Les Arbres Binaires à Commande Équilibrée, ou ABCE, ont été présentés dans GLMF n°215 [1] au moyen d’une métaphore ferroviaire. Cependant, ils sont surtout utiles dans certains circuits numériques, dont ils améliorent la vitesse et la consommation, pour la plupart des technologies. Par rapport à un arbre binaire classique, le gain de performance augmente avec la taille, ce qui est un atout précieux pour concevoir des circuits intégrés par exemple.

Au sommaire de l’article

1. Rappels sur les ABCE

2. Des relais

3. Encore des relais

4. Toujours plus de relais !

5. Et des transistors !

6. Encore des transistors !

7. Et plus si affinités

Conclusion

Références

Yann Guidon

 > Lire l’intégralité de cet article sur notre plateforme de lecture en ligne Connect  

Retrouvez cet article (et bien d’autres) dans GNU/Linux Magazine n°218, disponible sur la boutique et sur Connect !

Retour sur la première édition d’une réunion de travail (workshop) dédiée à GNU Radio qui a été organisée les 2 et 3 juillet 2018 à l’INSA de Lyon : French GNU Radio Days.

J.-M. Friedt

 > Lire l’intégralité de cet article sur notre plateforme de lecture en ligne Connect  

Retrouvez cet article (et bien d’autres) dans GNU/Linux Magazine n°218, disponible sur la boutique et sur Connect !

Ce mois-ci je vous propose de nous attarder quelque peu sur un monde féerique, un monde magique : le Cloud ! En effet, qu’y a-t-il de plus beau qu’un service disponible dans le Cloud ? Rien ! Vous n’avez plus à passer des heures en installation et configurations diverses, plus à vous soucier de la sécurité de votre infrastructure, tout fonctionne immédiatement et sans accroc ! Les utilisateurs ne s’y sont pas trompés et ils usent et abusent de services variés : gestion de mails / photos, traitement de texte / tableur en ligne, etc. Il suffit de se connecter au service où que l’on soit pour avoir accès à toutes les données qui sont conservées avec amour par les différentes entreprises proposant ces services, parfois même gratuitement ! Comment avons-nous pu vivre sans Cloud ?

Bien entendu, il se trouvera toujours des esprits chagrins qui viendront dénigrer cette magnifique avancée sociétale et qui poseront des questions qui n’ont pas lieu d’être :

– Qu’est-ce qui se passe sur un service de musique si le service décide qu’une chanson qui nous plaît ne doit plus figurer dans le catalogue (conflit avec l’éditeur, etc.), comment l’écouter ? N’y a-t-il pas comme la possibilité pour la société de service d’exercer une censure ?

– Dans le cas d’un service proposant des outils bureautiques en ligne, l’entreprise peut décider, du jour au lendemain, de modifier complètement l’interface, impactant par là même les habitudes de travail (suppression de la classification des documents en répertoires par exemple, etc.). Des milliers de personnes ne vont-elles point se retrouver ralenties ?

– Et que dire de la propriété des données si l’on imagine des conditions d’utilisation qui auraient la forme suivante : « Lorsque vous importez, soumettez, stockez, envoyez ou recevez des contenus à ou à travers nos Services, vous accordez à notre entreprise une licence, dans le monde entier, d’utilisation, d’hébergement, de stockage, de reproduction, de modification, de communication, de publication, de représentation publique, etc. » ?

Le fait de pouvoir profiter très simplement de certains services qu’il fallait précédemment installer, sécuriser et maintenir est très certainement une grande avancée… mais il ne faudrait pas perdre de vue que si ces services sont le plus souvent gratuits, c’est que nos données ont une valeur financière. Notons au passage que certains fabricants de disques durs vont encore plus loin en proposant des disques durs NAS intégrant une gestion des données via leur service dans le Cloud… service qui est donc payé lors de l’achat du disque dur !

