August 27, 2015

Carl Chenet

Liens intéressants Journal du hacker semaine #35

Suivez-moi aussi sur Diaspora*diaspora-banner ou Twitter  ou sur Identi.ca

logo-journal-du-hacker

Pour cette 35ème semaine de 2015, 5 liens intéressants que vous avez peut-être ratés, relayés cette semaine par le Journal Du Hacker, votre source d’informations pour le Logiciel Libre francophone !

firefox-logo

bouton-debian

Pour ne plus rater aucun article de la communauté francophone, voici :

De plus le site web du Journal du hacker est « adaptatif (responsive) ». N’hésitez pas à le consulter depuis votre smartphone ou votre tablette !

Le Journal du hacker fonctionne de manière collaborative, grâce à la participation de ses membres. Rejoignez-nous pour proposer vos contenus à partager avec la communauté du Logiciel Libre francophone et faire connaître vos projets.

Et vous ? Qu’avez-vous pensé de ces articles ? N’hésitez pas à réagir directement dans les commentaires de l’article sur le Journal du hacker ou bien dans les commentaires de ce billet :)

 

 


27 August, 2015 08:30PM by Carl Chenet

August 25, 2015

Retweet 0.2, le bot Twitter : passage à Python 3

Suivez-moi aussi sur Diaspora*diaspora-banner ou Twitter  ou sur Identi.ca

Pour rappel, Retweet est un bot Twitter qui retweete tout ce qui provient d’un compte Twitter particulier vers un autre compte.

Retweet a été créé dans le cadre du développement de la présence du Journal du hacker sur le réseau social Twitter.

logo-journal-du-hacker

Particulièrement utile pour pour diffuser des informations via un réseau de comptes Twitter, je publie une nouvelle version de Retweet suite aux avis recueillis suite à mon journal sur LinuxFR (même si je n’ai pas encore pu tout faire, mais cela viendra).

Retweet est désormais codé en Python 3.4. La conformité à la pep8 a été également améliorée pour augmenter la lisibilité et la maintenance du code.

Twitter_logo_blue

Et vous ? En aurez-vous l’utilisation ? N’hésitez pas à réagir directement dans les commentaires de ce billet ou en ouvrant un rapport de bug/demande de fonctionnalités.


25 August, 2015 09:04PM by Carl Chenet

August 24, 2015

Le Journal du hacker choisit son nom de domaine !

Suivez-moi aussi sur Diaspora*diaspora-banner ou Twitter  ou sur Identi.ca

logo-journal-du-hacker

Le Journal du hacker, après avoir choisi son logo, met de nouveau ses inscrits à contribution en leur demandant de voter pour le nom de domaine définitif du Journal !

Pour nos lecteurs qui n’auraient pas encore de compte, il suffit d’en faire la demande ici et un membre de la communauté vous enverra rapidement une invitation.

Ce compte vous permet de poster vos liens et de participer à la vie du Journal, en particulier via les commentaires associés à chaque lien.

Et pour ne plus rater aucun article de la communauté francophone, voici :

N’hésitez pas à réagir dans les commentaires de ce billet ou à demander une invitation en laissant votre e-mail dans le champ prévu à cet effet. Et à bientôt ;)


24 August, 2015 09:02PM by Carl Chenet

August 20, 2015

Liens intéressants Journal du hacker semaine #34

Suivez-moi aussi sur Diaspora*diaspora-banner ou Twitter  ou sur Identi.ca

logo-journal-du-hacker

Pour cette 34ème semaine de 2015, 5 liens intéressants que vous avez peut-être ratés, relayés cette semaine par le Journal Du Hacker, votre source d’informations pour le Logiciel Libre francophone !

docker

asf-logo

Proposed Debian Logo

Pour ne plus rater aucun article de la communauté francophone, voici :

De plus le site web du Journal du hacker est « adaptatif (responsive) ». N’hésitez pas à le consulter depuis votre smartphone ou votre tablette !

Le Journal du hacker fonctionne de manière collaborative, grâce à la participation de ses membres. Rejoignez-nous pour proposer vos contenus à partager avec la communauté du Logiciel Libre francophone et faire connaître vos projets.

Et vous ? Qu’avez-vous pensé de ces articles ? N’hésitez pas à réagir directement dans les commentaires de l’article sur le Journal du hacker ou bien dans les commentaires de ce billet :)


20 August, 2015 08:30PM by Carl Chenet

August 15, 2015

Stéphane Blondon

DebConf15 à Heidelberg

Je suis à la DebConf15 et j’ai des preuves :

club_mate

La photo a été prise dans l’auberge de jeunesse. Le Club-Mate, c’est un peu la baguette des Allemands, avec la bière et la porte de Brandebourg. (La porte est un peu plus difficile à boire.)

Le logo compatible Club-Mate :
Dc15going1


15 August, 2015 05:30PM by ascendances

August 14, 2015

hackergotchi for Raphaël Hertzog

Raphaël Hertzog

Mes activités libres en juillet 2015

Mon rapport mensuel couvre une grande partie de mes contributions au logiciel libre. Je l’écris pour mes donateurs (merci à eux !) mais aussi pour la communauté Debian au sens large parce que cela peut donner des idées aux nouveaux venus et que c’est également un des moyens les plus effectifs de trouver des volontaires pour travailler sur les projets qui me tiennent à cœur.

Debian LTS

Ce mois-ci ce sont 15 heures de travail sur Debian LTS qui ont été subventionnées. Elles ont été consacrées aux tâches suivantes :

  • J’ai fini de travailler sur l’affichage du statut détaillé de sécurité pour chaque version supportée sur tracker.debian.org (voici un exemple);
  • J’ai préparé et publié la DLA-261-2, corrigeant une régression dans la mise à jour de sécurité d’aptdaemon (régression qui ne survenait que lorsque vous aviez python 2.5 d’installé);
  • J’ai préparé et publié la DLA-272-1, corrigeant 3 vulnérabilités CVE dans python-django;
  • J’ai préparé et publié la DLA-286-1 corrigeant une vulnérabilité CVE dans squid3. Le patch fut plutôt compliqué à rétroporter. Heureusement l’amont fut d’une grande aide : ils ont passé en revue et testé mon patch;
  • J’ai effectué une semaine de « guichet LTS », triant les vulnérabilités CVE. J’ai poussé 19 commits vers le suiveur de sécurité.

Travaux concernant Kali Linux / Debian Stretch

kaliKali Linux souhaite expérimenter un processus proche de Debian Constantly Usable Testing : nous avons une distribution kali-rolling – à publication continue – basée sur Debian Testing, et nous voulons en prendre un instantané tous les quatre mois (de sorte à avoir 3 versions par an).

Plus précisément, nous avons un dépôt kali-dev qui correspond exactement à Debian Stretch plus nos propres paquets Kali (ces derniers ayant priorité), mis à jour quatre fois par jour, tout comme testing. Une installation de britney2 génère également quatre fois par jour kali-rolling à partir de kali-dev (sans aucun prérequis en termes de délai ou de bogues bloquants pour la publication, juste un contrôle de dépendances cassées).

Un job jenkins contrôle que les métapaquets peuvent être installés sur kali-dev (et kali-rolling), et que nous pouvons compiler nos images ISO. Lorsque quelque chose cloche, je dois intervenir, et j’essaye de corriger d’abord côté Debian. Voici quelques exemples des actions que j’ai prises en réponse à différents problèmes :

  • J’ai créé le n°791588 concernant texinfo. Il manquait une dépendance versionnée sur tex-common, et migrée trop tôt. Le paquet n’a pas pu être installé sur testing pendant quelques jours;
  • J’ai créé le n°791591 concernant pinba-engine-mysql-5.5 : le paquet était ininstallable (il a du être recompilé). Il est apparu sur les fichiers de sortie de notre instance britney;
  • J’ai envoyé (en tant que non-mainteneur) une version de chkrootkit, afin de corriger deux bogues bloquants pour la publication, de sorte à ce que le paquet puisse migrer vers testing. Ce paquet est installé par nos métapaquets;
  • J’ai créé le n°791647 : debtags ne supporte plus « debtags update –local » (une fonctionnalité qui a été retirée, mais qui est utilisée par Kali);
  • J’ai envoyé (en tant que non-mainteneur) une version de debtags, afin de corriger un bogue critique pour la publication (n°791561 debtags: dépendance manquante vis-à-vis de python3-apt et python3-debian). kali-debtags ne pouvait être installé, car il appelait debtags dans son script de post-installation;
  • J’ai créé le n°791874 concernant python-guess-language, afin de demander un paquet de module compatible Python 2. Un tel paquet est présent dans Kali mais, lorsque j’ai essayé de le récupérer depuis Debian, j’ai cassé quelque chose d’autre dans Kali, qui dépend de la version Python 2 de ce paquet;
  • J’ai envoyé (en tant que non-mainteneur) une version de tcpick afin de corriger une erreur de compilation avec GCC5, de sorte à ce que le paquet puisse retourner dans testing (il fait partie de nos métapaquets);
  • J’ai demandé un envoi de binaire en tant que non-mainteneur pour jemalloc, et la recompilation de hiredis pour l’architecture powerpc via le n°792246. Ceci afin de corriger le #788591 (échec à la compilation de hiredis sur powerpc). J’ai également abaissé le degré de sévérité du n°784768 à « important », de sorte à ce que le paquet puisse retourner vers testing. hiredis est une dépendance d’OpenVAS, et nous avons besoin du paquet en testing.

Si vous analysez cette liste, vous pourrez constater qu’une grande partie des problèmes que nous avons rencontrés provient de paquets retirés de testing, du fait de bogues bloquants pour la publication. Nous devrions être capables d’anticiper ces soucis et de suivre les paquets qui ont un impact sur Kali. Nous allons probablement ajouter un nouveau job jenkins qui installe tous les métapaquets et lance how-can-i-help -s testing-autorm --old… Je viens de soumettre le n°94238 listant nos demandes d’amélioration concernant how-can-i-help.

Dans le même temps, des bogues sont apparus du côté de testing, que j’ai corrigés ou pour lesquels j’ai trouvé une solution de contournement côté Kali. Mais ces corrections/solutions alternatives pourraient être plus utiles si elles étaient poussées vers testing via testing-proposed-updates. J’ai essayé de voir si d’autres distributions dérivées avaient des besoins similaires, afin de savoir si nous pouvions joindre nos efforts à ce niveau. Ce qui ne semble pas le cas pour l’instant.

Last but not least, des bogues remontés côté Kali ont également eu pour résultats des améliorations côté Debian :

  • J’ai créé le n°793360 concernant apt (APT::Never-MarkAuto-Sections ne fonctionne pas comme décrit). J’ai également soumis un patch;
  • J’ai déclaré dnswalk comme orphelin, et ai effectué un upload QA afin de corriger son seul bogue;
  • Nous souhaitions une nouvelle version des pilotes nvidia. J’ai créé le n°793079, demandant la nouvelle version amont, et le mainteneur l’a rapidement envoyée vers experimental. Je l’ai importée vers Kali mais j’ai découvert que cette version ne fonctionnait pas sur i386. J’ai donc soumis le #793160, avec un patch;
  • J’ai remarqué que les daemons de compilation de Kali avaient tendance à accumuler de nombreux points de montage /dev/shm, et j’ai creusé le problème jusqu’à remonter à schroot. J’ai remonté le souci via le n°793081.

Autres travaux Debian

Parrainage J’ai parrainé de multiples paquets pour Daniel Stender, qui empaquète prospector, un logiciel dont j’ai fait la demande précédemment (à travers un rapport de bogue RFP). J’ai donc passé en revue et poussé python-requirements-detector, python-setoptconf, pylint-celery et pylint-common. Lors d’une de ces revues j’ai également découvert un joli bogue dans dh-python (n°793609 : un commentaire au milieu d’un Build-Depends peut casser un paquet). J’ai aussi parrainé un envoi de notmuch-addrlookup (un nouveau paquet demandé par un client de Freexian).

Empaquetage J’ai poussé python-django 1.7.9 dans unstable et 1.8.3 dans experimental, afin de corriger des problèmes de sécurité. J’ai de même uploadé une version amont de ditaa en tant que non-mainteneur (ici encore à la demande d’un client de Freexian).

Distro Tracker Au-delà du travail réalisé pour intégrer un statut de sécurité détaillé, j’ai corrigé le code pour qu’il soit compatible avec Django 1.8, et modifié la configuration tox, de sorte à ce que la suite de tests soit régulièrement déroulée avec Django 1.8. J’ai aussi fusionné de multiples patchs de Christophe Siraut (cf. le n°784151 et le n°754413).

Merci

Rendez-vous au mois prochain pour un nouveau résumé de mes activités !

Ceci est une traduction de mon article My Free Software Activities in July 2015 contribuée par Weierstrass01.

Aucun commentaire pour le moment | Vous avez aimé ? Cliquez ici. | Ce blog utilise Flattr.

14 August, 2015 01:42PM by Raphaël Hertzog

August 13, 2015

Carl Chenet

Liens intéressants Journal du hacker semaine #33

Suivez-moi aussi sur Diaspora*diaspora-banner ou Twitter  ou sur Identi.ca

logo-journal-du-hacker

Pour cette 33ème semaine de 2015, 5 liens intéressants que vous avez peut-être ratés, relayés cette semaine par le Journal Du Hacker, votre source d’informations pour le Logiciel Libre francophone !

libreoffice

ubuntu1

wordpress

Et maintenant, vous pouvez suivre le Journal du hacker sur Diaspora* !

diaspora

Pour ne plus rater aucun article de la communauté francophone, voici :

De plus le site web du Journal du hacker est « adaptatif (responsive) ». N’hésitez pas à le consulter depuis votre smartphone ou votre tablette !

Le Journal du hacker fonctionne de manière collaborative, grâce à la participation de ses membres. Rejoignez-nous pour proposer vos contenus à partager avec la communauté du Logiciel Libre francophone et faire connaître vos projets.

Et vous ? Qu’avez-vous pensé de ces articles ? N’hésitez pas à réagir directement dans les commentaires de l’article sur le Journal du hacker ou bien dans les commentaires de ce billet :)


13 August, 2015 10:00PM by Carl Chenet

July 13, 2015

hackergotchi for Raphaël Hertzog

Raphaël Hertzog

Mes activités libres en juin 2015

Mon rapport mensuel couvre une grande partie de mes contributions au logiciel libre. Je l’écris pour mes donateurs (merci à eux !) mais aussi pour la communauté Debian au sens large parce que cela peut donner des idées aux nouveaux venus et que c’est également un des moyens les plus effectifs de trouver des volontaires pour travailler sur les projets qui me tiennent à cœur.

Debian LTS

Ce mois-ci ce sont 14,5 heures de travail sur Debian LTS qui ont été subventionnées. Elles ont été consacrées aux tâches suivantes :

  • Tri de vulnérabilités CVE : j’ai envoyé 24 commits vers le suiveur de sécurité. J’ai également mis en place une rotation avec d’autres contributeurs rémunérés. De cette manière, cette tâche ne repose plus uniquement sur moi ;
  • J’ai passé en revue une mise à jour de libapache-mod-jk et envoyé la DLA-240-1;
  • J’ai préparé et publié la DLA-257-1 concernant libwmf, corrigeant une vulnérabilité CVE ;
  • J’ai passé en revue une mise à jour de shibboleth-sp2 et envoyé la DLA-259-1. En raison de l’absence d’un environnement de tests adapté, les tests effectués ont été réduits au minimum ;
  • J’ai préparé et publié la DLA-260-1 concernant hostapd, corrigeant une vulnérabilité CVE ;
  • J’ai préparé et publié la DLA-261-1 concernant aptdaemon, corrigeant une vulnérabilité CVE ;
  • J’ai commencé à travailler à une demande d’amélioration pour tracker.debian.org : mettre en évidence les bogues ouverts affectant la sécurité des distributions stables est important pour attirer l’attention des mainteneurs de paquets. Quelque chose n’est affiché, à l’heure actuelle, que dans le cas où des problèmes affectent la sécurité d’unstable.

Autres travaux Debian

Distro Tracker J’ai corrigé quelques problèmes touchant le suiveur : l’accès SSL à l’interface SOAP du suiveur ne fonctionnait pas, ce qui était du à la manière dont les certificats SSL sont gérés sur les machines Debian (cf. le n°787410 pour plus de détails sur un problème similaire). Le tableau des bogues a également disparu pendant un moment (cf. le n°787163). J’ai enfin intégré plusieurs changements mineurs envoyés par Christophe Siraut et James McCoy.

Le Cahier de l’Administrateur Debian Après plusieurs échanges avec l’équipe debian-doc, nous sommes tombés d’accord sur le fait d’héberger une copie de mon livre (libre, au sens des DFSG) sur debian.org. Ceci afin qu’il soit mieux mis en avant auprès des visiteurs découvrant Debian. C’est par ici. J’ai quelque peu modifié le paquet officiel (en intégrant notamment toutes les traductions disponibles) afin de rendre cela possible.

Empaquetage J’ai envoyé deux nouvelles versions de publican vers unstable (4.3.0 et 4.3.1). Pour ce faire, j’ai du tricher en les compilant sur Stretch, à cause d’une erreur à la compilation dans unstable provoquée par une régression de libxml2 (cf. le n°766884). J’ai aussi corrigé deux petits bogues remontés pour ce paquet : un problème de licence mal documentée (bogue n°787993) ainsi qu’une demande de remplacement de la dépendance à perlmagick vers une dépendance à libimage-magick-perl (bogue n°789223).

J’ai également envoyé zim 0.63 et une nouvelle version de gnome-shell-timer pour la compatibilité avec GNOME 3.16. J’ai parrainé python-requirements-detector (cf. le n°789497) comme prérequis pour prospector (un paquet que j’ai demandé voilà quelques temps via le n°781165). Je me suis aussi occupé d’une mise à jour stable de python-reportlab (cf. le n°787806) à la demande d’un client.

Contributions liées à Kali Dans Kali, nous nous reposons beaucoup sur reprepro pour gérer notre archive. Cela nous réussit plutôt bien, mais nous avons identifié au fil du temps plusieurs problèmes ennuyeux. Je viens juste de remonter certains d’entre eux :

  • Il devrait être possible de garder des fichiers déréférencés pendant quelques jours avant de les supprimer (cf. le n°788105);
  • Il devrait être possible de cloner une distribution via une unique commande (cf. le n°788843);
  • Il devrait être possible de renommer une distribution via une unique commande (cf. le n°788846).

live-build est un autre outil important pour nous, et lorsque nous avons commencé à utiliser de nouveaux noms de code pour nos versions, nous avons re-découvert certains problèmes. Ce coup-ci nous avons soumis un rapport de bogue avec quelques suggestions pour le rendre plus générique (cf. le n°789800), et envoyé un petit correctif pour éviter une erreur « bête » lorsque la version est inconnue de live-build.

Travaux divers

Problème de prise en charge matérielle J’ai quelques soucis avec la détection, durant le boot de mon NUC d’Intel, de disques connectés en USB. En conséquence de quoi j’ai envoyé un rapport de bogue sur la liste de diffusion Linux USB. C’est un problème assez étrange, dans la mesure où mon NAS arrête de fonctionner après chaque redémarrage (et ce jusqu’à ce que je débranche/rebranche le boîtier USB externe).

Mes sites Internet Vous avez peut-être remarqué certains changements sur raphaelhertzog.com et raphaelhertzog.fr. J’ai déployé de nouveaux thèmes qui devraient être mieux adaptés au mobile, et mis en place un support décent du HTTPS, se basant sur des certificats gratuits de wosign.com (ceci en attendant que letsencrypt.org convienne pour un usage grand public). De même pour la page freexian.com hébergeant notre offre de parrainage pour Debian LTS.

Merci

Rendez-vous au mois prochain pour un nouveau résumé de mes activités !

Ceci est une traduction de mon article My Free Software Activities in June 2015 contribuée par Weierstrass01.

Un commentaire | Vous avez aimé ? Cliquez ici. | Ce blog utilise Flattr.

13 July, 2015 07:01AM by Raphaël Hertzog

June 08, 2015

Mes activités libres en mai 2015

Mon rapport mensuel couvre une grande partie de mes contributions au logiciel libre. Je l’écris pour mes donateurs (merci à eux !) mais aussi pour la communauté Debian au sens large parce que cela peut donner des idées aux nouveaux venus et que c’est également un des moyens les plus effectifs de trouver des volontaires pour travailler sur les projets qui me tiennent à cœur.

