Dictée Meltdown

Posté le dimanche 1 avril 2018

Si vous lisez nos news, il est très probable que vous vous intéressiez de près ou de loin à l'informatique et par conséquent, il est tout aussi probable que vous ayez entendu parler des tristement célèbres vulnérabilités Intel connues sous les noms de Spectre et Meltdown, ainsi que de la cohorte de processeurs qu'elles affectent.

Cela va de soi, TuxFamily s'est penché sur ces problèmes en particulier. Et, comme beaucoup d'autres entreprises et associations, nous nous sommes demandé "quelle sera la prochaine blague ?". Après tout, malgré leur exposition médiatique bien méritée, Spectre et Meltdown ne sont que les successeurs de row hammer et INTEL-SA-00086 et la série ne va certainement pas s'arrêter ici, n'est-ce pas ? Il nous a paru naturel de conclure que nous étions récemment entrés dans une sorte de période noire, dont la durée se comptera probablement en années, caractérisée par une forte attention de tous les professionnels de la sécurité informatique sur les vulnérabilités matérielles. Pour faire simple, tout ce qui a été découvert (vulnérabilités), appris, amélioré et/ou que l'on s'est efforcé d'empêcher (bonnes pratiques de conception et d'implémentation, audits de sécurité, revues par des pairs, etc.) dans les 20 dernières années est à refaire dans le domaine matériel. Autrement dit : d'une façon ou d'une autre, nous allons probablement être trahis dans les années à venir par tous les types de matériel existants. Il serait tentant de détailler ce qui nous sortirait (et, nous l'espérons, nous sortira) de cette période miséreuse, mais ça n'est pas le sujet de cette news.

Le véritable sujet de cette news, c'est : TuxFamily abandonne les processeurs x86. Pour diverses raisons, nous ne pouvons pas nous permettre d'attendre gentiment que chaque pièce matérielle soit considérée comme une menace pour notre infrastructure mutualisée. Au lieu de cela, nous nous devons d'aller de l'avant, même si cela implique de concevoir nos propres machines. Et devinez quoi ? C'est exactement ce que nous comptons faire, en nous appuyant sur les compétences de notre administrateur système principal, qui se trouve également être un ingénieur en électronique professionnel. Après avoir étudié ce qui semblait au départ une idée complètement folle, nous avons finalement trouvé la brique parfaite pour commencer à construire l'architecture parfaite dont TuxFamily n'avait même jamais osé rêver. Et il se trouve que cette brique, c'est... le glorieux TMS5100 ! Bien entendu, nous ne nous attendons pas à ce que tous nos hébergés adorés réagissent à ce nom technique. Mais nous pensons clairement que notre plan aura beaucoup plus de sens exprimé ainsi : nous avons l'intention de reconstruire les infrastructures de TuxFamily en nous basant sur des Dictées Magiques !

Une bonne vieille dictée magique (photo par FozzTexx sous CC BY-SA 4.0).

Imaginez ! Grâce à leur conception simple (pas de notion de "rings", pas de MMU folklorique, etc.), aucune vulnérabilité matérielle n'a jamais été trouvée pour ces puces. Vous avez bien lu : aucune ; aucun humain n'a un jour eu à se dire "ah, zut, il faut qu'on gère le bug F00F pour TMS5100 dès que possible". Et ÇA, c'est ce que nous appelons des fondations fiables.

Et c'est là que vous intervenez ! Aujourd'hui, tout ceci reste un projet théorique ; nous sommes à des années-lumière, si ce n'est à des parsecs, de notre objectif. Pour amorcer cette épopée d'ingénierie, nous n'avons pas besoin d'argent (il nous en reste plein depuis que l'association a officiellement déménagé dans les îles Caïman) mais nous avons besoin d'un total de 3 261 dictées magiques. Hélas, nous n'en avons qu'une pour le moment (enfin, techniquement, nous en avons deux, mais l'un des bénévoles a refusé de céder sa dictée magique, arguant que c'était sacré, qu'il l'utilisait encore tous les jours, qu'on n'avait pas le droit de la lui prendre de force et qu'on devrait écrire nos foutues news nous-mêmes si on le faisait). Nous ne doutons pas que certains d'entre vous ont toujours une dictée magique dans leur cave et sont prêts à nous aider à atteindre l'indépendance matérielle. S'il vous plaît, envoyez-nous rapidement vos dictées magiques par voie postale à l'adresse suivante :

