétique, les SSD sont gourmands avec des pics de 8 à 14,5 W pour les SSD de 2ème génération en raison des fréquences plus élevées. L’étude montre une corrélation entre cette consommation et la température au point de proposer que l’alimentation du bus serve de proxy pour ajuster les performances du SSD en fonction de la chaleur et réduire ainsi les erreurs.

[...]

Autre enseignement du rapport, le taux d’échec des SSD n’augmente pas de manière linéaire avec l’usure des puces flash. Ces défaillances sont très variables en fonction de plusieurs paramètres leur apparition et leur détection. Par ailleurs, le niveau d’écriture est corrélé avec les taux d’échec, car une écriture intensive demande de la puissance. Les chercheurs recommandent notamment pour les applications gourmandes en écritures de privilégier les disques durs traditionnels.

Les défaillances de SSD sont relativement habituelles, 99,8% des SSD rapportent des erreurs non corrigées (qui entraînent des pertes de données) dès la première semaine et une autre la semaine d’après. Enfin, dernier élément, l’implantation des données (notamment les données non-contigües), via le plan d’adressage du SSD, rentre en conflit avec la translation d’adressage de la mémoire tampon (DRAM) interne au SSD. »

« STARTTLS has a glaring problem: it's negotiated over the plaintext channel.

The S: 250 STARTTLS line is sent on the clear so an attacker performing a MitM attack can just block it, prevent it from ever reaching the client. At that point the client will simply go ahead with unencrypted SMTP, unaware that the server supports TLS, and the server will think it's the client that came short in supporting it.

In browser world, it's as if you always connected over HTTP and relied on the 301 redirect to switch to HTTPS. An attacker can do a SSL stripping attack where they just answer to your HTTP query. It's also what HSTS is designed to prevent.

[...]

At this point you might think you can make a choice: "I'll require encryption on all my connections and accept the tradeoff of only receiving from and delivering to servers that support STARTTLS". Or, "I'll make a whitelist of known domains for which I require STARTTLS because I know they support it".

You actually can't.

The problem is in certificate verification: what hostname do you verify a certificate against? That is, what name do you require on the certificate to make sure you are not talking with an attacker?

The answer is "whatever the target of the MX record is". And this makes certificate validation—and signed certificates—completely useless. (Indeed, all mail servers will accept expired, self–signed certificates.)

First, let's see why we can't verify against the domain portion of the email address. Take my email: it's @filippo.io but it's handled by FastMail. FastMail doesn't have a certificate for filippo.io. How it works instead is that a client will perform a MX lookup

[...]

STARTTLS can't be secured in any way against an active attacker. So, what is it good for? Well, it's opportunistic encryption and it's not worthless.

Opportunistic encryption changes the attack requirement from simple passive observation to risky active interception. It stops dragnet collection that we know too well some agencies perform.

So, bring it on with STARTTLS, just don't bother with getting a CA issued certificate and know that a targeted MitM–capable attacker can totally intercept your mail on the wire.

[...]

There is actually a solution and it's DNSSEC. SMTP is the use case where it really shines!

Mail servers can perform DNSSEC verification to make sure the MX is not tampered with, and then use DANE to retrieve the intended certificate fingerprint. This would give SMTP a fighting chance against an active attacker.

[...]

So this is it. The Internet is terrible and until DNSSEC sees wide deployment SMTP will have at best opportunistic encryption.

A practical note on active attacks: MitM on a server-to-server connection is not a common capability but it's very possible for a determined attacker. For example BGP hijacks happen frighteningly often and there are agencies with taps on the Internet backbones.

Still, STARTTLS is better than allowing dragnet surveillance, so please, please support it. You don't even have to get a signed certificate! There are no excuses. »

Via http://seenthis.net/messages/377113

« Avant-hier, les sept députés et sept sénateurs ont trouvé un terrain de compromis sur le projet de loi sur le renseignement. Le texte vient gommer les différences entre la version votée à l’Assemblée nationale et celle du Sénat. Un amendement de dernière minute a toutefois été présenté puis adopté à cette occasion. Il allège l’encadrement des mesures de surveillance menées en France, dès lors qu’est visé un étranger ou une personne non résidente habituellement en France.

[...]

Curieusement, ce régime dérogatoire vaut même pour les mesures de surveillance internationales. Cette exception prévue sur le sol français s’applique à l’ensemble du titre V du livre VIII du code de la sécurité intérieure, titre intitulé : « Des techniques de recueil de renseignement soumises à autorisation ». Or, ce titre intègre aussi les mesures de surveillances internationales où déjà, l’avis préalable de la CNCTR est esquivé dès lors qu’une communication est émise ou reçue à l’étranger (appel vers l’étranger, ou utilisation d’un service en ligne dont l’IP est géolocalisé au-delà de nos frontières soit la plupart des outils utilisés quotidiennement par les Français…).

La rustine apportée en CMP va en tout cas étendre à la France le régime de communication internationale dès lors qu’un étranger en France (Syrien, Saoudien ou Belge) est susceptible d’échanger avec une autre personne en France. Imaginons par exemple l’installation d’un IMSI catcher (ou assimilé) ciblant à Paris, Marseille ou Lyon, tel étranger susceptible de résider dans tel immeuble, ou passer par tel coin de rue. La fausse antenne relai installée dans cette configuration aspirera les données de connexion des autres personnes passant dans son spectre, sans que la CNCTR ait pu préalablement mettre son grain de sel. Et pour cause, la nationalité n'est évidemment pas visible sur l'IP...

