• [Attention, comme souvent en matière de sécurité, les choses évoluent, et cet article ne sera peut-être plus à jour quand vous le lirez.]

    #Poodle est une faille de sécurité dans le protocole SSL v3, publiée le 14 octobre 2014, permettant à un attaquant actif de découvrir des données chiffrées.

    Poodle est officiellement CVE 2014-3566 http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3566

    Pour attaquer avec Poodle, il faut un client et un serveur #TLS (pas forcément HTTPS) qui acceptent SSL v3 (la grande majorité) et les forcer à utiliser ce vieux protocole pourri (ce qu’on nomme un repli, downgrade en franglais).

    Ce forçage nécessite une attaque active (pas forcément d’être en coupure mais au moins d’être sur un réseau qui est sur le chemin entre les participants, ou de pouvoir y injecter de faux paquets). Ensuite, on peut effectuer plein de connexions en faisant varier le texte chiffré (ce qui nécessite a priori Javascript, donc fait que les clients SMTP ou IMAP sont peut-être en sécurité). Poodle permet un oracle : le serveur va petit à petit révéler le secret, si l’attaquant sait où il se trouve dans la communication (cas du cookie HTTP, ou du mot de passe SMTP).

    L’attaquant n’a donc pas accès au texte en clair complet, mais il peut apprendre des secrets qui étaient dans le texte en clair.

    Il faut donc impérativement débrayer SSL v3 (et cela aurait dû être fait depuis longtemps, comme recommandé par tous les bons gourous, comme le RGS de l’ANSSI). Le cas le plus urgent est celui des serveurs HTTPS, à cause du rôle de Javascript.

    On peut tester si un serveur accepte SSL v3 avec SSLlabs https://www.ssllabs.com/ssltest (pas mal écroulé en ce moment, avec tous les gens qui testent) ou bien en ligne de commande avec openssl s_client -ssl3 -connect HOST:PORT (qui doit échouer) ou encore nmap --script ssl-enum-ciphers -p https HOST.

    À noter que certains clients sont assez bêtes pour ne pas savoir se connecter en autre chose que SSL v3, comme apparemment le client d’Atos (processeur français de paiements pour plein de banques).

    Côté serveurs, les actions concrètes :

    Apache avec GnuTLS : GnuTLSPriorities SECURE:-VERS-SSL3.0

    Apache avec OpenSSL : SSLProtocol -SSLv3 -SSLv2

    Nginx avec OpenSSL : ssl_protocols TLSv1.2 TLSv1.1 TLSv1

    Postfix avec OpenSSL : smtpd_tls_protocols =  !SSLv2,!SSLv3

    Serveurs IMAP Dovecot : ssl_protocols = !SSLv2 !SSLv3

    Serveurs IMAP Courier : TLS_PROTOCOL="TLS1_2:TLS1_1:TLS1"

    Côté clients :

    Les clients TLS peuvent eux-même prendre des précautions pour empêcher Poodle. Il parait qu’on peut tester sur
    https://www.poodletest.com mais j’ai un doute (il indique un vieux Firefox comme non vulnérable). Même problème avec https://sslv3.dshield.org qui affiche parfois qu’on n’est pas vulnérable même quand on l’est et parfois le contraire.

    Pour Firefox : about:config > set security.tls.version.min à 1
    (non testé). Ou bien cette extension Firefox, https://addons.mozilla.org/en-US/firefox/addon/ssl-version-control . Mozilla annonce le retrait de SSL v3 https://blog.mozilla.org/security/2014/10/14/the-poodle-attack-and-the-end-of-ssl-3-0 pour les futures versions.

    Pour Chrome, il faut le lancer avec la ligne de commande --ssl-version-min=tls1

    Sinon, http://blog.fox-it.com/2014/10/15/poodle contient une règle Snort pour détecter les connexions SSLv3. Avec tcpdump, la règle serait tcp[((tcp[12]>>4)*4)+9:2]=0x0300

    Quel est le déploiement actuel de SSL v3 ? Une grande majorité https://8ack.de/sslv3 des sites Web accepte toujours SSL v3. Pour les sites de e-commerce, cela s’explique par leur désir de ne pas abandonner les 1 ou 2 % d’utilisateurs qui ont
    encore Internet Explorer 6. Pour les autres, il n’y a vraiment pas d’excuse. SSL v3 aurait dû être abandonné depuis au moins dix ans (TLS 1 date de 1999).

    Un peu de biblio :

    Article généraliste http://www.wired.com/2014/10/poodle-explained Bonnes notes de synthèse courtes et directes chez Robert Graham http://blog.erratasec.com/2014/10/some-poodle-notes.html Explication pointue chez Adam Langley https://www.imperialviolet.org/2014/10/14/poodle.html Une autre explication technique (mais très claire) par un des auteurs https://www.dfranke.us/posts/2014-10-14-how-poodle-happened.html

    Un peu de technique, maintenant :

    L’attaque nécessite un mode de chiffrement par blocs avec bourrage, comme CBC.

    L’erreur spécifique à SSL v3 est de ne pas spécifier le contenu du bourrage. Mais une erreur plus générale de SSL et TLS est de faire MAC-then-encrypt et donc pas de « chiffrement intègre » avec les modes comme CBC. Si le RFC 7366 http://www.bortzmeyer.org/7366.html (Encrypt-then-MAC) avait été déployé plus tôt (bon, je trolle un peu, SSL v3 n’accepte pas les extensions), Poodle n’aurait pas été possible (voir aussi cet avis de Thomas Pornin http://chat.stackexchange.com/transcript/151?m=18151930#18151930 ).

