1965 results
tagged
nomarkdown x
-
Injonctions paradoxales. Mes fesses. | Juste après dresseuse d'ours
« Non, je n’examine pas tous mes patients qui me racontent qu’ils ne dorment plus.Mon Oct 5 13:01:49 2015 - permalink -
Parce que leur tension, là, je m’en cogne. Parce qu’ils ne viennent pas me voir pour que je leur dose leur cholestérol. Alors oui, j’ai dû arrêter quelques fois dans ma vie des mecs qui m’ont prise pour une pomme, qui voulaient passer un week-end avec leurs potes et qui ont bien rigolé en leur racontant comme je les avais arrêtés juste en les croyant sur parole. Au nom de tous les mecs que j’ai été la seule à écouter, la seule à entendre, la seule à croire, tant pis.
Mon job, c’est d’être aux côtés de mes patients. C’est pas d’être flic, ou directeur de conscience.
Mon boulot est assez dur comme ça, je me contente d’essayer de le faire.
[...]
Ça, c’est un truc envoyé par Sophia, qui est genre pour faire vite une branche de la sécu qui propose aux patients diabétiques de les suivre de près et de leur envoyer des bons conseils par la poste 3 ou 4 fois par an, parce que leurs médecins sont vraiment des tanches pas capables de suivre des diabètes (en résumé).
[...]
À ce stade-là, en 12 minutes sur Twitter et 40 secondes dans ma vie à moi qui remonte mon fil, j’ai déjà eu deux injonctions paradoxales et je suffoque.
Ahahah, les médecins qui écoutent leurs patients et qui les croient, et qui font des arrêts de travail qui coûtent des sous à la sécu.
Ahahah, les médecins qui écoutent pas leurs patients et qui leur font pas des bilans sanguins inutiles qui coûtent des sous à la sécu.
[...]
J’ai repensé à ma collègue, qui va fermer sa porte, parce que les statistiques de la sécu lui ont dit qu’elle faisait trop d’arrêts de travail.
Que je vous raconte un peu comment ça marche, les contrôles de la sécu.
Ils prennent une moyenne (genre combien de jours d’arrêt pour X patients par médecin), et ils prennent les 10% du dessus, et ils leur tombent dessus. « Vous faites plus d’arrêts que la moyenne de vos collègues » .
Si t’essaies d’expliquer que tu vis dans une zone défavorisée, pleine d’ouvriers qui se pètent le dos dans des usines malveillantes qui te surveillent quand tu vas pisser, ils te répondent : « Oui mais vous faites plus d’arrêts que la moyenne de vos collègues » .
Si t’essaies d’expliquer que tu vois 70% de gens de plus de 68 ans, contrairement à tes collègues, ils te répondent : « Oui mais vous faites plus d’arrêts que la moyenne de vos collègues » .
Et on cause en pourcentage, hein.
C’est-à-dire que le mec qui voit 85 patients par jour sans sourciller, qui fait des consults de 5 minutes, qui facture des trucs que toi tu fais 8 fois par jour en acte gratuit (l’ordonnance de semelles orthopédiques pour une petite de 6 ans aux pieds plats, le renouvellement de passage infirmier pour 6 mois pour un patient grabataire, le renouvellement d’INR pour ton patient sous AVK, juste un vaccin entre deux parce que tu l’as déjà vu et examiné il y a quatre jours et que tu fais juste l’injection et que con comme tu es tu fais pas payer, l’ordonnance de Doliprane pour la mère que tu connais et qui en a besoin sur la consultation de la fille, je m’arrête là parce que vous voyez mais j’en fais bien 6 à 10 par jour), bref, le mec qui fait 85 consultations par jour dont 10 actes qui devraient être gratuits qu’il fait payer parce que hey, en passant juste la carte vitale personne ne voit rien, bin son ratio d’arrêts de travail sera vachement meilleur que le tien, pauvre con qui a expliqué aux gens qu’il ne sert à rien de consulter pour un rhume, qui a fait des vaccins et lu des bilans biologiques et des IDR entre deux sans faire payer, qui a appelé deux ou trois patients inquiets pour leur donner des conseils gratuits au téléphone et expliqué que la consultation en urgence aujourd’hui c’était pas la peine.
Ce mec-là sera jamais emmerdé par la sécu. Parce que son ratio est super bon. Parce qu’il reconvoque les otites à J3 pour vérifier.
Parce qu’il renvoie à d’autres les patients un peu trop chiants, un peu trop lourds, un peu trop malades, un peu trop pas rentables.
Il a des chiffres fabuleux, pour la sécu. Voilà un médecin comme il faut. Voilà un médecin qui n’arrête pas trop.
Et ma consœur, on lui tombe dessus. On lui explique qu’elle fait mal. On lui explique que statistiquement elle est pire que les autres. STATISTIQUEMENT, hein. C’est-à-dire qu’elle est dans la tranche du haut. Donc on lui explique qu’elle est le dernier wagon du train, celui où il y a le plus de morts, et que pour bien faire on va supprimer le dernier wagon. Une fois le dernier wagon supprimé, l’avant dernier deviendra le dernier, et on lui tombera dessus parce qu’il est le dernier.
Elle va partir.
Alors qu’elle est le médecin que vous voudriez tous avoir.
[...]
Mais tu vois, je suis la fille qui ne vit que pour son métier, qui ne se définit que par ça, qui ne serait rien sans lui, et à qui tu as donné envie, en 12 minutes sur twitter, de tout plaquer et d’aller dresser des ours en Auvergne.
Alors que je connais même pas l’Auvergne et que si ça s’trouve c’est moche et y a pas l’ADSL. »- http://www.jaddo.fr/2015/10/02/injonctions-paradoxales-mes-fesses/
-
Checking your Internet Connectivity with RIPE Atlas Anchors — RIPE Labs
« If you monitor your external Internet connectivity, you may wonder which machine is the best to ping. Hesitate no more - you can use RIPE Atlas anchors as landmarks.Mon Oct 5 11:39:43 2015 - permalink -
[...]
It is common practice to ping a certain machine as a landmark to verify your Internet connection. You may use a machine which belongs to you, one outside of your premises or a public Internet server. Using a public Internet server, for example Google Public DNS, is questionable. It's not your machine, it is not free to use and it may stop answering pings at any moment (this is the case with www.ripe.net and labs.ripe.net). If every small LAN pings 2001:db8:433::1 (the example IPv6 adress) every three minutes, and there are ten millions small networks doing it, 2001:db8:433::1 will receive 50 kp/s. This is reminiscent of a famous problem of many machines banging on one server.
Having public services explicitly devoted to these ping tests would be nice. There are a few such as fap.cymru.com, ping.rezopole.net or ping.ovh.net. They do not appear to be clearly documented (with usage policy), maybe because their managers do not want to attract too much attention.
But one landmark is not enough. Each landmark, even well-connected and professionally managed, can break or be unreachable. You don't wan't to receive a warning from your monitoring system at 2:00 in the morning if a remote landmark, that you do not control, went down. You need to ping N different machines, and you need to decide that there is a problem only if M of them (with M < N) are unreachable. If only there was a better way...
...but wait, there is! With RIPE Atlas anchors, you can have many pingable machines at your disposal. These servers are located in many places around the world (complete list online). Their main job is to be used as targets in measurements, typically by the RIPE Atlas probes. Using the anchors to monitor Internet connectivity is less common but very useful. »- https://labs.ripe.net/Members/stephane_bortzmeyer/checking-your-internet-connectivity-with-ripe-atlas-anchors
-
newsoft's fun blog: Etat de l'Art
« Cette année encore, il m'a été donné d'assister à l'évènement professionnel majeur de la sécurité informatique française, à savoir les Assises de la Sécurité.Mon Oct 5 11:02:48 2015 - permalink -
[...]
La seule conférence digne d'intérêt est la désormais traditionnelle keynote de l'ANSSI. Sans nier la qualité des autres "ateliers" – tantôt distrayant, tantôt édifiant – ils relèvent plus de l'anecdote quand il ne s'agit pas purement et simplement d'un vendor pitch. A contrario, l'ANSSI est probablement la seule institution qui dispose d'un plan. C'est la seule à pouvoir faire référence à ses interventions passées – réalisant un point d'étape sur différents sujets tels que la labellisation ou la législation. Tous les autres acteurs sont ballotés au gré des modes.
