Le 1^er mai 2019, c'est sur ce site classé au patrimoine de l'Unesco que j'ai choisi de vivre une nouvelle expérience : mon premier vol en parapente ! De part sa forme, le puy de Dôme a l'avantage de permettre de décoller dans toutes les directions. Moins de deux ans après mon voyage en montgolfière, me voici donc à nouveau en vol dans le ciel d'Auvergne !

A cette occasion, j'ai embarqué avec moi une petite caméra ainsi que mon drone pour prendre quelques images de ce vol et réaliser la vidéo ci-dessous, qui vous fera découvrir ce volcan vu du ciel et à 360°C !

Je remercie l'équipe d'Action Parapente, et plus particulièrement Antoine, mon pilote pour ce vol biplace, de m'avoir fait vivre cette première expérience en parapente, un moment grandiose !

Arrivé en début d'après-midi, j'ai consacré ma première journée à la visite de la ville, principalement à pied : la Cannebière, le Vieux-Port, le quartier du Panier, la cathédrale de la Major, le Mucem, le fort Saint-Jean, pour terminer par la fameuse Bonne Mère. J'ai complété cette visite les jours suivants avec entre autres les plages du Prado, le vallon des Auffres, le parc Borely...

Mais revenons aux calanques de Marseille. Pour les visiter, il y a deux options : la randonnée ou la croisière en bateau. En ce qui me concerne, j'ai choisi de ne pas choisir et de faire les deux ! Il se trouve que les deux solutions se complètent bien en donnant chacune un point de vue différent, depuis la terre ou depuis la mer.

La solution maritime a l'avantage de permettre de découvrir l'ensemble des calanques entre Marseille et Cassis, ce qui serait un peu long et difficile à faire à pied sur une journée. Pour vous donner un bon aperçu, je vous propose de regarder la vidéo suivante que j'ai réalisée lors de cette croisière.

L'option piétonne est bien sûr plus sportive avec plusieurs heures de marche et quelques passages un peu escarpés, mais elle permet de contempler calmement des vues splendides sur les eaux turquoise des calanques et les falaises abruptes qui les surplombent.

Plusieurs itinéraires sont possibles. Pour ma part, je suis parti depuis Callelongue, accessible en bus (lignes 19 puis 20), pour suivre la côte jusqu'au col de Cortiou et arriver aux Baumettes, d'où l'on peut rejoindre le centre de la ville également en bus (ligne 22). Ce parcours fait environ 9 km, et, en utilisant les transports en commun, on ferme ainsi une grande boucle permettant de découvrir un maximum de calanques. Il est même possible de prolonger jusqu'à Lumigny, d'où l'on peut aussi rentrer en bus.

Parcours de la randonnée entre Callelongue et les Baumettes (en bleu)

En bref, ce fût un séjour très agréable autour de paysages remarquables, qui donnent envie d'y rester plus longtemps encore. Il n'est d'ailleurs pas impossible que j'y retourne un jour pour, par exemple, compléter ma visite en randonnée sur la moitié est du parc national des calanques, entre Sormiou et Cassis en passant par le mont Puget.

A travers cette vidéo que j'ai réalisée et le récit de mon aventure, je vous propose de partager quelques instants de ce voyage, (presque) comme si vous y étiez !

Tout commence donc le matin du 17 août 2017, lorsqu’un appel téléphonique m’apporte une excellente nouvelle : après quelques reports en raison de conditions météorologiques défavorables, le vol du jour est confirmé ! Rendez-vous est donné le soir même à 18h au pied du Puy de Dôme, sur la commune d'Orcines.

Arrivé là-bas, je suis très vite rejoint par l’équipe de Quatre Vents, ainsi que les trois autres passagers avec qui je partagerai mon vol. Ensemble, nous nous dirigeons vers notre zone d’envol. Le vent semble incertain et les prévisions météo sont contradictoires selon les sources, pas simple ce soir pour notre aéronaute d’établir un plan de vol. Nous lâchons donc un ballon de baudruche gonflé à l’hélium pour observer la direction et la force des vents. Grâce à cette observation et son expérience, notre pilote détermine rapidement le lieu de décollage le plus favorable et nous y amènes. Ce sera un champ tout près du village du Petit Chambois, sur la commune de Mazaye.

Sur place, nous participons tous à la préparation de la montgolfière. Nous aidons à décharger la nacelle, puis à déplier l’enveloppe et la maintenir ouverte pour permettre le gonflement du ballon à l’aide d’un grand ventilateur. Nous embarquerons avec nous près de 100 kg de propane, qui alimenterons le brûleur servant à réchauffer l’air du ballon en vol. De quoi voler près de deux heures, le double de ce qui est normalement prévu, mais mieux vaut prévoir une marge de sécurité... Après tout, on ne sait pas précisément ni où ni quand on pourra atterrir, et c'est d'ailleurs ce qui rend un vol en montgolfière si unique !

Dépliage et gonflage du ballon

A 19h10, nous quittons le sol, et nous nous abandonnons aux vents qui nous donnent très vite un cap Nord-Est. Au total, passagers compris, c'est une masse de près d'une tonne qui se soulève par la seule force de la poussée d’Archimède !

Là-haut, nous voilà confortablement installé sur un balcon avec vue splendide sur les 80 volcans de la Chaîne des Puys, les Combrailles, et, plus loin, le massif du Sancy, la plaine de la Limagne et les villes de Riom et Clermont-Ferrand. Au loin, nous pouvons même apercevoir Vichy et Thiers !

Comme on peut le voir sur la carte, nous survolerons ainsi les communes de Mazayes, Saint-Ours, et Charbonnières-les-Varennes, à une altitude comprise entre 1000 et 1600 mètres, soit une hauteur maximale de 800 mètres par rapport au sol. La sensation à bord est unique : une vue dégagée à 360°, aucun vent ressenti (vitesse relative nulle), et surtout pas un bruit, hormis celui du bruleur et d'un ULM que l'on a croisé en vol.

En rouge, la trace GPS du vol, du décollage à Mazaye à l’atterrissage à Paugnat

Après environ 13 kilomètres parcourus (à vol d’oiseau !), il est déjà l'heure de se poser dans un autre champ près de Paugnat. La topographie de la zone force notre pilote à effectuer un atterrissage un peu rude, pour éviter les clôtures et une ligne haute tension qui bordent les environs. Le panier se couche délicatement au sol, et l'on se retrouve donc un peu les uns sur les autres...

Une fois à terre et relevé, nous participons tous au repliage du ballon et au rangement du matériel, ce qui, l'air de rien, est assez sportif ! Le véhicule qui nous a suivi au sol nous attends déjà pour nous raccompagner vers notre point de rendez-vous. C'est déjà la fin de cette aventure, courte mais inoubliable !

Je tiens à remercier l’équipe de Quatre Vents et plus particulièrement Dominique Gouttequillet, notre pilote, pour son accueil, sa gentillesse, son professionnalisme, et sa capacité à partager avec nous sa passion et ses connaissances de la région durant le vol.

Une expérience à faire au moins une fois dans sa vie… voire à refaire !

Pour éviter cela, il est nécessaire de calibrer son écran, c'est à dire de régler précisément la luminosité, le contraste et la température d'affichage et de mesurer les écarts entre les couleurs théoriques et réelles. Ces écarts vont être mémorisés dans un fichier que l'on appelle un profil ICC, et qui sera utilisé pour tenter de compenser ces défauts et ainsi s'approcher au maximum des couleurs exactes.

Avant d'aller plus loin, je précise toutefois que cet article n'est qu'une introduction à la gestion des couleurs. C'est un sujet vaste et assez technique, donc je ne vais pas trop m'étendre sur les concepts et la théorie qui entourent ce domaine mais plutôt vous donner une marche à suivre assez générique pour calibrer votre écran sans trop se creuser la tête. En réalité ce n'est pas forcément utile de connaître toute la théorie sur ce sujet, mais si vous souhaitez en savoir plus, n'hésitez pas à approfondir vos recherches .

Le matériel nécessaire

Sur Internet, il y a des sites qui vous propose de calibrer votre écran à l’œil nu ou de télécharger un profil ICC tout prêt pour le modèle de votre écran. Mais ces méthodes ne valent pas grand-chose, car votre œil, aussi affûté soit-il, n'est pas une référence absolue et chaque écran possède des caractéristiques différentes, y compris à modèle identique.

En réalité, la seule méthode crédible et donnant un résultat juste passe par l'achat et l'utilisation d'une sonde colorimétrique.

De nombreux modèles sont disponibles sur le marché. Pour ma part, j’ai choisi la sonde X-Rite Colormunki Display. Il s'agit du modèle en dessous de la i1 Display Pro de la même marque, généralement vendu autour de 60 à 100 euros plus cher. Toutefois les deux modèles utilisent le même colorimètre avec filtres en verre organique, réputés particulièrement stables et durables, et permettent de calibrer tous les écrans, y compris à large gamut, et même les projecteurs. La Colormunki Display est juste un peu plus lente, et le logiciel fourni avec ce modèle propose un peu moins de fonctionnalités que sa grande sœur.

La sonde X-Rite Colormunki Display

Mais en réalité cela n'a aucune importance car, même si vous pouvez très bien vous satisfaire du logiciel fourni avec la sonde, je recommande plutôt d'utiliser un logiciel indépendant et open-source comme DisplayCAL, qui ne sera pas bridé artificiellement et vous permettra si vous le souhaitez d'avoir plus de précisions et de contrôles. C'est donc ce logiciel que je vais utiliser par la suite de cet article.

Préparation et installation

Avant de commencer la calibration, assurez-vous que votre écran est allumé depuis au moins 30 min. En effet, les couleurs affichées peuvent varier légèrement lorsque l'écran monte en température, donc mieux vaut attendre que cela se stabilise.

Pendant ce temps, vous pouvez en profiter pour aller sur le site de DisplayCAL et le télécharger. Sur Windows, je vous conseille de sélectionner la version autonome, sous le format archive ZIP.

Décompressez l'archive à l'emplacement de votre choix, ou installez le package RPM/DEB si vous êtes sous Linux.

Si vous avez choisi la même sonde colorimétrique que moi, une Colormunki Display, ou encore une i1 Display Pro, Huey, ColorHug, specbos, spectraval ou K-10, vous pouvez ensuite simplement la brancher à votre ordinateur, sans même installer un pilote spécifique. Dans le cas contraire, il vous faudra installer les pilotes Argyll CMS en suivant les instructions de la première section du guide d'installation de DisplayCAL.

Dans le dossier dans lequel vous avez décompressé l'archive, double-cliquez sur l'exécutable DisplayCAL.exe pour démarrer le logiciel. Au premier lancement de DisplayCAL, vous aurez un message vous indiquant qu'Argyll CMS n'est pas installé ou qu'il n'a pas été trouvé. Il vous sera demandé soit de le localiser, soit de le télécharger. Comme il n'a pas encore été installé, cliquez sur Téléchargement sur cette fenêtre et celle qui apparaitra ensuite.

Une fois qu'Argyll CMS est installé et que DisplayCAL l'a localisé, il ne vous reste plus qu'à poser votre sonde au centre de votre écran en plaçant le contrepoids au dos et en inclinant si possible l'écran vers l'arrière afin d'être sûr que la sonde reste bien en contact. Vérifiez au passage que votre écran est bien dans sa configuration d'usine.

Paramétrage de DisplayCAL

DisplayCAL propose un grand nombre de paramètres pour ajuster finement la calibration selon vos besoins. De prime abord, cela peut paraître peu compréhensible mais en réalité il n'est pas nécessaire de comprendre et régler tous les paramètres pour obtenir une calibration de bonne qualité. Cela dit, si vous souhaitez avoir plus de détails sur la signification de tous ces réglages, n'hésitez pas à parcourir la documentation de DisplayCAL.

L'interface du logiciel ce compose de 5 sections : Écrans et sondes de mesure, Étalonnage, Caractérisation, LUT 3D et Vérification. Pour le moment, nous allons nous intéresser uniquement aux 3 premières.

Pour commencer, sur la section Écrans et sondes de mesure, voici les réglages que je vous recommande :

• Choisissez l'écran que vous souhaitez calibrer dans la liste déroulante Périphérique d'affichage.
• Assurez-vous que votre sonde colorimétrique est bien sélectionnée dans la liste déroulante Sonde de mesure.
• Sélectionnez LCD dans la liste des Modes.
• Laissez les cases Compensation de la dérive du niveau de blanc et Compensation de la dérive du niveau de noir décochées.
• Laissez la liste déroulante Matrice de correction sur Aucune.

Ensuite, passez à la section Étalonnage et réglez comme suit :

• Réglez le point blanc en température sur 6500K (c'est la valeur la plus communément utilisée, mais vous pouvez mettre une autre valeur si vous savez ce que vous faites).
• Réglez le niveau de blanc sur personnalisé à la valeur de 120 cd/m² (c'est la valeur que je conseille, mais là aussi si besoin vous pouvez en choisir autre chose).
• Choisissez Gamma 2.2 comme courbe de tonalité
• Selon le temps dont vous disposez et la précision de l'étalonnage souhaité, choisissez une vitesse d'étalonnage plus ou moins longue. Toutefois la vitesse Moyenne donne déjà un très bon résultat.

Dans la section Caractérisation, la seule option à régler est la qualité du profil. J'ai choisi Haute, mais là aussi les qualités inférieures donneront tout de même des bons résultats pour la plupart des usages. Les autres options peuvent être laissées telles quelles.

Une fois tous ces réglages effectués, cliquez sur le bouton Étalonner et caractériser pour passer à l'étape suivante.

Calibration et profilage

La première chose que vous allez voir apparaître est une fenêtre vous demandant de positionner la sonde de calibration au centre de l'écran. Assurez-vous que cela est fait et que la fenêtre est bien située sous la sonde, comme le montre l'image ci-dessous.

Une fois cela fait, cliquez sur le bouton Commencer la mesure. Une petite série de rectangles de couleur va alors défiler à l'écran, avec une fenêtre Réglage interactif de l'écran.

A ce stade, comme cela est expliqué dans la fenêtre, il vous est demandé de régler la balance des blancs et la luminosité de votre écran. Pour cela, il vous faut utiliser les boutons physiques de votre écran pour parcourir les menus incorporés (OSD). Commencez par régler les couleurs, puis la luminosité de votre écran, puis revenez sur les couleurs pour réajuster si nécessaire. Pendant que vous effectuez ces réglages, DisplayCAL mesure en permanence les changements. Lorsque les quatre barres rouge, verte, bleue et blanche s'alignent au centre avec les flèches, une marque verte vous indique que vous avez trouvé les bons réglages. Si vous ne parvenez pas à obtenir un alignement parfait, ce n'est pas grave, essayez de vous en approcher le plus possible.

Pour l'écran intégré d'un ordinateur portable, vous n'aurez certainement pas la possibilité de régler les couleurs, mais seulement la luminosité via les paramètres de Windows (sous Windows 10, cela se trouve dans Paramètres, Système, Affichage). Si vous n'avez aucun réglage matériel possible sur votre écran, via des menus intégrés (OSD), vous pouvez aussi sautez cette étape.

Dans tous les cas, continuez en cliquant sur Poursuivre par l'étalonnage. A partir de là, DisplayCAL travaille tout seul durant un bon moment, il faut simplement patienter et faire attention à ce que l'écran ne s'éteigne pas ou qu'un écran de veille ne s'active pas durant le processus, ce qui fausserait complétement les mesures.

Lorsque cela est terminé, une fenêtre vous présentera le résultat et vous proposera d'installer le profil ICC généré pour votre écran sur votre système.

Sur cette fenêtre, vous pouvez cocher/décocher la case Aperçu de l'étalonnage pour voir l'avant/après, ou cocher la case Afficher les informations du profil pour faire apparaître une fenêtre qui vous donnera des détails sur le résultat de la calibration et les capacités de l'écran.

Il ne vous reste plus qu'à choisir si vous souhaitez installer le profil uniquement pour vous ou pour tous les utilisateurs de l’ordinateur, puis de cliquer sur Installer le profil pour terminer l'opération.

Voilà, votre écran devrait désormais afficher des couleurs beaucoup plus justes. Sachez toutefois qu'il peut être utile de refaire un calibrage trois ou quatre fois par an environ, voire un peu plus souvent, car les couleurs restituées par votre écran peuvent légèrement évoluer en vieillissant.

Si vous souhaitez aller plus loin sur la calibration d'écran et mieux comprendre certaines notions associées, je vous conseille de parcourir le guide de la gestion des couleurs d'Arnaud Frich.

Une nouveauté qui contribuera à améliorer l'interopérabilité entre Windows et Linux, en permettant de se connecter à un serveur Linux depuis Windows et inversement, et qui pourrait simplifier l'usage de certains outils de gestion de configuration comme Ansible.

Mais pour le moment, cela reste toutefois une implémentation en bêta et Microsoft déconseille de l'utiliser sur un environnement de production critique.

Installation du client et/ou du serveur SSH

Ce support de SSH est fourni en tant que fonctionnalité facultative. Il faut donc passer par une rapide installation pour pouvoir en bénéficier.

Avant toute chose, vérifiez bien que vous possédez la dernière version de Windows 10 en date (1709 minimum), et que toutes les mises à jour disponibles sont installées.

Ensuite, rendez-vous dans les Paramètres Windows via le bouton « roue dentée » du menu Démarrer ou le raccourci clavier Win+I, puis cliquez sur Applications. A l'écran suivant, cliquez ensuite sur Gérer les fonctionnalités facultatives, puis sur le bouton Ajouter une fonctionnalité.

