freem a écrit 5059 commentaires

Je ne suis pas trop sûr de savoir ce que tu veux faire en fait.

Si tu écrits un daemon, le mieux me semble de t'assurer que ton daemon se méfie de l'OS comme de la peste (en fait, l'OS et tous les processus externes doivent être considérés comme des utilisateurs, et donc pouvant dire de la merde, pour une sécurité maximale), et vérifie tous les pré-requis au minimum à l'initialisation. Dans le cas d'un outils de sécurité, tu devras aussi t'arranger pour chiffrer la RAM, mais, honnêtement, je n'ai jamais creusé. Sûrement un truc bien pénible à faire, et certainement pas la 1ère cause de problèmes.
Tout ça est souvent plus simple à faire dans le code exécutable plutôt que par le système d'init: il suffit de vérifier chaque retour de chaque fonction d'I/O pour être sûr que l'I/O s'est bien passée. C'est chiant, mais bon… Sinon, il y a les exceptions, mais c'est à éviter comme la peste si tu ne codes pas un binaire unique (édition des liens statique): il se pourrait que l'API ou l'ABI varie avec le temps, amenant des bugs particulièrement mesquins. La contrepartie d'une édition de liens statique, c'est un binaire potentiellement plus gros. Dans les faits, j'ai plus constaté un binaire plus petit… L'autre problème, c'est la difficulté de mise à jour. Elle ne se pose que peu pour un logiciel libre, surtout que de nos jours les CPU sont des monstres, mais pour un logiciel fermé, c'est différent.

Si tu ne peux pas, ou ne veux pas, vérifier tous les pré-requis correctement, alors tu te dois au minimum de les indiquer dans la doc… enfin, si tu prétends être fier de ton œuvre. Pour moi, soit le code vérifie de manière explicite les pré-requis, soit la doc les spécifie. Et l'idéal, c'est quand les deux sont réunis (mais, c'est rare, parce que c'est déjà chiant d'en faire un, alors les deux… argh!).

Si tu écris un système d'init, alors… hum, bon courage, mais dans ce cas tu sais probablement déjà ce que tu fais, ou alors tu cherches à apprendre pour le fun, donc pas de soucis.

Le poisson d'avril, c'est pas simple, il faut un truc assez choquant, tout en ne l'étant pas trop et en étant assez étayé de fausses déclarations de personnalités célèbres…

La baleine en question, trop grosse pour nous, passerait certainement présentée à des gens intéressés mais pas passionnés par le sujet :)
Tout ça me rappelle d'ailleurs que je marchais régulièrement dans ceux de neliger, quand progboards existait encore (j'étais passionné, mais encore plus inculte qu'aujourd'hui)…

Quel autre site peut se vanter de parler de couches lavables, de scientifiques en Antarctique, d'ornithorynques, de modèles économiques valant des milliards de milliards, de rien et de la nature du comique de répétition, et de méta-parler de la modération ?

Y'en a plein, mais souvent les gens savent pas de quoi ils parlent. Alors qu'ici, il ils le savent presque!

ont un peu abusé du 49.3.

Tu aurais parlé du 42, j'aurai su, mais la, c'est quoi, le 49.3 ?

C'est un poisson? Parce que si ce n'est pas le cas, c'est en effet gênant et inquiétant. Pourtant, il y a les journaux ou l'on peut s'exprimer à volonté, je vois pas l'intérêt de pourrir les modo avec des dépêches HS…
Bon, d'un autre côté, en fonction du sujet, je ne saurait pas forcément si elles sont HS: linuxfr, est-ce «dédié» à ce qui touche à linux (sujet déjà très large…), à ce qui est francophone, à ce qui est logiciel libre (selon quelle définition? DFSG ou GNU?)? Peut-être une combinaison? Dans ce cas, laquelle?
Bref, je n'oserai pas dire que je sais de quoi on est censés parler ici :)
Au moins, ce que je sais, c'est que même s'il y a du trollage, de la moquerie, des invectives, l'ambiance reste globalement bon enfant, et les participants en général sont de bonne volonté. Ceux qui ne s'en aperçoivent pas… j'espère qu'ils sont minoritaires, et je ne les comprend pas. Peut-être trop d'orgueil?
En tout cas, merci à l'équipe qui gère linuxfr, discrète mais efficace (et je ne dis pas ça à cause de la date).

on a déja vu sa bouille devenir tout grise quand on a évoqué les problèmes de Rails

Overdose, ça, non?

