Le Comcyber, le Commandement de la cyberdéfense française, créé en 2017 et placé sous l’autorité du chef d’état-major des armées, peut se vanter d’avoir fait des débuts prometteurs sur Internet. Nos vaillants pioupious du Net se sont ainsi dotés pour communiquer d’une adresse Gmail, propriété du géant américain Google !
Rien d'étonnant : le sinistère de la Défonce a signé un contrat open-bar Microsoft depuis 2009. De même, la direction centrale des directions interarmées des réseaux d'infrastructure et des systèmes d'information pousse à l'utilisation de logiciels privateurs depuis plus de 5 ans…
x0rz — pseudo d’un spécialiste de la sécurité informatique très actif sur les réseaux sociaux — vient de faire cette découverte en épluchant le compte Twitter du Comcyber, et il s’est empressé de populariser la nouvelle sur la Toile. La boulette est d’autant plus étonnante que les liens entre les barbouzes américaines de la NSA et les géants US de l’informatique sont de notoriété publique. Bonjour le secret-défense…
Au contraire, ceci n'explique-t-il cela ? ;) Après tout, les ricains ne sont-ils pas nos grands amis et alliés (ironie inside) ?
Mais l’exemple vient de haut. Macron possède lui-même une adresse Gmail, qu’il utilise depuis de nombreuses années et qui semble avoir été piratée en juin 2017, peu après son installation à l’Elysée (le « JDD », 20/1 ). Pour le dédouaner, l’entourage du chef de l’Etat affirme que cette adresse — diffusée très largement — ne sert que pour des correspondances banales ou familiales.
Pour désamorcer tous les soupçons, qu’attend Donald Trump pour créer une adresse sur « laposte.net » ?
Dans le Canard enchaîné du 23 janvier 2019.
Dans le monde du tennis, un sport de gentlemen, il y a les stars, qui passent à la télé et gagnent des millions sur la pelouse de Wimbledon ou la terre battue de Roland-Garros, et puis il y a les autres, qui tapent la balle dans les gymnases de Bressuire, gagnent des clopinettes et finissent au poste de police.
Classés entre la 200e et la 600e place mondiale, ces forçats de la raquette rament dans les tournois secondaires de la planète pour ramasser quelques centaines d’euros qui leur paient à peine le voyage et l’hôtel. Ce petit monde-là se divise encore en deux catégories : ceux qui acceptent entre 1 000 euros et 10 000 euros pour perdre un point, un set ou un match, sous la pression des mafias des paris en ligne, et ceux qui refusent, menaces à la clé.
Depuis que la tentaculaire affaire de matchs truqués a éclaté à Bressuire, il y a quinze jours, les témoignages édifiants sur cette violence planquée pleuvent comme des smashs. La copine du Belge Yannick Mertens, 522e joueur mondial, reçoit de doux messages sur son compte Facebook après les défaites de son compagnon (TF1, 19/1) : « Ton copain Mertens, je vais lui casser les jambes et la tête ! » Le Français Hugo Nys, 434e à l’ATP, décrit son quotidien réjouissant (« L’Equipe », 16/1) : « On te dit qu’on va violer ta copine, qu’on te souhaite d’avoir un cancer. C’est incroyable, on subit ça et personne ne fait rien. »
Même régime chez les filles, avec Constance Sibille, que des gugusses ont accostée lors d’un tournoi en Roumanie, il y a cinq ans déjà, alors qu’elle était 265e mondiale (« L’Est républicain », 18/1) : « J’ai déjà reçu des menaces de mort parce que j’avais fait perdre de l’argent à des parieurs. C’est devenu banal. » Pour Marine Partaud, 417e mondiale (« L’Equipe Magazine », 2/11/18),ça continue : **« On est sûres de recevoir des messages horribles, des injures, des menaces de mort, toutes les semaines, sur tous les tournois (…). C’est dangereux pour notre sécurité (…), ils commen- cent à venir nous menacer. On va attendre qu’une joueuse se fasse tabasser pour réagir ? »
A part mettre des vigiles sur tous les terrains, la réaction risque de se faire attendre, vu le fonctionnement des paris en ligne sur ces matchs secondaires, interdits depuis la France mais autorisés partout ailleurs. Le joueur Hugo Nys résume bien l’absurdité du système : « Comment ça se fait qu’un mec puisse parier en Ouzbékistan sur un premier match de qualif en Turquie ? »
C’est le monde merveilleux du blé et de l’Internet…
Dans le Canard enchaîné du 23 janvier 2019.
La condamnation, le 18 janvier à Cahors, de Jean-Paul Gouzou (67 ans au moment des faits) à 25 ans de prison pour le meurtre de son épouse, Djeneba (37 ans), a conclu une triste affaire de féminicide (109 femmes tuées par leur mari, leur ex ou leur compagnon en 2017), mais aussi de divagations judiciaires. Comme l’avait raconté « Le Canard », le procureur de l’époque et son adjointe avaient méchamment envoyé bouler les amis de Djeneba, et même la déléguée interministérielle aux droits des femmes, qui les alertaient du danger que représentait Couzon. Expédiés quelques jours avant le crime, leurs courriels, plutôt gênants, ont été produits à l’audience.
« Le parquet n’a pas vocation à être le bureau des pleurs », affirmait le proc, soutenant son adjointe, qui, pour sa part, avait qualifié ces appels de « fatras de doléances », encombrant « les boîtes mail des magistrats ».
Moche indifférence
Les magistrats n’apprécient guère qu’on attaque leur chère institution, et la cour de Cahors ne fait pas exception. Le président et l’avocat général se sont agacés, lors du procès, qu’« une bonne âme ait transmis ces mails au “Canard” ». Achevant de les exaspérer, Anne Bouillon, l’avocate de la Fédération nationale solidarité femmes, a également découvert que le juge aux affaires familiales s’était planté en rédigeant l’« ordonnance de protection ». Cette dernière interdisait au mari d’approcher Djeneba durant quatre mois, alors que la loi avait changé et étendait cette durée à six mois puis la prolongcait indéfiniment dès la demande de divorce, déposée en juillet 2016.
Quant aux courriels si aimables de l’ancien procureur et de son adjointe, ils sont desormais « en cours d’analyse » à la Chancellerie…
N'est-ce pas ce qu'on nomme pompeusement non assistance à personne en danger ?
Dans le Canard enchaîné du 23 janvier 2019.
Nom, antécédents judiciaires, “implications associatives”… le Renseignement territorial veut tout savoir sur les “meneurs” des ronds-points.
C'est une instruction secrète qui a été transmise, début janvier, par le ministère de l’Intérieur à ses troupes, chargées du Renseignement territorial : autour des ronds-points, les poulets ont mission de recenser systématiquement et nonminativement les « meneurs du mouvement des gilets jaunes ». Le Service central du renseignement territorial (SCRT), qui dépend de la Direction générale de la police nationale, est chargé de ce fichage très sensible.
Comme le stipule un document en possession du « Canard », le SCRT et ses agents doivent repérer « les personnalités exerçant une réelle influence sur le mouvement ou se signalant par des discours ou des commentaires vindicatifs ou subversifs trouvant de l’écho sur les réseaux sociaux ». Et d’affiner le trait : « des individus qui, aujourd’hui, jouent un rôle réel par leur présence constante, par le caractère fédéateur de leurs actions, par le fait qu’ils ont un potentiel pour être des interlocuteurs des pouvoirs publics ou, au contraire, sont entrés dans une forme de radicalité ». Ça en fait, du monde !
Catho ou franc-mac ?
Pour chaque « personnalité », on demande aux flics de remplir une fiche informatisée. Y figurent, outre sa photo et un état civil complet (pseudo inclus), une foultitude de renseignements : son adresse, son téléphone, sa profession, son véhicule et son immatriculation. Mais aussi, précise le document de l’Intérieur, « ses antécédents et procédures judiciaires », « son implication associative », « son influence et son activité sur les réseaux sociaux », « son implication médiatique », « ses liens avec des éléments ou mouvements radicaux » et le « financement » du mouvement. Et rien sur la couleur de son gilet ?
Onze ans après leur suppression par Sarko, revoilà donc les bons vieux RG et leur parfum de police politique ! Un retour aux sources qui suscite un malaise au sein de la maison poulaga et chez certains préfets. « A la rubrique “Implication associative”, on indique quoi ? “Franc-maçon” ? “Va à la messe” ? » s’inquiète un gradé du Renseignement.
