Carnet de notes

Auteur/autrice : Éric

  • Je recrute

    J’en ai déjà parlé il y a deux semaines, je recrute pour des gens que je connais.

    J’ai désor­mais deux nouvelles offres, toutes deux très tech, pour des seniors.

    La première est pour une petite équipe sur Lyon, plutôt orien­tée back-end mais il faut avoir envie de toucher de l’in­fra jusqu’à la webapp en React.

    La seconde est à Paris, rôle dédié front-end dans une équipe d’une dizaine et pour une boite qui ne devrait pas lais­ser indif­fé­rent.

    L’offre de recru­te­ment d’une équipe complète est toujours ouverte et il n’est jamais trop tard pour faire un signe mais, si ça vous inté­resse, ne tardez pas.

    Comme ce sera toujours le cas, je publie tous les détails, sur l’or­ga­ni­sa­tion interne, les locaux, le nom de la société, la four­chette de salaire. L’idée c’est de trou­ver la bonne personne pour le bon poste, pas de jouer à colin-maillard.

    Vous recru­tez et on se connait, au moins de loin ? Je peux vous propo­ser quelque chose de complé­men­taire aux offres habi­tuelles.

    Venez me voir pour en discu­ter. Je vous explique­rai ce que je fais et comment.

  • Self Encryp­ting Disk

    Ce soir j’ai joué avec les SED sous Linux. Ce fut labo­rieux et la docu­men­ta­tion est assez rare alors je pose ça ici si jamais ça sert à quelqu’un d’autre.

    Chif­frer ses données

    Sur mon NAS j’ai des données que je ne veux pas perdre, mais aussi des données que je ne veux pas voir fuiter n’im­porte où en cas de cambrio­lage.

    Jusqu’à présent j’avais une parti­tion prin­ci­pale en clair pour le système d’ex­ploi­ta­tion, et une parti­tion chif­frée via LUKS pour les données.

    Avan­tage : Ça fonc­tionne et je peux monter ma parti­tion à distance pour peu que le NAS ait redé­marré suite à un inci­dent élec­trique.

    Désa­van­tage : Parfois le système démarre mais n’a pas ses données. Il faut que je pense à redé­mar­rer certains services (oui, ça aurait pu être ajouté dans un script, je ne l’ai simple­ment pas fait).

    J’ai aussi la désa­gréable impres­sion que les copies se trainent comme il y a 20 ans alors que le disque est rapide. Il faut dire que j’ai un ancien Cele­ron J très faiblard et on a beau me dire que le chif­fre­ment ne consomme quasi­ment rien, mes explo­ra­tions me laissent penser le contraire.

    Les SED

    Les SED sont les self encryp­ting drives. Quasi­ment tous les SSD modernes sont des SED OPAL.

    Le firm­ware d’un SED sait chif­frer et déchif­fer toutes les données à la volée. Il suffit d’ini­tia­li­ser le disque à l’aide d’une pass-phrase. Lui va aller déchif­frer une clef AES 256 bits à l’aide de cette pass-phrase, et ensuite l’uti­li­ser pour chif­frer ou déchif­frer toutes les entrées sorties.

    C’est tota­le­ment trans­pa­rent pour l’OS et ça ne consomme aucun CPU. C’est même telle­ment trans­pa­rent qu’il le fait même si vous ne lui deman­dez pas. « Chif­fre­ment désac­tivé » revient en fait à chif­frer et déchif­frer avec une clef AES stockée en clair, mais on chiffre et déchiffre quand même toutes les données qui tran­sitent (gros avan­tage : On peut acti­ver le chif­fre­ment à la volée quand on le souhaite sans avoir à toucher les données : Il suffit de chif­frer la clef AES qui était aupa­ra­vant en clair).

