https://gist.github.com

Merci @jeanmarie , je remets mon texte.

Une partie de l’attaque grâce à une modif du code opensource qui passe pour une amélioration inoffensive pour assouplir le link. L’autre partie le jour de l’attaque.

J’ai pris mes premières infos dans la CVE, mais ca dit quasi rien, mais surtout dans cette première ré-analyse d’un gars que je suis.

Actuellement, ca n’a touché que les distribs qui push les modifs en avant première (Fedora…).
▻https://www.youtube.com/watch?v=jqjtNDtbDNI

▻https://www.youtube.com/watch?v=gyOz9s4ydho

La ref de XKCD
▻https://seenthis.net/messages/872079

le code de XZ ne contient pas la backdoor. Jia Tan l’a ajouté dans le processus de packaging des nouvelles versions, via des fichiers de test. Le code de XZ est propre, mais la version qui sera intégrée dans les distributions Linux contient la backdoor. C’est très malin, plutôt impressionnant.

Je lisais hier une récap assez complète en anglais : ▻https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

  if test "x$GCC" != 'xyes' > /dev/null 2>&1;then
exit 0
fi
if test "x$CC" != 'xgcc' > /dev/null 2>&1;then
exit 0
fi
LDv=$LD" -v"
if ! $LDv 2>&1 | grep -qs 'GNU ld' > /dev/null 2>&1;then
exit 0

Ce matin, la manjaro que j’utilise en desktop me propose de basculer de 5.6.0 en 5.6.1. C’est ballot, les deux sont vérolées. :-/

Tu parles de Linux-base ?

Je parle de Manjaro :

https://pixelfed.zoo-logique.org/storage/m/_v2/493151427756716033/c6a394f69-21cf85/ksgYDfLvFbvU/52hev7W2BnO1PXgOXHotAAMLBhd0ucXTZI7CU9W8.png

Timeline of the xz open source attack

This post is a detailed timeline that I have constructed of the social engineering aspect of the attack, which appears to date back to late 2021. Key events have bold times.

▻https://research.swtch.com/xz-timeline

Dès fois ça a du bon d’avoir encore d’antiques distribs : ma station audio est encore sous ubuntu 20.04, et xz est en version 5.2.4. Et mon ordi portable du taf sous debian 11 a la version 5.2.5.

Est-ce qu’avec Xubuntu, on prend des risques ?

Tu ne prends des risques que si ta machine a son accès SSH ouvert sur le monde et que ta distribution intègre systématiquement les dernières nouveautés.
Je ne crois pas que Xubuntu ait ce genre de prétention.
Manjaro a ces prétentions, et les distributions Debian « unstable » ou « testing » aussi.

De ce que je viens de comprendre en lisant ici ou ailleurs, ce sont surtout les machines qui ont fonction de serveur web qui présentent des risques. Donc, non, mes antiques ordinosaures ne craignent pas grand chose.

Sinon, la faille est déjà mentionnée sur le « french wikipedia ».
▻https://fr.wikipedia.org/wiki/XZ_Utils#Attaque_par_porte_d%C3%A9rob%C3%A9e

SSH, c’est un protocole d’administration. La machine derrière peut servir à pleins d’autres choses qu’à servir du web.

reflections on distrusting xz
▻https://joeyh.name/blog/entry/reflections_on_distrusting_xz

Was the ssh backdoor the only goal that “Jia Tan” was pursuing with their multi-year operation against xz?

I doubt it, and if not, then every fix so far has been incomplete, because everything is still running code written by that entity.

If we assume that they had a multilayered plan, that their every action was calculated and malicious, then we have to think about the full threat surface of using xz. This quickly gets into nightmare scenarios of the “trusting trust” variety.

Le principal développeur de XZ déclarait en 2022

▻https://www.mail-archive.com/xz-devel@tukaani.org/msg00567.html

[..] I haven’t lost interest but my ability to care has been fairly limited mostly due to longterm mental health issues but also due to some other things. Recently I’ve worked off-list a bit with Jia Tan on XZ Utils and perhaps he will have a bigger role in the future, we’ll see. [..] It’s also good to keep in mind that this is an unpaid hobby project.

