Wifi selon PCMag

Un article de PC Mag très complet fait le point sur l’état des technologies et produits Wifi de “grande consommation”. Voici ce que j’en retiens :

  • Les normes Wifi sont les suivantes : 802.11a (adapté à un contexte d’entreprise), 802.11b (le Wifi “classique”), 802.11b+ (à peine un peu plus performant que le 802.11b), 802.11g (le futur-déjà-présent du Wifi, plus performant et compatible avec 802.11b).
  • La norme 802.11g, plus performante que 802.11b, n’est pas encore stabilisée mais elle est implémentée dans nombre de points d’accès Wifi, pour lesquelles une mise à jour via des firmware sera disponible une fois que la norme aura été stabilisée et officialisée. 802.11g est un bon choix pour le particulier ou la PME qui veut s’équiper d’un point d’accès, du moment que la mise à jour via firmware ne fait pas peur.
  • Les fonctionnalités de sécurité à attendre d’un point d’accès Wifi sont les suivantes : chiffrement des communications par le protocole WEP avec des clefs les plus longues possibles (au moins 128 bits), désactivation de la diffusion de l’identifiant réseau SSID, filtrage des accès selon les adresses MAC. Il convient d’activer ces 3 mesures de sécurité lorsque l’on installe un réseau Wifi. Un standard 802.11i est en cours de préparation pour introduire dans Wifi plusieurs mesures de sécurité obligatoires : un framework d’authentification (802.11x), des systèmes de gestion des clefs de chiffrement, et deux protocoles pour renforcer WEP : TKIP et AES. En attendant la norme 802.11x, une norme intermédiaire est en cours de préparation : la technologie WPA (qui renforce WEP). WPA est conçue pour pouvoir être déployée dans un point d’accès via une mise à jour du firmware.
  • Toutes ces mesures de sécurité peuvent être contournées par un pirate très compétent et motivé : une clef WEP peut être cassée si votre réseau est mis sur écoute avec un logiciel comme AirSnort, l’identifiant réseau SSID peut être visible pour n’importe quelle personne qui le capte à moins que sa diffusion ne soit désactivée par le point d’accès, une adresse MAC peut être usurpée (spoofing). Mais mettre en oeuvre toutes ces mesures, c’est mieux que rien. En effet, sans ces mesures de sécurité, n’importe quel passant ou voisin peut librement accéder à vos services réseaux Wifi et donc essayer de se connecter à votre ordinateur, à votre fournisseur d’accès Internet, etc.
  • Les produits suivants sont à éviter pour le particulier qui veut acheter un point d’accès (moi, par exemple) : Linksys WRT55AG (le plus cher, super qualité et super performance mais s’appuie sur du 802.11a dont je n’ai pas besoin d’où le prix), ZyXEL ZyAir B-2000 (car ne supporte que le 802.11b, même si c’est un produit très complet et riche en fonctionnalités), Belkin F5D7230-4 (cher et peu performant), Buffalo AirStation WBR-G54 (le moins performant de tous les points d’accès étudiés dans l’article), Adaptec Ultra Wireless Access Point (performant, mais on peut avoir un point d’accès avec fonction de routeur en plus pour le même prix chez Adaptec également ou bien comme le Netgear ME102), D-Link DI-614+ (802.11b+ pas plus performant que les 802.11b et moins que les 802.11g), Hawking H-WR258 (produit “au mieux médiocre”), Linksys WAP11 (bon rapport qualité-prix mais 802.11b seulement), Microsoft MN-500 (le moins cher mais l’un des moins performants, et pas facile à configurer, ne fonctionne pas avec un PC en Windows 2000), Netgear ME102 (802.11b pas mauvais, qui peut s’utiliser en bridge, mais manque d’une interface d’administration Web et l’utilitaire client est trop incomplet), Siemens SpeedStream 2524 (riches en fonctionnalités mais mauvaises performances), U.S. Robotics 2249 (802.11b+ pas plus performant que le 802.11b, simple à utiliser, support du WEP 256 bits mais pas de possibilité d’antenne externe), Cisco Aironet 1200 series (plutôt pour l’entreprise car 802.11a/b), Proxim AP-2500 (pour l’entreprise, 802.11a/b), 3Com AP8700 (idem)
  • Les produits suivants peuvent être envisagés :
    • D-Link DI-624 : prix moyen, facile à installer et utiliser, administration à distance, paramétrage très complets (ports, IP, filtres, bases de règles, VPN) et reporting sur le traffic, mais n’a pas de mode “g-only” si bien que si un client s’associe au réseau en 802.11b, les performances des clients en 802.11g chutent significativement
    • SMC Barricade g 2804WBR : nombreuses fonctionnalités NAT dont “address mapping” et “port forwarding”, possibilité d’utiliser des antennes à gain élevé, simple à installer pour le novice, WEP 128 bits, NAT, broadcast ESSID désactivable, filtrage par adresse MAC, fournit un mode “g-only”.
    • NetGear WG602 : prix attrayant, performant et riche en fonctionnalités de sécurité, fournit une interface d’administration distante via le Web, fournit un mode “g-only”.
  • Pour les antennes externes, il faut d’abord vérifier que le point d’accès (ou la carte Wifi) permet d’en connecter une. Les prises pour antennes externes sur les points d’accès sont habituellement de type “SMA”. Il existe quatre familles d’antennes. Plus leur faisceau d’émission est étroit plus elles portent loin et fournissent un gain élevé et plus leur prix est également élevé :
    • les antennes dipoles omnidirectionnelles, 4 à 6 dBi, de l’ordre de 30 euros, émettent dans toutes les directions autour de leur axe mais essentiellement dans un plan perpendiculaire à l’axe (il faut éviter d’être dans l’axe car le signal y est plus faible)
    • les antennes directionnelles, de l’ordre de 40 euros, émettent dans un cone de 30 degré environ, bien adaptées pour couvrir une salle de conférence ou une rangée de bureaux
    • les antennes Yagi, de l’ordre de 130 euros, émettent un faisceau d’environ 15 degré, à gain élevé, bien adaptées pour connecter un bâtiment à un autre sur un campus par exemple
    • les anntennes paraboliques ou “à grille” ont un faisceau de quelques degrés seulement (4 ou plus généralement), certaines paraboles sont adaptées aux situations à grand vent mais restent encombrantes et très visibles, elles sont bien adaptées pour connecter deux bâtiments séparées d’un ou deux kilomètres (voire plus dans certains cas)

