[Paris Web 2016] Rejoignez-nous !

Ces derniers mois ont été intenses et j'espère pouvoir vous en parler très bientôt plus en détail...

Je peux cependant vous parler de ce qui s'est passé à Paris Web entre temps !

Et comme toujours, nous sommes en recherche de partenaires pour nous aider à organiser les conférences. Si vous ou votre société êtes intéressé, n'hésitez pas à télécharger notre dossier de partenariat en français ou en anglais et à nous contacter !

"Let's encryt", oui mais intelligemment

Je passerai sur la philosophie de Let's Encrypt pour aller au vif du sujet : la facilité d'installation d'un certificat SSL valide.

Ecran de configuration LE sur
PleskEn un unique écran, j'ai pu générer le certificat LE pour mon domaine et celui-ci a été autoconfiguré dans Nginx. Et même si cela est caché par le proxy Plesk, cela ne fait qu'exécuter le client LE et mettre à jour la configuration du serveur web.

Quoi de plus simple pour un site web simple ? Même avec un service en Beta- test et je pense une v1.0 du proxy Plesk, j'ai la capacité de fournir un service au travers d'un canal sécurisé. Cela est plus que suffisant pour la grande majorité des sites internet.

A cette époque ou les lois attentant à la vie privée sont légion, augmenter la sécurité d'un site internet est toujours bon à prendre; même si cela se fait de la manière la plus simple.

Cependant, je reste convaincu que cela doit se faire intelligemment. Comme on ne sécurise pas une banque comme sa maison, utiliser LE à toutes les sauces ne fera pas de miracles bien au contraire.

Des techniques de sécurité comme HSTS ou le Key Pinning sont difficiles à mettre en oeuvre avec un certificat dont la durée de vie est de seulement 90 jours. Si vous avez besoin de ce type de fonctionnalité, et si vous vendez un produit ou un service, mieux vaut acheter un certificat avec Extended Validation. C'est bien plus cher, mais cela vous offre un certain nombre de garanties en tant que fournisseur et vos utilisateurs sont rassurés quant à votre sérieux.

De plus, la différence d'affichage entre un certificat EV et un certificat "normal" dans un navigateur aide à mettre l'utilisateur final en confiance : nous avons tous du à un moment ou un autre écrire une page de FAQ pour indiquer à l'utilisateur comment bien vérifier qu'il était sur le bon site.

A cette heure, LE ne délivre que des certificats à destination de sites web. Ainsi, vouloir tirer des certificats de Code Signing ou pis des certificats client n'est pas faisable et j'espère que cela ne le sera jamais.

*[LE]: Let's Encrypt

"Veuillez patienter pendant la mise à jour"

One computer wiz claims to have hacked into Tesla's firmware and discovered a reference to a juicier battery.

Hacker May Have Discovered Plans For A Tesla P100D

Je ne sais pas vous, mais cette simple phrase me fait peur.

Non pas que Tesla prépare de nouvelles versions de ses batteries et préparent ses voitures à les supporter, mais surtout qu'un individu, un white hat, puisse obtenir le firmware de la voiture et l'ouvrir.

Le simple fait d'avoir pu lire ce firmware constitue la moitié du chemin pour le modifier. Je ne sais pas quelles sécurités Tesla a mis en place pour valider l'intégrité de ce fichier, mais j'espère qu'il y a une partie _hardware _et dépendante de la voiture (à l'image d'un boitier HSM)

Et si un white hat peut le lire, des blacks hat pourront le modifier et provoquer des incidents (surchauffe de batterie, vitesse affichée fortement différente de la vitesse réelle,...)

Même si Tesla semble avoir le moyen de mettre ledit firmware à jour à distance, je redoute le jour où une voiture piratée causera un accident.

Lectures

Bien que je sois un gros consommateur de science-fiction et cyberpunk, je suis toujours friand de polars.

Je passerai sur le dernier Millenium que je trouve très moyen pour parler d'un auteur que j'ai découvert au détour d'une affiche de métro.

