Damien Clauzel

Non, tu ne peux pas visiter mon labo, et ce n'est pas grave

Damien Clauzel — Fri, 27 Mar 2026 11:28:00 +0100

Des gens demandent régulièrement à visiter mon laboratoire de recherche. Malheureusement la réponse est non.

Il y a ~15 ans on a eu l’obligation de mettre en place une politique de sécurité, avec une vraie PSSI (liste des assets matériels et immatériels, accès basés sur rôles…).

Avant, les étudiants pouvaient entrer et circuler librement à notre étage, afin de venir discuter avec nous de leurs cours. On recevait facilement des visiteurs pour des projets de recherche et des partenariats public-privé.

Mais notre laboratoire de recherche — comme énormément d’autres — a des aspects sensibles : données de centrales nucléaires, équipements spécifiques, travaux de recherche… bref, les trucs qui titillent le fonctionnaire de sécurité défense du ministère de l’Enseignement supérieur 😜 Sans compter les dramas à base de Vigipirate et d’étudiants chinois.

Donc les portes sont sécurisées, les visiteurs déclarés et identifiés, et les réunions avec les étudiants se font sur rendez-vous.

Oui, on peut toujours faire entrer des gens. Mais au fond, pourquoi ? Il n’y a vraiment rien d’intéressant : juste des bureaux avec des ordinateurs et des tableaux couverts de craie. Par contre c’est vrai qu’on a un joli coin café avec des cafetières bien bourrines, et l’espace détente a des coussins moelleux. Mais à part ça, bof. Vous trouverez la même chose dans une médiathèque.

Brève histoire des technologies de virtualisation : Xen, VMware, KVM, et QEMU

Damien Clauzel — Fri, 17 Oct 2025 16:19:00 +0200

Remarque liminaire : ce document est une ressource pédagogique créée pour mes élèves, je la publie ici via une conversion brutale pour DotClear.

Lecteurs ciblés : Master 2 en informatique
Connaissances prérequises :
- architectures matérielles
- technologies des systèmes d’exploitation

Brève histoire des technologies de virtualisation : Xen, VMware, KVM, et QEMU ^[1]

Contexte

L’évolution des technologies de virtualisation sur architecture x86 représente l’un des aspects les plus significatifs de l’informatique moderne. Son histoire illustre comment les contraintes architecturales du processeur x86 ont conduit au développement de nouvelles solutions, puis de nouveaux paradigmes. Les quatre technologies abordées ici — Xen, VMware, KVM et QEMU - ont chacune apporté des approches distinctes pour résoudre les problèmes fondamentaux de la virtualisation x86. L’aboutissement actuel étant l’informatique par l’approche du nuage.

En complément de ces aspects techniques, la virtualisation répond aussi à des motivations économiques et opérationnelles fortes : consolidation des serveurs physiques, réduction des coûts d’infrastructure, meilleure résilience, flexibilité de déploiement… Mais tout ça on s’en fout ici.

Le défi fondamental de la virtualisation x86 : les anneaux de protection et leurs contraintes

Rappel : l’architecture x86 implémente un système de protection à quatre niveaux, appelés « anneaux de protection » (nommés de ring 0 à ring 3). Les systèmes d’exploitation non-ésotériques utilisent principalement deux de ces anneaux : le ring 0 pour l’espace noyau (kernel space) avec les privilèges maximaux, et le ring 3 pour l’espace utilisateur (user space) avec des privilèges restreints (1, 2) . Cette organisation hiérarchique garantit l’isolation et la sécurité du système en empêchant les applications utilisateur d’accéder directement aux ressources matérielles critiques.

Le problème fondamental de la virtualisation x86 réside dans l’existence d’instructions sensibles non privilégiées. Selon les critères de Popek et Goldberg (3, 4) , une architecture est virtualisable si toutes les instructions sensibles sont privilégiées. L’architecture x86 viole cette condition : certaines instructions se comportent différemment selon l’anneau d’exécution sans générer d’exception (trap). Ces instructions peuvent lire l’état du processeur ou modifier la configuration du système sans déclencher une interruption permettant à l’hyperviseur d’intervenir. C’est ce qu’on appelle pudiquement « le problème ».

Cette particularité architecturale signifie qu’un système d’exploitation conçu pour s’exécuter en ring 0 ne peut pas fonctionner correctement s’il est déplacé en ring 3 sans modifications. Les instructions privilégiées échoueront silencieusement ou produiront des résultats incorrects, compromettant la stabilité et la sécurité du système virtualisé.

La première solution : VMware et sa traduction binaire

VMware a été la première entreprise à résoudre efficacement pour la production — les geeks avaient déjà des trucs avant — le problème de virtualisation x86 avec une solution commerciale viable. L’approche appelée « traduction binaire dynamique » (dynamic binary Translation) (5, 6) représente une forme d’émulation partielle sophistiquée. Le système permet au code invité de s’exécuter directement sur le processeur physique dans la plupart des cas, mais intercepte et émule en logiciel les instructions problématiques.

La traduction binaire fonctionne en analysant dynamiquement le flux d’instructions du système invité. Lorsqu’une instruction sensible non privilégiée est détectée, l’hyperviseur VMware la remplace par une séquence d’instructions équivalentes qui produisent le même effet tout en maintenant l’isolation nécessaire. Cette technique permet d’exécuter des systèmes d’exploitation — même ésotériques — non modifiés avec des performances remarquables pour l’époque : 80 à 95 % des performances natives selon les mesures internes de VMware au début des années 2000.

Le succès commercial initial de VMware provient de cette capacité unique à virtualiser des systèmes invités sans modification, ouvrant la voie à l’adoption massive de la virtualisation dans les environnements d’entreprise.

QEMU : l’émulation universelle par compilation dynamique

Architecture et fonctionnement de QEMU

QEMU (Quick EMUlator), développé par Fabrice Bellard et publié en 2005, représente une approche radicalement différente basée sur la compilation dynamique à la volée (just in time) (7, 8) . Contrairement aux solutions précédentes qui se concentraient sur la virtualisation depuis x86 vers x86, QEMU vise l’émulation universelle permettant l’exécution de code d’une architecture sur une autre ; par exemple ARM sur x86-64 ou inversement.

Le cœur de QEMU utilise un Tiny Code Generator qui traduit dynamiquement les instructions de l’architecture source vers l’architecture cible. Cette traduction s’effectue par blocs d’instructions, avec mise en cache des blocs traduits pour optimiser les performances lors d’exécutions répétées. Cette approche décomposée permet la portabilité : QEMU peut émuler plus de 15 architectures différentes (ARM, MIPS, PowerPC…)

QEMU fonctionne selon deux modes principaux : l’émulation complète de système (system emulation) qui virtualise une machine complète (CPU, mémoire, et périphériques), et l’émulation utilisateur (user emulation) qui permet d’exécuter des applications compilées pour une architecture différente.

Impact sur l’écosystème de virtualisation

L’intérêt de cette polyvalence en fait un outil indispensable pour le développement cross-platform, les tests de compatibilité, et la recherche en architecture des processeurs.

Aussi, bien que QEMU soit initialement plus lent que les solutions spécialisées en raison de sa généralité, il est devenu un composant fondamental de l’écosystème moderne de virtualisation. La plupart des hyperviseurs libres (KVM, Xen, VirtualBox…) utilisent QEMU pour l’émulation des périphériques tout en déléguant la virtualisation CPU à des mécanismes plus efficaces. Cette architecture modulaire permet de combiner les avantages de différentes approches : performance native pour le CPU grâce aux extensions matérielles, et flexibilité maximale pour les périphériques grâce à QEMU.

Xen et le bond de la paravirtualisation

Conception et principes fondamentaux

Xen, développé à l’Université de Cambridge par Ian Pratt et Keir Fraser, a introduit en 2003 une approche orthogonale appelée paravirtualisation (9). Plutôt que d’émuler ou de traduire les instructions problématiques, Xen propose de modifier directement les systèmes d’exploitation invités pour qu’ils puissent s’exécuter efficacement en ring 3 tout en coopérant explicitement avec l’hyperviseur.

La paravirtualisation repose sur le remplacement des instructions sensibles dans le noyau du système invité par des hypercalls — des appels directs à l’hyperviseur similaires aux appels système (syscalls). Cette modification permet au système invité de fonctionner en ring 3 tout en conservant un accès contrôlé aux ressources privilégiées via l’hyperviseur qui s’exécute en ring 0. L’avantage majeur de cette approche est l’élimination quasi-complète du surcoût (overhead) de virtualisation : les performances sont typiquement de 95 à 98 % des performances natives. Le problème n’est plus alors les pénalités de la virtualisation des instructions, mais l’accès aux ressources matérielles partagées et externes : cartes filles, bus, etc.

Architecture Dom0/DomU ^[2] et la gestion des ressources

Xen implémente une architecture unique basée sur des domaines. Le Domain 0 (Dom0) est un domaine privilégié exécutant une version modifiée de Linux qui gère les pilotes matériels et fournit les services de gestion. Les Domains Unprivileged (DomU) sont les machines virtuelles standard qui s’exécutent sous contrôle de l’hyperviseur. Cette séparation permet une isolation robuste tout en maintenant la flexibilité nécessaire pour la gestion des ressources physiques.

L’inconvénient majeur de la paravirtualisation est sa limitation aux systèmes libres. Les noyaux propriétaires comme Windows NT à l’époque ne pouvaient pas être modifiés pour supporter les hypercalls, nécessitant l’utilisation de techniques d’émulation plus coûteuses. Cette limitation a restreint l’adoption de Xen dans les environnements mixtes Linux/Windows typiques des entreprises Heureusement, les choses ont changé pour le mieux : les systèmes d’exploitation propriétaires se sont ouverts, et QEMU est arrivé en renfort.

L’émergence des extensions matérielles

Le contexte Microsoft et les spécifications de sécurité

Le développement des extensions matérielles de virtualisation trouve en partie son origine dans les besoins de sécurité avancée de Microsoft. Lors du développement de Windows Vista, Microsoft travaillait sur le projet « Next-Generation Secure Computing Base (NGSCB) » (10, 11) , anciennement appelé « Palladium », visant à implémenter des fonctionnalités de gestion des droits numériques (DRM) au niveau matériel. L’idée était d’exécuter les composants de sécurité critique dans un environnement isolé, protégé même du système d’exploitation principal.

En parallèle, Intel et AMD développaient déjà leurs propres projets de virtualisation matérielle (« Vanderpool » et « Pacifica »). La collaboration avec Microsoft a accéléré l’adoption de ces extensions.

Technologies Intel VT-x et AMD-V

Les extensions « Intel VT-x » (Virtualization Technology) et « AMD-V » (AMD Virtualization) (12, 13) ont été introduites respectivement en 2005 et 2006. Ces technologies ajoutent un nouveau mode d’exécution au processeur, permettant à l’hyperviseur de s’exécuter dans un contexte privilégié (VMX root mode pour Intel) tandis que les systèmes invités s’exécutent dans un contexte non privilégié (VMX non-root mode) tout en conservant l’illusion d’un accès ring 0.

Ces extensions résolvent élégamment le problème des instructions sensibles non privilégiées en introduisant des VM exits automatiques. Lorsqu’une instruction sensible est exécutée par un système invité, le processeur transfère automatiquement le contrôle à l’hyperviseur qui peut alors émuler l’instruction ou effectuer l’action appropriée. Cette approche élimine le besoin de modification des systèmes invités (comme dans la paravirtualisation) ou de traduction binaire complexe (tel VMware)14 15.

KVM : l’intégration native dans Linux

Développement chez Qumranet

KVM (Kernel-based Virtual Machine) a été développé par Avi Kivity chez Qumranet, une jeune-pousse israélienne fondée en 2005 (16, 17). L’objectif initial était de créer une solution de virtualisation de bureau permettant aux entreprises de déployer des postes de travail Windows virtualisés sur infrastructure Linux. Cette approche visait particulièrement les environnements d’activité nécessitant de nombreux postes standardisés (centre d’appel, filiale bancaire, etc.).

