Bac +5 en informatique je voulais dire. Je ne sais pas si c'est école d'inge ou master info par contre.
Merci pour la précision. Bac+5 en info et faire du code sensible aux injections SQL, je trouve ça inadmissible... Mais je suis peut être trop psychorigide...
Le
03/08/2024 à
22h
34
Je suis dans une équipe r&d où les devs sont issus de formations classiques bac+5 et je peux t'assurer qu'une bonne partie sont des pisseurs de code. Ce n'est pas d'où te vient ta formation qui fait que tu vas appliquer l'état de l'art. C'est ta conscience professionnelle, et l'environnement professionnel. Si la boîte ne promeut pas de formation continue, et laisse ses devs se débrouiller, par exemple.
Merci de ton retour. Juste pour précision, peux-tu indiquer si la formation est une formation informatique ou pas ? Car des personnes avec bac+5 qui font du dev, c'est courant (école d'ingé par ex), mais rarement des formations avec sensibilisation à ce genre de chose (je suis issu d'une école d'ingé "généraliste", la formation, même en option informatique, ne faisait pas mention des injections SQL par exemple).
Le
02/08/2024 à
15h
15
Je suis étonné de la quantité d'injection SQL et injection de commande qui réussissent encore tellement le sujet est ancien et largement étudié dans toutes les formations.
Moi, pas vraiment.
Je pense que les professionnels de l'IT (j'entends par là, ceux formés réellement au développement logiciel) ne produisent pas (ou alors très très peu) ce genre de faille.
Par contre, ceux qui écrivent du code en général (les autodidactes, les reconversions, etc... et j'inclus ceux qui ont suivi un bootcamp de 4 mois pour devenir dev fullstack + admin réseau en partant de rien) ne le sont souvent pas.
Les autodidactes, si non sensibilisés, idem. Et je parle en connaissance de cause, car j'ai commencé par être autodidacte avant de me former réellement, et c'est quand j'ai commencé à me former que je me suis rendu compte de l'ampleur de ce que je ne savais pas à l'époque (génie logiciel, sécurité, etc.).
Dans le cadre de mon boulot, je côtoie des personnes qui savent pondre une API, mais dont le développement n'est pas le métier de base. Parfois elles se débrouillent très bien, des fois, c'est la cata. Quand c'est juste pour un besoin ponctuel en interne pour une tâche rébarbative, ça passe. Quand il s'agit de mettre en place un système qui va devenir une API au contact de l'extérieur, ça peut faire mal.
Le métier de développeur est aujourd'hui devenu "critique" et nécessite de nombreuses compétences, compétences que tout le monde n'a pas. Mais on manque tellement de main d'oeuvre en informatique et les salaires semblent tellement mirobolant que le développement logiciel reste, aujourd'hui encore, une voie de reconversion.
Comme je dis toujours, ce n'est pas parce que je sais aligner 2 parpaings que je sais bâtir une maison : ce n'est pas parce qu'on sait aligner 2 lignes de code que l'on est capable de faire un logiciel.
Le métier de développeur est vu par certains (et j'ai envie de dire encore trop de monde) comme un métier technique de "pisseur de code". C'est loin d'être le cas. Aujourd'hui, pour être un bon développeur, il faut savoir écrire du code, le lire, le modifier, mais aussi être alerte sur la sécurité (chiffrement & co), un minimum de connaissance sur la gestion réseau (on ne peut pas décemment développer une API web sans savoir ce qu'est un DNS ou une requête HTTP), les réglementations en vigueur (à commencer par le RGPD), et j'en passe.
tu devrais prévenir les équipes de chez firefox que cela soit résolu : https://devtoolstips.org/tips/en/send-feedback-about-devtools/#:~:text=Here%20are%20a%20few%20ways,GitHub%20account%20to%20log%20in.
Après, lorsque je fais du dev, comme la plupart des utilisateurs utilisent Chrome et ses dérivés, je teste en priorité sur pour ce navigateur avant de tester sous Firefox. Quand j'ai essayé de passer sous Firefox pour le dev, en me disant que les tests en preprod se feront quoi qu'il arrive sous Chrome, j'ai peté plus d'un cable à redémarrer mon FF qui avait planté, ou d'attendre des 10-45s pour avoir un outil qui réponde.
Du coup, j'ai fait le choix de l'efficacité.
Mais en perso, comme je n'ai pas besoin des outils de dev, je suis sous Firefox
Le
05/08/2024 à
13h
21
Je dev tous les jours sur Firefox. Aucun problème. Ce n'est pas un argument pour moi.
tant mieux pour toi si tu ne rencontres pas ce problème. Chez moi, certaines applis (notamment des SPA) mettent Firefox en PLS, rendant très pénible le dev (alors que sous Chromium et dérivé, aucun souci).
Le
05/08/2024 à
10h
51
Ca dépend pour quoi ;)
Pour du dev, les outils développeurs sont beaucoup plus réactif sous Chromium que Firefox (j'arrive même à faire planter Firefox sur certains "gros" site tandis que Chromium les accepte sans broncher)
Le
05/08/2024 à
08h
52
Il y a une 4e solution : que le web se responsabilise et arrête la pub à outrance (bon ok, douce utopie )
Hello ! À première vue le micro-code est bien modifié avec ce patch
"Updated with microcode 0x125 to ensure eTVB operates within Intel specifications. Updating this BIOS will simultaneously update the corresponding Intel ME to version 16.1.30.2307v4. Please note after you update this BIOS, the ME version remains the updated one even if you roll back to an older BIOS later."
Pour moi on parle bien d'une update du microcode ainsi que du driver Intel ME.
Ce qui expliquerai bien comment j'ai pu gagner autant en stabilité alors qu'avant, le moindre undervolt provoquait des BSOD 🤐
Updated with microcode 0x125 to ensure eTVB operates within Intel specifications.
Pour moi, il s'agit du microcode (=firmware) de la carte mère, pas du CPU. C'était justement un des reproches d'Intel au début aux fabricants de CM, où les recommandations n'étaient pas suivies. Suivre les recommandations a permis chez certains utilisateurs de réduire drastiquement les instabilités, sans pour autant corriger le bogue en lui-même.
Updating this BIOS will simultaneously update the corresponding Intel ME to version 16.1.30.2307v4
Ce n'est pas la version qui corrige le bogue côté Intel. Cette version est sortie bien avant la reconnaissance du bogue par Intel (je n'ai pas la date de sortie exacte, mais un utilisateur a installé la version v15.1.30/2330 le 25 janvier 2024, dans la v16.1.30.2307v4 est sortie avant cette date)
Je pense juste que le constructeur a fait une mise à jour vers un firmware plus récent, au cas où.
Ce que je dis, c'est que le déploiement de la 5G, aujourd'hui, c'est des équipements en plus, pour couvrir des zones qui sont très majoritairement déjà couverte par d'autres réseaux comme la 3G/4G. Et l'installation de la 5G dans une zone ne signifie pas le retrait des équipements qui s'occupent des autres réseaux. Donc tu peux prendre le problème dans tous les sens que tu veux, c'est de la consommation en plus, quoi qu'il arrive, pas en moins.
Il faut bien déployer aujourd'hui pour couper demain, c'est comme ça qu'on s'améliore.
Très bien, donnez moi un exemple d'un lieu où le déploiement de la 5G s'est fait en désactivant les réseaux présents ?
L'Australie, le Canada, les USA, ... https://onomondo.com/blog/2g-3g-sunset Bientôt la France. Quand en 2026 on aura divisé la conso par 2 de chaque point relai en France en coupant la 2G, ça sera quoi l'excuse ?
Si c'est faux, je veux bien que tu me dises par quoi il faut commencer alors.
J'ai déjà dit. Le transport individuel, l'habitat, l'alimentation. De manière générale l'objectif principal c'est d’électrifier un max pour se passer du fossile, pas de fustiger les technologies qui permettent d'éviter des utilisations fossiles tout en ne consommant que de l'électricité dans le pays ou elle est la plus propre au monde.
"Les émissions de gaz à effet de serre des opérateurs télécoms se sont établies à 382 000 téqCO2" Next La France entière c'est 385 MtCO2e en 2023. Donc les opérateurs c'est moins de 0.1 % des émissions de CO2. La moindre mesure qui permet de limiter le transports individuels atomise l'effet qu'aurait de se passer complètement de la 5G. La généralisation du télétravail (grâce aux essors technologiques), c'est minimum un ordre de grandeur au dessus. Apprenez à calculer la coût de la tonne de carbone évitée et vous aurez un début de piste pour faire vos choix.
En quoi est-ce de l'idéologie pure que de s'interroger sur le véritable besoin de cette technologie ?
sic
Pour finir, un dernier détail, qui est souvent oublié : une antenne 5G est plus efficace qu'une antenne 4G (d'un point de vue consommation énergétique j'entends). Mais une antenne 5G, c'est aussi une portée beaucoup moindre qu'une antenne 4G. En zone rural, la 5G, c'est un peu plus d'un km de porté. Pour la 4G, on peut monter jusqu'à 30. A superficie couverte égale, il faut donc jusqu'à 900x plus d'antennes 5G que d'antennes 4G !
Ça aussi c'est faux. L'éducation des néoluddites n'a pas à être mon fardeau, donc on va s'arrêter là.
Je me suis renseigné sur la technologie, sur ce qu'elle apporte, en gain de débit et en gain de consommation par rapport aux technologies déjà existantes
mdr
Ça aussi c'est faux.
L'éducation des néoluddites n'a pas à être mon fardeau, donc on va s'arrêter là.
J'ai tendu une perche ici exprès, en tenant des propos qui, sans être malhonnête (car les chiffres donnés sont vrais), ne sont pas pour autant honnête (car le contexte est imprécis), juste pour voir ta réaction, et savoir si ta position relevait du dogmatisme pure ou si tu avais réellement creusé le sujet.
J'ai maintenant ma réponse (avec une dose gratuite de mépris au passage en plus d'une utilisation erronée du terme néoluddite ici). Merci.
Ton discours ne tient la route que si tu ne te limites qu'à un aspect en particulier. Si tu prends le contexte dans sa globalité, tu te rends compte que rien n'est aussi simple qu'il n'y parait. Tu peux te contenter de prendre des chiffres et de dire "voyez, il y a de la réduction" en ignorant les effets rebonds, répercussions, effets indirects, etc.
Le télétravail que tu donnes en exemple est justement assez parlant. Sur le principe, on se dit effectivement, que cela évite des trajets, donc diminue les CO2 du au transport. En pratique, c'est 3 à 5% de réduction seulement, si on prend en compte les changements d'habitude et les effets rebonds. Coup de bol, pour le télétravail (et encore, il faudrait distinguer le TT total du TT partiel), le résultat reste positif. Mais positivement décevant aussi. Et bien loin de l'ordre de grandeur de différence que tu prétends.
Je ne suis pas contre la 5G. Je suis contre le gaspillage. Aujourd'hui, les promesses de la 5G d'un point de vue énergétique ne sont pas tenues. Et ce n'est pas moi qui le dit. Donc être contre le déploiement d'une technologie qui s'avère au final plus énergivore et dont nous n'avons pas besoin, et dont on ne mesure pas encore aujourd'hui les effets rebonds, si c'est ça être néoluddite, alors oui, j'en suis un et j'en suis fier.
Le neoluddite te souhaite un bon week-end. Fin de discussion pour moi.
Le
03/08/2024 à
00h
23
Je trouve problématique de se limiter à consommation au Go pour au final dire que cela ne consomme rien.
Mais c'est vous qui vous focalisez sur une soi-disant inefficacité énergétique pour faire le procès de la 5G, pour ensuite dire que ce n'est pas le critère quand on vous montre que ce n'est pas le cas. Et je me tue à vous expliquer que même en valeur absolue ce n'est pas grand chose.
