Victor STINNER a écrit 1639 commentaires

Trop gros, passera pas.

\_°< ce commentaire est inutile.

pan !

Les logiciels de capture sont très utiles, mais ont deux gros inconvénients qui en font un cauchemar pour la sécurité :
- ils tournent en root (il faut voir si on peut éviter cela avec des capabilities)
- ils parsent des données potentiellement très dangereuse, puisque circulant sur le réseau, ou internet

On peut séparer les deux : tcpdump pour sniffer le trafic (tourne en root) et wireshark pour parser les paquets (tourne sous un utilisateur non privilégié, voir dans un bac à sable).

Par contre, je ne sais pas si on peut utiliser tcpdump + wireshark pour voir le trafic en temps réel (j'en doute). Du coup, j'utilise wireshark en root chez moi pour les tests (dans mon LAN j'estime quand même que le risque est très faible).

Certes ça permet encore à bob qui intercepte ton réseau d'utiliser ton compte

Euh... je trouve ça TRÈS gênant. Imagine le scénario cauchemardesque : un attaquant vole mon compte linuxfr et écrit un commentaire calomnieux en ton nom !

mais une fois que tu cliques sur "se déconnecter" ça lui coupe l'accès

Je sais pas toi, mais moi mis à part sur le site de ma banque je ne le fais pas. La plupart du temps, je me débrouille plutôt que le cookie ait la durée de vie la plus longue car ça me saoule de me réauthentifier.

C'est moins gênant que si on divulgue ton mot de passe avec lequel on peut tout faire

Euh, le mot de passe n'est pas très utile. Au mieux il permet de voler le compte un peu plus longtemps, mais le cookie est déjà très largement suffisant pour faire énormément de choses.

et malheureusement souvent aller taper sur d'autres services avec ton compte parce que les gens utilisent le même mot de passe

Tiens, récemment j'ai changé tous mes mots de passe justement pour ne plus utiliser le même partout. Pour justement éviter le problème de la fuite d'un mot de passe.

Essaye le salon IRC (#wormux et #wormux-fr sur le serveur Freenode) et (les archives de) la liste de diffusion.

Si tu mets les différentes opérations de copie dans une file d'attente et qu'elles sont faite les une à la suite des autres, ca durera moins longtemps que si tu fait les copies en parallèles.

Gnome sait faire ça de base. KDE4 ne sait pas le faire, mais a au moins des boutons Pause et Stop. KDE4 affiche les copies dans la zone de notification avec la progression globale de toutes les tâches (ça gère d'autres trucs que les copies) et l'estimation du temps restant total. On peut aussi avoir les détails au besoin.

Ne faudrait-il pas patcher Gnome et/ou KDE plutôt que de développer à outil tiers ?

À ces histoires de version, c'est compliqué. Les développeurs cherchent la perfection pour la version 1.0, alors que les commerciaux courent après le plus gros numéro possible.

gstreamer est passé de 0.9 à ... 0.10 :-) Je me demande s'ils vont passer de 0.10 à 0.11 ou à 1.0. En tout cas, ça commence à être compliqué à suivre :-)

Durant 2 ans, le noyau Linux a enchainé les version 0.9xxx dont la dernière était la « 0.99 patch level 15Z » (rah le bodel !). Il aura mis 3 ans à sortir en version 1.0.

Mplayer existe depuis 9 ans et n'est pas encore en version 1.0... Bien que Mplayer soit extrêmement répandu, embarqué dans des lecteurs vidéos de salon, etc. La dernière release a maintenant 2 ans (version 1.0rc2) : son site web conseille de télécharger la version trunk via Subversion (The daily Subversion snapshots are generally stable, hum hum).

Le projet VLC a été lancé en 2001 et la 1.0 est sortie en 2009 (8 ans plus tard).

À côté de ça, le projet Chromium est passé de la 1.0 à la 4.0 en un an :-)

Plus sérieusement, Emacs en est à la 23.1 alors que vim se traine à la version 7.2. Faites votre choix.