Jussi Adler-Olsen est Danois. Cela change de la vague de polars suédois déclenchée par Stieg Larsson et fait découvrir ce petit pays par son côté sombre. N'ayant fait qu'une, longue, escale à Copenhague il y a quelques années, cela m'a attiré.

Mr Adler-Olsen nous invite donc à suivre les enquêtes du vice-commissaire Carl Mørck de la criminelle de Copenhague. Dans la même mouvance que Cold Case, nous suivons le policier dans sa recherche sur de vieilles affaires.

La traduction française est propre retranscrit bien la noirceur de l'univers. Ceci-ci étant dit, je serai bien incapable de lire la VO sur ce coup-là. La lecture de la première enquête m'a tellement plu que j'ai acheté directement les cinq autres.

Donc, amateurs de polars glacés, préparez-vous à quelques heures de lecture !

Vous devriez trouver les livres sans trop de soucis dans votre librairie habituelle, sinon voici les liens vers les versions ePub chez mon libraire en ligne préféré :

  1. Miséricorde
  2. Profanation
  3. Délivrance
  4. Dossier 64
  5. L'effet Papillon
  6. Promesse

*[VO]: Version Originale

La BBC et les autres

Quand, au détour d'une actualité sur David Tennant, je découvre le programme de la BBC pour le 400e anniversaire de la mort de Shakespeare, je désespère en voyant ce que nous inflige France Télévision.

Qu'un groupe financé uniquement par la redevance audiovisuelle soit capable d'être l'un des plus gros producteurs audiovisuels au monde, avec un grand nombre de séries (Doctor Who, Sherlock, Eastenders et bien d'autres), des festivals (le BBC Proms), des documentaires (surtout des animaliers) ainsi que des radios & une numérisation quasi totale de leur fonds (le projet Genome) démontre bien que l'argent n'est pas toujours la contrainte de la qualité.

Et quand en France, notre seul fait de gloire est la série "Plus Belle la Vie" (dont je ne dénigre pas les qualités) avec un budget global supérieur et des charges moindres, on se demande où part l'argent de notre redevance...

Fenêtre à la menthe

Alors que je travaillais sur l'une de mes machines hébergées, sous Ubuntu, et en attendant la fin d'une installation particulièrement longue, je suis tombé sur cet article de Ars Technica.

Cela me démangeait depuis quelques mois de passer mon laptop sous Linux du fait de mes activités régulières sur cette machine. Faisant principalement du dev web (PHP & Groovy) sous IntelliJ et PHPStorm, je devais spawner un grand nombre de machines virtuelles avec vagrant avec les inconvénients de CPU & mémoire que l'on sait.

De même, pour d'autres raisons, je voulais tester et approfondir ma connaissance concernant Docker. Sauf que sous Windows, cela revient à spawner une nouvelle VM et à travailler dessus. Peu pratique vous en conviendrez...

Mon principal frein concernait les jeux vidéos. Utilisateur de Steam, cela me chagrinait de ne plus trop pouvoir jouer aux quelques jeux (Mini Metro, les divers ShadowRun) qui squattent mon disque dur tant pour quelques parties rapides que les longs trajets en train, cela en sachant que j'avais acheté la machine dans une optique dev/jeux (elle possède une vraie carte graphique dédiée)

J'ai cependant voulu tester et ai téléchargé Linux Mint sur une clef USB. Le temps de booter la version Live et j'ai pu apprécier une distribution propre, rapide même en live et sur laquelle je retrouvais facilement mes petits; celle-ci étant basée sur Debian/Ubuntu.

Le choix de Mint a été fortement inspiré par l'article de Ars Technica. Ubuntu est une bonne distribution tant desktop que server, cependant les choix opérés par Canonical sur le desktop me refroidissent un peu (Unity ressemble trop fortement à la tentative Metro de Microsoft sous Windows 8 à mon goût) De même, le cycle de mise à jour de 6 mois implique trop de changement à intervalles réguliers. C'est pourquoi Mint avec son fork de Gnome2 et son cycle basé uniquement sur les versions LTS de Ubuntu me convient au final amplement : j'administre déjà des serveurs, je n'ai pas envie de passer du temps à administrer mon laptop mais à l'utiliser !