Il sera évidemment intéressant de voir, au delà des questions du droit international, comment le Conseil constitutionnel appréciera cette mesure sur l’autel du principe d’égalité et de la prévention des atteintes à l’ordre public : est-ce que le statut même de non français ou de non-résident habituel sur notre territoire est suffisamment solide pour la justifier ? »

« Le 4 mai dernier, les eurodéputés Philippe Juvin et Thierry Solere ont saisi la Commission européenne pour leur faire part des (grosses) zones d’ombres du projet de loi français. « Nous considérons en effet qu’[il] contient des dispositions qui portent atteinte de façon particulièrement grave aux principes énoncés dans la charte des droits fondamentaux de l’Union européenne » écrivent-ils.

[...]

Alors que le projet de loi est désormais à deux doigts d’être voté, la Commission européenne a répondu hier à leurs inquiétudes. Frans Timmermans, son vice-président n’a certes pas évoqué de long en large la situation française, avec une explication simple : « la Commission ne s’estime pas compétente pour commenter la législation nationale d’un État membre tant que la procédure intérieure n’est pas achevée, ni la loi en question adoptée ». Seulement, il l'admet déjà, sans le déluge habituel de précautions verbales, « ce projet de loi pourrait soulever d’importantes questions de droit. »

[...]

C’est l’interprétation faite par l’eurodéputé Philippe Juvin, contacté cet après-midi: « habituellement, la commission européenne est extrêmement prudente pour qualifier le droit d’un État membre. Là, je trouve que Frans Timmermans est assez affirmatif quand il nous dit que la loi pourrait générer des problèmes de compatibilité avec la charte des droits fondamentaux. Cela me fait dire qu’elle a une analyse pas très éloignée de celle que je partage avec Thierry Solère. »

Alors oui, la Commission européenne ne peut agir officiellement face à un projet de loi non encore publié mais l’eurodéputé l’assure : « je la ressaisirai une fois la loi promulguée, comme nous le suggère la lettre ». Que pourrait-il se passer après cette saisine ? « La Commission pourrait alors instruire et conclure à une contradiction avec la charte des droits fondamentaux. Dans une telle hypothèse, elle pourrait exiger une mise en conformité de la France, sous la menace d’une possible saisine de la Cour de Justice de l’Union européenne » nous résume Philippe Juvin, avant de conclure que « la Commission sert essentiellement à ce que les États membres ne fassent pas de bêtise. » »

De la neutralité de la carto Google. Sans surprise, comme pour les résutlats de Search.

« L'omniprésent service de cartographie de Google ne veut se mettre personne à dos. Et adapte docilement le tracé des frontières aux représentations du territoire du pays de connexion.

[...]

Comme l'avait repéré le site "Atlantico", il y a en tout plus de 30 pays dont Google "refuse" de dessiner les frontières en rouge lorsque l'on clique sur leur territoire [1]. Et, comme l'avait déjà remarqué Pierre Haski de Rue89 (groupe "Obs"), les tracés de frontières varient selon les versions au-delà même du cas de la Crimée. Interrogés sur le sujet à plusieurs reprises ces dernières années, les porte-paroles de Google répondent systématiquement dans le même sens :

"Nous faisons au mieux pour représenter objectivement les frontières disputées. Lorsque c'est approprié, les frontières de ces zones contestées sont tracées d'une manière spéciale." Objectivement... ou conformément à la subjectivité de chacun ?

[...]

"Dans les pays où nous avons une version locale de nos services, nous nous conformons aux lois locales", ajoute Google. Sous pression des services diplomatiques, Google est aussi très soucieux des législations locales quand elles peuvent lui nuire. Or en Chine, la loi interdit catégoriquement de publier des ressources cartographiques du territoire chinois sans autorisation et force Google à collaborer avec un fournisseur local, en l'occurrence AutoNavi.

[...]

Le 6 novembre dernier, le roi du Maroc, Mohamed VI, martelait encore : "Le Sahara occidental restera dans le Maroc jusqu’à la fin des temps". Google l'a exaucé. Contre l'avis de l'ONU et de tous les gouvernements du monde.

[...]

La souplesse (ou la docilité) de Google s'étend jusqu'au nom des lieux, qu'il adapte en fonction des desiderata nationaux. Ainsi, sur le Google version "Emirats arabes unis", le golfe Persique devient... le golfe Arabe, nom que souhaitent mettre en avant les émirats aux alentours. Un souci du détail qui a le don de mettre en fureur les Iraniens... qui ne se privent pas pour bloquer régulièrement les services du moteur de recherche. »

Via http://seenthis.net/messages/378115

Ooooooooooooook.

Pour start : systemctl start netfilter-persistent.service.

