arnaudus a écrit 5237 commentaires

C'est exactement ce que je demande à un mot de passe. Si le l'ai perdu, c'est tant pis.

J'ai l'impression qu'on est un peu décalés. C'est ce que tu demandes à un mot de passe si tu veux, mais justement, j'essaye d'argumenter que les mdp sont une mauvaise méthode d'authentification à cause de plusieurs facteurs, dont celui de la perte.

Quand tu mets un mot de passe, tu ne le fais pas pour le plaisir de mettre un mot de passe. Ce que tu veux, c'est mettre en place un système d'authentification afin de t'assurer que toi et toi seul puisse dans le futur accéder à un service. Tu t'en fous que la méthode passe par un mdp ou par une autre technologie, ou alors, tu es un fétichiste du mot de passe ou un truc comme ça. Bref, quand tu viens 10 ans après, que tu essayes d'accéder à un service où un tel accès est légitime (par exemple un PC qui t'appartient), et que tu ne peux plus y accéder (parce que tu as perdu ton mdp par exemple), alors le problème vient de la méthode d'authentification, qui est faillible, et pas de toi!

Imagine que tu te pointes à la banque pour récupérer tes sous, qu'on te demande ton code de carte, et que tu l'aies oublié. Tu serais content si on te disait "ah bah mon brave, vos sous sont perdus"? Non, tu dirais que tes sous sont à toi, et que leur méthode d'authentification/identification est merdique. C'est exatcement la même chose pour un mot de passe. Le fait que la méthode ait de gros inconvénients prouve que ça n'est pas un bon moyen d'authentification ou d'identification.

gestionnaire de mots de passe.

C'est mettre un coffre fort dans un coffre fort. Ça n'est pas du tout une solution réelle pour régler le problème. Pour plein de raisons ; si tu ne veux pas perdre ta base de données, il faut la mettre à l'abri, la mettre sur le cloud ou sur des supports physique, ce qui multiplie le risque qu'un tiers y accède… et craque ton mdp maitre. Le reste des problèmes est exactement identique à l'identification par mdp : possibilité de craquer le mdp (et donc d'accéder illégitimement aux services), possibilité de perdre le mdp (et donc de ne plus pouvoir accéder à des services auquel on aurait le droit d'accéder), logistique du stockage, de la sauvegarde, etc. du gestionnaire de mdp ; problème quand on a plusieurs appareils à connecter… Bref, ça n'est pas une solution du tout, c'est plutôt une rustine sur une jambe de bois.

Il y a un autre problème que je n'ai pas mentionné également, le fait qu'un mdp sur un système sécurisé n'autorise pas un accès légitime par un tiers (décès, absence imprévue, licenciement, enquête de justice…). Toute la difficulté est de définir ce qu'est un accès légitime, mais le chiffrage par mot de passe de fait aucune subtilité et s'il est bien fait bloque tout accès, qu'il soit légitime ou non. Encore une fois, heureusement que dans la vraie vie, les situations peuvent se débloquer parce qu'il existe des moyens de le faire.

Je pense que ça vient plutôt des méthodes de chiffrage utilisées par les militaires depuis longtemps. Le cadenas à code, c'est un procédé mécanique qui ressemble plus à une serrure qu'à du chiffrage, et il faut être présent physiquement pour ouvrir un cadenas à code (l'équivalent moderne serait les lecteurs biométriques qui servent de serrure. Est-ce que tu as jamais eu à taper un mot de passe pour rentrer dans un bâtiment sécurisé? Les mdp ne sont en général pas utilisés pour le contrôle d'accès à des lieux physiques).

puisqu'il n'y a rien de secret.

Je pense que personne n'a jamais demandé qu'il y ait quoi que ce soit de secret. Ce qu'on veut, c'est être sûr que la personne qui accède au service soit la même que celle qui a créé le compte.

Autant ne plus mettre de mot de passe.

Bah c'est ce que j'ai l'impression de dire depuis le début, non? L'objectif est de ne plus mettre de mot de passe.

