pasBill pasGates a écrit 16280 commentaires

En voyant que les patchs sont separes, c'est pas un package de 200Mo, en voyant que chaque bulletin explique clairement les dependances/risques/....

Parce que faut etre un peu honnete aussi, quasiment aucun admin ne s'amuse a regarder le contenu du patch(code source), ils n'ont aucune idee des consequences du changement de code vu qu'ils ne connaissent pas le code.

Super \o/

Heureusement il n'y a que les proces pour abus de position dominante qui sont importants, ceux pour corruption ne comptent pas.

Ce qui n'a rien a voir avec le fait d'avoir un OS non-Windows, et tout a voir avec le fait d'utiliser un OS dont le nom ressemble a s'y meprendre avec Windows.

Bref, tu melanges tout.

Sinon, on peut toujours déposer une pêche par dessus…

J'imagines que ca ne se dit pas en France, mais evites de proposer de poser une peche sur un cake en Suisse, pas une bonne idee :+)

Tu t'auto-trolles je pense. Tu dis que Microsoft prend le temps de tester avant de sortir des updates. Or, tu sais très bien que le gros du business de Microsoft est l'OEM et ils n'auraient pas rencontré ces problèmes avant?

Justement non car cela depend des modeles. Les laptops AMD d'HP n'avaient pas de probleme par exemple car leur image etait bonne. Bref, fallait tomber sur le bon modele qui avait une image pourrie.

Et puis, si l'image était incorrecte, genre il manquait typiquement un module, non?

Non, HP avait specifie dans la base de registre qu'il fallait charger le driver de power management d'Intel, mais n'avait pas le driver sur le disque, donc sans SP pas de probleme.
Mais a l'installation du SP, l\installer en voyant cette entree a fait ce qu'il est sense faire : il a installe le driver.

On peut difficilement demander au service pack de faire autre chose que ce qu'il lui est dit de faire, il n'est pas sense deviner que HP lui ment et il n'est pas sense gerer l'infinie combinaison de configurations corrompues qu'il pourrait rencontrer, ca serait ingerable...

Si j'en crois les difficultes des developpeurs en general (libre/proprio/autres), c'est loin d'etre facile a eviter meme en ayant de la rigueur...

C'est effectivement cingle, ca a l'air d'etre un processus sacrement lourd pour generer ces patchs et j'ai du mal a imaginer que cela va tourner en qqe chose d'utilisable de maniere reguliere, mais on ne sait jamais...

Je trouve cet argumentation irrecevable. Il faut attendre que la faille soit ACTIVEMENT exploitée pour qu'elle soit patchée ? Il y a un vrai marché noir des exploits : un acheteur pourrait très bien demander l'exclusivité et l'utiliser pour des cibles précises. Bien sûr, la personne qui découvre la faille peut aussi choisir de ne pas la diffuser et l'exploiter pour sa pomme. Microsoft attend que suffisamment de sociétés soient impactées pour patcher ?

Non, mais tu veux pas non plus pousser les patchs dehors sans les tester, parce que les societes si elles voient regulierement des patchs qui foutent le bordel, elles se mettent a ne plus les installer (eh oui ca peut sembler dingue, mais bcp preferent stabilite a securite)

Pourquoi tu te focalises sur RedHat, tu as un dent contre eux ? Est-ce que RedHat entre en concurrence avec Microsoft, c'est pour ça qu'il faut absolument trouver les défauts de cet OS ?

Au contraire, je considere que Redhat est celui qui fait le meilleur boulot du cote "linux professionel", c'est pour cela que je les prends eux, compare a ce qui selon moi se fait de mieux de l'autre cote.

Un étudiant motivé a réussi à tenir 2 ans sans rebooter tout en patchant son noyau (84% des patchs appliqués à chaud sans modif, et les autres avec modif). Il semble qu'une boîte ait été fondée autour de ce service qui se vend maintenant (tout en restant GPL).