Dans la liste des fonctionnalités optionnelles disponibles, cliquez sur OpenSSH Client puis sur Installer. Si vous souhaitez également pouvoir vous connecter à distance par SSH à votre poste, vous pouvez installer le serveur SSH en sélectionnant OpenSSH Server.

Patientez quelques instants le temps de l'installation puis redémarrez le poste.

Utilisation du client SSH

La commande SSH est disponible immédiatement après redémarrage !

Après redémarrage, vous pouvez ouvrir une invite de commandes et utiliser tout simplement la commande SSH comme vous le feriez sur Linux !

Notez que les commandes suivantes sont également disponibles :

• scp
• sftp
• ssh-add
• ssh-agent
• ssh-keygen

Vous pouvez donc effectuer des transferts de fichiers avec scp ou sftp, ou générer des clés SSH avec ssh-keygen.

Tous ces outils sont installés dans le dossier C:\Windows\System32\OpenSSH, qui a automatiquement été ajouté à la variable d'environnement PATH pour pouvoir les utiliser sans avoir à indiquer le chemin complet. Vous n'avez donc rien de plus à faire pour la partie cliente !

Configuration du serveur

Même si le serveur OpenSSH fonctionne comme un service Windows standard, que vous pourrez retrouver dans la console des Services sous le nom sshd, sa mise en place est en revanche un peu plus délicate…

En effet, même après redémarrage, le service sshd ne sera pas en fonctionnement et si vous tenter de le démarrer juste après l'installation, vous obtiendrez sans doute ce message d'erreur :

Windows n'a pas pu démarrer le service sshd sur Ordinateur local.
Erreur 1067: Le processus s'est arrêté inopinément.

Le serveur SSH requiert quelques actions complémentaires pour pouvoir démarrer...

Pour comprendre ce qu'il se passe, vous pouvez alors consulter le contenu du fichier C:\Windows\System32\OpenSSH\Logs\sshd.log. Vous y trouverez très certainement une ligne indiquant que le serveur n'a pas réussi à trouver le fichier correspondant à la clé de l'hôte.

5272 11:06:28:910 error: Could not load host key: ./ssh_host_rsa_key
5272 11:06:28:910 error: Could not load host key: ./ssh_host_dsa_key
5272 11:06:28:910 error: Could not load host key: ./ssh_host_ed25519_key
5272 11:06:28:910 sshd: no hostkeys available -- exiting.

Avant de pouvoir démarrer le serveur, il faut en effet générer manuellement la clé de l'hôte qui servira à chiffrer la communication entre le serveur et le client. Pour cela, ouvrez une invite de commande en tant qu'Administrateur et tapez les commandes suivantes :

cd C:\Windows\System32\OpenSSH
ssh-keygen.exe -A

Cela va générer une paire de clés nommées ssh_host_ed25519_key (clé privé) et ssh_host_ed25519_key.pub (clé publique) dans le dossier C:\Windows\System32\OpenSSH.

Une fois ces commandes exécutées, vous pouvez fermer l'invite de commande. Toutefois ce n'est toujours pas suffisant pour que le serveur SSH démarre. Si vous essayer tout de même, vous retomberez sur le même message que précédemment.

Il reste en effet une dernière étape à réaliser : modifier les permissions sur les fichiers générés précédemment. En effet, le compte NT Service\sshd utilisé pour le fonctionnement du service SSH n'a pas accès à ces fichiers. Pour corriger cela, ouvrez les propriétés du fichier ssh_host_ed25519_key et, dans l'onglet Sécurité, effectuez les opérations suivantes :

• Changer le propriétaire du fichier pour NT Service\sshd.
• Donnez seulement la permission de lecture au compte NT Service\sshd.
• Retirer toutes les autres permissions y compris pour les éventuels autres utilisateurs.

Une fois cela fait, vous devriez obtenir les permissions suivantes pour le fichier ssh_host_ed25519_key:

Les permissions doivent correspondre exactement à cette image !

Si les permissions ne sont pas définies correctement, le service refusera de démarrer et un message WARNING: UNPROTECTED PRIVATE KEY FILE sera écrit dans le fichier journal.

Une fois que tout est correct, vous pouvez relancer le serveur SSH en démarrant le service sshd. Cette fois, tout devrait bien se passer.

Le serveur SSH est enfin en marche !

Il vous reste encore à définir un mot de passe pour votre compte utilisateur si toutefois vous n'en aviez pas, ainsi qu'à ouvrir le port 22 sur le pare-feu Windows du serveur. Vous pouvez pour cela utiliser la commande suivante :

netsh advfirewall firewall add rule name="Service SSH" dir=in action=allow protocol=TCP localport=22

A partir de là vous pouvez vous connecter en SSH à votre serveur depuis un poste distant. Vous obtiendrez une invite de commande complète depuis laquelle vous pourrez lancer toutes les commandes habituellement disponibles en local, y compris Powershell.

Connexion SSH à un serveur Windows depuis un client Xubuntu.

Vous pourrez également vous connecter à distance au système de fichiers via SFTP en utilisant un client comme WinSCP, ce qui vous permettra de parcourir l'arborescence du serveur et de transférer des fichiers d'une machine à une autre.

Connexion au système de fichiers d'un serveur Windows par SFTP.

A savoir, cette première implémentation souffre encore de quelques limitations. En particulier, elle ne supporte que les clés de type ED25519, ce qui peut causer des soucis de compatibilité avec certains clients et serveurs plus anciens qui ne gèrent pas encore ce type de clés. Aussi, je pense que l'installation de la partie serveur gagnerai à être mieux automatisée pour plus de simplicité. Mais cela reste une bêta et gageons que cela s'améliore rapidement lors de prochaines mises à jour...

Une année qui a filé à toute allure et qui fut marquée pour moi par quelques événements mémorables. Je citerai en exemple le spectacle de la Fête du Lac d'Annecy que j'ai découvert pour la première fois l'été dernier, ou encore mon premier vol en montgolfière sur lequel je reviendrai certainement dans un article plus détaillé très prochainement.

Du côté du site, vous êtes toujours de plus en plus nombreux à me lire et aujourd'hui même le seuil des 200 000 visites pour l'année a été franchi, ce qui représente une progression constante de 30% par rapport à 2016 !

Évolution des visites uniques par mois durant l'année 2017

La page la plus consultée reste l’indétrônable astuce permettant de casser le mot de passe VBA d'un classeur Excel. Toutefois, l'article sur le suivi des avions en vol en direct chute cette année à la 6ème position et cède ainsi sa place aux deux articles sur la désactivation de OneDrive et de l'affichage des éléments récents dans l'Accès Rapide sur Windows 10. Parmi les articles publiés cette année, c'est celui au sujet de la gestion des raccourcis Windows en Powershell qui été le plus visité.

Si l'on s'intéresse maintenant aux systèmes d'exploitation utilisés par les visiteurs, on notera cette année la très forte progression de Windows 10 qui totalise près de 50 % des visites. Windows 7 recule quant à lui de 7 points avec 25 % des visites tandis que Windows XP et 8.x sont définitivement tombés aux oubliettes. La répartition des navigateurs utilisés est en revanche assez stable. Chrome reste en tête et progresse légèrement, Firefox parvient à grappiller 1 point et Internet Explorer recule de 2 points.

Répartition des systèmes et navigateurs utilisés en 2017

En 2018, je pense vous parler un peu plus d'administration système et surtout de sécurité informatique, un domaine auquel je m’intéresse de plus en plus. Je peux également vous dire que l'on se retrouvera très bientôt avec un article qui parlera du nouveau client/serveur SSH intégré à Windows 10. Pour ne rien manquer de tout cela, n'hésitez pas à vous abonnez au flux RSS ou à me suivre sur Twitter !

D'ici là, profitez bien des deux derniers jours de 2017 et passez un excellent réveillon !

C'est une astuce que j'ai découvert récemment, qui nécessite simplement que l'hôte ESX soit allumé et que vous disposiez évidemment d'un accès à cet hôte ou le vCenter via le client lourd ou la version Web de vSphere.

vSphere Web Client

Si vous utilisez le client Web, une fois connecté au vCenter ou directement à l'hôte, rendez-vous dans la vue Hôtes et Clusters, cliquez sur l’hôte en question dans le panneau latéral, puis, dans l’onglet Surveiller, sélectionnez État du matériel.

Dans le volet Capteurs, déroulez les informations du capteur Contrôleur de gestion de la carte de base puis Management Controller IP Interface.

Les adresses IP et MAC de la carte de management s’affichent alors comme on peut le voir sur la capture ci-dessous (encadré en bas à droite) :

vSphere Desktop Client

Si vous utilisez toujours le client vSphere installé sur votre poste, le chemin à suivre est sensiblement le même. Dans la vue Hôtes et Clusters, cliquez sur l’hôte en question, puis, dans l’onglet Etat du matériel, sélectionnez l’affichage des Capteurs dans la liste déroulante.

Déroulez ensuite les informations du capteur Contrôleur de gestion de la carte de base puis Management Controller IP Interface.

Les adresses réseaux de la carte de management s'affichent alors comme avec le client Web :

Voilà pour cette astuce simple et efficace, à garder en tête en cas de besoin !

Cette année, la thématique était "La Danse du Feu". Pendant 1h15, les artificiers du groupe portugais Luso Pirotecnia ont proposé en 13 tableaux un voyage dansant à travers les styles musicaux, les époques et les cultures. Au total, ce sont près de trois tonnes de poudre qui ont illuminé le ciel du lac d'Annecy, accompagné par des lasers et des jets d'eau dynamiques.

La vidéo ci-dessous vous permettra de voir quelques extraits de ce spectacle exceptionnel, et notamment le final sur le dancefloor mis en musique par DJ Ralph !

Avec Powershell, il est en fait possible de créer un raccourci à partir de zéro, mais aussi d’en lire les propriétés et de les modifier, en utilisant simplement les fonctionnalités de l’objet COM Wscript.Shell.

Pour cela, il faut commencer par créer un nouvel objet Wscript.Shell en utilisant la cmdlet New-Object :

$Shell = New-Object -ComObject Wscript.Shell

Ensuite, on utilise la méthode CreateShortcut pour créer un objet raccourci associé à un chemin. Le nom de cette méthode est un peu trompeur car elle s’applique aussi bien que vous souhaitiez créer, lire ou modifier un raccourci. En fait, elle ne crée pas véritablement le raccourci sur le disque dur mais seulement sa représentation en mémoire (instanciation de la classe WshShortcut ou WshURLShortcut). Elle prend en paramètre le chemin du raccourci à lire ou à créer. Penser bien à ajouter l’extension .lnk ou .url selon que votre raccourci pointe respectivement vers un fichier ou une adresse Internet.

$Shortcut = $Shell.CreateShortcut($env:USERPROFILE + "\Desktop\Mon raccourci.lnk")

Vous disposez ensuite d’un ensemble de propriétés sur l’objet obtenu que vous pouvez lire ou modifier selon vos souhaits :

# Cible du raccourci
$Shortcut.TargetPath = "C:\chemin\vers\votre\executable.exe"
# Paramètres optionnels de ligne de commande
$Shortcut.Arguments = "-arguments –si -necessaire"
# Dossier cible
$Shortcut.WorkingDirectory = "C:\chemin\vers\le\dossier\de\travail";
# Taille de la fenêtre d'exécution (normale, réduite ou agrandie)
$Shortcut.WindowStyle = 1;
# Raccourci clavier
$Shortcut.Hotkey = "CTRL+SHIFT+F";
# Chemin vers l'icône du raccourci
$Shortcut.IconLocation = "C:\chemin\vers\votre\executable.exe, 0";

A noter que dans le cas d’un raccourci vers une adresse Internet, seule la propriété TargetPath est disponible.

Enfin, vous pouvez faire appel à la méthode Save pour enregistrer le raccourci créé ou les modifications apportées à un raccourci existant :

$Shortcut.Save()

Et c’est tout ! Plutôt simple n’est-ce pas ?

Pour aller un peu plus loin, on peut ensuite combiner tout cela pour créer une ou plusieurs fonctions de manipulation des fichiers raccourcis. Voici par exemple une fonction permettant de récupérer le chemin cible d'un raccourci :

function function Get-ShortcutTarget {
    <#
    .SYNOPSIS
        This function returns the target of a shortcut file (LNK or URL extension).
    .EXAMPLE
        Get-ShortcutTarget -FilePath 'C:\Users\profilename\Desktop\MyShortcut.lnk'
    .PARAMETER FilePath
        The shortcut's file path (don't forget the extension !)
    #>
    [CmdletBinding()]
    param (
        [Parameter(Mandatory = $true, Position = 0, ValueFromPipeline = $true)]
        [ValidateScript({ Test-Path -Path $_ -PathType Leaf })]
        [Alias('Fullname')]
        [string[]]$FilePath
    )
    process {
        $ShellObject = New-Object -ComObject Wscript.Shell
        ($ShellObject.CreateShortcut($FilePath)).TargetPath
    }
}

A vous ensuite d'adapter ou de créer vos propres fonctions selon vos besoins. N'hésitez pas également à faire quelques recherches sur Internet, et notamment sur Github, où vous pourrez trouver des fonctions toutes prêtes pour traiter les raccourcis, comme ici par exemple.

Matomo est un logiciel libre et gratuit de statistiques et d’analyse d’audience de sites Web, qui vous permet de collecter des informations sur les visiteurs de votre site et de vous présenter une large collection d'indicateurs : nombre de visiteurs, pages les plus consultées, durée de visite moyenne, mots-clés utilisés, provenance géographique, horaires de connexion, …. Ce logiciel a été fondé il y a bientôt dix ans par Matthieu Aubry, un français résidant en Nouvelle-Zélande.

La version 3.0, publiée en janvier 2017, propose une nouvelle interface inspirée des principes du Material Design, toujours plus conviviale et paramétrable selon vos besoins. Ainsi par exemple, le tableau de bord peut être personnalisé en ajoutant ou en retirant des widgets afin de mettre en avant vos indicateurs clés.

La nouvelle interface de Matomo 3 adopte le Material Design

Mais le plus important est que, contrairement à son principal concurrent Google Analytics, Matomo est conçu pour être auto-hébergé, ce qui signifie qu'il est installé sur votre propre serveur et que toutes les données collectées sont stockées chez vous et restent sous votre contrôle. Les informations et les statistiques que vous récoltez ne sont donc pas partagées avec des tiers et vous préserver ainsi la vie privée de vos visiteurs en leur évitant d'être suivi d’un site à l’autre par un outil qui recoupe les données de plusieurs sources pour retracer le parcours des internautes sur le web tout entier.

C'est d'ailleurs principalement pour cette raison que la CNIL recommande Matomo. Avec un paramétrage adapté, vous pourrez même être exempté d'affubler votre site web de cet odieux message à propos des cookies. En contrepartie de ce respect de la vie privée, vous aurez peut-être un tout petit peu moins de détails sur vos visiteurs (démographie, mots clés de recherche), mais cela reste assez négligeable et je pense qu'il s'agit d'un excellent compromis. Par ailleurs, comme Matomo fonctionne sur votre propre infrastructure et indépendamment du Web, il peut parfaitement être utilisé pour un site Intranet, sur le réseau interne d'une entreprise par exemple.

La mise en place de Matomo est relativement simple et se fait en quelques clics. Il vous faut simplement disposer d'un serveur Web, mutualisé ou dédié, disposant de PHP 5.5.9 minimum et d'une base MySQL. Après avoir téléchargé la dernière version de Matomo, décompressez l'archive sur l'espace public de votre serveur puis rendez vous avec votre navigateur Web sur l'adresse correspondante. Vous tomberez alors sur l'assistant d'installation qui vous guidera dans les étapes suivantes.

Bon à savoir, il n'est pas nécessaire que Matomo soit sur le même serveur que le site à auditer, et il est même possible de dédier un serveur à Matomo et de configurer plusieurs sites indépendamment, sans avoir à installer à nouveau Matomo pour chaque site.

Ensuite, comme toutes les autres solutions d'analyse de trafic, Matomo s'intègre à votre site simplement en insérant sur chaque page un petit code Javascript fourni lors de l'installation. Mais il est aussi possible d'utiliser des extensions pour faciliter cette intégration à votre CMS (WordPress, Drupal, Joomla, SPIP...) ou votre plateforme de e-commerce favori (Magento, PrestaShop, Thelia, ...). Vous pouvez retrouver la liste de tous les plugins officiels sur cette page. Par ailleurs, des applications mobiles pour Android et iOS sont disponibles pour vous permettre de consulter vos statistiques en mobilité.

Pour en savoir plus sur Matomo, n'hésitez pas à aller faire un tour sur le site officiel et sur la documentation (en anglais). Une démo publique et complète est également disponible pour voir et tester cet outil en situation réelle. Enfin, si vous êtes développeur et intéressé par ce projet, vous pouvez contribuer au développement de Matomo via GitHub.

Comme l’an passé, avec 8 articles publiés, l’année 2016 n’a pas été aussi productive en articles qu’escompté… Cependant la fréquentation reste en progression régulière, avec cette année plus de 154 000 visites enregistrées, soit environ 30 % de plus qu'en 2015 !

