6120 links
  • GuiGui's Show
  • Home
  • Login
  • RSS Feed
  • ATOM Feed
  • Tag cloud
  • Picture wall
  • Daily
Links per page: 20 50 100
◄Older  
page 255 / 306
Newer►
  • Devant l’Assemblée, des valises-espionnes ? « Pas assez de preuves » - Rue89 - L'Obs
    « « Des “Imsi Catchers” espions devant l’Assemblée ? » titre FranceInfo.fr : la radio a diffusé sur son site ce jeudi matin une interview de la porte-parole de la Quadrature du Net, Adrienne Charmet, qui affirme que deux de ces appareils permettant d’intercepter des conversations téléphoniques avaient été détectés pendant la manifestation de lundi contre le projet de loi sur le renseignement.

    [...]

     « Il n’y a pas assez de preuves »

    « Je pense qu’il faut y aller avec des pincettes », minimise néanmoins Adrienne Charmet au téléphone avec Rue89. Plusieurs personnes proches de l’association, dont Julien Rabier (@taziden), ont en fait détecté lundi la présence d’appareils type Imsi Catcher sur des applications mobiles précisément conçues pour détecter les faiblesses du réseau.

    [...]

    Pour s’assurer de cette découverte, des membres de l’association sont retournés à proximité de l’Assemblée pour vérifier la présence de signaux . Rien n’est alors apparu sur les radars et Adrienne Charmet explique avoir rappelé le journaliste de France Info pour lui apporter cette précision.

    La prudence est en effet de mise, car plusieurs scénarios sont envisageables. Et tous ne pointent pas forcément vers un espionnage mis en œuvre par les services de l’Etat :

        la première option peut tout simplement être une défaillance des applications mobiles utilisées. Sur Twitter, de nombreux experts du réseau mobile expliquent que ces dernières manquent de fiabilité et peuvent signaler une antenne d’un opérateur tout ce qu’il y a de plus classique ;

        la seconde possibilité est la présence, réelle, d’appareils équivalents aux Imsi Catchers, le jour de la manifestation. Mais là encore, rien n’assure aujourd’hui que ces équipements étaient pilotés par des services. Adrienne Charmet le reconnaît volontiers :

        « Il n’y a pas assez de preuves. Je doute d’une coïncidence mais il pourrait très bien s’agir de petits malins. »

    Contacté, le ministère de l’Intérieur n’a pas encore répondu à nos questions.

    [...]

    Panoptique

    Le problème, c’est que nous n’aurons probablement jamais le fin mot de l’histoire. Sauf si un agent se sent une âme de lanceur d’alerte, et souhaite nous contacter – qu’il n’hésite pas.

    C’est par là que l’anecdote prend d’ailleurs un sens nouveau. « Quelle que soit la réalité de qui a fait ça, pourquoi et pendant combien de temps, ça illustre parfaitement la crainte engendrée par le projet de loi », soulève Adrienne Charmet.

    Et en effet, cette histoire reflète parfaitement l’impasse dans laquelle cette logique de surveillance automatisée, invisible et massive, et aujourd’hui portée en France dans le projet de loi sur le renseignement, nous place. A savoir dans une incertitude complète. Sans qu’il soit possible de savoir si notre inquiétude vis-à-vis du respect de nos libertés relève de la vigilance légitime ou de la paranoïa excessive.

    C’est le panoptique en acte : nous voilà prisonnier de cette fameuse cellule, en sachant que l’on peut être observé mais sans savoir si on l’est vraiment. Sauf, et on y revient, si un lanceur d’alerte se décide à nous révéler que nous sommes effectivement scrutés. Et comment. »

    Via https://twitter.com/FradiFrad/status/588731534569394176
    April 19, 2015 at 5:44:14 PM UTC - permalink - http://rue89.nouvelobs.com/2015/04/16/devant-lassemblee-valises-espionnes-assez-preuves-258704
  • Loi Renseignement : le gouvernement feint de corriger les « boites noires » - Next INpact
    Voir aussi : http://www.nextinpact.com/news/93871-loi-renseignement-eu-org-et-altern-org-plient-bagage-gandi-explique.htm

    De l'enfumage de la part des hébergeurs comme OVH et Gandi pour tenter de faire croire qu'ils ont changé la donne alors qu'il n'en est rien (ils servent leurs intérêts de ne pas voir les barbouzes installer eux-même leur matos dans leurs DC), ayez confiance en nous, nous sommes du bon côté. Tssss... Business is business.

    « C'est technique, mais en clair, cela ne va pas changer grand chose. Si la boîte noire ne pourra être mise en œuvre dans le cadre d’une procédure d’urgence (821-5)

    [...]

    Selon le gouvernement, les opérateurs auront la possibilité de s’assurer par eux-mêmes que les données de contenu seront exclues de la mise en œuvre de ces traitements (exposé des motifs). Mais c'est faux : l'article 242-9 prévoit surtout que les opérations matérielles pourront être mises en oeuvre par les intermédiaires concernés, pas qu'ils pourront regarder dans la boîte noire, nuance... En gros, ils installeront la boite sur cette table ou dans ce coin, mais pas davantage.

    Au-delà, cet amendement n'est qu'une simple redondance, un rappel de l'autorisation programmée, rien de plus musclé. Pas sûr donc que cela éteigne le mouvement de contestation, notamment chez ceux inquiets des potentialités de surveillance généralisée. »


    L'infographie de Gandi est particulièrement erronée :
      * Ce n'est pas la CNCTR qui définit le périmètre, le champ d'action et la durée, cette commission n'a qu'un avis consultatif.

      * Comment les hébergeurs comptent-ils juger de la légitimité d'une demande de surveillance pour vérifier qu'elle répond bien à l'anti-terrorisme, qu'elle est ciblée, que ceci ou que cela dans un texte de loi où le secret défense est la norme ?! Cela est du ressort de la CNCTR fantôme...

      * « Métadonnées -> pas de données à caractère personnel ni de contenus ». L-O-L. Déjà expliqué maintes fois, je ne recommence pas. Même la CNIL l'a dit : les métadonénes sont autant voire plus intéressantes que le contenu car elles permettent d'établir le graphe des relations : qui parle avec qui, combien de temps, à quelle fréquence, quel est le poids des échanges ?

      * La dés-anonymisation se fait à la demande du premier ministre sous l'avis consultatif de la CNCTR, il n'y a pas de juge, ni administratif ni encore moins judiciaire.

