Obsidian a écrit 5299 commentaires

avec juste un mot de pass commun

99 fois sur cent, mot de passe commun est exactement synonyme d'erreur de conception. Un mot de passe est propre à un compte.

Si tu as l'intention de distribuer ton mot de passe à une liste de personnes de confiance, c'est à toi d'intégrer la liste des comptes desdites personnes dans ta configuration. Dès lors, le fait d'être identifié leur suffira à accéder à ton partage.

Ou encore :

- Créer une disquette de démarrage
- S'en servir pour lancer un CD.

Franchement, c'est quand même beaucoup plus confortable.

su, ça veut dire substitute user. C'est fait pour changer d'identité. On s'en sert pour lancer un programme (par défaut, un shell) sous une identité donnée (par défaut, root). L'option -c permet d'exécuter une commande spécifiée plutôt que le shell. Autant que je sache, su ne fait même pas partie du standard Unix de l'Open Group, mais il est conçu comme il faut, et extrêmement pratique.

sudo, c'est un bricolage qui étend ce principe. Il pallie certains manques et est de fait très utilisé. Mais comme il est en général très mal configuré, il est généralement très facile à contourner. En gros, tout le monde s'en sert pour redéfinir le rôle "administrateur" des utilisateurs Windows. Au feu.

Le principal intérêt est de te faire utiliser ton propre mot de passe, voire même un mot de passe dédié, pour te faire accéder à des commandes bien définies sous une identité bien définie elle-aussi, et de garder une trace des commandes effectuées. Ca sert aussi à respecter le principe de confidentialité des mots de passe (à considérer comme des codes de carte bleue)/

C'est bien là tout le problème, d'ailleurs : ouvrir une session de cinq minutes où l'on peut saisir des commandes sans mot de passe et depuis son propre compte, c'est déjà dégueu, mais c'est toujours mieux que de laisser une console root ouverte sans délai d'expiration ni trace des opérations effectuées.

La meilleure chose, donc, consiste encore à ne pas avoir à utiliser root à tout bout de champ, donc à configurer son système proprement une fois pour toute. Et, là encore, il ne s'agit pas de le faire en supprimant les barrières ! Il faut s'arranger pour repérer toutes les opérations réversibles, et les rendre leur exécution possibles aux utilisateurs ordinaires membres des groupes idoines.

Surtout, si ce n'est pas clair, dis-le tout de suite.

S'il faut développer un peu plus, je veux bien le faire ici, car cela servira à tout le monde, et formera une trace écrite, qui plus est référencée par Google :-)

En fait c'est la fleme de taper mon passe a chaque fois que je veux utiliser synaptec pour installer un ptit logiciel ou ouvrir mon serveur gproftpd alors que je suis le seul utilisateur de mon PC.

Les meilleurs pratiques consistent à identifier le problème avant d'essayer de trouver une solution pour le contourner. Les garde-fous ne sont pas là pour embêter l'utilisateur exprès.

Pour synaptic, tu ne devrais pas avoir à l'employer à tour de bras systématiquement. Si toutefois c'est le cas, utilise plutôt sudo apt-get install pour récupérer un truc identifié et ponctuel. Au moins, si tu rappelle la commande par accident, ou si un utilisateur le fait quand tu as le dos tourné, tu ne risqueras pas d'installer quelque chose d'imprévu.

Pour proFTPd, on peut lire sur Wikipédia :

Ses supporters disent que ProFTPd est bien documenté et que la pluspart des configurations seront proches de celles des exemples fournis avec le logiciel. Son unique fichier de configuration, proftpd.conf, utilise une syntaxe similaire à celle d'Apache permettant ainsi d'homogénéiser les fichiers de configuration.

Ce qui signifie que :
- Tu aurais largement plus vite fait d'éditer directement le fichier de conf plutôt que de passer par l'interface graphique à chaque fois.
- Cette interface (gproftpd) se contente, en coulisses, d'éditer ce fichier et éventuellement d'envoyer un signal à proftpd pour lui demander de le relire.

Donc, si tu fais ls -l /etc/proftp.conf tu verras que le fichier appartient, comme tous les autres, à un groupe. Il te suffit de te placer dans ce groupe pour que tu puisses, toi et personne d'autre à priori, éditer ce fichier directement sans jamais avoir à changer d'identité !

Mieux que ça, comme tu peux naturellement éditer le fichier, gproftpd le pourra aussi et il n'a donc plus besoin non plus d'être lancé par le super-utilisateur. Au lieu de ça, on parlait de lancer automatiquement, en root et sans mot de passe une application s'appuyant sur une infrastructure GNOME et ouvrant une connexion vers X-Window. Il suffit que n'importe quelle autre appli ouvre une connexion vers le serveur pour pouvoir taper "à ta place".