    Une autre solution à Poodle serait d’interdire le repli vers le vieux protocole SSL v3. C’est ce qui est proposé dans l’Internet-Draft draft-ietf-tls-downgrade-scsv https://tools.ietf.org/html/draft-ietf-tls-downgrade-scsv et mis en œuvre dans ce patch d’OpenSSL : http://marc.info/?l=openssl-dev&m=141333049205629&w=2 .

  • On apprend dans cet article que l’usage de résolveurs #DNS validant avec #DNSSEC a beaucoup augmenté (plus que doublé) depuis que Google Public DNS a activé la validation DNSSEC (ce qui est logique).

    Et que environ 10 % des utilisateurs passent par Google Public DNS, ce qui en fait du matériau pour #PRISM...

    http://www.circleid.com/posts/20130717_dns_dnssec_and_googles_public_dns_service

  • Une explication détaillée des querelles entre FAI et fournisseurs de contenus vidéo autour de la bande passante.

    http://arstechnica.com/information-technology/2013/07/why-youtube-buffers-the-secret-deals-that-make-and-break-online-video

    Behind the scenes, in negotiations that almost never become public, the world’s biggest Internet providers and video services argue over how much one network should pay to connect to another. When these negotiations fail, users suffer. In other words, bad video performance is often caused not just by technology problems but also by business decisions made by the companies that control the Internet.

  • Sexisme chez les geeks : Pourquoi notre communauté est malade, et comment y remédier
    http://cafaitgenre.org/2013/03/16/sexisme-chez-les-geeks-pourquoi-notre-communaute-est-malade-et-comment-

    Six mois depuis mon coup de gueule sur Joystick, où je m’agaçais qu’un journaliste jeux vidéo se tripote publiquement la nouille en projetant ses fantasmes de sévices sexuels sur la nouvelle Lara Croft. Plus de 100 000 vues, 900 commentaires, des discussions enflammées dans toutes les communautés gamers, une polémique reprise jusque dans la presse généraliste…Un passage en particulier a déchaîné les passions : celui où j’évoque le problème bien implanté du sexisme geek. Je cite : « il s’agit de (...)

    • Elle estime que son analyse s’applique aussi à un certain nombre d’autres domaines de ce qu’on pourrait appeler la culture geek (comics de super héros, SF etc).

    • Oui @mad_meg,ça ne concerne pas seulement les gamers ! J’avais remarqué que c’était le dernier retranchement de ceux à qui il manquait des billes pour contrer sa précieuse démonstration (voir son forum). Bravo, grâce à toi il est aussi tombé, merci bien.

      Et je revenais ce matin pour également l’éjecter :) en arguant que chez les geeks le sexisme existe bel et bien, et qu’il est aussi nettement plus insidieux.

      J’ai des amies geeks qui ont longtemps caché sur internet d’être des femmes, juste pour ne pas perdre de l’énergie à combattre les différences de traitement.
      Le courage que je leur trouve depuis quelques années, (chant du cygne ?) est au contraire d’en avoir pris conscience et de revendiquer qu’elles soient des femmes, mince lueur d’espoir quand on sait qu’il n’y a que 2% de développeuses dans le libre !

      Mais même en s’affirmant femme et en défendant le droit égalitaire d’être pour tout.e.s là ou je veux (rien que cet effort de formulation est difficile à franchir) et en dénonçant les exclusions inconscientes, c’est clairement une pensée qui ne passe pas et peut créer des problèmes à celle qui l’exprime. Il faudrait ne rien dire, ne rien revendiquer ? Et dans le cas contraire, savoir qu’on sera accusé, non pas de vouloir rééquilibrer les pouvoirs mais de défendre sa chapelle, on peut tomber de très très haut !

      Quand une personne est obligée de passer au mode revendicatif, c’est qu’il y a un problème, et malheureusement lorsque ce sont des revendications féministes c’est souvent une réponse soit vulgaire soit condescendante « On est pas là pour ça » du genre « C’est pas notre problème » soit dissoute à la sauce masculine « Je ne vois pas de quoi tu parles ».
      Il apparait de plus insoutenable pour un homme, lorsqu’il en a les capacités, d’apprendre qu’il fait parti de ceux qui marchent encore sur la gueule de la moitié du monde sans vergogne, surtout tant qu’il n’a pas réalisé l’effort immense à faire pour se sortir de la culture machiste dans laquelle nous baignons tou.te.s.
      Il est de plus en plus évident qu’arriver à appréhender la violence de l’exclusion des femmes est difficile lorsqu’on occupe la place des dominants. Il n’y a donc que les victimes qui soient encore en mesure de gueuler plus fort qui puissent faire prendre conscience du problème, lorsque celles-ci ne sont pas considérées comme des témoins à faire disparaitre.

      Ca ne dérangera apparemment personne si les femmes continuent à chuchoter qu’elles existent tout en disparaissant de la surface du logiciel libre. Sans jamais que les hommes qui occupent la place ne réalisent que cela peut devenir insupportable pour une femme qui ne peut espérer une autre dialectique que celle du mâle. Avec des gros misogynes comme #Richard_Stallman pour maître à penser, c’est pas gagné, gagné.

      http://www.youtube.com/watch?v=EzYxLlO55ew

    • @Baroug @mad_meg Oui, l’article cite quelques cas non-gamers. Mais cela n’a pas du tout la même ampleur. Il suffit de comparer les plaisanteries douteuses de Stallman avec les menaces de mort ou de viol.On n’est pas dans la même catégorie.

