On peut citer le risque lier aux assurances / prêt / mutuelle / etc. comme l'ont déjà fait d'autres commentaires, je ne vais pas forcément revenir dessus.
Cela permet également de connaitre beaucoup de chose sur la personne. Son genre, son origine ethnique (d'un point de vue "purement ADN" bien sur), certains problèmes de santé. Pour certains, une partie de nos comportement trouverait son origine également dans notre ADN. Avoir tout ça, permet d'établir un profil, permettant de mieux réaliser une attaque, ou simplement de faire de la publicité ciblé (homme grand blond aux yeux bleus vs une femme noire d'origine africaine par exemple).
Cela pourrait également avoir de nombreux impacts dans plein de domaines, de la recherche d'un emploi à l'octroi d'un logement par exemple.
Autrement dit : la personne malveillante ne va pas forcément en faire grand chose par elle-même. Simplement "revendre". Les conséquences de cette revente va forcément dépendre de qui achète.
On pourrait également avoir une variante du prince Nigérian sinon (on a vu avec votre ADN que vous étiez le seul et unique héritier, ...)
« Oui à du réseau mobile sur l’ensemble du territoire, mais non aux antennes ;
oui à la 5G, mais attention aux ondes ;
oui à la fibre, mais non aux travaux dans les rues ;
oui aux débits de plus en plus élevés et à une qualité de service optimisée, mais à des conditions sans rapport avec le niveau des investissements associés ».
Merci pour ces précieux conseils, j'ai ouï dire qu'un premier run sans se spoiler et en utilisant le moins d'aide extérieure était conseillé, puis qu'un deuxième pouvait être fait avec assistance pour aller plus en profondeur.
Yep !
Le premier run est tout simple, et la map semble tout ce qu'il y a de plus classique. Rien d'anormal ai-je envie de dire.
Le deuxième run, pour commencer à être fun, c'est comme le premier. Sauf qu'à la fin, après être sorti de la maison mais avant de sortir du niveau, il faut faire le tour de la maison et y rentrer de nouveau. Pour le reste, je te laisse découvrir sans spoiler ;)
Le
01/01/2024 à
13h
39
J'ai acheté Doom 2 rien que pour y jouer Il est disponible chez GOG pour une bouchée de pain.
Pour profiter pleinement du jeu, il faut aussi consulter le journal, qui donne de précieux indices sur le jeu, et participe grandement à la création de l'ambiance très spéciale.
Tout est disponible sur le google drive du créateur : Google
Et si avec la vidéo cela semble "facile" d'en venir à bout, avec les labyrinthes, c'est une autre paire de manche !
Faux, Non, il n'en manque pas : dans les années 90-2000 ont été créées deux standards parfaitement fonctionnels, fiables et interopérables : sip pour la ToIP, qui fait aussi messagerie xmpp, pour la messagerie, qui fait aussi voix (omemo+jingle) cela fait des années que les solutions proprio ont tout misé sur la facilité pour absorber des miyiards d'utilisateurs dans le monde, et ont réussi or, depuis plus de vingt ans xmpp et sip existent, et bien que @matrix ait essayé de les engloutir non sans casser du sucre ni du pognon, il est tout à fait évident que ces deux ci, puissent prendre le dessus : conversations/quicksy fonctionne du tonnerre de dieu sur android (monal sur ios) linphone et d'autres applis sip interopérables, également
sachant qu'aucune limitation d'appareils, dispos sur tel comme ordinateur.
pour moi, je pige pas juste que : les gens s'y intéressent pas plus (ah si, la facilité) nextinpact fait une promo overdosée d'olvid, il n'y a pas eu qu'un article promotionnel (à l'inverse de l'Informé (pikebu @marc) qui a su analyser cette soudaine célébrité) on attends toujours les articles de NXI sur les messageries alternatives : matrix, sip, xmpp, signal, session, briar (best one), tox, et les dizaines d'autres.
vous trouvez qu'il y en a trop? restez sur xmpp (ou matrix) + sip, et ne soyez pas joignables sur whapp/telegram. mieux que boycotter, passez par le réseau traditionnels, ou les mails : c'est interopérable, ça fonctionne aussi :)
Je ne me prononcerais pas pour la ToIP que je ne connais pas vraiment. Pour avoir étudier XMPP par contre, je vois plusieurs écueil à ce standard : - c'est une collection de "compliance" (en gros, de fonctionnalité). On peut avoir un serveur XMPP qui fasse de la messagerie instantanée, mais pas de la vidéo, ou inversement. Du coup, dire machin est ouvert car basé sur XMPP ne vient rien dire tant qu'on ne sait pas quels sont les fonctionnalités supportées - le standard évoluant beaucoup, beaucoup de XEP sont encore non finalisées. Il est donc plus ou moins courant d'avoir des fonctionnalités qui "marchouillent", à cause d'un souci de spécifications entre le client et le serveur (soit parce que les spécifications ont évoluées, soit parce que l'implémentation est incomplète / boguée, soit du côté client, soit du côté serveur) - le XMPP est basé sur du XML. Très bien pour de nombreuses choses, beaucoup moins pour d'autre (les streams audio et vidéo par exemple), nécessitant la mise en place de protocoles plus moins complexe comme Jingle - la plupart des gens de s'y intéresse pas, car ils s'en foutent royalement de ce qu'est XMPP. Cela relève du détail technique. Ce qu'ils veulent, c'est pouvoir communiquer via messagerie instantanée ou passer des appels vidéo - en l'état actuelle des choses, certaines fonctionnalités de XMPP nécessite que le serveur, le client A et le client B supporte tous, et de manière compatible, les fonctionnalités souhaitées pour pouvoir en bénéficier. A l'époque où j'avais essayé, les appels vidéo étaient très sensible à ça, et le meilleur moyen d'y arriver, c'était que le client A et le client B utilise le même client de messagerie (et dans la même version !) - il faut saisir ses contacts un à un (pas de migration "auto" possible depuis ses contacts comme avec d'autres services comme Whatsapp)... si on sait qu'ils ont un compte compatible XMPP !
Avec le recul, je trouve XMPP très bien... en théorie. C'est un standard ouvert, utilisable par tout le monde. Mais en pratique, tous les clients et tous les serveurs qui utilisent XMPP n'ont pas un support équivalent, provoquant de nombreux problèmes de communication et d'interopérabilité.
Du coup, moi je suis sans messagerie instantanée (sauf le SMS :p). Donc c'est mail, SMS + téléphone. Pas envie de me faire ch* avec 36 applications et me souvenir laquelle utiliser en fonction de mon correspondant.
Le
29/12/2023 à
14h
15
Suis-je le seul à avoir chercher ce que pouvait vouloir dire le contenu de la bulle du dessin de Flock ?
En base 64, j'ai trouvé les mots "configurat" et "launched. In this" (les 2 dernières lignes, les premières ne veulent rien dire, c'est du binaire). Je retourne à ma pas de vie xD
Non ce n'est ni cohérent ni sensé, c'est au contraire un non-sens. https://www.academie-francaise.fr/cette-nouvelle-sest-averee-fausse Ton exemple "ce n'est pas vrai" ne contient pas le terme avéré qui signifie par définition vrai. Lorsque tu dis "avéré faux", c'est comme dire "vrai faux". Il faut choisir, c'est l'un ou l'autre, pas les 2 à la fois.
Pour compléter, il faut en fait distinguer le verbe "avérer" du verbe pronominale "s'avérer" : - avérer : qui est vrai (ce fait est avéré) - s'avérer : qui est une forme plus ou moins acceptée aujourd'hui comme synonyme de "se révéler".