    Pour chif­frer le disque d’amorçage il y a une astuce. Le disque a en fait une zone d’amorçage cachée où on charge une image dite PBA (pre-boot autho­ri­za­tion). Quand le disque est verrouillé, c’est cette zone qui est vue par la machine et qui est donc amor­cée. L’image demande la pass-phrase, initia­lise la clef AES, désac­tive la fausse zone d’amorçage et relance la machine comme si de rien n’était. Là aussi c’est tota­le­ment trans­pa­rent, l’OS n’y voit que du feu et a l’im­pres­sion de travailler avec un disque stan­dard, amorçage inclus.

    Sécu­rité

    Les SED ont très mauvaise répu­ta­tion depuis qu’une étude de sécu­rité a trouvé que de nombreux construc­teurs ont implé­menté tout ça avec les pieds (genre : la clef AES n’est pas chif­frée et en mani­pu­lant un peu le firm­ware on peut y avoir accès).

    Certains en tirent « il ne faut pas se repo­ser sur les SED » mais c’est un peu plus complexe que ça. Le stan­dard OPAL 2 est tout à fait solide d’un point de vue théo­rique. Il fonc­tionne d’ailleurs de manière très simi­laire à ce que fait LUKS sous Linux. Il faut juste que ce soit implé­menté avec sérieux.

    Il se trouve que, juste­ment, la même étude dit que les Samsung EVO récents ont une implé­men­ta­tion sérieuse. C’est ce que j’ai choisi, ça me va tout à fait.

    Il reste des attaques possibles, mais rien lié à mon modèle de menace (un simple cambrio­lage par des gens venus piquer le maté­riel infor­ma­tique pour le revendre). La NSA, elle, trou­vera de toutes façons moyen d’ac­cé­der à mes données que j’uti­lise LUKS ou un SED.

    Confi­gu­rer un SED

    Je n’ai trouvé que deux docu­men­ta­tions utiles, celle de ArchLi­nux et celle de l’uti­li­taire sedu­tils. On part d’une instal­la­tion OS exis­tante, on peut acti­ver le chif­fre­ment après coup.

    Acti­ver libata.allow_tpm

    Première étape, pour jouer il faudra acti­ver libata.allow_tpm. Sur Debian la seule manière qui m’a semblé fonc­tion­nelle est d’édi­ter /etc/default/grub et d’ajou­ter « libata.allow_tpm=1 » à la variable d’en­vi­ron­ne­ment GRUB_CMDLINE_LINUX_DEFAULT puis exécu­ter update-grub2 et relan­cer la machine.

    Instal­ler sedu­tils

    Je n’ai pas trouvé de paquet Debian. J’ai télé­chargé la distri­bu­tion binaire Linux à partir du site offi­ciel et ai copié sedu­tils-cli dans /usr/local/sbin. Vous aurez besoin qu’il soit dans le PATH plus tard.

    Prépa­rer une image PBA

    Les docu­men­ta­tions proposent de récu­pé­rer une image offi­cielle. Chez moi ça n’a pas fonc­tionné. Le disque est bien déver­rouillé mais ensuite la machine ne savait plus iden­ti­fier l’UEFI du disque pour lancer Linux.

    J’ai du créer ma propre image. C’est de toutes façons ce que je vous recom­mande parce que les images offi­cielles ne gèrent que les claviers US.

    Après avoir installé les paquets binu­tils, net-tools et console-data, télé­char­ger le projet rear puis suivre ce commen­taire : 

    sudo apt install -y binutils net-tools console-data

# aller à la racine du projet
cd rear 
echo "OUTPUT=RAWDISK" > ./etc/rear/site.conf
sudo ./usr/sbin/rear -v mkopalpba
# l'image est dans ./var/lib/rear/TCG-OPAL-PBA/*/*.raw
    Prépa­rer une clef USB de récu­pé­ra­tion

    Je suis comme tout le monde, j’avais sauté cette étape initia­le­ment mais elle vous sera indis­pen­sable pour retrou­ver l’uti­li­taire sedu­tils et pouvoir réini­tia­li­ser le disque en cas de problème (l’image d’ins­tal­la­tion de Debian non seule­ment n’a pas sedu­tils mais ne lance de toutes façons pas son kernel avec libata.allow_tpm, donc vous ne pour­rez rien en faire).