La stratégie de Qumranet était elle aussi à contre-pied : plutôt que de développer un hyperviseur indépendant (comme Xen), ils ont choisi d’intégrer directement les fonctionnalités de virtualisation dans le noyau Linux existant. Cette approche tire parti de toute l’infrastructure de Linux : gestion de la mémoire, ordonnancement, pilotes de périphériques, et système de fichiers. KVM augmente essentiellement Linux en hyperviseur natif par l’ajout d’un module noyau. Reste ensuite à gérer toutes les couches service et fonctionnelle, la sécurité, etc. Bref il vaut mieux avoir un OS dédié pour un usage non-individuel car une distribution Linux de bureau (ni même de serveur) ne peut pas être magiquement transformée en hyperviseur correctement sécurisé et proposant les fonctionnalités attendues des utilisateurs.

Architecture et intégration au noyau Linux

KVM a été intégré au noyau Linux en février 2007 avec la version 2.6.20. Cette intégration garantit la maintenance à long terme et l’évolution continue avec les améliorations du noyau Linux.

L’architecture de KVM exploite les extensions matérielles VT-x/AMD-V pour la virtualisation CPU, tout en s’appuyant sur QEMU pour l’émulation des périphériques. Cette combinaison offre des possibilités intéressantes : performances natives pour le processeur grâce au support matériel, et flexibilité maximale pour les périphériques grâce à l’écosystème riche de QEMU. Les machines virtuelles KVM apparaissent comme des processus Linux standard, bénéficiant automatiquement de toutes les fonctionnalités du noyau. Mais cette approche la rend aussi dépendante des évolutions et des limitations de Linux : KVM ne peut qu’ajouter du code, et non pas en supprimer ou en modifier. Il y a donc des pénalités à la surcharge, et des risques liés à la cohabitation avec le reste du code Linux, même s’il n’est pas utilisé par KVM.

L’évolution moderne et la convergence technologique

Adoption universelle des extensions matérielles

Aujourd’hui, tous les grands hyperviseurs modernes utilisent les extensions matérielles Intel VT-x et AMD-V pour la virtualisation CPU. Cette standardisation a éliminé des différences fondamentales entre les approches, créant une base technologique commune pour l’ensemble de l’industrie. Les performances de virtualisation atteignent désormais 95 à 99 % des performances natives pour la plupart des charges de travail, rendant la virtualisation transparente pour les utilisateurs finaux.

Parallèlement, l’approche paravirtualisée de Xen a été adoptée universellement pour les pilotes de périphériques. Les pilotes paravirtualisés (standard technique « virtio ») remplacent l’émulation matérielle traditionnelle par une interface optimisée entre invité et hyperviseur. Cette convergence technique illustre comment les meilleures idées de chaque approche ont été intégrées dans un modèle hybride optimal : extensions matérielles pour le CPU, drivers paravirtualisés pour les périphériques. Bon, ça c’est la version simple et rose, dans la pratique des industriels se tirent dans les pattes et verrouillent via les licences privatives de leurs systèmes.

Technologies avancées de virtualisation

Les hyperviseurs modernes intègrent des technologies sophistiquées bien au-delà de la virtualisation CPU basique. La Second Level Address Translation (SLAT), implémentée via Intel EPT (Extended Page Tables) et AMD NPT (Nested Page Tables), permet la virtualisation efficace de la mémoire en éliminant le surcoût (overhead) des tables de pages shadow. Les IOMMU (Input-Output Memory Management Unit) étendent la virtualisation aux périphériques, permettant l’accès direct des machines virtuelles aux cartes réseau et de stockage via des technologies comme SR-IOV.

Ces avancées apportent des cas d’usage savoureux comme le GPU passthrough pour les tâches spécialisées (traitement du signal, réseaux de neurones…), la virtualisation réseau pour les environnements dans le nuage, et l’isolation de sécurité pour les applications critiques. L’évolution vers le calcul confidentiel avec Intel Trusted Execution Technology (TXT) et AMD Memory Guard montre que les travaux de recherche et d’ingénierie sur la virtualisation continuent fortement. On constate également un rapprochement avec les mécanismes de conteneurisation, qui doivent quant à eux répondre à des enjeux connexes.

Applications contemporaines et spécialisations

Xen dans les systèmes embarqués et de sécurité

Xen a trouvé sa place dans des domaines spécialisés où ses caractéristiques uniques offrent des avantages distincts. Le mode Dom0less, introduit récemment, permet de démarrer des machines virtuelles directement sans nécessiter un domaine de contrôle Linux complet (18) . Cette fonctionnalité est particulièrement intéressante dans l’industrie automobile et les systèmes embarqués où les contraintes de mémoire et de temps de démarrage sont critiques.

Qubes OS utilise Xen pour implémenter un modèle de sécurité security by isolation où chaque application s’exécute dans une machine virtuelle dédiée. Cette approche offre une protection maximale contre les malwares et les attaques par compromission, au prix d’une complexité d’utilisation accrue. Et croyez-moi, c’est tellement chiant que vous n’avez pas envie de l’utiliser au quotidien.

Les systèmes critiques de défense et de recherche adoptent également Xen pour ses garanties d’isolation.

QEMU dans le développement et la recherche

QEMU est indispensable pour le développement cross-platform et la recherche en architecture des processeurs. Les développeurs utilisent QEMU pour tester leurs applications sur des architectures non disponibles physiquement, accélérant significativement les cycles de développement. La communauté de recherche en systèmes s’appuie sur QEMU pour prototyper de nouvelles architectures et évaluer des modifications matérielles sans nécessiter de fabrication de puces.

L’intégration de QEMU avec des frameworks de simulation (comme gem5) permet des analyses de performance détaillées et l’exploration d’architectures expérimentales. Cette capacité est cruciale pour la recherche académique et le développement de futurs processeurs dans l’industrie semiconductrice.

Il n’existe aujourd’hui pas d’alternative réelle à QEMU.

Comparaison simple de solutions modernes

Technologie	Forces principales	Cas d’usage typiques	Surcoût en performances
KVM	Intégration Linux native, écosystème riche	Nuage, centres de données légers	2–5 %
VMware ESXi	Maturité enterprise, outils de gestion	Centres de données d’entreprise	3–7 %
Xen	Isolation robuste, empreinte mémoire réduite	Nuage, systèmes embarqués, sécurité critique	2–5 %
QEMU	Émulation universelle, développement ''cross-platform''	Développement, recherche, émulation héritée	10–50 %

Leçons et perspectives d’évolution

L’histoire de la virtualisation x86 illustre comment les contraintes architecturales stimulent l’innovation technologique. Le manque de sécurité dans la conception des instructions sensibles non privilégiées de l’architecture x86 a conduit à un écosystème technologique diversifié, qui commence à rendre pénible le travail à cause de l’accumulation des couches historiques. Les nouvelles architectures (puces pour l’informatique mobile, Apple avec ses puces M*) peuvent laisser espérer de nouvelles approches natives. Bien sûr cela veut dire redévelopper des écosystèmes logiciels entiers, mais ça on sait faire.

Cette évolution souligne également l’importance de la collaboration entre logiciel et matériel. Les extensions VT-x/AMD-V résultent d’une coopération étroite entre les concepteurs de processeurs (Intel, AMD) et les développeurs de logiciels de virtualisation. Cette synergie continue de s’approfondir avec les technologies émergentes comme les enclaves sécurisées (Intel SGX) et le calcul confidentiel.

Ligne de temps : des étapes de la virtualisation x86 de 1974 à 2025

1974 :
- Gerald J. Popek et Robert P. Goldberg publient « Formal requirements for virtualizable third generation architectures », établissant les critères théoriques de la virtualisation

1998 :
- Fondation de VMware à Palo Alto ; environ 20 employés et développement discret

1999 :
- Lancement officiel de VMware

2001 :
- VMware entre sur le marché des serveurs avec VMware GSX Server (hébergé) et VMware ESX Server (bare-metal)

2002 :
- VMware lance ESX Server 1.5, son premier hyperviseur professionnel
- Introduction de vMotion (migration à chaud de machines virtuelles), début de la haute disponibilité dans la virtualisation

2003 :
- Première publication de Xen : « Xen and the Art of Virtualization »
- VMware lance vCenter Server pour la gestion centralisée

2004 :
- AMD annonce ses extensions de virtualisation sous le nom de code Pacifica (futur AMD-V/SVM)
- Intel développe ses extensions Vanderpool Technology (futur VT-x)
- Première conférence VMworld

2005 :
- Fabrice Bellard publie le papier QEMU à l’USENIX Annual Technical Conference
- Intel sort les premiers processeurs VT-x (Pentium 4)

2006 :
- AMD lance les premiers processeurs AMD-V (Athlon 64)

2007 :
- KVM intégré au noyau Linux mainline avec la version 2.6.20
- Avi Kivity publie « kVM: the Linux Virtual Machine Monitor » au Ottawa Linux Symposium

2009 :
- Extension de AMD-V 2.0 avec Rapid Virtualization Indexing (RVI)

2013 :
- Introduction de Docker pour la conteneurisation, qui rassemble plusieurs technologies existantes (jails, cgroups, namespaces…)

2019 :
- VirtualBox 6.1 supprime définitivement le support de la virtualisation logicielle, nécessitant désormais VT-x/AMD-V

2020 :
- Mode Dom0less pour Xen dans les systèmes embarqués
- Intégration native de virtio dans tous les hyperviseurs modernes

2021 :
- Émergence des microVM et convergence conteneur/virtualisation

Références académiques et industrielles

1 Protection ring. Wikipedia. https://en.wikipedia.org/wiki/Protection_ring
2 Bugnion, E., Nieh, J., Tsafrir, D. (2017). The Popek/Goldberg Theorem. In: Hardware and Software Support for Virtualization. Synthesis Lectures on Computer Architecture. Springer, Cham. https://doi.org/10.1007/978-3-031-01753-7_2
3 Popek, G. J., & Goldberg, R. P. (1974). "Formal requirements for virtualizable third generation architectures." Communications of the ACM, 17(7), 412-421. https://dl.acm.org/doi/10.1145/361011.361073
4 Popek and Goldberg virtualization requirements. Wikipedia. https://en.wikipedia.org/wiki/Popek_and_Goldberg_virtualization_requirements
5 Adams, K., & Agesen, O. (2006). "A comparison of software and hardware techniques for x86 virtualization." ACM SIGPLAN Notices, 41(11), 2-13. ASPLOS 2006. https://pdos.csail.mit.edu/6.828/2018/readings/adams06vmware.pdf
6 Bugnion, E., et al. (2012). "Bringing Virtualization to the x86 Architecture with the Original VMware Workstation." ACM Transactions on Computer Systems, 30(4). https://dl.acm.org/doi/10.1145/2382553.2382554
7 Bellard, F. (2005). "QEMU, a Fast and Portable Dynamic Translator." USENIX Annual Technical Conference, FREENIX Track. https://www.usenix.org/event/usenix05/tech/freenix/full_papers/bellard/bellard.pdf
8 "QEMU." Wikipedia. https://en.wikipedia.org/wiki/QEMU
9 Barham, P., Dragovic, B., Fraser, K., Hand, S., Harris, T., Ho, A., ... & Warfield, A. (2003). "Xen and the art of virtualization." ACM SIGOPS Operating Systems Review, 37(5), 164-177. SOSP 2003. https://www.cl.cam.ac.uk/research/srg/netos/papers/2003-xensosp.pdf
10 Lavania, K. K., Gupta, M., Jain, N., & Sharma, S. (2011). "Next-Generation Secure Computing Base (NGSCB)." Journal of International Academy of Physical Sciences, 15(2), 445-453. https://www.iaps.org.in/journal/index.php/journaliaps/article/view/657
11 Anderson, R. (2003). "Cryptography and competition policy: issues with ’trusted computing’." PODC ’03: Proceedings of the twenty-second annual symposium on Principles of distributed computing, 3-10. https://www.research.ed.ac.uk/en/publications/cryptography-and-competition-policy-issues-with-trusted-computing
12 "x86 virtualization." Wikipedia. https://en.wikipedia.org/wiki/X86_virtualization
13 Fisher-Ogden, J. "Hardware Support for Efficient Virtualization." UCSD Technical Report. https://cseweb.ucsd.edu/~jfisherogden/hardwareVirt.pdf
14 "Understanding Hardware-Assisted Virtualization." Admin Magazine. https://www.admin-magazine.com/Articles/Hardware-assisted-Virtualization
15 Goto, Y. (2011). "Kernel-based Virtual Machine Technology." Fujitsu Scientific & Technical Journal, 47(3), 362-368. https://hobby.esselfe.ca/docs/KVM-tech.pdf
16 Kivity, A. (2007). "kvm: the Linux Virtual Machine Monitor." Ottawa Linux Symposium, 225-230. https://www.kernel.org/doc/ols/2007/ols2007v1-pages-225-230.pdf
17 "KVM: Kernel-based Virtualization Driver." Qumranet White Paper. https://docs.huihoo.com/kvm/kvm-white-paper.pdf
18 "dom0less." Xen Project Documentation. https://xenbits.xen.org/docs/unstable/features/dom0less.html