      Franchement, je croyais qu’il n’y avait que les journalistes qui appelaient geeks des types dont le seul rapport à la technique est d’être accroché à une console de jeu... Résultat de ce curieux choix de langage, les geeks commencent l’article et ne se sentent pas concernés (alors qu’il y a certainement aussi des problèmes chez les geeks).

    • @Fil, je trouve aussi la fin très interessante car elle propose des solutions simples et constructives ce qui est assez rare pour être salué.

      @Stéphane_Bortzmeyer en fait le problème du mot geek me fait pensé que c’est un mot très élastique un peu comme bobo. Il n’y a pas exactement de définition qui fasse consensus, ce qui permet d’être tantôt péjoratif, tantôt valorisant selon l’humeur de celleux qui utilisent le mot, de s’en revendiquer ou s’en démarquer selon le moment et l’interlocuteurE.
      par exemple un geek peut être gameurE, hackeurE, libriste, fan de SF, lecteurE de comics, lecteurE de mangas, amateurE de JDR ou/et fana d’héroique fantasy... certains geeks ne serons pas d’accord pour que tel ou tel type d’activités ou de gouts soient nommer geeks ce qui est bien pratique pour ne pas se sentir visé par l’article.

      C’est un peu comme si chacun avait sa définition perso du geek et de la culture geek. Comme si ca fesait un titre de noblesse mais surtout un signe d’appartenance, et donc d’exclusion .

      de toute façon les personnes qui refusent de voire la culture sous l’approche du genre le refuserons quoi qu’on leur dise quelque soit les evidences qu’on leur met sous leurs yeux. Mar_lard a fait un travail immense et perso je ne trouve rien à redire dans tout ce qu’elle montre et analyse. La culture geek est issu de la culture partiarcale (donc sexiste) et n’a jamais remis en cause ni interroger cet héritage, elle ne fait que le reproduire. J’ai lu les commentaires et beaucoup de réactions sont encourragantes, nombreux sont les intervenants qui disent que ca leur à ouvert les yeux sur quelquechose qu’ils sentaient mais ne savaient pas dire et dont ils n’imaginaient pas une telle ampleur. Tout ceci est extrenement postif et comme le souligne @Fil, en plus Mar_lard propose des solutions, concrètes, faisables et a differents niveaux, je pense que tout ceci est hyperpositif.

      Désolé c’est un peu décousu, il y a tellement a dire et j’ai la tête encore retourné par ma lecture de l’immense article de Mar_lard.

      @touti je ne connait pas #Richard_Stallman je vais regarder ca.
      Pour les dev il y a tout les stéréotypes sur les femmes avec les maths et l’informatique qui seraient des domaines masculins, c’est du lourd.
      Je suis tout de même assez optimiste surtout à cause des réactions positives que j’ai lu dans les comm de l’article. Sur l’espace francophone c’est tout nouveau d’avoir des analyses aussi poussées et d’avoir des geeks féministes ca donne de l’espoir. Après c’est comme toutes les causes pour l’égalité et la justice, beaucoup de peine pour peu de résultat, mais ca vaut le coup et on ne lâche rien (surtout ici avec les SeenThiseurEs).
      Et aujourd’hui on a gagner un document fabuleux plein d’exemples et de liens pour répondre sur ce sujet, nous sommes renforcé et ca me met de super humeur.

      Merci @Mar_lard.

    • @stephane, pourquoi vouloir absolument te rassurer que les geeks seraient moins sexistes que les gamers ? Que des geeks (ou des hommes), après la lecture de l’article ne se sentent pas concernés, cela prouve amha que les modes de protection pour éviter de se remettre en cause sont variés.
      J’ai cru avoir fait ici même la démonstration du côté insidieux du sexisme chez les geeks du logiciel libre, en citant justement Stallman, qui me fait bien gerber là, mais peut-être n’ai-je pas été assez claire.
      J’aurais nettement préféré lire un autre point de critique de ta part, si cela est possible tant le sujet du féminisme est difficile en informatique.

    • @mad_meg, moi aussi je suis trouve ça assez revigorant. Avec une grande diversité de points de vue dans le forum mais de magnifiques témoignages de prise de conscience qui rassurent !
      Concernant Stallman, il est malheureusement cité dans l’article pour des paroles que je ne recopierais pas, il se trouve être le pape génial et incontournable du logiciel libre, père de GNU, grand influenceur, d’où ma grande colère.

    • J’ai depuis toujours (depuis que j’encadre des gens) tenté de féminiser mes équipes. En vain. Pourquoi les informaticiens (les développeurs en particulier) sont-ils tous des hommes ?
      J’ai croisé des développeuses très compétentes. D’autres moins. Il y a pas mal de développeurs incompétents. Ça devrait faire des opportunités pour les femmes pourtant.

      En lisant l’ensemble de l’article, il y a eu des moments de franc malaise. Cette histoire au début, de cette nana dans une compétition, où elle se fait clairement harceler. On sent le moment où ça va finir en « on se ligue tous contre elle pour lui montrer ce qu’on est ». La seule chose qui me vient à l’idée, c’est « ce comportement est condamné par la loi ». Et ça devrait être la seule réponse de tous ceux qui assistent à la chose.