(je vais pas parler de Linux 2.6.32 < Windows 7 < Mac OS 10.6.2, c'est tabou)

- Est-ce qu'il y a une extension qui vérifie tes mails Gmail quand tu a plusieurs comptes (comme le fait Gmail Notifier pour Firefox) ?
- Est-ce qu'il y a une extension qui relooke et simplifie l'interface de Gmail (comme le fait Minimalist Gmail pour Firefox ) ?

Tu peux essayer Kmail, c'est pas mal :-)

Tu trouveras des informations un peu plus technique par ici :
https://developer.mozilla.org/en/Firefox_3.6_for_developers

(lien trouvé à la fin des notes de version, 3e lien de la dépêche)

Si un logiciel s'installe un peu par erreur (clique sur un lien)

euh... ça t'es souvent arrivé d'installer un programme par erreur !? Au pire, tu arrives à télécharger un .exe sans aucune confirmation. Mais après il faut encore l'exécuter. Ca fait deux erreurs à la suite, faut vraiment avoir la tête dans le cul :-).

L'installation d'un programme téléchargé depuis Internet Explorer exige à répondre à deux demandes de confirmation. Même si le programme (.exe) est signé numériquement avec un certificat valide et une autorité de certification reconnue (VeriSign ou Thawte par exemple), une confirmation est exigée. À quoi sert de supporter la signature numérique si c'est pour quand même poser la question ? De plus, le dialogue de demande de confirmation est quasiment identique si le binaire est signé correctement ou s'il n'est pas signé. Résultat : on clique machinement sur [OK] et le dialogue devient caduque et pénible.

Le format d'archive .tar.bz2 n'est pas géré de base. Windows propose d'aller voir sur Internet s'il existe des programmes : il pointe alors vers WinZip. Mouais. J'ai plutôt installé 7-zip qui est libre et gratuit.

De manière générale, le truc le plus pénible est la demande de confirmation à répétition.

J'ai regardé si on pouvait compiler War for the Overworld (WFTO) sous Linux, mais c'est mal barré : ils utilisent #include <windows.h> un peu partout.

Si tu veux faire un peu de pub à ce projet, publie une dépeche. La nouvelle est encore fraiche, il n'est pas trop tard.

D'ailleurs, il serait bon d'expliquer un tout petit peu ce que c'est. Je te le dis à toi, mais surtout à Olivier HUMBERT, parce que pour moi qui n'est pas du tout dans le milieu une liste de versions de ne parle pas du tout. Indiquer brièvement la fonction d'un logiciel rendrait la dépeche beaucoup plus intéressante (et ça ne doit pas prendre trop de temps).

Le petit fichier de... 2,5 To environ... Mais il a le droit de le compresser ;)

Les décimales de pi sont plutôt aléatoires et donc difficiles à compresser.

http://www.osnews.com/story/20161/Resolution_Independence_Co(...)

« David Zeuthen blogged today about the huge patch he submitted to GTK+ that will allow the toolkit to achieve resolution independence - widget and font size adapting to your screen's real estate; no more tiny application lost in the corner of your high resolution screen. (...) Zeuthen's idea is to use RI as the hot-new-feature selling point of the upcoming 3.0 GTK+ release. (...) »

Le billet de blog en question ne contient plus d'image et la vidéo OGG n'est plus disponible. Mais c'était pour dire qu'ils y travaillent ! Je pense que l'utilisation de Cairo était un premier pas vers l'indépendance de la résolution de l'écran.

L'UMTS utilise l'algo KASUMI qui est une version optimisée pour le matériel de MYST1 :
http://fr.wikipedia.org/wiki/KASUMI
http://fr.wikipedia.org/wiki/MISTY1

Copier/coller Wikipédia :
Une attaque de type rectangle sur les huit tours de KASUMI a été proposée en 2005 par Eli Biham, Orr Dunkelman et Nathan Keller. Elle nécessite 2^54.6 paires de clair/chiffré et a une complexité temporelle de 2^76.1 chiffrements KASUMI. Malgré sa complexité élevée qui la rend encore inaccessible avec les moyens actuels, cette attaque théorique montre que KASUMI est un chiffrement vulnérable qui met en péril à terme la sécurité des communications 3GPP.