Pour stop : systemctl stop netfilter-persistent.service mais ça ne purge pas les règles (sécurité, au cas où la suite d'un halt/reboot n'aboutisse pas, un stop laisserait la machine vulnérable. Pour changer ça : /etc/default/netfilter-persistent)

Mais les actions flush et restart ne sont pas gérées par l'unit systemd et il faut donc faire un bon vieux : service netfilter-persistent flush|restart

Payes ta logique.

Merci à b4n (http://ban.netlib.re/shaarli/) pour l'aide pour piger WTF.

ÉDIT DU 30/09/2015 À 15H05 : pensez bien à installer le package iptables-persistent : netfilter-persistent est uniquement un wrapper qui exécute les scripts placés dans /usr/share/netfilter-persistent/plugins.d/. Ces scripts (15-iptables et 25-ip6tables) sont bel et bien fournis par le package iptables-persistent. FIN DE L'ÉDIT.

Ha ma banque et ses virements bancaires...

1) En dehors des heures ouvrées, le virement est reporté au lendemain. Exemple : si je voulais faire un virement ce soir, mercredi, à 21h, il ne sera pris en compte que demain matin et sera tranmis dans les échanges inter-bancaires dans la nuit de jeudi à vendredi et sera donc crédité vendredi sur le compte du destinataire. Quelle rapidité... en 2015. Même problème le week-end -> crédité le mardi ! :@

2) J'ajoute un destinataire dans un autre pays de la zone SEPA (pas un paradis fiscal, je précise) : validation par authentification forte (boîtier qui bouffe la CB pour générer un code) + information par SMS. Jusque là, c'est du classique pour l'ajout d'un destinataire. Mais, surprise : « Votre bénéficiaire a été activé avec succès mais vous ne pourrez effectuer un virement vers ce bénéficiaire qu'à partir du 18/06/2015. [ NDLR : demain donc c'est pas la mort non plus] ». Je n'ai pas ce délai avec des destinataires FR... Non mais c'est vrai quoi, moi, petite merde de la société sans le sous, je dois forcément vouloir faire de l'évasion fiscale ou financer le terrorisme ou que sais-je d'autre. :- Sérieux, encore un délai de plus, à l'heure de l'instantanéité... Je croyais que SEPA ça devait tout simplifier, tout rendre possible, tout être beau :@

ÉDIT du 18/06/2015 à 10h45 : appel téléphonique de mon agence pour valider le virement... Donc ils n'ont pas confiance en leur authentification forte. J'adore aussi cette défiance envers un autre membre de la zone SEPA, c'est révélateur de l'hypocrisie habituelle "je fais du business sans confiance". :) FIN DE L'ÉDIT.

C'est comme le site web sur lequel les nouvelles opérations (CB, virement, prélèvement) n'apparaissent pas les soirs et week-end... Sérieusement quoi ! Web, 2015, allô ! :@:@:@

Heureusement qu'elle est Populaire, ma banque...

Bon je critique négativement mais il y a aussi des choses très positives comme un compte courant (+ chéquier + CB à débit différé + suivi de mon compte sur le web) pour pas cher payable au trimestre. Sans "option" obligatoire bullshit comme assurance perte de clé (vu au Crédit Agricole, ça m'avait marqué...). En 2012, j'avais pas trouvé moins cher pour mes besoins.

« « Plusieurs travaux ont récemment montré que le fait d’être bénévole a des effets positifs sur le bien-être. Nous avons voulu savoir si cela était également le cas pour les donateurs, les adhérents, les dirigeants d’associations et même, les acteurs au sens large », explique Jacques Malet, président de l’Institut Recherches et Solidarités et auteur de l’enquête

[...]

Résultat : toutes ces personnes présentent effectivement un surcroît d’enthousiasme, de confiance et d’optimisme par rapport au reste de la population.

Plus encourageant encore, « nous nous sommes rendus compte que les deux tiers des Français sont des acteurs. Le discours qui voudrait que les gens soient repliés sur eux-mêmes est faux », se réjouit l’expert.

Mais qu’est-ce qu’un « acteur » au juste ? « C’est une personne qui est dans l’action et qui fait montre de solidarité », répond Jacques Malet. Un acteur peut ainsi être un citoyen qui donne un coup de main suite à une inondation ou même, une personne qui organise régulièrement des sorties entre amis. « Vous n’avez pas besoin d’aller vacciner des enfants en Afrique pour changer le monde. La solidarité commence dans l’attention que vous portez à votre réseau social », estime Jacques Malet.

[ NDLR : nan mais les associations jeux de société, boire un verre entre potes et tout, ça ne compte pas. Ça crée du lien social, c'est déjà énorme mais ça n'a que peu d'intérêt social. C'est un biais à cette étude, le mélange acteurs et longueur du lien avec des associations utiles socialement/à la société en général.]

Ceci dit, l’étude démontre que plus la personne est impliquée, plus elle est enthousiaste. Ainsi, un donateur ressentira davantage de bien-être qu’un citoyen lambda, un adhérent se montrera plus confiant qu’un donateur, un bénévole sera plus satisfait qu’un adhérent, etc. Pour deux raisons, estime Jacques Malet. D’abord parce que « nous avons tous tendance à imaginer l’autre à notre image. Celui qui ne fait rien pense que les autres ne font rien également, ce qui lui donne une mauvaise image du monde ». Ensuite, parce que « l’enthousiasme s’accroît en même temps que l’action, cette dernière permettant de constater des résultats concrets ».

