BadGeek présente

Antonio, Guillaume et Emmanuel discutent 11, le 42 du rockeur, Quarkus, Java 17, limites de Kubernetes, #Y2k22, web3, Maven, Log4J, et et et cloud souverain.

Enregistré le 14 janvier 2022

Téléchargement de l'épisode [LesCastCodeurs-Episode-271.mp3](https://traffic.libsyn.com/lescastcodeurs/LesCastCodeurs-Episode-271.mp3)

## News

### Langages

[Quoi de neuf dans Java 18](https://www.loicmathieu.fr/wordpress/informatique/java-18-quoi-de-neuf/) de Loïc Mathieu

* Feature complete (mais encore des bugs)

* UTF-8 par défaut

* exemples de code dans la javadoc avec `@snippet` y compris des references a des fichiers extérieurs

* Simple Web Server pour des resources statiques (comme d'autres platformes comme Ruby ou Python je crois. En code ou via la commande `jwebserver`

* le mécanisme de finalisation proposé à la suppression `--finalization=disabled` pour tester. Celui-là il ne nous manquera pas

* ré-implementation de la réflection avec les `MethodHandle`

[Le calendrier de l'Avent Java 2021 a plein d’articles très intéressants](https://www.javaadvent.com)

* pas tous révolutionnaires, mais c'est sympa

* [RXJava vs Kotlin Coroutines](https://www.javaadvent.com/2021/12/are-kotlin-coroutines-enough-to-replace-rxjava.html)

* [Analyser votre repo Git en Java avec jgit](https://www.javaadvent.com/2021/12/using-jgit-to-analyse-the-legacy-of-individual-developers.html)

[Cinq choses que vous ne saviez pas sur la concurrence en Java](https://www.javaadvent.com/2021/12/5-things-you-probably-didnt-know-about-java-concurrency.html)

* l’ordre du programme et l’ordre d’exécution n’est pas le même, mais il est sémantiquement similaire

* le nombre de threads dans une JVM est limité (dépend de la machine)

* plus de threads ne veut pas dire plus de perfs

### Librairies

Quarkus 2.5 et [2.6](https://quarkus.io/blog/quarkus-2-6-0-final-released/) sont sortis:

* API programmatique pour interagir avec le cache

* Kotlin 1.6

* Java 17 par défaut pour les nouveaux projets générés

* des extensions ont bougé du core vers le quarkiverse hub, peut-être quelques impacts [de migration](https://github.com/quarkusio/quarkus/wiki/Migration-Guide-2.6)

* images container plus petites en natif et [compression UPX](https://quarkus.io/blog/upx/) possible

* plus petit sur disque mais plus gros en memoire (pour la décompression)

* `quarkus.native.compression.level` de 1 à 10 dans le fichier de config

* dev service pour Oracvle DB

[Utiliser Neo4J pour analyser le chemin de code et pourquoi un bout de code est inclus en natif](https://quarkus.io/blog/quarkus-native-neo4j-call-tree/)

* super utile pour les compilations natives

* `quarkus.native.enable-reports` pour avoir le rapport exploitable par neo4j

[SmallRye Stork](https://quarkus.io/blog/smallrye-stork-intro/)

* service discovery et client side load balancing

* support pour Consul, Eureka, and Kubernetes

* extensible notamment pour le load balancing

* intégration avec Quarkus REST Client et gRPC

* dans la config `stork://hello-service`

### Infrastructure

[Pourquoi et comment de la taille des containers Kubernetes](https://github.com/vsevel/article/blob/work/doc/tuning.md)

* quand on ne partage pas, inefficient mais sécurisé

* Avec des VM, on peut overcommitter des resources sur l’hyperviseur mais risque sur mésentente

* Ne remplace pas le capacity planning

* Containers définissent des filtrages plus fins et tuent les process qui dépassent

* Discussion `cpu_share` (proportion en balance), `cpu quota`, `cpu period` pour définir les limites basses et hautes

* mais si ça reste statique par host c'est pas très pratique

* Orchestration de container via Kubernetes (request = min, limit = max)

* Kube donne au minimum `request` mais peut donner plus si le noeud n’est pas occupé à 100%

* Attention, la partie libre n'est pas distribuée équitablement mais en proportion du ratio de `request` demandé vs les autres. Donc les containers avec des grosses `request` sont privilégiés. Donc mettre `limit` est important

* Donc jouer le jeu `request` et `monitored` pour ajuster à la baisse si nécessaire. Tous les workloads doivent jouer le jeu.

* Kubernetes QoS (best effort , burstable et guaranteed) utilisé lorsque on tourne bas en mémoire (pas en cpu !)

