Anonyme a écrit 62265 commentaires

1/ comme confirmé dans la section 9, c'est optionnel
2/ la section 6 précise bien qu'il faut apporter un soin particulier à ces fichiers exportés en terme de sécurité
3/ c'est à l'implémentation du serveur de décider comment stocker les mots de passe: tout comme Prosody laisse le choix aux administrateurs de stocker le mot de passe sous forme de hash, en clair, dans un fichier texte, en base de données, etc., le protocole laisse à l'implémentation du serveur la liberté de s'adapter à son cas d'usage spécifique

Donc un serveur qui veut respecter la confidentialité de ses utilisateurs, et sait pertinemment que la sécurité absolue n'existe pas, stockera le mot de passe sous forme de hash et ne l’inclura pas dans le fichier d'export.

À l'inverse, un serveur qui cible les entreprises trop number one en sécurité, leader sur leur marché, persuadées d'être à l'abri derrière leur firewall cisco dernier cri à 1M d'€ et qui veut laisser la possibilité à ses administrateurs de fliquer ses utilisateurs stockera tout ça en clair et exportera le mot de passe de la même façon

Le protocole n'a pas à préjuger du type d'utilisation qu'on en fera et doit rester flexible: j'imagine que la XSF, qui décide de ce que contiennent les XEP, inclut des organisations dont la sécurité n'est pas l'objectif premier… Il faut donc forcément faire des compromis.

J’ai cru comprendre en lisant une conversation de Bortzmeyer que les équipes du FOSDEM avaient patché Matrix/Element pour leur besoin et que ça cassait en partie la fédération.

Avec LaTeX ça aurait été plus facile et plus intuitif :D

Mais je dois quand même le livrer à l'acheteur, dans les délais normaux (J+2 sur la plupart des marchés).

C’est pas ce que j’ai pu lire, par exemple dans cet article, Short Selling: How Long Does a Short Seller Have Before Covering?, il disent :

There are no standardized regulation relating to just how long a short sale can last before being closed out.

Et :

The lender of the shorted shares can request that the shares be returned by the investor at any time, with minimal notice, but this rarely happens in practice so long as the short seller keeps paying its margin interest.

Et franchement, vu que le short selling est réservé à ceux qui ont de la thune, ça m’étonnerait vraiment pas que tant qu’ils peuvent s’en mettre dans la poche ils le font.

Ceux qui ont acheté par suivisme, au prix fort, vont perdre beaucoup d'argent.

Au pire, 100% de leur mise initiale.

Par contre, les short sellers eux ils flippent, parce que pour eux il n’y a pas de maximum dans la perte (et c’est pour ça qu’ils font tous les plateaux de TV pour parler de manipulation en ce moment).

Je vais finir par coder un bot… https://xkcd.com/1357/

extrait du README sur github :

A demo showing anonymous login is available at https://conversejs.org/demo/anonymous.html and a demo which shows how you can embed a single chat room into a page is avialable at https://conversejs.org/demo/embedded.html.

Bah le principe c’est de vendre quelque chose que tu n’as pas au prix x et de l’acheter en temps voulu au prix y (en faisant tout pour que y soit inférieur à x).

En tout cas c’est ce qu’on prétend que c’est : la bourse c’est simplement acheter du blé et le revendre plus cher, hein ?!

Non, en vrai tout ça c’est virtuel, on achète et on vend du vent et ça ne marche que tant que tout le monde joue le jeu.

Dans le monde réel, si t’essaye de vendre plus de blé qu’il n’en existe sur terre, ça va probablement pas bien se passer.

Je parlais surtout de la dépendance aux services Google et de leur refus de collaborer avec F-Droid.

Pour ma part, je trouve vraiment paradoxal de mettre en avant la sécurité et la vie privée, tout en recommandant d'avoir les services Google Play sur son téléphone.

Pour F-Droid, Moxie considère que les mises à jour automatiques en arrière plan sont une bonne chose et qu’elles rendent l’écosystème plus sûre. Il considère même que l’écosystème des OS de smartphones est plus sûr que celui des OS desktop.

Je pense qu’il a tort et qu’il est borné, mais à la limite c’est son choix.

Tu peux toujours télécharger l’APK via leur site web et si tu veux Signal via F-Droid, il y a des dépôts alternatifs qui servent l’APK officiel sans modification.

Pour GCM, tu inverses complètement : la majorité des utilisateurs ont les GApps installées, ça ne demande absolument aucune configuration (pas d’optimisation de la batterie, de permissions en plus ou quoi que ce soit) et ça juste marche (et au passage, ça n’a aucun impact sur ta vie privée dans Signal).

Tu peux utiliser Signal sans GCM (je le fais), il va ouvrir une websocket avec leurs serveurs (donc consommer plus de batterie), afficher une notification permanente, te demander de désactiver manuellement l’optimisation de la batterie pour Signal (sinon ça marche pas), etc.

Mets toi à leur place, c’est quoi le mieux si tu veux que ton applications soit adopté par le plus de personnes possible (ça veut dire même ton grand-père de 80 ans) ?

Pour signald, je pense qu'ils écrivent principalement ça pour se protéger légalement, non ?

Bah non, regarde, on t’a fait les mêmes remarques sur HN : y a plus de E2EE avec ta passerelle, ça la rend moins sûr que d’utiliser l’application sur Android (même avec GCM :D).

