GuiGui's Show

Plein de bonnes choses, joliment formulées. À LIRE *IMPÉRATIVEMENT*. L'avenir, l'épanouissement personnel mais ensemble, ça commence par un reboot personnel.


« Le 21ème siècle appelle de nombreux changements, dont un qui est central : la gouvernance. Les systèmes politiques sont à bout de souffle, et c’est du côté des structures économiques, citoyennes, sociales, que les changements majeurs sont en train de survenir. Internet est au centre de cette mutation, changement qui veut que les hommes et les femmes de ce nouveau siècle peuvent collaborer les uns avec les autres sur de nouvelles bases, en inventant de nouveaux modèles.

[...]

Depuis le 19ème siècle, c’est le modèle pyramidal qui prime dans l’entreprise, les institutions, l’Etat, — et en réalité — dans toutes les structures. Le principe pyramidal est d’organiser le travail depuis le haut vers le bas. En haut, les dirigeants, qui orientent et ordonnent, puis des cadres (ou structures) intermédiaires qui répartissent les tâches, jusqu’aux exécutants qui… exécutent. Structure verticale, centralisée, donc, basée sur le pouvoir du capital, la hiérarchie, l’autorité et la suprématie d’une classe sur les autres, celles des détenteurs de la richesse sur les masses. Une forme de continuation du système monarchique.

[...]

Il existe donc désormais des modes de fonctionnement humains basés sur le fonctionnement d’Internet. Ils sont axés sur quelques critères assez simple mais essentiels : la transparence, la coopération, l’horizontalité et le partage de connaissances, de compétences etc… L’opposé exact du vieux système du 20ème siècle basé sur : l’opacité, l’autorité, la compétition, la captation (de savoirs, de richesses).

[...]

Les sociétés modernes offrent de plus en plus de facilités (déplacements, communications, acquisitions de savoirs, etc) qui permettent à leurs habitants d’envisager leurs existences autrement que par la simple vocation d’obtenir un emploi, de s’y maintenir le plus possible en attendant l’âge de récupérer l’argent cotisé au cours de sa vie, pour «enfin » vivre sans travailler en bénéficiant d’une pension par répartition, ce qui est appelé la « retraite ».

Il est désormais acquis que l’emploi n’est pas garanti pour la plupart des citoyens, que les individus ont de toute manière de plus en plus envie de se former tout au long de leur vie et de changer d’activité, et que l’épanouissement personnel est de loin le critère le plus important pour définir la notion de « travail ».

[...] Travailler, au XXème siècle était uniquement déclaré comme « une nécessité pour se nourrir, se vêtir, se loger », et cette vision du travail a largement participé à créer une société angoissée et dépressive, mécontente de son sort et asservie au pouvoir politique ou économique.

Les nouvelles structures économiques qui émergent ne basent plus leur fonctionnement sur les modèles de compétitivité, compétition, rentabilité maximale, et ne fonctionnent plus sur la base pyramidale ancienne. Le but des ces structures et des individus qui poussent dans ce sens ? Créer les conditions les plus favorables pour permettre à des ceux qui s’y meuvent d’échanger les uns avec les autres dans un objectif commun.

[...]

Les nouvelles structures coopératives, basées sur la collaboration horizontale des individus ont pour objectif de permettre à ceux-ci de s’épanouir dans leurs activités. Qu’ils gagnent d’ailleurs de l’argent ou non au sein de la structure. Le but est de fournir des conditions de travail épanouissantes, un mode relationnel équilibré, une fluidité dans les actions individuelles ou collectives. Pour résumer, ces structures cherchent à faire que chaque membre de la structure « s’éclate » en son sein. Pour le bien de tous, comme pour le sien.

Les méfaits de « l’argent » dans le modèle du XXème siècle sont connus : jalousies, besoin de dominer, obsession de la performance, etc…


Mais pourtant ces méfaits n’existent pas dans les structures d’avenir qui se constituent au XXIème siècle, et que nous appellerons « coopératives d’épanouissement ». La première raison est que l’économie est une chose différente de l’argent. On peut créer une économie sans argent, par exemple. Les principes de « gagner sa vie » ou de « faire des profits » n’ont pas cours dans une coopérative d’épanouissement du 21ème siècle, pour la simple et bonne raison que ces critères ne sont pas significatifs.

[...]

Cette économie, profondément collaborative et coopérative n’a pas pour objet l’enrichissement personnel de ceux qui s’y activent. Elle est avant tout un moyen pour des individus de créer de l’activité ensemble. Ce qui ne signifie pas qu’elle ne doit pas se préoccuper d’être rentable au sens — avant tout — de ne pas « vivre au dessus de ses moyens », d’être autonome financièrement.

[...]

Le rapport à l’argent, aux besoins matériels, à l’effort, à l’échange, à l’autorité, à l’autonomie sont au cœur de cette nouvelle approche dans le travail. Si l’argent est un moteur principal (pour ceux qui veulent participer), cela ne fonctionne pas. Tout comme le fait d’avoir une activité pour avant tout satisfaire des besoins matériels . L’effort, subi comme une contrainte désobligeante, ne permet pas non plus de faire fonctionner ce types de structures. L’autorité quant à elle, renvoie toujours au pouvoir, donc à l’argent, même symbolique, et ne permet pas l’épanouissement, c’est une chose établie. L’autonomie est bien entendu indispensable, puisque sinon, chacun attend des ordres ou des validations… d’une autorité.

[...]

Ces structures peuvent changer la donne: particulièrement d’un point de vue social, puisqu’elles démontrent qu’en sortant des schémas établis et déclarés comme incontournables, le travail peut devenir une manière de bien vivre, être avec les autres, un plaisir, créer des richesses, une contingence pratique mais sans enjeu.

[...]

Pour changer le monde, il faut toujours commencer par changer soi-même. Les nouvelles structures économiques sont une part très importante de ce changement de monde nécessaire. »


En effet, tant qu'on ne change pas notre rapport personnel à l'argent et à la réussite, on ne parviendra à rien.

