Proposition d’arrêter le service Césium hébergé sur g1.duniter.fr
3 Likes
Le problème c’est de permettre la connexion aux comptes membres.
Que penses-tu d’empêcher la connexion à un compte membre mais de permettre la connexion à des portefeuilles simples ?
2 Likes
Ça doit déjà faire un an que cette idée est dans l’air. En attendant, il faut aller à l’évidence.
A priori plutôt pour. Par contre ça va casser :
- L’accès à Cesium pour ceux qui ne sont ni sous ubuntu ni sous windows
- L’accès à Cesium-API pour un bon nombre de sites
J’aurais donc plutôt tendance à mettre une urgence sur la fonction de désactivation du login membre sur cette page.
@kimamila tu vois ça comment ?
1 Like
Oui, première urgence.
Une seconde étant de résoudre ce bug.
Pour info, j’ai commencé à écrire un script bash (avec mes maigres connaissances) pour vérifier si le code d’une instance Cesium a été modifié ou non. En cherchant un peu, je trouverai certainement comment publier le résultat sur le web pour une liste d’instances chaque jour.
C’est évidemment un emplâtre sur une jambe de bois, mais c’est mieux que rien.
C’est le plus gros problème, mais les comptes portefeuilles sont également critiques… Si une attaque vide 50% des comptes portefeuilles de la monnaie, on a une grosse perte de confiance pour plusieurs années.
Rien du tout, on peut installer Cesium-web localement sur tout OS qui possède un navigateur gérant le JS, il y a des tutos sur ce point.
Pour moi, c’est un mal pour un bien.
3 Likes
Cela n’a jamais fonctionné chez moi, because FF refuse d’éxécuter du JS local (non publier par un serveur web), et aussi de mémoire des erreurs de CORS (cross origin policy). Tu aurais un lien vers un tutoriel que je retente ?
1 Like
Pour ça on pourrait livrer avec Cesium un script qui crée un serveur local minimaliste, genre avec Python :
python2 -m SimpleHTTPServer 8080 #Python2
python3 -m http.server 8080 # Python3
firefox 127.0.0.1:8080 # GNU
start http://127.0.0.1:8080 # Windows
5 Likes
Quelle est la motivation pour fermer ce serveur en particulier?
Y-a-t-il des doutes sur les activités de son propriétaire?
Cesium hébergé est dangereux si son code est modifié pour récupérer les identifiants / mots de passes…
Mais ce danger concerne toutes les couches logicielles embarqués qui gère le chiffrage…
On peut imaginer ce genre de problème touchant le client qui s’exécute sur un PC ou un Smartphone également (virus ou faille intentionnelle, comme dans Whatsapp ).
Le code de Cesium mis dans IPFS lui procure un HASH, cela me sert déjà à identifier le code que j’y distribue.
Parce que « tuer » un serveur, c’est un peu punk comme attitude… @Moul que voulais tu dire par là? Un bon DDOS et on n’en parle plus 
Peut-être devrions-nous mettre en place une procédure qui classe les noeuds par la qualité de l’hébergement prodigué au code par son administrateur. Une genre de WOT pour les NODES.
Ainsi g1.duniter.fr serait un portail de redirection vers l’un d’entre-eux…
Je veux dire arrêter le service Césiun.
Il n’y a pas de doute quant à l’hébergeur ou le code servi.
C’est aussi par principe et cohérence que le projet Duniter ne fasse ce qu’il ne promeut pas.
Ce qui m’a amené à cette proposition est le fait que dans une émission radio ils proposaient d’aller se créer un compte à cette adresse.
Sans ce service, le résultat serait surement différent. Quelque chose du genre : “Téléchargez l’application depuis la distribution officielle du projet.”.
4 Likes
Justement, pour moi, le « main développeur » du client devrait pouvoir se porter garant du code. Qu’il puisse le valider et le propager sur des noeuds de confiance.
Je viens de commencer à diffuser sur IPFS le code de DEV de G1sms+ par le publish IPNS avec ma clef de « main developper » https://forum.monnaie-libre.fr/t/le-g1fablab-recherche-1fadas-pour-participer-au-g1sms-one-live-swarm/8038
ipfs get --output=./ /ipns/QmZHTne3bjtMgaXWRqSbdKchJbgq2NaAeVSzFUN7ceYpif
C’est encore un brouillon qui essaye plein de façon de faire… Ce lien pointe vers le dernier backup que j’ai fait du code…
Je pense qu’on pourrait appliquer ce genre de mécanisme au code de Cesium.
@kimamila aurait la clef de « publish ipns » et les serveurs serviraient toujours la dernière version officielle en la prélevant dans ipfs
Je serai curieux de connaitre la charge réseau qu’encaisse g1.duniter.fr (@cgeek ? c’est toi qui le gère?)
Avec un déploiement ipfs et un load balancing DNS, on peut carrément étaler tout ça…
On peut même activer un reverse ssh p2P pour se connecter à un node
https://pad.p2p.legal/G1sms-install?both#3-ACTIVER-LE-SUPPORT-A-DISTANCE
1 Like
Ok pour IPFS. Ça fait la job selon moi.
Mais, tu propose quoi pour les clients servis via simple HTTP par n’importe qui ?
Banni!! Le nom du membre responsable du noeud (passerelle IPFS) doit apparaître en clair sur l’appli tiers de service et une liste officielle est issue des nodes id du swarm. Elle servirait à mettre à jour les champs TXT pour les redirections IPNS/DNS ou la liste de load balancing de g1.duniter.fr
Des personnes qui se sont exprimées, je ne vois pas de contradiction forte à cette mesure. Dites-moi si je me trompe ou exprimez-vous si c’est pas déjà fait.