La détection et la réponse aux incidents sont des domaines qui ne tolèrent pas l'amateurisme ; le recours à des prestataires aguerris est vivement recommandé. On ne peut que partager ce constat, néanmoins j'ai la vague impression que les prestataires actuels – qu'ils soient en cours de labellisation ou non – manquent singulièrement d'expérience dans le domaine et font une large part à l'improvisation la plus totale (voire à l'amateurisme).
[...]
3. Le Cloud élève le niveau de sécurité des petites entreprises dont le service informatique n'atteint pas la masse critique. Là encore, on ne peut que partager ce constat: vos emails sont bien souvent mieux protégés dans un service en ligne supportant l'authentification à 2 facteurs que sur un serveur de messagerie interne.
[...]
Au delà de la keynote de l'ANSSI, et avec mon regard désormais extérieur, j'ai été frappé par les trois plaies de la cybersécurité françaises tandis que je déambulais dans les travées du salon.
1. L'empilement des boites
C'est une tarte à la crème sur laquelle tout le monde s'accorde: la technique ne résout pas tout (pas de silver bullet), il ne faut pas négliger l'humain, etc.
Pourtant on ne croise au fil des allées que des vendeurs de boites.
Quiconque a déménagé sait que les boites s'empilent plus facilement quand elles sont du même gabarit. Et c'est bien le problème: chaque vendeur conçoit des produits parfaitement autistes, comptant sur les autres pour s'y intégrer. Chacun son format de log, chacun sa console d'administration, chacun son périmètre fonctionnel.
Le sens de l'histoire nous emmène pourtant vers les micro-services et les API. Pourquoi déployer un agent de forensics sur des machines déjà équipées d'un antivirus ? Ne serait-il pas plus efficace d'avoir un seul agent minimaliste, avec une API simple et documentée, permettant l'accès au système de fichiers ? L'avenir de la sécurité n'est-il pas dans la conception de briques de base Open Source ?
[...]
2. Le franco-français
Le milieu de la sécurité informatique français est si restreint qu'il frise déjà la consanguinité, mais ici tous les autres invités sont aussi des consommateurs de produits de sécurité. Quant aux intervenants, il n'y en a pour ainsi dire aucun qui ne soit pas exposant, à l'exception de quelques keynotes … très "high level". Ici, les organisateurs ne rémunèrent pas les intervenants pour assurer un contenu de qualité, mais monnaient au contraire le droit de s'exprimer.
Les échanges se limitent alors à un retour d'expérience sur tel produit ou tel prestataire, mais "on invente pas la bougie en perfectionnant l'électricité": les chances de repartir avec des idées disruptives ou de bousculer un visionnaire lors du cocktail sont assez minces. Surtout que l'appétence au changement n'est ni répandue, ni valorisée dans une profession de RSSI de plus en plus normée et standardisée.
[...]
3. L'incompréhension des enjeux
L'ultime frontière – qui catalyse toutes les peurs et tous les espoirs de la profession – se nomme Cloud. Le Cloud, c'est comme le sexe chez les ados: personne ne sait ce que c'est, mais tout le monde pense que les autres en font.
Pourtant derrière le Cloud, se dessine une réalité tangible: l'informatique devient trop compliquée – et les investissements trop couteux – pour les utilisateurs finaux.
C'est le sens de l'histoire. J'ai connu la télévision en noir et blanc (la redevance était moins chère que sur la couleur) avec le condensateur en façade permettant de syntoniser les chaines. La génération précédente construisait elle-même son téléviseur en suivant les schémas disponibles dans feu Radio Plans. Aujourd'hui il ne viendrait à l'idée de personne de concevoir sa propre carte mère allant du démodulateur DVB-T au décodage de flux H.264.
[...] il n'y a plus de catalogues produits mais des briques de stockage, de traitement et de présentation qu'il faut assembler pour créer les services du futur. Docker everywhere. »- http://news0ft.blogspot.com/2015/10/etat-de-lart.html
-
Renseignement : le Premier ministre choisira son juge au Conseil d'Etat
« Verrouillage total. Le président de la formation spécialisée du Conseil d'Etat en charge du contentieux sur les techniques de renseignement sera désigné par le Premier ministre lui-même, alors qu'il aura à trancher sur la légalité des méthodes autorisées par le Premier ministre.Fri Oct 2 12:22:23 2015 - permalink -
[...]
Rappelons que la loi sur le Renseignement promulguée cet été a créé un article L841-1 du code de la sécurité intérieure qui prévoit la possibilité de saisir le Conseil d'Etat pour "toute personne souhaitant vérifier qu'aucune technique de renseignement n'est irrégulièrement mise en œuvre à son égard". Cette personne devra d'abord s'adresser à la Commission nationale de contrôle des techniques de renseignement (CNCTR) pour demander qu'il soit procédé aux vérifications, sans en connaître le résultat, et par applications des principes généraux du droit, devra démontrer devant le Conseil d'Etat qu'elle a un "intérêt à agir". C'est à dire qu'elle devra apporter des éléments concrets justifiant de ne pas croire que les vérifications ont été faites correctement, ou de prouver qu'il n'a pas été tenu compte des conclusions obtenues (dont elle n'aura par connaissance).
C'est déjà un sacerdoce en théorie, ce pourrait être plus compliqué encore en pratique. Car le gouvernement a parfaitement verrouillé les choses. La loi a en effet prévu la création d'une formation spécialisée au sein du Conseil d'Etat, chargée de traiter (sauf question de droit appelant à se dessaisir) le contentieux de la mise en oeuvre des techniques de Renseignement. Or l'article R. 773-9 créé par le décret du 1er octobre 2015 dispose que "le président de la formation spécialisée (...) est désigné par arrêté du Premier ministre", officiellement "sur proposition du garde des sceaux, ministre de la justice".
L'article R-773-18 du décret ajoute que concernant les pouvoirs du président de la formation spécialisée, "les dispositions de l'article R. 122-12 du code [de justice administrative] sont applicables". Or cet article donne la possibilité d'écarter des requêtes avant tout jugement, notamment si elles sont "manifestement irrecevables" ou manifestement infondées, et permet de statuer sur les requêtes si elles font partie d'une "série" de requêtes similaires en droit et en fait, déjà tranchées par la juridiction — ce qui serait le cas de toute tentative de "spammer" le Conseil d'Etat avec des milliers de demandes de vérification.
On sera donc en présence d'un président de formation spécialisée désigné par le Premier ministre, qui sera capable de filtrer et de pré-juger des requêtes formées à l'encontre de mises en oeuvre de techniques de renseignement autorisées par le Premier ministre. »
J-O-I-E. :(- http://www.numerama.com/magazine/34366-renseignement-le-premier-ministre-choisira-son-juge-au-conseil-d-etat.html
-
SSL and TLS 1.0 No Longer Acceptable for PCI Compliance | Varonis Blog - The Metadata Era
« [...] the PCI Council released version 3.1 of their Data Security Standard (DSS). While most of the changes in this minor release are clarifications, there is at least one significant update involving secure communication protocols. The Council has decided that SSL and TLS 1.0 can no longer be used after June 30, 2016.Fri Oct 2 11:53:20 2015 - permalink -
The PCI Council says you must remove completely support for SSL 3.0 and TLS 1.0. In short: servers and clients should disable SSL and then preferably transition everything to TLS 1.2.