C'est le problème numéro 1 de l'associatif sur lequel j'essaye de trouver des solutions. Des associations ont besoin de matériel/machines-outils (hackerspace,...), d'autres d'un local (hackerspace, éducation populaire), d'autres encore d'infrastructures (FAI associatif, hébergeur associatif). Il y a aussi des rémunérations inévitables (accueil permanent dans un hackerspace, suivi du processus législatif comme LQDN). Comment obtenir ce qui permet l'existence de l'activité de l'association sans avoir recours à des subventions publiques ou à des partenariats privés tous deux malsains car il y a une notion de domination et de dépendance ?

Mon constat est qu'on se dit trop souvent que c'est impossible alors que non : ARN, Grifon, FDN ont une infra sans subventions/partenariats. La Maison du Libre a 600+ m² en plein Brest en sous-louant des boxes la semaine, en dehors des horaires des activités. LQDN juste existe. Etc, etc.

Mon deuxième constat est qu'on pense argent avant le reste. Je pense à ces mails associatifs dans lesquels une association est contactée et, en interne, les membres discutent de ce qu'il convient de demander en compensation (défraiement du déplacement ? Plus ? Moins ? Rémunération des interventions ou pas ? ) *AVANT MÊME* d'avoir identifié les besoins du demandeur. *AVANT MÊME* de savoir ce que l'association peut proposer. C'est profondément malsain, àmha. Dans ARN, si l'on avait parlé argent avant d'identifier les besoins, d'identifier les solutions possibles,... *RIEN* n'existerait aujourd'hui. Simplement car les sommes engagées sont colossales. On s'est donné envie, on l'a fait. Point.

Je parle d'associatif mais le problème est le même pour monter toute initiative, associative ou non.

« Nom de machine (host name) : ce n'est pas la même chose qu'un nom de domaine. Utilisé dans de nombreux RFC (par exemple RFC 952) mais jamais défini, un nom de machine est un nom de domaine avec une syntaxe plus restrictive : uniquement des lettres, chiffres, points et le tiret. Ainsi, brienne.tarth.got.example peut être un nom de machine mais www.&#$%?.example ne peut pas l'être. Le terme de « nom de machine » est parfois aussi utilisé pour parler du premier composant d'un nom de domaine (brienne dans brienne.tarth.got.example).

[...]

Sous-domaine (subdomain) : domaine situé sous un autre, dans l'arbre des noms de domaines. Sous forme texte, un domaine est sous-domaine d'un autre si cet autre est un suffixe. Ainsi, www.cl.cam.ac.uk est un sous-domaine de cl.cam.ac.uk, qui est un sous-domaine de cam.ac.uk et ainsi de suite, jusqu'à la racine, le seul domaine à n'être sous-domaine de personne.

[...]

Suffixe public (public suffix) : ce terme pas très officiel est parfois utilisé pour désigner un suffixe de noms de domaine qui est contrôlé par un registre public (au sens où il accepte des enregistrements du public). Le terme est ancien mais est apparu pour la première fois dans un RFC avec le RFC 6265, section 5.3. com, co.uk et eu.org sont des suffixes publics. Rien dans la syntaxe du nom n'indique qu'un nom de domaine est un suffixe public, puisque ce statut ne dépend que d'une politique d'enregistrement (qui peut changer).

[...]

Réponse négative (negative answer) : le terme recouvre deux choses, une réponse disant que le nom de domaine demandé n'existe pas, ou bien une réponse indiquant que le serveur ne peut pas répondre (code de retour SERVFAIL ou REFUSED). Voir le RFC 2308.

Renvoi (referral) : le DNS étant décentralisé, il arrive qu'on pose une question à un serveur qui ne fait pas autorité pour le domaine demandé, mais qui sait vous renvoyer à un serveur plus proche. Ces renvois sont indiqués dans la section Authority d'une réponse.

[...]

RR (Resource Record, un enregistrement DNS).

Ensemble d'enregistrements (RRset pour Resource Record set) : un ensemble d'enregistrements ayant le même nom (la même clé d'accès à la base), la même classe, le même type et le même TTL.

[...]

TTL (Time To Live) : la durée de vie maximale d'un enregistrement dans les caches des résolveurs. C'est un entier non signé (même si le RFC 1035 dit le contraire), en secondes.

[...]

Résolveur (resolver) : un client DNS qui va produire une réponse finale (pas juste un renvoi, pas juste une information ponctuelle comme le fait dig). Il existe plusieurs types de résolveurs (voir ci-dessous) et, en pratique, quand on dit « résolveur » tout court, c'est en général un « résolveur complet ».

Résolveur minimum (stub resolver) : un résolveur qui ne sait pas suivre les renvois et qui dépend donc d'un ou de plusieurs résolveurs complets pour faire son travail. Ce type est défini dans la section 6.1.3.1 du RFC 1123. C'est ce résolveur minimum qu'appelent les applications lorsqu'elles font un getaddrinfo() ou getnameinfo(). Sur Unix, le résolveur minimum fait en général partie de la libc et trouve l'adresse du ou des résolveurs complets dans /etc/resolv.conf.

Résolveur complet (full resolver) : un résolveur qui sait suivre les renvois et donc fournir un service de résolution complet. Des logiciels comme Unbound ou PowerDNS Resolver assurent cette fonction. Le résolveur complet est en général situé chez le FAI ou dans le réseau local de l'organisation où on travaille, mais il peut aussi être sur la machine locale. On le nomme aussi « résolveur récursif ».

[...]

Initialisation (priming) : le processus par lequel un résolveur complet vérifie l'information sur les serveurs de la racine. Au démarrage, le résolveur ne sait rien. Pour pouvoir commencer la résolution de noms, il doit demander aux serveurs de la racine. Il a donc dans sa configuration leur liste. Mais ces configurations ne sont pas forcément mises à jour souvent. La liste peut donc être trop vieille. La première chose que fait un résolveur est donc d'envoyer une requête « NS . » à un des serveurs de sa liste. Ainsi, tant qu'un moins un des serveurs de la vieille liste répond, le résolveur est sûr d'apprendre la liste actuelle.