Et si nous imaginions qu’après des années d’utilisation d’un service « gratuit » comme un gestionnaire de mails, les utilisateurs se rendent compte que, finalement, l’espace disque qui leur était fourni et donné pour « quasiment infini » ne l’était pas tant que ça… quelle serait leur réaction si on leur proposait de pouvoir continuer à profiter de leur service « gratuit », celui sur lequel se trouvent toutes leurs données, avec lequel ils ont leurs habitudes, contre paiement ? Ne seraient-ils pas tentés de payer pour conserver tous leurs avantages et cela ne s’apparenterait-il pas à une sorte de vente forcée ?

Nous utilisons tous au moins l’un de ces services. Si, si, ne le niez pas, vous aussi ! Même si nous savons mettre en place ces solutions de gestion de mails et autres, il est tellement tentant de se décharger d’une activité ingrate pour pouvoir se consacrer à d’autres tâches plus « nobles ». Donc nous aussi, nous les employons, mais le tout est de les utiliser avec parcimonie, en étant bien conscient des conséquences et puis d’aller lire de temps à autre quelques contrats d’utilisation : ça remet toujours les idées en place rapidement… Sur ce, nos conditions d’utilisations étant extrêmement concises : tournez les pages pour poursuivre votre lecture de GNU/Linux Magazine !

Tristan Colombo

Retrouvez GNU/Linux Magazine n°225 :

• en kiosque
• sur notre boutique (pour vous abonner : https://boutique.ed-diamond.com/abonnements/3-gnu-linux-magazine)
• sur notre plateforme de documentation numérique Connect
• sur notre application mobile Diamond Kiosk pour Android et iOS

Dans son numéro d’avril, GNU/Linux Magazine vous propose de découvrir une solution de monotoring simple, efficace et scalable avec Prometheus. Vous y trouverez aussi de quoi mieux cerner les principaux concepts des communications numériques, comment maîtriser la communication inter-processus avec gRPC ou encore comment bien transmettre des mots de passe. DNSSec sera de la partie ainsi que le nouvel opérateur du prochain Python 3.8. Retrouvez ce numéro en kiosque, sur notre boutique, sur notre plateforme de documentation numérique et sur notre application mobile Diamond Kiosk pour Android et iOS. Pensez à l’abonnement pour ne manquer aucun numéro

Au sommaire

Actus & Humeur

p. 06 Comment bien transmettre ses mots de passe…

p. 10 Découvrez en avant-première l’opérateur « morse » du futur Python 3.8

IA, Robotique & Science

p. 14 Les bases des communications numériques avec GNU Radio

Système & Réseau

p. 24 Soyez en feu grâce à Prometheus

Hack & Bidouille

p. 34 Utilisation d’une « corbeille » avec vidage automatique en CLI

Libs & Modules

p. 38 Pensez à l’ergonomie de vos scripts CLI en Python -épisode 1/2 : PyInquirer

p. 44 À la découverte de gRPC

Portabilité

p. 58 Les limites du développement d’applications mobiles multi-plateformes avec Cordova

Sécurité & Vulnérabilité

p. 68 Sécurisez vos noms de domaine avec DNSSEC

Bonne nouvelle si vous l’avez manqué : notre hors-série dédié aux bonnes pratiques du développement sécurisé est actuellement de retour chez votre marchand de journaux ! Retrouvez dans ce numéro spécial un retour d’expérience sur l’intégration de la sécurité dans un cycle de développement logiciel. Découvrez comment utiliser correctement le gestionnaire de sécurité de Java, mais aussi comment exploiter des messages d’avertissement du compilateur pour corriger votre code le plus tôt possible. Une sélection d’outils pour réaliser vos audits d’intrusion d’applications web est aussi fournie. En plus du kiosque, ce numéro vous attend également sur notre boutique, sur notre plateforme de documentation numérique Connect, ainsi que sur notre application mobile Diamond Kiosk pour Android et iOS. Pensez à l’abonnement pour ne plus manquer aucun numéro