En poussant le raisonnement au maximum, même proftpd n'a pas besoin d'être root. Il peut fonctionner sous sa propre identité dans un environnement chrooté. Comme çà, même en cas de faille de sécurité, un utilisateur extérieur ne pourra jamais aller plus loin que ce que le système permet. La seule raison de démarrer le daemon FTP en root est pour lui permettre de réclamer le port 21 et çà, il suffit de demander à xinetd de le faire pour lui.

Bref, dans un serveur UNIX proprement administré, au bout d'un moment, on ne devrait plus avoir à passer root plus d'une fois par mois. Alors en arriver à vouloir virer le mot de passe ...

Enfin - et le ne le fais pas non plus si ce n'est pas nécessaire -, si tu a vraiment besoin de lancer fréquement des commandes en root, tu peux en préciser la liste dans /etc/sudoers et affecter NOPASSWD uniquement sur celles-ci.

C'est vraiment dommage parce qu'il suffit de savoir mettre des droits sur un fichier pour commencer à gérer la sécurité efficacement sous UNIX, c'est presque trivial. Evidemment, sous Windows, ce n'est même pas la peine d'y penser, et tous les utilisateurs exportent - bien plus que des mauvaises habitudes - des schémas de pensée entiers et calamiteux.

Ne fais pas çà. C'est suicidaire si tu es relié directement à Internet, et ce n'est de toute façon pas une habitude à prendre.

Si tu as besoin d'effectuer des commandes super-utilisateur à l'occassion, utilise sudo, c'est à çà que ça sert. Cette commande t'ouvre une session qui expire après cinq minutes d'inactivité. Donc, tu tapes ton propre mot de passe (et pas celui du superchef) une seule fois, et tu fais tout ton boulot sans être emmerdé.

Si vraiment c'est trop compliqué, tu peux ajouter la directive NOPASSWD dans /etc/sudoers pour que les irresponsables utilisateurs de confiance puissent directement lancer leurs commandes. La sécurité reste proche de zéro, mais au moins on limite les probabilités d'exécution de commandes en root par accident.

Pour le reste, voir ici :

http://linuxfr.org/comments/801182.html#801182

Félicitations : Tu viens d'inventer le rootkit corse ! :-)

Spindizzy ?

Déconseillé aux étudiants et aux salariés en entreprise ...

Ca dépend aussi beaucoup de l'âge de ta machine et, par extension, de celui de ton BIOS.

Les fabricants ont mis beaucoup de temps à implémenter partout une ACPI propre, par exemple, et celle-ci est mutuellement exclusive avec APM dans le noyau Linux par exemple.

Donc, vois déjà lequel de ces deux systèmes tu utilises, ensuite, il y a parfois des " sous-modules " à charger pour les différents cas de figure.

Ca fait longtemps que cela n'était pas arrivé mais pendant un moment ce fut vraiment la plaie. Sur 3 machines (ré)installées, 2 ne séteignaient pas correctement et j'ai passé des heures à recompiler le noyau avec les bonnes options simplement pour régler ce détail.

Si tu te perds, c'est parce que tu essaies de résorber les symptômes plutôt que de résoudre le problème de fond.

D'abord, comme tous les programmes, ton application et le mplayer que tu lances derrière héritent tout deux de la console de ton terminal X.

Ensuite, mplayer, en plus d'être doté d'un jeu de handlers fichier stdout,stdin, stderr comme tout le monde, ouvre une connexion vers le serveur X, qui est complètement indépendante de sa console, et qui peut très bien atteindre une machine distincte. Et c'est depuis les événements X que mplayer traite les commandes de navigation de l'utilisateur, pas depuis stdin.

Avec cela, en environnement graphique, l'application qui reçoit les événements de la console, c'est le serveur X lui-même (et en fait ce n'est même plus tout-à-fait vrai car Xorg ou Xfree86 gèrent eux-même le clavier et les périphs d'entrées). C'est aussi eux qui les traduisent en événements dans l'envrionnement graphique et qui les distribuent aux applications concernées (en fonction du focus et avec la complicité du WM).

D'autre part, à priori, ta douchette est vue comme un clavier, et est gérée comme tel par le système lui-même. C'est ce qui fait que tu n'a rien à configurer lorsque tu branches un clavier USB supplémentaire. Donc, au départ, tes applications ne savent pas du tout que tu es en train d'utiliser une douchette.