Déjà, et il faut en prendre conscience, en se disant que "machin" c'est rien dans un contexte de réduction de l'empreinte carbone, et bien rien de changera, car il n'existe pas un poste qui représente à lui seul ne serait-ce que 10% de la consommation à lui seul. L'empreinte carbone, c'est un ensemble de goutte d'eau.
C'est objectivement faux, et prioriser les efforts est bien la façon la plus efficace et rapide pour décarboner.
Ce qui parfois relève quand même de la bêtise pure, car pouvoir télécharger un film 4k de 2h en 5s sur un téléphone portable dont l'écran fait tout au plus 7''... comment dire... J'aimerais bien qu'on m'en explique l'utilité.
Vous êtes dans l'idéologie pure.
Pour en revenir à la 5G, elle viendrait remplacer les 3G/4G/fibre je dirais super, bonne nouvelle, allons-y. Mais ce n'est pas ça la réalité. La réalité, c'est que c'est un réseau supplémentaire, qui vient en plus des autres, autres réseaux qui ne sont pas près de s'arrêter non plus. C'est donc encore un coût énergétique supplémentaire, même si le cout au Go reste faible, cela reste un coût en plus.
Ça aussi c'est faux.
Mais c'est vous qui vous focalisez sur une soi-disant inefficacité énergétique pour faire le procès de la 5G, pour ensuite dire que ce n'est pas le critère quand on vous montre que ce n'est pas le cas.
Et je me tue à vous expliquer que même en valeur absolue ce n'est pas grand chose.
Pour ma part, je n'ai jamais dis que la 5G n'était pas efficace. Ce que je dis, c'est que le déploiement de la 5G, aujourd'hui, c'est des équipements en plus, pour couvrir des zones qui sont très majoritairement déjà couverte par d'autres réseaux comme la 3G/4G. Et l'installation de la 5G dans une zone ne signifie pas le retrait des équipements qui s'occupent des autres réseaux. Donc tu peux prendre le problème dans tous les sens que tu veux, c'est de la consommation en plus, quoi qu'il arrive, pas en moins.
C'est objectivement faux, et prioriser les efforts est bien la façon la plus efficace et rapide pour décarboner.
Si c'est faux, je veux bien que tu me dises par quoi il faut commencer alors.
Maintenant, j'aimerai sincèrement que mon dise quel usage aujourd'hui nécessite la 5g qui ne peut se faire en 4g. Le débit de la 4G, c'est mieux que l'ADSL, et peut atteindre des débits plus ou moins équivalent à celui de la fibre. En quoi est-ce de l'idéologie pure que de s'interroger sur le véritable besoin de cette technologie ?
Ça aussi c'est faux.
Très bien, donnez moi un exemple d'un lieu où le déploiement de la 5G s'est fait en désactivant les réseaux présents ?
Pour finir, un dernier détail, qui est souvent oublié : une antenne 5G est plus efficace qu'une antenne 4G (d'un point de vue consommation énergétique j'entends). Mais une antenne 5G, c'est aussi une portée beaucoup moindre qu'une antenne 4G. En zone rural, la 5G, c'est un peu plus d'un km de porté. Pour la 4G, on peut monter jusqu'à 30. A superficie couverte égale, il faut donc jusqu'à 900x plus d'antennes 5G que d'antennes 4G !
Les études qui montrent l'efficacité énergétique de la 5G le font durant utilisation, par rapport à l'électricité consommée pour son fonctionnement. Si on prend compte le cycle de vie des équipements dans leur globalité, l'efficacité énergétique et écologique de la 5G est beaucoup, mais alors beaucoup moins flagrante (pour ne pas dire négative).
Toujours sur les études qui montrent l'efficacité énergétique de la 5G, elles ont également 2 énorme biais : 1) le déploiement étant en cours, ce sont les zones urbaines et non rurales qui sont privilégiés. Les antennes 5G se trouvent donc principalement dans les zones les "plus denses" où elles sont, en moyenne, plus sollicitées que que si le déploiement était terminée 2) en cas d'absence de 5G, le terminal de l'utilisateur essaiera d'utiliser la 4G. Le trafic réseau qui devait donc initialement passer par la 5G sera comptabilisé au niveau de la 4G, ce qui va fausser les calculs. Qui plus est, un utilisateur à proximité d'une antenne sur laquelle il y a à la fois la 4G et la 5G peut être hors de porté de la 5G, mais à la portée de la 4G. L'utilisateur est alors dans une zone plus éloignée de l'antenne, augmentant la consommation énergétique, notamment celle de son terminal.
Maintenant, si tu penses que c'est de l'idéologie pure de ma part, je ne vais pas te faire changer d'avis (et pour te dire, je m'en fiche). Je me suis renseigné sur la technologie, sur ce qu'elle apporte, en gain de débit et en gain de consommation par rapport aux technologies déjà existantes. Certains aspects sont effectivement améliorés. D'autres au contraire, sont aggravés.
La 5G ne sera source que d'une chose à mes yeux : pas de véritable confort d'utilisation en plus, mais un bel effet rebond qui sera bien plus important que le peu de gain énergétique qui sera réalisé, tout en incitant une partie de la population à changer de téléphone portable pour supporter la 5G, car c'est la techno du moment (même si ce n'est pas représentatif de la population, j'ouvre simplement les yeux autour de moi et je vois des personnes qui ont changé de tel non pas parce qu'il était obsolète/cassé, mais pour profiter de la 5G). Ces changements d'équipements prématurés ne sont pas pris en compte dans les études, et pourtant, participent grandement au désastre écologique.
Le
02/08/2024 à
17h
27
bon tu ne veux pas d'une réponse en fait, tu veux juste être contre la 5G.
Encore une fois, si la consommation des périphériques s'est également améliorée, cela reste largement le plus gros poste de consommation lors de l'utilisation avec internet. Et tout cela n'est pas grand chose dans un contexte global de réduction de l'empreinte carbone d'un français.
Pour le coup, je suis plutôt d'accord avec wanou.
Je trouve problématique de se limiter à consommation au Go pour au final dire que cela ne consomme rien.
Déjà, et il faut en prendre conscience, en se disant que "machin" c'est rien dans un contexte de réduction de l'empreinte carbone, et bien rien de changera, car il n'existe pas un poste qui représente à lui seul ne serait-ce que 10% de la consommation à lui seul. L'empreinte carbone, c'est un ensemble de goutte d'eau.
De plus, le déploiement de la 5G (ou de tout autre réseau) change les habitudes, ce qui crée de nouveaux besoins, donc on investi dans de nouvelles infrastructures pour éviter la saturation, ce qui augmente la capacité du réseau, qui crée de nouveaux besoins, etc.
Il suffit de se projeter un peu en arrière et de voir ce qu'est devenu internet aujourd'hui et la place qu'il prend, par rapport ne serait-ce qu'au début des années 2000. Avant, les pages étaient légères, car les réseaux bien moins développés et rapide qu'aujourd'hui. Une page 1Mo il y a 20 ans, c'était une page lourde. Une page de 50Mo, avec la fibre, ça passe crème et cela se rencontre malheureusement très fréquemment, au point que nombreux sont ceux qui ne cherche même plus à optimiser le chargement de leur site.
Avec la cloudisation (si si, ça existe, je viens de l'inventer :p), nos besoins en réseau sont de plus en plus énorme, et pas que pour de la VOD. Avec les abonnements que nous avons aujourd'hui, l'utilisateur a l'impression que le réseau est une denrée infinie et inépuisable. Ce qui n'est pas le cas. La crise de la COVID a permis de le rappeler, lorsque le confinement était plus ou moins généralisés, et que les services de VOD ont temporairement baissé la qualité de leur flux pour éviter la saturation des réseaux.
Car si l'impact d'un flux réseau (quel qu'il soit) est minime en tant que tel, le changement d'habitude qu'il induit peut avoir des répercussions plus ou moins important. Exemple : - la 5G est sortie, je vais me prendre un tel compatible pour pouvoir regarder les vidéos - je voudrais une TV connectée pour pouvoir regarder Youtube/Netflix/Disney/Amazon tout ce que vous voulez sans avoir besoin de l'ordinateur - ma tablette qui n'est plus mise à jour n'arrive pas à lire certains site / regarder certaines vidéos => on en rachète une
Ce qui parfois relève quand même de la bêtise pure, car pouvoir télécharger un film 4k de 2h en 5s sur un téléphone portable dont l'écran fait tout au plus 7''... comment dire... J'aimerais bien qu'on m'en explique l'utilité.
Et comme la demande augmente de la part des utilisateurs (on est toujours de plus en plus nombreux à être abonné à des services de VOD par exemple), il faut continuer à investir dans des infrastructures, et donc augmenter encore le coût écologique.
Pour en revenir à la 5G, elle viendrait remplacer les 3G/4G/fibre je dirais super, bonne nouvelle, allons-y. Mais ce n'est pas ça la réalité. La réalité, c'est que c'est un réseau supplémentaire, qui vient en plus des autres, autres réseaux qui ne sont pas près de s'arrêter non plus. C'est donc encore un coût énergétique supplémentaire, même si le cout au Go reste faible, cela reste un coût en plus.
Mais tant que nous serons dans une société consumériste, je doute que ce genre de chose change. De nouvelles habitudes appellent de nouveaux besoins. Répondre à ces nouveaux besoins offrent de nouvelles possibilités. De nouvelles possibilités appellent de nouvelles habitudes....
Le problème, c'est que tout (ou presque) est lié, directement ou indirectement.
Le
01/08/2024 à
14h
34
Arf, c’est vrai, j’étais resté sur du grand public !
j’étais resté sur du grand public !
Donc exit linux (désolé, on n'est pas trolldi, mais c'était trop tentant ^^ )
Es-ce que l'on peut faire un navigateur web en UWP??
C'est un problème l'accés d'une application A aux données d'une application B. Problème commun à Windows et Linux, il me semble. Seul Mac OS, iOS et Android l'ont résolu. Pour les 2 premiers, il y a les flatpak, Appimage, snap & Co.
Es-ce que l'on peut faire un navigateur web en UWP??
Je dirais oui sur le principe. Après, il y aurait peut être des limitations. Par exemple, les navigateurs actuels utilisent de l'accélération graphique directement via le GPU. Je ne sais pas si c'est possible en UWP, et l'impact que cela aurait sur les performances.
Le
02/08/2024 à
15h
57
Merci pour le développement.
Es-ce qu'une solution intermédaire, avec Windows qui surveille que seul Chrome accède aux données, ne serait pas une meilleur approche (c'est possible dans Android, il me semble - j'ignore pour Windows, Mac OS ou les distributions Linux)?
Il me semble q'un groupe de malfrats numériques avait réussi l'exploit de reproduit un profil complet de ses victimes avec cookies, tokens & Co et cela lui permettait de contourner la double authentification (désolé, je ne retrouve plus le lienà. La démarche de Google pour Chrome pourrait gêner ce genre d'opérations en rendant les données moins accessible, non ?
Es-ce qu'une solution intermédaire, avec Windows qui surveille que seul Chrome accède aux données, ne serait pas une meilleur approche
Pour moi oui. Il faudrait effectivement un cloisonnement dans les données par application (la plupart n'ayant pas besoin de données "externes"), et quand elles ont besoin de données externes, c'est à l'utilisateur de les fournir (via une boite de dialogue pour ouvrir un fichier par exemple).
Il me semble que les applications UWP sous Windows fonctionnent ainsi. Il faudrait des droits plus fins par application.
Il y a au final que peu d'applications qui nécessitent réellement et légitimement d'accéder aux fichiers d'autres applications. A part les solutions de sécurité (antivirus) ou de sauvegarde, il doit bien y en avoir quelques unes, mais cela ne doit pas courir les rues (peut être aussi les gestionnaires de paquet, et encore !)
La démarche de Google pour Chrome pourrait gêner ce genre d'opérations en rendant les données moins accessible, non ?
Oui, tout à fait. Mais cela ne protégerait que Chrome, alors qu'il y a d'autres données qui peuvent se révéler tout aussi critiques et qu'il est donc nécessaire de protéger également (ex: les drive, les clients lourds mails).
