OVH Cloud OVH Cloud

slapt-get swaret checkinstall ... apt-get ???

69 réponses
Avatar
GP
J'utilise actuellement Slackware mais je songe à changer pour Libranet
pour l'avantage de apt-get. Mais voilà que swaret et slapt-get arrivent
sur la scène.

Ces utilitaires s'occupent apparemment des dépendances. Ça fonctionne?

Il ne semble pas y avoir d'option pour désinstaller, dans swaret, en
tout cas.Est-ce que le système finit par être emcombré?

Est-ce vraiment possible de passer d'une version à l'autre de Slack en
cliquant un bouton comem swaret le prétend? Il y en a qui disent que
c'est un tout petit peu tiré par les cheveux, que l'auteur est un
abominable "péteux de broue".

Ensuite, il y a checkinstall qui permet apparemment de faire des tgz.

"Instead of the usual "make install" after compiling something, just do
a "checkinstall -S" and it will create and install the .tgz package for
you!"

Cf.: http://www.osnews.com/story.php?news_id=5307

Ici, le problème des dépendance n'est pas réglé, mais celui d'enlever
les paquets, oui... apparemment.

Ce qui inquéte un peu dans tout ça, c'est que ces outils se développent
indépendamment et que Volkerding ne donne jamais son opinion. Ça beau
être de l'open source, je doute qu'il soit toujours lu et strictement
contrôlé.

En d'autres mots, en plus d'être un soft plus sous contrôle, est-ce que
apt-get a des années-lumières d'avance ou seulement une année ou deux :)

D'autre part, le boot SysV m'a l'air terriblement compliqué et je ne
vois pas ce que ça donne de plus. TOUT m'a l'air plus compliqué, même
les scripts. Dans Slackware ils se lisent presque comme du français, en
comparaison.

Je sais que je n'opterai pas pour Mandrake, Suse, Lindows ou quelque
merde du genre, mais entre Slack et Libranet,je suis paire plexe :)

GP



-----= Posted via Newsfeeds.Com, Uncensored Usenet News =-----
http://www.newsfeeds.com - The #1 Newsgroup Service in the World!
-----== Over 100,000 Newsgroups - 19 Different Servers! =-----

10 réponses

Avatar
GP
Emmanuel Florac wrote:
Le Mon, 08 Dec 2003 07:36:47 -0500, GP écrivait:


J'ai fait mieux: une recherche avec un copier coller de ce que tu
porposes et j'obtiens "Command not found". Ma version est peut-être
trop vieille?

swaret 1.6.0-5



Non, trop récente, j'ai la 1.3.1 :)


Je viens de faire la recherche sur "Upgrade all installed Packages" et
voici ce que je trouve:

--upgrade

:)

Si swaret se débrouille si bien avec un upgrade, c'est surprenant.
Parce que, à lire UPGRADE.txt, et particulièrement cette section:

6. Fix your config files. Some of the config files in /etc are going
to need your attention. You'll find the new incoming config files on
your system with the ".new" extension. You may need to fill these in
with information from your old config files and then move them over.

ça n'a pas l'air d'être de la tarte.

Remarque que, la dernière fois, j'ai réinstallé en ne montant pas ma
partition /home ou en la renommant /Xhome, puis j'ai effacé la
partition /home faite par l'installation et j'ai remonté mon /home, et
je ne me rappelle pas avoir eu de gros problèmes. Donc, les anciens
fichiers de conf devraient fonctionner en général.

Ergo, donc... Avec tous ces gens qui m'assurent que SysV est tellement
facile à utiliser, mais qui ne me donnent jamais les principes de
base, je pense que les dés sont jetés: ce sera retour à Slackware.
Enfin... voyons si la question que je viens de poser sur la façon de
réinstaller mon firewall va amener une réponse illuminante.

GP



-----= Posted via Newsfeeds.Com, Uncensored Usenet News =-----
http://www.newsfeeds.com - The #1 Newsgroup Service in the World!
-----== Over 100,000 Newsgroups - 19 Different Servers! =-----


Avatar
george
GP , dans le message , a écrit :
Est-ce à dire que personne n'a signé la clé de Slackware ou que les
"trusted signatures" sont des personnes particulières reconnues par
les autorités du serveur de clés et qu'aucune d'elles n'a signé la clé
de Slackware?


