Sélectionnez le type d'affichage

Linux (fr)

The MagPi n°7 et 8 distribués gratuitement sur les campus de Caen, Grenoble, Lyon, Troyes et Mâcon ! (Laboratoire Linux SUPINFO)
En ce début d'année 2014, certain ont pu découvrir que le Père Noel était passé à SUPINFO, principalement à l'attention des laboratoires Linux, Robotique et SL3 mais aussi et surtout à tous les étudiants curieux d'électronique.

The MagPi est un magazine communautaire anglophone qui a été traduit et édité sous licence Creative Commons BY-NC-SA, permettant ainsi à SUPINFO de l'imprimer et de le diffuser à titre gratuit, en sa qualité d'association loi 1901.

Les magazines profitent de la même qualité d'impression que le Supinfo Inside, les étudiants des campus sélectionnés découvriront ainsi en version papier comment faire de la rétroingénierie classique, asservir une carte Arduino avec une carte Raspberry Pi (ainsi que les avantages que cela procure), de quoi stimuler leur imagination sur des projets robotiques ou domotiques. La sélection s'est basée sur la réalisation de projets publiés sur les sites des labos. Les magazines restent disponibles en PDF sur le site du MagPi.

Sophie, notre assistante de direction à Caen, semblait intriguée par le magazine !
Dr. Geo 18.06 (Dépêches LinuxFR)
GNU Dr. Geo est un logiciel de géométrie interactive euclidienne du plan, pour une utilisation à l'école secondaire et primaire. Il permet d'organiser des activités pédagogiques dans l'enseignement de la géométrie, voire d'autres domaines liés des mathématiques.
Intégré à un environnement dynamique de programmation Smalltalk, il propose également une approche de la géométrie dynamique par la programmation, soit par l'utilisation de script(s) intégré(s) à une figure, soit par une description purement programmatique d'une construction géométrique. En outre, Dr. Geo est toujours modifiable depuis lui-même, fonctionnalité héritée de son environnement de développement.

La version 18.06 fait suite à la version 17.07 sortie en juillet 2017. Une grande partie de l'effort fut de porter le code de la version 3 à la version 7 de l'environnement Smalltalk Pharo avec lequel est développé Dr. Geo. Outre les corrections de bugs inhérentes à ce portage, quelques fonctionnalités nouvelles ont fait leur apparition.
- lien n°1 : GNU Dr. Geo
- lien n°2 : Article Wikipedia
Nouvelles fonctionalités

Navigateur de code dédié

Dans Dr. Geo, un script est défini par une classe Pharo. L'utilisateur insère alors une instance du script dans la figure géométrique ; il lui associe si nécessaire d'autres objets géométriques de la figure en paramètres. Un script effectue un traitement ad-hoc, calculs ou modifications sur d'autres objets de la figure tels que programmés dans les méthodes du script. Une fois défini, le script est facile à utiliser.

L'édition de script se fait maintenant à l'aide d'un outil d'édition de code dédié, et non plus par l'intermédiaire du navigateur de code de Pharo, qui est pour le moins impressionnant.

À noter que l'ajout d'attribut au script nécessite toujours l'utilisation du navigateur de code de Pharo. Ce besoin est nécessaire uniquement lorsque le script a un état dont il doit se souvenir tout au long du cycle de vie de la figure.

Le manuel utilisateur a une section dédiée au script.

Inspecteur sur code de figures programmées

Une figure programmée est l'autre forme d'utilisation de la programmation dans la géométrie dynamique. Dans cette approche la figure géométrique est entièrement définie par un code Smalltalk et l'utilisation de l'API dédiée.

Il est dorénavant plus aisé de gérer ses fichiers de figures programmées. Le nouvel inspecteur de Pharo — outre l'inspection d'attributs d'instance de classe — propose aussi de voir, d'exécuter, d'éditer et de créer les scripts de figures programmées.

Zoom positionnel

Pour zoomer dans une figure l'utilisateur dispose du widget de molette orange en haut à droite de chaque figure ou de la molette de la souris. Le zoom par la souris est maintenant positionnel, focalisé sur la position du curseur souris ; celui par le widget reste, lui, centré au milieu de la zone visible de la figure.

Détection de polygone sans surface

Lorsqu'un polygone est sans surface (vide), Dr. Geo ne détectera que ses lignes, et non plus sa surface intérieure puisqu'elle n'existe pas.

Tests unitaires basés sur figures programmées

Le petit corpus de figures programmées distribué avec Dr. Geo est également utilisé pour définir une série supplémentaire de tests unitaires.

Partage réseau

Dans le cadre d'une activité pédagogique en salle informatique, distribuer aux élèves des fichiers de figures est pratique. Dr. Geo propose maintenant une fonctionnalité de partage en réseau local, indépendante des services du réseau local (NFS, Samba, Windows, etc.). La marche à suivre est la suivante :
1. L'enseignant sauve les documents à partager dans son dossier DrGeo.app/MyShares :
2. L'enseignant active le partage réseau local depuis le navigateur de préférences de DrGeo (menu Système, Préférences) :
3. L'élève, depuis l'outil habituel d'ouverture de figures, parcourt les figures partagées (bouton 'Partage enseignant') :
Cette fonctionnalité peut s'utiliser de façon croisée avec Linux, Mac et Windows.

Thèmes graphiques

Le navigateur de préférences (menu Système, Préférences) donne accès à deux thèmes graphiques, hérités de Pharo :
- Thème sombre, par défaut, à privilégier lorsque Dr. Geo est utilisé de façon autonome sur un seul poste.
- Thème clair, à utiliser en vidéo projection, par exemple, car le thème sombre manque de contraste.
Option plein écran

Depuis le menu système, l'utilisateur peut basculer en affichage plein écran ; le système hôte est alors complètement masqué. Pratique pour que les élèves se concentrent sur leur activité de géométrie dynamique.

Les autres modifications de la version 18.06.
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur
Neatmail: un client mail minimaliste (Journaux LinuxFR)
Sommaire
J’utilise depuis quelque temps un tout petit client mail, qui ne fait vraiment que le minimum, mais a une interface si particulière, qu’il me semble intéressant de vous le présenter. Il s’agit de Neatmail écrit par Ali Gholami Rudi.

Ali Gholami Rudi

Je connais Ali Gholami Rudi pour une implémentation de Troff à la fois pertinente en termes de fonctionnalités et dont le code source est très propre. Il a aussi écrit un compilateur (neatcc), une libc (neatlibc), et une implémentation de vi. C’est un développeur qui, plutôt qu’une éthique, semble défendre une certaine esthétique du logiciel, que je qualifierai de minimaliste: code source compréhensible par une personne seule, logiciel qui fait peu de choses, mais le fait bien, etc.

Neatmail le client mail qu'il s'est programmé, et celui‐ci met en scène toute l’esthétique de son auteur.

Ce que Neatmail ne fait pas

Neatmail ne fait que gérer un fichier mbox (une concaténation de mails). Ainsi, il ne sait ni rapatrier, ni envoyer les mails, il ne sait ni extraire, ni ajouter de pièce jointes, etc.

Mais en vérité, il n’a pas besoin de faire tout cela, car d’autres logiciels le font. Ali Gholami Rudi propose ainsi un pop3 pour rapatrier les mails depuis un serveur pop3, et smtp pour envoyer ses mails à un serveur smtp. Et il existe dans certaines distributions un ripmime pour extraire les pièces jointes d’un fichier mime.

Ce que Neatmail fait

Neatmail se contente donc d’effectuer des actions sur un fichier mbox. Les actions de bases sont:

‐ mk Génère une liste des mails contenus dans la mbox.
‐ ns Génère une liste des nouveaux mails présents dans la mbox.
‐ pg Affiche un des mails contenu dans la mbox.

On peut donc l’utiliser ainsi:
```
# Obtient les mails
pop3
# liste les mails, triés par fil de discussion
neatmail mk ‐r ‐st ‐0 18from:48~subject: mbox
# affiche le 3e mail
neatmail pg mbox 3
# prépare une réponse
neatmail pg ‐r mbox 3 > draft.eml
vi draft.eml
# envoie la réponse
tail ‐n+2 draft.eml | smtp
# garde une copie de la réponse
cat draft.eml >> sent
rm draft.eml
```
Mais en outre, neatmail peut interpréter les commandes ex contenues dans la liste des mails. Autrement dit, l’utilisateur est invité à ajouter des commandes à cette liste de mails, et donner le tout à neatmail qui se chargera de l’exécution:
```
neatmail mk ‐r ‐0 18from:48~subject > list.nm
vi list.nm
neatmail ex < list.nm
```
Le commande ex de neatmail

La commande ex de neatmail prend en entrée une liste de commandes, et les exécute sur un fichier mbox. Elle ignore toutes les lignes hormis celles commençant par deux points (commande ex) ou une lettre majuscule (un mail dans la liste). Les lignes commençant par une lettre majuscule de la forme "R100..", modifient le statut du message dont le nombre suit la lettre (ici, 100). Une telle ligne définit aussi le message actuel, celui sur lequel les commandes sont exécutées. Les commandes ex sont les suivantes:

‐ rm supprime le message courant.
‐ cp copie le message courant dans une mbox donnée.
‐ mv déplace le message courant dans une mbox donnée.
‐ hd modifie l’entête donnée du message courant.
‐ ft passe le message courant à une commande donnée.
‐ w écrit les modifications dans la mbox.
‐ tj joint les fils de discussion en modifiant l’entête "Reply‐To".
‐ ch coupe le message à l’offset indiqué.

Par défaut, ces commandes agissent sur le message courant, mais il est aussi possible d’utiliser des adresses du type 2,5rm pour effacer les messages 2 à 5. Il est aussi possible d’utiliser des expressions régulières du type /regex/rm, où regex est recherché dans le sujet des messages. D’autres champs peuvent être spécifiés en utilisant l’expression ^field:value.

Un script shell comme interface

Vous allez certainement penser que l’interface est un peu rude… À vrai dire, Ali Gholami Rudi n’utilise pas neatmail directement: un script shell (m) lui sert d’interface. Et c’est là que le logiciel brille: pour peu que l’on ait un peu l’habitude du shell, on peut se créer une interface sur mesure. On peut par exemple imiter l’interface de mh (un autre client mail non interactif un peu oublié). On pourrait créer une interface interactive. Bref, on peut faire ce qu’on veut.

J’utilise par exemple l’interface suivante:
```
m box inbox # liste les messages contenus dans la mbox inbox.
m vi 3 # affiche le message 3
m next # affiche le message 4
m repl # ouvre mon éditeur sur une réponse préformatée au message 4
m add f.pdf # joint f.pdf à ma réponse
m send # envoie ma réponse.
m R # marque le message 4 comme lu.
m com # enregistre les changements dans la mbox (ici, change l’entête du message 4)
```
Conclusion

Au jour le jour, je suis plutôt satisfait de l’ensemble. Le fait de travailler sur les mails en local est plutôt agréable: c’est fluide, offre une grande liberté d’organisation, s’associe bien à un système de sauvegarde ou de gestion de version, etc. Le fait que le client ne soit pas interactif apporte un certain confort d’usage: le shell est sous la main si besoin, je retrouve ma session de travail dans l’état où je l’ai laissée d’un jour à l’autre, il est facile d’implémenter des solutions pour revenir en arrière (cp…). Le fait de coupler le tout avec le shell offre une grande liberté dans la création de l’interface utilisateur.
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur
Rumeurs sur l'hyper-threading - TLBleed (Journaux LinuxFR)
La peinture de la dépêche sur la faille Lazy FPU save restore n'étais pas encore sèche
que je tombais sur de curieux messages conseillant de désactiver l'Hyper-threading.

Suivis de conversations plus ou moins inquiétantes sur Twitter et dans les mailings list.

Accroche toi au pinceau

Un commit sur OpenBSD désactive l' Hyper-treading par défaut.
Le message associé est explicite:

« Since many modern machines no longer provide the ability to disable Hyper-threading in
the BIOS setup, provide a way to disable the use of additional
processor threads in our scheduler. And since we suspect there are
serious risks, we disable them by default »
Puisque les machines récentes ne donnent plus la possibilité de désactiver l' Hyper-threading depuis le BIOS, trouvez un moyen de désactiver l'utilisation des threads d'un processeur dans notre ordonnanceur.
Et comme on suspecte que le risque est sérieux, désactivons le par défaut.

Pour faire plus court, j'avais lu auparavant un laconique:

ps deactivate Hyper-threading on your server
Désactivez l'Hyper-threading sur vos serveurs !

Venant des équipes OpenBSD, il y a de quoi s'interroger.

J'enlève l'échelle

La conférence Black Hat qui se déroulera en août prochain, propose au menu:
- quand protéger vos caches CPU n'est pas suffisant:
« This therefore bypasses several proposed CPU cache side-channel protections. Our TLBleed exploit successfully leaks a 256-bit EdDSA key from libgcrypt (used in e.g. GPG) with a
98% success rate after just a single observation of signing operation on a co-resident hyperthread and just 17 seconds of analysis time »
En outre, ceci court-circuite plusieurs protections sur le cache. Notre exploit TLBeed a réussi à voler une clef 256-bit EdDSA depuis ligcrypt (utilisée par GPG ) dans 98% des tentatives, après une simple observation des opérations de signature depuis un thread tournant sur le même CPU en seulement 17 secondes d'analyse.
- sans oublier le petit message de remerciement du sieur de Raadt.
Colin Percival, auteur en 2005 de:
1. un papier sur les attaques via les caches, Cache Missing for Fun and Profit
2. un article qui cible plus particulièrement les risques liés à l'Hyper-threading
en remet une couche:

« I think it's worth mentioning that one of the big lessons from 2005 is that side channel attacks become much easier if you're executing on the same core as your victim »
Je pense qu'il est bon de rappeler cette grande leçon de 2005: une attaque en side channel est tellement plus facile si vous l'exécutez sur le même cœur que votre victime.

Cuisine

Intel n'est jamais clairement impliqué; mais je précise, comme ça, en passant, que l'Hyper-Threading est une implémentation Intel du Simultaneous Multi Threading.
Il s'agit de faire exécuter en parallèle, sur un même cœur, plusieurs unités fonctionnelles ou de calcul.
Et pour rendre cette technique efficace et moins gourmande en ressource, cette implémentation partage aussi les caches mémoires.

Keep systems protected, efficient, and manageable while minimizing impact on productivity

Conclusion

Toutes les solutions de sécurité aujourd’hui ne sont que des châteaux forts construit sur du sable.

Si encore une fois, la désactivation de l'Hyper-threading pourrait même avoir des effets positifs sur les performances, autant en finir une fois pour toute.

Retour aux origines:
- un partage complet sans protection des ressources
- plus de mode protégé
- pas même de segmentation mémoire
Vos machines iront encore plus vite. Enfin, j'espère.
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur
Lazy FPU state restore (Dépêches LinuxFR)
Intel est de nouveau confronté à la découverte d'une faille, le
Lazy FPU State Restore flaw.
Cette fois, seule la famille des intel core serait concernée.
- lien n°1 : Explication des inventeurs
- lien n°2 : La mécanique Lazy FPU state restore expliquée par les équipes NetBSD
- lien n°3 : Le message de Linus lors du passage en mode eager
Sommaire
Le FPU
- Le FPU, c'est le bordel, par I.Molnar
L'unité de calculs flottants, le FPU, possède une série de registres qui lui permet de définir son état courant.
Lors du basculement d'une tâche à une autre ( context switch), cet état est alors restauré pour retrouver un contexte correspondant au processus en cours.

Ces opérations peuvent être coûteuses car les registres sont plus gros que ceux du CPU, c'est pourquoi les FPU fournissent une option pour désactiver toute opération flottante (CR0:TS) ; aussi, dès qu'un calcul flottant est appelé une exception est lancée pour réveiller le FPU avant de lancer l'opération normalement.
Lorsque cette exception (fpudna, FPU Device Not Available) se produit, un gestionnaire de contexte fpu vérifie quel processus a la main sur le FPU à ce moment-là.
S'il s'agit d'un autre processus, il procède à la sauvegarde puis restauration des registres, ou s'il s'agit d'un nouveau contexte, la sauvegarde puis nettoyage des registres ; sinon, il ne fait rien : c'est le mode «paresseux» (lazy). À la sortie du processus, il ne faut pas oublier de nettoyer ces tables et de (re)lever tous les drapeaux liés à cette exception.

En mode eager (zélé, volontaire), la sauvegarde/restauration des registres associés au FPU est effectuée quoiqu'il advienne, au moment du changement de tâche et non durant l'exécution de la tache qui vient de prendre la main.

Le bâton

Au fil des années, les processeurs ont multiplié les registres pour prendre en charge les instructions de type SIMD, soit une instruction capable de procéder au même calcul sur un ensemble de paires de données.

Les registres SSE, AVX et MMX restent associés au FPU et seront donc intégrés au mécanisme de sauvegarde/restauration…
… et ils peuvent contenir jusqu'à 2Kb de données, rien que sur l'AVX.
```
[    0.000000] Linux version 4.14.48-intel-pk-standard (oe-user@oe-host) (icc version 18.0.2 (gcc version 7.3.0 compatibility)) #2 SMP PREEMPT Wed Jun 20 13:21:48 UTC 2018                                                              
[    0.000000] x86/fpu: Supporting XSAVE feature 0x001: 'x87 floating point registers'                               
[    0.000000] x86/fpu: Supporting XSAVE feature 0x002: 'SSE registers'                                              
[    0.000000] x86/fpu: Supporting XSAVE feature 0x008: 'MPX bounds registers'                                       
[    0.000000] x86/fpu: Supporting XSAVE feature 0x010: 'MPX CSR'                                                    
[    0.000000] x86/fpu: xstate_offset[3]:  576, xstate_sizes[3]:   64                                                
[    0.000000] x86/fpu: xstate_offset[4]:  640, xstate_sizes[4]:   64                                                
[    0.000000] x86/fpu: Enabled xstate features 0x1b, context size is 704 bytes, using 'compacted' format.
```
Pour se faire battre

Par le biais désormais connu de l’exécution spéculative puis de l'analyse de cache, un attaquant pourra lire ces registres depuis un autre processus, voire, depuis une machine virtuelle. En effet, en mode lazy la sauvegarde des registres d'une tâche s'effectue au cours de l'exécution d'une autre tâche. La spéculation ignorant le drapeau CR0:TS, tout est alors possible.

Ces registres peuvent contenir des informations sensibles comme des clefs de chiffrement (AES), par le biais des instructions d'accélération matérielle AES-NI.

Delivers Fast, Affordable Data Protection and Security. AHeum.

Colin Percival, ex membre de l'équipe sécurité de FreeBSD, a codé un exploit en quelques heures et note, dans un tweet :

You need to be able to execute code on the same CPU as the target process in order to steal cryptographic keys this way. You also need to perform a specific sequence of operations before the CPU pipeline completes, so there’s a narrow window for execution

Vous devez être en mesure d'exécuter le code [de l'exploit] sur le même CPU que celui de la cible pour voler les clefs de cette manière. Vous devrez en outre appliquer une suite précise d'opérations avant que la chaîne de traitement du CPU ne se termine ; de fait, la fenêtre de tir est très étroite.

Ce qui semble vouloir dire que, pour l'instant, coder le vol de données depuis un script venu du Web n'est pas simple à produire. Le temps nécessaire au vol des données des registres est la clef de l'attaque. Il faut le terminer avant que le séquenceur ne préempte la victime et que les valeurs des registres ne soient modifiées.

Pour y arriver, les chercheurs ont utilisé plusieurs méthodes:
- Exception
Il s'agit de coder la fuite de données à l'ombre d'une exception, sciemment provoquée, tel un page fault par exemple. Mais il s'avère que cette solution est trop lente pour récupérer tout un jeu de registres.
- Intel TSX
Cette mécanique n'est disponible que sur les architectures récentes (à partir de Haswell) ce qui limite l'angle d'attaque. Cette technologie comporte un jeu d'instructions appelé RTM (Restricted Transactional Memory) qui permet d'annuler un bloc d'exécution en cas d'interruption ; il suffit d'y encadrer le code malicieux, qui va innocemment faire appel au FPU, pour lever l'exception fpudna… Ce serait presque « étudié pour ».
- Retpoline
Il s'agit au départ d'une contre-mesure pour spectre.
Elle vise à fourvoyer sciemment le CPU sur l'adresse de retour d'un RET en plaçant une fausse boucle et donc le forcer à exécuter de manière spéculative un code innocent. Le code malicieux sera donc placé à cet endroit.

Les correctifs

Le mode lazy semble moins pertinent aujourd'hui. Les gains en performance sont faibles sous les architectures récentes et surtout selon les usages actuels ; voire, le FPU étant beaucoup plus utilisé dans nos logiciels, son usage serait contre-productif.
En effet, les compilateurs choisissent d'appeler les instructions SIMD (i.e. -sse) pour optimiser le code des logiciels. De fait, ceux-ci auront de toute façon sauvegardé et restauré les registres du FPU à chaque changement de contexte. La gestion de l'exception sera inutile et va juste alourdir le processus.
En outre, l'empreinte d'une sauvegarde/restauration serait moindre que celle de la gestion des drapeaux, des registres et de leurs états suite à l'interruption, le transfert de registres FPU en mémoire étant plus rapide car optimisé.

Il est donc préconisé d'éviter le mode lazy au profit du mode eager.
- Linux propose le mode eager plutôt que le mode lazy depuis la version 3.7 et l'active par défaut depuis la version 4.9.
  - Ajoutez eagerfpu=on sur la ligne de démarrage pour les versions antérieures à la 4.9.
- FreeBSD a poussé un patch pour la Release 11.2. C'est un FreeBSD 11.1 qui a servi de cobaye ;
- DragonFly BSD a poussé un patch dans la version 5.2.2 ;
- Microsoft poussera un patch en juillet ;
- OpenBSD a poussé un patch le 14 juin pour la version 6.3 ;
- NetBSD a poussé un patch le 16 Juin sur MAIN .
Conclusion

Ils ne sont pas à la fête cette année, chez Intel. Le point positif est que la correction de cette faille devrait conduire à une amélioration des performances, voire de la consommation d'énergie.

Theo de Raadt avait prévenu 11 ans auparavant que l'architecture Intel Core2 promettait ce genre de faille :

These processors are buggy as hell, and some of these bugs don't just
cause development/debugging problems, but will ASSUREDLY be
exploitable from userland code.

Ces processeurs sont bugués comme jamais et nombre de ces bugs ne provoquent pas seulement des soucis de développement et d'analyse, mais ils vont assurément être exploitables depuis l'espace utilisateur.

Pour la petite histoire, l'embargo s'est terminé le 6 Juin.
Colin Percival, qui assistait à une conférence de Théo de Raadt lors de la BSDCan 2018, a codé un exploit dans la foulée, qu'il n'a pas encore rendu public. Mais il a convaincu Intel de lever l'embargo au plus vite.
Il est notable qu'aucun des deux n'avait été mis dans la confidence ; OpenBSD signale même qu'ils en ont fait la demande ( des rumeurs circulaient autour d'une énième version de spectre) mais sans obtenir de réponse.

Invitation to Embargo? No.
We asked.