Que Chrome fasse des efforts pour protéger les données, c'est très bien. Que cette protection supplémentaire nécessite un module avec des droits super administrateur sur la machine, ça me parait hyperdangereux, d'autant plus que si le malware est déjà sur la machine, il peut communiquer directement avec ce module. Donc si le module a une faille... c'est tout le système voire le réseau qui est en danger.
Le
02/08/2024 à
12h
58
Encore une fois, que proposes tu alors pour que l'on puisse enfin se connecter à son nas avec un certificat local et sans aucune compétence en réseau ?
J'entends bien ton argument concernant les certificats autosignés mais il faudrait à minima dans ce cas que le message soit compréhensible par l'utilisateur lambda. Genre: "firefox ne peut pas assurer la sécurité de cette connexion car vous accédez à un appareil local. Cliquez sur le le bouton xxxx si c'est bien ce que vous souhaitez."
Et pour ceux qui possèdent une autorité locale, ce que pourraient faire automatiquement les box un jour avec le passage à IPv6, que propose tu ?
Ce qui me dérange est le discours sur le fait qu'ils ont forcément pensé à tout et obligatoirement pris la seule bonne décision possible. Tu sais bien qu'une décision n'est la meilleure que dans un contexte donné. Dans le cas de Firefox, l'équipe n'a pas bien bossé les problématiques de LAN à mon sens.
Tous ces popups avec des messages angoissants ne font qu'habituer les gens à cliquer sur ok sans réfléchir car c'est vécu comme du harcellement. Au final, la sécurité ne s'en retrouve pas augmenté mais bel et bien diminuée comme avec la freebox qui ne gère pas du tout https pour éviter ces débats d'ayatollah.
Encore une fois, que proposes tu alors pour que l'on puisse enfin se connecter à son nas avec un certificat local et sans aucune compétence en réseau ?
On n'a rarement aucune compétence réseau quand on sait ce qu'est un NAS au point d'en acquérir un, l'installer et le configurer.
Ce qui me dérange est le discours sur le fait qu'ils ont forcément pensé à tout et obligatoirement pris la seule bonne décision possible.
Ce qui me dérange, c'est que tu attends, de moi, que je te fournisse des solutions. Réponse : je n'en ai pas. Je ne fais qu'expliquer pourquoi c'est comme ça, et pourquoi le peu que tu proposes est irréalisable.
Si toi tu as la solution, n'hésite pas à la proposer ne serait-ce que sur le bugzilla de Mozilla. J'attends ton ticket avec impatience. C'est la première chose à faire, au lieu de te plaindre ici tout en disant des contrevérités sur Firefox.
Autre chose : les critiques que tu fais sur le fonctionnement des certificats locaux, ce n'est pas une problématique propre à Firefox. Tous les navigateurs ont le même. Alors, stp, arrête de dire sans arrêt des trucs comme "l'équipe n'a pas bien bossé les problématiques de LAN à mon sens" pour cracher sur Mozilla alors que le problème se révèle être systémique si j'adopte ton point de vue.
Le
02/08/2024 à
11h
09
"Windows 7, fin de vie en 2015, supporté par Firefox jusqu'à l'année dernière"
Sauf erreur de ma part, FF ESR 115 a encore des MàJ sous W7 (115.13 en juillet).
Effectivement, je suis allé trop vite : Firefox 115 est la dernière version à supporter Windows 7 et je n'ai considéré que sa date de sortie. Erreur grossière !
Et en plus, c'est une ESR, donc bénéficie d'un support étendu. La nouvelle ESR vient de sortir (128, ce 9 juillet). On peut donc encore espérer quelques semaines de support pour la version 115 (ce qui vient en plus renforcer mon propos ^^).
Merci pour la précision
Le
02/08/2024 à
10h
59
Effectivement, des durées de validité de plus de dix ans, ce n'est pas sérieux. Même 10 ans semble se faire de moins en moins.
Dans ma précédente réponse, j'ai écrit que firefox pouvait très bien tenir à jour les certificats à ne pas utiliser et cela conviendrait parfaitement pour le cas des vieux OS.
Si on en revient à ma problématique de réseau local et de certificats qui sont forcément autosignés ou issu d'autorités locales, que proposes tu pour qu'il ne soit pas nécessaire de créer une exception ? Dans un tel cas, je maintiens que Firefox ne devrait en aucun cas bloquer l'accès ou imposer leur page d'avertissement anxiogène car il n'y a aucun danger à accéder à son nas ou la page de configuration de sa box.
Effectivement, des durées de validité de plus de dix ans, ce n'est pas sérieux. Même 10 ans semble se faire de moins en moins.
Il s'agit de certificat de CA racine. Avoir des délais courts n'a pas de sens non plus. Un certificat racine n'est pas la pour protéger les sites, il est là pour signer / valider / révoquer les certificats qui vont protéger les sites et / ou les autorités de certifications intermédiaires.
Avoir des délais courts, ça signifie aussi que n'importe quel objet IoT non mis à jour arrêtera de fonctionner en quelques années (par ex. certaines "vieille TV" connecté ne peuvent plus se connecter à certains site aujourd'hui, justement à cause de problèmes de certificats, idem pour les vieux smartphones).
Dans un tel cas, je maintiens que Firefox ne devrait en aucun cas bloquer l'accès ou imposer leur page d'avertissement anxiogène car il n'y a aucun danger à accéder à son nas ou la page de configuration de sa box.
Ce qu'il ne faut pas lire... Aucun danger, es-tu réellement sûr ? C'est même là qu'il y a le plus de danger, notamment avec la multiplication des objets connectés. Mais non, voyons, c'est le réseau local, aucun souci, 100% confiance... ce n'est pas comme si les attaques de type MITM étaient infaisable sur les réseaux domestiques (spoiler alert, c'est là où c'est le plus facile).
Et Firefox n'est pas le seul, tout navigateur digne de ce nom te fera la même chose, car c'est ainsi que les choses fonctionnent, que tu le veuilles ou non (et j'ai compris que tu ne le voulais pas).
Lorsque tu ajoutes une exception pour un certificat auto-signé, la validation initiale t'incombe. Mais passée cette étape, la connexion est sécurisé et chiffrée au même titre qu'un certificat validée par une CA. Un changement de certificat, et Firefox (ou tout autre navigateur) va de nouveau t'envoyer bouler, ce qui doit t'alerter.
Le
02/08/2024 à
08h
34
Un certificat ayant une durée de validité, y compris un certificat racine, la non mise à jour de l'os ne peut pas rendre disponible ad vitam de vieux certificats. Firefox est donc en mesure de faire le tri par lui même concernant les certificats anciens et peut toujours vérifier la validité en ligne ou simplement avoir la liste des autorités qui ne sont plus valides.
Que firefox ajoute des certificats récent sur un vieux os plus mis à jour, cela se comprend mais, encore une fois, les certificats locaux connus du système et valides doivent être utilisés.
Si on suit la logique que tu valides sans étayer, il serait normal que chaque navigateur et chaque logiciel réseau se fasse sa propre liste? C'est le cas en fait avec l'environnement java il me semble et cela pose aussi problème.
Administrer un réseau où chaque logiciel n'en fait qu'à sa tête est juste un enfer et on dit justement qu'il est pavé de bonnes intentions....
Un certificat ayant une durée de validité, y compris un certificat racine, la non mise à jour de l'os ne peut pas rendre disponible ad vitam de vieux certificats
As-tu déjà regardé la durée de vie des certificats des AC ? Il n'est pas rare d'en voir avec des durées de validité de 20 ou 30 ans, voire même plus ! Donc des certificats avec des durées de vie aussi longue et sans révocation possibles, oui, il faut gérer ça.
les certificats locaux connus du système et valides doivent être utilisés.
Encore une fois non. Ce n'est pas une obligation. C'est un choix. Firefox a fait celui de ne pas dépendre de l'OS pour gérer les questions de sécurité lié aux certificats. Le fait que tu ne sois pas d'accord n'en fait pas un mauvais choix.
Si on suit la logique que tu valides sans étayer
Je n'ai rien validé du tout. Je ne dis pas qu'une approche est meilleure qu'une autre. Je dis que les deux approches existent et se justifient.
Et je ne sais pas de quoi tu as besoin pour étayer. Des exemples ? Windows 7, fin de vie en 2015, supporté par Firefox jusqu'à l'année dernière. Dit autrement : firefox a supporté un OS déprécié pendant 9 ans de plus. 9 ans pendant lesquels cet OS n'avait justement plus de mise à jour des certificats CA, et où la stratégie de Firefox s'avère payante dans ce cas, luttant contre l'obsolescence logicielle.
Tu veux que j'aille encore plus loin ? Prenons l'exemple du CA de Symantec. Il a été retiré en 2018 de Firefox (et des autres navigateurs au passage) suite à des manquements répétés dans le processus de validation. Résultat des courses : une autorité de certification qui représentait près de 30% des certificats émis en janvier 2015 a été retiré des différents magasins. Un navigateur qui repose exclusivement sur l'OS l'aurait laissé passer, Windows 7 en premier (car plus supporté).
La stratégie de Mozilla, c'est aussi une sécurité supplémentaire en cas d'infection de ta machine. Ton système est infecté par un malware qui installe son propre CA dans le magasin de la machine et configure un proxy ? Firefox t'enverra bouler et t'avertira.
Administrer un réseau où chaque logiciel n'en fait qu'à sa tête est juste un enfer et on dit justement qu'il est pavé de bonnes intentions....
Que les choix de Firefox ne te conviennent pas, je l'entends tout à fait. Mais ce n'est pas pour autant que se sont de mauvais choix et/ou qu'ils sont irréfléchis comme tu le prétends.
Le
01/08/2024 à
20h
36
Firefox ne pose pas de problème en soit avec le .home et les adresses ULA mais il bloque l'accès aux certificats auto signé que l'on trouve communément dans les réseaux locaux. J'ai dû créer une autorité rcine et des intermédiaires puis importer les certificats de mon autorité locale racine et de mon autorité intermédiaire pour qu'il arrête les messages de blocage et de m'empêcher de lui dire d'aller se faire foutre: en effet, il me bloquait tout simplement l'accès sans possibilité d'action. C'est largement inacceptable de devoir en arriver là.
Firefox devrait tolérer sans broncher les certificats locaux auto signé ; des certificats correspondant à des adresses locales différentes de la passerelle et, si résolution de nom, une adresse dont le tld n'est pas valide comme .loc ou .home
Me parler de gpo dans ce cas est totalement hors sujet car la population gênée par ce problème n'a généralement pas les compétences. Ce n'est pas pour rien que la freebox n'utilise pas https: il est plus simple de virer le message en http qu'en https, un comble
De même, si j'importe mes certificats d'autorité racine et intermédiaire dans Windows, je ne tolèrerai jamais que Firefox les ignore. J'appelle cela péter plus haut que son cul. Firefox peut toujours vérifier la validité d'un certificat avant de s'en servir mais il n'a pas à ignorer ceux du système.
Si chaque logiciel procède ainsi,c'est la chienlie
Concernant les manipulation avec about.config, vu le nombre d'instances de ff sur mes appareils, c'est juste une option que je cherche à éviter.
mais il bloque l'accès aux certificats auto signé que l'on trouve communément dans les réseaux locaux
Je n'ai pas ce comportement. J'ai testé et je peux ajouter facilement une exception pour un certificat autosigné. Il faut passer outre des messages d'avertissements, mais c'est tout à fait possible en quelque clic, sans avoir besoin de monter une autorité de certification locale.
De même, si j'importe mes certificats d'autorité racine et intermédiaire dans Windows, je ne tolèrerai jamais que Firefox les ignore.