      J’ai aussi pensé à Jodorowsky. Et à son oeuvre « Les technopères » (1998). C’est de la BD. Et cette oeuvre futuriste fait terriblement écho à ce que je vois de l’industrie des jeux et des joueurs. Le héros, créateur de jeux, se prend à vouloir élever les masses en leur proposant le meilleur jeu jamais conçu à base de bons sentiments... et... il se fait rabrouer par ses maîtres et professeurs, pour cause de non concordances avec ce qui est attendu d’un jeu dans cette galaxie, jeux qui se doivent d’être bestiaux et avilissants...

      ...

    • @BigGrizzly
      Pour le peu de femmes chez les dev il y a de nombreux facteurs. Par exemple le fait qu’on décourage les femmes dès l’enfance à faire des mathématiques. Tout le long de leur scolarité les enfants sont orienté selon leur sexe. Et les filles ne sont pas encouragées a devenir devloppeuses. Si tu regarde les ordinateurs jouets pour enfants, les modèls roses pour filles ont moins d’options, sont plus primitifs et moins attractifs. Les jeux sont aussi marqué fortement Mar_lard en parle souvent.

      Les stéréotypes sexistes sont très profonds, même en en prennant conscience on n’en est pas débarrassé. Je trouve cela vertigineux même, sur nos papiers d’identité nos sexes sont indiqués avant nos noms* et prénoms, c’est comme si c’était plus important que nos individualités. Comme si avant d’être des personnes nous étions des sexes (perso ca me saoul d’être un sexe avant une personne). Remettre en cause la culture genrée c’est touché à quelquechose de plus profond que nos individualités, on est bien loin de commencer tout juste à prendre la mesure du boulot à faire quant on parle de changer les mentalités.

      Je suis parti un peu loin ^^, je reviens aux dev, en plus comme elles sont peu encouragé dans la fillière, pour celles qui y parviennent le fait d’être pionnière et rare est lourd. On fait souvent porté aux femmes le poids de leur sexe, cad qu’une femme dans un mileu masculin est sensé porté l’image et la légitimité de toutes les femmes. Elle doit faire ses preuves non seulement pour ses propres compétences mais aussi pour celle de toutes les femmes. C’est ce qui doit arrivé a d’autres groupes discriminés soit dit en passant. Je ne reviens pas sur l’hostilité de nombreux hommes. Il a aussi je pense l’effet « femme de service » ou parfois on peut avoir l’impression d’avoir été choisie pour qu’il y ait au moins une nana. Du coup on a l’impression que nos compétences ne sont pas reconnus, c’est très frustrant. Ca m’est arrivé dans un autre domaine j’ai pas du tout apprécié.

      Pour Jodorowsky, je le connait très peu, ca fait longtemps qu’on m’en parle mais je ne m’y suis toujours pas mise. Merci du rappel :)
      De toute façon les dominations sont liées. Le néolibéralisme et le patriarcats sont differents aspects de la domination qui de nombreux visages. Les bons sentiments dans ce monde c’est péjoratif, c’est la prédation qui est valorisé par des entreprises qui sont elles même des prédatrices.

      *la plus part du temps le nom de nos pères soit dit en passant

    • @biggrizzly j’ai résisté à le souligner, et puis je sais ton intelligence, donc voila, ce genre de langage ça fait mal, prends en conscience stp. C’est exactement ce que j’appelle le sexisme ordinaire, ça transpire tout seul sans qu’on n’y prête garde, vous reprendrez bien une petite louche d’inconscience ?

      Il y a pas mal de développeurs incompétents. Ça devrait faire des opportunités pour les femmes pourtant.

    • Oui, j’avais bien conscience que ça pouvait être mal interprété au moment de l’écrire. J’ai écrit comme j’aurais parlé, en faisant des raccourcis difficiles à comprends. Je voulais juste dire que c’est vraiment triste qu’il n’y ait pas plus de femmes, parce qu’il y a vraiment des places à prendre.

      Mais j’ai mon intuition (subjective) aussi sur le pourquoi de l’absence des femmes : l’informatique est un truc réellement mortifère à mon sens, tel qu’il est pratiqué. J’ai vraiment parfois la sensation de me débattre dans le monde des Technopères, où la technologie n’existe que pour elle même, et non pour ce qu’elle pourrait apporter au plus grand nombre. Voilà, j’ai parfois la sensation que ça les emmerde, à raison, parce qu’il y a des choses bien plus intéressantes à faire dans la vie que la dernière trouvaille JavaScript ou l’intégration des generics dans tel langage de programmation abscons... ce qui techniquement peut être passionnant... mais qui ne conduit à rien de bien concret à la fin.

    • Hihi @biggrizzly, ça ne passe toujours pas, même si ton intention est louable ! Pardon, mais il faut vraiment arrêter les préjugés sur la femme vie, terre, concrète, celle qui sait s’occuper avec amour de notre avenir, etc… et savoir qu’une femme peut être aussi conne qu’un homme, dans la pire égalité peut-être mais pas dans le fantasmes de la place qu’elle pourrait avoir si déjà on la lui laissait, en vrai ! :) . Donc la question n’est pas si les femmes ont à être plus compétentes ou moins compétentes, ou en quoi elles repenseraient le monde, elles ont à être, point barre.

      D’autre part, la part des femmes en informatique est un fait plus culturel qu’une sensibilité hormonale. Il y a des pays (je sais plus lesquels, Thaïlande ou Indonésie … ?!!) ou les femmes sont plus aux ordis que les hommes, tout simplement parce que cela ne symbolise pas la même chose. @mad_meg sur ce point, je te suis, car dès l’enfance en france en tout cas, les garçons vont mépriser le français qui appartiendrait au registre des filles (oui, oui je l’ai entendu plusieurs fois) pour se tourner vers l’abstrait des maths et de la technique. Tu vois le « concret » pour les filles ou il nait, d’un sexisme à la con, dont patissent aussi les garçons !