Avec PGP, il y a une et une seule autorité particulière reconnue : toi.

C'est toi qui décides si tu vas faire confiance à une clef, et à quel
point. Si un jour on se rencontre, je pourrai te montrer ma carte
d'identité et te dire que oui, la clef 36E54C93 dont l'empreinte est
24CE 01CE 9ACC 5CEB 74D8 8D9D B063 D997 36E5 4C93 est bien la même, tu
pourras vérifier que personne ne me menace d'un révolver discrètement,
etc. Rentré chez toi, tu pourras noter dans gpg (avec la commande trust
de l'option --edit-key) que oui, tu as vérifié que la clef 36E54C93 que
tu as est bien celle de Nicolas George.

Maintenant, tu peux non seulement me faire confiance en ce sens que je
suis bien qui je prétends être, mais également me faire confiance pour
être aussi parano que toi, et vérifier les clefs de mes interlocuteurs.
Avec ma clef, je peux signer des messages. Je peux entre autres signer
un message disant « Moi, Nicolas George, je certifie que le propriétaire
de la clef 0B2790DE d'empreinte « 445E 6FA7 7B62 2FDE 3671 F1D3 0D93
6426 0B27 90DE » est bien celui qu'il prétend être. Si tu me fais
confiance, alors tu sais que 0B2790DE appartient bien à qui elle
prétend.

Le message que tu cites indique que gpg n'a pas su construire de chemin
entre la clef en question et une personne à qui tu fais directement
confiance. Ce qui n'est pas étonnant : tu viens d'installer gpg, tu l'as
lancé pour la première fois, tu ne fais confiance à personne.

Alors? On joue ça à pile ou face? Pas trop clair!


Le problème de l'« insecure mémory » correspond au scénario suivant :
imagine que nous soyons tous les deux dans une salle informatique où
nous avons des compte sur chaque ordinateur. Je vois que tu es sur le
point de taper ton mot de passe dans gpg. Je me logue sur ta machine, je
lance trois OpenOffice, ta machine se met à râmer, gpg se retrouve dans
le swap. Au bout de quelques minutes ça redevient calme. Puis j'attends
le soir, je sors mon ouvre-boîtes, et j'extrais le disque dur de
l'ordinateur où tu étais. Avec un peu de chance, le swap n'a pas été
ré-écrit depuis l'incident, et ton mot de passe et ta clef y sont
toujours.

Pour éviter cette attaque, gpg essaie de placer les données sensibles
dans une zone de mémoire qui ne peut pas quitter la mémoire vive. Mais
pour faire ça, il faut la plupart du temps les droits de root. D'un
autre côté, il n'est pas exclu qu'en passant à gpg une clef mal formée,
on arrive à lui faire exécuter du code qu'il ne devrait pas, et s'il a
les droits de root, ça te les donne.

Il faut bien voir que tout ceci relève de la parano pure et simple, dans
un sens comme dans l'autre. Pour une machine personnelle, tu t'en fous.

Le fichier est vide.


C'est juste que tu viens de créer tout ça, rien d'étonnant à ce qu'il
n'y ait rien dedans.

Là, j'ai fait un CTRL-C. Je n'ai pas de encore message si précieux à
envoyer. Mais je suppose que ça va ensuite demande l'adresse du
destimataire qui devrait récupérer ma clé publique pour me lire?


Non, pas exactement. En fait, ça attend un message au format PGP
(« -----BEGIN PGP MESSAGE----- »...« -----END PGP MESSAGE----- »), et ça
adapte son comportement au contenu (vérifier la signature, déchiffrer).

Quand tu auras fini, tu auras une FAQ utilisable pour le commun des
mortels.


Il y en a un peu partout déjà.

Avatar
GP
Nicolas George wrote:

Maintenant, tu peux non seulement me faire confiance en ce sens que je
suis bien qui je prétends être, mais également me faire confiance pour
être aussi parano que toi, et vérifier les clefs de mes interlocuteurs.
Avec ma clef, je peux signer des messages. Je peux entre autres signer
un message disant « Moi, Nicolas George, je certifie que le propriétaire
de la clef 0B2790DE d'empreinte « 445E 6FA7 7B62 2FDE 3671 F1D3 0D93
6426 0B27 90DE » est bien celui qu'il prétend être. Si tu me fais
confiance, alors tu sais que 0B2790DE appartient bien à qui elle
prétend.


