via Diaspora* le 27/09/10

Highlights of the First Week

27 September 2010

The community’s response to our release has been amazing. Within the first week of releasing code to developers, Diaspora is the 10th most popular project on Github with over 2500+ watchers. We’ve had 412 forks of Diaspora to date, and about a half a million views of the code as well. Many people have gotten the alpha running on their own machines, and have provided countless bug reports and feature requests.

Special thanks goes out to:

  • arielo who setup il8n and many others who contributed to translation of diaspora to 17 different languages.
  • voxdolo has started to help us improve and refactor our specs.
  • hemanth , maco , and drt24 who wrote the epic Ubuntu setup script.
  • manervu and aredridel who helped us move to Ruby 1.9.2.

If you want to help contribute to Diaspora, you can find the source code on github, accompanied with some instructions on how to get started: http://github.com/diaspora/diaspora

We’d also like to thank the people who have reported security holes. Most of what was reported was has already been patched, and if you see any further problems, please let us know at exploits@joindiaspora.com.

We have also gotten lots of great feedback about our contributor agreement, and are talking to many experts on the subject to make the agreement more accurately reflect our goals for Diaspora. We’ve outlined what we want that document to express here.

The first week of Diaspora source code being released has been huge. Project releases like this just don’t happen everyday, and we are completely overwhelmed that so many people want to help make Diaspora awesome. We are doing our best to get as many people involved as soon as possible. Thank you so much for your continued support!

PS. Today is Rafi’s birthday. (He’ll be in #diaspora-dev all day.)

via Le Monde.fr : à la Une le 27/09/10
Un projet de loi devrait être présenté l'an prochain pour donner aux agences gouvernementales le pouvoir de mettre sur écoute des services comme Skype ou Facebook.

via Les dernières actualités de Futura-Sciences de webmaster@futura-sciences.com (Futura-Sciences) le 24/09/10
Étrange histoire que celle de ce virus conçu pour détruire une installation industrielle. Les spécialistes qui l'ont disséqué ont découvert qu'il ciblait certains systèmes de Siemens et pensent que ce Troyen, véhiculé par des clés USB, est spécifiquement dirigé contre la centrale nucléaire iranienne de Bushehr.
Stuxnet, un ver informatique, serait le premier malware à s'attaquer au contrôle en temps réel d'un système industriel. Découvert en juillet 2010, Worm.Win32.Stuxnet a été étudié, entre ...

via ☠ Bluetouff's blog de bluetouff le 26/09/10

makerbot thingomaticDans les gros jouets avec lesquels les geeks et les hackers peuvent s’éclater, il y a les imprimantes 3D. Le concept est de réaliser vous mêmes des objets usuellement produits avec des procédés industriels lourds, dans votre propre garage (… et même dans votre salon si votre conjoint(e) supporte cet objet étrange au quotidien). MakerBot Industries propose un kit complet, à monter vous même : une véritable imprimante 3D avec laquelle vous allez pouvoir produire des formes que vous aurez préalablement conceptualisé avec des gabarits 3D. L’électronique est en partie assurée par des composants Arduino, du matériel le plus ouvert possible, le plus hackable possible.

Le MakertBot nouveau, le Thing-O-Matic! est une petite révolution, il est maintenant capable de réaliser consécutivement plusieurs impressions 3D d’un objet là où une seule était possible avec le premier modèle de MakerBot. Le Thing-O-Matic! c’est aussi une précision accrue, des axes d’impression plus robustes, et une qualité globale sensiblement améliorée. Les mécanismes  ont été rendus plus précis, vous permettant de réaliser des formes encore plus délirantes. Le Thing-O-Matic! est aussi 6 fois plus rapide que la version précédente !

Niveau accessibilité, si ce matériel reste pour bidouilleurs relativement avertis, l’accent a aussi été mis sur la facilité de montage et de paramétrage global. A l’utilisation, c’est donc plus simple, plus rapide plus précis … et non, ce n’est pas l’iPhone 5 !

L’engin est actuellement proposé pour la somme de 1225$ et un délai de livraison de 7 semaines (et oui c’est du fait main !), mais je suis persuadé que John et Wim sont en train de lorgner sur la bestiole, aussi vous devriez pouvoir très prochainement vous les procurer en Europe sur le store d’Hackable-Devices.