#programmation #IA #deep_learning #github

Et on dirait que ça marche

 : la remarque résume tout le problème des réseaux de neurones. Au jour d’aujourd’hui on ne sait pas prouver la correction des sorties par rapport aux entrées. Tant qu’on atteindra pas cet objectif (si tant est qu’il soit atteignable) il va être compliqué de faire confiance au code produit par ce zinzin.

Est-ce que tu peux expliciter ce que veut dire « prouver la correction des sorties par rapport aux entrées » ?

Pardon je me suis très mal exprimé. Je précise :
Qu’on est pas capable aujourd’hui d’avoir un modèle mathématique déterministe expliquant le pourquoi d’une solution plutôt que d’une autre. un réseau de neurones est une boîte noire. C’est bien pour ça que j’ai trouvé la remarque « on dirait que ça marche » particulièrement à propos.

Je ne suis pas très fan des systèmes n’ayant pas d’explicabilité.

Merci je comprends mieux :)

Si j’ai bien compris, c’est un autocomplete amélioré, et donc au pire on ignore les suggestions, et au mieux ça fait gagner du temps. Techniquement, c’est très utile à mon avis. Politiquement, ça implique d’envoyer tout le code, ainsi que toutes les mini-itérations (ajout/suppression de caractères, c’est à dire les hésitations des dévs), à github, ce qui leur permet d’entrainer leur modèle.

https://copilot.github.com/diagram.png

On dirait que ça fait plus, la démo est assez spectaculaire, mais c’est présenté à moitié comme simplement une alternative à la recherche sur internet et à l’écrémage des forums comme stackoverflow : « GitHub Copilot draws context from the code you’re working on, suggesting whole lines or entire functions. It helps you quickly discover alternative ways to solve problems, write tests, and explore new APIs without having to tediously tailor a search for answers on the internet. As you type, it adapts to the way you write code—to help you complete your work faster. » https://github.blog/2021-06-29-introducing-github-copilot-ai-pair-programmer

Je vais encore faire mon grognon :o)

Il y a un truc qui me gêne : le bidule est entraîné à partir de logiciels open source, puisque l’entraînement se fait à partir des déôts présents sur github, mais rien n’empêchera de s’en servir pour développer du logiciel propriétaire. Ça me chagrine un peu (doux euphémisme) que tout ce volume de connaissance issu du monde de l’open source puisse bénéficier au monde du logiciel propriétaire.

Ouaip, c’est une bonne question : quelle licence pour le code généré ? Si les données d’entrainement contiennent des sources GPL3, on peut imaginer que le code devrait être contaminé (le mot est moche, mais l’idée est belle) et donc publié en tant que GPL3 aussi.

J’imagine que la réponse de GitHub sera : c’est la responsabilité de la personne qui utilise la génération de code de s’en assurer, nous on ne fait que fournir un outil.

Oui rien de foncièrement nouveau c’est le même principe que… depuis que la GPL existe, ou des sites comme stackoverflow : il est évident que des gens codant des logiciels privateurs peuvent lire du code de bibliothèques existantes en libre et les forums d’entraide et s’en inspirer pour leur code/architecture. Vu que leur logiciel est par nature une boite noire, ça n’arrive quasiment jamais de savoir si c’est repiqué tel quel ou adapté. Là c’est pareil mais directement depuis l’éditeur de code. Mais comme d’hab ce qui est nouveau c’est l’échelle, l’ampleur, de l’aspiration automatique.

Sachant que Microsoft indexe le web via Bing, ils disposent d’un bon corpus, mais ont-ils le droit de l’utiliser ?

@severo bonne question, quelle licence s’applique ?

En France (si mes connaissances ne sont pas obsolètes) le droit d’auteur s’applique. Donc si le logiciel copie du code il pourrait exposer le développeur à des poursuites en justice.

Certains codes sont en effet reproduits avec les commentaires, même lorsqu’ils contiennent des jurons.

Voici une analyse de la qualité du code produit (et ça aborde la question du « faire use » qui permet d’ignorer la licence) ▻https://gist.github.com/0xabad1dea/be18e11beb2e12433d93475d72016902

function validateUserJWT(jwt: string): boolean {
return true;
}

Une analyse légale, selon que le code ingurgité est sur github ou non, et qui porte aussi sur les licences : ▻https://fossa.com/blog/analyzing-legal-implications-github-copilot
#licence #opensource #gpl #copilot

La FSF maintenant lance une enquête et un appel à contribution sur le sujet des aspects philosophiques et légaux de Copilot :
▻https://www.fsf.org/blogs/licensing/fsf-funded-call-for-white-papers-on-philosophical-and-legal-questions-around-co
#IA #copilot #foss #fsf #github #opensource

excellent !
et c’est que pour imagemagick ou ça marche avec gd2 aussi ?

