Blogue

Tags: sécurité, Google Apps

Il y a à peine deux mois, Mat Honan a vu sa vie numérique entière être détruite à cause de failles chez Amazon et Apple. Comme ce denier l’explique, il aurait pu se protéger plutôt que de perdre le contenu de son ordinateur personnel, son compte Twitter, son compte de courriel, bref, de perdre sa vie numérique. Pour les curieux, faites en la lecture, l’histoire fait peur, mais revenez vite puisque je vais vous expliquer comment vous protéger (et probablement même simplifier votre présence en ligne). Pour les moins curieux, ça tombe bien, je vais quand même vous expliquer comment vous protéger ici.
Faites l’exercice rapidement. Combien de comptes possédez-vous sur internet? Un? Deux? Vous n’êtes pas certains et ça j’en suis sûr.
La majorité des gens en possèdent au moins deux : Un compte de courriel et un Facebook. Ce nombre augmente très rapidement si vous considérez les sites d’achats en ligne, les panneaux de contrôles des compagnies de télécommunication comme Bell et Vidéotron ou encore votre site web en WordPress ou Silverstripe.
Tous ces sites exigent de vous identifier avant d’accéder à leur service et c’est une bonne chose. Pourtant, l’internet dans sa forme actuelle ne dispose pas d’une tonne de façon de vous identifier ou de vous acheminer vos mots de passes quand vous les oubliez. Et c’est là que le bât blesse. Le courriel est devenu la pierre angulaire de votre présence web. Si votre compte de courriel est compromis, vous ouvrez toute grande la porte à faire voler votre identité. En perdre l’accès revient à perdre son portefeuille ou son téléphone portable et implique de contacter beaucoup, beaucoup de gens pour leur indiquer vos nouvelles coordonnées et leur prouver (dans le cas de sites commerciaux) que vous êtes bien la personne que vous prétendez être.
Sans être devin, j’imagine que certains se disent : « je ne suis pas à risque, j’ai un bon mot de passe ». C’est ce que l’auteur de l’article sur Wired.com avait un bon mot de passe aussi; pourtant la personne qui a compromis tous ces comptes (en plus de détruire les données de son téléphone et son ordinateur personnel) n’a pas eu besoin d’un mot de passe pour y arriver.
En sécurité il existe trois éléments principaux pour identifier quelqu’un et sa capacité à accéder un service. Ces trois éléments sont :

• quelque chose que vous connaissez : un code secret, votre courriel, votre mot de passe, votre nom d’utilisateur, votre NIP;
• quelque chose que vous possédez : votre carte de crédit, une clef, votre rapport d’impôt;
• quelque chose que vous êtes : votre ADN, votre voix, vos empreintes digitales, vos yeux.