    Là vous pouvez prendre l’image rescue 64 bits offi­cielle et initia­li­ser une petite clef USB au cas où.

    gunzip RESCUE64.img.gz
# /dev/sdb est ma clef USB
dd if=RESCUE64.img.gz of=/dev/sdb

    En cas de diffi­culté ça permet de désac­ti­ver le chif­fre­ment, voire de réini­tia­li­ser un nouveau mot de passe si rien d’autre ne fonc­tionne (si la désac­ti­va­tion se fait sans perte de données, la réini­tia­li­sa­tion vous fait repar­tir avec un disque tota­le­ment vierge).

    # Désactiver le chiffrement
# Remplacer passphrase par votre passphrase et /dev/sda par votre disque
sudo sedutil-cli --disableLockingRange 0 passphrase /dev/sda
sedutil-cli --setMBREnable off passphrase /dev/sda
    Confi­gu­rer le disque

    Désor­mais on peut suivre la procé­dure stan­dard, en utili­sant l’image PBA obte­nue plus haut : 

    # Confirmer que le disque est utilisable
sudo sedutil-cli --scan
# Remplacer passphrase par votre passphrase et /dev/sda par votre disque
sudo sedutil-cli --initialsetup passphrase /dev/sda
sudo sedutil-cli --loadPBAimage passphrase imagePBA.raw /dev/sda
sudo sedutil-cli --setMBREnable on passphrase /dev/sda
sudo sedutil-cli --enableLockingRange 0 passphrase /dev/sda

    Éteindre et rallu­mer la machine (pas juste redé­mar­rer) devrait suffire à vous deman­der la pass­phrase. Une fois celle-ci saisie, la machine redé­marre encore. Oui c’est long mais c’est normal.

    Chez moi on me demande deux fois la pass­phrase et j’ai donc deux reboot au lieu d’un seul. C’est très long, agaçant. Si quelqu’un voit quel peut être le problème, ça m’in­té­resse. Entre temps je fais avec : Je ne devrais pas redé­mar­rer tous les quatre matins.

  • Dis tonton, pourquoi est-ce si cher un indé­­pen­­dant ? – v2

    La précé­dente grille datait de 2013. Elle tourne encore mais elle me gêne. Certains chiffres étaient esti­més à la hache. Rien que la fisca­lité était appro­chée avec un 46% non justi­fié.

    Depuis j’ai refait mes grilles quand je me suis lancé, puis les ai amélio­rées suite à mon bilan l’an­née dernière. Je ne peux pas les parta­ger vu la quan­tité d’in­for­ma­tions person­nelles mais j’ai tenté d’en extraire une version plus neutre.

    La voici donc.

    Il y a trop de para­mètres pour pouvoir tout résu­mer mais voici quelques points notables :

    Le free­lance ne compte pas toujours son loge­ment mais c’est un point signi­fi­ca­tif dans le calcul. Un espace de co-working peut vite monter à 250 ou 300 € par mois. Ceux qui travaillent de chez eux occupent une pièce. Au début on pense que ça ne coûte rien mais quand on démé­nage on compte bien une pièce dédiée en plus pour ça, à laquelle il faut ajou­ter la quote-part de charges, d’élec­tri­cité et de chauf­fage.

    Le statut d’auto-entre­pre­neur est vite super inté­res­sant même quand on se paye du maté­riel et du mobi­lier. Sur les autres statuts il faut factu­rer bien plus cher pour avoir la même chose à la fin du mois.

    Rogner sur le maté­riel et les frais ne change pas la donne. Même 1 000 € , quand c’est amorti sur plusieurs années et donc dans les 500 jours factu­rés, ça n’est pas signi­fi­ca­tif. Ne mégo­tez pas sur votre confort.