* Discussion de la sélection du noeud (selector, affinity, taints and tolerations ou isolation/ restriction) pour isoler des qualités de service ou prédictabilité, pour la sécurité etc )

* besoins mémoire : si utilisation max, pod killed. Besoins CPU : si utilisation max, on est throttled -> slow

* Mettre mémoire request = limit sauf si le process peut rendre de la mémoire (pas fait avant java 11)

* CPU request = limit si la prédictabilité de l’application est très important.

* Etudier conso CPU de l’appli en percentile et targeted par exemple une garantie à 99% ou 90 ou moins si pas sensible

* Article ne parle pas du scale out

[Exchange 2016 et 2019 souffrent du bug de l'an 2022 Y2K22](https://arstechnica.com/information-technology/2022/01/exchange-server-bug-gets-a-fix-after-ruining-admins-new-years-plans/)

* Après Matrix et son opus Resurection, Microsoft relance le bug de l'an 2000, 22 ans après, Y2k22

* dans Exchange server 2016 et 2019 et d'autres systems non microsoft

* pour Exchange c'est du au systeme de scan d'antivirus qui ne reconnaissait pas les dates des signatures de virus `22010100001` parce que le software stocke les dates dans un entier signé `2^31-1=2147483647` et la date est stockée sur les deux premiers chiffres.

* le workaround initial est assez marrant, le software considère qu'on est le 33 décembre 2021 `2112330001`

### Web

[Moxy de Signal (ex) discute web3](https://moxie.org/2022/01/07/web3-first-impressions.html)

* web1 était décentralisé, web2 est riche mais centralisé, web3 sera riche et décentralisé

* problème: les gens n'aiment pas faire tourner leurs propres serveurs et ne l'aimeront jamais

* même les entreprises ne font plus tourner leurs serveurs

* un protocole (standard) bouge beaucoup plus lentement qu'une plateforme

* exemple Spring, exemple Quarkus vs Microprofile ou Jakarka EE

* puis discute blockchain et NFT

* l'état et la logique / les permissions pour mettre a jour sont décentralisées mais pas l'interface avec l'utilisateur

* blockchain est une confiance entre serveurs plus qu'entre clients

* avec le mobile, les clients ne peuvent pas acter en tant que server (voir Bitcoin)

* donc des gens vendent des accès centralisés aux noeuds de la blockchain

* et les clients de ses APIs ont une confiance implicite (et pas par le système)

* et centralisation des accès et donc mining de ces informations

* NFTs stockent l'URL de l'objet (sans hash) donc pas sécurisé sans parler du rachat de domaine

* il a fait un NFT qui se change en émoji caca pour celui qui l'a acheté

* et il s'est fait virer son NFT *ET* sa preuve de possession

* mais c'est une blockchain ???

* sauf que le wallet passe par des fournisseurs centralisés

* pour faire web3, les gens se concentrent autour de plateformes, un comportement tres web2

* donc la blockchain et NFT ont du succès pas parce que c'est distribué mais parce que c'est un gold rush

* la dynamique rend les projets web3 successful mais fondamentalement les mêmes dynamiques vont les centraliser

* propositions

* accepter que les gens ne font pas tourner leur serveurs et utiliser la crypto pour distribuer la confiance

### Outillage

[Maven 3 à 5 une explication](https://www.javaadvent.com/2021/12/from-maven-3-to-maven-5.html)

* le POM est figé parce c'est ce que publie maven central, donc maven 3 ne fera que des améliorations mineures

* Maven 5 la proposition: avoir un POM de build (v5) et produire un POM de consommation en v4, comme les autres systèmes de builds font

* Maven 4 va faire la meme séparation mais en faisant un POM v4 build to PO)M v4 consumer conversion en étape intermédiaire

* maven 4 alpha 1 se rapproche, il attend juste des contributions de @aheritier

* blog de Hervé Boutemy

* Maven Wrapper (ex takari) est désormais un projet officiel apache maven :

* idem pour Maven Daemon

* Le maven Build Cache arrive :

### Sécurité

Comme prévu, la saga log4j continue avec Log4j 2.17 et 2.17.1

* avec l'augmentation de la visibilité, plus de problèmes vont être trouvés

* Log4J 2.17 corrige un appel récursif infini exploitable en déni de service. Besoin d'avoir un pattern non standard dans la config (utilisant les context lookup) et un accès au Thread Context Map par l'attaquant (5.9)

* Log4J 2.17.1 fixe un abus du JDBCAppender qui peut référencer une URL JNDI et executer du code a distance mais l'attaquant doit pouvoir modifier la configuration de log4j (6.6)

* doit-on quitter le navire ? équilibre entre fonctionnalités et sécurité

* on fera un épisode spécial log4Shell bientôt

[H2 vulnérable à une attaque JNDI](https://jfrog.com/blog/the-jndi-strikes-back-unauthenticated-rce-in-h2-database-console/)

* fondamentalement comme log4shell

* Mais exploitable pour ceux qui passent une url ou un login mot de passe via des infos utilisateur