Ben, non, car il y a des activités mieux vues que d'autres qu'il n'est donc pas nécessaire de noter. C'est pourtant simple, voyons ! :P
La Cnil court-circuitée
D’autant que, une fois bouclée cette collecte de terrain, tous les renseignements sont récupérés par la Place Beauvau, à Paris. Vérification faite par « Le Canard », ce fichage qui ne dit pas son nom n’a fait l’objet d’aucune déclaration à la Commission nationale de l’informatique et des libertés. Et la loi ? C’est pour les chiens (policiers) ? Pris en flag, le ministère de l’Intérieur fait savoir au « Canard » que « les services font leur travail avec les moyens juridiques autorisés par la loi ».
En constituant ce fichier clandestin, le SCRT et l’Intérieur poursuivent un double objectif : d’abord, mieux surveiller les gilets jaunes et identifier ceux qui pourraient basculer dans la violence ; ensuite, interpeller des meneurs pour tenter d’en faire des balances. Au chapitre « Observations », on peut en effet lire : « L’intéressé a-t-il fait l’objet d’un contact avec le service, avec des administrations ? Un contact est-il envisageable ? » Pour faire des « jaunes » (traîtres)… sans gilet ?
D'un côté, qu'une des parties à l'œuvre dans un conflit cherche à se renseigner sur ses adversaires, c'est la base. D'un autre côté, je trouve cela glaçant : de par les informations collectées (notamment l'appartenance associative, liens et financement), on perçoit que ce fichage perdurera au-delà du mouvement des Gilets jaunes afin d'assurer d'autres objectifs… Souhaitons-nous qu'un État dispose de ces informations et puissent agir dans le futur contre des mouvements naissants ?
Dans le Canard enchaîné du 23 janvier 2019.
Oui c'est ça, tapons encore sur les jeunes. C'est la faute aux jeux vidéo, j'imagine ?
Vieux cons.
Vous voulez savoir ?
Voici quelques raisons :
- dans une économie ruinée par vos soins, les jeunes bossent en stage 12h par jour 500€/mois dans une boîte différente tous les mois.
- à force de voir votre génération dormir dans les hémicycles, n'espérez pas qu'ils vous fassent confiance.
- quand le jeune s'exprime, on dit dit constamment "t'es trop jeune, tu peux pas comprendre"
- plus généralement, on nous a toujours dit "tais toi et écoute" : c'est pas avec un speech à la télé qu'on connard qui dit qu'il y aura un débat va pouvoir pousser tout le monde à parler.
- quand ils marchent dans la rue, votre génération évite la leur. Ne venez pas faire de leçons de confiance.
- ils savent que le monde est perdu : emploi, climat, société, pauvreté... Il n'y a que deux choses qui peuvent changer ça : la fin de l'humanité et la fin du modèle societal actuel (une révolution, quoi). Vous avez prouvé qu'un compromis est impossible.
Enfin les jeunes (et pas que) s'activent ailleurs : on prend un velib ou une trottinette, pas un 4x4 en ville pour montrer "tavu j'ai bossé toute ma vie pour ruiner ce qui reste de celle des autres" ; on monte des petites boîtes ou des associations (dans un monde où y'en a que pour les vieux du cac40, c'est pas simple) ; on se met au libre, au hacking (pas seulement informatique), on combat l'obsolescence programmé, on aide ses prochains et pas son compte en banque (qui est vide de toutes façon).
Bref, on essaye de se passer de vous parce que tout ce que vous avez fait ou faites ne fait qu'empirer les choses, année après année, jour après jour.
Votre génération, en particulier en politique et en entreprise, est celle qui a ruiné et détruit le monde et qui continue de le faire.
Vous êtes attachés à vos erreurs et continuez de les faire "parce qu'on a toujours fait comme ça", et rejetant d'un revers de la main toutes les idées d'un jeune parce que "ta gueule tu peux pas comprendre (bis)" (demandez à mon ex-patron pourquoi je me suis tiré de la boîte plutôt que continuer à bosser comme à l'âge de pierre).
On sait pertinemment qu'on ne peux pas compter sur vous pour résoudre les problèmes. Du coup on essaye de survivre malgré ce parasite sur notre dos.
On verra quand le vase débordera franchement.(ps : ce message n'est pas contre les vieux en général, il est contre cette classe sociale qui a tout eu (de l'essence à 3 Francs, une croissance à 2 chiffres, de l'immobilier pas cher, une retraite depuis 57 ans et de la place pour vivre, et j'en passe) et qui donne des leçons sur tout (typiquement la population d'un hémicycle). Elle se trouve être composée majoritairement de vieux (cons).
Je n'ai pas de mots assez forts pour abonder dans le sens de ce texte. Et oui, l'injonction faites aux jeunes de se rendre aux urnes et de participer au grand débat national sont deux moyens de s'assurer que rien changera, de s'assurer que la jeunesse sera bien formatée comme il faut pour se taire tout en croyant avoir la parole.
Bonne entrevue avec Jérémie Zimmermann. Une transcription intégrale est disponible chez l'April. Ce genre d'entrevue est très reposant : on se pose, on prend de la hauteur, on décortique les mots et les concepts bullshit éculés, on essaye de revenir à une réflexion sur l'essentiel, loin des paillettes. C'est très appréciable. Merci jz.
Je retiens 4 points clés :
Moi, de plus en plus, j’ai l’impression que penser l’informatique et l’usage des ressources – ordinateur, réseaux, tout ça – en termes de ce qui est facile et pas facile, ce qui est confort et pas confort, user-friendly ou pas user-friendly, c’est en fait un piège intellectuel. Que quand quelqu’un te dit « vas-y clique ici, ça marche tout seul, c’est user-friendly », en fait il est en train de t’arnaquer. Et penser que des outils aussi complexes que les ordinateurs et les réseaux qui les lient puissent être simples, en fait c’est une erreur intellectuelle. Et de la même façon qu’on va dire « tu cliques ici pour parler espagnol ». Non ! Tu sais que tu vas devoir passer quelques centaines d’heures voire quelques milliers d’heures avant de parler espagnol ! « Clique ici pour savoir jouer du violon ! » Eh bien non, ce n’est pas du violon ; c’est peut-être Guitar Hero avec quatre boutons, mais ce n’est pas une vraie guitare. Et personne ne va être choqué à l’idée de se dire qu’il faut passer des centaines d’heures avant de savoir jouer de la guitare. Je ne dis pas que chacun devrait passer des centaines d’heures à apprendre l’informatique avant d’utiliser l’informatique, mais le fait est que si tu ne prends pas le temps d’essayer de comprendre et d’utiliser des choses qui peuvent te sembler un petit peu arides, eh bien il y a de très fortes chances que tu te fasses arnaquer. Donc au lieu de penser d’un côté en termes user-friendly et de l’autre côté « oh c’est trop compliqué parce que, tu comprends, moi j’ai autre chose à faire », on devrait plutôt penser en termes de : une politique qui permette aux gens de s’émanciper, de s’organiser et d’agir librement versus une politique du contrôle qui capture les gens, leurs données et leur vie.
Le luddisme est un mouvement qui a souvent été décrit comme des gens qui étaient contre les machines et qui étaient contre le progrès. En réalité c’est issu de mouvements très structurés de travailleurs, d’employés, qui s’organisaient contre les abus de pouvoir de leur patron. Des gens qui s’organisaient contre l’exploitation, qui ont vu les machines arriver comme un outil de l’exploitation et qui se sont opposés aux machines comme une des formes d’opposition à l’exploitation. Donc le luddisme ce n’est pas juste des gens, des crétins qui vont aller casser les machines ; ce n’est pas du tout ça. Ce sont des gens qui ont eu un recul et une analyse politique du rôle des machines dans les interactions entre les humains et qui ont dit « si les machines doivent être utilisées comme ça, alors on ne veut pas les utiliser ». Ce qui est intéressant aussi c’est que les luddites ont été écrasés par l’armée. Ils ont tellement fait peur au pouvoir en place qu’on a envoyé l’armée écraser les mouvements luddites, pour dire à quel point ils étaient perçus comme une menace et peut-être pour dire à l’époque combien le pouvoir en place était main dans la main avec les industriels. Donc l’histoire des luddites je crois que ça en dit long sur l’histoire des mouvements sociaux, sur l’histoire des mouvements de résistance, sur l’histoire des mouvements qui contestent quelque chose qui nous est imposé comme étant « c’est le progrès, c’est l’innovation donc on doit tous l’accepter » ; allez hop ! tous une puce dans le cou, tous les empreintes digitales, tous des caméras partout, tous des machins. Des gens qui vont dire « attends, wait ! On souffle un coup, on réfléchit et on se pose la question : est-ce qu’on veut ça, oui ou non ? » Je ne sais pas ce que nos amis les internets entendent par néo-luddisme mais qu’il y ait partout dans le monde, dans tous les milieux et pas seulement dans telle ou telle petite niche politique, des gens qui se posent aujourd’hui la question de notre rapport aux machines, de nos interactions avec les machines et entre nous humains au travers des machines et qui se demandent s’il n’y a pas, peut-être, une forme d’urgence à reprendre le contrôle ou d’urgence à sortir de l’urgence, je pense que c’est quelque chose de très sain.
