Auteur Sujet: Ubuntu 16.04LTS  (Lu 26518 fois)

0 Membres et 2 Invités sur ce sujet

minidou

  • Abonné Orange Fibre
  • *
  • Messages: 403
  • FTTH 1 Gb/s sur Nantes (44)
Ubuntu 16.04LTS
« Réponse #48 le: 27 avril 2016 à 21:54:25 »
Je suis déçu : Ubuntu avait annoncé que Mozilla distribuait Firefox via le nouveau format de paquet Snappy, mais Firefox 46 est distribué via un paquet .deb, comme d'hbaitude. Voici son petit nom : firefox_46.0+build5-0ubuntu0.16.04.2_amd64.deb

La page pour les paquets Firfox sur les miroirs Ubuntu ne montre pas de paquet autre que .deb : http://fr.archive.ubuntu.com/ubuntu/pool/main/f/firefox/
ils n'ont pas dit que ce serait immédiat, mais ils y travaillent
https://blog.mozilla.org/futurereleases/2016/04/21/firefox-default-browser-for-linux-users-ubuntu-new-snap-format-coming-soon/?utm=omgubuntu

Marco POLO

  • Abonné Free fibre
  • *
  • Messages: 2 132
  • FTTH 1 Gb/s sur Paris (75)
Ubuntu 16.04LTS
« Réponse #49 le: 28 avril 2016 à 20:38:20 »
Une grosse faille touche Linux Ubuntu 16.04

Selon un expert réputé du logiciel open-source, une fonctionnalité introduite dans la toute dernière version 16.04 d'Ubuntu pourrait constituer une menace grave pour la vie privée des utilisateurs.

 Le loup serait-il dans la bergerie ? La dernière version LTS (Long Term Support) d'Ubuntu annoncée fin de semaine dernière utilise un nouveau format appelé "snap" pour installer les paquets du logiciel sur un système Ubuntu. Les "snaps" sont plus faciles à développer, plus simples à déployer, et ils sont compatibles avec le format de paquets .deb existant. Sauf que, d'après Matthew Garrett, un expert qui fait autorité en la matière, les paquets "snaps" installés sur un système Ubuntu, qui utilise, comme la plupart des installations desktop d'Ubuntu, le système de fenêtrage X11, peuvent copier des données privées à peu près où ils veulent sans se faire remarquer. "Cela signifie que les applications tournant dans X peuvent très simplement demander à recevoir les enregistrements de touches effectuées dans d'autres applications", comme l'écrit Matthew Garrett. "Une application qui n'a pas accès à toutes les données privées de l'utilisateur peut attendre la fin d'une session, ouvrir un terminal non confiné puis utiliser l'extension cURL pour envoyer ses données vers un site distant", a-t-il expliqué.

D'après l'expert, les "snaps" ne présentent pas de risques de sécurité quand ils tournent dans le système de fenêtrage Mir de Canonical, ajoutant que l'approche a effectivement de nombreux avantages en terme de sécurité sur le long terme. Cependant, actuellement, elle expose sérieusement les utilisateurs de la version desktop d'Ubuntu. Dans un blog où il répond à la question posée, Canonical reconnait que X11 "n'est pas un protocole sécurisé", mais qu'il n'est pas possible de modifier le mode opératoire des "snaps" sans bloquer le système.

Attention au détournement d'autorisation à des fins malveillantes Gustavo Niemayer a déclaré au nom de Canonical que les utilisateurs devaient faire attention aux paquets qu'ils installaient, indépendamment du fait qu'ils sont ou non au format snap. "L'utilisateur doit installer un logiciel à partir de l'archive Ubuntu uniquement s'il a confiance dans le développeur Ubuntu et dans le développeur Debian", a-t-il rappelé. "Le format snap n'exonère pas l'utilisateur de cette précaution, car une fois qu'il permet à un bout de logiciel d'accéder à ses fichiers personnels, à la caméra web, au microphone, etc., il a besoin d'être sûr que cette autorisation ne sera pas détournée à des fins malveillantes".

