pasBill pasGates a écrit 16060 commentaires

C'est drole comme tu ne cites que ce que tu veux lire, je reprends mon poste, et il dit :

MS domine le marche grand public et entreprise

Tu as rate le mot entreprise ?

Ben oui c'est evident, c'est la faute des admins.

Les seuls admins competents, c'est ceux qui passent a Linux, les autres c'est des guignols ou des branleurs evidemment !

Et si je te disais que c'est l'inverse ? Que les admins Linux sont des branleurs qui refusent de passer a Windows car ils ont leur belle certif Redhat/Novell, que ca fait 10 ans qu'ils n'ont connu que du Linux et n'ont pas pris la peine d'aller voir ailleurs car trop complique ou trop different, faut reapprendre.

Ah ben oui hein, ca marche aussi et ca sonne tout aussi bien, et c'est tout aussi arrogant et meprisant.

Faut voir que le code de WS03 et XP est en bonne partie partage, que WS08 et Vista c'est en gros la meme chose niveau code, et idem pour WS08 R2 et Windows 7.

Ensuite, le travail n'est evidemment plus le meme entre XP et Windows 7 par exemple. XP ca fait tellement longtemps qu'il est dehors que la plupart des problemes on ete resolus d'une maniere ou d'une autre, le boulot principal reste les patchs de securite.

Pour le testing, oui ca peut sembler dingue qu'on se debrouille avec si peu de gens, mais c'est aussi parce qu'on a une approche qui est totalement a l'oppose de l'industrie du soft en general : Ici on n'a quasiment pas de testeurs !
On a un tas de developpeurs de tests dont le boulot est d'ecrire les tests et les automatiser autant que possible, resultat on a tres peu de testeurs, mais on a un paquet de machines(des milliers) qui testent.
Bref, si tu veux rejoindre l'equipe de test ici, t'es sense comprendre comment un OS fonctionne de l'interieur, savoir debugger des problemes compliques et etre capable d'ecrire du code C/C++ solide. C'est en gros les qualifications d'un developpeur n'importe ou ailleurs, et c'est normal parce que les problemes a resoudre dans le domaine du testing sont parfois sacrement plus compliques que dans le produit lui-meme.

Ca doit etre ca, les admins de l'etat et des grosses societes ne sont pas au courant que Linux et Mac OS X existent et ils ne savent pas non plus qu'ils peuvent acheter des PCs sans OS chez Dell, HP, IBM, ...

Sont cons ces admins quand meme, moi je me dis qu'un ou deux gars de linuxfr pourraient tous les remplacer facilement, pour 1/100eme du prix.

Note que j'ai dit plus de 300, car j'ai probablement pas le droit de donner le chiffre exact, mais c'est certainement pas 3000, je parlais de maintenance uniquement hein, pas du developpement des nouvelles version.

3000 c'est enorme. Les tests ca peut s'automatiser quand meme, chez nous la plus grosse partie du boulot c'est le deboggage et le developpement de nouveaux tests, creer le fix vient apres, et faire tourner les tests ca demande surtout des machines, pas des mains(quoi qu'il en faut quand meme car tout ne peut pas etre automatise).

Quand je pense que pour le 10e du budget Microsoft de l'état [1] on doit pouvoir reprendre Mandriva... aucun politique ne propose de virer purement et simplement Microsoft de la fonction publique ?
Quelques développeurs à temps plein coûteront beaucoup moins cher que les dizaines (centaines ?) de millier de licences que doit posséder l'Etat.


Ben oui c'est connu, a l'etat c'est tous des branles qui n'ont rien compris, heureusement sur linuxfr on a des genies qui eux savent parfaitement qu'on peut faire la meme chose que MS voire mieux a 1/10eme du cout...

Le probleme, c'est que ces genies ils n'ont absolument aucune idee du boulot que ca demande de maintenir un OS utilise en masse(patchs de fonctionnalite, patchs de securite, support 24h/24, ...), de repondre aux besoins de gros clients niveau features et compatibilite tout en gardant le systeme utilisable pour tous(parce que sinon les autres hurlent, ou il faut forker et ca double quasiment les couts), ...