C'est un choix réfléchis de la part de Firefox j'imagine. Pour ma part, Firefox est le seul navigateur installable sur certains systèmes obsolètes. Sur des systèmes non mis à jour, certaines CA persistent alors qu'elles ont été retirées de la liste des CA de confiance par les navigateurs et les systèmes d'exploitation (pour des raisons diverses et variées, le plus souvent lié à des manquements dans le processus de validation ou à un manque de communication). Sur ce genre de système non mis à jour, il est indispensable que le navigateur ignore purement et simplement la liste des CA du système.
Car oui, c'est tout con, mais il n'existe pas de révocation pour les certificats racines... car une révocation (CLR ou OCSP) doit être signée par le certificat parent, qui n'existe tout simplement pas dans ce cas là.
Chaque approche (se baser sur une liste interne ou sur la liste des CA du systèmes d'exploitation) à des avantages et des inconvénients. Il n'y a pas une méthode qui est meilleure que l'autre. Juste des contraintes différentes.
Les choix faits par Firefox ne te conviennent pas. Soit. Mais ce n'est pas pour autant que ce sont des choix irréfléchis et/ou inadmissibles.
Le
01/08/2024 à
14h
25
N'est-ce pas déjà le cas pour le système d'auto mise à jour ? Ce service parle avec qui ? au main process de chrome ou au child window des onglets ? De toute façon peuvent-ils faire autrement ? Puisque rester dans l'environnement utilisateur, ce service serait toujours à portée des malwares.
Ici tu évoque l'installation sans être admin (dans appdata), c'est quoi le % d'utilisation par rapport à l'installation normal dans program file ?
N'est-ce pas déjà le cas pour le système d'auto mise à jour ?
Seulement si Chrome est installé pour tout le monde. Si c'est pour toi en tant que seul utilisateur, pas besoin de service pour ça. Il peut se mettre à jour tout seul.
Et tu peux désactiver ces services (chose que font généralement les services IT qui cherchent à contrôler les versions de Chrome installées).
Ici tu évoque l'installation sans être admin (dans appdata), c'est quoi le % d'utilisation par rapport à l'installation normal dans program file ?
Aucune idée. Google doit le savoir, mais je n'ai jamais vu de chiffre là-dessus (je confesse que je n'ai pas non plus chercher à les avoir ^^)
Le
01/08/2024 à
11h
13
Ça veut dire que google va augmenter la surface d'attaque sur les droits admin je suppose, en plus de s'approprier de nouveaux droits sur la machine. Je suppose ce que c'est ce que fdorin a en tête ?
Grosso modo, sous Windows, la gestion des droits est la suivante : - utilisateur simple : dispose de droits restreint et ne pas pas faire grand chose qui va nuire au système ou aux autres utilisateurs (mais qui peut nuire à son propre compte oui) - utilisateur administrateur : dispose de droits restreint par défaut, mais peut les élever temporairement (par exemple, pour l'installation d'un programme). Il peut quasiment tout faire, mais pas tout. - SYSTEM : accès complet à la machine (l'équivalent du root sous linux). C'est un compte système non associable à un compte utilisateur
Aujourd'hui, Chrome peut être installé par un utilisateur simple. Chrome ne sera alors disponible que par lui. Quand c'est un administrateur qui l'installe, il décide s'il veut l'installer pour lui ou pour tout le monde sur la machine.
Ceci étant dit, pourquoi tant de contestation me demanderas-tu ? A grand pouvoir, grande responsabilité (et ce n'est pas comme si le récent exemple de Crowdstrike ne venait pas nous le rappeler).
Ici, nous avons donc un Chrome qui peut être installé par un administrateur et utilisé par des utilisateurs avec droits simples (notons qu'une installation de Chrome par un utilisateur droit simple ne pourra pas installer le service qui nécessite des droits SYSTEM).
Nous avons donc un module "utilisateur" qui va communiquer avec un module "système" ayant les pleins droits sur la machine (toute similitude avec le drame d'il y a 2 semaines serait totalement fortuite). Même si je ne doute pas que les équipes de Google soient compétente en terme de sécurité, les bogues ça existent, et il y a régulièrement des mises à jour pour corriger des failles.
Ici, nous avons donc, en cas de faille, la possibilité pour un code malveillant s'exécutant "avec des droits simples" d'accéder non seulement à tous les fichiers de l'utilisateur, mais également à tous ceux des utilisateurs de la machine sur lequel il se trouve (voire plus via le réseau) si jamais une injection de code dans ce module de sécurité est découverte.
Au delà de l'accès aux données utilisateurs, une injection de code dans ce module pourrait permettre à un attaquant, et sans aucune restriction (utilisateur SYSTEM, ne l'oublions pas), de stopper toutes les solutions de protection présentes sur la machine et/ou de les rendre inefficace, offrant alors un vecteur d'attaque non seulement sur la machine, mais aussi sur le réseau auquel la machine appartient.
Nous avons affaire ici à un navigateur. Un navigateur est un miniOS en soit, et il n'est pas utile (=il ne devrait pas) installer des modules qui pourraient se révéler être de vraies bombes à retardement. De par son rôle, un navigateur est le premier moyen d'accès au Web, et se retrouve de facto comme cible privilégiée pour les attaques, qui peuvent venir aussi bien du web (par ex. une pub vérolée) que de la machine (un logiciel espion), sans parler de la "négligence" des utilisateurs.
Augmenter potentiellement les possibilités d'exploitation d'une faille me parait être une hérésie, surtout 2 semaines après le bogue CrowdStrike (avec comme similitude supplémentaire qu'il est bien difficile, même si cela reste faisable, de bloquer les mises à jour de Chrome).
Google a raison sur un point : ce sont des données sensibles qui doivent être protégées (notamment les jetons d'identifications). Mais au bout d'un moment : - la responsabilité du navigateur doit s'arrêter et laisser faire le travail à des logiciels spécialement conçus pour (antivirus, EDR, etc.). Monitorer des accès à des fichiers par des applications, ça se fait depuis des lustres et c'est très utilisés pour détecter les comportements malveillants - un navigateur n'est pas le seul à gérer des données sensibles. Il en va de même pour d'autres logiciels (en premier lieu, les drives et les clients lourds mails). La solution de Google ne protégera que Chrome pas le reste (et ce n'est pas à Google de protéger le reste)
Et si on zappe la partie sécurité, c'est sans compter les bogues qui ne manqueront pas d'arriver (perte des cookies, des mots de passe ou de tout autre données qui seront protégées par ce mécanisme). Ce n'est pas comme si Chrome avait justement "perdu" l'accès aux mots de passe pendant quelques heures il y a 2 jours....
NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON
"que les coupures avaient eu lieu sur les lignes SNCF et pas les noeuds fibres de télécom."
Parce que SNCF est un fournisseur de fibre tout désigné.Il y en a d'autres mais passer par les rails évite un tas de problèmes. Du coups il vendent de l'attribution aussi.
En plus, l'avantage des rails, c'est qu'ils font rarement des virages à 90°. C'est plutôt utile pour de la fibre...
Le
30/07/2024 à
09h
50
suite à nos divers échanges je pense qu'on n'est pas si en désaccord que ça :) "internet" (et beaucoup de technologies) sont super utiles à n'en pas douter, mais pour les choses qui n'en n'ont pas un besoin fondamental je trouve absurde de nous conditionner à accepter qu'internet est nécessaire
comme les imprimantes qui refusent d'imprimer en noir et blanc quand la cartouche "rouge" est vide, d'après un compteur théorique, même pas d'après un capteur physique (double absurdité)
je connais les techniques pour faire du feu sans briquet (jamais eu besoin de les mettre en pratique par contre), si je me retrouve largué en pleine nature j'ai quelques notions qui théoriquement me permettraient de tenir ( ... quelques heures avouons-le, pas des mois XD), ça me semble plus logique que de partir du postula que "j'ai un gps, je ne serrai jamais perdu dans la nature" (ce qui est le cas quand on fait tout passer par internet, même le superflux qui devrait (selon moi) pouvoir s'en passer, l'accro à deezer/spotify/autre service de streaming se retrouve totalement perdu sans internet, pourtant avec les smartphones avec 128 go de stockage cet accro devrait avoir accès à un "mode dégradé" en réécoutant des choses qu'il connaît déjà stockées sur son téléphone même sans connexion internet, mais ce mode dégradé à été volontairement détruit/caché par les services de streaming pour rendre internet "vital", ce qui ne devrait pas l’être et n'a aucune (bonne) raison de l’être quand on veut juste écouter de la musique)
comme les imprimantes qui refusent d'imprimer en noir et blanc quand la cartouche "rouge" est vide, d'après un compteur théorique, même pas d'après un capteur physique (double absurdité)
Triple absurdité : et qui refuse de scanner (si si, ça existe, coucou la feue HP de mes parents)
Le
29/07/2024 à
14h
47
Si tu savais à quel point les otdr savent détecter des trucs de nos jours, pour la boite noire faut se lever tôt…
Oh mais je n'en doute pas. J'avais plus en tête la "corruption" d'un répéteur, qui ne nécessite pas de sectionner la liaison.
Le
29/07/2024 à
14h
31
C’est la raison, ce matin, on ne savait pas si c’était lié (de près ou de loin) à une cyberattaque, l’ANSSI indique que non
A première vu non, mais il faut toujours rester prudent. On ne sait jamais. C'est un "bon moyen" de détourner l'attention pour opérer ailleurs.
Clairement, surtout que payer : - alimente les groupes pirates en moyen financier (donc fait perdurer le système) - ne protège aucunement contre les attaques à venir - et comme ça ne protège pas des attaques à venir, qu'une faille a déjà été exploitée et qu'ils ont payé, on peut tenter le "même joueur joue encore" quelques mois plus tard !
Ce n'est pas parce que c'est déployé automatiquement que ce n'est pas testable. Beaucoup d'entreprises disposent d'un proxy qui peut très bien bloquer temporairement les mises à jour sur le parc en attendant que ce soit testé sur quelques machines de test.
Vrai en théorie. En pratique, c'est plus compliqué. Il faut savoir identifier précisément quel est le contenu à bloquer. Là, on parle d'un fichier de configuration. Est-ce qu'il faut bloquer tout le domaine et pas juste el fichier ? Si oui, ça risque de bloquer pas mal de chose légitime, pas que la mise à jour. Si tu bloques ressources par ressources, tu risques de bloquer à moitié les mises à jour, ou d'oublier de débloquer une ressource lorsque tu es prêt pour le déploiement.
Sans compter qu'il faudrait sans doute un certificat racine pour que le proxy puisse pleinement filtrer le contenu...
Sans compter le temps a y passer (et pour une solution de sécurité comme ça, cela pourrait être plusieurs fois par jour).
En bref, si la solution ne propose pas de base de solution pour contrôler les mises à jour, on peut très certainement y arriver, mais ce sera très casse-gueule et risque de créer plus de problème que cela est sensé résoudre.
Le
31/07/2024 à
09h
26
Dernier paragraphe :
Des experts, interrogés par Business Insider, estiment cela dit que Delta, au vu des conditions générales de l'entreprise de cybersécurité, acceptées par ses clients, ne pourra probablement se voir rembourser que le coût du logiciel, pas ceux des vols annulés.
Ca va quand même être intéressant à suivre. En effet, ce genre de clause (pour ce genre de logiciel) est surtout là pour dire que le produit n'est pas infaillible et peut laisser passer des menaces. Si une menace passe et que votre infra tombe, on se limite à rembourser le logiciel, pas les conséquences.
Mais là, la panne a été causé PAR le logiciel lui-même. C'est autrement différent en guise de responsabilité.
Crowdstrike est d'autant plus responsable qu'on ne parle pas d'une entreprise qui est tombée à cause d'un bogue rarissime sur une configuration abscons (où, là encore, cela pourrait se discuter car il n'est pas possible de tester tous les cas), mais bien d'un plantage général d'un bogue qui n'est que de la responsabilité de Crowdstrie, avec des défauts dans les procédures de vérifications (cela a été annoncé par Crowdstrike même), et non testable avant par le client final car déployé automatiquement.
Bref, ce genre de clause, ici, ce n'est pas garantie qu'elle saute, mais ce n'est pas garantie qu'elle tienne non plus. Affaire à suivre.