--

Le GSM utilise l'algo A5/1.
http://en.wikipedia.org/wiki/A5/1

Copier/coller Wikipédia :

[In 2000], Eli Biham and Orr Dunkelman also published an attack on A5/1 with a total work complexity of 2^39.91 A5/1 clockings given 2^20.8 bits of known plaintext. The attack requires 32 GB of data storage after a precomputation stage of 2^38.

2^38 et 2^76,1 ont quelques ordres de grandeurs de différence. Mais j'ai pas bien compris si on peut comparer ces deux nombres (est-ce que ça désigne la même chose ?).

Enfin, le chiffrement UMTS semble costaux que celui du GSM.

Je pense pareil : je suis MediaInfo de loin et je suis content d'en entendre des nouvelles. D'ailleurs, si le journal présentait un peu mieux le logiciel de manière générale (à quoi ça sert, cas d'utilisations, etc.), ça pourrait donner une dépêche :-)

Euh, je ne savais même pas que ça existait :-) J'ai cherché un peu, et ça semble surtout viser l'enregistrement audio professionnel (les studios d'enregistrement). J'ai bon ?

qBittorrent sait télécharger et générer des liens Magnet :-)

Si Python ne te fait pas peur, tu peux utiliser la bibliothèque IPy (qui faut installer manuellement) :

$ python
>>> from IPy import IP
>>> ip=IP('192.168.0.12/24', make_net=True)
>>> ip.net()
IP('192.168.0.0')
>>> ip.prefixlen()
24

Le commit introduisant la régression date du 17 juillet 2008 :
http://git.kernel.org/?p=linux/kernel/git/davem/net-2.6.git;(...)

Ce commit fait partie d'une série de commits visant l'IP accounting, utilisé par exemple dans OpenVZ :
http://kerneltrap.org/mailarchive/linux-netdev/2008/7/16/252(...)

This is actually the last very scattered set, that changes many calls
to MIB accounting macros. What is left requires less patching.

David, I hope this (and a finalizing set, I will prepare after this
one is accepted) can go to current 2.6.27 merge window, but it is OK
with me if your decision is to delay this till 2.6.28.

Lire aussi : http://wiki.openvz.org/Traffic_accounting_with_iptables

--

La faille de sécurité corrigée le 30 novembre 2009 concerne le compteur d'erreur sur le réassemblage des paquets IPv4, mais un bug simailaire avait été corrigé le 19 mars 2009 sur le compteur de succès :
http://git.kernel.org/?p=linux/kernel/git/davem/net-2.6.git;(...)

dev can be NULL in ip[6]_frag_reasm for skb's coming from RAW sockets.

Quagga's OSPFD sends fragmented packets on a RAW socket, when netfilter
conntrack reassembles them on the OUTPUT path you hit this code path.

You can test it with something like "hping2 -0 -d 2000 -f AA.BB.CC.DD"

Par défaut, Windows XP installe maintenant les mises à jour lorsqu'on éteint la machine. Bah je trouve ça super lourd, car du coup c'est très long pour éteindre la machine (genre 2 à 10 minutes au lieu d'une dizaine de secondes). Surtout que j'utilise Qemu avec ssh -X.

un FS qui n'en a pas besoin

Fatalement, quand un disque est saturé, les nouvelles écritures vont être fragmentées.

Pour ext4, il existe divers projets permettant de défragmenter le disque à chaud (pendant qu'il est utilisé) :
http://ext4.wiki.kernel.org/index.php/New_ext4_features#Onli(...)

Tout ton journal repose sur l'existence de Gnome. Du coup, ton journal est tout bidon !

L'erreur memset(..., ..., 0) est beaucoup plus courante qu'on ne croit. Fin 2007, j'avais fait une recherche avec Google Code et j'avais trouvé des occurances dans le code source d'OpenSSL, GnuPG, Prelude, Linux, Mozilla, Python, Parrot, Kaffe, aMule, uClibc, libgphoto2, ATI gatos, WINE, Blender, etc. Après vérification dans quelques projets (en particulier OpenSSL, GnuPG et Prelude), l'erreur était corrigée dans la dernière version.
http://www.haypocalc.com/blog/index.php/2007/10/27/84-analys(...)

Il est possible que cette erreur existe toujours dans un des projets que j'ai cité, ou qu'une autre erreur du même genre ait été ajoutée depuis.