Évolution des visites uniques par mois durant l'année 2016

Les astuces sur le suivi d’avion en vol en direct et sur le cassage des mots de passe VBA restent encore cette année les plus consultées. Mais un petit nouveau fait son apparition en troisième place : il s’agit de l’article sur la méthode permettant de désactiver OneDrive sur Windows 10. Si l’on s’intéresse uniquement aux articles publiés en 2016, ce sont les deux autres astuces pour Windows 10 qui ont été les plus vues, suivi de l’article sur la mise en place de Let’s Encrypt.

En ce qui concerne la répartition des systèmes d’exploitation utilisés, on note cette année la montée à la première place de Windows 10, à quasi-égalité avec Windows 7. Windows XP et 8 tirent quant à eux leur révérence, avec moins de 5 % des visites chacun. Du côté des navigateurs, Chrome passe en tête devant Firefox, avec 36 % des visites et une progression régulière de 5 points par rapport à l’an passé.

Répartition des systèmes et navigateurs utilisés en 2016

Côté nouveautés et choses à venir pour 2017, peu de choses à vous dire si ce n’est que le nouveau design est toujours (encore) en développement, au fur et à mesure que je trouve un peu de temps…

Comme toujours, je vous remercie d’être toujours aussi nombreux à lire mes articles, et je vous rappelle que le flux RSS et mon compte Twitter restent disponibles pour être informé des nouvelles publications.

Avec un peu d’avance, je vous souhaite de passer un bon réveillon et je vous donne rendez-vous début 2017 avec un nouvel article où l’on parlera de Piwik, l’outil qui me permet de vous présenter chaque année ces délicieuses statistiques !

La beauté de cette ville et de ses paysages environnants m'ont convaincu d'y retourner début septembre le temps d'un week-end, cette fois-ci dans un contexte plus décontracté et surtout équipé de mon appareil photo.

Je vous propose donc de découvrir ces quelques photos que j'ai prises à cette occasion.

Téléchargement d'une émission

Captvty est relativement simple à utiliser et plutôt intuitif, même si quelques fonctionnalités bien pratiques sont un peu cachées selon moi. Mais pas d'inquiétude, je vais tout vous présenter ! Commençons par le téléchargement d'un programme. Pour cela, il vous suffit simplement de sélectionner la chaîne sur la liste de gauche puis de double-cliquer sur votre émission dans la liste centrale.

Captvty - Téléchargement d'une émission

Le téléchargement se lance immédiatement, et vous pouvez suivre la progression en vous rendant sur l'onglet Téléchargement. Si vous ne souhaitez pas attendre, vous pouvez également visionner directement la vidéo en streaming avec le lecteur du site Web ou VLC via un clic droit sur l'émission puis respectivement Visionner ou Visionner avec....

Accès au direct, enregistrement et guide des programmes

Captvty permet également de regarder en direct les chaînes de télévision. Pour cela, cliquer du bouton droit sur le logo de la chaine souhaitée, puis sur Visionner en direct.

Captvty - Visionner le direct

Vous pouvez aussi enregistrer le direct d'une chaîne en sélectionnant l'entrée correspondante. Pratique si vous ne souhaitez pas attendre qu'une émission soit mise en ligne sur le replay ou pour certains programmes non disponible en rattrapage (films, séries, clip musicaux...). Vous pouvez au choix faire un enregistrement immédiat ou programmer un enregistrement différé via la fenêtre qui s'affiche. Et cela fonctionne même avec plusieurs chaînes en simultané, dans la limite du débit de votre connexion Internet bien entendu...

Captvty - Programmer un enregistrement

Mais ce n'est pas tout, vous pouvez également accéder à une grille des programmes pour planifier un enregistrement à l'avance encore plus simplement. Pour cela, il faut passer par l'onglet Enregistrement du direct, puis cliquer sur le lien Grille des programmes.

Captvty - Grille des programmes

Il vous suffit alors de cliquer sur le bouton rouge en face du programme souhaité pour programmer son enregistrement.

Le mode manuel

Captvty propose également un mode manuel, accessible en cliquant sur le premier bouton de la liste des chaînes, dont l’icône représente une baguette magique. Ce mode vous permet de télécharger une vidéo directement en collant l'adresse à laquelle elle est accessible sur le Web. Pratique si vous ne trouvez pas le programme souhaité dans la liste de la chaîne par exemple.

Captvty - Téléchargement d'une vidéo Youtube par le mode manuel

Par ce mode, vous pourrez aussi télécharger des vidéos de Youtube, Dailymotion et Vimeo notamment. Vous aurez même la possibilité de ne récupérer que la bande son d'une vidéo Youtube. Pratique pour télécharger simplement une musique à partir du clip vidéo par exemple...

Les petits plus

Captvty comporte quelques fonctionnalités supplémentaires qui le rendent vraiment pratique et complet. Parmi elles, il y a notamment la possibilité de convertir le format de la vidéo téléchargée pour l’adapter à une lecture sur certains périphériques ou encore d'assembler plusieurs vidéos en une seule afin de joindre plusieurs parties d'un même programme par exemple. Tout ceci se passe dans l'onglet justement nommé Conversion.

Captvty - Conversion de la vidéo téléchargée

En bas à droite de l'interface, vous trouverez de plus une liste déroulante permettant de planifier l'action à exécuter à la fin du traitement de la liste de téléchargement. Vous pourrez ainsi demander à arrêter ou mettre en veille automatiquement votre PC à la fin du téléchargement.

Captvty - Choix de l'action de fin de téléchargement

N'hésitez pas également à faire un tour du côté des options proposées par Captvty, accessibles via le bouton en bas à droite de l'interface. Vous pourrez y configurer par exemple l'emplacement de destination des téléchargements, les lecteurs vidéos disponibles, ainsi que le serveur proxy à utiliser le cas échéant.

La fausse question de sa légalité

Si j'ai un peu tardé pour vous présenter ce logiciel, c'est en partie à cause du faux-débat qui a eu lieu (et qui se poursuit) sur la question de la légalité de celui-ci. En effet, quelques mois après ma découverte de cet outil, le créateur de Captvty a reçu une plainte du groupe TF1 lui demandant de cesser ses activités. Il faut dire que les chaines de TV ne voient pas d'un très bon œil ce logiciel qui détourne ses utilisateurs de leurs sites de replay. Pourtant, il n'y a pour moi aucun doute sur le fait que ce logiciel reste parfaitement légal, car, comme l'explique la page dédiée à ce sujet, Captvty ne fait qu'enregistrer sur votre PC le contenu disponible et diffusé directement depuis les sites des chaînes, sans contourner aucune limitation technique de type DRM. Mais bon, face à la menace d'attaque en justice de grands groupe de télévision, je craignais que le logiciel ne vive pas longtemps. Mais finalement, son créateur fait preuve d'un courage remarquable et s'applique à démonter une à une toutes les accusations qui lui sont faites. Bref, tout ça pour dire qu'il n'y a absolument aucune inquiétude à avoir. Jusqu'à preuve du contraire, Captvty est parfaitement légal !

Conclusion

Captvty est très régulièrement mis à jour pour maintenir l'accès aux contenus et intégrer de nouvelles chaînes. L'onglet Annonces permet de rester informé sur les problèmes connus en cours de résolution. Il arrive en effet que certains flux ou contenus soient temporairement indisponible suite à une mise à jour du site d'une chaîne ou la mise en place de restrictions techniques. Un petit inconvénient qui est amplement compensé par la réactivité de l'auteur. Totalement gratuit, sans publicité ni contenu malveillant, et sans installation requise, Captvty reste toutefois un logiciel vraiment pratique qui permet de tirer le meilleur des sites de replay, sans les inconvénients. Je regrette simplement que l'auteur n'ait pas fait le choix d'une licence Open Source, ce qui permettrait que chacun puisse contribuer à son développement et donc de le faire évoluer plus rapidement. Rendez-vous dès maintenant sur le site officiel pour télécharger Captvty !

Rien de bien méchant me direz-vous, il suffit de cliquer sur "Oui" et la connexion se poursuit normalement. Il est même possible de cocher la case "Ne pas me redemander [...]" pour ne plus voir ce message lors des prochaines connexions vers la même machine. Oui mais voilà, si vous vous connectez très souvent à de nombreux serveurs différents car vous administrez un vaste parc par exemple, ce message reviendra à chaque nouvelle connexion et pourrait bien finir par vous agacer...

Heureusement, il existe une solution pour désactiver complètement l'affichage de cet avertissement. Assurez-vous toutefois que toutes les machines distantes auxquelles vous vous connectez sont dignes de confiance, car il s'agit tout de même d'une (petite) sécurité à désactiver.

Ouvrez l'éditeur de registre via le panneau Exécuter (raccourci clavier Win+R) puis en tapant regedit. Naviguez jusqu'à une des deux clés de registre suivantes selon votre préférence :

• Si vous souhaitez que l'authentification de l'ordinateur distant soit désactivé pour l'ensemble des utilisateurs de votre poste, ouvrez la clé HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client.
• Si vous préférez que ce réglage ne s'applique que pour les sessions ouvertes depuis votre propre compte, rendez vous sur la clé HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Terminal Server Client. Il est possible que la sous-clé Terminal Server Client n'existe pas, dans ce cas créez la par un clic droit sur la clé Microsoft puis Nouveau, Clé.

Sous l'une de ces clés, créez ensuite une nouvelle valeur DWORD nommée AuthenticationLevelOverride par un clic droit sur la clé Terminal Server Client, puis en cliquant sur Nouveau, Valeur DWORD 32 bits.

Vérifiez que la valeur assignée à cette nouvelle entrée est bien 0 (zéro). Si ce n'est pas le cas, double-cliquez dessus et modifiez les données de la valeur dans la petite fenêtre qui s'affiche.

Et voilà, vous ne devriez désormais plus jamais voir ce message d'avertissement. En bonus, je vous offre ce fichier zip contenant des fichiers .reg permettant de l'activer ou le désactiver encore plus facilement : téléchargez et décompressez cette archive, double-cliquez sur le fichier approprié selon que vous souhaitez activer ou désactiver la vérification d'identité pour l'utilisateur actuel ou tous les comptes, puis confirmez votre action en cliquant sur Oui dans le message qui s'affiche.

Enfin, sachez que cette astuce fonctionne aussi bien que vous utilisiez le client Bureau à distance de base ou un outil un peu plus évolué tel que RDCMan.

Mais désormais, il n'y a plus aucune raison pour ne pas laisser tomber son certificat auto-signé et mettre en place le HTTPS avec un véritable certificat SSL, certifié par une autorité, et qui n'affichera donc pas dans les navigateurs une page d'alerte qui ferait fuir vos visiteurs.

Dans cet article, je vais donc vous présenter la méthode que j'ai utilisée pour mettre en place un certificat SSL gratuit de Let's Encrypt sur mon VPS.

Le site de Let's Encrypt suggère pour cela d'utiliser le client Python officiel, totalement automatisé. Mais personnellement, je ne suis pas très fan de l'idée qu'un script, dont j'ignore le contenu, s’exécute automatiquement avec les permissions root, manipule des fichiers de configurations sensibles (tel que ceux d'Apache), et contrôle la sécurité de mon serveur Web.

De plus, le script officiel requiert selon moi beaucoup trop de dépendances à installer, et propose trop de fonctionnalités par rapport à ce qui m'est réellement utile. Je suis en effet totalement capable de faire l'installation et la configuration initiale moi-même, manuellement. Je n'ai besoin d'un script que pour renouveler automatiquement le certificat, rien de plus.

Je suis donc parti à la recherche d'une solution alternative pour obtenir un certificat Let's Encrypt, et je suis finalement tombé sur acme-tiny. C'est un script de seulement 200 lignes, que j'ai donc pu facilement analyser pour vérifier qu'il ne comportait rien de malveillant, et qui n'a besoin que de Python, quelques modules de base et la commande openssl pour fonctionner. Le plus souvent, tout ceci est déjà présent sur une configuration classique.

La méthode proposée ci dessous est adaptée pour obtenir une sécurité optimale sur un serveur Debian Wheezy ou Jessie, avec Apache 2.2 ou 2.4.10, et OpenSSL 1.0.1. Il est toutefois important que vous compreniez ce que vous faites et que vous ajustiez la configuration proposée selon votre système et vos besoins.

Préparation du serveur

Vérification des prérequis

On commence par quelques petites vérifications et préparations sur le serveur. Tout d'abord, on s'assure que Python 2.7.x est bien installé en utilisant la commande suivante :

python --version

Si vous obtenez un message command not found, il vous faudra passer par la case installation de Python avant de poursuivre.

Profitez en également pour récupérer la version d'Apache et d'OpenSSL installée sur votre système respectivement avec les commandes ci-dessous :

sudo apache2ctl -v
openssl version

Création d'un utilisateur dédié

A partir de ce point, je vous conseille de passer une bonne fois pour toute en root, car la plupart des commandes qui vont suivre vont nécessiter ces permissions pour fonctionner. Pour cela, vous pouvez utiliser la commande sudo -i.

On va maintenant créer un utilisateur letsencrypt, auquel on attribuera le strict minimum de permissions pour pouvoir créer et renouveler des certificats. Cet utilisateur sera responsable de l'exécution du script de renouvellement automatique, que nous verrons plus bas. Ainsi, ce script ne s'exécutera pas en root et ne pourra pas modifier accidentellement des fichiers importants du système. On créé également un dossier pour contenir tous les fichiers associés à Let's Encrypt :

mkdir /etc/letsencrypt
adduser --system --home /etc/letsencrypt --no-create-home --disabled-login \
    --disabled-password --group letsencrypt

On créé ensuite un ensemble de sous-dossiers pour bien ranger les choses :

• bin : Dossier stockant les scripts acme-tiny et de renouvellement automatique.
• certs : Contiendra les certificats, rangés par date d'obtention dans un sous-dossier archive, avec un lien symbolique live pointant vers le dossier contenant les certificats actuellement utilisés.
• private : Les clés privées, ne devant absolument pas être divulguées, seront dans ce dossier avec le minimum de permissions.
• challenges : Ce dossier sera utilisé pour déposer les fichiers temporaires nécessaires pour valider votre demande de certificats.

Voici les commandes à lancer pour créer tous ces dossiers :

cd ~letsencrypt
mkdir -p ~letsencrypt/{bin,certs/archive/$(date --utc +'%FT%TZ'),private,challenges}

Sans plus attendre, on ajuste quelques permissions sur les dossiers que l'on vient de créer :

chown -R letsencrypt:letsencrypt ~letsencrypt
chown letsencrypt:www-data ~letsencrypt/challenges

chmod 755 ~letsencrypt
chmod -R 775 ~letsencrypt/certs
chmod 750 ~letsencrypt/{bin,private,challenges}

Ensuite, on créé le lien symbolique pointant vers le dossier des certificats en cours d'usage. L'intérêt de ce lien est qu'ainsi le script de renouvellement ne modifiera pas directement les fichiers en production. Il créera plutôt un nouveau dossier, où il préparera tout le nécessaire, et ne redirigera le lien qu'une fois terminé et en l'absence d'erreur.

ln -s archive/$(date --utc +'%FT%TZ') ~letsencrypt/certs/live

Autoriser l'utilisateur letsencrypt à redémarrer Apache

Lors du renouvellement automatique du certificat, le script doit être en mesure de pouvoir redémarrer Apache afin que le nouveau certificat soit pris en compte. Pour cela, on va autoriser l'utilisateur letsencrypt à faire un sudo sans mot de passe, mais seulement sur la commande permettant de redémarrer Apache.

Pour cela, on créé et on édite un nouveau fichier sudoers avec la commande ci-dessous :

visudo -f /etc/sudoers.d/letsencrypt-apache2ctl-graceful

Dans ce nouveau fichier, on écrit le contenu suivant :

letsencrypt ALL=NOPASSWD: /usr/sbin/apache2ctl graceful

Ainsi, l’utilisateur letsencrypt, et donc le script de renouvellement, peut désormais lancer la commande sudo apache2ctl graceful sans mot de passe.

Téléchargement du script acme-tiny

On termine l'étape de préparation du serveur en récupérant une copie du script acme-tiny permettant d'obtenir le certificat Let's Encrypt avec la commande suivante :

wget -O ~letsencrypt/bin/acme_tiny.py https://raw.githubusercontent.com/diafygi/acme-tiny/master/acme_tiny.py

Préparation de Apache

Durant le processus d'obtention du certificat, il faut prouver à Let's Encrypt que l'on a bien le contrôle administratif du domaine pour lequel on fait la demande. Pour cela, Let's Encrypt va nous demander d'héberger temporairement un fichier particulier à une adresse précise.

Ce fichier sera déposé par le script acme-tiny dans le dossier /etc/letsencrypt/challenges, qui doit être accessible par le web à l'adresse http://mondomaine.fr/.well-known/acme-challenge.

Pour cela, il est nécessaire de modifier quelque peu la configuration d'Apache, selon la version que vous utilisez.