    L’article de PCMag fournit de nombreuses références de documentations pour construire soit-même son antenne.

Requête HTTP par Javascript côté client

Vous voulez que du code Javascript, côté client (exécuté dans le navigateur), génère une requête HTTP vers un serveur, récupère le résultat puis le traite et poursuive ainsi son exécution. Comment faire ? Il faut utiliser un objet httpRequest présent dans le DOM. Ce type d’interface est apparemment en cours de spécification dans le standard DOM du W3C (au sens du standard “DOM Level 3 Load & Save”). MS IE et Mozilla implémente tous les deux cet objet même si le code pour l’instancier diffère un tout petit peu. Il existe plusieurs documentations qui expliquent plus en détails comment faire.

Java est aux langages de programmation ce que les 4×4 sont aux voitures

Java est le 4×4 des langages de développement : ultra-puissant, tout-terrain (sauf lorsqu’il s’agit de faire un Paris-Dakar), énorme consommateur (de temps de développement et de ressource machine). Comme les conductrices de 4×4 en centre ville, certaines sociétés utilisent Java à contre-emploi.
JSP est la technologie Java de loin la plus simple au sein de la spécification J2EE. Pourtant, d’après Philip Greenspun, professeur d’informatique au MIT, même les étudiants informaticiens du MIT ont du mal à la mettre efficacement en oeuvre tellement elle est complexe au regard du type de problème qu’elle est sensée traiter. D’après Philip Greenspun, un projet Web simple utilisant Java coûtera 5 fois plus, sera deux fois plus longs à livrer et sera plus dur à maintenir que si il utilisait un langage de scripting tel que PHP ou Perl. Mais les développeurs et les managers se sentiraient rassurés à l’idée qu’avec Java ils pourraient, au moins en théorie, résoudre des problèmes informatiques d’une complexité très importante, même si cela ne correspond pas à la situation qu’ils ont à traiter au quotidien.

