Cette semaine, Porte de Versailles, mis à part l’excellent Salon des vignerons indépendants, je suis allé à un autre rendez-vous, lui aussi très porté cette année sur la bouteille : Le Salon Traçabilité.

J’y ai glané quelques gadgets technos.

Les étiquettes de bouteilles sont censées indiquer le vin contenu (c’est l’identification), mais, quelle confiance accorder ? La législation impose à l’embouteilleur d’indiquer sur tout flacon, en plus de sa raison sociale, un numéro de lot  (c’est le numéro commençant par un « L », sur l’étiquette, ou gravé sur le verre). Mais ça, c’est juste pour que les pros engagent des poursuites en cas de bibine frelatée. La liste vins/numéros de lots correspondants n’est pas disponible pour le buveur lambda et celui-ci doit donc croire sur parole l’étiquette papier qui indique un « Grand Cru » et accepter de payer un premium… Bref, l’authentification n’est « garantie » que par la confiance dont on crédite son pinardier (et ses fournisseurs).

Certaines étiquettes incluent des codes barre, une ou deux dimensions, mais là aussi il s’agit généralement d’une codification de l’identité du vin. Un « Chablis Grand Cru Grenouille 2007 de chez Drouin » devient un code barre qui peut être très vite lu sans risque d’erreurs. Mais, rien de plus simple à reproduire pour un fraudeur…

Certaines sociétés proposent alors d’ajouter sur l’étiquette de petits hologrammes plus ou moins technos pour tenter de dissuader la contrefaçon (comme sur nos billets de banque). Peine perdue, tout comme les hologrammes des CDs d’installations Microsoft, les pirates les reproduisent vite.

D’autres sociétés (Arjowiggings security, eProvenance, …) proposent des encres (visibles ou sympathiques) utilisant, entre autre, des nanotechnologies. Ces encres sont quasiment impossibles à reproduire et uniques. Placée sur l’étiquette de bouteille, le professionnel pourra, avec un petit lecteur (cher), la détecter. Si elle est là, la bouteille est authentique, sinon, il s’est fait avoir. Mais le gadget n’est pas à la portée de toutes les bourses.

Novatec, vend, pour quelques dizaines de centimes d’euros, un code à bulles sous le nom « Prooftag » qui offre au buveur un certain niveau d’authentification. L’embouteilleur place sur l’étiquette papier (ou mieux, en travers de la capsule de la bouteille pour servir de sceaux) un autocollant comportant : un numéro de référence et ce code à bulles. Les bulles sont réparties de façon unique et c’est ce à quoi la référence correspond. En entrant cette référence sur le portail web de l’entreprise, le buveur voit une photo du code à bulles, le compare visuellement avec celui qui est sur l’étiquette et peut alors authentifier lui-même sa bouteille. (Château Latour et Château Ausone ont choisi cette techno).

Pour quelques centimes ATT vend un mini code 2D, à peine visible (taille d’une petite coccinelle) et dont on ne discerne pas les pixels à l’œil. Ce code tout petit n’est pas très facile à reproduire et contient l’identification de la bouteille. Il peut être lu avec une caméra spécifique qui lit ce code et identifie/authentifie la bouteille C’est donc réservé à un usage professionnel (montrer un système anti-fraude, c’est « effrayer le consommateur » m’a assené le commercial d’ATT…). Les crus bourgeois Bordelais vont l’utiliser.

Toutes ces technos !… Lors de mon autre salon (celui des vignerons indépendants), j’ai acheté directement mon vin aux producteurs venus à Paris;  en plus de la meilleure authentification possible, j’ai dégusté avec le vigneron. Qui dit mieux ?

J’écrivais ce message à un ami, à propos de mon expérience sur le site xkcd.com.

BD de xkcd

Donc…

• Je vois le dernier xkcd.
• Ça me fait réagir.
• Je veux répondre.
• Je sais qu’il y a des forums pour accompagner ces bande dessinées.
• Je vais sur le forum lié à celui-ci (déjà quelques clics et il fallait que je connaisse l’existence de tout ça).
• J’appuie sur Post Reply
• Ça me demande de m’identifier.
• Comme je crois avoir déjà envoyé quelque-chose là, je me branche avec mon username habituel.
• Ah, mauvais mdp.
• Je fais “forget pw”.
• Oups! J’avais pas de compte avec mon adresse gmail (faut que ça soit la bonne combinaison donc, si je me rappelle pas de mon username, ça marche pas).
• Je me crée un nouveau profil.
• Le captcha est illisible, ça me prend plusieurs tentatives.
• Faut que j’aille sur mon compte gmail activer mon compte sur les forums xkcd.
• Une fois que c’est fait, je me retrouve à la page d’accueil des forums (pas à la page où j’essaie d’envoyer ma réponse).
• Je retrouve la page que je voulais.
• J’appuie sur Post Reply.
• J’écris ma réponse et je l’envoie.
• Évidemment, mon profil est vierge.
• Je vais modifier ça.
• Ça commence par mon numéro ICQ?? Eh bé!
• Plus bas, je vois des champs pour Website et Interests. Je remplis ça rapidement, en pensant au plus générique.
• Il y a aussi ma date de fête. Pas moyen de contrôler qui la voit, etc. Je l’ajoute pas.
• J’enregistre les autres modifications.
• Et j’essaie de changer mon avatar.
• Il y a pas de bouton pour uploader.
• Ça passe par une Gallery, mais il y a rien dedans.
• Je laisse tomber, même si je sais bien que les geeks de xkcd sont du genre à rire de toi si t’as un profil générique.
• Je quitte le site un peu frustré, sans vraiment avoir l’impression que je vais pouvoir commencer une conversation là-dessus.

Deuxième scénario.

J’arrive sur un site qui supporte Disqus (par exemple Mashable).

• Je peux envoyer un commentaire en tant que guest.

You are commenting as a Guest. Optional: Login below.

Donc, si je veux seulement laisser un commentaire anonyme, c’est tout ce que j’ai à faire. «Merci, bonsoir!»

Même sans me brancher, je peux faire des choses avec les commentaires déjà présents (Like, Reply).

Mais je peux aussi me brancher avec mes profils Disqus, Facebook (avec Facebook Connect), ou Twitter (avec OAuth). Dans chaque cas, si je suis déjà branché sur ce compte dans mon browser, j’ai juste à cliquer pour autoriser l’accès. Même si je suis pas déjà branché, je peux m’identifier directement sur chaque site.

Après l’identification, je reviens tout de suite à la page où j’étais. Mon avatar s’affiche mais je peux le changer. Je peux aussi changer mon username, mais il est déjà inscrit. Mon avatar et mon nom sont liés à un profil assez complet, qui inclut mes derniers commentaires sur des sites qui supportent Disqus.

Sur le site où je commente, il y a une petite boîte avec un résumé de mon profil qui inclut un décompte des commentaires, le nombre de commentaires que j’ai indiqué comme “likes” et des points que j’ai acquis.

Je peux envoyer mon commentaire sur Twitter et sur Facebook en même temps. Je peux décider de recevoir des notices par courriel ou de m’abonner au RSS. Je vois tout de suite quel compte j’utilise (Post as…) et je peux changer de compte si je veux (personnel et pro, par exemple). Une fois que j’envoie mon commentaire, les autres visiteurs du site peuvent voir plus d’infos sur moi en passant avec la souris au-dessus de mon avatar et ils peuvent cliquer et avoir un dialogue modal avec un résumé de mon compte. Ce résumé mène évidemment sur le profil complet. Depuis le profil complet, les gens peuvent suivre mes commentaires ou explorer divers aspects de ma vie en-ligne.

Suite à mon commentaire, les gens peuvent aussi me répondre directement, de façon anonyme ou identifiée.

J’ai donc un profil riche en deux clics, avec beaucoup de flexibilité. Il y a donc un contexte personnel à mon commentaire.

L’aspect social est intéressant. Mon commentaire est identifié par mon profil et je suis identifié par mes commentaires. D’ailleurs, la plupart des avatars sur Mashable sont des vraies photos (ou des avatars génériques) alors que sur le forum xkcd, c’est surtout des avatars «conceptuels».

Ce que xkcd propose est plus proche du “in-group”. Les initiés ont déjà leurs comptes. Ils sont “in the know”. Ils ont certaines habitudes. Leurs signatures sont reconnaissables. L’auteur de la bd connaît probablement leurs profils de ses «vrais fans». Ces gens peuvent citer à peu près tout ce qui a été envoyé sur le site. D’ailleurs, ils comprennent toutes les blagues de la bd, ils ont les références nécessaires pour savoir de quoi l’auteur parle, que ça soit de mathématiques ou de science-fiction. Ils sont les premiers à envoyer des commentaires parce qu’ils savent à quel moment une nouvelle bd est envoyée. En fait, aller regarder une bd xkcd, ça fait partie de leur routine. Ils sont morts de rire à l’idée que certains ne savent pas encore que les vraies blagues xkcd sont dans les alt-text. Ils se font des inside-jokes en tout genre et se connaissent entre eux.

En ce sens, ils forment une «communauté». C’est un groupe ouvert mais il y a plusieurs processus d’exclusion qui sont en action à tout moment. Pour être accepté dans ce genre de groupe, faut faire sa place.

Les sites qui utilisent Disqus ont une toute autre structure. N’importe qui peut commenter n’importe quoi, même de façon anonyme. Ceux qui ne sont pas anonymes utilisent un profil consolidé, qui dit «voici ma persona de web social» (s’ils en ont plusieurs, ils présentent le masque qu’ils veulent présenter). En envoyant un commentaire sur Mashable, par exemple, ils ne s’impliquent pas vraiment. Ils construisent surtout leurs identités, regroupent leurs idées sur divers sujets. Ça se rapproche malgré tout de la notion de self-branding qui préoccupe tant des gens comme Isabelle Lopez, même si les réactions sont fortes contre l’idée de “branding”, dans la sphère du web social montréalaisn (la YulMob). Les conversations entre utilisateurs peuvent avoir lieu à travers divers sites. «Ah oui, je me rappelle d’elle sur tel autre blogue, je la suis déjà sur Twitter…». Il n’y a pas d’allégeance spécifique au site.

Bien sûr, il peut bien y avoir des initiées sur un site particulier. Surtout si les gens commencent à se connaître et qu’ils répondent aux commentaires de l’un et de l’autre. En fait, il peut même y avoir une petite «cabale» qui décide de prendre possession des commentaires sur certains sites. Mais, contrairement à xkcd (ou 4chan!), ça se passe en plein jour, mis en évidence. C’est plus “mainstream”.

Ok, je divague peut-être un peu. Mais ça me remet dans le bain, avant de faire mes présentations Yul- et IdentityCamp.

Here’s a neat trick with htaccess files: The page on my diploma thesis should be available to everyone within my university subnet, and to selected people from outside, who may authenticate using usernames and passwords.

This .htaccess file seems to work for it:

AuthUserFile "/home/guenther/htpasswd"
AuthName "Only visible from the TU Kaiserslautern subnet or with username (ask me for it)"
AuthType Basic

Satisfy any

order deny,allow
deny from all
allow from 131.246.

