Aza a écrit 101 commentaires

D'après un reportage sur Arte à propos de Microsoft, il y'a un truc la bas que l'on appelle le Wall Clock Syndrom : le developpeur est tellement stressé par les délais qu'il regarde sans arret la pendule sur le mur, sans être capable de pondre une seule ligne de code.

Ce que tu n'as pas l'air de comprendre c'est qu'un bug fixé dans un service pack non sorti, c'est un bug non fixé tout court.

Ca me fait une belle jambe de savoir que le bug qui m'emmerde sera fixé dans un service pack qui sortira je ne sais pas quand et dont on a pas le droit de me parler (ce qui est quand même un comble quelque part : j'ai un produit avec une erreur dedans et personne n'a le droit de me dire quand je pourrais corriger cette erreur. Charmante conception du client).

Ce que je vois c'est que le bug qui m'enerve n'est pas fixé, que l'on me promet une future correction pour je ne sais pas quand (on a pas le droit de me dire quand) et tout ca parcequ'un gus a décidé que le problème n'etait pas grave et que donc je peux bien attendre encore un peu.

J'appelle ca du foutage de gueule tout simplement.

Je suppose egalement que tu ne peux rien nous dire sur le contenu de ce stage securite (par exemple toi, tu l'as fait ? tu y'a appris quoi ?)

Un bug qui peut etre exploité sort en patch ? fort bien. Et qui décide de quel bug peut être exploité ou non ? Par quelle formule magique, peut on etre sur qu'un bug trouvé ne pourra pas être exploité par quelqu'un ? j'avoue que cela m'interresse.

Quand au changelog c'est celui du service pack 2, hors il y'a eu d'autres patchs de sorti après, ce n'est donc pas le changelog de windows 2000

>J'ai pas le droit de dire quand sort le SP3, mais c'est bientot.

J'aime bien cette manie du secret chez microsoft. Surtout que la c'est vraiment inutile : quel interet de ne pas pouvoir dévoiler la date de sortie d'un truc aussi attendue ?

>Tu remarqueras donc que ce grand public :
>1) Ne sait pas en grande majorite que les patchs ca existe
Il y'en a qui le savent. Moi par exemple.

>2) N'est pas vulnerable car personne ne se logge sur la console chez eux pour attaquer leurs

Cela est valable pour ce bug (encore que je trouve que quelque part c'est de la mauvaise volonté de ne pas corriger un truc sous pretexte qu'a priori personne ne peut l'exploiter) mais qui me dit que cela ne sera pas pareil pour les autres ?

>Bref, le grand public n'a absolument AUCUN risque vis a vis de ce patch.

Quelque part ca n'est pas vraiment la question. C'est plus une question d'honneté commerciale : vous avez un produit, vous savez qu'il y'a un défaut avec, vous vous devez de le corriger comme si c'etait un vrai problème.

C'est comme si j'achetais une mercedes avec une rayure sur la portière et que le vendeur me dise "c'est pas grave, ca ne vous empechera pas de rouler". C'est vrai dans l'immédiat, mais ca laisse un arrière gout au consommateur.

>Les bugs qui sont pas releases en patch sortent >dans les service packs.

Ce qui est embettant c'est que depuis la sortie du service pack 2 y'a quand même pas mal de temps qui s'est écoulé. Temps pendant lequel un bug connu a pu être exploité. Il sort quand le service pack 3 ?

>En theorie ce bug a peut-etre meme ete release dans un patch, si un bug important se trouvait >dans le meme binaire que ce bug et a ete release en patch, alors t'auras aussi le correctif pour >ce bug dans le patch.

Si même toi qui bosse pourtant à faire des services pack tu n'est pas fichu de me le dire, comment veut tu que moi, utilisateur lambda, je comprenne quelque chose à vos calendrier de sorties de patch/service pack ?

Avec le logiciel libre, le changelog est généralement facile a trouver. Il est ou le changelog complet pour windows 2000 ?

>Quand aux failles de IE, je sais pas ou c'en est car c'est le team IE qui s'en occupe, mais c'est >vrai que c'est pas beau a voir.

Tu peux pas leur demander ? :-)

> Les lignes de C, c'est dans le SP3
le SP3 il sort quand ? Parceque bon c'est bien beau de nous dire ca, mais si le SP3 n'est pas sorti, ca nous fait une belle jambe

>Quand a la faille xfs, ben j'ai toujours pas vu les patchs des distributions, et tu peux etre sur >que les grosses boites vont pas prendre un patch sorti de je ne sais ou, car il n'aura pas ete
>teste suffisamment a leurs yeux.