@misc{Clauzel:2025:Breve-histoire-des-technologies-de-virtualisation-Xen-VMware-KVM-et-QEMU,
	title = {Brève histoire des technologies de virtualisation : Xen, VMware, KVM, et QEMU},
	year = {2025},
	month = oct,
	day = 17,
	url = {https://damien.clauzel.eu/post/2025/10/17/Bre%CC%80ve-histoire-des-technologies-de-virtualisation-%3A-Xen%2C-VMware%2C-KVM%2C-et-QEMU},
	author = {Clauzel, Damien},
	language = {french},
	keywords = {virtualisation, processeur, chronologie},
	language = {french},
	abstract = {L’évolution des technologies de virtualisation sur architecture x86 représente l’un des aspects les plus significatifs de l’informatique moderne. Son histoire illustre comment les contraintes architecturales du processeur x86 ont conduit au développement de nouvelles solutions, puis de nouveaux paradigmes. Les quatre technologies abordées ici — Xen, VMware, KVM et QEMU - ont chacune apporté des approches distinctes pour résoudre les problèmes fondamentaux de la virtualisation x86. L’aboutissement actuel étant l’informatique par l’approche du nuage.}
}

Notes

[1] On va laisser de côté Hyper-V, hein. Ça sera mieux pour tout le monde 😛

[2] je vous renvoie à la 4^e déclinaison du latin pour la signification et la prononciation

Le moulin à café USB et l’informaticien

Damien Clauzel — Fri, 04 Aug 2023 16:27:00 +0200

Nous sommes en 2023, et j’ai l’impression que de plus en plus les petits appareils électroménagers passent à une alimentation USB-C. Aujourd’hui, c’est mon nouveau moulin à café qui prend place dans la cuisine, y portant à trois le nombre d’appareils alimentés de cette façon — avec ou sans batterie.

Et honnêtement ? Cela me plaît beaucoup, car la connectique est standardisée et la puissance électrique est suffisante (jusqu'à 240W désormais). Également, le courant continu en très basse tension est bien adapté à ce type d’équipements, grâce à des pertes en ligne moindres comparées à celles en courant alternatif.

Un problème subsiste cependant : la prolifération des chargeurs sur les prises électriques. Ils prennent de la place, sont parfois de qualité médiocre (ou dangereuse…), ont une performance énergétique abyssale, etc. Bref, il est plus intéressant d’acheter un bon adaptateur secteur/USB ; mais le prix est un peu dissuasif.

La solution réside par la modernisation des installations électriques, avec un transformateur USB installé dans le coffret électrique du foyer (à côté de la Freebox !) pour alimenter toutes les pièces. Des modules sur rail DIN peuvent aussi être intégrés dans le tableau électrique, mais attention à la chaleur dégagée (eh, 240W on a dit). On rejoint la logique d’infrastructure réseau avec le PoE pour alimenter les équipements de périphérie.

La prolifération des pieuvres USB est un phénomène à combattre : elles sont moches, dangereuses pour la sécurité, peu performantes, et encombrantes. Et pire encore, Alsa 🐈 joue occasionnellement avec : s’ensuit alors un drame domotique.

Multiprise USB avec moultes câbles branchés dessus

Il y a vraiment un problème dans la galaxie StackOverflow

Damien Clauzel — Fri, 10 Mar 2023 11:38:00 +0100

Il y a vraiment un problème dans la galaxie StackOverflow, que l’on voit monter depuis une paire d’années.

Je faisais cet après-midi du triage dans les files de modération des nouvelles questions & réponses, et j’y aie vu (comme d’habitude) des soumissions datant de ~20 minutes avec des scores de -2 ou pire.

Pourtant les demandes sont bien rédigées, étayées, sourcés, pertinentes, et tout. Mais non, blam, elles se font enterrer à cause de leurs scores, sans justification des personnes qui les basvotent. Les nouveaux utilisateurs ayant posé ces questions ne recevront alors jamais de réponses, sauf si on redresse manuellement leurs statuts.

C’est très problématique pour ces nouveaux utilisateurs — qui sont donc des juniors dans leurs domaines respectifs — se faisant ainsi torpiller.

Nous enseignons aux élèves de s’appuyer sur les communautés de pratiques, et des utilisateurs de ces communautés font un barrage à l’entrée pour diverses raisons (trop longues à commenter ici). C’est moche.

Personnaliser l’écran de connexion d’un serveur Linux

Damien Clauzel — Wed, 04 Sep 2019 10:50:00 +0200

Quand un serveur Linux démarre, on aime savoir qui il est et comment s’y connecter. C’est surtout vrai dans le cas de mise en réseau par DHCP ainsi que pour les machines virtuelles dans le cloud. Le désespoir est grand on voit la console afficher « Debian GNU/Linux buster/stable Clauzel.eu tty1 » mais qu’on a aucune idée d’où se connecter par ssh.

La solution est d’enrichir le fichier /etc/issue pour demander l’affichage d’informations supplémentaires. Ainsi, la configuration

Nom d’hôte : \n.\o
IPv6 : \6
IPv4 : \4
Système : \S{PRETTY_NAME} \s \m \r

produira l’affichage

Nom d’hôte : Clauzel.eu
IPv6 : 2a01:4f8:1c17:4608::42
IPv4 : 88.99.35.242
Système : Debian GNU/Linux 10 (buster) Linux x86_64 4.19.0-5-amd64

Remarques :

ici la balise \6 affichera uniquement la première adresse IPv6 de la première interface. C’est ennuyeux puisque l’IPv6 permet justement de disposer de nombreuses adresses ;
il est possible de choisir quelle interface on souhaite afficher, avec \6{eth0}, mais là encore on ne récupère que la première adresse ;
il est fort possible que cette solution ne fonctionne pas correctement avec systemd ; mais en même temps, qui utilise systemd sur ses serveurs ?

Documentation : man 8 getty

Utiliser Steam sur un Chromebook

Damien Clauzel — Tue, 05 Feb 2019 14:01:00 +0100

Manipulation réalisé le 2019-02-05 sur un ordinateur Acer Chromebook Spin 11 R751T-C8D8.

Le prérequis est naturellement d'avoir un appareil compatible.

Dans les préférences de ChromeOS, activer les application Linux. Puis lancer le terminal pour installer le client Steam :

sudo apt update
sudo apt install wget
wget https://steamcdn-a.akamaihd.net/client/installer/steam.deb
sudo apt update
sudo dpkg -i ./steam.deb
sudo apt -f install
rm -f steam.deb
steam

Une nouvelle fenêtre de terminal va alors s'ouvrir, avec dedans l'installation de nouveaux paquets. Accepter l'installation.

Note : sur certains Chromebooks, il peut être nécessaire de positionner la variable d'environnement CPU_MHZ="2300.000" avant de lancer le client Steam :

CPU_MHZ="2300.000" /usr/bin/steam

Interview pour Le Progrès : « Challenger de Facebook aux USA, Reddit peut-il s’imposer en France ? »

Damien Clauzel — Mon, 20 Aug 2018 17:33:00 +0200

Sébastien Jullien, journaliste au Progrès de Lyon voulait préparer un sujet sur Reddit afin d'apporter un coup de projecteur sur ce réseau social encore méconnu en France, et m'a demandé de répondre à quelques questions concernant Reddit et mon activité de modérateur.

Reddit est une plate-forme sociale, permettant de créer des communautés thématiques (hobby, technique, localisation géographique, etc). J'anime entre autre depuis plusieurs années la communauté grandlyonnaise : r/Lyon

@article{Clauzel:2018:Challenger-de-Facebook-aux-USA-Reddit-peut-il-s-imposer-en-France,
  title = {Challenger de Facebook aux USA, Reddit peut-il s’imposer en France ?},
  journal = {Le Progrès},
  year = {2018},
  month = aug,
  day = 20,
  url = {https://damien.clauzel.eu/Publications/Documents/Divers/2018-08-21%20-%20Challenger%20de%20Facebook%20aux%20USA,%20Reddit%20peut-il%20s%E2%80%99imposer%20en%20France%20%3f.png},
  url = {https://damien.clauzel.eu/post/2018/08/20/Interview-pour-Le-Progr%C3%A8s-%3A-%C2%AB-Challenger-de-Facebook-aux-USA%2C-Reddit-peut-il-s%E2%80%99imposer-en-France-%C2%BB},
  author = {Clauzel, Damien and Jullien, Sébastien},
  keywords = {Lyon, Reddit, réseau social, Le Progrès, r/Lyon},
  language = {french},
  abstract = {Momentanément passé devant Facebook aux Etats-Unis en février dernier, le site communautaire Reddit peine à exister en France. Mais, au fait, qu’est-ce que Reddit ?}
}

Déployer un nœud YaCy sur une adresse IPv6 et avec un accès https

Damien Clauzel — Wed, 20 Sep 2017 17:03:00 +0200

Il est possible de mettre en place un nœud YaCy participant à la fédération globale, avec une connectivité IPv6 et HTTPS.

Qu’est-ce que YaCy ? Facile.

YaCy est un moteur de recherche que chacun peut installer pour indexer le web (pages publiques accessibles par internet), pour indexer un intranet ou pour parcourir d'autres données avec une fonction moteur de recherche. YaCy peut être utilisé de façon autonome, mais sa principale force est de pouvoir fonctionner en réseau peer-to-peer, ce qui fait que sa puissance s’accroît avec le nombre d'utilisateurs, qu'il est entièrement acentré (tous les "peers" sont égaux et il n'y a pas un organisme administratif central) et qu'il n'est pas censurable et ne stocke pas le comportement des utilisateurs.

La liberté de l'information ainsi obtenue par le biais des logiciels libres et d'un moteur de recherche distribué est également un des objectifs du projet.