Require valid-user

From the outside, you’re asked for a password, from inside the subnet, you can see it without password. Works.

L’authentification des sites établissant la connexion chiffrée est falsifiable.

Pour cela, il suffirait de prendre le contrôle du DNS du point d’accès et de rediriger celui-ci vers un site contrefait une fois l’authentification faite sur le site légitime.

Ainsi, le navigateur n’y verrait que du feu.

Deux chercheurs ont l’intention de montrer l’exploit lors du Black Hat.

3- Méthode de chiffrement du courrier électronique

• Certificats personnels
• Gnu Privacy Guard
• Thunderbird + enigmail vs Evolution + SeaHorse

Dans les articles précédents nous avons vu quel est le niveau normal de confidentialité sur Internet, celui-ci ayant été qualifié de «niveau carte-postale» puis nous avons eu un aperçu des méthodes de chiffrement habituelles offertes aux internautes et dépendant de l’offre de service des sites web.

Dans ce troisième article nous verrons des méthodes de confidentialité par chiffrement décidées par l’utilisateur en utilisant les moyens Open Source mis à sa disposition. Cet article porte sur les méthodes pratiques de chiffrement du courrier électronique pour passer par la suite, dans les articles suivants de cette série, à d’autres applications et enfin à des méthode de chiffrement de l’ensemble des connexions Internet.

a) Les Certificats personnels

• Les certificats: ce qu’ils sont.

Un certificat est une fichier d’identité numérique permettant d’identifier une entité.

Le certificat numérique est un lien entre une entité physique et une entité numérique. Pour être valide ce certificat doit être généré par une autorité de certification ou «tiers de confiance» qui atteste du lien entre l’identité physique et l’entité numérique. La norme utilisée est en général la X.509.

• Obtenir un certificat personnel:

………..

Il est possible d’obtenir gratuitement un certificat personnel pour le courrier électronique chez Thawte et StartSSL , ce certificat est valable pour une année et est importé d’abord dans le navigateur et doit être exporté depuis les options de sécurité du navigateur pour son utilisation dans votre application de courriel.

• Les certificats: utilisations pratiques et limites

Les certificats personnels de courriel peuvent être utilisés pour signer ou chiffrer / déchiffrer vos courriers. La signature numérique attachée à ceux-ci est en quelque sorte un authentification minimale de votre identité numérique… Il est possible de bonifier le degré de confiance de ce certificat au moyen de signatures obtenues de vos correspondants qui reconnaissent la validité de votre authentification en créant un Réseau de Confiance (Web of Trust)…

L’avantage principal d’un tel certificat numérique est d’être issu d’une autorité de certification reconnue. Cependant ces certificats numériques personnels sont limités à l’utilisation du courrier électronique et, éventuellement, du navigateur, ont une durée qui ne dépend pas de vous, ne permettent pas de choisir l’algorithme de chiffrement ni la longueur de la clé générée. Nous verrons plus loin une méthode de chiffrement reposant sur l’utilisation d’un logiciel à source ouverte qui offre plus de flexibilité d’utilisation: GnuPG.

b) Le chiffrement asymétrique ou “à clé publique”…

• Paire de clefs: clé privée et clé publique

Les détails des procédés de chiffrement et l’histoire de ceux-ci dépassent le cadre de cet article et ne seront pas abordés ici. Cependant je vous propose une présentation élémentaire de ce que l’on nomme «chiffrement asymétrique».

Exemple simple. Alice veut envoyer à Bob un message secret que seul Bob pourra lire. Alice met le message dans un coffre et le verrouille avec la clé spécifique à la serrure de ce coffre.

Alice doit donc envoyer à Bob le coffre contenant le message secret et la clé ou une copie exacte de celle-ci. Comme toutes les clés (du “monde physique”) celle-ci permet deux choses: verrouiller et déverrouiller ce coffre…

Alice peut envoyer à Bob le coffre et la clé en même temps ou à deux moment différent. Une fois que Bon a reçu le coffre et la clé, il peut déverrouiller le coffre et lire le message secret qui lui est destiné.

Dans le cas du chiffrement, l’utilisation d’une clé ou de sa copie pour chiffrer et déchiffrer se nomme «chiffrement symétrique». Vous avez sans doute relevé quelques inconvénients de la méthode présentée ici:

Quelque soit la méthode et le moment utilisé par Alice pour envoyer à Bob la clé ou le coffre, au moins l’un de ceux-ci peut être interceptée par un tiers, mettons Oscar, Eve ou Robert. Si la clé ou le coffre est interceptée alors Bob ne pourra pas ouvrir le coffre, si le coffre et la clé sont interceptés par un tiers alors Bob ne reçoit pas le message qui lui est destiné et Alice perd le secret de son message et au moins un tiers a accès à ce message…

Cette histoire pitoyable est celle de toutes les méthodes de chiffrement jusqu’à l’invention récente du «chiffrement asymétrique» par les cryptologues contemporains.

Le «chiffrement asymétrique» permet de séparer – pour les “clefs numériques” – les deux fonctions des clés “physiques” : une clé ou sa copie exacte ne servant qu’à “verrouiller le coffre” et l’autre ne servant qu’à “déverrouiller le coffre”.

La clé ne servant qu’à verrouiller se nomme «clé publique» tandis que la clé ne servant qu’à déverrouiller se nomme «clé privée».

Reprenons l’exemple d’Alice qui veut transmettre un message secret à Bob mais cette fois-ci en utilisant un trousseau ou paire de clefs “asymétrique” (privée + publique):

Alice place le message secret dans un coffre ne pouvant être verrouillé que par la «clé publique» de Bob ou sa copie exacte.

Alice envoie à Bob le message ainsi verrouillé avec la clé publique du destinataire: celle de Bob.

Bob reçoit le message d’Alice et utilise sa «clé privée» pour déverrouiller le coffre et lire le message d’Alice.

Alice et Bob n’ont plus besoin de tout cacher pour empêcher une interception du message secret par un tiers.

Par exemple Bob ne cache que sa clé privée et ne la transmet jamais si bien qu’elle a peu de chance d’être interceptée par un tiers.

Par contre il annonce partout sa «clé publique» (celle qui ne fait que verrouiller) si bien que quiconque veut lui faire parvenir un message secret peut utiliser cette clé publique ou sa copie exacte.

Bob veut-il répondre au message secret d’Alice par un autre message tout aussi secret?

Tout ce que Bob doit faire c’est d’utiliser une de copies de la clé publique de sa destinataire: Alice, de verrouiller ou chiffrer son message avec la clé publique d’Alice et de lui faire parvenir. Et à son tour Alice utilise sa clé privée pour lire (déverrouiller, déchiffre) son message secret.

C’est ce qui se nomme le «chiffrement asymétrique» ou le «chiffrement à clé publique».

• Gnu Privacy Guard

Gpg ou GnuPG (Gnu Privacy Guard) est le logiciel à source ouverte permettant l’utilisation de chiffrement/déchiffrement (fonction de confidentialité) et de signature numérique (fonction d’authentification) au moyen du chiffrement asymétrique.

• Aperçu de l’utilisation des commandes de gpg (GnuPG) version 1.4.9

Algorithmes supportés:

Clé publique: RSA, RSA-E, RSA-S, ELG-E, DSA
Chiffrement: 3DES, CAST5, BLOWFISH, AES, AES192, AES256, TWOFISH
Hachage: MD5, SHA1, RIPEMD160, SHA256, SHA384, SHA512, SHA224
Compression: Non-compressé, ZIP, ZLIB, BZIP2

Syntaxe: gpg {espace}[{-- double tiret}options]{espace}[données]

Exemples:

Version de Gpg:  gpg –version
Création d’une nouvelle paire de clefs: gpg –gen-key
Informations sur la paire de clefs: gpg –list-keys
Générer un certificat de révocation: gpg –gen-revoke
Exporter les clefs publiques: gpg –send-keys –keyserver hkp_server_URI key_ID
Importer une clé publique: gpg –recv-keys –keyserver hkp_server_URI key_ID

où:  hkp_server_URI=  l’URI du serveur de clés et key_ID=  l’identifiant de la clé

tels que: http://pgp.mit.edu/ et 0xD771CF94

Le format du nom de serveur est du type schéma_URN:[//]Nom du serveur:port]
où schéma_URN peut être http, hkp, ldap, mailto …

Voir URI, URL, URN: précisions in Le chiffrement sur Internet 1

Pour des détails supplémentaires: gpg –help ou man gpg

• Interfaces graphiques de GnuPG

Des interfaces graphiques permettent l’utilisation des principales commandes de GnuPG mais dans certains cas particuliers vous devrez passer par un terminal pour exécuter une commande du shell, Bash sous Linux et Mac os.

……………………………….

c) Thunderbird + enigmail vs Evolution + SeaHorse (Ubuntu)

• Thunderbird et l’extension enigmail

Dans Thunderbird l’accès au générateur de paire de clefs d’enigmail se fait ainsi:

OpenPGP / gestion des clefs / générer

D’abord il faut

[1] sélectionner le compte de courriel pour lequel la paire de clefs sera générée,

[2] entrer la phrase secrète ou phrase de passe qui doit être du même type que celles indiquées dans l’article L’art du mot de passe 1 de 3, III Méthode ccp – 1, notez que la casse des caractères et les espaces sont significatifs, vous pouvez ajouter un commentaire optionnel.

Notez que l‘option “Pas de phrase secrète” ne doit pas être utilisée sauf pour des tests.

Un des principes de la sécurité des systèmes d’information est la protection par couches (layered security) et le maillon faible d’un tel système est le comportement de l’utilisateur. N’êtes-vous pas d’accord avec moi pour dire que ce n’est pas une bonne idée de compromettre l’utilisation sécuritaire de GnuPG en négligeant la première de ces couches de protection?

[3] il faut ensuite choisir la période de validité de votre paire de clefs: sur ce point je suggère fortement de ne pas choisir l’option de «non-expiration» et de limiter la validité de la paire de clefs à une période allant d’un mois à un an au maximum.

Ceci pour vous assurer que les conséquences d’une paire de clefs compromise, d’une clé privée perdue (“crash” du disque dur de votre ordinateur personnel par exemple ) ou encore de la perte du certificat de révocation – quelques cas vous empêchant d’invalider cette paire de clefs – soient limitées dans le temps.

Une clé publique sans expiration et devenue inutilisable serait alors annoncée en permanence sur les serveurs HKP/LDAP sans possibilité de la révoquer et, utilisée par un correspondant, elle ne servirait qu’à vous transmettre des messages désormais indéchiffrables… Vaut mieux prévenir les mauvaises communications et les “prises de tête” résultantes n’est-ce pas? 

Notez cependant que cela implique que les messages chiffrés reçus ne pourront être déchiffrés que durant la période de validité de ce trousseau de clefs. Si un tel message doit être conservé pour une période au-delà de le limite de validité de la paire ou trousseau de clefs alors il devra être déchiffré et conservé dans cet état ou alors chiffré localement par exemple dans un volume chiffré avec TrueCrypt/EasyCrypt (que nous verrons dans un prochain article…)

[4] Et avant de procéder vous pouvez aussi choisir la taille de la clé ainsi que l’algorithme de chiffrement. [Tailles: 1024, 2048, 4096 - Algorithmes: RSA ou DSA+El Gamal ]. Par défaut la longueur de la paire de clefs est de 1024 bits et l’algorithme RSA.

