Le Blog Utux

Les infractions en ville qui m'énervent :

• Rouler sur les trottoirs ou les passages piéton. Non, vous n'êtes pas demi-piéton, vous ne pouvez donc pas leur emprunter des règles quand ça vous arrange.
• Rouler à contre-sens sur la route ou sur la piste cyclable. Alors oui c'est parfois autorisé dans certaines villes, mais c'est une bêtise.
• Griller les feux. Oui c'est autorisé parfois pour tourner à droite, mais faites au moins semblant de ralentir...
• Ne pas s'arrêter ni même ralentir lorsqu'il y a des STOP. C'est toujours agréable de voir un cycliste débouler à une intersection.

Les infractions en campagne qui m'énervent :

• La famille qui roule en formation serrée côte à côte, pour bien occuper toute la largeur de la route et rendre le dépassement compliqué.
• Le cycliste qui zigzag comme s'il était bourré parce que ça l'amuse.
• Le cycliste qui déboîte sans regarder.
• Le cycliste qui roule à gauche.
• Le gamin qui se place en travers de la route de manière inopinée alors que tu es juste devant lui.

Je sais ce que vous pensez : "connard d'automobiliste qui aime pas les cyclistes, il s'est regardé au moins ? Les voitures sont beaucoup plus dangereuses, et en plus elles polluent donc les cyclistes valent mieux !". Non, je suis moi-même cycliste mais sur vélo de route donc je roule vite (en moyenne 30 km/h) et tous les points que j'ai cité pour la campagne sont mes observations quand je fais une sortie sportive. Passer son temps à freiner pour éviter le cycliste du dimanche puis accélérer après casse le rythme et fatigue plus rapidement les muscles.

Pour la ville c'est différent, je suis piéton et automobiliste, et je sais bien que personne n'est parfait. Je regrette par exemple l'abus d'utilisation du klaxon par les automobilistes (pour insulter ou saluer, surtout pas pour signaler un danger), ceux qui forcent le passage au feu orange/rouge, ceux qui roulent trop vite, ceux qui se garent mal (faire 100m à pied pour aller à la boulangerie c'est trop), etc. Mais l'encadrement des automobilistes est déjà strict, contrairement à celui des cyclistes. Et cette grande liberté vous incite à être irrespectueux voire dangereux pour vous ou les autres.

Alors quelques bons conseils pour rouler :

• On roule et on serre à droite.
• On utilise les pistes cyclables ou la route mais pas les trottoirs.
• On tourne la tête avant de déboîter, pour voir s'il n'y a pas quelqu'un qui va vous dépasser.
• De manière générale ayez conscience de votre environnement (regardez autour de vous de temps en temps).
• On ne roule pas avec les écouteurs dans les oreilles (ou les casques, pour les hipsters).
• On tend le bras avant de déboîter, c'est comme les clignotants.
• On roule avec un gilet fluo de préférence, ou simplement des vêtements pas trop sombres.
• On respecte le code de la route, notez que vous pouvez perdre des points sur votre permis de conduire si vous êtes verbalisé à vélo (toutes mes excuses, c'est visiblement une légende urbaine, source).
• On se répète la phrase suivante : "la route est remplie de connards égoïstes qui pensent que les autres sont des PNJ uniquement là pour les emmerder, et ce sera pire si je me conduits de la même manière".

Je ne vais pas me faire des amis, mais j'ai un problème avec Docker et je vais l'illustrer en le comparant avec ezjail qui permet de gérer les jails sous FreeBSD.

