Bertrand Arquilliere : Systèmes, réseaux et sécurité - Humeur

Participez à un record du monde

Bertrand Arquilliere — Fri, 30 May 2008 07:33:00 +0200

Je fais écho d'un billet de notre cher modérateur ...

Participez à un record du monde, facile, Firefox veut battre le record du monde du logiciel le plus téléchargé en 24h.
Pour participer, rien de plus simple. Rendez vous ici (http://www.spreadfirefox.com/fr/worldrecord/) et saisissez votre adresse email. Le jour J vous serez prévenu que Firefox 3 est disponible, il ne vous restera plus qu'à tenir votre promesse.

Have fun !

Peu de temps libre pour écrire quelques billets

Bertrand Arquilliere — Wed, 16 Jan 2008 07:54:00 +0100

Mes cours en master m'occupent plus que je ne le pensais et je dispose de très peu de temps libre.

Je suis sincèrement désolé de ne pas faire vivre ce blog autant que je le voudrais, mais mon inscription en master m'occupe tous les soirs de 18h à 21h et j'ai environ une heure de route pour rentrer chez moi, avec en prime des cours le samedi matin.
Bien entendu, afin de satisfaire à mes obligations salariales, j'ai aussi modifié mes horaires de travail, afin que mes cours n'amputent pas de mon temps de travail.
Et comme si ça ne suffisait pas, en ce début d'année, je suis impliqué dans 3 nouveaux projets sécurité, avec des délais relativement court, m'obligeant à une puissance et une cadence de travail très élevées.

En ce qui concerne mon écoute du marché, mon inscription en master est prometteuse, puisque je suis régulièrement contacté pour des propositions d'emplois. Malheureusement, beaucoup de ces offres, bien que très intéressantes se situent à Paris et région parisienne, et que je ne suis pas prêt à la mobilité sur Paris. Comme dis plusieurs fois, en Bretagne pourquoi pas, en Rhône Alpes pas de problème, et depuis quelques jours j'ai eu 3 ou 4 ouvertures en Suisse, et j'avoue être plus que tenté par l'aventure Suisse.

Je vous tiendrais informé de la suite dés que j'aurais un peu de temps à consacrer au blog, mais jusqu'à fin février, ma priorité numéro 1 demeure l'obtention de mon diplôme.

Je lis quand même tous les jours mes mails et j'y réponds, de même que je passe sur ce blog et quelques autres voir si des questions ne me sont pas adressées. Alors n'hésitez pas, laissez moi vos questions / commentaires, j'y répondrai.

A très bientôt.

Bonne fêtes de fin d'année !

Bertrand Arquilliere — Wed, 26 Dec 2007 21:57:00 +0100

Joyeux Noël et bonne année 2008 !

Je vous souhaite beaucoup de réussite professionnelle, du bonheur et la santé pour 2008. Puissiez vous trouver ce que vous cherchez et réussir tout ce que vous entreprendrez.

A très bientôt.

General Public Licence et droit français

Bertrand Arquilliere — Sat, 15 Dec 2007 13:34:00 +0100

Un synthèse de la thèse de Mélanie Clément-Fontaine (1999) réalisé dans le cadre d'un exposé de droit en vue de l'obtention de mon Master 2 OPSIE.

GPL et droit Français

I- Introduction

«La puissance de bien juger, de distinguer le vrai d'avec le faux, qui est proprement ce qu'on nomme le bon sens, est naturellement égale en tous les hommes» (René Descartes Discours de la méthode). Cet extrait du discours de la méthode est sans nul doute applicable, de nos jours, à l'informatique, où le droit doit encadrer de son bon sens, l'évolution informatique afin d'en limiter les dérives, sans pour autant en entraver son développement. La licence logicielle GPL, entre pleinement dans cette définition, en promouvant les logiciels dits logiciels libres, en les encadrants et en les protégeant, dans un marché ultra concurrentiel, tout en garantissant leur pérénité et leur développement.

Les logiciels libres sont des logiciels dont la licence donne à chacun le droit d'utiliser, d'étudier, de modifier, de dupliquer, de donner et de vendre le logiciel. La notion de logiciel libre a été formalisée par Richard Stallman dans le début des années 1980 et l'a popularisé avec le projet GNU et la FSF (Free Software Foundation).

La notion de logiciel libre ne doit pas être confondue avec celle de logiciel gratuit, ni celle de shareware, ni même avec la notion de domaine public. Les libertés définies par un logiciel libre vont au delà d'un accès au code source (Open Source). Toutefois, la notion formelle de logiciel open source, telle que définie par l'Open Source Initiative est reconnue comme techniquement comparable au logiciel libre.

La notion de logiciel libre ne se confond ni avec celle de logiciel gratuit (freewares), ni avec celle de sharewares, ni avec celle de domaine public. De même, les libertés définies par un logiciel libre sont beaucoup plus étendues que le simple accès aux sources, ce qu'on appelle souvent logiciel Open Source ou «à sources ouvertes». Toutefois, la notion formelle de logiciel Open Source telle qu'elle est définie par l'Open Source Initiative est reconnue comme techniquement comparable au logiciel libre.

La GNU GPL (Gnu is Not Unix General Public licence) fixe les conditions légale de distribution des logiciels libres, sa dernière version est la GNU GPL V3 publiée le 29 juin 2007. (Cf. Annexes). De la GPL, deux autres licences sont nées : la LGPL (Lesser GPL), moins contraignantes que la GPL et permettant d'intégrer du logiciel libre à du logiciel propriétaire, et la FDL (Free Documentation Licence) s'appliquant aux manuels, livres et autres documentations.
Ici, seule la licence GPL nous intéressera.

II- Formation du contrat

Le logiciel libre, de part sa nature est générateur d'instabilité, car il évolue continuellement de part le fait de nombreuses personnes. Cette instabilité répond-t'elle aux exigences légales du droit des obligations ? Autrement dit, est ce que la liberté contractuelle permet cette instabilité ?