Un tweet de l'ami Anthodev m'a aussi convaincu d'installer Steam et de voir combien de jeux de ma bibliothèque étaient présent sous Linux.

Steam linux library Je fus donc assez surpris et heureux de découvrir que quasiment la moitié de ma bibliothèque était disponible. OK, la plupart des jeux proviennent de bundles mais de grandes références sont présentes comme les ShadowRun (youpi), des ARK/7 Days.

De plus, l'intégration avec la technologie Optimus de Nvidia se fait sans trop de heurts et permet de jouer dans de bonnes conditions.

La bascule est donc, quasiment, faite.

Je suis pour le moment en dual-boot avec Windows 7 le temps de copier les divers éléments entre les OS. La plupart des programmes que j'utilise sont présent sur les deux OS et le temps d'apprentissage est donc plus réduit.

Certaines fonctions accessible sous Windows comme certaines touches custom ne sont pas supportées (le switch wifi) et les accès à des disques réseaux est un peu plus sportif. La grande majorité de mes données (musique, vidéos, documents) étant sur mon NAS, je ne peux que remercier les développeurs de Autofs pour leur travail qui me permet de retrouver un équivalent des liens réseau sous Windows. De même pour l'hibernation qui n'est toujours pas au point.

D'ici quelques mois, ce sera probablement le grand saut : réduction drastique de l'espace alloué à Windows et extension conséquente de l'espace dédié à Mint. D'ici là, je switcherai encore.

Enfin, une autre histoire d'une personne ayant aussi fait la bascule et qui s'en porte très bien :

Ah tiens

J.J. Abrams n'est pas un cinéaste. Sur le plan créatif, il est originellement un showrunner, quelqu'un qui pense en termes de récit et d'orientation globale (un rôle plus souvent attribué au producteur dans le cinéma hollywoodien) mais chez qui la mise en images se résume à cela : de la simple mise en images.

Un nouveau désespoir Rafik Djoumi

Cela rejoint totalement mon sentiment. Entre Disney aux commandes et Abrams à la manoeuvre, on obtient une belle bouillie pré-digérée. Même Marvel, qui pourtant a vécu sous le Comic Code et en est encore fortement imprégné, arrive à sortir des films bien meilleurs voire à laisser sortir un film avec le personnage le plus décalé de leur univers.

DevOps

"Devops" cannot be obtained overnight with a simple check and a little training. It is a transformational approach to core processes, and it takes time, dedication, and especially a team that can implement devops practices, many of which will fly against your company's previous modes of operation.

7 signs you're doing devops wrong

Après déjà deux mois passés sur un projet de mise en place chez mon client, je ne peux qu'approuver totalement ce qui est dit dans cet article.

Inspecteur de requêtes

Cela doit avoir déjà été blogué un nombre important de fois, mais ces derniers temps cet outil m'a bien aidé.

Si vous avez besoin de tracer vos requêtes HTTP sortantes de manière simple en changeant simplement l'adresse du endpoint, je vous conseille requestb.in. Ce n'est probablement pas le seul outil permettant cela, mais son interface simple et surtout son support de toutes les possibilités offertes par HTTP aident grandement.

Rundeck ACLs

Rundeck ACLs

Rundeck doc on ACLs is... unsufficient. And as stated before, I needed to grant execution of jobs to a dedicated group but without other rights.

Adding this file to your rundeck setup will grant all users belonging to deploy group execution of all jobs in all projects.

description: Application access.
context:
  application: rundeck
for:
  project:
  - allow: read

by:
  group: [deploy]

---
description : global project config for running jobs on nodes.
context:
  project: '.*'
for:
  resource:
    - equals:
        kind: 'event'
      allow: read
    - equals:
        kind: 'node'
      allow: [read, refresh, run] # allow refresh node sources (dynamic nodes resources)
  job:
  - allow: [read, run, kill]
  node:
  - allow: [read, run]
by:
  group: [deploy]