No reply.
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur

Surface d'attaque des serveurs dans les nuages (cloud) (Journaux LinuxFR)
Passionnant et très utile article sur le blog en anglais de James Bottomley (merci LWN.net pour le résumé) : il étudie la sécurité des solutions d'hébergement Cloud en se basant sur la solution retenue : serveurs dédiés, serveurs partagés, serveurs virtuels, conteneurs, et en comparant les profils d'attaques verticales et horizontales.

Comme vous aimez les conclusions rapides, sachez déjà que la solution conteneurs l'emporte haut la main.

Une attaque verticale c'est du code traversé : de la requête web à la base de donnée jusqu'à la réponse dans le navigateur ou l'application, et qui contient potentiellement des bugs, elle concerne uniquement votre hébergement :

all code that is traversed to provide a service all the way from input web request to database update to output response potentially contains bugs; the bug density is variable for the different components but the more code you traverse the higher your chance of exposure to exploitable vulnerabilities. We’ll call this the Vertical Attack Profile (VAP) of the stack.

Une attaque horizontale par contre peut se propager d'hébergement en hébergement :

In an IaaS cloud, part of the vertical profile belongs to the tenant (The guest kernel, guest OS and application) and part (the hypervisor and host OS) belong to the CSP. However, the CSP vertical has the additional problem that any exploit in this piece of the stack can be used to jump into either the host itself or any of the other tenant virtual machines running on the host. We’ll call this exploit causing a failure of containment the Horizontal Attack Profile (HAP).

La surveillance est répartie différemment selon l'hébergement, par exemble sur un serveur partagé l'hébergeur doit surveiller toute la pile : le matériel, le noyau, les librairies et le middleware, vous n'êtes responsable que de la couche applicative, tandis qu'avec un conteneur il surveille le matériel et le noyau hôte.

Mais les attaques sont aussi réparties différemment. Dans un hébergement partagé, si vous attaquez le noyau vous pouvez compromettre tout le système, donc tous les hébergements tandis qu'il est plus difficile de sortir d'un conteneur.

Compte tenu de quelques autres facteurs que je ne résume pas ici — veuillez lire cet article avant de commenter —, les équipes de sécurité de l'hébergeur bossent « mieux » avec des conteneurs, qui sont donc plus fiables, quoi qu'en dise votre contrat. Mais que ça ne vous dispense pas des opérations habituelles de base : backup, backup ET backup (sauvegarde, sauvegarde ET sauvegarde de leurs petits noms).
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur
Zet Uw Volgende Sigaret Into Your Last Met Deze Stoppen Met Roken Tips (Laboratoire Linux SUPINFO)
e liquid ingredients. Als je een roker bent , is de kans groot dat u wilt stoppen en gewoon niet weten hoe dit te doen . Wees niet ontmoedigd , omdat de informatie en technieken die in dit artikel zijn bedoeld om mensen zoals jij te helpen . Gebruik de tips in dit artikel om u te helpen langs de weg om een niet-roker

Om uw kansen op succesvol stoppen met roken te stimuleren , denken zetten op papier alle potentiële voordelen en gevolgen van stoppen . Aanbrengen van de kwestie schriftelijk zal u helpen om het beter te kunnen zien . Dit kan u helpen gemotiveerd te blijven , en kunnen stoppen gemakkelijker te maken .

Als u rookt als een manier om stress te beheersen , wil je andere stress saneringstechnieken klaar hebben wanneer je besluit om te stoppen . Blijf uit situaties die je kan stress voor de eerste paar weken nadat je hebt gestopt . U kunt ook uw stress te beheren door middel van yoga , meditatie of door het krijgen van een massage .

Vergeet niet dat uw houding is alles. Wanneer u begint te voelen beneden , moet je proberen om jezelf er trots op dat je stoppen te maken. Roken is slecht voor je en elke keer dat je de drang om te roken te veroveren , moet je trots voelt als u het nemen van belangrijke stappen in de richting van een gezonder je .

Maak een studie van wat triggers uw roken en zoek manieren om je triggers te vermijden. Bijvoorbeeld zaken als roken tijdens het rijden of het lezen , zodat je niet automatisch denken over je rookgedrag te veranderen . Je nodig hebt om een afleiding te vinden, om na te denken over iets anders.
Tutoriel : Comment utiliser la forge GitLab du labo pour gérer un projet ? (Laboratoire Linux SUPINFO)
Initialiser un nouveau projet :
1. Créer un compte sur la forge : http://code.labo-linux.org/users/sign_up
2. Se connecter : http://code.labo-linux.org/users/sign_in
3. Ajouter votre clé SSH : http://code.labo-linux.org/profile/keys
4. Créer un nouveau projet : http://code.labo-linux.org/projects/new
5. Suivre les instructions de lignes de commande GIT à exécuter pour initialiser le dépôt
Le dossier ainsi créé va suivre les modification de tous vos fichiers. Vous devez maintenant apprendre à utiliser GIT en suivant dans l'ordre cette série de tutoriels : https://www.atlassian.com/fr/git/tutorial

Si la ligne de commande vous rebute, il y a un client multiplateforme extrèmement complet : http://www.syntevo.com/smartgit/download (veillez à prendre la licence complète gratuite à usage non commercial).

Pour que le versionnage soit utile, il faut Commit/Push à chaque fois que quelque chose est complété (comme un bug, une fonctionnalité, etc). Cela évite d'avoir des régressions et de pouvoir faire machine arrière le cas échéant.

Découper son projet en toutes petites étapes :

Cela permet d'y voir plus clair et de savoir par où commencer. Vous augmenterez votre motivation en évitant la paralysie de la feuille blanche.
1. Se rendre sur l'interface Issues de votre projet (les liens sont à adapter) : http://code.labo-linux.org/root/demo/issues
2. Cliquer sur New issue
3. Décrire une tâche de l'ordre de « faire un hello world avec le framework X », « gérer le login/logout », « envoyer un email sur telle action », « créer une page de statistiques » ...
4. Optionnellement, vous pouvez rattacher ces issues à des milestones (c'est un jalon, une version)
Autres fonctionnalités utiles :
1. Dans les champs texte, GitLab gère des symbols actifs comme le "@" (vous suggèrera les pseudos des membres) et le "#" (vous suggèrera vos issues).
2. Préciser le numéro d'une issue dans un message de commit créé un référencement du commit dans l'issue. Exemple : le message de commit "Hello World #1" fera apparaitre un nouveau commentaire "mentionned in commit xxxxxx" dans l'issue n°1.
3. Vous pouvez fermer automatiquement des issues dans vos messages de commit ! À découvrir en lisant ceci : https://about.gitlab.com/2013/09/22/gitlab-community-edition-6-dot-1-released/
Git est un outil extrèmement puissant que vous découvrirez au fur et à mesure de vos besoins. Travailler en équipe requiers une réelle organisation en dehors de l'outil : répartition de tâches, tests préalables avant toute mise en commun pour limiter l'instabilité du logiciel, découpage en jalons, etc.

Vous trouverez des réflexions sur les « workflows » (manière de s'organiser) sur cette page : https://www.atlassian.com/fr/git/workflows

Gestion de projet plus globale

La gestion d'issues proposée par GitLab ne peut pas se soustraire à une gestion d'équipe plus globale. Les Méthodes Agiles que vous découvrirez pendant votre cursus proposent de grands concepts qui évitent à de votre groupe de s'enrayer :
1. Une réunion de départ qui dégage les jalons du projet, c'est à dire un premier découpage de ses grandes étapes qui n'entre pas dans le détail mais permet de fixer des échelles de temps
2. Une revue hebdomadaire obligatoire, qui permet de définir à l'avance un objectif court terme pour l'équipe
3. Un point journalier rapide, même s'il ne s'est rien passé, où chaque membre de l'équipe doit avouer ses difficultés et exprimer ce qui a été fait. Cela permet d'identifier au plus tôt qui a besoin d'aide.
4. Une revue de projet (et une seule) toutes les deux semaines / un mois pour statuer sur l'avancée du jalon en cours ainsi que sur la prévision du prochain.
Cette structuration de l'équipe par des cérémonies ponctuelles dans le temps neutralise l'effet « sous-marin » et permet à chaque membre de l'équipe de savoir où se situent les autres.

L'objectif n°1 de ces méthodes est de faire passer le client et la qualité du logiciel avant toute chose. En itérant régulièrement, votre travail évoluera sur des bases saines car validerez au fur et à mesure qu'il correspond toujours aux attentes du client. La gestion des bugs devient ainsi prioritaire sur les fonctionnalités, si cela est pertinent. Ce fonctionnement est en totale opposition aux cahiers des charges dont le but est de figer un processus jusqu'à son aboutissement.

Les Méthodes Agiles sont un genre de framework qui délimite bien d'autres routines d'équipe qui ne sont pas toujours adaptées à la situation : à vous de prendre ce qui vous plait ! C'est l'essence même de ces méthodes.
Cinelerra, openshot video et kdenlive, le duel (Journaux LinuxFR)
'lut les gens,

Moi les vacances de noël ça me déprime, tout cet étalage de bouffe, de guirlandes et de bons sentiments ce n'est décidément pas mon truc, du coup je me réfugie devant mon ordinateur, ça me vide la tête. Et quoi de mieux que de mettre en concurrence les dernières versions des logiciels libres de montage vidéo sous GNU/linux, à savoir kdenlive 17.12.0, openshot video 2.4.1 et cinelerra 7 qui viennent de sortir récemment.

Commençons par kdenlive, à y regarder de plus près, pas de grosses évolutions, c'est essentiellement une version dite de maintenance avec le changelog qu'on peut découvrir par là https://kdenlive.org/2017/12/kdenlive-17-12-0-released. On nous promet par contre une version majeure 18.04 pour la nouvelle année avec une timeline retravaillée et des fonctionnalités nouvelles. Wait and see, mais j'espère toujours retrouver la fluidité de travail que j'avais quand kdenlive n'était pas encore passé à KF5. La force de kdenlive reste la richesse de ses fonctionnalités et de ses effets, on peut regretter que ce soit aussi mal documenté, il faut vraiment passer du temps pour tirer toute la quintessence du logiciel, fort heureusement on peut trouver pas mal de docs sur le net dès lors qu'on s'y donne la peine (et qu'on maîtrise un tant soit peu l'anglais !)

Passons à OpenShot Video Editor, bien qu'on soit passé d'une version majeure en passant de la 1.4 à la 2.4.1, l'évolution au niveau interface n'est pas très sensible, il faut reconnaitre toutefois que c'est maintenant bien plus stable et pleinement fonctionnel. Au niveau des fonctionnalités c'est quand même très en retrait par rapport à kdenlive, notamment au niveau des effets, des images clés et d'un tas d'autres fonctions (stabilisation des images, recadrage et autres zooms), mais c'est très largement suffisant pour un montage simple. La force d'Openshot c'est son interfaçage avec inkscape et blender pour les titres animés ainsi que ses transitions au point que je passe souvent d'openshot vers kdenlive pour certains bouts de séquences. Par ailleurs contrairement à kdenlive on arrive à monter et à jouer sur les effets en restant en HD, avec kdenlive je suis obligé de passer en clips intermédiaires en dégradant les rushs pour faire le montage, malgré mon i7 avec 16Go de RAM.

Terminons par cinelerra, la dernière version 7 apporte une meilleure prise en compte des vidéos de haute définition et du codec HEVC/x265, ainsi que la prise en compte des caméras sphériques, il y a une vidéo de démonstration par ici https://www.youtube.com/watch?v=zEQ4Cve3_-M . Bon à part ça, c'est toujours vraiment une galère pour le compiler. Une fois qu'on a passé cette difficile étape, à l'utilisation l'interface reste tout aussi brouillonne, vieillotte ça rappelle le X11/Motif dont beaucoup ici n'ont jamais entendu parlé, c'est un peu usine à gaz et ça ne donne vraiment, mais vraiment pas envie de s'y mettre d'autant que maintenant kdenlive l'a largement rattrapé en terme de fonctionnalités et de stabilité tout en offrant une interface bien plus conviviale.

J'ai quand même noté qu'il existait un fork d'une version Community Version par là https://cinelerra-cv.org/index.php je n'ai pas pris le temps de la tester. Je devrais, car l'interface semble plus sympathique et ça pourrait être un concurrent sérieux.

Pour résumer, nous avons Openshot Video plutôt destiné aux débutants qui ont juste besoin de mettre quelques séquences bout à bout, kdenlive pour les plus expérimentés qui prennent le temps de monter et de faire des vidéos plus complexes et travaillées et cinelerra pour les masochistes :-). Bref un constat qui est loin d'être un scoop mais qui m'a permis un temps d'oublier la bûche, le sapin de noël et l'ambiance gnangnan qui va avec.
Télécharger ce contenu au format Epub

Lire les commentaires
LinuxFr.org : première quinzaine de juin 2018 (Journaux LinuxFR)
Nonante-huitième épisode dans la communication entre les différents intervenants autour du site LinuxFr.org : l’idée est tenir tout le monde au courant de ce qui est fait par les rédacteurs, les admins, les modérateurs, les codeurs, les membres de l’association, etc.

L’actu résumée ([*] signifie une modification du sujet du courriel) :

Statistiques

Du 1^er au 15 juin 2018
- 1528 commentaires publiés (dont 8 masqués depuis) ;
- 248 tags posés ;
- 80 comptes ouverts (dont 6 fermés depuis) ;
- 35 entrées de forums publiées (dont 0 masquée depuis) ;
- 20 liens publiés (dont 1 masqué depuis) ;
- 21 dépêches publiées ;
- 25 journaux publiés (dont 1 masqué depuis) ;
- 3 entrées nouvelles, 1 corrigée dans le système de suivi ;
- 1 sondage publié ;
- 0 pages wiki publiées (dont 0 masquée depuis).
Listes de diffusion (hors pourriel)

Liste webmaster@ - [restreint]
- R.A.S.
Liste linuxfr-membres@ — [restreint]
- [membres linuxfr] Bouffe des 20 ans le 28 juin à Paris
Liste meta@ - [restreint]
- [Meta] Incident du jour sur SSL/TLS
- [Meta] Quel avenir pour la tribune ?
Liste moderateurs@ - [restreint]
- [Modérateurs] certificat linuxfr expiré
- [Modérateurs] Incident du jour sur SSL/TLS
- [Modérateurs] Certificat SSL
- [Modérateurs] où se trouvent les CSS de Linuxfr [*]
- [Modérateurs] forum - bug pour s'inscrire ?
Liste prizes@ - [restreint]
- [Prizes] LinuxFr prizes recap du samedi 9 juin 2018, 13:35:23 (UTC+0200)
- [Prizes] J'ai gagné un livre!
Liste redacteurs@ - [public]
- [Rédacteurs] Incident du jour sur SSL/TLS
Liste team@ - [restreint]
- [team linuxfr] Certificat SSL du site linuxfr.org expiré
- [team linuxfr] Tweet de Laurent Jouanneau (@ljouanneau)
- [team linuxfr] Incident du jour sur SSL/TLS
- [team linuxfr] Purge du compte X [*]
- [team linuxfr] réouverture de compte
- [team linuxfr] Organisez des événements dans le cadre de la Fête des Possibles, du 15 au 30 septembre 2018
Liste webmaster@ — [restreint]
- R.A.S.
Canal IRC adminsys (résumé)
- certificat X.509 périmé (encore merci à tous ceux qui l'ont signalé), passage à Let's Encrypt et communication post-incident
- renouvellement du domaine (encore merci Yann)
- dernière version de Jessie (8.11) prévu le 23 juin, et ensuite passage en fin de vie
- question relative à la configuration DMARC de la liste Sympa des modérateurs qui change le From de l'émetteur dans certains cas
- rachat de GitHub par Microsoft et dépôts LinuxFr.org. Faut-il bouger et pourquoi.
- Let's Encrypt et HTTP en clair pour le renouvellement ? Voir par exemple la discussion
- discussion sur les aspects sécurité de l'affichage distant d'images sur la tribune
- « 20 ans le bel âge pour mourir », ah non ça parle de Yahoo Messenger, pas de nous
- 20 ans du site et POSS en décembre ?
- courriels envoyés pour préparer les entretiens des 20 ans
- peu de présents aux RMLL dans l'équipe. Snif. Me laissez pas tout seul.
- travaux en cours pour nettoyer le dépôt git d'admin (avec des fichiers générés par ansible notamment). Sans oublier de finaliser la partie Let's Encrypt…
- toujours un conteneur à migrer en Jessie, et ensuite trois en Stretch. Et aussi un hôte Trusty à mettre à jour.
Tribune de rédaction (résumé)
- idée de dépêche : NetHammer (finalement parue sous forme de lien)
- avis de grand calme
Tribune de modération (résumé)
- peu de présents aux RMLL dans l'équipe. Snif. Me laissez pas tout seul.
- du spam
- améliorations de CSS proposées par voxdemonix
- les admins du site ont des facilités techniques pour traquer les spammeurs et les multis, par rapport aux modérateurs
- retour des Geek Faeries
Commits/pushs de code https://github.com/linuxfrorg/
- (springcleaning) admin-linuxfr.org en cours de conversion vers Ansible
- Allow users to choose the source for their tribune smileys in prefere…
- Add a border for missing title on images
- Fix max height for image on computer screen
Divers
- Geek Faëries, c'était du 1^er au 3 juin : conférence « LinuxFr.org, 20 ans que ça geeke » et table ronde « Ces plates‐formes du Libre qui soutiennent les communautés » avec l'Agenda du Libre et En Vente Libre. Encore plein de mercis à Bookynette pour le Village du libre, à l'équipe organisatrice des GF, et à Marco et Marius pour l'hébergement.
- RMLL 2018 Strasbourg : conférence LinuxFr.org : les 20 ans d'un espace d'apprentissage, de communication et d'échange, table ronde Ces plateformes du Libre qui soutiennent les communautés (même thème que celle tenue aux Geek Faëries) et stand
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur

Choix ou obligation : quelle licence pour publier un projet ? (Laboratoire Linux SUPINFO)
Selon la loi en vigueur en France, tout ce que vous créez vous attribue un droit moral perpétuel inaliénable et imprescriptible. Les droits d'utilisation, de modification ou de partage sont accordés indépendamment.

Toute publication sans mention particulière relève ainsi uniquement du droit d'auteur (« Tous droits réservés »). Si vous pensiez permettre à d'autres étudiants de découvrir vos travaux (sources, tutos) et de pouvoir s'en servir simplement en les publiant, vous les exposez à des risques légaux en cas de réutilisation de leur part (lucrative ou non) sans votre consentement explicite.

Car il faut également savoir que toute publication sur un élément de l'infrastructure mise en place par SUPINFO réserve à l'établissement les droits d'exploitation les plus étendus sur vos travaux (rubrique Propriété intellectuelle / droit d'auteur).

En revanche, rien n'est prévu à destination des étudiants. Si vous souhaitez permettre la réutilisation de vos publications vous devez donc choisir une licence permissive et l'appliquer correctement.

Vous pouvez visiter le comparatif mis en place par GitHub sur http://choosealicense.com/
Migrer Windows 10 d'un disque BIOS/MBR, vers un SSD en mode UEFI/GPT avec des logiciels libres (Journaux LinuxFR)
Sommaire
Introduction

Ce tutoriel vous guide pas à pas pour migrer votre installation de
Windows qui est actuellement sur un disque dur de votre PC vers un
nouveau disque, en l'occurrence un SSD. A vrai dire, vous pouvez aussi
bien migrer vers un autre HDD.

La spécificité de ce tutoriel est qu'elle utilise les outils fournis par
Microsoft avec Windows ainsi que des logiciels libres (Clonezilla
principalement, mais si quelque chose devait mal tourner vous pouvez avoir
besoin d'utiliser fdisk, gdisk ou testdisk pour ne citer qu'eux). Quand
j'ai voulu faire cette migration je n'ai pas trouvé de tutoriel
expliquant de bout en bout comment faire cette migration juste avec les
outils de Microsoft et des logiciels libres.

Typiquement, vous pouvez avoir envie/besoin de faire cela car vous avez
acheté un nouveau disque pour remplacer l'ancien (par exemple car
l'ancien montre des signes de faiblesse, ou vous voulez améliorer la
réactivité de votre système).

En plus de la migration du système d'exploitation, ce tutoriel vous
explique comment passer d'un démarrage en mode BIOS/MBR à un démarrage
en mode UEFI/GPT.

Succinctement la démarche est la suivante, d'abord installer le nouveau
disque dans le PC, et initialiser la table de partition selon les normes
Microsoft. Puis cloner/dupliquer la partition contenant le système
d'exploitation à l'aide de Clonezilla. Ensuite et avant de redémarrer
dans le clone de Windows sur le SSD, faire quelques modifications dans
le registre pour que la lettre de lecteur C: pointe vers la bonne
partition et éventuellement modifier le mode SATA en AHCI si vous le
modifiez aussi dans le UEFI/BIOS. Après cela, on va préparer la
partition système EFI/ESP pour que le PC puisse démarrer dessus et qu'il
démarre sur le Windows du SSD. Finalement, une fois dans le Windows du
SSD, on va réactiver l'"environnement de récupération de Windows".

Mise en garde : Faites une sauvegarde de vos données avant toute
opération. Personne n'est à l'abri d'une mauvaise manipulation ou d'une
erreur.

Prérequis

Compétences

Niveau de difficulté : Difficile.

Vous devez être à l'aise au niveau de l'utilisation de la ligne de
commande dans Windows, mais aussi assez à l'aise pour gérer les
partitions de votre disque. Savoir modifier le paramétrage de votre
Firmware UEFI/BIOS et aussi nécessaire. Ce tutoriel guide pas à pas pour
la majorité des opérations. Certaines n'ont pas été détaillées par souci
de simplicité et d'efficacité.

Matériel

Le PC où vous voulez installer le SSD. Il faut qu'il soit en état de
marche. De plus il doit avoir un firmware UEFI. S'il n'a que un BIOS
standard, sans UEFI, ce tutoriel n'est pas adapté.

Clé(s) USB ou plusieurs CD/DVD sur lequel vous aurez mis
Clonezilla, System rescue
CD et un environnement de démarrage
Windows PE, ou Windows RE, ou le DVD/Disque d'installation de Windows.

Le disque SSD (testé avec Samsung SSD 860 EVO 250GB). Il doit avoir une
taille suffisante pour contenir votre partition de Windows. Dans tous
les cas, la taille de la partition qui contiendra Windows sur le SSD
doit être au moins égale à la taille de la partition Windows du HDD que
vous voulez cloner. Au besoin, pour remplir ce critère, réduisez la
taille de votre partition Windows avec le gestionnaire de disque de
Windows par exemple (ou un autre outil de gestion de partition, comme
gparted, sur le System Rescue CD). Cherchez sur internet si vous ne
savez pas comment faire.