  • La moitié de l’abon­ne­ment de trans­port — deux ans après

    Le pire est le « on rembourse la moitié de votre abon­­ne­­ment de trans­­port ». Presque élimi­­na­­toire. Si respec­­ter le mini­­mum légal est vu comme un avan­­tage propre à être mentionné, je ne suis pas certain d’avoir envie d’en­­tendre le reste. […]

    La moitié de l’abon­ne­ment de trans­port

    Ce billet a deux ans et je n’ai pas grand chose à y chan­ger. C’est lui qui guide mes offres aujourd’­hui, le fait de décrire le travail et le contexte plutôt qu’une liste de tech­nos.

    Le milieu a lui un peu changé. On trouve toujours ses mêmes recru­teurs qui cherchent « un déve­lop­peur pour un éditeur logi­ciel » mais qui refusent de te dire qui avant de te faire dérou­ler ton CV, et qui à la place se vantent d’avoir un baby­foot une mutuelle ou une sortie annuelle.

    Les espaces commu­nau­taires commencent par contre à mettre des règles un peu plus strictes. Préci­sion obli­ga­toire du salaire, de l’en­tre­prise, de la présence ou non de télé­tra­vail, etc.

    On a aussi quelques recru­teurs qui fonc­tionnent diffé­rem­ment. J’ai au moins Shir­ley Almosni Chiche en tête. On y voit des annonces claires avec des noms et des chiffres, sans détours, du détail sur le fonc­tion­ne­ment interne des équipes et sur les condi­tions de travail. J’ai­me­rais bien que d’autres prennent exemple.

    C’est proba­ble­ment elle qui m’a décidé à mettre moi aussi en avant le nom de l’en­tre­prise d’ac­cueil. Je suis agacé quand les autres ne le font pas, il est normal que j’en tire moi-même les consé­quences. Bref, merci.

    J’ai juste­ment une propo­si­tion en cours un peu hors des habi­tudes, avec un « bring your own team ». Profi­tez-en !

  • Quelques chiffres sur l’hé­ri­tage

    Dès que je parle d’hé­ri­tage on me parle de soli­da­rité inter­gé­né­ra­tion­nelle. J’en parle souvent avec des gens qui gagnent bien leur vie et ils ont des préju­gés large­ment discu­tables de ce qu’est la réalité de l’hé­ri­tage.

    Voici quelques chiffres extraits de la dernière étude patri­moine et trans­mis­sion inter­gé­né­ra­tion­nelle de l’INSEE (2015) :

    40 % des sommes héri­tées sont infé­rieures à 8 000 € ; 66 % sont infé­rieures à 30 000 € ; moins de 13 % dépassent 100 000 €

    Première conclu­sion : Les héri­tages réels sont bien loin des fantasmes. Quand on discute d’un héri­tage évalué à plus de 100 000 € on parle déjà de gens extrê­me­ment privi­lé­giés.

    Le second fantasme est sur la soli­da­rité inter­gé­né­ra­tion­nelle.

    Coup de théâtre :

    78 % des héri­tiers ont plus de 50 ans. Ils sont même 30 % à avoir plus de 70 ans.

    Sachant que nous avons les retrai­tés parmi les plus aisés d’Eu­rope, autant dire qu’on est très très loin de la vision d’Épi­nal où on aide les jeunes géné­ra­tions à partir avec le fruit du labeur de notre vie.

    En pratique non seule­ment on hérite peu, mais en plus ceux qui héritent le font quand ils n’en ont plus besoin, à la fin de leur vie.

    Je sais, vous allez me dire que quand même, les plus âgés sont parfois dans une misère incroyable.

    L’INSEE nous donne juste­ment des décou­pages en fonc­tion des caté­go­ries socio-profes­sion­nelles ou du niveau de patri­moine des héri­tiers.

    Près de 70 % de mes 13 % rece­vant au moins 100 000 € appar­tiennent déjà aux trois déciles les plus favo­ri­sés en terme de patri­moine.

    Le chiffre vient de recou­pe­ment de répar­ti­tions par déciles n’est pas précis mais l’ordre de gran­deur est bon.

    Surpris ? moi pas. Tout va dans le même sens : Les héri­tages béné­fi­cient prin­ci­pa­le­ment aux plus favo­ri­sés. On ne parle pas de soli­da­rité inter­gé­né­ra­tion­nelle mais de perpé­tua­tion de la richesse par droit de nais­sance.