Tu peux cliquer sur le texte du commentaire "Modifié le XXX à YYY" et voir l'historique
Mais uniquement si le commentaire a été modifié ;) Ce commentaire l'a été, si tu veux essayer cette fonctionnalité ;)
Le
01/08/2024 à
09h
38
J'ai essayé de creuser pour voir. J'ai trouvé un chiffre dans ce document sur lequel je suis tombé via un lien donné dans l'article (celui-ci pour être précis).
Difficile de savoir dans quel contexte cette phrase a été dite. Toutefois, si on se limite à la commune de Saint-Denis, et un taux de positivité de 85% (extrait du lien que je donne), cette phrase peut prendre un sens.
Reste maintenant à définir ce que cela veut dire un taux de positivité. Personnellement, je ne sais pas.
Depuis l’entrée en vigueur du RGPD, les fonctions de RSSI et de délégué à la protection des données personnelles (DPD) sont assurées par la même personne.
Je ne suis pas certains que les fonctions de RSSI et de DPD soient compatibles (= rôle attribué à la même personne). Le DPD doit, en théorie, ne pas être en conflit d'intérêt dans le cadre de ses fonctions. Ce qu'il sera de facto s'il est également RSSI.
les rôles sont complémentaires (et doivent même collaborer ensemble sur par mal de sujets), mais ne peuvent pas être tenu par la même personne. [edit] rajout du texte en italique
Le point faible de la sécurité a toujours été que l'utilisateur, à un moment ou un autre, a besoin d'accéder en clair aux données sécurisées. Si ce n'était pas le cas, il "suffirait" de chiffrer puis de jeter la clé.
Ce n'est pas nouveau. Franquin en parlait déjà en 1955, dans "La corne du rhinocéros".
Pour plus de sécurité, on peut déjà t'imiter, en choisissant judicieusement son pseudo
Le
31/07/2024 à
09h
03
D'habitude, je ne relève pas mais là, on est quand même sur Next donc... on dit chiffrée et pas cryptée ! https://chiffrer.info/
D'habitude, je ne relève pas mais là, on est quand même sur Next donc... on cite Next !
Dans une entreprise, suivant la taille, tu dois mettre en place un registre du traitement des données dont tu as la charge. Dans ce registre, la nature des données à conserver et leur durée de conservation dépend de la réglementation et/ou de la législation en vigueur. C'est aussi dans ce registre qui tu décris la méthode mise en place pour protéger ces données.
Je ne vois donc pas pourquoi tu parles de "à l'encontre"... A moins que tu fasses comme user6811 et que tu considères que certaines demandes soient inutiles.
Je ne vois donc pas pourquoi tu parles de "à l'encontre"...
C'est pourtant simple : j'ai des données dont je n'ai plus besoin. Je ne m'en sers pas. J'ai 0 traitement les concernant. Principe de minimisation des données => suppression. Sauf que non, je ne peux pas, car légalement, je dois les conserver.
Exemple : les informations concernant mes anciens employés (fiches de paies, contrat, etc.) je dois les conserver pendant 5 ans après son départ (aspect légal) alors qu'en pratique, je n'en ai plus besoin au bout de quelques mois car je n'ai plus de traitement à ce sujet (les cotisations sont payées, etc.).
Le principe du RGPD voudrait que je supprime ces données (cf. article 5 du RGPD). La loi m'impose de les conserver.
Alors certes, il existe des cas où ces données pourraient encore me servir. Par exemple, si un employé m'attaquait au prud'homme. Mais les délais sont plus court (2 ans). Contrôle URSSAF ? 3 ans. Contrôle fiscal ? 3 ans aussi. Je dois donc légalement conserver des informations totalement inutiles pendant 2 ans de trop.
C'est en cela que je dis que ça va à l'encontre du principe de minimisation prôné par le RGPD.
Le
31/07/2024 à
09h
31
Ce n'est absolument pas le teneur du message qui s'attaque à l'obligation de fournir des données personnelles pour certains services.
La responsabilité et la durée de la conservation des données personnelles fait partie du RGPD dont l'article parle.
Justement, la loi impose dans certains cas la conservation des justificatifs (je ne me prononce pas sur le bienfondé de cette demande, ce n'est pas le sujet). L'entreprise peut ne pas avoir besoin de traiter ces données (cf. RGPD et minimisation), mais la loi l'oblige à les conserver (l'entreprise se retrouve donc, "malgré elle" à devoir conserver des informations qui ne l'intéresse pas).
Je ne dis pas que c'est ce que dit user6811, je dis que c'est comme ça que je l'ai compris. En tant que chef d'entreprise par exemple, j'ai des obligations légales qui vont "à l'encontre" du principe de minimisation des données prévues par le RGPD.
Le
31/07/2024 à
09h
00
Mais quelle horreur !!!! Etre obligé de s'identifier auprès d'une banque pour ouvrir un compte ou contracter un pret alors que croire sur parole aurait été tellement plus simple et que l'usurpation d'identité est une chimère montée de toutes pièces par l'Etat pour nous soutirer nos informations personnelles.
A la lecture du message de user6811, j'ai pensé que le problème n'est pas tant la vérification de l'identité de la personne au moment de l'inscription/ouverture, mais la conservation des documents, parfois de manière pas très sécurisé, par les différents organismes.
C'est d'ailleurs bien pour ça qu'avec mon côté parano, je mets toujours un filigrane sur les documents d'identité que je transmets, avec la date + l'organisme + le but recherché. Ainsi, s'il y a une fuite : 1) je sais d'où elle vient 2) le document ne peut pas être réemployé (et si il l'est, l'organisme l'ayant fait sera en tort car accepter un document sur lequel il est marqué à usage exclusif de XXX, c'est une faute de sa part)
Le
30/07/2024 à
22h
34
Franchement, j'adore l'illustration. La prochaine fois, ce sera Timon et Pumba xD
Hakuna Madata ! Mais quels jolis mots ! Hakuna Madata ! Pas de soucis pour les infos ! Ce sont tes données personnelles, Libérées, sans querelle, Hakuna Madata !
Ces p'tites infos, j'ai dû les donner, Quand j'visite des sites pour rigoler, Ils m'ont dit, pas de problème ! Juste un petit formulaire, et on se connaît ! Oh, qu'importe les préférences, Cookies, traceurs, tout est dans la danse !
Hakuna Madata ! Mais quels jolis mots ! Hakuna Madata ! Pas de soucis pour les infos ! Ce sont tes données personnelles, Libérées, sans querelle, Hakuna Madata !
Et bien sûr, quand tu navigues en ligne, Tu laisses des traces, sans même savoir la combine, Les pubs ciblées, elles savent tout de toi, Tes goûts, tes envies, même où t'habites toi ! T'inquiète, c'est pour améliorer, Ton expérience sur le web, t'façon c'est payé !
Hakuna Madata ! Mais quels jolis mots ! Hakuna Madata ! Pas de soucis pour les infos ! Ce sont tes données personnelles, Libérées, sans querelle, Hakuna Madata !
Si je comprends bien, l'assurance par exemple refuse d'assurer le risque de la compagnie Machin pour les de 1 M$.
Je vais prendre un exemple : moi. J'ai une RC Pro, qui me protège dans le cas où je ferai des dégats dans une entreprise (par exemple, si j'interviens sur un serveur et que je le flingue, mettant en carafe toute l'entreprise). J'ai des clauses d'exclusions (le domaine financier n'est pas couvert par exemple). Mais j'ai aussi des plafonds de couverture. Je suppose que c'est aussi le cas ici : plafond atteint, donc indemnisation limitée.
A noter ici que c'est mon assurance qui couvre mes clients quand j'interviens chez eux et que l'erreur m'ait imputable. Rien n'empêche le client (et c'est même recommandé !) d'avoir une assurance qui le couvre également pour des choses qui peuvent arriver (un serveur qui crame de lui-même, un incendie, une inondation, un employé qui fait une bêtise volontairement ou non, etc.). Mais là aussi, il y a des plafonds.
Et il ne faut pas se leurrer : pour ce genre de chose, plus les plafonds sont élevés, plus les assurances coûtent chères (quand et si les compagnies d'assurances acceptent).
Non, j'ai pris comme référentiel l'autre véhicule pour ne considérer que l'écart à couvrir pour le doubler, sans regarder la distance totale parcourue. C'est bête, puisqu'on cherche le temps et pas la distance pour un durée déterminée (ça m'a gêné cette nuit :) )
Ton calcul est juste, merci!
Bon, au final, à 130 c'est 7km/h de plus pour doubler correctement en moins de 30s. Et le +20km/h est moins dramatique puisque en dépassement en 10s environ.
Une petite faute de frappe je pense dans le calcul de fry. 21,85m/s = 78,6km/h, pas 75,6km/h.
En fait, le différentiel de vitesse nécessaire pour doubler un véhicule ne dépend pas de la vitesse des véhicules, uniquement du temps souhaité et de la distance "en plus" que doit parcours le véhicule qui double.
Si on pose mathématiquement : - v1 : vitesse de la voiture qui est doublé - v2 : vitesse de la voiture qui double - d1 : distance parcouru par la voiture doublé - d2 : distance parcouru par la voiture qui double - D : distance parcouru en plus par la voiture qui double pour pouvoir doubler (ici = 50m) - t : le temps écoulé
Alors on cherche à calculer v2 à partir de ces différents éléments. Ce que l'on sait, c'est que : d2 = d1 + D
comme d1 = v1 x t et d2 = v2 x t, on obtient : v2 x t = v1 x t + D v2 = v1 + D/t
et donc le différentiel de vitesse : v2 - v1 = D/t. Indépendant de la vitesse initiale des véhicules (je suis resté dans le cas où on peut considérer la vitesse des véhicules comme étant non relativiste, approximation hautement valable tant qu'on reste à des vitesse bien inférieure à celle de la vitesse de la lumière ^^)
Résultat des courses (désolé pour le jeu de mot), pour dépasser un véhicule en prenant une marge de 25m avant et après (D = 50m), il faut : - pour 30s : 6 km/h de plus - pour 27s: 6,67 km/h de plus - pour 20s: 9km/h de plus - pour 15s: 12 km/h de plus - pour 10s: 18 km/h de plus
Juste un mot non pas sur la vitesse, mais sur le temps nécessaire : il faut le minimiser surtout sur route, pas tant sur autoroute. En effet, sur route, une voiture peut arriver d'en face, pas sur autoroute (en théorie), et il est donc nécessaire de limiter la durée pendant laquelle la voiture est déportée sur la voie d'en face (dans le cas d'une 1x1 voie hein !).
Le
29/07/2024 à
16h
39
Je ne sais pas ce qu'il en est aux Etats-Unis, mais en France, je pense que ce mécanisme ne tiendrait tout simplement pas.
Tout au plus, il pourrait y avoir communication aux forces de l'ordre de la position d'une voiture en flagrant délit d'excès de vitesse, mais impossible, en l'état actuel de la législation, de verbaliser automatiquement à cause d'un simple détail : les radars doivent être homologués et contrôlés périodiquement. Un défaut dans l'homologation ou si le contrôle a expiré, et les amendes du radars sont nulles (et si jamais ça arrive, cela ne résiste pas à une contestation).
2779 commentaires
La DARPA veut traduire automatiquement le code C en Rust
05/08/2024
Le 06/08/2024 à 09h 27
J'adore le monde d'aujourd'hui quand même. Pour sécuriser les choses, on en est à passer une couche de rouille. Le monde marche sur la têteLe 05/08/2024 à 23h 52
Ok je sors
Akamai alerte d’une explosion des attaques contre les API et applications web
02/08/2024
Le 05/08/2024 à 23h 39
Le 03/08/2024 à 22h 34
Le 02/08/2024 à 15h 15
Moi, pas vraiment.Je pense que les professionnels de l'IT (j'entends par là, ceux formés réellement au développement logiciel) ne produisent pas (ou alors très très peu) ce genre de faille.