Logiciel

Windows 10 installé (en version 64 bits) (testé avec Win10 v1709)

Windows 10 PE ou support d'installation de Windows 10 (clé USB ou DVD) -
En Version 64 bits (testé avec un support d'installation de Win10 v1804)

System rescue CD (version 5.2.2 par
exemple)

Clonezilla installé sur une clé ou un CD.
Bien vérifier avant que votre système arrive à démarrer dessus. (Testé
avec Clonezilla 2.5.5-38)

Nomenclature

SSD : désigne le nouveau SSD

HDD : désigne votre disque actuel, sur lequel est installé Windows

WinPE : un environnement de démarrage Windows PE, ou Windows RE, ou le
DVD/Disque d'installation de Windows. Il doit être sur un support
amovible (USB, CD ou DVD)

S: La lettre de lecteur affectée à la partition Système EFI qui sera sur
le nouveau SSD (parfois appelée ESP, EFI_System_Partition ou encore
SYSTEM, ou EFI)

N: Le clone de Windows, sur le SSD

O: Le Windows cloné, sur le HDD

C: La partition dans laquelle est installée Windows, lorsqu'on est dans
Windows (que ce soit le windows cloné, ou le clone)

Les commandes doivent être lancées en tant qu'administrateur.

Procédure de base
- Fixer et brancher le SSD dans l’ordinateur
- Désactiver Windows FastStart (cf votre moteur de recherche préféré)
- Initialiser et partitionner le disque à l'aide de Windows
  - Démarrer sur le Windows installé ou WinPE
  - Pour initialiser le disque, d'abord créer une table de partition, puis partitionner le disque. Pour ce faire :
    - Suivre les instructions de partitionnement UEFI/GPT selon Microsoft. Ci-dessous mon exemple, mais peut-être avez-vous besoin d'une partition "recovery" aussi, ou votre configuration nécessite quelques aménagements. Dans ce cas, voir les instructions de Microsoft et adapter pour vos besoins.
    - Par exemple: une partition EFI de 260Mo, une partition Microsoft Reserved (MSR) de 16Mo, une partition pour Windows (taille au moins égale à la taille de la partition de Windows à cloner). Pour informations, dans diskpart, les tailles que vous donnez en MB/Mo sont en réalité des MiB/Mio (2²⁰ = 1024² octets).
      
      Ouvrir une invite de commande en mode administrateur et lancer diskpart . Et une fois dans diskpart :
      
      list disk pour lister les disques et connaître le n° du SSD.
      
      select disk # avec le numéro du SSD à la place de #
      
      clean Supprime le contenu du disque / l'initialise
      
      convert gpt Définit que le disque aura une table de partition GPT
      
      create partition efi size=260 Crée une partition EFI de 260MiB
      
      format quick fs=fat32 label="System" Formater la partition EFI au format FAT32
      
      assign letter="S" Lui donner la lettre S
      
      create partition msr size=16 Créer une partition Microsoft Reserved de 16MiB
      
      create partition primary Créer la partition pour Windows (l'équivalent du C: )
      
      format quick fs=ntfs label="Windows" Formater la partition pour Windows au format NTFS
      
      assign letter="N" Lui donner la lettre N
      
      list volume Liste les volumes. Permet de voir la table de partition.
      
      exit Quitte diskpart
- Cloner le Windows installé sur le HDD. Ceci sera fait à l'aide de
  Clonezilla
  - Redémarrer dans Clonezilla
  - Une fois dans clonezilla, et si vous êtes confortable avec les lignes de commande Linux, éventuellement supprimer de la partition Windows du HDD les fichiers pagefile.sys , hyberfil.sys (désactiver windows faststart avant), swapfile.sys .
  - Cloner la partition Windows du HDD vers le SSD (de préférence, partition de même taille, et de toutes façons, la partition de destination doit être plus grande que la source. Si ce n'est pas le cas, réduisez d'abord la taille de votre partition Windows depuis Windows). Dans clonezilla, utiliser le mode Partition vers Partition, et en mode Export. Utiliser les options -e1 auto (automatically adjust file system geometry for a ntfs boot partition if exists) -e2 (sfdisk uses CHS of hard drive from EDD (for non grub loader) -r (resize filesystem to fit partition size of target) -m (do NOT clone boot loader) -v (verbose)
  - Optionnellement cacher la partition contenant le windows source de la table de partition du disque source (si vous ne savez pas à quoi ça sert, passez votre chemin). Pour cela modifier le type de partition de la partition NTFS de windows (en principe, NTFS a un id de « 7 ». On peut utiliser id 17 pour la partition cachée : 17 correspond à « IFS Hidden »). Utiliser cfdisk ou fdisk pour faire ce changement (ce sont des programmes linux).
- Dans le Firmware UEFI (ou BIOS-UEFI), on peut en profiter pour passer
  du mode SATA "IDE" vers "AHCI". Windows n'aime pas ce changement et
  il faut donc faire une opération dans le registre qui est
  détaillée ci-dessous. Tant que vous ne le faites pas, vous aurez un
  écran de plantage bleu de windows au démarrage (BSOD).
- Si vous voulez être sûr de ne pas faire de bêtise dans le Windows que
  vous venez de cloner, je vous conseille d'éteindre l’ordinateur & de
  débrancher l’ancien disque. Ainsi vous ne risquez pas de modifier le
  mauvais fichier de registre (en l'occurrence celui de votre Windows
  sur le HDD)
- Effectuer quelques opérations sur le Windows de destination (celui
  sur le SSD) avant qu'on ne démarre dessus. En particulier corriger le
  registre pour affecter la lettre de lecteur C: à la bonne partition,
  et si le paramétrage du Firmware UEFI (BIOS-UEFI) a été modifié pour
  passer de SATA Mode PCI vers AHCI, on va aussi faire ce changement
  pour que ca fonctionne.
  - Redémarrer dans WinPE (en Mode UEFI, pas MBR !)
    - Tout d'abord déterminer la lettre de lecteur affectée au clone de Windows, celui qui est sur le SSD. Ou, s'il n'y a pas de lettre affectée, lui en donner une, par exemple N: (lettre utilisée dans les exemples qui suivent)
      
      Pour cela, lancer dans diskpart
      
      list volume
      Ce qui retourne la liste des volumes avec la lettre de lecteur qui a été affectée à chacun.
      
      Si aucune lettre de lecteur n'est affectée, il faut alors lui en affecter une. Pour cela, lancer dans diskpart
      
      select volume # (avec # étant le numéro du volume qui contient le nouveau windows)
      
      assign letter=N
      S'il n'est pas possible d'utiliser select volume alors faire comme ceci
      
      list disk
      
      select disk # (# étant le numéro affecté au SSD)
      
      list partition
      
      select partition # (# étant le numéro affecté à la partition de Windows sur le SSD, probablement 3)
      
      assign letter=N
    - Faire un CHKDSK /F sur la lettre du nouveau Win
    - Pour que la partition C: utilisée par Windows soit celle du SSD et pas celle de l’ancien disque, modifier une clé de registre du nouveau Windows :
      
      Lancer REGEDIT et dans le registre HKEY_LOCAL_MACHINE monter la ruche N:\Windows\System32\Config\SYSTEM . Lui donner le nom "NewWin" On s’intéresse à HKEY_LOCAL_MACHINE\NewWin\MountedDevices . Ce sont là les valeurs qui sont dans le registre " HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices " lorsqu'on est dans l'installation de Windows.
      
      Dans HKEY_LOCAL_MACHINE\NewWin\MountedDevices modifier la lettre de lecteur C: en renommant \DosDevices\C: par \DosDevices\O: (car la valeur fait référence à la partition de l'ancien Windows sur le HDD et on ne veut pas, en démarrant, utiliser cette partition mais celle de son clone qui est sur le SSD). Ainsi, lorsqu'on démarrera dans le nouveau Windows, la partition contenant le Windows sur le HDD aura la lettre O:, et la partition contenant le Windows sur le SSD aura la lettre C:
      
      Créer une nouvelle valeur binaire nommée \DosDevices\C: et lui donner comme contenu celui de \DosDevices\N: qui est renseignée dans le registre WinPE, c'est-à-dire là HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices ( C: étant la lettre qu'utilisait le Windows du HDD comme partition où il y a le dossier \Windows )
      
      ATTENTION: Bien vérifier que la copie a fonctionné et qu'il y a les bonnes valeurs, car dans mes essais, j'ai du m'y reprendre à 2 fois car le 1er "coller" ne collait pas ce que je voulais.
      
      En principe c'est tout. Mais d'après certaines sources, il y aurait une clé \\?\Volume{GUID} ayant le même contenu que le \DosDevices\O: qu’on vient de modifier. Chez moi ce n'était pas le cas. Si vous avez une telle valeur, alors il faut lui donner le contenu de \DosDevices\N: depuis le registre WinPE
    - Si en même temps que la migration on veut aussi passer du mode SATA IDE vers AHCI alors il faut encore faire ceci. Cela a été repris du site tomshardware.co.uk
      
      Toujours dans REGEDIT avec la ruche montée en HKEY_LOCAL_MACHINE\NewWin
      
      Aller à HKEY_LOCAL_MACHINE\NewWin\ControlSet000\Services\storahci\StartOverride
      
      Changer la valeur DWORD de 3 à 0.
      
      Au redémarrage, si ça n'a pas été fait, changer la paramétrage du contrôleur SATA de IDE à AHCI. Au redémarrage, Windows devrait directement démarrer correctement et sans plantage (BSOD).
    - Rendre le disque bootable en installant les outils EFI de microsoft et configurant le Magasin BCD (BCD Store)
      
      D'abord assigner une lettre de lecteur à la partition ESP
      
      MOUNTVOL S: /S
      Si ca n'a pas fonctionné, faire comme ceci dans diskpart
      
      list disk
      
      select disk # (# est le numero du SSD retourné par list disk)
      
      list partition
      
      select partition # (# est probablement 1)
      
      assign letter=S
      
      Puis lancer bcdboot N:\windows /l fr-fr /s S: /f UEFI
      
      Où N:\Windows est le répertoire contenant le clone de Windows sur le SSD)
      
      S: = partition EFI
- Redémarrer, et avant le lancement de Windows vérifier votre UEFI
  (ou BIOS-UEFI). Il faut qu'il soit configuré pour démarrer par défaut
  en mode UEFI et pas en mode BIOS. Penser aussi à corriger le
  paramétrage SATA si cela a été modifié dans le registre de Windows.
  
  Le paramétrage du démarrage avec
  bcdboot N:\windows /l fr-fr /s S: /f UEFI a normalement créé le
  magasin BCD, mis tous les fichiers EFI sur la partition SYSTEME (ESP,
  partiton EFI, la 1ère du SSD) et dit au firmware UEFI qu'il doit
  automatiquement démarrer avec le gestionnaire de démarrage
  (boot manager) de Windows.
- Une fois qu’on a réussi à démarrer dans la copie de Windows
  - Réactiver le "FastBoot"
  - Réactiver l'environnement de récupération de Windows en lançant, depuis une ligne de commande avec les droits administrateur, la commande reagentc.exe /enable . Vérifier avec reagentc.exe /info . Et s'il y a une erreur essayer avec reagentc.exe /enable /setreimage /path C:\Recovery\WindowsRE où C:\Recovery\WindowsRE est le dossier où se trouve le fichier Winre.wim
  - Vérifier que tout est en ordre. Eventuellement donner un nouveau nom à votre partition C: (pour la différencier de celle sur le HDD) en lançant: LABEL [drive:][label]
  - Redémarrer encore une fois en laissant le processus de démarrage se faire tout seul pour vérifier que tout est ok.
- Réinsérer l'ancien disque dur.
- Normalement, il devrait être possible de redémarrer dans l'ancien
  Windows, du moment que vous savez comment booter en MBR, et sous
  réserve de ne pas avoir modifié le mode SATA dans le UEFI/BIOS. SI
  c'est le cas, vous pouvez envisager de modifier le registre du
  Windows du HDD, ou de modifier le paramétrage du UEFI/BIOS.
  
  Si vous avez aussi Linux d'installé sur le HDD, il devrait toujours
  être possible de le démarrer en mode BIOS
- On peut diminuer/augmenter la taille de la partition C: du SSD (Pour
  un SSD TLC ou VNAND, on peut par exemple laisser de l’espace libre à
  la fin ~10 % de la capacité du disque d'après le logiciel Samsung
  Magician, pour un SSD 860 EVO)
- En principe, puisqu’on boot en EFI on peut enlever sur le clone
  Windows sur le SSD les fichiers \bootmgr et \Boot\BCD puisque ce
  sont ceux qui étaient utilisés pour un boot en mode BIOS/MBR et que
  désormais on est en EFI. Vous pouvez d'abord les renommer et vérifier
  que ca ne change rien au prochain boot, plutôt que de les supprimer
  tout de suite.
Quelques pistes si ça ne fonctionne pas…
- Faire un chkdsk sur la nouvelle partition
- Recréer le bootsector du NTFS avec testdisk (dispo sur System Rescue CD, mais peut être aussi dans Clonezilla ? Je n'ai pas vérifié)
- Vérifier le BCD:
  - On peut vérifier si le Magasin BCD est ok en lançant (en tant qu'administrateur) bcdedit /store s:\EFI\Boot\Microsoft\BCD /enum (Si la partition système n'est pas montée sur S:, lancer Mountvol s: /s
    - Doc BCDEDIT (sur la page, il y a aussi les liens vers bcdboot (initialise BCD et copie fichiers de démarrage sur la partition systeme) et bootsect (pour basculer entre NTLDR et Bootmgr)
    - https://msdn.microsoft.com/fr-fr/library/windows/hardware/mt450468(v=vs.85).aspx
    - https://docs.microsoft.com/en-us/windows-hardware/manufacture/desktop/bcd-system-store-settings-for-uefi
- Vérifier que la partition EFI est bien initialisée (présence des fichiers \EFI , \EFI\Boot\ , \EFI\Microsoft\ …) Si ce n'est pas le cas, il y a eu un problème avec bcdboot N:\windows /l fr-fr /s S: /f UEFI
- Vérifier le boot manager du bios (démarrage en UEFI ou MBR ? Gestionnaire de démarrage par défaut ? Présence du gestionnaire de démarrage de Windows ?)
- A priori, pas utile : Commandes à lancer dans WinPE
  - Pour recréer le boot sector de la partition systeme (EFI): bootrec /fixboot
  - Pour chercher les OS sur le disque et les mettre dans le bootloader bootrec /scanos
- Quelques commandes de bcdedit pour modiser la valeur de certains éléments du magasin BCD. Inutile car le BCD Store qui est utilisé lorsqu'on démarre en mode EFI n'est pas le même que celui utilisé dans un démarrage en mode MBR. Donc, pas besoin de chercher à modifier le BCD. Je garde pour info : les lettres sont celles telles que définies dans le système où on est (WinPE par ex). Doc BCDEDIT
  - bcdedit /set {bootmgr} device \Device\HarddiskVolume1
  - bcdedit /set {default} device \Device\HarddiskVolume3
  - bcdedit /set {default} osdevice \Device\HarddiskVolume3
  - Ou à la place de \Device\HarddiskVolume1 mettre les lettres de lecteur :
  - bcdedit /set {bootmgr} device partition=S:
  - bcdedit /set {default} device partition=C:
  - bcdedit /set {default} osdevice partition=C:
Documentation, pour aller plus loin…

A propos du EFI/UEFI:
- La procédure de Boot en cas UEFI ou BIOS est bien décrite ici: https://www.boyans.net/RepairWindows/RepairWindowsBCD.html
- La partition Système EFI: https://wiki.archlinux.org/index.php/EFI\_System\_Partition
- Managing EFI Boot Loaders for Linux: http://www.rodsbooks.com/efi-bootloaders/principles.html
A propos de l'entrée MountedDevices du registre:
http://diddy.boot-land.net/firadisk/files/mounteddevices.htm

Si on veut y accéder, par défaut les fichiers du BCD sont cachés. Pour
les rendre visibles:
- attrib bcd -s -h -r
- mv bcd bcd.bak
- bootrec /rebuildbcd
Documentation bcdedit:
- http://diddy.boot-land.net/bcdedit/
- Concernant les valeurs possibles pour « device » ou « osdevice » dans bcdedit http://www.diddy.boot-land.net/bcdedit/files/device.htm
MBR Partition ID
- NB: Une partition Recovery Windows a un part_id de « 0x27 »: https://www.win.tue.nl/~aeb/partitions/partition\_types-1.html
A propos des disk ID (=Disk signatures):
- http://kb.macrium.com/KnowledgebaseArticle50152.aspx . En principe pas de pb, puisqu’on n’a pas cloné tout le disque mais juste une partition, et que le pb de signature du disque est lié à la copie du MBR (1er secteur du disque {et pas de la partition}). Cela concerne probabement aussi le clonage de la table de partition GPT puisqu'il y a aussi un id dedans…
- Fixing Disk Signature Collisions: https://blogs.technet.microsoft.com/markrussinovich/2011/11/06/fixing-disk-signature-collisions/
Si besoin de supprimer du registre les entrées de disques qui ne sont
pas connectés ou sans lettre assignée lancer: mountvol /R. Ce
programme permet aussi de lister les lettres de volumes avec leur GUID
(GUID pour ce système uniquement, il n’est pas stocké dans la partition,
ni ailleurs sur le disque, il est assigné par windows pour un couple
(signature de disque/partition offset) dans une instance de windows
alors que dans une autre instance de windows la même partition sur le
même disque aura ce GUID différent)

Changer le label du volume: commande LABEL [drive:][label]

Historique de révisions
- Vous trouverez la dernière version de ce tutoriel sur ma page perso
  de tutoriels informatique.
  Vous y trouverez aussi la version HTML, PDF et TXT.
- 2018-06-17 : Ajout d'une note indiquant que ce tutoriel utilise des
  logiciels libres
- 2018-06-11 : Correction de la forme et de fautes d'orthographe
- 2018-05-28
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur
SFR et la censure du Forum (Journaux LinuxFR)
Haaaa qu'elle est belle la société qui gère ma connexion…

OK, le prix est sympa, je dis pas… Si si, en offre 2 téléphones + box, je paye pas des masses. Mais quand vous connaissez un peu la technique, tout à coup vous voyez le visage des censeurs arriver en plongeant une ombre sur vos nuques. La toute puissance de la modération qui vient embraser vos ridicules vies de petits consommateurs Linuxien que vous êtes.

Pour faire au plus simple: la box SFR permet de faire un partage de disque dur via Samba. La Box est sous un UNIX et, miracle, je suis sur Linux (un XBMC à droite, un PC à gauche).

Espérant monter le disque via la vieille commande "mount -t cifs" je me dis "allez, un NAS pour pas cher". Que nenni mon ami, tu es dans l'erreur.

Oui, on arrive à lire le disque. Mais une écriture = Permission Denied. Cherchez pas à me donner des tests de solution, le souci ne vient pas de la commande, mais bien du serveur Samba de la BOX.

En branchant le disque sur le décodeur TV SFR, là pas de souci, hormis le petit souci (vous allez rire hein) que quand le décodeur se met en veille… hop, plus de partage. Mais bon, le serveur Samba du décodeur est OK.

Un coup de "smbclient -L" et je vois la version du serveur, et au passage, l'OS de la box.

Domain=[WORKGROUP] OS=[Unix] Server=[Samba 2.0.10-security-rollup]

La version 2.x date de 2004… passons

Le SAV (sur twitter) me dit d'appeler le service technique, qui lui me répond "samba n'est compatible qu'avec Windows". Ouiiiii bien sûr, et moi ma voiture ne marche qu'avec du foin.

Je reviens vers le SAV qui me dit "postez sur le forum". Et c'est là que ça commence à être vraiment délirant.

Premier post, je le fais avec des pointes d'humour, mais je me dis "allez c'est gentil". PIM! censure… Je relance le post en virant les blagues…. PIM! rebelote.

J'en arrive à poster un message clairement "sans ton", le genre "poker face" de lady Gaga quoi… et pim ! censuré…

Réponse du service de modération, accrochez vous à vos sièges:

"Nous vous rappelons que la publication de messages incitant à des pratiques contraires à la législation n'est pas autorisée."

J'ai vu passé un corbeau derrière ma tête…

Et donc, depuis hier soir, je m'amuse à détecter la suppression du post pour le rebalancer sur le forum.

Le message:
http://forum.sfr.fr/t5/Aide-et-d%C3%A9pannage/Samba-CIFS-et-UNIX/m-p/1293225

5 iéme message censuré, je le reposte en attendant que le service de modération m'explique quel partie du message est contraire à la legislation comme le stipule leur mail après suppression

Box de SFR, type UNIX (c'est important)
Mediacenter XBMC type UNIX (testé avec OpenElec et Raspbmc)
Protocole de communication de partage de fichier Samba

Création de point de montage:

mount -t cifs //BOX/NAS /mnt/NAS -ouser=guest (testé avec plusieurs méthode d'authentification, options de mask etc…)

Lecture OK
Ecriture = "Permission Denied"

Branchement du disque que le décodeur, même opération mais "Ecriture OK"

Réponse du SFR (twitter SAV et Service Technique): ce n'est pas compatble avec UNIX et UNIX Like.

J'insiste… Windows n'est pas un UNIX (ou Unix Like)… Windows est "compatible" avec le protocole Samba utilisé par la BOX.
Donc, pour clarifier: Mac et Linux sont bien plus compatibles avec le service Samba de la BOX que Windows puisque nous utilisons le même logiciel pour le protocol de partage.

Version utilisé par la BOX:
Domain=[WORKGROUP] OS=[Unix] Server=[Samba 2.0.10-security-rollup]

Version datant de 2004.

Réponse du service technique: "nous n'avons pas prévu de mise à jour pour Samba d'ici les prochains mois"

Le problème existe depuis le changement de protocol FTP vers Samba (2 ans si je ne me trompe pas).
La version 2 de Samba contient énormément de bugs et de failles même en applicant les patches.

Etant donné que le décodeur permet l'écriture, et pas la BOX, j'estime que la box a un Bug de configuration de service Samba.

Je ne peux pas utiliser le décodeur comme NAS puisqu'il se met en veille régulièrement.

Sur le forum SFR, des utilisateurs Mac se plaignent aussi de bugs du protocol, les utilisateurs XBMC (contenu dans énormément de media center) ne pourront pas écrire sur le disque, et tous les utilisateur Linux (y compris Android) ne peuvent créer de point de montage.

Merci de nous expliquer pourquoi vous ne mettez pas à jour le service Samba pour qu'il soit compatible avec l'ensemble des clients réseaux.

PS: je réitère, Windows n'est pas l'OS le plus compatible avec ce service, c'est l'inverse

Résultat des courses, je pense que je vais aller voir ailleurs. Non pas parce que le bug persiste, non non, mais pour la manière dont SFR traite son client.

Clairement, me dire que Samba n'est pas compatible avec Linux, c'est déjà fort, mais censurer un message parce que ça les gène de pas savoir répondre…
Télécharger ce contenu au format Epub

Lire les commentaires
Réduire la latence des connections TCP, enfin (Journaux LinuxFR)
La plupart des interactions avec les sites web se font avec des échanges très court: un paquet pour la requête, un ou deux paquets pour la réponse, comme l'échange est très court, l'ouverture de la connexion avant l'échange ajoute une latence très importante.
Il n'est pas si simple d'éviter cette durée de connexion sans réduire la sécurité (il faut valider l'adresse de l'émetteur, autrement on est vulnérable à l'usurpation d'adresse source: T/TCP n'est pas utilisé à cause de ce problème), ni utiliser trop de ressource sur le serveur (maintenir des sessions TCP ouverte en permanence avec l'option keep-alive doit être restreint autrement cela consomme trop de ressources sur les serveurs).