Ton problème, donc, c'est qu'il te faudrait deux focus. L'un provenant du clavier et ciblant la fenêtre vidéo de mplayer et l'autre, provenant de la douchette, sur la fenêtre du x-term qui fait tourner ton programme.


En conséquence, ton premier souci consiste à être parfaitement sûr de ce que tu veux faire :

- Soit tu souhaites conserver le fonctionnement normal de tes applications. Dans ce cas, c'est à toi de cliquer manuellement sur la fenêtre du X-term lorsque tu veux utiliser la douchette et sur celle de mplayer quand tu veux naviguer. C'est très fastidieux, mais c'est ce que tu ferais naturellement quand même si tu rentrais tes codes barre à la main ... Ca te permet également d'aller balancer la sortie de ta douchette dans un notepad au besoin, sans qu'elle soit interceptée par ton application ...

Tu peux aussi rentrer en mode slave pour ne pas avoir à faire du ping/pong mais cela t'oblige à réimplémenter TOUTES les commandes clavier de mplayer et à jouer avec termios pour récupérer l'état des touches avant d'appuyer sur return, quand c'est possible.

- Soit tu cherches à faire en sorte que la douchette ne serve qu'à zapper les vidéos lorsqu'elles tournent et dans ce cas, cela signifie implicitement qu'aucun autre programme ne doit recevoir ses caractères pendant que ton application tourne. Et dans ce cas, il y a donc une formalité à accomplir au préalable. Demander au système l'exclusivité sur la douchette.

Ca se gère donc au niveau de la gestion des HID par le noyau Linux. C'est normal que cela se trouve à ce niveau, d'ailleurs : il existe d'autres douchettes qui se branchent "en série" sur le cordon PS/2 en s'insérant entre le clavier et l'unité centrale. Dans un tel cas de figure, il t'est impossible de distinguer la douchette du clavier.

Dès lors, la meilleure solution consiste à écrire un daemon qui surveille silencieusement l'activité du clavier et reconnaît les trames susceptibles d'être envoyées par la douchette et qui, le cas échéant, prévient les programmes concernés via un canal de communication propre (un signal, un segment de RAM partagée ou , de préférence, un socket UNIX).

On utilise en général les fonctions suivantes lorsque l'on travaille sur le réseau :

htonl, htons, ntohl, ntohs

Soit ton /dev est un système de fichier ordinaire et donc tu y crées ton fichier spécial une fois pour toutes, soit c'est un truc dynamique style devfs ou autre et dans ce cas, le kernel propose une fonction d'enregistrement qui est directement appelée par ton pilote, à son chargement.

J'essaie de ressortir mes sources ...

Ouais, en général, ils ne me font pas trop rigoler, ces gens-là. Mais là, je suis quand même obligé de me sentir concerné, c'est sûr.

Le problème d'un truc comme Second Life, c'est que les enfants ne sont pas accompagnés par leurs parents comme ils le sont dans la vie réelle. C'est là tout le problème (outre le fait qu'habituer des nourrissons à vivre dans le virtuel n'est certainement pas une bonne idée).

En tout cas, c'est une chance que Familles De France n'ait pas encore découvert BashFR ! :-)

Se pourrait il que Mr Gildas manquâsse de finances pour le lancement de son bébé destiné aux vénérés anciens ?

Autre hypothèse : il y a encore des gens pour croire que ce n'est pas parce que l'on est multi-milliardaire que l'on est au dessus des lois. Notion de plus en plus difficile à entretenir, même dans le milieu de la Justice ...

Moi, quand on me dit qu'on a 42 000 Go de données, je m'enfuis en courant ! 10 vies ne suffiraient pas à mettre le tout à l'abri.

Il se peut également que la partition elle-même ne soit pas formatée :

# mkfs.vfat /dev/hda¤

En remplaçant ¤ par le numéro de ta partoche. Attention : ceci effacera tout ce qu'il y a dessus.

(et dans gnumeric, ça compte pas ?)

Non, car la majorité des neuneus ne parviendront pas à ouvrir le document :-)

Ou encore, ce directeur qui déclare sa flamme à sa secrétaire en mettant les 3000 employés en copie...

Je ne suis pas encore persuadé qu'il ne l'ait pas fait exprès ...

Je rentre chez moi et je branche l'engin sur ma distro Linux : mauvaise surprise car visiblement ce nouveau modèle K3 ne fonctionne plus en USB Mass Storage ! Il ne parle que le protocole MTP (Media Transfert Protocol) qui est un format purement Microsoft.
Bordel de merde...bon en attendant que les devs de Linux implémentent ce nouveau protocole je vais être contraint de remplir mon Samsung sur le Windows du boulot.
Arrivé au travail je branche l'engin et je tente de copier/coller mes fichiers ogg/vorbis : mauvaise surprise car la copie est refusée ! Le modèle K3 ne supporte plus les fichiers vorbis et ne lit que le mp3 et le WMA.