Ce message étant stocké sur le serveur de clés?

Le message que tu cites indique que gpg n'a pas su construire de chemin
entre la clef en question et une personne à qui tu fais directement
confiance. Ce qui n'est pas étonnant : tu viens d'installer gpg, tu l'as
lancé pour la première fois, tu ne fais confiance à personne.


Ok.

Alors? On joue ça à pile ou face? Pas trop clair!



Le problème de l'« insecure mémory » correspond au scénario suivant :
imagine que nous soyons tous les deux dans une salle informatique où
nous avons des compte sur chaque ordinateur. Je vois que tu es sur le
point de taper ton mot de passe dans gpg. Je me logue sur ta machine, je
lance trois OpenOffice, ta machine se met à râmer, gpg se retrouve dans
le swap. Au bout de quelques minutes ça redevient calme. Puis j'attends
le soir, je sors mon ouvre-boîtes, et j'extrais le disque dur de
l'ordinateur où tu étais. Avec un peu de chance, le swap n'a pas été
ré-écrit depuis l'incident, et ton mot de passe et ta clef y sont
toujours.

Pour éviter cette attaque, gpg essaie de placer les données sensibles
dans une zone de mémoire qui ne peut pas quitter la mémoire vive. Mais
pour faire ça, il faut la plupart du temps les droits de root. D'un
autre côté, il n'est pas exclu qu'en passant à gpg une clef mal formée,
on arrive à lui faire exécuter du code qu'il ne devrait pas, et s'il a
les droits de root, ça te les donne.


Sais-tu s'il y a beaucoup de brèches (exploits, en anglais) répertoriées?

Il faut bien voir que tout ceci relève de la parano pure et simple, dans
un sens comme dans l'autre. Pour une machine personnelle, tu t'en fous.


L'emploi de gpg relève lui-même de la parano pure. Alors, quant à
l'employer, autant continer dans la même veine. Et puis, ce n'est aps
parce qu'on opère une machine personnelle qu'elle ne contient des
recettes de cuisine :)

Quand tu auras fini, tu auras une FAQ utilisable pour le commun des
mortels.


Il y en a un peu partout déjà.


C'est justement ça le problème. Quoi que ce soit que tu cherches, tu
as toujours plus de 100,000 résultats chez Google. Là, tu commences ta
recherche.

Il y a des documents qui datent du déluge, d'autres qui contiennent
les mots clés sans avoir aucun rapport, style (gpg authentified) ou
quelque chose comme qui donne le mot gpg, d'autres qui annoncent des
livres en vente, d'autres qui ont été écrits en geektalk par des gens
qui ne pourraient écrire une lettre pour dire bonjour à leur mère,
d'autres qui ne sont plus en ligne, d'autres qui sont carrément de la
désinformation, d'autres, d'autres, etc.

Sur les news, c'est souvent la désinformation à l'état pur, ce sont
les treads où on dit aux newbies de RTFM et où on continue à s'envoyer
des petites blagues d'une ligne.

Il y a bien des éléments qui concourrent à créer un vaste fouillis. Ce
ne n'est pas parce que l'information est là, "quelque part", qu'elle
est nécessairement accessible. Il y a des gens qui lavent encore la
vaiselle, tu sais.

Il y a des fois où on aurait envie de crier "Mettez-moi le pied sur le
premier barreau de l'échelle et foutez-moi la paix avec le reste."

Le pauvre newbie qui essaie d'administrer un système sans qu'on lui
souligne l'importance de locate | grep, il en sue un coup!

Si je ne crève pas d'ici là, ce qui est loin d'être impossible, je
vais tâcher de mettre mes quelques petites notes par écrit, en les
mettant en ordre à partir du processus d'installation. On verra.

Merci de tes renseignements.

GP




-----= Posted via Newsfeeds.Com, Uncensored Usenet News =-----
http://www.newsfeeds.com - The #1 Newsgroup Service in the World!
-----== Over 100,000 Newsgroups - 19 Different Servers! =-----


Avatar
george
GP , dans le message <3fd4dca3$, a écrit :
Ce message étant stocké sur le serveur de clés?