Je vous invite également, si vous découvrez cet univers dans ce billet, d’aller jeter un oeil attentif sur ce que certains hackers font avec leur RepRap et surtout de prendre connaissance des travaux d’Alexandre sur Usinette et du projet Fablab, dont on espère tous que vous entendrez très vite parler.

Possibly Related Posts:


via Korben de Korben le 22/09/10

PcInpact a publié un mini dossier que je vous invite à lire au sujet du filtrage par DPI qui se profile à l’horizon… Le DPI (Deep Packet Inspection) est une façon de censurer Internet en scrutant de manière automatique le contenu des packets IP.

Je me souviens qu’au début des histoires d’Hadopi, certains étaient convaincus qu’on n’en arriverait jamais là car la France est le pays de la liberté et on me faisait souvent remarquer que les gens qui parlaient du DPI (comme moi) étaient trop alarmistes et cherchaient juste à semer la psychose chez les internautes.

Il n’empêche que plus le temps passe et plus tout ceci devient réel et concret… Le DPI permettra dans un avenir proche :

  • De censurer les requêtes vers des sites blacklistés (pédophiles, site de jeux non agréé, warez…)
  • De vous envoyer Hadopi si vous téléchargez un machin sous copyright via direct download, p2p…etc

Mais on peut surtout se demander où ce petit jeu s’arrêtera. Si par exemple, je reçois par email un MP3 que je n’ai pas payé… va-t-on m’envoyer dans les filets d’Hadopi ? Et si, j’envoie toujours par email, des preuves d’une magouille gouvernementale à un journaliste du Monde (ahaha) ou à Wikileaks, va-t-on m’arrêter le lendemain ?

Le DPI, ce n’est pas seulement une technologie qui permettra de choper/bloquer les téléchargeurs de divX… C’est aussi et surtout un moyen de mieux contrôler qui dit quoi sur le net, que ce soit dans les commentaires publics des blogs, des forums, des sites ou que ce soit dans nos correspondances privées. (email, tchat non sécurisé…etc).

Si demain, on peut bloquer le fichier Super.Film.2010.Truefrench.REPACK.1CD.DVDRip.XviD-KORBEN.avi, que ce soit avec son titre ou une empreinte de son contenu… Pourquoi est ce qu’on ne pourrait pas bloquer une phrase, un PDF, un article ou une idée grâce à des mots clés ou des empreintes des documents. La frontière est mince, très mince, et je ne pense pas qu’une loi ou un article de loi empêchera la mauvaise utilisation de cette technologie pour étouffer un scandale de voyou, bâillonner une personne gênante ou censurer une sextape mettant en scène 2 ministres.

Le DPI est donc la solution miracle… Et le truc super génial, c’est que tout est en train d’être planifié pour que nous les internautes, payons de manière volontaire ce filtrage afin de ne pas être accusé à tort… C’est un business model qui force la main aux gens pour qu’ils payent afin de se mettre à l’abri des erreurs judiciaires. Gonflé mais surement efficace, surtout que la technologie du DPI coûte cher à mettre en place et à exploiter.

Pour empêcher que l’oeil de Big Brother ne vienne farfouiller tous vos mails perso, vos habitudes de sufs, et vos conversations MSN, il n’y a qu’une seule solution… Le chiffrement des communications.

En passant par des sites sécurisés (https) mais cela n’empêchera pas le blocage de ceux-ci. D’ailleurs, une majorité de sites ne permettent pas cela. En utilisant des logiciels chiffrés comme Skype pour le tchat, ou alors simplement en payant un abonnement à un VPN off-shore (environ 50 $ par an), en acceptant une légère baisse de débit mais en ayant la certitude que toutes vos communications seront chiffrées. Pour info, il existe aussi des VPN gratuits mais le débit est plus qu’aléatoire. Armé de votre VPN, vous serez probablement « louche » aux yeux de Big Brother mais celui-ci ne pourra rien découvrir dans vos paquets.

Et n’oubliez pas de ne jamais installer ce logiciel gouvernemental censé sécuriser votre ligne et vous permettre de prouver votre innocence en cas d’erreur d’Hadopi. Ce serait capituler devant un internet à la chinoise et surtout permettre à l’Etat de fouiller les moindres recoins de votre cyber-vie.