Les genies ils croient qu'on developpe et maintient un OS comme on developpe et maintient un petit outil de 10'000 lignes de code et qu'on peut changer 100 lignes de code sans y reflechir a deux fois. Ils ne se demandent jamais pourquoi MS a plus de 300 ingenieurs qui ne s'occupent que de la maintenance de l'OS et rien d'autre(support, developpement de nouvelles features, autres applications genre Office,...), ils croient que c'est simplement parce que MS est nul et qu'ils ont du fric a jeter.

Ces memes genies vont continuer a se demander pendant des annees pourquoi MS domine le marche grand public et entreprise et ne vont jamais trouver la reponse.

Allez-y, enfoncez vous la tete dans le sable et moinssez ce post a -10, ca vous fera du bien, ou sinon, remettez vous un peu en question et dites vous que les gens qui ne prennent pas les decisions que vous voulez ne sont pas forcement stupides ou vendus.

C'est quoi innovation ?

C'est avoir cree la chose de zero ?

Dans ce cas, a peu pres personne n'innove. Si innover c'est prendre quelque chose d'existant et lui apporter des amelioratiosn substantielles, ca change les choses par contre, et c'est plus realiste.

Apple, quoi qu'on en dise, est tres fort pour creer des produits agreables a l'utilisation, d'un point de vue interface, ils innovent certainement. Ils prennent peut-etre des concepts qui existaient avant, mais ils les ameliorent, les rendent utilisable dans le monde reel, et les rendents agreable a l'utilisation.

Si vous pensez que c'est simple, et facile, je vous proposes de vous demander pourquoi Apple est seul a arriver a faire ce genre de choses constamment, car non, le marketing n'explique pas tout loin de la.

Trouver la faille n'est pas forcement plus simple avec le code, parce qu'il faut comprendre le code pour vraiment pouvoir l'analyser, et bonne chance pour comprendre le code d'un truc de la taille de IE ou Firefox par exemple, si tu ne bosses pas dessus tous les jours, aucune chance.

Par contre une fois que la faille a ete trouvee (genre tu te retrouves avec un crash apres quelques minutes/heures/jours de fuzzing), avoir le code aide a tourner cela en quelque chose d'exploitable plus facilement

FUD

C'est pas du FUD c'est la realite. Fedora est une distrib qui n'a certainement pas la finition d'une distrib grand public, et c'est normal, ca n'a jamais ete vraiment le but.

Il y a 3 mois, j'ai aidé un gars sur un déploiement de Fedora 12 sur 1200 postes de travail pour un marché public. Le plus ancien que j'ai en tête, c'est 3000 postes de travail sous Fedora 7 au Mozambique au ministères des finances. Et je ne mentionne pas OLPC qui a dépassé 1/1.5 millions de machines et dont l'OS est édité par Fedora.

Mais evidemment que tu vas trouver des cas ou c'est utilise, je peux te trouver une boite qui utilisent des Amiga encore aujourd'hui si tu veux. Mais faut etre realiste, il n'y a pas de support d'entreprise pour Fedora, leur politique de maintenance ne correspond pas a ce marche, etc... resulat quasiment personne n'utilise Fedora en entreprise.

Pour te donner une idée, on recense près de 2 millions de machines distinctes sur smolts.org (par défaut, smolt est désactivé). D'après le popcon d'ubuntu, libacl1 a été installé 1601017 fois (c'est le paquet le plus installé).

Super, et smolts.org te dit aussi que sur les 90 derniers jours il y a eu 200'000 machines repondant uniquement...

Si on voulait des stats précises et tirer des conclusions, faudrait que Canonical nous file les sources et la méthodologie d'estimations. Pour fp.o, elles sont librement disponibles (notamment pour le lobbying, ça permet de présenter des données fiables aux industriels et aux officiels).
La seule chose que l'on puisse conclure c'est que Fedora n'est pas partie négligeable par rapport à Ubuntu au niveau mondial.