Debian LTS

Ce mois-ci ce sont 10,25 heures de travail sur Debian LTS qui ont été subventionnées. Elles ont été consacrées aux tâches suivantes :

  • Tri de vulnérabilités CVE : j’ai poussé 28 commits vers le suiveur de sécurité;
  • J’ai passé en revue une mise à jour d’exactimage, ainsi qu’une autre d’imagemagick, préparées par leurs mainteneurs respectifs ;
  • J’ai préparé et publié la DLA-229-1 concernant libnokogiri-ruby, corrigeant une vulnérabilité CVE ;
  • J’ai préparé et publié la DLA-230-1 concernant eglibc, corrigeant une vulnérabilité CVE.

Travaux Debian divers

Suiveur de paquets. Les administrateurs système Debian ont mis à jour vers Jessie la machine hébergeant tracker.debian.org, et j’ai du m’occuper des effets de bords que cela a induit. Corriger la configuration Apache fut facile, mais DACS a cessé de fonctionner et j’ai du le désactiver (et donc casser l’authentification via sso.debian.org). Heureusement Enrico Zini et Martin Zobel-Helas ont débogué le problème et réactivé le service.

Parrainage. J’ai parrainé les uploads de dolibarr et de plusieurs modules tryton-modules-*, afin de pousser Tryton 3.6 dans Debian (j’ai également donné les droits de mainteneur Debian sur les nouveaux paquets introduits à Matthias Behrle, qui les maintient).

Travaux divers. J’ai discuté de multiples demandes d’améliorations avec Dmitry Smirnov concernant dh-linktree.

Empaquetage J’ai poussé une nouvelle version amont de cpputest. Je l’ai fait deux fois en réalité, car la première version échouait à certains tests (cf. n°784674). J’ai également créé le rapport n°784959 sur blhc, car j’ai relevé un signalement qui semblait être un faux-positif, mentionnant un drapeau de compilation manquant.

J’ai poussé Django 1.8 vers experimental. C’est une nouvelle version majeure, et elle devrait idéalement être envoyée vers sid après que les problèmes de dépendances inverses aient été remontés. Je doute que nous aurons le temps de faire cela…

J’ai commencé à travailler sur Publican 4.3.0, mais la suite de tests a échoué et ce n’est même pas la faute de Publican pour une fois. C’est apparemment un bogue dans libxml.

Merci

Rendez-vous au mois prochain pour un nouveau résumé de mes activités !

Ceci est une traduction de mon article My Free Software Activities in May 2015 contribuée par Weierstrass01.

Aucun commentaire pour le moment | Vous avez aimé ? Cliquez ici. | Ce blog utilise Flattr.

08 June, 2015 07:04AM by Raphaël Hertzog

May 27, 2015

hackergotchi for Vincent Bernat

Vincent Bernat

Correction sans redémarrage de la faille VENOM de QEMU

La faille CVE-2015-3456, aussi connue sous le nom VENOM, exploite une faiblesse dans l’implémentation du contrôleur de disquettes de QEMU:

Le contrôleur de disquettes (FDC) de QEMU, tel qu’utilisé dans Xen […] et dans KVM permet aux systèmes invités de provoquer un déni de service (écriture hors limite suivie du crash du processus invité) ou éventuellement d’exécuter du code arbitraire à travers les commandes FD_CMD_READ_ID, FD_​CMD_​DRIVE_​SPECIFICATION_​COMMAND ou d’autres commandes non spécifiées.

Même lorsque QEMU a été configuré pour ne pas exposer de lecteur de disquettes, le contrôleur est toujours actif. La vulnérabilité est facile à tester1 :

#define FDC_IOPORT 0x3f5
#define FD_CMD_READ_ID 0x0a

int main() {
    ioperm(FDC_IOPORT, 1, 1);
    outb(FD_CMD_READ_ID, FDC_IOPORT);
    for (size_t i = 0;; i++)
        outb(0x42, FDC_IOPORT);
    return 0;
}

Une fois le correctif installé, tous les processus doivent être redémarrés pour que la mise à jour prenne effet. Il est possible de minimiser le temps de coupure en utilisant virsh save.

Une alternative serait de modifier le processus en cours d’exécution. Le noyau Linux a suscité beaucoup d’intérêt dans ce domaine avec des solutions telles que Ksplice, kGraft et kpatch, ainsi que par l’inclusion d’une structure commune dans le noyau. L’espace utilisateur ne dispose cependant pas de solutions aussi élaborées2.

Je présente ici une solution simple et sans dépendance pour corriger une instance de QEMU en cours d’exécution. Voici une courte démonstration :

Prototype

Essayons d’abord de trouver une modification simple à implémenter : bien qu’il soit possible de modifier du code en cours d’exécution, il est bien plus simple de modifier une variable.

Concept

En examinant le code du contrôleur de disquettes et le correctif, une façon d’éviter la vulnérabilité est de n’accepter aucune commande sur le port FIFO. Chaque requête aura comme réponse « Invalid command » (0x80). L’utilisateur ne pourra plus pousser aucun octet avant de lire la réponse, ce qui provoquera une remise à zéro de la queue FIFO. Bien sûr, le contrôleur de disquette deviendra alors inopérant.

La liste des commandes acceptées par le contrôleur sur le port FIFO se trouve dans le tableau handlers[] :

static const struct {
    uint8_t value;
    uint8_t mask;
    const char* name;
    int parameters;
    void (*handler)(FDCtrl *fdctrl, int direction);
    int direction;
} handlers[] = {
    { FD_CMD_READ, 0x1f, "READ", 8, fdctrl_start_transfer, FD_DIR_READ },
    { FD_CMD_WRITE, 0x3f, "WRITE", 8, fdctrl_start_transfer, FD_DIR_WRITE },
    /* [...] */
    { 0, 0, "unknown", 0, fdctrl_unimplemented }, /* default handler */
};

Pour éviter de parcourir ce tableau pour chaque commande reçue, un autre tableau associe une commande à la fonction adéquate :

/* Associate command to an index in the 'handlers' array */
static uint8_t command_to_handler[256];

static void fdctrl_realize_common(FDCtrl *fdctrl, Error **errp)
{
    int i, j;
    static int command_tables_inited = 0;

    /* Fill 'command_to_handler' lookup table */
    if (!command_tables_inited) {
        command_tables_inited = 1;
        for (i = ARRAY_SIZE(handlers) - 1; i >= 0; i--) {
            for (j = 0; j < sizeof(command_to_handler); j++) {
                if ((j & handlers[i].mask) == handlers[i].value) {
                    command_to_handler[j] = i;
                }
            }
        }
    }
    /* [...] */
}

Notre modification consiste à changer le tableau command_to_handler[] pour associer toutes les commandes à la fonction fdctrl_unimplemented() (celle en dernière position dans le tableau handlers[]).

Test avec gdb

Pour vérifier que cette modification fonctionne correctement, nous la testons avec gdb. À moins d’avoir compilé QEMU manuellement, il est nécessaire d’installer le paquet contenant les symboles de débogage. Malheureusement, chez Debian, ils ne sont pas encore3 disponibles. Chez Ubuntu, il suffit d’installer le paquet qemu-system-x86-dbgsym après avoir activé les dépôts appropriés.

La fonction suivante pour gdb implémente le correctif :

define patch
  set $handler = sizeof(handlers)/sizeof(*handlers)-1
  set $i = 0
  while ($i < 256)
   set variable command_to_handler[$i++] = $handler
  end
  printf "Done!\n"
end

Il suffit alors de s’attacher au processus vulnérable (avec attach), d’appeler cette fonction (avec patch) et de se détacher (avec detach). Cette procédure est simple à automatiser.

Limitations

L’usage de gdb comporte principalement deux limitations :

  1. gdb doit être installé sur toutes les machines à corriger.
  2. Les paquets de débogage doivent également être présents. Il est de plus difficile de récupérer d’anciennes versions de ceux-ci.

Industrialisation

Pour contourner ces limitations, nous allons écrire un programme utilisant l’appel système ptrace() et qui ne nécessite pas les symboles de débogage pour fonctionner.

Trouver l’emplacement mémoire

La première étape est de localiser le tableau command_to_handler[] en mémoire. Le premier indice se trouve dans la table des symboles que l’on peut interroger avec readelf -s :

$ readelf -s /usr/lib/debug/.build-id/09/95121eb46e2a4c13747ac2bad982829365c694.debug | \
>   sed -n -e 1,3p -e /command_to_handler/p

Symbol table '.symtab' contains 27066 entries:
   Num:    Value          Size Type    Bind   Vis      Ndx Name
  8485: 00000000009f9d00   256 OBJECT  LOCAL  DEFAULT   26 command_to_handler

Habituellement, cette table a été retirée pour économiser de l’espace disque, comme on peut le voir ci-dessous :

$ file -b /usr/bin/qemu-system-x86_64 | tr , \\n
ELF 64-bit LSB shared object
 x86-64
 version 1 (SYSV)
 dynamically linked
 interpreter /lib64/ld-linux-x86-64.so.2
 for GNU/Linux 2.6.32
 BuildID[sha1]=0995121eb46e2a4c13747ac2bad982829365c694
 stripped

Si votre distribution fournit un paquet de débogage, les symboles sont alors installés dans le répertoire /usr/lib/debug. La plupart des distributions modernes utilisent désormais le build ID4 pour lier un exécutable à ses symboles de débogage, comme c’est le cas dans l’exemple ci-dessus. Sans paquet de débogage, il est nécessaire de recompiler le paquet dans un environnement minimal5 sans supprimer les symboles. Sur Debian, cela peut se faire en affectant nostrip à la variable d’environnement DEB_BUILD_OPTIONS.

Il y a ensuite deux cas possibles :

  • le cas facile,
  • le cas difficile.

Le cas facile

Sur x86, la mémoire d’un processus Linux normal est organisée comme ceci6 :

Organisation mémoire d'un processus normal sur x86

L’espace aléatoire introduit entre les différentes zones (ASLR) permettent de rendre la tâche d’un attaquant plus difficile quand il veut référencer une fonction particulière. Sur x86-64, l’organisation est similaire. Le point important est que l’adresse de base de l’exécutable est fixe.

L’organisation mémoire d’un processus peut être consultée à travers le fichier /proc/PID/maps. Voici une version raccourcie et annotée sur x86-64 :

$ cat /proc/3609/maps
00400000-00401000         r-xp 00000000 fd:04 483  not-qemu [text segment]
00601000-00602000         r--p 00001000 fd:04 483  not-qemu [data segment]
00602000-00603000         rw-p 00002000 fd:04 483  not-qemu [BSS segment]
[random gap]
02419000-0293d000         rw-p 00000000 00:00 0    [heap]
[random gap]
7f0835543000-7f08356e2000 r-xp 00000000 fd:01 9319 /lib/x86_64-linux-gnu/libc-2.19.so
7f08356e2000-7f08358e2000 ---p 0019f000 fd:01 9319 /lib/x86_64-linux-gnu/libc-2.19.so
7f08358e2000-7f08358e6000 r--p 0019f000 fd:01 9319 /lib/x86_64-linux-gnu/libc-2.19.so
7f08358e6000-7f08358e8000 rw-p 001a3000 fd:01 9319 /lib/x86_64-linux-gnu/libc-2.19.so
7f08358e8000-7f08358ec000 rw-p 00000000 00:00 0
7f08358ec000-7f083590c000 r-xp 00000000 fd:01 5138 /lib/x86_64-linux-gnu/ld-2.19.so
7f0835aca000-7f0835acd000 rw-p 00000000 00:00 0
7f0835b08000-7f0835b0c000 rw-p 00000000 00:00 0
7f0835b0c000-7f0835b0d000 r--p 00020000 fd:01 5138 /lib/x86_64-linux-gnu/ld-2.19.so
7f0835b0d000-7f0835b0e000 rw-p 00021000 fd:01 5138 /lib/x86_64-linux-gnu/ld-2.19.so
7f0835b0e000-7f0835b0f000 rw-p 00000000 00:00 0
[random gap]
7ffdb0f85000-7ffdb0fa6000 rw-p 00000000 00:00 0    [stack]

Dans le cas d’un exécutable normal, le nombre fourni dans la table des symboles est une adresse absolue :

$ readelf -s not-qemu | \
>   sed -n -e 1,3p -e /command_to_handler/p

Symbol table '.dynsym' contains 9 entries:
   Num:    Value          Size Type    Bind   Vis      Ndx Name
    47: 0000000000602080   256 OBJECT  LOCAL  DEFAULT   25 command_to_handler

Ainsi, dans l’exemple ci-dessus, l’adresse du tableau command_to_​handler[], est simplement 0x602080.

Le cas difficile

Pour améliorer la sécurité, il est possible de placer certains exécutables à un emplacement aléatoire en mémoire, comme c’est le cas pour une bibliothèque. Un tel exécutable est appelé un Position Independent Executable (PIE). Un attaquant ne pourra pas se baser sur une adresse fixe pour rebondir sur une fonction particulière. Voici à quoi ressemble l’organisation mémoire d’un processus dans ce cas :

Organisation mémoire d'un processus PIE sur x86

Dans le cas d’un processus PIE, le nombre indiqué dans la table des symboles est relatif à l’adresse de base du processus.

$ readelf -s not-qemu-pie | sed -n -e 1,3p -e /command_to_handler/p

Symbol table '.dynsym' contains 17 entries:
   Num:    Value          Size Type    Bind   Vis      Ndx Name
    47: 0000000000202080   256 OBJECT  LOCAL  DEFAULT   25 command_to_handler

En regardant le contenu de /proc/PID/maps, il est possible de calculer l’emplacement mémoire du tableau :

$ cat /proc/12593/maps
7f6c13565000-7f6c13704000 r-xp 00000000 fd:01 9319  /lib/x86_64-linux-gnu/libc-2.19.so
7f6c13704000-7f6c13904000 ---p 0019f000 fd:01 9319  /lib/x86_64-linux-gnu/libc-2.19.so
7f6c13904000-7f6c13908000 r--p 0019f000 fd:01 9319  /lib/x86_64-linux-gnu/libc-2.19.so
7f6c13908000-7f6c1390a000 rw-p 001a3000 fd:01 9319  /lib/x86_64-linux-gnu/libc-2.19.so
7f6c1390a000-7f6c1390e000 rw-p 00000000 00:00 0
7f6c1390e000-7f6c1392e000 r-xp 00000000 fd:01 5138  /lib/x86_64-linux-gnu/ld-2.19.so
7f6c13b2e000-7f6c13b2f000 r--p 00020000 fd:01 5138  /lib/x86_64-linux-gnu/ld-2.19.so
7f6c13b2f000-7f6c13b30000 rw-p 00021000 fd:01 5138  /lib/x86_64-linux-gnu/ld-2.19.so
7f6c13b30000-7f6c13b31000 rw-p 00000000 00:00 0
7f6c13b31000-7f6c13b33000 r-xp 00000000 fd:04 4594  not-qemu-pie [text segment]
7f6c13cf0000-7f6c13cf3000 rw-p 00000000 00:00 0
7f6c13d2e000-7f6c13d32000 rw-p 00000000 00:00 0
7f6c13d32000-7f6c13d33000 r--p 00001000 fd:04 4594  not-qemu-pie [data segment]
7f6c13d33000-7f6c13d34000 rw-p 00002000 fd:04 4594  not-qemu-pie [BSS segment]
[random gap]
7f6c15c46000-7f6c15c67000 rw-p 00000000 00:00 0     [heap]
[random gap]
7ffe823b0000-7ffe823d1000 rw-p 00000000 00:00 0     [stack]

L’adresse de base est 0x7f6c13b31000, le décalage relatif est 0x202080 et donc le tableau se trouve à l’adresse mémoire 0x7f6c13d33080. Il est possible de vérifier cette valeur avec gdb : with gdb:

$ print &command_to_handler
$1 = (uint8_t (*)[256]) 0x7f6c13d33080 <command_to_handler>

Modifier un emplacement mémoire

Une fois l’emplacement du tableau command_to_handler[] connu, le modifier est relativement simple. Il convient d’abord de s’attacher au processus cible :

/* Attach to the running process */
static int
patch_attach(pid_t pid)
{
    int status;

    printf("[.] Attaching to PID %d...\n", pid);
    if (ptrace(PTRACE_ATTACH, pid, NULL, NULL) == -1) {
        fprintf(stderr, "[!] Unable to attach to PID %d: %m\n", pid);
        return -1;
    }

    if (waitpid(pid, &status, 0) == -1) {
        fprintf(stderr, "[!] Error while attaching to PID %d: %m\n", pid);
        return -1;
    }
    assert(WIFSTOPPED(status)); /* Tracee may have died */

    if (ptrace(PTRACE_GETSIGINFO, pid, NULL, &si) == -1) {
        fprintf(stderr, "[!] Unable to read siginfo for PID %d: %m\n", pid);
        return -1;
    }
    assert(si.si_signo == SIGSTOP); /* Other signals may have been received */

    printf("[*] Successfully attached to PID %d\n", pid);
    return 0;
}

Ensuite, récupérons le tableau command_to_handler[], modifions le et réécrivons le en mémoire7.

static int
patch_doit(pid_t pid, unsigned char *target)
{
    int ret = -1;
    unsigned char *command_to_handler = NULL;
    size_t i;

    /* Get the table */
    printf("[.] Retrieving command_to_handler table...\n");
    command_to_handler = ptrace_read(pid,
                                     target,
                                     QEMU_COMMAND_TO_HANDLER_SIZE);
    if (command_to_handler == NULL) {
        fprintf(stderr, "[!] Unable to read command_to_handler table: %m\n");
        goto out;
    }

    /* Check if the table has already been patched. */
    /* [...] */

    /* Patch it */
    printf("[.] Patching QEMU...\n");
    for (i = 0; i < QEMU_COMMAND_TO_HANDLER_SIZE; i++) {
        command_to_handler[i] = QEMU_NOT_IMPLEMENTED_HANDLER;
    }
    if (ptrace_write(pid, target, command_to_handler,
           QEMU_COMMAND_TO_HANDLER_SIZE) == -1) {
        fprintf(stderr, "[!] Unable to patch command_to_handler table: %m\n");
        goto out;
    }
    printf("[*] QEMU successfully patched!\n");
    ret = 0;

out:
    free(command_to_handler);
    return ret;
}

Comme ptrace() ne permet de lire et d’écrire qu’un mot à la fois, ptrace_read() et ptrace_write() sont des enrobages pour lire et écrire une quantité arbitraire de mémoire. Voici par exemple le code de ptrace_read() :

/* Read memory of the given process */
static void *
ptrace_read(pid_t pid, void *address, size_t size)
{
    /* Allocate the buffer */
    uword_t *buffer = malloc((size/sizeof(uword_t) + 1)*sizeof(uword_t));
    if (!buffer) return NULL;

    /* Read word by word */
    size_t readsz = 0;
    do {
        errno = 0;
        if ((buffer[readsz/sizeof(uword_t)] =
                ptrace(PTRACE_PEEKTEXT, pid,
                       (unsigned char*)address + readsz,
                       0)) && errno) {
            fprintf(stderr, "[!] Unable to peek one word at address %p: %m\n",
                    (unsigned char *)address + readsz);
            free(buffer);
            return NULL;
        }
        readsz += sizeof(uword_t);
    } while (readsz < size);
    return (unsigned char *)buffer;
}

Assembler les morceaux

Le programme prend en paramètre :

  • le PID du processus à modifier,
  • le décalage issu de la table des symboles pour le tableau command_to_handler[],
  • le build ID de l’exécutable utilisé pour obtenir ce décalage (à des fins de sécurité).

Les principales étapes sont alors les suivantes :

  1. S’Attacher au processus avec ptrace().
  2. Obtenir le nom de l’exécutable depuis /proc/PID/exe.
  3. Lire le fichier /proc/PID/maps afin de trouver l’adresse de base.
  4. Effectuer certaines vérifications supplémentaires:
    • vérifier qu’il y a bien un entête ELF à l’adresse de base (via quatre octets magiques),
    • vérifier le type de l’exécutable (ET_EXEC pour les exécutables normaux, ET_DYN pour les PIE),
    • récupérer et comparer le build ID avec celui attendu.
  5. À partir de l’adresse de base et du décalage fourni, calculer l’emplacement du tableau command_to_handler[].
  6. Modifier le tableau.

Les sources du programme sont disponibles sur GitHub.

$ ./patch --build-id 0995121eb46e2a4c13747ac2bad982829365c694 \
>         --offset 9f9d00 \
>         --pid 16833
[.] Attaching to PID 16833...
[*] Successfully attached to PID 16833
[*] Executable name is /usr/bin/qemu-system-x86_64
[*] Base address is 0x7f7eea912000
[*] Both build IDs match
[.] Retrieving command_to_handler table...
[.] Patching QEMU...
[*] QEMU successfully patched!