Mais je connais tres bien ksplice, le probleme c'est que personne ne s'amuse a creer un patch de securite qui ne contient que le code du patch en question.
Tu regardes chez Redhat, tu verras que leurs patchs, c'est un ensemble de correctifs, pas juste une ligne qui corrige un buffer overflow.
On a exactement la meme techno que ksplice dans Windows depuis 2003, on a vu les limitations.

Je ne comprend pas en quoi c'est plus simple. Disons pour l'exemple qu'Ubuntu propose une mise à jour par jour et que Windows en propose 30 par mois (ce qui donne aussi 1 par jour). Bah si tu prends 3 jours pour étudier (tester/valider) une màj Ubuntu, tu seras exposé durant 3 jours à une faille donnée. Si tu prends 2 jours pour étudier les 30 màj Windows, tu seras exposé à 30 failles durant 2 jours. Je pense donc que Windows est plus longtemps exposés aux failles. J'ai pris des nombres un peu au pif juste pour illustrer mon idée.

C'est parce que tu ne regardes que du point de vue securite.

Je t'expose le cote de l'enterprise :

Ubuntu sort en moyenne un patch par semaine (disons, chiffre au pif).
L'entreprise peut soit :
a) Attendre un mois et tester les 4 patchs Ubuntu en meme temps, mais se retrouver avec une fenetre d'exposition d'un mois pour le 1er patch, 3 semaines pour le 2eme, ...
b) Tester les patchs quand ils sortent, vu qu'il n'y a pas d'annonce, c'est branle bas de combat a chaque fois, et c'est 2 jours de perdus chaque semaine en moyenne

Tu compares la solution MS :
Les patchs sortent un jour precis chaque mois --> On sait quand on va faire nos tests, ca prend 3 jours, pas 4x2 jours, et on est expose que ces 3 jours d'habitude.
Si qqe chose de super critique se produit (faille en exploitation active), le patch sort des que possible, sans attendre la date mensuelle, c'est rare donc ca prend peu de temps additionel au final.

Faut comprendre que MS faisait comme les distrib Linux avant, si on a change c'est notamment parce qu'on nous l'a demande...

Si c'est celui du 11 decembre non vu que je suis pas abonne, et j'ai rien vu de relatif au sujet dernierement, j'imagines qu'ils ont trouve un moyen tordu de supporter des changements plus serieux niveau hotpatching, lequel ?

Et tu as vu ou qu'ils exercent des menaces ?

Quelle importance ? Le meme gus va soudainement devenir un ange parce qu'il se met a vendre des services sur du LL plutot que sur IBM DB2 ?

Tout a fait, la question est donc : ou est le juste milieu ?

J'ai trouve un bug dans la recette, il y a un bugzilla ?

Et qu'est ce qui les en empeche ? Tu as deja vu ces patchs ? Il semble clair que non.

« vingt-huit failles ; vingt-sept en exécution de code à distance ; (...) vingt-cinq sont jugées critiques ; (...) ; une est gratifiée d'un exploit depuis août dernier... »

Ouaip, et ce dernier n'etait pas activement exploite, raison pour laquelle on a prefere tester le patch plus longtemps. C'est une approche, j'imagines que d'autres prefereraient qu'on sorte le patch de maniere urgente.

Et puis bon, sous Linux il est très rare d'avoir à rebooter un serveur pour appliquer un correctif de sécurité (même pour le noyau, on peut s'en passer !).

Et non, si tu regardes les patchs kernel de Redhat par exemple, tu noteras qu'il y a nombre de correctifs venant avec, qui vont certainement rendre le patch impossible a hotpatcher (changement de structure, ...)

Bref, dans la majorite des cas, impossible.

Sinon, la raison du groupement des patchs c'est justement que les entreprises le demandent, et cela pour une raisons simple :

A chaque patch elles doivent revalider leurs applications, il est plus simple pour elles de le faire une fois pour tous les patchs que tous les 5 jours.