Les questions à clarifier sont : on remplace comment ce service pour ne pas avoir de lien mort ? Je propose de mettre une redirection DNS vers le site web de présentation de Césium (peut-être directement vers la page téléchargement ?).
L’autre point, est d’avoir un Césium fonctionnel localement sur toutes les plateformes et qui soit facilement installable. Si la distribution desktop avec navigateur intégré n’est pas multiplateforme et que les sources locales accédées avec un navigateur ne réponde pas aux points précédents, une bonne solution serait d’embarquer un script Python qui fasse serveur web.
4 Likes
Je suis d’accord pour supprimer toutes instances hébergées de Cesium (que la communauté ML contrôle), ainsi on peut communiquer plus simplement :
- Aucun site web de monnaie libre ne vous demandera vos identifiants de compte membre, ni votre fichier trousseau de clefs ou autre moyen d’accès à votre compte membre. Si vous tombez sur un tel site c’est un piège : ne donnez jamais vos identifiants de compte membre dans un navigateur.
Et, comme le dit @Moul, on est alors cohérent entre ce que l’on dit et ce que l’on fait : pas de site avec connexion à un compte membre.
3 Likes
Selon moi, pour garder une bonne utilisabilité, on a intérêt à commencer par avoir au moins un client non web qui comprend les g1liens avant de fermer les instance web. De cette façon, tout ce qui est api lien & compagnie pourra rester fonctionnelle (ou être re-rendu fonctionnel facilement) et c’est un client lourd qui se chargera de l’authentification pour envoyer les document à la blockchain.
4 Likes
MAIS CA VA PAS LA LES GENS ???
vous avez fumez quoi aujourd’hui ???
vous vous croyez tous seul à utiliser le site ???
vous savez le nombre d’utilisateurs quotidiens ???
vous vous prenez pour des politiques à décider dans votre coin loin du terrain ???
non mais c’est pas à vous de décider çà déjà , vous vous prenez pour qui ???
c’est non seulement anti-démocratique et en plus hautain…
y’as une grosse communauté qui dépend (et dépendra) de ce site et vous ne proposez rien à la place ???
c’est à la communauté d’en décider pas à un groupe sur un forum que seul les initiés vont …
j’suis super choqué !!!
j’vous rappele aussi que y’as une grosse communautés maintenant (2200 membres et plus encore en devenir) de gens « NON GEEK » … va falloir y songer sérieusement avant de prendre ce genre de decision …
ceci dit je comprend le besoin mais faites un outils alternatif performant avant
1 Like
Bonjour @Nicolas_Markovic 
La Ğ1 n’est qu’une expérimentation, et elle peut s’arrêtée à tout moment, il semble que ce fait n’est pas suffisamment mis en avant.
Tout les développeurs et autres contributeurs qui ont mis en place la Ğ1 et qui maintiennent les différents outils de l’éco-système Ğ1 sont bénévoles et libres de leurs actions.
De plus, tout les outils sont libres et décentralisés, donc n’importe-qui peut proposer une instance web publique de cesium et ceux a toute fins.
Les propriétaires de l’instance g1.duniter.org sont donc tout a fait libre de la fermée du jours au lendemain s’il le souhaitent, ils ne vous doivent rien.
Cette décision n’est pas censée affecter une majorité d’utilisateurs, si ça s’avère être le cas cela signifie que les usages sont trop centralisés sur une seule instance, ce qui n’est pas souhaitable.
A titre personnel, je suis en faveur d’un maintien de l’instance web g1.duniter.org mais d’une interdiction de l’utilisée pour un compte membre, avec une popup donnant le lien vers la page de téléchargement du site de Cesium en cas de tentative de connexion avec un compte membre, mais cela demande des développements, qui vas les faires ?
La solution idéale a long terme serait celle proposée par @1000i100, mais ce n’est pas pour tout de suite 
Je suis d’accord avec le fait que les propositions de certains ici sont un peu trop déconnectés des besoins des utilisateurs, je tenais toutefois a rappeler que la seule obligation qui nous lie est la licence Ğ1, qui nous engage a respecter le processus de création de la monnaie Ğ1.
Pour tout le reste, les développeurs ne vous doivent rien. En revanche, c’est grâce a des millions d’heures de bénévolat cumulées que vous pouvez utiliser gratuitement ces outils
Si vous souhaitez que les demandes des utilisateurs soient davantage considérées (ce que je souhaite également), il n’y a qu’une seule solution : payer des développeurs pour qu’ils réalisent ce que vous leurs demandez.
En conséquence @Nicolas_Markovic, toute injonction de faire (comme celle que vous venez de formuler ici), n’est pas la bienvenue 
8 Likes
En fait je suis pas sûr que ça soit idéal, car Python n’est pas installé par défaut sur Windows ni sur les nouvelles versions de macOS.
C’est aussi le rôle des développeurs de donner des conseils quant à l’utilisation des logiciels.
Cependant, Internet reste anarchique, donc les développeurs ne peuvent pas empêcher ni obliger qui veut d’héberger un logiciel libre comme Cesium (donc rien d’anti-démocratique). L’instance g1.duniter.fr ne doit pas être considérée plus « officielle » ou « centrale » que les autres.
J’avais lu quelque part qu’il y aurait un plugin Firefox pour vérifier que le code source d’un site est authentique. Ça doit pouvoir se faire simplement en comparant le hash ou la signature du code de la release avec le code de l’instance en question.
1 Like
Est-ce qu’on se donne une limite d’un mois pour aider la communauté à faire la transition ?
Mettre un avertissement sous forme de bandeau serait bien au-dessus de Césium.
Disons après les RML14 ? Quelque chose comme le 5 décembre on fait la redirection DNS vers https://cesium.app/en_US/telechargement
1 Like