[...]

Revers de la médaille : d’après l’étude de Recherches et Solidarités, moins de 15 % des personnes interrogées, ayant toutes, de près ou de loin, un lien avec les associations, ont une vision positive de la cohésion sociale en France. Ce jugement est plus sévère que celui mesuré auprès de l’ensemble des Français. De même, les « acteurs » font preuve de davantage de lassitude.

[ NDLR : conséquence logique, ça se nomme voir la vérité en face. :) ]

« Ils peuvent ressentir une certaine usure quand ils constatent que les résultats de leur action ne sont pas toujours à la hauteur de leurs attentes, ni à la hauteur des besoins, dans un contexte social tendu », commente Jacques Malet. « Côtoyer un problème de plus près installe forcément une certaine désillusion », abonde Jessica.

Enquête réalisée en ligne entre le 6 mars et le 17 avril 2015 auprès de 3.017 personnes. Les résultats sont croisés avec les critères relatifs au genre, à l’âge, à la situation familiale, à l’activité, à la région et à l’implantation des répondants en milieu rural ou en milieu urbain.

[NDLR : attention donc, deuxième biais dans cette étude. ] »

« Chassez une directive liberticide par la porte, elle essaie de revenir par la fenêtre. Fin janvier,  le gouvernement français comptait introduire un amendement à la loi Macron qui anticipait cette directive europénne, avant de renoncer face à une forte opposition des médias. Avec le « Collectif Informer n’est pas un délit » rassemblant des journalistes de multiples rédactions, dont l’Humanité. Le 4 juin, à l’intiative d’Elise Lucet « Cash Investigation » sur France 2), une pétition « Ne laissons pas les entreprises dicter l'info - Stop à la Directive Secret des Affaires ! » a été lancée sur le site change.org. Mardi 16 janvier à midi, elle rassemblait plus de 305.000 signatures. Un record depuis la création du site de pétitions en ligne en 2012.

[...]

Les  membres de la commission Juri a qui a été adressée la pétition ont mardi 16 juin ignoré les signatures et fait fi des de la mobilisation.
« C'est une honte, et nous devons réagir a aussitôt indiqué Elise Lucet. Car tout n'est pas perdu, bien au contraire : le texte va maintenant être discuté entre des représentants de la commission, du conseil et du Parlement Européen. C’est maintenant que nous devons les convaincre de répondre à notre appel, mais nous allons devoir taper encore plus fort. »

À lire absolument. Sur l'autonomie des individus, les choix, les "arrêtons de nous plaindre, bougeons-nous", les "c'était le bon temps",...

« « C’est pas qu’il n’y a pas de raisons de se plaindre. Mais je trouve qu’on se plaint trop. Trop et tout le temps. Et encore : vous, vous êtes jeunes… Mais si vous voyiez les gars de mon âge… Quand c’est pas le dos, c’est le cœur. Quand c’est pas le cœur, c’est le fils. Et quand c’est pas le fils, c’est les impôts, les patrons, ou bien les employés. A jet continu, ça se plaint. Merde ! Epargnez-nous ça dans les fêtes, quoi. C’est pas ici, ni comme ça qu’on va les résoudre les problèmes... »

[...]

« Qu’on n’ait pas grandi à la même époque, vale ! C’est clair. Mais va pas me parler de conflit de générations. Tel que tu me vois, je me targue de participer à toutes les fêtes que je peux, de sympathiser sans souci avec des gens plus jeunes que moi et de n’être jamais tombé dans le piège de l’âge. Ce que je te raconte, ça n’a rien à voir avec ça. »

[...]

« Dix ans, on a fait ça. Dix ans : et jamais un seul problème. Même pire, je vais te dire : ça nous arrivait de décider spontanément de payer plus tel ou tel pote parce qu’il était dans une impasse. On réduisait nos parts. On s’en tapait du pognon : on menait les vies qu’on voulait. »

[...]

« Je sais pas si tu peux te représenter. Imagines : t’as 20 piges, t’es entre potes. Tu bosses – bon – un peu mais pas trop. Le soir, c’est pèche, baignade, et déconnade. Le top. »

[...]

« Je te connais. Dans deux minutes, tu vas me sortir que c’était le bon temps et toutes ces conneries. C’était pas le bon temps. C’était un temps. Il a passé. Il se trouve juste que nous, on a eu la chance ou l’instinct de se trouver un planque parfaite. Et des planques, t’en as partout. A toutes les époques. Il suffit juste de savoir d’y mettre. »

[...]

Puis des gars sont venus trouver Francis un jour sur un chantier de coupe. Ils ouvraient une école de foresterie quelque part dans le Forez et ils étaient à la recherche de formateurs. Des directeurs de scierie l’avaient poussé.

Lui qui n’avait jamais été formé à rien.

Salaire fixe. Boulot calme. La vie rêvée telle qu’on te la vend dans les journaux. Il a accepté, Francis. Fermant la porte à dix années de règne pépère au fond de la forêt. Il est parti enseigner.

Cinq année sont passées. Puis le voile a cédé. La supercherie lui a sauté au visage.