La GPL de part sa rapide expansion mondiale est présente en France, en conséquence de quoi, elle n'échappe pas au droit Français. L'article 1108 du code civil stipule que " quatre conditions sont essentielles pour la validité d'une convention : le consentement de la partie qui s'oblige ; sa capacité de contracter ; un objet certain qui forme la matière de l'engagement ; une cause licite dans l'obligation ". Il nous faudra vérifier que la GPL remplie ces 4 conditions.

Nous pourrons conclure à la validité de la formation de ce contrat si la liberté contractuelle autorise un objet évolutif (Chap. 1) et que les implications de cet objet répondent aux exigences légale (Chap. 2)

1- Un objet évolutif

Le code civil définit un objet comme objet du contrat dans les articles 1126 à 1128 et parfois comme objet des obligations dans les articles 1129 et 1130. « Le contrat a pour objet les obligations qu'il fait naître, et chacune de ces obligations, à son tour, a un objet » (1). La méthode de Descartes nous invite a aller du plus général pour aller vers le particulier, or, la GPL a été créée afin de permettre l'existence des logiciels libres, nous irons donc ici du particulier vers le général.

a- L'objet des obligations : le logiciel libre Un logiciel est une oeuvre intellectuelle, immatérielle, il est protégeable du seul fait de sa création (Article L111-1 du code de la propriété intellectuelle) et de part son caractère original, c'est à dire qu'il est marqué par un apport intellectuel de son auteur (L112-4 du code de la propriété intellectuelle). Un logiciel, en tant qu'obligation d'un contrat doit respecter 4 exigences :

Existence (Art 1130 du code civil)
Détermination (Art 1129 du code civil)
Possibilité (Art 1128 du code civil)
Licité (Art 1128 du code civil)

Si la possibilité et la licité se doivent d'être analysées au cas par cas, l'existence et la détermination d'un logiciel libre peuvent être analysé plus généralement. Le logiciel libre, évoluant, par nature, continuellement, peut-il avoir un objet existant et déterminable (ou déterminé).

La naissance du logiciel :

Malgré sa nature incorporelle, le logiciel doit recevoir un minimum de concrétisation, sinon il demeure une idée non protégeable. Un contrat n'est valable que lorsque l'objet des obligations existe, mais une chose future peut-être l'objet d'un contrat (Art. 1130 Al 1 du code civil). La GPL a vocation a s'appliquer dés lors que le logiciel est crée, l'objet des obligations existe donc lors de la conclusion du contrat.

A sa création, un logiciel peut-être créé par une seule personne, " la qualité d'auteur appartiendra alors, sauf preuve contraire, à celui sous le nom de qui l'oeuvre est divulguée " (a. L113-1 CPI). Plusieurs personnes peuvent être à l'origine de la création du logiciel, qui sera selon les hypothèses qualifié d'oeuvre collective ou d'oeuvre de collaboration.

L'oeuvre de collaboration est définie comme " une oeuvre à la création de laquelle ont concouru plusieurs personnes physiques " (Art. L113-2 Code de la Propriété Intellectuelle). Ainsi, matériellement, plusieurs intervenants sont à l'origine de la création et l'effort intellectuel de chacun doit être caractérisé, car un conseil et une simple inspiration sont des apports insuffisants. Intellectuellement, il faut entre les différents intervenants une communauté d'inspiration. La qualité d'auteur pour l'ensemble de l'oeuvre est attribuée à toutes les personnes ayant ainsi contribué à son élaboration.

Le logiciel libre doit être qualifié d'oeuvre collective s'il s'agit d'une "oeuvre créée à l'initiative d'une personne physique ou morale qui l'édicte, la publie et la divulgue sous sa direction et son nom, et dans laquelle la contribution personnelle des divers auteurs participant à son élaboration se fond dans l'ensemble en vue duquel elle est conçue, sans qu'il soit possible d'attribuer à chacun d'eux un droit distinct sur l'oeuvre réalisée" (Art. L113-2 Code de la Propriété Intellectuelle).

Il s'agira d'un bien incorporel déterminé dont l'existence est réelle. Cependant, en matière de logiciel libre, il faut prendre en considération le mouvement. Ainsi, le problème de la détermination de l'objet de l'obligation prend toute sa dimension au cours de l'évolution du logiciel.

La vie du logiciel :

La GPL a vocation à s'appliquer au logiciel à sa naissance mais également sur ses modifications. Nous pouvons nous demander si l'objet de l'obligation est déterminé (ou déterminable).

En présence d'un logiciel libre, les utilisateurs sont autorisés par la GPL, à procéder à toutes sortes de modifications.

En matière contractuelle, s'agissant des logiciels classiques, les licences ont la vocation de s'appliquer uniquement à la version stable à laquelle elles sont attachées. Ainsi, l'utilisateur devra passer un nouveau contrat pour utiliser la prochaine version du logiciel. Dans le cadre de la GPL, l'objet de l'obligation est beaucoup plus large, ce qui rend difficile sa détermination En effet, le logiciel libre est une oeuvre évolutive et dynamique. Il est cependant possible de déterminer l'objet de l'obligation de la GPL de manière négative d'une part, et de manière positive d'autre part.

La GPL exclut de son champ d'application les programmes dont le contenu ne constitue pas un ouvrage fondé sur le programme même s'il a été réalisé par exécution du logiciel libre. À l'inverse, la GPL s'applique aux programmes dérivés "any derive work under copyright law". De plus, l'assemblage d'un autre programme avec le programme sur un volume d'un support de stockage ou de distribution, ne fait pas entrer cet autre programme dans le cadre de la GPL ( article 4 de la licence).

