GuiGui's Show

Gros +1.

Pour nuancer un peu La vie est une pute (via) :

Depuis Darwin, l’affaire est entendue. Nous vivons dans une jungle. « Le lion mange l’antilope, les chimpanzés s’entre-tuent, les arbres jouent des coudes pour l’accès à la lumière, les microbes ne se font pas de cadeaux. » Et, pour l’homme, c’est pareil. La seule loi, c’est la loi du plus fort. Ceux qui disent le contraire sont de doux rêveurs. Vu que c’est Darwin qui l’a dit. C’est prouvé, c’est scientifique, circulez.

Pablo Servigne est agronome et docteur en biologie. Il est aussi collapsologue. Ce qui signifie qu’il est persuadé que tout va bientôt s’effondrer. Tout ou, plutôt, notre monde industriel, vorace en énergie et en matières premières, gaspilleur, insouciant, si instable et si fragile. Il l’a écrit dans un livre remarqué (1). Les collapsologues en sont persuadés : il faut se préparer à la catastrophe, au monde d’après. Pas en entassant des provisions et des fusils comme le font les survivalistes américains, mais en constituant dès aujourd’hui des réseaux d’entraide et de soutien.

Servigne le reconnaît : cette façon d’envisager le futur n’a rien de joyeux. Elle est même toxique. Au point d’avoir creusé un fossé entre lui et certains de ses proches. Quelle « sensation étrange que de faire partie de ce monde (plus que jamais !) mais d’être coupé de l’image dominante que les autres s’en font »… Comment vivre avec ça ? Ne pas sombrer ? Surtout que, compter sur l’entraide, l’altruisme, l’association pour s’en sortir, voilà qui semble un peu léger…

En compagnie de Gauthier Chapelle, lui aussi docteur en biologie, il s’est mis à creuser la question (2). Les comportements d’entraide sont-ils si rares et si aléatoires ? Réservés aux dames patronnesses et aux Restos du cœur ? Comment naissent-ils ? Qu’en disent la biologie, les sciences humaines ?

Et de découvrir que l’entraide est beaucoup plus répandue qu’on ne l’imagine. Pour lutter contre le vent, les manchots empereurs se blottissent les uns contre les autres. Les lionnes chassent ensemble. Les arbres connectent leurs réseaux racinaires. On s’entraide au sein d’une même espèce, mais aussi entre espèces. « Le vivant a développé mille et une manières de s’associer, de coopérer, d’être ensemble, ou carrément de fusionner. » Ne s’agit-il là que d’une relecture gentilette et faussement rassurante de la biologie ?

Aucunement. Nos auteurs citent le fameux prince russe Kropotkine, devenu anarchiste en 1872 après avoir constaté que, dans la nature, l’entraide est partout. Dans un climat hostile, notamment, elle accroît les chances de survie. Après le passage de l’ouragan Katrina à La Nouvelle-Orléans, les pillages évoqués par le chef de la police n’étaient que pure invention : au contraire, dans leur grande majorité, les rescapés se sont mutuellement porté secours. Aucun calcul, là-dedans. Aucun « gène égoïste » en action. Juste quelque chose de spontané. L’homme n’est pas forcément un loup pour l’homme. « L’empathie est un mécanisme très profondément ancré en nous. » Nombreuses sont les études scientifiques qui, ces dernières années, vont en ce sens.

Certes, il ne s’agit pas de nier Darwin. Mais de corriger l’idée simpliste qu’on s’en fait. Lui-même l’avait remarqué : ce sont les groupes composés d’individus plus coopératifs qui survivent le mieux. Parés pour l’effondrement ?

(1) « Comment tout peut s’effondrer », Seuil (lire « Plouf! » du 27/5/15).
(2) « L’entraide, l’autre loi de la jungle » LLL, 382 p., 22 €.

Dans le Canard enchaîné du 3 janvier 2018.

C'est la nouvelle façon de faire le trottoir et de racoler le consommateur : des carrés de pub peints au pochoir. Tu m’achètes, chéri ? Au lieu de marcher le nez en l’air, le nouveau citadin avancera les yeux rivés au sol. Et tant pis pour son temps de flânerie disponible. Publié le 24 décembre au « Journal officiel », signé par cinq ministres, un décret gouvernemental désigne Bordeaux, Lyon et Nantes comme villes où seront expérimentés, pour une période de dix-huit mois, les « marquages publicitaires éphémères au sol »**.

Lyon applaudit, Nantes et Bordeaux protestent et dénoncent l’invasion de cette « pollution visuelle ». Les promoteurs de ces « graffitis propres » répondent que les marquages, faits au pochoir avec de la peinture biodégradable, sont écolos à 100 %. Un fils de pub s’indigne, dans « Le Parisien » (30/12) : « Si les élus combattent la publicité [sur la chaussée] , qu’ils l’interdisent dans tous les espaces pu- blics. » Chiche ?

La guérilla urbaine s’annonce sans pitié. Des mini-ZAD de 2,50 m², inspirées de Notre-Dame-des-Landes, vont—elles pousser sur nos trottoirs pour empêcher la pub d’y atterrir ? Maire de Bordeaux, Juppé se voit bien en Lider maxime de la résistance. Quant à Nicolas Hulot et à Gérard Collomb, ministres signataires du décret, s’ils persistent dans leur politique à la petite semelle, ils risquent le supplice des plumes et du goudron. Les plus radicaux des opposants pourraient même utiliser les chiens : après le caniveau, apprenez—leur la pub de trottoir.