TuxFamily - projet Dictée Meltdown
1, Rue du Ciel Étoilé
F-75000 Paris

Serge, notre stagiaire préféré, se chargera de recevoir, vérifier, enregistrer, étiqueter, stocker et/ou distribuer les précieuses dictées. Toutes les langues (anglais, espagnol, français, allemand, italien, japonais) et variantes (Speak & Read et Speak & Math) sont acceptées, et tous les donateurs recevront des nouvelles hebdomadaires reflétant notre progression vers un avenir meilleur. N'hésitez plus, donnez dès maintenant ! Avec votre aide, nous devrions être capables de remplacer nos infrastructures en l'affaire de quelques années. Bien entendu, les hébergés doivent s'attendre à une période de transition s'accompagnant d'une légère perte de performances comparé aux infrastructures actuelles. Mais nous ne doutons pas que la faible douleur de cette transition sera oubliée depuis bien longtemps lorsque les fabricants de matériel informatique auront enfin réglé leurs soucis de sécurité.

Edit: comme beaucoup d'entre vous l'aviez deviné, il s'agissait bien entendu de notre traditionnel poisson d'avril. Aussi graves que soient les vulnérabilités matérielles, nous sommes trop fainéants pour concevoir et construire notre propre matériel et par conséquent n'avons pas réellement besoin de vos dictées magiques. Si par hasard vous insistez pour nous envoyer votre dictée magique, merci de nous contacter pour obtenir notre véritable adresse postale ; en effet, celle mentionnée ci-dessus est en fait l'adresse du Père Noël (transposée à Paris pour être précis) et aucun d'entre vous ne veut d'embrouilles avec le SAV du père Noël, n'est-ce pas ?

Network outage

Posté le vendredi 12 janvier 2018, à 15:44 UTC

We are currently experiencing a network outage on all of our main services. We don't know what happened yet, we will keep you in touch. Secondary services (mx2, ns2, …) are up.

Edit: We are back online since 16:25 UTC.

Air conditioning failure

Posté le lundi 26 juin 2017, à 22:55 UTC

We are currently experiencing an outage of some services due to an air conditioning failure, we'll keep you in touch.

Edit 2017-06-27 08:40 UTC: Oh dear, there is still an ambient temperature of about 50 °C, everything is down since all our storages tripped on critical overheat condition.

Edit 2017-06-27 12:41 UTC: Good, they managed to stabilize the temperature around 45 °C, which is below critical point, we restarted everything.

Voyage au bout de TuxFamily

Posté le samedi 1 avril 2017

Et voilà, c'est le 1er avril ! Au moment où vous lisez ces lignes, la plupart des sites web sont en train de publier une quelconque blague, espérant que personne au sein de leur audience ne remarque la date du jour. Ce qui commence à devenir compliqué en ces temps difficiles où presque tout le monde accède à Internet à travers un smartphone maintenu à l'heure par NTP. On vit vraiment une époque formidable. Cette année, chez TuxFamily, nous avons décidé de ne pas faire de blague ; historiquement, nous avons utilisé le 1er avril pour menacer nos chers hébergés de diverses calamités, indisponibilités et décisions hérétiques ; quel genre d'hébergeur infligerait pareil supplice chaque année à ses hébergés ? Ce serait inhumain. Sommes-nous inhumains ? Bien sûr que non. Et c'est pourquoi, cette année, au lieu d'une blagounette, nous vous offrons ce qui se fait de plus proche d'une visite guidée dans l'univers de la TuxFamily, à savoir les infrastructures et les bénévoles derrière votre hébergeur préféré.

Commençons par les infrastructures : notre principal datacentre est situé à Poo, une charmante ville dans l'état indien du Himachal Pradesh :

Notre salle machine principale, durant la saison sèche :

Ces jeunes gens sont d'anciens stagiaires qui, hélas, nous ont quitté bien trop tôt durant la dernière mousson.