A bon entendeur, salut !

via SecuObs.com le 25/09/10
L’outil evercookie est composé d’une API javascript et d’un backend php. Il permet de créer un cookie utilisant de nombreuses méthodes de stockage sur le poste client, pour assurer une résilience maximale.

via Blog MTI de Jonathan Verrecchia le 20/09/10

Cet article est une introduction au CSS3 en abordant les problématiques qu'il soulève. Une première partie expliquera le contexte de développement du CSS3, et la seconde mettra en pratique son intégration concrète la plus universelle possible, tout en restant standardisée (sans alternative Javascript) en présentant une dizaine de fonctionnalités les plus utilisées.

Contexte

L’univers des standards W3C, des implémentations navigateurs et de l’intégration par les développeurs est un écosystème très délicat. En effet, les standards W3C se doivent d’être parfaits avant de décréter l’officialisation d’une nouvelle version. C’est pour cette raison que l’élaboration des standards prend énormément de temps. Du côté des navigateurs, chacun fait comme il l’entend. C’est-à-dire qu’ils peuvent prendre de l’avance sur une fonctionnalité sur laquelle travaille le W3C et implémenter son fonctionnement avant qu’elle soit officialisée.

Enfin, les développeurs et designers, qui pensent avant tout aux visiteurs qui navigueront sur leur site, se doivent de garder un design cohérent sur tous les navigateurs, et ne peuvent donc pas prendre trop de risques en utilisant les fonctionnalités que les navigateurs implémentent en avance.

Quand commencer à l'utiliser et mise en garde de compatibilité

Pour le cas du CSS3, il est en développement par le W3C depuis plus de 10 ans, et n’est toujours pas totalement terminé. Depuis quelques années, sont apparues les alternatives propres à chaque navigateur, comme par exemple le moz-border-radius, équivalent Firefox du border-radius officiel. Ces alternatives n’étant jamais fonctionnelles sur tous les navigateurs (et surtout jamais sous Internet Explorer, même dans sa version 8), elles ont été assez peu utilisées et sont restées très expérimentales aux yeux des webdesigners qui ne voulaient prendre aucun risque que leurs visiteurs n’y aient pas accès selon le navigateur utilisé.

Aujourd’hui les choses ont évolué. L’arrivée du HTML5 pousse les navigateurs dans une course aux mises à jour afin de supporter toutes ses nouvelles fonctionnalités. C’est dans ce contexte que le CSS3 tire son épingle du jeu, car la plupart des navigateurs modernes ont également ajouté les propriétés CSS3 qu’il leur manquaient jusqu’à présent.

A l’heure actuelle, voici le pourcentage d’implémentation des nouvelles propriétés CSS3 pour chaque navigateur :

  • Safari 5.0 : 95%
  • Chrome 5.0 : 89%
  • Firefox 4 : 88%
  • Opera 10.6 : 74%
  • IE8 : 9%

(Source)

On peut cependant noter qu’IE9 implémentera 57% des fonctionnalités du CSS3.

Il est également notable qu’IE subit une chute continuelle d’utilisation depuis 2003 (où il possédait 95% du marché des navigateurs) jusqu’à 2010, où l’on estime qu’il tombera sous la barre des 50%. Le nombre d’utilisateurs de Firefox quant à lui croît régulièrement et Chrome subit largement la plus forte croissance de tous les navigateurs et vient occuper la 3ème place devant Safari.

(Source)

Le moment est donc tout à fait bien choisi pour se former au CSS3, malgré le fait que de nombreuses propriétés doivent être gérées via les alternatives propres à chaque navigateur.

Les nouveaux effets visuels apportés par le CSS3

Voici la liste des nouveautés les plus intéressantes qu’apporte le CSS3 et des exemples d’utilisation :

Coins arrondis

La propriété border-radius prend en paramètre le rayon des angles du bloc sur lequel elle est appliquée.

#test{
-moz-border-radius: 8px;
-webkit-border-radius: 8px;
border-radius: 8px;
}

Dégradés

La propriété gradient s'implémente très différemment selon le navigateur; c'est pourquoi il est conseillé d'utiliser pour le moment un générateur de dégradés CSS3.

#test{
background: -webkit-gradient(linear, left top, left bottom, from(#FFF), to(#000));
background: -moz-linear-gradient(top,#FFF,#000);
}

Ombres portées sur les blocs

La propriété box-shadow prend en paramètre le décalage horizontal, le décalage vertical, l'angle des coins de l'ombre, et la couleur de l'ombre (qui peut devenir un halo lumineux avec des couleurs claires).