Pffff… On n'y échappera pas… Trottoirs. Toilettes. Pub qui nous espionne… Tout pour nous vendre des merdes qui nous servent à rien. Tout pour nous voler notre temps (de pensée, de flânerie, etc.). :(

Dans le Canard enchaîné du 3 janvier 2018.

Le feuilleton de l’incroyable partie de cache-cache de Mélenchon avec les juges d’instruction parisiens, dans une simple affaire de diffamation, continue depuis cinq ans (« Le Canard », 7/6). Depuis 2012, le journaliste du « Monde » Paulo Paranagua poursuit le camarade Méluche pour l’avoir publiquement traité de « tueur repenti », de « terroriste repenti », puis, lors d’une récidive sur son blog personnel, en 2016, de « muse de la CIA », responsable de moult exécutions en Argentine. Sans preuves…

Il faut dire que ce journaliste d’origine brésilienne, jadis militant, avait eu le toupet d’écrire des articles critiques sur le régime de Chavez. Dans deux procédures successives en diffamation intentées par Paranagua en cinq ans, Mélenchon s’est dérobé à sept reprises aux convocations des juges, dont les deux dernières, les 8 octobre et 10 novembre ! Obligeant les flics à se déplacer une demi-douzaine de fois pour tenter de lui remettre sa convoc en main propre…

En 2016, Méluche avait même fini. par bénéficier d’un non-lieu, faute, pour les juges d’instruction, fatigués par ce jeu du chat et de la souris, d’avoir réussi à le coincer pour le mettre en examen ! Une stratégie payante, donc. Après ses nouvelles attaques sur son blog personnel, le 15 novembre 2016, Mélenchon s’était attiré une mise au point cinglante du patron du « Monde », Luc Bronner, dénonçant, le lendemain dans ses colonnes, « une récidive dans l’insulte et la provocation (…) dans des termes totalement inacceptables », ainsi que « certaines accusations à l’évidence diffamatoires ». Face à cet art consommé de la dérobade, le nouvel avocat du journaliste, Me Toledano, vient de réclamer un mandat de comparution contre Mélenchon.

Pour faire venir le Lider maximo de La France insoumise, il faut des demandes maximales !

Je constate que, FI comme FN, on fuit la justice. Comment croire que ces gens-là la renforceront (ou, au moins, ne la raboteront pas) s'il⋅elle⋅s accèdent au pouvoir ?

Dans le Canard enchaîné du 27 décembre 2017.

Premier questeur de l’Assemblée, le député LRM Florian Bachelier est sorti humilié d’une réunion du bureau qui s’est tenue le 20 décembre.

Il voulait renoncer à l’achat, pour 63 millions d’euros, de l’hôtel de Broglie, rue Saint-Dominique, à deux pas du Palais-Bourbon. Proposition rejetée à l’unanimité moins une voix : la sienne !

Il entendait augmenter de 10 % l’enveloppe destinée à la rémunération des collaborateurs parlementaires. Même vote, et même refus, à la quasi—unanimité.

Cette offensive de Bachelier a d’ailleurs conduit le président de l’Assemblée, François de Rugy, à fixer de nouvelles règles : seul le bureau pourra donner son aval à des dépenses excédant 1 million d’euros.

En attendant, les mauvais esprits pourront constater que les députés veulent bien dépenser 63 millions d'euros pour obtenir de nouveaux bureaux mais qu'ils rechignent à en engager 10 pour mieux payer leurs collaborateurs.

En effet, je constate. D'autant qu'une enveloppe plus elevée pour embaucher plus d'assistant⋅e⋅s (afin de couvrir / suivre plus de sujets) et/ou mieux rémunérer ces travailleur⋅euse⋅s acharné⋅e⋅s de l'ombre, ça ne serait vraiment pas du luxe. :'(

[…]

Le ton avait été donné au petit déjeuner entre les membres LRM du bureau, juste avant que celui-ci se réunisse :

« Si la défends les propositions devant le bureau, tu vas dans le mur, tu vas être minoritaire », avait averti Rugy.

« Tu me rappelles l’épisode Chirac-Sarkozy, avait renchéri le vice-président Hugues Renson, quand le premier avait dit au second : “Je décide, il exécute.” Le bureau décide et la questure exécute. »

En dépit de ces mises en garde, Florian Bachelier a tenté un passage eäforce, espérant que les députés de l’opposition iraient dans son sens.

Raté ! Du coup, des députés LRM évoquent une possible démission de leur camarade en janvier, en même temps que celle, déjà programmée, de Thierry Solère.

En toute solidarité…

Ha ouais… Chez En Marche, le simple fait de proposer des idées (un peu) novatrices est un motif d'exclusion… Ça donne envie ! :(

On rappelle les autres cadeaux décidées par la questure actuelle :

• Très minces contrôles sur l'usage de l'indemnité représentative des frais de mandats ;
  
  
• Frais de Nuitées à Paris, taxi, courrier, etc. pris en charge par l'Assemblée en sus de l'IRMF.

Dans le Canard enchaîné du 27 décembre 2017.