L'alternative "évidente", que j'attendais depuis longtemps, est l'utilisation d'une connexion anticipée pour récupérer une clef cryptographique afin de pouvoir réutiliser cette clef ensuite: cela permet d'avoir des "pseudo connexions" permettant un échange rapide avec peu d'utilisation de ressource sur le serveur, et bonne nouvelle Google travaille dessus!

Ceci est détaillé de manière très claire (comme d'habitude) sur le blog de Stephan Bortzmeyer: http://www.bortzmeyer.org/tcp-ouverture-rapide.html

Lire les commentaires
Faille Lazy FPU state restore (Dépêches LinuxFR)
Intel est de nouveau confronté à la découverte d’une faille, le Lazy FPU State Restore flaw.
Cette fois, seule la famille des Intel Core serait concernée.
- lien n°1 : Explication des inventeurs
- lien n°2 : La mécanique Lazy FPU state restore expliquée par les équipes NetBSD
- lien n°3 : Le message de Linus lors du passage en mode eager
- lien n°4 : Annonce officielle de FreeBSD
Sommaire
Le FPU

Le FPU, c’est le bordel, par Ingo Molnar

L’unité de calcul en virgule flottante, le FPU, possède une série de registres qui lui permet de « définir » son état courant. Lors du basculement d’une tâche à une autre (context switching), cet état est alors restauré pour retrouver un contexte correspondant au processus en cours. Ces opérations peuvent être coûteuses car les registres du FPU sont plus gros que les autres, c’est pourquoi les FPU fournissent une option pour désactiver toute opération en virgule flottante (CR0:TS). Aussi, dès qu’un calcul en virgule flottante est appelé, une exception est lancée pour « réveiller » le FPU avant de lancer l’opération normalement.
Lorsque cette exception (fpudna, FPU Device Not Available) se produit, un « gestionnaire de contexte FPU » vérifie quel processus a la main sur le FPU à ce moment‐là.
S’il s’agit d’un autre processus, il procède à la sauvegarde puis la restauration des registres, ou s’il s’agit d’un nouveau contexte, la sauvegarde puis le nettoyage des registres ; sinon, il ne fait rien : c’est le mode « paresseux » (lazy). À la sortie du processus, il ne faut pas oublier de « nettoyer » ces tables et de (re)lever tous les drapeaux liés à cette exception.

En mode eager (zélé, volontaire), la sauvegarde et restauration des registres associés au FPU est effectuée quoiqu’il advienne, au moment du changement de tâche et non durant l’exécution de la tâche qui vient de prendre la main.

Le bâton

Au fil des années, les processeurs ont multiplié les registres pour prendre en charge les instructions de type SIMD, soit une instruction capable de procéder au même calcul sur un ensemble de paires de données.

Les registres SSE, AVX et MMX restent associés au FPU et seront donc intégrés au mécanisme de sauvegarde et restauration… et ils peuvent contenir jusqu’à 2 048 bits de données, rien que sur l’AVX.
```
[    0.000000] Linux version 4.14.48-intel-pk-standard (oe-user@oe-host) (icc version 18.0.2 (gcc version 7.3.0 compatibility)) #2 SMP PREEMPT Wed Jun 20 13:21:48 UTC 2018                                                              
[    0.000000] x86/fpu: Supporting XSAVE feature 0x001: 'x87 floating point registers'                               
[    0.000000] x86/fpu: Supporting XSAVE feature 0x002: 'SSE registers'                                              
[    0.000000] x86/fpu: Supporting XSAVE feature 0x008: 'MPX bounds registers'                                       
[    0.000000] x86/fpu: Supporting XSAVE feature 0x010: 'MPX CSR'                                                    
[    0.000000] x86/fpu: xstate_offset[3]:  576, xstate_sizes[3]:   64                                                
[    0.000000] x86/fpu: xstate_offset[4]:  640, xstate_sizes[4]:   64                                                
[    0.000000] x86/fpu: Enabled xstate features 0x1b, context size is 704 bytes, using 'compacted' format.
```
Pour se faire battre

Par le biais désormais connu de l’exécution spéculative puis de l’analyse de cache, un attaquant pourra lire ces registres depuis un autre processus, voire depuis une machine virtuelle. En effet, en mode lazy la sauvegarde des registres d’une tâche s’effectue au cours de l’exécution d’une autre tâche. La spéculation ignorant le drapeau CR0:TS, tout est alors possible.

Ces registres peuvent contenir des informations sensibles comme des clefs de chiffrement (AES), par le biais des instructions d’accélération matérielle AES-NI.

Delivers Fast, Affordable Data Protection and Security. AHeum.

Colin Percival, ex‐membre de l’équipe sécurité de FreeBSD, a codé un exploit en quelques heures et note, dans un tweet :

« You need to be able to execute code on the same CPU as the target process in order to steal cryptographic keys this way. You also need to perform a specific sequence of operations before the CPU pipeline completes, so there’s a narrow window for execution. »

« Vous devez être en mesure d’exécuter le code de [l’exploit] sur le même processeur que celui de la cible pour voler les clefs de cette manière. Vous devrez en outre appliquer une suite précise d’opérations avant que la chaîne de traitement du processeur ne se termine ; de fait, la fenêtre de tir est très étroite. »

Ce qui semble vouloir dire que, pour l’instant, coder le vol de données depuis un script venu du Web n’est pas simple à réaliser. Le temps nécessaire au vol des données des registres est la clef de l’attaque. Il faut le terminer avant que le séquenceur ne préempte la victime et que les valeurs des registres ne soient modifiées.

Pour y arriver, les chercheurs ont utilisé plusieurs méthodes :

Exception

Il s’agit de coder la fuite de données à l’ombre d’une exception, sciemment provoquée, tel un page fault, par exemple. Mais il s’avère que cette solution est trop lente pour récupérer tout un jeu de registres.

Intel TSX

Cette mécanique n’est disponible que sur les architectures récentes (à partir de Haswell), ce qui limite l’angle d’attaque. Cette technologie comporte un jeu d’instructions appelé RTM (Restricted Transactional Memory) qui permet d’annuler un bloc d’exécution en cas d’interruption ; il suffit d’y encadrer le code malicieux, qui va innocemment faire appel au FPU, pour lever l’exception fpudna… Ce serait presque « étudié pour ».

Retpoline

Il s’agit au départ d’une contre‐mesure pour Spectre. Elle vise à fourvoyer sciemment le processeur sur l’adresse de retour d’un RET en plaçant une « fausse » boucle et donc le forcer à exécuter de manière spéculative un code innocent. Le code malicieux sera donc placé à cet endroit.

Les correctifs

Le mode lazy semble moins pertinent aujourd’hui. Les gains en performance sont faibles avec les architectures récentes et, surtout, selon les usages actuels. Le FPU étant même beaucoup plus utilisé dans nos logiciels, son usage serait contre‐productif.
En effet, les compilateurs choisissent d’appeler les instructions SIMD (i.e. -sse) pour optimiser le code des logiciels. De fait, ceux‐ci auront de toute façon sauvegardé et restauré les registres du FPU à chaque changement de contexte. La gestion de l’exception sera inutile et va juste alourdir le processus. En outre, l’empreinte d’une sauvegarde et restauration serait moindre que celle de la gestion des drapeaux, des registres et de leurs états suite à l’interruption, le transfert de registres FPU en mémoire étant plus rapide car optimisé.

Il est donc préconisé d’éviter le mode lazy au profit du mode eager.
- Linux propose le mode eager plutôt que le mode lazy depuis la version 3.7 et l’active par défaut depuis la version 4.9 ;
- ajoutez eagerfpu=on sur la ligne de démarrage pour les versions antérieures à la 4.9 ;
- FreeBSD a poussé un correctif pour la Release 11.2 ; c’est un FreeBSD 11.1 qui a servi de cobaye ;
- DragonFly BSD a poussé un correctif dans la version 5.2.2 ;
- Microsoft poussera un correctif en juillet ;
- OpenBSD a poussé un correctif le 14 juin pour la version 6.3 ;
- NetBSD a poussé un correctif le 16 juin sur MAIN ;
- Illumos a poussé un correctif le 19 juin.
Conclusion

Ils ne sont pas à la fête cette année, chez Intel. Le point positif est que la correction de cette faille devrait conduire à une amélioration des performances, voire de la consommation d’énergie.

Theo de Raadt avait prévenu 11 ans auparavant que l’architecture Intel Core 2 promettait ce genre de faille :

« These processors are buggy as hell, and some of these bugs don’t just cause development/debugging problems, but will ASSUREDLY be exploitable from userland code. »

« Ces processeurs sont bogués comme jamais et nombre de ces bogues ne provoquent pas seulement des soucis de développement et d’analyse, mais ils vont assurément être exploitables depuis l’espace utilisateur. »

Pour la petite histoire, l’embargo s’est terminé le 6 juin. Colin Percival, qui assistait à une conférence de Théo de Raadt lors de la BSDCan 2018, a codé un exploit dans la foulée, qu’il n’a pas encore rendu public. Mais il a convaincu Intel de lever l’embargo au plus vite.
Il est notable qu’aucun des deux n’avait été mis dans la confidence ; OpenBSD signale même qu’ils en ont fait la demande (des rumeurs circulaient autour d’une énième version de Spectre), mais sans obtenir de réponse.

Invitation to Embargo? No.
We asked.
No reply.
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur

Rejoindre le labo, entrer en contact avec la communauté (Laboratoire Linux SUPINFO)
Si vous êtes à Caen, Clermont Ferrand, Lyon, Paris ou Rennes, il existe déjà des étudiants qui travaillent en local que vous devriez contacter (cf. le guide des labo de l'an dernier pour retrouver les contacts). Vous devriez aller vous inscrire sur le site de votre campus que vous retrouverez dans cette liste.

Si vous êtes le premier étudiant de ce labo sur votre campus, vous pouvez créer un compte ici même. Si de nombreux étudiants se joignent à vous, il vous sera possible de demander l'ouverture d'un site dédié.

Pour communiquer, nous vous recommandons de rejoindre le réseau de messagerie instantannée décentralisé XMPP, qui repose sur une liste d'amis permanente. Le salon de discussion du labo est : labo-linux@conference.labo-linux.org

Si vous n'avez pas de compte, vous avez la possibilité d'en créer un sur http://xmpp.labo-linux.org Ce client Web offre une interface Responsive pour téléphones ainsi qu'un réseau social. Il existe des clients lourds tels que Gajim, Pidgin ou Adium.
Partager l'écran de son téléphone avec un PC (Journaux LinuxFR)
Dans le cadre d'une présentation que je dois faire la semaine prochaine à l'occasion de la célébration des 20 ans de l'April à Brest, j'ai souhaité trouver un moyen de partager un téléphone android avec un PC, en m'imposant les contraintes suivantes :
- cela doit fonctionner avec n'importe quel téléphone android (pas besoin d'être root ou d'avoir une application quelconque installée)
- cela doit fonctionner avec un PC équipé de debian Gnu/Linux (parce que c'est ce qui équipe les ordinateurs cibles)
- n'utiliser que des logiciels libres
J'ai trouvé un paquet d'outils abandonnés ou ne respectant pas un des critères ci-dessus, finalement je m'en suis sorti avec AndroidScreencast, mais pas en suivant la documentation officielle qui ne m'a pas permis de faire fonctionner l'outil. Je fais donc un journal pour indiquer comment j'ai procédé, ça me permettra de le retrouver quand j'en aurai besoin la semaine prochaine, et ça peut servir à d'autres…

Préparation du téléphone

Il faut activer le debug USB sur le téléphone, pour cela :
- aller dans les propriétés du téléphone
- appuyer plusieurs fois sur « Numéro de version » ou « build number » jusqu'à que s'affiche un message indiquant que le mode développeur est activé
- aller dans les options de développement (le menu a dû apparaître dans les propriétés)
- cocher la case qui va bien
Connexion du téléphone au PC

Installer le SDK android :
```
sudo apt-get install android-sdk maven git
```
Brancher le téléphone au PC avec un câble laissant passer les données, et vérifier que le téléphone est bien vu avec la commande « adb devices » :
```
    $ adb devices
    List of devices attached
    9d5ac4af    device
```
Générer AndroidScreencast

Installer maven et git si besoin :
```
sudo apt-get install android-sdk maven git
```
Récupérer les sources de AndroidScreencast :
```
git clone https://github.com/xSAVIKx/AndroidScreencast.git
```
Générer les cibles :
```
cd AndroidScreencast/
mvn install
```
Le répertoire taget/ contient maintenant un fichier androidscreencast--linux.tar.gz : c'est tout ce dont on a besoin

voir le résultat

Décompresser l'archive générée où on peut, puis lancer l'application :
```
java -jar androidscreencast-0.0.8s-executable.jar
```
Et hop, mieux qu'un simple partage d'écran, on peut carrément contrôler le téléphone depuis son PC !
Télécharger ce contenu au format Epub

Lire les commentaires

La gestion de l'authentification sous Linux avec PAM (Laboratoire Linux SUPINFO)

La gestion de l'authentification sous Linux avec PAM

Note: ce document est le second d'un cycle de trois articles sur l'authentification sur les systèmes Linux. Le premier se trouvant ici et le troisième là.

Il est possible de personnaliser finement tous les aspects de l'authentification des utilisateurs Linux et ce pour chaque application du système.

Linux-PAM

En effet, il a été choisi de centraliser le mécanisme d'authentification système sous Linux pour plusieurs raisons :

afin d'éviter de réimplémenter les mêmes schémas d'authentification dans tous les logiciels.
ne pas avoir à recompiler toutes les applications lors du changement des méthodes d'authentification.
permettre à l'administrateur de choisir quel mécanisme d'authentification chaque application utilise.

Ces raisons ont conduit à la naissance de Linux-PAM (pour Pluggable Authentication Modules, soit en français Modules d'Authentification Enfichables).

Avant PAM, pour pouvoir authentifier un utilisateur, une application faisait appel aux bibliothèques du système (via getpwnam() par exemple) qui la plupart du temps (à moins que NSS ne lui dise d'utiliser une autre source ailleurs) regardaient dans les fichiers /etc/passwd et /etc/shadow pour vérifier l'existence de l'utilisateur et la validité de son mot de passe. Cette technique fonctionnait mais n'était pas très souple pour les raisons évoquées précédemment.

Dorénavant, une application compatible PAM délègue cette tâche à Linux-PAM (via un appel à la PAM-API), et celui-ci, suivant les directives inscrites dans ses fichiers de configuration, autorise ou non l'authentification.

Mais PAM ne s'occupe pas seulement de la vérification du mot de passe. Il offre un total de six primitives d'authentification grâce à des modules fournissant certaines fonctions. Ces primitives sont regroupés dans les quatre catégories que voici :

account	Gère la disponibilité du compte. Cette disponibilité regroupe l'accès au serveur sur lequel est stocké le compte, mais aussi si l'utilisateur est autorisé à utiliser ce compte à ce moment donné et par ce moyen. Par exemple on pourra spécifier qu'il n'est autorisé à se connecter qu'entre 8h30 et 17h00 et seulement en console.
auth	Premièrement, c'est dans cette catégorie que l'on vérifie le moyen d'authentification (le mot de passe, le jeton, etc). Ensuite c'est ici que l'on affecte les credentials de l'utilisateur, c'est à dire ses privilèges et les groupes auxquels il appartient.
password	Les modules classés dans cette catégorie permettent simplement de mettre à jour le jeton d'authentification de l'utilisateur. Cela peut être parce que ce jeton à expiré, ou, si c'est un mot de passe, parce que l'utilisateur veut le modifier.
session	Mise en place de la session Fermeture de la session Pour ces deux aspects, cela prend en compte l'écriture dans les journaux système, l'affichage d'un message personnalisé, l'assignation des variables d'environnement, ou bien encore le montage/démontage de certains lecteurs.

Les fichiers de configuration

La configuration de PAM peut se faire de deux façon différentes. Soit dans un fichier unique nommé /etc/pam.conf ou soit dans une série de fichiers situés dans le répertoire /etc/pam.d. À noter que la présence de ce répertoire fait que PAM ignorera le fichier pam.conf.
La façon la plus claire de faire et aussi la plus répandue est l'utilisation du dossier pam.d et c'est cette méthode que je vais détailler ici.

Chaque fichier du répertoire pam.d gère la configuration du service homonyme. Par exemple le fichier /etc/pam.d/sudo configure l'authentification faite par l'intermédiaire de l'outil sudo.
Il y a cependant une exception à cela. Le fichier /etc/pam.d/other contient la configuration pour les services n'ayant pas leur propre fichier.

Ensuite, ces fichiers sont tous organisés suivant le même schéma. Ils sont composés d'une suite d'instructions qui constituent ce que l'on nomme une pile. Chaque instruction est inscrite sur une ligne et chaque ligne est organisée comme ci-dessous :

catégorie contrôle chemin-du-module arguments-du-module

Ces lignes sont donc empilées les unes au-dessus des autres pour combiner les actions des modules qui les composes. On pourra par exemple avoir une ligne ayant un module d'authentification vers un serveur LDAP, suivi d'une autre avec un module d'authentification vers un serveur Kerberos pour enchaîner ces deux méthodes.

Dans l'instruction d'exemple ci-dessus, la catégorie est choisie parmi celles décrites dans la section précédente (account, auth, password ou session).

Le contrôle est le comportement que la PAM-API doit adopter lorsque le module échoue à sa tâche. Il peut soit prendre la forme d'un simple mot clé, ou soit une forme plus compliquée composée d'une suite de valeur=action entourées de crochets.

Voici les valeurs que peut prendre ce contrôle lorsque c'est un simple mot clé :

required	Si un module `required` échoue, un statut d'erreur sera retourné par la PAM-API, mais seulement après avoir exécuté les autres instructions du fichier ayant la même `catégorie`.
requisite	Comme pour `required` un statut d'erreur est retourné si un module `requisite` échoue, mais cependant la main est directement redonné à l'application appelante sans exécuter les modules suivants de la pile. Le statut d'erreur retourné est celui du premier module `required` ou `requisite` à échouer.
sufficient	Si aucun module précédent n'a échoué et l'exécution de ce module est un succès, les autres instructions de la pile ne sont pas exécutés et la main est redonnée à l'application en lui signalant la validation de l'authentification. Si le module échoue, son statut de retour est ignoré et le reste des instructions de la pile est exécuté.
optionnal	Le succès ou l'échec d'un tel module n'est important que s'il est le seul module de la pile de cette `catégorie`, sinon son statut de retour est ignoré.

Quant à la syntaxe complexe du contrôle, elle a la forme suivante :

[valeur1=action1 valeur2=action2 ...]

Où valeurN correspond au code de retour de la fonction invoquée dans le module. Ce code de retour dépend des modules et est l'un des suivants (pour connaître ceux que peut renvoyer un module, se reporter à la page de manuel de celui-ci) :

success	Succès de l'établissement de la session.
open_err	Le module ne peut pas être ouvert (par exemple il peut ne pas être trouvé).
symbol_err	Un objet nécessaire au module (par exemple un fichier) est introuvable.
service_err	Une erreur interne au module est survenue.
system_err	Une erreur système est survenue (par exemple si l'appel à la PAM-API n'est pas formaté correctement).
buf_err	Une erreur mémoire est survenue.
perm_denied	Une permission d'accès à été refusée à l'utilisateur.
auth_err	L'authentification à échouée. Cette erreur arrive généralement car le jeton (ou mot de passe) est invalide.
cred_insufficient	Pour une raison quelconque l'application n'a pas les privilèges nécessaires pour authentifier l'utilisateur.
authinfo_unavail	Les informations d'authentification sont inaccessibles. Par exemple si ces informations sont sur un serveur LDAP et qu'il y a une coupure réseau, ce statut sera retourné.
user_unknown	L'utilisateur est inconnu.
maxtries	Le nombre maximal d'essais pour l'authentification à été atteint.
new_authtok_reqd	Le compte utilisateur est valide mais le jeton à expiré. L'action généralement faite par l'application suite à ce statut est de demander à l'utilisateur de changer son jeton.
acct_expired	Le compte utilisateur à expiré.
session_err	L'établissement de la session à échouée.
cred_unavail	Impossible de retrouver les credentials de l'utilisateur. Les « credentials » sont tout ce qui identifie de manière unique l'utilisateur, comme par exemple son numéro identifiant, les groupes auquel il appartient, etc.
cred_expired	Les credentials de l'utilisateur ont expirés.
cred_err	Impossible d'assigner ses credentials à l'utilisateur.
no_module_data	Des données spécifiques au module n'ont pas été trouvées.
conv_err	Erreur de conversation.
authtok_err	Le module n'a pas été capable d'obtenir un nouveau jeton d'authentification (par exemple lors du changement de celui-ci).
authtok_recover_err	Le module n'a pas été capable de retrouver l'ancien jeton.
authtok_lock_busy	Le module n'a pas été capable de changer le jeton d'authentification car celui-ci était verrouillé.
authtok_disable_aging	Le vieillissement du jeton (en vue de son expiration) à été désactivé.
try_again	Les tests préalables au changement du jeton d'authentification ont échoués, réessayer plus tard. Ces tests peuvent être par exemple le bon accès au serveur Kerberos si le jeton est un ticket Kerberos.
ignore	Ignorer le résultat de ce module. Il ne participera donc pas au code de retour de la pile de modules.
abort	Erreur critique, sortie du module immédiate.
authtok_expired	Le jeton d'authentification a expiré.
module_unknown	Le module est inconnu.
bad_item	L'application a essayée de définir ou d'accéder à un objet non disponible (un fichier par exemple).
conv_again
incomplete
default	Toute valeur précédemment listée non mentionnée explicitement.

Quant à actionN il peut prendre une des formes suivantes :

ignore	Lorsqu'utilisé sur une pile de modules (donc que ce n'est pas le seul module de cette catégorie), le statut de retour de ce module ne participera pas au choix du code de retour envoyé à l'application.
bad	Cette action indique que le code de retour doit être considéré comme indicatif si le module échoue. Si ce module est le premier de la liste à échouer, sa valeur sera utilisée comme valeur de retour après l'exécution des autres instructions.
die	Équivalent à bad avec comme effet de quitter immédiatement la pile de modules (sans exécuter les modules suivants) et redonner la main à l'application.
ok	Cette action dit à PAM que le statut de retour de ce module doit contribuer directement au code de retour global renvoyé par la PAM-API après avoir lu la pile de modules. Autrement dit, si le statut renvoyé initialement devait être PAM_SUCCESS, le statut de retour du module remplacera cette valeur. À noter tout de même, si l'état initial de la pile était un code d'échec, cette valeur ne serait pas remplacée.
done	Équivalent à ok avec comme effet de quitter immédiatement la pile de modules (sans exécuter les modules suivants) et redonner la main à l'application.
N (un entier non signé)	Équivalent à ok avec comme effet de sauter les N modules suivants de la pile. Un N égal à 0 n'est pas permis (et serait égal à ok).
reset	Efface le statut de retour de la pile de modules et recommence avec le prochain module.

En sachant cela, les quatre mots clés de la forme simple (required, requisite, sufficient et optionnal) peuvent se représenter de la façon suivante avec la syntaxe complexe :

required : [success=ok new_authtok_reqd=ok ignore=ignore default=bad]
requisite : [success=ok new_authtok_reqd=ok ignore=ignore default=die]
sufficient : [success=done new_authtok_reqd=done default=ignore]
optionnal : [success=ok new_authtok_reqd=ok default=ignore]

L'élément suivant des instructions est le chemin-du-module qui peut être soit le chemin complet vers le module, ou soit le chemin relatif depuis le dossier par défaut des modules (cela peut être par exemple /lib/security, /lib64/security, /lib/x86_64-linux-gnu/security/, etc).

