Just Another Geek

Je regardais les nouveautés de la prochaine release d'OpenBSD [archive] (la 3.8) et parmi les nouveautés d'OpenSSH (4.2), on trouve ça :

Adds a new compression method that delays the start of zlib compression until the user has been authenticated successfully. The new method ("Compression delayed") is on by default in the server and eliminates the risk of any zlib vulnerability leading to a compromise of the server from unauthenticated users.

C'est un sale temps pour les mass-rooters :p

Petite frayeur aujourd'hui après mise à jour puis redémarrage de la machine puisque je ne pouvais plus rien faire du tout depuis mon shell : ni compilé des simples programmes C, ni lancer le serveur X par exemple.

% gcc t.c
collect2: cannot find 'ld'

Pareil, plein d'erreurs inexplicables un peu partout avec des messages abscons.

Après quelques minutes de frissons, je me suis penché sur ma variable PATH que j'avais décidé de ne plus exporter il y deux mois car je voulais me contenter du PATH "par défaut" (pour diverses raisons). Visiblement, la mise à jour du paquet Debian zsh-beta [archive] a modifié l'ancien comportement.

Ca m'apprendra à faire le goret...

J'ai tendance à croire que les pétitions ne servent qu'à brasser du vent mais j'ai pas pû résister à la pétition pour avoir de l'IPv6 en natif sur les ADSL de chez Free [archive].

C'est beau l'utopie... Mais qu'est ce que ce serait beau si ca se réalisait !

audiotag [archive] est un logiciel libre écrit hier soir après que j'ai abandonné l'idée d'utiliser mp3tag [archive] ou OggInfo [archive], en effet, combien de fois j'ai maudit ces logiciels pour ne pas être adaptés à faire des tâches automatisées.

Read next [archive]

Ce patch [archive] proposé sur la liste [archive] de développement de tcpdump ajoute un filtre pour que notre sniffeur favori ne loggue ou n'enregistre pas les paquets de votre session ssh si vous êtes connectés de cette manière.

Ca serait bien pratique si les développeurs acceptaient ce patch mais en modifiant la manière de parser la variable SSH_CLIENT car après lecture rapide du patch, il ne tient pas compte des adresses retournées par un noyau et ssh compilés avec le support IPv6 (mais Buffer Overflow pas possible, rassurez vous).
Je pense que les développeurs de tcpdump vont vite s'en rendre compte...

Depuis la version 1.1.2 (version supérieure à celle qui était dans Debian Woody, donc on ne pouvait pas en profiter), vsftpd permet d'adapter une configuration particulière en fonction de l'adresse IP du client.

L'implémentation ressemble (un peu) à de la bidouille avec l'utilisation de tcp_wrapper. C'est-à-dire que lors d'une connexion provenant d'une adresse donnée, tcp_wrapper va initialiser une variable d'environnement (VSFTPD_LOAD_CONF par exemple) indiquant à vsftpd qu'il faut une configuration spécifique qui va s'appliquer sur la configuration globale.

Dans les faits, ca se fait comme ca :

% grep tcp_wrapper /etc/vsftpd.conf
tcp_wrappers=YES
% grep vsftpd /etc/hosts.allow
vsftpd:192.168.19.88:setenv VSFTPD_LOAD_CONF /etc/vsftpd_special_guest.conf

Ainsi, la configuration special guest surchargera les réglages globaux. On pourra, par exemple, n'autoriser que l'écriture dans certains répertoires en anonymous, le téléchargement, le listing de (certain) fichiers (Merci A. !), etc.

Alors ? Qui a dit que vsftpd était pauvre en fonctionnalité ? Ok, sa configuration diffère totalement d'autres serveurs FTP réputés user-friendly, mais pourquoi pas utiliser des outils reconnus, même si ils sont vieux ?

Phénomène intéressant depuis quatre jours sur ma FreeBox : un scan du port 42 en TCP (utilisé par WINS). Jusqu'ici, rien de bien nouveau me direz vous, mais ce qui est amusant, c'est que les sources de scan ne sont que des adresses IP associées à mon DSLAM.

On sait que les nouveaux vers privilègient les machines voisines, mais là, ca semble très ciblé et les groupes comme SANS [archive] ne remarquent rien d'anormal.

/me va mettre un netcat+tcpdump de ce pas...

Update@19h05 : Après capture pcap, ca ressemble à un simple connect() scan. Toujours est-il que cela reste étrange...

Update 3 mois plus tard : C'est en réinstallant mon routeur que j'ai compris pourquoi, la configuration par défaut d'un abonné Freebox est d'avoir deux routes : l'une qui donne sur votreadresseippublique/24 et une route par défaut qui mène à la Freebox. Les vers/virus essayant ainsi de taper dans ce qu'il croit un réseau local, or cela est en fait tous vos voisins du DSLAM...

Je ne m'étais jamais rendu compte que le xlock ne servait strictement à rien chez moi : en effet, je n'utilise pas de Session Manager tel que gdm, wdm, xdm, etc. Je lance directement le mode graphique par la commande startx.

Le truc, c'est que lorsque, dans ta session X (non, ce n'est pas pornographique), tu lockes ton écran. Eh bien il suffit de taper les touches magiques Control-Alt-Backspace pour tuer le serveur X, de fait, tu killes en même temps xlock ce qui rend la main au shell qui a lancé startx. Moralité, xlock ne sert à rien (dans ce cas là).

Les solutions ?

