[+] Ahh oui mais non ...

• [^]Re: Ahh oui mais non ...

  Posté par Guillaume Knispel () le 25/07/2005 à 16:49. (lien). Évalué à 10.

  Pcq'il est libre et donc en rapport avec ce site et qu'on va ptet éviter de transformer LinuxFR en un CERT en publiant toutes les failles des logiciels proprio ?

  • [^]Re: Ahh oui mais non ...

    Posté par Maillequeule () le 25/07/2005 à 18:31. (lien). Évalué à 1.

    J'en prends quelques un au pif pour ceusses qui ne comprennent que moyennement l'ironie (publiées aujourd'hui, et concernant des versions diverses).
    -Netpbm
    - Fetchmail
    - ps2text
    - Hobbit monitor
    
    C'est vrai que c'est que du propriétaire tout ca ... comme plus de 70% des alertes lancées chaque jour ... :)
    
    Il faut arreter de penser que failles=propriétaire, ca fera moins de machines plombées chaque jour sur le net qui n'utilisent que du libre ...
    
    Et on en revient au message que je voulais faire passer puisque nous sommes d'accord sur ce point : ca n'est pas le CERT ici.
    
    M

    • [^]Re: Ahh oui mais non ...

      Posté par Matthieu MARC () le 26/07/2005 à 06:23. (lien). Évalué à 4.

      Je suis d'accord avec toi, il y a beaucoup de failles dans des produits OpenSource.
      Maintenant à dire que le libre est faillible que le propriétaire n'est pas forcément une bonne conclusion car il faut aussi réfléchir au taux de logiciels vérifiés, et comment les vérifications sont faites. Parce que tu peux très bien avoir 70% d'alertes pour des LL, et en même temps avoir vérifié 90% des LL et 10% des logiciels propriétaires.
      
      Est-ce que tous les logiciels propriétaires ou shareware sont tous vérifiés ? Est-ce que toutes les failles trouvées sont du mêmes acabi ? parce qu'une faille locale sur un serveur sans utilisateur n'est pas très grave, par contre n'avoir que des failles distantes est plus grave.
      
      Enfin bon, pour dire que 1 chiffre ne suffit pas à tirer des conclusions.

    • [^]Re: Ahh oui mais non ...

      Posté par Guillaume Knispel () le 26/07/2005 à 16:36. (lien). Évalué à 3.

      C'est absolument pas ce que je voulais dire.
      Un antivirus est plus sensible aux failles qu'il contient que ps2text par exemple, en parler en priorité est donc logique. Et les gens qui administrent du fetchmail sont certainement deja au courant qu'ils doivent patcher / updater / whatever (ou alors qu'ils changent de métier). Bref a mon avis ca mérite bien un journal, autant que si on découvrait une faille exploitable directement par TCP/IP dans un noyau (bon en fait legerement moins mais l'info merite detre relayé quand meme :) ).
      
      Bref ce que je voulais dire c'est que une annonce de faille sur un antivirus libre succeptible d'interresser des particuliers a peut être sa place sur LFR. En fait en parlant de logiciel proprio je ne pensait qu'aux antivirus proprio pour être franc, j'ai mal tourné ma phrase.
      
      C'est vrai que c'est que du propriétaire tout ca ... comme plus de 70% des alertes lancées chaque jour ... :)
      
      Et ?
      Si demain l'Autorité de Sureté Nucléaire arrete de publier les incidents et les comptes rendus de visite, ca veut dire que tout sera devenu parfait ?
      Ce petit parrallèle pour dire qu'en matière de sécu la transparence est bien évidemment necessaire et que le LL favorise la transparence, donc c'est normal qu'il y ait plus de publication de corrections avec du LL. Si demain je deviens dieu et que je me met a compter TOUTES les failles de tous les logiciels et que je fais le rapport de la densité des failles dans du LL sur la densité des failles dans le proprio, je ne serais pas trop surpris si ca tendais vers 1 de toute facon (quoiqu'avec tous les sharewares psychedelique et toutes les appli métiers codées sans passion, j'ai un doute mais devinez en faveur de qui il est ;)
      Compter betement le nombre d'alertes est tout aussi inutile que de compter le nombre de ligne d'un programme ou le nombre de connexions simultanées que supporte des serveurs webs sur une meme machine et d'en déduire quoique ce soit avec cette seule métrique.