Apache 2.4

Pour Apache 2.4, on commence par créer un nouveau fichier de configuration :

vi /etc/apache2/conf-available/letsencrypt.conf

Dans celui-ci, on écrit le contenu suivant :

Alias "/.well-known/acme-challenge" "/etc/letsencrypt/challenges"

# Retourne un code 404 plutot que Forbidden lorsque l'on tente d'acceder au dossier
RedirectMatch 404 ^/.well-known/acme-challenge(/$|$)

<Directory "/etc/letsencrypt/challenges">
    Options None
    AllowOverride None
    Require all granted

    <IfModule mod_headers.c>
        Header set Content-Type "application/jose+json"
    </IfModule>
</Directory>

On active ensuite cette nouvelle configuration avec les commandes ci-dessous :

a2enconf letsencrypt
apache2ctl graceful

Apache 2.2

Sur Apache 2.2, on créé un nouveau fichier de configuration global :

vi /etc/apache2/conf.d/letsencrypt

Dans ce dernier, on dispose le contenu suivant :

Alias "/.well-known/acme-challenge" "/etc/letsencrypt/challenges"

# Retourne un code 404 plutot que Forbidden lorsque l'on tente d'acceder au dossier
RedirectMatch 404 ^/.well-known/acme-challenge(/$|$)

<Directory "/etc/letsencrypt/challenges">
    Options None
    AllowOverride None
    Order allow,deny
    Allow from all

    <IfModule mod_headers.c>
        Header set Content-Type "application/jose+json"
    </IfModule>
</Directory>

Puis on redémarre le serveur Apache pour prendre en compte les changements :

apache2ctl graceful

Vérification de l'accessibilité du dossier

Une fois la configuration d'Apache appliquée, on peut ensuite vérifier que le dossier de challenge est bien accessible sur le Web. Pour cela, créez un fichier de test à l'intérieur :

echo "Hello World" > ~letsencrypt/challenges/test.txt

Assurez-vous ensuite que vous pouvez récupérer ce fichier depuis un navigateur Web à l'adresse http://mondomaine.fr/.well-known/acme-challenge/test.txt (en remplaçant évidemment par votre propre nom de domaine). Si ce n'est pas le cas, vérifiez la configuration. Sinon, vous pouvez supprimer le fichier de test et passer à la suite :

rm ~letsencrypt/challenges/test.txt

Installation de Let's Encrypt

Création des clés

L'étape suivante consiste à générer un ensemble de clés et de fichiers nécessaires à Let's Encrypt pour vous authentifier et générer le certificat. En effet, il n'est pas nécessaire d'ouvrir un compte ni même de fournir des informations personnelles pour obtenir un certificat auprès de ce service. Let's Encrypt demande seulement une clé utilisateur pour vous reconnaître.

On commence donc par créer cette première clé d'une longueur de 4096 bits. Cette clé peut être partagée entre plusieurs serveurs, mais doit toujours rester parfaitement en sécurité.

openssl genrsa 4096 > ~letsencrypt/private/account.key

Puis on génère la clé privée du certificat. Cette clé doit obligatoirement être différente de la clé utilisateur et doit impérativement être gardée secrète !

openssl genrsa 4096 > ~letsencrypt/private/domain.key

On poursuit en créant la demande de signature de certificat (CSR), qui sera envoyée à Let's Encrypt par le protocole ACME pour faire générer le certificat. Pour cela, il y a deux possibilités. Soit votre certificat n'est utilisé que par un seul domaine, et dans ce cas vous utiliserez la commande suivante, en remplaçant bien sûr mondomaine.fr par votre propre domaine :

openssl req -new -sha256 -key ~letsencrypt/private/domain.key \
    -subj "/CN=mondomaine.fr" > ~letsencrypt/private/domain.csr

Soit vous partagez le même certificat sur plusieurs domaines (mondomaine.fr et www.mondomaine.fr par exemple), et il vous faut alors utiliser l'extension SAN (Subjet Alternative Names) dans la CSR :

openssl req -new -sha256 -key ~letsencrypt/private/domain.key -subj "/" -reqexts SAN \
    -config <(cat /etc/ssl/openssl.cnf <(printf "[SAN]\nsubjectAltName=DNS:mondomaine.fr,DNS:www.mondomaine.fr")) > ~letsencrypt/private/domain.csr

Vous pouvez alors inclure autant de domaines que vous souhaitez simplement en ajoutant une entrée DNS:autredomaine.fr par domaine.

Obtention du certificat

Nous y voici enfin, il est temps d'obtenir ce fameux certificat SSL gratuit ! Il vous suffit pour cela de lancer la commande suivante :

sudo -u letsencrypt -- python ~letsencrypt/bin/acme_tiny.py \
    --account-key ~letsencrypt/private/account.key --csr ~letsencrypt/private/domain.csr \
    --acme-dir ~letsencrypt/challenges/ > ~letsencrypt/certs/live/signed.crt

Si tout se passe bien, vous devriez obtenir un nouveau fichier signed.crt, c'est votre certificat !

Pour qu'il puisse être utilisé, il faut encore récupérer le certificat intermédiaire de Let's Encrypt et construire le certificat chainé :

sudo -u letsencrypt -- wget -O - https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem > ~letsencrypt/certs/live/intermediate.pem
sudo -u letsencrypt -- cat ~letsencrypt/certs/live/signed.crt ~letsencrypt/certs/live/intermediate.pem > ~letsencrypt/certs/live/chained.pem

Installation du certificat sur Apache

L'étape suivante consiste à configurer Apache afin d'utiliser les certificats fraîchement obtenus.

Je vous propose ci-dessous un exemple de configuration, libre à vous de l'ajuster en fonction de vos besoins, du niveau de sécurité souhaité et de la compatibilité nécessaire avec les navigateurs de vos visiteurs. Vous pouvez vous aider pour cela du générateur de configuration proposé par Mozilla.

Si vous souhaitez en savoir plus sur la configuration SSL avancée sur Apache, je vous conseille les pages suivantes (en anglais) :

• Strong SSL Security on Apache 2
• Hardening Your Web Server's SSL Ciphers
• Mozilla Wiki : Server Side TLS

Apache 2.4

Sur Apache 2.4, il faut modifier le fichier /etc/apache2/mods-available/ssl.conf afin d'y insérer les directives suivantes :

SSLCipherSuite          ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS
SSLHonorCipherOrder     on
SSLProtocol             all -SSLv3
SSLCompression          off
SSLSessionTickets       off

# OCSP Stapling
SSLUseStapling          on
SSLStaplingResponderTimeout 5
SSLStaplingReturnResponderErrors off
SSLStaplingCache        shmcb:/var/run/ocsp(128000)

Puis, pour chaque virtual host, il faut ajouter les lignes suivantes dans le fichier de configuration situé sous /etc/apache2/site-available/ :

<VirtualHost *:443>
    ...
    SSLEngine on
    SSLCertificateFile      /etc/letsencrypt/certs/live/chained.pem
    SSLCertificateKeyFile   /etc/letsencrypt/private/domain.key

    ...
</VirtualHost>

Apache 2.2

Pour Apache 2.2, le fichier /etc/apache2/mods-available/ssl.conf devra contenir les lignes suivantes :

SSLCipherSuite ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS
SSLHonorCipherOrder on
SSLProtocol all -SSLv3 -SSLv2

Ensuite, pour chaque virtual host, on ajoute les lignes de configuration suivantes :

<VirtualHost *:443>
    ...
    SSLEngine on
    SSLCertificateFile    /etc/letsencrypt/certs/live/signed.crt
    SSLCertificateKeyFile   /etc/letsencrypt/private/domain.key
    SSLCertificateChainFile /etc/letsencrypt/certs/live/intermediate.pem

    ...
</VirtualHost

Une fois la configuration appliquée, quelle que soit la version d'Apache, il faudra bien sûr lui demander de recharger sa configuration avec la commande apache2ctl graceful.

Automatisation du renouvellement

Le seul inconvénient des certificats gratuits émis par Let's Encrypt est qu'ils ne sont valables que pour 90 jours. Je ne sais pas vous, mais je n'est pas très envie de devoir me connecter sans cesse sur mes serveurs pour faire le renouvellement. C'est pourquoi nous devons automatiser cela avec un petit script et une tâche cron.

On va donc créer un script de renouvellement automatique dans le dossier /etc/letsencrypt/bin, que l'on nommera par exemple le-renew.sh.

vi ~letsencrypt/bin/le-renew.sh

Pour le contenu du script, je vous propose cet exemple qui ne renouvellera le certificat que lorsque la date d'expiration approche, mais là encore vous pouvez bien entendu le personnaliser. L'essentiel est de relancer le script acme-tiny avec les mêmes paramètres que lors de la création initiale du certificat, puis de reconstruire le certificat chainé et de redémarrer Apache.

#!/bin/bash

# Configure le nombre de jours en dessous duquel le certificat doit être renouvelé.
RENEW=15

# Récupère le timestamp actuel
NOW=$(date +%s)
# Récupère la date d'expiration du certificat actuel
EXPIRE=$(openssl x509 -in ~letsencrypt/certs/live/signed.crt -noout -enddate)
EXPIRE=${EXPIRE:9}
# Convertit la date d'expiration en un timestamp
EXPIRE=$(date --date="$EXPIRE" +%s)
# Calcul le temps restant avant l'expiration du certificat
LIFE=$(($EXPIRE - $NOW))
# Si la durée de vie restante est en dessous du minimum demandé.
if [ "$LIFE" -lt "$(( $RENEW * 86400 ))" ]; then 
    DATE="$(date --utc +'%FT%TZ')"
    mkdir --mode=775 ~letsencrypt/certs/archive/$DATE
    python ~letsencrypt/bin/acme_tiny.py --account-key ~letsencrypt/private/account.key --csr ~letsencrypt/private/domain.csr --acme-dir ~letsencrypt/challenges/ > ~letsencrypt/certs/archive/$DATE/signed.crt || exit
    wget -O ~letsencrypt/certs/archive/$DATE/intermediate.pem https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem
    cat ~letsencrypt/certs/archive/$DATE/signed.crt ~letsencrypt/certs/archive/$DATE/intermediate.pem > ~letsencrypt/certs/archive/$DATE/chained.pem
    chmod 644 ~letsencrypt/certs/archive/$DATE/{chained.pem,intermediate.pem,signed.crt}
    rm ~letsencrypt/certs/live
    ln -s archive/$DATE ~letsencrypt/certs/live
    sudo apache2ctl graceful
fi

Je vous propose également une version plus avancée de ce script sur Gist, avec une meilleure gestion des erreurs et des logs, qui peut ensuite être combiné à LogWatch et LogRotate par exemple. A vous de faire votre choix !

Créez ensuite un dossier supplémentaire dédié au stockage des journaux d'exécution (logs):

mkdir /var/log/letsencrypt
chown letsencrypt:adm /var/log/letsencrypt
chmod 2755 /var/log/letsencrypt

Il ne reste plus qu'à créer une tâche cron qui exécutera le script avec l'utilisateur letsencrypt. Pour cela, plusieurs solutions, vous pouvez par exemple ajouter un fichier crontab dans le dossier /etc/cron.d/ :

vi /etc/cron.d/letsencrypt

Dans ce fichier, vous placerez le contenu suivant :

# Renouvellement automatique du certificat Let's Encrypt
# Tous les dimanches à 3H00
0 3 * * 0 letsencrypt /etc/letsencrypt/bin/le-renew.sh 2>> /var/log/letsencrypt/letsencrypt.log

Le script sera alors exécuté tous les dimanches à 3H00. Vous pouvez bien sûr ajuster cette fréquence, mais il est préférable de le faire tourner assez souvent de sorte à ce que plusieurs tentatives puissent avoir lieu durant les 90 jours de validité du certificat.

Fermeture des écoutilles

Il reste encore à ajuster quelques permissions pour renforcer la sécurité des fichiers sensibles et n'autoriser que le strict minimum.

On commence par changer le propriétaire et les permissions des deux scripts, de sorte que seul root puisse écrire dedans, et le groupe letsencrypt puisse les lire et les exécuter :

chown root:letsencrypt ~letsencrypt/bin/{acme_tiny.py,le-renew.sh}
chmod 750 ~letsencrypt/bin/{acme_tiny.py,le-renew.sh}

Maintenant, nous allons réduire les permissions sur les clés privés. L'utilisateur letsencrypt a simplement besoin de lire la clé utilisateur (account.key) et la demande de signature (domain.csr). Il ne doit pas pouvoir accéder à la clé privée du certificat (domain.key), qui ne doit être accessible que par root.

chown root:letsencrypt ~letsencrypt/private/{account.key,domain.csr,domain.key}
chmod 640 ~letsencrypt/private/{account.key,domain.csr}
chmod 600 ~letsencrypt/private/domain.key

Enfin, on fait en sorte que les certificats soient lisibles par tous, mais que seul l'utilisateur letsencrypt puisse les écrire :

chown letsencrypt:letsencrypt ~letsencrypt/certs/live/{chained.pem,intermediate.pem,signed.crt}
chmod 644 ~letsencrypt/certs/live/{chained.pem,intermediate.pem,signed.crt}

Conclusion

Félicitations, votre serveur est maintenant doté d'un certificat gratuit validé par une autorité de certification ! Pour vous assurez qu'il offre une sécurité optimale, je vous conseille de valider votre configuration sur un service tel que SSLLabs. Avec la configuration proposée ici, vous devriez obtenir sans peine une note A voire A+, ce qui est très satisfaisant.

SSLLabs analyse votre serveur et génère une note et un rapport sur sa sécurité.

Si vous avez une amélioration ou une correction à apporter à cette méthode, n'hésitez pas à la proposer dans un commentaire !

Toutefois, cette sélection automatique peut poser plusieurs problèmes, comme l'affichage de fichiers ou dossiers sensibles ou personnels dans un contexte professionnel, ou simplement de fichiers peu utiles. Si vous préfèreriez retrouver le fonctionnement de l'ancien volet "Favoris", où vous pouviez sélectionner et épingler manuellement les dossiers de votre choix, sachez que cela est possible très facilement sur Windows 10.

Pour cela, ouvrez l'explorateur puis faites un clic droit sur le lien "Accès rapide" puis sur "Options".

Puis, dans la petite fenêtre qui s'affiche, décochez les cases "Afficher les fichiers récemment utilisés dans Accès rapide" et "Afficher les dossiers récemment utilisés dans Accès rapide".

Vous pouvez également en profiter pour cliquer sur le bouton "Effacer" pour supprimer l'historique des fichiers et dossiers utilisés. Cliquez ensuite sur le bouton "OK "pour enregistrer les paramètres.

Ensuite, pour ajouter manuellement un dossier à la liste d'Accès rapide, il vous suffit de le glisser-déposer sur le lien "Accès rapide", exactement comme sur les précédentes versions de Windows. Pour en retirer un, cliquez-droit dessus puis sur "Désépingler de l'Accès rapide".

Par ailleurs, vous pouvez également configurer l'explorateur de fichiers pour qu'il s'ouvre directement sur la vue "Ce PC" plutôt que "Accès rapide" si vous le souhaitez.

Le choix entre ces deux options peut-être délicat. En effet, chacune à ses propres avantages et inconvénients. L'utilisation d'images de taille dynamique permet d'allouer aux machines virtuelles plus d'espace que ce qui est physiquement disponible, mais cela peut ralentir les opérations de lecture/écriture. Les images de taille fixe ne souffrent pas de ces ralentissements, mais monopolisent souvent beaucoup d'espace disque inutilisé.

Ainsi, que se soit pour récupérer de l'espace disque virtuel inutilisé ou optimiser les I/O, il peut parfois être intéressant de convertir une image de taille fixe en dynamique ou inversement. Malheureusement, VirtualBox ne permet pas à ce jour de changer le mode de gestion de la taille d'un disque virtuel. Cela reste tout de même possible, mais il faut cloner l'image vers une nouvelle.

Pour cela, vous devez utiliser la commande suivante en choisissant pour le paramètre --variant la valeur correspondante au type de disque souhaité (Standard pour une image dynamique ou Fixed pour une taille fixe) :

VBoxManage clonehd [ancienne-image] [nouvelle-image] --variant [Standard|Fixed]

Si le chemin d'installation de VirtualBox n'est pas dans votre PATH, vous devrez bien sûr indiquer le chemin complet de l'exécutable (par exemple, "C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" par défaut sous Windows x64). Cette commande fonctionne pour tous les formats d'images supportés par VirtualBox (VDI, VMDK, VHD, ...). Vous pouvez d'ailleurs la compléter avec l'option --format [VDI|VMDK|VHD] pour changer le format de l'image de sortie.

De plus, si vous convertissez votre disque virtuel vers le format VDI en mode dynamique, vous pouvez ensuite optimiser la taille de l'image disque pour tenter de récupérer de l'espace supplémentaire sur la machine hôte, ou encore augmenter (mais pas réduire) sa capacité maximale en utilisant la commande suivante :

VBoxManage modifyhd [image] --resize [megaoctets]

Pour terminer, il ne vous reste plus qu'à reconfigurer les machines virtuelles connectées à l'ancienne image pour qu'elles utilisent désormais l'image clonée (via le panneau Configuration/Stockage de VirtualBox), puis à supprimer le disque virtuel original après avoir vérifié que tout fonctionne correctement.

Cependant, si vous préférez accéder directement à "Ce PC" plutôt qu'à "Accès rapide" lorsque vous lancez l'explorateur Windows, vous pouvez modifier ce comportement par défaut très simplement.

Pour cela, ouvrez l'explorateur puis faites un clic droit sur le lien "Accès rapide" puis sur "Options".

La petite fenêtre qui s'affiche alors permet de régler différentes options pour l'affichage de vos dossiers. Vous pouvez par exemple désactiver l'accès rapide intelligent. Mais ici, l'option qui nous intéresse est la liste déroulante "Ouvrir l'Explorateur de fichiers dans :"

Il suffit de choisir "Ce PC" dans cette liste puis de valider par "OK" pour que l'explorateur s'ouvre sur l'affichage des disques et périphériques amovibles.