However, TLS 1.1 can be acceptable if configured properly. The Council points to a NISTpublication that tells you how to do this configuration. »
Attention donc quand vous lisez que PCi-DSS force le passage à TLS 1.2, rien n'est plus faux : c'est de la documentation pour bullshiteux donc on ne force pas, on laisse le temps de migrer les infras qui devraient pourtant déjà avoir migrées. ;)- http://blog.varonis.com/ssl-and-tls-1-0-no-longer-acceptable-for-pci-compliance/
-
La Loi Renseignement entre en vigueur ce samedi 3 octobre
« Le gouvernement a en effet publié ce vendredi au Journal Officiel le décret du 1er octobre relatif à la composition de la Commission nationale de contrôle des techniques de renseignement (CNCTR), qui confirme la nomination de Francis Delon en tant que président de la CNCTR, choisi par François Hollande. Or l'article 26 de la loi sur le renseignement prévoyait que l'essentiel des dispositions de la loi entrent en vigueur "au lendemain de la publication au Journal officiel du décret nommant le président de la Commission nationale de contrôle des techniques de renseignement". Demain, donc.Fri Oct 2 11:34:09 2015 - permalink -
Le gouvernement devra ensuite édicter des décrets d'application, en particulier pour les conditions de mise en oeuvre des boîtes noires dont Francis Delon a reconnu qu'elles seront "une gageure" à contrôler. Mais ces décrets seront classés secret-défense et ne seront donc pas publiés. Pour les mêmes raisons il ne sera pas possible non plus de savoir sur quels réseaux ont été installées les boîtes noires qui collecteront et traiteront quantités de métadonnées pour tenter de détecter des internautes au comportement suspect, qui pourront alors faire l'objet d'une demande d'identification auprès de la CNCTR. »- http://www.numerama.com/magazine/34368-la-loi-renseignement-entre-en-vigueur-ce-samedi-3-octobre.html
-
Tracking par les émissions Wifi et Bluetooth | Tuxicoman
« Si vous avez votre smartphone sur vous avec le Wifi activé, celui-ci essaie constamment de se connecter aux routeurs Wifi que vous connaissez. Pour cela, il utilise la méthode dite « active » qui consiste à envoyer publiquement la liste de de noms de tous les réseaux Wifi que vous connaissez. Si un de ces réseaux est à proximité, celui-ci va répondre, ce qui permet une connexion rapide dès que l’on arrive à proximité du réseau (pas besoin d’attendre que le routeur se déclare lui même ce qui peut prendre quelques longues minutes selon le réglage du routeur).Thu Oct 1 17:04:37 2015 - permalink -
Un smartphone Samsung sous Android 4.4 envoie ces données dans les airs toutes les 30sec environ.
Sur Android 4.3, c’est bien pire, puisqu’il le fait même lorsque l’utilisateur a désactivé le Wifi.
Problème, un appareil qui écoute ces transmissions peut savoir quels sont vos réseaux Wifi favoris, parfois le nom est explicite et en plus, avec une base de données, on peut récupérer sa localisation.
Deuxième problème, qui apparaît également si vous êtes déjà connecté à un réseau Wifi. A chaque envoie de message réseau, votre appareil communique son adresse matériel (MAC) unique au monde. Donc tout appareil qui capte les émissions Wifi de votre smartphone est capable de l’identifier.
On ne peut savoir, si on n’a que cette information, quelle personne porte cet appareil. Mais on peut déjà compter combien de fois vous êtes venu à proximité, à quelles heures et pendant combien de temps. Il suffit qu’un autre service (application, transaction) ait pu faire la relation entre cette adresse MAC et une identité (cookie, email) pour que de suivre un matériel anonyme, on se mette à suivre des gens.
Cette méthode a beaucoup d’application marketing puisqu’un magasin peut savoir si le client qu’il a au guichet est nouveau ou est déjà venu [...], quel rayon du magasin l’intéresse, voir même son identité si il y a eu moyen de savoir quelle personne porte ce matériel. Bref c’est en quelque sorte le cookie web en version IRL.
[...]
Une autre application est le comptage de personnes, par exemple, JCDecaux voudrait installer un mécanisme similaire dans ces panneaux publicitaires et ainsi pouvoir savoir à quels publicités vous avez été exposé. (Imaginez le croisement de données de tous les panneaux publicitaires… vous avez un tracking géant du déplacement de chaque individu, même dans le métro)
En bluetooth, avec l’arrivée des objets connectés portés (montre, lunettes, etc…) il arrivera tôt ou tard ou vous porterez 2 objets sur vous qui nécessiteront de communiquer en bluetooth. Et là forcément un des 2 devra s’annoncer continuellement et donc révélera son adresse MAC partout où vous passerez…
C’est une vraie problématique et la norme Bluetooth LE (qui mettra en relation tous les objets de demain) préconise, mais n’impose pas, aux constructeurs l’utilisation d’ adresses MAC pseudo aléatoires. Donc notre anonymat dans la rue reposera bientôt sur le simple choix des ingénieurs qui concevront les objets connectés. [ sur le sujet de la responsabilité des ingénieurs, voir : « Come to the dark side » ou « L'informatique est-elle neutre ? », http://shaarli.guiguishow.info/?uB1wXA ]
Coté Google, depuis Android 5.0, le smartphone n’utilise plus la méthode « active » pour se connecter en WiFi. Coté Apple depuis iOS 8, le smartphone utilise une adresse MAC qui change de temps en temps. Il n’y a donc pas de consensus sur la solution technique à adopter. »
Via http://sebsauvage.net/links/?hFhQOQ- https://tuxicoman.jesuislibre.net/2015/10/tracking-par-les-emissions-wifi-et-bluetooth.html
-
Microsoft Exchange :-
Haaaaa, un serveur de mails Exchange, c'est génial :Thu Oct 1 16:57:20 2015 - permalink -
* Exchange cause à peu près SMTP (« 220 lala.example.net Microsoft ESMTP MAIL Service ready at Thu, 1 Oct 2015 16:06:06 +0200 ») et IMAP « * OK The Microsoft Exchange IMAP4 service is ready. »)
* Pour les autres fonctionnalités comme les calendriers partagés et le carnet d'adresses, il y a des Passerelle en logiciel libre qui fonctionnent plus ou moins (lenteurs, faut s'y reprendre à plusieurs fois avant que ça fonctionne,...) comme DavMail.
* Les filtres côté client foirent... Il n'est pas possible d'exécuter les filtres côté serveur sur les mails déjà reçus... On ne peut pas importer des filtres (clients ou non) existants avant la migration sur le serveur Exchange car MS propose 0 API...
* Outlook Web App (le semblant de webmail by Microsoft) :
* Sérieux, cette interface est ergonomique ?! En tout cas, ce n'est pas intuitif du tout pour moi.
* Le top post est obligatoire...
* Corriger une adresse mail est extrêmement pénible puisque un appui sur backspace efface l'intégralité de l'adresse :-
* Une recherche dans le dossier des mails envoyés : saisi du nom du destinataire, ça complète en « To:<nom> » donc aucun résultat. Recommencer la même manip', ça autocomplète « À:<nom>» et « To:<nom> » dans le vrai filtre...
Sérieux... C'est ça le standard du mail et calendrier partagé en 2015 ?! Ça sera sans moi : le traitement complet d'un mail, on sait faire en logiciel libre. Pour les calendriers partagés et co, on a Zimbra. Y'a peut-être des bugs et des comportements stupides, comme Exchange, mais au moins c'est libre.- http://shaarli.guiguishow.info/?7UeXSg
-
L'auto-hébergement à l'heure de la surveillance de masse - Mon blog-notes à moi que j'ai
« Il y a quelques temps, je faisais état de mon scepticisme quant à une démocratisation de l’auto-hébergement. Mes reproches à l’époque portaient sur des points techniques, la solution, elle, étant humaine: que les gens se regroupent en associations mélangeant des profils techniques et non techniques.Thu Oct 1 12:23:07 2015 - permalink -
Depuis, plusieurs projets ont vu le jour. Ils tentent de résoudre le problème technique, avec plus ou moins de bonheur. Je ne m’étendrai pas sur ce point, n’ayant pu, faute de temps et de motivation, décortiquer les-dits projets pour m’en faire une idée précise. Ils ont néanmoins tous comme point commun de vouloir déporter la gestion du service entre les mains de l’utilisateur final.
L’autre fait marquant depuis 2 ans, c’est également le vote de lois liberticides qui visent à légaliser la surveillance de masse 1. Les réactions face à ces lois n’ont pas manqué.
L’auto-hébergement fait partie des solutions préconisées pour échapper à la surveillance de masse. L’argument ici est de considérer que la maîtrise du stockage de nos informations apporte une sécurité accrue et améliore la protection de notre vie privée.
Mais, à pratiquer l’auto-hébergement, sommes-nous pour autant bien cachés ?
En effet, les principales dispositions de la loi renseignement, et son avatar portant sur la surveillance internationale, concernent principalement la collecte d’informations sur les réseaux. Sous cet angle, l’auto-hébergement apporte-t-il une quelconque protection ?
En fait, pas vraiment. Ce serait même le contraire.
[...]
L’auto-hébergement peut, par analogie, être comparé au fait d’habiter une maison isolée au fin fond de la campagne, au bout d’une route qui ne mène nulle part ailleurs. Dans ce cas de figure:
Toute personne empruntant cette route est soit vous-même, soit quelqu’un qui vous rend visite.
