Jusqu'à présent j'avais des notes et todo-lists dans tous les sens : fichiers txt éparpillés, mails en draft, Tasks de Gmail, bouts de papier, Basecamp...

Et puis j'ai découvert Zim par le Linux Pratique n°15, un petit logiciel qui vous permet de gérer toutes vos notes en WYSIWYG. Il est open source et compatible avec Linux, Mac OS X, et Windows.

L'avantage par rapport à un bête notepad ou à un traitement de texte évolué, c'est qu'il est très léger, qu'on peut créer différentes pages liées et avec une arborescence, et qu'on peut y ajouter des éléments du type todo-list, images, équations LaTeX...etc. Sa particularité est aussi d'enregistrer les notes au format Wiki dans des fichiers txt. Les notes sont donc très facilement exportables et modifiables sans Zim au besoin.

Les principales fonctionnalités sont :

• Arborescence des pages + historique en onglets
• Mise en page basique : gras, italique, surligné, barré, titres, liens
• Todo-list : tapez simplement "[]" pour faire apparaitre une case à cocher
• Correcteur orthographique : avec le paquet aspell
• Diagramme avec le paquet dot
• LaTeX : avec le paquet latex
• Insertion d'images (très peu pratique cependant)
• Tri d'une liste en un clic
• Export HTML

Un truc très pratique aussi, c'est la possibilité de mettre Zim dans le system tray, pour avoir toujours le logiciel ouvert avec l'icône sous la main sans encombrer la barre des tâches.

À télécharger ici : http://zim-wiki.org/downloads.html

Un gros colis est arrivé chez moi : les 10 000 flyers EklaBlog !

Ayant très souvent besoin de consulter les informations Whois d'un site pour par exemple contacter le webmaster, vérifier l'hébergeur, consulter la disponibilité...etc, j'ai eu l'idée de faire deux bookmarklets pour faciliter l'usage du Whois.
J'ai choisi ici d'utiliser whois.domaintools.com, mais vous pouvez bien sûr modifier le code pour en utiliser un autre.

Pour ajouter les bookmarklets à votre navigateur, glissez-déposez les liens dans vos favoris (par exemple dans la barre personnelle de Firefox) :

Le premier sert à afficher le whois de la page courante :Whois ?

Le deuxième demande un nom de domaine par une fenêtre prompt, et en donne le whois :Whois...?

Dîtes-moi si ça vous sert

J'ai bricolé un bash pour faire des sauvegardes incrémentales quotidiennes de l'ensemble des blogs d'EklaBlog, et j'ai décidé de vous en faire cadeau Il n'y a rien d'exceptionnel, mais l'astuce n'est pas toujours facile à trouver sur le net, et cela évite d'installer des logiciels comme backup-manager.

J'avais déjà écrit un article au sujet des backups, qui est un peu plus complet sur la description de rsync et de cron, mais il ne traitait pas des sauvegardes incrémentales.

L'avantage de ce script par rapport à certains autres que l'ont peut trouver sur l'intraweb, c'est que ce script crée un dossier par jour, et que chaque dossier de sauvegarde est totalement utilisable seul. Je dis ça car généralement, on utilise la fonction --backup de rsync qui se contente de garder les fichiers modifiés dans un autre dossier, ce qui ne permet pas de récupérer facilement la sauvegarde totale d'un jour. Au contraire, ce script crée une copie totale de chaque jour, tout en minimisant l'espace disque utilisé (Un même fichier présent dans plusieurs sauvegardes ne sera écrit qu'une seule fois sur le disque).

Ce script peut fonctionner aussi bien pour la sauvegarde des sites que pour la sauvegarde de fichiers personnels situés sur un ordinateur. Le principal, c'est que le serveur (ordinateur qui contient les données à sauvegarder) ait un serveur ssh, et que le client (ordinateur sur lequel vont être stockées les données) ait la commande rsync. Ca fonctionne sous Linux, et normalement ça devrait être pareil sur Mac.

Pour installer ssh sur le serveur (s'il n'est pas installé) :

Pour installer rsync sur le client :

Passons maintenant au script en lui même :

Et voilà, avec un fichier log en prime !
Pour ceux qui ne comprennent pas trop le fonctionnement du script, c'est en fait assez simple :
"cp -al ..." permet de faire une copie conforme d'un dossier mais en hardlinks, c'est-à-dire en dupliquant juste les noms des fichiers sur le disque dur. Un même fichier devient alors accessible depuis deux endroits différents (ou plus si on a plus d'une sauvegarde du fichier). Ensuite le rsync synchronise la source en ajoutant les nouveaux fichiers dans le dossier du jour, et en supprimant et modifiant les fichiers supprimés ou modifiés depuis la dernière sauvegarde. L'astuce, c'est que lorsque rsync modifie un fichier, il est d'abord supprimé puis réécrit, ce qui a pour effet de ne pas modifier les fichiers du même nom dans les sauvegardes antérieures.

