la Tourmentine

Hier soir, en allant faire un tour sur le site de ma banque, le plugin Calomel SSL Validation m'a reporté un score plutôt très moyen; intrigué, j'ai voulu voir ce que ça donnait en général (coïncidence ou pas, nos voisins ce sont posé la même question il y a peu) sur la plupart des banques présentes en France. Eh bien ce n'est pas folichon: si il y a une grosse moitié de "bien mais pas top", les autres sont plutôt catastrophiques (je précise que cela ne concerne que l'espace client, pas les éventuelles pages de paiement):

• Crédit Agricole: B (RC4, pas de TLS 1.2, signature faible...)
• BNP-Paribas: B (RC4, signature faible, SSL3 (!)...)
• Crédit Mutuel: B (RC4, pas de TLS 1.2, signature faible...)
• CIC: B (RC4, pas de TLS 1.2, signature faible...)
• HSBC: B (RC4, signature faible, SSL3 (!)...)
• AXA Banque: B (RC4, pas de TLS 1.2, signature faible...)
• LCL: B (RC4, pas de TLS 1.2, signature faible...)
• Groupama Banque: F (RC4, signature faible...et vulnérabilité MITM)
• Banque Populaire: F (RC4, signature faible, et surtout...vulnérabilité Poodle)
• La Banque Postale: F (RC4, signature faible, et surtout...vulnérabilité Poodle)
• Caisse d'Épargne: F (RC4, signature faible, et surtout...vulnérabilité Poodle)
• Société Générale: F (RC4, SSL3, vulnérabilités Poodle et MITM...)

Mention spéciale à la société géniale, qui non contente de se payer une liste de problèmes longue comme le bras, cumule les vulnérabilités Poodle et MITM...autant dire que j'aimerais pas avoir un compte chez eux.

Quant aux banques en lignes, on pourrais les croire irréprochables...mais pas forcément:

• ING Direct: A (signature faible)
• Boursorama Banque: A- (signature faible, pas de Forward Secrecy)
• Fortuneo: C (RC4, signature faible...plus SSL3 et vulnérabilité Poodle)

Étant chez un des mauvais éleves de la liste ci-dessus, j'ai envoyé un petit message via mon espace client (sécurisé en https, lol) pour demander quelques explications...pour l'instant pas de réponse, ormis un accusé de réception envoyé 24 heures plus tard.

Juste pour dire que le bug bizarre qui m'a poussé à changer de thème était tout bonnement dù à Dotclear, comme quoi ça arrive même aux meilleurs.

Retour à la normale et au thème "FallSeason".

Je devais mettre à jour git à cause de la faille rigolote d'il y a quelques semaines, mais utilisant un OS moderne et sensible à la casse (FreeBSD), je n'étais pas pressé.

J'ai fini par le faire, en utilisant pkg, le gestionnaire de paquets binaires. Dans la pile de dépendance figurait la mise à jour de perl de la version 5.16 vers la 5.18, pétant six sondes de monitoring au passage, car les modules qu'elles utilisaient n'avaient pas été mis à jour.

Ça fait plaisir de voir que les mises à jour binaires se passent aussi mal qu'en utilisant CPAN.
 

Tiens, ça me rappelle la fois où entre deux versions "mineures", ils ont changé des nom de fonctions. Quels déconneurs ces mongers.

J'aime beaucoup nginx. Malheureusement, il possède quelques défauts horripilants, voir pénalisants dans un cadre professionnel, comme sa conception monolithique (recompilation à chaque ajout de module...), ou le manque de support syslog (à moins de tenter la version instable ou de prendre une licence qui coûte un bras et demi).

Heureusement, les p'tits gars de Taobao (groupe Alibaba) ont forké le projet il y a quelques années et ont corrigé les manques cités ci-dessus, tout en assurant une compatibilité totale avec nginx; cela à donné Tengine.

La compatibilité est tellement totale que l'exécutable s'appelle pareil, rien à changer dans la conf si ce n'est d'ajouter une section dso {} contenant les modules à charger. 

Hormis l'upload que je n'ai pas testé, les perfs sont à peu près identiques pour les deux softs. Quand à la stabilité...l'avenir en jugera !