Le logiciel libre n'est pas une oeuvre collective, car les utilisateurs qui modifient le programme ne reçoivent pas d'instruction d'un coordinateur au sens de l'article L 113-2 du CPI. A l'inverse, malgré l'éloignement physique de ces personnes et le fait qu'elles n'interviennent pas forcément au même moment, il existe une collaboration entre elles. En effet, elles communiquent à travers l'objet partagé, le logiciel libre, en interagissant par rapport aux modifications qu'apportent les autres. Il s'agit donc d'une oeuvre de collaboration. Le logiciel libre, même dans ses formes modifiées, est donc l'objet de l'obligation de la GPL.

Malgré son caractère évolutif et dynamique, le logiciel libre constitue bien un objet déterminé ou déterminable, que ce soit à sa naissance ou au cours de sa vie.

III- Effet du contrat

IV- Jurisprudence

V- Conclusion

VI- Annexes

IIX- Bibliographie

Thèse de Mélanie Clément-Fontaine (1999) sur http://crao.net/gpl/gpl.html

Un départ qui m'attriste

Bertrand Arquilliere — Sat, 24 Nov 2007 10:26:00 +0100

J'ai appris hier le départ de l'entreprise d'une personne qui a beaucoup fait pour moi ...

Une fois n'étant pas coutume, et n'étant pas particulièrement émotif, je dois avouer que hier en lisant l'annonce du départ de l'entreprise de mon directeur d'agence, j'ai été touché.
Depuis que je travaille j'avais toujours évité plus ou moins habilement, ou refuser plus ou moins poliment de travailler pour des SSII. Or en mars 2006 alors que depuis Nantes je cherchais un emploi dans la région Rhône-Alpes, alors que j'avais refuser plusieurs fois de me rendre en entretien dans des SSII, j'ai reçu l'appel du directeur d'agence de Steria. Il était moins insistant que les autres SSII qui m'avait appelées et je me suis senti en confiance avec ce personnage. Alors plutôt que de l'envoyer sur les roses comme les autres, je lui ai expliqué pourquoi je n'étais pas intéressé :
Mauvaise image du rapport humain en SSII
Sensation de ne pas appartenir à une entreprise, mais plutôt au client
Salaire bas
Peu ou pas d'évolution possible sans changer d'entreprise (Ça je sais faire, ce n'est pas ce qui me gêne le plus)

Christophe (mon directeur d'agence) m'avait alors très calmement avancé quelques arguments intéressants et m'avait proposé d'en discuter en entretien à Grenoble. J'y suis allé et aujourd'hui je ne le regrette pas.
J'ai été embauché sur profil et non pas sur mission comme le fait la grande majorité des SSII, mon profil sécurité l'intéressé fortement pour avoir quelqu'un en réserve dans l'éventualité d'une mission en sécurité. N'ayant pas de mission immédiatement, je me suis vu confié diverses tâches par Christophe, j'ai notamment participé à la réponse à quelques appels d'offres d'envergure, et je me suis vu confié le rôle de CTI, c'est à dire correspondant informatique de l'agence, qu'on peut traduire par mini-responsable informatique, je dis "mini" car les responsabilités sont très limitées.

Après 6 mois sans mission, j'ai fait part au directeur d'agence de mon souhait de profiter de tout ce temps disponible pour me former, quelques jours après j'avais le choix entre une formation Oracle ou une formation de Manager. J'avais été écouté et entendu.

Enfin lorsque l'année dernière j'ai fait bien malgré moi beaucoup de remue-ménage autour d'une faille de sécurité dans l'entreprise, j'en ai profité pour évoquer mon envie et le besoin de travailler dans la sécurité, c'est encore ce directeur d'agence qui a appuyé ma demande au niveau régional, car n'ayant pas d'opportunité en sécurité sur Grenoble, il y avait plus de chance de me trouver chaussure à mon pied sur Lyon.

La suite on la connait, je suis à Lyon où je travaille dans la sécurité toute la journée, le pied intégral

Voilà Christophe, je voulais te rendre un petit hommage à toi qui a su me donner envie d'intégrer une SSII en me montrant que les qualités humaines n'était pas mises de côté et que l'évolution y est possible pour ceux qui s'en donnent la peine. Merci de ton écoute et de ton soutien.

Je te souhaite bon vent dans ton nouveau projet professionnel et peut être à bientôt.

Master II et emploi du temps

Bertrand Arquilliere — Thu, 22 Nov 2007 20:32:00 +0100

J'ai reçu ce matin mon emploi du temps pour le Master II OPSIE à l'université Lyon 2.
Je peux vous garantir que je ne vais pas voir passer le temps jusqu'au mois d'avril 2008, car si je m'attendais à avoir cours 2 à 3 soirs par semaine, c'est une toute autre réalité qui m'attend avec environ 19h de cours / semaine.

Cet emploi du temps m'a donc permis d'avoir un peu plus de détails sur les matières qui vont m'être dispensés, en voici une liste non exhaustive :

Droit
Sécurité des S.I.
Cryptographie
ITIL
Approche stratégique des S.I.
Gestion des risques
Audit informatique
Méthode de suivi de projets
Audit des fraudes sur S.I.
Business Intelligence
Plan de reprise d'activité - Plan de secours
...

Joli programme n'est ce pas ?
Et bien ça va être comme ça tous les soirs de 18h à 21h et les samedis matins de 8h à 13h, avec une semaine complète fin janvier du mercredi compris jusqu'au samedi midi, de 9h00 à 18h00.

J'ai vraiment hâte de commencer.

Mode d'emploi du service informatique de l'entreprise

Bertrand Arquilliere — Tue, 06 Nov 2007 14:40:00 +0100

Humour !

1. Quand vous nous appelez pour déplacer votre ordinateur, n'oubliez pas de le recouvrir préalablement d'une tonne de cartes postales, de photos de bébés, d'animaux empaillés, de fleurs séchées et de dessins d'enfants. On n'a pas de vie personnelle et on apprécie grandement de voir la votre exposée ainsi.