Prérequis

avoir une connexion IPv6 opérationnelle avec une adresse publique (nous utilisons ici 2001:41d0:12a:4d00:dcdc::46)
disposer d’un nom de domaine (nous créerons ici le champ AAAA YaCy.Clauzel.eu)
utiliser Debian/stretch sans systemd
avoir apache2 en place (nous ajouterons 2 vhosts)
avoir un certbot récent, celui de Debian/stretch est trop ancien et ne gère pas les demandes pour un hôte uniquement en IPv6 :

apt-get install certbot apt-get install certbot
wget https://dl.eff.org/certbot-auto
chmod a+x certbot-auto

Mise en place du nom de domaine

Créer l’enregistrement DNS pour le nœud; ici YaCy.Clauzel.eu pointe sur 2001:41d0:12a:4d00:dcdc::46

Installer YaCy

Mise en place initiale :

Lire et appliquer la documentation de YaCy ; nous utilisons ici la version 1.92 pour linux. YaCy est installé pour l’utilisateur dédié yacy:yacy dans le répertoire /home/yacy
Dans l’interface web de YaCy Mode d'utilisation et compte>avec SSL, activer le HTTPS sur le port 8443
Dans l’interface web de YaCy Administration du système>Paramètres d'accès au serveur>staticIP, définissez l’adresse publique du nœud comme étant YaCy.Clauzel.eu

Indiquer à java que nous donnons la préférence à l’IPv6 :

service yacy stop

Dans /etc/init.d/yacy, modifier JAVA_ARGS="-server -Djava.awt.headless=true -Dfile.encoding=UTF-8 -Dsolr.directoryFactory=solr.MMapDirectoryFactory -Djava.net.preferIPv4Stack=false -Djava.net.preferIPv6Stack=true"

service yacy start

À ce moment, YaCy doit tourner en mode Senior et être publiquement joignable à l’adresse http://YaCy.Clauzel.eu:8090

Créer le certificat TLS

Un simple certificat TLS suffit, mais vous pouvez vous faire plaisir avec les options :

service apache2 stop
certbot-auto certonly --standalone -d YaCy.Clauzel.eu --renew-by-default --must-staple --staple-ocsp --agree-tos --uir --hsts
service apache2 start

Préparation du certificat pour java

Les applications java ont ceci de ~~casse-pied~~ particulier qu’elles n’utilisent pas les certificats TLS au format PEM : il nous faut convertir notre certificat.

openssl pkcs12 -export -in /etc/letsencrypt/live/yacy.clauzel.eu/fullchain.pem -inkey /etc/letsencrypt/live/yacy.clauzel.eu/privkey.pem -out /etc/letsencrypt/live/yacy.clauzel.eu/yacy.clauzel.eu.p12 -CAfile /etc/letsencrypt/live/yacy.clauzel.eu/chain.pem -caname root -password pass:JeSuisUnMotDePasse -name yacy.clauzel.eu
keytool -importkeystore -srcstorepass JeSuisUnMotDePasse -deststorepass JeSuisUnMotDePasse -destkeypass JeSuisUnMotDePasse -srckeystore /etc/letsencrypt/live/yacy.clauzel.eu/yacy.clauzel.eu.p12 -alias yacy.clauzel.eu -srcstoretype PKCS12 -destkeystore /etc/letsencrypt/live/yacy.clauzel.eu/yacy.clauzel.eu.key

Mettre en place le certificat

Nous pouvons alors placer notre joli certificat dans l’arborescence de l’application.

service yacy stop
 cp /etc/letsencrypt/live/yacy.clauzel.eu/yacy.clauzel.eu.key DATA/SETTINGS/
 chown yacy:yacy DATA/SETTINGS/yacy.clauzel.eu.key
 chmod 400 DATA/SETTINGS/yacy.clauzel.eu.key

Configurer l’utilisation du certificat

Il reste maintenant à informer l’application de l’existence de ce certificat. Il faut vérifier/définir dans le fichier DATA/SETTINGS/yacy.conf :

port.ssl=8443
keyStore=DATA/SETTINGS/yacy.clauzel.eu.key
keyStorePassword=JeSuisUnMotDePasse
server.https=true
staticIP=YaCy.Clauzel.eu

Puis démarrer YaCy :

service yacy start

À ce moment, YaCy doit être publiquement joignable à l’adresse https://YaCy.Clauzel.eu:8443

Définir des redirections dans apache

Nous ajoutons alors des redirections web, qui permettrons d’accéder directement au nœud sans devoir spécifier le port.

Créer la directive /etc/apache2/sites-available/00-YaCy.conf :

<VirtualHost *:80>
    Define INSTANCE yacy.clauzel.eu
    ServerName ${INSTANCE}
    RewriteEngine On
    RewriteRule ^(.*)$ https://${INSTANCE}:8443 [redirect=301]
</VirtualHost>

<VirtualHost *:443>
    Define INSTANCE yacy.clauzel.eu
    ServerName ${INSTANCE}
    RewriteEngine On
    RewriteRule ^(.*)$ https://${INSTANCE}:8443 [redirect=301]
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/${INSTANCE}/fullchain.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/${INSTANCE}/privkey.pem
</VirtualHost>

Activons cette configuration :

a2ensite 00-YaCy.conf
service apache2 restart

YaCy est désormais accessible à l’adresse https://YaCy.Clauzel.eu, et http://YaCy.Clauzel.eu redirige le visiteur vers l’accès sécurisé

Bonne chance à tous, comme on dit « chez-moi ça marche ».

Utiliser Steam sur MacOS en 2016 avec un système de fichiers sensible à la casse

Damien Clauzel — Sun, 04 Sep 2016 18:24:00 +0200

En 2016 , le client Steam sur Mac a beaucoup changé par rapport à ce qu’il était en 2010. Enfin, pas tant que ça… Il est toujours en 32 bits, exige toujours un système de fichiers non sensible à la casse, son overlay est toujours aussi problématique, et sa gestion des manettes de jeu toujours aussi erratique.

Bref, il convient d’adapter la procédure que nous avions mis en place en 2010. Le principe reste le même : on mets tous les éléments dans une image disque, et on crée des liens.

Ouvrir un terminal

Nous allons travailler principalement en ligne de commande. Eh, jouer se mérite un peu ;) On pourrait faire la même chose en utilisant des outils graphiques, mais cela serait plus long à expliquer.

Créer l’image disque qui accueillera Steam

L’image disque peut être rangée n’importe où : /Applications, $HOME, etc. Nous la mettrons dans $HOME/Applications/Jeux

mkdir -p ~/Applications/Jeux
cd ~/Applications/Jeux
hdiutil create -size 50g -type SPARSEBUNDLE -fs HFS+J -volname Steam Steam
created: /Users/USER/Applications/Jeux/Steam.sparsebundle

Pour d’informations, on se tournera vers le billet sur la manipulation des images disques.

Mettre en place l’application Steam

Ouvrir notre image disque pour Steam et y copier l’application Steam fournie par Valve.

hdiutil attach Steam.sparsebundle
/dev/disk4          	GUID_partition_scheme          	
/dev/disk4s1        	EFI                            	
/dev/disk4s2        	Apple_HFS                      	/Volumes/Steam

On constate ici que notre image disque a été montée dans /Volumes/Steam; elle apparait d’ailleurs sur le bureau. Il suffit maintenant d’y copier l’application Steam de Valve directement depuis l’image d’installation.

Adapter le compte utilisateur pour faire fonctionner Steam

Le principe est de stocker dans notre image disque tout ce qui a trait à Steam, et d’utiliser des liens pour maintenir les chemins d’accès.

mkdir -p /Volumes/Steam/Library
# copiez dans /Volumes/Steam/Library votre dossier applicatif « Steam » existant; ou vous pouvez simplement laisser Steam le recréer… et retélécharger tous vos jeux.
ln -s /Volumes/Steam/Library/Steam ~/Library/Application\ Support/Steam

Il ne reste plus qu’à synchroniser le tout et à refermer.

sync
hdiutil detach /Volumes/Steam
"disk4" unmounted.
"disk4" ejected.

Jouer !

Pour utiliser Steam, il suffit de monter l'image disque (en double cliquant dessus, par exemple), puis de lancer l'application.

Personnaliser les en-têtes de courriels envoyés par Mail.app

Damien Clauzel — Tue, 05 Jul 2016 10:43:00 +0200

Pour des besoins précis, on a souvent besoin de personnaliser les en-têtes des courriels que l’on envoie. Que ce soit pour y glisser des métadonnées de chiffrement, de transport, de filtrage, d’identité, ou encore de classification, c'est une pratique courante et transparente.

Sous MacOS, le logiciel Mail.app utilise la clé de configuration UserHeaders pour définir les en-têtes utilisateur. Ainsi, dans mon cas j’ajoute les deux en-têtes suivants :

OpenPGP : l’empreinte de ma clé PGP, et l’URI de son emplacement ;
X-FOAF : l’URI de mon identité pour le web sémantique.

Ces deux champs sont positionné via le terminal :

defaults write com.apple.mail UserHeaders "{ \
    OpenPGP = 'id=322B 89F1 FA51 3211 40F3  B358 5E88 C01E BAFD 1998; preference=signencrypt; url=https://Damien.Clauzel.eu/public/Cles_publiques/GnuPG/Damien_Clauzel.eu_publique.asc'; \
    X-Foaf = 'https://Damien.Clauzel.eu/Damien_CLAUZEL-FoaF.rdf'; \
}"

On constate désormais la présence des nouveaux en-têtes dans les courriels envoyés :

Return-Path: 
Received: from ?IPv6:2a01:e34:ec15:6030:b91e:f8a8:1579:acba? ([2a01:e34:ec15:6030:b91e:f8a8:1579:acba])
        by smtp.gmail.com with ESMTPSA id ue1sm3813420wjc.44.2016.07.01.09.55.57
        for 
        (version=TLS1 cipher=ECDHE-RSA-AES128-SHA bits=128/128);
        Fri, 01 Jul 2016 09:55:57 -0700 (PDT)
From: Damien Clauzel 
X-Google-Original-From: Damien Clauzel 
Subject: XXXXX
Mime-Version: 1.0 (Mac OS X Mail 9.3 \(3124\))
Content-Type: multipart/signed; boundary="Apple-Mail=_C578A8CA-4F46-4294-83B1-893306A67B44"; protocol="application/pgp-signature"; micalg=pgp-sha512
X-Pgp-Agent: GPGMail 2.6b2
X-Foaf: https://Damien.Clauzel.eu/Damien_CLAUZEL-FoaF.rdf
OpenPGP: id=322B 89F1 FA51 3211 40F3  B358 5E88 C01E BAFD 1998; preference=signencrypt; url=https://Damien.Clauzel.eu/public/Cles_publiques/GnuPG/Damien_Clauzel.eu_publique.asc
In-Reply-To: 
Date: Fri, 1 Jul 2016 18:55:56 +0200
Message-Id: 
References:  
To: Example 
X-Mailer: Apple Mail (2.3124)

Monter un volume TimeMachine sous linux

Damien Clauzel — Thu, 23 Jun 2016 16:19:00 +0200

Si sous MacOS il est immédiat de manipuler les images disques en ligne de commande, le faire sous un autre système POSIX demande un peu d’attention. Nous allons voir ici comment le faire, et plus spécialement pour accéder aux contenus des archives de TimeMachine.

Les archives TimeMachine

Une archive TimeMachine est une image sparsebundle contenant deux volumes :

un volume EFI permettant le démarrage d'un Mac sur disque externe ;
un volume HFSX (HFS+ sensible à la casse) contenant les fichiers de l'utilisateur.

Nous ne discuterons pas ici des (faibles) qualités intrinsèques du format de volume HFS+, ni de ses nombreux problèmes (telle la fragilité).

La technique

Sous linux, deux outils sont nécessaire pour ouvrir une archive TimeMachine et présenter correctement son contenu :

sparsebundlefs : agrège les bandes de l'image sparsebundle afin de présenter une image disque consolidée, exploitable par les outils habituels, tel mount ;
tmfs : présente efficacement le contenu d'une image disque contenant une sauvegarde TimeMachine. Cet outil n'est pas strictement indispensable pour accéder aux fichiers, mais la reconstruction de l'arborescence facilite grandement la lisibilité.

GitHub : sparsebundlefs

FUSE filesystem for reading Mac OS sparse-bundle disk images.

Mac OS X v10.5 (Leopard) introduced the concept of sparse-bundle disk images, where the data is stored as a collection of small, fixed-size band-files instead of as a single monolithic file. This allows for more efficient backups of the disk image, as only the changed bands need to be stored.

One common source of sparse-bundles is Mac OS' backup utility, Time Machine, which stores the backup data within a sparse-bundle image on the chosen backup volume.

This software package implements a FUSE virtual filesystem for read-only access to the sparse-bundle, as if it was a single monolithic image.

Debian : tmfs

Description-en: Apple Time Machine FUSE mount

Time Machine File System is a read-only virtual filesystem which helps you to read your Apple Time Machine Backup by reconstructing the hard-linked directories from the HFS+ metadata directory.

You can browse the tmfs mounted Time Machine normally and easily recover data from any backup point contained within.