« Il était triste, penaud, il voulait s'excuser auprès de nous… » De hauts magistrats racontent le coup de fil contrit reçu de Jean-Jacques Urvoas après l'article du « Canard » décrivant la transmission à Thierry Solère d'informations secrètes sur une enquête judiciaire le visant.

La note, d’une page et demie, avait été rédigée par la Direction des affaires criminelles et des grâces, à la demande expresse du ministre de la Justice. Y était relatée l’enquête pour fraude fiscale, trafic d’influence et recel d’abus de biens sociaux… « Si les faits étaient avérés, évidemment, ce serait une affaire très grave en termes d’éthique et de comportement », a prévenu Nicole Belloubet, l’actuelle garde des Sceaux.

La bévue est même pénale, et passible de la Cour de justice de la République (CJR) pour violation du secret professionnel. Saisie par Jean-Claude Marin, le procureur général de la Cour de cassation, la commission des requêtes de la CJR devrait rendre sa décision courant janvier. Merci pour ces étrennes !

Les tuyaux de Beauvau

L’affaire, qui a secoué le monde politique et judiciaire, fournit de solides arguments aux partisans de l’indépendance des procureurs. Elle pourrait même ouvrir la porte à une réforme constitutionnelle, jusqu’ici régulièrement retoquée.

Pourtant, même si la Chancellerie reste bien alimentée par les informations remontant du parquet, elle ne saurait rivaliser avec l’usine à tuyaux que représente la Place Beauvau. A son poste, le ministre de l’Intérieur sait tout — absolument tout — des enquêtes judiciaires. Bien plus que le ministre de la Justice, s’entend. Il a même connaissance de tous les actes programmés par la police judiciaire : perquisitions, gardes à vue, mises sur écoute, entre autres. A bon entendeur…

Chaque jour vers 18 heures, le « dossier ministre », qui contient des « notes d’information » sur les affaires les plus délicates, est déposé sur son bureau. Quand le contenu est particulièrement chaud, le directeur de la police judiciaire et son supérieur, le grand patron du poulailler, viennent de vive voix détailler l’enquête à leur ministre. En dehors des remontées spontanées, le locataire de Beauvau peut réclamer « une note particulière ». « Généralement, c’est urgent, raconte un commissaire. Et on trouve souvent la trace de ce qu’on a écrit quelques jours après dans la presse… »

« Il est illusoire de croire que ces remontées d’infos vont disparaître, fulmine ,un procureur. Si la loi instaurait cette rupture, elles se feraient en douce. A la Justice, où elles sont légales et encadrées, on voit ce qui est arrivé. C’est encore pire à l’Intérieur. »

Dire que Jean-Jacques Urvoas rêvait d’être le premier flic de France…

Intéressant. Évidemment, je ne partage pas l'avis sur "l'encadrement légal ne sert à rien, ça sera détourné, lol" : si elle est bien faite, la loi permettra de poser un cadre et de sanctionner les abus que l'on découvrira.

Dans le Canard enchaîné du 20 décembre 2017.

Un silence assourdissant ! Emmanuel Macron n’a rien trouvé à dire. Angela Merkel non plus. Et Jean- Claude Juncker encore moins… Après douze ans d’absence, le parti d’extrême droite FPO revient en force au gouvernement en Autriche.

Pour la première fois, le parti conduit par Heinz—Christian Strache arrache six porte-feuilles, dont trois ministères régaliens (Défense, Intérieur et Affaires étrangères).

Grand copain de bal de Marine Le Pen, le nouveau vice-chancelier Strache a longtemps appartenu au groupe néonazi Wiking-Jugend (« Jeunesse viking »). Mais, à part ça, tout est normal !

Histoire de rassurer l’Union européenne, le chancelier conservateur Sebastian Kurz promet que les dossiers européens ne seront pas traités par la ministre des Affaires étrangères FPO. Il prétend aussi que le parti d’extrême droite n’organisera pas de référendum sur la sortie de l’UE (« La Croix », 19/12). Ce très jeune dirigeant (31 ans) sera-t-il capable de maintenir le cap ou bien ne sera-t-il que la marionnette du parti brun ?

Pour sceller leur alliance, les deux leaders autrichiens avaient choisi de se retrouver au mont du Kahlenberg. Chaque année, les identitaires viennent y célébrer la victoire, en 1683, des armées chrétiennes sur les musulmans de l’Empire ottoman.

Ils n’ont pas encore réclamé le retour de l’Empire austro-hongrois, mais cela ne saurait tarder…

Résumons :

• Un régime dictatorial prend doucement place en Pologne ;
  
  
• La Hongrie a un gouvernement réactionnaire (source : Canard enchaîné du 27 décembre 2017) ;
  
  
• L'extrême-droite est entrée au Parlement chypriote pour la première fois en 2016 ;
  
  
• L'extrême-droite se renforce dans les parlements néerlandais et allemands ;
  
  
• Cas de l'Autriche ci-dessus malgré un président écolo ;
  
  
• Le faux retrait de l'Angleterre (je maintiens que l'Angleterre signera 3 tonnes d'accords et de partenariats… Plus officiellement dans l'Union, mais pas en-dehors non plus).

Jusque-là, tout va bien dans l'Union européenne ? :-

Dans le Canard enchaîné du 20 décembre 2017.

