Joris Dedieu a écrit 1614 commentaires

>Sachant que ce n'est absolument pas le cas vu que la plupart des failles sont trouvees par fuzzing et pas par code review, certainement pas.

Ouai et le gars qui fait du fuzzing, il ne va pas regarder les sources, c'est bien connue. C'est soit l'un soit l'autre pas les deux.



>Mais bon, continuez a vous enfouir la tete dans le sable hein, chacun son truc.

Les faits sont là. Tous les jours, tous les admin sys ici présent peuvent en témoigner. La merde vient de machine Windows compromises dans son écrasante majorité et pourtant ce ne sont pas les tentatives qui manquent pour pirater d'autres OS.

Hormis quelques approximations et confusions, il résume pas mal la situation actuelle et nos combats.

Vous ne trouvez pas ?

.Net Framework 3.x, sorti en debut 2007 : http://secunia.com/advisories/product/14766/?task=advisories
2 advisories pour 4 vuln.

Java JDK 1.6 (dec 2006) : http://secunia.com/advisories/product/14273/?task=advisories
12 advisories pour 141 vuln.

Tu veux dire qu'on découvre et corrige plus de vulnérabilités quand le code source est disponible ?

>bon ben je vais noyer ma folie dan la faro du coup Oo
on dit le faro

Pour ton info la machine en question n'est plus dans senderbase depuis ce matin.
Je l'ai audité de long en large ainsi que plusieurs de mes collègues. Elle ne spammait pas.

Par ailleurs je pense que le ton de ton message est assez révélateur. La lutte contre le spam ce n'est pas l'affaire de chacun dans son petit réseau. C'est l'affaire de tous sur internet.

Je te rappelle que c'est grâce à ce genre de trucs proprios, absolument opaques que nous en sommes là aujourd'hui. La lutte contre le spam demande de la collaboration et de la transparence. Je ne saurais sans doute jamais pourquoi cette machine s'est retrouvé là.
Si ça se trouve, il y a bien eu un problème que nous n'avons pas su voir et que la possibilité de récupérer les entêtes d'un mail suspect m'aurais permis de localiser et de régler en 20 secondes.

Je te laisse à tes certitudes (moi ! du spam ! jamais) ...

>Il s'agit de la solution IronPort que Cisco a racheté.
Oui le truc avec l'os d'imprimante (à en croire xprobe2).

>Donc si tu es blacklisté chez eux, cela signifie qu'ils ont constaté du traffic de type spam sur Internet provenant de ton IP source.

Encore une fois je ne l'exclue pas. Je gueule contre le fait :
- de ne pas en avoir avertie
- de n'avoir aucune date de début ou de fin de l'action
- de ne pas avoir de justification technique à la décision
- de ne pas pouvoir demander le deblacklistage

>Cela n'a rien à voir avec les spamhaus & autres qui se basent sur des dénonciations...
Je t'invite à te renseigner sur le fonctionnement de spamhaus, il est un peu plus complexe que ça.

>si ça se trouve, tu envoies réellement du spam.
Quand je suis blacklisté chez spamhaus, chez spamcop ou chez sorbs ou chez free ou chez hotmail ou chez aol, j'ai la raison du blacklistage. Je peux donc agir (ou pas) puis demander mon déblacklistage.

Pour moi le fond du problème n'est pas d'avoir des machines blacklistées. De toute façon, je pourrais les renuméroter. J'ai suffisamment d'ip pour ça. C'est gruick, mais c'est la solution généralement adopté. Pourquoi crois-tu que certains hébergeurs filent plusieurs ip avec un serveur ?

Le problème c'est qu'une boite puisse décider de la réputation d'une ip sans justification aucune.

Pour info je bosse dans une boite qui fait de l'hébergement et donc j'envoie forcement du spam. Même si on y met des moyens humains et techniques importants, on ne peux pas contrôler tout ce que font nos clients et leurs pirates.

Ceci dit on est une boite avec une éthique forte sur ces points. On a une définition très large de ce qu'est le spam. Par exemple une newsletter sans lien de désabonnement simple et fonctionnel, une adresse collecté par "inviter vos amis" sont pour nous du spam et cela nous coute très cher en terme de chiffre d'affaire.

Pour certains, comme nous, le spam est une plaie. Pour d'autres c'est un fond de commerce. Qu'ils vendent de l'anti-spam, de l'ip failover, du temps de botnet, ou des listes d'adresses.

Non, ils ne bloquent rien. Ce sont les appliance antispam cisco qui bloquent. D'ailleurs tu peux bloquer toi aussi grâce à la fonction d'export http://www.senderbase.org/export


Ce que je réprouve avant tout c'est qu'il juge la réputation d'une ip sans éprouver le besoin de justifier leur notation et sans avertir en cas de note négative. Ce qui est bien là preuve qu'il n'en ont rien à foutre de supprimer les sources de spam.

Envoie moi ton numéro de carte par mp, je vais la créditer

Vu le nombre de virus qui piquent les mots de passe ftp sous windows et qui sont très à la mode en ce moment. Comme j'imagine que ton mot de passe ftp est également ton mot de passe ssh, ton hosteur a simplement la trouille qu'un de ces vilain bot ne se dise qu'il peut
mieux faire qu'insérer du javascript tout pourris dans les pages web des gogo.

En ftp au pire tu nique les données du client. En ssh tu rootkite la machine. Il pourrait faire des clé ssh mais l'histoire ne dit pas comment c'est foutu derrière.

Donc filtrer par adresse ip permet de faire face à l'urgence. Sans pour autant faire des changements structurels sur l'archi qui s'ils foirent peuvent faire déborder son support technique pendant les 12 prochaines années.

