pasBill pasGates a écrit 16062 commentaires

Bonne question, mais avec cette question vient aussi la question : a cette epoque, est-ce qu'il y avait un concurrent potentiel a Windows ?

Parce que Solaris en tant que desktop c'etait et c'est toujours hors de question, Linux etait inutilisable comme desktop d'entreprise il y a 10-15 ans, MacOS n'a jamais ete reellement viable comme solution globale d'entreprise(peut-etre aujourd'hui ?), OS/2 existait il encore a l'epoque ?

Ils ont argumenté qu'aucun d'eux ne fournissait des produits ou des services dans le marché pertinent, en l'occurrence sur des produits Microsoft, tels que recherchés par l'OFCL. Les juges considèrent ainsi que d'acquérir des extensions, du support ou de nouveaux logiciels Microsoft équivaut à un choix de technologie.

Ca me parait pourtant evident.

Passer de Linux a Windows ou vice-versa revient a changer tout le systeme informatique, devoir former le personnel sur un systeme entierement different, ... Il y a non seulement un cout, mais un impact certain sur le travail de l'administration pendant la migration.

C'est evidemment un choix technologique, les implications sont beaucoup plus grandes que choisir entre une imprimante HP et une imprimante Xerox

Les risques d'effets de bord sont au contraire tres petits : il leur suffit de valider la signature sur les binaires de l'OS (quelque versions differentes) et sur un ensemble d'applications representatif en plus de la vuln. elle meme.

Ca prend quelque heures a tout casser.

Il était temps. Windows est dispo sur cette archi depuis XP, et ce n'est que maintenant qu'il commence à être utilisé sur des machines 64 bits ?

Ca fait longtemps, la difference est qu'ajourd'hui la majorite est 64bits.

Parce qu'au contraire, depuis que je bosse dans l'info (2006), dès que je vois une machine Linux avec un proc 64 bits, l'OS est 64 bits. D'ailleurs, tu achètes un serveur sous Linux, il est en 64 bits.

Sur les serveurs oui car le matos a gerer est limite.
Sur le desktop par contre, c'est une autre histoire, au hasard tous les matos ou le support est assure par ndiswrapper, si par malheur le driver Windows est base sur NDIS6 ce qui est de plus en plus souvent le cas, pas de bol, marchera pas.

En même temps il a donné un ordre de grandeur de deux jours pour distribuer le patch, ce qui laisse un peu de temps comme il dit pour envoyer le patch à une foultitude de beta-testeurs. Si après correction des régressions beta-testées Mme Michu a un problème c'est sans doutes qu'elle a une configuration vraiment particulière.

Tu rigoles ? 2 jours c'est _rien du tout_

Ca donne tout juste le temps aux beta-testeurs d'installer la chose et essayer 2-3 trucs, et inutile de dire que l'enorme majorite de ces beta-testeurs n'a absolument aucune idee de comment tester un patch.

Tiens pour exemple, tous nos composants serveurs doivent tenir de maniere propre (pas de mem leak, # de requetes rejetees raisonnable, evidemment pas de crash,...) au moins 2 semaines en etant totalement bombardes de requetes non-stop. Il y a evidemment aussi les tests de performance (les perfs ne baissent pas de maniere significative a cause du patch)... Tu m'expliques comment tester un truc comme cela en 2 jours ? Impossible. Pour les composants "desktop" genre librairies, faut verifier qu'on a pas casse la compatibilite avec les milliers de softs utilisant ces librairies, on teste evidemment pas tous les softs de la planete, mais plusieurs centaines, et de maniere ciblee, pas juste en lancant le soft, etc...

C'est marrant, mais il me semble bien (des souvenirs précis de formations sécurité) que la meilleure façon de trouver une nouvelle faille, c'est justement d'étudier le patch qui est censé en corriger une autre. En effet, le patch est généralement fait assez vite, et n'a pas tous les critères de qualité du développement traditionnel, donc pour une faille connue corrigée, il en introduit quelques-unes inconnues.

Chez Linux totalement, parce qu'en 2 jours c'est impossible. Chez nous pas du tout, parce que ce boulot (trouver les variantes avant de sortir le patch) c'est exactement ce quoi je suis paye pour ainsi que plusieurs collegues, c'est mon boulot a plein temps. Et crois-moi ca prend plus d'une semaine pour faire un boulot correct dans la plupart des cas.

Tiens c'est amusant, de mon côté j'avais entendu dire plusieurs fois que Linux était devenu l'OS qui reconnaissait et supportait le plus de matériel de toute l'histoire. Qui se souvient par exemples de ces nombreuses imprimantes qui marchaient avec windows XP et windows XP SP1 et plus avec le SP2 ? Combien de scanners, imprimantes multifonctions, chip wifi etc. ont été laissés sur le carreau de windows XP à windows 7 par exemple ?

