Archive for the ‘Plug’ Category

Soirée d’avril au PLUG (Provence Linux User Group)

Wednesday, April 8th, 2009

Une fois n’est pas coutume, voici un petit compte-rendu de la dernière soirée au PLUG, le “Linux User Group” de Marseille. Les soirées se déroulent une fois par mois (souvent le 1er vendredi du mois) à partir de 19h à LaBoate, un endroit très sympatique proche du Vieux Port.

Arrivé un peu en retard, j’ai raté les premières dicussions (anisées), et je suis arrivé pour les traditionnelles pizzas. À cette occasion, certains nous ont rapporté le déroulement de la conférence de Richard Stallman l’après-midi même à Marseille. Ce dernier nous a d’ailleurs proposé de renommer notre LUG (Linux User Group) en GLUG (GNU Linux User Group), condition nécessaire à sa venue à l’une de nos réunions (!). Cette proposition n’a pas fait l’unanimité pour diverses raisons et a finalement été rejetée par les membres présents. D’autres discussions ont suivi, comme l’exploration de Marseille via  Google Maps/StreetView et OpenStreetMap, ou encore la démonstration d’un téléphone portable HTC-Dream tournant sous le fameux système d’exploitation Android.
Ensuite s’est déroulé la première édition des “Lightning Talks du PLUG”, à savoir des petites présentations de quelques minutes sur des sujets/actualités ouvertes à tout volontaire. Françoise Roure nous a tout d’abord parlé d’une Install Party pour les non-voyants en septembre à Marseille. Outre l’appel à la participation, une discussion s’est engagée sur les différents outils libres, notamment Orca ou eSpeak. Ensuite, c’est Jérémy Lecour qui a parlé de l’internationalisation (i18n) de logiciel, et nous a fait de son expérience récente avec l’internationalisation d’un projet en Ruby on Rails. Un petit débat s’est ouvert sur la terminologie d’internationalisation et de localisation, tandis que d’autres ont découvert les jeux de mot avec I18N et l10N.
Après ces petites présentations, j’ai pu mener une présentation générale sur les gestionnaires de paquets dans les distributions GNU/Linux. J’ai repris les bases, à savoir définir un paquet (code source, binaire, compilation, etc.) et l’intérêt d’un gestionnaire de paquets (installation, dépendance, suppression, mise-à-jour, etc.). Pas mal de questions ont été posées, et l’on aura sûrement l’occasion de faire des présentations sur des gestionnaires de paquets précis (APT, YUM, emerge, ports BSD, etc.) les prochains mois.
La soirée a duré fort tard (jusqu’à 3h pour les plus courageux), et un grand sujet s’est improvisé sur le microblogging. Présentation du principe, des sites en vogue (Twitter, identi.ca), débats sur l’intérêt (Microblog vs IRC !), l’infrastructure d’hébergement nécessaire, et les extensions comme l’amusant twistori. D’autres discussions se sont improvisées, par exemple sur la gestion des tâches via la messagerie et plusieurs personnes ont montré leur fonctionnement (principe du Zero Inbox, exemple avec GMAIL, flags avec Mutt, etc.).

Bref, une soirée riche en discussions comme chaque mois. Le mois prochain (vendredi 1er mai), on abordera en outre le sujet des gestionnaires de code sources (CVS, SVN, Git, etc.). Venez nombreux !

Ferme ton Bind !

Sunday, February 1st, 2009

Il est important de fermer complètement son Bind, à savoir mettre dans son named.conf :

allow-query { localhost;};
allow-recursion { localhost; };
allow-transfer { none; };

Cela provoque un statut REFUSED pour toutes les requêtes non autorisées. Si refuser les transferts (requêtes AXFR dévoilant toute votre zone) est sage et refuser les requêtes récursives est logique (vous ne voulez pas être serveur DNS pour le monde entier), il faut également refuser toutes les requêtes par défaut afin d’éviter de potentiels dénis de service.

Vous noterez que les directives ci-dessus autorisent les requêtes classiques de la part de localhost dans la mesure où il est fréquent que votre machine se serve de son propre Bind. Si ce n’est pas le cas, mettre toutes les directives à none.

Un moyen simple de vérifier qu’un serveur DNS refuse bien toutes les requêtes :

dig google.fr @<serveur DNS>

Vous ne devez pas obtenir la(les) réponse(s), ni même obtenir la liste des ROOT SERVERS. Vous devez obtenir status: REFUSED (ou alors un timeout…).