Tout depend de qui on parle, sur le marche "geek" je veux bien imaginer que Fedora passe bien, sur le marche desktop d'entreprise par contre c'est clair et net qu'ils sont loin derriere Novell, Redhat et Ubuntu, et sur le grand public il sont clairement loin derriere Ubuntu aussi.

Ça ne compatibilise que les failles rendues publiques, ça ne tient pas compte de la gravité de la faille et pire encore du délai pour corriger la faille. Là, ce serait nettement moins avantageux pour IE.

Pour le delai oui, pour le reste pas vraiment non, tout l'avantage d'avoir un protected mode(sur Vista+).

Tu admets que sans la présence de NX, l'ASLR n'est pas activable dans Windows et que ce n'est pas disponible pour tout les processus y compris ceux du système

Non tu n'as rien compris. ASLR fonctionne, les librairies sont chargees au hasard a un endroit au hasard, NX bit ou pas. Mais si NX n'est pas la, alors tu as beau avoir ASLR, ca n'y changera rien car il y aura alors un autre moyen d'excuter du code, et c'est vrai que ce soit Windows, PaX ou Exec-Shield.

J'utilise une distribution avec ASLR depuis plus de 6 ans, RHEL le propose depuis au moins 3 ans. Debian fournit les patch exec-shield, GrSecurity et PaX via des paquets pour leur kernel (en même temps, Debian un spectre très large). Là, où je te rejoins, c'est que beaucoup de distributions ont une attitude trop laxiste vis à vis de la sécurité.

Ben au final ce qui compte c'est l'utilisateur final non ? Et l'utilisateur final il utilise quoi ? RHEL, Ubuntu, Suse principalement(voir Debian ?), bref, c'est a ces distribs qu'il faut comparer.

T'es ridicule, ne fais pas celui qui comprends pas.
C'était bien évidemment, version disponible au public par opposition aux alphas, bétas et autres bestioles de cet acabit.

Super, public, ca sert a quoi si le distrib est dans un etat tel qu'elle est inutilsiable par le pekin moyen ?

Du point de vue de Red Hat peut-être (et encore une minorité au sein de Red Hat), mais Fedora repose sur un partenariat avec la communauté (qui représente quoi ? 3/4 des contributeurs et qui de fait dirige la distribution). Depuis près de 3 ans, Fedora s'est émancipé du contrôle de Red Hat pour devenir une distribution communautaire de plein droit.

Mais je dis pas le contraire, mais faut etre realiste. Fedora niveau qualite et stabilite, c'est pas une distrib pour l'utilisateur final. Personne ne deploie Fedora comme desktop en entreprise, quasiment personne n'a Fedora a la maison(hein, qui a dit Ubuntu ?).

les mots clés sont non-MS, tu disais que Microsoft avait une longueur d'avance niveau sécurité et là, tu nous sort que vos partenaires vous ont précédés.

Ben en 2000/2001 oui c'est clair, on avait plutot une longueur de retard a l'epoque.

L'implémentation de Microsoft requiert le bit NX, je ne l'ai pas inventé. Après, est-ce que effectivement, ça fonctionne sans, peut-être, mais c'est un pré-requis pour l'activer.
http://www.eweek.com/c/a/Security/Windows-Vista-Randomizatio(...)

Non c'est pas necessaire, ca ameliore les choses mais c'est pas necessaire. Et c'est la meme chose avec PaX, NX n'est pas necessaire mais ameliore les choses. Quand a NX hardware ou pas, faut pas se leurrer, leur emulation NX est invivable pour une utilisation normale : soit tu perds la moitie de ton espace d'addressage, soit tu te prends une perte de perf assez importante.

Je veux bien reconnaitre que Flash, Adobe sont des nids à merde, je serais moins catégorique entre Java et .Net (pourtant, en tant que développeur, je préfère Mono à Java).
Par contre, affirmer que Firefox est pire qu'IE est risible à souhait

Les chiffres parlent d'eux-memes et son publiques : IE a bcp moins de failles que Firefox, idem pour .Net face a Java

Tu souffres de malcomprenance ou tu fais exprès ?

Non, je connais les details d'implementation d'ASLR, c'est tout.