Ces dernières années, Ubuntu ne s'est pas toujours distingué en terme de sécurité et de protection de la vie privée, notamment depuis que, en 2014, le système a livré à Amazon des données utilisateurs pour afficher des publicités personnalisées dans le volet de recherche de l'environnement desktop de Unity. Les utilisateurs n'avaient pas du tout apprécié cette disposition prise sans leur consentement et Ubuntu avait finalement supprimé la fonction de la nouvelle version d'Unity.


Source: Distributique.com par Jon Or / IDG News Service (adapté par Jean Elyan) le 25 Avril 2016.


jack

  • Professionnel des télécoms
  • *
  • Messages: 1 674
  • La Madeleine (59)
Ubuntu 16.04LTS
« Réponse #50 le: 28 avril 2016 à 20:57:26 »
Rien de nouveau depuis que le soleil brille;
C'est ainsi partout : si tu exec de la merde sur ta machine, alors ta machine exec de la merde.

minidou

  • Abonné Orange Fibre
  • *
  • Messages: 403
  • FTTH 1 Gb/s sur Nantes (44)
Ubuntu 16.04LTS
« Réponse #51 le: 29 avril 2016 à 00:33:00 »
vivement qu'on puisse enfin se passer de X (2017?)

vivien

  • Administrateur
  • *
  • Messages: 47 078
    • Twitter LaFibre.info
Ubuntu 16.04LTS
« Réponse #52 le: 29 avril 2016 à 07:41:41 »
C'est un article qui induit en erreur le lecteur, les mêmes problèmes sont présents dans les paquet .deb (Ubuntu/Debian), .rpm (Fedora/RedHant/CentOS), .exe (Windows).

Snappy a été vendu comme plus sécurisé à terme. Ce sera bien le cas. C'est l'équivalent des application UWP sous Windows 10.

kgersen

  • Modérateur
  • Abonné Bbox fibre
  • *
  • Messages: 9 078
  • Paris (75)
Ubuntu 16.04LTS
« Réponse #53 le: 29 avril 2016 à 11:36:24 »
Snappy a été vendu comme plus sécurisé à terme. Ce sera bien le cas. C'est l'équivalent des application UWP sous Windows 10.

Snap (et pas Snappy) c'est juste de la distribution. Ca n'impose rien sur la facon dont les applications sont conçues et programmées et ca fonctionne avec les applications existantes qu'il suffit de repackager avec le nouveau systeme.

UWP ca impose une API et de re-développer les applications existantes.

C'est complètement différent.

Snap est comparable a Docker plutôt. Ca 'empaquette' l'application et toutes ses dépendances/libraries mais n'impose pas de redevelopper les applications existantes, c'est juste du repackaging. Mais ca n'est pas tout a fait Docker non plus.

Snappy, c'est Snappy Ubuntu Core ( https://developer.ubuntu.com/en/snappy/ ) un OS minimal pour IoT et containers qui permet via Snap des mises a jour transactionnelles.


« Modifié: 29 avril 2016 à 12:48:05 par kgersen »

jack

  • Professionnel des télécoms
  • *
  • Messages: 1 674
  • La Madeleine (59)
Ubuntu 16.04LTS
« Réponse #54 le: 29 avril 2016 à 12:23:57 »
Snappy a été vendu comme plus sécurisé à terme.
Citer
Ce sera bien le cas
. C'est l'équivalent des application UWP sous Windows 10.

L'une de ces deux assertions est fausse (ou ironique)

Soit les mises à jour peuvent échouer (du fait des bibliothèques partagées, par exemple)
Soit la "nouvelle référence en terme de sécurité" peut être vu comme un retour dans le passé, avec chaque programme qui est lié statiquement aux bibliothèques (ou dynamiquement, mais avec son propre jeu d'objets partagés, ce qui revient au même). C'est à dire qu'une mise à jour de sécurité d'une bibliothèque doit être propagée manuellement sur l'ensemble des paquets utilisant ladite bibliothèque (concrètement, ce n'est jamais fait, les objets ne sont donc pas à jour et comportent toujours les soucis).