Le flag --size-only permet de ne synchroniser que les fichiers dont la taille a changé. Vous pouvez utilisez le flag -c (ou --checksum) pour vérifier plutôt la signature de chaque fichier, ce qui est plus sûr mais beaucoup plus long si votre dossier à sauvegarder est très volumineux.

Il ne reste plus qu'à automatiser l'exécution du script sur votre pc (ça se passe côté client). Nous allons ajouter une ligne d'instruction dans les tâches cron. Pour faire simple, tapez la commande :

Puis rajoutez la ligne :

Pour plus de détails sur le cron, et surtout sur la manière de configurer ssh pour que le script puisse s'exécuter sans votre intervention qui est normlament nécessaire pour entrer le mot de passe ssh, vous pouvez consulter mon précédent article au sujet des backups.

J'espère que ce petit script pourra vous être utile. J'attends vos retours et remarques

© Photo de divarvel

C'est un aspect très souvent négligé de la sécurité des sites web, et qui est pourtant critique.

Par exemple, si Facebook n'avait pas prévu ce genre de sécurité, nous pourrions partir du postulat qu'il y a une chance non négligeable qu'un visiteur soit connecté à Facebook (par session ou cookies). Prenons alors une page web visitée par quelques dizaines ou centaines de visiteurs par jour, un blog par exemple. Sur cette page, nous allons mettre un formulaire identique à celui permettant de modifier le profil sur Facebook. Une ligne de javascript suffira à envoyer le formulaire ( $("id_form").submit() ), avec tout plein de grossièretés qui viendront égayer le profil de l'utilisateur

C'est de cette manière qu'Olivier Duffez s'est fait pirater son compte Gmail puis le nom de domaine Webrankinfo.com ! En effet, le pirate s'est débrouillé pour que M. Duffez se retrouve sur une page envoyant un formulaire vers la page de création de filtre de Gmail. Et comme une session Gmail était ouverte sur l'ordinateur de M. Duffez, le formulaire en question a pu créer un filtre qui transférait tous les e-mails reçus au spammeur. Le spammeur a ensuite utilisé le formulaire "Mot de passe oublié" du registrar chez lequel est enregistré webrankinfo.com, et a donc reçu l'e-mail permettant de modifier le mot de passe.

Alors ? N'est-ce pas critique comme faille ?
Ce type d'attaque est appelé Cross-Site Request Forgery, et n'est pas très connu en raison d'un manque de communication à ce propos.
Voyons comment l'étudier concrètement, et comment éviter ce genre de déboires.

Pour vous montrer un exemple concret, créons une page affichant les données reçues par POST :
http://data0.eklablog.com/skreo/perso/test_referer.php

Code de la page :

Ensuite, sur un nom de domaine différent (ici skreo.net), créons un petit formulaire qui envoie des données à cette page :

Ce qui donne ceci :

Vous pouvez tester ce formulaire, vous voyez bien qu'on peut envoyer n'importe quelles données par POST vers un autre domaine. Un petit bout de code Javascript à la suite du formulaire permet d'envoyer le formulaire immédiatement sans même demander l'avis du visiteur :

Voyons maintenant comment empêcher dans la majorité des cas ce genre de hacks, avec l'aide du Referer. Je dis bien "dans la majorité des cas", car parfois le visiteur règle son navigateur internet pour que le referer soit vide.

Nous allons donc comparer le Referer avec le nom de domaine de la page courante, et vider la variable $_POST s'il est différent. Reprenons notre fichier test_referer.php et nommons le test_referer2.php :

Reprenons notre formulaire pour tester, mais cette fois vers test_referer2.php :

Et le tour est joué !
La page accepte toujours les envois de données par POST provenant du même nom de domaine, mais n'accepte pas les autres !

Si vous avez un site web, je vous conseille très fortement de mettre en place cette sécurité, si ce n'est pas déjà le cas

J'ai été assez étonné tout à l'heure de recevoir un e-mail d'un certain "fabien" me proposant de visualiser quelques photos :

coucou
en me baladant sur internet , j'ai recupéré quelques photos vraiment jolies.
t'en pense quoi ?
tu préfère laquelle ?

bonne semaine

Au début je me posais des questions car je connais un Fabien mais je ne vois vraiment pas pourquoi il m'aurait envoyé des photos, surtout dans un e-mail aussi mal écrit. Mais il y avait effectivement seize photos attachées, non vérolées, tout à fait du genre de celles que votre collègue de bureau pourrait vous envoyer.

En fait ce qu'il faut remarquer, c'est que l'expéditeur invite à répondre à l'e-mail, et non de cliquer sur un lien ou télécharger un fichier. Quoi de plus naturel ? Je suis sûr que beaucoup de gens auraient répondu à cet e-mail.

Je pense qu'un spammeur possédant un grand nombre d'adresses e-mail souhaite simplement vérifier la validité des adresses de sa base de données. Mais pourquoi ? D'habitude, ils envoient leurs merdes à l'aveuglette, en espérant toucher le plus grand nombre, et ça ne leur coûte pas plus cher si un certain nombre n'arrive jamais à destination. Ou peut-être est-ce pour engorger les serveurs de Gmail ? (Mes adresses sont centralisées, et je n'ai aucun moyen de savoir à quelle adresse on m'a envoyé cet e-mail, ça m'affiche "Undisclosed-Recipients").