Si vous remarquez bien, du premier au dernier, la complexité à obtenir et dupliquer un élément de sécurité va en croissant. Il en va de même de la probabilité pour le propriétaire légitime de réaliser la copie ou la perte de l’élément de sécurité. Il est bien plus facile de deviner, noter, copier, un code secret (sans être remarqué) que de répliquer / voler les empreintes digitales de quelqu’un. On augmente aussi le niveau de sécurité lorsqu’on combine des éléments de sécurité de plusieurs catégories. Par exemple votre carte de guichet à puce avec un NIP est beaucoup plus sécuritaire que votre numéro de compte bancaire seul pour protéger votre argent.
Revenons aux comptes sur le web et à votre courriel. Combien d’éléments doivent être connu pour accéder à votre courriel? Dans combien de catégories? Combien de ces éléments sont réellement secrets? Dans les faits, la majorité des comptes de courriel sont protégés par un seul élément de sécurité : votre mot de passe. Et les procédures de récupération de mot de passe permettent facilement de le contourner (la démonstration est dans l’article de Wired.com). C’est encore plus vrai que la majorité des procédures d’identification ou de récupération de mot de passe utilisent des éléments de la première catégorie (quelque chose que vous connaissez); éléments qui sont le plus facile à dupliquer et le plus difficile à reconnaître qu’ils ont été compromis.
C’est une des raisons pour lesquelles je recommande Google Apps pour les courriels. Ils offrent des fonctions de sécurité qui visent à protéger votre identité et le contenu de votre boite de courriel. La façon la plus simple d’y arriver est d’utiliser l’authentification à facteur multiple. Différents services offrent différentes méthodes mais l’idée est la même: utiliser plus qu’un mot de passe pour vous identifier. Ce que j’ai de Google c’est qu’ils ont développé une petite application qui s’exécute sur votre téléphone intelligent iPhone/iPod/iPad  ou Android appelé « Google Authenticator ». Cette dernière génère des mots de passes valide pour une durée de 30 secondes. L’application ne vous intéresse pas? Ils peuvent vous envoyer un SMS qui contient ce code lors de la connexion sur un ordinateur non reconnu. Ce que j’aime de l’application « Google Authenticator » c’est qu’elle fonctionne sans connexion réseau comme en voyage et qu’elle fonctionne avec plusieurs fournisseurs de service et même avec votre blogue WordPress et site Silverstripe.
Dans la pratique comment ça fonctionne? Très simplement en fait. Une fois votre nom d’utilisateur et votre mot de passe saisi, Google vous demande alors un code que vous récupérez sur votre téléphone. Vous pouvez sauter cette étape sur votre ordinateur pendant 30 jours pour vous simplifier la vie. Et si vous êtes fan des films de guerres et de sous-marin, vous pouvez même avoir ces codes pré-imprimés sur une feuille de papier (bon ça sonne très Geek mais c’est quand même hyper cool).
Et voilà, une fois activé vous avez maintenant un compte beaucoup plus sécurisé puisque vous devez utiliser pour vous identifier de quelque chose que vous connaissez et de quelque chose que vous possédez.
Pour l’activer, suivez les instructions dans la section Sécurité de votre compte Google. Les étapes sont bien décrites. Une fois cette fonction de sécurité activée il ne vous restera qu’à configurer des mots de passes spécifiques pour votre téléphone intelligent ou encore votre client de courriel ces derniers ne supportant pas nécessairement la validation en deux étapes. La procédure de sécurisation est différente si vous êtes sur Yahoo. À ce moment, Microsoft n’offre pas cette fonction pour les comptes Hotmail.
Une fois habitué à cette procédure vous vous demanderez certainement pourquoi votre institution bancaire n’offre pas l’authentification à facteur multiple et vous vous mettrez certainement en quête d’autre comptes à sécuriser. À ce sujet, si vous connaissez d’autres services qui offrent l’authentification à facteur multiple n’hésitez pas à me le mentionner.
p.s. Si vous êtes déjà un client M2i3 et que vous n’arrivez pas à trouver cette fonction dans votre compte Google Apps envoyez-nous un message puisqu’il faut souvent l’activer. De même, n’hésitez pas à me contacter par courriel si vous désirez transférer les courriels de votre corporation sur Google Apps pour tirer profiter de l’authentification à facteur multiple.
—
Jean-Marc

Tags: domaine, gestion

Vous êtes l’heureux propriétaire d’un nom de domaine. La pierre angulaire de votre site web, de votre service de courriel, bref, de votre présence sur internet. Les gens dans la rue vous connaissent sous ce nom. Vous n’êtes pas encore propriétaire d’un domaine? Ne savez pas ce qu’un domaine est? Détromprez-vous, si vous savez ce qu’est google.com, yahoo.com, vous avez une idée de leur importance et de leur valeur. Ce que vous ignorez probablement c’est l’importance des informations qui y sont rattachées.
Par exemple, savez-vous que chaque nom de domaine comporte quatre contacts; Mais qu’un seul d’entre eux sert vraiment à démontrer qui en est le propriétaire? Dans les minutes qui suivent je vais vous expliquer ce que chacun des éléments d’un domaine sont et surtout comment vous assurer que vous possédez bien votre nom de domaine.
Tout d’abord, à quoi sert un nom de domaine? On peut comparer un nom de domaine à un bottin téléphonique. Cherchez un nom et vous y trouver l’adresse d’une personne, d’une compagnie. Ces adresses et numéros de téléphone vous permettent de les contacter. Et franchement c’est plus facile de se souvenir de « M2i3 » que de 1-866-403-5998. Le web fonctionne de la façon similaire. Quand vous entrez un nom de site web, votre navigateur demande alors l’adresse du site et contacte ensuite ce site pour obtenir la page web. On appelle ce service: « résolution de nom de domaine » (ou en anglais DNS, i.e. domain name system).
Par ailleurs, tout comme dans un bottin, vous obtiendrez différentes adresses selon que vous désirez envoyer un courriel ou encore afficher leur site web. Le nom de domaine et le système de résolution de nom de domaine permet de vous donner un site web différent selon que vous accédez www.m2i3.com ou demo.m2i3.com. Ces sites peuvent être sur des serveurs différents, comme les départements d’une compagnie peuvent être dans des édifices différents. Le lien entre un nom, un service et une adresse s’appelle enregistrement (record en anglais).
Tout comme une entrée dans un bottin téléphonique, un nom de domaine est loué et la durée de la location peut être de plusieurs années. On n’achète pas un nom de domaine comme on achète un fauteuil. On le loue comme son service de téléphone ou de télévision.
Chaque nom de domaine sur le web possède aussi quatre contacts, des gens qui ont la responsabilité des multiples aspects de la gestion de ce nom. On y trouve:

• Le contact technique (technical contact): c’est le technicien qui est responsable du bon fonctionnement du domaine; la personne qui s’assure que ce dernier soit bien configuré;
• Le contact de facturation (billing contact): c’est la personne responsable de payer la facture pour le nom de domaine; la personne qui est avisé lorsque la location tombe à échéance;
• Le contact administratif (administrative contact): c’est la personne qui est responsable de la gestion du domaine; qui est contacté s’il y avait demande de transfert;
• Le registrant (registrant contact): c’est la personne qui, légalement, possède le domaine, qui en a la propriété intellectuelle. Dans la majorité des cas, le registrant, c’est vous.

Ce n’est pas rare de voir ces informations être imprécise, voir complètement erronée. Plusieurs propriétaires de site web voient le nom de leur fournisseur de service comme étant le registrant. Ce qui peut sembler anodin quand tout baigne dans l’huile mais, qui devient vraiment problématique puisque dans les registre de l’ICANN (l’organisation mondiale responsable de gérer l’internet) ils ne sont pas propriétaire de leur propre nom de domaine.
On voit aussi la situation inverse se produire. Le propriétaire du site web voit son nom inscrit dans tous les contacts et se voit contacter lors du renouvellement ou lorsque des problèmes techniques surviennent. C’est parfait si, en tant que propriétaire, vous êtes responsable du renouvellement de votre site; c’est aussi très problématique si vous avez une entente avec votre fournisseur de service et que ce dernier n’est pas en mesure d’effectuer le travail pour lequel il est payé.
Je vous encourage fortement à vérifier vos domaines aujourd’hui et à vous assurer que vous êtes bien inscrit comme propriétaire (registrant) de vos domaines. Le plus simple, c’est de vérifier soi-même ou de demander à son fournisseur d’envoyer ces informations sur une base régulière pour les domaines qui sont équipé d’une fonction de protection de la vie privée.
— Jean-Marc

Tags: twitter, ROR

Twitter, qui avaient commencé leur site en Ruby on Rails n’ont pas abandonné la communauté pour autant. C’est peu-dire avec un projet comme Bootstrap qui inclue tout le CSS, HTML et code Ruby on Rails de base pour créér une application web.
Le site est simple, clair et contient vraiment tout ce qui est nécessaire pour créer une application au look professionnel. L’outil contient aussi une section complète dédiée aux formulaires, un mal nécessaire à la création d’une application web.
—
Jean-Marc

De retour de mon dernier voyage en Europe j’ai pu apprécier à quel point le monde est maintenant interconnecté. Mon premier voyage date d’il y a 13 ans, un temps où, en France, on achetait encore une carte d’appel pour rappeler à la maison, où les cartes de métro étaient nécessaire pour naviguer à l’intérieur de la ville et où la seule façon d’obtenir des informations sur les commerces était d’appeler, faxer ou encore attendre d’être sur place pour interagir avec le commerçant.
Il est fascinant à quel point l’omniprésence de l’Internet et l’arrivé des téléphones portables, et en particulier des téléphones intelligents, a changé la dynamique du voyageur. Je n’ai plus à faxer mes réservations, tout le voyage a été réservé à partir de l’ordinateur de la maison. J’ai des copies électroniques importantes des documents (passeport, réservations, plans) sur mon téléphone. Et finalement, grâce à des logiciels comme Skype je peux appeler à la maison à peu de frais ou encore rediriger un numéro local du Canada sur mon portable français.
— Jean-Marc