Au sommaire

Actus

p.08 Brèves

p.09 Côté livres…

p.10 OWASP Top 10 : le palmarès pour 2018

p.18 PostgreSQL 10, quelques nouvelles fonctionnalités

Repères

p.26 Comprendre la compilation Just-In-Time

Dossier : Développement sécurisé

p.36 Retour d’expérience d’intégration des aspects sécurité dans un cycle de développement logiciel p.50 Expérimentations autour de l’injection de code en Python

p.58 Java : comment utiliser correctement son gestionnaire de sécurité

p.76 Le renforcement de la sécurité des applications et sites web avec CSP

p.88 Quels outils pour l’audit d’intrusions d’applications web ?

p.100 Les options pour faire du compilateur C un ami qui vous veut du bien

p.109 Découverte de Frama-C, l’un des outils incontournables d’analyse de code en C

Témoignages

p.116 Gros plan sur les attaques par canaux auxiliaires : entretien avec Clémentine Maurice, chercheuse en sécurité

Décryptage

p.120 À quoi servent les coredumps lorsque l’un de vos programmes crashe ?

L’évaluation de la sécurité d’une application web n’est pas chose aisée. Les technologies et frameworks se multiplient et la pression sur la mise en production des applications augmente. Dans cet environnement actuel, il devient de plus en plus difficile de s’assurer qu’aucun défaut de sécurité ne sera présent lors de la mise en production. Cet article a pour but de présenter les différents outils (libres et gratuits), ainsi que les techniques pouvant être utilisées pour identifier les faiblesses de sécurité que l’on rencontre fréquemment en audit.

Au sommaire de l’article

1 Fuzzing de répertoires et de fichiers

2 Vérifiez la configuration de TLS

3 Quid des CMS ?

4 Nikto, le scanner web des années 90

5 L’injection SQL, encore le favori

6 OWASP ZAP, le proxy qui attaque !

Conclusion

Références

Davy Douhine, Guillaume Lopes

 > Lire l’intégralité de cet article sur notre plateforme de lecture en ligne Connect  

Retrouvez cet article (et bien d’autres) dans GNU/Linux Magazine HS n°97, disponible sur la boutique et sur Connect !

Développer du code de manière sécurisée est une tâche complexe qui demande une attention de chaque instant. C’est d’autant plus vrai dans des langages relativement bas niveau comme le C, où les erreurs peuvent mener à des corruptions de la mémoire avec de graves conséquences sur la sécurité. Cependant, les compilateurs modernes offrent de nombreuses options pour détecter des comportements erronés et vous alerter de l’existence possible de problèmes dans votre code. Cet article présente certaines de ces options, qui vous aideront à produire du code de meilleure qualité et plus sécurisé, pour un effort modéré.

Au sommaire de l’article

1 Mise en jambes

2 Une question de format

3 -Wwrite-strings

4 Retour sur goto fail

5 Un mot sur les conventions d’écritures

5.1 What’s in a name?

5.2 Des commentaires ?

6 Pour aller plus loin

Conclusion

Références

Olivier Levillain

 > Lire l’intégralité de cet article sur notre plateforme de lecture en ligne Connect  

Retrouvez cet article (et bien d’autres) dans GNU/Linux Magazine HS n°97, disponible sur la boutique et sur Connect !

CSP définit une politique de sécurité de contenu de l’application web, qui fixe les listes des sources de confiance pour ses ressources (scripts, styles, images, etc.). Le navigateur bloque les téléchargements vers les sources non autorisées, ce qui élimine des attaques côté client, telles que le XSS.

Au sommaire de l’article

1 Attaques côté client

1.1 Cross-Site Scripting (XSS)

1.2 Usurpation de contenu

2 Ajouter un champ d’en-tête HTTP

2.1 Réponse HTTP

2.2 Ajout dans le code

2.3 Ajout dans le fichier de configuration

2.4 Ajout dans un .htaccess

2.5 Priorité en cas de collision de champ

3 Définir une politique de sécurité avec CSP

3.1 Champ Content-Security-Policy

3.2 Directives

3.3 Valeurs des directives

4 Politique de sécurité JavaScript

4.1 Scripts externes

4.2 Code embarqué dans la page web

5 Obtenir un rapport de violation

6 Implémentation

Conclusion

Références

Mariana ANDUJAR, Magali CONTENSIN

 > Lire l’intégralité de cet article sur notre plateforme de lecture en ligne Connect  

Retrouvez cet article (et bien d’autres) dans GNU/Linux Magazine HS n°97, disponible sur la boutique et sur Connect !