Le message est en général attaché avec la clef qu'il certifie (de toutes
façons il ne sert pas sans). Une clef peut être récupérée depuis un
serveur de clef, c'est une interface pratique, mais elle peut être
distribuée autrement, cf. par exemple <URL:
http://www.eleves.ens.fr/home/george/36E54C93.asc >.

Sais-tu s'il y a beaucoup de brèches (exploits, en anglais) répertoriées?


Il y a eu de gros bugs détectés dans GPG au niveau de la crypto, mais je
n'ai pas entendu parler de problèmes liés à ses droits étendus.

L'emploi de gpg relève lui-même de la parano pure. Alors, quant à
l'employer, autant continer dans la même veine. Et puis, ce n'est aps
parce qu'on opère une machine personnelle qu'elle ne contient des
recettes de cuisine :)


Non, mais c'est parce que c'est une machine personnelle que :

- tu n'as probablement pas d'utilisateurs malévolents suceptibles
d'exploiter un trou dans gpg pour passer root sur ta machine, ou
seulement pour te le signaler immédiatement ;

- prendre le disque dur voudrait dire une effraction chez toi, et quand
ils en sont à ce point, ils peuvent aussi bien te faire violence pour
te forcer à leur donner le mot de passe.

La règle générale, c'est qu'il faut toujours regarder le point le plus
faible du système, et que ce point est très souvent l'utilisateur. Si tu
as des données de valeur à protéger, avant d'encore gonfler la crypto
pour qu'il faille un milliard d'années pour les craquer au lieu de
dix-mille ans, pense à engager des gardes du corps pour accompagner tes
enfants à l'école.

C'est justement ça le problème. Quoi que ce soit que tu cherches, tu
as toujours plus de 100,000 résultats chez Google. Là, tu commences ta
recherche.


Le Privacy Handbook qui va avec GPG est pas mal, si je me souviens bien.
On le trouve sur <URL: http://www.gnupg.org/gph/fr/manual.html > en
français (la version anglaise est peut-être plus à jour).

Avatar
Vincent Bernat
OoO Pendant le temps de midi du lundi 08 décembre 2003, vers 12:18, GP
disait:

C'est justement ça le problème. Quoi que ce soit que tu cherches, tu
as toujours plus de 100,000 résultats chez Google. Là, tu commences ta
recherche.


Pourquoi tout chercher avec Google. Tu vas sur le site de GnuPG
<URL:http://www.gnupg.org/> puis tu regardes dans la section
Documentation et, ô miracle, il y a ce que tu cherches.

Sur les news, c'est souvent la désinformation à l'état pur, ce sont
les treads où on dit aux newbies de RTFM et où on continue à s'envoyer
des petites blagues d'une ligne.


On leur dit RTFM et pas Google, ça veut dire d'aller regarder la doc.
--
Let the machine do the dirty work.
- The Elements of Programming Style (Kernighan & Plaugher)

Avatar
Emmanuel Florac
Dans article <3fd4c5bf$,
disait...

From the beginning, Slackware has offered a stable and secure Linux
distribution for UNIX veterans as well as an easy-to-use system for
beginners.

"easy-to-use system for beginners"...



Je pense que les beginners kinenveulent, ils peuvent s'en sortir. Après
tout, j'ai été un biguineur sur slackware il y a 8 ans.

--
Quis, quid, ubi, quibus auxiliis, cur, quomodo, quando?

Avatar
GP
Emmanuel Florac wrote:
Dans article <3fd4c5bf$,
disait...

From the beginning, Slackware has offered a stable and secure Linux
distribution for UNIX veterans as well as an easy-to-use system for
beginners.

"easy-to-use system for beginners"...




Je pense que les beginners kinenveulent, ils peuvent s'en sortir.


Kinenveulent beaucoup, oui. Mais, bizarrement, les jeunes ne sont pas
tellement curieux, on dirait. Si, il y a... euh, presque 15 ans,
j'avais eu le Linux d'aujourd'hui sous la main, je me serais amusé à
autre chose qu'à faire des batch files débiles. Seigneur, que de temps
perdu à bidouiller Microsoft!