#test{
-moz-box-shadow: 1px 1px 13px #000;
-webkit-box-shadow: 1px 1px 13px #000;
box-shadow: 1px 1px 13px #000;
}

Ombres portées sur du texte

La propriété text-shadow est l'équivalent de box-shadow applicable sur les textes.

#test{
text-shadow: 0px 0px 5px #fff;
}

Polices personnalisées

Il est possible d’utiliser une police spécifique en la mettant directement à disposition sur votre site dans un format classique (.ttf ou .otf par exemple) :

@font-face{
font-family: "MyFont";
src: url("fonts/myFont.ttf");
}

Transparence

Une nouvelle notation RGBA permet d'incorporer la valeur de transparence (ou alpha) d'une couleur. Elle peut être appliquée sur tout élément pouvant être coloré par la méthode classique hexadécimale du CSS2.

#test{
background: rgba(255,255,255,0.2);
border: 5px solid rgba(255,255,255,0.2);
}

Rotations

Un élément HTML peut maintenant subir une rotation grâce à la propriété CSS3 rotate. Elle peut être entre autres appréciée pour donner un effet de dynamisme lors du survol de la souris sur un petit élément (via le sélecteur :hover).

#test:hover{
-moz-transform: rotate(8deg);
-webkit-transform: rotate(8deg);
}

Notation HSL et HSLA

La notation HSL (Hue, Saturation, Lightness) est une alternative au RGB. Le H doit être compris entre 0 et 360 (le rouge vaut 0, le vert vaut 120 et le bleu vaut 240), et les deux autres paramètres sont en pourcentage. L'opacité (alpha) peut être ajoutée avec des valeurs comprises entre 0 et 1.

#test{
background-color: hsla(0,100%, 50%, 0.5);
}

Fonds multiples

La possibilité de combiner plusieurs backgrounds est désormais possible, ce qui évite de nombreux ajustements HTML liés au design.

#test{
background:
url("body-top.png") top left no-repeat,
url("body-bottom.png") bottom left no-repeat,
url("body-middle.png") left repeat-y;
}

Colonnes multiples

Le CSS3 introduit également le découpage d'un texte en colonnes, dont le nombre, le séparateur et l'espacement sont paramétrables comme ceci :

#test {
  -webkit-column-count: 2;
  -webkit-column-rule: 1px solid #bbb;
  -webkit-column-gap: 2em;
  -moz-column-count: 2;
  -moz-column-rule: 1px solid #bbb;
  -moz-column-gap: 2em;
  column-count: 2;
  column-rule: 1px solid #bbb;
  column-gap: 2em;
  display: block;
}

Les apports "non visuels"

Les Media Queries

Les Media Queries sont une des fonctionnalités CSS3 les plus attendues. Elles permettent d'adapter le design au format de l'écran de l'utilisateur. C'est particulièrement intéressant avec la banalisation des supports portables comme les smartphones, tablettes tactiles et netbooks.

Il sera possible "d'encadrer" un code CSS dans un scope associé au format de l'écran, afin de spécifier sur quel support les propriétés CSS doivent s'appliquer. Il est possible de tester cet effet en élargissant et rétrécissant la taille de son navigateur comme le montre cet exemple.

Voici comment utiliser une media query pour qu'elle prenne en compte uniquement les écrans qui font au maximum 600 pixels de large :

@media screen and (max-width: 600px) {
  .class {
    background: #ccc;
  }
}

Sélecteurs avancés

Le CSS3 introduit de nombreux nouveaux sélecteurs très pratiques dont voici la liste officielle. On peut notamment y trouver de quoi sélectionner le dernier élément d'un ensemble, ou un élément sur deux (particulièrement utile pour colorer un tableau). L'exemple suivant colore en rouge le second lien trouvé sur la page, avec l'opérateur d'adjacence "+".

a + a {
color: red;
}

Conclusion

Cette introduction s'arrête ici, mais il reste cependant de nombreux points à explorer tant le CSS3 apporte en nouveautés. On peut par exemple évoquer les transitions et animations qui sont pour le moment expérimentales ou nécessitent du Javascript. Vous pouvez suivre l'actualité du CSS3 via le site CSS3.info, régulièrement mis à jour.

via le blog sécurité de Jean-François Audenard le 21/09/10
google-authenticator-logo.pngDésormais, un simple mot de passe ne sera plus suffisant : C'est ainsi que l'on peut résumer ce que Google propose pour sécuriser l'accès aux données qui lui sont confiées.