On a connu plus discret. Ce n’est sans doute pas pour rien que, dans tous les bons romans d’espionnage, les rencontres discrètes s’effectuent dans des lieux publics, de préférence aux heures d’affluence. C’est ce qui s’appelle se “noyer dans la masse”.
L’analogie est-elle pertinente sur Internet ?
Oui si vous utilisez un domaine générique et non votre propre nom de domaine. Une adresse en gmail.com est, du strict point de vue du réseau, plus anonyme qu’une adresse en jbfavre.org. L’utilisation d’un domaine générique couplée au chiffrement vous permet donc de masquer vos communications de manière plus efficace.
Prenons un exemple concret: Bob et Alice veulent communiquer par mail. Bob a son propre domaine, Alice utilise un domaine générique.
Alice envoie le mail au serveur SMTP de son prestataire avec du chiffrement
Les serveurs du prestataire transmet le mail au serveur de Bob, là encore avec du chiffrement
Bob consulte le mail au moyen d’une connexion chiffrée
Ici, sauf à avoir accès aux log du prestataire d’Alice, il est très difficile d’affirmer que le mail envoyé par Alice est à destination de Bob. On peut éventuellement tenter une analyse temporelle pour corréler la connexion réseau d’Alice (1.) à celle du prestataire (2.), mais celle-ci est contournable, y compris pour des prestataires de taille réduite: un délai aléatoire pendant lequel le mail reste sur les serveurs du prestataire avant d’être envoyé au serveur de destination suffit à rendre la corrélation plus compliquée 2.
Par opposition, Bob est particulièrement vulnérable: tout mail arrivant sur son domaine lui est nécessairement destiné.
Il est donc beaucoup plus pertinent de se noyer dans la masse des utilisateurs d’un service de mail au domaine générique que d’avoir son propre domaine.
Les métadonnées étant actuellement nécessaires au bon déroulement de toute communication sur Internet, s’en affranchir totalement est au mieux difficile, au pire actuellement illusoire.
Il faut donc faire un choix entre 2 extrêmes:
maîtriser de bout en bout le service que l’on utilise (auto-héberger ses mails par exemple) au risque de devenir visible
utiliser un service générique pour se fondre dans la foule, au risque de voir ses données révélées de gré ou de force
Ce choix n’est pas simple à réaliser et dépend de chacun. Mais la plupart des gens n’ont pas intérêt à s’auto-héberger. Il feraient bien mieux de se regrouper en association ou de monter de petites entreprises s’ils en ont l’envie et les compétences.
En tout état de cause, se regrouper permet de se cacher de manière plus efficace. Le tout est de trouver la limite à partir de laquelle la taille de l’organisation joue contre ses membres. »
L'auto-hébergement sur une connexion à Internet chez un FAI asso, reste pertinent (vous êtes dans la masse de votre FAI) sauf à considérer que leurs réseaux sont sous écoute soit :
* Directement. Ça suppose qu'ils atteignent la taille critique pour être intéressants, ce dont parle justement jbfavre pour des associations hébergeur de mails et, si cet impensable devait arriver, je suis confiant dans le fait que ça se saura (et donc les adhérents pourront choisir de continuer l'aventure ou pas) et que la sonde sera décortiquée pour comprendre comment elle fonctionne puis pour l'anhiler (aka la faire bipper pour rien avec des faux positifs) ;
* Indirectement.
* Mettez une sonde de la loi renseignement chez Cogent (société commerciale US mais avec une filiale FR déclarée auprès du régulateur français) et vous obtenez l'intégralité du trafic d'ARN, l'intégralité du trafic de Grifon, une partie du trafic de Tetaneutral (impact moindre car ils peerent beaucoup, chose que ne peuvent pas encore se permettrent ARN et Grifon) et une partie du trafic de LDN (impact moindre car leur presta actuel a aussi un autre transitaire que Cogent et du peering). Pour limiter cela, on peut financer les liens réseaux permettant d'aller peerer comme il se doit et les FAI de la FFDN peuvent très bien monter des tunnels chiffrés pour garder les mails "de la communauté" dans la communauté.
Ce problème est en commun avec un fournisseur de mail associatif. Mais, vu la topologie du réseau et des interconnections, ça demande d'agir en plus de points que si l'on est tous et toutes chez GMail et tous et toutes chez Orange.
Encore une fois, c'est pour ça que l'approche Brique Internet (VPN chez un FAI asso + mail autoconfig' et autres services auto-hébergés) me semble plus pertinente que les pistes comme own-mailbox (cf http://shaarli.guiguishow.info/?4KH2tw), justement par cet aspect décentralisation des accès et regroupement dans de petites structures où l'humain apportera la réponse que la technique ne sait pas fournir à l'heure actuelle.
Je ne suis pas d'accord avec l'argument « Oui si vous utilisez un domaine générique et non votre propre nom de domaine. Une adresse en gmail.com est, du strict point de vue du réseau, plus anonyme qu’une adresse en jbfavre.org. ». Mon propre nom de domaine ne signifie pas auto-hébergement : mes serveurs de noms et de mails peuvent être hébergés par une association ou par une société commerciale (Gandi ou OVH, par exemple). On est mieux que d'être tous et toutes chez GMail car il y a plusieurs acteurs au lieu d'un donc plus d'efforts pour installer la surveillance de masse. Je pinaille : je pense que jbfavre a simplifié pour ne pas allourdir ses tournures de phrase.
« Ici, sauf à avoir accès aux log du prestataire d’Alice, il est très difficile d’affirmer que le mail envoyé par Alice est à destination de Bob. ». C'est vrai uniquement si l'on considère que les sondes de la loi renseignement et autres, placées dans le réseau du FAI d'Alice ne remontent pas jusqu'à la couche applicative (et, si TLS, il faut espérer que ces sondes ne font pas un MitM actif pour faire sauter STARTTLS), bref, on est *presque* dans le même cas qu'avec l'auto-hébergement.- http://blog.jbfavre.org/2015/09/29/Auto-hebergement-surveillance-de-masse/
-
Henri Verdier Blog: Statactivistes ? Encore un effort pour être vraiment révolutionnaires
« Il y a un lien intime entre la statistique et le pouvoir. Son nom même, forgé par l'économiste Allemand Gottfried Achenwall signifie "la science de l'homme d'Etat". Rassemblant dans ses indicateurs la multitude des hommes et les caprices de la nature, pour en faire émerger les constantes, les tendances et les directions, la statistique permet l'application de la raison aux phénomènes épars. elle permet l'anticipation, le jugement et la décision. La statistique est par essence l'outil du Souverain.Wed Sep 30 17:34:45 2015 - permalink -
De ce fait même, elle est sans cesse menacée de petits arrangements, conscients et volontaires volontaires, à peine conscients (comme le flottement entre les plaintes et les main-courantes que l'on peut sentir dans tous les commissariats) ou même totalement inconscients (du fait tout simple que les grandeurs mesurées correspondant toujours à l'histoire politique et sociale du moment). C'est pourquoi d'ailleurs, dès son article 1er, la loi sur la statistique française proclame et organise l'indépendance de l'INSEE, indépendance encore renforcée par la création de l'Autorité de la statistique publique dans la loi de 2008 sur la modernisation de l'économie.
Alors bien sûr les citoyens, les militants, les activistes ont raison de vouloir savoir comment sont faites ces statistiques, de vouloir comprendre qui les juge et qui les utilise. Et ils ont raison de vouloir traduire leurs propres points de vues sur le réel dans des statistiques alternatives, plus à même de décrire ces points de vue alternatifs.
Mais il me semble que cette contestation là risque de manquer l'essentiel de ce qui change aujourd'hui avec la multiplication des données numériques et des manières de les utiliser.
Car au fond, la contre-statistique, c'est toujours une statistique. C'est-à-dire une manière de construire un savoir surplombant sur le réel, une synthèse qui permet de l'embrasser et de le manier, un instrument pour le Souverain. Or, la construction de ce type de point de vue n'épuise pas, loin s'en faut, tout ce qu'il est possible de faire avec les données.
Je voudrais partager avec vous quatre exemples d'autres manières d'utiliser les données de l'Etat, en espérant qu'elles inspireront de nouvelles formes d'engagement.
[...]
OpenFisca, c'est la loi de finance traduite en moteur informatique.