Du coup : - ce fait est avéré : forme correcte - ce fait est avéré vrai : pléonasme - ce fait est avéré faux : contresens - ce fait s'est avéré faux : ce fait s'est révélé faux.
La dernière forme est très litigieuse, surtout compte tenue de l'étymologie, et on l'évitera donc. Soit on remplace "s'avérer" par "se révéler", soit on change la tournure de la phrase : As tu des exemples avérés de fact check concernant les vaccins qui soient faux ?
Finalement, ça me sert les cours du projet voltaire ^^
Le
28/12/2023 à
13h
58
L'utilité des vaccins est une des choses les moins bien comprise par nos politiques et leurs portes-parole. Bon nombre des scientifiques disent également des inepties. Il n'y a que de vrais épidémiologistes pour justifier en détail si un vaccin est utile ou non.
Je suis tombé sur cette vidéo l'autre jour : YouTube
La conclusion de la vidéo est tout ce qu'il y a de plus d'actualité.
Oui. Et ? Cette interface plait à beaucoup. Peut être pas à toi, mais à d'autres oui.
un support commercial
Oui. Et ? La grande majorité des distributions linux n'en ont pas (et non, l'aide communautaire n'est pas un support commercial)
une dépendance à une entreprise
Où est la dépendance ? De plus, Zorin OS est libre
Mais à quel paradigme ces utilisateurs (consommateurs ?) s'accrochent-ils ?
Il y a une chose incroyable qui existe aujourd'hui, c'est la liberté de choix, et le respect des autres. Ce n'est pas parce que les autres n'ont pas le même avis que toi sur un sujet qu'ils ont tord.
Sans surprise, un dérivé d'Ubuntu, distribution faite pour les prisonniers qui veulent prétendre ne plus l'être.
Zorin OS ne te convient pas ? Très bien. Prends une autre distribution. Il y a beaucoup de choix. Ce n'est pas pour autant qu'il faut manquer de respect envers celles et ceux qui ne partagent pas de ton avis.
Pour rappel, il faut parler de distribution GNU/Linux, car Linux n'étant que le noyau, l'écrasante majorité des outils l'entourant (et avec lequel l'utilisateur s'interface 100% du temps) sont des outils pour la majorité GNU… et d'autres qui ne sont pas libres.
Et blablabla. Ce débat, sur le nom, bien qu'intéressant sur certains aspects, n'a pas sa place ici, car on est très loin du sujet. ZorinOS, c'est pour des néophytes, des non-initiés. Et croire que c'est GNU/Linux parce que la majorité des outils sont GNU, c'est ne strictement rien avoir compris au problème sous-jacent (et ce n'est pas ma position, mais celle de Richard Stallman, père du projet GNU). Mais sinon, moi je milite pour une convention du style Grub/GNU/Linux/SystemD/Flatpak/Kde/Firefox :p
[edit] J'avais oublié le chargeur de démarrage dans ma convention. Je l'ai rajouté
Je suis tombé sur ce reportage. Absolument incroyable : YouTube
En très très gros : c'est un mod de doom.
Mais un MOD à tiroir. On peut le finir en quelques minutes, en se disant, ouais, c'est juste un MOD. Mais si on creuse... on tombe dans un univers très noir, extrêmement travaillé, aux multiples fins, très psychologique, à la prouesse technique également, qui plaira beaucoup aux nostalgiques.
Le
24/12/2023 à
10h
18
Je me souviens d'un service qui, pour prouver que les conditions n'étaient pas lus, avait mis qu'en les acceptant, l'âme était "vendue" à la société
Sinon, lors des auditions de Mark Zuckerberg aux Etats-Unis (je crois que c'était dans le cadre du scandale de Cambridge Analytica), un membre de la commission en charge de l'audition, plutôt familier avec le droit (c'était son métier) avait dit deux choses très intéressantes : - la longueur des CGUs étaient absolument imbitable - le contenu était incompréhensible, même pour lui, pourtant spécialiste du droit. Il y avait des phrases qu'il n'arrivait tout simplement pas à comprendre.
Il faut lire également l'article jusqu'au bout. 68 000 €, c'est pour 2 contrôles seulement. Il y en a encore 15 en attente, et je ne me risquerai pas à une règle de 3 vu les chiffres.
A voir aussi sur le long terme. Car comme précisé, le coût indiqué c'est le coût "sans prendre en compte les moyens humains internes à l’administration et les dispositifs informatiques préexistants". Donc c'est plutôt un coût de développement et de mise en place, c'est-à-dire un coût "oneshot" et pas un coût "régulier".
Notons également l'effet dissuasif que cela peut avoir, et si certains rentrent dans les clous "par peur", c'est autant de montant qui ne seront pas récupérés via les contrôles, mais pourtant récolés indirectement grâce à ce dispositif.
Donc parler de rentabilité (ou non), aujourd'hui, me semble un peu prématuré.
ah bah non, et faut bien que les totomobilistes m'entendent, ça aide pas mal en vrai. et c'est toujours plus agréable que le bruit des voitures.
Les piétons, je veux bien, les automobilistes, j'ai des doutes ;)
Le
26/12/2023 à
13h
39
Ah bah pas le choix, c'est interdit les écouteurs à vélo.
Il y a toujours le choix ;) Ne rien écouter :p
Le
26/12/2023 à
11h
09
Perso, j'ai une bonne grosse enceinte JBL sur mon vélo, que je mets à 50% pour écouter la radio.
Le
26/12/2023 à
09h
49
Dans le même style, à savoir "pollution" qui gène l'entourage : le nombre de personnes que je vois écouter de la musique à fond dans la rue sur une enceinte portative au lieu de simplement mettre des écouteurs. Et je ne parle pas de groupes, mais de personnes seules !
Alors d'accord, le "silence" n'est pas un service essentiel. C'est un bien commun, ainsi que le respect d'autrui.
Ça dépend : DPD est une entreprise de transport. Wikipedia
Ce que je voulais dire, c'est que dans le cadre du RGPD, on parle du Délégué à la Protection des Données, ou DPO (mais très rarement de DPD).
Le
21/12/2023 à
08h
23
Ils ont oublié l'essentiel : on dit "chiffrer" et non "crypter" ( je suis déjà dehors ).
Plus sérieusement, il n'y a que DAD qui me pose problème. Ca fait Développement à la demande, pas plateforme de développement à la demande. Je constate qu'on a du mal en français (en tout cas, en France) avec des acronymes qui pourraient être détournés de manière offensante.
On ne parle jamais de DPD, mais de DPO. On ne parle pas de PDAD, mais de DAD. C'est pas la première fois que je le remarque...
Effectivement en copiant / collant l'URL j'ai l'avertissement. Et je ne pige pas la différence :(
Il suffit de regarder : - le lien : YouTube - le texte : Next
Du coup, quand tu cliques sur le lien, tu es redirigé vers YouTube. Le lien ne contient pas le @ => pas d'alerte. Le texte en contient un, mais on s'en fou, car ce n'est que du texte...
Le
20/12/2023 à
16h
23
Si Vivaldi dégoupillait une alerte pour ce type de lien bien spécifique, il faudrait AUSSI faire de même pour tous les autres liens potentiellement trompeurs, bloquer systématiquement les redirections, etc. Là, l'antique comportement de Firefox que tu trouves rassurant ne fait que masquer un petit symptôme marginal sans résoudre un problème plus global.
Pas vraiment d'accord, à cause d'un simple fait : l'usage légitime du @ dans une adresse HTTP(S) au sein d'un navigateur (je dis bien, au sein d'un navigateur)... ben je n'en vois pas. De ce fait, cela ne peut résulter dans la grande majorité des cas d'un comportement dangereux.