Depuis 2014, une start-up choisit les toilettes publiques comme support publicitaire, dans les bars, les cafés, les restaurants mais aussi les théâtres, les musées, etc. Un concept qui séduit les annonceurs.

[…]

Actuellement, Little Corner a tissé un réseau de plus de 1 200 écrans installés dans plus de 200 sites partout en France dont les restaurants Costes, le théâtre Mogador, le Carrousel du Louvre, l'espace Champerret... Mais aussi des bars sportifs qui diffusent les matchs de rugby. Quand on sait que 75 % des gens qui viennent dans un café vont aux toilettes, les pauses pipi des soirs de matchs permettent à l'entreprise d'enregistrer de beaux scores.

La société, qui réalise cette année 1 million d'euros de chiffre d'affaires, prévoit d'ici 2019 un parc d'au moins 8 000 écrans. Elle a déjà convaincu des grands comptes comme Carrefour, BNP, Warner Bros, Orange et tous les VTC de diffuser leurs publicités sur ses supports. « Un publicitaire cherche l'efficacité là où ça marche », indique le dirigeant. Or, selon lui, les messages seraient, sondages à l'appui, bien mieux mémorisés au petit coin qu'ailleurs. Le taux de mémorisation d'un contenu ou d'une marque y serait de 84 %, contre 75 % au cinéma, 30 % à la télévision et 10 % sur Internet. « Aux toilettes, la personne est seule, sans éléments distractifs », commente Efraim Clam et donc plus captive.

Ce dernier a poussé son concept plus loin avec une innovation unique au monde, développée avec son associé Dominique Truel : chaque écran installé est doté de capteurs thermiques intelligents capables de mesurer en temps réel le nombre d'utilisateurs devant l'écran et le temps passé. […] Avec cette technologie, l'entreprise peut vendre à l'annonceur une audience réelle. Ainsi, celui-ci ne paie que le nombre de messages totalement vus, soit 3 centimes d'euro l'unité. L'entreprise verse ensuite un tiers de ces revenus au propriétaire du lieu.

On n'arrête pas le progrès… :'(

Via le Canard enchaîné du 20 décembre 2017.

Je suis curieuse. Je n’y peux rien, même si on dit que c’est un vilain défaut, c’est une partie insatiable de ma personnalité : j’adore découvrir et apprendre de nouvelles choses. Ce qui me transcende lorsque j’apprends, c’est de découvrir un petit quelque chose qui élargira ma vision du monde. Alors je cherche, je lis, j’accumule des connaissances, je découvre de nouvelles façons de penser et parfois, j’ai un déclic, dû à une phrase, un mot, une tournure qui rend évident quelque chose, et mon univers s’agrandit.

Mais pour que cette petite étincelle arrive, pour que je puisse avoir des étoiles dans les yeux en comprenant un nouveau concept, j’ai besoin d’être inspirée.

L’inspiration n’arrive pas toute seule

Heureusement, je suis entourée de personnes qui aiment partager leurs connaissances et leurs découvertes.

[…]

Alors je vous en prie, prenez le temps, régulièrement, d’écrire, de prendre en photo, de filmer, afin qu’il soit possible de retracer ce que vous réalisez. Car quelque part, il y a forcément des personnes qui sont interessées par vos connaissances, pour apprendre elles aussi de vos erreurs et de vos expériences, pour avancer et progresser. Il y aura toujours une personne qui découvrira votre domaine et sera avide de connaissances s’adressant à elle, sans prétention. Simplement pour savoir ce que vous avez vécu, ce que vous savez, ce que vous faites.

« J’ai rien à dire d’intéressant »

Évidemment, dès qu’on parle de diffuser ses connaissances, notre syndrôme de l’imposteur·se arrive à toute vitesse pour nous faire dire « De toute façon, moi, j’ai rien de spécial à raconter ».

Soyons clair·e·s tout de suite : c’est faux

Car même si vous racontiez quelque chose qui avait déjà été dit 1000 fois, c’est la façon dont vous le direz qui fait une différence. Et pour avoir entendu une même idée des dizaines de fois avant qu’une formulation, une métaphore, une image ne s’impose à moi comme une évidence, il aura fallu un certain nombres de personnes qui se seront répétées.

De plus, nous sommes malheureusement bombardé·e·s d’informations inintéressantes nous répétant de grands préceptes qui privilégient pour la plupart d’avantage l’intérêt financier et productiviste que la possibilité de s’écouter et de faire les choses pour son bien-être. Il est donc, à mon sens, très important de semer les alternatives, les expériences individuelles, pour qu’elles prennent de l’ampleur et se fassent davantage entendre.

[…]

Documentez, écrivez, partagez, même si c’est imparfait, même si vous voudriez faire plus, faites-le un peu plutôt que pas du tout, afin que nos horizons puissent s’agrandir et nos connaissances se multiplier <3

Gros gros gros gros +1. J'ai donné des raisons supplémentaires ici (la deuxième moitié du shaarli) et là (le dernier point, à la fin).

Via Johndescs.

Comme à chaque passage à une nouvelle version de Debian GNU/Linux, voici un résumé de tout ce qui a foiré ou changé quand je suis passé à Stretch.