Le culte du “Non Disclosure Agreement”

Depuis l’époque des start-ups, une idée reçue a fait le tour du monde : pour garantir le succès d’un projet d’entreprise, il faudrait engager tous les partenaires du projet à maintenir celui-ci dans un secret absolu. L’engagement pris se traduisait par un contrat de non divulgation (le “NDA”) qu’il fallait signer, bien entendu, avant de prendre connaissance des renseignements à ne pas révéler. Sur le carnet “Dispatches from the Frozen North”, on peut apprendre à démonter cette mode du NDA, à rendre les entrepreneurs plus humbles (tâche ô combien difficile étant donné le surdimensionnement d’ego caractéristique de cette activité) et à se concentrer sur les facteurs clefs du succès d’un projet d’entreprise.

Wifi : points d’accès D-Link et Linksys

Dans ma recherche d’un bon point d’accès Wifi pour chez moi, j’ai lu un article sur le point d’accès D-Link DI-624. Ce point d’accès fait également routeur, serveur DHCP, firewall avec DMZ et filtres en entrée et en sortie. 217 euros HT en juin 2003 d’après Décision Micro.
Le Linksys WRT54G, quant à lui, fait switch 10/100 full duplex 4 ports, serveur DHCP, routeur NAT avec support du VPN, cryptage WEP 128 bits et filtrage par adresses MAC.

Intelligence collective, le projet

Pierre Lévy, à l’Université d’Ottawa, présente son projet de recherche sur l’intelligence collective : créer un modèle théorique qui permet de représenter et de gérer l’intelligence collective d’un système sous la forme des échanges de savoirs qui le traversent et des réseaux qui les sous-tendent. Pierre Lévy projette d’implémenter ce modèle sous la forme d’un logiciel opensource. Ce logiciel permettra de représenter graphiquement ces savoirs et réseaux, de les valoriser et donc de les échanger au sein d’une économie nouvelle. Le logiciel se présentera comme une sorte de jeu de plateau (jeu de l’oie, mandala, …).

Surveiller la performance d’un site sans infrastructure de test

Pour surveiller ou mesurer la performance d’un site web, on utilise généralement des sondes, agents ou scripts qui, installées sur une machine, simulent l’activité d’un utilisateur et mesurent les temps de réponse et autres indicateurs de performances (taille des pages, bande passante, …). Ceci rend les campagnes de test difficiles à mettre en oeuvre (coût de la conception et du paramétrage mais également coût du déploiement et de l’installation). Et cela rend le bénéfice ephémère puisque les agents de tests qui sont déployés ne sont généralement pas maintenus en place. Lorsqu’ils sont maintenus en place, on parle d’infrastructure de supervision. Le coût de la maintenance et de l’exploitation d’une infrastructure d’agents de supervision est significativement élevé puisqu’il s’agit de maintenir une architecture d’agents distribués. Il s’agit alors de superviser l’infrastructure de supervision !
Pour contourner cette difficulté, dans le cas où l’on ne cherche pas à obtenir des mesures détaillées et approfondis et où l’on souhaite privilégier la durabilité du dispositif de surveillance et sa maintenabilité, une astuce peut être employée : recourir à des agents qui ne sont pas déployés sur des postes clients distants mais qui résident dans du code exécuté côté client depuis une page web. On recourt alors aux technologies ActiveX ou applets Java ou bien encore, si l’on souhaite respecter un standard plus ouvert (mais moins sophistiqué) : Javascript. Il s’agit donc de recourir à un agent de test et de mesure en Javascript :

Un bon rapport NRE ?

Dans la lettre de l’ORSE de février 2002, on pouvait lire :

  • Qu’est-ce qui fait un bon rapport NRE ? Il doit prendre en compte toutes les parties prenantes, être comparable avec celui des autres entreprises, publié régulièrement, transparent, accessible, vérifiable par des acteurs extérieurs et susceptible d’amélioration continue.
  • L’éthique est parfois un voeux pieux lorsqu’elle contredit les intérêts économiques : Pourquoi ne pose-t-on jamais la question du respect des droits humains en Arabie Saoudite ?
  • Si 100% des entreprises communiquent dans leur rapport sur les risques financiers et de marché, 75% le font sur l’environnement, 70% sur l’éthique, 56% sur la gestion des risques, mais seulement 27% sur leur politique d’assurance et 18% sur la gestion de crise.
  • Cette lettre de l’ORSE donne plusieurs adresses de sites Web fournissant aux entreprises des conseils ou des exemples en matière de reporting NRE