Dans l’exemple donné nous avons une clé de 4096 bits avec l’algorithme DSA & El Gamal…

[5] La génération de la paire de clefs vous sera annoncée lorsque celle-ci sera terminée:

[6] Vous aurez ensuite la possibilité de créer un certificat de révocation ce que je vous suggère fortement car il vous permet de révoquer la validité de la paire de clé au cas où celle-ci serait compromise (vol de la clé privée par exemple ou perte de cette clé).

Ai-je besoin de préciser que ce certificat de révocation doit être sauvegardé par exemple sur une clé USB et placée dans un lieu sûr. (Juste au cas… )

Voici comment se présente ce certificat de révocation sous Ubuntu Linux dans l’environnement Gnome

Voici les paramètres de la paire de clefs générée:

[7] Il est préférable d’exporter la clé publique sur des serveurs HKP ou LDAP tel que, par exemple, celui du Massachusetts Institute of Technology car cela permet de vérifier le statut ou la validité de cette clé publique de chiffrement en évitant d’utiliser une clé invalide…

[8] Et enfin vous pouvez aussi annoncer cette clé publique dans votre signature de courriel, sur les forums, les Groupes de Discussion, ou sur votre profil public tel que le Profil Google.

Vos correspondants désirant communiquer confidentiellement avec vous n’auront qu’à utiliser votre clé publique pour chiffrer les courriels vous étant destinés et ceux-ci seront déchiffrés par enigmail lors de la réception.

Notez que la confidentialité porte dans ce cas sur le contenu de la communication et non sur le fait que A communique avec B… Il serait possible pour un tiers de connaître le fait que A a communiqué avec B tout en ignorant ce qui a été communiqué…

Nota Bene: Autrement dit si c’est confidentiel, ce n’est pas nécessairement anonyme!

Ces deux notions ne doivent en aucun cas être confondues:

La confidentialité porte sur le contenu des communications entre A et B et non sur leur identité ni sur le fait qu’il y a eu communication.

L’anonymat porte sur l’identité de A et B mais pas nécessairement sur le contenu de leurs communications. En attendant je vous invite à tenter de résoudre cette énigme amusante:

Question: Comment peut-on communiquer à la fois anonymement et confidentiellement? 

L’utilisation est fort simple: pour envoyer une courriel chiffré à votre correspondant vous devez simplement sélectionner sa clé publique et le contenu sera automatiquement chiffré par enigmail en faisant appel aux fonctions de GnuPG. Votre correspondant sera alors en mesure de lire en clair le message ainsi chiffré avec sa clé publique en utilisant sa clé privée correspondante.

Cette clé publique de votre correspondant est annoncée sur les serveurs HKP/LDAP vous permettant d’importer localement cette clé pour lui envoyer un message chiffré.

L’opération inverse est tout aussi facile: un courriel reçu et chiffré avec votre clé publique sera déchiffré par enigmail avec votre clé privée. Je parle bien entendu de la clé privée faisant partie du trousseau de clefs ou si vous voulez de la clé privée correspondant à la clé publique et pour la période de validité de cette paire ou trousseau de clefs!

Notez que les courriels chiffrés doivent être en format texte seulement et non en HTML …

De plus enigmail vous permet d’utiliser votre trousseau de clefs pour ajouter une signature numérique à vos courriels même non-chiffrés – ce que je vous encourage à faire systématiquement – car cela permet d’authentifier la provenance du courriel en question. Une telle signature utilisée systématiquement assure que personne n’utilisera votre identité pour envoyer des courriels usurpant votre identité…

Exemple de vérification de signature:

Exemple de sélection de l’option de chiffrement avec la clé publique du destinataire et combinée avec l’option de signature avec la clé publique de l’expéditeur. Il suffit de posséder la clé publique du destinataire par exemple via un serveur HKP… Le chiffrement est fait avec sa clé publique et la signature est (évidemment!) faite avec votre clé publique et non la sienne…

Voici maintenant un exemple de message chiffré:

Notez que le message a été chiffré par l’expéditeur avec la clé publique du destinataire et peut être déchiffrée par le destinataire avec sa clé privée correspondant au trousseau de clefs. Si la clé privée a été perdue ou si la paire de clé est expirée ou révoquée, alors ce message ne pourra jamais plus être déchiffré…

Digression: dans un article antérieur portant sur l’effacement sécurisé des données , j’avais présenté quelques solutions permettant de détruire sécuritairement des données avec des logiciels utilisant des techniques de ré-écriture du disque dur …

Si vous avez bien suivi jusqu’ici, nous venons tout juste de découvrir une autre méthode pour interdire à tout jamais à quiconque de lire ces données vouées au néant: les chiffrer avec GnuPG, ensuite supprimer sécuritairement la clé privée selon l’une des méthodes vues dans l’article mentionné (par exemple Gutmann 35 passes de ré-écriture) puis de supprimer le contenu ainsi chiffré de façon non-sécuritaire. Même dans ce cas, les données à détruire seraient irrémédiablement illisibles à quiconque. Elles pourraient bien être récupérables mais cela serait inutile car elles seraient sous une forme chiffrée sans possibilité ni de les déchiffrer (la clé privée ayant été sécuritairement détruite) ni de les casser par cryptanalyse (à moins de croire à la science-fiction), le chiffrement en question étant, jusqu’à nouvel ordre, incassable…

Bref

• La vérification de la signature numérique d’un message reçu se fait en consultant le statut de la clé publique du destinataire sur l’un des serveurs HKP/LDAP sur lesquels la clé publique a été exportée, enigmail permettant de réaliser facilement cette vérification.

• L’utilisation de la signature d’un message à expédier se fait en vérifiant localement le statut de votre trousseau de clé.

• Le déchiffrement d’un message chiffré avec votre clé publique se fait localement avec votre clé privée correspondante par la vérification qu’enigmail fait du statut de votre trousseau ou paire de clefs.

• Le chiffrement d’un message à expédier se fait en vérifiant la validité de la clé publique de votre destinataire sur l’un des serveurs HKP/LDAP sur laquelle sa clé publique est annoncée.

En somme, l’extension enigmail de Thunderbird permet d’utiliser facilement les fonctions de chiffrement/déchiffrement de GnuPG incluant la génération du trousseau de clefs, la génération du certificat de révocation et son utilisation le cas échéant, la signature numérique des courriers ainsi que toutes la plupart des fonctions reliées à l’utilisation de GnuPG.

Truc: pour essayer et pratiquer l’utilisation d’enigmail, il vous suffit d’avoir deux comptes de courriels, de générer un trousseau de clé pour chacun de ces comptes et de vous envoyer des messages chiffrés, signés ou les deux. Quand vous vous sentirez parfaitement à l’aise avec l’utilisation des fonctions d’enigmail, il vous sera alors plus facile de les utiliser avec vos correspondants. 

Passons maintenant à des applications alternatives: la messagerie Evolution et l’utilitaire SeaHorse. Notez que ces derniers, contrairement à «Tb + em» ne sont disponibles que sur Linux…

• Evolution et l’utilitaire SeaHorse

Dans le cas de la messagerie par défaut d’Ubuntu Linux, Evolution, il est possible d’utiliser un certificat numérique ou une clé Gpg mais la gestion des clés est faite via une application externe à Evolution: SeaHorse.

L’un des avantages de SeaHorse est qu’il permet la gestion des clefs de shell sécurisé, de courriel, d’applications telle que la messagerie instantanée Psi (Xmpp/Jabber) et de mots de passe pour les applications et le réseau.

Pour accéder à SeaHorse: en ligne de commande: seahorse ou via le bureau Gnome d’Ubuntu:

Applications / Accessoires / Mots de passe et clé de chiffrement :

La création d’une paire de clefs Gpg (ou “Pgp”) commence par le choix de cette option dans SeaHorse:

Puis par l’entrée d’informations analogues à celles déjà vues avec enigmail:

et enfin l’ajout de l’identifiant de la paire de clefs obtenu dans les paramètres du compte de courriel dans Evolution: Édition / Préférences / bouton «Compte de Messagerie» / sélectionnez le compte dans la liste puis «double-clic» pour l’éditer / onglet «Sécurité»:

Notez que

SeaHorse ne permet pas d’accéder à la fonction de création d’un certificat de révocation de la paire de clefs qui doit être fait via cette commande GnuPG:

gpg  –gen-revoke

Les développeurs de la messagerie Evolution ne prévoient pas intégrer un équivalent d’enigmail dans Evolution ce qui est déplorable AMHA…

cf.: Evolution FAQ: «Managing GPG/PGP is beyond the scope of Evolution.»

Dans les prochains articles de cette série nous verrons comment chiffrer la messagerie instantanée Psi, un client Xmpp/Jabber, le chiffrement du clavardage avec Pidgin utilisé avec sa fonction de client SILC, le chiffrement des échanges P2P avec Vuze, un client BitTorrent, le chiffrement des données locales avec TrueCrypt et EasyCrypt, l’utilisation du réseau Tor – The onion router -, le réseau privé virtuel OpenVPN et enfin le projet Psiphon.

À bientôt. 

GrIDsure

Avec Defender, dont j’avais déjà parlé dans ce bulletin consacré à l’iToken (Token pour iPhone), nous proposons une solution de renforcement de l’authentification à base de tokens matériels ou logiciels.

Souvent appelées authentification à double facteur, les solutions autour de Defender permettent véritablement de renforcer l’authentification des utilisateurs au delà de la simple saisie du couple “Utilisateur”/”Mot de Passe”, sans infrastructure matérielle dédiée ni apprentissage d’interface d’administration (car complètement intégrée à Active Directory)

Et bien, grâce à ce partenariat avec la société GrIDsure, Quest Software proposera très prochainement un moyen supplémentaire de renforcer l’authentification des utilisateurs, sans logiciel ni matériel du côté de l’utilisateur final.

En effet, avec GrIDsure, l’utilisateur n’a besoin que de se souvenir de l’emplacement de quelques cases de la grille et de saisir ensuite à chaque fois des chiffres différents qui se trouvent dans les dites cases !

Avec GrIDsure intégré à Defender, le renforcement de l’authentification des utilisateurs pourra enfin être à la portée du plus grand nombres car il sera effectué à des coûts très bas du fait qu’il ne nécessite aucun déploiement de token logiciel, ni aucune distribution de lecteur ou de matériel !

Vendredi dernier impossible de se connecter au jeu.

Cependant certains n’avaient pas ce souci, ils avaient fusionné leur compte battlenet avec leur compte wow.

A terme, en 2010 le compte battlenet devient obligatoire, alors prenez les devants, allez sur le site battlenet et faites le nécessaire ! Au final il faudra bien y passer, alors autant le faire calmement et pas à la dernière minute.

https://us.battle.net/account/creation/landing.xml?rhtml=true

Résumé des billets de la semaine

Mes Articles

Authentification 1 de 3 – L’Art du Mot de Passe

Authentification 2 de 3 – Password Maker

Authentification 3 de 3 – OpenID

.