    Et les boîtes noires chez les FAI et FSI, elles fonctionnent comment, elles ? Car oui, les promesses du gouvernement ne tiennent que pour les hébergeurs. :)
    April 19, 2015 at 4:00:08 PM UTC - permalink - http://www.nextinpact.com/news/93839-loi-renseignement-gouvernement-feint-corriger-boites-noires.htm
  • Plug and Prey: Malicious USB Devices [ Interdire tous les périphériques USB sauf ceux autorisés]
    Ce que je cherche à faire : ne pas autoriser tout nouveau périphérique USB à initier une session data avec mon GNU/Linux. Dit autrement : je veux refuser tous les périphériques USB sauf ceux que j'ai explicitement autorisés. Je souhaite que ces restrictions s'appliquent à toutes les classes de périphériques (et pas seulement aux périphériques de stockage de masse USB, par exemple). Je souhaite lever cette restriction quand mon laptop est chez moi. Avantage : un périphérique (comme un ordinateur de poche) peut être alimenté sans avoir à lever la restriction.

    Dans les solutions pas vraiment satisfaisantes, on a :
        * Utiliser grsecurity et son option sysctl deny_new_usb. Cf : https://en.wikibooks.org/wiki/Grsecurity/Print_version#Deny_new_USB_connections_after_toggle . Problème : pas inclus dans les noyaux compilés par Debian donc "coût" de maintenance ;

        * Désactiver tout un bus USB : echo 0 > /sys/bus/usb/drivers/usb/usb1/authorized . Problème : les périphériques autorisés ne fonctionnent plus non plus ;

        * Désactiver les périphériques branchés un à un dans un script. Exemple : echo 0 > /sys/bus/usb/drivers/usb/1-1/authorized . Problème : débrancher/rebrancher le périphérique et ça repart.

        * Utiliser les fonctions d'économie d'énergie dont autosuspend (power/autosuspend_delay_ms, power/control) : ça ne peut pas fonctionner puisqu'il y aura autoresume au branchement d'un périphérique, c'est tout l'objet de l'économie d'énergie.


    Et la solution qui remplie le cahier des charges, un script udev que l'on met dans /etc/udev/rules.d/01-usblockdown.rules et qui contient :
    #Script by Adrian Crenshaw
    #With info from Michael Miller, Inaky Perez-Gonzalez and VMWare

    #By default, disable it.
    ACTION=="add", SUBSYSTEMS=="usb", RUN+="/bin/sh -c 'for host in /sys/bus/usb/devices/usb*; do echo 0 > $host/authorized_default; done'"

    #Enable hub devices. There may be a better way than this.
    ACTION=="add", ATTR{bDeviceClass}=="09", RUN+="/bin/sh -c 'echo 1 >/sys$DEVPATH/authorized'"

    #Other things to enable
    ACTION=="add", ATTR{idVendor}=="046d", ATTR{idProduct}=="0809", RUN+="/bin/sh -c 'echo 1 >/sys$DEVPATH/authorized'"
    ACTION=="add", ATTR{serial}=="078606B90DD3", RUN+="/bin/sh -c 'echo 1 >/sys$DEVPATH/authorized'"
    ACTION=="add", ATTR{product}=="802.11 n WLAN", RUN+="/bin/sh -c 'echo 1 >/sys$DEVPATH/authorized'"
    #ACTION=="add", ATTR{idVendor}=="413c", ATTR{idProduct}=="2106", RUN+="/bin/sh -c 'echo 1 >/sys$DEVPATH/authorized'"


    Autoriser un nouveau périphérique en permanence : l'ajouter à ce jeu de règles udev. Pour trouver les attributs d'un périphérique : udevadm info -a -p /sys/bus/usb/devices/1-1 ou /var/log/kern.log à la connexion du périphériques pour obtenir les attributs les plus importants.


    Désactiver le blocage et autoriser un périphérique temporairement : for host in /sys/bus/usb/devices/usb*; do echo 1 | sudo tee $host/authorized_default; done
    Le prochain périphérique USB connecté sera utilisé et déclenchera l'application du jeu de règles udev ci-dessus qui re-interdiront tout sauf les périphériques autorisés. À sa déconnexion, le périphérique ne pourra plus être reconnecté sans votre accord.


    Pour désactiver le blocage de manière permanente : sudo mv /etc/udev/rules.d/01-usblockdown.rules ~/ ; for host in /sys/bus/usb/devices/usb*; do echo 1 | sudo tee $host/authorized_default; done
    April 19, 2015 at 1:11:53 PM UTC - permalink - http://www.irongeek.com/i.php?page=security/plug-and-prey-malicious-usb-devices#3.2_Locking_down_Linux_using_UDEV
  • tftpd(8) - Linux man page
    Un serveur tftp rapide sous Debian ?
        * apt-get install tftpd
        * mkdir /srv/tftp
        * Mettre les fichiers à distribuer dans ce dossier
        * service openbsd-inetd restart

    Et pour que votre serveur tftp soit accessible en IPv4 et IPv6 : « udp6 » au lieu de « udp » dans /etc/inetd.conf sur la ligne concernant tftp.
    April 18, 2015 at 11:25:34 PM UTC - permalink - http://linux.die.net/man/8/tftpd
  • J4813A HP ProCurve 2524 Switch - Download software
    Si vous avez un Procurve 2524 avec un vieux firmware et que la fonctionnalité STP vous intéresse, pensez à mettre à jour le firmware : des cas de boucles ne sont pas détectés dans les anciennes versions du firmware.
    April 18, 2015 at 11:07:16 PM UTC - permalink - https://h10145.www1.hp.com/Downloads/SoftwareReleases.aspx?ProductNumber=J4813A&lang=en&cc=us&prodSeriesId=51079
  • Understanding Unicast Reverse Path Forwarding - Cisco Systems
    « When administrators use Unicast RPF in loose mode, the source address must appear in the routing table. Administrators can change this behavior using the allow-default option, which allows the use of the default route in the source verification process. Additionally, a packet that contains a source address for which the return route points to the Null 0 interface will be dropped.»

    Donc il est possible de nullrouter la source d'une attaque et non pas la destination comme on le voit d'habitude (c'est une mesure utilisée en dernier recours, quand le service attaqué est mort et que donc une nullroute ne le rendra pas moins accessible aux utilisateurs légitimes qu'il ne l'est déjà).