Au passage, l’auteur explique pourquoi il dit ça : signald/signald#101

On peut même imaginer que si signal n'était pas si réticent à l'idée de clients alternatifs, ils pourraient faciliter les implémentations aussi sûres que les siennes ?

Imaginer on peut toujours.

Louis Rossmann a publié une vidéo « coup de gueule » sur la manière dont toute cette histoire est présentée et traitée par les médias et j’aime bien son argument : la manipulation elle a eu lien avant, quand le cours descendait et que certain ont shorté plus de part qu’il n’en existe réellement.

Sans déconner, y a juste à aller sur le dépôt de signald pour comprendre pourquoi :

signald is a daemon that facilitates communication over Signal. Unofficial, unapproved, and not nearly as secure as the real Signal clients.

tu fais même une apparition sur HackerNews :) !

Et pour en faire rager quelques uns ici : à quand une ré-écriture en Rust ?

Excuse moi, j’étais pas assez clair, j’aurai du prendre un exemple avec un nombre d’utilisateurs dans le même ordre de grandeur : tu remarqueras que personne n’analyse le chiffrement des commentaires sur Reddit non plus.

Je ne vois pas Telegram dans la liste, décidement. :)

Tu remarqueras que personne n’analyse le chiffrement des commentaires sur DLFP, non plus.

Une raison à cela ?

Notamment parce qu’une fibre peut faire passer plusieurs longueur d’onde.

Un Té en fibre optique est un élément actif. C'est un élément qui consomme, s'entretient, tombe en panne, donc autant de déplacement de techniciens.

C’est quoi ce que tu appelles un Té ?

Donc on remet en cause tout ce qu'a apporté le logiciel libre parce qu'UN acteur (fut-il gros) ne joue pas le jeu ?

Non, on remet en cause notre modèle économique et social.

Finalement, ça amène à la question : vous qui vous dites libristes, êtes vous prêt à accepter ce que ce qu'implique "pour tous les usages" ou est-ce juste de l'affichage?

Tu sais, on peut accepter « pour tous les usages » et quand même ne pas apprécier que les pires rapaces existent seulement parce que cette règle existe.

travaux pharaoniques pour la pose

Si les municipalités respectaient la loi, on aurait déjà des fourreaux pour passer de la fibre partout dans nos villages.

Quand t’as les fourreaux déjà en place, y a pas de travaux pharaonique à faire.

elements actifs a chaque interconnection qui consomment h24 et qui necessite du deplacement de personnel pour l'entretenir.

Je sais pas de quoi tu parles, mais y a probablement pas plus d’élément actif en FO qu’en cuivre (j’aurai même tendance à dire qu’il y en a moins).

Désolé, je t’ai moinssé par erreur.

La vraie question (parce qu’on va quand même pas défendre une entreprise comme Elastic) c’est qu’est-ce que la SSPL apporte de plus que l’AGPL ?

Ça vaut pour Mongo aussi, pourquoi avoir choisi de « re-licencier » sous une licence qui n’a aucun historique juridique, qui est mal écrite, et qui n’est (selon les définitions admises actuellement) n’est pas FLOSS ?

Franchement on s’en bat la raie que ça soit Brassens, c’est juste que ça n’a strictement aucun rapport avec la discussion.

La question qui doit être répondue est la suivante: Le programme X veut accéder aux ressources Y de l'utilisateur Z.

Ça c’est ce que resolvent OAuth2 et OIDC.

Mais de ce que je comprends de leur philosophie, c’est qu’il ne gère pas les droits d’accès. Ça c’est délégué à l’application.

Mais il se peut que Z n'ait pas le droit d'accéder à Y tout court, genre l'utilisateur lambda n'a pas le droit d'accéder à la console d'administration, seulement à ses mails et nextcloud. Donc pour permettre ces niveaux d'accès, j'utilise les scopes.

Ça c’est encore autre chose, et c’est souvent géré en envoyant une claim roles avec la liste des droits que l’utilisateur a dans l’application.

---

Je dis pas que j’ai raison et je pense qu’OIDC est trop peu standardisé pour qu’on tombe d’accord, mais personnellement je fais comme suit et je pense que c’est plus proche de la philosophie de base :

• Des scopes et claims classiques pour transmettre les information de l’utilisateur (avec son consentement, comme c’est prévu dans OIDC).
• Une claim groupes pour limiter quel utilisateur a le droit d’accéder ou non à l’application (par exemple, avec --allowed-groups=monitoring dans oauth2-proxy, j’autorise seulement les membres du groupe monitoring à accéder à l’interface de Prometheus).
• Pour les applications qui le gère, une claim roles pour donner des droits particuliers à un utilisateur dans l’application (le lien entre les roles OIDC et les droits dans l’application est géré dans la dite application).

Sur Reddit il y a des développeurs qui ont fait du « teasing » au moment de l’annonce de l’abandon de CentOS (en disant que d’autres annonces allaient arriver).

Je pense que c’était prévu de longue date (même si, je te l’accorde, la comm est pas ouf).

La bonne nouvelle, c’est que si vous vous éloignez un instant de l’écran, que vous allez jusqu’à la bibliothèque municipale […], vous trouverez des tas de choses à lire qui représente généralement le meilleur de l’humanité […].

Oui, comme par exemple, les derniers livres de Zemmour ou Houellebecq, ou aussi Mein Kampf. Le meilleur de l’humanité.