Enfin, on termine les instructions par les argument-du-module. Pour les connaître, il faut consulter la page de manuel du module en question. Les arguments étant séparés par des espaces, afin de pouvoir placer un espace dans un argument, il faut entourer celui-ci de crochets.

Les modules

Les modules sont au cœur du système PAM. C'est grâce à eux que l'on peut définir le schéma d'authentification. Ils s'occupent chacun de la gestion d'un mécanisme d'authentification spécifique.
Voici une liste des modules les plus communs :

Nom	Catégories compatibles	Description courte
pam_access.so	Toutes	Détermine l'endroit depuis lequel l'utilisateur à le droit de se connecter (en local, depuis telle adresse IP, etc...)
pam_debug.so	Toutes	Aide à débugger le comportement de PAM en renvoyant le code de retour demandé par l'utilisateur.
pam_deny.so	Toutes	Refuser l'accès de l'utilisateur. On invoque généralement ce module après avoir essayé les autres méthodes d'authentification.
pam_echo.so	Toutes	Retourne un message texte personnalisé.
pam_env.so	Auth Session	Permet de définir les variables et de supprimer les variables d'environnement de la session utilisateur.
pam_exec.so	Toutes	Exécute une commande personnalisée.
pam_faildelay.so	Auth	Change le délais d'attente avant de considérer l'authentification comme un échec pour une application.
pam_filter.so	Toutes	Peut se placer pour filtrer les entrées/sorties entre l'utilisateur et l'application. Il peut par exemple forcer les minuscules surt tout ce que l'utilisateur écrira une fois loggé. Ne fonctionne cependant que pour les tty et les applications basées sur stdin/stdout.
pam_ftp.so	Auth	Permet de se connecter à un serveur FTP.
pam_getenv.so		Récupère les variables d'environnement depuis le fichier `/etc/environment`.
pam_group.so	Auth	Assigne à l'utilisateur les groupes auquel il appartient.
pam_issue.so	Auth	Affiche le contenu d'un fichier issue (par défaut `/etc/issue`) avant le prompt de l'utilisateur.
pam_krb5.so	Toutes	Permet l'authentification via un serveur Kerberos.
pam_lastlog.so	Session	Affiche une ligne d'information sur la dernière connexion de l'utilisateur.
pam_ldapd.so	Toutes	Permet l'authentification via un serveur LDAP.
pam_limits.so	Session	Permet de limiter l'usage des ressources système à l'utilisateur (charge CPU, nombre maximal de processus, etc).
pam_listfile.so	Toutes	Accepte ou refuse l'authentification des utilisateurs en fonction du contenu d'un fichier.
pam_localuser.so	Toutes	N'accepte que les utilisateurs listés dans le fichier `/etc/passwd`.
pam_loginuid	Session	Applique l'UID de l'utilisateur au processus demandant l'authentification.
pam_mail.so	Auth Session	Affiche un message si l'utilisateur a de nouveaux emails.
pam_mkhomedir.so	Session	Créé le répertoire de l'utilisateur ci celui-ci n'existe pas.
pam_motd.so	Session	Affiche le message du jour (par défaut le contenu du fichier `/etc/motd`).
pam_mount.so	Auth Session	Donne la possibilité de monter un disque local ou distant à l'ouverture de la session utilisateur.
pam_mysql.so	?	Permet l'authentification via un serveur MySQL.
pam_namespace.so	Session	Créé un espace de nommage pour la sessions (voir plus de détails dans la page de manuel du module).
pam_nologin.so	Account Auth	Empêche les utilisateurs non-root de se connecter.
pam_permit.so	Toutes	Module qui autorise tout le temps l'accès. À utiliser avec précaution pour des raisons de sécurité.
pam_pwhistory.so	Password	Retient les anciens mots de passe des utilisateurs pour forcer à en avoir un différent lors du renouvellement de celui-ci.
pam_rhosts.so	Auth	Permet l'authentification des utilisateurs sur la machine locale par SSH.
pam_rootkok.so	Auth	Authentifie l'utilisateur sans avoir besoin de rentrer un mot de passe, du moment que son UID est 0 (l'UID de l'utilisateur Root).
pam_securetty.so	Auth	Restreint la connexion de Root aux tty (terminaux) listés dans `/etc/securetty`.
pam_selinux.so	Session	Met en place le contexte de sécurité pour la session qui s'ouvre.
pam_sepermit.so	Account Auth	L'authentification est permise seulement si l'utilisateur possède une entrée dans fichier `/etc/security/sepermit.conf`.
pam_shells.so	Account Auth	Autorise l'authentification seulement depuis les shells listés dans `/etc/shells`.
pam_succeed_if.so	Toutes	Valide l'authentification suivant des tests faits sur les caractéristiques de l'utilisateur (nom, UID, GID, shell, home, etc).
pam_tally2.so	Account Auth	Maintient un compteur du nombre d'essais d'authentifications. Ce compteur est réinitialisé lorsque l'authentification réussie. Utile pour bloquer un compte après un certain nombre de tentatives ratées.
pam_time.so	Account	Permet de restreindre l'accès de l'utilisateur suivant l'heure de la journée, le jour de la semaine, le service sur lequel il se connecte et le terminal depuis lequel il se connecte.
pam_timestamp.so	Auth Session	Permet de valider automatiquement l'authentification sans demander de mot de passe si la dernière authentification réussie est inférieur à une certaine date.
pam_tty_audit.so	Session	Permet d'activer l'enregistrement de ce que l'utilisateur écrira dans un tty.
pam_umask.so	Session	Définie l'umask sur la création des fichiers pour la session qui s'ouvre.
pam_unix.so	Toutes	Authentification via les mécanismes standard, c'est à dire en faisant appel aux bibliothèques du système (ces dernières regardant par défaut dans les fichier `/etc/passwd` et `/etc/shadow`).
pam_userdb	Account Auth	Authentification via une base de données Berkeley DB.
pam_warn.so	Toutes	Module qui inscrit dans les logs l'authentification de l'utilisateur.
pam_wheel.so	Account Auth	Autorise l'accès seulement aux utilisateurs du groupe `wheel` (ou du groupe au GID 0 si le groupe `wheel` n'existe pas).
pam_winbind.so	Toutes	Permet l'authentification via un serveur Active Directory.
pam_xauth.so	Session	Permet de conserver les clés xauth (cookies du serveur X) lors du changement de session.

Il existe bien d'autres modules qui permettent d'utiliser tout types de serveurs pour l'authentification ou d'autres types de jetons (comme par exemple des cartes magnétiques). Mais vu qu'ils sont utilisés plus rarement, je vous laisse les découvrir par vous même.

Conclusion

PAM est un mécanisme très puissant pour la gestion de l'authentification sous Linux. Bien qu'assez complexe sur certains aspects, il permet à l'administrateur d'avoir un total contrôle de l'accès au système par les utilisateurs. C'est aussi un point clé lorsque l'on veut centraliser l'authentification des machines d'un réseau.

Ressources supplémentaires

La documentation officiel de Linux-PAM :
http://www.linux-pam.org/Linux-PAM-html/Linux-PAM_SAG.html
La page française de Wikipédia sur PAM :
https://fr.wikipedia.org/wiki/Pluggable_Authentication_Modules
Page PAM de la documentation NetBSD. NetBSD n'utilisant pas la même implémentation de PAM, il y a quelques différences mais une grande partie est commune :
http://www.netbsd.org/docs/guide/en/chap-pam.html
« The Linux-PAM Application Developpers' Guide ». Utile pour connaître la signification des codes de retour des modules :
- En HTML : http://www.linux-pam.org/Linux-PAM-html/Linux-PAM_ADG.html
- En PDF : http://webapp5.rrz.uni-hamburg.de/SuSe-Dokumentation/packages/pam/pdf/Linux-PAM_ADG.pdf
Page de manuel PAM(3) :
http://linux.die.net/man/3/pam
Page de manuel pam.d(5) :
http://linux.die.net/man/5/pam.d
Le draft (brouillon) de l'implémentation Linux-PAM :
https://www.kernel.org/pub/linux/libs/pam/pre/doc/draft-morgan-pam-08.txt

AlterncCamp c'est dès jeudi 21 juin (Journaux LinuxFR)
Salut

Ayant déjà fait la dépéche et que le temps est passé, j'en profite pour rappeler que jeudi, vendredi et samedi il est possible d'aider à l'avancée du projet alternc
- https://linuxfr.org/news/alternc-camp-a-paris-du-21-au-23-juin-2018
- https://github.com/alternc/alternc
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur

Les sources de données système sous Linux avec NSS (Laboratoire Linux SUPINFO)

Les sources de données système sous Linux avec NSS

Note: ce document est le premier d'un cycle de trois articles sur l'authentification sur les systèmes Linux. Les suivants se trouvant ici et là.

On utilise souvent la commande cat /etc/passwd pour connaitre la liste des utilisateurs d'un système Linux. Bien que le résultat renvoyé soit correct dans la grande majorité des cas, ce n'est pas la méthode que l'on devrait utiliser. En effet l'affichage du fichier /etc/passwd renvoie la liste des utilisateurs locaux uniquement. Mais si le système est relié à un serveur LDAP, les utilisateurs de ce serveur n’apparaîtront pas, bien qu'il soit possible de se connecter avec sur la machine.

Name Service Switch

La bonne méthode pour afficher la liste des utilisateurs est l'utilisation de la commande getent suivie du paramètre passwd. Celle-ci va interroger les différentes sources d'utilisateurs définies pour le système. Ces sources sont gérées par le mécanisme NSS (pour « Name Service Switch »). Et NSS ne s'occupe pas seulement des sources d'utilisateurs, mais aussi de leurs mots de passe, des groupes d'utilisateurs, des noms d'hôtes, des protocoles et services connus du système, etc.

Cependant, bien que NSS permette de choisir les sources de données depuis lesquelles le système ira chercher les informations dont il a besoin, ce n'est pas lui qui défini les connexions vers ces sources de données.

Voici la liste des bases de données (présentes habituellement sous la forme de fichiers plats) que l'on a l'habitude d'interroger en général et que NSS est capable de gérer :

Bases de données	Description	Fichier correspondant
aliases	Alias des adresses e-mail	/etc/aliases
ethers	Numéros Ethernet	/etc/ethers
group	Groupes d'utilisateurs pour l'accès aux fichiers	/etc/group
hosts	Correspondances entre les noms d'hôtes et les adresses IP	/etc/hosts
netgroup	Groupes d'utilisateurs pour l'accès aux ressources réseau	/etc/netgroup
networks	Noms et masques de réseau	/etc/networks
passwd	Utilisateurs système	/etc/passwd
publickey	Clés publiques utilisées par NFS et NIS+	/etc/publickey
rpc	Correspondances entre les noms et les numéros de RPC connus	/etc/rpc
services	Correspondances entres les numéros de ports et les services réseau connus	/etc/services
shadow	Mots de passes chiffrés des utilisateurs	/etc/shadow

Ces bases de données ne sont pas utilisées sur tous les systèmes, comme par exemple les aliases plutôt réservés aux serveurs mail, mais on retrouve les bases standard comme passwd, shadow ou group.

Pour chacune de ces bases de données on va pouvoir demander à NSS d'interroger les fichiers plats locaux listés ci-dessus ainsi que diverses sources externes. Par exemple pour les noms d'hôtes, on va pouvoir configurer NSS pour interroger le fichier /etc/hosts puis les serveurs DNS.

Le fichier nsswitch.conf

La configuration de l'ordre d'interrogation des sources se fait très simplement à l'aide du fichier /etc/nsswitch.conf. Voici un fichier d'exemple issue d'un système Ubuntu :

passwd:		compat 
group:		compat 
shadow:		compat 

hosts:		files mdns4_minimal [NOTFOUND=return] dns mdns4 
networks:	files 

protocols:	db files 
services: 	db files 
ethers:		db files 
rpc:		db files 

netgroup:	nis

Sur chaque ligne de celui-ci, est décrit une base de données et les sources depuis lesquelles on va chercher ces données. Chaque ligne aura donc cette forme :

base_de_données:	source1 [STATUT=action] source2 source3

NSS ira interroger chaque source une par une dans l'ordre dans lesquelles elles sont inscrites. Chaque interrogation d'une source renverra un statut parmi ceux listés ci-dessous et sera suivie par l'action par défaut :

Statut	Description	Action par défaut
success	Succès de la récupération de la donnée recherchée.	return
notfound	Accès au service de donnée réussi mais donnée non trouvée.	continue
unavail	Le service est indisponible de manière permanente. Cela peut indiquer que le fichier nécessaire n'est pas lisible, ou, pour les services réseau, que le serveur n'est pas disponible ou n'accepte pas les requêtes.	continue
tryagain	Le service est temporairement indisponible. Cela signifie qu'un fichier est verrouillé, et qu'un serveur ne peut pas actuellement accepter davantage de connexions.	continue

Il est possible de demander à arrêter ou continuer le processus entre deux sources suivant ce statut grâce à une mention du type [STATUT=action]. Cela permet d'exécuter l'action de son choix et non celle par défaut.

L'action peut être l'une des deux suivantes :

return : s'arrêter ici et renvoyer les résultats trouvés
continue : interroger le service suivant

Les sources de données disponibles

Pour obtenir les données recherchées, on peut interroger différents services locaux ou distant comme par exemple les fichiers plats, un annuaire LDAP, une base de données SQL, etc. Par défaut les services disponibles sont files, db, nis et nisplus ainsi que compat pour les bases passwd, group et shadow. De plus, la base données hosts dispose de la source dns qui n'est utilisable que sur elle.

Mais pour se connecter à des services plus évolués il faut disposer des bons modules. Ceux-ci se trouvent le plus souvent dans le répertoire /lib et ont un nom de la forme libnss_XXX.so.Y. Avec XXX pour le nom du service et Y le numéro de version de la glibc dans laquelle il s'intègre. Ces modules sont en grande partie installables depuis le gestionnaire de paquet de votre distribution.

Et en voici une liste des plus courants :

Nom du module	Description
files	Utiliser les fichiers plats du système local.
compat	Similaire à `files` mais permet en plus d'utiliser un annuaire NIS inclus directement dans les fichiers `passwd`, `groups` et `shadow` et non dans le fichier `nsswitch.conf`. Pour plus d'informations, voir le lien correspondant à la fin de cet article.
db	Utiliser les fichiers au format Berkeley Database File.
nis	Connexion à un annuaire NIS (ancêtre de LDAP).
nisplus	Connexion à un annuaire NIS+ (version plus sécurisée de NIS).
dns	Connexion aux DNS. Utilisable seulement pour la base de données `hosts`.
mdns	Résolution en Multicast-DNS. Utilisable seulement pour la base de données `hosts`.
ldap	Connexion à un serveur LDAP
winbind	Connexion à un serveur Samba (ou Active Directory).
cache	Utilisation des fichiers de cache des noms de domaines de `nscd` (Name Service Cache Daemon).
extrausers	Utilisation des fichiers `passwd`, `group` et `shadow` situés dans le dossier `/var/lib/extrausers`. Ce dossier permet d'accueillir les fichiers précédemment cités venant d'autres systèmes sans copier leur contenu dans les fichiers locaux situés dans `/etc`.
sshsock2	Connexion à un autre système via un socket ssh afin d'utiliser les utilisateurs de celui-ci. Valable seulement pour les bases de données `passwd` et `group`.
lwres	Lire le cache fournit par lwres (lightweight resolver). Utilisable seulement pour la base de donnnées `hosts`.
mysql-bg	Utilisation d'une base de données MySQL.
pgsql2	Interrogation d'une base de données PostgreSQL.
sss	Interrogation d'un démon SSSd.

La commande getent

La commande getent citée au début de cet article permet quand à elle d'effectuer une requête pour une base de données sur les services inclus dans NSS.

La commande est de la forme suivante :

getent base_de_données [clé]

La base_de_données est un nom parmi ceux listés dans le premier tableau de cet article. La clé n'est, elle, pas obligatoire. Si elle est présente, la commande n'affichera que la ligne concernant le nom recherché. Au contraire, si elle est absente, getent listera tous les éléments lorsque la base permet l'énumération.

Par exemple, un annuaire LDAP permet l'énumération, et s'il est utilisé pour l'authentification sur votre système, vous pourrez lister tous les utilisateurs disponibles. À l'inverse, les services DNS ne permettent pas l'énumération (il est impossible de lister tous les noms de domaines existants) et vous serez obligés de fournir une clé (ici un nom de domaine) pour avoir son adresse IP correspondante.

Conclusion

On l'a vu au travers de cette article, NSS est un mécanisme qui nous permet de choisir les sources de données nécessaires au système. Il permet d'utiliser les fichiers locaux ou de déléguer la gestion de ces données à des services externes. Il est donc nécessaire lors de l'intégration d'une machine à un système centralisé.

Ressources supplémentaires

La page de manuel nsswitch.conf :
http://manpagesfr.free.fr/man/man5/nsswitch.conf.5.html
La page française de Wikipédia sur NSS :
https://fr.wikipedia.org/wiki/Name_Service_Switch
La page de manuel de getent :
http://man.cx/getent%281%29/fr
Plus d'informations sur la source de données compat :
http://serverfault.com/questions/331440/what-do-compat-mean-in-name-service-switch

Comment réfuter (Dépêches LinuxFR)
Dernièrement, quelques commentaires exprimaient leur mécontentement quant à l'atmosphère et aux propos tenus dans les commentaires sur ce site [référence nécessaire].
J'ai pensé qu'un texte de Paul Graham, intitulé « How to Disagree » serait un bon point. Je le traduis en deuxième partie. Vous pouvez trouver l'original en ligne (si vous voulez lire les deux).

À la suite du journal des commentaires ont suggéré le livre d'Arthur Schopenhauer L'Art d'avoir toujours raison — aussi appelé La Dialectique éristique) — en complément de lecture. Voir ou revoir le film de Sam Peckinpah La Horde Sauvage peut aussi faire réfléchir sur la nature humaine, méchante ou non. Enfin, la discussion courtoise et rigolote qui a suivi illustre assez bien les niveaux de désagrément.
- lien n°1 : Journal à l'origine de la dépêche
- lien n°2 : How to Disagree
- lien n°3 : Arthur Schopenhauer : L'Art d'avoir toujours raison sur Wikisource
Sommaire
Le web est en train de changer l'écrit en conversation. Il y a vingt ans, les écrivains écrivaient, les lecteurs lisaient. Le web laisse aux lecteurs la possibilité de répondre, et ils le font de plus en plus — dans les fils des commentaires, sur les forums, et sur leurs blogues personnels.

Nombreux sont ceux qui répondent à quelque chose avec lequel ils ne sont pas d'accord. Ce n'est pas surprenant. Être d'accord ne tend pas à motiver les foules autant que quand on n'est pas d'accord. En outre, il y a moins matière à tergiverser. On pourrait s'étaler sur quelque chose que l'auteur a dit, mais il a probablement déjà exploré les implications les plus intéressantes. Quand on n'est pas d'accord, on entre dans un territoire non exploré par l'auteur.

Le résultat c'est qu'il y a bien plus de controverse. Ça ne signifie pas que les gens sont plus en colère. Le changement structurel dans la manière dont nous communiquons est suffisant pour en expliquer le tout. Mais même si ce n'est pas la colère qui anime la controverse, il y a un danger que son augmentation puisse rendre les gens plus énervés. En ligne, en particulier, où il est aisé de dire des choses que l'on ne dirait pas en face à face.

Si nous allons exprimer notre avis contraire de plus en plus, nous devrions le faire correctement et avec tact. Que cela signifie-t-il ? La plupart des lecteurs est capable de faire la différence entre une attaque personnelle, et une réfutation raisonnée et bien construite, mais je pense qu'il peut être bénéfique de mettre des noms sur chaque étape, alors voici un essai de hiérarchie d'expression d'un avis contraire (DH pour Disagreement Hierachy).

DH0. Attaque directe

Ceci est la plus basse forme de controverse, et probablement la plus commune. On a tous vu des commentaires tel que celui-ci :

T'es qu'un con !!!!!!!

Mais il est important de se rendre compte qu'une attaque directe plus élaborée n'a pas plus de poids. Ainsi, le commentaire

L'auteur n'est qu'un dilettante dont le nombril est l'unique centre d'intérêt.

n'est vraiment qu'une version prétentieuse du précédent.

DH1 Ad Hominem

Un attaque dite « ad hominem » n'est pas aussi faible qu'une attaque directe. Il se peut qu'elle ait un certain poids. Par exemple, si un sénateur écrit un article explicitant les raisons d'augmenter les salaires des sénateurs, quelqu'un pourrait répondre :

Bien entendu qu'il a de bonnes raisons. Il est lui-même sénateur.

Cela ne réfuterait pas du tout l'argument de l'auteur, mais ça aurait du sens d'après le contexte. Néanmoins, ça reste très faible, et s'il y a quelque chose qui cloche avec le raisonnement du sénateur, vous devriez dire ce que c'est ; dans le cas contraire, qu'est-ce que ça change qu'il soit un sénateur ?

Dire que l'auteur manque d'autorité pour écrire à propos d'un sujet est un variante d'ad hominem — et elle est particulièrement inutile, puisque les bonnes idées proviennent souvent de champs qui n'ont rien à voir. La question à traiter est si l'auteur a vue juste ou non. Si son manque d'autorité l'a poussée à commettre des erreurs, faites donc la lumière sur celles-ci. Dans le cas contraire, il n'y a pas vraiment de problèmes.

DH2. Réponse à l'intonation

À ce niveau, on commence à voir des réponses en relation avec l'écrit plutôt qu'avec l'auteur. La plus basse forme étant de s'attaquer à l'intonation que l'auteur a utilisée. Par exemple :

Je n'arrive pas à croire que l'auteur mette de côté le dessein intelligent d'une manière si cavalière.

Bien que ce soit mieux que d'attaquer l'auteur, ça reste bien bas. Il est bien plus important que l'auteur ait raison ou pas, que de savoir si la manière dont il l'a dite est plaisante. Et plus particulièrement parce que l'intonation d'un texte écrit est difficile à juger. Quelqu'un d'aigri à propos d'un sujet pourrait se sentir offensé par une intonation que d'autres lecteurs trouveraient neutre.

Ainsi, si la pire chose que vous pouvez dire à propos de quelque chose c'est son intonation, alors vous ne dites pas grand chose. L'auteur est désinvolte, mais il a raison ? C'est toujours mieux que s'il était grave, mais fourvoyé. S'il s'est trompé, il suffit de dire où.

DH3. Contradiction

À ce niveau, on a enfin des réponses concernant le contenu lui-même, plutôt que l'auteur ou la manière dont il s'est exprimé. Le plus simple étant d'exposer l'opposé de ce que dit l'auteur, sans, ou avec peu d'arguments convaincants.

C'est souvent combiné avec DH2, tel que :

Je n'arrive pas à croire que l'auteur mette de côté le dessein intelligent d'une manière si cavalière. Le dessein intelligent est une théorie scientifique légitime.