    Équivalent Linux :
        1) Créer une table de routage dans /etc/iproute2/rt_tables
        2) ip r a blackhole default table <nom_table> / ip -6 r a unreachable default table <nom_table>
        3) Et pour chaque IP src à nullrouter : ip rule add from <IPv4>/32 table <nom_table> / ip -6 rule add from <IPv6> table <nom_table>
    April 17, 2015 at 2:35:14 PM UTC - permalink - http://www.cisco.com/web/about/security/intelligence/unicast-rpf.html
  • perltidy - a perl script indenter and reformatter
    Absolument indispensable pour rendre lisibles des scripts perl parfaitement illisibles (car très mauvaise indentation, par exemple).
    April 16, 2015 at 3:31:46 PM UTC - permalink - http://perltidy.sourceforge.net/perltidy.html
  • Loi sur le renseignement : « Le député lambda ne dispose d’aucune source »
    « On a amputé la capacité du Parlement à faire son travail. L’actuel président de la commission des lois disait naguère, au sujet de Nicolas Sarkozy, alors chef de l’État, « ce président n’aime pas le Parlement ». Je constate qu’aujourd’hui, c’est la même chose. Je fais partie des gens qui ont travaillé sur ce texte de loi et j’ai bien conscience que je n’ai pas réellement de vision sur ce monde du renseignement qui reste un sujet très difficile d’accès pour le Parlement. Le député lambda ne dispose d’aucune source.

    [...]

    Ce « travail coopératif » évoqué par M. Urvoas fait référence au dialogue avec les seuls services de renseignement qui ont, en effet, été associés aux travaux préparatoires. Mais les avocats, par exemple, ou les opérateurs Internet ou de téléphonie ou même, à bien des égards, les organismes de contrôle indépendant, eux, sont restés à l’écart de cette coopération.

    [...]

    Ce texte n’est, en effet, pas un texte antiterroriste. Le gouvernement, pour des raisons tactiques, avait choisi de le positionner sous forme de réponse à l’émotion des attaques de janvier à Paris. Mais, après avoir entendu le discours du premier ministre, il semble bien que l’antiterrorisme soit le seul credo du pouvoir politique sur cette loi renseignement. Et gare à ceux qui émettent des réserves ! Les mots ont fusé, « ignorants », « fantasme », « outrance »…

    [...]

    Le texte dit que ces moyens pourront être utilisés lorsque les intérêts de la France seront menacés, notamment, à l’étranger. Mais pour la Libye, par exemple, les choses ont évolué, le colonel Kadhafi a été l’hôte de la France puis on lui a fait la guerre. Contrevenir aux intérêts de la France est une notion floue.

    [...]

    Les groupes du CAC 40 vont donc bénéficier du renseignement français. Mais ne risque-t-on pas de se perdre dans une certaine confusion ? Ces entreprises sont souvent des multinationales. Nous serions donc souverains pour deux car fiscalement elles pourraient échapper, on l’a vu, à l’impôt en France mais recevraient des informations confidentielles collectées au nom de la défense de notre économie nationale.

    [...]

    Face aux menaces, il y a deux options majeures : le renforcement de la démocratie ou le renforcement d’un système sécuritaire. Le gouvernement a choisi la deuxième voie. Le renseignement est, aujourd’hui, le dernier territoire de véritable souveraineté et l’Etat entend que personne ne vienne y regarder de trop près. »

    Via http://shaarli.cafai.fr/?q6N_Kw
    April 16, 2015 at 10:18:41 AM UTC - permalink - http://www.lemonde.fr/societe/article/2015/04/15/loi-sur-le-renseignement-le-depute-lambda-ne-dispose-d-aucune-source_4616574_3224.html
  • Apache Java Commons Collections
    Bien vu, les multimap (stocker plusieurs objets avec une même clé pour y accéder).

    MultiMap<Integer, String> testMM = new MultiValueMap<Integer,String>();
    testMM.put(1, "toto");
    testMM.put(1, "titi");
    testMM.put(2, "lala");
    System.out.println(testMM.get(1));=> [toto, titi]

    Évidemment, ça fonctionne avec n'importe quels objets en clés/valeurs.

    Pas mal aussi l'implémentation d'un arbre Radix (cf : http://shaarli.guiguishow.info/?GZW_8g). Mais attention : ce n'est pas prévu pour le stockage/recherche d'adresses/réseaux IP (car c'est de la comparaison bit-à-bit de string qui ne tient donc pas compte du masque). Contre-démo :
    PatriciaTrie<Integer> test = new PatriciaTrie<Integer>();
    test.put("0.0.0.0/0", 0);
    test.put("8.8.8.0/24", 15169);
    //test.put("89.234.141.0/24", 60630);
    System.out.println(test.select("89.234.141.141"));
    => Entry(key=8.8.8.0/24 [12], value=15169, parent=0.0.0.0/0 [10], left=0.0.0.0/0 [10], right=8.8.8.0/24 [12], predecessor=8.8.8.0/24 [12])

    ÉDIT DU 10/05/2015 : il existe aussi Guava, https://github.com/google/guava, anciennement Google Collections. Guava propose des TreeMultiMap donc il est possible de trier une Multimap, ce que ne propose pas MultiMap (l'implémentation de l'Apache Foundation). FIN DDE L'ÉDIT.
    April 15, 2015 at 5:42:38 PM UTC - permalink - https://commons.apache.org/proper/commons-collections/
  • Life tips : tout ce que j'aurais aimé savoir à 18 ans - HowTommy
    Je suis en désaccord sur certains points (exemple : ne pas culpabiliser sur le fait de procrastiner, n'est-ce pas le meilleur moyen de ne jamais rien faire de sa vie ?, ignorer l'avis des autres oui mais avec modération (je vous renvoie sur les divagations de Sartre sur autrui)) et il manque des choses essentielles comme faire des choses utiles pour la société (exemples : de l'associatif utile, défense de grandes causes, défense des libertés,...) sinon vivre n'a aucun intérêt.

    Via http://sebsauvage.net/links/?6DQQjQ
    April 15, 2015 at 11:51:11 AM UTC - permalink - http://blog.howtommy.net/index.php?d=2015/04/13/15/24/26-life-tips-tout-ce-que-jaurais-aime-savoir-a-18-ans
  • xkcd: Horoscopes
    :D
    April 15, 2015 at 11:34:57 AM UTC - permalink - https://xkcd.com/1512/
  • Après les paradis fiscaux, les paradis numériques - Le blog de Stéphane Soumier
    Point de vue intéressant, à lire.

    « Parce que le projet de loi sur le renseignement qui entre en discussion à l'Assemblée va imposer un contrôle permanent de l'ensemble de ces données avec "la mise en place de boites noires au contour flou dans les infrastructures". L'Etat veut se donner les moyens de ne rien rater d'un éventuel échange de données pour monter une action terroriste, et pour cela veut pouvoir, en théorie, tout surveiller et va donc imposer ces "boites noires" au coeur des Data center du pays.

    [...]