Il y a plein de domaines où l'authentification et l'identification reviennent au même, voire pire, qu'on utilise l'authentification à la place de l'identification. Typiquement, pour avoir accès à ton compte en banque ou au site des impôts, c'est bien une identification qu'il faut. Passer par un processus d'authentification, avec quelque part une sorte de procédure pour mimer l'identification (envoi du login par voie postale…), c'est absurde.

Ensuite, on peut très bien authentifier par la biométrie sans identifier. Par exemple, un lecteur d'empreintes digitales peut très bien t'authentifier, et ne peut t'identifier que s'il a accès à une base de données de noms. Tu pourrais même imaginer tout un tas de systèmes de hash d'une empreinte pour être certain qu'on ne puisse pas croiser les infos entre les sites.

Bref, oui, je suis d'accord : autant ne plus mettre de mot de passe.

Non, parce que c'est rigolo de taper sur Microsoft, et c'est évident que Microsoft ne communique que pour vendre ses solutions, légitimes ou non.

Mais sur le fond, je ne vois pas le problème avec l'argument. L'identification par mot de passe est une solution inventée par les informaticiens, c'est une solution à un problème complexe, et elle n'y répond que (très) partiellement. Parmi les problèmes majeurs:

• Ergonomie : on impose à l'utilisateur une démarche d'identification qui prend un certain temps et qui occuppe son cerveau pendant de précieuses secondes. La démarche n'a rien de naturel, elle demande d'inventer et de mémoriser des mots de passes, éventuellement complexes, de les changer régulièrement, etc.
• Coût : Pour une entreprise, quel est le coût de l'identification par mot de passe (éventuellement, récupération des mdp perdus, stockage au coffre fort, temps perdu par tout ça, etc).
• Fiabilité : qui n'a pas perdu un vieux mdp pour accéder à une archive ou à un ordinateur? (ex: mot de passe du BIOS), avec à la clé des pertes de données ou d'argent? (mdp d'un portefeuille BitCoin?).
• Sécurité : utiliser un mdp faible ou un protocole trouvé met en danger les données qu'on manipule. Utiliser un mdp fort et un protocole non-trouvé met en danger la confidentialité future des données, puisqu'il est probable que dans un avenir plus ou moins proche, la puissance de calcul ou des failles découvertes permettront d'accéder au contenu.

Bref, les mdp, c'est un peu pourri. C'est un outil technique, compliqué à utiliser, qui demande à l'utilisateur un investissement totalement inutile, et qui donne surtout l'apparence de la sécurité. On peut toujours prétendre que c'est une solution «faute de mieux», mais en réalité, c'est une solution qui n'est fiable que dans les powerpoints théoriques où on parle d'Alice et Bob. En réalité, pour la plupart des gens, c'est une galère, et il y a tellement de manières de mal les utiliser qu'au final, leur sécurité est bien plus douteuse que ce qu'il pourrait paraitre.

En gros, l'idée de chercher des systèmes d'authentification plus fiables que le mdp ne semble pas du tout débile. Après, comment le faire est un autre problème (j'ai toujours pensé que l'utilisation d'un gadget, du type des clés qui ouvrent les voitures à distance, semble beaucoup plus simple et fiable que la biométrie, mais la sécurité reste loin d'être parfaite).

rien ne prouve pour l'instant que le vice était connu

Non non, ça n'a rien à voir. Dans une vente entre un professionnel et un particulier (ou une entreprise qui n'a pas le même secteur d'activité), la garantie contre les vices cachés est une garantie légale en France. "Caché", c'est dans le sens qu'il n'était pas détectable par l'acheteur au moment de la vente, que le vendeur soit au courant ou non. Cette garantie n'a pas de limite dans la durée, même 10 ans après l'achat, on peut la faire jouer. Là où on peut ergoter, c'est que le problème doit être majeur, rendre l'objet inutilisable, ou au moins influencer la décision d'achat (on ne l'aurait pas acheté, ou pas au même prix, si on avait été au courant). C'est pas complètement évident pour les puces Intel, si on parle de 5% de perfs, c'est pas clair, mais si c'est 10 ou 20%, ça peut faire une différence. Je pense que l'argument 5% de perfs en moins -> 5% de ristourne pourrait fonctionner.