Une contradiction a parfois du poids, et il arrive que l'exprimer clairement suffise à voir que c'est exact, mais il est habituellement nécessaire d'argumenter correctement.

DH4. Contre argument

Au niveau 4, on atteint la première forme de controverse convaincante : le contre argument. Les niveaux précédents peuvent souvent être ignorés, puisqu'ils n'apportent presque rien. Un contre argument peut apporter quelque chose, mais le problème est souvent de comprendre quoi.

Un contre argument est une contradiction servie avec un raisonnement ou une preuve. Quand il est honnêtement ciblé contre l'argument originel, il peut être convaincant. Malheureusement, il est courant de voir des contre arguments ciblant quelque chose de légèrement différent. Bien souvent, deux personnes se querellant à propos de quelque chose, parlent, en fait, de choses différentes. Il arrive même qu'elles soient tout à fait d'accord, mais elles sont entraînées dans leur chamaillerie et ne s'en rendent pas compte.

Néanmoins, il est parfois des moments où il est tout à fait légitime de discuter d'un point légèrement différent : quand on sent que le cœur du sujet à été manqué. Mais alors, il faut le dire explicitement.

DH5. Réfutation

La forme la plus convaincante est la réfutation. C'est également la plus rare, car elle demande le plus de travail. En effet, la présente hiérarchie forme une sorte de pyramide, dans le sens où plus on monte, et moins souvent on le rencontre.

Pour réfuter quelqu'un, vous devez probablement le citer. Il vous faut trouver un passage qui vous semble erroné, et expliquer en quoi c'est le cas. Si vous n'arrivez pas à trouver un passage spécifique qui vous semble louche, il se peut que vous ayez à faire à un argument spécieux.

Généralement, bien que réfuter quelque chose implique une citation, l'inverse n'est pas nécessairement vrai. Certaines personnes citent des parties avec lesquelles elles ne sont pas d'accord, puis se rabaissent à un niveau 3 ou même 0.

DH6. Réfuter le point central

La force d'une réfutation dépend de son objet. La plus puissante étant celle dont l'objet est le point central d'un écrit.

Il arrive que, même à un niveau 5, on voit de la malhonnêteté délibérée, tel que quand quelqu'un réfute des points mineurs d'une argumentation. Parfois, la manière dont son tournées les choses les rends plus proche d'un ad hominem que d'une vraie réfutation. Par exemple, corriger la grammaire ou des erreurs mineures de chiffres ou de noms. Sauf si la crédibilité de l'argumentation dépend de la valeur réelle de ces points, le seul but de les corriger est de discréditer l'auteur.

Réellement réfuter quelque chose demande d'en réfuter le point central, ou au moins l'un d'entre eux. Cela veut dire que l'on doit s'activer à expliciter le point central que l'on veut réfuter. Une bonne manière de le faire pourrait être la suivante :

Le point central de l'auteur semble être x, puisqu'il dit :

« citation »

Mais ce n'est pas vrai à cause des raisons suivantes :…

La citation doit réellement représenter le point central de l'auteur. Il est suffisant de réfuter quelque chose dont ce point central dépend.

Ce que cela signifie

Nous avons maintenant une manière de classifier les formes de réfutation. À quoi ça peut bien servir ? Une chose que cela ne donne pas, c'est une manière de tirer un gagnant. Les niveaux précédents décrivent à peine la forme d'un écrit, mais non son exactitude. Une réponse de niveau 6 peut tout à fait s'avérer erronée.

Malgré tout, cela permet de trier. Un argument de niveau 6 peut ne pas être convaincant, mais une réponse de niveau égal ou inférieur à 2 ne l'est jamais.

L'avantage évident d'une telle classification est de permettre aux gens d'évaluer ce qu'ils lisent. En particulier, cela les aidera à déterrer les arguments malhonnêtes. Quelqu'un d'éloquent peut donner l'impression de vaincre son opposant en utilisant des mots percutants. En fait, c'est probablement la qualité qui définie un démagogue. En donnant des noms aux différents niveaux de réfutations, nous donnons aux lecteurs critiques une épingle pour faire éclater de tels ballons.

Cela peut également aider les auteurs. La majeure partie de la malhonnêteté intellectuelle n'est pas intentionnelle. Quelqu'un qui s'évertue à s'attaquer au ton dont est présenté un propos peut très bien croire qu'il dit vraiment quelque chose. Se poser, et déterminer le niveau correspondant de l'argumentation peut nous inspirer à dire quelque chose de mieux tel qu'un contre argument, ou une réfutation.

Mais le plus grand bénéfice de bien réfuter n'est pas de rendre les conversations meilleures, mais c'est de rendre les personnes les tenant plus heureuses. Si vous étudiez ces niveaux, vous trouverez qu'il y a beaucoup plus de méchanceté au niveau 1 qu'au niveau 6. Vous n'avez pas besoin d'être méchant quand vous avez un réel argument à apporter. Même, vous ne voulez pas l'être. Si vous avez quelque chose à apporter, être méchant n'est qu'un encombrement.

Si augmenter le niveau rend les gens moins méchants, cela les rendra plus heureux. La plupart d'entre eux n'aiment pas spécialement être méchants ; ils le font car ils n'y peuvent rien.
Télécharger ce contenu au format Epub

Lire les commentaires
Olympe, hébergeur gratuit et sans publicités, mène une campagne de crowdfunding (Dépêches LinuxFR)
Fondé en 2008, Olympe fournit un service d’hébergement gratuit et sans publicité. Pour survivre, l’association lance aujourd’hui une campagne de financement participatif sur Indiegogo.
- lien n°1 : Financement participatif (Indiegogo)
- lien n°2 : Témoignages des utilisateurs
L’association Olympe a été fondée il y a huit ans afin de coordonner les efforts d’une équipe autour des enjeux de la fracture numérique et de la liberté d’expression. L’un des premiers objectifs était la mise en place d’un service d’hébergement gratuit ouvert à tous, permettant aujourd’hui à plus de 90 000 personnes et organisations de publier simplement et rapidement sites institutionnels, blogs, forums et applications métiers (en 5 langues).

Auto-financée par ses partenaires et les membres de l’équipe, l’association se trouve dans une situation financière difficile depuis le rachat de son principal mécène par une société ne souhaitant plus contribuer au financement de ces services. Pour sortir de cette situation, le choix d'un financement participatif a été fait par l'équipe.

L'objectif est clair : sauver Olympe en conservant un modèle de financement qui respecte nos valeurs et notre forme associative, et en conservant l’hébergement gratuit tel que nos utilisateurs le connaissent. Cette campagne va donc permettre à Olympe de poursuivre son activité le temps du déploiement de la nouvelle architecture et de la mise en place des nouveaux outils de gestion, puis de fournir suffisamment de trésorerie pour atteindre l’équilibre économique à trois ans.

Nous souhaitons défendre notre modèle et prouver notre capacité à faire de l’hébergement, de l’opensource, de l'entraide « informatique » une véritable source de solidarité aussi bien locale que transnationale. Notre équipe a œuvré ces dernières années de toutes ses forces pour fournir un service et une assistance technique aussi réactifs et qualitatifs que possible.

Nous voulons pouvoir continuer à le faire. Soit cette campagne aboutit, soit nous devrons fermer définitivement nos portes…
Télécharger ce contenu au format Epub

Lire les commentaires
Retour sur la licence de NumWorks (Journaux LinuxFR)
À la suite du journal précédent, je me demandais, quelle était la protection effective de la licence CC-BY-NC-SA. J'aimerais bien que l'on ne reprenne pas la guerre libre pas libre de l'autre dépêche, j'ai plutôt envie de voir ce qu'ils apportent, plutôt que de réfléchir à ce dont ils nous privent.

Pour rappel, la licence CC-BY-NC-SA permet de :
- Partager — copier, distribuer et communiquer le matériel par tous moyens et sous tous formats
- Adapter — remixer, transformer et créer à partir du matériel
L'Offrant ne peut retirer les autorisations concédées par la licence tant que vous appliquez les termes de cette licence.

Attribution — Vous devez créditer l'Œuvre, intégrer un lien vers la licence et indiquer si des modifications ont été effectuées à l'Oeuvre. Vous devez indiquer ces informations par tous les moyens raisonnables, sans toutefois suggérer que l'Offrant vous soutient ou soutient la façon dont vous avez utilisé son Oeuvre.

Pas d’Utilisation Commerciale — Vous n'êtes pas autorisé à faire un usage commercial de cette Oeuvre, tout ou partie du matériel la composant.

Partage dans les Mêmes Conditions — Dans le cas où vous effectuez un remix, que vous transformez, ou créez à partir du matériel composant l'Oeuvre originale, vous devez diffuser l'Oeuvre modifiée dans les même conditions, c'est à dire avec la même licence avec laquelle l'Oeuvre originale a été diffusée.

Pas de restrictions complémentaires — Vous n'êtes pas autorisé à appliquer des conditions légales ou des mesures techniques qui restreindraient légalement autrui à utiliser l'Oeuvre dans les conditions décrites par la licence.

Les sources de ce système d'exploitation seront toujours disponibles, si l'entreprise décide de changer de licence, elle ne pourra pas revenir sur ce qui existe déjà.

Cela fait donc a minima un excellent objet d'étude d'une solution employant beaucoup de logiciels libres dans sa construction.

Leur parti pris est très intéressant. Ils ont décidé de na pas utiliser d'OS mais de directement coder sur le Cortex-M4, cela permet à leur système de tenir sur 256kB de ram.

Ils ont du recréer tout un environnement, j'imagine que l'investissement en terme de R&D est très important.

Je pense que c'est cet aspect qui rend l'OpenSource (ou libre) difficile. En effet, admettons qu'ils aient mis leur OS et toute la couche applicative en GPL, ils auraient très facilement pu avoir une boite qui récupère tout le code sans apporter aucune amélioration mais en profitant des faibles prélèvements sociaux d'autres pays (Chine par exemple), pour vendre moins cher. De plus il aurait aussi été possible qu'une entreprise ayant plus de capital fasse baisser les coûts par un effet d'échelle, et reprenne le développement en tant qu'acteur majeur. Cela aurait été super pour la diffusion du produit mais aurait mis un coup d'arrêt à leur entreprise.

Le problème est que l'ingénierie logicielle a certes un coût mais les investissements sont majoritairement du salaire alors que le développement d'un matériel entraîne des investissements en prototypes et une industrialisation sur une chaîne de production, qui peut rendre la libre utilisation, des développements précédemment fait, périlleux pour l'entreprise.

Donc oui, à titre personnel, je me questionne sur le fait qu'il existe systématiquement un modèle économique viable libre associable à n'importe quel projet. N'ayant pas la réponse, je serais ravi que l'on m'éclaire sur ce sujet qui dépasse vraiment mon niveau de compétence.

Maintenant, cela montre qu'il est possible d'utiliser des briques libres pour faire une calculatrice, c'est vraiment intéressant.

Quelqu'un a-t-il une idée sur la différence de consommation entre une carte cortex-M4 et une carte raspberry pi zeros ?

Si je trouve leur idée intéressante, je trouve que d'avoir un terminal mobile basé sur une distribution linux minimale avec un environnement de type SageMath avec une version des notebooks Jupyter adaptés aux petits écrans pourrait vraiment être cool ! Quand on voit à quel point des outils tels que JupyterLab permettent de rendre l'accès à des environnements python avec toutes les libs installées, utiliser une raspbian minimale avec un une appli Qt pour le web et un serveur jupyter, permettrait de faire vraiment pas mal de choses ! Sachant qu'en plus Jupyter peut faire plein d'autres choses telles que du SageMath, Octave, maxima, Julia, …

Le problème serait alors l'autonomie … mais bon avec l'arrivée en 2019 de l'advanced color paper display, on pourrait bien avoir accès à une technologie permettant de faire des petits écrans couleurs qui ne consomment pas du tout. Un trois couleurs serait déjà faisable par exemple.

Donc je trouve que leur idée est vraiment top, mais personnellement je préférerais pouvoir conserver mon environnement Linux même sur une calculette. Bon, en même temps, je ne pense vraiment pas être la cible … Cependant je trouve l'analyse d'Aurélien Pierre assez intéressante. Il serait juste sympa d'avoir tout l'environnement dans une machine qui ressemblerait à une TI92 ou une voyage 200, même si ce format n'est plus vraiment d'usage … Avoir un clavier Alpha-numérique physique est tout de même un gros plus. Sachant qu'une calculatrice moderne de chez TI avec des capacités CAS coûte encore 130€, il reste de quoi s'amuser avec les raspberry pi et consort …
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur
Microcontrolleur de LED basé ESP8266 (Dépêches LinuxFR)
ANAVI Light Controller est une nouvelle carte OpenSourceHardWare pour contrôler un ruban de DEL (LED strip RGB). Ce projet est OpenSource et conçu avec KiCAD, et disponible a l'achat à partir de 25€ jusqu'au 27 juin 2018.

La carte peut être utilisée de façon autonome avec le logiciel embarqué de demo en se connectant sur une page web (MQTT d'Eclipse paho). Mais passer par internet via un broker MQTT public n'est peut être pas idéal pour tous, du coup une autre solution est tout aussi envisageable via une passerelle locale (et optionnellement accessible à distance).

Naturellement, ce microcontrôleur (MCU) ESP8266 peut être aussi reprogrammé, c'est une alternative intéressante aux populaires Arduino's car un bloc WiFi (pas libre?) est intégré au MCU.
- lien n°1 : Commander l'ANAVI Light Controller sur Crowd Supply
- lien n°2 : Video de demo avec Mozilla Web Things
Pour ma part, j'ai eu la chance de tester le produit, ça fait le job comme on dit ! mais je vous invite à lire la la revue en français sur le blog Framboise314.

Pour utiliser une passerelle locale, il faut préalablement installer Mozilla IoT Gateway sur Raspberry Pi et reprogrammer le MCU avec mon implémentation de "RGBLamp" qui utilise l'API "WebThings" de Mozilla se connectant ensuite via mDNS, HTTP, REST (voir video)….

Pour ceux qui ne veulent pas faire un pas hors de leur OS préféré, considérez le précédent produit de Leon pour RaspberryPi.

Finalement, si vous utilisez Mozilla-IoT, les retours sont bienvenus.
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur
Tutoriel 3D - 2D découpe au laser, le retour du tux (Journaux LinuxFR)
Sommaire
Tranche de pingouin

Chose promise, cause perdue. Voici comment transformer un modèle 3D en tranches de bois pour découpe laser. Et en bonus, mon essai initial de découpe en création originale.

Les outils que j’ai utilisé sont blender et inkscape, et ce juste parce que je les connaissais et donc plus facile pour expérimenter.

Note aux amateurs de freecad, j’ai commencé à regarder comment ça marche, au cas où ce serait plus simple avec, si jamais je trouve une idée et le courage de refaire un tuto, ça me fera un zeugma.

Au début était le cube

Ouvrir un nouveau fichier dans blender et mettre la scène en métrique, car sinon les mesures ne sont pas fixées par taille réelle. Notez que à chaque étape du tuto on aura des soucis de conversion de dimensions, donc en fait… mais bon faut pas en profiter pour être négligent.

Retirer le cube et ajouter le Tux à la scène. Vous pouvez le trouver ainsi que toutes les licences à Tuuuuuuux
- Faire face au tux (1 au pavé num)
- Mettre la vue iso (5 au pavé num)
- sélectionner le tux
- passer en editor mode (tab)
- Sélectionner le dessous des pattes (B) qui est rond
- Niveler (SZ0)
- sélectionner les deux centres des pattes, (S) Snap cursor to selected
- rebasculer en object mode (tab) , transform origine to 3d cursor (object/transform)
Maintenant, le tux est calé pour avoir le plancher des pattes en comme origine, à la verticale du pseudo centre de gravité que nous venons de choisir.

mettre la bête en Z 0.

Il est gros vot manchot ?

Il nous faut choisir une taille, suffisamment grosse pour que ce soit cool, et pas trop gros pour limiter le prix. Comme l’objet c’est aussi tester une bonne quantité d’épaisseurs pour voir comment ajuster la taille théorique d’une planche par rapport à sa taille réelle (il reste du vide, la colle ça épaissit, les planches sont pas forcément pile à la taille).

Une planche 2mm chez sculpteo (chez qui je teste la découpe laser) fait 94cm*59cm, il faut aussi essayer de rester dans une seule planche avec tous les morceaux. Le tux est presque aussi large que haut, du coup on cherche une approximation de cube découpé en tranches et étalé fait la même surface en gardant un peu de marge. ça fait 55 tranches, donc une hauteur de 116.875mm

Et si on l’écartelait ?

Il nous faut séparer les pattes du corps du tux (ce sont des objets distincts dans le modèle de base en fait et elles s’interconnectent :

Il faut les réunir par booléen union au corps pour avoir un seul objet avec un intérieur/extérieur propre.

On peut maintenant appliquer une subdivision sur le tux CTRL+3, parce que le tux aime la douceur, et pas que celle angevine.

Lui sculpter des yeux plus sympa, parce que même si tout le monde ne veut pas l’avouer, pour avoir l’air cool faut quand même avoir un peu l’air con.

Mais quand est-ce qu’on coupe ?

Patience, il faut regarder un peu avant de couper. Placer un plan plus grand que le tux au sol, genre 20cmx20cm et lui appliquer un booléen d’intersection avec le tux. Et regarder en bougeant le plan sur Z comment seront les tranches.

On voit deux endroits à problème, les ailes et la queue qui auront des tranches avec plus que un morceau, ce qui est plus complexe à coller.

par ex les ailes :

Ce sera lourd à coller ensuite, on peut mais pourquoi…

autant relier les ailes au tronc le plus légèrement possible, avec un lien de 1mm de large.

idem au niveau de la queue :

J’ajoute un bloc en union au niveau de la queue, le plus ajusté possible par un booléen union.

Cela vous permettra de facilement coller, il sera toujours possible de le limer après collage.

Il faut bien nettoyer le résultat de l’union à l’intérieur du tux, ne pas laisser de cloisons internes, c’est à dire éviter d’avoir des plan à l’intérieur des plans :

Finir de nettoyer en retirant les doublons de vertices, boucher les trous, assurer les normales pour que ce soit clair ce qui est à l’intérieur et à l’extérieur.

Et si on l’empalait ?

Pensons au support central qui va nous permettre de facilement positionner et coller les tranches de tux, il va être en trapèze et ressembler à ça au niveau d’une tranche :

Le choix de la découpe sera donc toujours du côté le plus grand, en bas. Donc notre référence pour le positionnement des plans de découpe doit être la face basse de chaque tranche.

Replaçons le plan à 0.01mm en Z (pour éviter le chevauchement parfait des surface avec les pattes Z=0), pensez à remettre tous les éléments avec scale=1 (Ctrl+A scale and rotation) pour la suite.

Faire une array de 50 plans en Z espacés de 2.125mm, faire le booléen intersection avec le tux. Lors de la réalisation de mon bureau réel avec des tux, j’ai constaté que l’empilage de x tranches de 2mm n’a pas un résultat de x*2mm, mais avec l’air restant et la colle environ 2.125. Je vais affiner avec ce tux cette estimation mais déjà on part de 2.125mm par tranche.

On voit les tranches et on voit des petits problèmes

Une tranche qui manque en haut et le cul qui a une mini tranche en bas.

Diminuer le overlap thresold du booléen pour que le problème du haut disparaisse :

Remonter le point du bas du tux pour supprimer le second problème et non, ce n'est pas lui mettre un doigt dans le cul car ça ne doit pas rentrer :

Nickel !

Simulons une épaisseur des tranches pour avoir un aperçu du résultat réel, ajoutons au plan un modifier solidify 2mm avec l’offfet à +1 (vers le haut) pour suivre le plan d’avoir la face basse comme référence :

Le résultat est conforme, retirez le solidify, il ne doit pas interférer avec l’étape de création du lien central.

On l’empale plus ?

Mais si, mais si. En fait ce n’est pas obligatoire, mais ça facilite le positionnement des étages, et on peut aussi le garde sans le coller. Le lien central doit avoir une forme de trapèze et être parfaitement vertical, car pour l’instant sculpteo ne fait pas de découpe oblique.

Il doit faire une épaisseur égale à celle du bois. Pour mon exemple je suis resté sur mon approximation (2.125mm) mais normalement il faut prendre 2mm et ajuster avec l’épaisseur du kerf qui est la taille du laser laissant un vide de découpe autour du trait de coupe. En pratique lors de mon premier essai j’ai eu des soucis d’épaisseur et j’ai du poncer mon trapèze. Du coup comme ce n’est pas nécessaire d’ajuster. Je surestime cette fois-ci la taille du trapèze.

Il faut ajuster sa position pour qu’il traverse tout le tux, coup de chance c’est possible sur ce modèle en plaçant la traverse au centre de la dernière tranche du tux. Mais sinon on l’aurait simplement fait avec deux trapèzes sur deux hauteurs.

Ajustez la taille en X et la hauteur de la partie haute pour faire joli, elle va dépasser un peu et même arrondir sa tête (note postérieure en pratique le trapèze sera toujours trop court, il faut juger les tranches encore un peu plus grand que 2.125mm).

En dessous ajuster aussi la taille en X pour donner un beau trapèze

On voit que c’est moche au niveau du pied

On va donc remodeler un peu le trapèze pour qu’il soit plus joli à cet endroit.

Parlons peu, parlons kerf

Le kerf c’est la partie du bois éliminée par le laser, en pratique la découpe est plus petite que le plan car le laser à une taille non ponctuelle. la découpe de la traverse dans les tranches sera donc un peu plus grande que prévu, et la traverse découpée plus court aussi que prévu.

Dans ce modèle, on peut ignorer le kerf et accepter les différences, elles seront minimes et les pièces collées seront bien ajustées.

appliquons donc le booléen différence entre le plan des tranches et la traverse

Le résultat est difficile à voir mais en vue fil de fer c’est visible

C’est la lutte finale

On peut passer à la phase finale, on réalise les “modifier” sur les planches, puis on aplati le trapèze en retirant les vertices d’un côté.

En mode éditeur, on sépare toutes les tranches (P+loose parts en mode édition) et on les étale dans le bon ordre en vue du dessus. Attention, les numéros générés lors de la réalisation de l’array ne sont pas forcément dans l’ordre de Z…

Pour ne pas me planter, je me met dans une vue adaptée et je bouge une par une les tranches avec des gx0.1 … Je vérifie bien que tout est dans l’ordre puis je met tout le monde à plat (sélectionner tout A puis SZ0)

Nous allons avoir des soucis de conversion de taille entre blender puis Inkscape puis sculpteo… on commence par poser un étalon dans blender, un plan au sol de 1cm sur 90cm

Le petit oiseau va sortir

Enfin presque, il faut encore à faire la photo !

Il existe une option de rendering qui génère du svg.

Mettons la caméra au dessus en mode orthographique, d’abord une résolution 100% sur un ratio approximatif de mon rectangle incluant tout.

puis placer la caméra assez bien au dessus de la scène et changez les paramètres :

L’échelle orthographique est ce qui correspond au zoom, ajustez la valeur pour que tout rentre au plus juste

Tout doit rentrer dans la fenêtre de rendering :

Maintenant depuis les user pref, activez le svg freestyle exporter :

Et activez les deux options freestyle et svg export depuis les options rendering

Pressez F12, une image svg sera générée dans le répertoire indiqué dans output nommé 0001.svg,

Ouvrez le dans Inkscape, dégroupez et sélectionnez l’étalon. mettez lui une épaisseur de contour à 0 pour ne pas fausser la taille et regardez sa taille. Dans mon cas je tombe sur 35.719cm.