[…] Avec une bande d’amis on a créé un truc tout à fait informel qui s’appelle Hacking With Care. C’est une espèce de jeu de mots ; hacker au sens originel de bidouiller, hacker avec le care, mais en même temps hacker le care ; care que l’on comprend comme les façons que l’on a entre humains de prendre soin les uns des autres, de partager de la bienveillance, de la bonté et, quelque part, de voir ce care comme autant de technologies que l’on peut s’approprier, que l’on peut hacker, que l’on peut partager. […] L’idée c’était de partager ses compétences, de partager ses technologies et c’est aussi bien le massage que le yoga, que la méditation, que certains soins par les plantes. Et réfléchir ensemble à comment on peut penser, pour le coup vraiment en dehors de la machine, mais réfléchir à l’humain en même temps que l’on réfléchit à la société, à la politique, au combat, etc. […] Le massage des mains pour tous, un petit livre qui ressemble au fucking manual de Read the fucking manual que tu peux imprimer, laisser traîner dans ton hackerspace, dans ton bureau avec tes copains, etc. ; le massage des mains comme un truc qui se donne, comme un cadeau et qui, en même temps, crée un espace d’intimité dans lequel on se retrouve, dans lequel on se parle comme on se touche ; on a perdu l’habitude un peu de se toucher dans un monde super individualiste. Retrouver des espèces de canaux de communication entre les individus, je pense que c’est directement connecté à tout ce dont on a discuté sur la façon de s’organiser, sur la façon de se retrouver, sur la façon de reprendre le contrôle de nos vies et ne plus se voir comme des unités autonomes, individualistes, randiennes, performantes, algorithmiques, etc., mais comme des gens, des humains faits de chair et d’os, de forces et de faiblesses, de moments difficiles et apprendre dans nos vies mais aussi dans nos structures, dans nos mouvements, dans nos modes d’organisation à gérer ces descentes, ces moments difficiles et à ne pas dire « non, non, lui il est fou de toute façon. De toute façon, lui, c’est un connard, machin », mais prendre soin des autres, s’ouvrir sur les autres.
Donc quelque part peut-être apprendre à reprendre le contrôle de nos vies, de notre temps, de nos pensées et par là, peut-être, redécouvrir ou découvrir tout court, si on en a été privé assez tôt, nos humanités. Le fait d’être un humain en face d’un autre humain, avec du gibolin ou pas, avec une bonne assiette de fromage ou des graines ou je ne sais pas quoi, mais ce qui nous connecte, ce qui nous met en face et qui n’a pas des ordinateurs en chemin ; des trucs sans les écrans, sans les claviers, sans les réseaux, mais où on se sent être les uns avec les autres ; où on se sent en lien, où on se sent en solidarité, où on se sent en capacité ; où on partage l’expérience ensemble et de là se demander, en fait, ce qu’on veut faire maintenant. Sans les « du passé faisons table rase » et autres slogans éculés ; sans pensées préconçues, sans idéologie.
Le reste des points abordés n'est pas nouveau :
[…] Et on comprend tous pourquoi. La surveillance, tout le monde se dit : hou là, je n’ai pas envie d’être surveillé. Peut-être que la surveillance c’est justifié de temps en temps, mais moi je n’ai pas envie d’être surveillé ! Alors que protection, tout le monde a envie d’être protégé. Donc on voit comment le sens des mots est utilisé pour neutraliser la capacité à penser. […] Tu as parlé de Google et le fait de dire Fuck off Google à des gens ; leur expliquer que Google c’est cette bande de gens qui, au travers du programme des drones US, aide à identifier et suivre des cibles ; que Google fonde l’évasion fiscale à hauteur de milliards d’euros par an ; que Google c’est la surveillance de masse. Tu leur dis ça et ils sont là « ah oui, mais Google ! » Tu vois comme dans 1984 on dit « mais on a toujours été en guerre avec l’Eurasie » ; ces mantras qu’on a tellement entendus qu’on les a intériorisés : « mais Google, c’est Google ! Comment tu veux te passer de Google ! »
Quand c’est une entreprise qui, par définition, est transnationale, elle a beau avoir son siège en Silicon Valley, elle a des conseils stratégiques qui lui viennent de la Virginie où se trouvent les espions ou de Washington où se trouve le Pentagone. Elle a un siège social en Irlande qui vend de la propriété intellectuelle à son siège en France, qui va revendre ses bénéfices à la filiale néerlandaise, ce qu’on appelle un double Irish Dutch sandwich qui permet à Google, par exemple, de faire évacuer 60 milliards de dollars aux Bermudes et de ne payer quasiment aucun impôt sur les sociétés en Europe. Donc ces machins-là n’ont même pas de centre ; il n’y a même pas un endroit où tu peux tourner le regard et te dire : là il y a un problème et là c’est l’ennemi.
J’ai arrêté d’utiliser un machin qui s’appelle Signal, que beaucoup d’activistes utilisent aujourd’hui, qui est une messagerie dite sécurisée ; j’ai arrêté de l’utiliser parce que l’auteur, Moxie, a interdit aux gens de le distribuer sans son autorisation et de le distribuer autrement que par Google. Donc la question est-ce que c’est vraiment un logiciel libre se pose. Tu dis « mon truc c’est un logiciel libre donc tout le monde a le droit de l’utiliser, de le copier, de le modifier et de l’étudier », mais si tu dis ça et que tu dis au passage « au fait les gens n’ont pas le droit de le modifier », qu’est-ce qui se passe vraiment ? Donc il y a ça, il y a le fait que Signal t’oblige à donner ton numéro de téléphone ; pas juste d’avoir un nickname ou un machin jetable. Non ! Tu es obligé d’avoir un numéro de téléphone. […] Signal centralise toutes les métadonnées sur son infrastructure à lui qui repose sur Amazon et sur Google ( NDLR : ce n'est plus le cas depuis 2017, à ma connaissance ] et au passage Signal, comme beaucoup de projets qui sont dans le domaine de la sécurité, de la protection de la vie privée, etc., a un financement en grande partie par le gouvernement US. Donc voilà ! Signal ils ont fait des choix d’enlever de l’interface le fait de vérifier la clef de chiffrement de ton correspondant. Avant, dès que tu ouvrais un truc dans Signal ils faisaient « attention, le truc n’est pas vérifié, cliquez ici. » Et puis tu allais voir : est-ce que c’est la bonne personne ? Tu passes un coup de fil « dis donc c’est bien toi 3AB28 ? » Eh bien ça ils l’ont enlevé de l’interface ; maintenant il faut aller dans « menu, clac, bidule, en bas, option, clac, tu déroules, en bas, tu cliques, vérifier. » Ah ! C’est bizarre ça ! Parce que si tu enlèves ça, ça rend plus facile le fait de s’introduire dans les communications de quelqu’un, même si c’est chiffré. Mais ils l’ont juste poussé, poussé, poussé. Ils l’ont poussé pourquoi ? Tu sais pourquoi ? Pour rendre ça plus user-friendly, plus agréable, plus facile, plus simple d’accès. Un monde plus doux, plus simple plus joli, plus tout ça !
il y a une espèce de techno béatitude… […] Blockchain voilà. Ah ben tiens, la démocratie ne marche pas, on n’a qu’à faire une démocratie sur la blockchain et ça va marcher ! Right ! Donc il y a une forme de techno béatitude. On nous a dit « oui liquid democracy, machin, tu vois, tu cliques ici ». […] Donc il n’y a pas un truc magique sinon ça ferait longtemps qu’on l’aurait exprimé et ce n’est pas le fait d’ouvrir les entrailles des institutions comme la NSA avec les machins de Snowden, ce n’est pas le fait d’exposer qui va magiquement changer les institutions, les transformer en quelque chose de meilleur.