Les autres comportements que tu cites (lien trompeurs, redirections, etc.) sont des comportements très utilisés aujourd'hui, et il serait bien difficile de trier le bon grain de l'ivraie.
Le
19/12/2023 à
07h
26
J’avais bien pensé à USER sans MDP mais je savais pas que c’était autorisé.
C'est assez peu utilisé avec le HTTP. Ce fut plus ou moins courant avec les FTP par contre, dont les URL fonctionnent exactement de la même manière que pour HTTP, sauf que le schema est ftp:// au lieu de http://
Le
18/12/2023 à
14h
37
Le hack ne nécessite pas le contrôle du serveur. Il pourrait s'agir d'une simple faille (sans aller jusqu'au contrôle donc) à un lien dans un commentaire. Difficile de demander au serveur d'envoyer une en-tête pour l'authentification dans ce cas.
Pour ma part, je pense qu'il serait plus simple de bannir cette utilisation tant elle est peu usitée dans ce genre de contexte. Et si vraiment il y en a besoin, le public cible doit être très restreint et devrait aller modifier lui-même les paramètres du navigateur pour l'autoriser.
Le
18/12/2023 à
14h
31
C'est même pas la version 4k... ça craint
Blague à part, si j'apprécie grandement le rick roll en général, ici, il gâche complètement l'effet de vouloir montrer l'impact du @ sur l'URL, puisque le texte et le lien vers lequel il redirige ne sont pas les mêmes, et que le "vrai" lien ne contient même pas de @. Eventuellement un YouTubeaurait été plus adapté (tout en conservant la "blagounette")
300 Mo ou 300 Mbps ? ^^ On va optimiser tout ça sinon, c'est vrai que ça fait désordre. Et le jour où on aura vraiment des lecteurs, ça peut devenir contraignant pour le serveur
Après, au niveau ressource serveur, il suffit de monter un cluster Kubernetes avec répartition de charge, autoscaling, réplication de la BD sur 5 machines différentes avec un cluster Redis de 10 machines pour la mise en cache.
Ah... on me dit dans l'oreillette que c'est un peu overkill
Le
20/12/2023 à
15h
57
300 Mo ou 300 Mbps ? ^^ On va optimiser tout ça sinon, c'est vrai que ça fait désordre. Et le jour où on aura vraiment des lecteurs, ça peut devenir contraignant pour le serveur
Ce sont les chiffres opérateurs, donc 300Mpbs (ça fait 8x plus que si le débit était annoncé en Mo/s xD)
Mais même 300Mpbs, c'est amplement suffisant. Car même si le serveur tiens la charge derrière, je suis limité par mon Wifi derrière :p
Le
20/12/2023 à
11h
17
Non. J'ai actuellement 4 notifications qui ne disparaissent pas (5 maintenant !) malgré des rafraîchissements de la page. Le tien a par contre bien disparu.
J'ai eu aussi le problème. De mon côté, c'était une problématique de chargement de la page, ce qui peut survenir, surtout sur une connexion un peu lente (soit en débit, soit à cause de la latence).
En gros, il y a 1 requête par commentaire. Donc sur un sujet sur lequel il y a beaucoup de commentaire, cela prend du temps, et si tu navigues trop vite, je pense que le commentaire n'est tout simplement pas marqué comme lu, d'où la persistance de la notification.
Donc, essai d'ouvrir la page correspondant en cliquant que la notification, attends de nombreuses secondes pour être sur que la page est entièrement chargée, et voit ce que cela donne ensuite.
[edit] histoire de donner un ordre d'idée, avec une connexion fibre 300 Mo, il m'a fallu 40s pour un chargement complet de cette page. 386 requêtes au total, dont 128 d'Ajax.
« Cryptées » et « chiffrement de niveau secret défense » dans la même phrase, c’en était trop pour certains, d’autant plus venant d’un docteur en cryptographie.
Je ne sais pas si je dois me sentir visé ou pas car j'avoue que je l'ai fais.
Juste un petit bémol quand même : utiliser des approximations lorsqu'on fait preuve de vulgarisation ne me dérange pas si cela apporte un réel plus d'un point de vue pédagogie.
Chiffrer/crypter, il n'y a pas de différence pour le commun des mortels, et les deux sont compris. Qu'un néophyte se trompe ne me pose pas de problème et ne se prendra aucune remarque. Qu'un expert le fasse, c'est un peu plus dérangeant.
Les reproches que j'ai pu exprimer à l'encontre de cette déclaration erronée ne concerne pas tant l'usage/le mésusage de la langue française, mais le manque de plus value que cela apporte et de fait l'impact sur la crédibilité de la personne ayant tenu ces propos. Dans la mesure où il y avait d'autres propos qui posaient des problèmes pour des raisons différentes.
"Mettre de l'eau dans son vin" est effectivement une bonne chose, lorsque le discours reste juste sur le fond. Quand on souhaite argumenter et exprimer des doutes sur la qualité du discours de l'intervenant pour exprimer un doute général, on s'attaque aussi bien à la forme qu'au fond. Surtout lorsqu'il y a du "bullshit marketing" derrière.
Il faut savoir précisément ce que l'on entend par "entrainer" : - est-ce réaliser des jeux de données sur lesquels entrainer (= instruire) le modèle ? - est-ce réaliser des jeux de données sur lesquels vérifier le résultat de l'entrainement (= examen) ? - est-ce afin de comparer les performances entre modèles ?
Le point 1 est clairement celui qui est problématique. Le point 2 peut l'être, ou non, en fonction de comment est utilisé le résultat. Si c'est juste pour avoir une évaluation (genre 90% des réponses sont correctes) mais sans se servir de ce feedback pour faire une boucle de rétro-action quelconque sur l'apprentissage, alors je ne pense pas que cela pose de problème particulier. Le point 3 n'est pas problématique.
Fun fact : je suis en train de me refaire la série actuellement. Ca a certes un peu vieilli, mais c'est fou comme parfois j'ai l'impression de voir le contenu des rubriques "vrai ou faux" des actualités.
Héhé, je comprends. Je me suis fais l'intégrale il y a 2 ou 3 ans. J'étais tombé sur le coffret complet.
Ce que j'aimais bien, c'était le côté sans lien entre les épisodes (en tout cas, au début). On pouvait rater un épisode ou deux, cela ne changeait pas grand chose à l'histoire (puisqu'il n'y en avait pas).
Puis après est venu se greffer la théorie du complot, et là, hors de question de rater un épisode si on veut être sur de tout comprendre... Du coup, se sont les premières saisons mes préférées :)
Le
17/12/2023 à
09h
58
D'après X, c'est faux, la Vérité est dessus. 😝
Moi, dans mon enfance, on m'a rétorqué sans cesse que "la vérité est ailleurs"... Mais maintenant que Twitter s'appelle X, est-ce que chercher dans ses archives correspond à ouvrir les X-files ? (tuu tuu tuuu tuuu tuuuuu tuuuuuuuuuuuuu)
Le
16/12/2023 à
08h
26
Je suis d'accord avec ce que tu avances, mais il ne s'agit pas ici d'une discussion entre experts, juste du message que l'on souhaite faire passer, d'un exercice de comm. Une réaction sur un média grand public, regardé donc par le grand public. Personne ne va s'amuser à aller expliquer ça devant les caméras.
On a un édito qui arrive sur ce point, parce c'est la vieille thématique du curseur sur le niveau de détail, avec d'un côté une vente d'absolus, et de l'autre le monde des sachants qui, eux, savent bien que rien de tout ça n'existe réellement.