Authentification: articles en format PDF à télécharger

.

Défragmentation et effacement sécurisé

iGoogle showcase ou le Google “Pipole”…

Articles commentés

iFolder, la solution de synchronisation Open Source

Blogue: où est votre point de bascule ?

Déclaration pour le libre accès à la documentation savante

Événements signalés

Linux meetup et Tweetup à Qc city!

Linux à Québec: Journée portes ouvertes

Articles recommandés

• Unix/Linux

Zabbix, un excellent logiciel de supervision réseau

Unix turns 40: The past, present and future of a revolutionary OS

What makes a good Linux distribution?

Ubuntu Linux 9.04 – Vulnerability Information

Ubuntu Tutorials : Getting Started with Firewall Builder

pa·per cut (pā’pər kŭt)

• Google

Google Wave = Email + IM + Wiki + Mashup

• Firefox

Security Fix – Microsoft’s Fix for the Firefox Add-on Snafu

Flock Browser Adds New Social Media Features

• Web et Médias sociaux

Que pensez-vous de la synchronisation automatique?

Corporations missing social-network boat

• Internet

Tim Berners-Lee: I no longer understand the web

Statistiques des serveurs web

The Spamhaus Project

• Sciences

Why Health Advice on ‘Oprah’ Could Make You Sick

Simon Singh to Appeal Bogus Decision

Keep the libel laws out of science!

• Politique Idées

Qu’est-ce qu’une Fédération ?

• Politique Tien An Men

La Charte 08 零八宪章 par Liu Xiaobo 刘晓波 Document en français et en chinois + PDF

Dossier spécial : Tiananmen, 20 ans

Tian An, enfant de Tiananmen

L’avenir annoncé

Tiananmen : la mobilisation se réfugie à Hongkong

• Politique Moronréal

Harel will have a polarizing effect on city politics

Caricatures

• Obama

André-Philippe Côté

Le dessin du jour par Ali Dilem

• M$

Flock, fibré, caricature l’actualité de la semaine

Dans le premier article de cette série, nous avons vu comment créer simplement des Mots de Passe raisonnablement robustes et facilement mémorisables de même que les limites inhérentes à cette méthode. Dans le second article, une solution plus adaptée a été suggérée: l’extension Firefox PasswordMaker permettant de passer outre aux limitations de la première méthode.

Dans ce dernier article portant sur l’authentification, nous verrons une nouvelle solution proposée pour simplifier la gestion de l’Identité Numérique et l’accès sécurisé aux nombreux services disponibles et de plus en plus utilisés par les internautes.

Mais tout d’abord une définition de ce qu’est OpenID:

« OpenID est un système d’authentification décentralisé qui permet l’authentification unique, ainsi que le partage d’attributs. Il permet à un utilisateur de s’authentifier auprès de plusieurs sites (devant prendre en charge cette technologie) sans avoir à retenir un identifiant pour chacun d’eux mais en utilisant à chaque fois un unique identifiant OpenID. Le modèle OpenID se base sur des liens de confiance préalablement établis entre les fournisseurs de services (sites web utilisant OpenID par exemple) et les fournisseurs d’identité (OpenID providers). Il permet aussi d’éviter de renseigner à chaque fois un nouveau formulaire en réutilisant les informations déjà disponibles. »

• Nom de la page : OpenID
• Auteurs : secure.wikimedia.org
• Éditeur : Wikipédia
• Dernière révision : 31 mai 2009 20:11 UTC
• Page consultée le : 5 juin 2009 15:36 UTC
• Lien vers la version citée
• Numéro de version : 41522023

La première étape consiste d’abord à obtenir une identité par l’un des fournisseurs OpenID. En créant un compte chez l’un des fournisseurs vous devez fournir un nombre limité de détails vous concernant tel que votre adresse de courriel, votre nom, votre pseudonyme et d’autres informations permettant de vous identifier plus précisément tel que par exemple l’adresse de votre site Internet.

Le fournisseur d’OpenID génère alors un certificat numérique qui relie le navigateur utilisé pour la création de votre compte et les informations que vous avez donné au moment de sa création. C’est ce certificat qui sera vérifié chaque fois qu’un accès à un site sécurisé sera obtenu via votre OpenID.

.

• l’utilisateur/client (navigateur+certificat): identifié par un URI telle que utilisateur.fournisseursOI.com
• le consommateur (Relying Party) : le site sécurisé vérifiant l’identité de l’utilisateur.
• le fournisseur d’identité (OpenID Provider) : le serveur d’authentification OpenID

Les 7 étapes du processus d’authentification lors d’une connexion sont les suivantes:

1. L’utilisateur/client fournit l’URI de son profil OpenID
2. Le site de connexion sécurisée contacte le site du fournisseur OpenID
3. Les deux sites échangent des informations numériques générant un «secret partagé»
4. Le site de connexion sécurisée redirige l’utilisateur/client vers le site du fournisseur
5. L’utilisateur/client entre son identifiant et son Mot de Passe [Voir Art. 1 et 2]
6. Le site fournisseur OpenID vérifie le certificat numérique du navigateur de l’utilisateur/client
7. Le navigateur de l’utilisateur/client envoie l’autorisation (obtenue par le «login» au fournisseur OpenID ) vers le site de connexion sécurisé pour compléter la procédure d’authentification.

Exemple avec VeriSign Labs Personnal Identity Portal

Je suppose ici que le compte OpenID a déjà été créé chez VeriSign Labs de la même façon que pour n’importe quel compte de site web: avec Identifiant et Mot de Passe généré selon les règles de l’art… et que l’extension Firefox VeriSign OpendID SeatBelt a été installé. Et que vous avez activé la connexion/vérification avec votre fournisseur OpenID, VeriSign en l’occurence…

Voici comment ça marche étape par étape pour l’utilisateur lors d’une première connexion:

La fenêtre de connexion sécurisé du site supportant OpenID s’ouvre et vous donne le choix entre le «login» habituel ou avec l’identifiant OpenID (L’URI de votre identité OpenID).

Votre fournisseur vous demande alors si vous autorisez l’utilisation de votre identité OpenID par le site de connexion. Cette autorisation peut-être refusée, autorisée temporairement ou en permanence …

… et ces paramètres peuvent être modifiées par la suite…

Finalement, si vous avez autorisé ce site à contacter votre fournisseur OpenID, la connexion se fera tout simplement avec pour seul identifiant l’URI de votre identité OpenID. Simple comme ça! 

Nota Bene:

• Vous avez peut-être déjà une identité OpenID, par exemple si vous avez un compte sur la plateforme WordPress… Si c’est le cas vous pouvez simplement utiliser l’URI de votre blog WP comme identifiant OpenID ou, selon votre choix, utiliser un autre fournisseur. Vous pouvez vérifier cela en consultant le répertoire des fournisseurs OpenID (en anglais).
• Je vous suggère néanmoins d’utiliser un fournisseur OpenID qui est déjà reconnu dans le domaine de la gestion des certificats numériques. C’est pourquoi je vous ai suggéré VeriSign.
• L’adoption d’OpenID n’est pas universelle et bien qu’elle se généralise, elle n’est pas encore une solution reconnue universellement ou en tant que norme ( un «standard»). Bon nombre de sites n’ont pas encore d’accès sécurisé via OpenID. De la même façon que certains sites web pourtant connus, tel que Digg, n’acceptent même pas de Mots de Passe robustes, alphanumériques + caractères spéciaux… Néanmoins Google, facebook et de nombreux services Web importants on déjà reconnu la méthode d’authentification OpenID. [LISTE] en anglais.
• Le certificat numérique généré lors de votre inscription à un fournisseur OpenID est indispensable et votre identification ne marche qu’avec le certificat généré pour ce navigateur. De plus, même s’il est possible de récupérer votre compte OpenID suite à la perte du certificat, il est préférable d’exporter celui-ci et de le conserver, par exemple sur une clé USB, juste au cas…

Dans les Préférences de Firefox: avancés, onglet chiffrement, bouton afficher les certificats, bouton sauvegarder. Le fichier à conserver est un certificat PKCS12.

Voilà. À bientôt!

Comment ajouter un OpenID associé à son nom de domaine par Volvox de Volvoxsoft

« La lecture de cet article m’a lancé à la conquête d’un openid associé à mon nom de domaine.

J’utilise MyopenID, bien coté, pour ce faire.

Avec une méthode alternative que celle de la validation avec un CNAME redirigé vers le domaine.

MyOpenId vérifie mon domaine à l’aide d’un mot de passe sur une page que j’ai ajouté consultable seulement par lui. La validation de la page et du domaine est faite à intervalle fixe. Le domaine étant validé, j’ai pu modifié la page habituelle du LogIn de WordPress (chez volvoxsoft) pour y ajouter la demande d’acquisition d’un OpenID valide pour mon domaine ou pour tout autre acceptant un OpenID.

DÉLÉGATION OPENID

Un truc, pour ceux qui peuvent éditer leur page d’accueil (exemple header.php, index.html). Il est possible de déléguer son openID vers le nom de domaine de son site. Il faut ajouter ces liens dans l’en-tête de la page (exemple appliqué pour le serveur myopenid.com):

<link rel=”openid.server” href=”http://www.myopenid.com/server“>
<link rel=”openid.delegate” href=”http://xxxxxxx.myopenid.com/“>

(xxxxx.myopenid.com étant l’authentification openid que l’on possède )

Ainsi, il suffit de taper le nom de domaine de son site pour n’importe quelle identification openid demandée. »

Merci à Volvox! 

Volvoxsoft est le développeur de plusieurs applications dont ALICE COMPTABLE et plusieurs autres logiciels de gestion ainsi qu’un grand nombre d’utilitaires sous Windows.

Volvox Lab

Logiciels commerciaux

Logiciels et utilitaires gratuits

Forum

Voir aussi cet article: Volvox: plusieurs utilitaires à découvrir

Le problème des traces laissées sur Internet est en général très peu compris par beaucoup d’internautes. On ne compte plus les soi-disant utilitaires de protection de la confidentialité souvent gratuits, parfois payants et qui se limitent en général à supprimer certaines traces en local sur l’ordinateur personnel. Inutile de dire que tout cela est à la limite de la fausse représentation.

En mettant de côté, pour le moment, les traces locales, il serait peut-être utile de dresser un aperçu général de cette question importante pour la préservation de la vie privée.

La meilleure façon d’aborder le problème est de suivre les traces laissées à partir du moment où une adresse web, un URL, est saisie dans le champ d’adresse du navigateur…

Un URL (Uniform Ressource Locator) doit être associé à une adresse IP et la première étape (non locale) d’une connexion à un site est la requête DNS permettant de traduite l’URL en adresse IP: cette traduction est assurée par un serveur DNS, en général celui du FAI, qui, on s’en doute un peu, peut conserver dans ses journaux la trace de cette requête. Il est bien connu d’ailleurs que les principaux FAI conservent ces traces mais il est difficile de savoir pour combien de temps, quel protection ils assurent à ces informations et l’usage qu’ils en font.