Tu le ramènes en disant qu'il ne marche pas, ce qui est le cas. Ce n'est pas au consommateur de s'adapter à ce genre de chose, sinon cela cautionne et alimente le phénomène !

Alors voilà certes on va me répondre que je suis une grosse tanche et que j'aurai du me renseigner avant d'acheter. Pour ma défense j'invoque deux arguments.
1) Le vendeur de la Fnac m'avait indiqué que le K3 marchait en USB Mass Storage et lisait le ogg/vorbis (celui-là il va m'entendre dès ce soir quand je vais aller ramener mon Samsung).

Raison de plus pour le retourner à l'envoyeur. Il était officiellement censé fonctionner. Quand ils en auront reçu plein de la même façon, ça leur fera peut-être changer de stratégie. Il ne faut pas croire, le MTP, ce n'est pas plus lisible sur un Windows 98 par exemple.

2) Comment aurais-je pu deviner qu'un constructeur veuille revenir en arrière dans les caractéristiques de ses produits ?
... Une fois que le hardware et le firmware sont disponibles il est complètement irrationnel de revenir en arrière puisqu'on a dépensé de l'argent et du temps pour les implémenter...et pourtant c'est ce qui arrive !

Tu oublies que l'on n'est pas sur un PC avec 320GO de disque dur mais sur une mémoire embarquée, alimentée par un accu, et avec un tout petit processeur. En plus, une technologie récente est souvent synonyme de bloat. Il est tout-à-fait possible qu'une fois intégré le MTP, il n'y ait plus de place pour le reste.

Un protocole de transfert qui fonctionnait partout est maintenant remplacé par un autre qui est restreint à Windows, un format audio libre et gratuit est éradiqué au profit de formats payants et lardés de brevets.

Tout est histoire de parts de marché, de rapports de force et accessoirement, de langage de daicideur. Il est tout-à-fait possible que Microsoft ait fait du lobbying et/ou ait établi un partenariat avec le fabricant. La communauté du libre ne le fera jamais.

En fait, le gestionnaire Windows est surtout une liste de pilotes proposées directement par les fabricants lorsque que le matériel existe. Ces fabricants font rarement de même avec la communauté libriste.

Donc, quand les développeurs du noyau connaissent l'existence d'un matériel utile, c'est intégré directement et l'opération de chargement est quasi transparente pour l'utilisateur, soit c'est un nouveau périf et dans ce cas, c'est au fabricant de fournir le pilote, tout comme sous Windows. Le problème, c'est qu'évidement, ils ne le font pas. Donc, dans ce cas, il faut aller chercher les sources sur un projet libre et les recompiler soi-même, quand elles existent ...

Par contre, coté manipulation, ajouter et retirer un pilote au plus profond du noyau reste une opération extrêmement simple sous Linux: rmmod pour le retirer et modprobe pour aller l'y remettre, avec tous les contrôles.

Dès lors, un gestionnaire dédié devient totalement superflu, car s'il n'y a pratiquement rien à faire, ce n'est pas non plus une opération que l'on fait tous les quatre matins et qui justifie une interface graphique ...

A bientôt.

Déjà, "Bonjour" et "Merci" quand tu écris un commentaire, s'il-te-plaît.

Ensuite, oui, la plupart du temps, le noyau fait cela pour toi. Il est même capable de charger automatiquement un module lorsqu'il en a besoin et même de le décharger lorsqu'il devient inutile.

On n'est pas sous Windows, ici ...

Non, non c'est bien ça. Tu passes bien un tableau de char à ta fonction, ce qui, en C, revient à passer un pointeur sur le début de ce tableau. Il faut juste penser à vérifier que la chaîne que tu y stockes se termine bien par un 0x00 (avec '\0'). À priori, le C le fait toujours quand tu dupliques une chaîne, à moins de spécifier une taille fixe.

Non, il me semble que c'est un serveur web, mais p'têt' que j'me trompe ... :-)

Tu inaugures des crysanthèmes, toi ?

Et toujours le très pratique Linux Distribution Chooser :

http://www.zegeniestudios.net/ldc/

Les geeks vont - enfin - pouvoir se consacrer à l'autre grand mystère de l'univers : les femmes !

http://perso.orange.fr/viney.nancy/hillvalley/lautregrandmys(...)