Bon ben voilà, j'ai l'air malin maintenant. La plupart des propos sur lesquels je réagis ne sont pas les siens et sont issus d'une déformation...
Maintenant, au delà de ça, je suis d'accord de faire preuve de tolérance lorsqu'il ne s'agit pas d'une discussion entre experts et qu'il faille parfois faire preuve de simplification et de pédagogie.
Maintenant, chiffrer/crypter, les gens comprennent. Pas forcément la nuance subtile, mais ils la comprennent. Donc qu'une personne qui ne connaisse pas utilise crypter, ne me dérange pas outre mesure et je ne m’amuserai pas à la corriger. Qu'un expert du domaine le fasse, c'est plus problématique tant il n'y a pas de plus value.
Par contre, je maintiens l'autre partie de ma critique envers son argumentaire (car apparemment cette partie n'a pas été démentie). Justifier la sécurité par le cataclysme que représenterait l'existence de faille est un non-sens. Jeter le discrédit sur ceux qui ne sont pas d'accord et pensent le contraire comme relevant du conspirationnisme est une insulte.
La peur des conséquences n'est en rien une justification. Le manque de respect non plus. Et ce, que l'on fasse preuve de pédagogie ou non.
Le
15/12/2023 à
12h
52
Tu oublie que ce monsieur est aussi un communicant. Il argumente dans le but de poussez son bousin.
L'histoire a montrée que le risque 0 n'existe pas en informatique et je doute que le monsieur n'en soit pas convaincu malgré ses dires.
Communiquer c'est une chose. Utiliser des arguments fallacieux (et pour moi, justifier la robustesse sur le fait que si ce n'était pas le cas, tout la sécurité d'aujourd'hui s'effondrerait en est un) non.
On dit souvent que les banques, c'est trop gros pour faire faillite. Et pourtant on en a vu plusieurs tomber ces dernières années... L'argumentaire est ici du même acabit.
Le
15/12/2023 à
11h
39
Avec un doctorat en cryptographie oui, il sait de quoi il parle :)
J'en rediscuterai avec lui à l'occasion, mais c'est très probablement parce que le mot crypté a plus de sens pour une majorité de la population. Il parle bien de chiffrement juste après.
Alors, ça, je suis désolé, mais non. Je suis aussi docteur en informatique, et je peux te garantir qu'il existe des personnes ayant un doctorat qui peuvent être très ignares, y compris dans leur domaine, une fois sorties de leur sujet de thèse ou de recherche :aie:
Du coup, j'ai cherché un peu, et je suis tombé sur sa thèse. Techniquement, je pense qu'il tient effectivement la route.
Par contre, sortir une phrase comme "Dire que ce chiffrement pourrait un jour être percé relève du conspirationnisme, car si c’était le cas, il n’y aura plus rien de sécurisé sur internet, ni transaction financière, ni aucune autre" est un non sens. Autant je suis d'accord pour dire que l'état de l'art aujourd'hui est sécurisé vis-à-vis des moyens dont nous disposons aujourd'hui et l'état de nos connaissances.
Dire que le chiffrement pourrait un jour être percé, à moins d'avoir une boule de cristal, non. Sans aller jusqu'aux ordinateurs quantiques, il y a encore de nombreux problèmes en mathématique, qui ne sont que des conjectures, parfois non mise en défaut par la pratique, mais toujours pas prouvés. On a eu, par le passé, des algorithmes considérés comme fiables jusqu'à la découverte d'attaque à leur encontre. Des algorithmes comme AES sont éprouvés depuis longtemps, mais il est impossible de prouver qu'un jour, il n'y aura pas la découverte d'une faille qui fera tomber tout l'édifice.
Et l'argument du "si c'était le cas, alors rien ne serait sécurisé", il faut me dire en quoi cela prouve que les algorithmes actuels sont fiables à 100%. Ca montre juste que si ce chiffrement est percé un jour, c'est la merde. Rien de plus. Mais pas que c'est "imperçable".
Pour ma part j’ai compris que ce sont les emplacements des centres de maintenance des concurrents du constructeur qui sont référencés comme des zones où le redémarrage est impossible.
Effectivement, c'est le contraire. J'ai repris un article de blog qui semble être la source de cette histoire : https://badcyber.com/dieselgate-but-for-trains-some-heavyweight-hardware-hacking/
Et là, pour le coup, on y apprend de nombreux mécanismes mise en place qui relève purement et simplement de l'obsolescence programmée : - arrêt après un million de km parcouru - arrêt après le remplacement d'une pièce (détectée par le changement de numéro de série). Il y avait une combinaison de boutons à saisir au niveau du tableau de bord pour faire accepter la pièce apparemment. - la procédure qui permettait de faire accepter une pièce via une combinaison de bouton a été supprimé via une mise à jour - des conditions pour générer de fausses pannes sur un compresseur après une certaine date.
J'espère que le constructeur va se prendre un beau procès, car là, le caractère volontaire est indéniable.
Le
17/12/2023 à
09h
55
Si j'ai bien suivi l'histoire, lors du redémarrage après un entretien d'un train, le logiciel vérifiait que son GPS lui indiquait une localisation correspondant à un centre de réparation appartenant au constructeur. Si ce n'était pas le cas => pas de redémarrage.
Autrement dit, le redémarrage ou non dépendait du lieu de l'entretien, et non des actions qui avaient été faites.
Pas tout à fait : les mots de passe à usage unique sont plutôt des HOTP (basés sur RFC 4226), utilisant un secret et un compteur, et ne sont plus très souvent utilisés, la synchronisation des compteurs étant délicate. On utilise le plus souvent un TOTP (RFC 6238), Time-based OTP, basé sur un secret partagé et une horloge. Google Authenticator utilise ce standard, par exemple. Le code n'est pas à usage unique : il est valable durant un temps limité, qui n'est d'ailleurs pas défini précisément dans le RFC : il est recommandé à 30 secondes, mais il est plus souvent de l'ordre de la minute.
Par ailleurs, il existe des versions (très) améliorées des keyloggers : les proxy locaux ou Man-in-the-Browser. Des malwares utilisant ce type de technique vont intercepter tout ce qui passe à destination d'internet : on va donc "lire" à la fois le mot de passe et l'éventuel code TOTP s'il est fourni par le même canal (d'où l'importance de la distinction entre second facteur et second canal). Quand on cherche à intercepter une connexion, on va écouter tout le temps, intercepter les informations de connexions dans le proxy local, les envoyer vers l'attaquant et rejouer l'authentification ailleurs, immédiatement, puis maintenir la connexion si besoin.
Ayant travaillé longtemps pour une banque, je t'assure que cette technique est réelle et très efficace. Je n'ai plus le nom du plus virulent (je crois que c'était Dridex) mais la seule véritable parade était (et est toujours) d'utiliser un vrai second canal. A noter que FIDO/FIDO2 permet aussi de créer un second canal "virtuel", sous certaines conditions, en permettant de valider un challenge en dehors du navigateur.
Le code n'est pas à usage unique : il est valable durant un temps limité, qui n'est d'ailleurs pas défini précisément dans le RFC : il est recommandé à 30 secondes, mais il est plus souvent de l'ordre de la minute.
Note that a prover may send the same OTP inside a given time-step window multiple times to a verifier. The verifier MUST NOT accept the second attempt of the OTP after the successful validation has been issued for the first OTP, which ensures one-time only use of an OTP.
Que l'on pourrait traduire par :
Notez qu'un "prouveur" peut envoyer le même OTP à l'intérieur d'une fenêtre temporelle plusieurs fois à un "vérifieur". Le "vérifieur" NE DOIT PAS accepter la seconde tentative de l'OTP après une validation réussie du premier essai, ce qui assure un usage unique pour un OTP
Par ailleurs, il existe des versions (très) améliorées des keyloggers : les proxy locaux ou Man-in-the-Browser.
