colin@
colino.net

I had, until recently, a problem when it came to test memory on the nodes in my lab. Until now, I was able to PXE boot memtest+, but had to go down to the lab and plug a screen to check the output. Multiple annoyances: first I had to move my ass to the lab room, then I add to do some difficult things to plug a screen to the node, then I had to come back from time to time and look at the output. All of these right in front of the cooling units, which blow some really cold air now that they work correctly.

This morning I investigated in the source code of memtest+ and found out it supports output to serial consoles since recently!

A little upgrade later, I can now boot memtest+ with the console=ttyS0,57600 command line parameter and just watch my serial line output, without moving at all! Yay!

DEFAULT memtest console=ttyS0,57600

LABEL memtest

KERNEL images/tools/memtest

Viva PXE!

(Btw for those who’ll find funny to use DEFAULT memtest… PXE boot choices are updated via a cgi script called from an intranet tool, which itself is wrapped in a little GTK systray applet. This applet allows to reboot, shut down, power on, reinstall various distributions, follow serial line, open an ssh connection, on the lab’s nodes. This tool is also useable via command line for scripting power).

Encore une fois aujourd’hui, j’ai entendu quelqu’un expliquer que ne pas respecter le code de la route à vélo, ça fait perdre des points sur son permis. Comme ça commence à m’agacer, je l’écris:

Conformément à une circulaire du 23 novembre 1992, il ne peut y avoir retrait de points que pour les infractions commises au moyen de véhicules pour la conduite desquels un permis de conduire est exigé. (3.1d)

Griller un feu rouge, prendre un sens interdit, faire des excès de vitesse sur la rocade… Vous pouvez faire tout ceci à vélo, et vous risquerez une amende pécuniaire - mais certainement pas un retrait de points sur votre permis.

De la même manière, vous pouvez faire n’importe quoi à rollers et vous exposer à une amende maximale de 4 €, si vous vous faites choper sur la route : en tant que piéton (statut légal des personnes à rollers ou skate board), l’article R.412-34 de code de la route vous interdit d’utiliser la chaussée lorsqu’un trottoir existe. 4 €, pas plus, pas moins.

Hier, j’ai essayé de déclarer mes impôts en ligne sur www.impots.gouv.fr. Jusqu’ici, ça marchait impeccablement depuis 2003 pour moi. Hier, j’ai eu des soucis:

• Avec Firefox 3 beta 5, ça plante dès le début avec une zone d’applet grisée et “Applet signview bail” dans la barre d’état du navigateur. Qu’à celà ne tienne!
• sudo apt-get install firefox-2
• Avec Firefox 2, pas de java. Un symlink manquant: sudo ln -s /etc/alternatives/xulrunner-1.9-javaplugin.so /usr/lib/firefox/plugins/
• Ensuite, avec Firefox 2 toujours, la déclaration elle même se passe bien; le seul problème est au moment de la signature numérique: “Erreur technique (n° 100)“. Argh!

Finalement, voici comment en 2008, j’ai réussi à déclarer mes impôts avec mon ordinateur sous Linux:

Je pense que c’est de la faute de Sarko.

I recently experimented with ads on the blog. Ten days later, I’m now sure they’re not worth the inconvenience/uglyness. They brought me a grand total of $0.16, which means $0.016 per day, approximately €0.010. Bye ads :-)

…rocks.

A user told us on the mailing list that he got a crash. It was SIGXFSZ, File size limit exceeded… Due to the protocol log file growing too much, probably 2 or 4 gigabytes…

The end of his log reads:

IMAP4< 8918737 OK Status completed.

The number at the left is the transaction id of the IMAP protocol, incremented by 1 on every command. That means almost 9 millions commands :-) Our user started Claws Mail on March 10, it crashed on April 17 only due to the log file.

Comforting to read that :-)

A few days ago I was annoyed at hard disks, after the little one in my iPod died. I considered buying a brand new iPod, but I didn’t really want to spend 250 euros on a shiny new mp3 player that has a color screen, whereas my scratched old mp3 player with its black and white screen… plays music just as well, and that’s all I want.