    Disons, pour finir de savoir de quoi l'on parle, que dans quelques années assembler des voitures va devenir ce qu'on appelle une "commodité", une action économique sans valeur ajoutée. C'est bien le système de contrôle numérique de la voiture qui détiendra toute la valeur.

    Or, ces raffineries numériques géantes abriteront l'ensemble des systèmes de contrôle, comme elles abritent déjà quantités de secrets économiques. Tout y est, tout y sera de plus en plus: des plans, des stratégies, des brevets, des données clients... Et c'est bien cela d'ailleurs qui a aidé à la croissance d'OVH. Parce que beaucoup de ces secrets ont quitté les Etats Unis ces dernières années depuis que Washington a mis en place des systèmes de surveillance comparables. D'ailleurs OVH s'est développé au Canada et pas aux US pour rassurer ses clients justement.
    Il est clair que si l'Etat français donne à son administration les moyens légaux de regarder l'ensemble du trafic numérique du pays, un état français, d'autre part, actionnaire important d'entreprises industrielles majeures, comment pensez vous que les concurrents de ces entreprises industrielles majeures vont-ils réagir? En allant voir ailleurs si on y est! Et OVH n'aura pas le choix, il faudra bien qu'il y soit, au Luxembourg ou en en Allemagne, par exemple (Klaba, qui a grandi dans la Pologne communiste, est persuadé que l'Allemagne ne mettra jamais en place une telle législation du fait des souvenirs de la Stasi).

    Et donc, tiens, on retrouve le Luxembourg. Je trouve éclairante la comparaison avec les paradis fiscaux. Va-t-on voir se développer une économie de "l'évasion numérique", des pays qui garantiront le secret absolu sur les données hébergées sur leur sol et capteront les data center du monde ? (Je vais vite mais il ne faut pas sous estimer la masse industrielle que cela représente, ces data center ont besoin d'énergie, d'énormément d'énergie, et donc les infrastructures de production suivront nécessairement, et avec elles les infrastructures d'entretien, d'hébergement, de loisir... mais je m'égare...) »
    April 13, 2015 at 11:29:16 AM UTC - permalink - http://eco-vibes.over-blog.com/2015/04/apres-les-paradis-fiscaux-les-paradis-numeriques.html
  • ▶ J'AI PAS VOTÉ - FILM COMPLET -STFR-ENG - 46 mn - YouTube
    Un documentaire en faveur du tirage au sort (mais pas que) en politique. Le ton est plutôt lourd et on revoit en boucle les mêmes intervenants et les mêmes illustrations mais il y a des choses intéressantes (même s'il n'y pas de surprise, tendance "on s'en doutait pas du tout"...) : modèle représentatif versus direct d'un point de vue historique, aristocratie (les "meilleurs" gagnent les élections), corruption de l'appareil politique (voir aussi : http://shaarli.guiguishow.info/?0kIOpA), les élections servent uniquement à légitimer les représentants et le système de manière générale, limites de la représentativité (on retrouve J-J Rousseau), l'école de la république et le gavage des citoyens au sujet des élections (démocratie = élections avec en prime la super blague des délégués de classe qui ne servent à rien (sauf à légitimer le système et le fonctionnement de l'établissement scolaire) et qui ont juste le droit de fermer leur gueule une fois élus (j'ai donné, je sais de quoi je parle)).

    Tirage au sort + compensation financière pour les journées de travail "manquées" (en attendant une robotisation plus importante ou un revenu de base mais c'est d'autres sujets), pourquoi pas. Restera à combler d'autres lacunes :
        * La corruption des tirés au sort ne sera pas impossible par de puissants lobbies, juste plus compliquée compte-tenu de la rotation des tirés au sort.

        * Tout le monde n'est pas à l'aise pour s'exprimer, débattre sur ses idées, se confronter, ni à l'aise avec le vocabulaire d'un domaine (attention, je ne parle pas de quelque chose que l'éducation ou la formation peuvent résoudre mais quelque chose de plus profond tendance habitus culturel et capital culturel), comment garantir une équité entre les tirés au sort (il ne suffit pas d'avoir les mêmes droits et devoirs pour que ceux-ci s'appliquent et qu'un tiré au sort ne soit pas écrasé par un ou plusieurs autres).
    April 13, 2015 at 12:06:53 AM UTC - permalink - https://www.youtube.com/watch?v=uzcN-0Bq1cw
  • Deuxième mail à mon député à propos du projet de loi relatif au renseignement
    Ouais, j'ai encore décidé de perdre une partie de mon après-midi de repos à contacter mon représentant qui m'ignore (c'est toujours mieux que sa prédécesseuse, qui, de visu, marquait clairement son ennui et son jemenfoutisme) au sujet du projet de loi relatif au renseignement dont l'examen par l'Assemblée commencera demain.

    « Monsieur le Député,

    Je fais suite à mon mail « À propos du projet de loi relatif au renseignement » du 01/04/2015 dont je n'ai pas reçu de réponse de votre part. Même si je déplore ce fait, je souhaite une nouvelle fois vous exposer mes craintes justifiées et mes arguments contre ce projet de loi.

    Le projet de loi relatif au renseignement a été amendé en commission des lois au début du mois d'avril et sera examiné en séance plénière à partir de demain (lundi 13 avril à 16h).


    Malgré les amendements adoptés, ce projet de loi n'est toujours pas satisfaisant pour les raisons suivantes (liste non exhaustive et personnelle) :
    * Les finalités pour lesquelles le recours aux techniques de renseignement sera autorisé ainsi que les services de l'État qui pourront utiliser ces techniques de renseignement ont déjà été étendus et élargis en commission des lois alors que ce texte n'est pas encore en vigueur. Cela laisse craindre des élargissements futurs qui, comme les finalités actuelles, seront à même de porter atteinte, de manière injustifiée, à des mouvements sociaux et politiques légitimes et, de manière plus générale, à tout citoyen ;

    *  Un grand flou entoure toujours les fameuses boîtes noires qui seront installées au coeur des réseaux des fournisseurs d'accès à Internet, des fournisseurs de services et des hébergeurs informatiques français et dont les algorithmes (dont il n'est toujours pas dit s'ils seront vérifiés et par qui ils le seront) devront identifier des comportements suspects (qu'est-ce qu'un comportement suspect ? qui en décidera ?). Ces dispositifs peuvent conduire uniquement à l'auto-censure des citoyens et à des dérives totalitaires sans précédent.