Une petite astuce qui devrait vous faire gagner quelques précieuses secondes si vous utilisez plus fréquemment la vue "Ce PC" ! Bien entendu, vous pouvez faire l'opération inverse à tout moment pour retrouver le fonctionnement par défaut de l'explorateur. Et pour optimiser encore un peu plus votre espace de travail, vous pouvez également supprimer OneDrive du volet latéral de l'explorateur Windows si vous n'utilisez pas ce service.

Ces images ne font donc que grossir jusqu'à atteindre leur taille maximale. Cela peut être embêtant si, par exemple, vous copiez temporairement un très gros fichier sur le disque virtuel puis que vous le supprimez. L'image disque aura alors grossi dans le pire des cas de la taille de votre fichier, sans que la suppression de ce dernier ne permette à l'hôte de disposer de cet espace libéré.

Pour récupérer cet espace inutilisé dans le disque virtuel au niveau du disque physique, vous devez alors compacter manuellement l'image disque en appliquant la méthode suivante.

Attention : cette opération ne peut pas être réalisée sur un disque virtuel possédant des instantanés (ou snapshots). Le cas échéant, vous devez donc restaurer l'instantané que vous souhaitez conserver et, au choix, soit cloner le disque virtuel dans cet état et travailler sur le clone, soit supprimer tous les autres instantanés.

Préparation du disque virtuel

Tout d'abord, pour que l'opération soit réellement efficace, vous devez préparer le disque virtuel que vous souhaitez compacter. En effet, le compactage fonctionne en supprimant de l'image les blocs ne contenant que des zéros. Or, lorsque des fichiers sont supprimés sur le disque virtuel, le système de fichiers ne met pas automatiquement à zéro la zone de stockage associée, et VirtualBox ne peut donc pas récupérer cet espace. Il faut donc au préalable mettre à zéro manuellement l'espace libre du disque virtuel à partir de la VM.

Depuis une machine virtuelle sous Windows

Pour faire cela sur une machine virtuelle Windows, l'idéal est de commencer par défragmenter le disque virtuel. Ensuite, téléchargez SDelete de Sysinternals puis lancez la commande suivante depuis le dossier de téléchargement :

sdelete -z

Depuis une machine virtuelle sous Linux

Sous Linux, je vous conseille d'utiliser la commande zerofree, que vous pouvez obtenir en installant le paquet du même nom.

Avant tout, vous devez passer en mode mono-utilisateur (ou maintenance) avec la commande ci-dessous, à lancer en super-utilisateur :

telinit 1

Ensuite, il faut remonter la partition en lecture seule (bien évidemment, remplacez sda1 dans les commandes suivantes par le nom de votre partition) :

mount -o remount,ro /dev/sda1

Lancez enfin la commande zerofree de cette manière :

zerofree -v /dev/sda1

Le cas échéant, vous pouvez ensuite répéter ces deux dernières commandes pour chacune des partitions du disque virtuel à compacter.

Il existe également une autre méthode pour remettre l'espace libre à zéro, qui consiste à le remplir avec un gros fichier ne contenant que des zéros à l'aide de la commande dd puis à supprimer ce fichier. Personnellement, je vous déconseille cette méthode, car elle est très lente et surtout elle va obligatoirement remplir le disque et donc faire gonfler temporairement l'image disque à sa taille maximale, ce qui est un peu le contraire de l'effet recherché... Et si vous avez provisionné plus d'espace virtuel à vos VMs que vous ne disposez d'espace physique, vous risquez en plus de saturer votre espace physique !

Compactage de l'image disque

Assurez-vous d'avoir arrêté toutes les machines virtuelles utilisant le disque cible. Ensuite, lancez la commande suivante :

VBoxManage modifyhd [chemin-du-disque.vdi] --compact

Si le chemin d'installation de VirtualBox n'est pas dans votre PATH, vous devrez bien sûr indiquer le chemin complet de l'exécutable (par exemple, "C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" par défaut sous Windows x64).

Notez que cette commande ne fonctionne pour le moment que sur les images disques au format VDI. Si votre image est dans un autre format, notamment VDMK, vous pouvez toutefois obtenir le même résultat en clonant l'image (avec l'option clonehd). Évidemment, vous devrez dans ce cas remplacer le disque original par son clone dans chacune des machines virtuelles qui l'utilisent.

De manière générale, la commande VBoxManage est vraiment très pratique et permet de réaliser de très nombreuses opérations en ligne de commande, dont certaines qui n'ont même pas d'équivalence dans l'interface graphique. On peut ainsi par exemple convertir une image de taille fixe à dynamique et inversement. Je vous conseille de parcourir la page de manuel associée pour découvrir toutes ces fonctionnalités.

Comme d'habitude, commençons par un point sur les chiffres. Cette année, je n'ai pu vous proposer que 8 articles, ce qui est encore moins qu'en 2014. Malgré cela, vous êtes toujours de plus en plus nombreux à me lire, ce qui est très encourageant !

Ainsi, en 2015, j'ai enregistré 115 604 visites sur le site ! Après une année 2014 stable, la fréquentation est repartie à la hausse cette année et a franchi le cap des 10 000 visiteurs uniques par mois en septembre, comme le montre la courbe ci-dessous.

Évolution des visites uniques par mois durant l'année 2015

Pas de changement en revanche concernant les articles les plus consultés. A eux trois, les articles sur le suivi d'avion en vol en direct, sur le cassage des mots de passe VBA et celui sur la configuration de la page d'accueil d'un onglet sur Firefox, totalisent près de 70 % des vues uniques ! Toutefois, l'article sur la désactivation de OneDrive sur Windows 10 semble bien parti pour talonner ce trio de tête.

Du coté de la répartition des systèmes d'exploitation et navigateurs utilisés, on remarque tout d'abord que Windows 10, le petit nouveau de cette année, atteint d'ors et déjà la deuxième position des systèmes les plus utilisés par les visiteurs de ce site, juste après Windows 7 qui reste encore largement majoritaire. Windows 8.1 a presque déjà disparu avec seulement 8% des visites, juste devant le vénérable Windows XP. Firefox reste en tête mais Chrome progresse avec 5 points de plus par rapport à l'an passé.

Répartition des systèmes et navigateurs utilisés en 2015

Voilà pour les statistiques, passons maintenant aux nouveautés. L'an dernier, je vous avais annoncé un tout nouveau design pour le site. Malheureusement, comme vous pouvez le voir, il n'est pas encore là et n'est toujours pas planifié. En effet, j'ai pris beaucoup de retard sur le développement. Je ne vais donc pas trop faire d'annonces pour le moment, on verra comment se passe l'an 2016 ! Tout ce que je peux vous dire, c'est que le prochain article parlera de VirtualBox...

Je vous remercie d'être de plus en plus nombreux à me lire et je vous rappelle que vous pouvez rester informé des derniers articles grâce au flux RSS et à mon compte Twitter.

A bientôt et, avec un peu d'avance, bon réveillon !

Comme il y a deux ans, je vous propose de regarder ces deux très jolies publicités de nos amis anglo-saxons. Pas d’inquiétude, la première vidéo n'a pas de dialogue, donc vous pourrez la comprendre même si vous ne parlez pas anglais. Plus que de simple publicité, ce sont presque des courts métrages qui racontent de belles histoires pleines d'émotions et souvent avec un message fort.

Ainsi, dans cette première vidéo, vous découvrirez l'histoire d'une petite fille et d'un vieil homme seul sur la Lune. L'occasion de se rappeler que malheureusement certaines personnes n'ont pas la chance de pouvoir profiter d'un Noël en famille, mais que l'on peut parfois quand même faire quelque chose pour elles...

Quant à la deuxième publicité, elle raconte l'histoire d'un chat un peu maladroit. Je vous laisse découvrir !

Joyeux Noël à tous !

L'origine de ce défaut peut être logicielle (problème de configuration), mais le plus souvent il s'agit d'un souci matériel. C'est donc uniquement ce dernier cas que je vais traiter dans cet article. Avant toute chose, assurez-vous donc que, dans votre cas, le problème est bien d'origine matérielle. Pour cela, je vous conseille si possible de tester la souris sur un autre ordinateur et/ou de tester une autre souris.

Notez toutefois que, comme toute intervention sur le matériel, cela va annuler la garantie si votre souris est toujours couverte et qu'il y a un risque, minime mais non négligeable, de rendre la souris totalement inopérante si vous commettez une maladresse. C'est un peu quitte ou double !

De plus, la réparation proposée ci-dessous n'est pas définitive. En effet, le défaut peut réapparaitre au bout d'un certain temps (6 mois, 1 an ou plus), auquel cas il faut simplement réitérer l'opération.

Démontage de la souris

Après avoir retiré les piles ou la batterie de votre souris s'il s'agit d'un modèle sans fil, la première étape consiste à identifier les vis qui maintiennent la souris assemblée. Elle sont souvent cachées derrière les patins situés en dessous de la souris, comme vous pouvez le voir sur la photo ci-dessous. Il faut donc retirer ces patins adhésifs en les soulevant délicatement depuis leurs bords. Il peut également y avoir une plusieurs vis à retirer dans le logement pour les piles.

Une fois que vous avez localisé et dégagé toutes les vis, retirez-les à l'aide d'un tournevis cruciforme.

Déposez ensuite la partie supérieure du boitier de la souris afin de pouvoir accéder à la carte électronique. Prenez garde à ne pas tirer trop brusquement car il peut y avoir des fils électriques qui relient les deux parties du boitier.

Repérez ensuite les micro-interrupteurs en charge du clic (ou micro-switchs en anglais), qui se présentent souvent sous la forme de petits pavés noirs d'où ressortent des mini-boutons que l'on peut actionner avec la pointe d'un tournevis et qui font le bruit caractéristique du clic.

Ouverture et réparation du bouton de clic

L'étape suivante consiste à ouvrir le micro-interrupteur correspondant au bouton de clic défectueux. Pour cela, il faut généralement faire levier sur les clips latéraux qui retiennent le couvercle de l'interrupteur à sa base avec un petit tournevis plat. Veillez toutefois à ne pas casser les clips, auquel cas vous pourriez être contraint de dire adieu à votre souris ou au minimum de remplacer entièrement le micro-interrupteur...

Une fois cette opération effectuée, vous devriez obtenir deux petites pièces : le couvercle de l'interrupteur en lui-même, ainsi qu'un minuscule bouton poussoir.

A l'intérieur de l'interrupteur, il y a également un petit ressort à lame souple en cuivre.

C'est cette pièce qui, lorsqu'elle est pressée en son centre par le bouton poussoir, établi le contact entre les plots soudés à la carte électronique. Mais avec le temps, la tension de ce ressort peut devenir insuffisante pour faire rebondir le bouton correctement, et c'est souvent la cause de ce problème de doubles-clics.

Il faut donc renforcer la tension de ce ressort pour corriger ce défaut. Pour cela, commencez par le retirez délicatement du reste de la souris en le faisant glisser sur un côté. Si possible, enfilez des gants en latex pour éviter de manipuler ce ressort directement avec les doigts, car la sueur et l'humidité de vos doigts pourrait accélérer l'oxydation de cette pièce en cuivre et donc dégrader la qualité du contact électrique.

Ensuite, il faut relever la partie courbée du ressort en la tordant délicatement. Comme vous pouvez le voir sur l'avant/après ci-dessous, le but est de redresser la partie courbée de quelques millimètres tout en veillant à conserver une certaine courbure. En effet, si cette dernière est insuffisante, le bouton de la souris risque de ne le pas revenir à sa place après un clic.

Pour réaliser cette opération, vous pouvez utiliser un petit tournevis plat pour pousser la partie courbée comme illustré sur la photo ci-dessous.

Remontage

Lorsque vous pensez avoir donné une forme correcte au ressort, il faut ensuite le réinstaller à son emplacement initial. C'est l'opération la plus délicate de la réparation, car cette pièce n'est maintenue que par deux minuscules rainures présentent sur les contacts. Chacun sa technique pour y parvenir, mais pour ma part je commence par placer le ressort sur les positions numérotées 1 sur la photo ci-dessous. Ensuite, à l'aide d'un tournevis plat, je fais levier vers l'avant en prenant appui sur la partie centrale du ressort de sorte à pouvoir le crocheter sur la position 3. Au final, vous devez positionner le ressort exactement comme le montre la photo ci-dessous.

Ensuite, il faut replacer le couvercle de l'interrupteur. Pour cela, commencez par positionner le minuscule bouton poussoir dans son logement sur le couvercle, en vous aidant d'une pince à épiler.

Repositionnez ensuite le sous-ensemble couvercle + bouton sur le reste de la souris. Je vous conseille de faire cela en retournant le tout à l'envers pour éviter que le bouton-poussoir ne tombe si vous tentez de retourner le couvercle.

Une fois le couvercle en place, je vous recommande de tester le clic en pressant le bouton poussoir avec un tournevis plat. Le bouton doit revenir à sa place après appui en émettant le bruit caractéristique du clic. Si ce n'est pas le cas, vous devrez probablement retirer à nouveau le couvercle et réajuster la tension du ressort.

Si tout semble correct, il ne vous reste plus qu'à remonter le boitier de la souris en remettant les vis et les patins. Si ces derniers n’adhèrent plus suffisamment, utilisez un peu de colle en bâton d'écolier.

Vous n'avez plus qu'à démarrer votre PC et tester votre souris en condition d'usage. Vous remarquerez probablement que le bouton réparé demande un petit peu plus de force pour être cliqué et que le son émis lors du clic est un peu plus aigu et fort.

Voilà, j'espère que cela vous aura permis comme moi de corriger ce problème quelque peu exaspérant !

Par exemple, si vous utilisez l'édition Professionnelle de Windows 10, vous pouvez désactiver OneDrive via une stratégie de groupe (group policy). Les utilisateurs de l'édition Famille devront en revanche passer par le registre pour y parvenir.

Windows 10 Famille

La méthode suivante s'applique à Windows 10 Famille et permet de faire disparaître OneDrive du système sans pour autant le désinstaller complétement, ce qui permet de le restaurer plus facilement plus tard si nécessaire.

Pour commencer, cliquez avec le bouton droit sur l'icône de OneDrive (deux petits nuages blanc ou gris) dans la zone de notification, puis sur Paramètres. Pensez à cliquer sur la petite flèche dirigée vers le haut pour faire apparaître toutes les icônes si celle de OneDrive ne semble pas présente à première vue.

Ensuite, dans la nouvelle fenêtre qui s'affiche, décochez la case "Lancez automatiquement OneDrive quand j'ouvre une session Windows" puis cliquez sur OK. De cette manière, OneDrive ne s’exécutera plus automatiquement au démarrage.

Si vous ne prévoyez plus d'utiliser OneDrive, vous pouvez également cliquer sur le bouton "Supprimer le lien vers OneDrive" de cette même fenêtre. Cela a pour effet de désactiver la synchronisation des fichiers jusqu'à ce que vous le configuriez à nouveau. Si vous n'avez pas encore configuré OneDrive, ce bouton sera grisé comme sur la capture précédente.

Ensuite, vous pouvez si vous le souhaitez masquer l'entrée "OneDrive" située dans le volet de navigation latéral de l'explorateur de fichiers. Il faut pour cela effectuer une modification dans le registre.

Pour vous simplifier la tâche, je vous propose de télécharger cette archive contenant les fichiers .reg permettant d'effectuer les modifications nécessaires automatiquement. Ouvrez cette archive et double-cliquez sur le fichier .reg approprié selon si vous avez une version 32 bits ou 64 bits de Windows, puis confirmez votre action en cliquant sur Oui dans le message qui s'affiche. Pour connaitre la version que vous utilisez, tapez "A propos de votre PC" dans le champ de recherche de la barre des tâches, cliquez sur l'entrée du même nom dans les résultats, puis observez la ligne "Type du système" dans la fenêtre qui apparait. L'archive que je vous propose inclus également les fichiers .reg permettant de restaurer l'entrée "OneDrive" si vous souhaitez revenir en arrière.

L'entrée "OneDrive" devrait disparaitre immédiatement après avoir effectué la modification dans le registre. Si ce n'est pas le cas, essayez de redémarrer l’ordinateur.

Si vous préférez ne pas utiliser l'archive contenant les fichiers .reg et effectuer les modifications à la main, il faut alors ouvrir le registre puis passer la valeur System.IsPinnedToNameSpaceTree de la clé HKEY_CLASSES_ROOT\CLSID\{018D5C66-4533-4307-9B53-224DE2ED1FE6}\ à 0. Sur les éditions 64 bits, il faut également effectuer la même opération sur la clé HKEY_CLASSES_ROOT\Wow6432Node\CLSID\{018D5C66-4533-4307-9B53-224DE2ED1FE6\.

Si vous avez synchronisé des fichiers depuis votre OneDrive avant de le désactiver, vous pouvez également supprimer les copies locales de ces fichiers présentent sur votre PC pour libérer un peu d'espace. Pour cela, supprimez les fichiers présent dans le dossier C:\Users\Nom\OneDrive (remplacez Nom par le nom de votre compte utilisateur).

Windows 10 Professionnel, Enterprise ou Education

Si vous utilisez l'édition Professionnelle, Enterprise, ou Education de Windows 10, vous pouvez utiliser l'éditeur de stratégie de groupe pour accéder à des options de personnalisation avancée du système, et ainsi désactiver OneDrive complétement sur le système.