   « Y avait un truc qui m’allait pas, tu vois. Je devenais maussade. Plus ça allait, moins je comprenais ce que je foutais là, à enseigner un truc que je n’avais jamais appris, à des jeunes qui de plus en plus me parlaient un jargon imbitable à base d’annuités, de “ sécurité de l’emploi ” et de plans de formation. Largué, j’étais. Je me sentais minable. Un garde-chiourme, envoyé pour faire rentrer la jeunesse dans les rangs. Faire en sorte qu’ils fassent docilement ce qu’on attendait d’eux. »

[...]

   « La retraite. J’ai cru rêver la première fois qu’un jeune m’a sorti ça… Il devait avoir 18 ou 20 ans et il se souciait de sa retraite… La retraite… Putain de domestication, ouais ! »

Lui, jamais il ne serait rentré dans les bois s’il avait fait ces calculs. C’est le plaisir et rien d’autre qui l’y avait conduit. Et le plaisir, dans le centre de formation, il n’en était jamais question. Pas une seule seconde on tentait de le susciter. De l’encourager. Pas une seule fois on ne disait à ces jeunes que la vie, c’est pas le salaire. Que quitte à passer des plombes sous des arbres, à faire des métiers dangereux, coupant, glissant, autant qu’on y aille par goût. Par aspiration.

Il fallait être un peu inconscient. Un peu déséquilibré. Un peu fou, quoi. Pas calculateur. En tous cas : surtout pas pour ce métier précis.

Après des mois d’insomnies, il a fini par démissionner. Et depuis : terminé la forêt ! Francis s’est mis à enchaîner les boulots les plus rudimentaires avec une délectation d’homme libre. Maintenance. Réparation. Chauffe. Récoltes. Il choisissait ses boulots en fonction de son seul plaisir. De ce qu’il avait envie de faire. Et non seulement il s’en est sorti, mais il s’est même mis à prospérer. A vivre non seulement serein, mais à l’abri du besoin.

   « Moi, je dis qu’il n’y a qu’un seul principe dans la vie. Qu’un seul ! C’est de savoir – en toutes circonstances – faire la différence entre ce que tu peux accepter et ce que tu dois refuser. Tout le reste… »

Tout le reste ça suit. Il en était convaincu. Le boulot, l’argent. Les relations sociales. Les bonnes décisions. Tout vient naturellement à celui qui sait refuser de faire ce qui – au fond – le révolte.

   « Si ça te révolte, les pruneaux… Et toi, le couvreur, si tu le trouves tant malhonnête, ton patron… Mais qu’est-ce que vous foutez, à part vous plaindre dans des fêtes ? Faut arrêter ça, les gars ! Soit c’est bien et ça vous convient, quitte à retoucher des trucs, soit c’est intolérable.

   Et si c’est intolérable au point que vous vous sentiez obligé d’en parler un verre de gnôle à la main, alors moi je vous donne un conseil, hein, c’est : cassez-vous en, de vos tafs... Et choisissez-vous une autre vie ! »

« Mais pour ça, il faut jamais s’arrêter d’apprendre. Jamais s’arrêter de lire, de se renseigner, de connaître. Moi, c’est pour ça que je réponds “ présent ” dès qu’on m’annonce une fête. Même une fête où les gens ont 30 ans ou plus de moins que moi. C’est comme ça que j’apprends. En écoutant vos vies. En écoutant vos musiques. En vous voyant faire la java et être con… Si j’arrête ça, si j’arrêtais de côtoyer pour de vrai les gens avec qui je vis… Je crois que je me mettrais à ne plus comprendre ce qui m’entoure. Et je finirais aigri. » »

Via http://korben.info/news/mais-quest-ce-que-vous-foutez-a-part-vous-plaindre-rue89

« It's upgrade time! OpenStreetMap is growing, servers are projected to hit capacity by mid 2015. »

OSM lance une campagne de dons pour améliorer son matos informatique : SSD, disques durs 15k, contrôleur RAID décent, RAM, CPU.

«  Le député Jean-Jacques Urvoas, très actif rapporteur de la loi sur le renseignement et membre de la commission mixte paritaire (CMP) qui devait accorder les violons entre le Sénat et l'Assemblée Nationale, a annoncé mardi que la CMP s'était mise d'accord sur un texte commun. Le texte définitif, qui sera celui promulgué par le président de la République s'il n'est pas amputé par le conseil constitutionnel, sera adopté par l'Assemblée nationale lors d'un vote solennel programmé le 24 juin prochain.

Selon les propos de Jean-Jacques Urvoas, la CMP a apporté quelques modifications au texte (que nous analyserons lors de sa publication) [...] »

À lire absolument.

« Last week during a casual conversation I overheard a colleague saying: "The Linux network stack is slow! You can't expect it to do more than 50 thousand packets per second per core!"

That got me thinking. While I agree that 50kpps per core is probably the limit for any practical application, what is the Linux networking stack capable of? Let's rephrase that to make it more fun:

On Linux, how hard is it to write a program that receives 1 million UDP packets per second?

[...]

While we could have used the usual send syscall, it wouldn't be efficient. Context switches to the kernel have a cost and it is be better to avoid it. Fortunately a handy syscall was recently added to Linux: sendmmsg. It allows us to send many packets in one go. Let's do 1,024 packets at once.