Une fois cette adresse IP associée à l’URL, la connexion peut alors s’enclencher via le protocole TCP pour accéder au site mais cette connexion n’est jamais directe contrairement à ce que les apparences pourraient le laisser croire. La connexion passe par une série d’intermédiaires incluant les serveurs et routeurs du FAI mais ne s’y limitant jamais. Il est possible d’avoir un aperçu (pas toujours exact) avec un utilitaire de “Trace Route” qui montre à qui en doute que le chemin le plus direct vers un site n’est pas celui qu’on croît…

Est-ce nécessaire de préciser que ces intermédiaires peuvent tous journaliser cette connexion?

Admettons maintenant que la connexion entre le PC et le site est établie: en général tous les échanges entre ceux-ci sont EN CLAIR, c’est-à-dire, lisibles par n’importe quel intermédiaire sur la “route de connexion“…  Le chiffrement d’une connexion ne se produit en général qu’avec le protocole HTTPS par exemple lors d’un paiement en ligne, connexion chiffrée sur 128 bits… Ou encore lors de l’utilisation des protocoles POP3S et SMTP TLS pour les connexion de courriel chiffrées telles que celles avec Gmail.  Tout le reste est non-chiffré: en clair.

Enfin, le site web sur lequel le PC est connecté peut lui aussi conserver des traces de cette connexion et peut récupérer des informations de configurations normales mais aussi d’autres informations telle que le “referer” et parfois beaucoup plus en utilisant des ActiveX (sur IE) ou du javascript pour obtenir des informations plus intrusives…

Prises indépendamment les unes des autres, ces informations laissées en traces ne sont pas nécessairement des atteintes à la vie privée mais permettent le “Data Mining” c’est-à-dire, le recoupage d’information qui à la limite permettent de monter un profil identifié et associé à telle ou telles adresse IP (la vôtre) et en dernière analyse à une personne bien précise: l’internaute “X”.

De plus il est bon de savoir qu’un site web même supprimé laisse encore des traces (dont les vôtres possiblement) car Internet ne perd pas la mémoire: le Wayback Machine est là pour en témoigner. (http://www.archive.org/web/web.php).

Même votre PC a la mémoire longue. La plupart des Internautes savent qu’il est possible de supprimer l’historique web du navigateur, les témoins (cookies) et autre “Most Recent Used“.
Ce qu’ils savent moins c’est que des traces difficilement supprimables restent présentes notamment dans les fichiers Index.dat par exemple. De plus la suppression simple, l’effacement de fichiers ne fait que les supprimer logiquement au niveau des index du système d’exploitation: physiquement, ces fichiers restent présents ET récupérables pour longtemps sur le disque du PC. Les secteurs occupés par ces fichiers effacés redeviennent disponible à l’écriture lors de leur suppression logique mais la réécriture de ces secteurs n’est ni garantie ni complète et certains fichiers  “effacés” restent présents, longtemps et sont récupérables et lisibles.

Il y a quelques années la BBC avait enquêtée sur des disques usagés vendus sur eBay et avait trouvé sur plus de 50% d’entre eux des informations de nature confidentielles se rapportant à leur ancien propriétaire…

Ceci étant dit, il est préférable que les internautes soient avertis de ces caractéristiques d’Internet et prennent les mesures nécessaires pour protéger leur identité et leur vie privée.

S’il existe des gadgets techno permettant de prévenir ou de supprimer certaines des traces laissées derrières eux par les internautes, il est bon  de rappeler qu’il n’y a aucun gadget qui remplace une conduite prudente et préventive de leur part. Le “Safe-Hex” ne concerne pas seulement la “sécurité” mais aussi la confidentialité…

La citation célèbre de Bruce Schneier: “Security is not a product, it’s a process” s’applique ici aussi.

Les questions de confidentialité, d’identité et d’authentification sont sans doute en voie de devenir aussi importants dans les années à venir que les questions de “sécurité” l’étaient jusqu’à présent. à ce propos je voudrait souligner que le problème de vol d’identité n’est pas une exclusivité d’Internet mais se produit dans la majorité des cas hors d’Internet. Je mentionne ce dernier point car il est à la mode d’accuser Internet de tous les maux alors que ces maux relèvent de comportements non-exclusifs à Internet.

Si l’internaute à tête de linotte, l’interNUT existe, on trouve aussi son opposé symétrique: l’internaute parano ou “paranaute” et aucun d’entre eux n’a le moindre commencement de l’idée de ce qu’est la pratique du “Safe-Hex“.

Source: Le blogue de l’édito
Address : <http://blogues.cyberpresse.ca/edito/?p=982#respond>
Le Mercredi 24 Décembre 2008 | Mise en ligne à 10h54
Votre empreinte gênante sur le Web

Ce commentaire a été soumis au Blogue de l’Édito et reproduit ici pour le bénéfice de mes lecteurs. Ces questions seront abordées avec plus de détails ultérieurement. Merci.

Nous développons une application qui sera utilisée en interne par des utilisateurs qui seront sur des PC fixes, identifiés par une adresse IP, et nous voulons mettre en place un système d’authentification automatique, c’est a dire faire en sorte que lorsque l’utilisateur se connecte à l’application, ce dernier n’ait pas besoin de s’identifier.

Notre application sera située en dehors du réseau sur un serveur internet, et les utilisateurs accèderont à l’application via un proxy. C’est assez problématique dans la mesure où notre application sera incapable de déterminer quel utilisateur tente de se connecter une fois le proxy traversé.

Après avoir reflechi pendant un petit moment, nous avons décidé d’opter pour la solution suivante :

1. L’utilisateur fait appel à un script situe sur un serveur interne au reseau.
2. Ce dernier, munit d’une base de données avec l’ip de l’utilisateur et son ID (ou via active directory) détermine l’utilisateur.
3. Le proxy communique au serveur WEB via XMLRPC les informations sur l’utilisateur.
4. Le serveur génère une clef qu’il renvoit par XMLRPC au serveur interne.
5. Le serveur interne redirige l’utilisateur vers une page d’authentification par clef (une simple action sfGuard) qui démarre automatiquement la session.

De plus, cela nous permet de nous familiariser un peu avec XMLRPC (qui nous servira pour synchroniser nos bases avec celles des différentes applications existantes).

Pour ce qui est des échanges XMLRPC, nous utilisons la librairie php-xmlrpc, qui permet une implémentation assez aisée et sécurisée des échanges (via SSL).

Psylock managed to implement user recognition by evaluating a sentence you type into your keyboard. Of course it has to learn your way to type first, but after that promises very high probabilty of identifying you, and only you.

The way one types is a mixture between genotypical and conditional characteristics and is in that way unique.

Relevant factors are the time between keypresses, which shift keys used, how you correct errors, and so on…

Identifying myself so far worked quite good, but I didn’t get the chance to try it on different keyboards. I’d especially be interested in using something more unhandy ( like a crippled netbook keyboard ). To see if it still identifies me.

So far noone of my friends types even more than 3% to how I type. So the question is:

Do you type like I do?

Post me your result. I’m really interested.

You can find a whole article on the subject in the recenter German Linux Magazin, 11/08, page 98.

J’ai mis en ligne hier soir une nouvelle page dans la section how to, présentant la configuration d’un active directory authenticator pour weblogic 8.1.

En espérant que ceci puisse aider.

Weblogic 8.1 – Active Directory Authenticator

One of my pet peeves is why companies who have been around a long time are still unable to get the basics right. A great example is Yahoo! mail that,  even after 11 years of being in existence, can’t distinguish between legitimate emails and spam. It’s annoying enough when tons of junk mail gets routed to your inbox but the last straw is when legitimate emails get sent to your spam folder.

This interview with Mark Risher, anti-abuse product manager for Yahoo Mail in Network World on introduction of DomainKeys Internet Mail, as the standard for authentication, back in February makes it sound like the greatest invention since sliced bread. I found that there’s more truth in the comments than in the interview itself. 

This technology is something we felt would be very helpful for receivers so we can confer special privileges to a message. For this other message that lacks a signature, we can penalize it. We can treat it with more suspicion and run it through additional filters.

Yes, authentication of emails sound great in theory, the assumption being that Yahoo! system can identify the authentified piece of mail. But when their own mail system can’t distinguish between authentified mail and spam, what’s the point?

The incident that inspired my post today was an email I received from another Yahoo! mail user, a friend of mine who was responding to my previous email, and guess what?! His email was DomainKeys authentified and yet, it ended up in the spam folder. If I hadn’t checked my spam folder I would have missed the email with his flight details and would have left him stranded at the airport.

That’s why theory doesn’t always add up to reality and that’s where Gmail atleast has its basics right. Gmail system is smart enough to identify and compile emails in the same thread so subsequent emails in the same thread don’t get blocked. I mean, the fact that I’ve responded to a given email address multiple times should render it kosher.

That being said, how much can one expect from a free mail service but wait a minute…Gmail’s free and it’s not even out of Beta yet (which is curious, why is it still in Beta?). From what I’ve heard, the paid business mail hosted by Yahoo! has even worse spam filters, resulting in more spam than the free account, so much for paying for better service.

And as if it couldn’t get any worse, for the last few months, it’s been nearly impossible to log in to the mail account. You keep trying and trying, and you can see your emails in the tiny box on My Yahoo page but you can’t get to them. Yahoo! mail is supposed to be the third-most popular site according to Hitwise, a number which is no doubt helped by frustrated users who have to keep visiting the site multiple times because it’s so friggin darn impossible to get in.

OpenID est un système d’authentification qui permet l’authentification unique. Il permet à un utilisateur de s’authentifier auprès de plusieurs sites qui doivent prendre en charge cette technologie sans avoir à retenir un identifiant pour chacun d’eux mais en utilisant à chaque fois un unique identifiant OpenID. OpenID se base sur des liens de confiance entre les fournisseurs de services et les fournisseurs d’identité. Il permet aussi d’éviter de renseigner à chaque fois un nouveau formulaire en réutilisant les informations déjà disponibles.

Le système Open ID utilise des adresses Web pour aider à valider l’identité des internautes. Ce système d’identification centralisé permet à un internaute de ne conserver qu’un seul mot de passe pour de multiples sites. L’utilisateur fournit un URL pour accéder à du contenu exigeant son identification au préalable. Cette adresse Web peut être fournie dès la première visite à un site, sans qu’il ne soit nécessaire de s’y inscrire. La confidentialité est mieux préservée du fait qu’ainsi, aucun renseignement personnel n’est transmis par Internet.