Ici, la donnée en tant que telle comprendrait des centaines de pages et serait très difficile à manier. En revanche, le système socio-fiscal, traduit en moteur informatique, accessible au développeurs d'applications web, devient un outil à la fois personnel (permettant de simuler sa propre feuille d'impôts), un outil de test de réformes fiscales annoncées ou envisageables, un outil de simulation capable d'importer un million de cas-types et donc de mesurer les effets de bord de l'impôt (comme ce travail réalisé au cours du hackathon OpenFisca pour analyser les effets de la conjugalisation de l'impôt en fonction des revenus des deux membres du couple), mais surtout une ressource pour développer de nombreuses applications.
Ainsi, c'est grâce à cette mise en code du droit qu'il a pris toute sa valeur, d'innovation, permettant notamment le développement de ce magnifique service qu'est Mes-aides, qui permet à chaque citoyen de venir vérifier l'ensemble de ses droits. C'est la mise en code de cette donnée qui a permis tous les projets prometteurs nés dans les hackathons : le debogueur en ligne, le comparateur d'impôt, la visualisation de l'interdépendance des formules, etc.
[...]
Rendre la donnée vivante, accessible, maniable est une autre forme d'activisme, au moins aussi prometteuse que la construction d'autres statistiques.
[...]
Une deuxième forme de subversion de la dictature des statistiques consiste à déplacer le lieu du savoir. Agrégée, la donnée est par essence l'outil de celui qui prend des décisions globales : elle sert la pointe de la pyramide. Répartie sur ceux qui en ont besoin, elle devient un outil d'empowerment. Il y a des dizaines d'exemples de savoirs qui, au lieu d'être agrégés, sont présentés de sorte de servir la décision locale. On me parlait ainsi récemment d'un logiciel d'aide à la prescription médicale (comme le logiciel développé pour les médecins par Bilog à partir de la base Thériaque). Il y a aussi ce projet en cours d'étude chez Pôle emploi : les statistiques du chômage et du retour à l'emploi peuvent nourrir la décision macro-économique, voire les décisions d'organisation et de gestion de Pôle emploi. Mais elles pourraient aussi être codées de manière à permettre à chaque demanderu d'emploi d'évaluer ses options personnelles : "si je cherche le même poste, j'attendrai en moyenne 16 mois", "si j'accepte de déménager, j'attendrai en moyenne 12 mois", si j'accepte de changer de secteur, ce sera probablement 14 mois"... On sort ainsi de la statistique traditionnelle pour donner à chacun une espérance de résultat, et surtout pour nourrir sa décision individuelle...
Assumer, tout simplement, que les données doivent revenir à la base et éclairer la décision quotidienne de ceux qui travaillent, et les dispenser ainsi d'attendre la décision de leur chaîne de commandement est une autre forme de détournement des outils statistiques, dont les conséquences sont innombrables.
[...]
Or, avec l'invasion du numérique, avec la masse de savoirs désormais accessibles, avec les technologies et les méthodes développées pour le big data, on apprend de plus en plus à agir dans un monde incertain, en fondant la décision sur des indices, des présomptions, des probabilités. Quand Michël Flowers développe, pour la ville de New-York, des algorithmes qui permettent de mieux cibler les contrôles sanitaires, les patrouilles de police ou la recherche des pharmacies impliquées dans la fraude au médicament, il n'a pas besoin de théorie scientifique de la fraude. Il repère des corrélations, il envoie les patrouilles, il mesure le nouvel impact, il corrige si nécessaire. Il utilise les statistiques pour engager une démarche de test and learn et pour construire un système dynamique. Un système apprenant.
J'ai la conviction qu'il y a plus d'innovation, plus de disruption, plus de subversion en changeant la manière d'utiliser les données - en changeant les questions que l'on pose aux données - qu'en changeant les données elles-mêmes. »
Intéressant. Il s'agit du blog d'Henri Verdier, l'homme à la tête de la nouvelle Direction interministérielle du numérique (DINSIC) qui regroupe l’ancienne DISIC ainsi que la mission Etalab.- http://www.henriverdier.com/2014/11/statactivistes-encore-un-effort-pour.html#more
-
IP to ASN Mapping - Team Cymru
Dans un programme Python, on souhaite obtenir le nom de la structure (société commerciale, association,...) a laquelle a été attribué un numéro d'AS (exemple : 60630 = ARN). On souhaite aussi avoir le pays de la maison mère de la structure. Pour obtenir cette information, on utilise habituellement whois (exemple : whois AS60630). Mais, quelle lib utiliser dans un programme Python ?Wed Sep 30 13:34:03 2015 - permalink -
Il y a plusieurs contraintes à prendre en compte :
* La sortie whois n'est pas normalisée : tous les RIR ont choisi un format « clé: valeur » mais le nom des clés est différent ainsi que la présence/absence de ces clés :
* Les champs as-name + descr de l'objet aut-num et le champ address dans l'objet organisation associé à l'objet aut-num pour le RIPE ;
* Les champs as-name + descr + country de l'objet aut-num pour l'APNIC
* Les champs as-name + descr de l'objet aut-num et le champ country de l'objet organisation associé à l'objet aut-num pour AfriNIC
* Les champs ASName + OrgName + Country pour l'ARIN
* Les champs owner et country de l'objet aut-num pour LACNIC
Il faudra donc parser la sortie whois que l'on obtiendra... Vu le taux d'erreur possibles, ça serait cool de ré-utiliser une lib éprouvée qui fasse le taff pour nous.
* RDAP, le protocol de remplacement de whois en cours de normalisation à l'IETF (voir : http://www.bortzmeyer.org/weirds-rdap.html) normalise le format de sortie (JSON), la syntaxe (les types utilisables et les classes (domain, ip, autnum, entity,...)), le transport des requêtes (REST) et tout un tas d'autres choses mais les informations que les RIR doivent mettre dans la classe autnum comme name et country sont en "peuvent être présentes" (voir https://www.rfc-editor.org/rfc/rfc7483.txt) et donc tous les RIR ne les exposent pas surtout le pays et la description...
* On peut utiliser les services whois de RADB (http://www.radb.net/, whois.radb.net), service proposé par MERIT (réseau non-lucratif pour l'éducation, le gouvernement, les organismes de santé et les associations, principalement au Michigan) ou celui de la team Cymru (https://www.team-cymru.org/IP-ASN-mapping.html) car ils proposent tous deux une syntaxe facilement parsable et invariante. Notons que RADB n'expose pas d'info sur le pays.
* Les principales lib python (IPWhois, python-whois, pywhois, ...) ne supportent pas les interrogations portant sur un numéro d'AS
* Le service de la Team Cymru peut être consulté en utilisant le protocole DNS :
$ dig +short TXT AS60630.asn.cymru.com
"60630 | FR | ripencc | 2013-06-10 | ARN Association Alsace Reseau Neutre,FR"
Enjoy \o/
Donc au final, ça donne ça :
« import dns.resolver
_WHOIS_OVER_DNS_EXT_SERVICE_ = '.asn.cymru.com'
[...]
asn = '60630'
dnsresolver = dns.resolver.Resolver()
dnsresolver.timeout = 1
dnsresolver.lifetime = 1
try:
dnsanswer = dnsresolver.query('AS'+asn+_WHOIS_OVER_DNS_EXT_SERVICE_, 'TXT')
asowner = str(dnsanswer.rrset).split('|')[4]
except dns.exception.DNSException:
asowner = 'ERROR'
print 'ASN:'+asn+' ( '+asowner+' )' »- https://www.team-cymru.org/IP-ASN-mapping.html
-
Le scandale Volkswagen en 6 questions | Automobile
« Le principe de la tricherie consiste pour le logiciel à reconnaître les procédures de test sur banc à rouleaux sur des critères discriminants (un ordinateur est branché sur la prise diagnostic de la voiture, le capot est ouvert, seules les roues avant tournent, ou le volant reste toujours droit, etc.) pour déclencher dans ce cas et dans ce cas seulement le fonctionnement maximal du système de dépollution des gaz d'échappement de la voiture. Le reste du temps, c'est-à-dire toujours pour le client, le système de dépollution fonctionne de manière réduite, au bénéfice des performances et donc de l'agrément de conduite.Wed Sep 30 10:47:04 2015 - permalink -
Comment la tricherie a-t-elle été découverte ?