Dans le cas d'une transactions entre particuliers, il est possible pour le vendeur de ne pas se soumettre à cette garantie, mais ça doit être écrit et accepté par l'acheteur. Et ça n'est valable que si le vendeur n'était pas de mauvaise foi (s'il était au courant du vice caché, il devra remplacer ou rembourser). C'est peut-être à cette situation là que tu faisais référence, mais ça n'est pas applicable à Intel.

Les exemples que tu donnes, je n'en ai jamais entendu parler

J'ai donné des exemples de rumeurs qui circulaient avant les réseaux sociaux. Tu es peut-être trop jeune :-) Il y a aussi le four à micro-ondes, qui était censé te griller le cerveau si tu restais à côté.

Les exemples modernes, c'est les vaccins, le wifi, les antennes-relai, le gluten, et je ne sais pas quoi parce que je ne m'en préoccuppe pas plus que ça non plus.

Et non, ça ne concerne pas que ceux que ça préoccuppe. Ou plus exactement, ça préoccuppe nos politiciens quand ça commence à représenter un pourcentage non-négligeable des électeurs, et du coup, ça oriente les politiques de santé publique, les réglementations, et les politiques de recherche. Donc ça a un impact.

C'est exactement ce que je dénonçais. Il n'y a aucune donnée scientifique qui pourrait suggérer un lien quelconque entre les adjuvants des vaccins et une quelconque maladie. Cette question n'intéresse pas la communauté scientifique, parce qu'il n'y a pas le moindre début de quoi que ce soit qui pourrait suggérer qu'il existe un effet. (*)

La justice, les associations, des médecins peuvent raconter ce qu'ils veulent, la question n'existe pas, scientifiquement. C'est exactement comme si on prétendait qu'aucune étude n'ait jamais montré que la Terre n'était pas pyramidale. En effet, aucune étude n'a jamais montré que la Terre n'était pas pyramidale. Cette constatation n'amène aucun argument envers l'hypothèse qu'elle puisse l'être.

il me semble maintenant très difficile d'affirmer qu'il est absolument sans danger.

Comme il est épistémologiquement impossible de prouver l'absence d'un danger, cette question n'a pas de sens. La seule chose qu'on peut affirmer, c'est qu'aucune étude jusqu'ici n'a pu mettre en évidence un danger éventuel, ni par des approches épidémiologiques, ni par des approches biologiques ou médicales. Tous les particuliers ou les associations qui prétendent le contraire se basent sur des cas particuliers, ce qui n'a pas de valeur scientifique.

Entre nous, je trouve assez inquiétant d'ailleurs que la justice se permette de se substituer aux institutions scientifiques, puisque les raisonnements sous-jacents sont simplement fallacieux (confusion entre coorélation et causation, qui plus est sur un échantillon de taille 1 fortement biaisé!). Mais la justice pourra condamner l'État autant de fois qu'elle le veut, pour les montants qu'elle souhaite, ça n'établira jamais un résultat scientifique.

(*) Il faut toujours garder en tête que l'état des connaissances scientifiques est partiel et qu'un fait scientifique établi peut toujours s'avérer faux. Mais ça ne donne pas le droit de prétendre avoir raison contre les faits (c'est du charlatanisme, ça, c'est pas de la science).

Du coup j'ai laissé tomber.

Même expérience, même résultat. Il faut vraiment que le contenu du fichier ait de la valeur, et même dans ce cas, je pense qu'il faut louer une ferme de calcul, parce que ça prend vraiment trop de temps.

Mouais, les particules fines sont imposées, et pourtant, il y a peu de gens qui vont cramer la bagnole diesel de leur voisin… Le contexte est aussi très différent. Les antennes relai, c'est un service collectif ; les vaccins, c'est une politique de santé publique, les compteurs électriques, c'est un investissement mené par une entreprise. Je ne pense pas non plus qu'on puisse spécialement blâmer le fait que des entreprises soient derrière ces technologies, parce que c'est aussi vrai pour le tabac, par exemple.