Sources cités : http://www2.canoe.com / http://wikipedia.fr

(01Net) Jusque-là, lors de leur inscription, les nouveaux membres d’eBay s’authentifiaient en saisissant leur numéro de téléphone fixe ou de carte bancaire. En Belgique, ils disposent désormais d’un moyen supplémentaire pour le faire : la carte d’identité électronique, que possèdent déjà sept millions de personnes dans ce pays.Pour s’identifier en ligne, l’utilisateur doit introduire sa carte d’identité dans un lecteur connecté à l’ordinateur. Après saisie de son code Pin, les données sécurisées et comprises dans le document officiel sont envoyées pour vérification à Certipost, la filiale de la poste belge, spécialisée dans l’échange de données sécurisées. Le prestataire contrôle en temps réel, grâce aux certificats électroniques intégrés au document l’identité de l’utilisateur ainsi que la validité de la carte d’identité.Si le contrôle est positif, l’utilisateur se voit doté d’un label ID verified. Il trônera désormais à côté de son pseudonyme. L’authentification par la carte d’identité se veut un moyen supplémentaire de rassurer les membres d’eBay et en particulier les vendeurs. Car, en Belgique comme ailleurs, le sérieux des acheteurs ne pourra plus être jugé d’après le système de notification du site. eBay a en effet décidé de rendre impossible toute notation des acheteurs. Et ce, dès le mois de mai prochain.Une carte multi-usage« C’est précisément parce que nous attachons autant d’importance à la sécurité et à la confiance sur notre plate-forme que nous faisons appel à l’eID et à Certipost, précise Peter Grypdonck, le directeur général d’eBay en Belgique, dans un communiqué. L’intégration de l’eID sur notre plate-forme constitue une évolution très importante. Elle ne fera qu’accroître la confiance entre nos utilisateurs, ce qui ne peut être que bénéfique pour le nombre de transactions sur notre site. »L’enregistrement au moyen de la carte d’identité ne se fait qu’une seule fois. La procédure s’adresse aux nouveaux membres mais aussi aux anciens qui doivent dans ce cas se réinscrire. Par la suite, « l’eBayeur » accède à son compte par la simple saisie de son pseudonyme et de son mot de passe.Vu de la France, le projet peut sembler onéreux, car il nécessite un équipement spécifique. A tort. En Belgique, le coût d’un lecteur de carte d’identité électronique oscille entre 10 et 20 euros. Ils sont aussi intégrés dans certains claviers. De plus, ce système d’authentification électronique permet d’accéder à de nombreux services administratifs locaux mais aussi envoyer des e-mails en recommandé, sécuriser les séances de chat des enfants, ou encore à s’identifier sur le réseau informatique de son entreprise.Certipost invite par ailleurs d’autres sites Web à utiliser cette méthode d’identification. eBay l’a utilisée pour la première fois en Belgique, mais elle devrait aussi être utilisée en Espagne. Quant à un déploiement en France… Il faudrait déjà que la carte d’identité électronique annoncée dès 2005 voit le jour.

(ZDNet.fr) Les premiers projets de gestion d’identité en ligne ont été engagés au début de la décennie par le consortium Liberty Alliance, et Microsoft avec Passport auquel il a dû renoncer. Aujourd’hui, plusieurs visions se distinguent en la matière : « Tout d’abord, celle de la gestion de l’identité en ligne par un tiers, avec le projet OpenID. Ensuite, CardSpace, qui permet à l’internaute de gérer sa carte de visite sur son PC. Et enfin des projets comme FC², qui permettent de “transporter” son identité sur un objet, comme une clé USB », résume Gwendal Le Grand, chef de l’expertise informatique à la Cnil.Première tendance donc : la gestion de l’identité en ligne. Plusieurs start-up proposent déjà leurs solutions, souvent basées sur la technologie OpenID. « La question-clé étant que ces fournisseurs d’identité vont devenir dépositaires de données personnelles et d’archives de données de connexion. En garantiront-ils la sécurité, notamment si leurs sites sont attaqués ? », s’interroge une source proche du Secrétariat général de la défense nationale (SGDN), qui dépend du service du Premier ministre.Parmi ces acteurs, on peut citer celui de la société française MyID.is (ex-Todeka Project), qui s’apprête à lancer son service « d’ici à la fin mars », précise son concepteur, Charles Noüyrit. Le principe consiste à doter l’internaute, pour 5 euros, d’un certificat pour labelliser son identité en ligne. Parallèlement, il pourra concentrer toutes les informations sur son identité numérique sur une seule page sécurisée. Dans un premier temps, pour toucher les blogueurs, le service sera compatible avec « des sites du web 2.0 communautaire », précise Charles Nouÿrit, qui espère ensuite nouer des partenariats avec « des sites d’e-commerce pour toucher le grand public ».Une carte d’authentificationD’autres systèmes de « cartes d’identités » en ligne ont été lancés outre-Atlantique, parmi lesquels ClaimID : un service gratuit qui permet d’associer à son identité des liens renvoyant vers ses principales traces numériques. Trufina, pour sa part, fournit une carte d’identité numérique « vérifiée », puisqu’elle contrôle les données de ses membres (adresse, numéro de permis de conduire…) en les corrélant avec les fichiers publics disponibles, comme les annuaires.Deuxième technologie de certification, CardSpace, lancée par Microsoft. Elle succède à Passport, service d’authentification en ligne qui proposait à l’internaute de s’enregistrer une seule fois sur les serveurs de Microsoft, avant de pouvoir surfer sur une ribambelle de sites. CardSpace est un gestionnaire d’identités digitales, de « cartes ». Intégré à la plateforme.NET framework 3.0 (créé avec Windows Vista), il permet à l’utilisateur, à partir d’un formulaire, de se créer une carte et d’y entrer des informations cryptées, telles que son numéro de carte bancaire ou son adresse postale. Avantage : « Il peut configurer sa propre carte pour aller sur des sites où il faut s’authentifier pour entrer, mais sans forcément laisser ses données personnelles », précise Nicolas Mirail, chef de produit Windows.L’identité sur une carte à puceL’objectif de Microsoft est de nouer un maximum de partenariats avec des sites d’e-commerce pour qu’ils implémentent sa solution. Ce qu’a fait en juillet dernier CDiscount, où l’internaute peut créer sa CDiscount CardSpace lors du paiement. Au bout de la période-test des trois premiers mois, 13 000 clients avaient ainsi créé leur CardSpace.Troisième voie de certification : proposer à l’internaute de concentrer les données de son identité sur un objet transportable. Le projet de recherche FC² (Fédération de cercles de Confiance et usages sécurisés de l’identité) va dans ce sens. Étalé sur 30 mois et doté d’un budget global de 18 millions d’euros, il est destiné à définir une architecture globale de fédérations d’identités. Il se basera sur quatres types d’architecture, OpenID, CardSpace, Liberty Alliance, et Higgins. Porté par les pôles de compétitivité System@tic et TES (Transactions électroniques sécurisées), il rassemble notamment des banques, des industriels de cartes à puce, comme EADS, Sagem, et Gemalto, ou encore Orange Labs. « Nous voulons donner à l’utilisateur la possibilité de concentrer ses données d’identité numérique sur une carte à puce ou une clé USB », explique Jean-Pierre Tual, directeur des relations industrielles de Gemalto. Pour quels usages ? Ses concepteurs sont en discussion avec « des opérateurs de télécoms, des voyagistes et des banques ». 

Un excellent article sur la sortie du noyau Linux 2.6.24 par http://linuxfr.org/~patrick_g/ dont le travail a été très apprécié.

voir l’article ici: http://linuxfr.org/2008/01/25/23529.html

Quelques extraits:

————————————————8<———————————————————

Après un cycle de développement inhabituellement long la sortie de la vingt-cinquième version stable de la branche 2.6 du noyau Linux vient d’être annoncée. Le code source du noyau est maintenant téléchargeable sur les serveurs du site kernel.org.

• Cette version 2.6.24 se caractérise essentiellement par l’ampleur des changements, en terme de lignes de codes, avec la version précédente. Le 23 octobre, dans son mail d’annonce de la RC-1, Linus écrit :
  

  Cela doit être l’une des plus grosses versions candidates de tous les temps. C’est monstrueux. D’habitude, pour la RC-1, la taille du fichier compressé des différences est de l’ordre de 3 à 5 Mo. Certains sont plus petits que ça et on a occasionnellement des pointes à 6 Mo. Celle-ci fait *onze* méga-octets.
  En bref nous avons juste eu un grand nombre de merges, et pas seulement pour x86 mais aussi des tonnes de nouveaux pilotes (surtout pour le wifi mais pas seulement – dvb, réseau classique, mmc..etc) ainsi qu’une bonne quantité de travail sur les diverses architectures, les systèmes de fichiers, le réseau etc.
  Donc il y a juste beaucoup de nouvelles choses.

…
Vous trouverez plus de détails sur les nouveautés dans la suite de cette dépêche.

• http://kernelnewbies.org/Linux_2_6_24 (“Les nouveautés du noyau 2.6.24“)
• Le bilan des ajouts partie 1
• Le bilan des ajouts partie 2
• Les prévisions pour le futur de Linux

• La fonction d’ordonnancement de groupe, qui a été évoquée lors de la sortie du précédent noyau, est maintenant intégrée dans cette version. Cela permet à l’ordonnanceur de nouvelle génération CFS de gérer plus finement l’allocation des ressources de calcul aux différents processus s’exécutant sur la machine. Avec l’ordonnancement de groupe on peut diviser à volonté le temps processeur selon deux politiques : Soit entre les utilisateurs soit entre les groupes de tâches.
  • La première option (sélectionnable avec CONFIG_FAIR_USER_SCHED) divise le temps processeur entre les différents utilisateurs d’une machine. Celui qui lance 30 processus ne sera plus avantagé par rapport à celui qui n’en lance qu’un seul et chacun des deux utilisateurs aura équitablement la moitié du temps de calcul. Un avantage additionnel relevé par Ingo Molnar est que cela limite drastiquement les risques de Fork Bomb.
  • La seconde option (sélectionnable avec CONFIG_FAIR_CGROUP_SCHED) divise le temps processeur entre différents groupes de tâches. La documentation décrit très bien cette nouvelle fonction : on peut par exemple créer le groupe “multimédia” et le groupe “bureautique” et décider que le premier groupe aura 75 % du temps de calcul alors que le second n’aura que 25 %. L’administrateur a ainsi a sa disposition un outil très souple pour créer tous les groupes qu’il désire et y rattacher les processus à volonté.

  En plus de cet enrichissement fonctionnel apporté par l’ordonnancement de groupe, CFS a également été amélioré sur le plan de la taille du code et de la rapidité. L’empreinte mémoire du code compilé a été réduite puisqu’on passe de 29 145 octets à 26 666 octets (-8,5 %) sur un système multiprocesseur et de 15 633 octets à 13 379 (-14,4 %) sur un système mono-processeur. Cette réduction de taille est cruciale pour le monde de l’embarqué ou Linux est devenu un système incontournable. Diverses micro-optimisations ont également permis de réduire les latences de l’ordonnanceur. Ingo Molnar a mesuré ces latences à l’aide de l’outil lmbench : le noyau 2.6.22 (ne contenant pas CFS) atteignait 0,64 microsecondes. Le noyau 2.6.23 (contenant la première version de CFS) avait régressé à 0,72 microsecondes (+12 %). Le nouveau noyau 2.6.24 et son code optimisé permet de redescendre à 0,62 microsecondes (soit -3 % par rapport à l’ordonnanceur non équitable d’ancienne génération). On voit donc que le caractère complètement équitable et extrêmement robuste du nouvel ordonnanceur CFS n’aura rien coûté en performances.