* Par exemple h2 console

* Mais localhost par défaut

* Sauf dans jhipster

### Loi, société et organisation

[Tribune de Didier Girard sur le cloud souverain](https://www.lopinion.fr/economie/le-cloud-souverain-est-necessaire-le-cloud-de-confiance-indispensable-pour-y-parvenir-la-tribune-de-didier-girard)

* investissement de 1,8 milliards sur 4 ans dans le cloud français sur 4 ans. C'est moins que chaque grand cloud provider par an

* consortiums européens mais mauvaise histoire CloudWatt, Gaia-x et ses problèmes de gouvernance

* initiative Soutenu par la dépense publique

* Cloud de confiance est un moyen pour Didier du transfert technologique et de casser l'asymétrie de compétence et d’investissement

* Ça répond pas aux problèmes clés levés par Quentin dans l'interview

[La Maison Blanche demande à Oracle et Microsoft de réfléchir à la sécurisation des logiciels libres](https://twitter.com/bortzmeyer/status/1478348208669700100?s=21)

## Outils de l'épisode

[Rambox](https://rambox.app/)

* en general je préfère les applis natives pour chaque service

* Mais avec les messageries instantanées c'est la chianlie

* Et il y a les apps qui sont des tabs dans le navigateur (Trello, Gmail, calendar etc)

* Là tout est centralisé dans une seule app (notifications etc)

* C'est comme un mini browser dédié avec des sites webs fixes

* Et contre toute attente j'aime bien

* Version gratuite et version pro.

* Encore des limitations (vue de deux apps en parallèle) mais ils travaillent à une nouvelle version

## Conférences

[Sunny Tech](https://sunny-tech.io/) à Montpellier le 30 juin et 1er juillet — [CfP](https://conference-hall.io/public/event/m1kfbpSntxF3QBVUwoFY) ouvert jusqu'au 28 février

## Nous contacter

Soutenez Les Cast Codeurs sur Patreon

[Faire un crowdcast ou une crowdquestion](https://lescastcodeurs.com/crowdcasting/)

Contactez-nous via twitter

sur le groupe Google

ou sur le site web

Au programme la sortie de Xexex dans la gamme Arcade Archives (04:09), un Kickstarter pour un documentaire sur Toaplan (05:10), un gâchis de plastique avec l’Astro Mini V et l’Egret II Mini (07:14), la sortie de Hower Attack sur Steam (12:23), Shikigami no Shiro II sur Steam et Nintendo Switch (14:27). On parle aussi du shmup adapté du manga Le dragon domestique de Mme. Kobayashi par MOSS (16:20), de l’annonce de Gunvein le prochain NG Dev Team (19:04), un mise à jour pour Kaikan (22:20) et aussi de ⸱⸱⸱⸱⸱⸱ III (23:14). Mutmut nous apprend la sortie en boîte de Iro Hero sur PlayStation 4 (24:34). M2 balance des détails sur Hishou Same!Same!Same! et une trailer sur Aleste Branch. (26:00).

Dans la seconde partie gekko ne mâchera pas ses mots concernant une certaine personnalité toxique de l’industrie du shmup japonais (32:16) avant de revenir sur Mecha Ritz Steel Rondo 2.0 qui met l’eau à la bouche (36:27). Puis un segment CAVE avec entre autre la sortie de DoDonPachi Daifukkatsu sur Nintendo Switch, DeathSmiles 1&2 et le détail des éditions proposées pour Akai Katana Exa Label dont une où il est possible, contre une somme folle, d’avoir une dédicace osef de trap15 (37:51). Pour finir, Cotton Rock’n Roll Fantasy disponible en préco à la Fnac et le retour de Trizeal sur la compilation Saturn Tribute et ses horribles DOUZE frames de lag (53:29).

Samedi 15 janvier 2022 - Éclectique clubing show (1ière partie)

Samedi 15 janvier 2022 - Éclectique clubing show (2ière partie)

Salut à tous ! Cette semaine dans MUTEKI on reçoit JESSE et LUCAS, co-fondateurs de 8BEATS, webradio lyonnaise dédiée à la musique de jeux vidéo. Un projet qui a vu le jour à l'automne dernier et qui s'écoute à la fois en flux 24/24 mais aussi en mixes et en playlist à écouter indépendamment. Côté playlist, Léo nous parle de FINAL FANTAST XIV: SHADOWBRINGERS, tandis que Romain ramène vers la lumière un Mégamix tiré de MACROSS FRONTIER. Enfin, on découvre le nouveau générique de la dernière saison de L'ATTAQUE DES TITANS. Bonne écoute !