La diffusion radio/TV est un exemple de "technologie imposée", qui, pourtant, pose beaucoup moins de problème que les émetteurs GSM (est-ce simplement parce que l'émetteur n'est pas visible?).

Je ne pense pas que ça concerne la science.

Disons que, dans une certaine mesure, ça concerne beaucoup les sciences sociales. Mais ça concerne aussi les sciences dures, désolé. Quand quelqu'un dit "je ne veux pas faire vacciner mon gamin parce que les sels d'aluminium sont toxiques", c'est une assertion qui est du ressort de la science, et qui est vraisemblablement fausse. L'argument est donc faux, et on peut l'écarter—c'est comme ça qu'avance la connaissance scientifique. Si certaines personnes refusent l'argumentation scientifique, c'est leur droit, mais ils ne peuvent pas user de ce droit pour contourner les politiques de santé publique ou empêcher leur voisin de mettre en place une borne Wifi.

À un certain point, ça peut aussi concerner la médecine psychiatrique, puisque certaines peurs peuvent engendrer des douleurs physiques ou psychiques que la médecine peut soigner (ou au moins prendre en charge). Je ne suis pas sûr que les gens qui vivent dans des campings cars en montagne en sans se séparer de leur détecteur d'onde électromagnétique soient particulièrement heureux de leur situation.

quatre « symboles » provenant d’une plage restreinte d’Unicode

Tu peux pousser le raisonnement aussi loin que tu veux, ça ne peut pas marcher à l'infini. Par exemple, dans "agFtdP", quel est la plage raisonnable? 6 caractères minuscules ou majuscules? 4 minuscules et 2 majuscules? Deux majuscules en position 3 et 6? 6 lettres entre A et T? 6 lettres à choisir dans l'ensemble {adFgPt}? Évidemment, c'est plus dur d'estimer le caractère de "surprise" d'un mot de pase inhabituel (est-ce que les attaques par dictionnaire essayent des trucs comme XxXxXx?)

Là où il va y avoir un réel problème, c'est pour les fake news pseudo-scientifiques, parce qu'elles font un carnage, à la fois dans l'opinion publique, mais aussi dans la communauté scientifique, en distrayant les scientifiques des vraies questions. Quand on fait la liste, ça commence quand même à être lourd. Celles qui fonctionnent le mieux, c'est celles qui supposent un danger potentiel d'un truc qui existe et qui est déja commercialisé, ça plait beaucoup aux réseaux sociaux, et il y a un espace gigantesque pour ces kane news, parce que par définition, il n'existe aucune donnée scientifique qui prouve le contraire. Ça peut marcher avec n'importe quoi : les tubes néons nuisent à la vision (la preuve, regardez le nombre de gens qui portent des lunettes), l'encre des imprimantes est cancérigène, avaler des chewing-gums provoque des occlusions intestinales… Des trucs qu'on entend, qu'on a toujours entendu, qui tournent comme ça. Ça a toujours existé, mais dans l'ère pré-réseaux sociaux, ça n'avait pas de conséquences, et ça s'éteint tout seul après quelques dizaines d'années (qui a peur des fours à micro-ondes de nos jours?). Ce qui est fâcheux, c'est l'épidémie actuelle ; entre le wifi, les GSM, les sels d'aluminium dans les vaccins, les parabènes, on a une flambée de trucs dont les gens ont peur mais pour lesquels aucune donnée inquiétante n'existe. Paradoxalement, on sait très bien que la viande, l'alcool, etc. sont beaucoup, beaucoup plus dangereux, mais non, les gens font un scandale parce qu'ils sont obligés de faire leur pause clope à côté d'une antenne GSM.

A être critique vis à vis de l'information

Il y a des limites. Comment se faire une opinion fiable sur la dangerosité du glyphosate, par exemple? Les études scienfitiques et épidémiologiques ne sont franchement pas inquiétantes. Dans 20 ans, après des dizaines de millions d'euros dépensés, on saura certainement quantifier le risque, mais combien de nouveaux trucs dangereux vont sortir de Facebook entre temps?