Je vais donc changer la résolution de l’image pour ajuster la taille d’un facteur de 90/35.719=2.52

Je change dans blender le render pour :

Re F12 et vérification.

Mon étalon fait maintenant 1cm sur 90.01cm.

aller, on essaie avec un pixel de moins en Y :), on tombe sur 89.987. C’est moins bon, retour en arrière.

Maintenant que l’on a les bonnes tailles dans Inkscape, il faut nettoyer. Parce que le freestyle a introduit des pixels de temps en temps.

Je prends donc chaque découpe pour la repositionner au mieux et aussi supprimer les traces.

Pour m’aider et aussi servir d’étalon entre Inkscape et sculpteo je place un cadre dans une autre couleur qui délimite ma sélection, 53.5cm de large sur 75cm de haut.

Et je fais tout rentrer dedans.

Je vérifie chaque pièce pour assurer qu’il n’y a pas de défaut, et j’assure les contours à 1px et mon cadre avec une couleur différente

C’est prêt.

Pour ceux qui sont plus observateurs que moi, vous verrez que j’ai oublié de grouper une fente dans une tranche. Moi je vais le voir au montage plus tard…

TuxOlaser

J’upload chez sculpteo.

Deux couleurs sont détectées, l"une correspond au noir et l’autre au rouge du cadre. Les mesures n’ont pas été conservées, je ne sais pas pourquoi… mais mon cadre me permet de choisir un ajustement de taille à 26.5% qui me redonne les bonnes dimensions.

Je peux alors désactiver le cadre rouge dans sculpteo (style 2 sur aucun et voila !

prêt à couper.

Livraison comprise il vous en coûtera 53.33€.

Pour info, les tux du bureau ont coûté moins cher, ils étaient en une seule livraison et un peu plus petits, 72€ les 3.

Déboitage du tux et montage

Je hais les video de unboxing, et me voilà moi même à déboiter…

Bon, puisqu’il faut :

la boite est bien protégée

et la planche dans la mousse

Les pièces sont tenues par du scotch, il faudra faire attention en retirant le scotch de ne pas casser les pièces fragiles.

Je numérote mes pièces avant de défaire, c’est moins cher que de faire des numéros au laser.

Ensuite on empile jusqu’à la fameuse pièce 33 qu’il faudra redécouper.

Tadaaaa

A propos de licences

J’ai fouillé pour trouver les licences attachées au modèle de base, les voici :

https://opengameart.org/content/tux

https://opengameart.org/sites/default/files/license_images/gpl.png

http://www.gnu.org/licenses/gpl-3.0.html

https://opengameart.org/sites/default/files/license_images/cc-by.png

http://creativecommons.org/licenses/by/3.0/

Les fichiers

Voila les fichiers sources blender et le inkscape (piece 33 corrigée)

fichier blender

fichier svg
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur

Un petit tour des systèmes de build (Journaux LinuxFR)
Sommaire
- Quelques systèmes de build
  - Make
  - Autotools
  - SCons
  - Premake
  - CMake
  - Ninja
  - Meson
  - FASTbuild
  - Sharpmake
  - Maven
  - Ant
  - Gradle
- Que choisir
Parlons un peu de systèmes de build.

Mon métier consiste à programmer des jeux vidéos destinés aux plates-formes mobiles Android et iOS. Ce qui est commun aux deux plates-formes, c’est-à-dire la plus grosse partie de l'application, est écrit en C++, et ce qui est spécifique à la plate-forme est en Java ou en Objective-C. L'intérêt principal de tout faire en C++ est que les développeurs peuvent lancer l'application directement sur leur poste de travail, sous Linux ou OSX, et tester leurs modifs sans payer le prix d'un émulateur ou du transfert sur un appareil mobile.

L'inconvénient est que l'on se retrouve à gérer des builds sur quatre plates-formes.

Pour compiler une application pour iOS il faut nécessairement un projet Xcode, bien que les bibliothèques puissent être compilées classiquement en ligne de commande. Cela signifie qu'il faut maintenir un fichier de projet Xcode ou alors avoir un outil pour le générer.

Côté Android la compilation du code C++ se fait avec l'outil ndk-build, qui est en réalité une interface à GNU Make. Du coup les fichiers de projet sont évidemment des makefiles mais utilisant des variables et fonctions d'une sorte de framework dans le langage de Make. Là encore il faut maintenir des makefiles pour le projet, ou avoir un outil pour les générer.

Pour Linux et OSX la compilation peut se faire avec des outils plus classiques mais évidemment pas avec les fichiers de build iOS ou Android. Et encore une fois il faut maintenir ces fichiers de build.

À moins qu'on ait un outil pour les générer tous…

Quelques systèmes de build

Le problème de la gestion de la compilation d'un projet a été posé bien avant ta naissance ; c'est pour cela qu'il n'existe qu'une seule méthode pour le faire, qui fait consensus depuis des décennies.

Ha ! Ha ! Ha !

Je peux te citer déjà douze outils de tête. Voyons un peu la présentation faite sur leurs sites respectifs et essayons de rester de bonne foi.

Make

D'après le site :

GNU Make est un outil qui contrôle la génération d'exécutables et autres fichiers non-source d'un programme à partir des fichiers source du programme.

J'ai mis la description du site de GNU Make mais la première version de Make date d'avril 1976. Elle précède ainsi le projet GNU de sept ans.

Le principe de base de Make est assez simple, on lui passe un fichier Makefile qui indique « voilà le fichier que je veux créer, il dépend de ces autres fichiers, et voilà les commandes à exécuter pour le créer ». Avec le mécanisme des dépendances l'outil se débrouille pour créer les cibles dans l'ordre.

Il m'arrive encore de créer des petits Makefiles manuellement mais c'est vite pénible. Par exemple, si un binaire app est créé à partir d'un fichier a.cpp qui inclut un fichier b.hpp qui inclut lui-même un fichier c.hpp, en toute rigueur je dois lister ces trois fichiers en dépendances de la cible app pour que la compilation soit refaite quand l'un d'eux est modifié. On fait ça une fois puis on cherche un truc pour que les dépendances soient gérées automatiquement.

Un autre point difficile à gérer concerne la dépendance au fichier Makefile lui-même. Par exemple, si j'ajoute une option qui concerne l'édition des liens, celle-ci ne sera pas refaite par défaut.

Autotools

[Le premier objectif des Autotools] est de simplifier le développement de programmes portables. Le système permet au développeur de se concentrer sur l'écriture du programme, simplifiant de nombreux détails de portabilité entre systèmes Unix et même Windows, et permettant au développeur de décrire comment construire le programme via des règles simples plutôt que des Makefiles complexes.

Si vous avez déjà utilisé les autotools vous êtes probablement morts de rire en lisant ce paragraphe. Cette suite d'outils qui se présente comme simple et portable est en réalité ce qu'il y a de plus complexe en système de build et n'est portable que sur les systèmes Unix en évitant soigneusement Windows, le plus déployé des systèmes des trente dernières années.

Sans doute révolutionnaire à sa création, cet outil a extrêmement mal vieillit. Pour ma part j'ai eu l'occasion de compiler des logiciels tiers sous Windows avec ça et c'était tout simplement l'enfer. J'ai aussi tenté de l'utiliser pour mes propres projets et je me suis arrêté dans le tuto. Depuis je suis convaincu que ces outils sont faits pour les développeurs qui aiment transpirer.

SCons

SCons est un outil Open Source de construction de logiciel—plus précisément, une nouvelle génération d'outil de construction. Voyez SCons comme un substitut amélioré et multi-plateforme pour l'utilitaire Make classique avec des fonctionnalités intégrées similaires à autoconf/automake et aux caches de compilation tels que ccache. Pour faire court, SCons est un moyen plus facile, plus fiable et plus rapide de construire un logiciel.

Wow, là c'est carrément le futur.

Les fichiers SCons s'écrivent directement en Python, ce qui est assez sympa puisqu'on se retrouve avec un vrai langage et un a accès à un tas de bibliothèques pour décrire le projet.

J'ai compilé quelques projets en SCons il y a une quinzaine d'années et je crois que je n'ai jamais rien vu d'aussi lent. Et pas seulement parce que c'est du Python…

Il faut dire que le comportement par défaut de l'outil est de détecter les modifications des fichiers sources en calculant un md5 des fichiers, pour éviter de recompiler des fichiers dont seule la date a changé. Quand on voit le prix d'un md5 je trouve ce choix très discutable. Ce comportement peut être modifié via une option mais même en passant sur une comparaison de timestamps et en appliquant toutes les astuces connues pour le rendre plus rapide, ça reste hyper lent.

Premake

Un système de configuration de construction puissamment simple
Décrivez votre logiciel qu'une seule fois, via la syntaxe simple et facile à lire de Premake, et construisez-le partout.
Générez des fichiers de projets pour Visual Studio, GNU Make, Xcode, Code::Blocks, et plus sous Windows, Mac OS X et Linux. Utilisez l'intégralité du moteur de script Lua pour que la configuration de la construction devienne du gâteau.

Pfiou, ça claque ! Ce n'est que le quatrième dans la liste et ça promet déjà de tout résoudre

Avec Premake les scripts de builds sont écrits en Lua et, à l'instar de SCons, cela permet de « programmer » son build en profitant de tout un tas de bibliothèques.

Sur le papier c'est très sympa, en pratique ça ne marche pas trop comme attendu. Il s'avère que la syntaxe de Premake est déclarative et ne se mélange pas bien avec le procédural de Lua. Par exemple, si j'écris
```
project "P"

if false then
    files
    {
      "file.cpp"
    }
end
```
On pourrait croire que le fichier file.cpp ne fera pas partie du projet P, et bien pas du tout, le if ne change rien du tout ici. Difficile de programmer dans ces conditions.

Nous utilisons Premake depuis presque quatre ans au boulot. Le choix s'est fait en sa faveur bien que l'outil était en alpha car il permettait de générer des fichiers pour Xcode et ndk-build via deux plugins indépendants, en plus des Makefiles classiques. Aussi, il avait l'air facile à hacker ce qui était rassurant.

Maintenant j'essaye de le remplacer autant que possible.

Parmi les problèmes récurrents le plus pénible est certainement le message error: (null), sans autre info, que l'outil affiche parce qu'une erreur s'est glissée dans un script. Bonne chance pour déboguer ça. J'aime aussi beaucoup le message Type 'premake5 --help' for help qui s'affiche quand je fais une faute de frappe sur la ligne de commande. Là encore il n'y a aucune information utile et il faut se débrouiller pour trouver où on s'est trompé. Autre souci : il n'y a pas moyen de mettre des propriétés de link spécifiques à une bibliothèque. C'est embêtant quand on a besoin d'un -Wl,--whole-archive.

Le développement de Premake en lui-même a l'air très laborieux. Quatre ans après il est toujours en alpha, avec une release datant d'août 2017. Le module Xcode a été intégré mais ne gère que OSX. Il a fallu réappliquer toutes nos modifs pour iOS. Quant au module pour le NDK il ne fonctionne plus suite à des changements dans Premake (hey, c'est une alpha…). Là encore il a fallu repatcher.

Il y a de nombreux contributeurs, dont des gros, mais chacun a l'air d'aller dans sa propre direction sans qu'il y ait d'objectif commun. Il y a par exemple deux générateurs de Makefiles, gmake et gmake2 (j'attends impatiemment yagmake). Il y a des fonctionnalités qui ne marchent qu'avec Visual Studio, d'autres trucs qui fonctionnaient il y a quatre ans et qui ne fonctionnent plus. Ça m'a l'air d'être typiquement le projet qui veut tout faire parfaitement et qui au final ne fait rien de bien. Bref, le produit n'est pas à la hauteur du pitch.

CMake

CMake est une suite d'outils open source et multi-plateforme conçus pour construire, tester et empaqueter des logiciels. CMake est utilisé pour contrôler le processus de compilation du logiciel via des fichiers de configuration indépendants du compilateur et de la plate-forme, et il génère des fichiers Makefiles natifs ou des projets qui peuvent être utilisé avec l'environnement de compilation de votre choix.

CMake est tout simplement mon outil de build préféré de ces quinze dernières années.

Tout est dit.

Bon OK, j'explique. CMake lit des fichiers CMakeLists.txt qui décrivent les projets à compiler dans un langage qui lui est propre. À partir de cela il génère des fichiers Makefile ou autres (des projets Xcode ou Visual Studio par exemple) qui permettent de construire le projet.

Ce qui m'a convaincu dans cet outil est qu'il est plutôt rapide (bien qu'il ne soit pas le plus rapide) et qu'il gère parfaitement les règles de reconstruction des cibles. Par exemple, si j'ajoute un paramètre de ligne de commande pour l'édition des liens, alors l'édition des liens va être refaite. Si je modifie un fichier CMakeLists.txt et que j'exécute make sans relancer CMake, alors CMake se relance tout seul (les Makefiles ont une règle de dépendance vers les CMakeLists.txt, pas con!) Je peux aussi simplement définir les répertoires d'entêtes, options de compilation et autres paramètres spécifiques à chaque projet, en précisant s'il le paramètre doit être visible des projets dépendants ou non.

L'outil est assez bien fichu et est très populaire dans le milieu du C++.

Un des points les plus souvent reprochés à CMake est son langage, notamment à l'époque de la version 2 de l'outil qui était excessivement verbeuse et en plus en ALL CAPS. On avait l'impression de se faire crier dessus à longueur de fichier. Aujourd'hui ces soucis sont résolus et le problème semble surtout être que cela fait un langage de plus à apprendre et qui ne sert à rien d'autre (contrairement à SCons et Premake par exemple). Perso je n'y vois pas de difficulté, c'est un bête langage à macros avec des mécanismes bien pratique pour nommer des groupes de paramètres.

Comme d'habitude la qualification « indépendants du compilateur et de la plate-forme » des fichiers de configuration est très discutable dans la mesure où il y a tout ce qu'il faut pour glisser des commandes système dans le build.

Les principaux problèmes que j'ai pu rencontrer avec une version récente de CMake concernent l'export de projet. En effet il y a une commande install(EXPORTS) qui permet de créer un fichier de configuration CMake pour inclure la cible en tant que dépendance dans un projet tiers. Malheureusement cette commande exporte par défaut les chemins absolus des dépendances de la cible et il faut bricoler pour exporter les dépendances proprement (en les enrobant dans des cibles importées par exemple).

Un autre souci est que CMake génère plein de fichiers intermédiaires et qu'avec la pratique généralisée de lancer le build à la racine du projet on se retrouve à polluer toute l'arborescence. Idéalement il faudrait que l'outil refuse de faire un build in-source.

Ninja

Ninja est un petit système de construction se concentrant sur la vitesse. Il est différent des autres systèmes de construction sur deux aspects majeurs : il est conçu pour que ses fichiers d'entrées soient générés par un système de construction de plus haut niveau, et il est aussi conçu pour exécuter les builds le plus rapidement possible.

Ah cool, encore un outil qui se veut rapide, c'est exactement ce qu'il nous manquait. En plus quand on voit SCons et Premake qui se prétendent déjà les plus rapides, on a tout de suite confiance. Cela dit, contrairement à SCons et Premake, Ninja n'est pas un générateur de script de build. Il serait plutôt à comparer à Make.

Je n'ai jamais utilisé Ninja mais si jamais mes builds devenaient très lents je n'hésiterais pas à y jeter un coup d'œil. À moins que je ne passe à Meson.

Meson

Meson est un système open source de construction voulant être à la fois extrêmement rapide et, encore plus important, aussi accessible que possible.

Bon là je désespère. Encore un outil qui veut être le plus rapide et toujours pas d'outil qui prétend fonctionner correctement.

Je n'ai jamais utilisé Meson mais on m'a dit que c'est-nouveau-c'est-bien-tu-devrais-essayer.

Pourquoi pas, enfin moi je cherche surtout un truc qui me génère de quoi faire un build iOS, Android, OSX et Linux. Un truc qui juste marche quoi.

FASTbuild

FASTBuild est un système de construction open source et de haute performance supportant une haute montée en charge de la compilation, la mise en cache et la distribution sur le réseau.

Non mais franchement…

Là encore je n'ai pas utilisé cet outil. La promesse est sympa mais je ne vois pas trop l'intérêt par rapport aux deux mille autres outils du même genre.

Sharpmake

Sharpmake est un générateur de projets et solutions pour Visual Studio. Il est similaire à CMake et Premake, mais il est conçu pour être rapide et passer à l'échelle.

Celui-ci est développé par Ubisoft initialement en interne et libéré en septembre 2017. Apparemment il n'y a plus d'activité dans le dépôt depuis octobre de la même année. Comme son nom l'indique, les scripts de build sont écrits en C#.

D'après la doc il sait aussi générer des projets pour Xcode et des Makefiles. J'ai longtemps considéré l'utiliser en remplaçant de Premake mais d'une part c'est écrit en C#, donc c'est mort pour l'utiliser sous Linux, et d'autre part je sens bien que tout ce qui n'est pas Windows et Visual Studio va être bancal.

Maven

Apache Maven un outil de compréhension et de gestion de projet logiciel. Basé sur le concept de modèle d'objet de projet, Maven peut gérer la construction, le compte-rendu et la documentation d'un projet depuis un élément central d'information.

Je ne sais pas vous mais moi je comprends à peine le descriptif. C'est peut-être ma traduction qui est foireuse.

Maven est un outil du monde Java. J'ai pu l'utiliser un peu via des scripts déjà prêts et il n'y a pas grand-chose à lui reprocher de ce point de vue. Ça m'a l'air assez cool pour la gestion des dépendances.

C'est un outil qui a l'air très professionnel. Ah mais attend… c'est pour ça qu'on comprend rien au descriptif ! La première version date de 2004 et c'est donc tout naturellement que le langage le plus populaire du début du siècle a été choisi pour les scripts de build, je parle bien sûr du 🎉 XML 🎉.

Ant

Apache Ant est une bibliothèque Java et un outil en ligne de commande dons la mission est de piloter des processus décrits dans des fichiers de construction en tant que cibles et points d'extensions dépendant les uns des autres.

Là encore ça sent le professionnalisme. Les fichiers Ant sont des sortes de Makefiles mais écrits en XML. Faut-il le préciser, Ant est lui aussi un outil du monde Java.

Gradle

Accélérez la productivité des développeurs
Depuis les applications mobiles aux micro-services, des petites startups aux grandes entreprises, Gradle aide les équipes à construire, automatiser et livrer de meilleurs logiciels, plus rapidement.

Je te laisse deviner à quel langage est destiné cet outil.

Gradle est l'outil de référence pour les builds des applications Android et c'est donc dans ce cadre que j'ai pu l'utiliser. Les scripts Gradle sont écrits en Groovy, un langage que je n'ai jamais utilisé par ailleurs. Perso je trouve pas ça génial mais c'est peut-être simplement parce ce que c'est loin de ce que l'on fait en C++.

Les trucs qui me fatiguent le plus avec Gradle sont d'abord le temps de compilation. La compilation du projet Java de nos jeux, une partie qui contient pourtant peu de code, prend quasiment une minute. L'autre souci est de trouver de la doc claire et facile à digérer. La doc officielle représente à peu près 24% du web^{[référence nécessaire]}, ce qui fait que la moindre interrogation demande déjà plusieurs heures de lectures, et les exemples de StackOverflow et divers blogs sont assez disparates.

Que choisir

Déjà douze outils et rien n'a l'air de dominer le marché :/ Sans doute faudrait-il inventer un nouvel outil pour les remplacer tous, quelque chose d'hyper rapide, évolutif, mais aussi adapté aux processes de déploiement intraprocéduraux sur concentrateur décentralisés pour les plus professionnels d'entre nous, avec des scripts dans un langage populaire, type GOTO++.

Malgré tout ce choix je n'ai rien trouvé qui résolve mon problème : générer un projet pour iOS, Android, Linux et OSX avec un seul script. Si vous avez une idée, ça m'intéresse.
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur
Install Party GNU/Linux le 29 août 2015 à Marseille (Dépêches LinuxFR)
L’association CercLL (CercLL d’Entraide et Réseau Coopératif autour des Logiciels Libres) vous invite à une install-party GNU/Linux, le samedi 29 août 2015 de 14h30 à19h30, dans la salle de la Fabulerie au 4 rue de la Bibliothèque 13001 Marseille (près du Conservatoire).
- lien n°1 : CercLL
- lien n°2 : Agenda du Libre
- lien n°3 : OpenStreeMap
Vous avez envie de découvrir un système d’exploitation libre, simple d’utilisation, stable, rapide et sécurisé. Une nouvelle façon d’utiliser votre ordinateur.

Vous vous sentez une affection naissante pour le Gnou et le Manchot, les mascottes de GNU/ Linux.

Au programme :
- Découverte de l’univers des logiciels libres.
- Installation d’un environnement GNU/ Linux, ainsi que le meilleur des logiciels libres.
Venez avec votre ordinateur, nous installerons ensemble une distribution GNU/Linux avec un ensemble de logiciels libres et gratuits pour une utilisation quotidienne.

Ouvert à tous – accessible aux débutant-e-s

Une participation de 2 euros est demandée.

L’adhésion à l’association est de 20 euros annuelle.
Télécharger ce contenu au format Epub

Lire les commentaires
Tutoriel 3D - 2D découpe au laser, le retour du tux (Journaux LinuxFR)
Sommaire
Tranche de pingouin

Chose promise, cause perdue. Voici comment transformer un modèle 3D en tranches de bois pour découpe laser. Et en bonus, mon essai initial de découpe en création originale.

Les outils que j’ai utilisé sont blender et inkscape, et ce juste parce que je les connaissais et donc plus facile pour expérimenter.

Note aux amateurs de freecad, j’ai commencé à regarder comment ça marche, au cas où ce serait plus simple avec, si jamais je trouve une idée et le courage de refaire un tuto, ça me fera un zeugma.

Au début était le cube

Ouvrir un nouveau fichier dans blender et mettre la scène en métrique, car sinon les mesures ne sont pas fixées par taille réelle. Notez que à chaque étape du tuto on aura des soucis de conversion de dimensions, donc en fait… mais bon faut pas en profiter pour être négligent.

Retirer le cube et ajouter le Tux à la scène. Vous pouvez le trouver ainsi que toutes les licences à Tuuuuuuux
- Faire face au tux (1 au pavé num)
- Mettre la vue iso (5 au pavé num)
- sélectionner le tux
- passer en editor mode (tab)
- Sélectionner le dessous des pattes (B) qui est rond
- Niveler (SZ0)
- sélectionner les deux centres des pattes, (S) Snap cursor to selected
- rebasculer en object mode (tab) , transform origine to 3d cursor (object/transform)
Maintenant, le tux est calé pour avoir le plancher des pattes en comme origine, à la verticale du pseudo centre de gravité que nous venons de choisir.

mettre la bête en Z 0.

Il est gros vot manchot ?