      Sinon, je suis d’accord avec toi sur le fait qu’il y a toujours surement mieux à faire dans la vie que d’être derrière un ordinateur ! Mais moi si ça me plait, ça me retire pas pour autant une part de ma féminité, enfin, j’espère :)

    • C’est pas moi qu’l’dit !

      « L’égalité hommes-femmes existera vraiment le jour où une femme incapable occupera un poste important, car l’inverse est déjà amplement vérifié » Edith Cresson

    • On est bien d’accord. Nous sommes ce que notre environnement nous permet de devenir et s’en extraire est une violence. :-)

      Là où je veux en venir dépasse le sujet de ce fil : l’informatique et la technologie en général, sont à mon sens totalement mortifères et inutiles, en tout cas de la façon dont nous les vivons actuellement.
      A quoi bon posséder un compte FB/DropBox le jour où il n’y a pas d’électricité ? A quoi bon cesser d’apprendre l’écriture manuscrite s’il n’est pas possible de fournir un ordinateur aux 9 milliards d’êtres humains (à l’horizon d’une génération sans un tel apprentissage)... et déjà rien qu’aux 300 millions d’américains.

      Je suis quasiment bon pour aller m’exiler élever des chèvres.

      Même les jeux sur ordinateur me mettent systématiquement mal à l’aise, tellement je les trouve inutiles, sans intérêt, et même carrément malsains. J’ai mis les doigts il y a quelques semaines dans un MMORPG. J’ai tout éteint au bout d’une semaine, d’une heure à l’autre, tellement les règles du jeu, la progression, tout, m’a semblé absolument creux et inepte, écrit par avance, calibré, sans surprise. Création de l’humain médiocre pour l’humain médiocre.

      Je suis aussi quasiment bon pour le suicide, tellement ce monde manque de sujets enthousiasmants. ;-)

    • oui c’est une reprise de Françoise Giroud
      on en parle ici http://blog.francetvinfo.fr/ladies-and-gentlemen/2013/03/14/il-y-a-30-ans-exactement-francoise-giroud-disait-la-femme-serait-v

      Ahahala Edith Cresson qu’est-ce qu’elle à morflé, j’était jeune quant elle etait au gouvernement mais j’ai toujours eu beaucoup d’empathie pour elle et je prennait souvent sa défense bien qu’a l’époque ma culture féministe et politique etait sommaire.

      Pour le coup de femmes et les maths je l’ai vecu, mon frangin n’etait pas meilleur que moi en math, on dessinait tous les deux, nos niveaux scolaires étaient assez proches (et peu brillants). J’avais beaucoup plus de difficultés en langue et à l’écrit qu’en sciences et j’ai été orienté en littéraire et mon frère en scientifique (il etait meilleur en langue et en français que moi pourtant). A l’époque ca ne me posait pas de pbl car la section scientifique me semblait trop dure (probablement trop dure pour une fille), mais avec le recule je pense que mes parents étaient aux prises avec ce stéréotype et moi aussi.

    • @BigGrizzly
      pour l’informatique, les dev en praticulier il y a aussi le fait que c’est une profession valorisé et prestigieuse, dans un monde informatisé, les codeurs sont un peu des prêtres, ils ont beaucoup de pouvoir (même si ca te semble ridicule par rapport à ton vecu).
      J’ai un souvenir d’un cour d’ethnologie à la fac, on étudiait les fons (ca ne s’ecrit probablement pas comme ca) au Dahomé, et là bas ce sont les hommes qui font la couture, et les femmes traditionnellement s’occupaient des poteries. Dans la culture fon, la poterie c’etait pas glorieux, un truc de nana, inversement il n’y avait pas plus noble et préstigieux comme activité que la couture. Normal c’est les mecs qui pratiquent.
      Cette histoire m’a fait comprendre un peu le déplacement des valeurs qui s’opère quant un domaine est investi par les femmes. Par exemple pour l’enseignement, quant les instits etaient des hommes, c’etait un metier respectable, aujourd’hui on sais très bien comment sont considéré les instits, leur propre ministre les traite de changeuse de couches. Pour l’info, c’est un domaine associé au pouvoir, les femmes n’y sont pas bienvenu, le jour ou le pouvoir ira ailleur, tu trouvera plein de develloppeuses et pour pas cher... tristesse.

      Pour les MMO j’ai failli disparaitre dans EVEonline c’etait il y a un moment, je croi que le jeu a changé, mais c’etait génial, je te le conseil pas c’est de la drogue dur.

    • @biggrizzly, vas-y fonce, va élever des chèvres si ton désir de vivre passe par là, faut savoir s’écouter vraiment.
      Et en général, c’est à marée basse qu’on rencontre les plus beaux coquillages :)

    • c’est toujours relatif a quoi on compare. Si tu compare aux commericaux ou traders je comprend ta réaction. Sauf que si tu compare aux personnes qui font le ménage dans tes bureaux (et qui sont la plus part du temps des femmes), c’est un autre point de vue. Je dit pas que les codeurs sont les big boss de la société, mais ils font partie des métiers assez bien rémunéré et prestigieux socialement, même si ca l’est moins qu’a une certaine époque.

    • Ah oui, manach la grande claque ! les femmes on supporte de les entendre parler d’internet mais uniquement si ça a trait au féminisme !