With the naive approach we can do between 197k and 350k pps. Not too bad. Unfortunately there is quite a bit of variability. It is caused by the kernel shuffling our programs between cores. Pinning the processes to CPUs will help

[...]

While 370k pps is not bad for a naive program, it's still quite far from the goal of 1Mpps. To receive more, first we must send more packets. How about sending independently from two threads: [...] The numbers on the receiving side didn't increase. ethtool -S will reveal where the packets actually went: [...] Through these stats, the NIC reports that it had successfully delivered around 350kpps to RX queue number #4. The rx_nodesc_drop_cnt is a Solarflare specific counter saying the NIC failed to deliver 450kpps to the kernel.

Sometimes it's not obvious why the packets weren't delivered. In our case though, it's very clear: the RX queue #4 delivers packets to CPU #4. And CPU #4 can't do any more work - it's totally busy just reading the 350kpps. Here's how that looks in htop

[...]

Historically, network cards had a single RX queue that was used to pass packets between hardware and kernel. This design had an obvious limitation - it was impossible to deliver more packets than a single CPU could handle.

To utilize multicore systems, NICs began to support multiple RX queues. The design is simple: each RX queue is pinned to a separate CPU, therefore, by delivering packets to all the RX queues a NIC can utilize all CPUs. But it raises a question: given a packet, how does the NIC decide to which RX queue to push it?

Round-robin balancing is not acceptable, as it might introduce reordering of packets within a single connection. An alternative is to use a hash from packet to decide the RX queue number. The hash is usually counted from a tuple (src IP, dst IP, src port, dst port). This guarantees that packets for a single flow will always end up on exactly the same RX queue, and reordering of packets within a single flow can't happen.

[...]

This is pretty limited, as it ignores the port numbers. Many NICs allow customization of the hash. Again, using ethtool we can select the tuple (src IP, dst IP, src port, dst port) for hashing: [...] Unfortunately our NIC doesn't support it - we are constrained to (src IP, dst IP) hashing.

[...]

Since the hashing algorithm on our NIC is pretty limited, the only way to distribute the packets across RX queues is to use many IP addresses.

Hurray! With two cores busy with handling RX queues, and third running the application, it's possible to get ~650k pps!

[...]

We can increase this number further by sending traffic to three or four RX queues, but soon the application will hit another limit. This time the rx_nodesc_drop_cnt is not growing, but the netstat "receiver errors" are [...] This means that while the NIC is able to deliver the packets to the kernel, the kernel is not able to deliver the packets to the application. In our case it is able to deliver only 440kpps, the remaining 390kpps + 123kpps are dropped due to the application not receiving them fast enough.

The receiving performance is down compared to a single threaded program. That's caused by a lock contention on the UDP receive buffer side. Since both threads are using the same socket descriptor, they spend a disproportionate amount of time fighting for a lock around the UDP receive buffer.

[...]

Fortunately, there is a workaround recently added to Linux: the SO_REUSEPORT flag. When this flag is set on a socket descriptor, Linux will allow many processes to bind to the same port. In fact, any number of processes will be allowed to bind and the load will be spread across them.

With SO_REUSEPORT each of the processes will have a separate socket descriptor. Therefore each will own a dedicated UDP receive buffer. This avoids the contention issues previously encountered

1.126M pps  34.374MiB / 288.354Mb [...] This is more like it! The throughput is decent now!

More investigation will reveal further room for improvement. Even though we started four receiving threads, the load is not being spread evenly across them [...] wo threads received all the work and the other two got no packets at all. This is caused by a hashing collision, but this time it is at the SO_REUSEPORT layer.

[...]

I've done some further tests, and with perfectly aligned RX queues and receiver threads on a single NUMA node it was possible to get 1.4Mpps. Running receiver on a different NUMA node caused the numbers to drop achieving at best 1Mpps.

To sum up, if you want a perfect performance you need to:

    Ensure traffic is distributed evenly across many RX queues and SO_REUSEPORT processes. In practice, the load usually is well distributed as long as there are a large number of connections (or flows).

    You need to have enough spare CPU capacity to actually pick up the packets from the kernel.

    To make the things harder, both RX queues and receiver processes should be on a single NUMA node.

While we had shown that it is technically possible to receive 1Mpps on a Linux machine, the application was not doing any actual processing of received packets - it didn't even look at the content of the traffic. Don't expect performance like that for any practical application without a lot more work. »

« Dans son amendement numéro 2, le député écologiste a victorieusement demandé la suppression d’une disposition inscrite au premier article de cette proposition. Celle-ci prévoyait en effet une extension du blocage administratif des sites de proxénétisme ou de traites, donc sans l’aval d’un juge, qui aurait pu être décidé par une autorité à l’encontre des fournisseurs d’accès et des hébergeurs.

[...]

Si elle laisse de côté le blocage, la proposition de loi sur la prostitution vient malgré tout accentuer le rôle et la responsabilité des intermédiaires techniques. L’article 1 (I) du texte modifie la loi sur la confiance dans l’économie numérique.