Pour cela, tapez gpedit.msc dans le champ de recherche Windows puis validez par la touche Entrée. Naviguez ensuite dans le dossier Stratégie Ordinateur Local\Configuration ordinateur\Modèles d'administration\Composants Windows\OneDrive.

Double-cliquez sur la ligne "Empêcher l'utilisation de OneDrive pour le stockage des fichiers" présente dans le panneau de droite, puis choisissez "Activé" et cliquez sur OK. Cela désactive complétement l'accès à OneDrive dans l'ensemble du système, y compris depuis des applications du Windows Store. Pour réactiver OneDrive, il suffit de choisir "Non configuré" au lieu de "Activé" pour le réglage précédent.

Voilà qui devrait vous permettre de nettoyer votre espace de travail en supprimant OneDrive si vous ne l'utilisez pas. Personnellement je trouve dommage que Windows ne permettent pas de faire cela officiellement par un réglages dans les paramètres, mais cela deviendra peut-être le cas grâce une prochaine mise à jour...

Plusieurs personnalités locales étaient conviées à cet événement pour féliciter et encourager les jeunes diplômés, comme par exemple le président de l'université Blaise Pascal, le vice-président du conseil régional d'Auvergne, ou encore le parrain de cette promotion, M. Gilles Chaudesaigues, également directeur commercial de Modis France-Sud.

La vidéo ci-dessous, que j'ai réalisée pour l'occasion, vous permet de voir ou revoir l'intégralité des discours prononcés lors de cette cérémonie :

L'avantage d'une éclipse lunaire par rapport à une éclipse solaire est que l'observation ne nécessite aucun équipement de protection particulier, ni pour les yeux, ni pour l'appareil photo. Il m'a donc suffit de sortir en pleine nuit, équipé d'un bon trépied et de mon bridge Sony DSC-HX200V, pour prendre quelques photographies de cet événement, dont je vous propose une sélection dans cet article. Vous pouvez cliquer sur les images pour les voir en plus grand format.

23 h 12 : La Super-Lune

Le ciel est dégagé, la Lune est très lumineuse et nous offre une nuit très claire. Du coup, peu d'étoiles sont visibles à l’œil nu. Toutes les conditions sont réunies pour permettre l'observation de l'éclipse prévue 4 heures plus tard.

3 h 27 : Entrée dans l’ombre

Depuis déjà vingt minutes, la Lune pénètre progressivement dans le cône d’ombre de la Terre. Une échancrure sombre a atteint le cratère Tycho et la Mer de la Sérénité et ronge progressivement le disque lunaire. Dans le même temps, la nuit devient de plus en plus sombre et de nombreuses étoiles apparaissent.

3 h 56 : L'ombre progresse

Tandis que la Mer de la Tranquillité, lieu d'alunissage de la célèbre mission Apollo 11, est désormais plongée dans l'obscurité et qu'il ne reste plus qu'un mince croissant exposé directement à la lumière du soleil, une teinte rouge cuivré recouvre progressivement la partie ombragée de la Lune.

4 h 11 : Début de la phase de totalité

La Lune est maintenant totalement dans l’ombre de la Terre. Sa luminosité a fortement diminué, et elle est alors presque entièrement recouverte de cette coloration rouge cuivré.

4 h 47 : Maximum de l’éclipse

A cet instant, la Lune est au plus proche du centre du cône d'ombre de la Terre. Quelques étoiles entourent l'astre.

5 h 23 : Fin de la phase de totalité

La Lune commence à sortir de l’ombre de la Terre. Un croissant clair, de plus en plus important, envahit progressivement le disque lunaire tandis que la coloration rougeâtre de la partie ombrée recule.

6 h 25 : Sortie de l’ombre

La Lune quitte entièrement le cône d’ombre de la Terre. Elle retrouve progressivement tout son éclat juste avant de se coucher et de laisser place au Soleil. C'est la fin de l'éclipse, ou du moins de sa partie observable à l’œil nu.

Prochains rendez-vous

La prochaine éclipse totale de Lune visible en France aura lieu le 27 juillet 2018. Ce ne sera pas une super-Lune, mais elle sera visible à une heure plus accessible, au coucher du Soleil, à partir de 21 h 30.  La Lune sera alors observable juste à coté de la planète Mars.

Pour voir une éclipse totale de super-Lune semblable à celle de ce 28 septembre 2015, il faudra en revanche patienter jusqu'au 8 octobre 2033, et se munir d'un billet pour... une croisière dans l'océan Pacifique. Cette éclipse ne sera en effet pas visible en Europe, où il sera l'heure du déjeuner à ce moment-là.

Si vous ne comptez pas allez si loin pour voir ce spectacle, votre seul espoir si vous avez moins de 70 ans est d'attendre la prochaine éclipse de super-Lune visible en Europe, le 19 octobre 2051 à partir de 19 h 30... en espérant que la météo soit au rendez-vous.

Personnellement je ne regrette pas du tout d'avoir sacrifié une nuit pour admirer ce spectacle impressionnant de la mécanique céleste. Et vous, avez-vous pu observer ce phénomène et prendre quelques photos ?

J'ai donc recherché une solution simple pour corriger l'inclinaison de mes documents PDF numérisés, et j'ai finalement trouvé cette méthode utilisant Adobe Acrobat Pro (à ne pas confondre avec Acrobat Reader, Adobe Reader, ou Acrobat Reader DC).

Tout d'abord, ouvrez le document que vous souhaitez redresser sous Acrobat Pro. Ensuite, cliquez sur Outils (1) pour ouvrir le panneau latéral correspondant. Si le volet Traitement du document n'est pas présent, ce qui est le cas par défaut, cliquez sur la petite icône (2) en haut à droite du panneau latéral pour faire apparaitre un menu déroulant, comme le montre la capture ci-dessous.

Dans ce dernier, parmi la liste des panneaux proposés, sélectionnez Traitement du document. Vous pouvez également ouvrir ce panneau en passant par le menu principal via Affichage, Outils puis Traitement du document.

Déroulez le panneau Traitement du document si ce n'est pas déjà fait puis cliquez sur Optimiser le fichier PDF numérisé.

Sur la nouvelle fenêtre qui s'affiche, décochez les cases Compression adaptative (1) et Indexation (ROC) (2) puis cliquez sur le bouton Modifier (3) de la section Filtres.

Assurez-vous que le redressement est activé puis cliquez deux fois sur OK. Vous pouvez également essayer les autres optimisations proposées comme la suppression de l'arrière-plan, le détramage ou l'amélioration de la netteté du texte.

Et voilà, avec ça vous devriez pouvoir corriger tous les défauts d'inclinaison de vos documents numérisés. Personnellement je regrette un peu qu'il n'y ait pas un mode "manuel" où l'on pourrait indiquer directement une valeur en degrés, mais ce traitement automatique fonctionne tout de même plutôt bien.

This critical vulnerability allows remote attackers to read arbitrary files on server's file system, even outside the web root. This includes PHP source code, configuration files and system files as /etc/passwd or wp-config.php for example. Furthermore, as you will see below, authentication is generally not required to exploit this vulnerability. Of course, the web server must have read access on the target files.

I tested a few versions between the old 1.10 to the latest 2.6.10, with a freshly installed WordPress 4.1 and the default configuration, and all tested versions were vulnerable. This means that the vulnerability exists since at least 3 years.

Technical analysis

Crayon Syntax Highlighter can highlight from a URL, inline code, or a local file. Here are some examples of normal markup that could be put inside post content in order to highlight code from these three source types:

<!-- Inline code -->
<pre class="lang:php">
    <?php //code to highlight here ?>
</pre>

<!-- URL -->
<pre class="lang:java" data-url="http://example.com/class.java"></pre>

<!-- Local file - the interesting case -->
<pre class="lang:java" data-url="/java_sample/class.java"></pre>

In the local file case, by default, the path given in the data-url attribute is relative to the WordPress root directory. In the plugin settings page, the user can also specify a sub-folder from which this relative path should start. But, as you can see below in this piece of code extracted from crayon, the problem is that there is absolutely no control over the file type or the path given (stored in the variable $url).

// Try to replace the site URL with a path to force local loading
if (strpos($url, $site_http) !== FALSE || strpos($url, $site_path) !== FALSE ) {
    $url = str_replace($site_http, $site_path, $url);
    // Attempt to load locally
    $local = TRUE;
    $local_url = $url;
} else if (empty($scheme)) {
    // No url scheme is given - path may be given as relative
    $local_url = preg_replace('#^((\/|\\\\)*)?#', $site_path . $this->setting_val(CrayonSettings::LOCAL_PATH), $url);
    $local = TRUE;
}
// Try to find the file locally
if ($local == TRUE) {
    if ( ($contents = CrayonUtil::file($local_url)) !== FALSE ) {
        $this->code($contents);
    } else {
        // [...]
    }
}

The given path is simply prepended with the base path at line 79, and then the file's content is loaded at line 84 (the method CrayonUtil::file just calls the function file_get_contents). So, for example, assuming that the administrator hasn't modified the standard WordPress file structure and with the default settings, it's possible to get the database credentials and WordPress secret keys simply by putting the code below inside a post or page content:

<pre data-url="/wp-config.php"></pre>

You can also use a directory traversal attack to reach the root directory and get the content of /etc/passwd for example:

<pre data-url="/../../../../../../../../../../../../../../../../../etc/passwd"></pre>

Of course it's also possible to get the content of theme's source files, .htaccess and .htpasswd files, log files, and other files that could contain highly sensitive information.

But so far, I told you that these exploits must be put inside a post or page, so normally this requires authentication. But the real issue is that unauthenticated visitors can also exploit the vulnerability simply by posting a comment containing the same malicious markup (except when an alternative comment system is used, as Disqus). It's because Crayon can also highlight inside comments, and this feature is enabled by default. This is why I say that authentication is generally not required to exploit this vulnerability.

Even if comments are moderated before publication, the issue remains the same because WordPress display the comment to its author before moderation with a message like "Your comment is awaiting moderation.". So the file content is revealed before the administrator can delete the malicious comment.

You can see bellow a screen capture showing the exploit in action, both inside the post content and a comment before moderation:

Disclosure of /etc/passwd and wp-config.php (click to enlarge)

Vendor response

I sent the initial report of the vulnerability to the plugin author on January 4. He replied quickly and confirmed the issue.

On April 5, he informed me that he had patched the issue. Finally, on April 13, he released the version 2.7.0, which includes this patch.

I thank him for his cooperation and his excellent work.

Remediation

The preferred solution is to update quickly to the latest version (>= 2.7.0), which fix the vulnerability by removing support of local file highlighting.

In the event where you really cannot install the update, an alternative way to limit risks is to disable Crayon in comments, in order to prevent attacks from unauthenticated visitor. But it will still be possible to exploit the vulnerability through a post or page content...

Disable Crayons in comments to prevent unauthenticated attacks

CVSS Score

I evaluate the CVSS Score at 7.8 (AV:N/AC:L/Au:N/C:C/I:N/A:N).

References

Secunia : #63998.
WPVDB : #7904.
OSVDB : #121278.

About me

For non-French speakers that can't read others pages about me on this blog (sorry, it's currently primarly intended to French speakers), I will introduce me briefly in English here so that you can know who am I. I'm Kevin Subileau, 23 years old. I'm not a professional security researcher (yet), but I'm a passionate in computing science, junior system & network engineer by day, and web developer by night, also interested by computing security. You can contact me by leaving a comment below (in English or French), on Twitter or by filling this form (fields are, top to bottom, name / email / subject / comment).

Mais ça, c'était avant. En effet, j'ai récemment découvert une application Android gratuite, qui, combinée à une extension pour Chrome ou Firefox, permet de réaliser cette tâche d'un simple clic. Cette application, c'est Google Chrome To Phone.

Envoi de liens et de textes

Pour commencer, téléchargez et installez l'application Google Chrome To Phone sur votre smartphone ou votre tablette. Au premier lancement, l'application vous demandera le compte Google à utiliser pour le transfert.

Premier lancement de Chrome To Phone

Ensuite, selon votre navigateur, vous devez installer l'extension correspondante. Pour Google Chrome, ça se passe ici. Sur Firefox, elle se nomme FoxToPhone. Une fois installée, vous devriez voir apparaitre une nouvelle icône en haut à gauche de la fenêtre, comme ci-dessous.

L'icône de l'extension, sur Chrome (en haut) et Firefox (en bas)

En cliquant sur cette icône pour la première fois (puis sur le lien Connexion pour Chrome), il vous sera demandé de vous connecter à votre compte Google et d'autoriser l'application à l'utiliser pour le transfert. Bien entendu, vous devez indiquer le même compte que celui que vous avez sélectionné sur votre Android.

Voilà c'est prêt ! Désormais, si vous cliquez à nouveau sur l'icône, la page Web sur laquelle vous êtes sera automatiquement ouverte sur votre smartphone ou votre tablette. Et si c'est un lien Youtube ou Google Maps, l'application correspondante sera lancée. Y'a pas plus simple et efficace, et ça marche aussi si vous n'êtes pas relié au même réseau, y compris en 3G/4G !

Vous pouvez aussi passez par le menu contextuel en faisant un clic droit sur un lien, puis en cliquant sur Chrome To Phone (sur Chrome) ou Envoyer ce lien vers Android (sur Firefox). Pratique pour les liens pointant vers un téléchargement .

Il y a juste une petite limitation : si vous utilisez l'application simultanément sur plusieurs périphériques et avec le même compte Google, les liens seront envoyés à tous les périphériques. Je n'ai pas trouvé de moyen d'en sélectionner un en particulier autrement qu'en utilisant des comptes différents.

Envoi de fichiers et de dossiers

Chrome To Phone ne permet que l'envoi de liens, de textes ou de numéros de téléphone, et uniquement dans le sens ordinateur vers Android. Si vous souhaitez en plus pouvoir envoyer aussi facilement des fichiers et dans les deux sens, vous pouvez essayer l'application Files Drag & Drop.

L'application Files Drag & Drop sur PC et smartphone

Le principe reste le même, vous devez installer l'application sur votre Android et sur votre ordinateur. L'avantage par rapport à Google Drive ou Dropbox est que les fichiers sont transférés directement de pair à pair, et ne passent pas par une plateforme d'hébergement ou un service tiers sur Internet. Ainsi, le transfert est plus rapide et vous pouvez envoyer des données sensibles sans inquiétude. En revanche, contrairement à Google Chrome To Phone, il est nécessaire que le smartphone et le PC soit connecté au même réseau local, et cela ne fonctionne donc pas via la 3G/4G. De plus, pour pouvoir bénéficier de toutes les fonctionnalités sans pub, vous devrez débourser 2€ pour acheter la version complète.

Voilà en tout cas des applications bien pratiques pour faciliter le transfert de données entre votre ordinateur, votre tablette et votre smartphone !

Commençons par quelques statistiques, pour voir un peu ce qui s'est passé en 2014. Et cette année, le moins que l'on puisse dire, c'est que je me suis auto-proclamé roi de la procrastination avec seulement 15 articles publiés, pour un total de 45 articles disponibles sur le site... Mais malgré cela, vous êtes toujours très nombreux à me lire, et ça, ça fait très plaisir !

Pour 2014, mon outil de statistiques (Piwik) m'indique un total de 84242 visites ! Après une forte augmentation l'an passé, la fréquentation s'est stabilisée cette année autour de 6500 visiteurs uniques par mois, comme on peut le voir sur la courbe ci-dessous :

Évolution des visites uniques par mois durant l'année 2014

On retrouve le même trio de tête que l'année précédente concernant les articles les plus lus. A eux deux, les articles sur le suivi d'avion en vol en direct et celui sur le cassage des mots de passe VBA totalisent toujours près de 70 % des vues uniques ! Ils sont suivis par l'article sur la configuration de la page d'accueil d'un onglet sur Firefox, avec 12 % des vues.

Du coté de la répartition des systèmes d'exploitation et navigateurs utilisés, c'est toujours le duo Windows 7 / Firefox qui l'emporte assez largement. Mais surtout, on remarque que Windows 8 arrive 4 points derrière... Windows XP ! Pour mémoire, Windows XP n'est plus mis à jour par Microsoft depuis avril 2014...

Répartition des systèmes et navigateurs utilisés en 2014

Voilà pour les chiffres. En deux ans, je trouve aussi que l'apparence du site a pris un petit coup de vieux. De plus, j'ai appris beaucoup de nouvelles techniques et de bonnes pratiques sur le développement web, en particulier l'utilisation d'outils comme CakePHP, Sass/Compass, Grunt/Gulp, Composer, PHPStorm, PuPHPet... Tout cela en grande partie grâce à Grafikart et à ses excellents tutoriels, que je tiens à remercier et que je vous recommande vivement si vous souhaitez progresser en développement Web.

Bref, tout ça pour vous dire que je travaille depuis déjà quelques mois sur un tout nouveau design, qui, je l'espère, verra le jour très prochainement. Il y a un an, je vous avez d'ailleurs déjà annoncé des nouveautés sur le site. Vous ne les avez sans doute pas vu, et pour cause, elles n'ont pas vu le jour... Pour tout vous dire, le nouveau design était même prévu pour aujourd'hui, mais force est de constater que ce n'est pas prêt et que je suis encore obligé de repousser...  Cela est dû principalement à mes études qui me phagocyte tout mon temps. Je tiens également à prendre le temps nécessaire pour mettre en application mes nouvelles connaissances et ne pas reproduire les mêmes erreurs de conception d'il y a deux ans qui me conduisent aujourd'hui à devoir repartir de zéro...