    * La durée de conservation des données de connexion des personnes identifiés par un algorithme (5 ans) est totalement démesurée puisque ces données permettent de tracer l'intégralité d'une vie (contacts, fréquences et durée des échanges, sites web consultés, démarches effectuées, opinions, préférences (religieuses, politiques, sexuelles,,...). Pour rappel, la Cour de justice de l'Union européenne a sabré la directive de 2006 sur le stockage des données de connexion par les fournisseurs d'accès à Internet/fournisseurs de services Internet au motif d'une durée de conservation trop longue alors qu'elle est d'un an ;

    * La CNCTR, commission chargée du contrôle légal des techniques de renseignement, manquera de pouvoir, de moyens, de temps et ne pourra donc pas exercer son activité de manière à garantir la sûreté (au sens de la Déclaration des Droits de l'Homme et du Citoyen de 1789) aux citoyens. Cette commission est consultative (le Premier ministre peut l'ignorer) et elle ne peut faire directement stopper les activités illégales qu'elle constate (elle doit passer par le Premier ministre puis par le Conseil d'État). L'étude d'impact est indigente sur l'évaluation budgétaire. Dans tous les cas excépté les demandes d'autorisation, il faut que la commission soit à l'initiative de la récupération des données/documents lui permettant d'effectuer son travail. La composition de cette commission laisse craindre un vrai manque de temps dans l'agenda professionnel des personnes qui la compose (députés, sénateurs, magistrats) pour mener à bien les missions qui lui sont confiées ;

    * Ce texte confie toujours l'intégralité du pouvoir et du décisionnel à l'exécutif, ne fait toujours pas appel au pouvoir judiciaire pour contrebalancer cet immense pouvoir et ne met toujours aucune vraie garantie pour éviter les dérives sauf pour quelques professions sensibles (avocats, parlementaire, journaliste) et uniquement contre les techniques les plus "violentes" comme les IMSI catcher ;

    * Le citoyen dispose toujours d'aucun vrai recours : tout est couvert par le secret défense donc il ne se sait pas surveillé, il faut un motif pour saisir la CNCTR (« intérêt direct et personnel »), la CNCTR et le Conseil d'État répondent uniquement avec une sorte de lettre type "aucune illégalité n’a été commise", le droit d'accès indirect (via la CNIL) est raboté pour répondre au besoin du secret défense,...


    Par ailleurs, je vous invite à lire l'interview suivante, de M. Octave Klaba, CEO de l'entreprise française OVH, troisième hébergeur informatique mondial : <http://www.lesechos.fr/tech-medias/hightech/0204293839757-octave-klaba-en-pologne-communiste-jai-connu-ce-genre-de-regime-1110227.php>;. Pour vous y inciter, je me permets la citation de deux passages clés de cet interview :
    * « Qui prend cette décision ? Dans quel cadre ? Tout cela doit être encadré par un juge. En tout cas, le projet de loi va permettre la surveillance de masse de la société française. Peut-être qu’en venant de Pologne communiste, je sur-réagis. Mais j’ai connu ce genre de chose dans mon enfance. C’était il y a à peine 25 ans. On est proche des pires régimes. En Chine, c’est une réalité. Il y a une énorme incohérence entre l’objectif et les méthodes utilisées. »

    * « Nous avons annoncé un plan d’investissement de 400 millions d’euros sur trois ans. Nous devons décider d’ici à septembre comment répartir cette somme et où investir. Si la loi est votée, nous irons mettre nos serveurs ailleurs. Actuellement, en France, nos principaux « data centers » sont situés à Roubaix, à Gravelines et à Strasbourg. Si la loi passe, nous irons de l’autre côté de la frontière au Royaume Uni, en Allemagne… Si nous ne le faisons pas, il faudra nous résoudre à voir nos clients partir : 40 % de notre activité concerne des clients étrangers (de Singapour, des Etats-Unis, d’Italie, etc.). Les Allemands, pour des raisons historiques, sont très soucieux de ces questions de surveillance. »


    De plus, je vous invite à lire l'article de presse suivant dont je partage totalement la prise de position : <https://reflets.info/pjlrenseignement-le-pistolet-qui-tire-dans-le-pied-des-politiques/>;. Je me permets une fois de plus de citer l'essence de ce texte :
    * « Lorsque les révélations du Monde sur l’affaire Woerth-Bettencourt deviennent gênantes pour le pouvoir en place, l’équipe de Nicolas Sarkozy, alors président, demande au patron du renseignement intérieur d’identifier la source du Monde. Sans procédure judiciaire, les services vont se procurer les fadettes (les listes détaillées des appels téléphoniques) des journalistes du quotidien du soir. [...] L’affaire est jugée et Bernard Squarcini, condamné pour cela. »

    * « Et demain, avec des grosses « boites noires » bardées d’algorithmes [...] placées chez les FAI, que va-t-il se passer ? Rappelons que pour fonctionner, les algorithmes prédictifs des services de renseignement devront analyser les données. Ces données, ce sont tous nos échanges [...]. Ce qui va se passer, c’est que très probablement, l’exécutif aura a sa discrétion un outil lui permettant de tout savoir sur à peu près n’importe qui. Massif ou pas, chalut ou harpon, peu importe. L’outil est là et peut cibler telle ou telle personne avec une précision chirurgicale et une efficacité totale. »

    * « Lorsque l’alternance aura joué, les responsables de l’opposition seront à la merci d’un nouvel exécutif et de ses boites noires. Bien entendu, on a peu de mal à entrevoir ce que ferait le Front National avec un tel outil. Mais il ne faut pas non plus beaucoup d’imagination pour évaluer ce qu’en feraient [...] Nicolas Sarkozy, Claude Guéant ou Brice Hortefeux… »


    Enfin, je souligne à nouveau que plus de 30 organisations et personnalités qui vont bien au-delà du militant ont exprimé de sévères critiques à l'encontre de ce projet de loi voire s'y sont fermement opposés. Ces organisations vont du secteur économique (les hébergeurs informatiques OVH, Online, Gandi, l'Association des services Internet communautaires, ...) à des personnalités (Jean-Marie Delarue (CNCIS), Marc Trévidic (juge antiterroriste),...) en passant par des syndicats et regroupements professionnels (le Syndicat de la Magistrature, le Syndicat national des journalistes, l’Ordre des avocats de Paris, le Syntec Numérique,...), des associations de défense des libertés (La Quadrature du Net, Amnesty International, Reporters Sans Frontières,...) et des institutions (CNIL, ARCEP, la Commission du numérique, la Commission nationale consultative des droits de l’homme,...). Pour moi, c'est un marqueur fort indiquant que ce texte n'est pas mûr et doit encore être discuté.