Authentification à double-facteur
Les entreprises, universités ou institutions ayant fait le choix des services payants de Google (Google Apps Premier) ont désormais la possibilité de renforcer les moyens de contrôler l'accès à leurs données via l'utilisation d'une authentification forte (dite "à double facteur"). Cette fonction connue sous le nom de "Google Authenticator" devra être activée par l'administrateur du compte.

Ce mécanisme d'authentification est appelé "double-facteur" car l'utilisateur doit montrer qu'il est possession de deux éléments distincts mais complémentaires :
  1. Ce qu'il connait (son mot de passe)
  2. Ce qu'il possède physiquement (un smartphone avec une application spécifique)
... dans le cas ou un attaquant aurait réussi à voler (par exemple via un sniffer ou un trojan) le mot de passe d'accès, il restera à la port du système car il possède pas le smartphone et son application.

Token logiciel pour une "sécurité green"
Ce type de système "OTP" basé sur un logiciel est aussi connu sous le terme générique de "soft-token" ou "jeton logiciel". Il est en plein essor est tend à remplacer des solutions similaires basées sur des systèmes physiques, forcément plus couteux à déployer et à maintenir.
Quand l'on peut voir la pénétration des smartphones dans un contexte entreprises, c'est effectivement un choix qui fait du sens. Ainsi, le smartphone devient un outil pour plus de sécurité. Intéressant.

Un smartphone pour montrer patte-blanche
Ainsi, pour rentrer sur son compte, en plus de son mot de passe habituel, l'utilisateur devra aussi saisir un code à usage unique (One-Time Password ou "OTP"). Ce code à usage unique étant généré en local grâce à une application installée préalablement sur son téléphone mobile.

google-authenticator_two-step.gif














Dans le cas de Google, leur application est disponible pour les smartphones basé sur le système d'exploitation Android, iphone d'Apple ainsi que BlackBerry de RIM. Sous iTunesStore, faites une recherche sur "Google Authenticator" (nécessite un iOS 4.0 ou supérieur).

Système réservé aux entreprises
Du moins pour le moment, ce système renforcé n'est pas disponible pour les utilisateurs "grand public'... peut-être que cela évoluera dans le futur...

Même si Google ouvre ce système au plus grand nombre, je reste réservé sur le nombre de personnes qui l'utiliseront effectivement quotidiennement. Peut-être que le coté ludique de l'application iphone va-t-il faciliter l'adoption du système ?

OATH : Open Authentication.
Le système de Google est annoncé comme conforme à la "norme" OATH qui vise à proposer une meilleure interopérabilité au niveau des systèmes d'authentification des utilisateurs avec comme particularité de développer les méthodes "fortes" comme l'utilisation de jetons à usage uniques ou valides durant un temps extrêmement court (par exemple 30 secondes). Pour ceux intéressés par plus d'informations, je vous conseille le site web de l'organisation qui soutien OATH, la page Google-Authenticator, le module Apache mod_authn_otp.

En tout cas, vous pourrez constater par vous même que tout est disponible pour utiliser un système basé sur OATH sur ses systèmes, le tout à coût très réduit car toutes les briques sont disponibles en OpenSource. L'application iPhone "oathtoken" aussi... intéressant !

Comment s'y retrouver dans cette jungle ?
OATH vient se rajouter à d'autres protocoles comme OAuth ou OpenID ; chacun d'entre-eux ayant de près ou de loin des choses à voir avec des notions d'authentification ou de délégation de droits.... clairement, on peut raisonnablement se dire qu'il n'est pas facile de savoir qu'en penser : Je suis d'accord avec eux c'est un peu le bronx.

Peut-être à une autre fois pour une découverte de ces autres protocoles que sont OpenID et OAuth et avec une tombée de rideau sur la mise en perspective de chacun ? Les idées d'articles ne manquent clairement pas, reste à trouver le temps qui va avec. :-)

via Le Monde.fr : à la Une le 20/09/10
Il ne sait rien faire ou presque, mais peut tout apprendre : la start-up californienne Willow Garage incite les passionnés à écrire des applications pour le robot personnel qu'elle a conçu. PR2 a déjà appris à servir une bière fraîche et à jouer au billard.