Exemple

On crée les différents points de montage qui seront utilisés :

TimeMachine-DiskImage : l’« ouverture » de l’image sparsebundle présentant une vue manipulable par la commande mount ;
TimeMachine-Archive : l’image disque contenant l’archive TimeMachine ;
TimeMachine-Ouvert : la vue facilement exploitable de l’archive TimeMachine.

mkdir ~/mnt
mkdir ~/mnt/TimeMachine-DiskImage
mkdir ~/mnt/TimeMachine-Archive
mkdir ~/mnt/TimeMachine-Ouvert

Comme on manipule des points de montage, il faut passer root pour presque toutes les opérations. Remarque : peut suivre le détail de l’ouverture du volume avec les options -s -f -D.

sparsebundlefs \
        -o allow_root,ro,uid=$(id -u $USER),gid=$(id -g $USER),default_permissions,kernel_cache \
        MesSauvegardes.sparsebundle \
        ~/mnt/TimeMachine-DiskImage/

Un disque TimeMachine est bootable et contient donc en fait 2 volumes: celui de démarrage, et un volume contenant les données. Il nous faut donc désormais récupérer l’emplacement du volume contenant les données qui nous intéressent.

parted ~/mnt/TimeMachine-DiskImage/sparsebundle.dmg unit B print

# Disque /home/moi/mnt/TimeMachine-DiskImage/sparsebundle.dmg : 536870912000B
# Taille des secteurs (logiques/physiques): 512B/512B
# Table de partitions : gpt
# Disk Flags: 
# 
# Numéro  Début       Fin            Taille         Système de fichiers  Nom                   Fanions
#  1      20480B      209735679B     209715200B     fat32                EFI System Partition  démarrage, esp
#  2      209735680B  536736673791B  536526938112B  hfsx                 disk image

On prend le début du volume comme offset, et sa taille comme taille, pour faire pointer dessus un point d’entrée. L’ID de la boucle (ici /dev/loop0) est récupéré avec --show.

sudo losetup -f ~moi/mnt/TimeMachine-DiskImage/sparsebundle.dmg --offset 209735680 --sizelimit 536526938112 --show

On monte alors le volume ciblé de l’archive, qui contient notre archive TimeMachine.

sudo mount -t hfsplus -o ro,uid=$(id -u $USER),gid=$(id -g $USER) /dev/loop0 ~moi/mnt/TimeMachine-Archive/

Reste maintenant à ouvrir l’archive TimeMachine.

sudo tmfs \
        ~moi/mnt/TimeMachine-Archive/ \
        ~moi/mnt/TimeMachine-Ouvert/ \
        -o allow_other,ro,uid=$(id -u $USER),gid=$(id -g $USER),default_permissions,kernel_cache

On peut alors accéder — en lecture seule — aux fichiers de l’archive TimeMachine dans le répertoire ~/mnt/TimeMachine-Ouvert.

Ouf ! Ce fut laborieux, mais en posant les choses à plat on comprend la logique : il faut aller chercher en profondeur la bonne partition dans une image disque, et la manipuler avec un outil capable de traiter ses structures de données.

Une fois terminé de travailler, on referme proprement.

sudo fusermount -u ~moi/mnt/TimeMachine-Ouvert
sudo fusermount -u ~moi/mnt/TimeMachine-Archive
sudo losetup --detach /dev/loop0
sudo fusermount -u ~moi/mnt/TimeMachine-DiskImage

J’ai essayé les opticiens discount Lunettes pour tous

Damien Clauzel — Tue, 14 Apr 2015 16:30:00 +0200

J’ai testé pour vous l’opticien qui fait le buzz en ce moment, Lunettes pour tous.

J’ai déjà une très bonne paire de #lunettes de vue pour mon quotidien, et je songeais à acheter une seconde paire solaire, de qualité quelconque, pour quand je me déplace à vélo ou me promène. Lunettes pour tous ayant récemment ouvert à Lyon une boutique au 3 cours Gambetta, j’ai décidé de voir ce qu’ils proposaient.

En rentrant, la première chose qui vient à l’esprit est « Oh, un Apple Store avec des lunettes ». La décoration est à base de meubles bois et blanc, avec des grandes vitrines et un plafond haut. Les personnes sont jeunes, en jeans et pantalons de cuir, avec des t-shirts bleus et des iPads dans les mains pour saisir les informations clients, et des tatouages apparaissent ici et là. L’ambiance est dynamique et le magasin très lumineux, c’est agréable. Et ne vous fiez pas aux rumeurs, il est bien possible de s’assoir sur des banquettes.

Un mardi après-midi en semaine, j’ai compté une trentaine de clients qui suivaient le parcours d’achat. Ils étaient de tous âges, mais principalement jeunes avec quelques personnes âgées en couple.

On commence par choisir une monture sur les présentoirs. Il y en a de très bien à 5€ : solides, élégantes, légères, discrètes. Le choix des formes et des couleurs est limité, mais c’est sans faute de goût et on peut trouver son bonheur dans un style classique.

Une personne recueille alors vos coordonnées et vous ajoute sur la file d’attente pour voir un technicien. Cette liste d’attente est affichée sur un grand écran et on voit sa position remonter vers la tête de liste. Ça défile vite, car le personnel est nombreux.

Rapidement, vous êtes pris par un technicien qui complète votre fiche client avec les informations de l’ordonnance. Il est possible de venir sans, mais je ne sais pas si ça implique un surcoût pour les mesures à faire alors. Hop, centrage avec l’appareil photo de l’iPad (oui, il y a une app pour ça ! 😉) sur la monture choisie, et on discute des possibilités de verres.

Je voulais des solaires premier prix. Le devis proposé est 35€ le verre unifocal pour des corrections simples, aminci 1,5, solaire, traitement anti-rayures, anti-reflets et anti-salissures. Avec la monture, le devis final est donc 75€.

Mauvaise surprise, on est loin des 10€ mis en avant. Ce tarif correspond à une monture basique — comme celle que j’avais choisie — et deux verres bas de gamme blancs nus pour des corrections simples (qu’on appel péjorativement des bouts de Plexiglas). Je n’ai pas la possibilité de faire descendre le prix en prenant un verre plus épais ou en supprimant les traitements, car le magasin n’a qu’un nombre très réduit de références dans sa gamme de produits. Je renonce.

35€ pour un verre solaire de qualité correcte avec traitements est un très bon pris en boutique, il faut compter au moins 10€ de plus ailleurs. Mais le type de lunettes que j’avais en tête peut se commander sur internet pour une grosse quinzaine d’euro.

Malgré tout, je trouve très bien les Lunettes pour tous. Les produits sont de qualité honnête, et on peut obtenir facilement et rapidement des lunettes sans tout le tralala de semi-luxe que l’on a chez d’autres enseignes d’opticiens. Oui, ça va vite — on voit le compteur 7 minutes descendre sur l’iPad — mais c’est conçu pour les personnes qui veulent aller à l’essentiel.

Accéder à ses données personnelles contenues dans les fichiers de l’État : le parcours du combattant patient

Damien Clauzel — Wed, 15 Oct 2014 16:45:00 +0200

Les fichiers de l’État, et les moyens d’y accéder

L’État collecte et exploite de plus en plus de données sur les citoyens. C’est une bonne chose car cela permet un meilleur traitement administratif, simplifie la gestion des ressources publiques, et d’une façon générale améliore la productivité tout en offrant davantage de possibilités. Mais l’État multiplie également le fichage des citoyens pour des raisons invoquées de sécurité; et le contrôle du contenu de ces derniers est difficile car ils ne sont pas publics, là encore pour des raisons invoquées de sécurité.

La loi prévoit malgré tout un regard possible — mais restreint — des citoyens sur ces données qui les concernent. L’accès se fait au travers de la CNIL, qui est la seule autorité pouvant alors agir au nom des citoyens qui la saisissent. Problème : la CNIL est tout sauf réactive et ouverte au publique.

J’ai commencé une — longue — démarche pour accéder au contenu de ces fameux fichiers à accès restreint, et comme prévu cela ne se passe pas très bien.

Documentation de la CNIL :

Le droit d’accès Indirect ;
Principaux fichiers en accès indirect (tiens, mais si ce sont les principaux fichiers, cela veut dire qu’il y en a d’autres, moins connus ?) ;
Les courriers pour agir.

2014-08-29 : envoi à la CNIL du courrier de demande d’accès indirects aux fichiers de l’État

La demande initiale est un simple courrier, mentionnant les fichiers que je souhaite consulter, avec la référence du texte de loi me garantissant ce droit. Rien que du très banal.

Objet : Demande d’accès indirect aux fichiers de l’État

Madame la Présidente,

Conformément à l’article 41 de la loi du 6 janvier 1978 modifiée, je souhaite être informé des données me concernant dans les fichiers et services suivants, et en cas de refus d’accès de connaître la justification. Pouvez-vous me transmettre sous forme numérique une copie de ces données ?

• Fichier des personnes recherchées (FPR)
• Système d’information Schengen (SCHENGEN)
• Fichier des comptes bancaires (FICOBA)
• Réseau mondial visas (RMV 2)
• Police nationale (STIC)
• Gendarmerie nationale (JUDEX)
• Fichier National des Interdits de Stade (FNIS)
• Recueil de la documentation opérationnelle et d’information statistiques sur les enquêtes (ARDOISE)
• Fichiers de renseignement des services de l’information générale de la Direction Centrale de la Sécurité publique et de la Préfecture de Police de Paris
• Fichier de renseignement CRISTINA (Direction centrale du renseignement intérieur)
• Sécurité Extérieure (DGSE)
• Fichiers de sécurité militaire (DPSD)
• Fichier de renseignement militaire (DRM)
• Analyse criminelle (ANACRIM)
• Analyse et liens de la violence (SALVAC)

Sincèrement,
Damien Clauzel

Pièces jointes : recto de carte d’identité et de carte vitale

L’encart de l’adresse pour envoyer les demandes ne précise aucune information sur l’envoi du courrier, mais le générateur de demandes mentionne qu’il faut utiliser un courrier recommandé. J’envoi un courrier simple, car il n’y a aucune raison pour moi de subir des frais supplémentaires.

2014-09-23 : courriel(s) de relance

Pas de nouvelle, bonne nouvelle ? Dans le doute, devant l’absence de réponse, je décide d’envoyer un simple courriel de rappel.

Objet : Relance de demande d’accès indirect aux fichiers de l’État

Madame,

Le 29 août 2014, j’ai adressé à la CNIL par courrier (copie en pièce jointe) une demande d’accès indirect aux fichiers de l’État pour les données me concernant.

Étant sans réponse de votre part, je vous relance donc par ce courriel, afin d’avoir la confirmation que ma demande a bien été prise en compte.

Sincèrement,
Damien Clauzel

Problème : dans les moyens de la contacter, la CNIL ne propose pas d’adresse courriel, mais uniquement des coordonnées téléphonique, fax, et un formulaire web; avec à côté un numéro de téléphone pour le service presse et un formulaire web pour le webmaster : Accueil du public : Aucun renseignement n'est assuré sur place. La CNIL ne reçoit pas le public. Vous pouvez toutefois déposer des plis à l’accueil. Ça en dit très long du positionnement de la CNIL sur le numérique…

Quelques requêtes Google bien placées sortent une liste d’adresses courriel, pas forcément adaptées à ma demande (RH pour recrutement, etc.). Par exemple, les informations WHOIS donnent les coordonnées d’une personne rattachée au service juridique. L’annuaire du service public est aussi une bonne source pour trouver une personne à contacter directement^[1]

Hop, mon courriel de relance est envoyé à la directrice de la Direction des relations avec les usagers et contrôle. Uh, wait… Déjà une réponse ?

Cette notification d'état de remise est générée automatiquement.

Échec de la remise aux destinataires

Mwouais… essayons le directeur adjoint, alors ? Cette fois, le courriel ne semble pas rejeté; reste à savoir s’il sera traité.

2014-10-01 : réponse de la CNIL

Dans un courrier de deux pages, la CNIL m’informe :

qu’effectivement je demande bien des informations contenues dans des fichiers à accès indirects ;
que certaines données du fichier FICOBA peuvent être demandés directement aux administrations, ce que mentionne pas la documentation du site web de la CNIL ;
que la demande pour le fichier ANACRIM nécessite des informations complémentaires, ce que mentionne pas la documentation du site web de la CNIL ;
que le fichier ARDOISE n’est plus d’actualité, alors qu’il est mentionné dans la documentation du site web de la CNIL ;
que ça va être long (« plusieurs mois »).

