Vue lecture

[$] Python packaging council approved

✇LWN
Par : jake
The Python packaging world now has a formal governance council, of the form described in PEP 772 ("Packaging Council governance process"), which was approved by the steering council on April 16. It has been over a year since the PEP was first proposed in February 2025 and it has undergone lengthy discussions in multiple postings to the Python discussion forum. The packaging council will have "broad authority over packaging standards, tools, and implementations"; it will consist of five members who will be elected in a vote that is likely to come in June—after PyCon US 2026 is held mid-May.
  •  

Mercator — Cartographie de SI Open Source

Si vous êtes RSSI, DSI ou architecte dans une entité concernée par NIS2, vous avez probablement reçu en 2024 ou 2025 une lettre de votre autorité de supervision vous rappelant poliment — mais fermement — que la cartographie de votre système d'information est désormais une obligation réglementaire. Pas une bonne pratique. Pas une recommandation. Une obligation.

NIS2 (transposée en droit national dans les pays membres de l'UE) impose aux entités essentielles et importantes de mettre en place des mesures de gestion du risque cyber, parmi lesquelles figure explicitement la connaissance et la documentation de son système d'information. L'ANSSI en France, le CSIRT Luxembourg, le BSI en Allemagne — tous y font référence. Sans cartographie, pas de gestion du risque sérieuse, pas d'analyse d'impact, pas de plan de continuité fiable.

C'est précisément le problème que Mercator tente de résoudre depuis plusieurs années, et le projet continue d'évoluer.

Qu'est-ce que Mercator ?

Mercator est un outil Open Source de cartographie du système d'information, sous licence GPL, développé en Laravel/PHP. Il est aligné sur le guide de cartographie de l'ANSSI et couvre sept vues complémentaires du SI : écosystème (fournisseurs, sous-traitants), processus métiers, applications, administration (annuaires, comptes à privilèges), infrastructure logique (réseaux, VLANs, flux), infrastructure physique (serveurs, baies, salles), et registre des traitements RGPD.

Le principe central est la navigation par dépendances : depuis n'importe quel objet de la cartographie, on peut remonter ou descendre la chaîne — d'un processus métier jusqu'aux équipements physiques qui le supportent, en passant par les applications et les réseaux intermédiaires. C'est ce qui transforme un inventaire statique en un outil opérationnel pour l'analyse d'impact, la détection de SPOF, la planification de la continuité d'activité.

Mercator calcule également un score de maturité de la cartographie (complétude et qualité des données), par domaine : gouvernance, protection, défense, résilience — directement exploitable pour les audits NIS2, ISO 27001 ou HDS.

Pourquoi cartographier son SI ?

La question peut sembler rhétorique sur LinuxFr, mais elle revient régulièrement en pratique : on sait à peu près ce qu'on a, on a un CMDB approximatif, ça suffira non ?

Non. Voici ce qu'une cartographie bien tenue permet concrètement :

  • Identifier les SPOF avant l'incident, pas pendant
  • Évaluer l'impact d'une panne ou d'un changement sur les processus métiers, y compris les dépendances croisées
  • Répondre aux auditeurs avec des données structurées et non avec un classeur Excel maintenu à la main par une personne qui a changé de poste il y a dix-huit mois
  • Qualifier les actifs critiques pour orienter les investissements en sécurité
  • Documenter les flux de données pour la conformité RGPD
  • Planifier les migrations en connaissant l'ensemble des dépendances applicatives

En résumé : vous ne pouvez pas protéger ce que vous ne connaissez pas. C'est trivial à énoncer, c'est encore courant comme situation en pratique.

Ce que Mercator n'est pas

Point important, car le marché des outils de cartographie et de GRC est traversé depuis quelques années par une lame de fond de fonctionnalités "IA" — parfois utiles, souvent cosmétiques, presque toujours opaques sur ce qui se passe avec vos données.

Mercator est entièrement gratuit sous licence GPL. Il n'y a ni modules cachés, ni limitations fonctionnelles, ni intelligence artificielle. Le code est sur GitHub, lisible, auditable, forkable. L'assistance communautaire passe par GitHub Issues et Discussions. C'est tout.

Nouveautés récentes

Les évolutions récentes portent notamment sur :

  • Module BPMN 2.0 pour connecter les processus métiers à l'infrastructure technique, et répondre à la question "si ce serveur tombe, quels processus métiers sont affectés ?" en quelques secondes.
  • Analyse des dépendances analyser les dépendances d'un objet en amont ou en aval et générer automatiquement le graphe de ses dépendances.
  • Moteur de requêtes, écrivez vos propres requêtes sur la cartographie et générez un graphe ou une liste.

Quelques chiffres

  • 500+ étoiles GitHub, 72 forks, déployé dans plus de 30 pays
  • Utilisé dans des hôpitaux, grandes écoles, centres de recherche, administrations
  • Meilleur Projet Open Source OW2 2024
  • Présenté à SSTIC 2023, Hack.lu 2024, Voxxed Days 2025, FIC Lille, FOSDEM, BSides Luxembourg

Commentaires : voir le flux Atom ouvrir dans le navigateur

  •  

Uber se lance dans les hôtels et dévoile plusieurs nouveautés majeures

À l'occasion de sa conférence annuelle Uber Go-Get, le géant des transports a annoncé qu'il allait proposer des réservations de chambres d'hôtel grâce à un partenariat avec Expedia. Uber veut transformer son application en super conciergerie pour vous permettre de réserver une chambre, de commander à manger, de faire appel à un coursier ou de déléguer vos demandes à une intelligence artificielle.