    • Je repassait par là et je remarque qu’entre 2013 et 2019 il n’y a aucune amélioration, les hommes qui étaient sensibles aux questions de sexisme l’étaient déjà à l’époque et les machos dans le déni le sont toujours autant aujourd’hui qu’en 2013 et à l’époque j’avais au moins le droit de mettre des tags sur #richard_stallman sans être censuré.

      –-
      J’en profite pour archive ceci car c’est un tres bel exemple des methodes des dominants pour maintenir leurs privilèges et tenir les femmes à l’écart de leur milieu.

      Stéphane Bortzmeyer 16/03/2013

      Dommage que l’auteure utilise le terme « geek » pour « gamer ». Il y a quelques exemples en dehors de ce monde (qui a l’air sérieusement taré) mais pas beaucoup.

      –—

      Stéphane Bortzmeyer 24/03/2013

      Un éditorial de PC Inpact appelant à prendre la question du sexisme au sérieux, et les médias à agir : ▻http://www.pcinpact.com/news/78457-edito-sexisme-chez-geeksjoueurs-aux-medias-montrer-exemple.htm ( et, en plus, eux ne mélangent pas geeks et gamers ).

      Les bro de PC impact savent nommer les choses de manière à faire le plaisir des dominants, pas comme cette Mar_lard qui n’y connais rien en geeks...
      Selon ce geek, il n’y a pas de sexisme chez le geeks, ni chez les codeurs, ni au MIT, ni chez les libristes, ni sur seenthis, ni chez Stallman (qui est un gamer je présume), mais il y en a chez les gamers (et ce geek qui parle semble avoir force mépris pour les gameurs, qui sont des autres, et les machos c’est toujours des autres pour les machos). Les sexistes dénoncés par Mar_lard sont ainsi réduit à de simple tarés ce qui est une technique de l’oppresseur pour dépolitiser la question des violences et discriminations sexistes et sexuelles.
      Je trouve aussi assez révélateur que ce geek ne se ressente pas comme un privilégié ou un dominant.

      #déni #nice_guy #sauflamien #macho_de_gauche

  • Les techniques fondées sur le #pair-à-pair sont souvent présentées comme permettant un Internet sans centre et sans autorité. Ce n’est vrai que si on ne se préoccupe pas de sécurité. Dès qu’on est confronté à des méchants qui tentent délibérement d’attaquer le réseau, le problème est bien plus complexe. Désolé de jouer les porteurs de mauvaise nouvelle mais la plupart des promoteurs du pair-à-pair se font des illusions.

    http://www.bortzmeyer.org/pairapair-securite.html

    #cccp #sécurité_informatique #Sybil

    • Merci pour votre article qui est assez intéressant. Cependant, je ne suis pas tout à fait d’accord avec vous quand vous dites que n’importe qui peut sortir 20 000 machines virtuelles pour spammer le réseau. Cela marchera quelques jours au mieux et puis les adresses IP de ces machines vont se faire banir de la plupart des clients (en IPv6, on banira le préfixe).

    • Dans un réseau maillé (comme qaul, que je citais dans mon article), cela ne marchera pas puisque même l’allocation des adresses est contrôlée par les pairs.

      Dans une DHT sur l’Internet, avec des adresses IP publiques (je passe sur l’allocation pas du tout pair-à-pair des adresses IP...), qui va gérer la liste noire ? Précisément le composant central.

      Le problème est difficile. Des centaines de chercheurs ont déjà bossé dessus. On ne le résoudra pas avec une idée « dos de l’enveloppe ».

    • Les réseaux de confiance (GPG) ne sont-ils pas sensés répondre à cette problématique ? Il y a une hiérarchie, mais elle est relative à chacun des pairs.

    • Tu ne peux pas mettre dans le même panier un protocole de la couche application comme Bittorrent et un de la couche réseau comme Qaul, ce n’est pas la même problématique. Un protocole de la couche application a déjà à sa disposition l’identifiant de la couche réseau, tandis que la couche réseau n’a rien de fiable en dessous. Il est donc beaucoup plus compliqué d’avoir un Qaul fonctionnel qu’un Bittorrent.

      Ça ne veut pas dire pour autant que BT n’est pas un protocole P2P, il l’est relativement à la couche à laquelle il appartient. Quand on le fait tourner par-dessus IP il repose en effet sur un système d’allocation centralisé, mais peut-être qu’un jour on le fera tourner sur une pile réseau entièrement P2P.

      Une précision concernant Bittorrent : la manière de récupérer le hash du torrent est en dehors du champ du protocole. La méthode que tu évoques qui consiste à interroger un moteur de recherche Web n’est pas la seule possible, il existe un client torrent qui implémente une recherche P2P : http://www.tribler.org

  • Excellent article officiel sur la spectaculaire panne de #CloudFlare (voir notamment leur beau graphique au début de l’article) qui a coupé l’accès à tant de sites Web aujourd’hui.

    http://blog.cloudflare.com/todays-outage-post-mortem-82515

    J’en tire plusieurs leçons :

    1) La dépendance de tant de sites vis-à-vis d’un seul fournisseur n’est pas une bonne chose. Point déjà signalé en http://www.sebsauvage.net/rhaa/index.php?2012/01/23/13/42/15-cloudflare-le-syndrome-akismet

    2) Les outils permettant de gérer simplement N machines sont à la fois indispensables et dangereux. (L’équivalent de #Flowspec que cite l’article, pour une machine Unix, serait #Chef, #Puppet ou #Ansible, avec lesquels des catastrophes équivalentes sont possibles) Lorsque ces outils déconnent, ils transforment une panne locale en un problème mondial. Gérer à la main 1 000 routeurs n’est évidemment pas réaliste. Les gérer tous « comme un seul routeur » expose à des pannes comme celle d’aujourd’hui. Sur la liste FRnog, Frédéric Dhieux a formulé une idée intéressante : avoir N (avec N >= 2) groupes de routeurs gérés de manière différente par des équipes différentes.