2014-12-22 : premières informations obtenues par la CNIL

Dans ce courrier de deux pages, la CNIL m’informe :

que je ne suis pas fiché par les services du renseignement territorial et que je ne figure pas dans le fichier TAJ. Étant français de naissance et n’ayant jamais quitté l’Union européenne, c’est plutôt normal ;
que je ne suis pas concerné par l’enregistrement dans le fichier RMV2, car j’ai la nationalité française ;
que la DGSI refuse de communiquer la moindre information sur ce qu’elle pourrait avoir sur moi, au nom de « la sûreté de l’État, la défense et la sécurité publique » ;
que la DGSE refuse de communiquer la moindre information sur ce qu’elle pourrait avoir sur moi, au nom de « la sûreté de l’État, la défense et la sécurité publique » ;
que la DPSD refuse de communiquer la moindre information sur ce qu’elle pourrait avoir sur moi, au nom de « la sûreté de l’État, la défense et la sécurité publique » ;
que je dispose de deux mois pour déposer un recours contre le ministère de l’intérieur et le ministère de la défense, devant le Tribunal Administratif de Paris ;
que la CNIL continue à traiter mes demandes encore en cours.

2015-02-05 : nouvelles informations obtenues par la CNIL

Dans ce courrier d’une page, avec en copie la réponse précédente, la CNIL m’informe :

que la Direction du Renseignement Militaire refuse de communiquer la moindre information sur ce qu’elle pourrait avoir sur moi, au nom de « la sûreté de l’État, la défense et la sécurité publique » ;
que je dispose de deux mois pour déposer un recours contre le ministère de la défense, devant le Tribunal Administratif de Paris ;
que la CNIL continue à traiter mes demandes encore en cours.

2015-03-11 : nouvelles informations obtenues par la CNIL

Dans ce courrier d’une page, avec en copie l’extrait FICOBA, la CNIL m’informe :

qu’elle m’adresse une extraction du fichier FICOBA (fait 3 pages, je publie ici la première en noircissant mes informations bancaires), reprenant l’ensemble des données bancaires enregistrées me concernant (établissement, nature du compte, date d’ouverture, de modification ou de clôture) ;
que je ne suis pas enregistré dans le Système d’Information Schengen ;
que je ne suis pas enregistré dans le Fichier des Personnes Recherchées ;
que la CNIL continue à traiter mes demandes encore en cours (FNIS et SALVAC).

Ce qui est important ici est que les informations du fichiers FICOBA sont erronées : elles m’attribuent la possession d’un compte bancaire dont j’ai demandé la fermeture il y a des années. Soit la banque n’a pas correctement procédé à la fermeture et ne m’a jamais adressé de relevé depuis (peu probable), soit elle a fait une erreur dans le relevé et la transmission des informations (probable), soit le fichier a été modifié ultérieurement en interne (peu probable). Je vais donc contacter la banque et demander des précisions.

On trouve également dans l’extrait du fichier FICOBA plusieurs fois les mêmes comptes, déclarés existant à différentes dates. Les données sont des instantanés des ajouts de nouveaux comptes bancaires, avec parfois un rappel d’autres comptes existants, mais pas tous. La logique de construction de l’extrait est assez difficile à comprendre, et surtout difficile à exploiter : il n’y a pas de liste complète à un moment donné, et la suppression de comptes n’apparaît pas. Je suppose qu’on doit pouvoir obtenir une meilleure vue en affinant la requête d’interrogation, mais en l’état c’est très difficilement exploitable.

Un élément intéressant est que la recherche dans le fichier FICOBA a été faite par mon №SPI, alors que les seules informations nominatives que j’ai fourni à la CNIL sont le recto de carte d’identité et de ma carte vitale. Je suppose donc que la table CNTDF de correspondance NIR/SPI a été utilisée pour me retrouver ^[2]. La section toulousaine de la Ligue des Droits de l’Homme présente bien cette interconnexion des fichiers.

Aussi, cet extrait FICOBA ne mentionne pas les comptes à l’étranger ; ce n’est d’ailleurs pas son rôle.

2015-04-22 : nouvelles informations obtenues par la CNIL

Dans ce courrier d’une page, la CNIL m’informe :

que la demande d’informations convenues dans le fichier SALVAC a été faite, mais que les lois ne « permettent pas de vous apporter de plus amples informations » ;
que je dispose de deux mois pour déposer un recours contre le ministère de l’intérieur, devant le Tribunal Administratif de Paris ;
que la CNIL continue à traiter mes demandes encore en cours (FNIS).

La partie intéressante dans cette réponse est le paragraphe sur les informations obtenues du fichier SALVAC.

En application de ces articles [41 de la loi du 6 janvier 1978 modifié, et de l’article 88 de son décret d’application (№ 2005-309 du 20 octobre 2005 modifié)], toute opposition de l’administration gestionnaire d’un fichier soumis au droit d’accès indirect fait obstacle à la moindre communication de notre Commission, hormis l’indication des voies de recours qui sont alors ouvertes.

C’est à comprendre comme un refus catégorique de la part de la Direction Centrale de la Police Judiciaire que de communiquer la moindre information, invoquant le régime dérogatoire à la loi sur la sécurité intérieure.

C’est donc un fichier au contenu complètement opaque sur lequel les citoyens n’ont absolument aucun regard, même en passant par leurs représentants légaux. Il est non seulement impossible de vérifier la présence d’informations, mais aussi de s’assurer de leur exactitude et de leur pertinence.

Pire, ce fichier ne contient pas uniquement des informations sur les criminels, mais aussi sur les victimes. On peut donc être fichés par l’État indifféremment de son niveau de dangerosité pour la société. Inquiétant.

2015-06-15 : nouvelles informations obtenues par la CNIL et fin du dossier

Dans ce courrier d’une page, la CNIL m’informe :

que je ne suis pas enregistré dans le fichier national des interdits de stade (FNIS) ;
que la procédure est désormais terminée ;
qu’elle me met en pièces jointes l’ensemble des courriers précédents. En fait, tous sauf l’extrait FICOBA et le premier courrier.

Aucune surprise ici, à part que pour la première fois le courrier a été envoyé au tarif « lettre verte » et non comme recommandé avec accusé de réception. 1,06€ au lieu de 5,05€, ça fait 4€ d’économie, ce qui n’est pas rien au vu du nombre de courriers envoyés pour chaque demande d’accès aux fichiers indirects.

Réflexions

En tout, il aura fallu 10 mois à la CNIL pour répondre à me demande d’accès à l’ensemble des fichiers indirects qu’elle liste sur son site web. La demande initiale a été un peu délicate à réaliser, car les moyens de contact de la CNIL sont peu évidents. Si j’étais mauvaise langue je dirais que c’est pour réaliser un filtrage des personnes motivées, mais je doute honnêtement que ça soit le cas. La CNIL étant sous financée et en sous effectif depuis des années, on comprend tout à fait qu’il puisse y avoir quelque hoquets. Mais une fois lancée, aucun besoin de faire de rappel, et les courriers arrivent tous seuls.

La durée de la procédure — 10 mois ! — m’a étonné. C’est long pour quelques simples demandes de consultation. En revanche, les réponses apportées par la CNIL sont très compréhensibles, c’est une très bonne chose.

S’il est effectivement possible de demander à accéder aux fichiers « sensibles » de l’État afin de connaître ce qu’ils contiennent à son sujet, en pratique la réalité est différente. Les services refusent de donner les informations demandées, au nom de « la sûreté de l’État, la défense et la sécurité publique ». De facto, le droit du citoyen prévu par la loi n’est pas effectif, et c’est problématique pour la transparence et la confiance.

Également, une demande comme celle que j’ai fait à la CNIL coûte cher : les courriers de réponse sont envoyés par recommandé avec accusé de réception. Je ne sais pas combien de personnes font des demandes d’accès aux fichiers indirects, mais avec plusieurs courriers de réponse par demande la facture monte vite^[3]. Il serait intéressant de dématérialiser toute la procédure en proposant de consulter les résultats en ligne, ou mieux en utilisant des courriels chiffrés^[4].

En outre, on met facilement en évidence la faible qualité des données de certains fichiers. Le problème d’actualisation des données dans une base à sources multiples est bien connu — et redouté — des informaticiens.

Expériences similaires

Il y a beaucoup de personnes en France qui sont les victimes de fichage erroné, avec plus ou moins d’impact sur la vie quotidienne. Les faux-positifs sont une des pires choses possibles en matière de fichage de renseignement, car non seulement on est abusivement répertorié, mais en plus on ne le sait pas, et les recours sont quasi impossibles car les services de renseignement/sécurité/justice/défense font tout ce qu’ils peuvent pour garder le contrôle sur leurs méthodes de travail. Se défendre, rectifier les informations, et obtenir un dédommagement pour le préjudice subit est une épreuve immense :

J'ai été fiché comme terroriste pendant 25 ans. Un calvaire que l'État doit réparer

À suivre…

Notes

[1] Que les ayatollahs de la vie privée ne viennent pas hurler : c’est l’État lui-même qui publie ouvertement ces informations

[2] Arrêté du 28 mars 2006 relatif à la mise en service à la direction générale des impôts et à la Banque de France d'une procédure automatisée de transfert des données fiscales

[3] Un recommandé avec accusé de réception coûte 5,05€ en janvier 2015

[4] ce qui nécessite que le gouvernement avance sur la question de l’identité numérique, que les décrets soient mis en place, et les infrastructures déployées. Bref, ce n’est pas pour demain.

Boycottons Le Parisien

Damien Clauzel — Tue, 26 Aug 2014 12:35:00 +0200

On croyait cette époque dépassée, mais il reste encore manifestement des Décideurs Pressés Idiots pour maintenir les anciennes pratiques de la publication et du partage des savoirs.

Thierry Crouzet a publié un joli billet, très simple, mais qui frappe juste. Et comme — lui — il a compris comment fonctionne désormais la culture, il l’a publié sous la licence libre CC by-nc-sa. Je le reprends car c’est un texte dont la porté est plus large que ce cas du Parisien, malheureusement applicable à de nombreuses situations. Abuser du droit (d’auteur, ou des marques, ou autre) pour bloquer des publications et renforcer son identité n’est pas acceptable, surtout quand on est un organe de presse.

À titre personnel, je n’ai absolument rien à reprocher à Google dans cette histoire : il fourni un excellent service en indexant le web, pour proposer gratuitement des outils de recherche. Si problème il y a, il est dans l’importance que lui accordent les acteurs du net; plutôt que de chercher à s’opposer à lui, il est bien plus intéressant de construire quelque chose d’autre correspondant mieux à ses propres valeurs et intérêts. C’est là encore une question d’évolution qu’il faut intégrer.

Quand un journal attaque une blogueuse parisienne pour contrefaçon, juste parce qu’elle est Parisienne, parce qu’elle a nommé son blog The Parisienne^[1], c’est tous les blogueurs qui sont attaqués.

On ne nous aime pas, ni dans la presse ni dans l’édition, parce que nous réinventons une parole libre, une parole vraie, une parole qui va là où nul autre n’irait si nous n’étions pas là, une parole qui n’implique aucune prise de bénéfice ni aucune recherche d’intérêt.

Comme nous captons une part d’audience non négligeable, nous impliquons un manque à gagner et nous faire taire s’impose désormais. Le temps du copain-copain et de la complémentarité est-il derrière nous ?

Facile de nous faire chuter. La tactique est éprouvée. Beaucoup de blogs ont déjà fermé après des attaques en diffamation. D’autres résistent. Pensez à Christophe Grébert avec MonPuteaux.com. On ne compte plus les procès pour lui.

Nous sommes des cibles vulnérables. Nous ne gagnons pas d’argent avec nos médias et ceux qui en gagnent encore un peu usent de leurs dernières ressources pour essayer de nous abattre. Dans l’attaque menée par Le Parisien contre The Parisienne, on peut aussi entendre un cri au secours, un cri de désespoir d’une profession encore prestigieuse qui a beaucoup de mal à se réinventer à côté de nous.