Le liseré rouge a été choisi comme un symbole fort et transnational de la diversité

Ça aurait du être le blanc dans ce cas, symbole de l'impérialisme. Le rouge était plutôt celui du communisme, qui me semble un poil contraire à la diversité héhéhé

Zut, on peut pas plussoyer les commentaires supprimés par l'équipe de modération… c'est quand même bien la preuve que l'on est censurés à outrance sur ce site!

Ce lab à une particularité, qui fait qu'il est important qu'il soit annoncé ce jour… c'est un fablab pour ne faire que des trucs cassés.

Je suis bien embêté car je trouve que ne pas mettre à jour est une faute. Je n'ai pas d'argument, c'est un ressenti.

Laisses-moi t'aider en ce cas.

Ne pas mettre à jour des correctifs de sécurité si l'on héberge des données d'un tiers (les logs inclus), c'est une faute car cela risque de compromettre la sécurité d'autrui.

D'un autre côté, mettre à jour vers une version majeure ou mineure, c'est aussi une faute si la seule raison invoquée est la sécurité, car comme tout le monde ici le sait, tout ajout de fonctionnalité ajoute son lot de bugs également.

Du coup, je trouve la politique de tuxfamily difficilement soutenable point de vue sécurité, il est connu après tout que le vieux code est bien plus sécurisé, ayant été relu par de nombreux experts. Typiquement, OpenSSL est un outils extrêmement sécurisé, et le mettre à jour pour avoir de nouvelles fonctionnalités ou de nouveaux protocoles serait une erreur. (hé ho, j'ai encore 30min!)

Le fait est que la plupart des logiciels installés sous GNU/Linux sont servis sous forme de paquets signés via les dépôts (ce qui protège d’attaques modifiant les paquets, dans le cas où les clés sont bien protégées).

Il se passerait quoi, si tu avais installé linux mint? Je veux dire, celle dont l'iso semble avoir été modifiée il n'y à pas si longtemps?
Accessoirement, tu en penses quoi des PPAs et autres mécanismes semblables, destinés à rendre l'installation d'un logiciel tiers plus facile? Il y à moins de, sinon aucun, contrôle dessus, pas vrai?

le risque est moindre que sur Windows je dirais. […]Remarque, faut quand même marquer le fichier comme exécutable

Ça, on est d'accord. Du moins, tant que l'on parle d'installation manuelle.
Il ne faut pas oublier un problème majeur: pour un langage interprété (python, sh, … mais surtout javaScript!) ce n'est pas difficile de se faire exécuter, par exemple via le navigateur. D'ailleurs, le navigateur web est probablement la 2ème plus importante source de malware… voire la 1ère, à bien y réfléchir: tout le monde l'utilise, pas juste les joueurs.

Pour le marquage en exécutable, ne pas oublier que la plupart des malwares modernes sous windows demandent à l'utilisateur le droit de s'exécuter… Ils feront pareils sous linux (même si oui, du point de vue sécurité, on est par défaut mieux lotis sous Debian que sous Windows, et j'ose espérer que toutes les distributions mères sont du même niveau).

Je ne dis pas que c'est trivial, hein, juste que c'est largement faisable, et mon but c'est de tordre le cou à l'idée super débile que parce qu'on utilise un logiciel alternatif, on est insensibles aux malwares.
Quand j'étais sous windows, j'y étais résistant aussi en fait, parce que je n'utilisais aucun logiciel mainstream, quasiment que des alternatives libres. N'empêche, rien ne prouve que personne n'attaquais ces outils (d'ailleurs, certains de ces outils me manquent, notamment les débogueurs, il n'y a que dalle de vraiment efficace sous GNU/Linux dès qu'on ne veut pas se farcir un IDE… snif… et en plus gdb aime pas clang… grrr!).