Il nous faut choisir une taille, suffisamment grosse pour que ce soit cool, et pas trop gros pour limiter le prix. Comme l’objet c’est aussi tester une bonne quantité d’épaisseurs pour voir comment ajuster la taille théorique d’une planche par rapport à sa taille réelle (il reste du vide, la colle ça épaissit, les planches sont pas forcément pile à la taille).

Une planche 2mm chez sculpteo (chez qui je teste la découpe laser) fait 94cm*59cm, il faut aussi essayer de rester dans une seule planche avec tous les morceaux. Le tux est presque aussi large que haut, du coup on cherche une approximation de cube découpé en tranches et étalé fait la même surface en gardant un peu de marge. ça fait 55 tranches, donc une hauteur de 116.875mm

Et si on l’écartelait ?

Il nous faut séparer les pattes du corps du tux (ce sont des objets distincts dans le modèle de base en fait et elles s’interconnectent :

Il faut les réunir par booléen union au corps pour avoir un seul objet avec un intérieur/extérieur propre.

On peut maintenant appliquer une subdivision sur le tux CTRL+3, parce que le tux aime la douceur, et pas que celle angevine.

Lui sculpter des yeux plus sympa, parce que même si tout le monde ne veut pas l’avouer, pour avoir l’air cool faut quand même avoir un peu l’air con.

Mais quand est-ce qu’on coupe ?

Patience, il faut regarder un peu avant de couper. Placer un plan plus grand que le tux au sol, genre 20cmx20cm et lui appliquer un booléen d’intersection avec le tux. Et regarder en bougeant le plan sur Z comment seront les tranches.

On voit deux endroits à problème, les ailes et la queue qui auront des tranches avec plus que un morceau, ce qui est plus complexe à coller.

par ex les ailes :

Ce sera lourd à coller ensuite, on peut mais pourquoi…

autant relier les ailes au tronc le plus légèrement possible, avec un lien de 1mm de large.

idem au niveau de la queue :

J’ajoute un bloc en union au niveau de la queue, le plus ajusté possible par un booléen union.

Cela vous permettra de facilement coller, il sera toujours possible de le limer après collage.

Il faut bien nettoyer le résultat de l’union à l’intérieur du tux, ne pas laisser de cloisons internes, c’est à dire éviter d’avoir des plan à l’intérieur des plans :

Finir de nettoyer en retirant les doublons de vertices, boucher les trous, assurer les normales pour que ce soit clair ce qui est à l’intérieur et à l’extérieur.

Et si on l’empalait ?

Pensons au support central qui va nous permettre de facilement positionner et coller les tranches de tux, il va être en trapèze et ressembler à ça au niveau d’une tranche :

Le choix de la découpe sera donc toujours du côté le plus grand, en bas. Donc notre référence pour le positionnement des plans de découpe doit être la face basse de chaque tranche.

Replaçons le plan à 0.01mm en Z (pour éviter le chevauchement parfait des surface avec les pattes Z=0), pensez à remettre tous les éléments avec scale=1 (Ctrl+A scale and rotation) pour la suite.

Faire une array de 50 plans en Z espacés de 2.125mm, faire le booléen intersection avec le tux. Lors de la réalisation de mon bureau réel avec des tux, j’ai constaté que l’empilage de x tranches de 2mm n’a pas un résultat de x*2mm, mais avec l’air restant et la colle environ 2.125. Je vais affiner avec ce tux cette estimation mais déjà on part de 2.125mm par tranche.

On voit les tranches et on voit des petits problèmes

Une tranche qui manque en haut et le cul qui a une mini tranche en bas.

Diminuer le overlap thresold du booléen pour que le problème du haut disparaisse :

Remonter le point du bas du tux pour supprimer le second problème et non, ce n'est pas lui mettre un doigt dans le cul car ça ne doit pas rentrer :

Nickel !

Simulons une épaisseur des tranches pour avoir un aperçu du résultat réel, ajoutons au plan un modifier solidify 2mm avec l’offfet à +1 (vers le haut) pour suivre le plan d’avoir la face basse comme référence :

Le résultat est conforme, retirez le solidify, il ne doit pas interférer avec l’étape de création du lien central.

On l’empale plus ?

Mais si, mais si. En fait ce n’est pas obligatoire, mais ça facilite le positionnement des étages, et on peut aussi le garde sans le coller. Le lien central doit avoir une forme de trapèze et être parfaitement vertical, car pour l’instant sculpteo ne fait pas de découpe oblique.

Il doit faire une épaisseur égale à celle du bois. Pour mon exemple je suis resté sur mon approximation (2.125mm) mais normalement il faut prendre 2mm et ajuster avec l’épaisseur du kerf qui est la taille du laser laissant un vide de découpe autour du trait de coupe. En pratique lors de mon premier essai j’ai eu des soucis d’épaisseur et j’ai du poncer mon trapèze. Du coup comme ce n’est pas nécessaire d’ajuster. Je surestime cette fois-ci la taille du trapèze.

Il faut ajuster sa position pour qu’il traverse tout le tux, coup de chance c’est possible sur ce modèle en plaçant la traverse au centre de la dernière tranche du tux. Mais sinon on l’aurait simplement fait avec deux trapèzes sur deux hauteurs.

Ajustez la taille en X et la hauteur de la partie haute pour faire joli, elle va dépasser un peu et même arrondir sa tête (note postérieure en pratique le trapèze sera toujours trop court, il faut juger les tranches encore un peu plus grand que 2.125mm).

En dessous ajuster aussi la taille en X pour donner un beau trapèze

On voit que c’est moche au niveau du pied

On va donc remodeler un peu le trapèze pour qu’il soit plus joli à cet endroit.

Parlons peu, parlons kerf

Le kerf c’est la partie du bois éliminée par le laser, en pratique la découpe est plus petite que le plan car le laser à une taille non ponctuelle. la découpe de la traverse dans les tranches sera donc un peu plus grande que prévu, et la traverse découpée plus court aussi que prévu.

Dans ce modèle, on peut ignorer le kerf et accepter les différences, elles seront minimes et les pièces collées seront bien ajustées.

appliquons donc le booléen différence entre le plan des tranches et la traverse

Le résultat est difficile à voir mais en vue fil de fer c’est visible

C’est la lutte finale

On peut passer à la phase finale, on réalise les “modifier” sur les planches, puis on aplati le trapèze en retirant les vertices d’un côté.

En mode éditeur, on sépare toutes les tranches (P+loose parts en mode édition) et on les étale dans le bon ordre en vue du dessus. Attention, les numéros générés lors de la réalisation de l’array ne sont pas forcément dans l’ordre de Z…

Pour ne pas me planter, je me met dans une vue adaptée et je bouge une par une les tranches avec des gx0.1 … Je vérifie bien que tout est dans l’ordre puis je met tout le monde à plat (sélectionner tout A puis SZ0)

Nous allons avoir des soucis de conversion de taille entre blender puis Inkscape puis sculpteo… on commence par poser un étalon dans blender, un plan au sol de 1cm sur 90cm

Le petit oiseau va sortir

Enfin presque, il faut encore à faire la photo !

Il existe une option de rendering qui génère du svg.

Mettons la caméra au dessus en mode orthographique, d’abord une résolution 100% sur un ratio approximatif de mon rectangle incluant tout.

puis placer la caméra assez bien au dessus de la scène et changez les paramètres :

L’échelle orthographique est ce qui correspond au zoom, ajustez la valeur pour que tout rentre au plus juste

Tout doit rentrer dans la fenêtre de rendering :

Maintenant depuis les user pref, activez le svg freestyle exporter :

Et activez les deux options freestyle et svg export depuis les options rendering

Pressez F12, une image svg sera générée dans le répertoire indiqué dans output nommé 0001.svg,

Ouvrez le dans Inkscape, dégroupez et sélectionnez l’étalon. mettez lui une épaisseur de contour à 0 pour ne pas fausser la taille et regardez sa taille. Dans mon cas je tombe sur 35.719cm.

Je vais donc changer la résolution de l’image pour ajuster la taille d’un facteur de 90/35.719=2.52

Je change dans blender le render pour :

Re F12 et vérification.

Mon étalon fait maintenant 1cm sur 90.01cm.

aller, on essaie avec un pixel de moins en Y :), on tombe sur 89.987. C’est moins bon, retour en arrière.

Maintenant que l’on a les bonnes tailles dans Inkscape, il faut nettoyer. Parce que le freestyle a introduit des pixels de temps en temps.

Je prends donc chaque découpe pour la repositionner au mieux et aussi supprimer les traces.

Pour m’aider et aussi servir d’étalon entre Inkscape et sculpteo je place un cadre dans une autre couleur qui délimite ma sélection, 53.5cm de large sur 75cm de haut.

Et je fais tout rentrer dedans.

Je vérifie chaque pièce pour assurer qu’il n’y a pas de défaut, et j’assure les contours à 1px et mon cadre avec une couleur différente

C’est prêt.

Pour ceux qui sont plus observateurs que moi, vous verrez que j’ai oublié de grouper une fente dans une tranche. Moi je vais le voir au montage plus tard…

TuxOlaser

J’upload chez sculpteo.

Deux couleurs sont détectées, l"une correspond au noir et l’autre au rouge du cadre. Les mesures n’ont pas été conservées, je ne sais pas pourquoi… mais mon cadre me permet de choisir un ajustement de taille à 26.5% qui me redonne les bonnes dimensions.

Je peux alors désactiver le cadre rouge dans sculpteo (style 2 sur aucun et voila !

prêt à couper.

Livraison comprise il vous en coûtera 53.33€.

Pour info, les tux du bureau ont coûté moins cher, ils étaient en une seule livraison et un peu plus petits, 72€ les 3.

Déboitage du tux et montage

Je hais les video de unboxing, et me voilà moi même à déboiter…

Bon, puisqu’il faut :

la boite est bien protégée

et la planche dans la mousse

Les pièces sont tenues par du scotch, il faudra faire attention en retirant le scotch de ne pas casser les pièces fragiles.

Je numérote mes pièces avant de défaire, c’est moins cher que de faire des numéros au laser.

Ensuite on empile jusqu’à la fameuse pièce 33 qu’il faudra redécouper.

Tadaaaa

A propos de licences

J’ai fouillé pour trouver les licences attachées au modèle de base, les voici :

https://opengameart.org/content/tux

https://opengameart.org/sites/default/files/license_images/gpl.png

http://www.gnu.org/licenses/gpl-3.0.html

https://opengameart.org/sites/default/files/license_images/cc-by.png

http://creativecommons.org/licenses/by/3.0/

Les fichiers

Voila les fichiers sources blender et le inkscape (piece 33 corrigée)

fichier blender

fichier svg
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur
De la différence entre PAM et NSS (Laboratoire Linux SUPINFO)
De la différence entre PAM et NSS

Note: ce document est le dernier d'un cycle de trois articles sur l'authentification sur les systèmes Linux. Les premier se trouvant ici et le deuxième là.

Lorsque l'on aborde l'authentification sous Linux, on est vite confronté aux deux mécanismes que sont PAM et NSS. Et à ce moment là une question peut venir à l'esprit : Quelle est la différence entre PAM et NSS qui permette de choisir l'une ou l'autre de ces solutions ?
C'est donc à cette question que je vais essayer de répondre ici.

Il est vrai qu'au premier abord ces mécanismes semblent faire la même chose, à savoir pouvoir s'authentifier sur un système Linux en utilisant différents services (fichiers plats locaux, serveur LDAP, serveur Active Directory, etc).

Mais en regardant de plus près, on peut s'apercevoir qu'ils n'ont qu'une petite partie commune.
En effet, il suffit simplement de s'intéresser à leurs noms pour comprendre leur fonction réelle.
Pour PAM, Pluggable Authentification Modules, on se rend bien compte que son rôle est l'authentification des utilisateurs. Par contre, pour NSS, Name Service Switch, c'est une autre histoire. NSS est, comme son nom l'indique, une série d'interrupteurs pour choisir les services de données du système. Ces données peuvent être les utilisateurs, et dans ce cas là cela peut rentrer en compte pour l'authentification, mais ils peuvent être aussi beaucoup d'autres choses comme des noms de domaines, des listes d'alias d'adresses email, des correspondances entres des numéros de port et des services, etc. Le rôle de NSS est en fait de gérer les sources qui alimenteront la liste de ces types de données.

Afin de mieux comprendre à quel moment PAM et NSS peuvent se chevaucher, il suffit de s'intéresser à l'évolution de l'authentification sur les systèmes Linux.

À l'origine, les applications authentifiaient l'utilisateur en faisant appel aux bibliothèques du système. Ces dernières allaient alors regarder dans les fichiers /etc/passwd et /etc/shadow afin de vérifier l'existence de l'utilisateur et la conformité du mot de passe entré.
On peut schématiser ce processus ainsi :

Ensuite, avec l'arrivée de NSS, on a pu élargir le nombre de sources pour les données du système. Concrètement, au lieu d'aller chercher les données seulement dans les fichiers plats, les bibliothèques système ont pu utiliser d'autres sources comme un serveur LDAP, une base de données SQL, un serveur Active Directory, etc. Mais ce sont toujours ces bibliothèques qui gardent le rôle d'authentifier l'utilisateur et donc cette authentification se fait sur le système local.
Cela a au final changé notre précédent schéma ainsi :

Enfin, lorsque les distributions Linux ont implémenté PAM, l'authentification n'a plus forcément été faite par les bibliothèques du système. C'est PAM qui à ce moment là choisit comment se fait l'authentification, suivant les modules qui sont activés. Si le module est pam_unix.so, l'authentification sera toujours gérée par les bibliothèques système en fonction des données fournies par NSS. Au contraire, si le module est pam_ldap.so ou pam_krb5.so, l'authentification se fera via un serveur LDAP ou Kerberos. C'est à dire que dans ce dernier cas, c'est au serveur externe que sera déléguée la vérification du jeton (ou mot de passe) et non plus sur le système local.
En reprenant notre schéma, on arrive à ce résultat :

On se rend maintenant compte pourquoi on peut avoir l'impression que PAM et NSS se chevauchent dans leur rôle.

Les principales différences que l'on peut noter entre ces deux mécanismes sont donc les suivantes :
- Avec NSS l'authentification est gérée par le système local, alors qu'avec PAM elle est délégué à un serveur externe (lorsque le module choisit n'est pas pam_unix.so). L'avantage qui en découle pour PAM est que le mécanisme d'authentification sera le même sur toutes les machines du réseau.
  Au contraire, cela pouvait poser problème avec NSS car chaque machine vérifiait le mot de passe suivant son propre mécanisme. En effet, si les machines d'un parc utilisent NSS et qu'une de celles-ci créé un utilisateur avec un mot de passe chiffré en MD5 qui est ensuite stocké dans un serveur LDAP, l'utilisateur ne pourra pas se connecter sur un machine chiffrant ses mots de passe en SHA-2 car la vérification sera fausse.
- PAM est réellement dédié à l'authentification contrairement à NSS qui lui gère les sources qui alimenteront une liste de données. PAM permet donc d'effectuer diverses actions en plus de la simple vérification du jeton. Il peut par exemple limiter l'accès de l'utilisateur à certains horaires ou certains moyens (console, interface graphique) ou empêcher l'authentification après un certain nombre d'échecs.
  C'est aussi parce qu'il est dédié à l'authentification que PAM peut authentifier un utilisateur via Kerberos contrairement à NSS. En effet Kerberos utilise des jetons, ce qui ne sert à rien à NSS pour alimenter les listes de données qu'il a à gérer.
Pour conclure, le choix entre PAM et NSS est une question qui a déjà été évoquée sur le Web, mais sans obtenir de réponse précise et développée. J'espère donc avoir pu éclairer les utilisateurs qui se retrouvent un jour confrontés au système d'authentification de Linux.

Ressource supplémentaire :
- Explication de la différence entre l'authentification via PAM et via NSS sur les forum d'HP, avec l'exemple de LDAP (en anglais) :
  http://h30499.www3.hp.com/t5/System-Administration/which-ldap-authentification-pam-or-nss/m-p/3033691/highlight/true#M133089
LinuxFr.org : première quinzaine de juin 2018 (Journaux LinuxFR)
Nonante huitième épisode dans la communication entre les différents intervenants autour du site LinuxFr.org : l’idée est tenir tout le monde au courant de ce qui est fait par les rédacteurs, les admins, les modérateurs, les codeurs, les membres de l’association, etc.

L’actu résumée ([*] signifie une modification du sujet du courriel) :

Statistiques

Du 1^er au 15 juin 2018
- 1528 commentaires publiés (dont 8 masqués depuis) ;
- 248 tags posés ;
- 80 comptes ouverts (dont 6 fermés depuis) ;
- 35 entrées de forums publiées (dont 0 masquée depuis) ;
- 20 liens publiés (dont 1 masqué depuis) ;
- 21 dépêches publiées ;
- 25 journaux publiés (dont 1 masqué depuis) ;
- 3 entrées nouvelles, 1 corrigée dans le système de suivi ;
- 1 sondage publié ;
- 0 pages wiki publiées (dont 0 masquée depuis).
Listes de diffusion (hors pourriel)

Liste webmaster@ - [restreint]
- R.A.S.
Liste linuxfr-membres@ — [restreint]
- [membres linuxfr] Bouffe des 20 ans le 28 juin à Paris
Liste meta@ - [restreint]
- [Meta] Incident du jour sur SSL/TLS
- [Meta] Quel avenir pour la tribune ?
Liste moderateurs@ - [restreint]
- [Modérateurs] certificat linuxfr expiré
- [Modérateurs] Incident du jour sur SSL/TLS
- [Modérateurs] Certificat SSL
- [Modérateurs] où se trouve les CSS de Linuxfr
- [Modérateurs] forum - bug pour s'inscrire ?
Liste prizes@ - [restreint]
- [Prizes] LinuxFr prizes recap du samedi 9 juin 2018, 13:35:23 (UTC+0200)
- [Prizes] J'ai gagné un livre!
Liste redacteurs@ - [public]
- [Rédacteurs] Incident du jour sur SSL/TLS
Liste team@ - [restreint]
- [team linuxfr] Certificat SSL du site linuxfr.org expiré
- [team linuxfr] Tweet de Laurent Jouanneau (@ljouanneau)
- [team linuxfr] Incident du jour sur SSL/TLS
- [team linuxfr] Purge du compte X [*]
- [team linuxfr] réouverture de compte
- [team linuxfr] Organisez des événements dans le cadre de la Fête des Possibles, du 15 au 30 septembre 2018
Liste webmaster@ — [restreint]
- R.A.S.
Canal IRC adminsys (résumé)
- certificat X.509 périmé (encore merci à tous ceux qui l'ont signalé), passage à Let's Encrypt et communication post-incident
- renouvellement du domaine (encore merci Yann)
- dernière version de Jessie (8.11) prévu le 23 juin, et ensuite passage en fin de vie
- question relative à la configuration DMARC de la liste Sympa des modérateurs qui change le From de l'émetteur dans certains cas
- rachat de GitHub par Microsoft et dépôts LinuxFr.org. Faut-il bouger et pourquoi.
- Let's Encrypt et HTTP en clair pour le renouvellement ? Voir par exemple la discussion
- discussion sur les aspects sécurité de l'affichage distant d'images sur la tribune
- « 20 ans le bel âge pour mourir », ah non ça parle de Yahoo Messenger, pas de nous
- 20 ans du site et POSS en décembre ?
- courriels envoyés pour préparer les entretiens des 20 ans
- peu de présents aux RMLL dans l'équipe. Snif. Me laissez pas tout seul.
- migration de alpha et main en Jessie
- travaux en cours pour nettoyer le dépôt git d'admin (avec des fichiers générés par ansible notamment). Sans oublier de finaliser la partie Let's Encrypt…
- toujours un conteneur à migrer en Jessie, et ensuite trois en Stretch. Et aussi un hôte Trusty à mettre à jour.
Tribune de rédaction (résumé)
- idée de dépêche : NetHammer (finalement parue sous forme de lien)
- avis de grand calme
Tribune de modération (résumé)
- peu de présents aux RMLL dans l'équipe. Snif. Me laissez pas tout seul.
- du spam
- améliorations de CSS proposées par voxdemonix
- les admins du site ont des facilités techniques pour traquer les spammeurs et les multis, par rapport aux modérateurs
- retour des Geek Faeries
Commits/pushs de code https://github.com/linuxfrorg/
- (springcleaning) admin-linuxfr.org en cours de conversion vers Ansible
- Allow users to choose the source for their tribune smileys in prefere…
- Add a border for missing title on images
- Fix max height for image on computer screen
Divers
- Geek Faëries, c'était du 1^er au 3 juin : conférence « LinuxFr.org, 20 ans que ça geeke » et table ronde « Ces plates‐formes du Libre qui soutiennent les communautés » avec l'Agenda du Libre et En Vente Libre. Encore plein de mercis à Bookynette pour le Village du libre, à l'équipe organisatrice des GF, et à Marco et Marius pour l'hébergement.
- RMLL 2018 Strasbourg : conférence LinuxFr.org : les 20 ans d'un espace d'apprentissage, de communication et d'échange , table ronde Ces plateformes du Libre qui soutiennent les communautés (même thème que celle tenue aux Geek Faëries) et stand
Télécharger ce contenu au format Epub

Commentaires : voir le flux atom ouvrir dans le navigateur

L'actualité de cette partie est agrégé automatiquement à partir d'autres sites.

Linux Certif

Toute la documentation sur la certification Linux LPI

Linux (fr)

Nouvelles fonctionalités

Navigateur de code dédié

Inspecteur sur code de figures programmées

Zoom positionnel

Détection de polygone sans surface

Tests unitaires basés sur figures programmées

Partage réseau

Thèmes graphiques

Option plein écran

Sommaire

Ali Gholami Rudi

Ce que Neatmail ne fait pas

Ce que Neatmail fait

Le commande ex de neatmail

Un script shell comme interface

Conclusion

Accroche toi au pinceau

J'enlève l'échelle

Cuisine

Conclusion

Sommaire

Le FPU

Le bâton

Pour se faire battre

Les correctifs

Conclusion

Statistiques

Listes de diffusion (hors pourriel)

Canal IRC adminsys (résumé)

Tribune de rédaction (résumé)

Tribune de modération (résumé)

Commits/pushs de code https://github.com/linuxfrorg/

Divers

Sommaire

Introduction

Prérequis

Compétences

Matériel

Logiciel

Nomenclature

Procédure de base

Quelques pistes si ça ne fonctionne pas…

Documentation, pour aller plus loin…

Historique de révisions

Sommaire

Le FPU

Le bâton

Pour se faire battre

Exception

Intel TSX

Retpoline

Les correctifs

Conclusion

Préparation du téléphone

Connexion du téléphone au PC

Générer AndroidScreencast

voir le résultat

Sommaire

DH0. Attaque directe

DH1 Ad Hominem

DH2. Réponse à l'intonation

DH3. Contradiction

DH4. Contre argument

DH5. Réfutation

DH6. Réfuter le point central

Ce que cela signifie

Sommaire

Tranche de pingouin

Au début était le cube

Il est gros vot manchot ?

Et si on l’écartelait ?

Mais quand est-ce qu’on coupe ?

Et si on l’empalait ?

On l’empale plus ?

Parlons peu, parlons kerf

C’est la lutte finale

Le petit oiseau va sortir