    Je vous demande expressément à nouveau de prendre une position ferme et d'agir en faveur des libertés, de rejeter ce texte tant que les points problématiques n'ont pas été résolus (restreindre les finalités, supprimer les boîtes noires, organiser un vrai contrôle des services de renseignement, apporter de solides garanties aux citoyens, ...) et de faire naître et grandir un débat construit, rationnel et démocratique au sein de notre Assemblée.


    Cordialement. »
    April 12, 2015 at 8:04:50 PM UTC - permalink - http://shaarli.guiguishow.info/?mbOxrA
  • Appel à manifestation : non à la surveillance généralisée ! | La Quadrature du Net
    Appel à manifestation le lundi 13 avril 2015 à 12h30, place Edouard Herriot (près de l'Assemblée nationale), à Paris contre le projet de loi relatif au renseignement.

    « Les débats sur le projet de loi relatif au renseignement débuteront lundi 13 avril 2015 à l'Assemblée nationale.

    Le gouvernement a fait le choix de confisquer le débat démocratique en soumettant ce texte à la procédure accélérée et en entretenant la confusion sur l'objet de ce texte, présenté à tort comme une loi antiterroriste. L'urgence décrétée renvoie dans l'ombre le véritable sujet : les pouvoirs de surveillance de l’État sur les citoyens.

    [...]

    Les méthodes de surveillance sont massives, le contrôle inconsistant. Le texte issu de la Commission des lois porte un déséquilibre liberticide : l'usage des techniques de surveillance est entre les mains de l'exécutif, sans contrôle solide. La Commission nationale de contrôle des techniques de renseignement, soi-disant garante des libertés, ne disposera ni des pouvoirs ni des moyens nécessaires pour accomplir sa mission. Le Premier ministre pourra toujours passer outre son avis, et elle ne pourra rien interrompre par elle-même. Le gouvernement se refuse à assurer un contrôle systématique et indépendant a priori des demandes des services et organise un contrôle a posteriori illusoire. La saisine du juge administratif restera aléatoire et la procédure asymétrique, les principes processuels fondamentaux cédant devant le secret défense.

    Tous les citoyens sont concernés : non seulement parce que les méthodes relèvent de la surveillance de masse, mais aussi parce que le texte étend dangereusement le champ d'action des services spécialisés. La surveillance pourra s'abattre sur les mouvements sociaux et politiques, au titre de la « prévention des violences collectives » et sur tout citoyen ou mobilisation qui, dénonçant des pratiques industrielles néfastes, porterait atteinte aux « intérêts économiques ou industriels essentiels de la France ». Ce projet est une menace pour les libertés politiques et les mobilisations à venir.

    La liberté et la sûreté, droits naturels et imprescriptibles reconnus par la Déclaration des droits de l'Homme et du citoyen, sont en péril.

    Citoyens et parlementaires doivent refuser ce simulacre de débat et exiger une discussion démocratique protégeant chacun contre les dérives d'une société de surveillance et assurant un contrôle strict et indépendant de l'activité des services de renseignement.

    L’Observatoire des libertés et du numérique (OLN) vous appelle à amplifier le mouvement de contestation actuel contre ce projet de loi, en nous rassemblant nombreux le lundi 13 avril 2015 à 12h30, place Edouard Herriot (près de l'Assemblée nationale), à Paris[...] »
    April 12, 2015 at 1:30:09 PM UTC - permalink - https://www.laquadrature.net/fr/appel-a-manifestation-non-a-la-surveillance-generalisee
  • Octave Klaba :  « Le projet de loi sur le renseignement rapproche la France des pires régimes », High tech
    « Octave Klaba, le fondateur de l’hébergeur de données OVH, estime que le projet de loi sur le renseignement « va permettre la surveillance de masse de la société français ».

    [...]

    Il y a deux dispositifs avec lesquels je ne suis pas du tout à l’aise. D’une part, la pose de « boîtes noires » et donc d’algorithmes pré-programmés dans les réseaux et chez les hébergeurs, pour surveiller le trafic. Et d’autre part, le système de captation direct d’informations sur des individus ciblés. Le première mesure est censée permettre ensuite de décider qui l’on surveille en permanence. Qui prend cette décision ? Dans quel cadre ? Tout cela doit être encadré par un juge. En tout cas, le projet de loi va permettre la surveillance de masse de la société française. Peut-être qu’en venant de Pologne communiste, je sur-réagis. Mais j’ai connu ce genre de chose dans mon enfance. C’était il y a à peine 25 ans. On est proche des pires régimes. En Chine, c’est une réalité. Il y a une énorme incohérence entre l’objectif et les méthodes utilisées.

    [...]

    Qu’est-ce qu’une méta-donnée ? C’est une adresse IP (Internet) qui se connecte à une autre adresse IP. Techniquement, cela permet donc de surveiller qui fait quoi. D’autant qu’ensuite, on peut lever l’anonymat sur les personnes. Le terrorisme, cela concerne 3.000 personnes seulement. Et pour surveiller si peu de monde, on met en place un système complexe qui concerne les fournisseurs d’accès Internet, les hébergeurs, et les fournisseurs de transit ! Aujourd’hui, c’est le terrorisme. Mais demain? Je ne comprends pas bien la logique.

    [...]

    OVH n’est pas installé en Turquie, ni en Russie parce que ces pays n’offrent pas les meilleures garanties en termes de protection de la vie privée. Outre Atlantique, nous sommes allés au Canada et non aux Etats-Unis, car je ne suis pas à l’aise avec le Patriot Act (la loi adoptée après le 11 septembre 2001 qui donne tout pouvoir aux autorités pour réclamer des informations aux entreprises, ndlr). Nous avions choisi le Canada, car les lois de ce pays sont proches des nôtres en termes de protection des libertés.

    [...]

    Nous avons annoncé un plan d’investissement de 400 millions d’euros sur trois ans. Nous devons décider d’ici à septembre comment répartir cette somme et où investir. Si la loi est votée, nous irons mettre nos serveurs ailleurs. Actuellement, en France, nos principaux « data centers » sont situés à Roubaix, à Gravelines et à Strasbourg. Si la loi passe, nous irons de l’autre côté de la frontière au Royaume Uni, en Allemagne… Si nous ne le faisons pas, il faudra nous résoudre à voir nos clients partir : 40 % de notre activité concerne des clients étrangers (de Singapour, des Etats-Unis, d’Italie, etc.). Les Allemands, pour des raisons historiques, sont très soucieux de ces questions de surveillance. »

    Via http://shaarli.cafai.fr/?P1tX2g
    April 11, 2015 at 10:35:37 PM UTC - permalink - http://www.lesechos.fr/tech-medias/hightech/0204293839757-octave-klaba-en-pologne-communiste-jai-connu-ce-genre-de-regime-1110227.php
  • Hannah Fry: The mathematics of love | Talk Video | TED.com
    Pour les pessimistes -> Why I don’t have a girlfriend: An application of the Drake Equation to love in the UK par Peter Backus -> « That’s correct. There are 26 women in London with whom I might have a wonderful relationship. So, on a given night out in London there is a 0.0000034% chance of meeting one of these special people, about 100 times better than finding an alien civilization we can communicate with. That’s a 1 in 285,000 chance. Not great » :')

    L'oratrice souhaite montrer une autre approche, moins pessimiste.