PaX est plus mature mais également plus complexe qu'exec-shield et ne fait que l'ASLR. Néanmoins, exec-shield est plus mature que l'ASLR microsoft et surtout activé pour tout les processus depuis 2003 alors que l'implémentation microsoft ne protége que certains processus.

Oui bien sur, c'est pas a force de repeter que c'est plus mature que cela le rendra vrai hein...
Moi je te suggeres d'aller lire http://lwn.net/Articles/328780/ pour te faire une idee d'ASLR dans le kernel Linux, parce que exec-shield et PaX c'est bien beau mais si la plupart des distribs ne les utilisent pas ca sert pas a grand-chose.

Je ne prétenderais pas en savoir plus que toi à ce sujet mais j'en sais suffisamment pour voir que tes arguments ne tiennent pas debout. Soit tu es de très mauvaise foi, soit tu es payé pour venir dénigrer les logiciels libres.

Ben visiblement non, tu n'en sais pas suffisament, car visiblement l'etat d'ASLR dans le kernel mainline, il etait pas folichon en 2009 (j'ai pas regarde si ils avaient corrige les problemes depuis)

Je parlais des fuzzers, au niveau des fuzzers on est pas commercial car on ne les vend pas, on les garde pour nous.

Il y a des fuzzers commerciaux (Codenomicon, beStorm, ...) qui sont decents et il y a un framework de fuzzing open-source decent (Peach), mais il n'y a aucun fuzzer open-source qui sont proche de ce qu'on a, et de loin.

Fear, Uncertainty and Doubt, tout les ingrédients sont présents.
La réalité c'est que fin 2003, Fedora Core 1 proposait déjà exec-shield (tu doutes qu'on a pas commencé à coder ça 2 jours avant la sortie), Microsoft ne l'a proposé dans une version publique qu'à partir de 2007

Parce que Fedora Core c'est une version publique maintenant ?
Non, Fedora ca n'a jamais ete concu pour le grand publique, juste comme une beta de RHEL

Ce qu'on fait en interne, ca n'a pas grand-chose a voir avec les beta. Ce que tu vois de IE9 preview release, ca n'a pas grand-chose a voir avec ce qu'il y a en interne. La difference c'est qu'on integre pas les features des qu'elles sont codee dans l'OS, elles "cuisent" un bon moment dans leur propre arbre. Frequemment elles sont meme dans l'OS, mais bloquees.

Le probleme n'est pas qui etait premier, parce qu'a ce jeu la ni Linux ni Windows ne gagnent.

Ce que t'oublie de dire dans ton FUD, c'est que la première implémentation de l'ALSR s'appelle PaX qui date de 2001. Quant à Microsoft, ils ne l'ont intégré qu'à partir de la béta 2 de Vista et c'était encore un "work-in-progress" à l'époque donc tu peux ranger tes conneries dans la boite à FUD

Ce que tu oublies de realiser c'est qu'avant Vista il y avait des methodes non-MS d'avoir ASLR sur Windows 2000 notamment.
Je ne les comptes pas car tout comme PaX elles n'etaient pas "dans l'OS"

Et en plus, ça nécessite le bit NX (qui n'est apparu qu'en 2003 avec les premiers AMD64)

Du grand n'importe quoi, ASLR n'a absolument pas besoin de NX, ca sert simplement a changer l'endroit ou sont chargees les librairies.

pitoyable, c'est pourtant ce qu'il dit.

Ben tu vas pouvoir me citer la phrase ou il le dit.

La réalité, c'est que sans les failles de sécurités sur pattes que vends ton employeur, beaucoup de ces experts en sécurité seraient au chômage. La réalité est qu'un poste de travail sous une distribution GNU/Linux est beaucoup plus robuste que son homologue sous Windows. Le nier serait malhonnête.

Vraiment ? C'est rigolo parce que niveau failles Firefox est de loin pire qu'IE, Java est bien pire que .Net, Flash et Acrobat j'en parles meme pas, etc...
Les failles dans Windows c'est une toute petite minorite dans le monde de la securite, vu que tu n'y connais foutrement rien tu crois que Windows est essentiel aux chercheurs en securite, alors que c'est absolument faux.