Afin de redonder nos services, nous disposons de trois autres datacentres à Nowhere, Oklahoma. Tous les trois apparaissent sur cette photo, avec des ingénieurs sur le point de tirer un nouveau lien optique vers le premier datacentre :

Ceci est le backbone (la dorsale si vous préférez) de notre réseau; comme vous le savez, TuxFamily vit de vos donations et, par conséquent, s'efforce systématiquement de l'économiser en n'achetant PAS de matériel inutile comme par exemple des jolis racks ou des câbles inutilement longs.

Il serait ennuyeux de vous montrer des photos de tous nos serveurs aussi nous allons plutôt nous concentrer sur notre machine la plus puissante, qui est également celle que nous vérifions, inspectons et nettoyons le plus souvent.

De la même manière, vous ne vous souciez probablement pas vraiment de ce que nous utilisons pour travailler; toutefois, voici une photo de la workstation de Xavier :

et une autre de la workstation de Sylvain :

Mais assez de matériel comme ça ! Bien sûr, nous sommes fiers de nos infrastructures, mais nous n'oublions jamais à quel point elles seraient inutiles sans la véritable magie apportée par nos équipes de rêve :

Tout d'abord, présentons notre équipe marketing, c-à-d les gens que nous envoyons à divers événements comme les RMLL, Solutions Linux, etc. pour représenter TuxFamily et vous expliquer ô combien cet hébergement peut être génial pour vous :

(oui, c'était le jour des "stagiaires de 3ème").

Au passage, il se trouve que ce sont les mêmes personnes que vous auriez pu louer pour une nuit si notre idée de l'année dernière d'un "service qui vous permettra d'enchérir sur votre membre préféré de l'équipe TuxFamily" était devenue une réalité. Dommage que personne n'ait aimé l'idée.

Comme vous le savez probablement déjà, les gens convaincus qu'ils devraient être hébergés chez TuxFamily doivent soumettre une description de leur projet, qui est ensuite analysée par notre équipe de modération:

Oui, ce sont ces messieurs qui acceptent ou refusent vos demandes. Tout comme l'équipe marketing, ils ont tous des connaissances étendues de la communication et des "sensibilités" humaines, et ils sont si impliqués dans leurs tâches qu'il leur arrive parfois de voyager et de "toquer" aux portes des candidats rejetés afin de mieux leur expliquer pourquoi leur projet a été rejeté et pourquoi il est, hélas, "strictement inutile d'insister plus longtemps". Et ça, mesdames et messieurs, c'est la raison pour laquelle il est si important de saisir votre adresse résidentielle exacte dans le panel TuxFamily !

Bien entendu, il serait impardonnable d'oublier nos sysadmins ! Toujours profondément soucieux des problématiques de vie privée, que ce soit pour vos données ou pour eux-mêmes, ils ont exprimé le souhait de rester anonyme tout en fournissant une sympathique photo de groupe.

Ce sont ces personnes qui, grâce à notre système de monitoring hors-pair, se réveillent à 4h37 du matin pour éteindre l'incendie qui a commencé à 22h12.

Enfin, le dernier et clairement le moindre membre de l'équipe est Serge, notre nouveau stagiaire, que l'on apprécie moins pour ses talents de programmation (encore qu'il soit plutôt bon pour diagnostiquer les "craches", une variante particulière des "crashs" logiciels) que pour ses ébahissantes capacités de survie :

Continue comme ça, Serge !

Et voilà, c'est tout pour votre visite guidée dans les locaux de la TuxFamily. Hélas, comme la bave de Serge est en train de noyer notre dernier clavier encore en état de fonctionnement, nous ne serons pas en mesure de publier les licences exactes de cet article et de ses photos avant demain.

Edit: Il s'agissait bien entendu de notre traditionnel poisson d'avril ; notre principal datacentre est situé en France, ces célèbres acteurs ne travaillent pas du tout pour TuxFamily et nous n'envoyons pas de gangsters vous casser les poignets quand votre projet se voit refuser (ça n'est toutefois pas une raison pour ne pas lire la FAQ avant de le soumettre). D'un autre côté, qui peut prouver que nous n'avons pas un lama dans l'équipe ?