• Pour permettre, entre autre, l’ordonnancement de groupe le noyau 2.6.24 propose l’infrastructure Control Group. Elle permet de définir de façon très générique des groupes de contrôle (ou cgroups) afin de gérer les ressources disponibles de la machine et de définir des quotas d’utilisation. L’administrateur utilise les cgroups pour créer des hiérarchies de processus au travers, comme c’est l’habitude sous Linux, d’un système de fichier virtuel se trouvant dans /dev/cgroup. Ces cgroups associent des listes de tâches avec des listes de paramètres pour les divers gestionnaires des ressources (les processeurs, les utilisateurs, les disques, le réseau, etc.).
  Pour simplifier évoquons un exemple (tiré directement de la documentation) : l’administrateur du serveur d’une université désire gérer finement les ressources de sa machine. Il crée donc deux cgroups, l’un pour les professeurs et l’autre pour les étudiants. Une fois que c’est fait l’administrateur peut utiliser la nouvelle infrastructure Control Group afin de définir des quotas et des limites pour chaque groupe. Par exemple, 50 % de la mémoire pour les professeurs, 30 % pour les étudiants et le reste pour le système. Observez sur le schéma ci-dessous l’application d’une hiérarchie des quotas pour les ressources réseau. La navigation web a une allocation de 20 % de la bande passante qui est elle-même divisée inégalement entre professeurs et étudiants.

             /         \
  
      cgroup1    cgroup2
  
         |              |
  
     (Profs)         (Etudiants)
  
  Mémoire : Profs (50%), étudiants (30%), système (20%)
  
  Disques : Profs (50%), étudiants (30%), système (20%)
  
  Réseau : navigation web (20%), accès par NFS (60%), autre (20%)
  
                     /        \
  
          Prof (15%) étudiants (5%)

  Cette nouvelle infrastructure de quotas et de groupes de contrôle est utilisée par CFS pour l’ordonnancement de groupe des processus évoqué plus haut. Ainsi CFS évite de dupliquer du code et profite du mécanisme générique se trouvant dans le nouveau noyau.

• L’unification des architectures i386 et x86-64 est réalisée pour la première fois au sein du noyau 2.6.24. Quand on regarde le code source de Linux on constate que le répertoire arch contient le code spécifique aux divers processeurs qui sont supportés par le noyau (PowerPC, i386, ARM, SPARC, etc.). Ce nombre de sous-répertoires est important (plus de 25 architectures différentes) et les développeurs ont intérêt à essayer de fusionner au maximum ce qui peut l’être afin de partager le plus de code possible. Comme il existe de nombreuses ressemblances entre les i386 et les x86-64 (essentiellement l’architecture passe de 8 à 16 registres et ces registres passent de 32 à 64 bits) un projet de fusion a vu le jour. Actuellement une correction de bug sur l’une des branches doit être dupliquée sur l’autre. Quand une nouveauté est introduite, il faut l’incorporer à l’autre branche, etc. Ce processus de double maintenance est très lourd et provoque de nombreuses erreurs. La décision a donc été prise de faire comme pour l’architecture PowerPC : les variantes 32 et 64 bits ont fusionné à l’occasion de la sortie du noyau 2.6.15 et, avec le recul, cela s’est avéré être une très bonne décision.
  Thomas Gleixner et Ingo Molnar, dans un mail très argumenté, ont donc proposé un méga patch (près de 2 000 fichiers sont impactés) qui renomme tous les fichiers spécifiques avec le suffixe _32 ou _64 et les déplace dans le nouveau répertoire unifié x86. C’est une sorte de “Big Bang” au niveau des répertoires de arch mais cela ne change rien au niveau du code lui-même. De cette façon le travail d’unification, qui a déjà commencé, peut se faire progressivement (en fusionnant les fichiers toto_32.C et toto_64.c en un unique toto.c) avec chaque nouvelle version du noyau.
  Cette décision a néanmoins provoqué une controverse car Andi Kleen, le mainteneur de la branche x86-64, n’était pas d’accord avec l’unification. Il a défendu son point de vue sur la liste de diffusion :

  Vous connaissez ma position à ce sujet. Je pense que c’est une mauvaise idée car cela signifie que nous ne pourrons jamais plus nous débarrasser des vieilleries. La branche arch/x86_64 est significativement plus propre et plus simple que arch/i386 et je voudrais préserver cela. [...] Ce n’est pas vraiment la même plate-forme : l’une est une architecture PC remontant à la nuit des temps et contenant des zillions de bugs, l’autre est une plate-forme PC moderne avec bien moins de bugs et de bizarreries.

  Linus n’était pas de cet avis:

  Je pense qu’il est *bien* plus difficile de gérer ce genre d’héritage dans un vieux répertoire que presque personne n’utilise (ce n’est probablement pas vrai à l’heure actuelle mais, pour la plupart des développeurs, je parie que cela sera vrai dans un an). Spécialement si ce vieux répertoire se contente de dupliquer 99% du boulot. Il n’y a pas tant de vieilleries que ça. Il y a certes des choses bizarres ici et là, mais chaque fois que j’entends l’argument (théorique) selon lequel nous économiserions du temps et des efforts en ayant ce code dupliqué ailleurs je pense à tout le temps que nous perdons réellement en corrigeant le même bug deux fois (et je m’inquiète pour les fois ou nous ne le faisons pas).

  Andi n’a pas été convaincu par Linus et il a décidé de ne pas assurer la maintenance de la nouvelle branche fusionnée x86. Les nouveaux mainteneurs sont donc Thomas Gleixner, Ingo Molnar, et H. Peter Anvin.

• Un changement concernant les entrées/sorties de type scatter/gather a provoqué quelques soucis dans le nouveau noyau. La technique de scatter/gather permet d’utiliser un seul appel système pour écrire séquentiellement des données depuis plusieurs tampons mémoires ou pour lire des données dans plusieurs tampons mémoires. Ce mécanisme, qu’on pourrait traduire imparfaitement par Rassemblement/Dispersion, élimine l’obligation de copier les données dans un seul gros buffer et permet d’utiliser beaucoup de petits tampons dispersés. Cela permet d’augmenter les performances et d’éviter d’avoir à créer un gros buffer d’une seule pièce (ce qui est parfois difficile). La technique scatter/gather est très efficace et pratique puisqu’une seule instruction permet de faire plusieurs choses simultanément. Cela explique pourquoi cette technique est aussi connue sous le nom d’entrées/sorties vectorielles. La liste des multiples tampons est présente dans un tableau mais celui-ci ne peut pas excéder la taille d’une page mémoire. Afin de faire sauter cette limitation contraignante le noyau 2.6.24 a introduit la possibilité de chaîner ces listes. Le but est d’augmenter encore les performances d’entrées/sorties mais ce changement a été douloureux et a provoqué le dysfonctionnement de plusieurs pilotes. Jonathan Corbet a même indiqué que
  

  le chaînage des listes scatter/gather a sans doute été le changement le plus problématique du noyau 2.6.24, en dépit du fait qu’il s’agit d’un nombre réduit de lignes de code

  L’API scatter/gather doit aussi encore être améliorée afin de simplifier son utilisation. Deux directions sont envisagées pour inclusion dans le noyau 2.6.25 afin d’avoir une API qui permette d’écrire plus facilement à l’avenir du code haute-performance.

• Le support de l’espace de noms pour les processus fait son entrée dans le nouveau noyau….De même ce support de l’espace de noms pour les processus est pour l’instant encore marqué comme “expérimental” afin de prévenir les développeurs que l’interface de programmation est susceptible de changer. La finalisation définitive de l’API est prévue pour la version 2.6.25 et elle pourrait bien annoncer le début de la fin pour les patchs externes du type Vserver. Quand tous ces mécanismes de gestion de conteneurs seront inclus dans la branche principale, Linux possédera une solution plus puissante et plus générique que ses concurrents. On peut noter à titre d’exemple que les Zones de Solaris ne possèdent pas d’espace de noms pour le réseau.
• L’interface Virtio qui permet de proposer aux différentes solutions de virtualisation une couche commune pour gérer les entrées/sorties a été développée par Rusty Russell et le patch a été inclus dans le nouveau noyau Linux. Comme il existe plusieurs solutions de virtualisation utilisables avec Linux (Xen, Lguest, KVM, etc.) il est apparu nécessaire de chercher à mutualiser une partie du code et à proposer une couche d’abstraction pour éviter une divergence des outils. Virtio est une interface virtuelle qui permet de gérer les entrées/sorties et évite ainsi la prolifération anarchique des pilotes virtuels. Interrogé sur l’utilité réelle de Virtio, Rusty a répondu que :
  

  personne ne veut maintenir cinq pilotes virtuels différents pour le réseau, cinq pilotes virtuels différents en mode bloc, etc. En fait à un moment la communauté du noyau va se rebeller [...] Nous pouvons donc au moins simplifier pour chaque technologie de virtualisation le fait d’implémenter le nouveau périphérique XYZZY.

  Virtio reste volontairement simple car la technique de virtualisation des entrées/sorties change rapidement et il ne faut pas que cette nouvelle interface devienne un facteur limitant par la suite…ou comme le dit plus brutalement Rusty:

  Of course, the new interface must not suck.

• La gestion dynamique des tranches de temps pour l’architecture x86-64 et pour l’architecture PPC fait maintenant partie du code du noyau Linux. Cette technologie est apparue dans le noyau 2.6.21 mais elle était jusqu’à présent réservée aux processeurs i386 et aux SPARC64. Elle permet (quand on utilise l’option CONFIG_NO_HZ) d’éviter d’avoir une fréquence fixe de “réveil” du processeur et donc de le laisser plus longtemps dans des modes d’économie d’énergie. Cela se traduit par moins de chaleur dissipée et plus de durée d’utilisation pour les ordinateurs portables (c’est également intéressant pour la gestion des machines virtuelles). Les nombreux utilisateurs de distributions x86-64 peuvent donc maintenant découvrir les bienfaits d’un noyau “tickless“.
• le support de la norme Secure Digital Input Output fait son entrée au sein du code permettant de gérer les cartes mémoires MMC et SD. Cette modification autorise le branchement sur un port SD de divers gadgets: Récepteurs GPS, adaptateurs Wi-Fi ou Bluetooth ou Ethernet, Lecteurs de code-barre, Tuners FM ou TV, Appareils photos, etc.
  Pierre Ossman, qui est le mainteneur officiel du sous-système MMC/SD, a annoncé que trois pilotes SDIO étaient déjà inclus dans le noyau et que le travail continue pour inclure de nombreux autres pilotes. Néanmoins il tient à avertir les développeurs que son implémentation de SDIO force à écrire proprement le code des pilotes :

  Cette implémentation oblige à une stricte séparation des couches et masque tous les détails du protocole. Cela pourra en ennuyer certains qui voulaient porter plus facilement les pilotes entre différentes implémentations mais je crois que le résultat final sera un système bien plus robuste au lieu de n’être qu’une collection de hacks et de bidouilles.