Il y a des chercheurs et des ingénieurs qui, dans un travail long et fastidieux, cherchent des corrélations complexes, qui veulent faire parler les données et les lier entre elles. Leur objectif est d’extraire un maximum d’informations et de bien comprendre les articulations existant entre celles-ci.

Et puis, il y a l’expérience de sites web administratifs ou d’entreprises qui détiennent sur nous tous des milliers de données. En nous rendant sur des sites proposant différents services, il n’est pas rare de s’interroger sur la réflexion qui a eu lieu quant à l’usage de données complètement basiques telles que l’état civil. Que dire en effet lorsque vous contactez un service client par téléphone (nécessairement parce que l’option chat/mail est défaillante sur le site) et que le serveur vous communique votre numéro de contrat à transmettre au téléconseiller qui va vous répondre ? Pour connaître ce numéro de contrat, le serveur a effectué une requête à partir de votre numéro de téléphone ; et, c’est ce même serveur qui va vous mettre en relation avec un téléconseiller… Alors pourquoi ne transmet-il pas directement le numéro de contrat à notre interlocuteur qui doit lui aussi être identifié dans la base ?

J’avais déjà exprimé mon étonnement lorsqu’après avoir rempli une demande de carte d’identité il faut donner les mêmes renseignements pour obtenir un acte de naissance (GNU/Linux Magazine n°214). On ne se retrouve pas ici dans des cas où l’on tente d’inférer de nouvelles connaissances depuis un jeu de données existant, il faut simplement transmettre l’information entre applications ! Il est assez sidérant de constater la cassure entre ces deux mondes : d’un côté, on va utiliser couramment des méthodes de prédiction, du clustering, etc., et de l’autre les requêtes SQL de base ne sont pas mises en place.

Imaginons parallèlement des sociétés maîtrisant tous les processus d’analyse de données et conservant les informations relatives au comportement de ses clients. Cela semble irréel, mais c’est un bon exemple… restons dans l’imaginaire et supposons qu’une telle entreprise puisse exister. Cette société vendrait un peu de tout et elle aurait donc accès aux informations suivantes :

le nom, le prénom et l’adresse de ses clients, ce qui peut facilement conduire à une estimation du niveau de vie en fonction du quartier dans lequel se trouve le logement et du type de celui-ci ;

la liste des recherches des clients ainsi que, bien entendu, leurs commandes. En supposant que la société vende vraiment toutes sortes de produits, on peut en déduire :

– les habitudes alimentaires ;

– les goûts musicaux, littéraires et cinématographiques ;

– les hobbies et éventuellement la profession.

Imaginez toutes les informations qui pourraient en être inférées : allergies, tendances politiques, etc. ! Tout cela pouvant éventuellement être renforcé en proposant des services complémentaires d’écoute de musique et de visionnage de films et séries à la demande. Bien entendu, ladite société arguerait du fait que toute l’analyse n’est effectuée que dans le but d’améliorer l’expérience utilisateur en lui proposant des produits adaptés à ses envies. Et nous pourrions imaginer pire avec une entreprise ayant accès à des données plus « sensibles » : mails, photos, position, recherches sur le Web, etc. Heureusement que tout cela ne reste que pure spéculation !

Dans ce numéro hors-série, nous ne vous proposerons pas de simplement transférer des données entre applications, ça nous savons que vous savez le faire ! Nous ne développerons pas non plus de programme permettant de profiler les gens. Nous nous attacherons à comprendre comment extraire des connaissances d’un jeu de données et quels outils employer. Et si par hasard vous croisez l’un des sombres individus responsable de ces applications inergonomiques, n’hésitez pas à lui prêter votre magazine pour porter la bonne parole ! Sur ce, je vous souhaite une bonne lecture !