Commercialisez vos logiciels open source

Discussion sur Slashdot au sujet des modèles économiques liés à l’opensource, résumé et extraits :

  • Dans le monde des affaires, certains logiciels gagnent à être libres et d’autres à être fermés. Au cours de la vie d’un logiciel, il peut exister un instant critique à partir duquel le logiciel gagnerait à devenir ouvert ou, au contraire, à devenir fermé.
  • Un logiciel gagnerait à être ouvert à partir du moment où il permet de gagner plus d’argent en services (installation, paramétrage, assistance, support) qu’en vente de licence.
  • Peut-être vaut-il mieux commercialiser des services et des produits s’appuyant sur des logiciels libres plutôt que d’essayer de commercialiser les logiciels libres eux-mêmes (licences).
  • Si je développe un logiciel à usage interne et spécifique (pas dans une optique de revente), j’ai en général intérêt à le distribuer sous une licence opensource : je gagne ainsi de la force de recette et de développement en constituant une communauté autour de ce logiciel.
  • 1/ développez un logiciel, 2/ prospectez et “vendez-le” largement mais sous licence opensource, 3/ établissez des contrats de services avec vos clients satisfaits par le logiciel (formation, support, maintenance corrective, maintenance évolutive, …), 4/ distribuez-le publiquement sous licence opensource.
  • L’idée de commercialiser un service de support sur un logiciel opensource est séduisante mais difficile à mettre en oeuvre. En effet, le principal besoin de support est ressenti au moment de l’installation voire avant le démarrage (démonstrations, avant-vente, …), c’est-à-dire avant que le client ait pu profiter du caractère gratuit de la licence pour s’approprier le produit. Il est alors difficile de vendre un service (trop prématuré).
  • Certains aiment distribuer leur logiciel sous deux licences : d’une part sous licence opensource GPL (ce qui empêche l’utilisateur de revendre le produit) et d’autre part sous licence commerciale (afin de permettre à l’utilisateur de revendre le produit après modification ou extension des fonctionnalités). Mais ce modèle rend difficile voire impossible la constitution d’une communauté de développeurs ouvertes puisque les contributions de cette communauté, si elles se font dans le cadre de la licence GPL, ne pourront pas être inclues dans la version commerciale du produit (à moins que les développeurs ne cèdent leurs droits au “propriétaire” du produit).
  • Certains produits sont d’abord distribués sous licence commerciale et seules leurs anciennes versions sont distribuées sous licence opensource. Même remarque que précédemment sur la difficulté d’organiser une communauté ouverte de développeurs.
  • Les services à vendre autour d’une application web opensouce : 1/ hébergement spécialisé (service en mode ASP), 2/ vente de licences pour des modules et fonctionnalités avancées, 3/ services de conseil, d’assistance, de développement spécifique, d’intégration, 4/ support technique avancé, 5/ autres services (graphisme, …).

L’article qui avait provoqué cette discussion est disponible ici.

SSO : Kerberizez vos applications Apache

Votre application Web tourne derrière un serveur web Apache ? Vous pouvez la doter d’une fonctionnalité de Single Sign On grâce à la technologie Kerberos dans le cas où vos utilisateurs sont déjà authentifiés dans une architecture Kerberos (par exemple au sein d’une forêt Active Directory, ou bien d’un Kerberos Unix du MIT). Pour rendre Apache capable de s’appuyer sur l’authentification Kerberos, il faut lui apprendre à utilise le protocole SPNEGO (Simple and Protected Negotiation). Il vous faut donc :

Connaissances sur le climat (suite et fin)

Bon, ben suite et fin de mon résumé de la synthèse du rapport du GIEC sur les bouleversements climatiques à venir :