    Mieux. La même étude nous dit que ce sont aussi ces caté­go­ries aisées qui ont déjà reçu des dons inter­gé­né­ra­tion­nels impor­tants par le passé au cours de leur vie (logique, l’op­ti­mi­sa­tion fiscale est l’apa­nage des plus riches). Ils ont donc encore moins besoin de cet héri­tage.

    Les plus pauvres, eux, reçoivent les montants les plus faibles.

    Les deux premiers déciles en terme de patri­moine reçoivent à 67 % moins de 8 000 €. Moins de 20 % de ces ménages ont reçu un des héri­tages à plus de 100 000 €.

    Inver­se­ment les deux déciles les plus favo­ri­sés en terme de patri­moine reçoivent à plus de 30 % des héri­tages de plus de 100 000 €.

    Bref, impos­sible de faire un tel croi­se­ment de façon fiable mais les jeunes ménages de moins de 30 ans avec un patri­moine infé­rieur à la médiane française et rece­vant un héri­tage suffi­sant pour avoir des droits de succes­sion à payer… doivent proba­ble­ment se comp­ter sur les doigts de la main.

    Juste et légi­time l’hé­ri­tage ? Lais­sez-moi rire un coup.

    En ligne directe, il faut héri­ter de plus de 1.8 millions d’eu­ros par personne pour être fisca­lisé à la même hauteur que les reve­nus du capi­tal (flat tax dite « Macron » à 30%) et ça restera dans tous les cas bien en deçà de l’im­pôt sur les reve­nus du travail.

    Ce qui est formi­dable c’est que malgré tout ça on conti­nue à moins fisca­li­ser l’hé­ri­tage que les reve­nus.

    Mise à jour : J’ai écrit depuis un ajout du point de vue des dona­teurs, c’est du même acabit.

  • Je recrute une équipe

    Parfois j’aide au recru­te­ment pour des amis ou des boites que j’ap­pré­cie. Ici c’est pour rejoindre un respon­sable produit avec qui j’ai travaillé par le passé et que j’ap­pré­cie je cautionne.

    Cette annonce ci j’y tiens aussi parce qu’elle me permet de faire ce que je n’ai pas vu ailleurs : Recru­ter une équipe et des gens qui se connaissent déjà.

    Bref, je recrute 3 déve­lop­peurs ou déve­lop­peuses, dont un ou une lead.

    Vous pouvez évide­ment venir seul·e mais profi­tez-en si vous avez envie de postu­ler ensemble avec des anciens collègues avec qui vous vous enten­dez bien, ou des amis avec qui vous parlez de travailler ensemble un jour depuis long­temps. C’est l’oc­ca­sion.

    Le second point dans la créa­tion d’une équipe c’est que c’est à vous de mettre en place les orga­ni­sa­tions et l’ADN qui vous semble perti­nents. Il y a une feuille blanche et si vous savez ce que vous voulez et pourquoi, on vous écou­tera. Profi­tez-en.

    📑 : La refonte complète d’un outil de GED exis­tant qui a des utili­sa­teurs dans le public et dans le privé.

    🗺 : Lyon sud, sur les trans­ports en commun, mais une équipe en télé­tra­vail complet hors de Lyon est aussi envi­sa­geable.

    🏢 : Une PME de 70 personnes, établie depuis des années sur son domaine.

    👥 : Pour consti­tuer une équipe de 5 à 7 avec un respon­sable produit (personne super avec qui j’ai déjà travaillé), une respon­sable UX, et poten­tiel­le­ment un alter­nant dans le futur.

    🔧 : Serveur d’API en PHP – Symfony. Appli­ca­tion cliente en Types­cript – Angu­lar. Héber­ge­ment Azure.

    💶 : C’est toujours évidem­ment adap­table suivant qui candi­date mais les four­chettes imagi­nées sont respec­ti­ve­ment de 35 à 45 k€ pour un·e dev confir­mé·e, envi­ron 3 ans d’ex­pé­rience, et 45 à 55 k€ pour un·e lead.