Par contre, ceux qui écrivent du code en général (les autodidactes, les reconversions, etc... et j'inclus ceux qui ont suivi un bootcamp de 4 mois pour devenir dev fullstack + admin réseau en partant de rien) ne le sont souvent pas.
Les autodidactes, si non sensibilisés, idem. Et je parle en connaissance de cause, car j'ai commencé par être autodidacte avant de me former réellement, et c'est quand j'ai commencé à me former que je me suis rendu compte de l'ampleur de ce que je ne savais pas à l'époque (génie logiciel, sécurité, etc.).
Dans le cadre de mon boulot, je côtoie des personnes qui savent pondre une API, mais dont le développement n'est pas le métier de base. Parfois elles se débrouillent très bien, des fois, c'est la cata. Quand c'est juste pour un besoin ponctuel en interne pour une tâche rébarbative, ça passe. Quand il s'agit de mettre en place un système qui va devenir une API au contact de l'extérieur, ça peut faire mal.
Le métier de développeur est aujourd'hui devenu "critique" et nécessite de nombreuses compétences, compétences que tout le monde n'a pas. Mais on manque tellement de main d'oeuvre en informatique et les salaires semblent tellement mirobolant que le développement logiciel reste, aujourd'hui encore, une voie de reconversion.
Comme je dis toujours, ce n'est pas parce que je sais aligner 2 parpaings que je sais bâtir une maison : ce n'est pas parce qu'on sait aligner 2 lignes de code que l'on est capable de faire un logiciel.
Le métier de développeur est vu par certains (et j'ai envie de dire encore trop de monde) comme un métier technique de "pisseur de code". C'est loin d'être le cas. Aujourd'hui, pour être un bon développeur, il faut savoir écrire du code, le lire, le modifier, mais aussi être alerte sur la sécurité (chiffrement & co), un minimum de connaissance sur la gestion réseau (on ne peut pas décemment développer une API web sans savoir ce qu'est un DNS ou une requête HTTP), les réglementations en vigueur (à commencer par le RGPD), et j'en passe.
Chrome prévient : uBlock Origin ne sera bientôt plus supporté
05/08/2024
Le 05/08/2024 à 23h 34
- Inspector is very slow on pages with a lot of declarations
- Opening the DevTools panel is very slow when a lot of other tabs are loading
- [meta] Open developer tools slow down page load
Après, lorsque je fais du dev, comme la plupart des utilisateurs utilisent Chrome et ses dérivés, je teste en priorité sur pour ce navigateur avant de tester sous Firefox. Quand j'ai essayé de passer sous Firefox pour le dev, en me disant que les tests en preprod se feront quoi qu'il arrive sous Chrome, j'ai peté plus d'un cable à redémarrer mon FF qui avait planté, ou d'attendre des 10-45s pour avoir un outil qui réponde.
Du coup, j'ai fait le choix de l'efficacité.
Mais en perso, comme je n'ai pas besoin des outils de dev, je suis sous Firefox
Le 05/08/2024 à 13h 21
Le 05/08/2024 à 10h 51
Ca dépend pour quoi ;)Pour du dev, les outils développeurs sont beaucoup plus réactif sous Chromium que Firefox (j'arrive même à faire planter Firefox sur certains "gros" site tandis que Chromium les accepte sans broncher)
Le 05/08/2024 à 08h 52
Il y a une 4e solution : que le web se responsabilise et arrête la pub à outrance (bon ok, douce utopie[MàJ] Core i5 à i9 de 13e et 14e Gen : face aux problèmes, Intel ajoute deux ans de garantie
06/08/2024
Le 05/08/2024 à 10h 15
Ce n'est pas la version qui corrige le bogue côté Intel. Cette version est sortie bien avant la reconnaissance du bogue par Intel (je n'ai pas la date de sortie exacte, mais un utilisateur a installé la version v15.1.30/2330 le 25 janvier 2024, dans la v16.1.30.2307v4 est sortie avant cette date)
Je pense juste que le constructeur a fait une mise à jour vers un firmware plus récent, au cas où.
les Jeux Flolympicks d’été de Next
03/08/2024
Le 04/08/2024 à 17h 40
ça saute à l'oeil pourtant ;)Le 03/08/2024 à 22h 31
Bon anniversaire :)
Le 03/08/2024 à 15h 23
le concours mondial de la plus grande crêpe.Écoconception numérique : l’Arcep adresse ses recommandations à l’Europe
31/07/2024
Le 03/08/2024 à 15h 08
J'ai maintenant ma réponse (avec une dose gratuite de mépris au passage en plus d'une utilisation erronée du terme néoluddite ici). Merci.
Ton discours ne tient la route que si tu ne te limites qu'à un aspect en particulier. Si tu prends le contexte dans sa globalité, tu te rends compte que rien n'est aussi simple qu'il n'y parait. Tu peux te contenter de prendre des chiffres et de dire "voyez, il y a de la réduction" en ignorant les effets rebonds, répercussions, effets indirects, etc.
Le télétravail que tu donnes en exemple est justement assez parlant. Sur le principe, on se dit effectivement, que cela évite des trajets, donc diminue les CO2 du au transport. En pratique, c'est 3 à 5% de réduction seulement, si on prend en compte les changements d'habitude et les effets rebonds. Coup de bol, pour le télétravail (et encore, il faudrait distinguer le TT total du TT partiel), le résultat reste positif. Mais positivement décevant aussi. Et bien loin de l'ordre de grandeur de différence que tu prétends.
Je ne suis pas contre la 5G. Je suis contre le gaspillage. Aujourd'hui, les promesses de la 5G d'un point de vue énergétique ne sont pas tenues. Et ce n'est pas moi qui le dit. Donc être contre le déploiement d'une technologie qui s'avère au final plus énergivore et dont nous n'avons pas besoin, et dont on ne mesure pas encore aujourd'hui les effets rebonds, si c'est ça être néoluddite, alors oui, j'en suis un et j'en suis fier.
Le neoluddite te souhaite un bon week-end. Fin de discussion pour moi.
Le 03/08/2024 à 00h 23
Si c'est faux, je veux bien que tu me dises par quoi il faut commencer alors.
Absolument pas. Alors certes, je me suis trompé, ce n'est pas 5s, c'est 10.
Maintenant, j'aimerai sincèrement que mon dise quel usage aujourd'hui nécessite la 5g qui ne peut se faire en 4g. Le débit de la 4G, c'est mieux que l'ADSL, et peut atteindre des débits plus ou moins équivalent à celui de la fibre. En quoi est-ce de l'idéologie pure que de s'interroger sur le véritable besoin de cette technologie ?
Très bien, donnez moi un exemple d'un lieu où le déploiement de la 5G s'est fait en désactivant les réseaux présents ?
Pour finir, un dernier détail, qui est souvent oublié : une antenne 5G est plus efficace qu'une antenne 4G (d'un point de vue consommation énergétique j'entends). Mais une antenne 5G, c'est aussi une portée beaucoup moindre qu'une antenne 4G. En zone rural, la 5G, c'est un peu plus d'un km de porté. Pour la 4G, on peut monter jusqu'à 30. A superficie couverte égale, il faut donc jusqu'à 900x plus d'antennes 5G que d'antennes 4G !
Les études qui montrent l'efficacité énergétique de la 5G le font durant utilisation, par rapport à l'électricité consommée pour son fonctionnement. Si on prend compte le cycle de vie des équipements dans leur globalité, l'efficacité énergétique et écologique de la 5G est beaucoup, mais alors beaucoup moins flagrante (pour ne pas dire négative).
Toujours sur les études qui montrent l'efficacité énergétique de la 5G, elles ont également 2 énorme biais :
1) le déploiement étant en cours, ce sont les zones urbaines et non rurales qui sont privilégiés. Les antennes 5G se trouvent donc principalement dans les zones les "plus denses" où elles sont, en moyenne, plus sollicitées que que si le déploiement était terminée
2) en cas d'absence de 5G, le terminal de l'utilisateur essaiera d'utiliser la 4G. Le trafic réseau qui devait donc initialement passer par la 5G sera comptabilisé au niveau de la 4G, ce qui va fausser les calculs. Qui plus est, un utilisateur à proximité d'une antenne sur laquelle il y a à la fois la 4G et la 5G peut être hors de porté de la 5G, mais à la portée de la 4G. L'utilisateur est alors dans une zone plus éloignée de l'antenne, augmentant la consommation énergétique, notamment celle de son terminal.
Maintenant, si tu penses que c'est de l'idéologie pure de ma part, je ne vais pas te faire changer d'avis (et pour te dire, je m'en fiche). Je me suis renseigné sur la technologie, sur ce qu'elle apporte, en gain de débit et en gain de consommation par rapport aux technologies déjà existantes. Certains aspects sont effectivement améliorés. D'autres au contraire, sont aggravés.
La 5G ne sera source que d'une chose à mes yeux : pas de véritable confort d'utilisation en plus, mais un bel effet rebond qui sera bien plus important que le peu de gain énergétique qui sera réalisé, tout en incitant une partie de la population à changer de téléphone portable pour supporter la 5G, car c'est la techno du moment (même si ce n'est pas représentatif de la population, j'ouvre simplement les yeux autour de moi et je vois des personnes qui ont changé de tel non pas parce qu'il était obsolète/cassé, mais pour profiter de la 5G). Ces changements d'équipements prématurés ne sont pas pris en compte dans les études, et pourtant, participent grandement au désastre écologique.
Le 02/08/2024 à 17h 27
Je trouve problématique de se limiter à consommation au Go pour au final dire que cela ne consomme rien.
Déjà, et il faut en prendre conscience, en se disant que "machin" c'est rien dans un contexte de réduction de l'empreinte carbone, et bien rien de changera, car il n'existe pas un poste qui représente à lui seul ne serait-ce que 10% de la consommation à lui seul. L'empreinte carbone, c'est un ensemble de goutte d'eau.
De plus, le déploiement de la 5G (ou de tout autre réseau) change les habitudes, ce qui crée de nouveaux besoins, donc on investi dans de nouvelles infrastructures pour éviter la saturation, ce qui augmente la capacité du réseau, qui crée de nouveaux besoins, etc.
Il suffit de se projeter un peu en arrière et de voir ce qu'est devenu internet aujourd'hui et la place qu'il prend, par rapport ne serait-ce qu'au début des années 2000. Avant, les pages étaient légères, car les réseaux bien moins développés et rapide qu'aujourd'hui. Une page 1Mo il y a 20 ans, c'était une page lourde. Une page de 50Mo, avec la fibre, ça passe crème et cela se rencontre malheureusement très fréquemment, au point que nombreux sont ceux qui ne cherche même plus à optimiser le chargement de leur site.
Avec la cloudisation (si si, ça existe, je viens de l'inventer :p), nos besoins en réseau sont de plus en plus énorme, et pas que pour de la VOD. Avec les abonnements que nous avons aujourd'hui, l'utilisateur a l'impression que le réseau est une denrée infinie et inépuisable. Ce qui n'est pas le cas. La crise de la COVID a permis de le rappeler, lorsque le confinement était plus ou moins généralisés, et que les services de VOD ont temporairement baissé la qualité de leur flux pour éviter la saturation des réseaux.
Car si l'impact d'un flux réseau (quel qu'il soit) est minime en tant que tel, le changement d'habitude qu'il induit peut avoir des répercussions plus ou moins important. Exemple :
- la 5G est sortie, je vais me prendre un tel compatible pour pouvoir regarder les vidéos
- je voudrais une TV connectée pour pouvoir regarder Youtube/Netflix/Disney/Amazon tout ce que vous voulez sans avoir besoin de l'ordinateur
- ma tablette qui n'est plus mise à jour n'arrive pas à lire certains site / regarder certaines vidéos => on en rachète une
Ce qui parfois relève quand même de la bêtise pure, car pouvoir télécharger un film 4k de 2h en 5s sur un téléphone portable dont l'écran fait tout au plus 7''... comment dire... J'aimerais bien qu'on m'en explique l'utilité.