Tags: stratégie web, culture, twitter, facebook

« Les bon trucs sur les médias sociaux je les apprends à regarder les célébrités sur Twitter et Facebook, pas des experts en médias sociaux… »; C’est ce commentaire tout simple lu sur le Twitter de Craig Ballantyne qui a déclenché cette réflexion. Il faut dire que j’avais aussi adoré la présentation de Susan Blackmore sur le même sujet.
Ce dont Craig parle sur son Twitter c’est de reproduire les comportements, concepts, techniques, de gens qui ont du succès plutôt que de se référer aux experts. Ce phénomène n’est pas nouveau on l’appelle un « mème ».
Wikipedia définit un mème comme: « … un élément culturel reconnaissable (par exemple : un concept, une habitude, une information, un phénomène, une attitude, etc.), répliqué et transmis par l’imitation du comportement d’un individu par d’autres individus. L’Oxford English Dictionary définit le mème comme « un élément d’une culture pouvant être considéré comme transmis par des moyens non génétiques, en particulier par l’imitation ». » (source: Wikipedia)
Pourquoi est-ce intéressant? En fait, pourquoi en parler tout court… si c’est fait naturellement et que nous le faisons tous pourquoi est-ce important d’y penser?
Justement, parce que tout le monde le fait. Un des éléments importants d’une stratégie web est de se distinguer de la compétition. C’est vrai de son produit, service mais aussi de son image et moyens de communications utilisés. En tant que consommateur d’information nous sommes de plus en plus insensibles à l’information; partiellement à cause de la quantité d’information dont nous sommes bombardés quotidiennement
Cela ne veut pas dire qu’il ne faut pas imiter les comportements et stratégies qui ont du succès. Si une stratégie fonctionne, il faut l’étudier et voir comment elle s’applique à soi. Déterminer à quel point elle peut être efficace dans son propre marché. L’utiliser et réévaluer sont impact.
En bref, penser avant de répliquer.
Jean-Marc

Tags: Programmation

Un petit avertissement s’impose pour tous nos lecteurs graphistes… ce que je m’apprête à vous montrer risque de choquer votre sens de l’esthétique (Comic Sans Serif anyone?).
Il y quelques semaines déjà que j’expérimente avec un outil wireframing… vous savez cette technique qui se concentre principalement sur l’organisation de l’information plutôt que le design graphique des pages.
Hugues m’avait parlé de plusieurs outils qui permettent de faire le même travail de modélisation mais à des coûts plutôt exorbitant. Quel n’a pas été ma surprise de voir une alternative peu dispendieuse, mais surtout, tellement simple d’utilisation qu’il permet de vraiment se concentrer sur le travail de wireframing plutôt que de penser en termes d’images et de couleur que la page devrait avoir.
Voici donc « Balsamiq Mockup« … un outil de modélisation d’interface web. J’ai été charmé par l’utilisation exclusive du noir et blanc pour les tracés de pages web. Il faut dire qu’il est difficile de m’éloigner du tableau lors de sessions de design.
Je n’en suis pas à mon premier outil de modélisation, loin de là! J’arrive à démontrer visuellement une grosse majorité de concepts avec des outils tel que Microsoft Visio, OpenOffice.org Drawing, Pencil, même avec des ciseaux et du papier… Reste que Balsamiq m’a charmé par sa simplicité et surtout, l’échange et la collaboration qu’il apporte lors des séances de design. En moins d’une minute on peut modéliser une page web et obtenir un feedback immédiat de son client et collègues. Le rendu visuel, que certains qualifie de basse qualité, est, selon moi, une force puisqu’elle dirige l’attention sur l’organisation de l’information et des éléments d’interactions plutôt que sur les couleurs et le graphisme.
 