Nommage des interfaces réseau

Désormais, les interfaces réseau portent des noms dit cohérents. Soit tu mets à jour ton fichiers interfaces, soit tu désactives ce nouveau nommage. Attention si tu bosses sur des machines distantes en adressage static : ne rebootes pas avant d'avoir fait une modif' ;) .

dictionaries-common/default-ispell

Sur une seule de mes machines, celle équipée d'aspell (pour Roundcube via php-pspell), le message suivant s'est affiché durant la mise à jour :

Base de données de configuration probablement corrompue

Le réglage pour « dictionaries-common/default-ispell»  est manquant mais des paquets fournissant des candidats pour ce réglage sont installés : « ifrench-gut ».

Cela peut être dû à une corruption de la base de données de configuration (« debconf »). Veuillez consulter le fichier (non traduit en français) /usr/share/doc/dictionaries-common/README.problems au chapitre « Debconf database corruption ». │

Dans cette situation, il est possible d'exécuter la commande « /usr/share/debconf/fix_db.pl » pour remettre la base de données de configuration dans un état cohérent.

Il est probable que certaines questions seront alors posées afin de replacer le système de gestion des dictionnaires dans un état (temporairement) opérationnel.

À la fin de la mise à jour, j'ai exécuté /usr/share/debconf/fix_db.pl avec succès puis j'ai vérifié : les paquets ispell et ifrench-gut ne sont pas installés… Erreur transitoire ?

OpenSSH

Les paramètres « RSAAuthentication » et « RhostsRSAAuthentication » sont dépréciés d'où un message s'affiche dans le log.

Postfix

Postfix passe en version 3.X. Elle apporte un filet de sécurité qui prévient, dans le log, des réglages implicites qui ont changé. Exemple : dans cette nouvelle version, les diffférents modules (nommés services) de Postfix ne sont plus exécutés dans un chroot par défaut. Dans mon fichier master.cf, dans la colonne « chroot », il y a la valeur implicite « - » qui signifiait « yes » avant et « no » maintenant donc Postfix émet un avertissement dans le log : /etc/postfix/master.cf: line 36: using backwards-compatible default setting chroot=y pour chaque service configuré.

Comme je suis certain de vouloir chrooter les services Postif (car ça a toujours bien fonctionné ainsi…), je mets toute la colonne « chroot » à « y » à l'exception des services local, pipe, spawn, virtual et proxymap puis je redémarre Postfix. Notons qu'une commande de type postconf -F <nom_service>/<type>/chroot=y pour chaque service produira le même résuultat (mise à « y » dans master.cf).

Dovecot

Dans la configuration de tous mes services réseau, je désactive explicitement SSLv2 et SSLv3. Avec Dovecot, cela donne ssl_protocols = !SSLv2 !SSLv3.

Or, les devs OpenSSL ont (enfin !) totalement désactivé SSLv2 entre la version 1.0.2h et 1.1.0 (voir /usr/share/doc/openssl/changelog.gz). Ainsi, le symbole « SSLv2 » n'existe plus, donc Dovecot retourne l'erreur : imap-login: Fatal: Invalid ssl_protocols setting: Unknown protocol 'SSLv2'. Notons que d'autres logiciel, comme Postfix, ne remontent pas d'erreur quand on interdit l'usage de SSLv2 dans leur config'. J'imagine que cette diffférence provient de la manière d'appeler les fonctions de la lib OpenSSL…

La correction est simple : dans la conf' de Dovecot, je n'utilise plus que : ssl_protocols = !SSLv3.

Sympa

Après la mise à jour, le menu de l'interface web (« connexion », « assistance/documentation », « chercher une liste/index des listes », etc.) n'était plus cliquable : dès que j'essayais de cliquer sur un sous-item du menu, pouf, le menu se ferme. Idem pour la connexion : impossible de saisir mon identifiant et mon mot de passe.

La raison est que j'utilise une configuration Apache httpd un peu plus contraignante que celle fournie par défaut avec Sympa (voir /etc/apache2/conf-available/sympa.conf ). Notamment, dans le dossier /var/lib/sympa/static_content, j'autorise le suivi des liens symboliques uniquement si le propriétaire du lien est le même que la destination du lien (« +SymLinksIfOwnerMatch »). Or, dans dans /var/lib/sympa/static_content, on trouve, par exemple external/jquery* qui est un lien symbolique root:root qui pointe vers un fichier sympa:sympa. Apache httpd ne le suivra donc pas. Or, en 2017, il faut obligatoirement du JS pour faire fonctionner un menu… Ceci explique cela.

Changer le propriétaire du lien ne résistera pas à une prochaine mise à jour. Il vaut donc mieux supprimer « +SymLinksIfOwnerMatch » des « Options » du dossier.

Langue

Sympa dispose de plusieurs paramètres pour adapter la langue. « lang » dans la conf' permet de changer la langue par défaut des mails envoyés automatiquement. Chaque utilisateur peut également configurer sa langue dans ses préférences dans l'interface web.

Quant à la langue par défaut de l'interface web (quand on ne s'authentifie pas), ça reste un mystère pour moi… Elle s'adapte à la langue annoncée par le navigateur web du visiteur grâce à l'entête HTTP « Accept-Language ». Avec mon Firefox packagé dans Debian configuré en Français, l'interface reste en anglais. Pourtant, Firefox annonce bien FR-fr puis en-US puis en… En revanche, si dans les préférences Firefox, Contenu, Langues, je supprime toutes les langues sauf le français, l'interface web de Sympa s'affiche en français. Avec curl, qui n'envoie pas l'entête « Accept-Language », l'interface est en français… Est-ce un bug de Firefox qui annonce mal la priorité de chaque langue supportée ou un bug de Sympa qui interprête mal les différente langues supportées par un navigateur web ? Aucune idée…

PHP 7

PHP 7 est installé durant la mise à jour, mais il n'est pas forcément activé… et comme la sécurité de PHP 5 n'est plus prise en charge dans cette version de Debian, je pense qu'il vaut mieux cesser de l'utiliser et passer en 7.0.