Version courte : à partir de sa version 3.6.0 incluse, la bibliothèque GnuTLS, l'une des implémentations de TLS (entre autres choses), ne prend plus en charge l'algorithme de signature SHA-1. Ainsi, les logiciels qui se reposent sur elle, comme les outils de manipulation LDAP (ldapsearch, ldapmodify, etc.) ne peuvent plus valider les certificats x509 signés avec SHA-1.
Version longue :
Nous avons un serveur LDAP OpenLDAP 2.4 configuré pour écouter en TLS (port dédié et STARTLS). Le certificat x509 utilisé par ce serveur est signé par notre autorité de certification interne/privée. Nous sommes en mesure d'effectuer des requêtes LDAP protégées par TLS (ldaps://). Une nouvelle informaticienne n'y parvient pas, elle obtient l'erreur « ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1) ». Elle utilise Ubuntu 18.10. Pourtant, cela fonctionne avec Ubuntu 18.04 et Debian Stretch.
J'active le mode debug (« -d 5 ») des outils de manipulation LDAP :
$ ldapsearch -d5 -x -LLL -H ldaps://monserveurldap.exemple:636 -b ou=people,dc=monorganisation,dc=fr
ldap_url_parse_ext(ldaps://monserveurldap.exemple:636)
ldap_create
ldap_url_parse_ext(ldaps://monserveurldap.exemple:636/??base)
ldap_sasl_bind
ldap_send_initial_request
ldap_new_connection 1 1 0
ldap_int_open_connection
ldap_connect_to_host: TCP monserveurldap.exemple:636
ldap_new_socket: 3
ldap_prepare_socket: 3
ldap_connect_to_host: Trying 192.0.2.1:636
ldap_pvt_connect: fd: 3 tm: -1 async: 0
attempting to connect:
connect success
TLS: peer cert untrusted or revoked (0x102)
TLS: can't connect: (unknown error code).
ldap_err2string
ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1)
La ligne importante est « TLS: peer cert untrusted or revoked (0x102) ». Notre autorité de certification privée/interne ne met pas en ouvre les mécanismes permettant à un logiciel de vérifier si un certificat est révoqué, donc la deuxième partie de ce message d'erreur est sans fondement. En revanche, la première partie indique que le logiciel ne parvient pas à valider le certificat x509 présenté par le serveur LDAP durant l'échange TLS. Cela peut être normal, puisqu'il s'agit d'une autorité de certification privée / interne qui ne fait donc pas partie des autorités fournies dans les magasins de certificats des systèmes d'exploitation (et des navigateurs web et autres logiciels).
Je vérifie le contenu du fichier /etc/ldap/ldap.conf. Il y a bien la configuration requise pour utiliser une autorité de certification interne (et tout le reste est commenté), à savoir :
TLS_CACERT /chemin/vers/le/certificat/racine/de/notre/autorite.pem
TLS_REQCERT demand
Je vérifie l'existence du certificat racine indiqué : OK. Je vérifie ses droits d'accès : lecture pour tout le monde. Je vérifie les droits des dossiers parents : lecture + possibilité de traverser pour tout le monde.
Je vérifie la structure globale du certificat x509 avec openssl x509 -in /chemin/vers/le/certificat/racine/de/notre/autorite.pem -text -noout : il s'agit bien de notre certificat racine (les attributs « Subject » et « Serial » sont OK). De plus, un sha256sum de ce fichier certificat entre la machine défectueuse et une machine fonctionnelle nous retourne le même résultat, ce qui prouve que le fichier certificat est identique à celui d'une machine fonctionnelle.
Je vérifie la chaîne de certification avec openssl s_client -connect monserveurldap.exemple:636 -CAfile /chemin/vers/le/certificat/racine/de/notre/autorite.pem | grep 'Verification'. J'obtiens « Verification: OK », ce qui confirme que toute la chaîne de certification est OK, ce qui renforce le doute sur les outils de manipulation LDAP.
Le certificat x509 est OK.
Je me dis que le fichier ldap.conf n'est pas lu / n'est pas pris en compte. Je remplace « TLS_REQCERT demand » par « TLS_RECERT none ». Cela a pour effet de désactiver la vérification du certificat x509 du serveur. Évidemment, cet état n'est pas souhaitable puisqu'il permet des attaques actives (MiTM) contre la confidentialité et l'intégrité mises en place par TLS… Je teste : ldapsearch fonctionne. Donc le fichier ldap.conf est lu et interprété.
Le fichier ldap.conf est OK.
Il y a donc un problème dans la manière dont les outils LDAP effectuent le dialogue TLS. En général, les logiciels n'implémentent pas TLS eux-mêmes, mais ils se reposent sur des bibliothèques de fonctions. Il existe plusieurs bibliothèques TLS (OpenSSL, GnuTLS, LibreSSL, PolarSSL, etc.). Sur laquelle se reposent les outils LDAP ?
$ whereis ldapsearch
ldapsearch: /usr/bin/ldapsearch /usr/share/man/man1/ldapsearch.1.gz
$ ldd /usr/bin/ldapsearch | grep -i tls
libgnutls.so.30 => /usr/lib/x86_64-linux-gnu/libgnutls.so.30 (0x00007fe2e1237000)
Il s'agit de GnuTLS. Quelle version de cette bibliothèque est empaquetée dans la version Stretch de Debian ?
$ apt-cache policy libgnutls30 | grep -i installé
Installé : 3.5.8-5+deb9u4
Et sur Ubuntu 18.04 ? 3.5.18. Et sur Ubuntu 18.10 ? 3.6.4. Hum… On change de version majeure.
Quelles différences y-a-t-il entre la version 3.5.18 et la version 3.6.4 ? Pour le savoir, il faut lire la doc' : zless /usr/share/doc/libgnutls30/NEWS.gz. C'est copieux. Je soupçonne quelque chose en rapport avec x509 puis avec SHA-1 (dont la vulnérabilité est établie depuis mi-2017), donc je procède à une recherche par mot-clé avec zgrep. Bingooooo :
* Version 3.6.0 (released 2017-08-21)
[…]
** libgnutls: SHA1 was marked as insecure for signing certificates. Verification
of certificates signed with SHA1 is now considered insecure and will
fail, unless flags intended to enable broken algorithms are set. Other uses
of SHA1 are still allowed. This can be reverted on compile time with the configure
flag --enable-sha1-support.
SHA-1, l'algorithme de signature utilisé par notre autorité de certification x509 n'est plus pris en charge à partir de la version 3.6.0 de GnuTLS, la bibliothèque sur laquelle se reposent les outils LDAP…
Néanmoins, comment être sûr que SHA-1 n'a pas été activé lors de la compilation dans Ubuntu / Debian ? Comment prendre connaissance des drapeaux positionnés lors de la compilation par les mainteneurs de notre système GNU/Linux ? La réponse est ici : il faut regarder les lignes « ./configure » ou « dh_auto_configure » (Debian-Helper configure ?) contenues dans le fichier « rules » du dossier « debian » du paquet contenant les sources du logiciel (pas celui contenant les binaires !).
Pour ce faire, il faut activer la récupération des sources par apt, c'est-à-dire les lignes qui commencent par « deb-src » dans /etc/apt/sources.list. Ensuite : apt-get update. Puis : apt-get source libgnutls30. Enfin, nous pouvons ouvrir l'archive « gnutls28_3.5.5-2+deb9u1.debian.tar.xz » et constater par nous-même l'absence du drapeau « --enable-sha1-support ».
Quelle conclusion ? Que doit faire notre informaticienne ?
Changer de système d'exploitation ? :P
Nous motiver à changer l'algorithme de notre autorité de certification ? Nous avons encore des logiciels qui ne prennent pas en charge SHA256, donc la transition va être longue. Sans compter qu'il faut re-signer tous les certificats émis (et, si l'on a perdu les requêtes de certification, il faut les générer à nouveau)…
Ne pas utiliser TLS pour interroger notre LDAP ? Les données personnelles qui circulent en clair, ce n'est jamais sympa.