Et comme la demande augmente de la part des utilisateurs (on est toujours de plus en plus nombreux à être abonné à des services de VOD par exemple), il faut continuer à investir dans des infrastructures, et donc augmenter encore le coût écologique.
Pour en revenir à la 5G, elle viendrait remplacer les 3G/4G/fibre je dirais super, bonne nouvelle, allons-y. Mais ce n'est pas ça la réalité. La réalité, c'est que c'est un réseau supplémentaire, qui vient en plus des autres, autres réseaux qui ne sont pas près de s'arrêter non plus. C'est donc encore un coût énergétique supplémentaire, même si le cout au Go reste faible, cela reste un coût en plus.
Mais tant que nous serons dans une société consumériste, je doute que ce genre de chose change. De nouvelles habitudes appellent de nouveaux besoins. Répondre à ces nouveaux besoins offrent de nouvelles possibilités. De nouvelles possibilités appellent de nouvelles habitudes....
Le problème, c'est que tout (ou presque) est lié, directement ou indirectement.
Le 01/08/2024 à 14h 34
Chrome renforce la protection des cookies sur Windows, bientôt les mots de passe
01/08/2024
Le 02/08/2024 à 22h 57
Le 02/08/2024 à 15h 57
Il me semble que les applications UWP sous Windows fonctionnent ainsi. Il faudrait des droits plus fins par application.
Il y a au final que peu d'applications qui nécessitent réellement et légitimement d'accéder aux fichiers d'autres applications. A part les solutions de sécurité (antivirus) ou de sauvegarde, il doit bien y en avoir quelques unes, mais cela ne doit pas courir les rues (peut être aussi les gestionnaires de paquet, et encore !)
Oui, tout à fait. Mais cela ne protégerait que Chrome, alors qu'il y a d'autres données qui peuvent se révéler tout aussi critiques et qu'il est donc nécessaire de protéger également (ex: les drive, les clients lourds mails).
Que Chrome fasse des efforts pour protéger les données, c'est très bien. Que cette protection supplémentaire nécessite un module avec des droits super administrateur sur la machine, ça me parait hyperdangereux, d'autant plus que si le malware est déjà sur la machine, il peut communiquer directement avec ce module. Donc si le module a une faille... c'est tout le système voire le réseau qui est en danger.
Le 02/08/2024 à 12h 58
Ce qui me dérange, c'est que tu attends, de moi, que je te fournisse des solutions. Réponse : je n'en ai pas. Je ne fais qu'expliquer pourquoi c'est comme ça, et pourquoi le peu que tu proposes est irréalisable.
Si toi tu as la solution, n'hésite pas à la proposer ne serait-ce que sur le bugzilla de Mozilla. J'attends ton ticket avec impatience. C'est la première chose à faire, au lieu de te plaindre ici tout en disant des contrevérités sur Firefox.
Autre chose : les critiques que tu fais sur le fonctionnement des certificats locaux, ce n'est pas une problématique propre à Firefox. Tous les navigateurs ont le même. Alors, stp, arrête de dire sans arrêt des trucs comme "l'équipe n'a pas bien bossé les problématiques de LAN à mon sens" pour cracher sur Mozilla alors que le problème se révèle être systémique si j'adopte ton point de vue.
Le 02/08/2024 à 11h 09
Et en plus, c'est une ESR, donc bénéficie d'un support étendu. La nouvelle ESR vient de sortir (128, ce 9 juillet). On peut donc encore espérer quelques semaines de support pour la version 115 (ce qui vient en plus renforcer mon propos ^^).
Merci pour la précision
Le 02/08/2024 à 10h 59
Avoir des délais courts, ça signifie aussi que n'importe quel objet IoT non mis à jour arrêtera de fonctionner en quelques années (par ex. certaines "vieille TV" connecté ne peuvent plus se connecter à certains site aujourd'hui, justement à cause de problèmes de certificats, idem pour les vieux smartphones).
Ce qu'il ne faut pas lire... Aucun danger, es-tu réellement sûr ? C'est même là qu'il y a le plus de danger, notamment avec la multiplication des objets connectés. Mais non, voyons, c'est le réseau local, aucun souci, 100% confiance... ce n'est pas comme si les attaques de type MITM étaient infaisable sur les réseaux domestiques
Et Firefox n'est pas le seul, tout navigateur digne de ce nom te fera la même chose, car c'est ainsi que les choses fonctionnent, que tu le veuilles ou non (et j'ai compris que tu ne le voulais pas).
Lorsque tu ajoutes une exception pour un certificat auto-signé, la validation initiale t'incombe. Mais passée cette étape, la connexion est sécurisé et chiffrée au même titre qu'un certificat validée par une CA. Un changement de certificat, et Firefox (ou tout autre navigateur) va de nouveau t'envoyer bouler, ce qui doit t'alerter.
Le 02/08/2024 à 08h 34
Encore une fois non. Ce n'est pas une obligation. C'est un choix. Firefox a fait celui de ne pas dépendre de l'OS pour gérer les questions de sécurité lié aux certificats. Le fait que tu ne sois pas d'accord n'en fait pas un mauvais choix.
Je n'ai rien validé du tout. Je ne dis pas qu'une approche est meilleure qu'une autre. Je dis que les deux approches existent et se justifient.
Et je ne sais pas de quoi tu as besoin pour étayer. Des exemples ? Windows 7, fin de vie en 2015, supporté par Firefox jusqu'à l'année dernière. Dit autrement : firefox a supporté un OS déprécié pendant 9 ans de plus. 9 ans pendant lesquels cet OS n'avait justement plus de mise à jour des certificats CA, et où la stratégie de Firefox s'avère payante dans ce cas, luttant contre l'obsolescence logicielle.
Tu veux que j'aille encore plus loin ? Prenons l'exemple du CA de Symantec. Il a été retiré en 2018 de Firefox (et des autres navigateurs au passage) suite à des manquements répétés dans le processus de validation. Résultat des courses : une autorité de certification qui représentait près de 30% des certificats émis en janvier 2015 a été retiré des différents magasins. Un navigateur qui repose exclusivement sur l'OS l'aurait laissé passer, Windows 7 en premier (car plus supporté).
La stratégie de Mozilla, c'est aussi une sécurité supplémentaire en cas d'infection de ta machine. Ton système est infecté par un malware qui installe son propre CA dans le magasin de la machine et configure un proxy ? Firefox t'enverra bouler et t'avertira.
Ca tombe bien, ça fait quand même des années que Firefox permet d'utiliser le magasin de certificats de l'OS (depuis la version 49, soit 2016 !). Faut juste lui dire, car ce n'est pas la configuration par défaut...
Que les choix de Firefox ne te conviennent pas, je l'entends tout à fait. Mais ce n'est pas pour autant que se sont de mauvais choix et/ou qu'ils sont irréfléchis comme tu le prétends.
Le 01/08/2024 à 20h 36
C'est un choix réfléchis de la part de Firefox j'imagine. Pour ma part, Firefox est le seul navigateur installable sur certains systèmes obsolètes. Sur des systèmes non mis à jour, certaines CA persistent alors qu'elles ont été retirées de la liste des CA de confiance par les navigateurs et les systèmes d'exploitation (pour des raisons diverses et variées, le plus souvent lié à des manquements dans le processus de validation ou à un manque de communication). Sur ce genre de système non mis à jour, il est indispensable que le navigateur ignore purement et simplement la liste des CA du système.
Car oui, c'est tout con, mais il n'existe pas de révocation pour les certificats racines... car une révocation (CLR ou OCSP) doit être signée par le certificat parent, qui n'existe tout simplement pas dans ce cas là.
Chaque approche (se baser sur une liste interne ou sur la liste des CA du systèmes d'exploitation) à des avantages et des inconvénients. Il n'y a pas une méthode qui est meilleure que l'autre. Juste des contraintes différentes.
Les choix faits par Firefox ne te conviennent pas. Soit. Mais ce n'est pas pour autant que ce sont des choix irréfléchis et/ou inadmissibles.
Le 01/08/2024 à 14h 25
Et tu peux désactiver ces services (chose que font généralement les services IT qui cherchent à contrôler les versions de Chrome installées).
Aucune idée. Google doit le savoir, mais je n'ai jamais vu de chiffre là-dessus (je confesse que je n'ai pas non plus chercher à les avoir ^^)
Le 01/08/2024 à 11h 13
Le 01/08/2024 à 11h 12
- utilisateur simple : dispose de droits restreint et ne pas pas faire grand chose qui va nuire au système ou aux autres utilisateurs (mais qui peut nuire à son propre compte oui)
- utilisateur administrateur : dispose de droits restreint par défaut, mais peut les élever temporairement (par exemple, pour l'installation d'un programme). Il peut quasiment tout faire, mais pas tout.
- SYSTEM : accès complet à la machine (l'équivalent du root sous linux). C'est un compte système non associable à un compte utilisateur
Aujourd'hui, Chrome peut être installé par un utilisateur simple. Chrome ne sera alors disponible que par lui. Quand c'est un administrateur qui l'installe, il décide s'il veut l'installer pour lui ou pour tout le monde sur la machine.
Ceci étant dit, pourquoi tant de contestation me demanderas-tu ? A grand pouvoir, grande responsabilité (et ce n'est pas comme si le récent exemple de Crowdstrike ne venait pas nous le rappeler).
Ici, nous avons donc un Chrome qui peut être installé par un administrateur et utilisé par des utilisateurs avec droits simples (notons qu'une installation de Chrome par un utilisateur droit simple ne pourra pas installer le service qui nécessite des droits SYSTEM).
Nous avons donc un module "utilisateur" qui va communiquer avec un module "système" ayant les pleins droits sur la machine (toute similitude avec le drame d'il y a 2 semaines serait totalement fortuite). Même si je ne doute pas que les équipes de Google soient compétente en terme de sécurité, les bogues ça existent, et il y a régulièrement des mises à jour pour corriger des failles.
Ici, nous avons donc, en cas de faille, la possibilité pour un code malveillant s'exécutant "avec des droits simples" d'accéder non seulement à tous les fichiers de l'utilisateur, mais également à tous ceux des utilisateurs de la machine sur lequel il se trouve (voire plus via le réseau) si jamais une injection de code dans ce module de sécurité est découverte.
Au delà de l'accès aux données utilisateurs, une injection de code dans ce module pourrait permettre à un attaquant, et sans aucune restriction (utilisateur SYSTEM, ne l'oublions pas), de stopper toutes les solutions de protection présentes sur la machine et/ou de les rendre inefficace, offrant alors un vecteur d'attaque non seulement sur la machine, mais aussi sur le réseau auquel la machine appartient.
Nous avons affaire ici à un navigateur. Un navigateur est un miniOS en soit, et il n'est pas utile (=il ne devrait pas) installer des modules qui pourraient se révéler être de vraies bombes à retardement. De par son rôle, un navigateur est le premier moyen d'accès au Web, et se retrouve de facto comme cible privilégiée pour les attaques, qui peuvent venir aussi bien du web (par ex. une pub vérolée) que de la machine (un logiciel espion), sans parler de la "négligence" des utilisateurs.
Augmenter potentiellement les possibilités d'exploitation d'une faille me parait être une hérésie, surtout 2 semaines après le bogue CrowdStrike (avec comme similitude supplémentaire qu'il est bien difficile, même si cela reste faisable, de bloquer les mises à jour de Chrome).
Google a raison sur un point : ce sont des données sensibles qui doivent être protégées (notamment les jetons d'identifications). Mais au bout d'un moment :
- la responsabilité du navigateur doit s'arrêter et laisser faire le travail à des logiciels spécialement conçus pour (antivirus, EDR, etc.). Monitorer des accès à des fichiers par des applications, ça se fait depuis des lustres et c'est très utilisés pour détecter les comportements malveillants
- un navigateur n'est pas le seul à gérer des données sensibles. Il en va de même pour d'autres logiciels (en premier lieu, les drives et les clients lourds mails). La solution de Google ne protégera que Chrome pas le reste (et ce n'est pas à Google de protéger le reste)
Et si on zappe la partie sécurité, c'est sans compter les bogues qui ne manqueront pas d'arriver (perte des cookies, des mots de passe ou de tout autre données qui seront protégées par ce mécanisme). Ce n'est pas comme si Chrome avait justement "perdu" l'accès aux mots de passe pendant quelques heures il y a 2 jours....