En cette fin d'année, j'ai également dû lutter contre quelques contraintes techniques. En effet, j'ai atteint mon quota de 200 Mo pour la base de données MySQL de mon hébergement mutualisé. J'ai donc dû trouver des solutions plus ou moins dans l'urgence, et j'ai finalement opté pour un serveur privé virtuel (ou VPS). Pour le moment, j'ai seulement déplacé Piwik, qui prenait beaucoup de place. Je verrai par la suite si je reste comme ça ou si je migre également WordPress.

En attendant, je vous remercie d'être toujours aussi nombreux à me lire et je vous rappelle que vous pouvez vous abonner au flux RSS pour ne louper aucun article, ou également me suivre sur Twitter.

A bientôt et joyeuses fêtes !

Pour améliorer les performances, ou plutôt ne pas les plomber, il existe deux techniques simples, appelées debounce et throttle. Toutes deux permettent de réduire le nombre d'appels à une fonction dans un intervalle de temps donné. En effet, il est souvent inutile d'exécuter ces fonctions à chaque fois que l’événement est déclenché.

Imaginons par exemple que l'on souhaite synchroniser sur le serveur, via des appels AJAX, le contenu d'un champ de saisie au fur et à mesure que l'utilisateur tape le texte (comme le fait Google Docs par exemple). Dans ce cas, plutôt que de solliciter le serveur à chaque caractère saisi ou inutilement lorsque le texte reste inchangé, il peut être plus judicieux de sauvegarder le texte toutes les 5 secondes tant que l'utilisateur le modifie, et de ne plus faire de requêtes lorsque que le texte reste inchangé. Et c'est exactement ce que la fonction throttle permet de faire.

Cependant, bien que ces deux techniques soit assez similaires, il existe une différence fondamentale dans leurs fonctionnements qu'il est important de bien comprendre pour les utiliser correctement.

Je vais donc vous présenter ces deux méthodes l'une après l'autre, en vous expliquant leurs fonctionnements et en vous donnant le code Javascript nécessaire pour les mettre en place.

Debounce

Commençons par la fonction debounce. Cette technique a pour but de n'appeler qu'une seule fois une méthode au début ou à la fin d'une succession de déclenchements d'un événement. Voici tout d'abord le code source de la fonction en question :

/**
 * Retourne une fonction qui, tant qu'elle continue à être invoquée,
 * ne sera pas exécutée. La fonction ne sera exécutée que lorsque
 * l'on cessera de l'appeler pendant plus de N millisecondes.
 * Si le paramètre `immediate` vaut vrai, alors la fonction 
 * sera exécutée au premier appel au lieu du dernier.
 * Paramètres :
 *  - func : la fonction à `debouncer`
 *  - wait : le nombre de millisecondes (N) à attendre avant 
 *           d'appeler func()
 *  - immediate (optionnel) : Appeler func() à la première invocation
 *                            au lieu de la dernière (Faux par défaut)
 *  - context (optionnel) : le contexte dans lequel appeler func()
 *                          (this par défaut)
 */
function debounce(func, wait, immediate, context) {
    var result;
    var timeout = null;
    return function() {
        var ctx = context || this, args = arguments;
        var later = function() {
            timeout = null;
            if (!immediate) result = func.apply(ctx, args);
        };
        var callNow = immediate && !timeout;
        // Tant que la fonction est appelée, on reset le timeout.
        clearTimeout(timeout);
        timeout = setTimeout(later, wait);
        if (callNow) result = func.apply(ctx, args);
        return result;
    };
}

Pour mieux comprendre son fonctionnement, regardons le schéma ci dessous :

Chronogramme de la fonction debounce

Sur la première ligne de cette figure, chaque rectangle bleu représente un déclenchement de l’événement écouté (keydown par exemple). Lorsque deux déclenchements sont espacés par une durée inférieure à une valeur prédéfinie (paramètre wait), on va dire qu'ils appartiennent à une même séquence. Si la durée est supérieure, alors cela marque le début d'une nouvelle séquence.

Sur la deuxième ligne, les rectangles verts représentent les exécutions de la fonction "débouncé" (paramètre func). On remarque alors que la fonction debounce permet d'attendre la fin d'une séquence d'évènement pour effectuer le traitement associé. Si maintenant on reprend l'exemple de la synchronisation d'un champ de texte, cela signifie que l'appel AJAX sera effectué uniquement lorsque l'utilisateur cessera de modifier le contenu pendant une durée supérieure à wait.

Par ailleurs, dans certains cas, il peut être plus intéressant d'exécuter le traitement au début de la séquence plutôt qu'à la fin (comme le représente les rectangles violets). Cela est possible simplement en définissant le paramètre optionnel immediate à true.

L'utilisation concrète de cette fonction est assez simple. Voici un exemple :

function traiterEvenement() {
	// Fonction de traitement de l'évenement
        // (sauvegarde par appel AJAX par exemple)
}

// On limite l’exécution de la fonction traiterEvenement à une fois
// toutes les 5000 millisecondes (5s) au maximum.
var traiterEvenementDebounce = debounce(traiterEvenement, 5000);

// On s'enregistre sur l’événement de saisie clavier
document.querySelectorAll('#field')
        .addEventListener('keydown', traiterEvenementDebounce);

Cependant, ce mode de fonctionnement peut parfois poser problème. Ici par exemple, si l'utilisateur tape son texte en continu pendant plusieurs minutes, il ne sera pas sauvegardé sur le serveur puisque la séquence ne se termine pas. Selon les cas, cela peut être souhaitable ou gênant, c'est à vous de voir. Pour éviter cela, il y a deux solutions :

• Soit réduire l'intervalle entre les séquences (de 5s à 500ms par exemple), en se disant que l'utilisateur ne pourra pas taper longtemps sur son clavier sans jamais s'arrêter moins de 500ms. C'est plutôt vrai, mais du coup on augmente potentiellement le nombre d’exécutions, donc ça risque d'être plus lent et ça perd un peu de son intérêt...
• Soit utiliser la fonction throttle, qui propose un fonctionnement un peu différent.

Throttle

Parlons donc maintenant de la fonction throttle. Ici, comme le montre le chronogramme ci-dessous, on va exécuter la fonction de traitement de l'événement de manière périodique durant la séquence de déclenchements.

Chronogramme de la fonction throttle

Sur cette figure, les rectangles de couleur de la deuxième ligne représentes les exécutions de la fonction func. Attention, par défaut, seuls les rectangles violets sont effectivement exécutés. Pour inclure également les exécutions en début et/ou en fin de séquence (rectangles jaunes et verts), il faut définir respectivement les paramètres leading et/ou trailing à true.

Si on applique cette fonction à notre exemple, cela signifie que le texte du champ de saisie sera sauvegardé sur le serveur par un appel AJAX toutes les 5 secondes par exemple (paramètre wait), et ce tant que l'utilisateur change le contenu. Et si le texte n'est pas modifié, aucun appel n'est effectué. Ce comportement est donc idéal dans ce cas, puisqu'on limite le nombre d'appels au strict nécessaire pour ne pas risquer une perte de données.

Voici donc maintenant le code de la fonction throttle :

/**
 * Retourne une fonction qui, tant qu'elle est appelée,
 * n'est exécutée au plus qu'une fois toutes les N millisecondes.
 * Paramètres :
 *  - func : la fonction à contrôler
 *  - wait : le nombre de millisecondes (période N) à attendre avant 
 *           de pouvoir exécuter à nouveau la function func()
 *  - leading (optionnel) : Appeler également func() à la première
 *                          invocation (Faux par défaut)
 *  - trailing (optionnel) : Appeler également func() à la dernière
 *                           invocation (Faux par défaut)
 *  - context (optionnel) : le contexte dans lequel appeler func()
 *                          (this par défaut)
 */
function throttle(func, wait, leading, trailing, context) {
    var ctx, args, result;
    var timeout = null;
    var previous = 0;
    var later = function() {
        previous = new Date;
        timeout = null;
        result = func.apply(ctx, args);
    };
    return function() {
        var now = new Date;
        if (!previous && !leading) previous = now;
        var remaining = wait - (now - previous);
        ctx = context || this;
        args = arguments;
        // Si la période d'attente est écoulée
        if (remaining <= 0) {
            // Réinitialiser les compteurs
            clearTimeout(timeout);
            timeout = null;
            // Enregistrer le moment du dernier appel
            previous = now;
            // Appeler la fonction
            result = func.apply(ctx, args);
        } else if (!timeout && trailing) {
            // Sinon on s’endort pendant le temps restant
            timeout = setTimeout(later, remaining);
        }
        return result;
    };
};

L'utilisation de cette fonction est semblable à la fonction debounce, hormis les arguments optionnels qui sont différents. Voici un exemple :

function traiterEvenement() {
	// Fonction de traitement de l'évenement
        // (sauvegarde par appel AJAX par exemple)
}

// Ici il est utile d'activer le `trailing` pour traiter le dernier événement
var traiterEvenementThrottle = throttle(traiterEvenement, 5000, false, true);

// On s'enregistre sur l’événement de saisie clavier
document.querySelectorAll('#field')
        .addEventListener('keydown', traiterEvenementThrottle);

Les applications possibles de ces fonctions sont très nombreuses. Ici, j'ai pris l'exemple d'une fonctionnalité d'enregistrement automatique. Mais on peut aussi les utiliser pour repositionner des éléments lors du redimensionnement de la fenêtre, enregistrer des événements sur Piwik sans trop de répétitions, ...

Notez que certaines bibliothèques Javascript, comme Lodash ou UnderscoreJS, fournissent directement ces fonctions. Les implémentations que je vous propose ci-dessus en sont d'ailleurs inspirées. Inutile donc de les dupliquer si vous utilisez déjà une de ces bibliothèques pour votre application Web.

Enfin, bien que je parle ici de Web et de Javascript, je pense qu'il est tout à fait envisageable de reprendre le principe pour d'autres types de développement, y compris des applications bureaux en C++, C# ou Java par exemple. Étant donné la singularité de la syntaxe Javascript, il faudra en revanche revoir entièrement l'implémentation...

Voilà, j'espère que cet article vous aura aidé à comprendre l'utilité et le fonctionnement de ces fonctions. Si vous avez des questions, n'hésitez pas à me les poser en commentaire .

Maj 12/08/2015 :  En complément de cet article, je vous conseille de voir également ce tutoriel vidéo que l'ami Grafikart a publié ce jour.

A chaque fois que vous vous connectez à un réseau filaire ou Wi-Fi, Windows lui associe automatiquement un nom de réseau. Et lorsque vous vous connectez plusieurs fois à un même réseau, il peut arriver que Windows ajoute un nombre derrière ce nom (par exemple : Wi-Fi 1, Auversup sans Fil 2 ...), notamment lorsque vous changer de borne Wi-Fi au sein d'un même réseau. Au fur et à mesure que vous utiliser votre ordinateur, le nombre de réseaux enregistrés peut ainsi considérablement augmenter.

Pour faire un peu de ménage dans tout ça, ou tout simplement renommer ou personnaliser un emplacement réseau, il faut donc accéder à cet écran très discret de Windows 7. Pour cela, à partir de l’icône réseau de la zone de notification en bas à droite de l'écran ou à partir du menu Démarrer, ouvrez le Centre réseau et partage.

Ouvrir le Centre Réseau et partage

Cliquez ensuite sur l'icône de l'emplacement réseau (généralement une maison, un immeuble ou un banc) pour faire apparaitre une nouvelle fenêtre. Qui aurait cru que cette icône soit cliquable ? C'est presque un easter egg tellement c'est pas intuitif !

Cliquez sur l'icône de l'emplacement réseau (encadré rouge)

Dans cette nouvelle fenêtre, vous allez pouvoir changer l'icône et le nom de l'emplacement réseau sur lequel vous avez cliqué.

Mais ce n'est pas tout, puisque en bas de cette même fenêtre, vous pouvez cliquer sur un lien pour fusionner ou supprimer des emplacements réseaux. Une nouvelle boîte de dialogue s'ouvre alors, où sont listés tous les emplacements réseaux enregistrés. Vous pouvez ainsi en sélectionner un ou plusieurs pour les fusionner s'ils correspondent à un même réseau, ou les supprimer si vous ne les utilisez plus.

Enfin, sachez que cet écran est tellement bien caché sur Windows 7 que, d'après mes essais, Microsoft a visiblement jugé bon de le supprimer sur Windows 8 et 8.1. En effet, l'icône n'est plus cliquable.  J'avoue que ce n'est pas forcément une fonctionnalité indispensable, mais elle m'a tout de même été utile quelques fois.

Mais qu'en est-il pour un commit plus ancien ? Imaginez par exemple que vous faites deux commits et que vous vous apercevez d'une erreur sur l'avant dernier, juste avant de pousser le tout sur le dépot public. Pour corriger cette bavure, vous pouvez alors utiliser la séquence de commandes suivante.

Tout d'abord, commencez par identifier le numéro du commit que vous souhaitez modifier. Pour cela, vous pouvez utiliser la commande git log pour afficher l'historique. Disons qu'il s'agit par exemple du commit b8603aca. Utilisez ensuite la commande rebase pour revenir à ce commit :

git rebase --interactive b8603aca^

Bien évidemment, remplacer le numéro de commit par le vôtre dans la commande précédente. Dans l’éditeur de texte par défaut, remplacer pick par edit sur la ligne correspondant au commit que vous souhaitez modifier, puis enregistrez et quittez. Ouvrez ensuite votre éditeur préféré et faites les modifications nécessaires. Une fois que tout est bon, ajouter les fichiers modifiés et les nouveaux avec git add, puis modifier le commit en utilisant la commande suivante :

git commit -a --amend --no-edit

Ensuite, il ne vous reste plus qu'à restaurer les commits suivants avec la commande ci-dessous :

git rebase --continue

Résolvez les éventuels conflits et c’est tout ! Notez bien que cette méthode ne fonctionne que si les commits à partir de celui que vous souhaitez modifier n'ont pas été poussé sur le dépôt public ! Dans le cas contraire, le plus simple reste de faire un nouveau commit pour corriger les erreurs de l'ancien.

En effet, le MBR contient la table des partitions et une routine d’amorçage (un petit programme) permettant de charger le système d’exploitation ou le chargeur d’amorçage (bootloader).

Or parfois, il est possible que le MBR soit endommagé, suite à une erreur de partitionnement ou une infection virale par exemple. Les partitions peuvent alors devenir inaccessibles et le système peut ne plus démarrer en affichant un message d'erreur du type "Boot device not found". Dans ce cas, il suffit parfois de restaurer le MBR pour tout réparer. Encore faut-il avoir une sauvegarde sous la main...

Il y a donc tout intérêt à sauvegarder ces informations essentielles pour pouvoir les restaurer plus tard si nécessaire, d'autant que l'opération est très rapide. Vous devez simplement sauvegarder à nouveau le MBR après chaque repartitionnement ou installation d'un système d'exploitation, car ces opérations en modifient le contenu. La procédure, plutôt simple, est décrite ci-dessous pour Windows et Linux.

Attention toutefois : Les manipulations décrites dans cet article peuvent entrainer une perte de données et même rendre le support inutilisable si elles ne sont pas exécutées correctement ! Tournez 7 fois votre index au-dessus de votre souris avant de cliquer !

Notez également que, pour que la sauvegarde prenne tout son sens, je vous recommande très fortement de l'enregistrer sur un autre support que celui dont vous sauvegarder le MBR (autre disque dur, clé USB, CD-Rom, Google Drive...) pour pouvoir le récupérer lorsque le support sera en panne...

Sur Windows

Sur Windows, un petit utilitaire est nécessaire pour sauvegarder et restaurer le MBR. Parmi tous ceux disponibles sur le Web, je vous conseille MBR Backup pour sa simplicité. Vous pouvez le télécharger directement ici ou sur le site de l'éditeur.

Sauvegarder et restaurer le MBR avec MBR Backup

Pour sauvegarder le MBR, lancez cet outil, sélectionnez dans la liste déroulante le support dont le MBR doit être sauvegardé  et cliquez simplement sur Save MBR.... Choisissez ensuite l'emplacement et le nom du fichier, cliquez sur Enregistrer, et voilà !

La seule petite difficulté est que les disques sont nommés d'une façon un peu particulière dans la liste déroulante (\\.\PhysicalDriveX). Si vous avez plusieurs choix possibles, il n'est pas forcément évident de faire correspondre ces noms aux supports connectés. Or, il faut absolument vous assurer que vous sélectionnez bien le bon. Pour vous aider, commencez par retirer des choix possibles en déconnectant les éventuels autres supports externes branchés et inutilisés, puis relancer l'outil. Si cela ne suffit pas, vous pouvez également taper la commande suivante dans un Invite de commande (cmd.exe) pour obtenir plus d'informations sur les supports associés à ces noms (modèle et capacité) :

wmic diskdrive list brief /format:list

Pour restaurer le MBR, choisissez dans la liste déroulante le support cible, cliquez sur Restore MBR..., validez l'avertissement, sélectionnez le fichier de sauvegarde et cliquez sur Ouvrir.

Le logiciel permet également d'imprimer le MBR (Print MBR...) et de consulter la table des partitions (View Partition Table...).