Lors de mesures effectuées sur route en 2014, donc en dehors des conditions des tests officiels reconnues par le logiciel, les émissions polluantes constatées par l'ONG ICCT menant des essais pour le compte de l'université américaine de Virginie-Occidentale sont apparues très supérieures à celles de la norme en vigueur. C'est devant l'absence de réponses satisfaisantes de la part de VW pour expliquer ces différences que l'agence américaine de protection de l'environnement EPA a déclenché une enquête sur le sujet débouchant sur la découverte de la tricherie. »
Pourquoi je ne suis pas surpris que de telles pratiques existent ? Je suis plutôt surpris qu'une autre fraude aussi massive n'est pas été découverte beaucoup plus tôt... Je veux dire : les procédures de test sont connues, trichons. Le seul moyen pour moi d'empêcher cela c'est des contrôles fait par des humains imprévisibles. Je note aussi que c'est une ONG à but non lucratif qui a découvert la triche, pas une des autorités administratives de veille d'un état, non, une ONG...
Via http://lehollandaisvolant.net/?id=20150929174350- http://www.lepoint.fr/automobile/actualites/le-scandale-volkswagen-en-6-questions-23-09-2015-1967337_683.php
-
Provide more context other than "(De-)Installation Error" (#137) | Issues | F-Droid / fdroidclient | GitLab
Avoir un ordiphone sous Android avec F-Droid (pour installer uniquement des applis sous licence libre), vouloir mettre à jour une application de 1,2Mo (Offline Calendar mais elle n'est pas en cause ici), se manger une erreur « (De-)Installation Error », faire le lien avec la notification Android qui m'informe que ma mémoire interne est bientôt pleine (mais qu'il reste 125Mo libres quand même hein), se dire « non, c'pas possible que ça soit ça, doit y avoir une autre cause, si les devs F-Droid ont affiché ce message d'erreur générique, c'est que toutes les tentatives d'identifier l'origine de l'échec de la mise à jour ont échouées ». Hé bah non...Tue Sep 29 20:19:04 2015 - permalink -
Donc il faut 150Mo de libre pour mettre à jour une application et 1,2Mo. Et surtout, surtout, payes ton message d'erreur pas clair du tout ! Surtout que, d'après ce témoignage, une installation manuelle en dehors de F-Droid indique clairement l'origine du problème dans les logs donc les devs F-Droid doivent pouvoir remonter cette erreur ! Comment on peut imaginer toucher le grand public avec des messages d'erreur aussi mal foutus (je ne sais pas si c'est une install ou désinstall, moi je voulais juste mettre à jour une application, ce message d'erreur ne m'apprend rien autant juste me dire "Error") et effrayants ?! :/- https://gitlab.com/fdroid/fdroidclient/issues/137
-
Admins/ingés réseaux : ne filtrez pas les annonces BGP 2001::/32 et 2002::/16
Un des adhérents d'ARN (Alsace Réseau Neutre, FAI associatif en Alsace, http://www.arn-fai.net/) nous indique qu'il n'arrive pas à joindre notre réseau en IPv6 avec sa nouvelle connexion Internet Numéricable. Comme il n'y a pas d'IPv6 chez ce FAI, il utilise Teredo, sorte de 6to4 (une des techniques de transition vers IPv6) qui peut être utilisée dans un contexte NAPT puisque ça repose sur une encapsulation UDP des paquets IPv6 là où 6to4 repose sur une encapsulation IPv4 des paquets IPv6 qui ne permet pas la traversée de NAPT (puisque pas de numéro de port ;) ). Lors d'un « ping6 int.arn-fai.net », il obtient des erreurs « Destination unreachable: Address unreachable ». Chose curieuse : le « From: » est l'IPv6 du client lui-même !Tue Sep 29 17:36:57 2015 - permalink -
Évidemment, les autres réseaux (ipv6.google.com, wikipedia,...) sont accessibles en IPv6. Aucun problème pour joindre notre réseau en IPv4 depuis cette connexion Numéricable.
Pour pouvoir reproduire ce problème sur une ligne Numéricable, j'ai utilisé le logiciel Miredo (http://www.remlab.net/miredo/) qui peut agir comme client/serveur/relai Teredo. C'est dispo dans les dépôts Debian et ça juste fonctionne sans prise de tête. Il est livré avec une configuration client donc il suffit de « service miredo start » pour le lancer. Un « tail -f /var/log/syslog » vous confirmera si le tunnel est OK.
Je vous passe les heures à essayer de comprendre l'origine du problème... Problème de routage ? Préfixe v6 d'ARN trop spécifique donc ignoré du relai teredo ? Upstreams d'ARN qui failent ou gue-guerre commerciale ?
Pour comprendre le problème, il faut lire la doc. On va commencer par les définitions générales. Voir : https://fr.wikipedia.org/wiki/Teredo_%28protocole%29
« Teredo définit plusieurs types de nœud :
* Un client Teredo est un hôte qui dispose d'une connectivité IPv4 à l'Internet derrière un NAT et utilise le protocole de tunneling Teredo pour accéder à l'Internet IPv6. Les clients Teredo reçoivent une adresse IPv6 qui commence par le préfixe Teredo 2001:0000::/32
* Un serveur Teredo est un hôte connu qui est utilisé pour la configuration initiale d'un tunnel Teredo. Un serveur Teredo ne transmet jamais tout le trafic pour le client (en dehors des pings IPv6), et a donc de très modestes besoins en bande passante (quelques centaines de bits par seconde et par client au maximum), ce qui permet à un serveur unique de subvenir à un grand nombre de clients. En outre, un serveur Teredo peut être mis en œuvre de manière totalement sans état, utilisant ainsi la même quantité de mémoire indépendamment du nombre de clients qu'elle soutient.
* Un relais Teredo est un hôte connecté à la fois en IPv4 et en IPv6, et par lequel passe tout le trafic destiné à l'Internet v6, il a donc de gros besoins en bande passante. »
Pour comprendre la suite, il faut lire un bout du RFC 4380 (https://tools.ietf.org/html/rfc4380#section-3.4) :
« Teredo clients have to discover the relay that is closest to each
native IPv6 or 6to4 peer. They have to perform this discovery for
each native IPv6 or 6to4 peer with which they communicate. In order
to prevent spoofing, the Teredo clients perform a relay discovery
procedure by sending an ICMP echo request to the native host. This
message is a regularly formatted IPv6 ICMP packet, which is
encapsulated in UDP and sent by the client to its Teredo server; the
server decapsulates the IPv6 message and forwards it to the intended
IPv6 destination. The payload of the echo request contains a large
random number. The echo reply is sent by the peer to the IPv6
address of the client, and is forwarded through standard IPv6 routing
mechanisms. It will naturally reach the Teredo relay closest to the
native or 6to4 peer, and will be forwarded by this relay using the
Teredo mechanisms. The Teredo client will discover the IPv4 address
and UDP port used by the relay to send the echo reply, and will send
further IPv6 packets to the peer by encapsulating them in UDP packets
sent to this IPv4 address and port. In order to prevent spoofing,
the Teredo client verifies that the payload of the echo reply
contains the proper random number. »
Donc le client Teredo fait un test de connectivité (un echo request icmpv6) en émettant un paquet avec comme IPv6 source l'IP qu'il a synthétisé dans 2001::/32 et en passant par son serveur Teredo qui le transmet à la destination.
La destination doit donc répondre directement au client... et doit donc avoir une route vers 2001::/32. Ce préfixe peut-être annoncé par tout opérateur réseau qui veut monter des relais Teredo. C'est, avec la racine DNS et le 6to4, un des exemples d'utilisation de l'anycast sur l'Internet. Actuellement, Hurricane Electric semble être l'un des gros fournisseurs de relais Teredo/6to4 (il faut dire qu'avec les tunnels 6in4 c'est leur business :D ). La réponse de la destination sera donc prise en charge par le relai Teredo le plus "proche" de celle-ci et retranmise au client Teredo en IPv4.