Hi everybody ! This week on MUTEKI our guests are JESSE and LUCAS, co-founders of 8BEATS, a Lyon-based webradio dedicated to video game music. A project that came into life just a few months ago and a webradio that you can listen to as a 24/24 stream or as a collection of independent mixes that you can click on. On our playlist today, LEO talks about FINAL FANTASY XIV: SHADOWBRINGERS, Romain puts the spotlight on a MACROSS FRONTIER megamix. And we discover the latest opening of SHINGEKI NO KYOJIN's very last season. Mata raishuu !!

Playlist:

1- MANAMI MATSUMAE - One shot, one kill

2- RICHARD JACQUES - Sonic R - Options Screen

3- FIRE BOMBER, SHERYL NOME starring MAY'N & RANKA LEE - Macross Frontier - Nyan Nyan FIRE!!~Totsugeki Planet Explosion

4- ISAMU OHIRA - Gran Turismo 4 - Mission Impossible

5- MASAYOSHI SOKEN - Final Fantasy XIV: Shadowbringers - The Twinning Theme (A Long Fall)

6- SIM - Shingeki no Kyojin, The Final Season Part 2 / L'Attaque des Titans - The Rumbling (TV Size)

7- TM REVOLUTION - Rurouni Kenshin / Kenshin Le Vagabond - HEART OF SWORD ~Yoake Mae~

Comme chaque samedi, Laurent vous propose une grande diversité musicale !

La nanarologie, LE cours en ligne qui vous permet de voyager en toute sécurité dans le monde du cinéma bis et à terme de devenir de vrais spécialistes.

Pour cet épisode, nous voulions vous montrer qu'il n'y a pas que les films du circuit classique d'Hollywood qui ont un message écologique. Les mauvais films ont aussi envie de délivrer leur message de manière boiteuse. Tellement boiteuse d'ailleurs qu'en voyant le résultat fini, on se dit que ne rien faire aurait eu un meilleur impact sur la couche d'ozone.

Année : 2010

Origine : États-Unis

Réalisateur : James Nguyen

Casting : Alan Bagh, Whitney Moore

---------------------------

Introduction : La Guerre des étoiles, par René Joly (paroles d'Etienne Roda-Gil)

Conclusion : Thème du film Dangerous Men

Notre twitter : https://twitter.com/Nanarologie

Et si tu laissais tomber ton masque de jovialité ? Les gens ne t'en voudront pas de montrer tes faiblesses...

Liste des podcasts présentés dans cet épisode :

First Print :

https://www.first-print.fr/

Les Chroniques du Gouffre :

https://linktr.ee/Leschroniquesdugouffre

Nanarologie :

https://www.badgeek.fr/medias/c/238/nanarologie/

Random Culture Club :

https://podcast.ausha.co/random-culture-club

Course Épique :

https://courseepique.fr/

Pépites d'Histoire :

https://www.studiobiloba.fr/perlesdhistoire

Merci aux Podcasts ayant acceptés d'apparaître dans le générique :

-Culture 2000

-Plaisirs Coupables

-Madame Meuf

-Shitlist

-Ma Chanson Préférée

-Giga Musik

-Super Ciné Battle

Musiques utilisées:

Extrait de

Come Play with Me by Kevin MacLeod

Link: https://incompetech.filmmusic.io/song/3526-come-play-with-me

License: https://filmmusic.io/standard-license

(En ouverture du générique, en référence au podcast « Inspirés de Faits Réels »)

Yetzati :

« Walking in Tokyo »

« Trap Trap »

https://soundcloud.com/yetzati

UnDixGo :

« J'ai rencontré mon lutin »

« Le bonheur en bouteille ft Yop »

«  Le sous-sol de la bibliothèque »

https://undixgo.bandcamp.com/album/avant-daller-dormir-soundtrack

Mon Twitter :

https://twitter.com/clegot

Mon blog de recommandations : https://danslesoreilesdeclegot.wordpress.com

Partout où vous pouvez m'écouter ou me joindre:

https://bit.ly/3DubCmd

Cent quarante mille personnes sont atteintes d’AVC chaque année en France. C’est un toutes les quatre minutes. Dans cette émission, nous allons nous intéresser à cet accident, qui n’est souvent pas sans conséquence. Sans conséquence sur la santé, mais aussi sans conséquence sur le cours de la vie. L’AVC, que l’on appelle aussi « attaque cérébrale », est la première cause de handicap physique acquis de l’adulte, et la deuxième cause de démence et de décès. AVC, faut-il s'en méfier : c’est à cette question que nous répondons dans cette émission.

Vous pouvez soutenir ce podcast en faisant un don ici : https://www.okpal.com/question-de-sante-le-podcast-qui-prend-soin-de-vous/?utm_campaign=01FJVDEW61RTN0G8CJWH0115HA&utm_medium=campaign_edit-okpuid_01FJHHCM41Z70HGGZDAX7PNTC6-20211026&utm_source=share_directlink