🚲 Tanguy Ortolo a écrit 12689 commentaires

Je sais que c'est un bashisme. Ça sonne bien.

Je connais que c'est un bashisme. Ça sonne mal, ça n'est pas du tout français, le verbe connaître a l'air de ne prendre comme complément d'objet direct que des substantifs, en tout cas pas des propositions.

y'a pas grand monde qui s'en servait pour de vrai (et maintenir ouvertes des choses dans le vent c'est pas forcément une bonne idée)

Oh, tous les logiciels de calendrier prenant en charge Google Calendar, une paille !

Ils plient sous les protestations. Leur volonté d'origine était claire : fermeture, fermeture, fermeture.

On ne fait pas, parce que pour ça Debian devrait payer aux États-Unis pour chaque utilisateur. Les coupables dans tout ça, ce sont les majors et toute cette clique avec leur DRM breveté.

Il ne faut pas se tromper de coupable, il y a des tas de choses qui ne sont pas faisables en libre, et les auteurs de logiciels libres n'y sont pour rien et ne peuvent rien y faire. Téléphoner à quelqu'un d'autre qui utilise Skype ? Pas faisable avec du logiciel libre. Mettre de la musique sur un iTruc ? Pas faisable avec du logiciel libre. Etc.

Non, le souci c'est que les navigateurs, tous confondus, n'affichent aucun avertissement lorsqu'on transmet un mot de passe en clair, ce qui est bien pire que d'accéder à un site Web sécurisé par une clef non certifiée.

Pas vraiment. D'empêcher tout MITM autre que par une autorité de certification ou quelqu'un autorisé par une autorité de certification.

Intéressant, je n'étais pas au courant. Décidément, entre l'abandon partiel d'XMPP et la volonté loupée d'abandonner CalDAV, don't be evil aura vécu…

Une des constructions que je connais être un bashisme […]

Que je sais être…

https://wiki.ubuntu.com/DashAsBinSh

Non, il serait plus judicieux d'éviter d'utiliser les fonctionnalités spécifiques à Bash, qui sont la plupart du temps inutiles. Tes scripts n'en seront que plus portables et plus rapides à exécuter.

Ensuite, les tests mathématiques en Sh, non merci.

Avec test, alias [ ? Si tu trouves ça difficile, c'est mal barré, effectivement.

En outre, le /bin/sh est souvent un lien vers /bin/bash dans une partie des distributions (dans mon Archlinux par exemple)

Exact, et c'était le cas sous Debian et Ubuntu, qui sont passés à dash. L'évolution ne va pas vers bash, au contraire, on s'en débarrasse. Pour les scripts, j'entends, pas comme interpréteur interactif.

C'est dommage, parce qu'il vaut mieux être connecté en SSL avec une clef non certifiée qu'être connecté en clair pour transmettre un mot de passe. Une clef non certifiée est vulnérable aux attaques par interception — man in the middle — mais protège au moins des attaques par écoute simple et des introductions de nouveaux intercepteurs, contrairement à une connexion en clair qui ne protège de rien de tout ça.

En effet, mais Debian n'est pas française.

Parce que CAcert n'est pas reconnu par les navigateurs.

Oulà, je ne suis pas sûr de tout comprendre. Sois sûr qu'un attaquant se connectera bien au site en HTTPS : ce n'est qu'entre le client et l'attaquant que la connexion sera en HTTP.

Un tel accord n'aurait probablement pas été acceptable en effet, mais Mozilla ne le proposait de toute façon pas, parce que Debian refusait de toute façon d'utiliser le logo de Firefox qui était soumis à une licence non libre. Donc avant d'être un problème d'acceptation d'un accord spécifique, il s'agissait d'un problème de licence. À l'époque, Firefox n'était pas libre et devait être modifié pour l'être, et Mozilla n'acceptait pas qu'on nomme Firefox cette version libérée.

Bah, de toute façon les organismes reconnus ont des politiques de certification déplorables, et les vérifications qu'ils effectuent sur les identités de leurs clients sont risibles : leur intérêt, c'est de vendre des certificats, pas de refuser d'en vendre aux gens qui ne passent pas une vérification stricte !