Mémorisation des négations (negative caching, ou « cache négatif ») : mémoriser le fait qu'il n'y a pas eu de réponse, ou bien une réponse disant qu'un nom de domaine n'existe pas.

[...]

Serveur primaire (primary server mais on dit aussi master server) : un serveur faisant autorité qui a accès à la source des données (fichier de zone, base de données, etc). Attention, il peut y avoir plusieurs serveurs primaires (autrefois, ce n'était pas clair et beaucoup de gens croient qu'il y a un serveur primaire, et qu'il est indiqué dans l'enregistrement SOA). Attention bis, le terme ne s'applique qu'à des serveurs faisant autorité, l'utiliser pour les résolveurs (« on met en premier dans /etc/resolv.conf le serveur primaire ») n'a pas de sens.

Serveur secondaire (secondary server mais on dit aussi « serveur esclave », slave server) : un serveur faisant autorité qui n'est pas la source des données, qui les a prises d'un serveur primaire (dit aussi serveur maître), via un transfert de zone (RFC 5936).

Serveur furtif (stealth server) : un serveur faisant autorité mais qui n'apparait pas dans l'ensemble des enregistrements NS. (Définition du RFC 1996, section 2.1.)

Maître caché (hidden master) : un serveur primaire qui n'est pas annoncé publiquement (et n'est donc accessible qu'aux secondaires). C'est notamment utile avec DNSSEC : s'il signe, et donc a une copie de la clé privée, il vaut mieux qu'il ne soit pas accessible de tout l'Internet (RFC 6781, section 3.4.3).

[...]

Zone : un groupe de domaines contigus et gérés ensemble, par le même ensemble de serveurs de noms (ma définition, celle du RFC étant très abstraite). Beaucoup de gens croient que tout domaine est une zone, mais c'est faux. Ainsi, au moment de la publication de ce RFC, gouv.fr n'est pas une zone séparée, il est dans la même zone que fr (cela se teste facilement : gouv.fr n'a pas d'enregistrement NS ou de SOA).

[...]

Apex : le sommet d'une zone, là ù on trouve les enregistrements NS et SOA. Si la zone ne comprend qu'un domaine, l'apex est ce domaine. Si la zone est plus complexe, l'apex est le domaine le plus court.

Coupure de zone (zone cut) : l'endoit où on passe d'une zone à l'autre. Au-dessus de la coupure, la zone parente, en dessous, la zone fille.

Colle (glue records) : lorsqu'une zone est déléguée à des serveurs dont le nom est dans la zone fille, la résolution DNS se heurte à un problème d'œuf et de poule. Pour trouver l'adresse de ns1.mazone.example, le résolveur doit passer par les serveurs de mazone.example, qui est déléguée à ns1.mazone.example et ainsi de suite... On rompt ce cercle vicieux en ajoutant, dans la zone parente, des données qui ne font pas autorité sur les adresses de ces serveurs (RFC 1034, section 4.2.1). Il faut donc bien veiller à les garder synchrones avec la zone fille. (Tanguy Ortolo me suggère d'utiliser « enregistrement de raccord » plutôt que « colle ». Cela décrit bien leur rôle, en effet.)

Dans le bailliage (in bailiwick) : terme absent des textes DNS originaux et qui peut désigner plusieurs choses. Il est (très rarement, selon mon expérience) parfois utilisé pour parler d'un serveur de noms dont le nom est dans la zone servie (et qui nécessite donc de la colle, voir la définition précédente), mais le sens le plus courant désigne des données pour lesquelles le serveur qui a répondu, soit fait autorité pour la zone, soit pour un ancêtre de cette zone. L'idée est qu'il est normal dans la réponse d'un serveur de trouver des données situées dans la bailliage et, par contre, que les données hors-bailliages sont suspectes (elles peuvent être là suite à une tentative d'empoisonnement DNS). Un résolveur DNS prudent ignorera donc les données hors-bailliage.

ENT (Empty Non-Terminal pour nœud non-feuille mais vide) : un domaine qui n'a pas d'enregistrements mais a des sous-domaines. C'est fréquent, par exemple, sous ip6.arpa ou sous les domaines très longs de certains CDN.

[...]

Changement rapide (fast flux) : une technique notamment utilisée par les botnets pour mettre leur centre de commande à l'abri des filtrages ou destructions. Elle consiste à avoir des enregistrements d'adresses IP avec des TTL très courts et à en changer fréquemment. »

J'utilise Thunderbird comme client mail (voir la ressource suivante pour prendre connaissance les raisons de ce choix : http://www.guiguishow.info/2013/09/13/a-la-recherche-dun-mua/#toc-4251-choix-dun-mua ). J'utilise le mode mailbox (un dossier contenant XXX mails = un unique fichier sur le disque dur) car le mode maildir (un dossier = un dossier et un mail = un fichier dans un dossier) est encore plein de bugs (« Pour le moment Maildir est désactivé par défaut car il reste encore beaucoup de bogues. Il n'est pas complètement prêt pour les utilisateurs. » sur https://support.mozilla.org/fr/kb/maildir-thunderbird ).

J'utilise massivement les dossiers et les filtres côté serveur (Sieve et procmail, voir http://www.guiguishow.info/2013/09/13/a-la-recherche-dun-mua/#toc-4251-tri-du-courrier ) pour trier mes mails, leur affecter une priorité, bref plein de choses pour me simplifier la vie et être efficace sachant que j'organise tous mes projets collectifs/associatifs par mail, je n'utilise pas de redmine et autres outils de gestion de projets^W^W^W^W^W usines à gaz.

Parfois, quand je déplace manuellement un mail dans un autre dossier après l'avoir traité, le mail disparaît de Thunderbird : il disparaît du dossier source et il n'apparaît pas dans le dossier de destination.