Certainement, c'est un bug et il est pas beau.

Maintenant, est-ce qu'il rend toutes les machines inoperables ? Non, il cause des problemes dans des cas bien definis seulement et il ne plante pas le systeme.

Bref, qqe chose de bien plus difficile a attraper lors des tests que "j'installes le patch, la machine fonctionne plus".

Meme pas...

Les problemes du SP3 sur AMD etaient pour la plupart dus a une chose :

Des OEMs qui avaient une image Windows generee pour CPUs Intel qu'ils appliquaient sur leurs machines AMD.

Bref, les OEMs se sont mechamment plantes dans leur config, le SP3 lui-meme n'etait pas la cause du probleme, sur une installation correcte il s'installait sans probleme, et on ne peut evidemment pas garantir une installation correcte du SP sur une mauvaise image.

Et tu mets ou la barriere ?

Parce qu'evidemment plus tu testes, plus t'es sur de la qualite du bousin.

T'es pret a recevoir un patch totalement non teste ?

Ca serait drole si c'etait le vrai, le probleme c'est que pour les failles ultra-critiques on sort le patch des qu'on peut, mais on le teste un minimum avant quand meme, et il y a plein d'exemples qui sont la pour le montrer.

Ben en partie oui, tester un patch prend du temps.

Si tu veux sortir vite, t'as moins de temps --> moins de tests...

Si tu fais plus de tests -> plus de temps --> moins vite...

Je suis tout a fait d'accord qu'on casse qqe trucs de temps en temps, personne n'est parfait, on ne l'est certainement pas.

Maintenant, tu remarqueras qu'on n'a, si ma memoire est bonne, jamais sorti un patch totalement loufoque qui mettait toutes les machines en rade...

Sinon, oui Fedora est _sense_ etre une beta pour Redhat, mais quel est le sens d'avoir Fedora 9, Fedora 10, ... si elles sont toutes des versions alpha qui peuvent tout casser ? Quel est le sens d'avoir un repository testing separe ?

En realite tout le monde considere Fedora comme une distrib a part entiere au meme titre que Mandriva, OpenSuse, Debian, ... car je n'ai jamais vu linuxfr.org faire des news pour la sortie de la beta d'une beta( http://www.linuxfr.org/2008/11/05/24644.html ), des install party pour une version beta ( http://www.linuxfr.org/2008/11/25/24721.html ), ...

Et on remarquera que Fedora n'est pas le seul a se brouter de la sorte : https://linuxfr.org/~Tiberium/22450.html

Le plus drole c'est que les distribs qui mettent du temps a sortir un patch (RH, Suse) sont moins touchees par le phenomene...

Exemple : Il se plaint du cycle de release de 6 mois en visant RH ou Ubuntu mais ne parle pas de Debian qui a un cycle beaucoup plus long.
Plus tard, il se plaint de Debian au sujet de leur principe "when it's done" alors que RH ou Ubuntu possedent une roadmap claire comme de l'eau de roche.

Ben justement, il se plaint des 2, visiblement il voudrait qqe chose qui ne soit ni "6 mois, quoi qu'il arrive" ni "personne ne sait quand ca sortira".

Genre (j'imagines) : tous les 12 mois plus ou moins.

Je pense que ce monsieur que je ne connais pas et dont je me fous de l'avis n'a jamais vraiment compris le Libre ni l'ecosysteme linuxien.
Ce dont je me fous un peu moins est qu'on fasse un tel echo a cette prose de tres mauvaise foi.

Mauvaise foi ?
Moi je vois un type qui a visiblement utilise Linux depuis un sacre moment (il est sur Linux Counter depuis 1996 a l'en croire), et visiblement il y a des choses qui ne lui ont pas plu.