  1. Le code complet pour ce test est disponible sur GitHub

  2. Un projet qui semble intéressant est Katana. Mais il existe aussi un quelques papiers perspicaces sur le sujet. 

  3. Certains paquets fournissent également un paquet -dbg contenant les symboles de débogage. D’autres non. Une initiative pour produire automatiquement des paquets de débogage est actuellement en cours. 

  4. Le wiki de Fedora explique les raisons derrière cette décision

  5. Si la construction ne se fait pas à l’identique du paquet original, les build ID seront différents. L’information fournie par les symboles de débogage peut alors être ou non correcte. Une initiative pour s’assurer de la reproductabilité de la construction de tous les paquets est en cours. 

  6. « Anatomy of a program in memory » explique plus en détail cette organisation. 

  7. En étant une variable statique non initialisée, la variable se situe dans la section BSS qui se retrouve accessible en écriture en mémoire. Si ce n’était pas le cas, sous Linux, l’appel système ptrace() permet tout de même d’écrire dessus. Linux va copier la page correspondante et la marquer comme privée. 

27 May, 2015 03:52PM by Vincent Bernat

May 19, 2015

Olivier Berger (pro)

Présentation du projet Debian par Nicolas Dandrimont lors de la Debian release party de Jessie

Nicolas (olasd) Dandrimont est venu présenter le projet Debian à Télécom SudParis lundi 18 mai 2015, pour la petite fête de sortie de la version majeure “Jessie” que nous avions organisé avec MiNET.

Les transparents de Nicolas sont disponibles sur son site.

Updated : Voici l’enregistrement de la conférence sur YouTube :

Merci aux membres de MiNET qui ont joyeusement participé à cette petite fête.

Voici quelques photos :




Vous pouvez aussi revisionner l’enregistrement de la conférence de Stefano il y a 4 ans.

19 May, 2015 02:52PM by Olivier Berger

May 13, 2015

hackergotchi for Raphaël Hertzog

Raphaël Hertzog

Mes activités libres en avril 2015

Mon rapport mensuel couvre une grande partie de mes contributions au logiciel libre. Je l’écris pour mes donateurs (merci à eux !) mais aussi pour la communauté Debian au sens large parce que cela peut donner des idées aux nouveaux venus et que c’est également un des moyens les plus effectifs de trouver des volontaires pour travailler sur les projets qui me tiennent à cœur.

Debian LTS

Ce mois-ci ce sont 26,25 heures de travail sur Debian LTS qui ont été subventionnées. Elles ont été consacrées aux tâches suivantes :

  • Tri de vulnérabilités CVE : j’ai poussé 52 commits vers le suiveur de sécurité. J’ai fini un nouveau script d’aide (bin/lts-cve-triage.py) qui s’appuie sur la sortie JSON qu’Holger a implémenté dernièrement. Cela permet de trier plus rapidement certains problèmes, en se basant sur le travail de tri déjà réalisé par l’équipe de sécurité Debian ;
  • J’ai soumis le rapport de bogue n°783005 afin de clarifier la situation de libhtp et suricata dans unstable (J’ai découvert ce souci alors que je triais les problèmes affectant ces paquets) ;
  • J’ai passé en revue et parrainé la DLA-197-1 de Nguyen Cong corrigeant 5 vulnérabilités CVE de libvncserver ;
  • J’ai publié la DLA-199-1 corrigeant une vulnérabilité CVE de libx11. J’ai également utilisé codesearch.debian.net afin d’identifier tous les paquets qui devaient être recompilés avec la macro corrigée, et les ai tous uploadés (Il y en avait 11) ;
  • J’ai parrainé la DLA-207-1 de James McCoy corrigeant 7 vulnérabilités CVE de subversion;
  • J’ai publié la DLA-210-1 corrigeant 5 vulnérabilités CVE de qt4-x11 ;
  • J’ai publié la DLA-213-1 corrigeant 7 vulnérabilités CVE de openjdk-6 ;
  • J’ai publié la DLA-214-1 corrigeant 1 vulnérabilité CVE de libxml-libxml-perl ;
  • J’ai publié la DLA-215-1 corrigeant 1 vulnérabilité CVE de libjson-ruby. Ce rétroportage n’était pas trivial mais par chance il incluait des tests de non-régression ;
  • J’ai soumis le rapport de bogue n°783800 concernant une gestion incorrecte par le suiveur de sécurité de squeeze-lts/non-free.

Toujours au sujet de Debian LTS, mais de manière bénévole, j’ai travaillé à plusieurs autres choses :

Autres travaux Debian

Demande de nouvelle fonctionnalité pour update-alternatives Après discussion avec Josselin Mouette lors de la mini-DebConf à Lyon, j’ai soumis le rapport n°782493 demandant la possibilité de passer outre la priorité par défaut des alternatives enregistrées dans update-alternatives (le tout avec un mécanisme permettant de gérer cela au niveau du système et non pas du paquet). Cela rendrait les choses plus faciles aux distributions dérivées lorsqu’elles souhaitent faire des choix différents de ceux de Debian.

Parrainage d’un upload de dnsjava J’ai parrainé ce NMU (« Non-Maintener Upload ») qui introduit une nouvelle version amont nécessaire à jitsi. En outre, j’ai informé l’équipe MIA que les mainteneurs de dnsjava avaient disparu.

Correctif pour python-crcmod et uploads vers *-backports Un membre de l’équipe Google Cloud souhaitait que ce paquet (avec son extension C) soit disponible pour les utilisateurs de Wheezy. J’ai donc effectué un NMU du paquet vers unstable, afin de corriger le n°782379, et de préparer les rétroportages vers wheezy-backports et jessie-backports (en ce qui concerne ce dernier : l’envoi s’est fait uniquement après que l’équipe chargée de la publication ait rejeté un correctif pour Jessie, cf. le n°782766).

Ancien et nouveau systèmes de suivi des paquets pour la publication de Jessie Je me suis occupé de mettre à jour tracker.debian.org et packages.qa.debian.org afin que la publication de Jessie soit prise en compte. Ce qui, fait le plus notable, a introduit la notion de « oldoldstable » comme nom pour Squeeze jusqu’à la fin de sa vie.

J’ai reçu avec plaisir des remerciements Rien que je n’ai fait ici, mais j’ai pris plaisir à lire les nombreux remerciements spontanés en réponse au communiqué laconique et ingrat de Guillem annonçant mon retrait de la maintenance de dpkg. J’aime la communauté Debian. Merci.

Merci

Rendez-vous au mois prochain pour un nouveau résumé de mes activités !

Ceci est une traduction de mon article My Free Software Activities in April 2015 contribuée par Weierstrass01.

Aucun commentaire pour le moment | Vous avez aimé ? Cliquez ici. | Ce blog utilise Flattr.

13 May, 2015 07:56PM by Raphaël Hertzog

Olivier Berger (pro)

Avec MiNET, première Debian release party française de Jessie le 18 mai à Télécom SudParis

Vous étiez frustrés de ne pas pouvoir fêter Jessie en France dignement ?

On a pensé à vous, avec MiNET.

Le 18 mai entre 17h et 18h30, nous fêterons ça à Évry (Essonne) à Télécom SudParis, avec la participation de Nicolas Dandrimont en guest star, pour présenter le projet.

Attention, inscription gratuite par avance en contactant les organisateurs, compte-tenu des contraintes de sécurité pour l’accès au site (vigipirate).

Plus de détails sur : https://wiki.debian.org/ReleasePartyJessie/France/Évry

13 May, 2015 01:23PM by Olivier Berger

May 06, 2015

hackergotchi for Charles Plessy

Charles Plessy

Longue vie à Jessie !

Debian a publié Jessie le mois dernier. Toutes mes félicitations à l'équipe de publication et tous les contributeurs; la qualité est encore au rendez-vous !

Cette fois-ci, je n'ai pas pu contribuer grand chose, étant accaparé par des activités parentales (coucou mon fils, si tu me lis), si ce n'est de m'assurer que mes paquets soient en bon état pour le Jour J. Ce travail a été grandement facilité par le système de radiation automatique des paquets buggés, mis en place par l'équipe de publication. Un grand bravo pour ce développement.

J'espère utiliser Jessie longtemps sans avoir besoin de mettre à jour vers la version de test. Pour le moment j'ai tout ce qui me faut, y compris la cohabitation entre la saisie du Japonais et le basculement entre agencements japonais (ou américain) et canadien multilingue, ce qui n'était plus possible facilement sous Wheezy.

Encore merci.

06 May, 2015 05:57AM

May 03, 2015

Stéphane Blondon

Colorer une sortie dans un terminal : highlight, pygmentize et ccze

highlight et pygmentize servent à colorer du code source, ccze à colorer des logs.

Affichage de la sortie de cat, highlight et pygmentize

Pour utiliser ces outils, voici les paquets à installer sur une distribution Debian ou dérivée :

commande paquet
highlight highlight
pygmentize python-pygments ou python3-pygments
ccze ccze

highlight et pygmentize

De nombreux langages disponibles

La liste des langages disponibles pour les deux outils est longue comme un jour sans compilation :
highlight colore 159 langages selon sa documentation.
pygmentize en colore 235 d’après un grep Lexer$ sur le texte de la page listant les lexeurs disponibles.

Plutôt que de tous les lister, voici un comparatif sur les 20 langages ayant le plus de lignes de code dans Jessie (la nouvelle version stable de Debian).

  1. C : les deux
  2. C++ : les deux
  3. Java : les deux
  4. XML : les deux
  5. sh : les deux
  6. Python : les deux. pygmentize a plusieurs lexeurs (python 2, python3, sortie console et la pile d’erreurs).
  7. Perl : les deux
  8. Lisp : les deux
  9. Asm : les deux. highlight colore aussi l’assembleur PowerPC.
  10. Fortran : highlight traite spécifiquement fortran77, pas pygmentize (qui gère la version 90).
  11. C# : les deux
  12. PHP : les deux
  13. Fortran90 : les deux
  14. Pascal : les deux. pygmentize nécessite d’utiliser Delphi lexer, avec option spécifique.
  15. Makefile : highlight (make, QMake), pygmentize (Makefile, CMake)
  16. Ruby : les deux. pygmentize colore le langage mais aussi la sortie console.
  17. SQL : highlight (MSSQL, SPIN SQL, PL/SQL, Sybase), pygmentize (MySQL, PgSQL, PL/PgSQL, console Postgres, SQL, console Sqlite)
  18. ML : les deux (Standard ML ainsi qu’Ocaml)
  19. Tcl : les deux

À cette liste, voici le comparatif sur les 20 premiers langages selon l’indice TIOBE en mars 2015 (sans juger de l’intérêt profond du classement en lui-même, ou son absence) :

  1. C : cf. liste précédente
  2. Java : cf. liste précédente
  3. Objective-C : les deux
  4. C++ : cf. liste précédente
  5. C# : cf. liste précédente
  6. PHP : cf. liste précédente
  7. JavaScript : les deux
  8. Python : cf. liste précédente
  9. Visual Basic .NET : ? (je ne connais pas les environnements Microsoft donc j’ai tout mis à la ligne suivante)
  10. Visual Basic : highlight colore les fichiers avec les extensions de fichiers .bas, .basic, .bi et .vbs. pygmentize colore ceux en .vb et .bas.
  11. F# : les deux
  12. Perl : cf. liste précédente
  13. Delphi/Object Pascal : pyg
  14. Transact-SQL : aucun des deux
  15. Pascal : cf. liste précédente
  16. ABAP : les deux
  17. PL/SQL : highlight uniquement
  18. Ruby : cf. liste précédente
  19. MATLAB : les deux. pygmentize colore le langage et la sortie console.
  20. R : les deux. pygmentize colore le langage (avec SLexer, ce n’est pas intuitif), la sortie console et la documentation.

pygmentize et highlight permettent la coloration syntaxique de nombreux autres langages comme Applescript, Awk, Bbcode, Clojure, Haxe, Lua et bien d’autres.

Les fichiers de configuration d’Apache sont colorés par les deux outils. pygmentize colore aussi la configuration de Lighttpd et Nginx mais aussi d’autres fichiers de configuration comme Docker ou CFEngine.

Contrairement à highlight, pygmentize permet aussi de colorer des logs IRC, les fichiers CMake ou du code spécifique aux moteurs de template (django, smarty, mako, genshi, erb).

hightlight colore COBOL ou graphviz, pas pygmentize.

Facile à utiliser

Les deux outils sont triviaux à installer. L’usage est facile aussi car ils déterminent le lexeur à utiliser en fonction de l’extension du fichier. Il est possible de forcer l’utilisation d’un lexeur (utile si les données viennent d’un pipe par exemple).

Par contre (et par défaut), highlight sort la coloration en html et non pour la console. Ce qui oblige à préciser la sortie terminal souhaitée. Il y en a deux possibles : ansi (16 couleurs) et term256 (256 couleurs). Ansi serait-il à réserver aux plus nostalgiques ? Ce choix cornélien s’impose aussi avec pygmentize (sortie par défaut contre console256).
Dans les faits, les différences ont peu d’intérêt.

highlight et pygmentize, période ansi et période 256 couleurs

Colorer de nouveaux langages

Les deux outils permettent d’ajouter de nouveaux lexeurs :
– en Lua pour highlight
– en Python pour pygmentize (qui est lui-même écrit en Python)

Autres usages

highlight et pygmentize permettent d’avoir d’autres sorties :

sorties highlight pygmentize
HTML oui oui
XHTML oui non
SVG oui oui
RTF oui oui
ODT oui non
Images bitmap non oui (bmp, gif, jpeg et png)

highlight est compatible avec source-highlight du projet GNU (outil que je n’ai jamais testé).

Que choisir ?

Si vous avez besoin d’un langage qui est disponible que sur l’un des deux outils, choisissez celui-là.
Si vous comptez écrire des greffons pour ajouter des langages, choisissez si vous préférez écrire en Lua ou en Python.
Si les deux règles précédentes ne permettent pas d’emporter la décision, je conseillerai plutôt pygmentize qui a plus de langages et qui gère des trucs plus récents (les moteurs de template par exemple). Évidemment, si c’est pour maintenir du code COBOL sur une base logicielle de 15 ans d’âge, ça ne sera pas très déterminant non plus…

ccze

ccze n’est pas concurrent des deux outils précédents car il colore des journaux, pas du code.

Affichage de la sortie de cat et ccze

Les remarques et usages de http://www.quennec.fr/gnulinux/utilisation/afficher-les-logs-en-couleur sur ccze sont valides. Cependant j’ai dû activer le mode ansi (avec -A ou --raw-ansi ou bien -m ansi ou encore --mode ansi) lors de mes tests, sinon il n’y avait aucune sortie dans le terminal.

Les journaux d’Apache, Exim, Postfix, syslog sont colorés par ccze. Pour la liste complète, man ccze.

Il est aussi possible d’ajouter de nouveaux type de journaux. Par contre, il faudra les écrire en C (cf. man ccze-plugin).

Fin : références, versions des logiciels

Les statistiques Debian concernant les langages sont issues de http://sources.debian.net/stats/. Pour en savoir plus, voir aussi http://sources.debian.net/doc/ (en particulier « Debsources: Live and Historical Views on Macro-Level »).

La page des lexers de pygmentize est /usr/share/doc/python-pygments-doc/html/docs/lexers.html sur Jessie (en supposant que python-pygments-doc est installé). L’emplacement était /usr/share/doc/python-pygments/lexers.html sur Wheezy (la version stable précédente) et était directement incluse dans le paquet python-pygments.

Les versions utilisées pour l’article :

stephane@foehn:~$ pygmentize -V
Pygments version 2.0.1, (c) 2006-2014 by Georg Brandl.
stephane@foehn:~$ highlight --version

 highlight version 3.18
 Copyright (C) 2002-2013 Andre Simon <andre.simon1 at gmx.de>

 Argparser class
 Copyright (C) 2006-2008 Antonio Diaz Diaz <ant_diaz at teleline.es>

 Artistic Style Classes (2.04)
 Copyright (C) 2006-2013 by Jim Pattee <jimp03 at email.com>
 Copyright (C) 1998-2002 by Tal Davidson

 Diluculum Lua wrapper (1.0)
 Copyright (C) 2005-2013 by Leandro Motta Barros

 xterm 256 color matching functions
 Copyright (C) 2006 Wolfgang Frisch <wf at frexx.de>

 This software is released under the terms of the GNU General Public License.
 For more information about these matters, see the file named COPYING.

stephane@foehn:~$ ccze --version
ccze 0.2.1

03 May, 2015 11:25AM by ascendances

April 16, 2015

hackergotchi for Tanguy Ortolo

Tanguy Ortolo

Vote obligatoire ? Messieurs les députés, passez les premiers.

Contexte

Hier 15 avril 2015, le président de l'Assemblée nationale Claude Bartolone remettait au président de la République François Hollande un rapport préconisant de rendre le vote obligatoire pour toutes les élections impliquant les citoyens français.

Hier toujours, contre l'avis de plein de gens concernés — des organisations de défense des droits de l'homme, des associations diverses, des professionnels de l'Internet, des citoyens, un juge antiterroriste… — les députés français ont adopté à une majorité de 83% un article de loi instaurant la possibilité pour le pouvoir exécutif d'installer des dispositifs automatiques d'interception de trafic chez les opérateurs réseau sans contrôle judiciaire. Soit à peu près ce que la NSA faisait aux États-Unis, sauf qu'en France, ce sera légal.

Commentaire

Le rapport entre ces deux événements ? L'article de loi instaurant une possibilité de surveillance généralisée a été adopté par 30 députés présents, sur les 577 constituant l'Assemblée nationale. Vous voyez le rapport ? Nos députés brillent par un taux d’abstention de 94% pour le vote d'un article de loi connu pour rencontrer une opposition significative dans la société, et bien assez médiatisé pour qu'ils en soient conscients. Quatre-vingt quatorze pour cents d’abstention. Permettez-moi de le répéter tellement c'est ahurissant : quatre-vingt quatorze pour cents d'abstention, un chiffre qui pulvérise les pires records des élections impliquant les citoyens français, confortant l'Assemblée nationale à son titre de honte de la République.

Ces deux cas ne sont toutefois pas tout à fait comparables. En effet, alors que les citoyens ont un droit de vote, leur devoir de voter fait depuis longtemps l'objet d'un débat. En revanche, en ce qui concerne les députés, il n'y a pas de doute possible : ces individus se sont portés volontaires, ont été élus, et sont payés pour élaborer les lois ; être au minimum présents pour les adopter ou les rejeter est donc un devoir moral et professionnel, dont ils doivent rendre compte devant le peuple français.

Mesdames et Messieurs les députés, vous passez déjà pour des nantis, pour des branleurs fainéants et pour des godillots. Certaines de vos séances font ressembler l'hémicycle à une cour de récréation d'école primaire. Remerciez donc Monsieur Bartolone d'ajouter l'hypocrisie à la longue liste des offenses que vous infligez au peuple français par votre pitoyable attitude.

Recommandations

Monsieur le président Bartolone a remis à Monsieur le président Hollande son rapport recommandant le vote obligatoire. Par son hypocrisie, ce texte est une insulte au peuple français. En réponse à ce rapport, voici le mien, qui sera bref. Avant d'envisager de rendre le vote obligatoire en France, au nom de l'exemplarité des institutions de la République française, je recommande d'introduire et de faire respecter une obligation de vote à l'Assemblée nationale, par les mesures suivantes :

  1. paiement des députés au prorata de leur présence à l'Assemblée nationale, ceci étant appliqué à l'ensemble des flux financier entrants pour un député, incluant son indemnité, ses frais de mandats, de déplacement, de personnel et ainsi de suite, étant entendu qu'un sous-député député travaillant à temps partiel doit pouvoir se satisfaire d'un secrétaire à temps temps partiel et que ses frais annexes n'ont pas vocation à pour compenser ou amortir le coût de ses manquements ;
  2. considérer un absentéisme injustifié et excessif comme un abandon de poste, donnant lieu à des sanctions disciplinaires telles que des travaux d'intérêt généraux, réalisés à Paris de façon à forcer ces députés à être en mesure de se rendre à l'Assemblée ;
  3. considérer un absentéisme répété comme une faute professionnelle, donnant lieu à une radiation de l'Assemblée, sans indemnisation aucune, déclenchant une élection législative partielle dans la circonscription concernée ; cette radiation pourrait être accompagnée d'une inéligibilité temporaire, l'attitude irresponsable de ces politiciens étant nuisibles à la démocratie.