Pour afficher la liste des containers dans Docker :

$ docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES
c516f8fcbc57        httpd:v5            "/bin/bash"         9 minutes ago       Up 2 seconds        80/tcp              tender_mirzakhani

Attendez, c'est pas fini ! Cette commande ne va afficher que les containers en cours d'exécution. Si on veut tout :

$ docker ps -a
CONTAINER ID        IMAGE               COMMAND                CREATED             STATUS                     PORTS               NAMES
c516f8fcbc57        httpd:v5            "/bin/bash"            9 minutes ago       Up 22 seconds              80/tcp              tender_mirzakhani
974607db9cb7        httpd:v5            "apache2-foreground"   18 minutes ago      Exited (0) 8 minutes ago                       gigantic_engelbart

Et pour entrer dans un container :

$ docker exec -t -i gigantic_engelbart /bin/bash
root@974607db9cb7:/var/www/html#

Ok. Maintenant voyons comment on fait pour lister des containers avec ezjail sous FreeBSD :

ezjail-admin list
STA JID  IP              Hostname                       Root Directory
--- ---- --------------- ------------------------------ ------------------------
DR  1    127.0.1.1       jls-web-10                     /usr/jails/jls-web-10
    1    em0|192.168.0.50
DS  N/A  127.0.1.2       jls-mail-01                    /usr/jails/jls-mail-01
    N/A  em0|192.168.0.60

Et pour entrer dans un container avec ezjail :

ezjail-admin console jls-web-10
FreeBSD 10.3-RELEASE (GENERIC) #0 r297264: Fri Mar 25 02:10:02 UTC 2016

root@jls-web-10:~ #

Voilà, une seule commande simple à retenir et pas d'options superflues.

Pourquoi les commandes Docker sont-elles aussi imbuvables ? C'est un problème courrant dans l'environnement des logiciel sous Linux, on ne sait pas faire de choses simples. git est un autre exemple symptomatique, nous sommes obligés d'avoir sous la main une anti-sèche pour ne pas nous tromper dans les commandes.

Docker étant relativement récent, pourquoi ne s'est-il pas inspiré des commandes ezjail, iohyve, iocage ou lxc qui sont beaucoup plus simples et intuitives ?

Je connais bien OpenBSD pour y avoir fait tourner mon serveur pendant plusieurs mois. J'en ai un bon souvenir, c'est un système simple à comprendre et à configurer grâce à des syntaxes humainement lisibles dans les fichiers de configuration. Malheureusement OpenBSD est encore primitif sur de nombreux points, par exemple les mises à jour. En fait il n'y a aucun dispositif de mise à jour, il faut télécharger les sets en .tgz et les décompresser en écrasant le système, voire même tout recompiler. Deux autres problèmes majeurs que je vois sont d'une part le fs UFS vieillissant et lent (surtout si on compare à FreeBSD et son ZFS) et d'autre part les ports pas toujours à jour car il y a beaucoup moins de mainteneurs disponibles. C'est pourquoi je pense qu'OpenBSD est bien pour certains usages spécialisés qui peuvent se contenter des daemons de base, mais dans beaucoup d'autres cas il se fait éclater par FreeBSD et Linux, par exemple en usage stockage ou desktop.

A l'époque où j'utilisais OpenBSD (2011), le daemon web était un Apache 1.x lourdement modifié et le projet était en cours de migration vers Nginx. Mais ce dernier a été délaissé à son tour au profil de httpd, un serveur maison. Je n'y ai pas vraiment prêté attention jusqu'à récemment avec la lecture du blog de thuban (ou encore De l'épice pour la pensée) qui m'a rendu curieux. Thuban est tellement amoureux d'OpenBSD que quelques temps après l'avoir essayé, il a migré son serveur et écrit un livre.

Exemple simple

Puisqu'on est sur OpenBSD, la configuration sera forcément humainement lisible et centralisée dans un fichier. Le manpage est consultable ici. OMG UN MANPAGE, MER IL ET FOU ! Et oui, sur Linux les manpage sont souvent imbuvables, mais sur OpenBSD ce n'est pas le cas. Pas de panique, on va faire un exemple ensemble :)

On va simplement configurer notre httpd pour servir une page lorsque l'IP du serveur est appelée.

Voici ce qu'on met dans notre /etc/httpd.conf :

server "default" {
        listen on * port 80
}

Par défaut, notre serveur travaillera dans /var/www/htdocs et /var/www/logs. On créé une page html de test :

echo "Hello" > /var/www/htdocs/index.html

On autorise httpd à démarrer :

echo httpd_flags="" >> /etc/rc.conf.local

Puis on démarre httpd :

/etc/rc.d/httpd start

En tapant l'adresse IP du serveur dans votre navigateur, vous devriez avoir le Hello sur fond blanc.