Network outage

Posté le vendredi 17 février 2017, à 08:57 UTC

We are currently experiencing a network outage on all of our main services. We don't know what happened yet, we will keep you in touch.

Edit 2017-02-17 10:05 UTC: We are back!, it was due to fiber cut on two fibers which were supposed to be on two distinct paths but in the end obviously were not.

Edit 2017-02-17 22:55 UTC: And it's down again.

Edit 2017-02-18 03:12 UTC: Up!, it should be the last time, that was probably for the definitive fiber repair.

Systems upgrade

Posté le lundi 24 octobre 2016, à 13:39 UTC

Due to CVE-2016-5195, we started rebooting all our hosts on a new kernel, we already silently updated all servers on which you are allowed to execute code a few days ago but it doesn't cause much disruption due to load balancing.

However, now it's time for all remaining hosts, storage servers, routers, … and that will be much more noticeable :-)

Edit: Done!, everything should be back, if this statement is wrong, please contact us ;)

VHFFS 4.6.0 Released

Posté le dimanche 9 octobre 2016, à 16:24 UTC

VHFFS, the software which energizes TuxFamily, was released, featuring all changes required or just nice to have for Debian Jessie, a new TLS certificates support on top of the Let's Encrypt project allowing hosted websites to benefit from HTTPS.

Of course, as TuxFamily follows almost day-to-day the VHFFS master branch, we are already running it!

Mise à jour vers Debian Jessie planifiée

Posté le samedi 2 avril 2016

La fin du support de sécurité de Debian Wheezy est prévue pour la fin du mois d'avril, nous devons donc mettre à jour vers Debian Jessie avant cette date butoir. La bonne nouvelle est que cela vous laisse quelques semaines pour vérifier que vos applications web vont continuer à fonctionner après la mise à jour.

Saluez l'arrivée d'HTTPS

Posté le samedi 2 avril 2016

Jusqu'à maintenant, tout service hébergé par TuxFamily et accédé en TLS (HTTPS, POPS, IMAPS, etc.) impliquait d'accepter un certificat auto-signé.

Comme l'initiative "Let's encrypt" est devenue une réalité, TuxFamily a récemment pris le train en marche :

• Les espaces web en *.tuxfamily.org bénéficient désormais d'un certificat étoilé (*.tuxfamily.org) aimablement offert par GlobalSign.
• La plupart des services en *.tuxfamily.org bénéficient également de ce certificat étoilé.
• Les autres espaces web hébergés chez TuxFamily (comme par exemple vhffs.org et yabause.org) bénéficient maintenant d'un certificat Let's Encrypt.
• Conséquence de certaines limitations techniques, les domaines et espaces web en *.*.tuxfamily.org demeurent victimes d'une erreur de type "common name mismatch" ; fort heureusement, ceux-ci restent assez peu fréquents et devraient à long terme bénéficier d'un certificat Let's Encrypt.

Tout cela confère à vos sites une configuration HTTPS de classe A, voire même "A+" si vous mettez en place HSTS.

Puisque vos espaces web sont désormais accessibles par tous en HTTPS comme en HTTP, vous êtes maintenant libres de les adapter en conséquence ; voici quelques configurations typiques (liste non exhaustive) :

• gérer les deux protocoles ;
• forcer uniquement le trafic authentifié en HTTPS ;
• forcer tout le trafic en HTTPS via des redirections et/ou HSTS, le tout implémenté via .htaccess.

Saluez l'arrivée d'IPv6

Posté le samedi 2 avril 2016

Tous les services de TuxFamily sont désormais accessibles en IPv6, les protégeant ainsi de problématiques futures comme par exemple l'épuisement des adresses IPv4.

Ceux d'entre vous qui gèrent leurs domaines via des serveurs DNS autres que ceux de TuxFamily voudront certainement ajouter des enregistrements AAAA pointant vers 2a02:2178:1000:201::4 (adresse IPv6 de web.tuxfamily.net).