Remarque, faut quand même marquer le fichier comme exécutable, ce qui offre une (maigre) protection supplémentaire.

Le problème viens toujours de l'administration. Si l'administrateur marque le système de fichier contenant /home comme ne pouvant contenir d'exécutables, le problème est réglé. Avec les problèmes que ça inclue: l'utilisateur ne peut plus installer d'applications inconnues de l'admin.
La sécurité ça à toujours un impact sur l'utilisabilité. Windows est trop léger (mais s'est amélioré) par défaut, mais nos distrib sont, peut-être, un peu trop casse-pied (ça, ça reste un vrai débat) pour un usage lambda?

D’un autre côté, vu la diversité des distributions ça peut vite être plus compliqué

Pourquoi?
Je suis quasiment sûr que 90% des distributions Linux de bureau on bash, systemd, dkms, sudo, python 2 et 3, perl, ssh et Xorg d'installés (j'ai un doute pour netcat…). Je me trompe? Et si y'a pas Xorg, alors c'est wayland, qui a une couche de compat' de mémoire. Avec tout ça, il y a largement de quoi attaquer à l'aveugle.
Pire, la diversité des distributions Linux n'est pas si importante: combien de distrib sont juste basée sur une autre, avec un simple fichier qui change les paquets installés par défaut et un thème graphique différent? Avec aucun paquet dont la compilation ou même la configuration serait différent de l'original?
Question subsidiaire, du coup, quel est le degré de similarité entre une Debian sid et, mettons, emmabuntu (j'ai pris le nom au pif, pour la forme)? Je suis quasi sûr qu'il dépasse les 50% à l'aise, particulièrement au sujet des paquets qui forment le cœur du système.
Après tout, ce qui change le plus, c'est le bureau… la couche graphique, celle qui est tellement difficile à expliquer aux gens que l'on préfère sur les forum utiliser des lignes de commande pour dépanner les autres.

Du j’ai la sensation que c’est un peu plus compliqué sur GNU/linux

Je pense que c'est plus compliqué parce que les utilisateurs sont mieux éduqués en moyenne. Pour l'instant.
Reste que j'ai, comme déjà dit, la conviction qu'Android possède un bon réservoir à malwares. Hors, l'affirmation que je veux démonter, c'est que seul windows est victime de malwares… pardon, de virus, parce que pour les malwares c'est encore plus simple à prouver: il suffit de parler des rootkits qui servent à attaquer les serveurs.

installer des «logiciels pirates […] loin d’être le cas de figure le plus courant.

Parce que l'offre logicielle commerciale à destination des particuliers est très réduite sur GNU/linux?
La plupart des logiciels crackés que j'ai pu voir, c'étaient des jeux vidéo (ah, et winzip/rar, 'toshop et nero aussi). Sans passer par un wine arrosé d'un peu de poudre verte, ou dosbox pour les plus vieux, la majorité ne passe pas sous Linux, et même pour ceux qui passent, ce n'est pas sûr qu'ils fonctionnent bien.

Y a quoi qui vient pas des dépôts après?

Tu as oublié le plugin flash, notamment. Dans son cas, l'installateur est installé par le dépôt, mais ce n'est qu'un outil intermédiaire qui va télécharger le véritable je ne sais où. Et pour l'argument comme quoi flash serait mort, c'est de la connerie: les sites qui ne requièrent pas flash pour lire une vidéo restent une minorité de mon expérience personnelle (je dirais, à peu près 16% de ceux sur lesquels je tombe).

Reste aussi le fait qu'il existe des dépôts externes: moi j'utilise les dépôts officiels de clang, et vivaldi notamment (avant vivaldi c'était celui d'opéra). Les ubuntistes utilisent manifestement assez régulièrement les ppa, et pour les utilisateurs d'arch, il semble qu'ils aient le même type de mécanisme qui permets de prendre des paquets de source moins fiable relativement aisément. En dehors des dépôts, je joue à redeclipse, donc pas le choix pour avoir une version récente sur Debian: download manuel. 3 situations ou j'utilise du logiciel externe, 3 cas d'usages différents donc: dev', web et jeux. Ça peut toucher pas mal de monde, pas vrai?
Bref, pas convaincu que les dépôts soient la panacée.