Oh mais c'est pas la question, pour la reconnaissance des scanners de l'an mille, je suis 100% sur que Linux fait un meilleur job.
Pour la reconnaissance et l'utilisation a 100% du materiel qui est en magasin aujourd'hui par contre, c'est clairement pas le cas.

Et si plutôt que de se restreindre à une approche purement économique, tu considérais aussi l'utilisation de Linux hors marché ? si toutes les distributions sont libres, nombreuses sont gratuites et beaucoup de boîtes utilisent des serveurs Linux en faisant une maintenance en interne et en se reposant uniquement sur le support gratuit (mises à jour de sécurité) gratuites

Et toi tu as considere les nombreuses entreprises qui achetent des machines serveur sans OS car elles ont un contrat avec MS ? C'est pourtant le cas de la plupart des grosses et de beaucoup de moyennes entreprises.

Tu veux donc dire que Debian, ArchLinux et les autres ne testent pas leurs patches correctement ? Comment le sais-tu ?

Quand un patch sort en quelque jour c'est plus qu'evident, il n'y a tout simplement pas assez de temps pour faire un boulot correct.

Mais de toute façon, c'est pas la peine de venir défendre Microsoft, Windows est un logiciel de merde parce qu'il n'est pas libre, c'est aussi simple que cela. Tant qu'il ne sera pas libre, il aura tous les tords !

Tout a fait, c'est ton libre avis.

Maintenant, visiblement l'enorme majorite de la planete ne le partage pas.

Celui de l'array tout a fait, le 1er pas du tout.

Tu vas trouver ca dingue, mais je cotoie plein de gens qui ne sont pas informaticiens.

Les utilisateurs, effectivement si on ne leur dit rien, ils vont mettre des mots passe bidons genre le nom de leur chien, copain/copine, date de naissance et autre, ceux qui veulent faire un effort ils vont prendre un mot de passe un peu complexe... et l'ecrire quelque part.

Mais une fois que tu leur a explique et montre la technique, ca devient vite different car c'est simple a memoriser et suffisament complexe(meme si loin d'etre parfait).

Ben non justement, pas date de naissance a l'envers.

Tu noteras que les exemples que j'ai donne ne sont connectes en rien a l'utilisateur, ils sont simplement faciles a memoriser.

abcd1234 est bien trop basique (suite --> facile), des melanges de mots et chiffres avec majuscule ici ou la et autres caracteres (_ ! etc...) par contre, ca devient tout de suite autre chose.

Oh non ca n'a absolument rien a voir.

Tu lances yum, il se met a copier des fichiers, tu coupes au milieu.

Apres le reboot, ton disque aura la moitie des fichiers copie et pas l'autre moitie, yum le saura mais le systeme apres reboot ne sera pas dans le meme etant qu'avant l'install, et c'est normal car le FS par defaut sur toutes les distribs n'a pas de concept de transaction.

Ce que fait yum c'est pas une transaction ca, dans le cas de Vista/Win7, au reboot, le machine est comme si tu n'avais pas lance l'installation du package.

La grosse difference etant que les serveurs web c'est pas 100% du marche, il y a les serveurs de base de donnees, les serveurs de fichiers, les serveurs RAS, etc...

1) Un anti-virus c'est pas un OS, la seule chose qu'ils ont a faire c'est ajouter une signature, rien a voir avec le test d'un OS

2a) Ben c'est simple: l'enorme majorite des pekins moyens ont un anti-virus et sont proteges sans le savoir, ceux qui n'en ont pas d'habitude savent ce qu'ils font, et eux savent ou trouver le FixIt. Maintenant le monde n'est pas parfait et il y aura toujours une petite minorite qui est entre les deux, mais entre sortir un patch qui risque de foutre la merde chez des millions de gens et quelque milliers de gens, le choix est tres vite fait hein.

2b) Non on dit meme clairement quel est l'effet de bord, c'est tout l'avantage, les gens savent exactement ce qui va se produire, contrairement a un patch non-teste

3) Euh.... non ca va

Moi je trouves ca tres stupide au contraire.

Ce que je preconise si vraiment necessaire, c'est d'ecrire sur un bout de papier quelque chose qui aidera l'utilisateur a se rappeler le mot de passe, mais pas le mot de passe lui-meme.

Sinon, il y a toujours les trucs genre choisir un mot de passe simple mais difficile a cracker :

One_Day2Hot
PoolArray[2046]
etc...