  • Il faut faire plus de R&D sur l’énergie : une augmentation de l’activité de recherche et développement portant sur l’énergie permettrait d’accélerer le développement et l’utilisation de technologies de pointe et écologiquement rationnelles ; pour réduire les coûts de la stabilisation de la concentration des gaz à effets de serre, il faut développer les transferts de technologies internationaux.
  • Tout ça à cause surtout des combustibles fossiles : l’augmentation des concentrations de CO2 au cours du XXIè siècle sera due aux émissions de combustibles fossiles (pétrole, gaz, charbon).
  • Oh, les beaux graphiques : si vous hésitiez encore à ouvrir le rapport de synthèse du GIEC, je vous invite à le faire ne serait-ce que pour voir les deux “beaux” graphiques à la fin : l’un montre comment la concentration de CO2 dans l’atmosphère, qui était stable depuis l’an 1000 jusqu’en 1800, a entamé une croissance explosive qui nous laisse présager des sueurs pour les siècles à venir ; l’autre montre comment la température à la surface de la terre, qui oscillait de plus ou moins un demi-degré celsius depuis l’an 1000 jusqu’en 1900, a entamé une croissance qui pourrait nous réchauffer de plus de 5° en moyenne (sachant que seuls 6° C de moyenne nous séparent de la température de l’ère glaciaire)!

Voila, voila…

L’état de nos connaissances sur les changements climatiques

L’IPCC, groupe d’experts sur le climat agissant sous l’égide de l’ONU, a publié une synthèse de nos connaissances sur les changements climatiques. On y confirme un grand nombre de faits scientifiques sur les bouleversements qui se produisent actuellement sur notre planète :

  • Notre climat a déjà commencé à changer : au cours du XXè siècle, la température a augmenté de 0,6 °C ; les précipitations sur les continents ont augmenté de 5 à 10% ; il y a eu plus souvent de fortes précipitations ainsi que des sécheresses plus fortes et plus fréquentes ; le niveau de la mer a augmenté de 1 à 2 mm par an ; les glaciers de montagne ont commencé à fondre ; et ces changements ont coûté beaucoup d’argent partout sur la planète. Et ces changements sont essentiellement dus à l’homme.
  • Ca va empirer sur le XXIè siècle : la température moyenne va augmenter de quelques degrés, ce qui représente une augmentation qui n’a jamais été aussi forte au cours des dix derniers millénaires ; les précipitations vont augmenter de 5 à 20 % ; les glaciers vont continuer à fondre sur toute la planète ; la mer va monter de l’ordre de 9 à 88 cm ; ces changements auront globalement des conséquences néfastes sur l’homme et sur l’environnement ; les pays pauvres et ensoleillés souffriront de risques accrus pour la santé ; les espèces fragiles seront probablement plus nombreuses à disparaître ; les populations qui vivent sur des îles, en bord de mer ou dans des régions de deltas sont menacés par de graves inondations et tempêtes ; ce sont essentiellement les pays les plus pauvres qui souffriront des changements du climat (santé, accès à l’eau potable, …)
  • La météo du siècle prochain sera vraiment morose : plus de jours chauds, de vagues de chaleur, de fortes précipirations, moins de jours froids ; plus de décès et de maladies chez “les vieux” et “les pauvres” en milieu urbain ainsi que chez les animaux sauvages ou d’élevage ; des modifications dans les destinations touristiques ; plus de besoins en climatisation électrique ; plus de pannes de courant ; moins de morts liées au froid ; plus de parasites et de maladies liés à la chaleur ; moins besoin de chauffage domestique ; plus d’inondations, de glissements de terrain, d’avalanches, de coulées de boue ; plus d’érosion des sols ; plus de recours aux assurances contre les effets des catastrophes naturelles ; plus de fissures dans les bâtiments, liés à la sécheresse ; moins d’eau potable ; plus d’incendies de forêts ; des destructions accrues des récifs coraliens et des mangroves ; moins de puissance éléctrique fournie par les barrages ; plus d’inondations et de sécheresses dans les zones sujettes à la mousson ; on ne sait pas si il y aura plus ou moins d’orgages, de tornades, de grêle, etc. ; à plus long terme, la glace de l’antarctique et du Groënland pourrait fondre pendant 1000 ans et faire ainsi monter le niveau de la mer de plusieurs mètres
  • Et c’est parti pour un bon bout de temps ! En effet, même si nous commençons à réduire nos émissions en CO2 en 2050, la quantité de CO2 dans l’atmosphère ne cessera d’augmenter qu’en 2200, la température ne cessera d’augmenter qu’en 2500 et la mer ne cessera de monter que dans plusieurs milliers d’années ! En plus de cela, il faut à la société plusieurs années ou plusieurs décennies pour passer de l’étape “oh, oh, il y a vraiment un problème !” à l’étape “nous avons mis en oeuvre des solutions qui seront efficaces”.
  • On peut faire face, mais ça va coûter cher : on peut d’une part mettre en place des mesures d’adaptation (s’adapter au changement pour limiter les effets néfastes et renforcer les effets bénéfiques) et d’autre part mettre en place des mesures d’atténuation (réduire, retarder ou raccourcir les changements climatiques néfastes) ; plus nous réduirons nos émissions de gaz à effet de serre, plus le réchauffement climatique et l’élévation du niveau de la mer pourront être réduits et ralentis et plus les effets néfastes sur l’homme et l’environnement seront réduits ; la réduction des émissions de gaz à effet de serre est économiquement rentable (le coût est inférieur aux dommages qui seront subis) mais on ne sait pas chiffrer cette rentabilité ; nous avons fait des progrès technologiques pour nous faciliter la réduction de ces émissions ; nous sommes vraiment en mesure de réduire ces émissions de manière considérable ; même si nous réduisons nos émissions, il faudra apprendre à vivre avec un climat chamboulé ; on pourrait retarder les changements prévus par l’utilisation des “puits et bassins de carbone” (forêts, terres agricoles, …)