J’ai souvent eu du mal à expliquer pourquoi il fallait fermer complètement son Bind, car la menace des attaques DOS restait un peu vague. Ce n’est désormais plus le cas depuis quelques semaines où chaque administrateur d’un Bind assiste (dans ses logs ;-) aux multiples requêtes “. NS IN” générées par des robots/virus :

client 76.9.16.171#39068: query (cache) './NS/IN' denied
client 69.64.87.156#42646: query (cache) './NS/IN' denied

On déplore même des victimes de ces attaques DDOS de grande ampleur, notamment NetworkSolutions qui l’explique sur son blog. Pour contrer cela, on peut refuser les paquets en amont : voici un fameux paquet (format PCAP). On voit donc que l’on peut interdire les paquets comportant une requête DNS récursive (flags = 0x0100). Sur une machine Linux, on peut le faire avec iptables et le module u32 (attention, il semble y avoir des bugs avec certaines versions) :

iptables -A INPUT -p udp --dport domain -m u32 --u32 "0>>22&0x3C@10=0x01000001" -j DROP

SI vous ne voulez pas interdire toutes les requêtes récursives, j’ai trouvé sur Internet une règle plus précise qui matche sur le “. NS IN” (voir commentaires de ce post) :

iptables -A INPUT -j DROP -p udp --dport domain -m u32 --u32 \
"0>>22&0x3C@12>>16=1&&0>>22&0x3C@20>>24=0&&0>>22&0x3C@21=0x00020001"

Enfin, sur l’excellent blog de Stéphane Bortzmeyer, vous trouverez plus de détails et des outils pour mesurer le nombre d’attaques sur votre serveur.

Conférence sur la sécurité et l’Open Source

Saturday, November 8th, 2008

À l’occasion du salon Synergie NTIC à Marseille, je suis intervenu environ 20 minutes dans une conférence à propos de la sécurité et l’Open Source. En résumé, j’ai parlé de la façon dont on doit se préoccuper de la sécurité quand on travaille avec des distributions ou logiciels Open Source. Notamment, j’ai parlé :

  • Du célèbre principe de Full Disclosure et de ses limites pratiques (période d’embargo),
  • Des moyens de faire une veille sécurité à propos de logiciels Open Source (listes de diffusion à suivre, etc.),
  • De la façon dont les distributions et logiciels Open Source s’organisent face aux problème de sécurité, en prenant l’exemple de Debian,
  • Du choix entre l’installation par paquets ou ports et l’installation via des sources vanilla,
  • D’exemples concrets de problèmes de sécurité récents : la faille concernant vmsplice dans le noyau Linux et du générateur de nombre aléatoire prévisible dans le paquet Debian openssl.

Vous pouvez télécharger les slides utilisés pour cette présentation (soyez indulgent, je les ai fait rapidement).

Debian Beer/Pastis Party

Thursday, September 11th, 2008

Je viens de terminer mon “bizutage” Debian afin de devenir officiellement Développeur Debian. Ce processus est possible lorsque l’on maintient des paquets Debian et que l’on connaît Debian sur le bout des doigts ;-). Concrètement cela nécessite d’être recommandé par un autre développeur Debian puis de répondre à des questions sur le packaging et les procédures Debian, des vérifications techniques, des recherches à propos des licences de logiciels libres, etc. Cela dure en général entre 1 an et 2 ans, et il faut faire preuve de patience ! Le statut de Développeur Debian permet entre autres d’uploader directement des packages dans l’archive Debian, de voter (élection annuelle du leader Debian, résolutions générales), de sponsoriser des packages de mainteneurs non-développeurs ou encore avoir accès à des machines d’architectures particulières (ARM, alpha, MIPS, IA64, Sparc, S390, HPPA, etc.).

Pour fêter cela, rendez-vous lundi 15 septembre 2008 18h au Shamrock Irish Pub situé sur le Vieux Port de Marseille (France). Après une bière (ou un pastis ;-), cela sera l’occasion de discuter voire de signer des clés PGP/GPG.