16 April, 2015 05:06PM by Tanguy

April 15, 2015

Olivier Berger (pro)

Appel pour une “Linked Research” (recherche reliée), traduit en français

J’ai traduit en français les transparents de l’appel pour une “Linked Research” (que j’ai traduit par “recherche reliée”) de Sarven Capadisli originellement en anglais

L’objectif est d’inciter (entre autre actions) à la publication d’articles académiques sous une forme exploitable aussi bien par les humains que par les machines, et permettant ainsi d’embarquer dans le document des méta-données additionnelles.

Plus de détails dans les transparents ici : http://www-public.tem-tsp.eu/~berger_o/presentations-call-for-linked-research-fr/

15 April, 2015 11:51AM by Olivier Berger

Florent Gallaire

Neil McGovern élu DPL pour 2015

C’est Neil McGovern qui vient d’être élu Debian Project Leader (DPL) pour l’année 2015, succédant ainsi au double mandat de Lucas Nussbaum, contre qui il avait perdu en 2014.

Neil McGovern

Neil devance Mehdi Dogguy, qui recueille un nombre de voix très intéressant pour l’avenir, et Gergely Nagy (déjà candidat malheureux en 2004, 2012 et 2013). Voici une représentation du résultat du scrutin qui utilise la méthode Condorcet :

Vote DPL 2015

Bravo à toi Neil, et bonne chance dans la mise en œuvre de ton programme !

15 April, 2015 01:09AM by fgallaire

April 11, 2015

hackergotchi for Roland Mas

Roland Mas

Le marronnier du printemps

Eh ben eh ben eh ben. C'est bien calme ici, alors que j'aurais des tas de choses à dire… Je pourrais vous parler de Chacun sa part, qui continue de vivre sa vie et de croître doucement. Je pourrais vous parler de rock et de batterie. Je pourrais vous parler d'un truc rigolo que j'ai fait et qui mélange Gnucash, Boobank, Python, crm114 et Libre Office Calc. Ou de FusionForge. Ou de moto, de Montpellier, de soleil. Je pourrais vous parler de plein de choses, mais il se trouve que je passe mon temps à faire ces choses plutôt qu'à en parler sur mon blog, tout magnifique soit-il. Donc je me contenterai du marronnier habituel, qui porte cette année le numéro 38.

Et qui le porte bien, merci.

11 April, 2015 05:30PM

April 07, 2015

hackergotchi for Raphaël Hertzog

Raphaël Hertzog

Mes activités libres en mars 2015

Mon rapport mensuel couvre une grande partie de mes contributions au logiciel libre. Je l’écris pour mes donateurs (merci à eux !) mais aussi pour la communauté Debian au sens large parce que cela peut donner des idées aux nouveaux venus et que c’est également un des moyens les plus effectifs de trouver des volontaires pour travailler sur les projets qui me tiennent à cœur.

Debian LTS

Ce mois-ci ce sont 15,25 heures de travail sur Debian LTS qui ont été subventionnées. Elles ont été consacrées aux tâches suivantes :

  • Tri de vulnérabilités CVE : j’ai poussé 37 commits vers le suiveur de sécurité, et contacté 20 mainteneurs à propos de failles de sécurité affectant leurs paquets;
  • J’ai commencé à coder un script d’aide basé sur la nouvelle sortie JSON du suiveur de sécurité (cf. le rapport n°761859 pour de plus amples détails). Il n’est pas encore finalisé, mais une fois fini il va permettre d’identifier plus facilement les bogues pour lesquels l’équipe LTS est en retard sur le travail de l’équipe de sécurité, ainsi que d’autres divergences semblables, ce qui accélérera le tri des CVE dans le futur;
  • J’ai poussé la DLA-174-1 (mise à jour de tcpdump corrigeant 3 CVE) après avoir reçu un debdiff de Romain Françoise;
  • J’ai préparé la DLA-175-1 concernant gnupg, corrigeant 3 CVE ;
  • J’ai également préparé la DLA-180-1 concernant gnutls26, corrigeant 3 CVE.

Voilà tout pour ce qui est du travail subventionné, mais, toujours au sujet de Debian LTS, j’ai également proposé la tenue de deux événements lors de Debconf 15 :

A Debian LTS logoJ’ai mentionné rapidement, dans mon dernier billet Freexian concernant LTS, qu’il serait chouette d’avoir un logo propre au projet. J’ai reçu peu après un premier logo préparé par Damien Escoffier, suivi d’autres : ils sont tous visibles sur la page wiki dédiée (et le logo que vous voyez ci-dessus est de lui !). Sur la suggestion de Paul Wise, j’ai enregistré l’appel à contribution d’un logo sur une autre page du wiki dédiée aux demandes d’illustrations. Ce type de collaboration est géniale ! Merci à tous les artistes impliqués dans Debian.

Empaquetage Debian

Django Ce mois a vu pas moins de 3 versions amont mineures empaquetées pour Debian (1.7.5, 1.7.6 et 1.7.7), et elles ont été acceptées pour Jessie par l’équipe chargée de la publication. La tolérance dont il est fait preuve pour ces mises à jour amont me réjouit, dans la mesure où j’ai plaidé en sa faveur à de multiples reprises dans le passé, compte tenu de la saine politique de publication conduite par l’amont (uniquement des corrections de bogues pour une branche déjà publiée).

Analyse de code Python J’ai découvert il y a quelques mois un logiciel combinant la puissance de plusieurs autres outils d’analyse de code Python : prospector. Je viens juste de remplir une « demande d’empaquetage » le concernant (cf. le n°781165), et quelqu’un s’est déjà porté volontaire pour l’empaqueter \o/

update-rc.d et systemd Alors que je travaillais sur une version de Kali basée sur Jessie, j’ai été ennuyé par ce qu’il s’est avéré être une mauvaise interaction entre systemd et update-rc.d (cf. le n°746580). Après quelques échanges avec d’autres utilisateurs également affectés, j’ai élevé le niveau du bogue à « sérieux » pour que nous soyons réellement tenus de faire quelque chose avant la publication. J’ai également ouvert le n°781155 concernant openbsd-inetd, dans la mesure où son usage de inetd.service en lieu et place de openbsd-inetd.service (qui se trouve être uniquement présent via un lien symbolique vers le premier) mène à de multiples petits problèmes.

Divers

Debian France L’assemblée générale a eu lieu et le nouveau Bureau a élu son président : c’est maintenant officiel, je ne suis plus le président de Debian France. Bonne chance à Nicolas Dandrimont, qui me succède à ce poste.

Formule Salt pour OpenSSH J’ai amélioré la formule Salt pour OpenSSH, afin de rendre possible la gestion du fichier /etc/ssh/ssh_known_hosts, qui référence les clés publiques SSH d’autres machines administrées.

Tendenci.com J’étais à la recherche d’une solution logicielle permettant la gestion d’une base importante d’adhérents pour une association à but non lucratif, et j’ai découvert Tendenci. Cela m’a semblé très intéressant pour ce qui est des fonctionnalités proposées, et codé via un langage/plate-forme que j’affectionne (Python/Django). Mais bien qu’il soit sous licence libre, il n’y a aucune communauté le supportant. La société qui l’a développé l’a publié sous une licence libre, et il apparaît qu’ils ont réellement essayé de bâtir une communauté autour de ce produit. Mais ils ont échoué. Lorsque j’y ai regardé de plus près, leurs « forums de développement » étaient basés sur des pages Web et étaient pratiquement vides, avec seulement une discussion initiée par les développeurs actuels, et sans aucune réponse… Il n’y a aucune mention d’un canal IRC ou d’une liste de diffusion. Je leur ai envoyé un courrier électronique pour savoir à quel type de collaboration on pouvait s’attendre si on choisissait leur solution, et n’ai reçu aucune réponse. Dommage, vraiment.

Quelle solution libre de gestion d’adhésions utiliseriez-vous si vous aviez plus de 10 000 adhérents, et que vous souhaitiez utiliser la base de données correspondante pour offrir une authentification SSO pour de multiples services externes ?

Merci

Rendez-vous au mois prochain pour un nouveau résumé de mes activités !

Ceci est une traduction de mon article My Free Software Activities in March 2015 contribuée par Weierstrass01.

Aucun commentaire pour le moment | Vous avez aimé ? Cliquez ici. | Ce blog utilise Flattr.

07 April, 2015 10:18AM by Raphaël Hertzog

hackergotchi for J. Fernando Lagrange

J. Fernando Lagrange

Préparation des captations MiniDebConf 2015 Lyon

La MiniDebConf 2015 Lyon a lieu ce week-end !

Système de captation

Voici le schéma de câblage du système DVSwitch pour la captation. Schéma de câblage Schéma modifiable avec Dia.
Tout ce matériel a été prété par l'IRILL, à Paris (merci Sylvestre et Grégoire !). La malle contenant le matériel a été amenée de Paris à Lyon (merci Bruno !).

J'ai ainsi pu découvrir ce matériel le week-end du 28 et 29 mars pendant les JDLL 2015. À la fin du week-end, nous avons fait un point avec Bruno pour savoir ce qu'il nous restait à voir et poser nos questions sur la liste d'organisation (pour les curieux, ça commence là.

J'ai ensuite tout récupéré: je compte faire un test "grandeur nature" ce soir lors de la conférence de Grésille.

Rangement dans la malle

Pour tout ranger dans la malle, je procède en trois étapes (je le note ici, même si c'est pour me faciliter la tâche):

  1. D'abord la caméra, le commutateur réseau, le twinpact, les bases des deux micros sans fil, et les divers transformateurs électriques et les petits câbles (firewire, XLR, etc.)
    1ère étape pour ranger la malle (oui, j'ai des pantoufles qui déchirent ^_^ \)
  2. Puis, je pose les deux ordinateurs et la table de mixage audio
    2ème étape: on ajoute les ordis et le mixer audio
  3.  Enfin, je cale le tout avec les grands câbles (VGA, firewire, réseau)
    Dernière étape: les grands câbles pour fixer un peu tout ça

07 April, 2015 09:04AM by LowMemory

hackergotchi for Charles Plessy

Charles Plessy

\"D'abords

# SOME DESCRIPTIVE TITLE # Copyright (C) YEAR Free Software Foundation, Inc. # This file is distributed under the same license as the PACKAGE package. # FIRST AUTHOR , YEAR. # #, fuzzy msgid "" msgstr "" "Project-Id-Version: PACKAGE VERSION\n" "POT-Creation-Date: 2015-03-13 06:40+0000\n" "PO-Revision-Date: YEAR-MO-DA HO:MI+ZONE\n" "Last-Translator: FULL NAME \n" "Language-Team: LANGUAGE \n" "Language: \n" "MIME-Version: 1.0\n" "Content-Type: text/plain; charset=UTF-8\n" "Content-Transfer-Encoding: 8bit\n" #. type: Plain text #, no-wrap msgid "\n" msgstr "" #. type: Plain text #, no-wrap msgid "\n" msgstr "" #. type: Plain text #, no-wrap msgid "\n" msgstr "" #. type: Plain text #, no-wrap msgid "\n" msgstr "" #. type: Plain text msgid "" "Lors d'un buffet à une conférence, un de mes collègue m'a fait la remarque " "que c'était « sausages first ». Je lui ai répondu qu'il y avait quand même " "quelques plats dans lesquels la viande était suffisament rare pour se faire " "une assiette pseudo-végétarienne. Nous n'étiions pas du tout sur la même " "longueur d'onde : apparament _sausages first_ ça veut dire qu'il y avait " "très peu de femmes dans cette conférence." msgstr "" #. type: Plain text msgid "S'il y a une candidate DPL" msgstr ""

07 April, 2015 01:24AM

April 01, 2015

hackergotchi for Debian France

Debian France

Debian France a un nouveau Président

Suite à l'Assemblée Générale Ordinaire tenue le mois dernier, le Conseil d'Administration de Debian France a élu un nouveau Président: bienvenue à Nicolas Dandrimont (alias olasd) !

Le président précédent, Raphaël Hertzog, reste dans le Conseil d'Administration pour assurer la transition. Sylvestre Ledru reste trésorier et Julien Cristau est reconduit pour un nouveau mandat au Conseil d'Administration. Julien Danjou quitte l'équipe après plusieurs années de bons et loyaux services.

Un grand merci à tous les candidats au Conseil d'Administration, nous comptons sur eux pour aussi dynamiser l'association dans les années à venir: - François-Régis Vuillemin - Michel Barret - Sébatien Poher

01 April, 2015 04:14PM

March 20, 2015

Florent Gallaire

Quel DPL pour 2015 ?

Le temps passe vite, et cela fait déjà presque un an que Lucas Nussbaum a été réélu Debian Project Leader (DPL). Chaque développeur Debian pouvait donc se porter candidat entre le 4 et le 10 mars à la suite du traditionnel appel à candidatures.

Dès le 12 février, anticipant quelque peu sur le calendrier, Lucas avait exprimé le souhait de ne pas se représenter :

But I also think that switching release cycles is a good opportunity to align other changes, and starting a fresh release cycle with a fresh DPL might be a good idea. Put differently: no, I will not run for re-election.

Il y aura finalement cette année trois candidats :

Les presque mille développeurs Debian seront libres de faire leur choix du 1er au 14 avril lors d’un vote utilisant la méthode Condorcet.

Vous pouvez retrouver tous les débats de la campagne sur la mailing list debian-vote.

20 March, 2015 10:51AM by fgallaire

March 06, 2015

hackergotchi for Tanguy Ortolo

Tanguy Ortolo

Un vrai livre n'est pas verrouillé : #thatisnotabook

Fondation, d'Isaac Asimov, chez Folio SF

Ceci est un livre. Je peux en faire ce que je veux, le prêter, le copier pour mon usage privé. Personne ne peut m'empêcher de le faire ou me le retirer. Ceci est une livre, soumis à une TVA réduite.


Deux fichiers EPUB

Ceci est un livre, enfin deux. Je peux en faire ce que je veux, les prêter, les copier pour mon usage privé, en particulier les sauvegarder sur mon ordinateur pour ne pas le perdre si ma liseuse tombe en panne, ou les imprimer pour les lire sans appareil électronique. Personne ne peut m'empêcher de le faire ou me les retirer. Ceci est un livre, qui devrait être soumis à une TVA réduite.


Un fichier verrouillé ACSM

Ceci n'est pas un livre. Je ne peux pas le lire sur tous les appareils que je veux, à vrai dire je ne peux pas le lire du tout, puisqu'il faut un logiciel qui n'est pas disponible pour mon système d'exploitation. Je ne peux pas le prêter. Je ne peux pas le copier pour mon usage privé. Adobe peut me le retirer à distance. Il deviendra illisible le jour où les serveurs dédiés à cela seront arrêtés — notez qu'il s'agit d'un futur et non d'un conditionnel, d'une certitude et non d'une hypothèse. Ceci n'est pas un livre, c'est un droit temporaire de lecture sous conditions, une location à durée indéfinie, bref, un service, qui doit être soumis à une TVA pleine.

06 March, 2015 05:54PM by Tanguy

February 04, 2015

hackergotchi for Charles Plessy

Charles Plessy

Nouvelles du paquet mime-support.

Le paquet mime-support est installé par défaut dans les systèmes Debian. Il a deux rôles: premièrement fournir le fichier /etc/mime.types qui associe des types de médias (anciennement appelés types MIME) à des suffixes de noms de fichiers, et deuxièmement mettre en place le système mailcap, qui associe des type de média à des programmes. J'ai adopté ce paquet à la fin du cycle de développement de Wheezy.

Changements depuis Wheezy.

La version distribuée dans Jessie apporte quelques additions dans /etc/mime.types. Parmi elles, application/vnd.debian.binary-package et text/vnd.debian.copyright, qui comme leurs noms l'indiquent décrivent des formats de fichiers conçus par Debian. J'ai enregistré ces types auprès de l'IANA, qui depuis la RFC 6838 est beaucoup plus ouverte à l'addition de nouveaux types.

Le changement le plus important consiste à extraire automatiquement les associations entre programmes et types de média qui sont déclarées dans les fichiers de menu au format FreeDesktop. Ces fichiers sont souvent fournis directement amont. Auparavant c'est le responsable du paquet Debian qui devait extraire l'information et la traduire à la main au format mailcap. L'automatisation se fait via des actions différées de dpkg.

Un grand merci à Kevin Ryde qui m'a apporté une aide précieuse pour les développement et corrections apportées au programme run-mailcap, et à tous les autres contributeurs. Votre aide est toujours bienvenue !

Mise à jour de sécurité.

En décembre, Debian a été contacté par Timothy D. Morgan, qui avait trouvé qu'un attaquant pouvait faire exécuter des commandes à run-mailcap en les insérant dans des noms de fichiers (CVE-2014-7209). Cette première mise à jour de sécurité pour moi s'est bien passée, un grand merci à Salvatore Bonaccorso de l'équipe sécurité pour son aide et ses instructions. Le problème est résolu dans Wheezy, Jessie et Sid, ainsi que dans Squeeze via son projet de suivi à long terme.

Une des conséquences de cette mise à jour est que run-mailcap va systématiquement utiliser le chemin absolu vers les fichiers à ouvrir. Pour les fichiers aux noms sans danger, c'est un peu laid. Cela sera peut-être amélioré après la sortie de Jessie.

Projets pour le futur

Le fichier /etc/mime.types est tenu à jour à la main; c'est lent et inefficace. Le paquet shared-mime-info contient des informations équivalentes, qui pourraient être utilisées pour autogénérer ce fichier, mais cela demanderait de traiter une source XML assez complexe. Pour le moment je pense importer le paquet mailcap de chez Fedora, dont le fichier /etc/mime.types est très bien tenu à jour. Je n'ai pas encore décidé comment faire, mais peut-être simplement en transférant ce fichier d'un paquet à l'autre. Dans ce cas, on se retrouverait avec un paquet mime-support qui en fait fournit le système mailcap, et un paquet dont le nom de la source chez Fedora est mailcap, mais dont le rôle dans Debian serait de fournir /etc/mime.types. Peut-être sera-t-il préférable d'utiliser des noms de paquets binaires plus clairs, comme mailcap-support pour le premier et media-types pour le second ?

La séparation des deux fonctions premières de mime-support aurait une autre conséquence intéressante: la possibilité de ne pas installer la prise en charge du système mailcap ou de la rendre optionnelle, et d'utiliser le système FreeDesktop (xdg-open), du paquet xdg-utils. Une idée à creuser...

04 February, 2015 01:00PM

January 23, 2015

hackergotchi for Debian France

Debian France

Présentation du projet Debian aux Expériences Numériques

Expériences Numériques

Les EPN de la Maison pour Tous Salle des Rancy en collaboration avec l'Aadn, Aldil, Ubunteros de Lyon, Illyse organisent le 31 janvier 2015 : les Expériences Numeriques.

Ce rendez-vous est une journée de découverte, d’initiation et de rencontres autour des pratiques du numérique.

À cette occasion une conférence aura lieu à 16h pour présenter le projet Debian. Pendant cette journée une install party sera organisée où les personnes qui le désirent pourront installer notre distribution favorite.

Télécharger le programme.

Carte Openstreet Map. Voir aussi le plan d'accès officiel pour plus de détails.

logo Maison pour Tous Salle des Rancy

23 January, 2015 03:12PM

January 14, 2015

hackergotchi for Charles Plessy

Charles Plessy

nodejs-legacy

apt install nodejs-legacy, sinon npm install ne fonctionnera pas.

14 January, 2015 08:42AM

January 08, 2015

hackergotchi for Tanguy Ortolo

Tanguy Ortolo

Objets connectés : attention aux services

Ces derniers temps, on parle beaucoup d'objets connectés, qui sont des accessoires divers — montre, cardiofréquencemètre, podomètre, vélo d'appartement, balance… — intégrant un ordinateur, connecté à votre réseau local ou à Internet afin de transmettre les informations qu'il collecte.

Attention donc à ne pas oublier une chose : si ces objets dépendent d'un service tiers, mis en place par le fabricant, ils ne dureront pas. Le jour où ce service prendra fin — car il prendra fin, ce n'est pas une hypothèse mais une certitude, à plus ou moins long terme — votre balance ou votre montre à plusieurs centaines d'euros ne fonctionnera plus, ou en tout cas pas comme ce qu'on vous a vendu.

08 January, 2015 12:02PM by Tanguy

December 25, 2014

Florent Gallaire

La CNIL dans MISC, la fuite des données sur Internet

Un petit peu au dernier moment, je voudrais signaler un excellent article dans le n°76 de novembre-décembre de MISC, le magazine français de référence concernant la sécurité informatique.