Dans ce dernier cas, je passe sur la consommation disque et mémoire;

vivien

  • Administrateur
  • *
  • Messages: 47 078
    • Twitter LaFibre.info
Ubuntu 16.04LTS
« Réponse #55 le: 29 avril 2016 à 12:38:43 »
Merci kgersen pour la mise au point.

Si tu pouvais faire un tableau récapitulatif des différents paquets, les méthodes pour isoler ou non les données et gérer les permisions et comment sont gérés les dépendances aux bibliothèques.

Je vois déjà une petite liste de formats populaires :
- APK (Google Android Package)
- UWP (Microsoft Universal Windows Platform)
- Snap (Ubuntu)
- Format pour iOS
- Docker

En incluant les anciens qui ne permettent pas d'isoler une application :
- EXE / Win32
- DEB (Paquet Debian)
- RPM (Red Hat Package Manager)

Marco POLO

  • Abonné Free fibre
  • *
  • Messages: 2 132
  • FTTH 1 Gb/s sur Paris (75)
Ubuntu 16.04LTS
« Réponse #56 le: 29 avril 2016 à 15:38:35 »
C'est un article qui induit en erreur le lecteur,...

Selon un expert réputé du logiciel open-source,...

Hugues

  • AS2027 MilkyWan
  • Modérateur
  • *
  • Messages: 12 423
  • Lyon (69) / St-Bernard (01)
    • Twitter
Ubuntu 16.04LTS
« Réponse #57 le: 29 avril 2016 à 16:14:09 »
Je suis un expert réputé en experts réputés et je te dis que ce n'est sûrement pas un expert réputé.

eruditus

  • Client Orange adsl
  • Modérateur
  • *
  • Messages: 11 015
Ubuntu 16.04LTS
« Réponse #58 le: 29 avril 2016 à 16:16:49 »
 ;D

kgersen

  • Modérateur
  • Abonné Bbox fibre
  • *
  • Messages: 9 078
  • Paris (75)
Ubuntu 16.04LTS
« Réponse #59 le: 30 avril 2016 à 12:53:32 »
Merci kgersen pour la mise au point.

Si tu pouvais faire un tableau récapitulatif des différents paquets, les méthodes pour isoler ou non les données et gérer les permisions et comment sont gérés les dépendances aux bibliothèques.

Je vois déjà une petite liste de formats populaires :
- APK (Google Android Package)
- UWP (Microsoft Universal Windows Platform)
- Snap (Ubuntu)
- Format pour iOS
- Docker

En incluant les anciens qui ne permettent pas d'isoler une application :
- EXE / Win32
- DEB (Paquet Debian)
- RPM (Red Hat Package Manager)

j'ai pas vraiment le temps de faire un tableau mais rapidement:

- apk = archive zip/jar servant a distribuer un app sur Android. equivalent d'un .msi sur windows par exemple ou d'un .deb / .rpm sous Linux
- UWP = ca n'est pas un format d'archive ou de fichier donc ca n'a rien à  faire ici. Les apps UWP peuvent être distribuées au format .appx ou sous forme d’arborescence.
- iOS = apps distribuées sous format .iap
- Snap = format  ".snap"  (pas plus d'infos pour le moment, l'avenir de ce truc étant très incertain et trop spécifique a Canonical)
- Docker = les images sont un repertoire distribué en format .tar nommé "OCI Image Format". C'est LE standard libre et ouvert, adopté par tout le monde au sein du consortium OpenContainers ( https://www.opencontainers.org/ ) sous la gouvernance de la Linux Foundation (curieusement Canonical n'y est pas).

A choisir entre Canonical et Google/Amazon/Microsoft/Cisco/ATT/Dell/Docker/EMC/Facebook/Fujitsu/HP/Huawei/IBM/Intel/Oracle/Redhat/Suse/Twitter/VMWare/...
Je ne parie pas sur Canonical ...

Meme si c'est un peu biaisé de comparer Snap et OCI ( https://github.com/opencontainers/image-spec ).