Mon pauvre tu es sans doute victime d'un ver Windows, de la pingrerie d'un gérant et de l'inventivité de générations successives d'admins qui n'ont jamais vraiment saisi ce qu'avaient fait leurs prédécesseurs.

sur ce
---------->

>Nat, merci pour le boulot que tu as fait.
+1
Je peux dire que c'est grâce à ikarios que j'ai passé le cap.

J'ai encore un souvenir ému de mon premier DemoLinux. Arrivé par la poste, dans une enveloppe à bulle, avec un petit autocollant de Tux en prime.

>n des magazines incluant la dernière Mandebiantu,
Ouai, t'avais une distro de temps à autres dans Login mais c'était souvent ardu.
J'ai encore le souvenir d'une tentative de triple boot windows 98, redhat et openbsd ... un grand moment.

C'était l'époque ou tu mettais xkill dans ta barre des tâches rien que pour tuer linuxconf quand sa fenêtre dépassait l'écran et que tu ne pouvais plus cliquer ni sur OK en bas, ni sur le bouton de la fenêtre en haut.

En même temps Avoir un SSID qui s'appelle FreeWIFI et écrire la page web en conséquence
ne demande pas d'avoir inventé GCC et suffit largement à collecter de quoi surfer anonymement.

Plus un pour les thinkpad.
J'ai acheté un x60 d'occase (300 € port compris). Un modèle centrino solo.
J'ai une autonomie de 4h d'utilisation, proco et luminosité à fond. Tout est reconnu et parfaitement géré out of the box.

Il y a une petite loupiote pour éclairer mon clavier, le bios qui fait beep quand la batterie est faible , xrandr qui marche, le wifi, un lecteur de sd , l'accéléromètre fait un input amusant, un beau doc avec un vrai port serie et quand mon code ne compile pas, j'appuie sur le gros bouton bleue (ThinkVantage) et alors la fée clochette ...

>J'allais conseiller parcellite mais c'est mort depuis une semaine.
Je connaissais pas. Il faudra que je jette un oeil. J'ai vu qu'il y avait également un projet en python nommé Glipper.

L'idée ici serait d'avoir juste un service qui collecte et stocke les infos. Ça permet à terme d'implémenter des clients avec les widgets natifs des WM voir même sur des émulateurs
comme urxvt.

>Tu peux très bien lancer Klipper sans KDE, c’est ce que je fais avec Openbox.
Oui mais ça fait une dépendance aux kde-libs et à QT. C'est surtout ça que je souhaite éviter.

A terme je pense qu'il faudra que je regarde du côté de dbus pour avoir un vrai service bien normé. Là j'ai fait un protocole à l'arrache avec deux commandes get et del.

Il faudra également que je jette un oeil du côté de xcb parce que la gestion des buffers dans la XLib c'est un vrai cauchemar (d'où le repompage intégral de la fonction qui va bien dans xclip).

Chez xsel, ils font carrément ça en Xt. Mais bon. Je n'ai guère envie d'apprendre Xt.

>Mysql a été racheté par l'entreprise qui édite un autre SGBD bien connu.
Oui enfin Mysql à du mal à avancer depuis bien avant Le Rachat. Voir la sortie désastreuse de la 5.1
Au fond j'ai plus l'impression que ce qui est aujourd'hui mis en avant, c'est les outils de clustering (NDB, mysqlproxy) de l'existant plutôt que l'ajout de fonctionnalités. Bref ce qui se vend ou qui fait vendre du support.

Tout est dans le titre.
http://www.claws-mail.org/

>Les claviers TypeMatrix et le Bépo ne seraient-ils pas plus adaptés pour les gens qui font de la bureautique ?

C'est aussi très adapté aux gens qui tapent mal à la base.
Je n'avais jamais fait l'effort d'apprendre à taper correctement avant de passer en bépo.
C'est encore un peu jeune, mais j'ai déjà l'impression d'avoir gagné en précision (à vitesse constante pour l'instant). Donc code ou pas c'est aussi un moyen de repartir à zéro sur de bonnes bases.

> La peau translucide est-elle suffisamment opaque pour être posée que un clavier qwerty ou il faut impérativement un clavier neutre ?

Nan c'est tout pourris. Si ton clavier n'est pas blank, il te faut une peau opaque.

>J'ai lu l'histoire des frais de douane sur le forum de Bepo.fr. Ça semble vraiment aléatoire
Perso j'ai commandé 6 claviers + 8 skins et c'était de mémoire 12 € et des brouettes par clavier.

Pour la skin par contre je m'en suis rapidement passé. C'est bien plus agréable sans.

>Eclipse et de lui demander de tout ré-indenter

indent(1) est un peu plus léger :)

>C'est marrant, dans mon labo, des simulations tournent sur des PS3 sous Linux.
C'est peut-être pour ça qu'ils ne veulent plus qu'on installe linux, non ?
Ils doivent préférer vendre des consoles pour vendre des jeux par la suite, pas pour quelles servent à bâtir des clusters et ne leur rapporte rien :)

La page des projets http://www.x.org/wiki/SummerOfCodeIdeas contiens un troll énorme.

Sauras-tu le retrouver ?

>Le changement de moteur javascript pour V8 qui était initialement envisagé pour les performances est devenu encore plus prioritaire pour eux.

Le problème est peut être aussi que v8 n'est guère portable. S'ils choisissent v8 leur truc ne tourner plus que sur x86 amd64 et arm(9 ?). Exit le sparc, le power et tous ces beau serveurs d'entreprises qui ont de l'argent.

Pourquoi RMS ne l'a pas eu, ce prix ? C'est pourtant lui qui a inventé Linux ?