Oui, mais là, on change généralement de catégorie. Ce n'est plus un keylogger si le logiciel scrute le réseau. C'est de l'ordre de l'interception ou d'une attaque par l'homme du milieu.
Un keylogger est un dispositif (il peut être matériel ou logiciel) qui va enregistrer ce que l'utilisateur a saisie au clavier. Là, tu parles de logiciels qui vont examiner les flux réseaux. Si l'objectif recherché est le même (voler les identifiant), les moyens mis en oeuvre les classes dans des catégories très différentes.
Ayant travaillé longtemps pour une banque, je t'assure que cette technique est réelle et très efficace. Je n'ai plus le nom du plus virulent (je crois que c'était Dridex) mais la seule véritable parade était (et est toujours) d'utiliser un vrai second canal. A noter que FIDO/FIDO2 permet aussi de créer un second canal "virtuel", sous certaines conditions, en permettant de valider un challenge en dehors du navigateur.
Je n'ai jamais dis que les TOTP étaient une protection ultime. Dans ton article, c'est toi qui parle de keylogger, et qui dit que le TOTP ne protège pas des keylogger. Ce qui est erroné.
Par contre, je suis d'accord avec toi pour dire que l'OTP ne va pas protéger d'attaques plus poussées comme les attaques de l'homme du milieu, et que séparer les canaux rend les attaques très difficile à mettre en oeuvre, puisqu'il faut alors pouvoir scruter les 2 canaux en même temps, et en temps réel.
Le
16/12/2023 à
09h
52
ce qui est toujours bon à prendre, mais cela ne va pas contrecarrer un keylogger qui pourra rejouer le même code TOTP s’il agit dans la minute
Les TOTP sont à usage unique. Donc cela protège aussi des keylogger. Si le mot de passe n'est pas à usage unique, alors ce n'est pas un TOTP.
[edit] la seule fenêtre de vulnérabilité avec un keylogger, c'est le délai entre le moment où le code est saisi, et où on le valide. Soit 5s au max. Donc autant dire que la fenêtre d'exploitation est extrêmement courte, et que les conditions pour y arriver drastiques. En effet, il faudrait un keylogger qui envoie en temps réel les info (en plus d'automatiser toute la chaine d'exploitation), ce qui devrait se faire détecter assez facilement par des outils de surveillance, car une requête envoyée à chaque touche saisie, ça laisse des traces.
Gros +1. Il y aura aussi vraisemblablement les droits sur le répertoires /etc/mysql/certificates à corriger, qui lui devrait être en root:mysql rwxr-x--- . Chiffrer la communication entre guacamole et mysql, alors qu’elle est locale, ne sert plus à grand chose si n’importe quel utilisateur local a accès à la clé privée (ça a toujours du sens si on est sur deux machines différentes).
Il y a le même soucis dans l’article précédent sur le certificat généré pour guacamole lui-même, qui devrait être en lecture pour l’utilisateur tomcat uniquement.
Arf, j'ai pas lu l'article précédent. J'avoue ^^
Mais oui, en tout cas, c'est important de bien sécuriser les clés. C'est d'autant plus important que l'idée des articles est de monter un bastion sécurisé !
Une clé privée (ou une clé de chiffrement symétrique) se doit de n'être accessible que par le minimum de monde. Et surtout pas exécutable :aie:
Je me pose la question sur la légalité que le gouvernement US puisse demander à une entreprise de ne plus fournir de service à un autre sous prétexte que les données hébergées soient chiffrées. Les US pourront demander les données, ils n'auront que des trucs indéchiffrables et les méta données liées (qui doivent être légères). Ensuite, politiquement, il y a très peu de chance que cela arrive, si c'était légal même. Cela demanderait un prétexte bien fort à utiliser contre des alliés. J'y crois pas.
Je me pose la question sur la légalité que le gouvernement US puisse demander à une entreprise de ne plus fournir de service à un autre sous prétexte que les données hébergées soient chiffrées.
Attention, je n'ai pas dit que le prétexte devait être que les données étaient chiffrées. Le prétexte peut être "tout et n'importe quoi". Un conflit commercial, politique, etc. Ils ont déjà mis en place des mesures d'embargo contre des pays entiers ou contre certaines sociétés pour des raisons parfois plus ou moins discutable, et applicable à toutes sociétés utilisant le dollar. On a également déjà vu les Etats-Unis faire preuve d'une agressivité sans précédent envers des alliés (par ex. l'affaire Alstom).
Ensuite, politiquement, il y a très peu de chance que cela arrive, si c'était légal même. Cela demanderait un prétexte bien fort à utiliser contre des alliés. J'y crois pas.
Ils ont pourtant bien espionné, et à grande échelle, leurs concitoyens ainsi que leurs alliés. Et si aucun pays allié n'a donné asile à Edward Snowden malgré l'ampleur des révélations, ce n'est pas pour rien ("peur" des conséquences d'un tel acte).
Les désaccords profonds peuvent survenir rapidement, y compris entre alliés. Et les sujets ne manquent pas (réchauffement climatique, espionnage, conflits armées, etc.). Et là, ils auraient les moyens d'impacter les moyens de communication utilisés et poussés par un gouvernement. Cela ferait un "joli coup de semonce".
2770 commentaires
Les habitants de Caroline du Nord et du Montana viennent de perdre l’accès à Pornhub
04/01/2024
Le 04/01/2024 à 16h 29
Les ventes de mouchoirs en papier ne baisseront pas ! Maintenant, les gens vont pleurer, c'est toutToute l’équipe de Next vous souhaite une bonne année 2024 !
31/12/2023
Le 04/01/2024 à 16h 08
Presque un revenant :)Tes articles me manquent. Heureusement que je continue de te suivre sur l'Informé ;)
Le 01/01/2024 à 10h 27
Le 01/01/2024 à 10h 09
Bonne année à toute l'équipe, qu'il s'agisse des journalistes, des dev, de moji, de Ferd, du conciergeFuite de tests ADN : 23andMe rejette la faute sur les utilisateurs
04/01/2024
Le 04/01/2024 à 14h 55
Il existe de nombreux risques.On peut citer le risque lier aux assurances / prêt / mutuelle / etc. comme l'ont déjà fait d'autres commentaires, je ne vais pas forcément revenir dessus.
Cela permet également de connaitre beaucoup de chose sur la personne. Son genre, son origine ethnique (d'un point de vue "purement ADN" bien sur), certains problèmes de santé. Pour certains, une partie de nos comportement trouverait son origine également dans notre ADN. Avoir tout ça, permet d'établir un profil, permettant de mieux réaliser une attaque, ou simplement de faire de la publicité ciblé (homme grand blond aux yeux bleus vs une femme noire d'origine africaine par exemple).
Cela pourrait également avoir de nombreux impacts dans plein de domaines, de la recherche d'un emploi à l'octroi d'un logement par exemple.
Autrement dit : la personne malveillante ne va pas forcément en faire grand chose par elle-même. Simplement "revendre". Les conséquences de cette revente va forcément dépendre de qui achète.
On pourrait également avoir une variante du prince Nigérian sinon (on a vu avec votre ADN que vous étiez le seul et unique héritier, ...)