2. Quand une personne du service informatique vous dit qu'il arrive de suite, allez prendre un café. De Cette façon, vous ne serez pas là quand on aura besoin de votre mot de passe. Ce n'est rien pour nous de retenir 500 mots de passe...

3. Quand vous avez un problème avec votre portable, déposez-le en vrac sur un siège au service informatique, sans surtout indiquer votre nom, votre numéro de téléphone et la description du problème. On adore les énigmes.

4. Quand un membre du personnel informatique vous dit qu'il arrive bientôt, prenez une voix blessante et dites: «Vous voulez dire combien de semaines, par bientôt?» ça nous motive!

5. Si l'imprimante n'imprime pas, recommencez l'impression au moins 20 fois. Les travaux d'impression tombent souvent dans des trous noirs.

6. Si l'imprimante n'imprime toujours pas au bout des 20 tentatives, envoyez l'impression à toutes les 23 imprimantes de l'entreprise. L'une d'elles doit marcher.

7. N'apprenez jamais la dénomination correcte pour quoi que ce soit de technique. On sait exactement a quoi vous vous referez par «mon bidule a foiré» ou «mon PC plante».

8. N'utilisez jamais l'aide en ligne pour répondre aux plus simples de vos questions. L'aide en ligne, c'est pour les lopettes.

9. Si le câble de votre souris n'arrête pas de renverser le cadre de la photo de votre chien, soulevez l'ordinateur et fourrez le câble en dessous. Ces câbles ont été conçus pour résister à la pression de 20 kg de matériel informatique.

10. Si la barre d'espacement de votre clavier ne marche plus, accusez la mise à jour du client de messagerie. Les claviers sont en fait très heureux avec du café et des miettes de gâteaux dedans.

11. N'hésitez surtout pas à dire des choses comme «Je comprends rien à toutes ces conneries d 'ordinateurs». Cela ne nous gène pas du tout d'entendre que notre domaine d'expertise professionnelle est une connerie.

12. Si vous avez besoin de changer le toner dans une imprimante, appelez vite le service informatique. Changer le toner est une tâche extrêmement complexe et les constructeurs recommandent qu'elle soit effectuée par un ingénieur professionnel avec une maîtrise en physique nucléaire.

13. Si votre ordinateur ne s'allume pas, venez vous plaindre à nous avant de vérifier s'il est correctement branché.

14. Quand vous recevez un film de 30 Mo, envoyez-le à tout le monde dans l'entreprise en pièce attachée. On a plein plein d'espace disque sur notre serveur de messagerie.

15. Quand vous tombez sur une personne du service informatique le samedi au supermarché, posez une question à propos d'ordinateur. On travaille aussi le week-end et les jours fériés.

16. Oui, bien sûr, de 7H à 9H et de 18 à 19h, on est au boulot devant nos écrans pour faire exploser nos scores au solitaire.

17. Et non, bien sûr que non, nous n'avons vraiment pas l'impression d'être fréquentés par intérêt.

D'où je blog vu du ciel

Bertrand Arquilliere — Thu, 25 Oct 2007 08:38:00 +0200

Vue du ciel de mon nouveau lieu de blog :

Agrandir le plan

Et oui, le grand terrain tout vert en dessous de la flêche c'est bien chez moi ... enfin juste une partie hein, j'ai pas non plus 2000 m²

Enfin !

Bertrand Arquilliere — Thu, 25 Oct 2007 08:12:00 +0200

Enfin, après deux mois sans Internet ni téléphone à la maison, j'ai enfin à nouveau accès à Internet. Dès ce soir au programme de ce blog :

- Mise à jour de mon CV avec mention de ma nouvelle mission

- Un article en réponse aux questions de Frame (oui tu vois Frame, en deux mois je n'ai pas oublié que je t'avais promis des réponses)

Nouvelle mission et peu de temps. MàJ

Bertrand Arquilliere — Fri, 12 Oct 2007 12:03:00 +0200

Suite au démarrage d'une nouvelle mission, et toujours sans Internet à la maison, je suis dans l'incapacité de faire vivre mon blog.

Promis, je reviendrai avec le rythme de publication habituel dès lors que j'aurai internet à la maison.

MàJ 12/10/2007 : je n'ai toujours pas Internet à la maison. Je suis reparti de 0 en résiliant chez mon FAI, puis en demandant l'ouverture d'une nouvelle ligne chez l'opérateur historique.
J'espère être de retour sur la toile pour des billets plus technique, avant le 15/11.

A très bientôt.

Retour de congés

Bertrand Arquilliere — Mon, 10 Sep 2007 10:31:00 +0200

Bonjour, je suis de retour au travail, suite à mon déménagement, je n'ai pas encore accès à Internet pour faire re-vivre mon blog.

J'ai plein d'idées de billets en tête, mais hélas, tant que mon FAI n'aura pas fait le nécessaire pour déménager mon abonnement, je suis dans l'incapacité de les mettre en ligne.

Merci de votre compréhension, à très bientôt..

Absent

Bertrand Arquilliere — Tue, 28 Aug 2007 17:08:00 +0200

Du lundi 27 août au lundi 10 septembre.

Pour cause de déménagement (donc coupure internet), je ne serai pas en mesure de faire vivre mon blog, ni de relever mes emails, ni de répondre aux commentaires.

Ainsi, si vous êtes un employeur, je vous prie de prendre contact téléphoniquement durant cette période. (Mon numéro se trouve en entête de mon CV disponible sur ce blog)

Merci.

A très bientôt.

L'art de se faire prendre pour un jambon ...

Bertrand Arquilliere — Thu, 23 Aug 2007 09:59:00 +0200

Ou comment une entreprise se discrédite complètement à mes yeux...

Je vous faisais part le 03 août dernier d'une faille de sécurité que j'avais découverte dans un CRM. Et bien j'ai eu une réponse officieuse aujourd'hui, me disant que la faille était désormais corrigée, et que le CRM en place, ne présentait plus cette vulnérabilité.