Les distribs Linux ne sont en rien plus robustes, elles sont juste moins attaquees car personne ne s'interesse a un OS qui ne represente que 1% du marche, tout le monde le sait, tu peux choisir de fermer les yeux si tu veux, chacun son truc.

La réalité c'est que l'ASLR est arrivé sur le tard dans Windows et est loin d'être aussi mature que PaX et exec-shield. Hein, c'est un gars de Microsoft qui le dit.
http://blogs.msdn.com/b/michael_howard/archive/2006/10/04/al(...)
Tes excuses sont toutes plus minables les unes que les autres.


Mature ? Haha, il dit simplement que l'entropie pour l'emplacement des libs est un peu moindre que PaX pour des raisons de perf et fragmentation de l'espace d'addressage, visiblement tu ne comprends meme pas ce que tu lis.
Et il ne parle que de PaX, pas de exec-shield qui lui a moins d'entropie que PaX lui aussi.

Bref, apprends en un peu sur le sujet avant de venir m'expliquer ce que c'est, juste un conseil

<iOuai et le gars qui fait du fuzzing, il ne va pas regarder les sources, c'est bien connue. C'est soit l'un soit l'autre pas les deux.

Moi je te propose d'eviter d'aborder un sujet que visiblement tu ne connais pas du tout....

La connaissance du code ne sert quasiment a rien, ce qui importe c'est la connaissance du format des donnees

Les faits sont là. Tous les jours, tous les admin sys ici présent peuvent en témoigner. La merde vient de machine Windows compromises dans son écrasante majorité et pourtant ce ne sont pas les tentatives qui manquent pour pirater d'autres OS.

Sans blague, 95% contre 1% , quelle surprise !

Depuis des annees et des annees, on est d'ailleurs largement en avance sur ce qui se fait dans le monde commercial, et a des annees lumiers du monde open source de ce point de vue.

Sachant que ce n'est absolument pas le cas vu que la plupart des failles sont trouvees par fuzzing et pas par code review, certainement pas.

Mais bon, continuez a vous enfouir la tete dans le sable hein, chacun son truc.

http://www.linuxfr.org/comments/1133442.html#1133442

Je veux bien croire que l'implémentation d'OS X soit plus faiblarde mais voilà, ça existait déjà et c'était déjà bien robuste sous GNU/Linux avant même que Microsoft n'ait commencé à écrire un bout de support de la randomisation.

Ca t'arrive de lire ce qui est ecrit avant de raconter des betises ?

Il y a les releases publiques, et il y a les versions qu'on a en interne. T'imagines bien qu'on a pas commence a coder ASLR le jour avant la beta 1.

Maintenant, je pourrais te donner la date, mais vu que tu n'auras pas le code de la version de l'epoque vu qu'elle n'etait pas publique, ca ne t'avancera pas a grand-chose.

Je veux bien croire que l'implémentation d'OS X soit plus faiblarde mais voilà, ça existait déjà et c'était déjà bien robuste sous GNU/Linux avant même que Microsoft n'ait commencé à écrire un bout de support de la randomisation.
Idem pour les segments de données non exécutables, c'est inclus dans exec-shield et OS X le propose dans la 10.5.

Mouhahaha, merci de ce grand moment de rigolade. Tu n'as absolument aucune idee de quand on s'est mis a ASLR, et tu serais sacrement surpris si tu savais, bref, evites de raconter n'importe quoi.

Idem pour les segments de données non exécutables, c'est inclus dans exec-shield et OS X le propose dans la 10.5.

Super, bienvenu dans le monde moderne

Le mec dit que certaines variantes seraient plus facile à attaquer, c'est sûr que si je prends la version x.y de la distribution tartampion avec la faille bidule dans le logiciel machin en version z.p mais corrigé dans z.p+1 disponible dans les mises à jours. Du pipeau, encore du pipeau, toujours du pipeau.