Le 01/08/2024 à 09h 48
Ok. Donc pour augmenter la sécurité des cookies, Chrome veut injecter dans l'OS un service qui tourne sous l'utilisateur SYSTEM :- Elevation service, qui fait partie des sources de Chrome : https://chromium.googlesource.com/chromium/src/+/refs/heads/main/chrome/elevation_service/
Comment dire les choses simplement....
NON
NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON NON
Nouvelles vagues de vandalisme sur les fibres optiques : Internet perturbé en France
29/07/2024
Le 02/08/2024 à 14h 39
Le 30/07/2024 à 09h 50
Le 29/07/2024 à 14h 47
Le 29/07/2024 à 14h 31
Chez les « GAFAM », des dollars comme s’il en pleuvait par dizaines de milliards
02/08/2024
Le 02/08/2024 à 14h 34
Ca sonne un peu trop détente, même si ces chiffres donnent quelques suées
Rançongiciels : un « Big pharma » états-unien aurait accepté de payer une rançon de 75 M$
01/08/2024
Le 02/08/2024 à 11h 13
Clairement, surtout que payer :- alimente les groupes pirates en moyen financier (donc fait perdurer le système)
- ne protège aucunement contre les attaques à venir
- et comme ça ne protège pas des attaques à venir, qu'une faille a déjà été exploitée et qu'ils ont payé, on peut tenter le "même joueur joue encore" quelques mois plus tard !
Delta Air Lines compte réclamer des dommages et intérêts à CrowdStrike et Microsoft
30/07/2024
Le 01/08/2024 à 14h 31
Sans compter qu'il faudrait sans doute un certificat racine pour que le proxy puisse pleinement filtrer le contenu...
Sans compter le temps a y passer (et pour une solution de sécurité comme ça, cela pourrait être plusieurs fois par jour).
En bref, si la solution ne propose pas de base de solution pour contrôler les mises à jour, on peut très certainement y arriver, mais ce sera très casse-gueule et risque de créer plus de problème que cela est sensé résoudre.
Le 31/07/2024 à 09h 26
Dernier paragraphe :Ca va quand même être intéressant à suivre. En effet, ce genre de clause (pour ce genre de logiciel) est surtout là pour dire que le produit n'est pas infaillible et peut laisser passer des menaces. Si une menace passe et que votre infra tombe, on se limite à rembourser le logiciel, pas les conséquences.
Mais là, la panne a été causé PAR le logiciel lui-même. C'est autrement différent en guise de responsabilité.
Crowdstrike est d'autant plus responsable qu'on ne parle pas d'une entreprise qui est tombée à cause d'un bogue rarissime sur une configuration abscons (où, là encore, cela pourrait se discuter car il n'est pas possible de tester tous les cas), mais bien d'un plantage général d'un bogue qui n'est que de la responsabilité de Crowdstrie, avec des défauts dans les procédures de vérifications (cela a été annoncé par Crowdstrike même), et non testable avant par le client final car déployé automatiquement.
Bref, ce genre de clause, ici, ce n'est pas garantie qu'elle saute, mais ce n'est pas garantie qu'elle tienne non plus. Affaire à suivre.
Fiasco CrowdStrike : la chronologie des évènements, les mesures prises par l’éditeur
24/07/2024
Le 01/08/2024 à 11h 35
A priori, une première plainte a été déposée... par les actionnaires !Saint-Denis va, elle aussi, tester la vidéosurveillance algorithmique
31/07/2024
Le 01/08/2024 à 11h 16
Le 01/08/2024 à 09h 38
J'ai essayé de creuser pour voir. J'ai trouvé un chiffre dans ce document sur lequel je suis tombé via un lien donné dans l'article (celui-ci pour être précis).Difficile de savoir dans quel contexte cette phrase a été dite. Toutefois, si on se limite à la commune de Saint-Denis, et un taux de positivité de 85% (extrait du lien que je donne), cette phrase peut prendre un sens.
Reste maintenant à définir ce que cela veut dire un taux de positivité. Personnellement, je ne sais pas.
La Cour des comptes pointe (encore) les carences informatiques de l’Élysée
31/07/2024
Le 31/07/2024 à 16h 07
Je ne suis pas certains que les fonctions de RSSI et de DPD soient compatibles (= rôle attribué à la même personne). Le DPD doit, en théorie, ne pas être en conflit d'intérêt dans le cadre de ses fonctions. Ce qu'il sera de facto s'il est également RSSI.les rôles sont complémentaires (et doivent même collaborer ensemble sur par mal de sujets), mais ne peuvent pas être tenu par la même personne.
[edit] rajout du texte en italique
Sur Windows, Chrome a fait disparaître les mots de passe pendant 18 heures
30/07/2024
Le 31/07/2024 à 15h 30
Le 31/07/2024 à 09h 03
Bilan du RGPD : 4,2 milliards d’euros d’amendes, des efforts à faire sur la coopération
30/07/2024
Le 31/07/2024 à 10h 21
Exemple : les informations concernant mes anciens employés (fiches de paies, contrat, etc.) je dois les conserver pendant 5 ans après son départ (aspect légal) alors qu'en pratique, je n'en ai plus besoin au bout de quelques mois car je n'ai plus de traitement à ce sujet (les cotisations sont payées, etc.).
Le principe du RGPD voudrait que je supprime ces données (cf. article 5 du RGPD). La loi m'impose de les conserver.
Alors certes, il existe des cas où ces données pourraient encore me servir. Par exemple, si un employé m'attaquait au prud'homme. Mais les délais sont plus court (2 ans). Contrôle URSSAF ? 3 ans. Contrôle fiscal ? 3 ans aussi. Je dois donc légalement conserver des informations totalement inutiles pendant 2 ans de trop.
C'est en cela que je dis que ça va à l'encontre du principe de minimisation prôné par le RGPD.
Le 31/07/2024 à 09h 31
Je ne dis pas que c'est ce que dit user6811, je dis que c'est comme ça que je l'ai compris. En tant que chef d'entreprise par exemple, j'ai des obligations légales qui vont "à l'encontre" du principe de minimisation des données prévues par le RGPD.
Le 31/07/2024 à 09h 00
C'est d'ailleurs bien pour ça qu'avec mon côté parano, je mets toujours un filigrane sur les documents d'identité que je transmets, avec la date + l'organisme + le but recherché. Ainsi, s'il y a une fuite :
1) je sais d'où elle vient
2) le document ne peut pas être réemployé (et si il l'est, l'organisme l'ayant fait sera en tort car accepter un document sur lequel il est marqué à usage exclusif de XXX, c'est une faute de sa part)
Le 30/07/2024 à 22h 34
Franchement, j'adore l'illustration. La prochaine fois, ce sera Timon et Pumba xDHakuna Madata !
Mais quels jolis mots !
Hakuna Madata !
Pas de soucis pour les infos !
Ce sont tes données personnelles,
Libérées, sans querelle,
Hakuna Madata !
Ces p'tites infos, j'ai dû les donner,
Quand j'visite des sites pour rigoler,
Ils m'ont dit, pas de problème !
Juste un petit formulaire, et on se connaît !
Oh, qu'importe les préférences,
Cookies, traceurs, tout est dans la danse !
Hakuna Madata !
Mais quels jolis mots !
Hakuna Madata !
Pas de soucis pour les infos !
Ce sont tes données personnelles,
Libérées, sans querelle,
Hakuna Madata !
Et bien sûr, quand tu navigues en ligne,
Tu laisses des traces, sans même savoir la combine,
Les pubs ciblées, elles savent tout de toi,
Tes goûts, tes envies, même où t'habites toi !
T'inquiète, c'est pour améliorer,
Ton expérience sur le web, t'façon c'est payé !
Hakuna Madata !
Mais quels jolis mots !
Hakuna Madata !
Pas de soucis pour les infos !
Ce sont tes données personnelles,
Libérées, sans querelle,
Hakuna Madata !
Panne CrowdStrike : seuls 10 à 20 % des 15 milliards de dollars de pertes seront remboursés
29/07/2024
Le 31/07/2024 à 09h 56
A noter ici que c'est mon assurance qui couvre mes clients quand j'interviens chez eux et que l'erreur m'ait imputable. Rien n'empêche le client (et c'est même recommandé !) d'avoir une assurance qui le couvre également pour des choses qui peuvent arriver (un serveur qui crame de lui-même, un incendie, une inondation, un employé qui fait une bêtise volontairement ou non, etc.). Mais là aussi, il y a des plafonds.
Et il ne faut pas se leurrer : pour ce genre de chose, plus les plafonds sont élevés, plus les assurances coûtent chères (quand et si les compagnies d'assurances acceptent).
Ford propose d’utiliser des voitures connectées pour dénoncer les excès de vitesse à la police
29/07/2024
Le 31/07/2024 à 08h 31
En fait, le différentiel de vitesse nécessaire pour doubler un véhicule ne dépend pas de la vitesse des véhicules, uniquement du temps souhaité et de la distance "en plus" que doit parcours le véhicule qui double.
Si on pose mathématiquement :
- v1 : vitesse de la voiture qui est doublé
- v2 : vitesse de la voiture qui double
- d1 : distance parcouru par la voiture doublé
- d2 : distance parcouru par la voiture qui double
- D : distance parcouru en plus par la voiture qui double pour pouvoir doubler (ici = 50m)
- t : le temps écoulé
Alors on cherche à calculer v2 à partir de ces différents éléments.
Ce que l'on sait, c'est que :
d2 = d1 + D
comme d1 = v1 x t et d2 = v2 x t, on obtient :
v2 x t = v1 x t + D
v2 = v1 + D/t
et donc le différentiel de vitesse : v2 - v1 = D/t. Indépendant de la vitesse initiale des véhicules (je suis resté dans le cas où on peut considérer la vitesse des véhicules comme étant non relativiste, approximation hautement valable tant qu'on reste à des vitesse bien inférieure à celle de la vitesse de la lumière ^^)
Résultat des courses (désolé pour le jeu de mot), pour dépasser un véhicule en prenant une marge de 25m avant et après (D = 50m), il faut :
- pour 30s : 6 km/h de plus
- pour 27s: 6,67 km/h de plus
- pour 20s: 9km/h de plus
- pour 15s: 12 km/h de plus
- pour 10s: 18 km/h de plus
Juste un mot non pas sur la vitesse, mais sur le temps nécessaire : il faut le minimiser surtout sur route, pas tant sur autoroute. En effet, sur route, une voiture peut arriver d'en face, pas sur autoroute (en théorie), et il est donc nécessaire de limiter la durée pendant laquelle la voiture est déportée sur la voie d'en face (dans le cas d'une 1x1 voie hein !).
Le 29/07/2024 à 16h 39
Je ne sais pas ce qu'il en est aux Etats-Unis, mais en France, je pense que ce mécanisme ne tiendrait tout simplement pas.Tout au plus, il pourrait y avoir communication aux forces de l'ordre de la position d'une voiture en flagrant délit d'excès de vitesse, mais impossible, en l'état actuel de la législation, de verbaliser automatiquement à cause d'un simple détail : les radars doivent être homologués et contrôlés périodiquement. Un défaut dans l'homologation ou si le contrôle a expiré, et les amendes du radars sont nulles (et si jamais ça arrive, cela ne résiste pas à une contestation).
Les États-Unis accusent TikTok de collecter les avis politiques de ses utilisateurs américains
29/07/2024
Le 29/07/2024 à 20h 30
Il manque la réponse D : Obi-Wan Kenobi.