Mais que de temps perdu aussi avec Slackware. Avec des souris qui ne
fonctionnent pas parce qu'il manque un "ZAxisMapping" "4 5" dans
XF86Config, pour une config lilo mal foutue ou parce que le lien
/dev/scd0 => /dev/cdrom m'était pas fait pour un cd-wr, etc. Tu
changes de distro, c'est autre chose.

J'ai écrit à PV pour lui noter ce problème de lien dont la solution, à
l'époque, se trouvait seulement au milieu d'un CD-WRITING HOWTO de 75k
-- alors que je ne pouvais même pas LIRE le cd -- et il m'a envoyé
chier. Dans la version 9, ce n'était toujours pas réglé.

Je n'ai jamais compris. Il pense peut-être que les gens vont acheter
la distro pour se faire résoudre des problèmes de ce genre, moi, il
m'a convaincu de ne jamais lui envoyer un sou et j'ai beaucoup de
réticences à baser un didacticiel sur Slackware à cause de son attitude.

On dit qu'on apprend à perdre son temps à régler des problèmes
insignifiants, sans avoir les bases les plus élémentaires pour ce
faire, et c'est vrai. Sauf que ça prend cent heures pour apprendre ce
qu'on apprendrait en une heure avec une bonne méthode et que la
plupart des gens se découragent. Pendant qu'on perd son temps, le
monde continue à tourner et les magouilleurs à magouiller.

Ce qui fait que, avec des petits problèmes décourageants comme ceux
que je viens de noter, la base des usagers Linux ne représente
toujours qu'un pourcentage insignifiant, probablement même pas 1%
(Voir le Zeitgeist de Google.)

C'est décourageant quand tu penses à l'effort qui a été mis dans
Linux. Si, à force de magouilles microsoftiennes, dans le genre
Palladiun, dans le genre, on possède maintenant les réseaux, les
banques de données, les systèmes de réservation et d'achat en ligne,
etc., si Linux venait qu'à disparaître -- évidemment, Linux ne
disparaîtra jamais, diront les deux ou trois qui continueront à écrire
tous les nouveaux drivers et kernels jusqu'à la fin des temps -- ce
serait la plus formidable perte d'énergie de l'histoire de l'humanité.

On est face à un rouleau compresseur et on se contente toujours de
tracer des Lignes Maginot: on a dit l'an passé que 2002 serait l'année
de Linux sur le desktop, on remet ça cette année, le dira-t-on encore
l'an prochain et dans dix ans? S'il n'y pas un manque flagrant
d'organisation pour arriver au but visé, qu'on me dise ce qui se passe!

Très personnellement, ça me fait un peu frémir de réfléchir à ça.
Dernièrement, je disais à un développeur comment en '68, nous étions
aussi sûrs de changer le monde que si ç'avait été inscrit dans nos
gênes. Eh bien, ça n'est pas arrivé et, même si les développeurs ont
plus de moyens entre leurs mains, sans conscience politique, sans
regroupement des forces contre la subversion -- SCO n'en est que
l'exemple le plus évident -- la partie est perdue d'avance.

Je ne sais pas comment les choses se passent en France, mais ici, au
fur et à mesure que Linux progresse, le mouvement perd des forces. Il
ne reste plus rien de Linux-Québec. Communications Accessibles
Montréal, un organisme sans but lucratif qui aurait pu constituer un
formidable banc d'essai, n'est plus que l'ombre de lui-même. Et, À
CHAQUE FOIS, il a suffi d'un ou deux meneurs de claque -- ou de
joueurs de fifre -- pour dire à tout le monde "Dormez bien, on s'en
occupe."

Or, qu'est-ce que les gens désirent de plus que de ne s'occuper de
rien d'autre que leur petit bidouillage maison? Il y a bien quelques
yes-men qui se pointent pour ajouter la participation à un CA à leur
CV mais, quand tu te pointes à des réunions comme celles-là, c'est
pour te faire demander de voter sur l'envoi de ballons-sondes sur
Vénus ou Mars. Revenir sur terre n'est jamais à l'ordre du jour.

Quand, après que même le ministère des Finances ait refusé de vérifier
les états financiers "parce que, de toute façon les OSBL ne paient pas
d'impôt" (voit-on un peu la manne?) l'organisnisme s'écroule, on
prétend que cela allait de soi, que ce n'était pas du sérieux commr
les compagnies commerciales.