So I ordered just the hard disk from an Ebay seller (which I recommend if you need the same…) for only 40 dollars. I received it today, swapped the disks, and reformated the iPod following a nice howto which spared me the shame of begging a colleague for a Windows machine with iTunes installed. (Yes, it’s a geeky howto involving fdisk and dd, but I’m not scared at all by the shell, and I don’t care about whether it’s user friendly or not. It’s Colin friendly, and that’s all I want).

And now it works again just fine, and gained 10GB of capacity in the process :-)

I’m experimenting with ads on the blog; they should be FOSS-oriented and not too intrusive… I’ll see in a few weeks whether that’s interesting to keep or not.

Hard disks are fragile. I know it since a while, and I’m prepared: I have good, up to date backups made automatically every night or week, depending on the data’s importance. OK, I know it! but I’m getting tired of it: Saturday, smartd reports read errors on my server’s /dev/hdc. I order two IDE disks (in order to have a spare available next time). Sunday, my mother calls me for help: her iBook’s hard disk has failed utterly just before she did a migration to her new laptop. 4 years of data lost; doing backups was on her to-do list since a year, but the old saying is verified again: no one does backup properly until they experience a loss of important, unique data (like digital pictures or emails). And today, I get on my train back from work, power on the ipod, but no music for me:

I ordered an 1.8″ disk (for about eight times less than a new iPod, but still, it’s annoying.)

En français - Saine paranoia, partie IV : pourquoi les laisse-t’on faire ?

“Mais que fait la police”, vous demandez-vous… Il paraît surprenant que ce genre d’activités reste impunies. En effet ! Les responsables et bénéficiaires de ce genre d’arnaques sont en général recherchés, et parfois arrêtés. Cela reste, hélas, rare, car ils sont souvent suffisamment prudents pour éviter de laisser des traces directes les incriminant. Certains, en général les Veuves du Regretté Général Machin, utilisent des comptes emails jetables (sur hotmail, yahoo, etc) étant donné qu’ils ont besoin de correspondre ensuite avec leurs victimes pour transformer l’essai. Ils ne se connectent sur ces comptes que par des cybercafés, des proxys anonymisants, etc : jamais de leur accès internet chez eux.

Les autres, les arnaqueurs à large spectre ainsi que les spammeurs, utilisent des réseaux de machines piratées (appelés Botnets). Ces machines peuvent être des serveurs mal sécurisés, ou encore de simples ordinateurs de particuliers qui ont attrapé un virus - car maintenant, les méchants virus destructeurs de données, programmés par de petits génies de l’optimisation et de la discrétion, sont chose rare. La plupart des virus actuels se contentent de se cacher sur votre ordinateur, ne causent aucun dégât afin d’éviter d’être repérés, et transforment votre ordinateur en plaque tournante d’arnaques - c’est beaucoup plus rémunérateur à long terme. Dans votre dos, votre PC enverra donc de nombreux spams, un serveur Web y sera installé qui contiendra une copie du site de Paypal ou autre, etc.

Le mode de propagation principal de ces virus est, là aussi, l’email - provenant d’un autre PC infecté. Lorsque vous recevez un mail avec des photos d’une quelconque célébrité à poil, une vidéo marrante à regarder, ou encore un faux retour d’email avec une pièce jointe, la plupart du temps, un virus dans la pièce jointe attend sagement que votre curiosité vous pousse à l’ouvrir. Le fait que l’email en question provienne d’un inconnu ou d’un contact connu (ami, etc) n’y change rien : l’adresse d’expéditeur est fausse et trafiquée. Soyez sûr d’avoir un bon antivirus à jour.