Tristan Colombo

Retrouvez GNU/Linux Magazine Hors-série n°101 :

• en kiosque
• sur notre boutique (pour vous abonner : https://boutique.ed-diamond.com/abonnements/3-gnu-linux-magazine)
• sur notre plateforme de lecture en ligne Connect 
• sur notre application mobile Diamond Kiosk pour Android et iOS

L’autre jour, alors que je consultais un site internet, quelle ne fut pas ma surprise de voir s’afficher une publicité ! Le coup fut rude : on s’habitue très vite à ne plus être importuné par ces affichages parasites grâce à la mise en place d’un bloqueur de publicités et là, après des années d’usage intensif de différents plugins, c’est le drame ! Le cadre de pub qui passe à travers les filtres ! Ni une, ni deux, je m’attelle à la tâche : comment cette pub a-t-elle pu passer à travers les mailles du filet ?

Tout d’abord, je remarque qu’il s’agit d’une catégorie particulière de pubs : le système adyoulike (https://www.adyoulike.com/). Comme si on pouvait liker les ads qui finissent par prendre plus de place sur la page que le contenu lui-même ! Pourquoi uBlock Origin a-t-il laissé passer ce cadre qui réapparaît à chaque rafraîchissement de la page, en changeant de pub, comme pour me narguer ? J’ai voulu en savoir plus sur cet adyoulike.

Adyoulike effectue du marketing comportemental (on peut lire « Native Advertising » sur leur site), c’est-à-dire qu’ils vont analyser votre comportement sur le Web en faisant simplement du tracking, en analysant vos cookies : https://www.adyoulike.com/privacy_policy_fr.php. On pourrait penser qu’il suffit alors de bloquer tous les cookies, mais on ne peut malheureusement pas (ou difficilement) le faire de nos jours sans pâtir d’une dégradation de notre expérience utilisateur sur de nombreux sites. De même, effectuer un ménage régulier des cookies apporte beaucoup d’inconvénients avec la suppression de cookies d’authentification et du coup pratiquement personne ne le fait.

En allant sur une page du National Geographic qui liste les cookies qu’ils utilisent (https://www.nationalgeographic.fr/les-cookies-test), j’ai pu constater qu’il y a seulement 3 cookies de fonctionnalités pour 17 cookies de ciblage publicitaire ! Pratiquement 6 fois plus ! C’est certainement un reflet de ce qui se pratique sur la plupart des sites, mais lorsque l’on utilise un bloqueur de pubs, on est bien loin de s’imaginer cela, étant « protégé » de ce type d’espionnage.

Les recherches que j’ai effectuées pour éclaircir ce problème de publicité apparaissant malgré uBlock Origin m’ont amené à prendre connaissance du cas Adblock Plus, le bloqueur de pubs… qui laisse passer les publicités des annonceurs qui le payent : c’est une sorte de parrain mafieux de la pub sur Internet ! Si c’est le bloqueur que vous utilisez, ne vous étonnez pas si des pubs apparaissent : elles se seront acquittées de la « taxe ».

Pour en revenir à mon problème, comment l’ai-je résolu ? Simplement en ajoutant un filtre dans uBlock Origin… un faux positif a dû échapper au programme pour la première fois en deux ou trois ans d’utilisation. J’en ai profité pour vérifier la configuration de mon navigateur et je me suis rendu compte que j’avais même installé Privacy Badger, le bloqueur de trackers tiers de l’EFF (Electronic Frontier Fondation) : je ne peux pas faire beaucoup plus.

Cet affichage inopportun de publicité n’était donc finalement pas très grave et m’a permis de me rendre compte de la réalité du tracking publicitaire. N’ayez crainte, vous pouvez continuer à lire GNU/Linux Magazine sans anti-tracker sur papier (cela va de soi) ou même sur Connect : il n’y a aucun tracker publicitaire ou plutôt, en termes plus marketing, de système de natural advertising ! Bonne lecture !

Tristan Colombo

Retrouvez GNU/Linux Magazine n°224 :

• en kiosque
• sur notre boutique (pour vous abonner : https://boutique.ed-diamond.com/abonnements/3-gnu-linux-magazine)
• sur notre plateforme de documentation numérique Connect
• sur notre application mobile Diamond Kiosk pour Android et iOS