D'abord, il faudra porter ta configuration de /etc/php5 vers /etc/php. Par exemple, dans mes php.ini, je modifie toujours les valeurs des paramètres disable_functions, openssl.cafile, memory_limit, html_errors, post_max_size, date.timezone, session.save_path (pour pointer sur un RAMdisk / tmpfs). Elles ne sont pas importées automatiquement dans la nouvelle configuration.

Il faut désactiver PHP 5 avec a2dismod php5 puis virer les paquets php5-* et libapache2-mod-php5 puis vérifier que libapache2-mod-php7.0 et les modules php-* (oui, on note l'apparition de ces metapaquets) correspndant aux php5-* désactivés sont bien installés. Enfin, il faut activer PHP 7 avec a2enmod php7.0 && systemctl restart apache2.

Il faut vérifier que tous tes sites web fonctionnent. S'il n'y a pas de doute à avoir avec les logiciels packagés dans Debian (c'est tout l'intérêt d'une distribution), il n'en va pas de même avec les extensions ni avec les logiciels installés en dehors du gestionnaire de paquets. Exemple : j'utilisais l'extension WordPress ContentOverSSL. Celle-ci utilise la fonction PHP ereg qui a été supprimée dans PHP 7.0. Si tes logs sont bien fichus, tu devrais y trouver les fonctions problèmatiques, genre PHP Fatal error: Uncaught Error: Call to undefined function ereg() in </chemin/vers/fichier.php>.

PHP 7 + TLS dans un chroot

Attention, un chroot Apache httpd incomplet ne pardonne plus avec PHP 7.0. En effet, mon chroot ne contenait pas /dev/random et /dev/urandom et un file_get_contents('https://shaarli.guiguishow.info'); sortait en erreur :

PHP Warning: file_get_contents(): SSL operation failed with code 1. OpenSSL Error messages:
\nerror:24064064:random number generator:RAND_bytes:PRNG not seeded in /var/www/shaarli/test.php on line 2
PHP Warning: file_get_contents(): Failed to enable crypto in /var/www/shaarli/test.php on line 2
PHP Warning: file_get_contents(https://shaarli.guiguishow.info): failed to open stream: operation failed in /var/www/shaarli/test.php on line 2

Pour réparer :

mkdir $chrootdir/dev
mknod /var/apache/chroot/dev/random c 1 8
mknod /var/apache/chroot/dev/urandom c 1 9
systemctl restart apache2

MySQL

La mise à jour et le passage à MariaDB se passe bien… sauf si l'on utilise un chroot.

En premier lieu, j'ai eu une erreur relative à /usr/share/mysql/errmsg.sys. J'y suis habitué : il faut copier ce fichier dans le chroot.

Ensuite, j'ai eu l'erreur InnoDB: ./ib_logfile0 can't be opened in read-write mode. Le web conseille de supprimer ib_logfile0 et ib_logfile1.

ENfin, j'ai eu les erreurs InnoDB: Could not find a valid tablespace file for 'mysql/gtid_slave_pos'., InnoDB: Could not find a valid tablespace file for 'mysql/innodb_index_stats'., InnoDB: Could not find a valid tablespace file for 'mysql/innodb_table_stats'..

J'ai essayé de terminer le script /usr/scripts/scripts/mysql_install_db, mais il était impossible de lancer MySQL, même avec les fichiers ib_logfile* remis à leur place et le mode safe…

Dès l'origine, j'ai configuré salement ce chroot, avec des liens symboliques (et d'autres choses qu'il ne faut pas faire avec un chroot) afin de contenter MySQL. Il m'apparaît, plus de 5 ans après, que le fonctionnement dans un chroot n'est pas vraiment bien intégré dans MySQL en comparaison d'Apache ou de Postfix (la copie du fichier errmsg.sys en est une illustration). Je pense que ce chroot m'apporte plus d'ennuis que de sécurité. Donc, j'ai décidé de le supprimer. J'ai donc déinstallé MySQL (en répondant non à la question "faut-il supprimer l'ensemble des bases de données ?"), j'ai viré tout ce qui est relatif à MySQL de mon arborescence, à l'exception de /var/lib/mysql. J'ai installé MySQL et… ça a fonctionné. \o/

Logrotate

La nuit suivant cette ré-installation de MySQL, logrotate a terminé en erreur :

/etc/cron.daily/logrotate:
mysqladmin: connect to server at 'localhost' failed
error: 'Access denied for user 'root'@'localhost' (using password: NO)'
error: error running shared postrotate script for '/var/log/mysql/mysql.log /var/log/mysql/mysql-slow.log /var/log/mysql/mariadb-slow.log /var/log/mysql/error.log '
run-parts: /etc/cron.daily/logrotate exited with return code 1

La solution se trouve ici : il faut saisir le mot de passe de l'utilisateur de la base de données « debian-sys-maint » dans /etc/mysql/debian.cnf. Si tu ne le connais plus, connectes-toi en root à la base de données puis change-le avec SET PASSWORD FOR 'debian-sys-maint'@'localhost' = PASSWORD('<nouveau_mdp>');.