    Les 3 astuces mathématiques qui fonctionnent en amour :
    « Le physique ne joue pas sur les sites web de rencontre, cela ne détermine pas la popularité. Étude empirique via OkCupid (site de rencontre créé par des mathématiciens). Il vaut mieux être normal (lisser ses notes d'attractivité) pour ne pas faire fuir le prétendant potentiel qui dans le cas contraire, se laisserait despérer par une trop grande difficulté. Mettre en avance ce qui nous rend différents même si ça ne va pas plaire à tout le monde. ». Cela permet aussi de filtrer les personnes qui ne nous correspondent pas plutôt que de cacher qui on est vraiment, d'engager et que ça rate inéluctablement à cause des non-dits.

    « Comment savoir quand c'est la bonne personne avec qui s'installer ? Théorie de l'arrêt optimal. Ignorer les personnes qui viennent dans les 37% de votre période "désirée" de célibat (exemple : 15 ans = début de sorties - 35 ans = veut être marié/casé et stable) puis prendre la première personne meilleure que toutes les autres. Méthode pas garantie mais pas de meilleure stratégie rationnelle. Problèmes : 1) si le partenaire parfait apparaît dans les 37% -> ignore -> game over. 2) Si vous n'avez connu que des personnes chiantes dans vos 37%, alors la première personne après les 37% vous semblera incroyablement intéressante mais ne sera pas optimale. Cette règle des 37% se retrouve aussi chez les animaux : on se donne le temps de tâter le terrain, en fait. »

    « Divorce = spirales de négativité. Contre-intuitif : les couples avec un seuil de négativité très bas (qui ne laissent rien passer et laissent beaucoup d'espace à la plainte, qui réparent constamment leur relation) évitent les divorces, semble-t-il. »
    April 11, 2015 at 9:32:18 PM UTC - permalink - https://www.ted.com/talks/hannah_fry_the_mathematics_of_love?language=en
  • L'enfer de RS232
    À la base, je voulais juste me connecter au port console de deux switchs dont je n'ai pas les câbles RS232 d'origine : D-link DES-3526 et HP Procurve J4813A 2524.

    Commençons par le plus facile : le D-link. Le port console est de type RS232 DB9 femelle. Que nous dit la doc' (http://www.dlink.com/-/media/Business_Products/DES/DES%203550/Manual/DES%203550_CLI_Manual_EN_UK.pdf) ? 9600 baud - 8N1 - pas de flow control (ni logiciel (aussi nommé xon/xoff), ni matériel), compatible VT-100. La documentation ne précise pas s'il faut un câble droit ou croisé. J'ai un câble RS232 DB9 mâle droit <-> USB.

    Ça, c'est par défaut mais la vitesse de transmission a pu être modifiée par un utilisateur précédent. Sur ce modèle, la seule solution est de revenir aux paramètres d'usine. Peu de doc' à ce sujet, heureusement que je n'ai pas eu à le faire.

    On branche le câble à l'ordi, Linux le reconnaît et le bind sur /dev/ttyUSB0. On vérifie que l'on a les droits lecture+écriture sur ce dev. On lance minicom -D /dev/ttyUSB0. On fait la configuration : ctrl + A puis Z (pour accéder au menu de minicom). O (configurer minicom) puis Configuration du port série puis G pour désactiver le contrôle de flux logiciel puis E puis C pour passer en 9600 baud. Le reste est ok : 8N1 et VT102 est un jeu englobant VT100 donc compatible.

    On connecte le série au port console du switch. On alimente le switch en électricité. On attend... Longtemps (au moins deux bonnes minutes) puiiiiiis :
     Boot Procedure                                                    3.00.008
    -------------------------------------------------------------------------------
      Power On Self Test ...................................... 100 %

      MAC Address   : 00-15-E9-86-99-64
      H/W Version   : 3A1

      Please wait, loading V3.06-B20 Runtime image ............ 100 %............

    Et enfin :
                  DES-3526 Fast Ethernet Switch Command Line Interface

                                Firmware: Build 3.06-B20
              Copyright(C) 2000-2004 D-Link Corporation. All rights reserved.
    UserName:
    PassWord:

    DES-3526:4#
    DES-3526:4#help

    Available commands:
    ..                  ?                   clear               config              
    create              delete              dir                 disable            
    download            enable              login               logout              
    ping                reboot              reconfig            reset              
    save                show                upload              




    Attaquons maintenant le plus difficile : le Procurve 2524. Le port console est de type RS232 DB9 mâle. Que nous dit la doc' (http://h20564.www2.hp.com/hpsc/doc/public/display?docId=emr_na-c01958654&sp4ts.oid=57546 et http://h20564.www2.hp.com/hpsc/doc/public/display?docId=emr_na-c02597327) ? Entre 1200 et 115200 baud (le switch s'adapte), 8N1, flow control logiciel, compatible VT100. La documentation précise qu'il faut un câble croisé.

    Ça, c'est par défaut mais la vitesse de transmission et la présence de flow control ont pu être modifiées par un utilisateur précédent. On utilise DHCP+telnet (si disponible, toujours cette histoire de par défaut ou non) pour vérifier, soit on remet les paramètres d'usine (source : la doc sus-citée) :
    « To execute the factory default reset, perform these steps:
        1. Using pointed objects, simultaneously press both the Reset and Clear buttons on the front of the switch.
        2. Continue to press the Clear button while releasing the Reset button.
        3. When the Self Test LED begins to flash, release the Clear button. The switch will then complete its self test and begin operating with the configuration restored to the factory default settings. »

    Pour brancher :
        * Soit je reprends mon câble RS232 DB9 mâle droit <-> USB + une rallonge RS232 DB9 femelle <-> RS232 DB9 femelle croisée. Ça fonctionne out-of-box mais je n'avais pas la rallonge au début de cette aventure. L'inverse (câble croisé et donc rallonge droite) est également possible.