#web #image #webperf

Uniquement sous imagick, mais on peut imaginer d’ajouter un fallback sous gd, faut juste trouver le bon trick pour obtenir un résultat similaire.

Lors de mes essaie j’ai joué avec la lib ▻https://github.com/ccpalettes/gd-indexed-color-converter mais ça n’utilise pas la même méthode « Floyd–Steinberg » VS « ordered dithering » et le résultat ne me convenait pas aussi bien côté rendu que poids de l’image générée, exemple :

https://pic.infini.fr/qS2sIxeT/l1LAArdV.png

PS : une piste par ici ▻https://github.com/kosinix/grafika/blob/master/src/Grafika/Gd/Filter/Dither.php#L135

J’ajoute les liens qui m’ont été utiles en vrac pour référence si jamais quelqu’un veut s’y recoller un jour :

▻https://github.com/lowtechmag/solar-plugins/blob/master/dither/dither.py
▻https://bisqwit.iki.fi/story/howto/dither/jy
▻https://en.wikipedia.org/wiki/Ordered_dithering
▻https://web.archive.org/web/20070927122512/http://www.efg2.com/Lab/Library/ImageProcessing/DHALF.TXT
▻https://imagej.net/Dithering

Et mon squelette de debug et ses fonctions qui contiennent mes essais non achevés pour le faire avec GD cf image_tramer_floydsteinberg() & image_tramer_gd() :

▻https://gist.github.com/brunob/055fac68c1283b6d89ee7a1e3f2a9fd6

tiens d’ailleurs ça se passe comment quand on utilise un filtre qui n’est pas multi-librairie, que pour une, mais qu’on est sur une autre ? ça fait rien, ou ça fait une erreur ?

Je ne comprends pas ta question @rastapopoulos ^^

un filtre qui n’est pas multi-librairie, que pour une, mais qu’on est sur une autre

Gné ?

bah librairie d’image, un filtre qui au final ne marche qu’avec telle librairie précise. La plupart des filtres fournis marchent avec toutes les librairies, donc on se dit qu’on peut tous les utiliser, mais ça fait quoi si on est sur une autre du coup ?

’k, ben ça ne fait rien à part renvoyer l’image d’origine cf le test if (method_exists('Imagick', 'orderedPosterizeImage')) {, pas de génération d’erreur donc, si c’était ta crainte.

ok merci :)

Pour référence, un article au sujet du tramage/dithering :

▻https://surma.dev/things/ditherpunk

jaipastoutcomprismaispeutêtrejaicompris

c’est pour mettre à jour un fork qu’on est en train de travailler avec les dernières modifs de la version officielle (qui est ailleurs, qui n’est pas notre origin à nous) ?

#git #tuto #fork #développement

Oui c’est bien ça @rastapopoulos :)

hé bé, vous vivez dangereusement !

@ktche ça va, c’est plus facile à comprendre que la critique de la valeur hein :p

Avec un VPN, l’interdiction ne sert strictement à rien, mais l’événement montre que le gouvernement est plus que jamais couché devant ces bulldozers.

Rien qu’avec un resolveur local, le blocage devient inutile. La plupart des routeurs permettent cela.

Et si l’une ou l’un d’entre vous avaient envie d’éduquer un peu des analphabètes de mon espèce en nous donnant les modes d’emploi de ces possibles contournements, je vous en serai d’une éternelle reconnaissance...

Comme @reka... j’aimerais bien aussi avoir un petit mode d’emploi

#édition_scientifique #justice #France #FAI #blocage #contournement

–-

ajouté à la métaliste sur l’éditions scientifique :
►https://seenthis.net/messages/1036396

@stephane a à priori commis tout le nécessaire :
►https://www.bortzmeyer.org/son-propre-resolveur-dns.html

Bizarrement, je ne trouve pas de référence à cet article de blog dans son fil SeenThis.