    La descrip­tion plus complète est sur E3D5.

    Vous m’ai­de­riez en faisant circu­ler autour de vous (je valo­rise forte­ment les personnes dans mon réseau de confiance ou recom­man­dées par quelqu’un de mon réseau de confiance).

    N’hé­si­tez pas à me contac­ter pour plus d’in­for­ma­tions.

  • Tous mes impôts

    Parfois le sort s’acharne. Sur une période assez courte j’ai vu trois cancers lourds dans mon entou­rage plus ou moins proche. Ce sont des choses qui brassent.

    Je peux vous dire qu’à ce moment là, savoir que deux sur les trois aient dû lancer des cagnottes en ligne pour payer leurs soins, pour juste conti­nuer à vivre, ça fait réflé­chir.

    Ce n’était pas le cas du troi­sième : Savoir que mes proches avec un cancer n’ont pas besoin de lancer un appel à dons pour payer leurs soins, ça justi­fie toutes mes coti­sa­tions sociales, tous mes impôts.

    J’irai plus loin : l’hô­pi­tal gratuit, l’école gratuite, les secours gratuits, les soins courants acces­sibles, le RSA et le mini­mum vieillesse, malgré toutes les critiques qu’on peut en faire, tout ça vaut vrai­ment large­ment tous mes impôts et toutes mes coti­sa­tions sociales.

    C’est vital. Litté­ra­le­ment.

    Avoir dans ses proches quelques personnes qui n’ont pas ces chances, qui en souffrent et dont la vie bascule, ça remet vite les pendules à l’heure. Ensuite on n’ou­blie pas. J’en pleure presque en écri­vant.

  • Sécu­ri­ser les nouveaux mots de passe

    J’ai récem­ment parlé complexité de mot de passe mais en réalité le problème est souvent ailleurs. La taille et la complexité n’ont aucune impor­tance si quelqu’un peut devi­ner quel mot de passe vous utili­sez après juste quelques essais.

    Jean réuti­lise son mot de passe

    Je connais l’email de Jean ? Il me suffit de regar­der quels mots de passe il a utilisé sur d’autres sites, et de les tester un à un.

    La plupart des sites ont un problème de sécu­rité un jour ou l’autre. Souvent les données extraites se retrouvent publiques d’une façon ou d’une autre. Parfois on y trouve des mots de passe en clair ou mal proté­gés. Il suffit de piocher dedans.

    Testez Have I Been Pwned, vous verrez que des tiers peuvent déjà connaitre plusieurs de vos mots de passe.

    Paul n’a aucune imagi­na­tion

    Je ne connais pas l’email de Paul ? Qu’im­porte. Je peux déjà tester les mots de passe les plus courants, et les varia­tions de ceux-ci.

    Ne vous croyez pas origi­nal. Même ajou­ter une date, un chiffre, un symbole, chan­ger une lettre, inver­ser le mot de passe, quelqu’un l’a déjà fait. En quelques milliers de combi­nai­sons j’ai déjà énor­mé­ment de mots de passe habi­tuels.

    Même les méthodes « choi­sir x mots du diction­naire » sont vulné­rables si c’est l’uti­li­sa­teur qui choi­sit ses mots dans sa tête. Le plus souvent on tombera dans quelques centaines de mots, toujours les mêmes.

    Par le passé j’ai utilisé un person­nage de litté­ra­ture, auquel j’ai ajouté un chiffre et un symbole. Croyez-le ou non, on trouve plus d’une dizaine d’oc­cur­rences sur Have I Been Pwned.

    Have I Been Pwned

    J’ai cité Have I Been Pwned. Ils mettent à dispo­si­tion une base de tous les mots de passe qui ont publique­ment fuité.

    Si vous lais­sez des tiers saisir des mots de passe sur votre service, vous devriez télé­char­ger leur base, puis cher­cher dedans à chaque fois qu’un de vos utili­sa­teur saisit un nouveau mot de passe. Le mot de passe est déjà dedans ?