Les télécoms face à des « injonctions contradictoires »
03/01/2024
Le 03/01/2024 à 21h 03
Ca me fait penser à cette vidéo :86-DOS en version 0.1 débarque sur Internet Archive
03/01/2024
Le 03/01/2024 à 14h 52
655e édition des LIDD : Liens Intelligents Du Dimanche
31/12/2023
Le 03/01/2024 à 09h 58
Le premier run est tout simple, et la map semble tout ce qu'il y a de plus classique. Rien d'anormal ai-je envie de dire.
Le deuxième run, pour commencer à être fun, c'est comme le premier. Sauf qu'à la fin, après être sorti de la maison mais avant de sortir du niveau, il faut faire le tour de la maison et y rentrer de nouveau. Pour le reste, je te laisse découvrir sans spoiler ;)
Le 01/01/2024 à 13h 39
J'ai acheté Doom 2 rien que pour y jouerPour profiter pleinement du jeu, il faut aussi consulter le journal, qui donne de précieux indices sur le jeu, et participe grandement à la création de l'ambiance très spéciale.
Tout est disponible sur le google drive du créateur :
Et si avec la vidéo cela semble "facile" d'en venir à bout, avec les labyrinthes, c'est une autre paire de manche !
Le 31/12/2023 à 13h 53
preums !Olvid gouvernemental : « les ministres étrangers utilisent tous WhatsApp ou Telegram »…
29/12/2023
Le 31/12/2023 à 10h 52
- c'est une collection de "compliance" (en gros, de fonctionnalité). On peut avoir un serveur XMPP qui fasse de la messagerie instantanée, mais pas de la vidéo, ou inversement. Du coup, dire machin est ouvert car basé sur XMPP ne vient rien dire tant qu'on ne sait pas quels sont les fonctionnalités supportées
- le standard évoluant beaucoup, beaucoup de XEP sont encore non finalisées. Il est donc plus ou moins courant d'avoir des fonctionnalités qui "marchouillent", à cause d'un souci de spécifications entre le client et le serveur (soit parce que les spécifications ont évoluées, soit parce que l'implémentation est incomplète / boguée, soit du côté client, soit du côté serveur)
- le XMPP est basé sur du XML. Très bien pour de nombreuses choses, beaucoup moins pour d'autre (les streams audio et vidéo par exemple), nécessitant la mise en place de protocoles plus moins complexe comme Jingle
- la plupart des gens de s'y intéresse pas, car ils s'en foutent royalement de ce qu'est XMPP. Cela relève du détail technique. Ce qu'ils veulent, c'est pouvoir communiquer via messagerie instantanée ou passer des appels vidéo
- en l'état actuelle des choses, certaines fonctionnalités de XMPP nécessite que le serveur, le client A et le client B supporte tous, et de manière compatible, les fonctionnalités souhaitées pour pouvoir en bénéficier. A l'époque où j'avais essayé, les appels vidéo étaient très sensible à ça, et le meilleur moyen d'y arriver, c'était que le client A et le client B utilise le même client de messagerie (et dans la même version !)
- il faut saisir ses contacts un à un (pas de migration "auto" possible depuis ses contacts comme avec d'autres services comme Whatsapp)... si on sait qu'ils ont un compte compatible XMPP !
Avec le recul, je trouve XMPP très bien... en théorie. C'est un standard ouvert, utilisable par tout le monde. Mais en pratique, tous les clients et tous les serveurs qui utilisent XMPP n'ont pas un support équivalent, provoquant de nombreux problèmes de communication et d'interopérabilité.
Du coup, moi je suis sans messagerie instantanée (sauf le SMS :p). Donc c'est mail, SMS + téléphone. Pas envie de me faire ch* avec 36 applications et me souvenir laquelle utiliser en fonction de mon correspondant.
Le 29/12/2023 à 14h 15
Suis-je le seul à avoir chercher ce que pouvait vouloir dire le contenu de la bulle du dessin de Flock ?En base 64, j'ai trouvé les mots "configurat" et "launched. In this" (les 2 dernières lignes, les premières ne veulent rien dire, c'est du binaire). Je retourne à ma pas de vie xD
Les moteurs de recherche accentuent la désinformation
27/12/2023
Le 28/12/2023 à 16h 55
- avérer : qui est vrai (ce fait est avéré)
- s'avérer : qui est une forme plus ou moins acceptée aujourd'hui comme synonyme de "se révéler".
Du coup :
- ce fait est avéré : forme correcte
- ce fait est avéré vrai : pléonasme
- ce fait est avéré faux : contresens
- ce fait s'est avéré faux : ce fait s'est révélé faux.
La dernière forme est très litigieuse, surtout compte tenue de l'étymologie, et on l'évitera donc. Soit on remplace "s'avérer" par "se révéler", soit on change la tournure de la phrase : As tu des exemples avérés de fact check concernant les vaccins qui soient faux ?
Finalement, ça me sert les cours du projet voltaire ^^
Le 28/12/2023 à 13h 58
La conclusion de la vidéo est tout ce qu'il y a de plus d'actualité.
Zorin OS 17 : toujours aussi soignée, la distribution affine ses performances
28/12/2023
Le 28/12/2023 à 15h 45
Oui. Et ? Tout n'est pas gratuit dans la vie.Oui. Et ? Cette interface plait à beaucoup. Peut être pas à toi, mais à d'autres oui.
Oui. Et ? La grande majorité des distributions linux n'en ont pas (et non, l'aide communautaire n'est pas un support commercial)
Où est la dépendance ? De plus, Zorin OS est libre
Il y a une chose incroyable qui existe aujourd'hui, c'est la liberté de choix, et le respect des autres. Ce n'est pas parce que les autres n'ont pas le même avis que toi sur un sujet qu'ils ont tord.
Zorin OS ne te convient pas ? Très bien. Prends une autre distribution. Il y a beaucoup de choix. Ce n'est pas pour autant qu'il faut manquer de respect envers celles et ceux qui ne partagent pas de ton avis.
Et blablabla. Ce débat, sur le nom, bien qu'intéressant sur certains aspects, n'a pas sa place ici, car on est très loin du sujet. ZorinOS, c'est pour des néophytes, des non-initiés. Et croire que c'est GNU/Linux parce que la majorité des outils sont GNU, c'est ne strictement rien avoir compris au problème sous-jacent (et ce n'est pas ma position, mais celle de Richard Stallman, père du projet GNU). Mais sinon, moi je milite pour une convention du style Grub/GNU/Linux/SystemD/Flatpak/Kde/Firefox :p
[edit] J'avais oublié le chargeur de démarrage dans ma convention. Je l'ai rajouté
654e édition des LIDD : Liens Intelligents Du Dimanche
24/12/2023
Le 27/12/2023 à 15h 24
Je suis tombé sur ce reportage. Absolument incroyable :En très très gros : c'est un mod de doom.
Mais un MOD à tiroir. On peut le finir en quelques minutes, en se disant, ouais, c'est juste un MOD. Mais si on creuse... on tombe dans un univers très noir, extrêmement travaillé, aux multiples fins, très psychologique, à la prouesse technique également, qui plaira beaucoup aux nostalgiques.
Le 24/12/2023 à 10h 18
Je me souviens d'un service qui, pour prouver que les conditions n'étaient pas lus, avait mis qu'en les acceptant, l'âme était "vendue" à la sociétéSinon, lors des auditions de Mark Zuckerberg aux Etats-Unis (je crois que c'était dans le cadre du scandale de Cambridge Analytica), un membre de la commission en charge de l'audition, plutôt familier avec le droit (c'était son métier) avait dit deux choses très intéressantes :
- la longueur des CGUs étaient absolument imbitable
- le contenu était incompréhensible, même pour lui, pourtant spécialiste du droit. Il y avait des phrases qu'il n'arrivait tout simplement pas à comprendre.