« Analyse d’une inscription en ligne : comment vos données fuitent sur Internet » a été écrit par Stéphane Labarthe et Benjamin Vialle, le principal développeur de MarkUs, un logiciel libre d’annotation de code et de travaux.

Tous deux sont contrôleurs au sein de la  CNIL, la Commission nationale de l’informatique et des libertés, et les exemples qu’ils donnent s’inspirent donc de situations bien réelles auxquelles ils ont été confrontés au cours de leur travail.

L’article a l’avantage d’être très didactique, donnant les outils et les méthodes pour inspecter soi-même le parcours des données personnelles et des cookies que l’on est bien obligé de transmettre sur Internet, par exemple quand l’on veut commander des cadeaux (en passant Joyeux Noël à tous !).

Et si à cette occasion l’on détecte des fuites de données inappropriées, on peut saisir la CNIL qui s’est vu attribuer des prérogatives de contrôle en ligne par la loi Hamon du 17 mars 2014, dont l’article 105 a modifié l’article 44-III de la loi Informatique et libertés.

 

 

25 December, 2014 08:02PM by fgallaire

December 23, 2014

hackergotchi for Vincent Bernat

Vincent Bernat

Eudyptula Challenge : démarrage rapide d'un noyau Linux

Le challenge Eudyptula est une série d’exercices de programmation pour le noyau Linux. Il commence avec le très basique module « Hello world » puis progresse en complexité jusqu’à faire pousser des modifications dans l’arbre du noyau Linux.

Une des premières tâches de ce challenge est de compiler puis démarrer son propre noyau. eudyptula-boot est un script autonome permettant de démarrer une image noyau jusqu’à obtenir un shell. Il est livré avec les fonctionnalités suivantes :

  • Il permet de booter quasiment n’importe quel noyau Linux, du noyau fourni par votre distribution favorite jusqu’au noyau personnalisé1 pour travailler sur une fonctionnalité quelconque.

  • Il utilise le système de fichiers de l’hôte comme racine pour le système invité. Aucune image disque n’est donc nécessaire. Ces dernières prennent beaucoup de place, doivent être maintenues à jour, se retrouvent encombrées au fil du temps et les outils dont vous avez besoin ne sont jamais installés. Pour éviter toute modification accidentelle, le système de fichiers est par défaut monté en lecture seule. S’ils sont disponibles, OverlayFS ou aufs sont utilisés pour ajouter une couche accessible en écriture. Il est de plus possible d’utiliser n’importe quel répertoire comme racine.

  • Le répertoire utilisateur est également accessible. Il est ainsi simple de partager des scripts et des programmes avec le système hôte.

  • Il démarre un système minimal avec le strict nécessaire2 pour démarrer un shell dans de bonnes conditions. Le système est opérationnel en moins de cinq secondes.

Dans la vidéo ci-dessous, eudyptula-boot est utilisé pour démarrer le noyau de l’hôte et exécuter quelques commandes :

Dans la vidéo suivante, nous démarrons un noyau personnalisé contenant un appel système supplémentaire. Il s’agit de la tâche n°15 du challenge Eudyptula. Un programme de test permet de vérifier le bon fonctionnement de l’appel système. Vers la fin, la vidéo contient également une rapide démonstration de gdb.

Bien que ce hack permette également de lancer des conteneurs3 avec une isolation accrue, les performances de 9p sont malheureusement peu convaincantes pour un tel usage.

vido est un projet similaire.


  1. Il est toutefois nécessaire d’activer le support de 9p virtio. Il suffit pour cela d’utiliser make kvmconfig

  2. Seul udev est démarré. 

  3. Un point de départ pour une telle utilisation est de combiner les options --root, --force et --exec. Ajoutez également --readwrite pour conserver les modifications. 

23 December, 2014 12:46PM by Vincent Bernat

December 22, 2014

hackergotchi for Debian France

Debian France

Dons Debian France

Dons Debian France

En cette fin d'année, nous tenons à rappeler que l'association Debian France est reconnue d'intérêt général. Ainsi, les donations à destination de l'association peuvent être déduites des impôts.

Une fois la donation réalisée, pour obtenir un reçu, il suffit d'envoyer un mail au trésorier - <tresorier@france.debian.net> en indiquant votre adresse.

Formulaire de donation

22 December, 2014 04:47PM

December 10, 2014

Olivier Berger (perso)

Réparé les hauts-parleurs d'un portable HP dv6000 en échangeant deux nappes internes

Les hauts-parleurs internes du portable HP de mes parents, un dv6000, ne marchaient plus : plus de son sans devoir mettre des enceintes ou un casque :-(

En fait, il semble que ce soit un problème classique, qui semble causé par des nappes de connexion internes deffectueuses.

La réparation n'est pas trop compliquée, si on achète une nappe de remplacement, mais on peut aussi trouver un contournement.

J'ai réussi à échanger les deux nappes qui connectent la carte mère à la partie qui contient les boutons et les hauts-parleurs, au dessus du clavier, et même si maintenant, les boutons de cette rangée supérieure ne marchent plus, ce n'est pas trop grave, car le son est revenu.

Pour voir une vidéo (en anglais) qui explique comment faire, voir : Hp Pavilion Dv6000 power button and speaker fix!

Content d'avoir récupéré le son :-)

10 December, 2014 10:10PM by obergix

December 09, 2014

hackergotchi for Debian France

Debian France

Debian France au Capitole du Libre

Debian France au Capitole du Libre

Le samedi 15 novembre, l'association Debian France a tenu un stand au Capitole du Libre, l'événement du Libre à Toulouse. Ceci a permis de créer un certain nombre de contacts prometteurs, et de confirmer que Debian est une référence reconnue pour ses valeurs. Nous remercions l'association Toulibre pour son accueil et son très bel événement!

09 December, 2014 04:06PM

November 26, 2014

hackergotchi for Charles Plessy

Charles Plessy

Lecture de debian-private via SSH

Je me suis récemment aperçu que l'on peut consulter les archives de debian-private via SSH. Je trouve que c'est un bon compromis entre l'abonnement et l'ignorance. Voici par exemple la commande pour Novembre.

ssh -t master.debian.org mutt -f /home/debian/archive/debian-private/debian-private.201411

26 November, 2014 10:35AM

November 16, 2014

hackergotchi for Vincent Bernat

Vincent Bernat

Préparer des règles Netfilter dans un espace de nommage réseau

Souvent, les règles d’un pare-feu sont mises en place à l’aide d’un script faisant appel aux commandes iptables et ip6tables. Cela permet notamment d’utiliser des variables et des boucles. Il y a cependant trois inconvénients majeurs à cette méthode :

  1. Pendant toute la durée du script, le pare-feu est temporairement incomplet : les nouvelles connexions peuvent ne pas être autorisées à s’établir ou, inversement, le pare-feu peut autoriser des flux qui ne devraient pas l’être. Les règles de NAT nécessaires au bon fonctionnement du routeur peuvent également être absentes.

  2. Si une erreur survient, le pare-feu reste dans un état intermédiaire. Il est alors nécessaire de s’assurer que les règles autorisant l’accès à distance soient placées très tôt pour garder la main. Un système de retour automatique à la précédente version est également nécessaire pour corriger la situation rapidement.

  3. Construire de nombreuses règles peut être très lent. Chaque appel à ip{,6}tables va rapatrier l’ensemble des règles du noyau, ajouter la règle voulue et renvoyer le tout au noyau.

Avec iptables-restore

Une façon classique de résoudre ces trois aspects et de construire un fichier de règles qui sera lu par iptables-restore et ip6tables-restore1. Ces outils envoient en une seule passe les règles au noyau qui les applique de manière atomique. Habituellement, un tel fichier est construit par ip{,6}tables-save mais un script peut également faire l’affaire.

La syntaxe comprise par ip{,6}tables-restore est similaire à celle de ip{,6}tables. Cependant, chaque table dispose de son propre bloc et les chaînes doivent être déclarées différemment. Voyons un exemple :

$ iptables -P FORWARD DROP
$ iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
$ iptables -N SSH
$ iptables -A SSH -p tcp --dport ssh -j ACCEPT
$ iptables -A INPUT -i lo -j ACCEPT
$ iptables -A OUTPUT -o lo -j ACCEPT
$ iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$ iptables -A FORWARD -j SSH
$ iptables-save
*nat
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
COMMIT

*filter
:INPUT ACCEPT [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
:SSH - [0:0]
-A INPUT -i lo -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j SSH
-A OUTPUT -o lo -j ACCEPT
-A SSH -p tcp -m tcp --dport 22 -j ACCEPT
COMMIT

La table nat et la table filter disposent chacune de leur bloc. La chaîne SSH est déclarée en haut du bloc de la table filter avec les autres chaînes par défaut.

Voici un script qui détourne les commandes ip{,6}tables afin de construire un tel fichier (en s’appuyant massivement sur Zsh2) :

#!/bin/zsh
set -e

work=$(mktemp -d)
trap "rm -rf $work" EXIT

# ➊ Redefine ip{,6}tables
iptables() {
    # Intercept -t
    local table="filter"
    [[ -n ${@[(r)-t]} ]] && {
        # Which table?
        local index=${(k)@[(r)-t]}
        table=${@[(( index + 1 ))]}
        argv=( $argv[1,(( $index - 1 ))] $argv[(( $index + 2 )),$#] )
    }
    [[ -n ${@[(r)-N]} ]] && {
        # New user chain
        local index=${(k)@[(r)-N]}
        local chain=${@[(( index + 1 ))]}
        print ":${chain} -" >> ${work}/${0}-${table}-userchains
        return
    }
    [[ -n ${@[(r)-P]} ]] && {
        # Policy for a builtin chain
        local index=${(k)@[(r)-P]}
        local chain=${@[(( index + 1 ))]}
        local policy=${@[(( index + 2 ))]}
        print ":${chain} ${policy}" >> ${work}/${0}-${table}-policy
        return
    }
    # iptables-restore only handle double quotes
    echo ${${(q-)@}//\'/\"} >> ${work}/${0}-${table}-rules #'
}
functions[ip6tables]=${functions[iptables]}

# ➋ Build the final ruleset that can be parsed by ip{,6}tables-restore
save() {
    for table (${work}/${1}-*-rules(:t:s/-rules//)) {
        print "*${${table}#${1}-}"
        [ ! -f ${work}/${table}-policy ] || cat ${work}/${table}-policy
        [ ! -f ${work}/${table}-userchains || cat ${work}/${table}-userchains
        cat ${work}/${table}-rules
        print "COMMIT"
    }
}

# ➌ Execute rule files
for rule in $(run-parts --list --regex '^[.a-zA-Z0-9_-]+$' ${0%/*}/rules); do
    . $rule
done

# ➍ Execute rule files
ret=0
save iptables  | iptables-restore  || ret=$?
save ip6tables | ip6tables-restore || ret=$?
exit $ret

En ➊, une nouvelle fonction iptables() est définie et masque la commande du même nom. Elle tente de localiser le paramètre -t pour savoir quelle table est concernée par la règle. Si le paramètre est présent, la table est mémorisée dans la variable $iptables et le paramètre est retiré de la liste des arguments. La défintion d’une nouvelle chaîne avec -N ou la mise en place d’une politique par défaut avec -P sont également gérés.

En ➋, la fonction save() va émettre les règles qui seront lues par ip{,6}tables-restore. En ➌, les règles de l’utilisateur sont exécutées. Chaque commande ip{,6}tables appelle en réalité la fonction précédemment définie. Si aucune erreur n’est survenue, en ➍, les commandes ip{,6}tables-restore sont invoquées.

Cette méthode est parfaitement fonctionnelle3. Toutefois, la méthode suivante est bien plus élégante.

Avec un espace de nommage

Une approche hybride est de construire les règles avec ip{,6}tables dans un espace de nommage réseau (network namespace) puis de les sauver avec ip{,6}tables-save et enfin de les appliquer dans l’espace de nommage principal avec ip{,6}tables-restore.

#!/bin/zsh
set -e

alias main='/bin/true ||'
[ -n $iptables ] || {
    # ➊ Execute ourself in a dedicated network namespace
    iptables=1 unshare --net -- \
        $0 4> >(iptables-restore) 6> >(ip6tables-restore)
    # ➋ In main namespace, disable iptables/ip6tables commands
    alias iptables=/bin/true
    alias ip6tables=/bin/true
    alias main='/bin/false ||'
}

# ➌ In both namespaces, execute rule files
for rule in $(run-parts --list --regex '^[.a-zA-Z0-9_-]+$' ${0%/*}/rules); do
    . $rule
done

# ➍ In test namespace, save the rules
[ -z $iptables ] || {
    iptables-save >&4
    ip6tables-save >&6
}

En ➊, le script est réexécuté dans un nouvel espace de nommage réseau. Celui-ci dispose de ces propres règles de pare-feu qui peuvent être modifiées sans altérer celles de l’espace de nommage principal. La variable $ipatbles est utilisée pour déterminer quel est l’espace de nommage courant. Dans le nouvel espace de nommage, les fichiers de règles sont exécutés (➌). Ceux-ci contiennent l’appel aux commandes ip{,6}tables. Si une erreur survient, nous n’allons pas plus loin grâce à l’utilisation de set -e. Sinon, en ➍, les règles sont sauvegardées avec ip{,6}tables-save et envoyées dans l’espace de nommage principal en utilisant les descripteurs de fichier dédiés à cet effet.

L’exécution dans l’espace de nommage principal continue en ➊. Les résultats de ip{,6}tables-save sont envoyées à ip{,6}tables-restore. À ce point, le pare-feu est presque fonctionnel. Les fichiers de règles sont toutefois rejoués (➌) mais les commandes ip{,6}tables sont neutralisées (➋) de façon à ce que les éventuelles autres commandes, comme par exemple l’activation du routage IP, soient exécutées.

Le nouvel espace de nommage ne dispose pas du même environnement que l’espace de nommage principal. Notamment, il ne contient pas d’interfaces réseau. Il n’est donc pas possible de consulter ou de configurer des adresses IP. Lorsque des commandes ne peuvent être exécutées que dans l’espace de nommage principal, il est nécessaire de les préfixer par main :

main ip addr add 192.168.15.1/24 dev lan-guest

Jetez un coup d’œil à un exemple complet sur GitHub.


  1. iptables-apply est un autre outil pratique. Il applique un fichier de règles et revient automatiquement en arrière si l’utilisateur ne confirme pas le changement dans un laps de temps donné. 

  2. Zsh contient des primitives assez puissantes pour manipuler les tableaux. De plus, il ne nécessite pas d’utiliser les guillemets autour de chaque variable pour éviter leur découpage lorsqu’elles contiennent des espaces. Cela rend le script bien plus robuste. 

  3. S’il fallait pinailler, il y a trois petits problèmes. Primo, lorsqu’une erreur survient, il peut être difficile de savoir quelle partie du script l’a provoquée car on ne dispose que de la ligne dans le fichier de règles qui a été généré. Deuzio, une table peut être utilisée avant d’être définie ce qui peut faire passer inaperçu certaines erreurs dues à un copier/coller. Tertio, l’application de la partie IPv4 peut réussir alors que la partie IPv6 a échoué ou vice-versa. Ces problèmes n’existent pas avec la deuxième méthode. 

16 November, 2014 04:28PM by Vincent Bernat

Intel Wireless 7260 comme point d'accès

Mon routeur personnel contient une carte wifi carte Intel Dual-Band Wireless-AC 7260 afin de servir de point d’accès. Cette carte supporte les normes 802.11ac (en 5 GHz) et 802.11n (à la fois en 5 GHz et en 2.4 GHz). Bien qu’elle ait bonne réputation en mode client, ce n’est pas vraiment le choix idéal pour un point d’accès.

$ lspci -k -nn -d 8086:08b1
03:00.0 Network controller [0280]: Intel Corporation Wireless 7260 [8086:08b1] (rev 73)
        Subsystem: Intel Corporation Dual Band Wireless-AC 7260 [8086:4070]
        Kernel driver in use: iwlwifi

En bref : optez plutôt pour une carte Atheros.

Limitations

Tout d’abord, une carte dite « double bande » ne peut utiliser qu’une seule bande de fréquences à la fois car elle ne dispose généralement que d’une seule radio. Quasiment toutes les cartes wifi ont cette limitation. Pour construire un point d’accès supportant les deux bandes à la fois, deux cartes sont nécessaires.

5 GHz

Il est impossible de mettre en place un point d’accès 5 GHz avec cette carte. Le microcode embarqué ne le permet pas. Cela peut se vérifier avec la commande iw :

$ iw reg get
country CH: DFS-ETSI
        (2402 - 2482 @ 40), (N/A, 20), (N/A)
        (5170 - 5250 @ 80), (N/A, 20), (N/A)
        (5250 - 5330 @ 80), (N/A, 20), (0 ms), DFS
        (5490 - 5710 @ 80), (N/A, 27), (0 ms), DFS
        (57240 - 65880 @ 2160), (N/A, 40), (N/A), NO-OUTDOOR
$ iw list
Wiphy phy0
[...]
        Band 2:
                Capabilities: 0x11e2
                        HT20/HT40
                        Static SM Power Save
                        RX HT20 SGI
                        RX HT40 SGI
                        TX STBC
                        RX STBC 1-stream
                        Max AMSDU length: 3839 bytes
                        DSSS/CCK HT40
                Frequencies:
                        * 5180 MHz [36] (20.0 dBm) (no IR)
                        * 5200 MHz [40] (20.0 dBm) (no IR)
                        * 5220 MHz [44] (20.0 dBm) (no IR)
                        * 5240 MHz [48] (20.0 dBm) (no IR)
                        * 5260 MHz [52] (20.0 dBm) (no IR, radar detection)
                          DFS state: usable (for 192 sec)
                          DFS CAC time: 60000 ms
                        * 5280 MHz [56] (20.0 dBm) (no IR, radar detection)
                          DFS state: usable (for 192 sec)
                          DFS CAC time: 60000 ms
[...]

Alors que la bande des 5 GHz est autorisée par le CRDA (le composant logiciel qui indique le domaine de réglementation actuel), toutes les fréquences sont marquées en no IR. Voici l’explication de ce drapeau:

Le drapeau no-ir permet d’interdire toute possibilité d’initier une transmission radio, y compris l’envoi de sondes (beacons). Ainsi, les interfaces AP/IBSS/Mesh/GO ne peuvent initier une communication sur ces canaux tant que le drapeau est présent.

SSID multiples

Cette carte ne peut publier qu’un seul SSID. La possibilité d’en émettre plusieurs est intéressante pour pouvoir proposer un réseau public (routé à travers Tor), un réseau invité pour les personnes de passage et un réseau privé. La commande iw confirme cette limitation :

$ iw list
        valid interface combinations:
                 * #{ managed } <= 1, #{ AP, P2P-client, P2P-GO } <= 1, #{ P2P-device } <= 1,
                   total <= 3, #channels <= 1

À titre de comparaison, voici ce que la même commande renvoie pour une carte Atheros capable de publier 8 SSID simultanément :

$ iw list
        valid interface combinations:
                 * #{ managed, WDS, P2P-client } <= 2048, #{ IBSS, AP, mesh point, P2P-GO } <= 8,
                   total <= 2048, #channels <= 1

Configuration en point d’accès

Nonobstant ces limitations, la carte fonctionne correctement en point d’accès. Voici la configuration que j’utilise avec hostapd :

interface=wlan-guest
driver=nl80211

# Radio
ssid=XXXXXXXXX
hw_mode=g
channel=11

# 802.11n
wmm_enabled=1
ieee80211n=1
ht_capab=[HT40-][SHORT-GI-20][SHORT-GI-40][DSSS_CCK-40][DSSS_CCK-40][DSSS_CCK-40]

# WPA
auth_algs=1
wpa=2
wpa_passphrase=XXXXXXXXXXXXXXX
wpa_key_mgmt=WPA-PSK
wpa_pairwise=TKIP
rsn_pairwise=CCMP

L’utilisation du canal 11 impose de se limiter au 802.11n HT40-. La page de Wikipedia sur le 802.11n contient un tableau permettant de savoir si on peut utiliser HT40-, HT40+ ou les deux.

16 November, 2014 04:27PM by Vincent Bernat

Remplacer la box Swisscom par un routeur sous Linux

J’ai récemment déménagé à Lausanne, en Suisse. Le coût de l’accès à Internet est plus élevé qu’en France. Alors que Free propose un accès FTTH à 1 Gbps1 pour environ 38 € (TV et téléphone inclus), Swisscom fournit le même service pour environ 200 €2. Mon appartement est éligible à l’offre fibre de Swisscom. J’ai opté pour le forfait de 40 Mbps sans ligne téléphonique pour environ 80 €.