Le moyen le plus efficace de se débarasser de ces nuisibles, puisque les arrêter est difficile, serait de rendre l’activité moins rémunatrice et plus compliquée. Certains (rares) fournisseurs d’accès Internet coupent l’accès à leurs abonnés chez lesquels ils détectent un trafic suspect (milliers d’emails envoyés, etc) jusqu’à désinfection, mais la plupart ne le fait pas, étant donné que lesdits abonnés râlent quand cela leur arrive.

In english - Sane paranoia, part IV : Why aren’t they stopped?

It sounds surprising that this kind of activities aren’t punished. Indeed! The individuals responsible for (and who benefit from) such scams are generally actively wanted by the authorities, and sometimes arrested. This is, unfortunately, rare, because they’re often cautious enough to avoid leaving directly incriminating trails. Some of them, generally the Widows of the Regretted Late General Blahblah, use throw-away email accounts (on hotmail, yahoo, …), as they’ll need to correspond with their victims in order to cash in on their scam. They only connect to these accounts from cybercafes, anonymous proxies, and so on; never from their own internet account at their place.

The others, the large spectrum scammers and the spammers, use networks of pirated computers (called Botnets). These computers can be badly securised servers, or simply private computers who got infected by a virus - these days, rare are the mean, destructive viruses that we were used to. The majority of modern viruses just hide in your computer, cause no visible harm in order to avoid being detected, and turn your computer into a so-called zombie, spewing out hundreds and thousands spams every hour, getting a web server serving a copy of Paypal’s site, and so on.

The main propagation mode of these viruses is, as usual, email - often coming from another infected computer. When you receive a message with pictures of a random celebrity naked, a funny video to watch, or sometimes, a fake email bounce with an attachment… most of the time, there’s a virus in the attachment waiting for your curiosity to make you open it. The fact that said email comes from a random stranger or a known contact (best friend, wife, boss, …) is irrelevant: the sender’s address is faked and doesn’t mean anything. Make sure you have a good, up-to-date antivirus.

The best way to get rid of these parasites, as arresting them is difficult, would be to render their activities less financially rewarding and more complicated. Some rare Internet service providers cut their subscribers’ access when they detect suspect traffic (thousands of sent emails over a short period of time, for example); but most don’t, as this process is rarely well-received by the affected people.

En français - Saine paranoia, partie III : les arnaques ciblées

Les précédents comptaient bien vous avoir. Leur technique, qui fonctionne, requiert tout de même du courage. Il en faut, pour correspondre avec une centaine de pigeons en parallèle, leur extorquer le maximum par la persuasion, continuer avec la dizaine restante, les presser jusqu’à la moëlle, avant de recommencer avec de nouvelles victimes potentielles.

Ce serait quand même vachement plus pratique de n’avoir rien à faire pour arnaquer les gens, n’est ce pas. C’est la catégorie des arnaqueurs paresseux, qui a monté un autre type d’email piégé… L’email de phishing. Comme son nom l’indique, il s’agit là d’aller à la pêche, mais à la pêche à la nasse, pas question de s’enquiquiner à attendre que ça morde. (la faute d’orthographe dans phishing n’en est pas une. Elle indique la nature cybercrime de la chose).

Les emails de phishing se présentent généralement sous la forme d’alertes de sécurité, de la part de grands sites très connus où l’on peut manipuler de l’argent - Paypal, Ebay, votre banque…

Ces emails seront inquiétants :

Cher Membre PayPal,
En raison des mesures de securité que vous offre PayPal, vous êtes prié de suivre les étapes fournies et de confirmer vos informations en ligne pour la sûreté de vos comptes. Cependant, la non-comfirmation de vos informations peut avoir comme conséquence la suspension provisoire de compte.

(Fautes de français laissées intactes).Suivra un bla-bla habituel sur les procédures de sécurité :

Veillez à ne jamais communiquer votre mot de passe à des sites frauduleux. Pour accéder de manière sécurisée au site PayPal, saisissez l’URL PayPal (https://www.paypal.com/fr/) pour accéder au site authentique de PayPal.