• Utiliser un Session Manager
• Faire un alias : startx='\startx &; vlock'
• Bloquer la séquence Control-Alt-Backspace

Si vous êtes à la recherche d'un nouveau sac pour y mettre votre ordinateur portable, ruez vous sans hésiter sur ce Sac par Targus [archive], il est pratique, pas cher, plutôt discret et pas trop moche (mais l'égout et l'écouleur...). Et surtout, il protège énormément votre laptop sans vous faire passer pour un collégien et sa tonne de livre.

En tout cas, le mien, j'en suis amoureux.

Pour ceux qui seraient tenté d'utiliser Vmware GSX server [archive] sur une Debian Sarge et qui s'étonneraient de ne pas voir le serveur HTTP se lancer, n'oubliez pas d'installer la bibliothèque fournissant libdb.so.3, ok rien de compliqué, mais la difficulté est de prendre le bon paquet Debian avec la bonne version.

$ sudo /etc/init.d/httpd.vmare start
Starting httpd.vmware: 
 httpd: /usr/lib/libdb.so.3: version `GLIBC_2.0' not found (required by httpd). 
$ sudo apt-get install libdb2
$ sudo /etc/init.d/httpd.vmare start
Starting httpd.vmware: done

Donc voila, si vous n'avez pas envie de perdre votre temps, c'est le package libdb2, logique non?

Je répondrais bien à ce malheureux [archive] mais j'ai la flemme de m'enregistrer...

Maintenant que tous les paquets Debian pour les modes Emacs ont inclus le support d'emacs-snapshot, il est plus que temps que de passer à cette version de développement.

Sous Debian, rien de plus simple grâce au script de Jérôme Marant:

% sudo apt-get install dpatch mini-dinstall
% cat > ~/.mini-dinstall.conf
[DEFAULT]
archivedir = /usr/src/emacs/debies
archive_style = flat
% mkdir -p /usr/src/emacs/debies
% cd /usr/src/emacs
% wget http://people.debian.org/\~jerome/build-emacs-snapshot.sh
% export DEBFULLNAME='Maman ours'
% export DEBEMAIL='maman@ours.com'
% sh build-emacs-snapshot.sh
% mv emacs*(.) debies/
% mini-dinstall -b /usr/src/emacs/debies
% echo 'deb file:///usr/src/deb/emacs/ unstable/' | sudo tee -a /etc/apt/sources.list
% sudo apt-get install emacs-snapshot-gtk

Maintenant, faut juste s'habituer à ido-find-file qui est assez étrange au début, puis très vite indispensable :)

Voila la migration de mon serveur est enfin finie, ca aura mit du temps mais c'est fait.

Résumé, depuis une connexion ssh :

$ sudo dpkg --audit
$ sudo apt-get install aptitude
$ sudo aptitude install doc-base
$ sudo aptitude -f --with-recommends dist-upgrade

Quelques dizaines de questions plus tard... C'était fait.

J'ai utilisé aptitude comme recommandé dans les Release notes [archive] qui, parait-il, gère mieux les dépendances.

Maintenant la partie la plus chi*nte : effectuer des tests de non-regression :(

Update: Les permissions CVS semblaient avoir été changées... Bizarre. De toutes façons, j'atttendais Sarge pour enfin avoir Subversion, adieu CVS :)

Ca y est, après la mort de mon ancien portable, j'ai commandé et reçu mon nouvel ordinateur portable, un IBM Thinkpad T42p. Et y a pas à dire, la qualité est au rendez-vous même si je n'aime pas trop l'agencement des touches. L'écran 15" et la carte graphique (donnant du 1600x1200) rendent une image parfaite.

L'installation d'une Debian Sarge via le Debian installer rc3 s'est déroulée sans trop de soucis puisque quasiment tout le matériel est supporté nativement (beaucoup de kernel hacker en possèdent donc ca aide) sauf la carte Wireless Intel Centrino qui nécessite l'installation de firmwares. Mise à part ça et le ventilateur du portable qui tourne en permanence au niveau le plus bas (faut que je bidouille l'ACPI pour que cela cesse), c'est le bonheur total.

Je vous rassure, je n'ai pas (encore) touché au loto et j'ai pû m'offrir ce portable que grâce aux offres étudiantes d'IBM qui permettent une réduction de plus de 50% !

Aux États-Unis, un constat simple montre que la probalité d'accidents par armes à feux est beaucoup plus grande chez les personnes ayant des armes chez eux que chez les autres. C'est logique.

Alors je me demandais si celà était vrai pour le spam : est-ce qu'une machine qui nous a déjà spammé a plus de "chance" de nous spammer à nouveau ?

Voici les stats chez moi :

% zcat /var/log/exim4/mainlog*gz | perl ~/spammed-once-or-again.perl
1312 hosts spammed once (80.88% of spammers)
310 hosts spammed multiple times (19.11% of spammers)
     average time difference between spam: 91630s

Approximativement 20% des spammeurs vont recommencer, avec un intervalle moyen de deux mois environ. Je ne suis pas très étonné de ces résultats puisque le spam est désormais servi principalement par des machines Windows infectées par des vers (dont la durée d'activité d'une machine est très courte).

Je pense que le résultat serait complétement inversé si on faisait les stats sur les Sender addresses (ou même sur le sujet du message). À voir...

Voici un biff du pauvre pour voir dans quel(s) dossier(s) Maildir on a du courrier en utilisant les globbing modifiers de zsh

% alias poorbiff='print -l ~/.Maildir/.*/new/*(:h:h:t) | sort -u'
% poorbiff
.list.foo
.list.bar
.list.plop

Note: Mon ordinateur portable est mort dans d'attroces souffrances, ce qui explique mon manque de réponse aux mails depuis une semaine