Ah oui la belle methode, tu lui fais dire ce qu'il n'a pas dit. Tu l'as vu parler de version z.p avec des failles patchees dans z.p+1 ? Non, tu trouves une explication qui t'arranges et c'est tout ce que tu fais, c'est pathetique comme methode

Ils mettent en avant que Windows n'inclut pas par défaut Flash et Java, mouarf, et ils oublient bien rapidement .Net qui n'a rien à envier à Java de ce point de vue.

Mais quel amas de conneries tu nous sors...

.Net Framework 3.x, sorti en debut 2007 : http://secunia.com/advisories/product/14766/?task=advisories
2 advisories pour 4 vuln.

Java JDK 1.6 (dec 2006) : http://secunia.com/advisories/product/14273/?task=advisories
12 advisories pour 141 vuln.

Flash 10.x (2008) : http://secunia.com/advisories/product/20166/
5 advisories, 25 vuln.

Merci de bien nous faire rire hein !

La réalité, c'est que Windows constitue pour la plupart le gagne-pain de ces pseudos-expert en sécurité et que ça leur ferait très mal au portefeuille que le public s'en détournent. Les failles de sécurité de Windows sont à elles seules la source d'une industrie florissante toute entière.

Mais oui bien sur. C'est quand meme fantastique que tu essaies de nous sortir qu'une flopee de pontes en securite soient tous corrompus et mentent quand ils ne disent pas ce que tu veux entendre.

Ca te ferait trop mal de reconnaitre qu'ils ont raison hein ? Mieux vaut chercher des excuses.

J'ai pas souvenir que XP SP2 (au passage le dernier Windows que j'ai du utilisé quotidiennement) le fasse. Tu dois probablement parler du machin qui te prévient avant d'installer du code *depuis* le net, avant c'était fait silencieusement.

Oh si c'etait que Franco...

Commences par http://esr.ibiblio.org/?p=281et promenes toi sur son blog, ca fait peur.

Je viens de te dire que c'etait faux, partant de la, ce n'est plus une hypothese.

Je suis d'accord sur le fait que l'utilisateur soit le maillon faible, mais Windows n'aide pas. Sous *nix, tu as différents mécanismes pour limiter les dégâts.
Pour les humains, ça passe par la formation du personnel et l'utilisation d'outils adaptés si nécessaire.

C'est drole, parce qu'a peu pres tous les experts en securite disent le contraire. Windows est la plateforme la plus sure d'un point de vue technique. (Si tu insistes je peux te sortir toute une liste de gens de Charlie Miller a Dan Kaminsky qui le disent)

OS X permet de mettre un fichier téléchargé en quarantaine, si tu cliques dessus, tu auras un message qui te préviendras que le fichier a été téléchargé etc ...

Oh super, ils ont pique la fonctionnalite a XP SP2

Je sais parfaitement ce qu'est Midori, je ne vois pas comment tu fais le saut entre Midori et le fait que MS va remplacer la lignee d'OS la plus celebre et vendue de la planete du jour au lendemain, des OS ont en a cree plusieurs en interne, aucun n'a encore remplace NT comme tu as pu le constater.

Le jour ou un OS remplacera NT, ca ne se fera pas du jour au lendemain, ca viendra par etape, car tu peux pas jeter quelque centaines de millions d'utilisateurs et des milliers d'editeurs comme ca.

Oh et en passant, la moitie de ce qui est ecrit sur cette page Wikipedia est faux (non, je n'irais pas dans les details).

Puisque 7 est, a priori, le dernier de la série NT tu peux considérer que Oui car l'architecture est voué à disparaitre

Euh oui, c'est Elizabeth Tessier qui t'a donne cette info hein ?

Et puisque la prochaine série de Windows est, il me semble, fortement inspiré du framework .net, quand ce seras le cas ils n'aurons qu'à intégrer Mono dans le noyau, ils ne seront plus à ça près ...

Ca aussi c'est Elizabeth Tessier qui te l'a dit hein ?

_o/ *PAF*

On ne dit pas Linux, mais Ubuntu/Linux

Manque un truc sur Debian et Microsoft quand meme pour vraiment etre complet.