Je fais ni une ni deux, je me connecte sur le-dit CRM et refait un test ... Mon test fonctionne, le CRM est toujours vulnérable à la même attaque.

C'est tout de même incroyable que cet éditeur de CRM prétende avoir corrigé une faille sans même faire un test de validation, surtout que je leur avait livré un Proof Of Concept très détaillé pour faire le test.

Je respecterai ma parole en ne rendant publique cette vulnérabilité que le 4 septembre, mais ça me brûle les doigts de le faire dés aujourd'hui, cet éditeur se moque de ses clients et de ses utilisateurs ! Son nom est désormais gravé dans ma tête, et je garanti que je ferrai tout mon possible pour faire barrage aux produits de cet éditeur partout où j'en aurai le pouvoir.

Enfin, pour revenir à une discussion initiée par FredLynx, ni l'éditeur de CRM ni le fournisseur utilisant cet outil troué comme une passoire ne m'a remercié ...
Ils régleront ça à l'Américaine avec leurs armées d'avocats et de plaintes croisées j'imagine.

Un simple "Thank you" (Ben oui c'est des Américains) m'aurait largement suffit.
Quel métier ingrat que la recherche de faille ...

Bah n'oubliez pas : Have fun !

C'est une question de vocabulaire

Bertrand Arquilliere — Tue, 14 Aug 2007 11:26:00 +0200

Je fais remonter ce billet, car c'est vraiment pénible de voir des prétendus experts GNU-Linux faire encore la confusion entre Linux et GNU-Linux !

En regardant les offres d'emplois et les sites de news, on note de nombreuses confusions de vocabulaire dans les termes informatique. La confusion sur laquelle je souhaite apporter quelques éclaircissements est basée sur le mot "linux".

En effet, on constate que l'un des mots clés les plus recherché est le mot linux, de même, certaines offres cherchent des profils linux là où elles cherchent en réalité des profils GNU/Linux.
Le mot linux désigne le noyau (kernel), coeur de toutes distributions GNU/Linux, GNU/Linux désigne quant à lui l'ensemble des distributions s'appuyant sur ce noyau linux.
Ainsi, un expert Linux n'aura pas le même profil qu'un expert GNU-Linux.

A ce propos Richard Stalman l'un des pères de GNU et fondateur de la FSF (Free Software Foundation) souhaite un changement d'écriture afin d'enlever cette confusion des esprits, en écrivant non plus GNU/Linux mais GNU-Linux (trait d'union) pour bien marquer la différence tout en insistant sur l'union, la cohabitation, et souhaite que l'on dise désormais "GNU ET Linux".

D'ailleurs que veut dire GNU ? c'est un acronyme récursif signifiant Gnu is Not Unix. A l'origine GNU est un projet visant à créer un système Unix-like : le GNU-System. Cependant, avant l'aboutissement de ce projet, le noyau Linux a vu le jour et beaucoup des applications développées pour GNU-System ont été utilisées pour le kernel Linux
Il est à noté que si linux désigne un noyau, GNU n'utilises pas forcément le noyau Linux dans ces distributions par exemple le développement de GNU/Hurd. Où Hurd désigne le noyau originellement prévue pour le GNU-System. Encore en développement, Hurd n'est pas tout à fait mature et Richard Stalman préconise de ne pas utiliser GNU/Hurd si l'on ne compte pas participer au développement.

Que les néophytes fassent l'erreur, je veux bien, mais que des prétendus experts informatique vantant partout sur le Web leur maîtrise de cet OS ne sachent pas faire la différence entre le noyau de leur OS favoris (Linux) et la distribution (GNU-Linux) qu'ils démarrent tous les matins ... disons le comme je le pense, je trouve ça non professionnel !

Appelons un chat un chat SVP !

C'est vraiment pénible de lire des articles de magazines Internet, ou des commentaires de forums/news/billets sur des sites spécialisés qui font encore l'erreur.

Quand on parle de Linux, on parle du noyau, et PAS du tout de RedHat ou Debian ou Ubuntu ou Mandriva ou Suse ou ...

Hackito Ergo Sum !

Bertrand Arquilliere — Fri, 03 Aug 2007 22:00:00 +0200

En réponse à un billet et à quelques commentaires sur le blog de Frédéric AKA FredLynx ICI, je souhaite apporter quelques éclaircissements sur le monde difficile de la sécurité informatique et surtout de la découverte de failles

Certains reconnaitront peut être le titre de ce billet, si c'est le cas, n'hésitez pas à vous manisfester

Il est important de différencier plusieurs types de hackers dont les deux principales catégories sont :

Le White Hat, qui ne travaille pas pour son interêt mais plutôt pour protéger vos données circulant sur Internet
Le Black Hat, dont l'unique objectif est de s'enrichir en exploitant des failles de sécurité qu'il ne rendra pas publique au risque des les voir corrigées.

Les objectifs étant différent, les méthodes de travail sont similaires dans la phase de recherche, identification et exploitation d'une faille, et encore, l'exploitation ne sera pas tout à fait la même puisque l'objectif final n'est pas le même.