#BigBrotherBercy : un million d’annonces ciblées, 68 000 euros recouvrés
26/12/2023
Le 27/12/2023 à 11h 37
Il faut lire également l'article jusqu'au bout. 68 000 €, c'est pour 2 contrôles seulement. Il y en a encore 15 en attente, et je ne me risquerai pas à une règle de 3 vu les chiffres.A voir aussi sur le long terme. Car comme précisé, le coût indiqué c'est le coût "sans prendre en compte les moyens humains internes à l’administration et les dispositifs informatiques préexistants". Donc c'est plutôt un coût de développement et de mise en place, c'est-à-dire un coût "oneshot" et pas un coût "régulier".
Notons également l'effet dissuasif que cela peut avoir, et si certains rentrent dans les clous "par peur", c'est autant de montant qui ne seront pas récupérés via les contrôles, mais pourtant récolés indirectement grâce à ce dispositif.
Donc parler de rentabilité (ou non), aujourd'hui, me semble un peu prématuré.
Brouilleurs d’ondes : hélicoptères du SAMU et avions perdent leur position
26/12/2023
Le 26/12/2023 à 14h 57
Le 26/12/2023 à 13h 39
Le 26/12/2023 à 11h 09
Le 26/12/2023 à 09h 49
Dans le même style, à savoir "pollution" qui gène l'entourage : le nombre de personnes que je vois écouter de la musique à fond dans la rue sur une enceinte portative au lieu de simplement mettre des écouteurs. Et je ne parle pas de groupes, mais de personnes seules !Alors d'accord, le "silence" n'est pas un service essentiel. C'est un bien commun, ainsi que le respect d'autrui.
Le poing Dev – Round 9
24/12/2023
Le 24/12/2023 à 14h 35
mois = 0;
#LeBrief prend ses horaires de vacances
22/12/2023
Le 22/12/2023 à 15h 34
Bonnes vacances :)Ne dites plus PaaS mais DAD, OTA mais à distance, SSO mais AU…
21/12/2023
Le 21/12/2023 à 20h 42
Le 21/12/2023 à 08h 23
Ils ont oublié l'essentiel : on dit "chiffrer" et non "crypter" (Plus sérieusement, il n'y a que DAD qui me pose problème. Ca fait Développement à la demande, pas plateforme de développement à la demande. Je constate qu'on a du mal en français (en tout cas, en France) avec des acronymes qui pourraient être détournés de manière offensante.
On ne parle jamais de DPD, mais de DPO. On ne parle pas de PDAD, mais de DAD. C'est pas la première fois que je le remarque...
URL avec @ : attention aux arnaques et aux redirections frauduleuses
18/12/2023
Le 21/12/2023 à 10h 51
- le lien :
- le texte :
Du coup, quand tu cliques sur le lien, tu es redirigé vers
Le 20/12/2023 à 16h 23
Les autres comportements que tu cites (lien trompeurs, redirections, etc.) sont des comportements très utilisés aujourd'hui, et il serait bien difficile de trier le bon grain de l'ivraie.
Le 19/12/2023 à 07h 26
Le 18/12/2023 à 14h 37
Le hack ne nécessite pas le contrôle du serveur. Il pourrait s'agir d'une simple faille (sans aller jusqu'au contrôle donc) à un lien dans un commentaire. Difficile de demander au serveur d'envoyer une en-tête pour l'authentification dans ce cas.Pour ma part, je pense qu'il serait plus simple de bannir cette utilisation tant elle est peu usitée dans ce genre de contexte. Et si vraiment il y en a besoin, le public cible doit être très restreint et devrait aller modifier lui-même les paramètres du navigateur pour l'autoriser.
Le 18/12/2023 à 14h 31
C'est même pas la version 4k... ça craintBlague à part, si j'apprécie grandement le rick roll en général, ici, il gâche complètement l'effet de vouloir montrer l'impact du @ sur l'URL, puisque le texte et le lien vers lequel il redirige ne sont pas les mêmes, et que le "vrai" lien ne contient même pas de @. Eventuellement un
Le poing Dev – Round 8
11/12/2023
Le 20/12/2023 à 16h 09
Ah... on me dit dans l'oreillette que c'est un peu overkill
Le 20/12/2023 à 15h 57
Mais même 300Mpbs, c'est amplement suffisant. Car même si le serveur tiens la charge derrière, je suis limité par mon Wifi derrière :p
Le 20/12/2023 à 11h 17
En gros, il y a 1 requête par commentaire. Donc sur un sujet sur lequel il y a beaucoup de commentaire, cela prend du temps, et si tu navigues trop vite, je pense que le commentaire n'est tout simplement pas marqué comme lu, d'où la persistance de la notification.
Donc, essai d'ouvrir la page correspondant en cliquant que la notification, attends de nombreuses secondes pour être sur que la page est entièrement chargée, et voit ce que cela donne ensuite.
[edit] histoire de donner un ordre d'idée, avec une connexion fibre 300 Mo, il m'a fallu 40s pour un chargement complet de cette page. 386 requêtes au total, dont 128 d'Ajax.
La CNIL sanctionne Kourou pour ne pas avoir désigné de DPO
20/12/2023
Le 20/12/2023 à 10h 30
Le 20/12/2023 à 10h 29
[Édito] Crypter, chiffrer : le défi de la vulgarisation
15/12/2023
Le 18/12/2023 à 16h 51
Le 16/12/2023 à 08h 45
Je ne sais pas si je dois me sentir visé ou pasJuste un petit bémol quand même : utiliser des approximations lorsqu'on fait preuve de vulgarisation ne me dérange pas si cela apporte un réel plus d'un point de vue pédagogie.
Chiffrer/crypter, il n'y a pas de différence pour le commun des mortels, et les deux sont compris. Qu'un néophyte se trompe ne me pose pas de problème et ne se prendra aucune remarque. Qu'un expert le fasse, c'est un peu plus dérangeant.
Les reproches que j'ai pu exprimer à l'encontre de cette déclaration erronée ne concerne pas tant l'usage/le mésusage de la langue française, mais le manque de plus value que cela apporte et de fait l'impact sur la crédibilité de la personne ayant tenu ces propos. Dans la mesure où il y avait d'autres propos qui posaient des problèmes pour des raisons différentes.
"Mettre de l'eau dans son vin" est effectivement une bonne chose, lorsque le discours reste juste sur le fond. Quand on souhaite argumenter et exprimer des doutes sur la qualité du discours de l'intervenant pour exprimer un doute général, on s'attaque aussi bien à la forme qu'au fond. Surtout lorsqu'il y a du "bullshit marketing" derrière.
OpenAI suspend le compte de ByteDance, qui utilisait son API pour entraîner son propre LLM
18/12/2023
Le 18/12/2023 à 09h 37
Il faut savoir précisément ce que l'on entend par "entrainer" :- est-ce réaliser des jeux de données sur lesquels entrainer (= instruire) le modèle ?
- est-ce réaliser des jeux de données sur lesquels vérifier le résultat de l'entrainement (= examen) ?
- est-ce afin de comparer les performances entre modèles ?
Le point 1 est clairement celui qui est problématique.
Le point 2 peut l'être, ou non, en fonction de comment est utilisé le résultat. Si c'est juste pour avoir une évaluation (genre 90% des réponses sont correctes) mais sans se servir de ce feedback pour faire une boucle de rétro-action quelconque sur l'apprentissage, alors je ne pense pas que cela pose de problème particulier.
Le point 3 n'est pas problématique.