Tout ce que va gagner Le Parisien, c’est de perdre encore des lecteurs, et de jeter le discrédit sur ce qui pourrait encore être sauvé, de son côté.

Je me demande si cette attaque stupide ne cache pas quelque chose d’encore plus grave : à cause de la toute-puissance de Google, les acteurs du web se battent sur les mots, sur les adjectifs, sur les consonances pour attraper les internautes. Voilà où La Parisienne doit faire mal au Parisien. Impuissant à endiguer l’hémorragie ouverte dans les kiosques, le journal n’a d’autre voie de salut que le Net, où les gens ne vont pas à lui naturellement, mais grâce à Google. Et voilà où La Parisienne leur nuit peut-être. Je ne fais qu’une hypothèse, qui si elle s’avère juste, risque d’éclabousser plus d’un blogueur.

Je crois malheureusement que si Le Parisien ne retire pas sa plainte nous serons collectivement forcés d’appeler au boycott. Assez terrible de constater que de nombreux politiciens, médias, entrepreneurs n’ont pas encore mesuré la puissance du Net et se prennent les pieds dans son tapis. Réveillez-vous, vous n’êtes plus des intouchables.

Note

[1] antémémoire du billet par Google, car les internets sont résilients

La guerre de la CNIL contre l'ouverture des données publiques : le cas des bans de mariage

Damien Clauzel — Thu, 27 Feb 2014 20:00:00 +0100

Au nom de la protection de la vie privée, la CNIL s'est engagée depuis plusieurs années dans une lutte contre de nombreuses initiatives pour rapprocher les citoyens des données les décrivant. Le cas de la publication des bans de mariage est emblématique.

Ainsi, nous devons jongler entre les situations suivantes :

Célébrer un mariage en mairie, dans une salle ouverte au public : obligatoire (source: note de la Direction de l'information légale et administrative)

Le mariage doit être célébré à la mairie, dans une salle ouverte au public.

L’événement est public, afin que chacun puisse le constater s’il le souhaite.

Publier dans la presse l’information sur le mariage de 2 personnes : pas interdit (source: ouvrez un journal)

Il n’est nullement interdit de publier le récit d’un mariage civil. Les journaux dans les campagnes en sont remplis.

Publier un ban de mariage en mairie : obligatoire (source: article 63 du Code civil)

La raison est que les citoyens puissent prendre connaissance du prochain mariage, afin d'éventuellement s’y opposer (article 66 du Code civil)

Avant la célébration du mariage, l'officier de l'état civil fera une publication par voie d'affiche apposée à la porte de la maison commune. Cette publication énoncera les prénoms, noms, professions, domiciles et résidences des futurs époux, ainsi que le lieu où le mariage devra être célébré.

Récupérer en mairie les extraits d’actes de naissance, de mariage, de divorce, et de décès, d’une personne quelconque : autorisé (source: article 10 du décret n°62-921 du 3 août 1962)

Les dépositaires des registres seront tenus de délivrer à tout requérant des extraits des actes de naissance et de mariage.

Les extraits d'acte de naissance indiqueront, sans autres renseignements, l'année, le jour, l'heure et le lieu de naissance, le sexe, les prénoms et le nom de l'enfant tels qu'ils résulteront des énonciations de l'acte de naissance ou des mentions portées en marge de cet acte. En outre, ils reproduiront éventuellement les mentions de mariage, de divorce, de séparation de corps, de conclusion, modification ou dissolution de pacte civil de solidarité, de décès et de décisions judiciaires relatives à la capacité de l'intéressé. Les mentions relatives à la nationalité française qui auront été portées en marge de l'acte de naissance ne seront reproduites sur l'extrait d'acte de naissance que dans les conditions prévues à l'article 28-1 du code civil.

Les extraits d'acte de mariage indiqueront, sans autres renseignements, l'année et le jour du mariage, ainsi que les noms et prénoms, dates et lieux de naissance des époux, tels qu'ils résulteront des énonciations de l'acte de mariage ou des mentions portées en marge de cet acte. En outre, ils reproduiront les énonciations et mentions relatives au régime matrimonial ainsi que mentions de divorce et de séparation de corps.

Publier sur internet le ban de mariage : interdit par la CNIL. La CNIL considère qu’il s’agit d’une violation de la vie privée, et donne des consignes aux collectivités locales.

WTF ⁈¿ Il est donc obligatoire de communiquer une information légale sur un panneau, il est autorisé de la communiquer dans un journal, les administrations sont tenues de la communiquer aux demandeurs, mais la CNIL interdit de la communiquer numériquement, alors que la loi ne le mentionne pas.

Heureusement, le Sénat — parmi d’autres — travaille à lever les contradictions et à expliciter la possibilité de publier numériquement les informations de facto déjà publiques.

S'agissant des mariages, votre rapporteur a longuement examiné la question de la pertinence du délai fixé par le texte. Pourquoi faudrait-il attendre cinquante ans pour pouvoir consulter un acte de mariage, alors que tout ce qui est inscrit dans cet acte est lu à haute voix le jour du mariage et que la loi impose la publication des bans et l'ouverture des portes de la salle des mariages pour que quiconque puisse assister à la célébration ?

Mais la lutte pour l’ouverture des données publiques, et leur réutilisation, est loin d’être acquise.

Travailler avec les volumes chiffrés de TrueCrypt sur Debian

Damien Clauzel — Fri, 13 Sep 2013 14:37:00 +0200

TrueCrypt est un outil de chiffrement de volumes qui souffre de deux défauts majeurs : il n'a pas d'activité récente, et pour des raisons de licence n'est pas inclus dans Debian. Son alternative libre est tcplay, disponible dans les dépôts.

Package: tcplay

Maintainer: Laszlo Boszormenyi (GCS) <gcs@debian.org>

Description-en: Free and simple TrueCrypt Implementation based on dm-crypt tcplay is a free (BSD-licensed), pretty much fully featured (including multiple keyfiles, cipher cascades, etc) and stable TrueCrypt implementation.

This implementation supports mapping (opening) both system and normal TrueCrypt volumes, as well as opening hidden volumes and opening an outer volume while protecting a hidden volume. There is also support to create volumes, including hidden volumes, etc.

Since tcplay uses dm-crypt it makes full use of any available hardware encryption/decryption support once the volume has been mapped.

Homepage: https://github.com/bwalex/tc-play

L'approche utilisée ici est d'utiliser un disque dur entier dédié au stockage sécurisé. Nous mettrons en place un volume normal qui contiendra des données de leurre, ainsi qu'un volume caché dédié au travail réel.

Notes techniques :

le disque dur utilisé dans cet exemple est accessible via /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853^[1]. Il contiendra uniquement un volume normal; pas même une table des partitions ;
les volumes sont successivement montés dans le répertoire courant ./tc ;
on utilise /dev/mapper/truecrypt pour le mappage des volumes ;
on utilise des méthodes de chiffrement différentes pour le volume normal et le volume chiffré. Si une méthode est cassée, ça serait dommage que tous les volumes soient affectés.

Mise en place des volumes de leurre et caché

Opérations réalisées ici :

créer les volumes ;
remplir le volume de leurre, ainsi que le volume caché ;
fermer les volumes et nettoyer le système.

Sur le disque entier, créer un volume normal avec un volume caché dedans

sudo tcplay --create --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853 \
  --cipher TWOFISH-256-XTS,AES-256-XTS \
  --pbkdf-prf=whirlpoe-erase \
  --hidden --cipher-hidden AES-256-XTS,SERPENT-256-XTS \
  --pbkdf-prf-hidden RIPEMD160

Ouvrir le volume normal, en protégeant le volume caché. Le volume normal est mappé sur /dev/mapper/truecrypt

sudo tcplay --map=truecrypt \
  --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853 \
  --protect-hidden

Formater le volume normal

sudo mkfs.xfs /dev/mapper/truecrypt

Monter le volume normal

sudo mount /dev/mapper/truecrypt ./tc/

Remplir le volume normal avec des données de leurre. Par exemple des clés privées ssh, des données bancaires, des reçus des impôts… Le but est de justifier l'usage d'un volume chiffré.

sudo cp ~/.ssh/id_ecdsa ./tc/

Démonter le volume normal

sudo umount ./tc

Supprimer le mappage du volume normal

sudo dmsetup remove /dev/mapper/truecrypt

Ouvrir le volume caché Le volume caché est lié à /dev/mapper/truecrypt

sudo tcplay --map=truecrypt --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853

Formater le volume caché

sudo mkfs.xfs /dev/mapper/truecrypt

Monter le volume caché

sudo mount /dev/mapper/truecrypt ./tc/

Remplir le volume caché avec des données sensibles. Par exemple, des clés privées PGP, des photos personnelles, votre plan de conquête du monde, etc.

sudo cp ~/.gnupg/secring.gpg ./tc/

Démonter le volume caché

sudo umount ./tc

Supprimer le mappage du volume caché

sudo dmsetup remove /dev/mapper/truecrypt

Travailler dans les volumes de leurre et caché

Actualiser les données du volume normal :

ouvrir le volume caché : sudo tcplay --map=truecrypt --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853
monter le volume caché : sudo mount /dev/mapper/truecrypt ./tc/
travailler
démonter le volume caché : sudo umount ./tc
supprimer le mappage du volume caché : sudo dmsetup remove /dev/mapper/truecrypt

Actualiser les données du volume normal :

ouvrir le volume normal, en protégeant le volume caché : sudo tcplay --map=truecrypt --device /dev/disk/by-id/scsi-SATA_QUANTUM_FIREBAL692705570853 --protect-hidden
monter le volume normal : sudo mount /dev/mapper/truecrypt ./tc/
actualiser les données de leurre
démonter le volume normal : sudo umount ./tc
supprimer le mappage du volume normal : sudo dmsetup remove /dev/mapper/truecrypt

Note

[1] Disque dur Quantum Fireball TM1280A provenant de mon vénérable PowerMac 4400 (processeur PPC 603ev, 96Mo de RAM) datant 1996. Ce disque de 1,2Go présente toujours zéro secteur défectueux et tourne comme un charme. Pas comme les saloperies de disques durs actuels qui meurent au bout de 3 ans, alors qu'ils bossent à peine

Interview : « Convergence Numérique № 50 — Cybersurveillance : transparence ou décadence ? »

Damien Clauzel — Mon, 09 Sep 2013 21:14:00 +0200

Vincent Touati voulait réaliser une discussion sur le thème des révélations de Snowden et l'espionnage mondial réalisé par la NSA. J'y ai participé avec grand plaisir.

Le 6 Juin 2013, la planète découvre qu'elle est espionné par la première puissance économique, politique et militaire mondiale. L'affaire Snowden met en lumière les pratiques gouvernementales surveillant les données privées de ses propres citoyens, mais aussi à l'international. C'est ce dont est accusée la NSA envers les services secrets Allemands (la BND), ainsi que dans d'autres conflits infra-nationnaux.

Pour débattre sur le sujet, Jérome Choain, blogueur engagé et influent sur les sujets numériques, accompagné de Damien Clauzel, professeur à l'université Claude Bernard à Lyon, et enseignant connecté aux nouvelles technologies. Il donneront leur avis sur les sujets nommés ci-dessus, en orientant notre débat sur d'autres problématiques : neutralité du net, indépendance des médias, manipulation de l'opinion publique…

@article{Clauzel:2013:Cybersurveillance-transparence-ou-decadence,
  title = {Cybersurveillance : transparence ou décadence},
  journal = {Convergence Numérique},
  number = {50},
  year = {2013},
  month = sep,
  day = 9,
  url = {https://Damien.Clauzel.eu/post/2013/09/09/Interview-%3A-%C2%AB-Convergence-Num%C3%A9rique-%E2%84%96-50-%E2%80%94-Cybersurveillance-%3A-transparence-ou-d%C3%A9cadence%C2%A0-%C2%BB},
  url = {http://www.convergencenumerique.net/cybersurveillance-transparence-ou-decadence-debat-pod50-snowden-nsa/},
  url = {https://Damien.Clauzel.eu/Publications/Documents/Divers/2013-09-09%20-%20Convergence%20Num%c3%a9rique%20n%c2%b050%20-%20Cybersurveillance,%20transparence%20ou%20d%c3%a9cadence%20%3f.webm},
  url = {http://youtu.be/GBtmfsJEC9g},
  author = {Clauzel, Damien and Choain, Jérôme and Touati, Vincent},
  keywords = {podcast, internet, interview, presse, surveillance},
  language = {french},
  abstract = {Le 6 Juin 2013, la planète découvre qu'elle est espionné par la première puissance économique, politique et militaire mondiale. L'affaire Snowden met en lumière les pratiques gouvernementales surveillant les données privées de ses propres citoyens, mais aussi à l'international. C'est ce dont est accusée la NSA envers les services secrets Allemands (la BND), ainsi que dans d'autres conflits infra-nationnaux.