Le White Hat :

Le White Hat (ou Ethical hacking), lorsqu'il aura identifié une faille inconnue du public va chercher à l'exploiter dans un but de "Proof of Concept", c'est à dire que le White Hat exploitera la faille afin de démontrer l'existance de la vulnérabilité, il n'exploitera pas la vulnérabilité dans toute sa puissance.
Une fois son proof of concept bien en main et bien maitrisé, le White Hat va imaginer ce qu'il serait possible de faire en utilisant cette vulnérabilité, et va rédiger un advisory à l'attention de l'éditeur du logiciel incriminé.
Cet advisory sera conservé par le White Hat afin de le rendre public dans un délai relativement court après avoir prévenu l'éditeur (généralement 1 mois). Le White Hat va rendre public son advisory, non pas pour se la péter sur le net, ou pour satisfaire son égo ou bien encore pour se faire mousser, mais bien pour prévenir l'ensemble des utilisateurs du logiciel, que ce logiciel représente un risque pour l'intégrité, la confidentialité et la disponibilité de leur données.
Les entreprises responsables et sensibilisés disposent généralement d'un RSSI (Responsable Sécurité des SI) qui fait une veille permanente sur les failles publiées concernant les outils utilisés dans leurs entreprises.
Les RSSI seront alors avertis par des médiums courants (sur lesquels le white hat aura publié son advisory : Habituellement les CERTs et web site de White Hat) du risque que représente l'outil pour leur entreprise, charge à eux de faire une analyse du risque et d'évaluer si ce risque est à un niveau acceptable pour la sécurité des SI de leurs entreprises, il prendra alors la décision de voir avec l'éditeur pour obtenir un correctif, ou cherchera un workaround le temps que le correctif soit disponible.
Le White Hat a donc :

Trouvé une faille
Prévenu l'éditeur de l'existence d'une vulnérabilité dans son logiciel.
Prévenu l'ensemble des utilisateurs via des médias spécialisés.

Charge à l'éditeur de mettre à disposition un correctif dans les meilleurs délais, et au moins un workaround immédiat.
Charge aux RSSI de faire appliquer le workaround et/ou le correctif (A condition qu'il y ai un RSSI ou une personne faisant la veille sécurité)

Or entre le moment ou le White Hat découvre la faille et la publie, un Black Hat peut lui aussi trouver cette même faille, et nous allons voir qu'alors les conséquences peuvent être bien plus grave.

Le Black Hat :

Le Black Hat, lorsqu'il aura identifié une faille inconnue du public, va chercher à l'exploiter dans son interêt (bien souvent financier), il va exploiter la faille dans toute sa puissance afin d'obtenir un maximum de résultat.
Une fois qu'il maitrisera parfaitement l'exploitation de la vulnérabilité, il va l'utiliser partout ou il le pourra, à la recherche de son objectif (politique : voir les blacks hats Turcs très actifs en ce moment, ou financier : vol de carte bleus, ou va se constituer un réseau de zombie qui lui permettra des lancer des attaques de plus grande envergure).
Pendant ce temps, ni l'éditeur, ni les utilisateurs du logiciel, ni les autres black hat ne sont informés de la faille. Ensuite, le Black Hat va porter le coup de grâce en écrivant un programme permettant l'automatisation de l'attaque, c'est à dire qu'il n'y aura pas besoin de compétence spéciale en sécurité pour exploiter la vulnérabilité et gagner un peu d'argent ou faire passer un message politique. Ce programme va se retrouver en vente sur internet sous le nom de 0Day, pour des sommes allant de 10000 à 60000 USD selon l'ampleur de l'attaque et des gains espérés.
Les utilisateurs ne sont toujours pas informés de cette vulnérabilité et elle commence a être exploitée à grande échelle. Des entreprises remercient leur RSSI, car leur site web a été piraté (Le RSSI ne fait rien quand tout va bien, et dès qu'il y a un problème c'est un incompétent), ou bien des données confidentielles se retrouvent dans les mains d'un concurrent.
Enfin lorsque l'attaque aura était suffisamment exploitée, ou bien parce que de grande sociétés de sécurité auront acheté le 0Day, ou bien parce que une analyse forensic aura eu lieu sur un site piraté, la faille sera publiée et l'éditeur prévenu.
Le Black Hat a donc :

Découvert une faille
Exploiter la faille pour son bénéfice
Divulguer la faille dans son réseau underground
Mis en vente un exploit de type 0Day (Si la faille en vaut le coup)

Charge aux White Hats et aux RSSI d'analyser les attaques, de trouver un workaround, de publier la vulnérabilité dans les réseaux de veille en sécurité et de prévenir l'éditeur

Alors ... on fait quoi les White Hat ?

On continue a publier nos failles même si certain pensent que c'est juste pour péter plus haut que notre cul, ou pour nous faire mousser, ou pour emmerder le monde ?
Ou on laisse faire les black Hat plus vite que nous et on laisse pleurer les sociétés qui se sont faites pirater (perdant parfois plusieurs millions d'euros) ?
En tout cas je trouve qu'un mois de délai entre l'annonce d'une faille à un éditeur et la publication officielle c'est déjà trop. Pendant ce mois là, des black hats peuvent eux aussi trouver cette faille et en profiter pleinement sans soucis.
Ca ne tiendrait qu'à mois, la faille serait publiée chez les CERT en même temps que l'éditeur ...
Nous avons aussi un autre problème lorsque nous signalons une faille de sécurité à un éditeur, ne nous ayant rien demandé, il est très rare qu'on nous prenne au sérieux, et bien souvent on s'imagine qu'on va rançonner quelque chose en échange de la non-divulgation de la faille.
On nous traite de menteur, de voleur, de mythomane et d'autres noms d'oiseaux, alors qu'au final, qu'est ce qu'on a en a foutre que tel ou tel logiciel soit vulnérable ?
Après tout si les entreprises ayant acheté le logiciel ne s'en sont pas rendues compte et bien qu'elles continuent à se faire pirater dans la joie et la bonne humeur !
Si l'éditeur se retrouve avec des procès par des entreprises ayant perdues beaucoup d'argent à cause de leur logiciel, en quoi ça nous touche ?

Et le meilleur dans tout ça c'est que nous les White Hat, lorsque nous publions les failles que nous avons découverte, on ne demande pas un rond, on a notre petit salaire d'administrateur système/réseaux et ça nous suffit (bon OK un petit mail de remerciement de la part de l'éditeur nous fait aussi plaisir, mais c'est très rare. en ce qui me concerne, je n'ai publié que 2 failles ... la troisième est en cours, et je n'ai JAMAIS eu un remerciement ni d'un éditeur, ni d'une société exploitant le logiciel incriminé).
Cerise sur le gâteau on nous traite de ~~trou du cul~~ zigotos lorsqu'on publie une vulnérabilité, sous prétexte que nous voulons nous faire mousser...