FAI et hébergeurs auront du coup l’obligation de mettre en place un dispositif d’alerte pour que quiconque puisse leur signaler ces infractions (activité des réseaux de traite des êtres humains et de proxénétisme sur Internet). Ils devront en outre informer promptement les autorités publiques compétentes des signalements qu'ils reçoivent. Enfin, ils rendront publics les moyens qu'ils consacrent à la lutte contre ces activités illicites.

Ce matin, les élus écolos ont bien tenté de s’opposer à cette disposition, qui peut occasionner une mise en responsabilité des intermédiaires outre des réflexes d’autocensure. Et pour cause : « la définition du caractère illicite d’un message peut se révéler délicate, notamment parce qu’une petite annonce de prostitution n’est pas forcément assimilable à de la traite. Dès lors, il y a fort à craindre que la procédure proposée soit inefficace et source de nombreux contentieux ». Dans leur autre amendement, ils suggéraient une autre voie : « la saisine directe des services de police par le site Internet http ://www.internet-signalement.gouv.fr Cette voie est plus efficace et rapide ». L’idée a cependant été rejetée d’un revers de manche par les autres députés et le gouvernement.

Si on fait le bilan en ajoutant les dispositions législatives votées ces derniers mois (projet de loi sur l’égalité entre les femmes et les hommes, la loi contre le terrorisme, etc.) les obligations des intermédiaires concernent sur ce terrain les infractions suivantes :

    Apologie des crimes contre l’humanité
    Incitation à la haine raciale
    Pornographie enfantine
    Incitation à la violence, dont la violence faite aux femmes
    Atteinte à la dignité humaine
    Les sites de proxénétisme ou de traite des êtres humains
    Les contenus homophobes (orientation sexuelle) ou contre l’identité sexuelle
    Les contenus contre les handicapés (propos handiphobes)
    L'incitation à la commission d'actes de terrorisme
    L'apologie des actes de terrorisme »

Il reste donc la deuxième lecture au Sénat, la CMP,... bref, l'ensemble du processus législatif. Rien n'est encore gagné.

« En droit, une signature sert à indiquer un accord sur le document signé, ou au moins un accusé de réception. Quand un juge voit un document papier signé par Alice, il sait que cette dernière a tenu le document dans ses mains, et a des raisons de croire qu'Alice a lu et accepté le contenu du document. La signature fournit la preuve des intentions d'Alice. (C'est une simplification. À quelques exceptions près, vous ne pouvez pas produire un document signé au tribunal et affirmer qu'Alice l'a signé. Vous devez obtenir qu'Alice témoigne qu'elle a signé, ou recourir à des expertises, et puis c'est votre parole contre la sienne. C'est pourquoi les signatures notariées sont utilisées dans de nombreuses circonstances.)

Lorsque le même juge voit une signature numérique, il ne sait rien sur les intentions d'Alice. Il ne sait pas si Alice a accepté le document, ou même si elle ne l'a jamais vu.
Le problème est que, si une signature numérique authentifie le document jusqu'à l'étape de l'ordinateur de signature, il n'authentifie pas la liaison entre l'ordinateur et Alice. C'est un point subtil. Je voudrais une fois pour toutes expliquer les mathématiques de signatures numériques avec des phrases comme : « Le signataire calcule une signature numérique du message m en calculant m ^ e mod n. » C'est complètement absurde. J'ai signé numériquement des milliers de documents électroniques, et je n'ai jamais calculé m ^ e mod n de toute ma vie. Mon ordinateur fait ce calcul. Je ne signe rien du tout ; c'est mon ordinateur qui signe.

PGP est un bon exemple. Ce programme de sécurité de courriel me permet de signer numériquement mes messages. L'interface utilisateur est simple : quand je veux signer un message, je sélectionne l'élément de menu approprié, j'entre mon mot de passe dans une boîte de dialogue, et je clique sur « OK ». Le programme décrypte la clé privée avec le mot de passe, puis calcule la signature numérique et l'ajoute à mon courriel. Que je le veuille ou non, c'est un article de foi complet de ma part de croire que PGP calcule une signature numérique valide. C'est un article de foi d'admettre que PGP signe le message que j'entends signer. C'est un article de foi de penser que PGP n'envoie pas une copie de ma clé privée à quelqu'un d'autre, qui peut alors signer ce qu'il veut en mon nom.

Je ne veux pas calomnier PGP. C'est un bon programme, et s'il fonctionne correctement, il signera en effet ce que je voulais signer. Mais un escroc pourrait facilement écrire une fausse version du programme qui affiche un message sur l'écran et signe un autre. Quelqu'un pourrait écrire un plug-in de Back Orifice qui capte mes clés et signe les documents privés sans mon consentement ou à mon insu. Nous avons déjà vu un virus informatique qui tente de dérober les clés privées PGP ; des variantes plus méchantes sont certainement possibles.

Cela ne veut pas dire que les signatures numériques sont inutiles. Il y a de nombreux cas où les insécurités discutées ici ne sont pas pertinentes, ou lorsque la valeur en dollars des signatures est suffisamment petite pour ne pas s'en soucier. Il y a aussi des cas où l'authentification à l'ordinateur de signature est suffisamment bonne, et où aucune autre authentification n'est requise. Et il y a des cas où les relations du monde réel peuvent parer aux exigences légales que les signatures numériques ont été requises à satisfaire.