    Un article moins technique : http://techcrunch.com/2013/03/03/cloudflare-is-down-due-to-dns-outage-taking-down-785000-websites-includi

    Et un exposé sur l’utilisation de Flowspec à CloudFlare. Il doit être très lu aujourd’hui :-) http://www.slideshare.net/junipernetworks/flowspec-bay-area-juniper-user-group-bajug

    Une présentation de FlowSpec en français : http://media.frnog.org/FRnOG_18/FRnOG_18-6.pdf

    #résilience #Internet #maya2012 #transparence

  • RFC 6821 : Improving Peer Selection in Peer-to-peer Applications : Myths vs. Reality

    Le trafic du #pair-à-pair peut, on le sait, représenter une bonne part de l’activité d’un réseau, malgré les efforts de l’industrie du divertissement pour diaboliser cette technique. Il y a donc depuis plusieurs années de gros efforts de recherche pour optimiser ce trafic, notammment via l’amélioration de la sélection des pairs. Si je veux télécharger la saison 1 de Being human, et que trois pairs ont les données, auquel demander ? Le bon sens répond « au plus proche ». Mais le concept de « plus proche » est plus flou qu’il n’y parait, et, de toute façon, le logiciel pair-à-pair installé sur ma machine n’a pas forcément accès à toutes les informations nécessaires pour déterminer « le plus proche ». Il existe plusieurs solutions pour résoudre ce problème, mais notre #RFC se penche plutôt sur le méta-problème : la sélection des pairs améliore-t-elle les choses ?

    http://www.bortzmeyer.org/6821.html

    #ALTO

  • Le système GADS (GNU Alternative Domain System, une partie de GNUnet) est un système de nommage réparti, sans racine, et résistant à la censure. Il repose sur des noms donnés localement (et donc sans signification globale unique) et de la cryptographie pour sécuriser.

    Il serait erroné de la comparer au #DNS (Domain Name System). Bien qu’il utilise certaines parties du DNS (comme les mêmes enregistrements - Resource Records) et qu’il a certaines fonctions en commun avec le DNS, GADS a un cahier des charges très différent. Ainsi, il met en objectif principal la résistance aux attaques légales (la censure) et, par contre, ne cherche pas à fournir des noms uniques (un nom GADS comme "Alice" a une signification qui dépend de l’endroit où on est).

    Le principe de base est issu de #SDSI (Simple Distributed Security Infrastructure) : chacun peut nommer comme il veut des ressources (ces noms locaux sont des « pet names », comme ceux de l’ancien /etc/hosts). Et on peut déléguer des noms. Ainsi, Alice peut avoir des ressources nommées "bob" et "charlie" (noms qui n’ont de signification que pour elle) et les noms créés par Bob et Charlie sont accessibles à Alice. Si Bob a une ressource nommé "denise", Alice peut accéder à bob/denise. Si Charlie nomme la même ressource "girlfriend", le nom charlie/girlfriend marchera aussi, pour Alice (la syntaxe gros-boutienne que j’utilise est inspirée des noms de fichiers Unix et l’absence de / initial illustre bien le fait que tous les noms, dans ce système, sont relatifs).

    GADS utilise, lui, la syntaxe petit-boutienne des noms de domaines, avec de pseudo-TLD, notamment .GADS. Ainsi, denise.bob.gads signifie, pour Alice, la ressource nommée "denise" créée par la ressource que j’ai nommée "bob". Pour un autre utilisateur de GADS, ce nom signifiera autre chose. (Rappel : bien que cela n’ait pas encore été démontré mathématiquement, il est largement considéré comme impossible d’avoir à la fois la sécurité, l’unicité des noms, des noms mémorisables et l’absence de hiérarchie).

    Pour sécuriser le processus de résolution, GADS utilise la cryptographie. Chaque ressource a une clé avec partie publique et partie privée. La clé est générée localement (pas d’autorité de certification). Les enregistrements sont signés avec la clé privée. La clé publique sert pour la délégation. Pour que denise.bob.gads marche, Bob met la clé publique de Denise (après, on le suppose, des vérifications) dans ses enregistrements. On note qu’on ne choisit donc pas le nom sous lequel les autres vous désignent (voilà d’intéressantes perspectives juridiques si je fais pointer fournisseur-de-kadhafi.stephane.gads vers le site Web d’Amesys...)

    Les clés publiques peuvent être aussi utilisées dans le pseudo-TLD .ZKEY, qui, lui, fournit des noms quasi-uniques (mais ni mémorisables, ni facilement résolvables).

    Voilà pour le principe. On note qu’il existe des tas de détails à régler ensuite. D’abord, la résolution. Je n’ai pas étudié ce point en détail mais GADS ne semble pas avoir l’équivalent de la résolution récursive du DNS. Soit un nom est dans la base locale, soit on le cherche dans une #DHT commune (le système #R5N). Cette DHT est vulnérable aux attaques (par exemple de type Sybil).