Tant pis ce qu'on pourra dire sur moi, je continuerai à publier mes découvertes, je continuerai à chercher de nouvelles vulnérabilités dans les applications qui me passeront dans les mains, et je continuerai a espérer un poste de RSSI car :

Hackito Ergo Sum !

EDIT : réaction à chaud suite au billet de FredLynx, je l'éditerai surement plus tard dans le week end pour soit modérer mes propos, soit modifier la tournure de certaines phrases afin d'éviter tout double sens possible.

Question ouverte à tous les lecteurs ... VAE or not VAE ?

Bertrand Arquilliere — Wed, 01 Aug 2007 15:45:00 +0200

Telle est la question que je me pose, mais derrière cette question à l'apparence triviale, s'en pose une bien plus complexe sur laquelle je souhaite avoir l'avis de recruteurs, chasseurs de têtes, chercheur d'emploi diplômés ou non ...

Diplômé d'un DUT Génie des Télécommunications et Réseaux (DUT GTR) depuis juin 1999, je dispose donc de 8 ans d'expériences dans lesquelles j'ai quasiment toujours occupé des postes à responsabilité technique et/ou des postes d'ingénieur.

Cadre depuis mon premier emploi, je me pose aujourd'hui (en fait depuis plus de 2 ans) la question de la VAE.
Je me demande surtout quelle serait la valeur ajoutée à mon profil si j'étais diplômé d'une licence.

Aux vues de mon CV, quelle serait, selon vous, la valeur ajoutée d'une licence dans mon profil, et si valeur ajoutée il y a, quel type de licence (Plutôt technique ou plutôt management) ?
Merci pour toute aide/conseil ...

Cisco investit 150 millions de dollars dans VMWare

Bertrand Arquilliere — Mon, 30 Jul 2007 16:03:00 +0200

On en parlait ce matin de VMware, cet après-midi, je tombe sur une news datant du 27 juillet annonçant l'investissement de CISCO sur VMWare pour une somme de 150 millions de dollars.

Marchant sur les traces d'Intel, Cisco va acquérir 1,6% des parts de VMWare, pour un montant total de 150 millions de dollars. Cependant, et contrairement à Intel, Cisco ne siègera pas au conseil d'administration.

Face à la compétition croissante entre Microsoft et le dernier venu Parallels, l'investissement de Cisco va aider VMWare a conservé sa place de leader sur le marché de la virtualisation. Grâce à Intel, WMWare a une meilleure visibilité sur les matériels virtualisés, et Cisco, va maintenant aider VMWare dans le dévellopement de produits de virtualisation pour les datacenters et le réseau.

Source : Beta News

Souhaitons que Cisco n'oblige pas le même obscurantisme sur les failles de sécurité VMWare que celui qu'il impose sur ces OS, souhaitons aussi que Cisco apporte son savoir faire en terme de réseaux ... j'attends avec impatience de pouvoir virtualiser un routeur Cisco grâce à VMWare

Aujourd'hui faites plaisir à votre administrateur système ! (Sysadminday)

Bertrand Arquilliere — Fri, 27 Jul 2007 09:22:00 +0200

Dernier vendredi de juillet, voilà un jour que j'aime bien, car c'est ma fête, mais aussi celle de tous les administrateurs systèmes.
En un mot : le dernier vendredi de juillet c'est le sysadminday

Une fois par an, il faut penser a dire à votre administrateur systèmes tout le bien que vous pensez de lui.

Votre administrateur systèmes, c'est la personne qui passe le plus gros de sa journée devant son écran, avec des tas de fenêtres typiques : fond noir, écriture en gris ou vert fluo, dans lesquelles défilent du texte quasi incompréhensible pour la majorité.

Le sysadmin, c'est la personne qui lorsque vous revenez de vacances tout bronzé, est blanche comme un cachet d'aspirine, et pour cause : pendant que vous étiez à la plage, votre sysadmin en a profité pour travailler sur les serveurs afin de remettre à plats ses bébés (les serveurs), sans déranger trop de monde.

Votre sysadmin, c'est la personne qui, lorsque vous partez le soir vers 21h, rôde dans les couloirs, les bras chargés de câbles divers, votre sysadmin, c'est la personne qui dit plein de mots que vous ne comprenez pas. Votre sysadmin, c'est la personne que vous avez toujours l'impression de déranger lorsque vous lui téléphonez parce que votre ordinateur est en panne, c'est cette même personne qui bien souvent a des autocollants et des affiches de pingouins dans son bureau. Votre sysadmin, c'est la personne qui lorsque vous lui posez une question triviale (pour lui) va vous répondre un cinglant "RTFM" (1) et n'en dira pas plus

Votre sysadmin, c'est la personne que vous irez voir lorsque votre PC à la maison a un comportement étrange, et qui vous donnera moultes conseils pour entretenir votre machine. Votre sysadmin, c'est la personne que les managers et patrons n'hésitent pas à réveiller un samedi à 9h car ils n'arrivent pas a relever leurs mails, alors que ce sysadmin aura passé sa nuit à écrire un script qui lui facilitera la vie au travail les semaines à venir. Le sysadmin, c'est la personne qui semble taciturne, mange souvent seule à la cantine. Son bureau est facilement reconnaissable puisqu'il y a toujours un tasse de café fumant dessus et une boîte de cookies au chocolat à portée de main.