Il a écrit d’autres articles voisins :
►https://www.bortzmeyer.org/changer-dns.html
ou
►https://www.bortzmeyer.org/dns-resolveurs-publics.html

Installer un resolveur local consiste à installer :
• soit le logiciel Bind ;
• soit le logiciel Unbound.

Le choix entre l’un des deux dépend du système de votre poste de travail.

Un tuto trouvé vite fait :
▻https://chez-oim.org/index.php?topic=1599.0

Et comme je le disais déjà, si vous avez un routeur personnalisable (de type ZeroShell ou pfSense ou autre), vous pouvez activer le serveur DNS interne, et désactiver l’utilisation des serveurs DNS de votre FAI.

@biggrizzly nous te disons merci. Ton poids en pièces d’or si ça marche !

@Reka C’est que c’est une tâche difficile car ça dépend de plein de détails que je ne connais pas. Chaque maison est différente. Comme le dit @BigGrizzly, le mieux est en effet de faire ça dans le routeur, permettant à toutes les machines de la maison d’en profiter d’un coup.

Pas si facile. Autre mode d’emploi ici :

Un problème pour accéder au web ? Changez vos DNS !
Julien Cadot, Numerama, le 11 février 2019
▻https://seenthis.net/messages/771630

Mieux ?

Également, sur le même sujet :
L’article du journaliste scientifique Martin Clavey : ►https://www.soundofscience.fr/1723
L’article de NextInpact : ►https://www.nextinpact.com/news/107689-les-principaux-fai-francais-doivent-bloquer-sci-hub-et-libgen.htm
L’analyse technique de Rémy Grünblatt ▻https://remy.grunblatt.org/la-censure-de-sci-hub-et-libgen-vue-depuis-le-reseau-ripe-atlas.html
La mienne : ▻https://gist.github.com/bortzmeyer/3d5b4c175994f5fbcf01ea02354853fa

% blaeu-resolve -c FR -r 1000 -q A sci-hub.tw 
[] : 12 occurrences 
[ERROR: NXDOMAIN] : 2 occurrences 
[186.2.163.90] : 235 occurrences 
[127.0.0.1] : 112 occurrences 
Test #20445233 done at 2019-03-31T18:50:16Z

#dessin_de_presse #caricature

Perso je n’utilise pas encore Git chez SPIP, mais certaines personnes le font déjà, @maieul devrait pouvoir t’en dire plus.

Il y a eu pas mal de discussions à ce sujet sur la liste spip-zone, je te laisse chercher dans les archives : ▻https://www.mail-archive.com/spip-zone@rezo.net

En attendant, voilà déjà un ty lien de pseudo doc : ▻https://gist.github.com/bystrano/5755464

Il y a deux voies différentes :
– celleux qui développent sous Git puis reversent dans le SVN de spip-zone en gardant l’historique, avec git-svn
– celleux qui développement uniquement sous Git, que ce soit Gihub ou bien mieux encore l’hébergement Git fournit par la communauté : ►https://git.spip.net.

À l’intérieur du deuxième choix, il y a deux variantes aussi :
– Git externe comme Github, puis déclaration d’un externals dans spip-zone, afin que le plugin soit présent dans le SVN et soit compris dans les dépôts officiels (et donc plugins.spip etc) :
▻https://zone.spip.org/trac/spip-zone/browser/_externals_
– Avoir un plugin SVN spip-zone bien ordonné (branches, trunk etc) qui le rend compatible avec la synchronisation Git. Dans ce cas, le plugin peut être disponible sur git.spip.net, et le but est alors qu’il est possible d’y contribuer aussi bien par SVN que par Git, avec synchronisation auto. Là c’est @azerttyu qui s’en occupent et qui pourra en dire plus.

À priori, je pense que c’est la meilleure solution car cela permet à d’autres de participer, de contribuer, quelque soit ses compétences, et on reste dans le cadre d’un dépôt communautaire démocratique, où on a tous les mêmes droits (modulo le fait de se parler, de discuter).

Après on peut être un individualiste patenté et préférer tout développer dans son dépôt seul et avoir le contrôle total et n’accepter les contributions extérieures que par patchs en les validant un par un soi-même. Mais ça ne colle plus à ce que je trouvais intéressant dans l’approche collectiviste et démocratique du code sur spip-zone.

Inutile mais rafraichissant :)