Marche serveur, en nombre d'unites

cf. http://en.wikipedia.org/wiki/Usage_share_of_operating_system(...)

c'est surtout grâce à ceux qui se battent jusqu'au bout que vous pouvez avoir du libre aujourd'hui. Si au tout début les gens ne s'étaient pas montré intraitables, vous n'auriez rien du tout.

Non, c'est surtout grace a Linus Torvalds qu'on parle du libre aujourd'hui, et lui il s'en fout pas mal du cote integriste du libre.

Enfin merci pour ton cours de math, la maternelle et les patates sont bien loin derrière moi. Ton raisonnement ne vaut que dans un ensemble fini ET parcourable en entier. Par exemple imaginons que tu ais un ipod (oups un baladeur) avec 957 852 mp3, si tu ne peux pas écouter 25 titres car le codec es pourri, penses-tu que cela à une incidence _réelle_ sur ton utilisation de tous les jours, te sens tu lésés en ce sens que tu peux écouter moins de musique ? sérieusement ?

Sachant que Javascript est present sur une nombre effarant de sites, ta comparaison en vaut pas un clou

Ben non vu qu'il y a 2 methodes pour resoudre le probleme : l'anti-virus, et la solution FixIt de MS.

On voit bien que vous gérez ça très bien, y a qu'à voir les finitions d'installation de màj (quand on arrête le PC) qui en plus de prendre 3 plombes sont considérées comme installées au reboot après une coupure.

On gere ca certainement bien mieux que Linux oui, c'et garanti a 100% vu que les package managers sous Linux n'utilisent pas de systeme a base de transaction

Qui a parler de le tester en 2 jours ?

Un patch, ça s'écrit, ça se distribue, des gens le test, s'il apporte une régression des gens corrigent, re-testent etc…

Ah oui c'est super comme methode, et Mme Michu, le jour ou elle installe un patch qui a un probleme elle fait quoi exactement ? Ben oui elle est dans une merde noire, sinon ben elle fait quoi ? Elle attend que le patch soit stable, ce qui revient a ce qu'on fait.

L'avantage de la solution libre c'est que le mec qui a une distro qui met le patch à dispo il est protégé.

Ben oui c'est evident, sa machine plante, c'est sur que personne ne va aller la hacker pendant ce temps !

Ben oui, vous verifiez tellement qu'on voit jamais : « la mise à jour de sécurité XX apporte une nouvelle faille ».

Non quasiment jamais, a toi de me prouver le contraire. J'attends.

Tiens d'ailleurs, c'est HS mais ça me fait penser, le kernel Linux est installable sur plus de matériel que les distribution Windows.

Super, ensuite on ira regarder le support de ces materiels sous Linux et on rigolera tres fort.
Dans le meme temps je passerai sur le fait que la majorite des machines vendues avec Win7 le sont avec la version 64bit de l'OS, le jour ou Linux 64bit sera autre chose qu'anectodique par contre tu me fais signe.

Ben oui, c'est pas comme nous, on a pas de GROS serveur en prod un peu partout. C'est vrai que l'utilisation de windows sur serveur est très très grande comparré aux OS Libre.

Ben oui, vu qu'on a 73% du marche et Linux 21%, dont la plupart sont Redhat et Novell, des societes qui testent leurs patchs correctement

Ben ça… C'est sûr que GNU/Linux en entreprise ça existe pas. Même pas 1% je dirai…

Du Redhat et du Novell beaucoup, le reste pas trop non.

Sûr ! Ton OS n'est pas un gadget le notre si. D'ailleurs c'est tellement un gadget que vous commencez à sentir vos fesses se serrer dans le domaine de l'embarqué/téléphone.

Sur le telephone c'est sur, mais iOS c'est pas base sur Linux, et Android au final n'a pas grand-chose a voir avec Linux, donc c'est pas vraiment a cause de ton OS cheri.

Moi un OS qui me demande un anti-virus pour être protégé et qui se dit : « on attend avant de publier un patch, les AV gère déjà » ça me fait peur.

T'as rate l'option b) hein ?

Ben oui, forcément, on sait pas ça nous, qu'est-ce qu'on est con…

Visiblement oui, parce qu'un patch ca ne s'ecrit/teste/release pas en 2 jours de maniere correcte.

J'suis utilisateur de Arch en desktop (sur [testing]) et server@home (sur [core] à jour), les rare problème que j'ai eu c'est sur le desktop avec des truc genre : « XX (programme installé à la main) ne trouve pas libmachin.so.xx » (corriger en recompilant XX avec la bonne lib).

C'est super, tu m'as toujours pas explique comment on teste un patch correctement en 2 jours.
Tu sais : verifier que rien ne casse, que la localisation marche correctement, qu'il n'y a pas de probleme de perf, que le patch s'installe correctement sur un tas de configs differentes, qu'en cas d'interruption de courant lors de l'installation ta machine ne part pas dans les choux, etc... Tout ca sur toutes les plateformes necessaires : x64/x86 XP/Vista/Win7/WS08/...