Dans ces moments-là, je me connecte à mon serveur mail en SSH, je trouve le fichier qui correspond à ce mail dans mon maildir (find -mtime, -mmin <date_réception>, grep -R "<mot-clé présent dans le mail>",...) et je le déplace dans Maildir/.Dossier.De.Destination/new. Grâce à IMAP IDLE (ou à la prochaine relève des mails), Thunderbird apprend l'existence de ce mail, le déplace dans Maildir/.Dossier.De.Destination/cur côté serveur, l'enregistre dans le bon mailbox côté client et l'affiche à l'utilisateur en mode lu (donc Thunderbird se souvient que le mail a été lu... cette info est forcément enregistrée quelque part...).

À chaque fois que ce bug est apparu, le mail a été déplacé (via IMAP) dans Maildir/.Dossier.De.Destination/cur... Je pense que Thunderbird se prend ensuite les pieds dans le tapis lors du stockage local...

Petit rappel. Quand on suit un lien sur une page web, le site web sur lequel vous atterrissez est informé de l'URL de la page web dont vous venez (on nomme ça referer/référent. Le mode navigation privée d'un navigateur n'empêche pas ça : aucune trace n'est laissée sur l'ordinateur (historique, cookies,...) mais les traces externes, envoyées aux serveurs web demeurent.

On ne peut pas désactiver le référent puisque de nombreux sites s'en servent notamment durant les phases d'authentification (ce qui est une erreur puisque l'utilisateur contrôle le référent...). On peut utiliser une extension comme Smart Referer qui indique comme référent le site web de destination lui-même... sauf sur les sites web problématiques qui sont en liste blanche (que l'on peut compléter) et qui recevront donc le référent réel.


« Dans cette affaire, le propriétaire de l'ordinateur a à cœur (sans jeu de mot) de protéger un peu sa vie privée. Il utilise certes beaucoup d'outils des GAFAM (Google, Apple, Facebook, Amazon, Microsoft), mais avec le soucis de progressivement se détacher de leurs emprises. C'est pourquoi, il a choisi d'utiliser un nom de plume pour s'épancher sur internet, un VPN pour protéger sa vie privée et l'autohébergement pour un certain nombre de ses outils préférés.

[...]

Vous connaissez peut-être les agrégateurs de flux RSS. Derrière cette expression se cache un outil très simple répondant au besoin suivant : comment être averti de la publication d'un nouveau billet de ses blogs ou sites web favoris sans être obligé d'aller vérifier tous les quart d'heure, site par site. [...]

C'est pourquoi, il a choisi d'utiliser un nom de plume pour s'épancher sur internet, un VPN pour protéger sa vie privée et l'autohébergement pour un certain nombre de ses outils préférés.Il installe donc l'un des meilleurs agrégateurs opensource : Tiny Tiny RSS, connu aussi sous son petit nom TTRSS... [...]

Les choses se compliquent un peu puisque notre utilisateur souhaite évidement pouvoir accéder à son agrégateur depuis l'extérieur et depuis son téléphone intelligent. Qu'à cela ne tienne, il met en place une redirection de port sur sa box d'accès à internet, en l’occurrence ici, une FreeBox. Il installe une application (gratuite) sur son téléphone : "TTRSS 2".

Notre homme ne se doute pas qu'il vient de commettre une (petite) erreur qui va le ridiculiser aux yeux (malveillants) du monde. En effet, non content de lire son journal personnel partout sur la planète, via son serveur TTRSS autohébergé, notre utilisateur est allé plus loin : comme il ne souhaitait pas apprendre par cœur son adresse IP personnelle, il a logiquement utilisé les services d'un nom de domaine qu'il possède pour sa société de consultant (notre homme est autoentrepreneur).

Sur le coup, il s'est méfié un peu : utilisateur assidu d'un pseudonyme sur internet, caché derrière la protection relative d'un VPN, n'y avait-il pas là un risque de dévoiler son identité réelle associée à sa petite entreprise quand il se connecte à son serveur TTRSS avec son navigateur ?

Que nenni pensait-il, puisque seul son navigateur (en session privée) et son téléphone utilisaient le nom de domaine de son entreprise. Il pouvait donc lire en toute tranquillité son agrégateur de flux RSS d'un côté et surfer sous pseudonyme de l'autre.

Erreur, erreur, erreur...

Il y a un petit mécanisme dont notre homme a oublié l'existence et qui est utilisé par de nombreux sites internets. Ce mécanisme s'appelle le référent. [...] lorsque vous cliquez sur un lien qui se trouve dans une page web, le site web sur lequel vous atterrissez est informé de l'URL de la page web dont vous venez.

Exemple : si vous cliquez sur ce lien : https://www.whatismyreferer.com et bien le site en question sait que vous venez du blog de Zythom (faites le test, le site vers lequel je vous envoie affiche en clair l'indication). Si vous utilisez Firefox, il vous suffit de faire "clic droit" à tout moment sur n'importe quelle page web et de choisir "Informations sur la page". Vous aurez accès à l'information "URL de provenance"...

Notre homme, donc, utilise un pseudonyme et un VPN pour commenter à droite et à gauche sur internet, mais a choisi d'autohéberger son agrégateur de flux RSS en utilisant le nom de domaine de son autoentreprise. Par conséquent, à chaque fois qu'il clique sur un lien présent dans son agrégateur, le site sur lequel il arrive sait d'où il vient, avec le nom en clair de son autoentreprise et son IP personnelle.

Fail. »

Les enjeux autour du chiffrement des ordiphones résumés de manière simple par Zythom. À lire et à faire circuler.

« Pour répondre à votre question (« Trouvez-vous cet amendement fondé ? »), je trouve que ce durcissement de notre législation correspond plutôt à un effet d'annonce permettant de montrer que certains députés suivent avec intérêt le débat américain qui oppose Apple et le FBI, mais à mon avis, ils se trompent de cible et surtout ils montrent encore une fois une incompréhension des concepts techniques mis en jeu. En effet, Apple souhaite mettre en place un système de chiffrement où elle-même n'aurait aucun moyen de pouvoir déchiffrer les données, afin de protéger ses utilisateurs de la curiosité étatique. Apple ne pourra pas techniquement fournir à l'autorité judiciaire les données en clair, et ne pourra pas être condamnée pour cela (sauf à rendre le chiffrement illégal).