Je ne suis pas sûr que beaucoup d'industries remplacent le matériel pour 5% de diminution de perf

C'est clair que ça dépend de l'industrie. Sur un panneau photovoltaïque, 5% de perfs, ça peut être assez sensible. Pour une bagnole, 5% de consommatipn en plus, ça se chiffre en milliers d'euros sur la vie du produit. Sur un avion, 5% de perfs sur un moteur, ça repart à l'usine.

Sur un parc de serveurs, 5% de CPU en plus ou en moins, c'est pas rien. Il faut racheter du matériel pour compenser, ça a un coût réel.

Mais sur le fond, je pense que le problème n'est pas la question des perfs, de toutes manières, c'est la question de la faille de sécurité. C'est aussi de la chance qu'elle puisse être bouchée par le kernel pour un côut raisonnable en termes de performances.

Cependant, combien de temps les failles de sécurité devraient-elles être corrigées ?

C'est peut-être quelque chose à régler dans le contrat de licence. Je ne sais pas comment font les constructeurs automobiles, par exemple. Après 10 ans, est-ce qu'ils acceptent encore de réaliser les opérations visant à corriger les problèmes de sécurité? Je pense que oui, mais je ne sais pas s'il y a beaucoup de cas (en même temps, c'est compliqué, parce qu'une voiture, ça s'entretient, il y a des pièces d'usure, etc, donc celles-là ne sont pas couvertes par le constructeur).

En fait, je ne sais pas s'il existe une autre industrie qui se permet de commercialiser des produits aussi mal testés et mal finis que l'industrie du logiciel. Évidemment, le problème de base, c'est la complexité des systèmes informatiques, mais cette complexité, elle est beaucoup liée à des décisions techniques et industrielles, voire commerciales (et même politiques) ; il y a peu de problèmes réellement intrinsèques au principe de commercialiser un logiciel.

Cependant, les contrats de prestations comprennent tous des éléments liés aux dommages directs

Attends, tu es en train de me dire que les contrats de maintenance d'un parc de serveurs inclut le remplacement des procs Intels par des processeurs équivalents sans le bug hardware dont on parle ici? :-) À mon avis, non. Ton contrat couvre les pannes mécaniques, pas les défauts de conception. On peut aussi citer les BIOS/UEFI daubés, le hardware qui n'implémente pas correctement les normes, etc. Dans un journal précédent, quelqu'un parlait par exemple d'une imprimante certifiée Linux par son constructeur. Au final, il fallait hacker un truc avec le driver windows, et l'imprimante fonctionnait mal quand même. Résultat? Dans le fion. La seule chose que le constructeur admet, c'est que le matos doit sortir de l'usine tel qu'il était conçu. S'il est tellement mal foutu qu'il est inutilisable pour toi, tu dois attendre un éventuel geste commercial du vendeur (reprise et échange, par exemple). L'impunité est quasi-totale, y compris vis-à-vis de pubs totalement mensongères ou trompeuses (sur les capacités des supports de mémoire, sur la mémoire vive, sur la fréquence des processeurs…). C'est vraiment la jungle, c'est juste le marché qui s'est établi comme ça.

Quand je vois ce genre d'infos, je me dis que le monde de l'informatique (à la fois du software et du hardware) est drôlement bien protégé par la loi, la jurisprudence, et/ou des armées d'avocats. Dans beaucoup de domaines, le constructeur serait obligé (légalement ou pour des raisons commerciales) d'échanger gracieusement le matériel défectueux, puisqu'il s'agit ici assez clairement d'un vice caché.

Bien sûr, techniquement, ça serait très compliqué ; il faudrait déja déterminer qui et comment on démonte les machines, comment on gère la multiplicité de responsables dans la chaine (vendeur, assembleur, etc). Du coup, au final, bah c'est magique : tu as acheté du matériel défectueux, et c'est pour ta pomme, même si ça fait 2 mois que tu l'as, même s'il s'avère que tu es victime d'une attaque qui exploite la faille… C'est pour toi.