Utiliser TLS en désactivant la vérification du certificat ? C'est pas top, mais elle travaille sur le même réseau que le serveur LDAP, donc le risque d'une attaque active est très faible (et si elle a lieu, peut-être que nous devrions focaliser notre attention sur ce fauteur de trouble), et, au moins, les données circulent de manière chiffrée, c'est un début et cela protège des attaques passives.
Mes notes :
Je ne perçois pas l'intérêt à être efficace / productif / peu coûteux / etc. Après tout, l'être humain est un animal comme un autre. S'attend-on à ce qu'un lion soit efficace ? Va-t-on compter le nombre de ses chasses ? Non. Lui non plus. Il s'en moque. L'humain n'a pas à être efficace, il doit être, c'est tout. Comme un lion ou un arbre. Il est là, il vit, il n'est plus là. Demander à l'humain d'être efficace et tout le tintouin, c'est transformer l'homme en moyen pour atteindre une fin, c'est donc de l'exploitation, car cette finalité-là profite à autrui. La seule finalité de nos actions devrait être de vivre. Le système monétaire devrait être un troc amélioré. Un emploi devrait avoir une utilité sociale stricte. Etc.
Un indicateur déforme la question initiale en la simplifiant. « Est-ce que je rends tel ou tel service utile socialement ? » devient « est-ce que mes mesures montrent que je rends un service ? ». L'utilité sociale n'est pas mesurée.
Un exemple pour illustrer ça : dans les universités françaises, on demande au service informatique de produire des indicateurs portant sur l'utilisation des salles de travaux pratiques (TP) équipée d'ordinateurs.
Au premier abord, cela semble profitable : si ces indicateurs illustrent que des salles de TP sont inutilisées, on dirigera le budget dédié à leur maintenance et à leur remplacement vers d'autres activités, par exemple d'autres formes de pédagogie, non ? Non. Cela permettra d'aller parader au ministère de l'enseignement supérieur et de la recherche en mode "nous sommes en capacité d'économiser x centaines de milliers d'euros, nous sommes trop fort \o/". La pression sera mise sur les universités incapables de rivaliser avec cette prouesse, sans tenir compte des spécificités locales comme le fait que l’université se situe dans un bassin d’emplois sinistré dans laquelle une salle de TP se justifie quand bien même elle n’est pas utilisée 40 % du temps.
Or, cette vision chiffrée ferme des possibilités : une salle de TP informatisée permet aux étudiants de suivre les cours sans investir dans un ordinateur portable, ce qui permet l'accès au plus grand nombre et aussi de ne pas polluer en produisant et commercialisant des machines qui seront inutilisées la plupart du temps par la plupart des étudiants (qui ne sont pas informaticiens). C'est les joies de la mutualisation.
Si l'on constate l'inutilisation d'une salle de TP informatisée, on pourrait très bien décider de laisser cette salle en libre-service plutôt que de la fermer, ce qui permettrait à des non-initiés d'accéder au numérique à moindre coût et aux étudiants d'effectuer des recherches quand la bibliothèque universitaire est saturée (car les examens et les devoirs tombent tous dans une période de temps restreinte). Mais la force des chiffres, notamment la foi que nous plaçons en leur objectivité, nous pousse à conclure à l'inutilité et à fermer la salle de TP. Il s'agit d'un biais cognitif.
Bref, le nombre de fois qu'un service est utilisé ne dit rien de son utilité sociale. Si une instance matérielle d'un service public est peu utilisée, ça ne veut pas dire qu'il a aucune utilité, cela veut dire qu'il y a un travail d'accompagnement vers la dématérialisation à accomplir afin de ne pas laisser les derniers utilisateurs sur le carreau ou qu'il fallait embaucher plus d'agents afin que le service reste à taille humaine, sans une attente démesurée, ce qui fait que le tout-numérique, au détriment de relations sociales, n'aurait pas percé (le détricotage d’un truc qui marche afin de pousser les gens à utiliser un truc déshumanisé plus rentable est monnaie courante). En somme, l'indicateur-ratio coût du service rapporté au nombre de prestations réalisées, c'est ce qui a tué les services publics, c'est ce qui se cache derrière la fermeture des bureaux de poste, des lignes de train, etc.
Les tickets d'intervention en informatique sont aussi un bon exemple. Le principe est simple : une panne informatique, hop, tu ouvres un ticket pour demander au service informatique de réparer. Quel intérêt de produire des stats à partir de ça ? Savoir que xx % des demandes portent sur tel domaine, ce qui laisse à penser que ce domaine peut être amélioré a priori plutôt que d'attendre que les utilisateurs râlent et d'agir a posteriori ? Fort bien. Ça permet d'évaluer le coût de maintien de tel et tel secteur ? Fort bien.
Pourtant, pour calculer tout ça, il n'y a pas besoin de connaître le nombre de tickets traités par personne. Alors pourquoi tous les outils de gestion de tickets, même ceux programmés en interne, collectent et calculent ce chiffre et que tous les DSI aiment à les regarder tout en prétendant leur accorder aucune importance ? Être viré pour un nombre insuffisant d'interventions, j'ai déjà donné.
Sur le fond, ces indicateurs éludent le côté qualitatif : avons-nous bien répondu au besoin de l'utilisateur ? Qu'en savons-nous vraiment ? Seul le contact humain permet de prendre connaissance de cela, pas des chiffres du nombre d'intervention, de la durée moyenne d'intervention, etc.
Tout n'a pas à être rentable. Le but d'une bibliothèque municipale, est de mutualiser des contenus (il est inutile que chacun de nous possède les mêmes ouvrages qu’il lira une seule fois en moyenne) et d'ouvrir le savoir et la beauté des lettres au plus grand nombre (via la beauté de la découverte).
De même, si je te propose un choix entre deux pâtisseries, et que tu te mets à compter le nombre d'éclats de chocolats ou le nombre de calories, etc. tu cherches probablement le plus sain pour toi (ou tout simplement à compter des choses inutiles) au détriment de ton plaisir. C'est donc une simplification de la question initiale : tu choisis de manger sainement, pas de manger pour le plaisir alors qu’une pâtisserie dispose de ce seul attrait (enfin, il me semble).
En décembre 2018, j'ai aidé une collègue de travail à installer des décorations de Noël dans les locaux de notre service. Je conchie une bonne partie des aspects de Noël : l'aspect mercantile, l'aspect sacré et l'aspect "se retrouver entre gens qui ne s'apprécient pas afin de faire bonne figure". Donc, les années précédentes, j'aurais tout simplement refusé d'installer des décorations de Noël tout en faisant un laïus sur la stupidité de cette action. J'ai donc voulu me justifier à moi-même mon changement de comportement de cette année. Des personnes m'ont également interrogé (« comment quelqu'un comme toi qui rejette la société de consommation peut-il… ? », « n'est-ce pas contradictoire ? »), et je constate que mon nouveau raisonnement leur a ouvert les yeux. C'est pour cela que je le partage ici, même s'il n'a rien de neuf…
Il y avait rien d'officiel ni d'obligatoire. Rien était imposé par la hiérarchie ni par la société (comprendre : les gens, je considère que je forme une micro-société humaine avec les collègues de mon service). J'ai accepté cette invitation par "amitié", pour passer un moment agréable.
La première question qui vient est : est-ce que je n'aurais pas pu passer un agréable moment avec cette collègue sans pour autant faire cela ? Nan parce que bon « passer un moment agréable » permet de justifier n'importe quelle activité y compris la plus contestable, la plus violente, la plus… La réponse est : sans aucun doute, mais, visiblement, nous n'avons pas su trouver, ni fabriquer de tels moments (en vrai, si, mais je simplifie). Donc, pourquoi s'interdire de se greffer sur un moment prévu / prémâché connu par une majorité de personnes ? C'est peut-être le seul avantage des traditions, à mes yeux. De toutes façons, ce point n'est pas le plus important.
L'important, c'est de passer un agréable moment sans renoncer à ses valeurs et à son éthique. Qu'est-ce qui me pose un problème avec Noël ?
