URL: https://linuxfr.org/users/bluebird/journaux/vous-connaissez-javacard Title: Vous connaissez JavaCard ? Authors: Philippe F Date: 2005年02月15日T17:53:17+01:00 Tags: richard_stallman Score: 0 Bon, c'est la 2e fois que j'abuse du systeme des journaux de linuxfr, avec une certaine honte. Je cherche un mec qui a deja fait du JavaCard, pour une mission codage de environ un mois. Si ca vous tente, contactez-moi. Bon, sinon, pour justifier ce journal, on va essayer de se racrocher au libre. Alors, voyons javacard, machine virtuelle java pas libre, c'est un peu ecule comme troll. Je dois pouvoir trouver mieux. Alors, disons : est-ce que le logiciel qui fait tourner votre carte bleue devrait etre libre ? Et celui de la carte a puce qu'il y aura bientot dans votre passeport ? Et celui qui est dans votre carte vitale ? La position de RMS est si je me souviens bien : "dans la mesure ou on peut modifier le soft, il doit etre libre". De toute facon, independamment de la position de RMS, c'est pas possible. Dans ma boite on fait des OS pour carte a puce (sans-contact comme pour le passe navigo). Au debut, on voulait naivement faire un OS open source, en apportant des arguments de securite, relecture du code, bla bla. Ben en fait, ce n'est pas possible. Pour faire une carte bancaire, GSM, de sante ou un passport, il faut passer une evaluation securitaire EAL4+ (critere commun). Cette evaluation demande de fournir une pile de doc monstrueuse concernant les specifications, la gestion des risques, la gestion de bugs, pour mener une analyse de votre processus de developpement. Il y a aussi un audit de code dans le tas. La ou ca coince, c'est que si votre code est disponible sur le net, vous perdez des points en terme de securite puisque c'est plus facile pour un vilain cracker de monter une attaque sur votre carte. C'est meme probablement redhibitoire. En revanche, vous gagnerez probablement quelques points en terme de validation, puisque votre carte est probablement plus fiable. Comme notre business depend de cette evaluation, on n'a pas le choix: ce sera du close source de chez close source de ta mere. Du coup, notre projet jayacard ([http://jayacard.sf.net(...)](http://jayacard.sf.net)) est a l'abandon. Mais ne desesperez pas, d'ici un an ou deux, on le remettra en route avec une offre de carte sans-contact + kit de dev pour OS open source pour particulier. Bon, finalement, je m'en tire pas si mal pour raccomoder le sujet. Ah, pour javacard, c'est une implementation de java pour carte a puce. C'est un truc completement debile, il s'agit de faire tourner une jvm sur un microcontrolleur 8 bit avec entre 500 et 5000 octets de RAM. Sachant que les jvm consomment beaucoup en RAM (java est un langage qui s'appuie enormement sur la pile), vous avez une idee des perfs globales et de l'utilisabilite du truc. Le plus drole avec JavaCard, c'est que a cause des contraintes de RAM, il faut ecrire un code Java tres tres reflechi, ce qui est au final une operation bien plus complexe que d'ecrire le meme code en C.