Il y a une volonté de participation qui était là en 68 et qui a
disparu. Les jeunes ne veulent plus démordre de Windows parce que
leurs jeux de vieillards -- je veux dire par là, des jeux de gens dont
la vie est finie, qui n'ont plus comme seul intérêt que de "passer le
temps" sans rien apprendre -- roulent sous Windows. Ce que ça veut
dire pour leur futur, ils s'en foutent.

C'est vrai que j'ai toujours été d'un naturel sceptique, mais c'est
aussi vrai que mes augures de malheur se sont presque toujours avérés.
Je me dis parfois qu'il doit y avoir un autre monde où j'aurais
toujours tort, où les choses iraient toujours en s'améliorant. Ce que
j'aimerais vivre dans ce monde au-delà du miroir! Pour le moment...

Vu les enjeux économiques, il y a probablement plus de chances que
Linux s'implante en Europe qu'en Amérique. J'espère que vous mettrez
une énergie du diable à les préserver.

Amen

GP
--
La Masse critique
http://www.enter-net.com/~gpelleti



-----= Posted via Newsfeeds.Com, Uncensored Usenet News =-----
http://www.newsfeeds.com - The #1 Newsgroup Service in the World!
-----== Over 100,000 Newsgroups - 19 Different Servers! =-----


Avatar
GP
Nicolas George:

Non, mais c'est parce que c'est une machine personnelle que :

- prendre le disque dur voudrait dire une effraction chez toi, et quand
ils en sont à ce point, ils peuvent aussi bien te faire violence pour
te forcer à leur donner le mot de passe.


Il y a d'autres façons d'aller des infos sur un disque dur quan dun
ordu est connecté l'internet :)

Le Privacy Handbook qui va avec GPG est pas mal, si je me souviens bien.
On le trouve sur <URL: http://www.gnupg.org/gph/fr/manual.html > en
français (la version anglaise est peut-être plus à jour).


Au premier coup d'oeil, ça m'a l'air très bien fait. Je vais y jeter
un coup d'oeil.

Merci.

GP



-----= Posted via Newsfeeds.Com, Uncensored Usenet News =-----
http://www.newsfeeds.com - The #1 Newsgroup Service in the World!
-----== Over 100,000 Newsgroups - 19 Different Servers! =-----

Avatar
Emmanuel Florac
Dans article ,
disait...

C'est vrai que j'ai toujours été d'un naturel sceptique, mais c'est
aussi vrai que mes augures de malheur se sont presque toujours avérés.
Je me dis parfois qu'il doit y avoir un autre monde où j'aurais
toujours tort, où les choses iraient toujours en s'améliorant. Ce que
j'aimerais vivre dans ce monde au-delà du miroir! Pour le moment...


T'inquiète pas, de toute façon la fin du monde viendra bien :)

Vu les enjeux économiques, il y a probablement plus de chances que
Linux s'implante en Europe qu'en Amérique. J'espère que vous mettrez
une énergie du diable à les préserver.



Ici ça se passe pas mal... En tout cas du Linux, j'en vends.

--
Quis, quid, ubi, quibus auxiliis, cur, quomodo, quando?

Avatar
Emmanuel Florac
Le Mon, 08 Dec 2003 13:40:42 -0500, GP écrivait:


Si swaret se débrouille si bien avec un upgrade, c'est surprenant.
Parce que, à lire UPGRADE.txt, et particulièrement cette section:

6. Fix your config files. Some of the config files in /etc are going
to need your attention. You'll find the new incoming config files on
your system with the ".new" extension. You may need to fill these in
with information from your old config files and then move them over.

ça n'a pas l'air d'être de la tarte.


Nooon. C'est au cas où qu'il dit ça. Tiens, je viens de passer la
machine depuis laquelle je poste de slack 9.0 en slack 9.1 (sauf KDE que
je n'utilise pas). Jetons un oeil :

emmanuel[/etc]$ ls *.new
gshadow.new ifhp.conf.new inittab.new lpd.conf.new networks.new passwd.new shadow.new
hosts.allow.new inetd.conf.new logrotate.conf.new lpd.perms.new ntp.conf.new profile.new swaret.conf.new

Dans la pratique, 99% de ces fichiers peuvent être poubellisés sans
problème...

--
In girum imus nocte et consumimur igni.