Pour débattre sur le sujet, Jérome Choain, blogueur engagé et influent sur les sujets numériques, accompagné de Damien Clauzel, professeur à l'université Claude Bernard à Lyon, et enseignant connecté aux nouvelles technologies. Il donneront leur avis sur les sujets nommés ci-dessus, en orientant notre débat sur d'autres problématiques : neutralité du net, indépendance des médias, manipulation de l'opinion publique…}
}

Évitons les prochaines victimes des zombies

Damien Clauzel — Sun, 01 Sep 2013 18:43:00 +0200

Dans les films de zombies, j'ai toujours été étonné de voir les héros se castagner des suceurs de cerveaux avec moultes armes toutes les plus visuelles et imaginatives les unes que les autres — machette, katana, arbalète, tronçonneuse, pulvérisateur d'acide, etc. — mais quasiment jamais de protections. Peut-être est-ce pour ajouter un élément dramatique de danger, mais en tout cas, pour un rôliste, c'est une erreur stupide de la part des héros.

Qu'il soit de type lent ou rapide, faible ou surpuissant, le zombie attaque de la même façon : il déchire les corps avec ses doigts, et arrache la chair avec ses dents. Pas d'armes de corps à corps ou à distance, pas de stratégie, c'est droit devant ! Et de préférence avec des giclées de sang.

Là où est mon problème, c'est qu'il est très simple de se protéger efficacement contre les morsures de zombies. Ils attaquent en priorité les parties hautes — au dessus de l'abdomen car leur bouche se trouve en hauteur — ainsi que les membres supérieurs — le héros utilise ses mains pour attaquer et repousser.

Ces morsures sont assimilables à des dommages légers, bien inférieurs à ceux que pourraient provoquer un sécateur ou un poignard. On peut donc facilement supposer que des vêtements de sécurité apportent une protection adéquate.

Ces protections se trouvent très facilement, avec des niveaux de couverture variés, mais de qualité toujours suffisante pour des morsure de mâchoire humaine.

Forces de l’ordre : les membres de l'armée, de la police, des services de sécurité privé et autres disposent de nombreux équipements de protection standard. La quasi totalité étant en vente libre, et dans tous les cas accessibles au personnel (surtout en cas d'apocalypse).

Ainsi, on peut songer a des t-shirt en kevlar, des vestes en kevlar, ou encore des gants de sécurité.

Vêtements de sécurité : les travailleurs — forestiers, ouvriers en bâtiment, etc. — sur le terrain doivent se protéger des risques de leur métier. Les cabines de chantiers et les réserves sont remplies de différents équipements répondant aux législations en vigueur. Après tout, si une veste peut arrêter une chaîne de tronçonneuse, elle est aussi capable de résister à une paire de molaires.

On a ainsi des pantalons de sécurité, des vestes de sécurité, des manchettes de sécurité, des sur-gants gauche de sécurité, et des sur-gants droit de sécurité, et casques de sécurité

Jardinage et bricolage : le grand public n'est pas oublié. Il peut se rendre dans sa boutique de jardinage/bricolage préférée, et en repartir les mains pleines.

On trouve partout des gants anticoupure, des manchettes anticoupure, et des salopettes anticoupure.

Mais aussi, les vêtements de moto (veste, gants, pantalons) fournissent une excellente protection contre la déchirure et la perforation. Mais pour les équipements en cuir, attention : seuls les cuirs épais sont suffisamment résistants. Votre pantalon moulant en cuir d'agneau est du plus bel effet en soirée, mais totalement inutile durant une apocalypse.

Et pour les chaussures ? Baaaah, des New Rock bien sûr ! Car avoir la classe, c’est important quand on éclate des mort-vivants.

Aussi, la prochaine fois que vous regarderez un film de zombies, vous pourrez vous exclamez en connaissance de cause « mais quel abruti ce type, pourquoi il n'a pas pillé le magasin juste à côté au lieu de se balader à poil avec son démonte-pneu !? »

Passer les torrents à Transmission depuis elinks

Damien Clauzel — Wed, 19 Jun 2013 14:08:00 +0200

Quand on travaille à distance sur des machines, on a parfois besoin d'utiliser des torrents pour distribuer en masse des données sans surcharger un serveur unique — par exemple, pour diffuser des mises à jour dans un parc informatique.

Le problème se pose quand il faut récupérer ces torrents sur un serveur web nécessitant une authentification : il faut alors gérer des cookies de session, parfois utiliser des formulaires, etc. Bref, quand une simple requête curl n'est humainement plus envisageable, il faut sortir le navigateur web.

Pour les torrents, j'utilise Transmission en mode serveur, naturellement; l'outil transmission-remote permet de le piloter. Mon navigateur web en mode texte de prédilection est elinks.

La technique consiste donc à plonger directement dans le site web — en utilisant les cookies d'authentification mémorisés par elinks — pour obtenir le lien de téléchargement du torrent, afin de le passer à transmission-remote qui dira quoi faire à transmission-daemon. Non, ce n'est pas aussi tordu que ça en a l'air, et ça répond parfaitement à bon nombre de situations du quotidien.

Elinks se configure très facilement via ~/.elinks/elinks.conf.

# déclaration du type mime des torrents
set mime.extension.torrent="application/x-bittorrent"

# on nomme un gestionnaire pour ce type mime; ici, tout simplement « bittorrent »
set mime.type.application.x-bittorrent = "bittorrent"

# elinks demandera confirmation avant de télécharger le torrent, et donc de le passer à transmission
set mime.handler.bittorrent.unix.ask = 1 
set mime.handler.bittorrent.unix-xwin.ask = 1 

# le téléchargement sera fait d'une façon non-bloquante dans elinks, car on a autre chose à faire.
# en même temps, un torrent est très petit, ça va vite à transférer
set mime.handler.bittorrent.unix.block = 0 
set mime.handler.bittorrent.unix-xwin.block = 0 

# on associe une commande externe au gestionnaire précédemment défini 
set mime.handler.bittorrent.unix.program = "transmission-remote --add %"
set mime.handler.bittorrent.unix-xwin.program = "transmission-remote --add %"

Les liens magnets seront gérés d'une même façon, excepté qu'on ne cible pas un type mime mais un protocole.

Trouve-moi un Vélo'v et autres développements autour des données ouvertes à Lyon

Damien Clauzel — Tue, 14 May 2013 12:47:00 +0200

Avec plusieurs personnes d'OpenData69, je travaille autour des données publiques ou ouvertes dans le Rhône, et plus particulièrement à Lyon. Dans nos réalisations techniques, nous proposons — entre autre — différents démonstrateurs utilisant plusieurs jeux de données, dont ceux du Grand Lyon et des Vélo'v lyonnais de JCDecaux.

Ainsi, Emmanuel Scotto a réalisé un démonstrateur utilisant les données ouvertes du Grand Lyon ; sources.

Personnellement, je m'intéresse surtout aux vélos en libre service (en attendant les données des TCL…) avec un démonstrateur utilisant les données des Vélo'v de JCDecaux^[1] ; sources.

Pour la suite, nous avons en tête différents outils pour permettre aux lyonnais de mieux utiliser leurs vélo'v :

des statistiques d'utilisations des stations : quelles sont les stations les moins/plus utilisées, à quelles périodes, etc. ;
des études sur les déplacements urbains : variation de l'utilisation des vélos selon la date (weekend, jour férié, vacances), la météo, les événements (rencontres sportives, concerts, etc.) ;
des prédictions de disponibilité/remplissage des stations : détection de motifs d'usages, et projections.

Ces travaux dépendent naturellement des API sur lesquelles nous pouvons nous appuyer, et donc de la volonté d'ouverture des administrations, des collectivités territoriales, et des entreprises.

Note

[1] sur IPv6, naturellement :)

Damien Clauzel

Non, tu ne peux pas visiter mon labo, et ce n'est pas grave

Brève histoire des technologies de virtualisation : Xen, VMware, KVM, et QEMU

Contexte

Le défi fondamental de la virtualisation x86 : les anneaux de protection et leurs contraintes

La première solution : VMware et sa traduction binaire

QEMU : l’émulation universelle par compilation dynamique

Architecture et fonctionnement de QEMU

Impact sur l’écosystème de virtualisation

Xen et le bond de la paravirtualisation

Conception et principes fondamentaux

Architecture Dom0/DomU [2] et la gestion des ressources

L’émergence des extensions matérielles

Le contexte Microsoft et les spécifications de sécurité

Technologies Intel VT-x et AMD-V

KVM : l’intégration native dans Linux

Développement chez Qumranet

Architecture et intégration au noyau Linux

L’évolution moderne et la convergence technologique

Adoption universelle des extensions matérielles

Technologies avancées de virtualisation

Applications contemporaines et spécialisations

Xen dans les systèmes embarqués et de sécurité

QEMU dans le développement et la recherche

Comparaison simple de solutions modernes

Leçons et perspectives d’évolution

Ligne de temps : des étapes de la virtualisation x86 de 1974 à 2025

Références académiques et industrielles

Notes

Le moulin à café USB et l’informaticien

Il y a vraiment un problème dans la galaxie StackOverflow

Personnaliser l’écran de connexion d’un serveur Linux

Utiliser Steam sur un Chromebook

Interview pour Le Progrès : « Challenger de Facebook aux USA, Reddit peut-il s’imposer en France ? »

Déployer un nœud YaCy sur une adresse IPv6 et avec un accès https

Prérequis

Mise en place du nom de domaine

Installer YaCy

Créer le certificat TLS

Préparation du certificat pour java

Mettre en place le certificat

Configurer l’utilisation du certificat

Définir des redirections dans apache

Utiliser Steam sur MacOS en 2016 avec un système de fichiers sensible à la casse

Ouvrir un terminal

Créer l’image disque qui accueillera Steam

Mettre en place l’application Steam

Adapter le compte utilisateur pour faire fonctionner Steam

Jouer !

Personnaliser les en-têtes de courriels envoyés par Mail.app

Monter un volume TimeMachine sous linux

Les archives TimeMachine

La technique

Exemple

J’ai essayé les opticiens discount Lunettes pour tous

Accéder à ses données personnelles contenues dans les fichiers de l’État : le parcours du combattant patient

Les fichiers de l’État, et les moyens d’y accéder

2014-08-29 : envoi à la CNIL du courrier de demande d’accès indirects aux fichiers de l’État

2014-09-23 : courriel(s) de relance

2014-10-01 : réponse de la CNIL

2014-12-22 : premières informations obtenues par la CNIL

2015-02-05 : nouvelles informations obtenues par la CNIL

2015-03-11 : nouvelles informations obtenues par la CNIL

2015-04-22 : nouvelles informations obtenues par la CNIL

2015-06-15 : nouvelles informations obtenues par la CNIL et fin du dossier

Réflexions

Expériences similaires

Notes

Boycottons Le Parisien

La guerre de la CNIL contre l'ouverture des données publiques : le cas des bans de mariage

Travailler avec les volumes chiffrés de TrueCrypt sur Debian

Mise en place des volumes de leurre et caché

Travailler dans les volumes de leurre et caché

Note

Interview : « Convergence Numérique № 50 — Cybersurveillance : transparence ou décadence ? »

Évitons les prochaines victimes des zombies

Passer les torrents à Transmission depuis elinks

Trouve-moi un Vélo'v et autres développements autour des données ouvertes à Lyon

Architecture Dom0/DomU ^[2] et la gestion des ressources