Je n'ai pas renoncé à mes valeurs et à mon éthique, donc, tout va bien. La seule exception fût d'allumer une guirlande électrique pendant quelques heures. Tout comme les guirlandes de rue, je trouve que ça va trop loin car ça constitue une consommation électrique inutile pour le seul plaisir des yeux qui peut, de surcroît, polluer notre monde (centrale nucléaire, centrale à charbon, etc.). Je me suis néanmoins permis ce privilège d'occidental durant quelques heures.
Ce que je veux illustrer par ce shaarli, c'est qu'il faut examiner un choix en détail. On ne va pas loin en restant bloqué sur l'aspect mercantile de Noël. On va plus loin en participant sans entrer dans le jeu du commerce. On ne va pas loin en utilisant l'esprit sacré d'une tradition pour s'isoler quand vient Noël. On va plus loin en choisissant effectivement et finement les activités et les personnes avec lesquelles on vit Noël. Tu conchies les hypocrites ? Choisis mieux tes hôtes ou tes invités. Bref, il faut regarder dans le détail. Rejeter en bloc quelque chose, c'est quand même un peu simpliste.
Au final : non, aider à l'installation de décorations de Noël, ce n'est pas donner un blanc-seing à tout ce que Noël englobe dans l'imaginaire collectif (sur-consommation, gaspillage, pollution, hypocrisie, etc.).
Heu... J'aimerai savoir pourquoi 4 SSD flanchent d'un coup ?
Alors… Cet épisode a désormais une suite…
Le 14 décembre 2018, nous avons à nouveau perdu 4 SSD Samsung 850 Pro. Pour rappel, nous avons acheté 10 SSD en mai 2015 (en un seul coup, dans un même magasin, les numéros de série se suivent malgré quelques trous dans les séquences). Nous avons deux serveurs donc nous avons mis 5 SSD par serveur. Dans chaque serveur, 4 SSD sont actifs (RAID 5 logiciel Linux), et 1 SSD est inactif (hot spare).
Début juin 2017, nous avons perdu 4 SSD le même jour dans l'un des serveurs. En décembre 2018, nous avons perdu 4 SSD le même jour dans l'autre serveur. C'est étrange : les SSD ont été mis en production le même jour et sont censées avoir le même nombre d'écritures puisque nous sommes en RAID et que DRBD écrit les mêmes données sur chaque serveur. Sur le serveur tombé en panne en juin 2017, je constate une variation de 10 To entre les SSD membres d'une même grappe RAID et je ne l'explique pas. Dans les détails, l'attribut SMART « Total LBA written » indique respectivement 37 To, 41 To, 43 To et 50 To.
Que s'est-il passé lors de cette panne de décembre 2018 ?
smartctl ni de mdadm donc nous sommes en mesure de récolter que peu d'éléments, ce qui exclu le nombre de secteurs écrits…dd if=/dev/sdb of=/dev/null sur l'un des SSD restants. Après 94 Go de lecture, dd affiche « i/o error » et le noyau journalise « mpt2sas reset port » puis « mpt2sas removing unresponding device » ;dd similaire sur un des SSD survivants. 227 Go sont lus avant que le noyau journalise « critical error ». Il suffit de dd skip= 3 secteurs pour que la lecture reprenne et que tout le contenu (512 Go) soit lu (mais cela signifie que nous avons 3 secteurs endommagés…). On recommence… Toujours aucun problème pour lire le contenu, à l'exception des trois secteurs défectueux ;
Ce que l'on peut exposer :
D'après la fiche technique du produit, la caméra-piéton choisie par les forces de l'ordre dispose d'une autonomie de quatre heures. Passé ce délai, il faut la recharger ou changer la batterie. Une opération qui peut s'avérer délicate lors d'un affrontement, dans le cadre de vacations qui peuvent durer plus de 12 heures.
Par ailleurs, le modèle de caméra-piéton utilisé est, dans la plupart des cas, placé sur la poitrine des policiers. Ce qui pourrait empêcher l'appareil de capturer les images de l'usage du LBD. Pour utiliser cette arme, les fonctionnaires de police doivent en effet placer le viseur dans un axe différent de celui du haut de leur corps. Dans une telle situation, la caméra serait incapable d'enregistrer les images de la cible.
D'après l'AFP, une première expérience menée à Bourg-en-Bresse lors de l'acte 10 des gilets jaunes a montré les limites de cette configuration. D'abord à cause du positionnement de la caméra, mais également en raison de la portée des LBD, bien supérieure à ce que peut capturer la caméra grand angle (127°), conçue pour filmer un individu placé à quelques mètres.
Je pense qu'il ne faut surtout pas partir dans un débat technique inutile : les seules questions à se poser sont simples et d'ordre éthique : en tant que citoyens, voulons-nous que notre police et notre gendarmerie utilisent des armes de guerre comme des grenades avec effet de souffle et des fusils d'assaut contre nous, la population civile ? Si l'on répond oui, quel niveau de violence et quel contexte rendent légitime l'utilisation de telles armes et quels encadrements prévoit-on afin de limiter les dérives comme l'effet Lucifer ? Des dégradations matérielles sans atteinte directe à des personnes permettent-elles de justifier une riposte armée contre des personnes ? Est-ce proportionné (sans proportionnalité, il n'y a point de justice) ? Quid de la démonstration de culpabilité nécessaire à toute sanction ? Tout cela ne constitue-t-il pas pas un engrenage vers toujours plus de violence ?
Notons que le même jeu de questions se pose avec les contrôles d'identité pour lesquels ces caméras ont été introduites initialement : elles permettent d'éviter de nous demander si nous tolérons vraiment des contrôles d'identité au faciès, et pour quelles raisons nos autorités en sont si friandes. C'est bien pratique de dissimuler sous le tapis ce qui ne nous convient pas.
Ces caméras-piétons sont une mauvaise réponse à un vrai problème éthique. Elles vicient le débat : on ne va surtout pas discuter de l'utilisation d'armes de guerre contre des civils dans un contexte de maintien de l'ordre dans une République ni de la disproportionnalité de cette utilisation. Non, nous préférons contempler de telles utilisations en vidéo. Nous voulons obtenir des chiffres, un ratio du nombre de dérives rapporté au nombre d'actes policiers lors d'une manif' et si nous estimons que ce ratio est suffisamment bas, nous fermerons lâchement les yeux sur les victimes qui seront alors considérées comme des dommages collatéraux. Quelle inhumanité !
Nous avons déjà des vidéos qui illustrent des utilisations impropres et abusives des LBD, celles réalisées par les manifestants. Bien sûr, elles peuvent être tronquées afin d'être partiales dans le but de servir l'intérêt des manifestants, mais les images enregistrées par les forces de l'ordre le seront tout autant puisqu'elles ne sont pas obligées d'allumer leur caméra en permanence. De même, qu'arrivera-t-il aux enregistrements qui pourraient mettre à mal la défense de nos flics et gendarmes ? Seront-ils effacés "par erreur" ?
Méfions-nous du miroir aux alouettes, interdisons l'utilisation de ces caméras et recentrons le débat sur les vraies questions que les uns et les autres tentent d'éluder à l'aide de caméras.
Le nombre d'écritures sur un SSD est limité, car une cellule mémoire peut être réécrite seulement un certain nombre de fois. De plus, la garantie du constructeur s'applique souvent en-deça d'un certain seuil d'écritures (et/ou en deça d'un nombre d'années d'utilisation présumée). Je voulais savoir comment surveiller ça sur un SSD de marque Samsung.
La première étape est de chercher le seuil prévu par la garantie, car il donne une bonne idée du nombre d'écritures que le constructeur accepte de prendre en charge, c'est-à-dire le nombre d'écritures qui lui semblent relever d'une utilisation conforme de son produit à ses estimations de durée de vie. Ce seuil se nomme « TeraByte Written » (TBW). Pour un Samsung 850 Pro 512 Mo, la garantie couvre jusqu'à 300 teraoctets écris.
Comment récupérer ce TBW sur un SSD en fonctionnement ?
Mon premier réflexe est de chercher les outils proposés par le constructeur. Il en existe un : Samsung Magician. Malheureusement, la seule version GNU/Linux proposée ne prend pas en charge mon modèle, un 850 Pro.