Pour la suite et fin de mon résumé-de-la-synthèse, il faut aller voir plus tard.

Réseaux formels du savoir

Une étude de l’institut international du développement durable présente quelques cas canadiens de réseaux formels d’échange de savoir. Les cas cités sont ceux des “réseaux de centres d’excellence (RCE)”, d’instituts de recherche “fonctionnant en réseau”, d’ “observatoires”, de programmes de recherche ou de lobbying, de centres de ressources et d’ONGs. Le cas annoncé comme le plus intéressant est celui des RCE.
L’action de la Fédération Internationale de la Croix-Rouge et du Croissant-Rouge (FISCR) est également étudiée en particulier en ce qui concerne ses modes de distribution du savoir : ” La fédération vise à fournir des trousses d’information aux délégués avant qu’ils n’arrivent sur la scène d’une catastrophe. Une partie de cette information, dont les politiques de la fédération, les procédures et les informations particulières au pays comme les cartes, sera sans doute offerte sur CD-ROM. Il semble clair qu’une fois ce travail parachevé, on en saura beaucoup plus sur les secours en cas de catastrophe et on pourra les organiser plus rapidement et mieux les adapter à la situation. La composante communication des données portera, elle, sur la création d’un réseau de télécommunications qui s’appuiera principalement sur le courrier électronique. En situation de catastrophe, cela est souvent difficile sur le terrain. Depuis 1994, la fédération se sert de liaisons à haute fréquence au moyen de
PACTOR — modem radio servant à la transmission de données — pour relier
des endroits éloignés aux services de courrier électronique à Genève. Cela a
donné de bons résultats particulièrement durant la crise au Rwanda, permettant
de transmettre des rapports sur la situation et des demandes d’aide. La fédération
a aussi étudié la possibilité d’utiliser des satellites non synchrones à orbite basse
(LEO) qui peuvent offrir une couverture continue des communications au-dessus
de la surface de la terre, et se sert également des réseaux de données X25,
de l’Internet, de satellites (Inmarast M et Mini M principalement), de la radio
(HF/VHF/UHF voix), de la transmission à haute fréquence et basse vitesse de
données (PACTOR) etc., souvent dans des conditions difficiles. Le défi consiste
à créer un véritable réseau de cette diversité de moyens. “

Bigre, voila qui paraît alléchant !

Contrôle d’accès et gestion de sessions

De manière connexe aux problématiques d’annuaires se trouve celles de la gestion des contrôles d’accès et donc de l’authentification, de la gestion des droits d’accès à base de rôles (RBAC = Role Based Access Control) et de la gestion de sessions. Une publication auprès de l’IEEE donne un exemple d’approche globale de ces problématiques et esquisse la conception d’un système de gestion de la sécurité pour le Web faisant abstraction, par exemple, des technologies d’authentification sous-jacentes (Kerberos, SSL + X509, LDAPS, NTLM, NIS, …).