Les signatures numériques prouvent mathématiquement qu'une valeur secrète connue sous le nom de clé privée était présente dans un ordinateur au moment ou la signature d'Alice a été calculée. C'est un petit pas de plus que de supposer qu'Alice ait entré cette clé dans l'ordinateur au moment de la signature. Mais c'est un pas beaucoup plus grand de supposer qu'Alice ait eu l'intention de signer un document particulier. Et sans un ordinateur inviolable auquel Alice fait confiance, vous pouvez vous attendre à ce que des « experts en signature numérique » se présentent au tribunal pour contester un grand nombre de signatures numériques. »

Via http://korben.info/news/pourquoi-les-signatures-numeriques-ne-sont-pas-des-signatures

« Il y eut d’abord le spectre du poulet au chlore, puis la peur du bœuf aux hormones et celle des OGM, et enfin l’affolement face à des tribunaux d’arbitrage censés permettre à une entreprise lésée d’attaquer un Etat. Machine à fantasmes ou source d’inquiétudes légitime, le projet de traité transatlantique de libre-échange (TTIP) entre l’Europe et les Etats-Unis sème la pagaille au Parlement européen.

Mardi 9 juin, les députés européens, soucieux de la tournure des négociations sur le TTIP menées par la Commission, se sont accrochés sur la question de ces tribunaux, qualifiés par les plus radicaux d’« attentat contre la démocratie ». Et, faute de position commune, le vote a été reporté. »

Via http://linuxfr.org/news/revue-de-presse-de-l-april-pour-la-semaine-24-de-l-annee-2015

Tiens, la Suisse aussi révise sa législation encadrant les services de renseignement ?! Moi qui pensait que la Suisse étant comme l'Allemagne : irréprochable (https://shaarli.guiguishow.info/?z29rSg). Même que Snowden en dit du bien et que Phil Zimmermann veut y vivre. L'herbe est toujours plus verte chez le voisin, hein. Boom, bitches, deal with it ! :)

C'est affligeant, c'est le même contexte/prétexte que nous (terrorisme), les mêmes moyens (surveillance des communications sous autorisation limitée dans le temps, vue et sonorisation des lieux privés, installer des chevaux de Troie), ils ont aussi un Cazeneuve/Valls local (Ueli Maurer),... Reste à voir les contre-pouvoirs prévus.


« Le projet de loi sur le renseignement vise à donner davantage de moyens au Service de renseignement de la Confédération, notamment pour lutter contre le terrorisme.

Le texte, accepté en mars par le Conseil national, doit maintenant passer devant le Conseil des Etats. Rejeté par la gauche, qui brandit la menace d'un référendum, il suscite de vives inquiétudes concernant la protection des données.

[...]

Pour le conseiller fédéral Ueli Maurer, la réponse est toute trouvée: "Il faut réduire la liberté d’une minorité de criminels pour garantir celle de la majorité des gens".

[...]

Le SRC pourrait donc procéder à des "recherches spéciales":
  - Surveiller des communications (courriers, téléphone, courriel) moyennant une autorisation limitée dans le temps.

  - Observer des faits dans des lieux privés (et au besoin y installer des micros)

  - Perquisitionner secrètement des systèmes informatiques et y installer des "chevaux de Troie"

[...]

La majorité du Conseil national a estimé nécessaire, lors de la session de printemps du Parlement en mars dernier, d'offrir davantage de moyens au Service de renseignement de la Confédération (SRC) afin, notamment, de lutter contre le terrorisme. La Chambre basse a donc accepté le projet de nouvelle loi sur le renseignement (LRens).

Les exactions du groupe Etat islamique ainsi que les attentats de Paris et de Copenhague en janvier dernier ont joué un rôle déterminant dans le débat.

De nombreuses craintes ont toutefois été formulées par les partis de gauche, notamment celle d'une nouvelle "affaire des fiches" ou d'une surveillance généralisée du réseau internet. »

« La signature de cercle (Ring signature), aussi appelé signature d'anneau, est un procédé cryptographique permettant à une personne de signer électroniquement de façon anonyme un message ou un document au nom d'un "cercle". Les membres de ce cercle sont choisis par l'auteur de la signature et ne sont pas nécessairement informés de leur implication dans la création de la signature électronique. La seule contrainte est qu'ils doivent tous avoir une clef cryptographique publique.

[...]

Comme l'indique le titre de l'article où elle est décrite pour la première fois, How to Leak a Secret1, le but premier de cette signature est de permettre la fuite d'information.
Dans cet article est donné l'exemple d'un membre d'un cabinet ministériel voulant donner à un journaliste des informations sur le premier ministre. Il ne désire évidemment pas divulguer son identité, mais souhaite que le journaliste sache que la fuite vient du cabinet et non pas d'un plaisantin. La signature de cercle lui permet ainsi de signer en tant que membre du cabinet ministériel, et non en tant qu'individu, sans que ses collègue soient au courant, ni que quiconque puisse remonter à lui, contrairement à la signature de groupe (en)qui impose une coopération des membres inclus dans la signature et la possibilité de pour une personne déterminé à l'initialisation de connaître l'identité du signataire. »