Il est rare que Jean-Marc et moi, dévions de nos sujets régulier qui sont les méthodes Agile, la programmation de CMS tel que Joomla et la programmation en général tel que Ruby on Rails. Cette fois, je ferai une entorse à ses sujets pour vous présenter une nouvelle cause qui me préoccupe.
L’an passé, le photographe James Nachtwey demanda à la conférence de Technologie-Entertainement-Design (TED) de l’aider pour mettre en valeur la cause du XDR-TB ou eXtremenly-Drug-Resistant Turbeculosis. Comme je suis maniac de toutes les conférences de TED et que j’aimerais aider autant que possible les causes qui y sont présentées, je vous présente ici le vidéo incroyable de ce photographe.

Tags: Agile

Les méthodes Agile sont très populaires à l’heure actuelle. Tous les gestionnaires de développement logiciel ont le mot Agile sur les lèvres. Tous et chacun ont développé leur méthodologie. Tous discutent de méthode Agile. Les journaux et magasine décrivent les méthodes Agile partout. Même Scott Adams en parle dans une bande dessinée de Dilbert. Tout le monde informatique est Agile et pragmatique.


Il y a bientôt 3 ans que je regarde l’évolution des méthodes Agile. Bien que le nom Agile soit de plus en plus entendu dans tous les milieux, je me rends compte qu’il n’est pas compris. Je ne compte plus le nombre de fois que j’ai rencontré des clients, fournisseurs et collègues qui ne comprennent pas les fondements du manifeste Agile. Pour la majorité des gens que j’ai rencontrés, tous s’entend pour avoir de courtes livraisons mais rien sur les autres principes Agile. Quand les problèmes surviennent, la notion de partenaire prends le chemin des poubelles et ont retourné à une relation client-fournisseur. On fixe la date de livraison et le budget et on s’en remet à un plan fixe. Les fonctionnalités sont soumises sans travail de priorisation et d’organisation. Lorsque la date et le budget survienne et qu’il reste des fonctionnalités à développer, le client se retranche dans un campement contractuel prétextant qu’on avait promis de faire le travail. Le manifeste est complètement ignoré.
À l’autre extrême, il y a les gestionnaires qui ne planifient plus, qui ne mettent plus de processus en place, ne documente plus rien et n’apporte pas d’attention aux détails contractuels. Cette attitude est proche du laisser-aller et n’est pas approprier pour la majorité des clients. Il en est toujours que les clients désirent avoir une bonne idée du budget et de la date de livraison.
D’autre gestionnaire argumenterons que les projets Agile conterons moins cher ou seront complétés plus rapidement. Cette notion est aussi fausse. Comme Ryan McNimm de Unspace.ca explique dans son vidéo, les projets Agile sont généralement plus dispendieux et plus long qu’un projet standard. Cette déclaration semble dénuée de sens et suicidaire financièrement pour le programmeur. Si un projet Agile est plus cher et qu’il prend plus de temps à réaliser, il faut se demander quel est le gain véritable d’utiliser les méthodologies Agile?
La qualité d’un projet Agile mené tel que le manifeste et les principes Agile le présente est la qualité du produit réalisé. En ayant des d’itérations régulière, le client est apte à porter un jugement éclairé sur la qualité du logiciel produit. Ici il faut lire que la qualité est fonctionnelle et qu’on ne parle pas de la qualité du code. La qualité est supérieure, car le client vérifie à chaque itération les fonctionnalités. Suite à la revue, le client a l’opportunité de fournir un nouvel ensemble de fonctionnalité ou conclure le projet. Il n’y a aucune honte à arrêter le projet. Nous avons une certaine fierté à toujours compléter nos entreprises débutés même si nous savons pertinemment que le projet est voué à l’échec. La méthode Agile permet de ne pas sur concevoir et réduire les coûts en cas de route vers l’échec.
Le projet devrait toujours être en fait en temps et matériel du leur nature hautement variable. Martin Fowler compare la programmation à une commande d’art de l’ancien temps. Bien que l’artiste à une indication de la direction de la réalisation, il continuera son travail jusqu’à la satisfaction du client. Il ne faut pas croire que la programmation est un acte de production. Tout comme l’artiste, le développement logiciel fait appel à des techniques et des enseignements des maîtres et des pairs. Tous comme l’artiste, il est possible de mieux travailler et de fournir un meilleur travail de qualité avec du travail et de l’expérience. Seulement lorsqu’il est possible de faire du travail répétitif et prévisible seront nous capable de prédire le coût du développement logiciel. À partir de ce moment, ce n’est plus du développement logiciel, mais de la gestion d’opération.
Est-ce que tout est fini pour le manifeste Agile? Est-ce que nous devons donc déclarer forfait et retourner à des méthodes traditionnelles Waterfall? Je crois que non. Pour ceux qui comprennent les méthodes Agile et suivent les méthodes Agile comme un guide et non une finalité, c’est de notre responsabilité de communiquer à notre entourage professionnel les bienfaits des méthodes. Il est très difficile d’expliquer les bienfaits de la qualité. Il est difficile d’expliquer que le logiciel ne coûtera pas moins cher, mais au contraire généralement plus cher. Il est difficile d’expliquer que le client aura un avantage concurrentiel à utiliser ses méthodes. Comme écrit dans le manifeste :
Nous avons découvert des techniques pour développer du logiciel et nous désirons en faire profiter nos pairs.
C’est pourquoi je crie haut et fort : « Arrêtez la perversion du manifeste Agile » Manifeste Agile (traduction M2i3)