C'est la même chose d'ailleurs pour les bugs logiciels. Certaines licences te proposent une mise à jour/correction de bugs et de failles pour un an, et puis il faut payer pour continuer. Comme si les bugs et les failles n'étaient pas des vices dans un produit que tu as acheté, et que le vendeur était tenu de corriger. L'informatique a juste redéfini le code de la consommation sur la base d'arguments techniques : 1) les vices cachés et les défauts de fonctionnement sont «normaux» dans des produits d'une telle complexité, 2) personne n'est responsable pour les dommages directs et indirects liés à ces vices, 3) il est tolérable de demander au client de facturer la correction de ces erreurs.

Ça n'est pas une solution très élégante. Si tu fais 1e-17 + 1e-17 et qu'on te renvoie 0, c'est quand même étrange, non?

Non, je ne pense pas. C'est très clairement dit : "fournis par des destinataires de ces services". C'est très clairement à destination des hébergeurs ; un hébergeur est un serveur de stockage de données fournies par les destinataires de ses service, ça n'est pas le cas d'un moteur de recherche. Si le législateur avait voulu dire "n'importe quel serveur", il suffisait de ne pas ajouter ce petit bout de phrase.

Que la boîte noire soit chez l'hébergeur ou chez le moteur de recherche est complètement différent. Déja, un moteur de recherche te donne tout un tas d'URL que tu ne vas jamais visiter ; taper une requête dans un moteur ne veut pas dire que tu souhaites consulter un site. Ensuite, c'est beaucoup plus dur de mettre une boite noire chez tous les hébergeurs (et beaucoup plus ciblé), en particulier parce que tu as encore le droit de t'auto-héberger (alors que d'avoir ton propre moteur de recherche, bon courage). Bref, pour plein de raisons, je pense que les moteurs de recherche sont à l'abri des boites noires (et c'est logique : c'est la consultation de sites "illégaux" qui est visée par la loi, une requête dans un moteur ne peut pas être illégale en tant que telle).

Il y a le rasoir d'Hanlon: "ne jamais attribuer à la malveillance ce que la bêtise suffit à expliquer". Et il y a le rasoir "la banque Postale" : "ne jamais attribuer à la malveillance". La Banque Postale n'est JAMAIS malveillante. Jamais. Elle a développé une structure et un réseau de conseillers tellement incompétents qu'il leur est strictement impossible d'échafauder des plans machiavéliques et de les appliquer.

Ce n'est pas compliqué de changer de banque, hein. La BP n'est pas une vraie banque, tout se passe bien quand tu es étudiant et que tu n'as besoin que d'un compte courant, mais dès que ça se complique un peu (crédit, épargne…), c'est n'importe quoi. Les conseillers essayent de te refiler des assurances pour petits vieux, tu n'as jamais personne au bout du fil… Du coup, tu changes de banque, et c'est d'ailleurs peut-être leur modèle économique (ils veulent gérer des comptes chèque et des livrets A, ils n'ont peut-être pas l'infrastructure et les compétences pour les dossiers complexes).

si il s'est authentifié correctement, c'est OK; si je me suis fait pirater mon compte, c'est mon problème.

D'une, c'est ton point de vue et pas celui de Google, et de deux, c'est un point de vue assez faible, vu que non, Google est responsable de la confidentialité des données que tu as laissé chez eux. Surtout que le piratage de compte peut suivre des voies très détournées, et que ça n'est pas forcément dû à un manque de vigilance de ta part.

Tu ne serais pas le genre de personne qui irait leur gueuler dessus pour reprendre le contrôle de ton compte après un piratage?

Par ailleurs, en ce qui concerne les transactions par des cartes de paiement, ça n'est pas ton problème, vu que la banque couvre les transactions frauduleuses. Du coup, c'est leur pognon qu'ils protègent, pas le tien. Ils peuvent mettre en place les sécurités qu'ils souhaitent, c'est leur droit.