Votre sysadmin, c'est la personne qui court toujours dans les couloirs, si vous lui demandez pourquoi, elle vous répondra "J'ai un kernel sur le feu, on discutera plus tard", et lorsque vous discutez avec lui, il vous expliquera en long, en large et en travers pourquoi il préfère utiliser Gnu-Linux que Windows (ou l'inverse ... mais plus rarement), ou bien il vous parlera de la bière qu'il a goûtée le week end dernier lors d'une LAN party avec quelques amis (geeks comme lui). Ou alors il vous parlera de son personnage favoris qu'il joue la nuit dans des parties de MMORPG (2) interminables et tentera de vous convaincre de vous y mettre. Malgré ses courtes nuits, votre sysadmin est déjà le matin quand vous arrivez, et il est encore là quand vous partirez le soir; Votre sysadmin, est le responsable des affreux hurlements que vous entendez dans le couloir lorsque la machine à café est en panne, ou lorsque quelqu'un a prit le dernier café de la cafetière sans en relancer un. C'est aussi votre sysadmin qui fait de blagues verbales qui font rire peu de monde, par exemple quand vous lui avez demandé le 02 janvier ce qu'il a prit comme résolution pour 2007, il vous a répondu : "Je change pas, la même qu'en 2006 : 1280 x 1024".

Une fois par an, faites plaisir à votre sysadmin et souhaitez lui bonne fête !

Certains vont même jusqu'à faire un petit cadeau à leur sysadmin, que ce soit un gâteau, ou un gadget USB ... Mais si vous voulez VRAIMENT faire plaisir à votre sysadmin : offrez lui une bière ce soir en sortant du travail, et vous découvrirez un sourire radieux qui illuminera le visage de votre sysadmin.
On me dit dans l'oreillette que certains patrons offrent même ce vendredi après midi à leur sysadmin (sans aucun risque puisque à l'heure qu'il est il s'est lancé dans l'écriture d'un script et qu'il ne partira pas tant qu'il ne l'aura pas fini).

De toute manière le sysadmin c'est la personne dans votre entreprise qui ne prend pas la moitié de ses jours de congés, et quand elle en prend c'est qu'elle y est forcée, et s'assure avant de partir qu'elle aura quand même accès aux serveurs depuis son appart (oui il part pas bien loin en vacances le sysadmin, au camping y a pas l'ADSL, et le WIFI de l'hôtel avance pas, donc autant rester à l'appart)

En clair le sysadmin, fait beaucoup de travail, et bien souvent ce n'est pas reconnu, on nous reproche trop souvent notre mauvaise humeur, alors que nous sommes simplement des mal-compris, et pourtant nous adorons notre métier (bien que pas vraiment bien payés ... mais c'est un autre débat).

Comme cette fête n'est pas très connue, je m'auto-souhaite une bonne fête et je m'offrirai une bière ce soir en sortant du travail.
Un petit lien donnant plus de détails sur cette fête internationale : Sysadminday

Bonne fête à tous les administrateurs systèmes ! et donc bonne fête à moi

(1) : RTFM : Expression régulièrement employée par les administrateurs systèmes qui signifie "Read The Fucking Manual", soit en Français dans le texte "Lis le putain de manuel"

(2) : MMORPG : Mass Multiplayers Online Role Play Game, les plus connus sont : Everquest, World of Warcraft, Vanguard (NDLR : mon MMORPG actuel).

Un peu d'économie dans le monde de l'informatique

Bertrand Arquilliere — Thu, 26 Jul 2007 15:26:00 +0200

Aujourd'hui, le site de capital s'est fait l'écho du rachat de Bull par HP.

Toujours d'après l'article en référence, Hewlett Packard rachèterait les actions à 40% de plus de leur valeur actuelles.
Cette annonce faite ce matin à 8h38 a déjà engendrée une hausse de l'action Bull de 10% (il est environ 16h00). Gageons qu'elle va encore monter dans les jours à venir ...
Au delà de l'aspect financier pour les actionnaires du capital flottant de Bull (78,5%), on pourra déplorer la disparition de la dernière grosse société informatique Française (or SSII).
Bull est à l'origine une volonté du Général De Gaulle d'affranchir des grosses sociétés Américaines du domaine informatique, Bull dont les caisses ont étés remplies avec l'argent du contribuable, puis privatisée par E. Balladur et c'est ce même Bull qui est vendu aux Américains.
Si cet achat n'est pas qu'une simple rumeur, qu'adviendra-t'il des AIX (Unix IBM) vendus par Bull, seront-ils remplacés par des HP-UX ? Comment réagira l'administration Française lorsqu'elle réalisera que ses gros serveurs Bull sont aux mains des Américains (Tant sur le hardware que le software) ?

Le Général de Gaulle va se retourner dans sa tombe à Collombey ...

Mes devoirs mon Général !

Une bien belle initiative

Bertrand Arquilliere — Thu, 19 Jul 2007 15:39:00 +0200

Vous êtes un guru Gnu-Linux ? Parrainez un débutant !

Vous débutez sous Gnu-Linux ? Trouvez-vous un parrain !

Non ce n'est pas une blague, c'est une initiative que je trouve vraiment excellente et je m'en fais l'écho sur mon humble blog.
Le principe est simple :

Vous êtes un guru GNU-Linux, remplissez le formulaire d'inscription, vous apparaissez ainsi dans la liste des parrains disponibles (par département) du site, vous communiquez une adresse email et ainsi ceux qui cherchent à bien débuter sous GNU-Linux, peuvent choisir un parrain proche des chez eux pour leur demander conseils, trucs et astuces ... Vous me retrouverez dans la liste des parrains pour le département 38.
Vous débutez sous GNU-Linux ? Trouvez-vous un parrain proche de chez vous qui acceptera à coup sûr de partager avec vous son savoir en la matière.

N.B : Je suis inscrits avec la distribution Fedora, mais je suis capable de vous aider avec Ubuntu, Debian, Slackware, Red Hat ... bref toutes les distribs sauf celles que je n'aime pas : Suse, Mandriva.

PS : N'oubliez pas de participez au concours de l'été et remportez (ou pas) un Ipod, en votant simplement pour ce blog