Comme de nombreux FAI, Swisscom fournit un boîtier Internet ainsi qu’un second boîtier pour la télévision que j’ai laissé dans son carton. Le boîtier Internet comprend quelques fonctionnalités sympathiques comme la possibilité de configurer le pare-feu, un réseau wifi pour les invités et le support de quelques protocoles de partage de fichiers. Mais pas d’accès shell !

J’ai acheté un petit PC pour prendre sa place. J’y ai installé la prochaine Debian Jessie. La quasi-intégralité de sa configuration logicielle est disponible dans un dépôt GitHub.

Je ne décris ici que les éléments spécifiques à Swisscom (ainsi que la QoS). Je vous invite à consulter ces deux articles connexes pour plus de détails sur d’autres aspects :

Ethernet

Le boîtier Internet est fourni avec un SFP 1000BX de marque Siligence3. La réception et la transmission se font sur la même fibre en utilisant des longueurs d’onde différentes pour chaque direction.

Plutôt que d’investir dans une carte avec un port SFP, j’ai opté pour un switch Netgear GS110TP qui dispose de 8 ports cuivres et de 2 ports SFP. C’est un switch assez économique disposant de pas mal de fonctionnalités intéressantes comme les VLAN et LLDP. Il fonctionne correctement tant que l’on n’exige pas trop de lui.

IPv4

La connectivité IPv4 est fournie sur le VLAN 10. Un client DHCP est obligatoire pour l’obtenir. Il est nécessaire de publier l’option DHCP « vendor class identifier » (option 60) lors de la demande de bail. Avec le client ISC DHCP, il suffit d’ajouter la ligne suivante dans le fichier /etc/dhcp/dhclient.conf :

send vendor-class-identifier "100008,0001,,Debian";

Les deux premiers nombres identifient le service demandé. Le reste n’a pas d’importance. Une fois le bail DHCP obtenu, un navigateur est nécessaire lors de la première utilsation pour s’identifier auprès de Swisscom.

IPv6

Swisscom fournit IPv6 à travers le protocole 6rd. Cela fait partie des mécanismes pour faciliter la migration vers IPv6 sans changer le cœur de réseau. Un tunnel est mis en place au-dessus d’IPv4. Ce type de tunnel est supporté nativement sous Linux depuis le noyau 2.6.33.

Pour configurer IPv6, il faut obtenir le préfixe à utiliser et l’IP de la passerelle 6rd. Certains FAI fournissent ces valeurs dans la réponse DHCP (option 212) mais ce n’est pas le cas de Swisscom. La passerelle est 6rd.swisscom.com et le préfixe est 2a02:1200::/28. Après avoir ajouté l’adresse IPv4 au préfixe, il reste 4 bits pour créer des sous-réseaux internes.

Swisscom ne fournit pas d’IPv4 fixe. On ne peut donc pas construire à l’avance son préfixe IPv6. Le script suivant, à placer dans /etc/dhcp/dhclient-exit-hooks.d/6rd, met en place le tunnel :

sixrd_iface=internet6
sixrd_mtu=1472                  # This is 1500 - 20 - 8 (PPPoE header)
sixrd_ttl=64
sixrd_prefix=2a02:1200::/28     # No way to guess, just have to know it.
sixrd_br=193.5.29.1             # That's "6rd.swisscom.com"

sixrd_down() {
    ip tunnel del ${sixrd_iface} || true
}

sixrd_up() {
    ipv4=${new_ip_address:-$old_ip_address}

    sixrd_subnet=$(ruby <<EOF
require 'ipaddr'
prefix = IPAddr.new "${sixrd_prefix}", Socket::AF_INET6
prefixlen = ${sixrd_prefix#*/}
ipv4 = IPAddr.new "${ipv4}", Socket::AF_INET
ipv6 = IPAddr.new (prefix.to_i + (ipv4.to_i << (64 + 32 - prefixlen))), Socket::AF_INET6
puts ipv6
EOF
)

    # Let's configure the tunnel
    ip tunnel add ${sixrd_iface} mode sit local $ipv4 ttl $sixrd_ttl
    ip tunnel 6rd dev ${sixrd_iface} 6rd-prefix ${sixrd_prefix}
    ip addr add ${sixrd_subnet}1/64 dev ${sixrd_iface}
    ip link set mtu ${sixrd_mtu} dev ${sixrd_iface}
    ip link set ${sixrd_iface} up
    ip route add default via ::${sixrd_br} dev ${sixrd_iface}
}

case $reason in
    BOUND|REBOOT)
        sixrd_down
        sixrd_up
        ;;
    RENEW|REBIND)
        if [ "$new_ip_address" != "$old_ip_address" ]; then
            sixrd_down
            sixrd_up
        fi
        ;;
    STOP|EXPIRE|FAIL|RELEASE)
        sixrd_down
        ;;
esac

Plutôt que de tenter de construire le préfixe IPv6 avec des commandes shell, un court script Ruby s’en charge. Le module ipaddr est très primitif mais on s’en sort.

Swisscom utilise le même MTU pour tous les clients. Certains sont en PPPoE et donc le MTU à l’intérieur du tunnel est de 1472 et non de 1480. Un outil en ligne permet de vérifier cela rapidement.

Il n’est pas impossible que le PMTUD soit cassé à certains points d’Internet. Bien que non idéal, l’utilisation de TCP MSS permet de contourner les problèmes aléatoires qui peuvent survenir quand on a un MTU inférieur à 1500 :

ip6tables -t mangle -A POSTROUTING -o internet6 \
          -p tcp --tcp-flags SYN,RST SYN \
          -j TCPMSS --clamp-mss-to-pmtu

QoS

MISE À JOUR : Cette section est malheureusement incorrecte, y compris la promesse qu’elle véhicule. Lisez le commentaire de Dave Taht pour en savoir plus.

Il y a très très longtemps, la mise en place d’une QoS efficace était plutôt compliquée. Le script Wonder Shaper était souvent utilisé pour obtenir une configuration honnête. Aujourd’hui, grâce au travail du projet Bufferbloat, il y a deux étapes très simples pour obtenir quelque chose de raisonnable :

  1. Réduire la taille de la queue de transmission des périphériques réseau. Une valeur de 32 paquets aide TCP à détecter rapidement les problèmes de congestion sans brider un lien gigabit.

    ip link set txqueuelen 32 dev lan
    ip link set txqueuelen 32 dev internet
    ip link set txqueuelen 32 dev wlan
    
  2. Utiliser fq_codel comme qdisc par défaut. Un qdisc reçoit les paquets qui sont envoyés par le noyau et décide comment les transmettre à la carte réseau. Ceux-ci peuvent être supprimés, réordonnés ou retardés. fq_codel est un algorithme combinant une gestion équitable des flux et la minimisation des latences. Une gestion équitable des flux signifie que tous les flux sont égaux quant à leur possibilité d’émettre des paquets. Autrement dit, un flux au débit très élevé ne monopolisera pas la carte réseau. Minimiser les latences s’obtient en s’assurant que la taille de la queue de transmission est limitée en supprimant des paquets d’autant plus agressivement que la latence augmente.

    tc qdisc replace dev lan root fq_codel
    tc qdisc replace dev internet root fq_codel
    tc qdisc replace dev wlan root fq_codel
    

  1. Débit descendant de 1 Gbps et débit montant de 200 Mbps. 

  2. Il s’agissait du forfait Vivo XL dont le prix est de CHF 169.– pour 300 Mbps. Pour atteindre 1 Gbps, il faut ajouter CHF 80.–. Désormais, ce forfait permet d’obtenir 1 Gbps symétriques pour le même prix. 

  3. Il y a deux références sur le SFP : SGA 441SFP0-1Gb et OST-1000BX-S34-10DI. La transmission se fait sur la longueur d’onde 1310 nm et la réception sur 1490 nm. 

16 November, 2014 04:26PM by Vincent Bernat

September 24, 2014

hackergotchi for Debian France

Debian France

Debian France reconnu comme Debian Trusted Organization

Debian France reconnu comme Debian Trusted Organization

Grâce à la refonte des statuts de l'association, Debian France est maintenant reconnue officiellement comme étant une Trusted Organization. Ainsi, l'association Debian France est habilitée à recevoir des fonds au nom de Debian et procéder à des dépenses pour le projet.

L'annonce a été réalisée par Lucas Nussbaum, Debian Project Leader.

24 September, 2014 07:14AM

September 12, 2014

Stéphane Blondon

Key Signing Assistant (concept)

Dans les allées de la DebConf14, j’ai discuté avec Franklin de l’intérêt pour un développeur d’utiliser son téléphone portable lors d’une key signing party.

Les schémas sont un brouillon d’une utilisation possible du téléphone. L’objectif n’est pas de remplacer la rencontre réelle ou la validation mais juste d’aider à l’échange et validation des clefs.

Actuellement, ce n’est qu’un concept ; rien n’est implémenté.

Le principe général est d’utiliser le téléphone comme un terminal pour l’échange et la validation. Les données partent et reviennent sur la station de travail du développeur par l’intermédiaire d’un serveur web.

  • Le téléphone portable considéré doit être un smartphone ;
  • La seule autorisation à donner pour le téléphone est l’accès à internet ;
  • On considère que les échanges réseau sont fait en https. Je ne pense pas que ce soit indispensable mais il n’y a aucune raison de s’en priver.

Avant la key signing party

Le développeur dispose d’un téléphone sur lequel l’application est installée.
Le processus pour installer ses propres informations est le suivant :

Avant la key signing party

Pendant la key signing party

Le processus est à reproduire pour chaque participant.

Pendant la key signing party

Après la key signing party

Une fois rentré chez lui, le développeur récupère l’ensemble de ses validations sur sa machine de travail :

Après la key signing party

Qu’en pensez-vous ?

Source des schémas

Schémas réalisés avec Inkscape, à partir d’icônes Tango et Gnome-Tango.
Les fichiers svg et png sont disponibles dans le répertoire http://stephane.yaal.fr/ksa/.


12 September, 2014 07:18AM by ascendances

September 10, 2014

Olivier Berger (pro)

Le MOOC Bases de données relationnelles est lancé

Nous venons de lancer la première édition du MOOC sur les bases de données relationnelles de Télécom SudParis. Au programme, de la théorie (algèbre relationnelle), de la pratique (dans SQLite dans les navigateurs basés sur WebKit, et plus tard dans PostgreSQL dans une box Vagrant basée sur Debian (voir post précédent)), des contenus et logiciels libres (autant que possible) et pas mal de rush pour finaliser tout ça dans le Moodle.

On débute avec plus de 800 inscrits à la fin du premier jour (y compris les 180 étudiants ingénieurs de 2ème année de Télécom SudParis, qui suivront le cours présentiel en parallèle du MOOC, et collaboreront avec les apprenants externes pour les travaux personnels).

Il est toujours possible de s’inscrire : le gros du travail commence en semaine 2 (qui commence lundi 15/09 à 00h00 heure de Paris).

10 September, 2014 07:53PM by Olivier Berger

August 20, 2014

hackergotchi for Aurélien Jarno

Aurélien Jarno

MIPS Creator CI20

I have received two MIPS Creator CI20 boards, thanks to Imagination Technologies. It’s a small MIPS32 development board:

mips-ci20

As you can see it comes in a nice packaging with a world-compatible power adapter. It uses a Ingenic JZ4780 SoC with a dual core MIPS32 CPU running at 1.2GHz with a PowerVR SGX540 GPU. The board is fitted with 1GB of RAM, 8GB of NOR flash, HDMI output, USB 2.0 ports, Ethernet + Wi-Fi + BlueTooth, SD card slot, IR receiver, expansion headers and more. The schematics are available. The Linux kernel and the U-Boot bootloader sources are also available.

Powering this board with a USB keyboard, a USB mouse and a HDMI display, it boots off the internal flash on a Debian Wheezy up to the XFCE environment. Besides the kernel, the Wi-Fi + Bluetooth firmware, and very few configuration changes, it runs a vanilla Debian. Unfortunately I haven’t found time to play more with it yet, but it looks already quite promising.

The board has not been formally announced yet, so I do not know when it will become available, nor the price, but if you are interested I’ll bring it to DebConf14. Don’t hesitate to ask me if you want to look at it or play with it.

20 August, 2014 08:52PM by aurel32

Olivier Berger (pro)

Building a lab VM based on Debian for a MOOC, using Vagrant + VirtualBox

We’ve been busy setting up a Virtual Machine (VM) image to be used by participants of a MOOC that’s opening in early september on Relational Databases at Telecom SudParis.

We’ve chosen to use Vagrant and VirtualBox which are used to build, distribute and run the box, providing scriptability (reproducibility) and making it portable on most operating systems.

The VM itself contains a Debian (jessie) minimal system which runs (in the background) PostgreSQL, Apache + mod_php, phpPgAdmin, and a few applications of our own to play with example databases already populated in PostgreSQL.

As the MOOC’s language will be french, we expect the box to be used mostly on machines with azerty keyboards. This and other context elements led us to add some customizations (locale, APT mirror) in provisioning scripts run during the box creation.

At the moment, we generate 2 variants of the box, one for 32 bits kernel (i686) and one for 64 bits kernel (amd64) which (once compressed) represent betw. 300 and 350 Mb.

The resulting boxes are uploaded to a self-hosting site, and distributed through vagrantcloud. Once the VM are created in VirtualBox, the typical VMDK drives file is around 1.3Gb.

We use our own Debian base boxes containing a minimal Debian jessie/testing, instead of relying on someone else’s, and recreate them using (the development branch version of) bootsrap-vz. This ensure we can put more trust in the content as it’s a native Debian package installation without MITM intervention.

The VM are meant to be run headless for the moment, keeping their size to the minimum, even though we also provide a script to install and configure a desktop environment based on XFCE4.

The applications are either used through vagrant ssh, for instance for SQL command-line in psql, or in the Web browser, for our own Web based SQL exerciser, or phpPgAdmin (see a demo screencast (in french, w/ english subtitles)), which can then be used even off-line by the participants, which also means this requires no servers availability for our IT staff.

The MOOC includes a section on PHP + SQL programming, whose exercises can be performed using a shared sub-folder of /vagrant/ which allows editing on the host with the favourite native editor/IDE, while running PHP inside the VM’s Apache + mod_php.

The sources of our environment are available as free software, if you’re interested to replicate a similar environment for another project.

As we’re still polishing the environment before the MOOC opening (on september 10th), I’m not mentioning the box URLs but they shouldn’t be too hard to find if you’re investigating (refering to the fusionforge project’s web site).

We don’t know yet how suitable this environment will be for learning SQL and database design and programming, and if Vagrant will bring more difficulties than benefits. Still we hope that the participants will find this practical, allowing them to work on the lab / exercises whenever and wherever they chose, removing the pain of installing and configuring a RDBMS on their machines, or the need to be connected to a cloud or to our overloaded servers. Of course, one limitation will be the requirements on the host machines, that will need to be reasonably modern, in order to run a virtualized Linux system. Another is access to high bandwidth for downloading the boxes, but this is kind of a requirement already for downloading/watching the videos of the MOOC classes 😉

Big thanks go to our intern Stéphane Germain, who joined us this summer to work on this virtualized environment.

20 August, 2014 01:59PM by Olivier Berger

August 17, 2014

hackergotchi for J. Fernando Lagrange

J. Fernando Lagrange

Debian Jessie et Thinkpad X201

Voici comment j'ai procédé pour installer Debian Jessie sur mon Thinkpad X201.

Téléchargement installateur et création de clé USB de démarrage

J'ai téléchargé l'installateur, encore en cours de développement sur <https://www.debian.org/devel/debian-installer/>.
J'ai rendu bootable une clé USB avec la commande suivante (attention à /dev/sdc : cela dépend de votre configuration !):
sudo cp debian-jessie-DI-b1-amd64-netinst.iso /dev/sdc

Choix du mirroir Debian

J'ai configuré manuellement le miroir http.debian.net avec le dossier /debian/.
Cela me permet d'utiliser le miroir le plus proche du réseau au moment où je suis connecté. Voir sur http://http.debian.net pour plus d'informations.

Formatage et partitionnement du disque dur

Durant l'installation, j'ai indiqué vouloir utiliser tout mon disque dur du LVM chiffré avec une partition /home séparée. J'ai ensuite modifié les partitions proposées par défaut pour utiliser:

  • 8Go de swap (au lieu des 16Go proposés)
  • 40Go pour / (au lieu des 10Go proposés)
  • le reste pour /home

Choix des programmes

J'ai installé les éléments proposés par défaut et ajouté le dernier:

  • Environnement graphique de bureau
  • Serveur d'impression
  • Ordinateur portable
  • Système standard
  • Serveur ssh (ajout personnel)

Et voilà: une Debian Jessie qui fonctionne avec XFCE !

17 August, 2014 02:10PM by LowMemory

August 15, 2014

hackergotchi for Aurélien Jarno

Aurélien Jarno

Intel about to disable TSX instructions?

Last time I changed my desktop computer I bought a CPU from the Intel Haswell family, the one available on the market at that time. I carefully selected the CPU to make sure it supports as many instructions extensions as possible in this family (Intel likes segmentation, even high-end CPUs like the Core i7-4770k do not support all possible instructions). I ended-up choosing the Core i7-4771 as it supports the “Transactional Synchronization Extensions” (Intel TSX) instructions, which provide transactional memory support. Support for it has been recently added in the GNU libc, and has been activated in Debian. By choosing this CPU, I wanted to be sure that I can debug this support in case of bug report, like for example in bug#751147.

Recently some computing websites started to mention that the TSX instructions have bugs on Xeon E3 v3 family (and likely on Core i7-4771 as they share the same silicon and stepping), quoting this Intel document. Indeed one can read on page 49:

HSW136. Software Using Intel TSX May Result in Unpredictable System Behavior

Problem: Under a complex set of internal timing conditions and system events, software using the Intel TSX (Transactional Synchronization Extensions) instructions may result in unpredictable system behavior.
Implication: This erratum may result in unpredictable system behavior.
Workaround: It is possible for the BIOS to contain a workaround for this erratum.

And later on page 51:

Due to Erratum HSw136, TSX instructions are disabled and are only supported for software development. See your Intel representative for details.

The same websites tell that Intel is going to disable the TSX instructions via a microcode update. I hope it won’t be the case and that they are going to be able to find a microcode fix. Otherwise it would mean I will have to upgrade my desktop computer earlier than expected. It’s a bit expensive to upgrade it every year and that’s a the reason why I skipped the Ivy Bridge generation which didn’t bring a lot from the instructions point of view. Alternatively I can also skip microcode and BIOS updates, in the hope I won’t need another fix from them at some point.

15 August, 2014 04:02PM by aurel32

July 21, 2014

hackergotchi for J. Fernando Lagrange

J. Fernando Lagrange

GreLibre - État des lieux

J'ai contacté la Free Software Foundation Europe (FSFE) pour savoir s'ils avaient des contacts avec la municipalité de Münich, qui a migré son infrastructure aux Logiciels Libres avec le projet LiMux. La FSFE m'a alors demandé plus de détails sur la situation Grenobloise et il m'a été indiqué que ma réponse à leur demande avait toute sa place sur un blog. La voici. :)

La situation à Grenoble

Comme toutes les villes de France, en mars et avril 2014, des élections municipales se sont tenues à Grenoble.

Cela a changé la donne par ici, parce que les nouveaux représentants sont d'un nouveau parti collectif informel[3] local nommé « Le Rassemblement Citoyen de la gauche et des écologistes » (voir Une ville pour tous). Ils ont désormais la majorité absolue au Conseil Municipal (42 élus sur 59 sièges).

C'est un regroupement de plusieurs partis de gauche : Europe Écologie les Verts, Parti de Gauche et l'Association Démocratie, Écologie et Solidarité et Alternatifs Rouge et Vert[3] peut-être d'autres.

Ce qui a été fait

Début mars 2014

Avant les élections, « Le Rassemblement » (en tant que liste de candidats) a fait une rencontre en appelant toutes les personnes intéressées à débattre autour des Logiciels Libres et des Données Ouvertes[1]. Vous pouvez trouver le message original dans les archives de la Guilde. J'y suis allé parce que leur point 57 est sur le Logiciel Libre :

Développer l’usage des logiciels libres

La commune s’équipera de logiciels libres, gage d’indépendance budgétaire (le changement de logiciel est fonction du besoin du service et non du fournisseur) et de possibilités de développements informatiques locaux.