    Alors il y a un risque de sécu­rité et vous devriez en aler­ter l’uti­li­sa­teur.

    Si vous voulez aller plus loin, tentez quelques varia­tions simples : Si le mot de passe se termine par un nombre, essayez les deux ou trois nombres précé­dents. Si le mot de passe à des symboles ou chiffres en début ou fin, reti­re­rez-les et testez le mot de passe résul­tant.

    Tout ça ne vous coûte quasi­ment rien si ce n’est un peu de stockage et le télé­char­ge­ment de la nouvelle base Have I Been Pwned de temps en temps, mais ça va éviter bien des risques à vos utili­sa­teurs.

  • Assu­mer ses choix

    J’avoue avoir été très agacé dans des discus­sions récentes par la fréquence de la réponse « je ne suis pas respon­sable, c’est un tiers qui m’a demandé de le faire ».

    Je ne comprends pas comment je peux trou­ver chez des ingé­nieurs, déve­lop­peurs et travailleurs du web au sens large ce que je n’ac­cep­te­rais pas chez mon fils du haut de ses 7 ans.

    C’est trop faci­le…

    Il est vrai­ment temps que notre corps de métier arrête de se croire étran­ger et sans respon­sa­bi­lité par rapport au monde.

    Ne pas remon­ter un problème ou un désac­cord, ne pas se battre est un choix. Parfois nous n’ob­te­nons pas gain de cause, mais parfois ça fonc­tionne aussi.

    Et si ça ne fonc­tionne jamais, ou rare­ment, ou pas sur ce qui est impor­tant, rester et conti­nuer quand même est un choix. C’est d’au­tant plus vrai dans nos métiers de travailleurs du web. D’autres profes­sions n’ont pas ce confort.

    Vous n’avez pas le couteau sous la gorge.

    Ces choix nous en sommes respon­sables, quand bien même ils sont contraints et diffi­ciles à prendre. Bien­ve­nue dans la vie, on n’a pas toujours ce qu’on souhaite.

    Je ne vous dis surtout pas de démis­sion­ner dès qu’il y a une source d’in­sa­tis­fac­tion. Je ne vous dis pas de faire blocage sur tout au point d’en deve­nir toxique. Vrai­ment, ne faites pas ça.

    Nous faisons tous des compro­mis. Nous avons tous nos prio­ri­tés et nos combats, pas toujours les mêmes.

    Faites ces compro­mis. Faites vos choix mais assu­mez les. Ce à quoi vous consen­tez, par choix, vous en êtes respon­sables. Ni plus, ni moins.

    Assu­mer ses choix ce n’est pas entrer dans une culpa­bi­li­sa­tion perma­nente.

    Il s’agit de prendre conscience de son impact, de ne pas s’en déres­pon­sa­bi­li­ser, et peut-être en consé­quence de faire d’autres choix à l’ave­nir.

    (je n’ai jamais dit que c’était facile)

  • Éthique et poli­tique dans les licences logi­cielles

    Je conti­nue mes réflexions sur comment nous, infor­ma­ti­ciens, parti­ci­pons à la poli­tique par nos actions.

    Il ne tient qu’à nous de refu­ser de parti­ci­per à des projets et des orga­ni­sa­tions du mauvais côté de la ligne morale. Contrai­re­ment à d’autres profes­sions, nous avons le choix. Utili­sons-le.

    Plus que le choix, nous avons un pouvoir, énorme. C’est un des appren­tis­sages des logi­ciels libres. Nous avons quand même réussi que les plus grandes corpo­ra­tions se sentent obli­gées de contri­buer, même de façon mineure, à des logi­ciels communs profi­tant à tous. Nous avons réussi à en faire un argu­ment dans les proces­sus de recru­te­ment.

    Imagi­nez, le temple du capi­ta­lisme, les méga star­tup techno qui contrôlent jusque notre vie privée, obli­gées de fait de se plier à contri­buer au domaine commun. Quel pouvoir !