À côté de ça, l'intérêt des gens qui effectuent les vérifications d'identité pour CAcert, c'est à dire les assureurs CAcert qui sont des gens comme vous et moi, c'est de bien faire ce travail de vérification. Entre CAcert et VeriSign, j'ai nettement plus confiance en CAcert qu'en VeriSign dont l'intérêt est de mal faire son travail.

Quand ce cookie est présent et que l'utilisateur demande une page en HTTP, il est automatiquement redirigé vers la page équivalent en HTTPS.

Ça c'est moche. Si l'utilisateur est sujet à une attaque, la première chose que le pirate bloquera, c'est cette redirection. L'utilisateur, habitué à taper une adresse non sécurisée dans sa barre d'adresse sans se soucier de la suite, se connectera en clair…

Et combien d'utilisateur de debian firefox pensaient qu'il s'agissait du firefox officiel?

Tous ceux qui ne connaissaient pas le logo officiel de Firefox je pense, bien que j'ignore quelle proportion d'utilisateur cela fait. Mais ça n'a aucune importance : ce Firefox n'avait qu'une seule vraie différence, le logo. Les modifications par rétro-portage de corrections ne gênaient certainement pas par définition, et cet argument était de toute façon un réalité un prétexte, comme je l'ai mentionné.

La situation n'a pas grand chose à voir. Debian avait une autorisation explicite pour utiliser la marque Firefox et Mozilla a révoqué cette autorisation, invoquant les raisons suivantes :

1. Debian distribue un logiciel sous le nom Firefox mais en changeant son logo — qui à l'époque n'était pas libre ;
2. ce logiciel peut recevoir des modifications non approuvées par Mozilla — typiquement, des rétro-portages de corrections de bogues ou de problèmes de sécurité.

À noter que ce second point n'était qu'un argument artificiel de mauvaise foi pour appuyer le premier, dans la mesure où il s'appliquait à l'identique à ce que faisait Ubuntu, qui n'a pas été inquiété.

La situation avec Christian Marilla est donc assez différente :

1. il n'a jamais eu d'autorisation pour utiliser le nom Debian ;
2. il distribue des paquets qui, à une époque, étaient connus pour provoquer des bogues sérieux ;
3. des utilisateurs pensaient qu'il s'agissait d'un service officiel du projet Debian.

Le seul point commun entre ces deux cas, c'est qu'il s'agit d'un problème de nom. Dans le cas de Mozilla, il n'y avait aucun problème avéré, et Debian s'est exécuté sans broncher.

Répète après moi : Debian ne peut pas distribuer de codeur MPEG.

Ce n'est pas question de vouloir : on ne peut pas, point.

ah bon et ca ne méritait pas un article qui donne la solution, ca ne sert pas à cela la communauté ? Je croyais qu'il suffisait que ca marche pour un pour que ce soit disponible pour tous ?

Bof, l'utilisateur normal, tout ce dont il avait besoin, c'est libdvdcss2. Pas besoin d'un dépôt pour ça, et la solution est donc très simple : récupérer ce paquet, et seulement ce paquet, depuis deb-multimedia.

Les priorités de Debian sont les utilisateurs et les logiciels libres. Pas les développeurs Debian : eux sont au service de ces priorités.

Moi je n'ai aucun problème avec deb-multimedia : je sais régler finement des priorités, je sais que ce dépôt est sale, et je sais qu'il n'a rien à voir avec le projet Debian.

Mais pour l'utilisateur normal, c'est une autre histoire : régler les priorités comme je l'ai fait, ça demande de vraiment se plonger dans le manuel et de se creuser la tête !

Quel est le problème avec le système actuel de priorités au juste ? Cela fait des années que j'utilise deb-multimedia, et que, sachant que ce dépôt est sale, j'ai affecté un priorité spécifique à tous les paquets qui en proviennent, de sorte que :

• par défaut, ces paquets ne sont jamais installés et que les versions provenant des dépôts officiels leurs sont toujours préférés ;
• si un paquet n'est disponible que dans deb-multimedia, ou si je demande expressément l'installation d'une version non-officielle, celle-ci, ainsi que ces dépendances éventuelles, sont prises dans deb-multimedia.