Pas faux.

D'un autre côté, qu'est-ce qui est le mieux: Un fichier de tableur, ou un logiciel spécialisé (vraie question)?

Et quant à trouver ledit logiciel, une recherche sur le tag autoentrepreneur mène rapidement à ce type de liens. Je ne sais pas ce que valent les logiciels indiqués dans les commentaires, et il me semble aussi qu'il y avait eu des journaux avec le même sujet, dont on peut espérer plus de fiabilité qu'un bout de tableur développé avec la Rache, ne serait-ce que parce qu'il y a plus de gens qui s'en occupent.

Du coup, ça retombe assez bien sur le commitstrip, ou le dev commence justement par chercher des solutions dignes de ce nom, et conclue sur la note qu'au final, si au lieu de faire son propre bricolage pour un outil somme toute important (la compta me semble un truc important quand on est a son compte), le choix avait été d'utiliser un véritable logiciel, il y aurait eu moins d'emmerdes (sachant qu'au final une migration vers un logiciel dédié s'est faite quand même).

Je ne sais pas si c'est que moi, mais je ne vois rien pour tes images. Liens cassés?

Sinon, le plus simple pour afficher des fichiers de conf, ça reste d'utiliser la syntaxe du forum, à savoir une ligne vide puis entre deux "```" le texte brut.

Enfin, as-tu vérifié que sur la machine linux les services sont bien démarrés (en fonction de ta distrib, que tu n'as d'ailleurs pas indiqué, la commande service --status-all peut t'aider).

De mémoire, si l'attaquant est passé par apache, il doit y avoir un fichier /var/log/apache/access, qui liste les URIs visitées avec un horodatage (ou est-ce un timestamp?).

Après, pour vérifier la BDD… ça va être plus compliqué, surtout si l'attaque à injecté du code dans les schémas (c'est ce que je ferais perso, si je devais faire un malware, avec des hook sur les requêtes). Bref: faire un backup des données SQL pertinentes et réinstaller la BDD à partir d'une version sûre me semble un minimum.

Après, il faut se souvenir que les email ne garantissent pas l'expéditeur… ça me semble peu probable que les mails soient envoyés à partir de l'association, mais qui sait? Il suffit qu'ils aient récupéré la liste des mails, d'une façon ou d'une autre. D'ailleurs, c'est probablement pour ça qu'ils envoient un mail pour récupérer le password. S'ils avaient l'accès à la DB ça ne servirait à rien.

Euh tu connais un autre OS qui a des virus?

Android? En tout cas, vue la pléthore d'anti-virus qu'il semble y avoir, il est probable qu'il y ait des virus.
Ah, et android, c'est un linux, juste au cas ou.

Si tu veux un virus pour bureau, alors dis moi si ce scénario (fictif, certes) te semble si peu crédible:

Un utilisateur Debian souhaite jouer à RedEclipse. Manque de bol, la version dans les dépôts stable, backport inclus, n'est pas assez à jour pour lui, il décide donc de l'installer à partir du site officiel.
Pas de chance, le site officiel à été victime d'une attaque qui n'a pas encore été détectée, et les archives du logiciel ont été infectées (en fait, l'attaquant à simplement renommé le binaire, et fait un script shell qui lance son virus puis passe la main à l'exécutable officiel: ni vu, ni connu).
N'étant pas un bidouilleur mais l'un de ceux que l'on appelle habituellement un "utilisateur normal", il n'a jamais modifié ses fichiers de configuration, du coup le script n'a qu'à modifier le fichier ~/.profile en insérant le dossier ~/.bin au PATH (sed -i 's/$HOME\/bin/$HOME\/.bin:$HOME\/.bin/g'), créer le-dit dossier, y ajoutes des commandes d'authentification vérolées, et ajouter des alias correspondant (pour su, ça semble nécessaire après test, pour sudo non… triste.).
Voila, à la prochaine tâche administrative faite par l'utilisateur en ligne de commande (typiquement, via sudo), le virus pourra avoir un grand contrôle sur la machine, et donc infecter les binaires principaux du système.
Comme notre utilisateur est un fan de jeux vidéos, il utilise un GPU NVidia, et préfère utiliser le pilote officiel (sous Debian, je ne peux pas lancer nombre de jeux avec le pilote nouveau). Du coup, il utilise DKMS, qui injecte le pilote NVidia dans le kernel. Le virus prend avantage de cette fonctionnalité pour infecter directement le kernel.