Au cas ou microsoft ne le saurait pas :
1°) une grande partie de ses clients fait partie du grand public. Je suis même sur qu'il y'a plus de licence windows vendu au grand public (vu qu'il y'en a quasiment une avec chaque pc de constructeur) qu'aux grosses boites
2°) les grosses boites testent de toutes façons les patchs eux même avant de les installer.

Donc franchement si le end user veut tester son patch chez lui après tout c'est son problème. Si tu regardes pour le bug de xfs : a priori pour ceux qui ont testé ca s'est bien passé.

Oui et donc il va être corrigé quand ?
Parceque bon si tu tiens commme raisonnement "tous les bugs pas encore corrigés et considérés comme pas exploitable seront corrigés dans un futur service pack dont personne ne connait la date de sortie" ca risque de faire des trucs un peu énorme à la fin.

>Il n'y a JAMAIS eu une seule vulnerabilite >venant d'un double free sur Windows.

Et tu peux me prouver mathématiquement que cela n'arrivera jamais ?

>La raison est que la maniere dont les >allocations sont gerees fait que c'est >impossible.

Tu as une preuve de programme bien sur ? Tu peux prouver (outre les algorithmes) que le code gérant les allocations est parfait et ne contient aucun bug non connu ?

De toutes façons ca vous couterais quoi de corriger ce machin ? le bug est connu et localisé, c'est franchement pas la mer à boire.

>Bon, faut dire que c'est normal

Non, ce n'est pas normal : ce n'est pas parceque le bug de la zlib n'est pas exploitable d'une certaine manière sur windows que cela veut dire qu'il n'est pas exploitable d'une autre manière.

Dans le doute, il vaut mieux corriger.

>Et oui, pour eviter que eEye ne divulgue la faille avant que les patches aient ete crees, >testes,...

Ils ont mis un peu de temps quand même. Surtout que rien ne prouve que le bug n'etait pas connu par quelqu'un d'autres.

En fait c'est tout microsoft ca, ils mettent des mois a sortir un patch et ils gueulent que pendant ce temps la, la faille commence a etre connu.

D'ailleurs ca en est ou des correctifs pour les failles connues suivantes ?

http://jscript.dk/unpatched/(...)

Et il n'y a pas tout. Tu te rappelles des quelques lignes de C qui permettent de planter windows et qui sont passé en news ici ? je suis au courant depuis l'année dernière et je n'ai toujours pas de correctifs.

De plus je te rappellerais que la faille sur le bug de xfs n'a pas mis plusieurs mois pour être corrigé lui. Et oui, le fait que les sources soient accesssibles et modifiable, ca permet aussi de proposer des patchs en vitesse.

Mais bon, c'est sur que tu vas venir m'expliquer le contraire...

>Alors, ne peut-on pas dire que c'est au marchés publics de formuler des appels d'offres plus >contraignants qui alors génère les offres adéquates dans les SSII

Et cela arrive. J'ai récement vu un appel d'offre ou l'on exigeait une solution tournant sous linux. Mais ce genre de chose ne sera pas demandé de façon général : ce que l'on veut c'est quelque chose qui fonctionne, pas forcément une plateforme donnée.

D'un autre coté il faut voir que les appels d'offre de l'administration ne sont pas les plus simples à remplir : c'est chiant à faire a cause des procédures à la con, ca prend vraiment beauoup de temps d'obtenir une réponse et il faut un commercial qui connaisse assez bien le secteur public pour savoir ou chercher. Je comprends que des SSII préferent se focaliser sur des marchés privés ou les réponses sont bien plus rapides et faciles à faire.

En plus ce n'est pas tout de proposer du logiciel libre, il faut encore être choisi. Et la, la question du prix joue souvent. Généralement la tactique est fort simple : on envoie un appel d'offre pour un forfait, on obtient x réponses. Sur ces réponses il y'en a forcement une qui s'est completement gourré dans les délais en les sous estimant. Et bien on prend celle la. Et on lui fait signer un truc comme quoi ils ne seront pas payé tant que tout ne sera pas livré, on peut même leur mettre des pénalités de retard. La technique n'aura plus rien à voir la dedans.

Bref, y'a du boulot...

On ferme aussi la boite pour faire baisser le degré d'humidité (nottament en ajoutant un bidule pour l'absorber) et empecher la poussière de se déposer trop vite.

>Je devrais essayer de retrouver mes sources, mais il me semble qu'il y a déjà eu des >transports de clefs OTP escortées par convoi militaire.

Il me semble que le téléphone rouge entre washingtown et moscou fonctionnait justement comme cela.