Mais il m'a semblé qu'ils étaient surtout (un peu trop ?) focalisés sur les Données Ouvertes (ils disent vouloir faire une démocratie ouverte).

Il y avait une grande dizaine de personnes présentes. Certaines d'entre nous (càd qui ne sont pas dans leur liste) leur ont rappelé l'importance des infrastructures réseaux et du Logiciel Libre.

Fin mars 2014

Les élections on eu lieu, et Laurence Comparat, du Conseil Municipal, a été nommée pour ces dossiers. Elle a officiellement le titre suivant (comme indiqué à la fin de ses courriels) :

Laurence Comparat
Adjointe au Maire - Ville de Grenoble
Accès à l'information et libération des données publiques - Utilisation et diffusion des logiciels libres
Co-Présidente du Groupe des élus du Rassemblement citoyen, de la gauche et des écologistes

Autant que je sache, elle est la seule élue municipale en France à avoir un poste aussi clair sur les Données Ouvertes et le Logiciel Libre. \o/ :-)

Début avril 2014

Richard Stallman est venu en ville. C'est une coïncidence, RMS allait faire une présentation au TEDx Geneva 2014. De manière un peu improvisée, un étudiant Saint-Marcellinois a réussi à lui faire faire une conférence à Grenoble. (La Guilde et moi avons donné un coup de main en conduisant une voiture et en fournissant une assurance pour ce type d'évènement à l'université.) Avant sa conférence, une rencontre a été organisée avec le maire de Grenoble et l'adjoint en charge des écoles (Laurence Comparat ne pouvait pas être présente ce jour là :-/ ).

Mai 2014

À la suite de tout ceci, une nouvelle rencontre fut organisée, pour voir comment on pourrait aller plus loin ensemble (la Ville, les citoyens, les associations et les entreprises locales) et comment nous pourrions nous organiser en tant que groupe. Il y avait environ 30 personnes présentes.

Il a été décidé de faire 3 « groupes de travail », ayant chacun leurs propres réunions pour faire un compte-rendu dans une réunion plénière :

  • Infrastructures Réseau
  • Logiciel Libre
  • Données Ouvertes

Laurence Comparat prévoit d'être présente à chaque plénière.

Une liste de discussion électronique a également été mise en place, au nom du groupe : « GreLibre » (Grenoble a été renommée ainsi durant quelques années pendant la révolution française ;) ).

Le compte-rendu de cette « première plénière » est disponible en ligne.

Juin 2014

Une réunion de groupe de travail s'est tenue chaque semaine (Réseau, Logiciel Libre et Données Ouvertes). La plénière a eu lieu la dernière semaine.

Le compte-rendu du groupe de travail Logiciel Libre est disponible en ligne.

Il a été décidé de faire un événement public (que j'appelle Espace Numérique Libre) à l'Hôtel de Ville. Nous sommes en attente des disponibilités des salles de la mairie par Laurence Comparat. La prochaine rencontre pour organiser cet événement est mardi 22 juillet (demain !).

Maintenant, c'est les vacances d'été, je pense que seul le groupe Données Ouvertes a prévu de se rencontrer. Personnellement, je n'ai pas provoqué de rencontre du groupe Logiciels Libres, je préfère me concentrer sur l'organisation de l'événement de septembre.

Il a aussi été dit que du personnel du service informatique de la ville avait un peu peur de ce groupe « GreLibre ». C'est une chose à laquelle nous voulons faire attention pendant cet événement et tout au long de l'existence du groupe.

La liste de discussions GreLibre est archivée publiquement. Merci de faire attention avec cette liste : je vois le groupe GreLibre comme une nouvelle plante rare. Toute petite et fragile. Une mauvaise coupure, trop ou pas assez d'eau et elle disparaît. Je préfère lui laisser faire ses racines et prendre son temps pour devenir un arbre adulte, même si toutes les branches ne sont pas telles que je le voudrais : je ne suis pas intéressé par un bonsaï. ;-)

Pourquoi je crois que c'est le bon moment

Cette nouvelle équipe au Conseil Municipal, veut entendre notre avis (ou au moins, c'est ce qu'ils disent). C'est pourquoi je crois que nous devrions promouvoir, maintenant plus que jamais, le Logiciel Libre et tous ses principes, dans cette ville.

Je crois que nous avons 6 ans, jusqu'aux prochaines élections, pour passer en mode EZLN : Le peuple ordonne, le gouvernement obéi. ;) En restants fermes, mais sans armes et de manière humble, pour que nous puissions avancer en prenant en compte les interrogations de chacun.

Bien sûr, nous devons communiquer plus clairement et comprendre qu'il reste encore beaucoup à faire avant de pouvoir se passer du logiciel non-libre (si nous pouvons nous en passer totalement).

Il y a déjà quelques pas faits par le Conseil Municipal de Grenoble, dont certains grâce au groupe GreLibre :

  • les Conseils Municipaux sont filmés, visibles en direct et archivés (c'est sur Dailymotion pour l'instant, mais bon…)
  • les données brutes (fichiers CSV) commencent à être accessibles en plus des habituels rapports et documents PDF (je dois encore signaler l'absence de licence, mais quand même…)
  • la ville devrait nous fournir du réseau, de l'électricité et une salle pour l'événement de septembre (j'attends de le voir, pour l'instant ce sont des paroles…)

Je ne crois pas que ce soit une posture politique comme j'en ai vu (d'autres) dans le passé. J'ai réellement l'impression qu'il y a une volonté des élus municipaux d'aller vers le Logiciel Libre et les Données Ouvertes.

Ce que j'attends de vous, ce que vous pouvez faire

(Au départ, je m'adresse à la FSFE, mais toute personne motivée est la bienvenue !)

Dans le groupe de travail Logiciel Libre de GreLibre, nous nous sommes accordés 2 périmètres d'action :

  1. Le passage de la mairie de Grenoble aux Logiciels Libres : Les Postes de travail des agents de la commune (Systèmes d'exploitation et Logiciels), les serveurs (systèmes d'exploitation et logiciels), les outils en réseaux (sites Web, services numériques aux usagers, internes et externes).
  2. Médiation, sensibilisation aux Logiciels Libres de la population : Les actions de soutien multi-formes à l'initiative d'acteurs locaux et que la commune peut soutenir à son échelle pour favoriser la Libération numérique des postes informatiques des citoyens et habitants de la commune.

Le premier point inclut la recherche de témoignages et d'expériences d'autres entités publiques ayant déjà fait une telle migration. Je pense que GreLibre apprécierait beaucoup une rencontre avec les élus de Münich (pour le point de vue utilisateur) et avec des membres du groupe LiMux (pour des échanges plus techniques et méthodologiques).

Nous cherchons aussi des moyens d'utiliser les Logiciels Libres dans les écoles, qui sont à la charge de la ville.

Je recherche aussi des retours sur les projets Espagnols d'Extramadure (Linex) et d'Andalousie (GuadaLinex). Nous pouvons même imaginer une rencontre des utilisateurs ayant déjà migré ! :)

Aux RMLL 2014, j'ai rencontré la FSFE. Il semble que Münich soit la voie à suivre. Si j'ai bien compris, le projet LiMux a été préparé avant qu'un vote du Conseil Municipal soit fait pour donner « le feu vert ». Je crois que nous en sommes à ce stade à Grenoble : nous pouvons préparer un projet « Big Switch »[2] pour expliquer aux élus ce à quoi il faut s'attendre et comment d'autres l'ont fait. On les laisse alors décider. Si c'est validé, alors on reste vigilants sur ce qui est fait pour vérifier que cela arrive (et aider si possible).

Personnellement, je me demande encore comment faire à Grenoble ce qui a été fait à Münich. Ma ville est bien plus petite (environ 10 fois), ce qui signifie moins d'équipes techniques, moins de budget, etc.

Je suis particulièrement intéressé sur les choses à ne pas oublier, les à-côtés peu importants, ce qu'il faut éviter, quels problèmes il est prévu de rencontrer, qu'est-ce qui doit être géré finement et ainsi de suite.

N'hésitez-pas à (me) partager votre avis et à demander des précisions ou souligner mes oublis et ambiguïtés !

Notes

[1] Je préfère le terme « Données Ouvertes » au terme « Open Data »

[2] En référence à l'article The Big Switch

[3] Mise à jour du 24 août 2014: merci aux lecteurs attentifs pour cette précision !

21 July, 2014 09:46AM by LowMemory

July 15, 2014

Stéphane Blondon

DebConf sur la planète

Cette année, la conférence Debian annuelle aura lieu à Portland, aux États-Unis. Comme l’année dernière, j’y participerai. :)

Participation à la conférence Debian

Cette conférence sera la quinzième du nom. Voici une carte des différentes DebConf (passées en rouge, la prochaine en blanc et celle de l’année prochaine en jaune).

debconf14_planet

Jusqu’ici les conférences ont eu lieu alternativement en Europe et en Amérique (du Nord, centrale ou du Sud). Ce sera aussi le cas en 2015 puisque la conférence aura lieu en Allemagne à Heidelberg.

Réalisation de la carte

La carte diffère légèrement de celle réalisée l’année dernière (pour DebConf13) grâce quelques changements de configuration d’xplanet.

Commande utilisée

xplanet -transpng debconf14_planet.png -geometry 1024x512 -projection peters -config debconf14_planet.conf -num_times 1

Deux paramètres ont été modifiés :

  • La carte utilise une projection de Peters plutôt qu’une projection de Mercator. Pour cela, il suffit de remplacer -projection mercator par -projection peters.
  • Avec cette projection, la taille de la Terre n’est pas la même et la zone vide est rempli par défaut par un ciel étoilé. Il est aussi possible de choisir une couleur unie ou sa propre image de fond. Remplacer le paramètre -output par -transpng pour définir le fichier de sortie permet d’avoir un fond transparent.

Fichier debconf14_planet.conf

[earth]
shade=100
marker_file=coords.txt
marker_fontsize=15
map=night.jpg

L’ajout de map permet de définir l’image à utiliser à la place de l’image par défaut. Ici, on obtient une image de la Terre de nuit (qui provient de /usr/share/xplanet/images/night.jpg).

Fichier coords.txt

+44.80 +0.58 "0&1" #Bordeaux, France
+43.65 -79.38 "2" #Toronto, Canada
+59.92 +10.75 "3" #Oslo, Norway
-29.99 -51.22 "4" #Porto Alegre, Brazil
+60.22 +24.66 "5" #Espoo, Finland
+18.91 -98.97 "6" #Oaxtepec, Mexico
+55.96 -3.19 "7" #Edinburgh, Scotland
-37.96 -57.59 "8" #Mar del Plata, Argentina
+39.60 -6.08 "9" #Extremadura, Spain
+40.74 -74.00 "10" #New York City, USA
+44.78 +17.21 "11" #Banja Luka, Republika Srpska, Bosnia and Herzegovina
+12.14 -86.25 "12" #Managua, Nicaragua
+46.87 +6.75 "13" #Le Camp, Vaumarcus, Switzerland
+45.53 -122.67 "14" color=white #Portland, Oregon, USA
+49.24 +8.42 "15" color=yellow #Heidelberg, Germany

Le fichier a simplement été mis à jour (ajout d’Heidelberg, décalage des couleurs).

À bientôt !


15 July, 2014 08:56PM by ascendances

June 18, 2014

hackergotchi for Aurélien Jarno

Aurélien Jarno

Debian is switching (back) to GLIBC

Five years ago Debian and most derivatives switched from the standard GNU C Library (GLIBC) to the Embedded GLIBC (EGLIBC). Debian is now about to take the reverse way switching back to GLIBC, as EGLIBC is now a dead project, the last release being the 2.19 one. At the time of writing the glibc package has been uploaded to experimental and sits in the NEW queue.

EGLIBC is dead for a good reason: the GLIBC development has changed a lot in the recent years, due to two major events: Ulrich Drepper leaving Red Hat and the GLIBC development, and the GLIBC steering committe self-dissolving. This has resulted in a much more friendly development based on team work with good cooperation. The development is now based on peer review, which results in less buggy code (humans do make mistakes). It has also resulted in things that were clearly impossible before, like using the same repository for all architectures, and even getting rid of the ports/ directory. Before we used to have two sets of architectures, the main ones in the glibc repository with architectures like x86, SuperH or SPARC, and the secondary ones in the glibc-ports repository with architectures like ARM or MIPS. As you can see the separation was quite arbitrary, and often leaded to missing changes on the secondary architectures. We also got real stable branches, with regular fixes.

The most important EGLIBC features have been merged to GLIBC, including for example the use of non-bash but POSIX shell, or the renaming of reserved keywords. The notable exception is the support for configurable components, which we originally planned to use for Debian-Installer, by building a smaller flavor using -Os and without NIS and RPC support. At the end we never worked on that, and it seems that the hardware targeted by Debian has grown faster than the GLIBC size, so that is not really a big loss. At the end, we ended up with only 5 missing patches from the EGLIBC tree:

The package names are unchanged (except the source package and the binary package containing the sources) so the transition is fully transparent for the users.

I would like to thank all the CodeSourcery employees who worked on EGLIBC, with a special thank to Joseph Myers who spent countless hours to merge the most important EGLIBC changes back to GLIBC, and sent regular emails about the merge status. I would also like to thanks all the people on the GLIBC side that made the change to happen, and all persons participating in the GLIBC development.

18 June, 2014 08:04PM by aurel32

May 24, 2014

hackergotchi for J. Fernando Lagrange

J. Fernando Lagrange

Configuration et utilisation Dolibarr à la Guilde

À la Guilde des Utilisateurs d'Informatique Libre du Dauphiné, nous utilisons Dolibarr pour gérer les cotisations des adhérents. On m'a demandé en privé de partager mon expérience, je le fais ici pour que cela puisse servir à d'autres.

Contexte d'utilisation - Objectifs

Avant de rentrer dans les détails, soyons clairs sur le contexte d'utilisation de Dolibarr à la Guilde. Tout d'abord la Guilde est une association loi 1901. Depuis plusieurs années, les cotisations de ses adhérents et les dons sont les seules ressources de l'association. Nous utilisons Dolibarr pour gérer les adhésions et plus particulièrement pour:

C'est une utilisation assez simple de Dolibarr et très pratique pour la Guilde.

Configuration

Modules

Modules utilisés

Les modules utilisés (dont l'état est à ON sur la page Configuration|Modules) sont les suivants:

  • Dons
  • Banques et caisses
  • Adhérents
  • Exports de données

Il faut bien distinguer la configuration d'un module de son utilisation. Certaines options se font dans la configuration du module (icône Icône de configuration de module Dolibarr sur la ligne du module dans la page Configuration|Modules), tandis que d'autres options se font directement en utilisant le module. Sauf indications contraire, la configuration par défaut est utilisée.

Dons

Ce module permet de noter les dons reçus (montant, date, s'ils sont publics ou privés, etc).

Banques et caisses

Ce module permet la gestion de la trésorerie.

Nous utilisons ce module avec un compte bancaire et une caisse que nous avons créés dans Dolibarr:

  • les virements et chèques sont à encaisser dans le compte bancaire
  • les cotisations et dons en liquide vont dans la caisse (avec des versements et des retraits du compte bancaire en fonction des besoins)

Adhérents

Dans la configuration de ce module, nous avons indiqué:

  • la gestion d'un login pour chaque adhérent

Cela permet aux adhérents de se connecter à Dolibarr. Ils peuvent ainsi mettre eux-mêmes à jour les données les concernants, voir quelle(s) cotisation(s) nous avons reçue(s) et s'ils sont à jour pour l'année courante.

  • un EMail est obligatoire pour créer un nouvel adhérent

Cela permet d'avoir un moyen de contact avec nos adhérents, bien que j'aie une préférence pour la liste de discussion générale.

Toujours dans la configuration, dans l'onglet Formulaire publique d'auto-inscription, nous avons:

  • activé le formulaire publique
  • indiqué le montant par défaut au tarif normal
  • permis au visiteur de modifier le montant de sa cotisation (pour les adhésions à tarifs réduit et personne morale)

Nous utilisons 3 types d'adhérents, tous soumis à cotisation et ayant droit de vote:

  • tarif normal personnes physiques
  • tarif réduit personnes physiques
  • tarif personnes morales

Exports de données

Ce module permet d'exporter des données de Dolibarr, comme par exemple le total des cotisations reçues pour la dernière année.

Comptes utilisateurs

Après avoir installé Dolibarr, en plus de l'utilisateur permettant l'administration, nous avons créé un utilisateur pour chaque fonction du bureau de l'association. Ces comptes sont stables dans le temps et la personne ayant les authentifiants du compte est déterminée à chaque assemblée générale de l'association. C'est avec ces comptes que les adhésions sont validées, les cotisations notées. Bref, qu'une partie de la gestion associative est faite.

Chaque membre du bureau doit donc adhérer à l'association à titre personnel avec un autre compte utilisateur. Comme tout adhérent de l'association.

Utilisation

J'utilise Dolibarr quand un adhérent veut cotiser. Soit parce qu'il me l'indique directement, soit parce qu'on reçoit un chèque par la poste, soit parce qu'un virement a été fait sur le compte.

Voici alors comment je procède:

  1. si cela n'a pas été fait, je rempli les informations sur la page d'adhésion publique
    Cela créé un brouillon d'adhésion qui doit être validé.
  2. je me connecte avec mon utilisateur du bureau
  3. je valide l'adhésion
    À ce stade, je n'envoie pas de message de confirmation à l'adhérent, ce sera fait à la création de la cotisation.
  4. j'ajoute une cotisation
    J'indique alors les informations sur le paiement (montant, date, chèque, espèces, etc) et sur type d'adhésion (date de fin, catégorie d'adhérent).
  5.  je valide la cotisation
    Cette fois-ci un message de confirmation d'adhésion est envoyé à l'adhérent.

24 May, 2014 09:42AM by LowMemory

April 26, 2014

Petit bilan des 15èmes Journées Du Logiciel Libre

Comme prévu sur la liste de discussions de l'association Debian France, avec deux autres personnes nous sommes allés tenir un stand aux JDLL 2014 .

Les JDLL

banniere JDLL2014 Les JDLL sont un événement régional, sur Lyon, organisé par l'Association Lyonnaise pour le Développement de l'Informatique Libre (ALDIL).

Comme l'année précédente, cette 15ème édition a eu lieu dans la Maison Pour Tous - Salle des Rancy (site web). Le réseau Professionnels du Libre et Open-Source Software en Rhône-Alpes (PLOSS-RA) a également participé dans l'organisation.

C'est donc un « triple partenariat » qui a permis à cette édition d'avoir lieu.

Le village associatif

Le stand Debian France était sur un côté du village associatif, avec d'autres distributions.

Même si le temps manque pour que les discussions puissent se prolonger et se multiplier (la liste des animations de ces JDLL 2014 est tout simplement hallucinante). C'était enrichissant de pouvoir échanger avec les personnes des autres stands. J'ai notamment apprécié de pouvoir discuter avec l'April, Framasoft, la Mouette, Mozilla France et PLOSS-RA.

Mes impressions

C'était pour moi une première que de tenir un stand aux JDLL. Il y a plusieurs années, j'y étais déjà allé, en tant que visiteur.

J'ai beaucoup aimé participer à ces JDLL 2014. Cela m'a permis de passer à nouveau du temps avec Jean et Yves, que j'avais rencontrés au Salon Primevère plus tôt cette année. J'ai aussi pu répondre à quelques questions sur Debian et même discuter avec des développeurs Debian ! Woohoo !

Étant au stand, je n'ai pas pu voir beaucoup de conférences, ni participer dans des ateliers. J'ai tout de même pu m'éclipser pour faire une partie en réseau de jeu vidéo (Libre, bien sûr :-) ) et voir les dangers pesants sur la neutralité du réseau ainsi que les avancées de Firefox OS.

J'ai été agréablement surpris par les autres organisations présentes. Par exemple, je ne croisais l'April, la Mouette et Framasoft que pendant les Rencontres Mondiales du Logiciel Libre, soit une fois par an.