Mon deuxième réflexion est d'effectuer une recherche sur le web. Le résultat le plus satisfaisant est How can I monitor the TBW on my Samsung SSD?. Je recopie ici le script présenté :
#!/bin/bash
#######################################
# Variables #
#######################################
SSD_DEVICE="/dev/sda"
ON_TIME_TAG="Power_On_Hours"
WEAR_COUNT_TAG="Wear_Leveling_Count"
LBAS_WRITTEN_TAG="Total_LBAs_Written"
LBA_SIZE=512 # Value in bytes
BYTES_PER_MB=1048576
BYTES_PER_GB=1073741824
BYTES_PER_TB=1099511627776
#######################################
# Get total data written... #
#######################################
# Get SMART attributes
SMART_INFO=$(sudo /usr/sbin/smartctl -A "$SSD_DEVICE")
# Extract required attributes
ON_TIME=$(echo "$SMART_INFO" | grep "$ON_TIME_TAG" | awk '{print $10}')
WEAR_COUNT=$(echo "$SMART_INFO" | grep "$WEAR_COUNT_TAG" | awk '{print $4}' | sed 's/^0*//')
LBAS_WRITTEN=$(echo "$SMART_INFO" | grep "$LBAS_WRITTEN_TAG" | awk '{print $10}')
# Convert LBAs -> bytes
BYTES_WRITTEN=$(echo "$LBAS_WRITTEN * $LBA_SIZE" | bc)
MB_WRITTEN=$(echo "scale=3; $BYTES_WRITTEN / $BYTES_PER_MB" | bc)
GB_WRITTEN=$(echo "scale=3; $BYTES_WRITTEN / $BYTES_PER_GB" | bc)
TB_WRITTEN=$(echo "scale=3; $BYTES_WRITTEN / $BYTES_PER_TB" | bc)
# Output results...
echo "------------------------------"
echo " SSD Status: $SSD_DEVICE"
echo "------------------------------"
echo " On time: $(echo $ON_TIME | sed ':a;s/\B[0-9]\{3\}\>/,&/;ta') hr"
echo "------------------------------"
echo " Data written:"
echo " MB: $(echo $MB_WRITTEN | sed ':a;s/\B[0-9]\{3\}\>/,&/;ta')"
echo " GB: $(echo $GB_WRITTEN | sed ':a;s/\B[0-9]\{3\}\>/,&/;ta')"
echo " TB: $(echo $TB_WRITTEN | sed ':a;s/\B[0-9]\{3\}\>/,&/;ta')"
echo "------------------------------"
echo " Mean write rate:"
echo " MB/hr: $(echo "scale=3; $MB_WRITTEN / $ON_TIME" | bc | sed ':a;s/\B[0-9]\{3\}\>/,&/;ta')"
echo "------------------------------"
echo " Drive health: ${WEAR_COUNT} %"
echo "------------------------------"
Utilisation concrète :
$ ./monit_ecritures_ssd.sh /dev/sda
------------------------------
SSD Status: /dev/sda
------------------------------
On time: 5,699 hr
------------------------------
Data written:
MB: 2,746,510.173
GB: 2,682.138
TB: 2.619
------------------------------
Mean write rate:
MB/hr: 481.928
------------------------------
Drive health: 99 %
------------------------------
Si j'effectue un dd de 1 Go à partir de /dev/zero, je constate que ce script calcule bien qu'un gigaoctet supplémentaire a été écrit.
Néanmoins, je perçois plusieurs limites à ce script :
J'ai un serveur OpenVPN configuré pour accepter 32 clients. Un script est lancé lors de la connexion / déconnexion du client afin d'effectuer de la configuration particulière. Ces scripts lancent eux-mêmes des commandes. En réalité, je n'ai pas un serveur, mais 8 (la justification est exposée ici) : 2 protocoles IP (v4 et v6) x 2 adresses IP x 2 protocoles de transmission (UDP et TCP).
Je constate que les OpenVPN les plus utilisés (UDP v4) crashent : leur état dans systemd est « failure ». De prime abord, il n'y a rien dans le journal. Je constate que cela se produit suite à une coupure partielle ou totale de mon accès à Internet. Un jour, j'arrive enfin à choper une erreur dans le journal : « openvpn_execve: unable to fork: Resource temporarily unavailable (errno=11) Exiting due to fatal error ».
Cette erreur est la conséquence de l'atteinte du nombre maximal de processus qu'un utilisateur peut avoir simultanément (ulimit -p). Dans une unit systemd, cela est représenté sous cette forme :
$ sudo systemctl show openvpn@.service | grep -i NPROC
LimitNPROC=10
LimitNPROCSoft=10
Mes VPN sont tous exécutés avec les droits de l'utilisateur « openvpn ». J'ai donc 8 processus (les 8 instances OpenVPN). Il reste une marge de deux processus. Or, un utilisateur qui se connecte les occupe puisqu'un script est lancé (9) et que ce script lance lui-même plusieurs commandes de manière séquentielle (10). Je peux donc avoir un seul utilisateur qui se connecte en même temps : au-delà, la limite est atteinte et OpenVPN se ferme suite à cette erreur qu'il estime être fatale. Or, lors du rétablissement de ma connexion à Internet, plus d'un utilisateur tente de se reconnecter automatiquement en même temps, ce qui explique que la limite est plus fréquemment atteinte à ces moments-là. C'est un problème connu des devs OpenVPN.
Pour résoudre ça, je pourrais changer la valeur de « LimitNPROC » dans l'unit systemd d'OpenVPN, mais je vais se retrouver avec une valeur sur-dimensionnée donc aucun contrôle effectif du nombre de processus. Je pourrais augmenter la valeur de « LimitNPROC » tout en limitant le nombre de tâches au sein d'une même unit systemd, c'est-à-dire au sein d'une même instance OpenVPN, car ce nombre-ci est connu : j'ai 32 clients OpenVPN au maximum par instance, et cela repose sur une limite physique : le nombre d'IPv4 disponible. Pour mettre cela en pratique, j'ai ajouté et modifié ce qui suit dans /etc/systemd/system/openvpn.service (qui est le fichier /lib/systemd/system/openvpn@.service dupliqué) :
LimitNPROC=3897
LimitNPROCSoft=3897
TasksAccounting=yes
TasksMax=30
Pour que cela fonctionne, il faudra d'abord annihiler le générateur d'units systemd livré par le paquet OpenVPN.
L'hyperviseur maître de mon cluster Ganeti tombe.
Je migre la fonction de master sur l'unique secondaire afin de pouvoir piloter à nouveau le cluster.
Maintenant, j'aimerais démarrer, sur l'hyperviseur restant, les machines virtuelles qui sont sur l'hyperviseur hors service. Afin de s'assurer que les données des machines virtuelles ne sont pas trop corrompues (car le master est HS suite à une panne de ses supports de stockage), je souhaite migrer, dans un premier temps, une seule machine virtuelle au contenu sans importance.
Les commandes gnt-instance failover --ignore-consistency <nom> et gnt-instance replace-disks -p <nom> ne fonctionnent pas : elles sont bloquées sur l'impossibilité de parler avec l'hyperviseur HS.
Je décide de déclarer que l'hyperviseur est hors ligne avec gnt-node modify -O yes <nom_hyperviseur_HS>, mais ça ne change rien. Désormais, les mêmes commandes retournent le message « Can't use offline node on node
La commande gnt-cluster verify ne relève pas d'erreurs, seulement des avertissements concernant la connexion SSH avec l'hyperviseur hors service.
Au final, je me suis résigné à tester sur une seule machine virtuelle et j'ai effectué un gnt-node evacuate -n <nom_hyperviseur_restant> <nom_hyperviseur_HS> qui a migré toutes les machines virtuelles d'un coup avec succès. Ce résultat positif est étrange, car la documentation officielle nous informe que cette commande est similaire aux commandes gnt-instance failover et gnt-instance replace-disks que j'ai essayées au préalable sans succès…
Le ministre de l’Intérieur, Christophe Castaner, est finalement passé aux aveux : « Près de 60 % des radars ont été neutralisés, attaqués, détruits par celles et ceux qui se revendiquent [gilets jaunes]. » Soit près de 2 000 des 3 200 radars en fonction au bord des routes. Si la plupart des boîtes grises continuent d’enregistrer la vitesse des bagnoles, qui aurait augmenté de 30 km/h en moyenne, le Centre national de traitement des infractions routières de Rennes est dans l’incapacité de verbaliser les fous du volant, faute de photos claires et nettes.