Voila. fin de l'histoire.
Les deux véritables difficultés au final, outre le code du virus lui-même, c'est:

1) générer un vecteur d'infection. Sous windows, pas mal de malwares sont installés à cause de logiciels qui ne sont pas récupérés sur le site officiel. Avec l'arrivées des jeux vidéo commerciaux sous linux, on risque de voir émerger des cracks, et certains pourront être vérolés (c'est un vecteur d'infection assez important sous windows).

2) l'escalade des droits. Dans ma petite histoire, l'attaquant passe par un script d'installation vérolé, et nécessite l'usage de su ou sudo. En fait, je suis bête, j'ai surestimé l'utilisateur: l'attaquant ferait certainement comme sous windows, il demanderait poliment le droit de s'exécuter avec gksu. Voire même, pas besoin, après tout, que cherchera-t-on à récupérer? De l'espace disque? Du CPU? Des données? Tout ça, sur une installation de bureau, ce ne sont pas les prérogatives de root (ou peu importe le nom de l'utilisateur avec l'uid0), l'utilisateur principal, qui installe le malware, en dispose aussi. D'ailleurs, c'est lui qui a les données… pas root.

La seule raison pour laquelle Linux et Mac OS n'étaient pas ciblés jusqu'à présent, c'est la part de marché. La technicité traditionnelle des utilisateurs linux aussi, probablement, mais ça, ça risque d'être de moins en moins d'actualité (ce qui ne veux pas dire que c'est demain "l'année du bureau linux" je ne crois pas aux révolutions. Ici, j'ignore volontairement android, je parle bien des bureaux.).

Pour voir les malware arriver sur les bureaux, il suffirait que le grand public commence à utiliser linux sur le bureau, et un frein est en train de tomber: les jeux vidéos arrivent, grâce à steam. Donc, les cracks finiront par arriver, et avec les cracks, les malwares.

Sais tu m'en citer une pour que je récupère une box vagrant adéquat par la suite.

Debian permets de désinstaller systemd et de le remplacer par sysVinit. Tu as également la possibilité d'utiliser openrc ou upstart.

Oh oui, il s'est fait beaucoup descendre… avec des raison bien foireuses pour la plupart (codé par lennart et abandon des scripts dans la config sont mes 2 préférées de ce point de vue la, mais certains invoquent aussi le fait que ce soit du linux-only) mais si moi je n'ai pas envie de l'utiliser, c'est tout simplement parce qu'il est envahissant et que le projet n'a pas l'air d'avoir de bornes clairement définies. Et je préfère aller vers un système dont je peux changer les composants séparément que vers un système monolithique.

Enfin, dans le genre système d'init qui à l'air sympa, il y a runit. Simple et efficace, je trouve. Je l'ai adopté sur une machine (debian), il est vraiment facile à mettre en place, assez pour me donner envie de tester voidlinux (distrib qui en fait son init par défaut).

Pour ce qui est de la mort de sysVinit, c'est probablement l'une des meilleures choses qui pouvaient arriver, quand on voit la tronche des scripts… erk! je comprend vraiment pas comment des gens ont pu sortir l'argument que sysVinit est "plus simple" à maîtriser que systemd…

D'un autre côté, il dit bien utiliser la souris (clic milieu) et non le clavier. Donc, tu dois ajouter au moins un CTRL+C à ta séquence, ainsi qu'une main sur le clavier… ça peut être gênant en fonction de son activité du moment :p

Un logiciel libre peut se passer de contributeurs

Ah? Et il fait comment pour être écrit?