Bon, en plus, dans l'exemple présent, il n'y a pas le moindre embryon de début de preuve qu'il s'agisse d'une volonté délibérée. J'imagine bien un système automatique qui bloque le paiement vers des tiers qui ont déja été impliqués dans des transactions frauduleuses (une blacklist), avec une intervention humaine pour "re-whitelister" quand les clients se plaignent.

L'incompétence des conseillers de la BP est notoire, donc rien de nouveau (on peut même rester au sens étymologique "d'incompétence" : ils gèrent le contact avec les clients, mais n'ont quasiment aucune prérogative, ils ne décident de rien, ne peuvent pas faire avancer les dossiers, et n'ont même pas de ligne directe vers les gens qui décident vraiment, je les ai déja vu devant moi appeler le 36 machin, comme tout le monde, et taper 1, 3, 2, 4, dire "service client" au robot du centre d'appel, puis la petite musique d'attente). Comment être surpris? On ne s'improvise pas "banque" comme ça.

Pour rebondir là-dessus, si tu veux faire une référence culturelle amusante, je pense qu'une sortie comme "kamoulox!" aurait été bien plus drôle que "FOUTAISE".

La première raison, c'est que quand on fait une référence, il y a toujours une probabilité non-nulle pour que l'autre passe à côté. Ça peut être une question de culture, de génération, d'origine géographique. Or, "FOUTAISE", c'est un mot qui est très agressif, c'est proche de l'insulte. Pour ton plaisir à faire un bon mot, tu prends le risque d'offenser quelqu'un d'autre ; c'est un comportement courant, mais je pense qu'il est à l'origine de la très mauvaise ambiance qui règle "sur les internets", où l'insulte, l'invective et la moquerie sont systématiques.

L'autre raison, c'est que je pense que tu utilises mal la référence. Le principe du business loto, c'est de se moquer de la novlangue pseudoscientifique et pédante qui a la cote dans certains milieux. Quand tu cries "Foutaise!", tu impliques que ton interlocuteur manie des concepts creux qui ne veulent rien dire, tu te moques de lui.

Là, en fait, tu voulais simplement dire que la phrase était trop technique et que tu n'avais rien compris. J'imagine que tu ne voulais pas impliquer que tes interlocuteurs était des marketteux qui cachaient du vide derrière des mots complexes. Ton "Foutaise" est donc beaucoup plus insultant que tu le voulais, parce que je pense que tu maitrises mal ta référence culturelle. Donc voila, il faut faire un peu attention.

PS: je ne pense pas être une grosse quiche en stats, mais j'avoue que la phrase m'avait fait sourire parce que je n'ai aucune idée de ce qu'elle voulait dire.

les meilleurs joueurs ont pris l'habitude de mémoriser des ouvertures de plusieurs dizaines de coups,

Après, ça dépend de la subtilité de la définition, mais si tu as complètement résolu mathématiquement un jeu, tu es censé pouvoir donner la solution la plus courte… Regarde pour un problème d'échecs (ce qui est exactement la même chose que de résoudre le jeu, sauf qu'on commence avec une position très avancée), la solution est généralement unique, et c'est celle qui présente le moins de coups possible. Si tu captures une pièce majeure au lieu de faire mat, tu arriveras sans aucun doute à gagner la partie après 30 autres coups, mais tu n'as pas résolu le problème posé.

Du coup, pour moi, "résoudre les échecs", c'est comme résoudre un problème d'échecs à partir de la position initiale : les blancs jouent et font mat. Implicitement, forcément, ça sous-entend "avec le moins de coups possibles".

Empiriquement, une IA qui a résolu le jeu pour les noirs et pour les blancs devrait toujours terminer avec le même résultat avec le même nombre de coups (il peut toujours y avoir plusieurs variantes, ça n'est pas forcément la même partie qui est toujours jouée, mais elle se termine toujours pareil). Bien sûr, cette IA contre un algorithme moins fort pourra terminer en moins de coups, mais contre elle-même, elle devrait toujours terminer dans le nombre minimum de coups (pour le gagnant) et le nombre maximum de coups (pour le perdant).