Rassurantes, ces procédures de sécurité ! S’ils me disent tout ça, ça devrait être un vrai mail, n’est ce pas ? Un pirate ne se couperait pas l’herbe sous le pied ainsi ?

Ben si. Ça marche mieux comme ça, car, malgré les lignes précédentes, la plupart des gens cliqueront quand même là :

Vous êtes prié de suivre les étapes fournies et de confirmer vos informations en ligne pour la sûreté de vos comptes. Cliquez ici pour commencer la procedure.

Vous avez cliqué ? Ici j’ai modifié le lien pour pointer sur un site totalement différent et inoffensif ; mais le mail en question vous aurait renvoyé sur un site qui n’est pas celui de Paypal, mais qui y ressemble à s’y méprendre. Sur celui-ci, on vous aurait demandé de remplir toutes les informations demandées par Paypal (dont votre mot de passe, numéro de carte bancaire, et même parfois, code secret de carte banquaire). La page d’aide de Paypal à ce sujet détaille bien la chose.

J’ai pris Paypal comme exemple ici, mais ne vous en faites pas, vous recevrez de faux emails du même genre “de la part” de votre banque, Ebay, votre fournisseur d’accès Internet (souvent “nous avons détecté des activités illégales sur votre compte”, mais pas seulement), etc.

Ne cliquez jamais sur aucun lien, d’aucun email provenant d’un site qui gère pour vous des choses importantes, comme votre argent. En cas de doute, connectez-vous via votre raccourci enregistré, ou en tapant l’adresse à la main. Si le site avait quelque chose à vous signaler, ce sera via le site lui-même, pas via email.

Partie IV - Pourquoi les laisse-t’on faire ?

In english - Sane paranoia, part III: targeted scams

The previously mentioned scammers hoped to get you, but their method, although it works, still requires a certain amount of motivation. One needs motivation to manage corresponding with a hundred of possible targets at once, squeeze the most out of them using persuasion, continue with the remaining dozen, go as far as possible, and restart the whole process with new potential victims.

Wouldn’t it be much more practical to be able to scam large numbers of people almost automatically? It’s exactly what lazy scammers thought, and implemented in another kind of trap email: the Phishing email. As its name implies, it’s about going to fish, but using a net - no bothering and waiting for bites!

Phishing emails generally look like security alerts from big, known and trusted e-commerce websites that manipulate money - Paypal, Ebay, your bank…

These emails will be scary:

Dear PayPal customer,We recently reviewed your account, and we suspect an unauthorized transaction on your account. Protecting your account is our primary concern. As a preventive measure we have temporary limited your access to sensitive information.

These emails will usually have a few paragraph about the importance of security procedures:

Make sure you never provide your password to fraudulent websites: To safely and securely access the PayPal website or your account, be sure to verify the link found in the address bar. This must be https://www.paypal.com/.

These security procedures really are reassuring, aren’t they? If they warn me about security, that must be a real email, isn’t it? A mean bad guy wouldn’t screw himself up this way?

Well, yes, he would, because its works better like that. Just write these security procedures, and be sure that most people would still click on the link just after:

We require you to complete an account verification procedure as part of our security measure. You must click the link below to securely login and complete the process. Click here to activate your account.

Did you click? Here, I changed the link to point to a totally different and inoffensive website; but the quoted email would have sent you to a website that isn’t Paypal’s, but that looks exactly the same. On this fake website copy, you would have been asked about a lot of information (including your password, credit card number, and even, sometimes, credit card’s PIN code). Paypal’s help page about the subject explains this really well.

I used Paypal as an example here. But don’t worry! You’ll also get fake mails “from” your bank, “from” Ebay, “from” your Internet Service Provider (usually along the lines of “we detected illegal activity from your account” - but not only), and much more.

Never click any link on any email from any site handling important things like your money. If in doubt, log in via your bookmark, or type the address yourself. If the website has something to warn you about, it’ll do so via the site itself, not via email.

Part IV - Why aren’t they stopped?