J'en ai profité pour tester la Framakey Debian France: je suis allé acheter 5 clés USB et j'ai profité de tenir le stand pour les créer. J'ai ensuite pu les mettre en vente à 10 euros (elles m'avaient coûté environ 8 euros) et surtout faire des tests et des retours au personnes qui s'en occupent. La personne de Framasoft: elle était aussi dans le village associatif ! On a pu en discuter directement, puis j'ai envoyé un message à la personne de Debian France pour avoir son avis aussi.
J'ai maintenant hâte de voir les prochaines avancées, prévues pour fin avril/mi-mai. ;)

Pour les prochaines

Comme toujours, il y a une marge de progression possible. Pour ma part, je dirais:

  1. Pour tenir la caisse (vente directe des produits de la boutique en ligne), prévoir une caisse (en métal, avec une serrure). Il a fallu que Jean vide son porte-monnaie pour qu'on ne mélange pas notre argent avec celui de l'association !
  2. Prévoir aussi un peu de monnaie pour tenir la caisse (notamment des pièces de 1 euros, car c'est le prix des autocollants)
  3. Imprimer des formulaires d'adhésion à Debian France. J'ai dû renvoyer des personnes intéressées sur le formulaire d'inscription en ligne alors qu'ils n'avaient pas d'ordinateur… :-/
  4. Prendre des photos, c'est très utile pour ce type de bilans après coup.
Je garde un bon souvenir de ces JDLL 2014, au plaisir de vous croiser à la prochaine édition !

26 April, 2014 02:00PM by LowMemory

April 16, 2014

hackergotchi for Tanguy Ortolo

Tanguy Ortolo

Signing party au salon Solutions Linux le 20 mai 2014

En ces temps troublés, il est important de sécuriser nos échanges d'information — en chiffrant — ainsi que la distribution de logiciels — en signant les publications.

À cette fin, le salon Solutions Linux, Libres et Open Source sera l'occasion d'une signing party PGP, le 20 mai 2014 à 18h près du stand Debian France. Cette signing party est ouverte à tous les visiteurs et exposants du salon.

Pour faciliter les échanges d'empreintes de clefs en cas d'affluence, il est possible que nous utilisions une liste officielle de participants selon le protocole de Zimmermann-Sassaman. Pour préparer cela, il est demandé aux participants de me contacter en m'envoyant leur clef publique. Selon la méthode de signing party retenue, je publierai ultérieurement des instructions plus précises.

16 April, 2014 06:45PM by Tanguy

April 15, 2014

Florent Gallaire

Lucas 2.0

Lucas Nussbaum vient d’être réélu Debian Project Leader.

Comme on peut le constater sur ce graphe, il a obtenu 47 voix de plus que Neil McGovern :

Une analyse plus précise des votes permet d’en calculer une représentation plus “classique” du point de vue des habitudes électorales, et donc plus compréhensible pour la majorité des gens :

Lucas Nussbaum : 56,5%
Neil McGovern : 43,5%

C’est bien une large victoire de Lucas, mais aussi une défaite très honorable pour Neil, qui se positionne donc comme un prétendant sérieux à la victoire l’année prochaine.

15 April, 2014 04:36PM by fgallaire

April 11, 2014

hackergotchi for Roland Mas

Roland Mas

Une page de publicité

Allez, c'est vendredi, c'est permis, je vais m'autoriser deux petites annonces.

Premièrement : rappelez-vous Minami Taiko, ce groupe de tambours japonais du sud de la France. Bon, nous on est des amateurs, mais il se trouve qu'on fait venir, pour le festival Escale à Sète, un vrai groupe de taikos du Japon et tout. Ils s'appellent SEN, et ils vont faire quelques animations musicales dans Sète du 18 au 21 avril. Et avant de repartir dans leur lointain Cipango, ils feront un vrai concert à Montpellier, le mardi 22 avril au soir, sur le campus de l'INRA/Supagro. Et devinez qui fait la première partie ? Minami Taiko, voilà qui ! Donc si vous voulez découvrir le taiko ou voir quelques amateurs suivis d'un vrai groupe, faites donc un tour sur le site de Minami Taiko. À noter qu'il y a aussi un atelier d'initiation le même jour si ça vous intéresse.

Deuxièmement : je suis fier de vous présenter un petit site web que c'est moi qui l'ai fait avec mes petits doigts délicats. Ça s'appelle Chacun sa part, et ça sert à faire des comptes entre amis, genre quand on part en vacances ensemble, ou qu'on fait régulièrement des dépenses partagées dans un groupe de gens. Pour éviter des comptes d'apothicaire à chaque restau, chaque tournée au bar, chaque passage en caisse, on saisit la dépense sur le site, on dit qui a payé et qui a participé, et le site calcule automatiquement les soldes de chacun et propose des suggestions de remboursements pour rééquilibrer les comptes. Y'a un système d'invitations pour que chacun puisse consulter l'état du groupe et saisir des dépenses, des QR-codes pour faciliter la vie aux utilisateurs de smartphone, et même si ça n'a pas encore été testé à grande échelle ça a été validé par une poignée de testeurs dans différentes configurations. Allez-y, c'est cadeau. Chacun sa part. Point com.

11 April, 2014 08:06AM

37

C'est l'heure d'un marronnier de ce blog : la petite chronique numérologique du 11 avril. Celle-ci sera consacrée au nombre 37.

Nombre premier, premier irrégulier, premier cubain, cousin avec 41, hexagonal centré et étoilé, c'est aussi le numéro atomique du rubidium et ça nous fait une belle jambe.

Et c'est un nombre qui colle particulièrement bien à la journée d'aujourd'hui (qui, si jamais les générations futures s'y intéressent, s'annonce pour être belle et douce, avec peut-être un petit voile nuageux).

11 April, 2014 08:06AM

April 04, 2014

Florent Gallaire

Quel DPL pour 2014 ?

Le temps passe vite, et cela fait déjà presque un an que Lucas Nussbaum a été élu Debian Project Leader (DPL). Chaque développeur Debian pouvait donc se porter candidat entre le 3 et le 9 mars à la suite du traditionnel appel à candidatures.

Dès le 13 février, anticipant quelque peu sur le calendrier, Lucas avait exprimé le souhait de se représenter :

As it has been done by other DPLs in the past, I think that it makes sense for the DPL to announce his/her plans way before the next DPL election.

So, let’s do that now: I will run for reelection.

Après ses précédentes tentatives infructueuses de 2004, 2012 et 2013, Gergely Nagy s’était représenté, mais il a finalement dû se résoudre à retirer sa candidature :

Due to unexpected events, my plans and life got turned upside down (for the better) in the past few days, and because of that, I have to scale down a number of things. Unfortunately, running for DPL is one such thing.[…] Therefore, after a lot of thought, I’m withdrawing from the Debian Project Leader elections of 2014.

Le seul concurrent de Lucas est donc finalement Neil McGovern. Le plus important est bien sûr de lire les programmes de chacun des candidats :

Les presque mille développeurs Debian sont libres de faire leur choix depuis le 31 mars et jusqu’au 13 avril lors d’un vote utilisant la méthode Condorcet.

Vous pouvez retrouver tous les débats de la campagne sur la mailing list debian-vote.

04 April, 2014 12:21AM by fgallaire

March 28, 2014

hackergotchi for Tanguy Ortolo

Tanguy Ortolo

Payez en liquide (et autres mesures de protection de la vie privée)

TL;DR¹ : les banques cherchent à exploiter les données de paiement par carte bancaire, il est donc temps de revenir au bon vieux liquide, intraçable et anonyme.

Développement d'une possibilité de surveillance généralisée

Notre vie privée s'érode petit à petit, tandis que s'instaure une possibilité de surveillance généralisée. C'est particulièrement visible avec le développement des systèmes de traitement automatique ces dernières décennies, mais ce mouvement est en réalité plus ancien :

Développement d'une possibilité de surveillance généralisée

Notre vie privée s'érode petit à petit, tandis que s'instaure une possibilité de surveillance généralisée. C'est particulièrement visible avec le développement des systèmes de traitement automatique ces dernières décennies, mais ce mouvement est en réalité plus ancien :

  • Dans l'Antiquité, puis au Moyen-Âge, l'État ne connaissait pas d'une façon générale l'identité de ses ressortissants ni de ses habitants, à moins d'effectuer de coûteux recensements.
  • Puis, je ne sais quand, un premier fichage systématique a eu lieu, de sorte que nous sommes connus par l'État dès notre naissance.
  • Un jour, il est devenu indispensable en pratique d'utiliser les services de banques, qui connaissent et disposent des pleins pouvoirs sur l'essentiel de notre patrimoine financier.
  • Depuis l'introduction de la carte bancaire, les banquiers savent pour la plupart de leurs clients où ils se déplacent et où et quand ils effectuent leurs achats.
  • Depuis l'introduction de la vente à distance, notamment par Internet, ces fournisseurs savent exactement ce que chacun de leurs clients leur achètent. Il en est de même pour le commerce local avec les cartes de fidélités, qui ont été créées pour cela.
  • Avec les téléphones portables, les opérateurs connaissent, à la cellule GSM près, les déplacements de tous leurs clients.
  • Avec l'introduction des titres de transport nominatifs tels que les cartes Navigo ou Vélib' à Paris, les régies de transport en commun connaissent avec une précision de l'ordre de la centaine de mètres tous les déplacements d'une grande partie des habitants de ces villes.

En quelques siècles, nous sommes donc passés d'une situation où, sorti du cercle des voisins, des amis et de la famille, chacun était inconnu et ses actions anonymes, à une situation où nous sommes connus et fichés dès notre naissance, et où des entreprises privées connaissent très précisément nos déplacements et nos achats, sans parler de nos communications. Chose plus inquiétante, on s'habitue peu à peu à ce qui paraissait scandaleux il y a quelques dizaines d'années et qui l'est pourtant toujours autant.

Dernières nouvelles : l'exploitation des données d'utilisation des cartes bancaires

Il est souvent objecté que ces entreprises n'exploitent pas ces données. C'est parfois vrai, mais l'expérience montre que lorsqu'il y a une possibilité qu'un abus soit commis, cela arrive tôt ou tard². Face au risque d'exploitation des données d'utilisation des cartes bancaires, on suppose ainsi que ces données n'intéressent pas les banquiers. Sauf que : en fait si.

Limiter l'exploitation de nos données personnelles

Au niveau personnel, il est possible de limiter l'exploitation de données nous concernant, simplement en évitant de les fournir au départ. Comme souvent, il s'agit d'un compromis entre la vie privée parfaite et la fonctionnalité complète. Ainsi, voici une liste de propositions qui permettent de limiter la casse en restant à un niveau de contrainte raisonnable :

  • Payer en liquide : cela implique d'effectuer des retraits de montants plus élevés au distributeur le plus proche de chez soi, d'avoir sur soi un peu plus de liquide et d'en stocker une petite réserve de liquide chez soi. À la rigueur, payer par chèque, les banques enregistrant bien moins d'informations qu'avec les cartes bancaires.
  • Préférer les magasins locaux à la vente à distance. En plus ça coûte moins cher en transport, et par conséquent ça pollue moins.
  • Se déplacer de façon anonyme : si on doit utiliser une carte de transport, prendre la version anonyme, qui existe grâce à la contrainte de la CNIL sur les régies de transport.
  • Éteindre son téléphone mobile pendant les déplacements : il n'est certainement pas pratique de l'éteindre tout le temps, mais puisqu'il est de toute façon interdit de téléphoner en voiture ou à vélo, et que c'est très peu pratique en bus ou en métro, autant ne pas révéler notre position pendant les transports. Même chose pendant les promenades, randonnées ou sorties en général : si on ne s'attend pas à être appelé ou à devoir appeler quelqu'un, autant éteindre le téléphone, en plus ça économise de l'énergie.

Notes

  1. Too long; didn't read, soit trop long, pas lu. C'est un résumé pour décideurs pressés.
  2. Voyez par exemple le cas des verrous numériques sur les livres, qui permettent aux vendeurs de désactiver à distance la lecture d'un livre acheté par un lecteur. Bah, de toute façon ils ne le feront jamais, tu t'inquiètes pour rien. Ah, ben en fait si, Amazon l'a fait. 743.

28 March, 2014 01:36PM by Tanguy

February 16, 2014

hackergotchi for Aurélien Jarno

Aurélien Jarno

On configure systems

I will never understand the point of using autotools, cmake or whatever configure system, when later the code uses an hardcoded list of architectures to determine the size of a pointer… Unfortunately for porters this pattern is quite common.

Update: As people keep asking, the way to check for the size of a given type is explained in the autoconf manual. To check for the size of the pointer, the following entry has to be added to configure.ac:

AC_CHECK_SIZEOF(void *)

On a 64-bit system, this will lead to the following entry in config.h:

/* The size of `void *', as computed by sizeof. */
#define SIZEOF_VOID_P 8

16 February, 2014 01:52PM by aurel32

January 06, 2014

Debian QEMU images updated

Following the release of Debian Wheezy, I have (finally) updated my set of Debian QEMU images for both Squeeze (6.0.8) and Wheezy (7.3). The following images are now available:

Each of these directories contains a GPG signed README.txt file with the md5sums all files, detailed instructions how to run these images and especially the minimum QEMU version to use.

The requirements to run the default desktop environment have increased a lot between Squeeze and Wheezy. An accelerated graphics card is now needed to be able to use Gnome (unless you use the fallback mode), which is not something provided by QEMU (actually there is now a QXL para-virtualized video card, but the driver is only in unstable). In addition GDM now needs more than 128MiB to start, while this is the default amount of memory provided for virtual machines. I have therefore decided to switch the default desktop environment on the Wheezy images to Xfce and the display manager to LightDM. Both Gnome and GDM are still installed on the images, and the original default can easily be restored using the following commands:

  • update-alternatives --auto x-session-manager
  • echo /usr/sbin/gdm3 > /etc/X11/default-display-manager

Beside this the new images only contain minor changes. The filesystems have been tweaked to not run fsck after a certain amount of days, and locales-all and openssh-server are now installed in all images. For MIPS and MIPSEL, 64-bit kernels are now also installed and provided, so that it is possible to choose between a 32-bit or a 64-bit kernel (see the README.txt for more details).

There is no Debian Wheezy SPARC image available, as QEMU does not fully support SPARC64 yet (it is actually possible to run it, but then the VM crashes often), and Debian Wheezy now only supports 64-bit kernels. I will also invest time to build an S390X image, but so far I haven’t been successful on that.

The following images are still available at the same location, though they haven’t been updated:

  • sparc (Etch)
  • SH4 (Sid from a few years ago)

06 January, 2014 06:46PM by aurel32

November 15, 2013

hackergotchi for Roland Mas

Roland Mas

10 ans !

Eh ben dites-donc mes aïeux, le temps passe. Le 15 novembre 2003, j'émettais ma première facture en tant que consultant indépendant.

Eh ben dix ans plus tard, y'a eu des hauts et des bas, mais globalement tout va bien, et je continue à faire des factures de temps en temps, et ça me plaît toujours autant.

Touchons du bois pour que ça continue, et on en reparle dans dix ans !

15 November, 2013 02:45PM

November 04, 2013

Stéphane Blondon

Évolution comparée du nombre de bogues entre distribution Linux

Il est difficile de connaitre la vitalité d’une distribution Linux. Il est possible de s’en faire une idée en fonction du nombre de posts sur des forums, de recherche sur un moteur de recherche, du nombre de téléchargement ou la visibilité sur Distrowatch, etc. Regarder le nombre de bogues en est une autre. Après tout, on ne signale des bogues que sur les distributions (et les logiciels) que l’on utilise… C’est celle qu’utilise bubulle.

Le but de l’article est de visualiser l’évolution du nombre de bogues entre Arch Linux, Debian, Ubuntu et RedHat. Puis de poser des pistes sur les causes possibles. À la fin de l’article, des liens vers les scripts de récupération des données (en python, à l’aide des bibliothèques requests et beautifulSoup) et les représentations graphiques (en python, avec la bibliothèque matplotlib) sont fournis.

Résultats obtenus

En bogues cumulés

Bogues cumulés

ArchLinux a un score extrêmement faible (moins de 40.000 bogues) comparé aux autres distributions.
Je connais mal ArchLinux donc je resterai au stade des hypothèses :

  • Je n’ai pas regardé le bon bug tracker. J’ai utilisé les données fournies sur bugs.archlinux.org.
  • Arch aurait un mode de travail différent des 3 autres distributions (par exemple si les problèmes sont signalés directement au responsable du paquet).
  • Arch n’aurait quasiment pas de bogue. Mon expérience personnelle de cette distribution me fait exclure cette hypothèse.
  • Arch aurait finalement peu d’utilisateurs.

Lors de la deuxième moitié 2007, Redhat a une augmentation durable dont j’ignore l’origine. La sortie de RHEL 5 ne me semble pas être une explication très convaincante.

Ubuntu, dernière distribution créée, dépasse toute les autres en 2010. La croissance reste rapide au fil du temps.

Sur le long terme, la croissance de Debian est globalement la même. La croissance des rapports de bogues est plus faible pour Debian qu’Ubuntu. Quelques hypothèses, non exclusives entre elles :

  • Moins d’utilisateurs pour Debian qu’Ubuntu. Ubuntu ayant été créée après, elle aurait dépassée Debian au début 2007 (en supposant un nombre de rapports envoyés par utilisateur égal entre les deux distributions).
  • L’interface web d’Ubuntu faciliterait plus le signalement de bogues que l’utilisation d’e-mails pour communiquer avec le BTS utilisé par Debian
  • On m’a signalé que reportbug, l’outil de signalement de bogues de Debian, aurait lui-même eu des problèmes pendant un moment. Cependant je ne pense pas que ce soit une cause significative sur une période longue.
  • Il y aurait plus d’envois automatiques lors de plantage chez Ubuntu que chez Debian (par exemple lorsque les paquets n’arrivent pas à être reconstruit – FTBFS).

Variations de la croissance du nombre de bogues

Variations au fil du temps

On constate un ralentissement de l’augmentation ces dernières dernières années pour Ubuntu (depuis 2010) et Debian (depuis 2006-2007) et une accélération pour RedHat, au point de rattraper celle de la phase base d’Ubuntu. En effet, la croissance pour Ubuntu subit des cycles en fonctions des publications tous les 6 mois.

C’est le même phénomène que celui de Debian lors de la préparation d’une nouvelle version stable. Phénomène peu visible sur le graphique ci-dessus, il faut regarder un graphique limité aux bogues de Debian.
Concernant Debian, la mesure de l’usage faite avec PopCon montre une augmentation ; il serait intéressant de voir si l’usage ralentit parallèlement à celle des rapports de bogues.

Si la mesure en nombre de bogues est pertinente, la distribution qui monte est RedHat plutôt qu’Ubuntu ou Arch.

Limites de l’approche

L’estimation du nombre de bogues est basé sur les identifiant des bogues donc les résultats peuvent être approximatifs.

Quelques données semblaient aberrantes, elles ont été supprimées des résultats. Les voici :

distrb id_bug AAAA MM JJ
redhat 100213 2002 05 06
redhat 780001 2010 09 29
redhat 900001 2012 03 08
ubuntu 80001 2005 07 25

La comparaison des valeurs absolues entre distribution n’a pas forcément de sens car on ne mesure pas les mêmes choses. C’est d’autant plus vrai que les distributions sont éloignées. Les variations et l’évolution de la variation semble plus pertinente même si elles sont à prendre avec précaution vu les erreurs de mesure…

Méthode de récolte des données et traitement

La récolte des données a été faite avec un script python qui télécharge des pages sur les interfaces web des rapports de bogues (merci requests !) puis cherche la date de création de l’alerte (merci BeautifulSoup !).

Le script est téléchargeable : dl_stats.py.
La bibliothèque requests permet de simplifier la récupération du code html. Lorsqu’il y a une redirection, la bibiothèque suit le lien automatiquement pour obtenir le contenu. Par exemple, pour Ubuntu, l’adresse https://bugs.launchpad.net/bugs/308191 redirige automatiquement vers https://bugs.launchpad.net/ubuntu/+source/xf86-input-multitouch/+bug/308191. Il suffit donc de faire :

r = requests.get("https://bugs.launchpad.net/bugs/308191")

Les statistiques sont écrites sur la sortie standard et doivent être copiées dans des fichiers .txt, un par distribution. Les fichiers seront lus par le script de traçage des graphiques. Ce script utilise matplotlib et est disponible à http://stephane.yaal.fr/evolution-rapports-de-bogues/draw_stats.py. Les fichiers de statistiques utilisés sont disponibles dans le même répertoire (http://stephane.yaal.fr/evolution-rapports-de-bogues/).

Inspirations

La création des graphique est basée sur l’exemple de l’évolution du prix de l’essence disponible sur geophysique.be (évolution du prix de l’essence).

La documentation de matplolib pour personnaliser ces graphiques : pyplot.plot

Merci à Christian Perrier (bubulle) pour cette façon originale d’estimer la vitalité d’une distribution.

Merci aussi à Nirgal, Joey Hess et tout ceux avec qui j’en ai parlé à la DebConf 13 pour leurs réflexions.


04 November, 2013 10:47PM by ascendances