Remarquez que le fichier de sauvegarde créé et utilisé par l'outil n'est rien d'autre qu'une simple copie brute des 512 premiers octets du support. Il ne s'agit pas d'un format spécifique et il n'est donc pas obligatoire d'utiliser le même outil pour la restauration et la sauvegarde. Vous pouvez même utiliser une sauvegarde faite sur Linux avec la méthode ci-dessous ou restaurer sur Linux une sauvegarde faite avec cet outil sur Windows.

Sur Linux

Sur Linux, tout se passe simplement avec la commande dd. Pour sauvegarder le MBR du disque sda vers un fichier nommé mbr.sav, ouvrez un terminal et saisissez la commande suivante :

dd if=/dev/sda of=mbr.sav bs=512 count=1

La restauration du MBR vers le disque sda à partir du fichier mbr.sav se fait tout aussi simplement avec la commande ci-dessous :

dd if=mbr.sav of=/dev/sda bs=512 count=1

Qui a dit que Linux est plus compliqué que Windows ?

Aujourd'hui, les ruines de ce village ont été conservées quasiment en l'état et il est possible de s'y rendre librement pour se rendre compte par soi-même de toute l'horreur de cette guerre.

Je m'y suis moi-même rendu il y a quelques années, et, pour commémorer aujourd'hui ce bien triste anniversaire, j'ai souhaité partager avec vous cette vidéo que j'ai réalisée à partir des photos prises lors de cette "visite".

Je vous recommande vivement de vous y rendre au moins une fois dans votre vie. Il est clair que ce n'est pas une visite comme les autres, il n'est pas question ici de tourisme ou de détente. Dès l'entrée dans le village en ruine, on est tout de suite pris d'une vive émotion à la vue de ce désastre. On en ressort bouleversé. Mais c'est pour moi un des plus fort témoignages restant en France de l'atrocité des crimes commis lors de la seconde guerre mondiale, et il est important de s'en souvenir pour perpétuer notre devoir de mémoire.

Et pour vous remettre de cette visite forte en émotion, vous pourrez également allez vous détendre au bord du très joli lac de Vassivière, distant d'environ 1H30 de route...

Vous pensiez avoir mis votre navigation Web bien à l'abri des regards indiscrets grâce à votre proxy SOCKS réalisé par exemple via un tunnel SSH ? Détrompez-vous ! En réalité, par défaut, seule une partie de vos communications Web sont protégées par cette méthode. L'essentiel des informations nécessaires pour connaitre les sites Web que vous avez visités passent toujours en clair.

C'est le cas notamment des requêtes DNS, qui ne passent pas par le proxy avec la configuration par défaut de Firefox. Le genre de détail qui tue... En effet, à chaque fois que vous visitez un site, un message indiquant son nom est envoyé en clair ! Il suffit d'intercepter ces messages pour avoir un historique assez détaillé de votre navigation.

Heureusement, il est plutôt simple d'y remédier. Sur Firefox, ouvrez une nouvelle fenêtre ou un nouvel onglet et tapez about:config dans la barre d’adresse, comme ci-dessous, puis validez en tapant sur la touche Entrée.

Vous arrivez alors sur un message d’avertissement vous signalant qu’il peut être dangereux d’apporter des modifications.

Prenez note de cet avertissement, puis cliquez sur « Je ferai attention, promis ! ». Dans la nouvelle page qui s’affiche, recherchez la clé network.proxy.socks_remote_dns en utilisant le champ prévu à cet effet.

Par défaut cette clé a pour valeur false (désactivé). Pour masquer vos requêtes DNS, faites passer la valeur à true (activé) en double-cliquant sur la ligne ou en cliquant dessus avec le bouton droit de la souris puis sur Inverser. Si la clé n'existe pas, vous pouvez la créer en faisant un clic droit sur une zone blanche de la fenêtre, puis en cliquant sur Nouvelle / Valeur Booléenne.

Vous pouvez ensuite fermer la fenêtre ou l'onglet, les modifications sont immédiatement prises en compte.

Attention, si vous utilisez simultanément Google Chrome, le même problème existe également et il faut lancer le navigateur en précisant le paramètre --proxy-server pour le corriger. Idem pour Internet Explorer, où il n'existe en revanche pas de solution à ma connaissance.

Vos requêtes DNS sont maintenant protégées, mais sachez toutefois que d'autres contenus peuvent continuer à être transmis en clair, notamment les contenus Flash comme les vidéos ou les jeux, et vous ne pourrez pas être sûr à 100% que vous êtes totalement intraçable. Si vous souhaitez vraiment vous assurer autant que possible de masquer toutes les communications de votre PC, alors il est préférable de se tourner vers d'autres solutions, comme le VPN ou le réseau Tor.

La particularité de cette classe est qu'elle n'utilise pas une simple moyenne arithmétique pour déterminer la couleur dominante, contrairement à de nombreux scripts disponibles sur le web. En effet, cette méthode donne souvent des résultats plutôt aberrants, avec une couleur moche qui ne ressemble à rien de ce que l'on perçoit dans l'image. Ici, un algorithme avancé de quantification de couleurs est utilisé. Cet algorithme, nommé "Modified Mean Cut Quantizer", est comparable à celui utilisé par la compression JPEG. L'avantage est que les couleurs calculées sont le plus souvent visuellement très proches de celles présentes dans l'image d'origine, comme vous pouvez le voir sur l'exemple ci-dessous :

Un exemple de palette de couleurs obtenue grâce à Color Thief PHP

L'utilisation de la classe est très simple, surtout si vous utilisez Composer, mais peut être assez gourmande en ressources en fonction de la taille de l'image et de la qualité demandée. Je vous conseille donc de conserver le résultat en base de données plutôt que d’exécuter le script à chaque chargement de page. Pour plus d'informations, je vous invite à vous reporter à la documentation sur GitHub.

Les applications de cette classe ne sont limitées que par votre imagination : moteur de recherche par couleur, adaptation des couleurs de l'interface graphique en fonction de l'image affichée... Alex P. Gates a même développé un script PHP capable de modifier la couleur d'une lampe en fonction des couleurs d'une image, en utilisant Color Thief PHP et une lampe Philips Hue.

Enfin, si vous avez besoin de cet outil coté client en Javascript, sachez qu'il s'agit en fait d'un portage d'un script javascript. Vous pouvez donc utiliser le script Color Thief original réalisé par Lokesh Dhakar.

En fait, le plus souvent, il ne s'agit pas d'un problème au niveau du serveur SSH, ni même du réseau de votre fournisseur d'accès Internet. Dans la plupart des cas, la connexion inactive est interrompue par les routeurs NAT (comme votre box Internet par exemple).

En effet, SSH utilise une connexion TCP, et les routeurs NAT conservent une table des connexions TCP actives, et suppriment de cette table les connexions inactives depuis trop longtemps pour faire un peu de ménage, ce qui provoque la déconnexion.

Pour contourner ce problème, il faut faire en sorte que des données (quelques octets suffisent) transitent de manière régulière sur la connexion, même lorsque vous ne tapez rien au clavier ou qu'il ne doit rien être affiché. Les routeurs NAT percevront ainsi la connexion comme étant active, et la conserveront dans leurs tables. La bonne nouvelle, c'est que cette solution est très simple à mettre en place, que ce soit sur Windows avec PuTTY ou sur Linux avec le client SSH de base.

Sur Windows (PuTTY)

Avec PuTTY, dans les propriétés de la session, rendez-vous dans la catégorie Connection, pour définir l'option Seconds between keepalives à une valeur différente de zéro, mais inférieure au délai en secondes au bout duquel vous avez constaté que la connexion inactive était coupée.

L'option bien discrète qui vous épargne une crise de nerf...

Cliquez ensuite sur Open pour ouvrir la connexion ou retournez à l'écran principal pour enregistrer ces paramètres dans votre session.

Sur Linux

Sur Linux, il y a plusieurs possibilités selon ce que vous souhaitez faire précisément. Si vous êtes administrateur de la machine cliente (root) et que vous souhaitez corriger ce problème pour tous les utilisateurs, il faut éditer le fichier /etc/ssh/ssh_config. Si vous préférez appliquer les réglages que pour vous, éditez le fichier ~/.ssh/config (créez-le s'il n'existe pas). Dans les deux cas, voici ce qu'il faut mettre :

Host *
    ServerAliveInterval 60
    ServerAliveCountMax 2

L'option ServerAliveInterval 60 signifie que des données seront envoyées toutes les 60 secondes pour demander au serveur de confirmer que la connexion est toujours ouverte, et permet au passage de garder une connexion active au niveau des routeurs NAT.

L'option ServerAliveCountMax 2 indique au client SSH de considérer la connexion comme fermée si l'on ne reçoit pas de réponse après deux demandes de confirmation. Mais ici, ce n'est pas ce qui nous intéresse le plus.

Par ailleurs, si vous êtes administrateur du serveur SSH, vous pouvez également mettre la configuration suivante dans le fichier /etc/ssh/sshd_config pour corriger le problème pour tous les clients qui se connectent à ce serveur :

ClientAliveInterval 300
ClientAliveCountMax 2

Le principe reste le même que pour la configuration côté client, seul les noms des paramètres changent. Toutefois n'oubliez pas de redémarrer le service SSH pour que ces changements de configuration soient pris en compte (/etc/init.d/ssh restart par exemple).

Enfin, si vous ne souhaitez pas modifier votre configuration de manière persistante, vous pouvez utiliser une option de la ligne de commande du client SSH :

ssh -o "ServerAliveInterval 60" user@domain

On ne sait jamais, j'ai quand même tenté de le passer au congélateur. Cette technique un peu risquée peut fonctionner certaines fois, mais ce ne fut pas mon cas. J'ai alors décidé de l'ouvrir pour voir ce qu'il s'était passé exactement à l'intérieur du disque au moment du choc. L'occasion également d'observer de manière concrète le fonctionnement d'un disque dur, et de faire cette petite vidéo pour vous montrer tout cela :

On voit tout d'abord que ce disque dur de 500 Go (un Toshiba MK5059GSXP) est composé de 2 plateaux et donc 4 têtes de lecture/écriture. Malgré le choc, tous les éléments semblent en bon état à première vue. Mais en y regardant de plus près, on remarque qu'une des têtes s'est décrochée de son support, comme on peut le voir dans la vidéo et sur la photo ci-dessous. On comprend tout de suite mieux pourquoi la technique du congélateur ne pouvait pas fonctionner ici...

Par comparaison, on remarque l'absence d'un petit composant noir, la tête de lecture/écriture, à l'extrémité de la flèche rouge.

Il faut noter que la photo macro donne une fausse impression de la taille des éléments. En réalité, ce petit composant noir à l'extrémité du bras mesure sans doute moins d'un millimètre, et est à peine visible à l’œil nu.

On voit ensuite sur la vidéo que les têtes se baladent sur les plateaux en grinçant, puis reviennent brutalement sur la position de parking en claquant. En fait, lorsque le disque dur démarre, je pense qu'une des étapes d'initialisation de l'électronique embarquée dans la carte contrôleur est de chercher le début du disque (le premier secteur). Mais comme il manque une tête, l'électronique ne parvient plus à lire une des 4 surfaces inscriptibles. La carte contrôleur détecte cette anomalie et se réinitialise, provoquant le retour des têtes à la position de parking. Les grincements sont provoqués par l'extrémité du bras sans tête, qui frotte contre la surface du plateau.

Il faut savoir qu'en temps normal, la tête ne touche pas le plateau, mais flotte au-dessus à environ 3 nanomètres (5000 fois plus petit que le diamètre d'un cheveu et plus petit qu'un virus) grâce à un coussin d'air formé par la rotation des plateaux. Cela peut paraitre insignifiant, mais c'est pourtant vital pour ne pas endommager la surface des disques et permettre la conservation des données. C'est pour cela qu'il ne faut pas ouvrir un disque dur encore en état de marche, sous peine de l'endommager sérieusement, car une poussière qui vous paraîtrait toute petite est en fait gigantesque à cette échelle. Si elle se dépose à la surface du disque, il y a une forte chance qu'elle perturbe la lecture d'un secteur.

Quant à moi, j'ai renoncé à récupérer mes données et réparer mon disque dur. Cela n'était pas totalement impossible, il aurait fallu remplacer les têtes de lecture/écriture. Mais la probabilité de réussite restait mince. Et de toute façon, la plupart des données étaient sauvegardées sur mon NAS !

Moralité : ce n'est pas une légende, faire des sauvegardes, ça sauve la vie !

Voilà un commentaire plus que suspect...

Cette attaque s'appuie sur plusieurs fonctions (mfunc, mclude, et dynamic-cached-content) présentes sur les versions vulnérables (W3TC ≤ 0.9.2.8 ou WPSC ≤ 1.2), et permet d'exécuter un code PHP arbitraire sur le serveur. Autant dire que l'on peut tout faire ! Pour comprendre, il faut savoir qu'un site WordPress avec une version vulnérable d'un de ces plugins va exécuter le code PHP situé à l'intérieur de la balise ouvrante mfunc. Par exemple, le code <!--mfunc echo PHP_VERSION; -–><!–-/mfunc-–> va afficher la version de PHP utilisé.

Cette fonctionnalité permet initialement au développeur du site d'indiquer les éléments qui ne doivent pas être mis en cache par le plugin, comme par exemple la date ou le temps de génération de la page. Le code compris dans cette balise est alors exécuté à chaque fois, tandis que le reste de la page est mis en cache.

Le problème est que WordPress autorise par défaut l'utilisation d'un certain nombre de balises HTML dans les commentaires, y compris les balises de commentaire HTML (<!-- et -->). Il est donc possible pour un visiteur malveillant d'injecter des balises mfunc dans le site, et donc du code arbitraire, en postant un simple commentaire comportant cette balise. WordPress ne la filtrera pas puisqu'elle sera interprétée comme un simple commentaire HTML, et elle sera donc stockée en base de données. En revanche, lorsque la page affichant le commentaire sera rechargée, le plugin de cache exécutera le code PHP intégré conformément à la fonctionnalité précédemment décrite.

Analyse détaillée de l'attaque

Regardons maintenant plus en détail les tentatives d'attaques que j'ai reçues. Voici tout d'abord le contenu complet des commentaires que l'on a tenté de déposer :

On peut voir que l'attaque vise à évaluer un code PHP encodé en base 64. Mais qu'y a-t-il derrière cette chaîne de caractères imbuvable ? Le décodage en utilisant la fonction base64_decode nous donne ceci :

L'objectif est donc d'écrire dans le fichier wp-content/cache/qwkmrn.php le code PHP suivant :

Le code est pollué par des commentaires inutiles que l'on peut retirer simplement en utilisant la fonction php_strip_whitespace ou la commande php -w. Voici ce que cela donne après ce nettoyage :

Une fois encore, on se retrouve face à une évaluation d'un code encodé en base64. Après un second décodage, on obtient le code suivant :

Le code est encore une fois pollué par des commentaires inutiles. Mais au final, après nettoyage, on obtient un code très simple :

L'attaquant dispose alors d'un shell PHP qui va lui permettre d’exécuter à distance les commandes qu'il souhaite simplement en les passant en paramètre de la page http://sitecible.com/wp-content/cache/qwkmrn.php?nmdxp=. Une backdoor a été introduite, et votre site se retrouve totalement aux mains du pirate...

Comment se protéger ?

Tout d'abord, si vous utilisez toujours une version vulnérable (W3TC ≤ 0.9.2.8 ou WP Super Cache ≤ 1.2), il est indispensable que vous mettiez immédiatement à jour votre site. Ensuite, vous pouvez mettre en place un système de filtrage des spams sur les commentaires, tel qu'un captcha, un honeypot ou le plugin Akismet. Enfin, assurez-vous également que tous les commentaires passent par une étape de modération, ou, à défaut, utilisez un service externe tel que Disqus.

NB : Le code est volontairement sous forme d'image, ce serai bête de risquer de s'auto-attaquer...

Si vous souhaitez renommer cette nouvelle connexion pour lui donner le nom de l'ancienne (c'est à dire retirer le chiffre), Windows le refusera en indiquant qu'une connexion avec le nom spécifié existe déjà. En fait, Windows ne sait pas que l'ancienne connexion ne sera plus jamais utilisée, et la garde donc en mémoire à vie afin de lui attribuer le même nom dans l'hypothèse où elle serait à nouveau utilisée.

Pour pouvoir attribuer à nouveau un nom précédemment utilisé pour une autre carte réseau, il faut donc indiquer à Windows que cette carte ne sera plus jamais utilisée en la désinstallant. Pour cela, ouvrez une fenêtre d'invite de commande (Menu Démarrer/Tous les programmes/Accessoires/Invite de commandes), puis tapez les commandes suivantes :

set DEVMGR_SHOW_NONPRESENT_DEVICES=1
devmgmt.msc

Dans la fenêtre du gestionnaire de périphérique qui s'affiche alors, cliquez sur Affichage puis Afficher les périphériques cachés. Cela permet d'afficher les cartes réseau déconnectées mais toujours installées. Dans la liste des périphériques, déroulez la rubrique Cartes réseau, puis supprimer les cartes qui ne vous sont plus utiles en effectuant un clic droit puis Désinstaller. Attention toutefois à ne pas désinstaller une carte encore utilisée sous peine de devoir la réinstaller ! Pour vous y retrouver, sachez que la petite icône à gauche du nom de la carte réseau apparait légèrement plus claire si cette carte n'est pas physiquement connectée à l'ordinateur.

Une fois ce nettoyage correctement effectué, vous devriez désormais pouvoir renommer vos connexions réseau en attribuant des noms précédemment utilisés.