À noter que si le meilleur résultat possible pour les blancs est une partie nulle, alors la stratégie "résolue" est de demander la nulle avant le premier coup, ce que les noirs vont accepter (vu que la nulle est aussi le meilleur résultat pour eux).

Ceci dit, ce critère n'est pas non plus passionnant. Une IA qui a résolu le jeu jouera toujours des parties avec le même résultat dans le même nombre de coups contre elle-même. Mais jouer toujours la même partie ne prouve absolument pas qu'on ait résolu le jeu, on peut utiliser ce critère pour montrer que l'IA n'a pas encore résolu le jeu, mais pas qu'elle l'a fait.

Je pense qu'il faut distinguer plusieurs phases dans la partie ; dans les fins de partie, on compare avec un certain nombre de "patrons" généraux (du style "si le pion est là et le roi est là alors c'est gagnable pour les blancs), et on calcule forcément (si je vais là il va là alors je vais là, etc). Dans les débuts de partie, c'est plus de la mémoire ; il faut connaitre ses ouverture et les suites de coups. Pour les milieux de partie, c'est trop complexe pour être calculé, les coups sont plutôt basés sur des considérations tactiques (contrôle des cases du centre, etc). Le plus gros "travail" pour un humain, ce n'est pas de calculer, c'est plutôt d'estimer (telle position a l'air mieux que telle autre).

les meilleurs joueurs ont pris l'habitude de mémoriser des ouvertures de plusieurs dizaines de coups,

C'est une chose d'apprendre les ouvertures (ça permet de retarder la perte face aux joueurs meilleurs que soi), mais ça ne sert pas à grand chose si on n'apprend pas non plus par cœur les réfutations pour les coups sous-optimaux de l'adversaire. De mon point de vue, ça n'est pas la partie la plus intéressante des échecs—certains GM s'en plaignent régulièrement, d'ailleurs. Ça fait partie du jeu, mais ça doit être pénible de systématiquement devoir remonter des positions pas terribles après un ouverture contre un joueur qui excelle au par cœur…

Ce résultat arrive au moment où les tournois de haut niveau comportent une écrasante majorité de parties nulles, certains disant (comme en 1920, en 1940, en 1980…) que de nombreux joueurs jouant parfaitement, la nulle est logique.

Mouais, est-ce que ça n'est pas plutôt lié au manque de prise de risque? Une défaite avec les blancs est quasiment irrattrappable, et il est très dur de gagner avec les noirs. Du coup, on ne prend jamais de risque.

Ce qui est frappant, c'est que des joueurs excellents arrivent quand même à gagner dans ces conditions. Comme quoi, c'est possible, mais il semble que l'ensemble de l'écosystème (le système de classement, etc) favorise trop les joueurs prudents.

Cela a déstabilisé son adversaire qui a ensuite perdu la partie.

C'est une stratégie courante pour les joueurs humains qui affrontent de très bons théoriciens. Il faut jouer un coup sous-optimal dès l'ouverture, qui fait rapidement sortir la partie de la théorie, afin de se retrouver à armes égales (on trouve plein d'exemples rigolos sur Youtube, même entre grands maîtres).

Stratégie totalement inefficace contre la plupart des ordinateurs… sauf peut-être AlphaZero, paradoxalement!

En fait, il faudrait savoir comment il joue contre lui-même. S'il a réellement résolu le jeu, il devrait jouer toutes les parties avec le même nombre de coups, et toutes les parties devraient se terminer par le même résultat. Au passage, comme il utlise plusieurs ouvertures distinctes, ça voudrait dire qu'il y a plusieurs manières de jouer la partie optimale. Mais bon, je doute que ça soit le cas (les auteurs l'auraient facilement remarqué), donc il n'a pas résolu le jeu ; il joue vachement bien, mais il joue parfois des coups qui ne permettent pas la victoire/la nulle en un nombre minimum/maximum de coups quand il joue les blancs/les noirs.