Comme vous le savez déjà Google célèbre, cette année, leur 10e anniversaire. Pour l’événement ils ont retracé et mis en ligne l’index de l’engin de recherche tel que disponible en 2001. Juste pour s’amuser que représentait à l’époque: – Firefox – Web 2.0 – le iPhone – Chrome
— Jean-Marc

Tags: Programmation

Bon voici le récit de mes expériences avec les référents http au cours des dernières semaines. Premier conseil, si vous utilisez le référent pour identifier un individu, changez de techniques. Le passage de la balise ‘Méta referer’ dans les requêtes http ne sont tellement pas fiable que cela rend le processus inutile. Voici la problématique rencontrée : Mon Site ‘A’, en https, désire présenter un contenu exclusif http sur un site externe ‘B’. Auparavant, une application sur le site ‘A’ valide si l’usager a le droit ou non de percevoir le contenu de la page et réachemine le fureteur au site ‘B’. Voici quelques possibilités pour faire en sorte que cela fonctionne :

1. Témoin (Cookie) Cela ne marche pas, puisque les deux sites n’ont pas le même nom de domaine. Le site B n’a pas accès au témoin du site A.
2. Réponse http 301 redirect. Le site B vérifie que le référent est le site A Cela ne marche pas. Les fureteurs ne mettent jamais de référent lors de réacheminement.
3.  Retour en Javascript window.location= »Site B ». Le site B vérifie que le référent est le site A Cela ne marche pas. La RFC indique que le référent ne doit pas être passé lors d’un passage d’un site https à un site http.
4.  Changement du site A pour http au lieu de https. Retour en Javascript window.location= »Site B ». Le site B vérifie que le référent est le site A Ca fonctionne partiellement. Firefox n’a pas de problème et passe le référent. IE ne passe pas le référent lors de cette opération.
5.  Changement du site A pour http au lieu de https. Retour en Javascript Identification du fureteur. Si Firefox => window.location= »Site B » si IE présentation d’une page avec un lien que l’on peut cliquer.. Le site B vérifie que le referer est le site A. Ca fonctionne correctement, mais occasionne des cliques de souris supplémentaire pour les utilisateurs d’IE. Autre considération, le référent est extrêmement facile à falsifier dans une requête http et que le contenu exclusif n’est pas vraiment protégé.

La solution correct est la suivante et elle est inspirée du travail fait par Paypal pour garantir une sécurité. L’application du site A vérifie la valide du compte. Si le compte est invalide, on présente une page d’abonnement. Si le compte est valide, on prépare un algorithme d’hachage sur l’usager ou un nombre pseudo aléatoire. On le garde en cache ou en base de données pour les prochaines minutes. On effectue un réacheminement 301 en incluant en paramètre le total mêlé ou le nombre. Le site B sur réception du URL lance une application. Cette application appel un service WEB sur le site A demandant si le total mêlé ou nombre en paramètre a été bien créer par lui. Si la réponse est positive, le contenu est présenté. Si la réponse est négative, on réachemine l’usager vers une page d’abonnement du site A. Simple, efficace et sécuritaire. Maintenant la question piège. Si le référent ne sert pas à identifier de manière sécuritaire l’internaute, a quoi sert-il ? Je vous fais un résumé de mes discussions avec Jean-Marc prochainement.