    Parmi les autres détails que traite GADS, il y a celui de la réversibilité (si Alice envoie un message à denise.bob.gads, Denise n’a pas forcément de nom pour joindre Alice en réponse) et celui des protocoles qui tiennent pour acquis l’existence de noms uniques (comme HTTP avec son en-tête Host :). À chaque fois, GADS a dû développer une solution (il est très rare, dans les projets de « nommage alternatif », de voir un tel souci du détail).

    Les fanas de la gouvernance Internet noteront que GADS est en traind’étudier la possibilité de mettre ses pseudo-TLD (comme .GADS ou .ZKEY) dans le registre des TLD spéciaux <http://www.iana.org/assignments/special-use-domain-names/special-use-domain-names.xml>.

    Mon avis sur GADS ? Le système est bien conçu techniquement et est prometteur. Les auteurs sont des experts du pair-à-pair et ont bâti sur la vaste expérience existante dans ce domaine. Surtout, ils sont honnêtes : contrairement aux escrocs des racines alternatives, ou aux zozos comme Peter Sunde qui n’ont jamais compris le triangle de Zooko (l’impossibilité d’avoir à la fois mémorisabilité, sécurité et absence de hiérarchie), ils jouent cartes sur table dès le début, en disant franchement qu’ils renoncent à l’unicité des noms.

    À noter que le résumé du DNS dans le mémoire de Schanzenbach contient plusieurs erreurs sérieuses. Par exemple, le schéma 2.3 est faux pour la résolution récursive (le texte est par contre correct). Et le vocabulaire est souvent flou (il dit parfois à tort que le DNS est centralisé et parfois qu’il est réparti).

    La page officielle de GNUnet : <https://gnunet.org> et celle de GADS <https://gnunet.org/gns> Le code est en <https://gnunet.org/gnunet-094>

    Plus détaillé et plus récent, le mémoire de master de Martin Schanzenbach, consacré à GADS et à son implémentation : <https://gnunet.org/schanzen2012thesis> et le PDF car il n’est pas facile à trouver <https://gnunet.org/sites/default/files/schanzen2012msc.pdf>

    L’article de Rivest sur SDSI, l’ancêtre immédiat de GADS : <http://people.csail.mit.edu/rivest/sdsi10.html>

    Mon article sur l’impossibilité d’avoir à la fois sécurité, unicité et non-hiérarchie : <http://www.bortzmeyer.org/no-free-lunch.html>

    #GADS #censure #pair-à-pair #GNUnet

  • Piratage dans le TLD irlandais .IE. google.ie et yahoo.ie redirigés vers des sites pirates, via des serveurs DNS contrôlés par l’attaquant. À noter qu’il ne s’agit pas d’une attaque #DNS mais d’un piratage, soit du registre, soit du bureau d’enregistrement MarkMonitor (on ne sait pas lequel des deux a été piraté). Des techniques comme #DNSSEC n’auraient donc pas aidé.

    Les domaines en question (peut-être étaient-ils plus nombreux mais seuls ces deux-là ont été cités) ont été rectifiés rapidement. Mais certains caches ont pu garder les mauvaise données pendant des heures.

    L’article le plus détaillé sur l’affaire est celui de Michele Neylon, un expert irlandais en noms de domaines :

    http://technology.ie/google-ie-hijacked

    Le site officiel du registre (#IEDR) annonce le problème mais sans donner de détails :

    http://www.iedr.ie

    Il y a aussi un peu d’informations sur le compte Twitter dudit registre :

    https://twitter.com/iedomains

    Un autre article écrit par un acteur local :

    http://www.domainregistrar.ie/garda-investigate-as-security-incident-takes-google-ie-and-yahoo-ie-

    #sécurité #noms_de_domaines

  • Quand on loue un serveur chez un prestataire (tel qu’OVH ou Online par exemple), on récupère également une ou plusieurs adresses #IP. Ces dernières ont en général déjà été utilisées par des clients précédents.

    J’ai récemment commandé un serveur Kimsufi (chez OVH), et j’ai du même coup récupéré une adresse IP précédemment utilisée.
    Le précédent utilisateur avait visiblement installé un résolveur #DNS récursif ouvert sur la machine, probablement à cause d’une erreur de paramétrage (une recherche sur l’adresse IP m’apprends qu’elle hébergeait des services de webradio, sans rapport avec DNS).

    Après avoir moi-même configuré un serveur DNS autoritaire, j’ai constaté dans ses logs qu’il y avait entre 10 et 12 requêtes par seconde de la part de 2 adresses IP, sur des gros enregistrements DNS (demande ANY ripe.net). Il s’agit probablement d’adresses IP spoofées, victimes d’une attaque par amplification (les requêtes DNS sont très petites, la réponse pour ANY ripe.net est relativement grosse).

    Oct 8 11:06:00 ks300XXX named[25180]: client 180.150.140.XXX#53: query (cache) ’ripe.net/ANY/IN’ denied
    Oct 8 11:06:00 ks300XXX named[25180]: client 69.162.110.XXX#53: query (cache) ’ripe.net/ANY/IN’ denied

    Après 28 heures de filtrage, netfilter/iptables a jeté 76 Mo et 1155 kpaquets pour ces deux adresses IP.

    J’ai également constaté d’autres requêtes plus irrégulières :
    - Des requêtes diverses provenant de machines du même réseau (avec des réponses de petite taille, donc probablement pas une attaque par amplification),
    - Une requête vers www.google.com, probablement pour tester l’ouverture du résolveur,
    - Et même une (unique) requête ANY sur la racine du DNS.

    Malgré tout, le trafic DNS lié à l’ouverture du résolveur DNS récursif est relativement faible sur cette machine.