Alors, on peut ne pas etre du meme avis que lui, mais je vois mal en quoi il est de mauvaise foi. Quelles raisons il aurait de mentir sur son blog ? Quelqu'un l'a paye pour passer a Windows ? Non, c'est donc qu'il a fait ca de lui-meme, et il donne ses raisons. Elles ne sont pas peut-etre pas valides pour toi, mais le sont certainement pour lui.

Tu radotes là en plus ce n'est pas exactement ce qui est écrit:

C'est ecrit differement mais veut dire exactement la meme chose. Si un truc dans la licence est illegal tu l'enleves et le reste reste valide.
Si tu as une autre interpretation, j'aimerais bien savoir ce qu'elle est.

Et ne me dit pas que le contrat n'est pas adapté selon le pays je vient de te démontrer le contraire au dessus.

Ben tu remarqueras qu'il y a une licence en francais, et bcp de pays francophones.
Une licence en allemand et bcp de pays germanophones comme tu l'as justement fait remarquer (j'ai reussi a oublier mon propre pays, tres fort....)

Bref, tu as demontre que les licences n'etaient pas toute identiques, tu n'as certainement pas montre que les licences etaient specifiques a un pays.

Combien de sociétés se font d'assez bonnes marges pour proposer des réductions de 90% sur leurs produits?

Tu as vu ou que MS a offert 90% de reduction a Munich ? Nulle part...

Si les gens sont prêts à payer X la licence, pourquoi donc le cacher, ce prix?
On rappelle joyeusement que LE problème, c'est la vente liée: on ne demande pas si l'acheteur est prêt à acheter au prix X, on lui impose et sans le prévenir.

Question de concurrence, nombre de societes demandent a leurs distributeurs de garder leur prix d'achat secret, rien de scandaleux la dedans.

Le même genre de concurrence saine sur la base de laquelle Microsoft a écarté BeOS à son époque?
Un manque de concurrence sur le système pré-installé? hum hum...

Oh non, mais le fait est qu'aujourd'hui rien n'empeche les constructeurs de mettre autre chose que Windows, certains l'ont fait, la realite etant qu'au final ces autres machines se vendent tres peu.

Et oui, je le répète: je veux UTILISER mon ordinateur, pas le configurer toutes les semaines parce qu'il a subitement décidé de ramer ou qu'il ne sait plus associer mes applications avec les extensions de fichier du jour au lendemain.
Mon boulot ce n'est PAS de maintenir un OS sur un portable de travail.

Ca tombe bien, moi non plus, tu m'expliqueras pourquoi c'est necessaire sur Windows.

Pourquoi est-ce que j'ai besoin d'un antivirus, antispyware?
Tu n'en as pas besoin, pas plus que sous Linux. C'est conseille si tu ne sais pas ce que tu fais. Ces softs sont la principalement pour proteger l'utilisateur de lui-meme.

Pourquoi est-ce qu'on me propose des "nettoyeurs de registres"? des nettoyeurs de saletés mal désinstallées?
Tu installes 232 softs venant d'on ne sait ou chaque jour ? Non ? Donc tu n'en as pas besoin non plus.

Pourquoi est-ce que je dois redémarrer mon PC aussi souvent?

Tu redemarres combien de fois ? Moi c'est une fois par mois.

Pourquoi est-ce qu'il y a autant de failles qui mettent autant de temps à être corrigées (voire qui ne sont pas corrigées du tout...)?

Il n'y en a pas plus qu'ailleurs, on met peut-etre plus de temps qu'ailleurs, mais pas forcement plus que les gros acteurs du libre.

je passe quasiment 0 temps à maintenir le mien (mises-à-jour régulières, et sans douleur). Les PC sous Windows... ben c'est sympa de générer de l'emploi avec les admins débordés, et ça m'occupe au moins une soirée par mois sur celui de ma femme.

Tout comme moi avec Windows...

Moi je te proposes d'aller regarder un peu du cote d'IBM pour voir leur passif, genre leurs pratiques en Argentine par exemple...