Mais bon Microsoft qui n'a pas écrit une seule ligne d'Android ni de Linux (à part le support d'Hyper-V pour sa plate-forme Azur)

Hum… donc, pour dire que MS n'a rien écrit de linux, tu te permets d'enlever au préalable leurs contributions… admettons, mais, n'ont-ils touché qu'à un pilote pour Hyper-V dans le process, ou ont-ils du modifier et améliorer au passage d'autres portions de code touchant à la virtualisation?
Après tout, Linux est monolithique, ça n'est peut-être pas si simple d'ajouter le support d'une nouvelle architecture (j'imagine qu'on peut considérer les machines virtuelles comme des architectures, non?)…

arrive à exhorter plusieurs milliards à des compagnie en les menaçant avec des brevets logiciels bidons.

On dit souvent: "pas de fumée sans feu". Ça veut dire que, peut-être, si les multinationales qui vendent des téléphones android payent, c'est qu'elles ont une bonne raison.
Sachant que si l'une voulait aller jusqu'au procès pour se défendre, ça lui ferait une super bonne pub… à condition de gagner. Et la réputation d'une boîte, c'est important, ça fait beaucoup vendre.
Désolé, mais je ne crois pas qu'un seul acteur autour de la téléphonie soit un bon samaritain œuvrant pour le bien du monde.

après tout Google a écrit la majorité du code Android

Quel % de code Google a-t-il écrit dans le code de linux, le kernel utilisé par android?
Je ne nie pas le fait que Google soit un gros contributeur, mais de la à dire qu'ils écrit plus de 50% des lignes de code permettant de faire tourner un téléphone sous android, il me semble qu'il y a un pas qui ne devrait pas être franchis sans références… À moins, bien sûr, que comme pour Microsoft, tu n'exclues les parties qui te gênent?

Microsoft est très intelligent pour faire de l'argent avec le travail des autres.

Question: pourquoi les logiciels open source ayant la clause "NC" ne sont-ils pas considérés comme libres? Ou, plus explicitement, si cette clause empêche l'attribution du status "LL", pourquoi quiconque devrait-il s'en priver?
D'ailleurs, ils ne sont pas les seuls, la plupart des entreprises vendant du code, sous une forme ou l'autre, gagne du blé avec le boulot des autres: je n'ai aucune boîte en tête qui développe 100% du code inclus dans ses binaires: typiquement, les bibliothèques graphiques… oh, wait, peut-être que si j'en connais une en fait: Microsoft. Ils ont un kernel, un compilo, toute la stack graphique… il est possible qu'eux, font du beurre avec du 100% fait maison, même si ce n'est pas la totalité de leur beurre.
Finalement, c'est peut-être MS qui à le plus de mérite dans le monde du logiciel de nos jours, si on regarde ceux qui font de l'argent avec un maximum de choses faites par eux-mêmes… ce qui est, je le rappelle, TON critère.

Pas vraiment le bon forum pour poser des questions liées à windows. Tu devrais aller sur developpez.com, ils ont un forum dédié.

Quand tu y seras, il te faudra aussi préciser quels bibliothèques tu utilises. Je dis que ce n'est pas le bon forum, mais si tu utilises la SDL ou la SFML si, ce sont des outils portables donc qui tournent sous Linux. Par contre si tu utilises la MFC c'est mort. Si tu te sers de .Net, ça dépend, il me semble qu'il y a un portable Linux… J'ose imaginer que tu n'utilises pas Qt ni GTK.

Bref, sans savoir quelles librairies tu utilises, on ne peut pas t'aider.

PS: vises moins complexe qu'un jeu d'échec. C'est un conseil.

Oui enfin au boulot je remarque que c'est absolument necessaire de mettre des anti-virus…

[mode pédant] Et ils trouvent beaucoup de virus? Parce que non, les trojan, adwares et autres toolbars ne sont pas des virus. [/mode pédant]

En tout cas, c'est une bonne question: la compatibilité des malwares windows avec reactos a-t-elle été testée? Ça peut être utile, pour ceux qui veulent jouer à les analyser sans avoir de licence windows. Ou sans pourrir leur windows, pour le coup.

La seule raison d'être de mon compte github c'est pour contribuer aux projets des autres. J'ai toujours trouvé l'interface de ce site horrible (les goûts et les couleurs…) et surtout: lente!