RoundCube

Durant l'installation, dbconfig produisait des erreurs du genre "je n'arrive pas à me connecter à la base de données" mais en beaucoup moins trivial (la base de données fonctionnait et le message d'erreur était plus cryptique que ce que j'en rapporte ici). J'ai décidé de quitter dbconfig sans rien configurer. Une fois la mise à jour terminée, roundcube ne savait plus pour quels domaines il devait répondre… Je l'ai reconfiguré avec dpkg-reconfigure roundcube-core et tout est devenu OK.

OpenDKIM

Dans mes logs, OpenDKIM s'écrivait milter socket must be specified tandis que systemd s'écrivait opendkim.service: PID file /var/run/opendkim/opendkim.pid not readable (yet?) after start: No such file or directory

Dans Stretch, OpenDKIM abandonne son script sysvinit et utilise une unit systemd. /etc/default/opendkim n'est donc plus lu. Il faut donc indiquer la socket directement dans la configuration d'OpenDKIM (/etc/opendkim.conf).

De même, systemd s'attend à obtenir le PID d'OpenDKIM dans le fichier /var/run/opendkim/opendkim.pid . Il faut donc ajouter PidFile /var/run/opendkim/opendkim.pid dans /etc/opendkim.conf.

Dans le modèle de configuration qui nous est proposé, remarquons la directive « UserID » qui permet de ne plus exécuter OpenDKIM en root.

OpenDNSSEC

OpenDNSSEC passe de sa version 1.4.6 à sa version 2.0.4 donc, forcément, ça implique une importante migration. Migration assez mal préparée dans le paquet Debian puisque le message nous indique « The enforcer does require a full migration, as the internal database has been completely revised. See the upstream documentation in the /usr/share/opendnssec/1.4-2.0_db_convert/README.md » alors que le dossier /usr/share/opendnssec/1.4-2.0_db_convert/ est vide et les fichiers nécessaires sont éparpillés dans /usr/share/opendnssec… … …

Bref, voici comment j'ai mis à jour :

• Vérifie qu'une clé n'est pas en train d'être changée ou d'être préparée à l'être : echo 'SELECT zones.name FROM dnsseckeys JOIN zones on zones.id = dnsseckeys.zone_id WHERE dnsseckeys.keytype = 257 AND dnsseckeys.active IS NULL AND dnsseckeys.zone_id NOT IN (SELECT dnsseckeys.zone_id FROM dnsseckeys WHERE dnsseckeys.keytype = 257 AND dnsseckeys.state = 4);' | slite3 /var/lib/opendnssec/kasp.db . Si c'est le cas, la doc' d'OpenDNSSEC conseille d'attendre que le rollover soit terminé pour mettre à jour ;
  
  
• Récupére le KeyTag de tes clés actuelles avec ods-ksmutil key list --verbose ;
  
  
• Fais une copie de /var/lib/opendnssec/kasp.db et /var/lib/softhsm/slot0.db , ça te permettra de rollback. Testé et approuvé ;) ;
  
  

• On arrête toute la machinerie et on l'empêche de démarrer durant la mise à jour :

  systemctl stop opendnssec-enforcer.service
  systemctl stop opendnssec-signer.service
  systemctl disable opendnssec-enforcer.service
  systemctl disable opendnssec-signer.service
  systemctl mask opendnssec-enforcer.service
  systemctl mask opendnssec-signer.service
  systemctl mask opendnssec-signerd.service

• Procéde à la mise à jour du système… Conserve les fichiers de conf' actuels d'OpenDNSSEC ;
  
  
• Mets à jour le schéma de la base de données d'OpenDNSSEC vers celui de la version 1.4.8 : cat /usr/share/opendnssec/migrate_1_4_8.sqlite3 | sqlite3 /var/lib/opendnssec/kasp.db ;
  
  

• Mets à jour le contenu de la base de données d'OpenDNSSEC de la version 1.X à 2.X :

  cd /usr/share/opendnssec/
  ./convert_sqlite -i /var/lib/opendnssec/kasp.db -o /var/lib/opendnssec/kasp.db.new
  mv /var/lib/opendnssec/kasp.db.new /var/lib/opendnssec/kasp.db

• Retrouve la cohérence des KeyTags suite à la migration : ods-migrate ;
  
  
• Évite l'erreur « ods-signerd[27373]: [file] unable to stat file /var/lib/opendnssec/enforcer/zones.xml: ods_fopen() failed » : cp /etc/opendnssec/zonelist.xml /var/lib/opendnssec/enforcer/zones.xml ;
  
  

• Démarre l'enforcer et vérifie que tes clés sont toujours là (à l'aide des KeyTags mis de côté au début ;) ) :

  ods-enforcer start
  ods-enforcer key list --verbose

• Si tout est OK, démarre le signer et tente de signer une modification de ta zone DNS :

  ods-signer start
  <Fais une modification de ton fichier de zone ici>
  ods-signer sign <nom_zone>
  <Vérifie que ta modification est effective>