[...]

Olivier Levrault : À quel point le chiffrement d'un smartphone freine-t-il l'enquête ?

Zythom : Cela va dépendre du rôle du smartphone dans l'enquête. Si la seule preuve dont vous disposez se trouve chiffrée dans le smartphone (ou dans l'ordinateur), votre enquête est définitivement bloquée. Heureusement, l'activité criminelle se limite rarement au simple usage d'un smartphone, fut-il chiffré. Une enquête s'appuie sur beaucoup d'éléments plus classiques comme des filatures, des fadettes, des éléments financiers, etc. Je n'ai jamais rencontré de dossiers reposant sur un seul élément technologique même si je ne nie pas qu'il soit possible que cela arrive. Faut-il pour autant interdire le chiffrement à tous ? Faut-il demander à tous les citoyens de vivre dans des maisons de verre pour pouvoir faciliter la surveillance des faits et gestes de tout le monde, pour détecter les comportements suspects ?

[...]

Olivier Levrault : Le fait de donner au gouvernement la clé pour accéder au contenu d'un téléphone lors d'une enquête terroriste fragilise-t-il la sécurité de l'ensemble des smartphones ?

Zythom : Oui. Imaginez un fabricant de serrures (coffres forts, portes de maisons, etc.) qui serait obligé de créer une clé permettant d'ouvrir toutes les serrures qu'il fabrique. Vous comprenez bien que cette fameuse clé devrait être protégé de la manière la plus extrême. Car il suffirait qu'une seule personne fasse discrètement une copie de cette clé pour que la sécurité des serrures soit définitivement compromise. Et si vous ne pouvez pas assurer vous-même la protection de cette clé, par exemple parce que l’État vous impose de lui en confier une copie, cela revient à confier toute la sécurité de vos clients à l’État. C'est ce qui a amené Ladar Levison à fermer son service Lavabit plutôt que de donner l'accès aux messages d'Edward Snowden comme la loi américaine le lui obligeait. Le suicide commercial plutôt que la trahison de ses clients...
Olivier Levrault : Est-ce que cela créé les fameuses portes dérobées ? Si oui, quel est le risque ?

Zythom : Lorsque vous proposez à vos clients un système protégeant votre vie privée, mais que vous mettez en place d'un accès réservé, c'est ce que l'on appelle une porte dérobée. On parle également de cheval de Troie. Le risque est l'utilisation de cette porte dérobée de manière abusive, soit par l’État, soit par un criminel. Vous pensez être seul dans l'intimité de votre chambre, alors qu'en fait un œilleton permet de vous observer, de vous photographier, de vous filmer, etc. Allez-vous accepter cela parce qu'on vous affirme que vous serez plus en sécurité ?

[...]

Le discours est de dire que de toutes manières, une grande partie de la population a déjà offert une partie de ses données personnelles aux GAFAM (Google, Apple, Facebook, Amazon et Microsoft) en échange de services gratuits et de publicités ciblées. Nous parlons ici de l'abandon à la demande de l’État par le grand public de l'ensemble de ses données personnelles, ce qui est très différent. Personnellement, j'accepte de donner certaines de mes données privées à Google. J'accepte aussi de dévoiler beaucoup d'éléments de ma vie sur mon blog personnel. C'est ma liberté. Pour autant, je chiffre certains messages, j'utilise parfois un VPN, je protège certaines parties de ma vie privée. Parce que j'ai une réticence à tout montrer.

[...]

Les constructeurs jouent double jeu [ NDLR : on parle du chiffrement pour redorer leur blason après la publication des documents permise par Snowden), mais au moins, le consommateur peut décider d'arrêter d'acheter tel ou tel produit. Il a un certain pouvoir. Apple peut se ringardiser en quelques années et disparaître. Qu'en est-il du poids de la voix du citoyen dans le processus démocratique d'aujourd'hui ? Dans quel état sont les contre-pouvoirs traditionnels, tels que la justice et les médias ? »

:D

Vaaaaaaaaache.

En attendant que progress arrive dans Debian stable et pour ne plus utiliser « watch -n5 'sudo kill -s SIGUSR1 $(pidof dd)' » : pv my.iso | dd of=/dev/sdX . Ou, mieux (mais on perd les options que l'on peut passer à dd) : pv my.iso > /dev/sdX .

Ça marche aussi avec d'autres commandes : sha256sum, nc,.... Tout ce qu'on peut faire transiter dans un pipe.

Plus fort que ça : on peut surveiller un fichier ouvert par un autre processus ou tous les fichiers ouverts par un autre processus. Genre, en cas d'oubli de préfixer dd par pv, on peut suivre la progression d'un dd après coup avec : pv -d $(pidof dd). On voit ainsi la progression de la lecture et de l'écriture.

Via https://twitter.com/aeris22/status/719988821211934720

Depuis le début de mon blog ( http://www.guiguishow.info ), j'utilise le plugin Spam Karma 2 pour filtrer automatiquement le spam dans les commentaires. Le fonctionnement de Spam Karma 2 est de faire du scoring comme le font les antispams mail : plusieurs critères (délai entre l'ouverture de la page et envoi du commentaire, nombre de liens insérés dans le contenu du commentaire, payload javascript, détection de balises HTML,...), chaque critère fait perdre des points. Si le score final est en dessous d'un certain seuil, on laisse une autre chance en proposant un captcha. En dessous d'un deuxième seuil, on ne propose même pas une deuxième chance. Spam Karma est modulaire : plusieurs plugins participent à établir le score final.