        * Soit je reprends mon RS232 DB9 mâle droit <-> USB + 3 fil Arduino femelle<->femelle (ça : http://ecx.images-amazon.com/images/I/51S1M3ALnDL._SY300_.jpg). Il faut alors câbler comme ceci :
    switch  <->  câble RS232 droit
    2       <->    3
    3       <->    2
    5       <->    5
    Sachant que l'ordre des PIN des deux côtés (câble et switch) sera celui-là : http://www.usconverters.com/images/rs232-pinout.jpg (1 2 3 4 5 sur la première ligne, 6 7 8 9 sur la deuxième, ligne contenant le plus de pin vers le haut). Les autres pin sont inutiles (9 = sonnerie modem, le reste = flow control). Si votre câble mâle est croisé, vous ne devez évidemment pas croiser 2 et 3.

        * Soit j'achète un câble RS232 DB9 femelle croisé <-> USB. C'est la solution que j'avais choisi initialement. Sauf que ça ne fonctionne pas. Après investigation : mon câble n'est pas croisé (on retiendra donc que câble null modem n'est pas synonyme de câble croisé contrairement à ce que l'on entend beaucoup !). De plus, sur le câble, l'ordre des pins devrait être celui-ci : http://www.datalinkcom.net/images/rs232f9.jpg afin qu'au moins le 5 du switch tombe bien sur 5 du câble. Or, mon câble est inversé donc le 5 du switch arrive sur le 1 du câble... On peut corriger ça avec 3 fil Arduino mâle<->femelle (http://ecx.images-amazon.com/images/I/413iVQHUlQL.jpg). Il suffit de reprendre le schéma de câblage donné au point précédent.


    Quelle que soit la méthode retenue, on branche le câble série à l'ordi, Linux le reconnaît et le bind sur /dev/ttyUSB0. On vérifie que l'on a les droits lecture+écriture sur ce dev. On lance minicom -D /dev/ttyUSB0. On fait la configuration : ctrl + A puis Z (pour accéder au menu de minicom). O (configurer minicom) puis Configuration du port série puis G pour désactiver le contrôle de flux logiciel (sisi, on en n'a pas besoin, surtout avec nos câblage avec 3 fil) puis E puis C pour passer en 9600 baud. Le reste est ok : 8N1 et VT102 est un jeu englobant VT100 donc compatible.

    On connecte le série au port console du switch. On alimente le switch en électricité. On laisse le switch booter (environ 30 secondes) et on obtient :
    Hit Enter to Continue.

    ---------- (on s'exécute)

    Connected at 9600 baud.

    ----------

    HP J4813A ProCurve Switch 2524
    Firmware revision F.05.17

    Copyright (C) 1991-2003 Hewlett-Packard Co.  All Rights Reserved.

                               RESTRICTED RIGHTS LEGEND

     Use, duplication, or disclosure by the Government is subject to restrictions
     as set forth in subdivision (b) (3) (ii) of the Rights in Technical Data and
     Computer Software clause at 52.227-7013.

             HEWLETT-PACKARD COMPANY, 3000 Hanover St., Palo Alto, CA 94303











    Press any key to continue

    ---------- (on s'exécute)

    HP ProCurve Switch 2524# help
     boot               Reboot the device.
     clear              Clear table/statistics or authorized client public keys.
     configure          Enter the Configuration context.
     copy               Copy datafiles to/from the switch.
     end                Return to the Manager Exec context.
    [...]




    Conclusion : ce que je retiens de RS232 : RS232 = kamoulox = port de communication créé par des sados pour des masos = conçu par des ingénieurs de chez IBM/Microsoft/ITU, pas possible autrement = complot de la NSA et des reptiliens de la zone 51.

    Merci aux gentils dinos suivants qui savent encore comment fonctionne RS232 et qui m'ont grandement aidés : DelTree, Valérie, Christian, Karim. :)
    April 11, 2015 at 4:55:07 PM UTC - permalink - http://shaarli.guiguishow.info/?k0f_9w
  • OpenSSH/Cookbook/Multiplexing - Wikibooks, open books for an open world
    Ho, super pratique le multiplexage de sessions SSH sur des liens à forte latence !

    « ControlPath
      ControlMaster
      ControlPersist »
    April 10, 2015 at 2:22:11 PM UTC - permalink - https://en.wikibooks.org/wiki/OpenSSH/Cookbook/Multiplexing
  • Four ways Ubiquiti Networks is creatively violating the GPL
    «  Ubiquiti Networks is a company which makes long-range wireless equipment. Admittedly, you can do some pretty amazing stuff with it, but the company has a dark history of securities fraud, violation of U.S. sanctions, trademark and copyright lawsuits and software patents, which isn't as amazing.

    In addition to this, they have been violating the GPL. However, because they did it creatively, most people don't know about it, and Ubiquiti still hasn't come into compliance.

    Here are four ways that they have succeeded in making the violations hard to notice, and even harder to act upon.

    [...]

    Up until version 5.5.4 of Ubiquiti's airOS, the locally-modified u-boot bootloader contained a security issue - It was possible to extract the plain-text config from devices running the firmware, without leaving a trace. And the plain-text config contains unencrypted WPA/WPA2/RADIUS passwords.

    Even worse than this security issue, was Ubiquiti's response to it. Namely, they:

        Refused to provide the source code, even though u-boot is under the GPL
        Didn't fix the security issue for a long time after it was publicly disclosed

    To this day, Ubiquiti still has not provided the u-boot source code.

    [...]

    It would be natural to think that the binaries that Ubiquiti provides were compiled from the source code that Ubiquti provides. As it turns out, for a large number of their releases, the kernel source given does not correspond to the kernel in the official firmware images.

    As evidence, consider that in version 5.5.4 of the AirMax firmware, the kernel was modified such that the MTD partitions would be read only, however this change cannot be found in the corresponding kernel patches or source.

    Update: Some people have expressed doubt that this is done in the kernel, and could have been done in userspace. In response, I would like to note a violation that is easier to verify. ag7240-eth.ko is a binary-only kernel module contained in Ubiquiti's firmware. Instructions on how to confirm this are here.

    Such practices make finding violations extremely difficult, and we can't know for certain that they haven't done this with anything else in the GPL tarball. It's possible that this was just a mistake, but remember that people have complained about this without much of a response. »

    Via http://shaarli.cafai.fr/?q77wtw
    April 10, 2015 at 11:13:31 AM UTC - permalink - http://libertybsd.net/ubiquiti/
Links per page: 20 50 100
◄Older  
page 255 / 306
Newer►
Mentions légales identiques à celles de mon blog | CC BY-SA 3.0

Shaarli - The personal, minimalist, super fast, database-free, bookmarking service by the Shaarli community