>Le desavantage c'est que le commit des sources sur le serveur doit etre fait par des gens de confiance ou doit etre verifier

a priori même dans un projet propriétaire, on ne laisse pas un développeur mettre n'importe quoi sur l'arbre : il faut une vérification, au moins qu'un autre type relise le code. Ce boulot doit être fait que le projet soit libre ou non.

>Quoique dans le cas present c'est plus la securité du serveur qui hebergeait les sources qui est plus a remettre en cause ...

Certes.

Est-ce que l'on doit publier chaque trou de sécu sur un logiciel libre en premiere page de linuxfr ? parceque bon sinon on a pas fini. Surtout que franchement irssi n'est pas un soft super utilisé. Si c'etait un gros trou sur le noyau linux, d'accord, mais pour un soft tiers ca aurait pu passer ailleurs.

Sinon je me met a poster toutes failles qui sortent sur bugtraq tiens ;-)

ps : rien à foutre des xp.

>Ca c'est un petit desavantage de l'open source >pour ce genre de cas, acceder aux sources pour

C'est un désavantage et un avantage. le désavantage c'est effectivement qu'on peut chercher des failles dans le source, mais l'avantage c'est que beaucoup plus de gens peuvent tenter de le corriger si besoin est.

Je te rappelle que le fait de ne pas avoir les sources n'empeche aucunement de trouver des trous de sécu et que l'on dépend de l'editeur pour corriger les failles.

Par exemple, au hasard, rien que sur IE, il sont ou les correctifs pour les failles décrites ici :
http://jscript.dk/unpatched/(...)

Et je parle même pas des failles connues sous windows ou Office....

Chez moi ca ne compile même pas. Comme y'a pas de fichier README j'ai tenté un make, un make all, mais rien n'y fait.

Mais bon comme ce sont des étudiants qui font du libre et que c'est un moyen pour eux d'apprendre, je vais pas les blamer, faut les encourager au contraire.

En fait ca tiens à la nature des lois américaines : le parjure y est severement puni.

Donc si tu réponds que non tu ne possède pas de drogue et qu'on te choppe avec à la douane, non seulement tu tombes pour traffic de drogue mais aussi pour parjure, ca fait mal et tu as beaucoup de mal a t'en tirer même avec un bon avocat.

C'est pour s'assurer d'etre sur de pouvoir condamner severement les fraudeurs qu'ils font ca.

>Meme si la kernelle et le systeme de base est >porté, il faudrait faire une couche >d'abstraction PPC -> ix86 qui transforme les >instructions PPC en instructions x86 .. bonne >chance.

Faudrait peut etre se renseigner sur l'architecture d'un système d'exploitation avant de sortir ca. La couche d'abstraction materielle, ca n'est pas une invention de microsoft.

Apple ne sortira pas mac os x sous pc parcequ'elle est lié par contrat avec apple et qu'elle veut vendre des ordinateurs et pas vraiment des logiciels (c'est d'ailleurs Apple Computer et pas Apple Software).

>- multi-plateforme(eh oui, NT etait multi->plateforme des la naissance, CONTRAIREMENT a >Linux qui etait completement oriente i386, Linus >le dit lui-meme)

C'est d'ailleurs assez comique comme situation parceque si l'on regarde
- Linux a commencé par être monoplateforme pour finir par etre porté sur des tas d'architecture
- NT a commencé par être multiplateforme pour au final ne fonctionner réelement que sur une seule architecture.

Bref ils auraient du inverser :-)

Ca peut fonctionner dans le cas d'un logiciel proprietaire mais dans le cas d'un logiciel libre, ca n'est pas la meilleure solution vu que plus il y'a de personnes au courant, plus il y'a de chances que la faille soit corrigé rapidement.

Ecoute tu en dis trop ou pas assez. Ne dis pas qu'il y'a des erreurs sans dires lesquelles.

Et n'ait pas peur du troll, après tout on est la aussi pour ca :-)

>3) C'est qui ce Mamoru Oshii, jamais entendut parlé, il a pas fait des dessins animés avent ? a >il a pas fait DBZ ou Pokemon, donc c'est pas connue.

Il a quand même fait "Ghost in the shell" qui a eu un petit succès tout de même.

>4Dos ! Quand des potes me l'ont montré, en 1994, >ils étaient fiers comme des paons ! Pensez->vous ! Un shell avec complétion !

Ce qui est rigolo c'est que windows 2000 sait gérer la complétion : c'est une clé de registre à modifier. La question a 1000 euros c'est pourquoi est-ce que ce n'est pas activé par défaut ? quel interet de ne pas activé la complétion par défaut ? la j'avoue que je ne vois pas...