Évidemment, je n'utilise pas le check RBL qui consiste à faire une requête sur un site web externe pour vérifier la réputation de l'IP du visiteur et les URL insérées dans le contenu de son commentaire (si elles sont connues du service -> mauvaise réputation -> on retire des points au score). Il n'y a donc aucune dépendance à un service externe et c'est ce que j'ai toujours apprécié chez ce plugin. C'est pour ça que je n'ai pas choisi la boîte noire Akismet qui est le filtre antispam de commentaires de référence, activé par défaut dans Wordpress. Voir ici pour un regard critique sur Akismet : http://sebsauvage.net/rhaa/?2010/08/12/11/19/09-probleme-avec-akismet . Avec Spam Karma 2, je peux consulter les critères de blocage de chaque commentaire. Je peux débloquer les commentaires si je veux (Akismet aussi sur ce point). Je peux agir sur tous les critères de classification. Et je ne participe pas à une concentration malsaine en un seul service de filtrage (Akismet) qui, du coup, devient hyper puissant  et critique.

L'aspect négatif c'est que le développement de Spam Karma 2 n'est plus assuré depuis juillet 2008 (voir http://unknowngenius.com/blog/archives/2008/07/14/spam-karma-is-gpl/ ). Il devient difficile de le télécharger. Je l'utilise sans problème depuis juillet 2010 mais il est évident que plus le temps passe, plus la probabilité qu'une mise à jour de Wordpress casse Spam Karma augmente. Et évidemment, les failles de sécurité ne seront pas corrigées alors qu'on sait que les problèmes de sécurité avec Wordpress viennent en majorité des plugins. Ne parlons pas de l'absence d'une communauté qui a aussi un impact sur la sécurité.


Je viens de corriger 4 problèmes avec le Spam Karma de mon Wordpress dont deux sont de ma faute. Je les mentionne aussi ici même si ça allonge la longueur de ce shaarli car ça nous rappelle des leçons importantes.

    * Commençons par le plus facile : un des critères de notation de Spam Karma consiste à pénaliser les commentaires postés sur de vieux articles. Par défaut, si le commentaire est déposé sur un article qui a été publié il y a plus de 15 jours -> vlam, pénalité. Sauf que mon article le plus récent date de mars 2015. 1 an, donc. Et les deux qui suivent datent d'octobre et août 2014... bientôt 2 ans... Sauf que ce blog n'est pas mort. Je lis les commentaires. Je corrige mes articles ou je fais référence à des documentations complémentaires. Dans ces conditions, il est injuste de pénaliser un visiteur qui poste des années après la publication d'un article. Un commentaire humain passe malgré la pénalité mais c'est parfois limite. J'ai donc ajusté ce plugin de Spam Karma 2 pour pénaliser les commentaires déposés sur des articles vieux de plus de 2 ans. Moralité : on se souvient qu'une politique de sécurité, même antispam, doit être ajustée au fil du temps. :-


    * En cherchant à tester le point précédent, je me suis aperçu que le captcha de la deuxième chance ne fonctionne pas. L'image ne s'affiche pas, seul le texte alternatif s'affiche. On devine que la bibliothèque GD n'est pas installée/activée ou foire. Ce que confirment les logs Apache : « PHP Fatal error:  Call to undefined function imagecreate() in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_captcha_graphic.php on line 37 ». Solution : apt install php5-gd + systemctl restart apache2 . J'ai dû virer le package il y a des mois et des mois en me disant qu'aucune des applications web que j'utilise ne dépend de GD. Réduire les logiciels installés sur un serveur pour réduire la surface d'attaque, c'est bien mais il faut penser à tout. :-


    * En regardant mes logs Apache, je constate que les error logs de février et mars 2016 occupent largement plus d'espace que d'habitude : 748 Mo pour mars, 1,1G pour février (compressés en 19 Mo de gzip). Ma volumétrie habituelle d'error log ne dépasse pas 100 Ko de texte non compressé ! Il y a donc un problème. Ce problème est la répétition incessante de ces messages d'erreurs : « PHP Warning: mysql_real_escape_string(): Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2) in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_functions.php on line 107 [...] PHP Warning:  mysql_real_escape_string(): A link to the server could not be established in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_functions.php on line 107 ».

    Je regarde sur tous les Wordpress que j'administre : même problème partout. À noter : sur des installations Apache+MySQL non chrootées (consulter la ressource suivante pour connaître les raisons qui me font aujourd'hui douter de l'intérêt d'un chroot Apache+MySQL : http://shaarli.guiguishow.info/?08T1Cw ), les logs contiennent plutôt « PHP Warning:  mysql_real_escape_string(): Access denied for user 'www-data'@'localhost' (using password: NO) in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_functions.php [...] PHP Warning:  mysql_real_escape_string(): A link to the server could not be established in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_functions.php on line 107 ».

    Quand ces erreurs sont-elles apparues dans mes logs ? 22 janvier 2016 sur une installation, 24 décembre 2015 sur une autre.

    Que s'est-il passé ?
        * J'ai pour méthode de ne jamais mettre Wordpress à jour lors de la sortie d'une version majeure car je sais qu'une version corrigée de nouvelles failles de sécurité introduites par cette version majeure sortira un ou deux mois plus tard. C'est toujours comme ça avec Wordpress, voir http://shaarli.guiguishow.info/?ikqFrg . Donc ce n'est pas le passage à Wordpress 4.4, dont la date de sortie (début décembre) pourrait correspondre, qui a tout cassé. Fausse route.

        * Les logs dpkg montrent une mise à jour de PHP le 24/12/2015, avant l'apparition des erreurs. Mais rien le 22 janvier.

        * Le changelog Debian (voir la ressource suivante http://shaarli.guiguishow.info/?feXm_A pour le trouver ) des packages libapache-mod-php5 / php5-mysql ne mettent rien en évidence, juste un passage à la version 5.6.16 upstream qui corrige des crashs le 22/12/2015.

        * En revanche, c'est le 24/12/2015 que j'ai mis à jour ce serveur de Debian Wheezy à Jessie, il n'y a qu'à voir la volumétrie du log dpkg ce jour-là. Je passe donc de PHP 5.4 (Wheezy) à PHP 5.6 (Jessie) tout en sachant que l'extension mysql et donc mysql_real_escape_string() devient dépréciée à partir de PHP 5.5 . Sauf que tout cela est encore parfaitement utilisable par n'importe quel script... Fausse route, donc.