• Si tout est OK, on re-active le lancement d'OpenDNSSEC au boot :

  ods-signer stop
  ods-enforcer stop
  systemctl unmask opendnssec-signerd.service
  systemctl unmask opendnssec-signer.service
  systemctl unmask opendnssec-enforcer.service
  systemctl enable opendnssec-enforcer.service
  systemctl enable opendnssec-signerd.service
  systemctl start opendnssec-enforcer.service
  systemctl start opendnssec-signer.service

Changement dans les conf'

• conf.xml :

  • Enforcer / « Interval » n'est plus utilisé et est déprécié dès la version 2.1 ;
    
    
  • Enforcer / ajout de « P1Y » : pré-génère les paires de clés nécessaires pour couvrir un an dès l'ajout d'une zone ;
    
    
  • Enforcer / ajout de « /var/lib/opendnssec/enforcer » ;
    
    
  • Signer / changement de la valeur de « WorkingDirectory » pour « /var/lib/opendnssec/signer » ;

• kasp.xml :

  • Les zones ont désormais un paramètre « MaxZoneTTL » avec une valeur par défaut d'un jour. Si la zone contient des enregistrements plus grands que la valeur de ce paramètre, ils seront cappés.
• zonelist.xml n'est plus vraiment utilisé et est remplacé par des commandes qui interrogent la base de données interne.

SoftHSM

SoftHSM passe lui aussi d'une version 1.X à 2.X, donc une migration nous attend. Notons que cette migration n'est pas obligatoire à mon sens, car le paquet softhsm version 1.X est toujours maintenu dans cette version de Debian.

Voici comment j'ai procédé :

• Évite l'erreur « ERROR: Could not initialize the library. » : mkdir /var/lib/softhsm/tokens ;
  
  
• Créer un nouveau coffre-fort dans la nouvelle version de SoftHSM : softhsm2-util --init-token --slot 0 --label OpenDNSSEC ;
  
  
• Copie l'ancien coffre-fort dans le nouveau : softhsm2-migrate --db /var/lib/softhsm/slot0.db --token OpenDNSSEC ;
  
  
• Fais utiliser SoftHSM2 par OpenDNSSEC en modifiant la section « Repository » de /etc/opendnssec/conf.xml : <Module>/usr/lib/softhsm/libsofthsm.so</Module> devient <Module>/usr/lib/softhsm/libsofthsm2.so</Module>. Change le PIN si t'as configuré un nouveau USER PIN sur le coffre-fort version 2 ;
  
  
• Redémarre OpenDNSSEC et vérifie que tout est OK ;
  
  
• Si tout est OK, tu peux virer la version 1.X de SoftHSM : apt-get autoremove --purge softhsm-common softhsm.

Si besoin de rollback

• Coupe tout OpenDNSSEC et empêche-le de démarrer automatiquement durant le rollback :

  systemctl stop opendnssec-enforcer.service
  systemctl stop opendnssec-signer.service
  systemctl disable opendnssec-enforcer.service
  systemctl disable opendnssec-signer.service
  systemctl mask opendnssec-enforcer.service
  systemctl mask opendnssec-signer.service
  systemctl mask opendnssec-signerd.service

• Copie tes sauvegardes des fichiers /var/lib/opendnssec/kasp.db et /var/lib/softhsm/slot0.db à leur emplacement d'origine ;
  
  
• Ajoute les dépôts Jessie dans ton sources.list et réinstalle la précédente version : apt-get install opendnssec=1:1.4.6-6 softhsm=1.3.7-2+deb8u1 opendnssec-enforcer-sqlite3=1:1.4.6-6 opendnssec-signer=1:1.4.6-6 opendnssec-common=1:1.4.6-6 libhsm-bin=1:1.4.6-6 opendnssec-enforcer=1:1.4.6-6 libsofthsm=1.3.7-2+deb8u1 softhsm-common=1.3.7-2+deb8u1 ;
  
  
• Recommence la migration à tête reposée en vérifiant que tu n'as rien oublié.

ejabberd

Le bug que je rencontrais lorsque je spécifiais des suites de chiffrement PFS à utiliser lors des connexions c2s (client to server) a disparu.

De même, cette version autorise enfin des dhparam > 1024 (directives « dhfile » et « s2s_dhfile »).

J'ai remarqué de nombreux changements entre ma config' et celle qui est proposée par le paquet. Exemples :

max_user_sessions:
all: 10

devient :

max_user_sessions: 10

max_user_offline_messages:
admin: 5000
all: 100

devient :

max_user_offline_messages:

• 5000: admin
• 100

Conclusion : j'ai décidé de ne pas avoir une conf' passoire et/ou une conf' qui peut se casser d'un rien donc j'ai accepté la conf' proposée et je l'ai adaptée à mes besoins.

icedtea-8-plugin

Les applets Java prennent enfin en charge TLS version 1.2. Utile pour les consoles à distance des BMC (même si Dell propose de l'HTML 5 depuis iDRAC 8).

OpenVPN

Il est désormais à nouveau possible de négocier la version de TLS utilisée. Cela permettra à court terme de forcer l'usage de TLS 1.2 / TLS 1.1 sans avoir à modifier la conf' des clients…

Unbound

On peut enfin activer qname minimisation, ce qui est une bonne nouvelle pour la vie privée.

Apache httpd

On peut enfin spécifier des dhparam personnalisés.