[MàJ] Olvid : Thomas Baignères n’a pas parlé de données « cryptées […] de niveau secret défense »
15/12/2023
Le 17/12/2023 à 17h 57
Ce que j'aimais bien, c'était le côté sans lien entre les épisodes (en tout cas, au début). On pouvait rater un épisode ou deux, cela ne changeait pas grand chose à l'histoire (puisqu'il n'y en avait pas).
Puis après est venu se greffer la théorie du complot, et là, hors de question de rater un épisode si on veut être sur de tout comprendre... Du coup, se sont les premières saisons mes préférées :)
Le 17/12/2023 à 09h 58
Le 16/12/2023 à 08h 26
Maintenant, au delà de ça, je suis d'accord de faire preuve de tolérance lorsqu'il ne s'agit pas d'une discussion entre experts et qu'il faille parfois faire preuve de simplification et de pédagogie.
Maintenant, chiffrer/crypter, les gens comprennent. Pas forcément la nuance subtile, mais ils la comprennent. Donc qu'une personne qui ne connaisse pas utilise crypter, ne me dérange pas outre mesure et je ne m’amuserai pas à la corriger. Qu'un expert du domaine le fasse, c'est plus problématique tant il n'y a pas de plus value.
Par contre, je maintiens l'autre partie de ma critique envers son argumentaire (car apparemment cette partie n'a pas été démentie). Justifier la sécurité par le cataclysme que représenterait l'existence de faille est un non-sens. Jeter le discrédit sur ceux qui ne sont pas d'accord et pensent le contraire comme relevant du conspirationnisme est une insulte.
La peur des conséquences n'est en rien une justification. Le manque de respect non plus. Et ce, que l'on fasse preuve de pédagogie ou non.
Le 15/12/2023 à 12h 52
On dit souvent que les banques, c'est trop gros pour faire faillite. Et pourtant on en a vu plusieurs tomber ces dernières années... L'argumentaire est ici du même acabit.
Le 15/12/2023 à 11h 39
Du coup, j'ai cherché un peu, et je suis tombé sur sa thèse. Techniquement, je pense qu'il tient effectivement la route.
Par contre, sortir une phrase comme "Dire que ce chiffrement pourrait un jour être percé relève du conspirationnisme, car si c’était le cas, il n’y aura plus rien de sécurisé sur internet, ni transaction financière, ni aucune autre" est un non sens. Autant je suis d'accord pour dire que l'état de l'art aujourd'hui est sécurisé vis-à-vis des moyens dont nous disposons aujourd'hui et l'état de nos connaissances.
Dire que le chiffrement pourrait un jour être percé, à moins d'avoir une boule de cristal, non. Sans aller jusqu'aux ordinateurs quantiques, il y a encore de nombreux problèmes en mathématique, qui ne sont que des conjectures, parfois non mise en défaut par la pratique, mais toujours pas prouvés. On a eu, par le passé, des algorithmes considérés comme fiables jusqu'à la découverte d'attaque à leur encontre. Des algorithmes comme AES sont éprouvés depuis longtemps, mais il est impossible de prouver qu'un jour, il n'y aura pas la découverte d'une faille qui fera tomber tout l'édifice.
Et l'argument du "si c'était le cas, alors rien ne serait sécurisé", il faut me dire en quoi cela prouve que les algorithmes actuels sont fiables à 100%. Ca montre juste que si ce chiffrement est percé un jour, c'est la merde. Rien de plus. Mais pas que c'est "imperçable".
653e édition des LIDD : Liens Intelligents Du Dimanche
17/12/2023
Le 17/12/2023 à 11h 34
Et là, pour le coup, on y apprend de nombreux mécanismes mise en place qui relève purement et simplement de l'obsolescence programmée :
- arrêt après un million de km parcouru
- arrêt après le remplacement d'une pièce (détectée par le changement de numéro de série). Il y avait une combinaison de boutons à saisir au niveau du tableau de bord pour faire accepter la pièce apparemment.
- la procédure qui permettait de faire accepter une pièce via une combinaison de bouton a été supprimé via une mise à jour
- des conditions pour générer de fausses pannes sur un compresseur après une certaine date.
J'espère que le constructeur va se prendre un beau procès, car là, le caractère volontaire est indéniable.
Le 17/12/2023 à 09h 55
Si j'ai bien suivi l'histoire, lors du redémarrage après un entretien d'un train, le logiciel vérifiait que son GPS lui indiquait une localisation correspondant à un centre de réparation appartenant au constructeur. Si ce n'était pas le cas => pas de redémarrage.Autrement dit, le redémarrage ou non dépendait du lieu de l'entretien, et non des actions qui avaient été faites.
Guacamole sur un plateau (5/5) : on passe à deux facteurs, et c‘est terminé !
15/12/2023
Le 16/12/2023 à 22h 07
Extrait de la RFC 6238 :
Que l'on pourrait traduire par :
Oui, mais là, on change généralement de catégorie. Ce n'est plus un keylogger si le logiciel scrute le réseau. C'est de l'ordre de l'interception ou d'une attaque par l'homme du milieu.
Un keylogger est un dispositif (il peut être matériel ou logiciel) qui va enregistrer ce que l'utilisateur a saisie au clavier. Là, tu parles de logiciels qui vont examiner les flux réseaux. Si l'objectif recherché est le même (voler les identifiant), les moyens mis en oeuvre les classes dans des catégories très différentes.
Je n'ai jamais dis que les TOTP étaient une protection ultime. Dans ton article, c'est toi qui parle de keylogger, et qui dit que le TOTP ne protège pas des keylogger. Ce qui est erroné.
Par contre, je suis d'accord avec toi pour dire que l'OTP ne va pas protéger d'attaques plus poussées comme les attaques de l'homme du milieu, et que séparer les canaux rend les attaques très difficile à mettre en oeuvre, puisqu'il faut alors pouvoir scruter les 2 canaux en même temps, et en temps réel.
Le 16/12/2023 à 09h 52
Les TOTP sont à usage unique. Donc cela protège aussi des keylogger. Si le mot de passe n'est pas à usage unique, alors ce n'est pas un TOTP.[edit] la seule fenêtre de vulnérabilité avec un keylogger, c'est le délai entre le moment où le code est saisi, et où on le valide. Soit 5s au max. Donc autant dire que la fenêtre d'exploitation est extrêmement courte, et que les conditions pour y arriver drastiques. En effet, il faudrait un keylogger qui envoie en temps réel les info (en plus d'automatiser toute la chaine d'exploitation), ce qui devrait se faire détecter assez facilement par des outils de surveillance, car une requête envoyée à chaque touche saisie, ça laisse des traces.
Guacamole sur un plateau (4/5) : on sécurise la base de données
14/12/2023
Le 15/12/2023 à 11h 16
Mais oui, en tout cas, c'est important de bien sécuriser les clés. C'est d'autant plus important que l'idée des articles est de monter un bastion sécurisé !
Une clé privée (ou une clé de chiffrement symétrique) se doit de n'être accessible que par le minimum de monde. Et surtout pas exécutable :aie:
[Interview] Thomas Baignères : sécurité, circulaire, tracker… les explications d’Olvid
14/12/2023
Le 15/12/2023 à 11h 13
Ils ont pourtant bien espionné, et à grande échelle, leurs concitoyens ainsi que leurs alliés. Et si aucun pays allié n'a donné asile à Edward Snowden malgré l'ampleur des révélations, ce n'est pas pour rien ("peur" des conséquences d'un tel acte).
Les désaccords profonds peuvent survenir rapidement, y compris entre alliés. Et les sujets ne manquent pas (réchauffement climatique, espionnage, conflits armées, etc.). Et là, ils auraient les moyens d'impacter les moyens de communication utilisés et poussés par un gouvernement. Cela ferait un "joli coup de semonce".