  •  

Le Diable s’habille en Prada 2 : pourquoi le retour de Miranda est la satire politique qu’on n’attendait pas

En 2006, Miranda Priestly nous apprenait que notre pull bleu céruléen était le produit d’une décision prise dans une chambre feutrée par des gens qui « savaient ». 20 ans plus tard, les algorithmes ont remplacé les éditos. David Frankel revient avec une suite qui n'est pas une simple réjouissance nostalgique, mais le constat d'un monde qui a perdu son chic. Notre critique du Diable s'habille en Prada 2.

  •  

Security review of Plasma Login Manager (SUSE Security Team Blog)

✇LWN
Par : jzb

SUSE's Security Team has published a detailed blog post on their recent review of the Plasma Login Manager version 6.6.2, which was forked from the SDDM display manager.

While most of the code remains the same, the new upstream added a privileged D-Bus helper called plasmaloginauthhelper, which suffers from defense-in-depth security issues.

[...] Based on the high severity of the defense-in-depth issues shown in this report, our assessment is that there is effectively no separation between root and the plasmalogin service user account.

At this time there is no bugfix available by upstream, but a security fix is planned for the next Plasma release on May 12. We have not been involved in upstream's bugfix process so far and have no knowledge about the approach that will be taken to address the issues from this report.

  •  

« Ne parle jamais de gobelins » : une étrange consigne cachée dans l’IA d’OpenAI provoque des débats sans fin

Dans les instructions internes de Codex CLI, l’agent de programmation d’OpenAI, une consigne inattendue revient à plusieurs reprises : ne jamais mentionner de gobelins, gremlins, ratons laveurs, trolls, ogres ou pigeons. Cette interdiction, devenue virale, alimente débats et théories en ligne.

  •  

Le propulseur magnétoplasmadynamique, le moteur futuriste que la NASA vient d’allumer pour de vrai

MPD

Pour expédier des astronautes vers Mars, la NASA mise sur un moteur digne de la science-fiction. L'agence spatiale a testé un propulseur électromagnétique au lithium d'une puissance de 120 kilowatts. Une avancée technologique qui concrétise le virage nucléaire américain pour l'exploration du Système solaire.

  •  

Security updates for Wednesday

✇LWN
Par : jzb
Security updates have been issued by AlmaLinux (firefox, gdk-pixbuf2, java-17-openjdk, libxml2, python3, python3.11, python3.12, sudo, and webkit2gtk3), Debian (dnsdist, node-tar, pdns, pdns-recursor, and policykit-1), Fedora (chromium, edk2, and vim), Oracle (firefox, gdk-pixbuf2, go-toolset:rhel8, libpng12, LibRaw, libxml2, python, python3, python3.11, python3.12, python3.12-wheel, vim, webkit2gtk3, xorg-x11-server, xorg-x11-server-Xwayland, yggdrasil, and yggdrasil-worker-package-manager), Red Hat (container-tools:rhel8, delve, git-lfs, go-rpm-macros, grafana, grafana-pcp, osbuild-composer, and rhc), SUSE (bouncycastle, clamav, container-suseconnect, dovecot22, erlang, firefox, fontforge, freerdp2, ghostscript, giflib, gnome-remote-desktop, go1.25, go1.26, google-guest-agent, haproxy, ignition, ImageMagick, kernel, libcap, libpng16, libraw, librsvg, mariadb, openexr, pocketbase, protobuf, python-Pillow, python-requests, qemu, rust1.94, sudo, tomcat, tomcat10, tomcat11, webkit2gtk3, and xen), and Ubuntu (dotnet10, dovecot, linux-nvidia-lowlatency, node-follow-redirects, openssh, packagekit, python-cryptography, python-tornado, ruby-rack-session, ujson, and wheel).
  •  

Refaire de Pluton une planète ? C’est le nouveau combat de Jared Isaacman et de la Nasa

Déchue de son statut de planète depuis 20 ans, Pluton occupe toujours une place importante dans l'inconscient collectif, au point que certains voudraient son « retour ». C'est le cas de Jared Isaacman, qui a dit vouloir redorer son blason, réactivant ainsi une vieille polémique qui continue d'agiter le monde scientifique.

  •  

Il y a 15 ans, Apple sortait son iPhone le plus maudit : connaissez-vous son histoire ?

Le 7 juin 2010, Apple dévoilait l'iPhone 4. Steve Jobs officialisait alors l'arrivée de l'iPhone dans une seconde couleur : le blanc. Mais Apple n'avait pas anticipé plusieurs problèmes : cacher un capteur dans du verre blanc était notamment plus délicat que dans du verre noir. Le produit est finalement arrivé le 28 avril 2011, soit avec 10 mois de retard.

  •  
❌