        * À moins que... Qu'est-ce que Wordpress utilise ? MySQL, MySQLi ou PDO ? Réponse dans wp-includes/wp-db.php : Wordpress utilise MySQLi depuis sa version 3.9 (voir https://make.wordpress.org/core/2014/04/07/mysql-in-wordpress-3-9/ ou https://core.trac.wordpress.org/browser/tags/3.9/src/wp-includes/wp-db.php ). « /* Use ext/mysqli if it exists and:
          - WP_USE_EXT_MYSQL is defined as false, or
          - We are a development version of WordPress, or
          - We are running PHP 5.5 or greater, or
          - ext/mysql is not loaded. »
        Je ne remplissais aucune des conditions : l'extension MySQL était bien chargée, je n'utilisais pas une version de développement, je n'ai pas désactivé manuellement l'usage de l'extension MySQL dans Wordpress et je n'avais pas une version de PHP >= 5.5 . Mais en passant à Jessie, cette dernière condition est devenue vraie.

        * Ainsi Wordpress utilise MySQLi depuis ma mise à jour vers Jessie (et donc PHP 5.6.X) et donc mysql_real_escape_string() n'est plus utilisable.

        * Pourquoi ce changement s'est-il manifesté uniquement le 22 janvier sur une autre installation ? Car ce site est beaucoup moins consulté, même par les bots donc aucun envoi de commentaire n'a été tenté et donc aucune erreur dans les logs.


    Analyse :
        * La ligne 107 de sk2_functions.php tombe en plein dans la fonction sk2_escape_string() dont le rôle est d'être un wrapper : est-ce que nous sommes en PHP 5, auquel cas la fonction mysql_real_escape_string() existe et on l'utilise, sinon on est en PHP 4 et il faut utiliser mysql_escape_string(). Sauf que mysql_real_escape_string ne peut plus fonctionner puisque Wordpress utilise mysqli.


    Solution :
        * Pour bien faire, il faudrait utiliser les requêtes SQL préparées (donc la fonction prepare() de l'objet $wpdb, "abstraction" de la base de données par Wordpress) mais ça serait une vraie plaie de modifier tout Spam Karma dont le code n'est clairement pas simple à migrer àmha car les requêtes SQL sont conditionnelles et gérées par une palanquée de if/else...

        * On pourrait utiliser mysqli_real_escape_string() sauf que, contrairement à mysql_real_escape_string(), il faut obligatoirement passer la variable représentant la connexion à la base de données. Chose que $wpdb ("abstraction" de la base de données par Wordpress) n'expose pas...

        * On regarde la doc' Wordpress https://codex.wordpress.org/Data_Validation#Database : donc il faut utiliser les requêtes préparées et quand on ne peut pas, il faut utiliser esc_sql() qui est une fonction interne de Wordpress (voir https://codex.wordpress.org/Function_Reference/esc_sql ) qui semble moins bien faire le job que mysql_real_escape_string() genre elle ne gère pas le jeu de caractères de la base de données, par exemple.

        * En pratique : dans les fonctions sk2_escape_string() et sk2_escape_form_string() du fichier sk2_functions.php de Spam Karma, on empêche l'exécution du code actuel en le précédant par « return esc_sql($string); ».

      Voici ce que donnent les modifs :
        function sk2_escape_string ($string)
        {
            return esc_sql($string);

            if(function_exists('mysql_real_escape_string'))
              return mysql_real_escape_string($string);
            else
              return mysql_escape_string($string);
        }

        function sk2_escape_form_string ($string)
        {

            if (get_magic_quotes_gpc())
                $string = stripslashes($string);

            return esc_sql($string);

            if(function_exists('mysql_real_escape_string'))
                return mysql_real_escape_string($string);
            else
                return mysql_escape_string($string);
        }


    * Dernier problème : lors du dépôt d'un commentaire, Spam Karma explose en vol et affiche ceci à l'utilisateur :
      « Failed to insert blacklist entry: ip_white - <IP_visiteur>.
        SQL error: Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2)
        Error: cannot update comment entry ID: 36836 to status: approved.
        SQL error: Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2)
        Failed inserting/updating sk2_kSpamTable record for comment ID:36836 (mode: overwrite).
        Query: INSERT INTO `wp_sk2_spams` SET `karma` = 29.25,`karma_cmts` = '', `unlock_keys` = '', `remaining_attempts` = '', `last_mod` = NOW(), `comment_ID` = 36836
        SQL error: Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2)
        Sorry, but your comment has been flagged by the spam filter running on this blog: this might be an error, in which case all apologies. Your comment will be presented to the blog admin who will be able to restore it immediately.
        You may want to contact the blog admin via e-mail to notify him. »

      Dans les logs Apache, on retrouve les erreurs du point précédent. C'est donc le même problème. Appliquer la correction proposée au point précédent corrige celui-ci aussi. \o/

Résultat du scrutin public portant sur le projet de loi renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale, examiné en première lecture au Sénat.

299 pour, 29 contre, 18 abstentions.

Comme le gouvernement a engagé la procédure accélérée et que chaque chambre du Parlement a examiné et modifié le texte, celui-ci part en Commission Mixte Paritaire. En CMP, les représentants de chaque chambre discutent uniquement des points qui restent en discussion c'est-à-dire des dispositions qui n'ont pas été adoptées à l'identique par les deux chambres.

La plupart des dispositions que je trouve merdiques ont été approuvées des deux côtés à part la consultation habituelle de site web faisant l'apologie du terrorisme, l'entrave au blocage administratif des sites web faisant l'apologie du terrorisme, l'usage judiciaire des logiciels espions (déjà prévus par la LOPPSI de toute façon), l'interdiction du territoire, IMSI catchers (contenu des correspondances et destruction des infos hors enquête), captation des mails archivés et l'alourdissement des peines pour les fournisseurs de cryptos).

On peut donc encore jouer mais on est sur des dispositions numériques donc la probabilité d'un échec est elevée, faut pas se mentir.


Petit tour des mauvaises choses qui sont encore là :
    * retenue administrative préventive pour contrôle d'identité en dehors du cadre plus contraignant de la garde à vue visant des personnes dont on présume des activités terroristes...