Qu'en pensez-vous ?

Depuis quelques jours à la gare Montparnasse, les vieux panneaux mécaniques et les vieux écrans indiquant les horaires des transiliens et RER ont presque tous été remplacés par de grands écrans comme celui-ci. C'est pas mal, mais une question me taraude... Pourquoi... mais pourquoi mettre Windows là-dessus ??

Evidemment ça n'a pas loupé, ça bugue !

J'avais déjà vu une station de Vélib et un distibuteur de tickets de métro plantés comme ça avec une belle erreur Windows. Le pire c'est que les solutions Windows qu'ils utilisent doivent leur coûter bonbon, alors qu'un système basé sur Linux ou Unix serait bien moins cher et probablement plus stable et plus rapide.

On a beaucoup entendu parler de la réalité augmentée dans la nouvelle attraction "Les Animaux du futur" au Futuroscope. Je l'ai testée il y a une semaine et demi, et je peux vous dire qu'elle n'arrive pas à la cheville des anciennes attractions, et en particulier du "Défi d'Atlantis" et  de "La Vienne dynamique".

Tout d'abord, une bonne heure de queue est nécessaire pour avoir le droit de s'installer dans un siège qui vous emmènera devant différents décors. Vous êtes muni de grosses jumelles numériques que ajoutent virtuellement des animaux "du futur" dans votre champ de vision, et d'une petite barre rouge dans le creux de votre main droite. La barre rouge est reconnue par la caméra des jumelles, et permet de voir un objet ou un animal virtuel sur votre main. Sauf que d'une part, les graphismes sont moches, dignes des jeux vidéos d'il y a 8 ou 9 ans, et d'autres part les possibilités de la technologie ne sont pas du tout assez exploitées. En effet, vous voyez simplement quelques animaux bouger vaguement, et vous pouvez lancer une arraignée ou un oeuf virtuel dans le décor... De plus, les jumelles sont pénibles à tenir avec la main gauche, l'autre étant occupée.

La deuxième partie de l'attraction ressemble plus à une exposition, vous y voyez quelques maquettes d'animaux, et des écrans présentant des mini-documentaires sur les animaux préhistorique, d'aujourd'hui, et du futur. Le tout s'achèvent par un pub pour un kit de réalité virtuelle à utiliser chez vous, strictement inutile...

Bref, le tout est très décevant, heureusement qu'il restait les bonnes vieilles attractions, impressionantes et divertissantes. Voilà j'ai fini mon râlage de la semaine :D

J'ai finalement récupéré mon compte Gmail (et du coup Analytics, Calendar...etc) que je m'étais fait voler il y a près d'un mois ! Pour résumer, après trois échanges de mails bien complets avec l'assistance de Google, ils ne voulaient rien savoir et m'envoyaient constamment des mails tout droit copiés/collés de leur liste de mails types.

En fait la technique, c'était de ne pas envoyer de gentils mails comme je l'ai fait au début, mais plutôt d'essayer de leur faire peur, sans bien sûr devenir agressif ou ridicule. Et 20 jours plus tard (aujourd'hui), j'ai reçu un mail personnel, pas directement copié/collé, me fournissant un lien pour changer mon mot de passe. Si ça peut aider quelqu'un, voici ce que je leur avais écrit :

Bonjour,

Le voleur de mon compte a bien sûr changé la question secrète et l'adresse
e-mail associée, je ne vous contacte pas pour rien !
Je trouve inadmissible que l'usurpation de mon identité par le biais d'un de vos services ne vous dérange pas plus que cela, sous prétexte que vous ne soyez pas responsable de ce vol. (Remarquez que je n'en suis pas non plus responsable, n'ayant jamais communiqué mon mot de passe à qui que ce soit, et ne l'ayant jamais utilisé ailleurs). Je suis un client fidèle qui participe également activement au programme Adsense (avec le compte ***@***.com), et j'estime avoir le droit qu'on se préoccupe un peu de mon problème.

Je peux fournir un grand nombre d'informations prouvant que ce compte (***@gmail.com) m'appartient. Maintenant, si vous n'accédez pas à ma requête, sachez que je ne me priverai pas de parler de cette affaire sur mon blog, sur Twitter, et auprès de tous mes amis blogueurs....

Cordialement,
Godefroy de Compreignac

 
EDIT: Je remercie tout de même beaucoup Google pour m'avoir aidé dans cette affaire, car après tout ils n'y étaient pas obligés. Donc un bon point pour Google !

Un fois n'est pas coutume, j'ai utilisé Windows Vista (je m'auto-fouette) chez ma copine pour checker mes Gmail, Twitter, Netvibes, Facebook, etc... Et j'ai reçu ce message en anglais sur Facebook, avec un lien vers un virus.

Ca vous est déjà arrivé ? Vous pensez que c'est un virus sur le PC de mon ami qui a utilisé son compte pour envoyer le message, ou que c'est une application Facebook qui a fait ça ?