Vous pouvez éventuellement jeter un œil aux fichiers de logs :

cat /var/www/logs/access.log
default 192.168.0.3 - - [01/Aug/2016:14:13:14 +0200] "GET / HTTP/1.1" 200 31

Exemple avancé

Afin d'explorer les possibilités de httpd, on va le triturer de la manière suivante :

• Écriture des logs dans /var/log/httpd/
• Fichiers de configuration splittés
• Deux vhosts
• https sur un des vhosts

Commençons par créer les arborescences pour nos deux vhosts, avec deux fichiers index.html :

mkdir /var/www/htdocs/site1
echo "Site1" > /var/www/htdocs/site1/index.html
mkdir /var/www/htdocs/site2
echo "Site2" > /var/www/htdocs/site2/index.html

On créé aussi le répertoire pour les logs et pour nos fichiers splités :

mkdir /var/log/httpd
chown -R www: /var/log/httpd
mkdir /etc/httpd

On génère notre certificat de sécurité :

openssl req -new -x509 -days 365 -nodes -out /etc/ssl/cert.pem -keyout /etc/ssl/key.pem
chmod 600 /etc/ssl/key.pem
ls -l /etc/ssl/*.pem
-r--r--r--  1 root  bin    1180 Aug  1 22:46 /etc/ssl/cert.pem
-rw-------  1 root  wheel  1704 Aug  1 22:46 /etc/ssl/key.pem

On édite notre /etc/httpd.conf dans lequel on va définir nos paramètres globaux, ainsi que nos fichiers splittés de vhost :

chroot "/var/www"
logdir "/var/log/httpd"
include "/etc/httpd/site1.conf"
include "/etc/httpd/site2.conf"

Note : la ligne chroot est inutile ici car sa valeur par défaut est déjà /var/www néanmoins je trouve utile de la préciser, par souci de lisibilité.

/etc/httpd/site1.conf :

server "default" {
        listen on * port 80
        root "/htdocs/site1"
        }

/etc/httpd/site2.conf :

server "ssl" {
        listen on * tls port 443
        root "/htdocs/site2"
        tls certificate "/etc/ssl/cert.pem"
        tls key "/etc/ssl/key.pem"
        }

Note : root doit être un chemin relatif au chroot. Par exemple le /htdocs/site2 se rapporte implicitement à /var/www/htdocs/site2.

Après avoir rechargé httpd, l'accès à notre serveur en http (port 80) doit afficher le site 1 :

Et l'accès en https (port 443) doit afficher le site 2 :

Conclusion

httpd est un serveur web simple à prendre en main qui ne plaisante pas avec la sécurité, le chroot ayant une place importante dans son fonctionnement. Alors faut-il laisser tomber Apache et Nginx ? Pour un usage basique, c'est à dire servir des pages web, pourquoi pas, car c'est simple et robuste. En revanche, pour des usages avancés, non. À part renvoyer les requêtes dans un socket en fastcgi et servir du contenu statique, on ne peut pas faire grand chose. Pas de reverse proxy par exemple, ce rôle étant confié à relayd. Un autre point agaçant est le fait qu'en cas d'erreur le daemon httpd refuse de démarrer mais n'affiche aucune erreur et ne produit aucun log, donc bonne chance pour debugger.

Si vous êtes un amoureux d'OpenBSD, il est évident que vous ne tarderez pas à migrer vers httpd. Si vous n'êtes qu'un simple Linuxien, j'espère que cet article aura chatouillé votre curiosité.