Pense-bête pour les problèmes réseau courants

Tuesday, May 29th, 2007

Si toi aussi, lorsque tu te retrouves devant un problème réseau étrange (ou plutôt derrière un routeur boîteux), tu tentes systématiquement les astuces les plus courantes mais que tu oublies pendant plusieurs minutes celle qui s’applique (comme par hasard), voici le faux script magique pour ta machine Linux :
http://www.gcolpart.com/hacks/rezal-repair

Certes, tu vas me dire que si tu es sur cette page, c’est que tu n’as pas de problème réseau, mais justement, sois prévoyant, just wget it!

Note : ceci sera très utile aux membres du PLUG avec la connexion bancale Club Internet que l’on a lors des réunions mensuelles.

Migration des listes du PLUG

Saturday, May 5th, 2007

Les listes de diffusion du PLUG ont changé de serveur. Hébergées depuis plusieurs années par clubs.gyptis.org (serveur perso. de José Mans), elles sont désormais sur ks36307.kimsufi.com (serveur dédié chez OVH loué par plusieurs amis). Voici les changements :

  • Un domaine spécial lists.plugfr.org est désormais utilisé,
  • La gestion des listes n’est plus faite avec Sympa (qui générait pas mal d’erreurs) mais par Enemies of Carlotta. Certes, on perd l’interface web « sympa » (mais elle était peu utilisée) mais on y gagne en souplesse d’administration (tout se passe par mail et en ligne de commande),
  • Les archives sont désormais 100% publiques (accessibles sous peu).

À noter que, pour éviter d’être intrusif, tout le monde a été désabonné des listes. Chacun doit donc se réabonner ! Pour les détails, voir ici. Si certains trouvent cela trop violent, je répondrais que si une personne ne fait pas « l’effort » d’envoyer un mail vide pour se réabonner, je ne vois pas l’intérêt d’être abonné. À noter que vous pouvez toujours me demander de vous abonner en direct ou sur IRC, si c’est trop compliqué pour vous…

Les limites de Wikipedia ?

Wednesday, May 2nd, 2007

Wikipedia est une encyclopédie consultable sur le web. Avec des milliers de sujets traités dans plusieurs langues, c’est devenu l’un des sites les plus visités au monde. Je l’utilise d’ailleurs quasi-quotidiennement, souvent comme point de départ de recherches plus poussées.

Le principe de base Wikipedia est de permettre à chacun d’écrire/compléter/corriger les articles. Mais cela entraîne un certain nombre de problèmes (conflits, objectivité, qualité, etc.) que les solutions en place (prise de décision, comité, médiation, arbitrage…) ont du mal à résoudre. Je ne vais pas ici parler des conflits géopolitiques ou des articles de piètres qualités, mais plutôt des critères d’admissibilité d’un article.

En effet, des contributeurs se chargent en permanence de demander la suppression des articles qu’ils jugent indésirables, ce qui entraîne une période de demande d’appréciations puis une suppression définitive si les avis négatifs l’emportent. Or, ce mécanisme de modération peut laisser de côté certains articles intéressants. Prenons un exemple concret : j’ai récemment ajouté un article sur le PLUG, le LUG de Marseille. Le principe des LUG (Linux User Group) est plutôt connu dans la communauté des logiciels libres et celui de Marseille (2e ville de France), l’un des premiers en France, semble à sa place dans Wikipédia vu que d’autres LUG français (Montpellier, Bordeaux) et d’ailleurs (GLUA, SVLUG, PLUG, etc.) sont présents (et que la présence du PLUG dans Wikipedia en français se résume pour l’instant à un article… pornographique). Bref, à peine l’article créé que sa suppression est demandée et quelques avis superficiels plus tard, l’article est viré !

Et même après avoir relu en long et en large les critères d’admissibilité des associations, cette décision reste bien décevante. D’ailleurs, j’en ai profité pour mettre en ligne la page supprimée sur wikipedia.plugfr.org : ça ne sera pas perdu pour tout le monde !

Présentation sur Debian Etch au PLUG

Sunday, April 22nd, 2007

Suite à une présentation succinte sur la sortie de Debian Etch au cours de la réunion du PLUG d’avril 2007 (transformée en Etch Release Party pour l’occasion), voici les slides que j’ai utilisé :

Slides PLUG Debian Etch (format HTML/S5)

Note : ces slides ont été réalisés en moins d’une heure, soyez indulgent !

Planet PLUG

Monday, March 26th, 2007

Ouverture de Planet PLUG, le Planet du PLUG (Provence Linux Users Group) \o/ À vos blogs…