Attention : en anycast, « le plus proche » n'a aucune signification géographique ! Cette notion s'apprécie en nombre de réseaux traversés et en fonction des politiques de routage propre à chaque opérateur ! Exemple, chez ARN, nous voyons deux routes pour joindre un relai Teredo (http://lg.arn-fai.net/prefix_detail/hwhost-1/ipv6?q=2001%3A%3A/32) : une directement connectée (Hurricane Electric), l'autre en 3 sauts. Pourtant, c'est le chemin le plus long qui l'emporte car on a diminué la local-pref sur HE afin de forcer le trafic à sortir par Cogent car notre lien avec HE est un tunnel 6in4 à cause d'une gu-guerre commerciale entre Cogent et HE qui empêche de joindre l'un quand on est client de l'autre sauf à monter ce genre de tunnels crades (cf http://shaarli.guiguishow.info/?X_2rrQ). Un choix humain de recherche de qualité entraîne ici une sous-performance.
Si le client reçoit une réponse de la destination, il reçoit également, dans les headers, l'adresse IPv4 du relai Teredo à utiliser pour établir la communication. S'il ne reçoit pas la réponse, un message « Destination unreachable: Address unreachable » est émis pour informer la couche applicative...
Voici ce que l'on voit côté destination (j'ai remplacé l'IPv6 source par une factice ;) ) :
IP6 2001:0::1 > int.arn-fai.net: ICMP6, echo request, seq 46782, length 26
IP6 int.arn-fai.net > 2001:0::1: ICMP6, echo reply, seq 46782, length 26
IP6 2001:0::1 > int.arn-fai.net: ICMP6, echo request, seq 1, length 64
IP6 int.arn-fai.net > 2001:0::1: ICMP6, echo reply, seq 1, length 64
IP6 2001:0::1 > int.arn-fai.net: ICMP6, echo request, seq 2, length 64
IP6 int.arn-fai.net > 2001:0::1: ICMP6, echo reply, seq 2, length 64
Pourquoi la réponse des machines du réseau ARN ne revenait pas au demandeur ? Parce que nous appliquons des filtres sur les annonces BGP que nous recevons pour ne pas prendre en compte les martians (les plages d'adresses IP qui n'ont rien à faire sur Internet : documentation, RFC1918, benchmark, link-local,...) comme il est recommandé de le faire. Sauf que ce filtre était trop restrictif et il amenait à ignorer 2001::/32. Impossible donc pour les machines de notre réseau de répondre puisqu'aucune route... Notons que le message d'erreur n'est pas clair... Pour moi, « Destination unreachable: Address unreachable » s'entend d'un point de vu du serveur Teredo. Je pensais donc que c'était ce dernier qui n'avait pas de routes pour joindre le réseau d'ARN. :-
Pour les admins réseaux : 6to4 et Teredo ne sont pas dépréciés à l'IETF ! Seul l'usage de l'anycast pour joindre, en IPv4, le relai 6to4 le plus proche est déprécié par le RFC 7526, il faut contacter le relai 6to4 en unicast ou le relai Teredo selon le mécanisme décrit ci-dessus. Donc 192.88.99.0/24 pourra bientôt être ajouté à la liste des martians à filtrer mais 2001::/32 (Teredo) et 2002::/16 (6to4) restent utilisables et ne doivent donc pas être filtrés !- http://shaarli.guiguishow.info/?bADUsQ
-
Faut il croire au Freedom, Act ? - ITEANU Blog
« La section 5 de la Loi Freedom Act dispose clairement que cette Loi "amends the USA PATRIOT ACT" de 2005 "to extend (it) until December 15, 2019".Tue Sep 29 13:20:44 2015 - permalink -
En second lieu, la deuxième fausse idée est de laisser croire que cette Loi ne porte que sur la collecte massive de métadonnées téléphoniques comme on a pu le lire ici ou là.
Il est vrai que, pour la première fois dans la Loi américaine, le Freedom Act traite de manière distincte le recueil de des métadonnées téléphoniques qui n’étaient pas distinguées précédemment des autres "business records", c'est à dire de toutes données, sous toutes formes et formats.
La Loi améliore la position des citoyens américains pour ces métadonnées téléphoniques en imposant désormais au FBI de poser une sélection, un filtre, pour leur collecte.
Autrement dit, les citoyens américains ne verront plus leurs métadonnées téléphoniques prises dans le filet géant de la collecte massive et indifférenciée des données.
Cependant, pour les "acquisitions targeting persons outside the United States" (50 USC 1881a), aucun critère spécifique de sélection n’est exigé, ni aucune autorisation judiciaire préalable, sauf pour apporter des garanties additionnelles aux citoyens américains qui seraient mentionnées à l’occasion de ces « acquisitions » ciblant des personnes en dehors du territoire américain.
[...]
Pire encore, le Freedom Act renforce le pouvoir de l’Attorney Général qui, en cas d’urgence, peut se passer de décision préalable du juge, exiger la communication de tous "business records" et n’obtenir l’aval d’un juge qu’a posteriori., pour les citoyens américains et les autres.
Enfin, le texte de loi confère désormais l’impunité, non seulement aux personnes fournissant les « business records » à la demande des autorités, principalement les hébergeurs, mais aussi dorénavant à ceux qui leurs fournissent des moyens et les assistent dans cette tâche.
Le Freedom Act apparaît donc comme un texte qui apporte des avancées pour les citoyens américains, avancées contrebalancées cependant par d’autres dispositions plus sévères. »
En référence à http://shaarli.guiguishow.info/?naWAZw. On retrouve des morceaux identiques à la loi Renseignement française : surveillance internationnale (donc nationale, une communication sur Internet reste rarement sur le territoire, aussi bien techiquement que par effet de réseau social) débridée, procédure d'urgence sans juge, et coopération des prestataires.- http://blog.iteanu.com/index.php?post/2015/09/29/Faut-il-croire-au-Freedom%2C-Act
-
Own-Mailbox, charlatanisme ou incompétence ?
+ https://blog.imirhil.fr/own-mailbox-la-reponse-a-la-reponse.htmlTue Sep 29 12:17:47 2015 - permalink -
+ https://blog.imirhil.fr/own-mailbox-suite-et-fin.html
Lisez aussi les commentaires, le tout est très technique mais très intéressant. *Vraiment*.
L'avis d'Aeris sur Own-mailbox. Pour rappel, mon avis est ici : http://shaarli.guiguishow.info/?lra2Xw . Je le rejoins sur les nouveaux points suivants :
* uPnP c'tout naze niveau sécurité ;
* Le tunnel de port va être implémenté sous forme d'un relai SMTP donc oui, c'est une forme de centralisation ;
* Un mécanisme *manuel* de mise à jour des logiciels en utilisant les dépôts du projet est prévu, ce qui permettra d'installer nawak sous l'ordre d'une quelconque agence ou par erreur ou pour le business (souvenez-vous des mises à jour Windows dont vous avez accepté l'installation (je ne parle pas des màj auto et quasi-forcées de win10) et qui ont fait nawak genre nouvelle procédure d'activation windows, genre conflit avec l'antivirus empêchant le reboot,...) ;
* Le faux sentiment de sécurité généré par le discours marketing autour du projet.
Néanmoins, je pense qu'Aeris va trop loin dans l'analyse des risques (MitM, limites de SMTP+TLS, détournement du nom de domaine, push de logiciels malveillants par la suite,...) : il faut voir ce projet comme une première étape, pas comme la destination.
La majorité des commentaires qu'on lit à l'encontre de ces billets de blog c'est qu'il faut simplifier pour que le mail auto-hébergé et confidentiel devienne accessible au plus grand nombre et donc qu'own-mailbox est un bon projet. J'en suis le premier d'accord. Je pense simplement que d'autres projets sont plus adaptés et prometteurs, comme la Brique Internet (VPN + conf' tout aussi automatique et user-friendly mais sans uPnP, permet tout autant de contourner le blocage du port 25 sans relai mail, permet l'utilisation d'un nom de domaine personnel out-of-box,...). Oui, la Brique n'utilise pas GPG (et c'est tant mieux), mais c'est une première étape, non ? ;) On peut aussi avoir des associations qui hébergent mails et sites web : on décentralise tout en rendant accessible par la mutualisation des compétences techniques. Ça aussi, ça peut être un premier pas.
Le commentaire de Jean-Marc Manach (https://blog.imirhil.fr/own-mailbox-la-reponse-a-la-reponse.html#isso-105) résume tout :
« Tu aurais brandé Own-mailbox comme un serveur de mail décentralisé, il ne te serait pas tombé dessus ainsi; le présenter comme un produit permettant de protéger sa vie privée, en laissant entendre que ses utilisateurs seraient ainsi protégés de Google ou de la NSA, implique de grandes responsabilités... et on n'affirme pas ce genre de choses sans avoir au préalable validé son projet par des gens qui s'y connaissent un tantinet en la matière, ce que vous n'avez pas fait.