Je suis tombé sur ça :

D'une part je suis curieux de savoir d'où ils tiennent cette information, est-ce qu'ils ont fait un sondage ?
D'autre part, si je raisonne en bon spectateur lobotomisé par BFMTV, voici ce que je suis censé comprendre :

1. Telegram n'est pas surveillé
2. Les terroristes utilisent Telegram
3. Donc il faut surveiller Telegram pour arrêter le terrorisme

Et, par extension :

1. Les gens qui ont des choses à se reprocher ne veulent pas être surveillés
2. Les gens qui n'ont rien à se reprocher acceptent d'être surveillés
3. Donc, si je refuse la surveillance, c'est que j'ai des choses à me reprocher

Ce raisonnement s'appelle un syllogisme et ce n'est pas de la logique, c'est un paralogisme. Et ça mène à des choses absurdes, comme le dit Wikipédia :

Tous les humains sont mortels. (A ⇒ B)
Un âne est mortel. (C ⇒ B)
Donc un âne est un humain. (C ⇒ A)

Et voilà commenter démonter un faux raisonnement avec un peu d'intelligence.

Il se trouve que l'article a le bon goût de nous rappeler que Telegram a été créé par deux russes qui ne voulaient pas être surveillés par leur gouvernement et que leur logiciel est utilisé par des dissidents sous dictature mais aussi par des hommes politiques qui ont besoin de confidentialité, ou simplement par les journalistes qui veulent garantir l'anonymat de leurs sources, donc au final le chiffrement ne profite pas qu'aux criminels.

Faut-il donc y voir le travail d'un journaliste qui a essayé de faire correctement son boulot mais qui a du se résoudre à présenter un titre putaclick pour rester dans la ligne éditoriale du journal ? S'agit-il d'un exemple de manipulation de l'information ? Le prochain responsable de tous les maux de la planète sera-t-il... le chiffrement lui-même ?

Je regrette qu'en 2016 les principaux OS ne proposent pas de solution simple de chiffrement pour les clés et disques durs USB, des périphériques qui sont amenés à voyager régulièrement en dehors de la maison/bureau. Il est très facile voire courant de les perdre et celui qui va les trouver pourra récupérer vos documents. Vous me direz qu'il est rare de stocker les codes de la bombe atomique sur une clé USB ou même son code de carte bleue, en revanche il est courant d'y trouver des documents scannés (relevés d'impôts, de salaires, papiers d’identité....) ou même simplement du porno des photos de vacances.

Windows

Windows propose d'activer le chiffrement d'un volume en un simple clic droit, autant sur le C: que sur les périphériques USB, ce qui est louable. Malheureusement cette solution basée sur Bitlocker a trois gros défauts :

• Elle n'existe que sur Windows, aucun portage Linux ou OS X.
• Elle se limite aux éditions Pro ou supérieures pour Windows, ce qui exclue les versions Home que la majorité du grand public utilise.
• Quelle confiance peut-on placer dans une solution propriétaire de chiffrement surtout quand on sait que Windows 10 se lie de plus en plus au cloud. De là à affirmer que Microsoft peut casser le chiffrement des ordinateurs de ses clients, il n'y a qu'un pas, que je ne franchis pas pour le moment, mais je préfère rester méfiant.

Linux

Du côté de Linux on a luks, ecrypfs ou encfs mais à ma connaissance il n'est pas possible de les activer avec un simple clic droit dans l'explorateur de fichiers, il faut passer par la ligne de commandes (et refaire toutes les partitions dans le cas de luks) ce qui freine fortement leur utilisation. De plus les périphériques ne seront pas déchiffrables sur Windows.

TrueCrypt / VeraCrypt ?

Une solution multi-plateforme et relativement simple à mettre en place est Truecrypt. Même si le projet a connu une fin tragique et ne doit plus être considéré comme sûr selon ses auteurs, il existe des forks tels que Veracrypt qui ont pris le relais.

Il est apparemment possible d'utiliser VeraCrypt sous forme portable, donc sans nécessiter d'installation sur l'ordinateur, ce qui est plutôt intéressant car on peut imaginer utiliser sa clé USB sur plusieurs ordinateurs sans devoir y installer de logiciel. Cette solution est également disponible sur Linux.

Question ouverte

Comment chiffrer une clé ou un disque dur USB tout en étant sûr de pouvoir l'ouvrir simplement sur Linux et sur Windows ?