    Nous avons utilisé ce pouvoir pour impo­ser le libre accès au logi­ciel et au code source, en nous moquant de qui l’uti­lise et pour faire quoi, comme si cela ne nous concer­nait pas.

    Que nous importe que l’im­pri­mante gère des listes de personnes à abattre tant que nous avons accès au code source du pilote pour en corri­ger les défauts. Je ne peux m’exo­né­rer des consé­quences de ce que je créé et de ce que je diffuse.

    Avec tout le respect que j’ai pour l’énorme œuvre du logi­ciel libre, j’ai l’im­pres­sion que nous avons partiel­le­ment fait fausse route, privi­lé­giant une vision liber­taire amorale plutôt qu’as­su­mer les consé­quences de ce que nous créons.

    Pire, en faisant le logi­ciel libre comme l’al­pha et l’oméga de toute notion poli­tique et éthique dans le logi­ciel, nous nous sommes reti­rés toute capa­cité à inter­ve­nir sur d’autre critères.

    Je repense à la licence JSON qui avait fait grand bruit par le passé.

    The Soft­ware shall be used for Good, not Evil.

    https://www.json.org/license.html

    Cette notion m’at­tire, aussi floue et aussi problé­ma­tique soit-elle.

    Oui, cette licence n’est pas libre. La licence GPL serait incom­pa­tible avec icelle. Qu’im­porte : L’ac­cès au logi­ciel et à son code source ne me semble pas une valeur si abso­lue qu’il me faille aban­don­ner tout recul sur ce qui est fait avec le logi­ciel.

    Je ne suis pas seul, en paral­lèle d’autres ont mis à jour la licence Hippo­cra­tic, qui va globa­le­ment dans le même sens.

    The soft­ware may not be used by indi­vi­duals, corpo­ra­tions, govern­ments, or other groups for systems or acti­vi­ties that acti­vely and knowin­gly endan­ger, harm, or other­wise threa­ten the physi­cal, mental, econo­mic, or gene­ral well-being of indi­vi­duals or groups in viola­tion of the United Nations Univer­sal Decla­ra­tion of Human Rights

    https://first­do­no­harm.dev/version/1/1/license.html

    J’ajou­te­rais proba­ble­ment la conven­tion de Genève, celle des droits de l’en­fant, peut-être un texte de portée simi­laire parlant d’éco­lo­gie (lequel ?), un lié à la vie privée, etc.

    Ça reste flou mais ça permet de tout de même donner un cadre, surtout si on ajoute que l’in­ter­pré­ta­tion à donner à ces textes ne doit pas être moins stricte que celle de l’Eu­rope occi­den­tale de notre décen­nie.

    Peu importe en réalité. Il s’agit de donner une inten­tion. Je n’ai pas cette préten­tion mais si l’ar­mée ou une corpo­ra­tion sans éthique veut réuti­li­ser mon code, ce n’est pas la licence qui les en empê­chera, flou ou pas.

    Je ne prétends certai­ne­ment pas aller devant au tribu­nal. Ma seule arme est l’op­probre publique et le flou n’est ici pas un problème. La préci­sion juri­dique n’est pas un besoin. Au contraire, rester au niveau de l’in­ten­tion permet d’évi­ter les pirouettes en jouant sur les mots ou en trou­vant les failles. Quelque part la formu­la­tion de la licence JSON a ma préfé­rence, juste­ment pour ça.

    Ça vous parait fou, irréa­liste, inap­pli­cable, mais combien d’entre nous auraient trou­vés la GPL raison­nable, réaliste et appli­cable à ses débuts ? Les débats n’ont d’ailleurs pas manqué.

    Le seul vrai problème, à mon niveau, est bien celui du logi­ciel libre, et plus parti­cu­liè­re­ment de la GPL, incom­pa­tible avec toute autre licence qui fait des choix diffé­rents. Or la GPL est incon­tour­nable dans de nombreuses situa­tions, dans de nombreux contextes.

    Une solu­tion pour­rait être de propo­ser une double licence : une licence basée sur l’éthique, tout en prévoyant une excep­tion qui permet de passer sur une AGPL au besoin.