    * fouille administrative préventive des véhicules et des sacs pour pecho des activités terroristes. On est suspect dès lors qu'on circule dans une zone géographique délimitée par un Magistrat... Sérieux ?

    * Caméras mobiles individuelles pour les policiers et gendarmes. Durée de conservation d'un mois. Il n'est plus prévu que le citoyen puisse demander l'activation de l'enregistrement. Pas de demande d'accord préalable à l'enregistrement (droit à l'image et à la vie privée quand un agent des forces de l'ordre filme une perquisition, par exemple). Rien de dit que la CNIL pourra vérifier l'absence d'enregistrements me concernant au-delà du délai autorisé comme elle vérifie les fichiers policiers (et y constate des taux d'erreur mirobolants !).

    * l'administration pénitencière et plus largement les services du Ministère de la Justice deviennent des services autorisés à recourir aux techniques de renseignement légalisés par la loi Renseignement de mi-2015

    * perquisitions administratives de nuit des habitations. Les députés avaient ajouté qu'elles peuvent avoir lieues uniquement si impossible de les réaliser en plein jour... sans préciser les critères qui fondent cette impossibilité...

    * techniques de renseignement (sonorisation véhicules et habitations, captation de données, IMSI catchers,...) utilisables par des Magistrats du Parquet (procureurs & co) qui ne bénéficient pas d'un statut d'indépendance vis-à-vis de l'exécutif.

    * IMSI catchers (article 2) : peuvent désormais capter le contenu des correspondances elles-mêmes. Protection des professions du secret et apparentées (reste à savoir comment ce droit s'appliquera puisque l'IMSI catcher capte tout sans vérifier l'identité...). Destructions des données qui ne concernent pas l'enquête pour laquelle le dispositif a été déployé sous 3 mois max. Question : comment faire valoir ce droit ? Comment je sais que j'ai été collecté par un IMSI catcher car j'ai simplement circulé dans une zone géographique ? Comment je vérifie que les données ont été détruites ? Ça reste toujours massif.

    * Captation des mails archivés (article 1 bis). S'apparente à un régime de saisie administrative qui ne dit pas son nom. Pas de durée ni de destruction ni ce qui sera fait des données collectées.
   
    * Alourdissement des peines pour les constructeurs de moyens de cryptologie qui refuseraient de communiquer les données chiffrées et les clés (article 4 quinquies).

    * Punir la consultation habituelle de sites internet faisant l'apologie du terrorisme (2 ans de placard et 30 000 €) + l'entrave au blocage administratif de site web (5 ans et 75 000 € ) - article 4 sexies. L'entrave concerne clairement les miroirs et les récursifs DNS ouverts et autre proxies. Pour limitée l'impact des sanctions de la consultation, les journalistes et chercheur-euses scientifiques sont exclues ainsi que les personnes de bonne foi -> LOL. :)

    * Le contrôle administratif des personnes de retour de l'étranger dont on a des « raisons sérieuses de penser que ce déplacement a pour but de rejoindre un théâtre d’opérations de groupements terroristes ». Il n'est plus demandé la communication des identifiants de connexion sur les sites web...

    * Article 4 septies A : interdiction du territoire à un-e étranger-e pour des activités terroristes... dont l'apologie ! On n'est pas loin de la déchéance de nationalité, hein...

    * Article 3 bis A : captation de données informatiques à distance (VNC, keylogger, fouille des supports de stockage) via un logiciel espion pour tout une palette de crimes et de délits. La LOPPSI permet déjà cela mais ça n'a pas encore été déployé (voir http://www.numerama.com/politique/150304-la-pj-pourra-enfin-installer-des-keyloggers-et-autres-mouchards.html ). Durée non précisée, périmètre des données collectées pas précisé.

« Le nouveau système imaginé par le Medef, qui sauf coup de théâtre entrera en vigueur en 2019, va être douloureux pour les personnes partant en retraite dès 62 ans. Du simple smicard au cadre dirigeant [...]

La touche finale. Syndicats [ NDLR : sauf CGT et FO, selon le Canard du 06/04/2016) ] et patronat se retrouvent une dernière fois ce vendredi, pour entériner la réforme des régimes de retraites complémentaires Agirc et Arrco, après l'accord de principe trouvé il y a deux semaines. La mesure phare est sans aucun doute le système de bonus-malus, élaboré par le Medef, qui s'appliquera à partir de 2019 et vise à faire travailler un an de plus les salariés, une fois satisfaites les conditions pour partir à taux plein, à la fois en termes de durée d'assurance et d'âge légal (62 ans), sous peine de malus, et ce jusqu'à 67 ans.

Concrètement, une personne partant à l'âge légal, à 62 ans, verra sa pension complémentaire amoindrie de 10% pendant les 3 premières années, même si elle possède une durée d'assurance suffisante pour bénéficier du taux plein. [...]

[ NDLR : soyons plus précis : « Par exemple, un cadre né en 1959 et qui souhaite partir à la retraite dès l’âge légal perdra environ 14,5% de sa pension complémentaire. Et s’il continue à travailler pour éviter le malus, il perdra quand même 4,5% de pension. Au fil des générations la différence sera de plus en plus importante. Les cadres nés en 1990 pourront perdre entre 8 et 17% du montant de leur retraite complémentaire. » Source : http://www.europe1.fr/societe/retriates-complementaires-importante-baisse-des-pensions-2711464 qui se base sur le rapport du Conseil d'Orientation des Retraites que le Figaro a dévoilé cette semaine. ]

Le malus disparaîtra si le salarié part un an après avoir atteint les conditions pour bénéficier du taux plein (âge légal et nombre de trimestres cotisés), et se transformera même en bonus de 10% pendant un an si le salarié prolonge son activité pendant 8 trimestres (2 ans) après avoir atteint ces conditions, de 20% après 12 trimestres (3 ans) et de 30% après 16 trimestres (4 ans). »

La complémentaire représente la principale part de la retraite des cadres.