• L’infrastructure Kernel Markers est maintenant en place dans le noyau 2.6.24. Depuis plusieurs mois les développeurs ont entrepris d’améliorer les fonctions de tracing, c’est à dire d’enregistrement d’informations lors de l’exécution de la machinerie interne de Linux. Ce “tracing” est très important pour diagnostiquer d’éventuels problèmes et pour régler finement les performances du noyau. La société Sun propose l’outil Dtrace dans son système d’exploitation Solaris et la sophistication de cet outil a provoqué un très grand intérêt dans le monde informatique au point que le projet FreeBSD a décidé de porter Dtrace vers son propre environnement. La puissance du logiciel de Sun a provoqué un sentiment d’envie chez les développeurs Linux qui, pour revenir à parité, ont accéléré leurs efforts. Le premier résultat est Kernel Markers qui permet d’insérer des points de contrôles statiques dans le noyau. Le fait que ces points soient statiques est important car cela leur permet d’être insensibles aux modifications de code qui les rendraient obsolètes à très court terme et cela rend négligeable leur impact sur les performances. Maintenant que cette infrastructure est en place les outils concurrents de Dtrace (comme SystemTap ou LTTng) vont pouvoir s’appuyer dessus pour devenir compétitifs.
• Une autre nouveauté de ce noyau est le mécanisme d’autorisation des périphériques USB. Dans un futur proche la nouvelle norme Wireless USB (c’est à dire le branchement des périphériques par ondes radio) va faire son apparition. Cela pose évidemment un problème de sécurité nouveau qu’il faut résoudre dès maintenant. Actuellement quand un utilisateur branche par exemple un disque dur USB le noyau suppose que ce périphérique est autorisé et il est automatiquement configuré et rendu disponible. Avec le WUSB et ses connexions sans fil à distance il faut mettre en place un mécanisme d’authentification similaire au WPA qui existe pour les réseaux Wi-Fi. La spécification WUSB a pris en compte ce problème et le noyau 2.6.24 implémente maintenant ce mécanisme qui permettra d’éviter que votre voisin puisse se connecter sur votre disque dur WUSB tout neuf. Pour entrer un peu plus dans les détails la partie authentification est laissée à un programme en espace utilisateur alors que la partie autorisation relève du noyau. Cela permet de bien séparer les fonctions et d’éviter de faire entrer dans le noyau un grand nombre de lignes de code qui peuvent tout aussi bien rester à l’extérieur. Maintenant chaque périphérique USB a trois flags supplémentaires: wusb, authorized, et authenticated et l’administrateur de la machine peut changer librement la valeur de ces flags. On voit immédiatement le profit pour la gestion des périphériques USB classiques qui peut être tiré de cette infrastructure introduite pour accueillir le Wireless USB. Par exemple maintenant un administrateur peut décider que les souris et les claviers sont autorisés (en leur passant le flag authorized à 1) alors que les imprimantes et les périphériques de stockage sont interdits (valeur 0 dans leur flag). Ce mécanisme d’autorisation introduit donc beaucoup de souplesse dans la gestion fine des périphériques sous Linux.
• Le patch permettant le réglage intelligent de la vitesse d’écriture a été intégré au noyau. Avant ce patch l’écriture sur un disque se passait de la façon suivante: Une application voulant écrire des données utilise la fonction write() et le noyau copie ces données dans la mémoire vive en mettant un flag “dirty”. Ce flag signifie que ces pages mémoire ne doivent pas être réutilisées tant que le disque dur n’aura pas effectivement écrit toutes les données. Le danger c’est que l’application continue d’écrire dans la mémoire plus rapidement que le disque ne peut absorber. La conséquence c’est que de plus en plus de pages mémoires deviennent “dirty” ce qui peut, dans des cas extrêmes, mettre en danger la stabilité de la machine qui n’aurait plus assez de mémoire vive. Pour éviter cette fâcheuse situation le noyau contrôle en permanence la quantité totale de pages “dirty” et, en cas de besoin, il force le processus à écrire directement sur le disque (ce qui est lent) au lieu d’écrire dans la mémoire. Jusqu’à présent ce mécanisme de contrôle n’était pas intelligent et il forçait tous les processus à ralentir ! Ainsi une clé USB très lente, ne pouvant donc pas absorber assez vite les pages “dirty”, va entraîner le déclenchement par le noyau du processus de contrôle ce qui va ralentir tous les processus écrivant sur des périphériques.
  Peter Zijlstra a donc proposé un patch qui permet un contrôle pour chaque disque (et non plus global). Ainsi quand le contrôle de vitesse se déclenche pour le processus écrivant sur la clé USB, les autres processus, ceux qui écrivent sur des disques rapides, peuvent continuer à remplir des pages “dirty” dans la mémoire vive. Bien entendu la partie difficile de cette solution est d’arriver à déterminer le moment exact où doit se déclencher le contrôle autoritaire. Pour bien faire les choses un processus écrivant sur un disque rapide devrait avoir droit à plus de pages “dirty” qu’un autre écrivant sur un périphérique lent et le contrôle ne devrait pas se déclencher avec le même seuil. Pour prendre ces décisions délicates Peter Zijlstra a introduit la bibliothèque “Floating Proportions“. Cette dernière permet de suivre le nombre d’écritures effectives sur chaque disque et d’accorder des quotas de pages “dirty” en fonction de ces résultats. Ce réglage intelligent de la vitesse d’écriture permet ainsi d’améliorer les performances et la robustesse des entrées/sorties sous Linux.
• Outre les nouveautés décrites ci-dessus, une multitude d’autres nouveautés sont présentes dans ce noyau.
  • De très nombreux pilotes Wi-Fi utilisant la nouvelle pile mac80211 (introduite dans le 2.6.22) entrent enfin dans la branche principale. Cela représente 2,3 Mo de code source ce qui donne une indication du nombre de pilotes. On trouve notamment celui de la carte Intel PRO/Wireless 3945ABG/BG ou encore de la carte Broadcom BCM43xx.
  • Après la correction de quelques problèmes de jeunesse le nouvel allocateur de mémoire SLUB, inclus dans le noyau 2.6.22, a été optimisé par Christoph Lemeter. On observe un gain de 10 à 20% quand l’allocation est de la même taille que la page mémoire et de 50% quand la libération est de la même taille que la page mémoire.
  • Pour des raisons de sécurité il n’est plus possible de charger des modules à chaud par l’intermédiaire de l’interface LSM. Les modules de sécurité devront donc être inclus lors de la compilation du noyau (ce qui va évidemment poser des problèmes aux firmes diaboliques qui utilisaient LSM pour brancher leurs modules propriétaires).
  • Toujours dans le domaine de la sécurité l’algorithme de chiffrement symétrique SEED, très répandu en Corée, est inclus dans le noyau.
  • L’allocation de port pour les protocoles UDP et SCTP se fait maintenant de façon non prévisible comme c’était déjà le cas avec TCP et ce afin de renforcer la sécurité.
  • Les disques SATA utilisent désormais par défaut la gestion de l’économie d’énergie par ACPI (même si le commentaire lapidaire et humoristique du commit laisse craindre le pire
  • Le patch LRO (Large receive offload) permet d’agréger les multiples paquets TCP reçus en un seul gros paquet ce qui permet de réduire le travail de la pile réseau et donc d’augmenter les performances de la machine. Les pilotes réseau seront modifiés progressivement pour tirer partie de cette nouvelle fonction.
  • L’API de la couche d’abstraction des systèmes de fichiers (VFS) a été modifiée afin d’éviter un risque d’interblocage. Les mainteneurs de systèmes de fichiers qui ne sont pas dans la branche principale de Linux vont devoir, à moyen terme, adapter leur code.
  • Le système de fichiers CIFS inclus dans le noyau devient compatible avec les listes de contrôle d’accès (ACL).
  • Il est maintenant possible d’utiliser la fonction de multiplicateurs de ports de la norme SATA. Cela permet à plusieurs disques d’utiliser simultanément le même port SATA.

  La liste détaillant toutes les nouveautés (réseaux, systèmes de fichier, pilotes disques, cartes son, vidéo, Bluetooth, etc.) est disponible sur le site de Kernelnewbies.

Comme c’est devenu l’usage le site Linux Weekly News propose un article résumant les multiples contributions durant ce cycle. On apprend ainsi que le plafond des 10000 patchs a été dépassé (seulement 6200 patchs pour le 2.6.23) et que le nombre de contributeurs a été de 950 contre 860 pour le noyau précédent. Si on regarde le bilan global de l’année 2007 ce sont plus de 1900 développeurs qui sont intervenus sur le noyau en produisant plus de 30000 patchs (ce qui représente 5000 modifications de lignes de code par jour).
De nombreuses autres statistiques très intéressantes sont également présentes dans cet article et la conclusion est rassurante à lire :

L’image qui résulte de tous ces chiffres est celle d’une communauté de développement saine et diversifiée. Le noyau est vraiment une ressource commune avec littéralement des milliers de personnes qui travaillent pour l’améliorer. Et il ne montre aucun signe de ralentissement de sitôt.

Pour la suite…
En ce qui concerne le futur du noyau Linux on peut se tourner vers la page spécifique maintenue par Jonathan Corbet.

• L’outil de tracing utrace, qui était pressenti pour faire son entrée dans le 2.6.24, a été retardé mais il devrait être présent dès la prochaine mouture de Linux.
• Le module de sécurité SMACK (Simplified Mandatory Access Control Kernel), qui est développé par Casey Schaufler, pourrait entrer en mainline et faire concurrence à SELinux en proposant moins de fonctions mais une configuration bien plus simple. Casey propose régulièrement des mises à jour de version qui intègrent la branche de test -mm sans problèmes ce qui est de bon augure pour le futur de ce module.
• Le système de fichier de nouvelle génération ext4 continue sa phase de développement et il incorpore de nouvelles fonctions. Cette fois-ci c’est UBG (uninitialized block groups) qui est annoncé. Cela consiste à contrôler si un bloc disque a été initialisé ou pas. Si le bloc n’a jamais été utilisé alors le programme fsck n’aura pas besoin de le vérifier lors de son passage suivant. Cela permet potentiellement de gagner beaucoup de temps lors du boot (entre 2 et 20 fois plus rapide) quand on doit procéder à l’examen d’un disque.
• Le support des bus de données de type CAN (Controller Area Network) est en cours de développement par des ingénieurs de la société Volkswagen. Cette nouvelle infrastructure PF_CAN devrait faire son entrée dans le noyau 2.6.25 ou 2.6.26 et faciliter ainsi l’utilisation de Linux au sein de l’industrie automobile .
• Enfin le vieux serpent de mer du débogueur interactif intégré au noyau refait surface. Selon les prévisions de Jon Corbet il y a une chance non nulle qu’en dépit de la mauvaise volonté de Linus, qui n’aime pas les débogueurs intégrés (voir le fameux post “because i’m a bastard“), le patch KGDB puisse faire partie du prochain noyau 2.6.25

Autres sites d’informations sur le noyau Linux:

- http://kernelnewbies.org/LinuxChanges (“A comprehensible changelog of the Linux kernel, this page shows a summary of the important changes being added in each Linux kernel release – support for new devices, features, filesystems, and subsystems as well as important internal changes. While this text is aimed to be readable (unlike the full changelog), its primary audience is those who know a fair amount about how a kernel operates. Other places to get news about the Linux kernel are LWN kernel status, LWN driver porting guide, LWN list of API changes in 2.6, or www.lkml.org. If you’re going to add something here look first at LinuxChangesRules!“)

- http://lwn.net/Kernel/ (“LWN.net’s coverage of Linux kernel development is detailed, technical, and timely.”)

-