[...]
TOR & TAILS (par exemples) précisent par ailleurs les modèles de menace auxquels ils peuvent faire face... ou pas, et donc les risques que prennent les utilisateurs de TOR & TAILS, ce que vous ne faites pas, et ce qu'a donc tenté de préciser Aeris.
[...]
tu ne peux pas "vendre" un service reposant (en partie) sur la cryptographie, et promettant un niveau élevé (btw, oublie donc le "100%") de confidentialité et donc de sécurité informatique sans avoir réellement étudié la question, et fait montre de compétences en la matière.
[...]
Bref : soit tu rebrandes ta com', soit tu te mets au taff' pour répondre aux problèmes & questions posées par Aeris. Mais en l'état, Own-mailbox propose une fausse promesse de sécurité »- https://blog.imirhil.fr/own-mailbox-charlatanisme-ou-incompetence.html
-
Blog Stéphane Bortzmeyer: RFC 7649: The Jabber Scribe Role at IETF Meetings
« Pendant les réunions physiques de l'IETF, il y a divers moyens de suivre la réunion en n'étant pas présent sur les lieux. Entre autres, il y a une pièce XMPP (protocole autrefois nommé Jabber, ce dernier nom restant très répandu) qui permet de poser des questions et de discuter. Une personne dont le rôle est important est le scribe : il ou elle est sur place et son travail est de relayer les remarques et commentaires dans les deux sens, par exemple en allant au micro lire les questions des participants distants.Tue Sep 29 11:35:24 2015 - permalink -
[...]
D'où l'importance du rôle du « scribe Jabber ». Il est présent dans les différentes sessions d'une réunion IETF, notamment lors des réunions des groupes de travail, et c'est une ou un volontaire, personne n'est payé et désigné pour être scribe Jabber. Ce RFC décrit cette activité, les qualités nécessaires et comment faire pour être un bon scribe.
Premièrement, le bon scribe doit connaitre son public, les gens pour qui elle ou il travaille (section 2 du RFC). Il y en a trois catégories :
* Les participants distants dont j'ai déjà parlé. Ils regardent les planches qui sont montrées dans la salle, ils écoutent le flux audio, mais ils voudraient aussi pouvoir intervenir (au passage, il faut se rappeler que l'IETF est une organisation ouverte, donc permettre à des gens qui n'ont pas eu le temps ou l'argent de venir est important politiquement).
* Les participants qui sont sur le site mais sont physiquement dans une autre salle. Cela fait partie du folklore IETF de voir quelqu'un dans la salle où se réunit le groupe de travail 1 tout en suivant sur son ordinateur portable les activités des groupes de travail 2 et 3... Comme ils écoutent la salle où ils sont, ils n'ont en général pas branché le flux audio et ont donc besoin d'une pièce XMPP plus bavarde.
* Les participants qui sont dans la salle physique, mais apprécient le fait que, dans la pièce XMPP, on peut communiquer par écrit (cela peut être plus simple pour les non-anglophones) ou simplement qu'on peut discuter sans déranger les autres (du genre « il a bien dit qu'on pouvait raccourcir un changement de clé à une semaine ? Et la section 2.2 du RFC 5011, alors, il y a pensé ? »)
[...]
Le serveur XMPP de l'IETF ne permet pas la création de compte : il faut avoir un compte existant chez un des innombrables fournisseurs XMPP (comme celui de la Quadrature du Net mais il en existe plein d'autres, XMPP n'étant pas un système centralisé).
[...]
Mais, dans le monde réel, il y a parfois des gens qui abusent, surtout dans la chaleur d'une vive discussion (IDN, par exemple...). Comment les gérer (section 8) ? Le scribe n'est pas censé tout relayer. Si un participant distant écrit dans la pièce XMPP « MIC: ce connard ne connait rien à la technique et devrait fermer sa gueule », le scribe n'est nullement obligé de répéter ce commentaire verbatim au micro. La meilleure solution est sans doute de demander à l'excité de refaire son commentaire de manière plus constructive. »- http://www.bortzmeyer.org/7649.html
-
MySQL Bugs: #24432: INSERT... ON DUPLICATE KEY UPDATE skips auto_increment values
Le bug totalement #WTF du jour : il faut une version précise de MySQL utilisée en serveur maître de la replication + une version précise utilisée en serveur esclave + une requête « INSERT INTO... ON DUPLICATE... » + un champ de la table en « AUTO_INCREMENT ». Dans ce cas, le process de replication se stoppe le temps qu'un admin demande à ce que la ligne responsable soit skippée... #FunFact : les logs indiquent clairement ce problème avec un lien vers la doc' :DMon Sep 28 16:51:17 2015 - permalink -
Pour le fun :
master (-inf, 5.0.23) [5.0.24, 5.0.34] [5.0.36,+inf)
slave
(-inf, 5.0.23) BUG#20188 both bugs, no error BUG#20188
[5.0.24, 5.0.34] this bug, no error no bug this bug, no error
[5.0.36, +inf) no bug this bug, error no bug
Oui, ça date de 2007 mais on continue à rencontrer ce genre de problèmes en production, si si si si. :)- https://bugs.mysql.com/bug.php?id=24432
-
Les débuts chaotiques de la loi sur le renseignement | le PI scope
« Le 15 septembre dernier, le Conseil d’État a dévoilé les noms de ceux de ses membres qu’il a retenus pour le représenter au sein de la nouvelle Commission nationale de contrôle des techniques de renseignement (CNCTR). Cette nouvelle autorité, créée par la récente loi sur le renseignement du 24 juillet 2015, a vocation à remplacer la Commission nationale de contrôle des interceptions de sécurité (CNCIS) qui avait jusqu’à présent la charge de vérifier la légalité des écoutes effectuées sur demande du Premier Ministre. Dans son communiqué de presse, le Conseil d’État explique que, pour nommer ces membres, il s’est fondé sur l’article L. 831-1 du code de la sécurité intérieure (CSI).Mon Sep 28 16:44:55 2015 - permalink -
Le même jour, le gouvernement nous informait que la Cour de cassation avait également procédé à la nomination des deux membres qu’il lui appartenait de choisir afin qu’ils siègent au sein de cette nouvelle commission. Cette fois, pourtant, le communiqué ne comportait aucune indication sur le fondement juridique de cette nomination.
Dans la foulée, l’Élysée annonçait que le Président de la République envisageait de nommer en tant que président de la CNCTR, Monsieur Francis DELON, l’un des deux membres de la CNCTR choisi par le Conseil d’État.
[...]
Ainsi, comment le Conseil d’État et la Cour de cassation peuvent-ils nommer des membres auprès de la CNCTR alors que l’article du Code de la sécurité intérieure qui leur confère ce pouvoir n’est pas encore entré en vigueur ?
[...]
La loi sur le renseignement, prise en son article 2, a créé un article L. 831-1 au sein du code de la sécurité intérieure qui détermine la composition de la CNCTR et les modalités de nomination et de désignation de ses membres, y compris de son président. [...] Le président de la CNCTR doit, quant à lui, être nommé par décret du Président de la République ; celui-ci devant choisir parmi les membres désignés par le Conseil d’État ou la Cour de cassation.
[...]
Or, cet article n’est pas encore entré en vigueur.
En effet, l’article 2 de la loi sur le renseignement, qui a notamment pour vocation d’introduire cet article L. 831-1 au sein du code de la sécurité intérieure, fait partie de ceux dont l’entrée en vigueur est retardée jusqu’à la publication du décret devant nommer le président de la CNCTR (cf. article 26 de la loi sur le renseignement).
[...]
Par conséquent, l’article L. 831-1 n’a pas pu entrer en vigueur et ni le Conseil d’État ni la Cour de cassation ne sont dès lors habilités à procéder à une quelconque nomination au sein de la CNCTR.
Il nous semble donc que les nominations opérées par le Conseil d’État et la Cour de cassation sont totalement dépourvues de fondement juridique et, dès lors, sans effet.»
Haha... Cocasse. Reste à voir les répercussions...
Via le twitter de Benjamin Bayart (https://twitter.com/bayartb/with_replies)- http://lepiscope.com/2015/09/22/les-debuts-chaotiques-de-la-loi-sur-le-renseignement/