Inévitablement, les caisses de l’Etat vont se remplir un peu moins vite que prévu. Selon plusieurs sources gouvernementales, le manque à gagner pour l’année 2018 serait de 200 millions d’euros, sur une recette prévue de 1,2 milliard. Pour l’année qui vient de commencer, les mêmes pronostiquent un manque à gagner de 400 millions d’euros.
A fond la caisse… vide !
Dans le Canard enchaîné du 16 janvier 2019.
Jean qui rit ou Jean qui pleure ? Les sociétés du CAC 40 ont distribué pour 46,5 milliards de dividendes, renouant ainsi, pour le plus grand bonheur des actionnaires, avec le niveau d’avant la crise des subprimes, en 2008. Des actionnaires qui font la grimace en faisant leurs comptes : en un an, la valeur de leurs titres a baissé de 14 %.
A noter que plusieurs entreprises à participation publique (Orange, Renault, Engie) se montrent particulièrement généreuses, servant à leur actionnaire-Etat un dividende de 5 à 6,5 %. Mieux que le rendement moyen des actions du CAC 40 (4 %) et beaucoup mieux que le taux d’intérêt de 0,75 % généreusement accordé par les Caisses d’épargne.
Quoi qu’il en soit, ces dividendes, à peine distribués, prennent la poudre d’escampette : les entreprises du CAC 40 — qui réalisent plus des trois quarts de leurs bénéfices hors de France — sont en effet possédées à plus de 50 % par des actionnaires étrangers, essentiellement des fonds de retraite. Une part beaucoup plus importante qu’à la Bourse de New York (environ 20 %) ou de Londres (environ un tiers).
Le parti de l’étranger a encore frappé !
Mince, moi qui pensais que si l'on remerciait grassement ces aventuriers des temps modernes que sont les actionnaires, du fric allait ruisseler à grand torrent tout partout en France. J'ai du mal comprendre… Visiblement, ça va même échapper à l'IRPP et à la TVA et à…
Dans le Canard enchaîné du 16 janvier 2019.
‒ Y'a quoi sur Facebook ce soir ?
Totalement d'accord sur le fond de ce dessin même si, sur la forme, j'aurais choisi Netflix.
Dessin publié dans le Canard enchaîné du 16 janvier 2019.
Trois semaines avant la mort de Rémi Fraisse, le 7 octobre 2014, sur le site du projet de barrage de Sivens, les gendarmes procèdent à une énième évacuation de zadistes. L’un d’eux, seul à l’arrière, débusque trois opposants planqués dans une caravane sans vitre. Dans une vidéo projetée à l’audience et tournée par l’un des occupants, on le voit demander aux jeunes de sortir, tout en brandissant une grenade.
Comme en témoigne E. M. (elle a requis l’anonymat), âgée de 25 ans au moment des faits : « Il l’a jetée à l’intérieur, elle est tombée à côté de moi. J’ai cru que c’était une lacrymo, j’ai voulu l’attraper pour la sortir, elle a explosé. » Dix jours d’hospitalisation, douze mois de soins et de rééducation, elle souffre toujours aujourd’hui de stress post-traumatique.
Moralité : apprenez à différencier les différents types de grenades, ne ramassez pas et ne donnez pas de coup de pied dans une grenade de type inconnu et préférerez la fuite !
Ce 8 janvier, devant le tribunal correctionnel de Toulouse, le gendarme comparaît pour « violences volontaires aggravées avec arme par personne dépositaire de l’autorité publique ».
« En garde à vue ou devant votre hiérarchie, lui lance le président, vous avez dit avoir lancé cette grenade pour vous protéger d’un groupe d’opposants se dirigeant vers vous. — Avec le recul, la fatigue, j’ai eu une mauvaise analyse de la situation. — Ces opposants, que personne n’a vus, ils y étaient ou pas ? — Je ne sais plus. — Pourquoi ne pas avoir livré la bonne version ? — J’ai perdu le fil. — Vous avez surtout perdu le contrôle. » La principale ligne de défense du maréchal des logis chef Vilamanya, du peloton de surveillance et d’intervention de la gendarmerie de Gaillac (Tarn), vient de s’écrouler.
Cet aspect "boarf, je ne sais plus, vous savez mon bon président, pfffiou" est très révélateur que, dans le cerveau d'un flic / gendarme, envoyer de la quincaillerie explosive dans un endroit confiné est jugé comme normal et routinier, au point que l'information n'est pas enregistrée parmi l'afflux d'informations du moment.
L’engin qu’il a balancé dans la caravane est une grenade désencerclante, également appelée DMP (pour « dispositif manuel de protection »). « Elle est utilisée pour permettre aux forces de l’ordre de se dégager en propulsant 18 plots en caoutchouc à 471 km/h sur un rayon de 30 m », détaille à la barre un témoin de la partie civile. Pas vraiment un jouet… Les deux avocats rappellent l’« ambiance de guerre sur la ZAD ». Affirment que cette caravane, « un univers clos », constituait « un danger potentiel » pour le militaire. Dans la salle d’audience, pleine à craquer et sous bonne garde, l’ambiance est électrique. A droite, les gendarmes, en civil ou en uniforme ; à gauche, les militants écolos. Plus de sept heures d’audience…
L’avocate de la victime rappelle le rôle joué par la vidéo tournée par les zadistes : « Sans cette vidéo, pas de poursuites. Vu que la caravane a été détruite dix jours plus tard. » Le procureur est clair et net : « Je ne crois pas une seconde que vous ayez jeté cette grenade à côté de la caravane. »
Verdict : 6 mois de prison avec sursis, 6 mois d’interdiction de port d’arme, 1 000 euros au titre des frais de justice et renvoi à une audience début avril, pour évaluer et chiffrer le préjudice. L’interdiction de maintien de l’ordre pendant au minimum trois ans réclamée par le parquet n’a pas été suivie. L’« ultra-sévérité », c’est tout un art…
Dans le Canard enchaîné du 16 janvier 2019.
‒ Quand je pense que Macron trouve qu'on a perdu le sens de l'effort !
‒ Il parlait en général…
Totalement d'accord avec ce dessin.
Dessin publié dans le Canard enchaîné du 16 janvier 2019.
Un décret vient de dispenser certains contrats de toute publicité. Pourquoi se compliquer la vie ?
Les marchés de moins de 100 000 euros passés sans mise en concurrence et sans même la moindre publicité préalable ? Cette pratique relevait, jusqu’à présent, des tribunaux correctionnels. Depuis le 26 décembre 2018, elle est parfaitement légale !
Le décret 2018-1225, signé par Edouard Philippe et par Bruno Le Maire, stipule qu’à « titre expérimental, pour une période de trois ans », les acheteurs n’auront plus à publier la moindre annonce ou à décrocher leur téléphone avant de passer un marché public.
La procédure est applicable, pour l’instant du moins, aux montants inférieurs à 100 000 euros hors taxes et concerne les seuls « travaux, fournitures ou services » dits « innovants ». Un adjectif fourre-tout qui peut englober des emplettes aussi diverses que l’acquisition de trottinettes, de logiciels, d’outils ou d’ustensiles en tout genre…
L'opacité de la transparence
Au nom des bons principes, les rédacteurs du décret ont ajouté que les acheteurs devraient tout de même veiller « à choisir une offre pertinente, à faire un bonne utilisation des deniers publics et à ne pas contracter systématiquement avec un même opérateur économique ». Les petits malins soucieux de rester irréprochables sont donc priés de faire affaire alternativement avec leur beau-frère, leur cousin et leur tonton…
Grâce à cette innovation, les contribuables qui voudront contrôler les marchés publics passés par leurs élus vont se retrouver dans le noir complet. Certes, la loi a prévu que les contrats passés sans publicité devraient être déclarés auprès de l’Observatoire économique de la commande publique. Mais celui-ci garde ses observations pour lui : son site Internet ne propose aux curieux ni moteur de recherche ni liste de marchés.
Contacté par « Le Canard », le cabinet de Bruno Le Maire affirme que les « données essentielles » de ces marchés seront publiées après coup par chaque donneur d’ordre sur sa « plateforme d’achat ouverte à tous ». Sauf que, vérification faite, les plateformes en question sont quasi inaccessibles au commun des mortels. A commencer par celle du ministère de l’Economie, que seules les entreprises sont autorisées à consulter.
Ce brouillard comptable est décidément très innovant…
Dans le Canard enchaîné du 16 janvier 2019.