Ben oui, ici on fait du developpement de softs utilises en masse et dont les enterprises dependent pour tourner, on ecrit pas des gadgets utilises par 3 pekins. Ca demander legerement plus d'attention que Arch

Si seulement ce qu'ils racontaient etait vrai.

La vulnerabilite n'a _absolument rien_ a voir avec le centre de securite. C'est le Help & Support center (aucune idee de la traduction dans la version francaise) qui contient le probleme.

Et bien que connue depuis le 10 juin, toujours pas de patch.

a) Tous les anti-virus existants protegent contre cette attaque
b) Il y a un workaround ici : http://support.microsoft.com/kb/2219475 qui bloque la vulnerabilite

Bref, il faut corriger la vulnerabilite, mais c'est pas urgent au point de sortir un patch sans le tester. Ca peut paraitre dingue, mais ici on teste nos patchs avant de les envoyer a quelque centaines de millions de gens, et tester un patch correctement ca prend du temps.

Pour l'acces externe et verifier qui peut s'y connecter, il y a un truc genial nomme IPSEC qui est fait pour. Les guignols qui veulent essayer de hacker ton systeme n'arriveront meme pas a se connecter au port utilise avec ca.

Pour limiter l'acces dans l'arborescence, il y a un autre truc genial nomme ACL qui est fait pour

Voila, solution simple et efficace. Suffisait de savoir comment faire.

Tout a fait, le truc etant qu'on en a moins que les autres, ce qui prouve qu'on est pas des nazes (du moins compare aux 2 autres)

En attendant, il n'y a rien du tout. Certes, Google décide tout seul, mais pour combler un manque bien réel. Alors, autant se baser sur cette extension pour l'ajouter au standard, là où Google n'aura plus la main mise dessus et tout le monde pourra l'implémenter.

Ah ben voila, donc tu n'auras aucun probleme lorsque MS se mettra a faire de meme et rajouter des extensions a droite a gauche que seul IE saura lire alors ?

Mais la différence avec ici, c'est que plusieurs implémentations existaient déjà pour une extension donné, et qu'ils sont arrivés avec leur truc fait dans leur coin sans en discuter avec personne.

Mouhahaha quel humour !

Ils sont venus avec leur truc oui, ce truc s'appelle les formules Excel, tu sais le truc qui existait bien avant Ooo et ODF. Ils n'ont rien invente, ils ont repris ce qu'ils avaient deja depuis longtemps.

Quand aux autres implementations, sachant qu'elles sont incompatibles entre elles(etre 90% compatible ca veut dire etre incompatible quand il s'agit de pouvoir faire un calcul), elles ne valent pas un kopek de plus que l'implementation de MS.

Ce n'est pas standard : ce n'est pas decrit dans la spec, Google a decide tout seul comment cela marcherait, Google peut changer cela a tout moment, il n'y a aucun document officiel decrivant comment cela _doit_ marcher et quiconque peut faire ce qu'il veut plutot que copier Google (ben oui, c'est pas dans la definition officielle d'HTML5 donc tu peux implementer cela de 432 facons differentes, tu ne violeras jamais HTML5), ...

Si tu veux plus de raisons, va jeter un oeil aux nombreuses critiques sur MS qui utilisent les mots "embrace and extend".

Si google veut pouvoir aller par l'url à la minute 1.25 dans une video, même pas besoin de norme, il peut le coder dans chrome, chromium, il peut même le coder dans ff si il trouve que c'est important et non prévu. Le soucis qui se posera sera avec safari et ie, opera .... ceux qui ne sont pas libre. Alors le message revient à cracher sur FF que bouu ils implémentent pas h264 bouuuu. Ils sont libre de ne pas implémenter non ?

C'est marrant, tu suggeres que Google et FF implementent des extensions non conformes au standard ?

Je me souviens pourtant d'une epoque ou c'etait proprement scandaleux qu'IE fasse cela...

faut voir si c’est une façade ou si ça peut peser : genre pour les contrats commerciaux, les investissements, etc.

Ben c'est vite vu, si l'economie US tient encore debout, c'est grace a l'argent chinois, devines qui est le plus gros detenteur de bons du tresor US.

Je te laisse deviner si les USA ont envie de creer des problemes aux chinois sachant que les chinois les tiennent par les couilles.

Comme tu l'as dit : ils n'apprecient pas.

Et comme resultat, c'est pas la Chine qui a modifie son comportement, mais la France apres s'etre fait retourner le bras.