pasBill pasGates a écrit 16201 commentaires

Hahaha, l'idiot du village qui revient.

Je me souviens pas avoir dit nulle part que sous Windows/IE c'etait mieux, si t'as vu ca tu me le montres, sinon tu apprends a lire

Quand au reste de tes inepties

http://www.mozilla.org/security/announce/2006/mfsa2006-64.ht(...)

14 septembre 2006

As part of the Firefox 1.5.0.7 release we fixed several bugs to improve the stability of the product. Some of these were crashes that showed evidence of memory corruption and we presume that at least some of these could be exploited to run arbitrary code with enough effort.

Allez, retourne te coucher, ou va apprendre la difference entre critique et extremement critique(je t'aide c'est ecrit sur le site de Secunia)

Je sais, mais j'avais peur de lancer un troll "obscurantisme des bugs de securite entre MoFo et MS" donc j'ai prefere jouer au mechant :+)

Ah la naivete c'est beau...

Ce temps de patch, il veut dire quoi ? Le temps entre le moment ou la vulnerabilite est _publique_ et le temps ou le patch sort.

Maintenant, je trouves une faille dans Firefox, je ne la rends _pas_ publique.

Je hacke un serveur, mets une page web qui tire avantage de la vulnerabilite ainsi que le shellcode qui va bien.

J'attends.

Je hacke la machine de plein de gens jusqu'a ce que qq'un decouvre le pot aux roses, si ca se trouve ce sera des semaines ou des mois plus tard, comme on a vu le serveur GNU rester hacke pendant des semaines, et alors la la faille devient publique, et partant de la tu as 3 jours en moyenne jusqu'au patch.

Mais bon, si tu aimes vivre dangereusement c'est ton droit hein.

Par contre, pour linux, rien d'automatique n'existe. Rien que la diversité empéche de rendre le dévelopement d'un tel soft peu interrescant.

Qui te parle d'un bot ? Il s'agit de visiter un site web que tu crois inoffensif et te faire hacker a travers ca. Et des hacks a travers Firefox ca existe: http://www.eweek.com/article2/0,1759,1814056,00.asp

Si tu lis bien l'exemple que j'ai donne plus haut, la seule action necessaire pour que ta machine se fasse hacker, c'est que tu visites un site qui tire avantage d'une vulnerabilite dans ton browser.

Maintenant, tu es libre de prier pour que les sites que tu visites ne se fassent jamais hacker, mais tu te souviendras qu'il y a eu des serveurs de Gentoo, GNU, ... qui se sont fait hacker dans le passe entre autre ainsi que d'autres sites "non geek", bref, il y a un risque meme en visitant des sites non suspects.

Resultat, un firewall qui te permet de detecter et empecher l'ouverture d'un port par un processus inconnu, c'est une bonne chose. Ca cree un obstacle de plus pour le hacker pour un cout quasi nul.

a) Va jeter un oeil a Firefox et le nombre de failles qu'il y a eu dedans ces 2 dernieres annees, toutes les failles "beantes" sont corrigees assez rapidement elles.
b) Comme je l'ai montre plus haut, te faire hacker en user ouvre la porte a te faire hacker en root, a travers un remote shell et une faille locale. Si c'etait inutilise par les hackers ils s'emm.. pas a sortir des patchs pour tous ces softs hein.

Je vais te donner un des moyens habituels d'hacker une machine Linux :

1) Tu utilses une faille pour t'introduire sur le systeme, meme en tant que user
2) Tu chopes un remote shell
3) Si tu n'es pas deja root, tu utilises une faille locale pour le devenir, il y en a quasiment toujours une de dispo qqe part(pas de cris, c'est de meme pour a peu pres n'importe quel systeme).

C'est _TRES_ frequent.

Quand a transofmer une machine Linux en zombie, c'est tout aussi simple que n'importe quelle autre machine, il y a pas besoin d'etre root pour envoyer du spam.

Serieusement, faut enlever les oeilleres ou vous allez vous reveiller un matin avec une sacre gueule de bois.

Bah, pas besoin de 90% de reduction, les desktops sont toujours sous Windows.

Quand a 90%, si c'est le chiffre qui vient du cas de Munich, c'etait loin d'etre 90% en passant.

Qu'est ce que le marketing de mon patron a a voir la dedans ?

En fait ce sont les serveurs de management(ceux qui se chargent de la maintenance des serveurs/desktops genre push de patchs, etc...) qui vont passer sous Linux, ca n'a rien a voir avec les desktops eux meme.

La RATP voulait une solution qui supporte a la fois Linux et Windows niveau management des systemes, c'est pour ca qu'ils ont change leur systeme existant.

cf. l'exemple de la vulnerabilite dans Firefox donnee ci-dessus, t'as beau savoir ce qui tourne, si ca t'arrive tu ne verras rien alors que le firewall lui bloquerait le remote shell.

Tu peux te faire hacker ta machine si il y a une faille dans Firefox et que tu visites un site qui tire avantage de la faille, pas besoin d'avoir un port ouvert en etat listening pour ca.

sauf que cela n'a aucune utilité sur une distrib linux. Tu fais confiance à tout tes softs.

Oui oui bien sur, personne n'ecrit de softs ayant des failles qui peuvent etre exploitees sous Linux c'est bien connu.

Genre une faille dans Firefox qui est exploitee quand tu visites un site web et qui permet a un exploit de creer un remote shell ca serait totalement impossible hein...

Faut penser a ouvrire les yeux un peu, a marcher les yeux fermes tu vas finir par prendre un poteau.

Un firewall ca permet d'EMPECHER le traffic sortant non voulu, quelle que soit l'heure.

Tes yeux visses sur le modem, a part t'empecher de regarder l'ecran ils ne te permettent pas d'empecher le traffic sortant, juste de le detecter(et encore, faut perdre du temps a voir si c'est du traffic permis ou pas, ...), et ils ne te permettent pas une surveillance constante.

Personnellement je mettrai ca un petit peu avant la sortie du kernel 2.2

Et toi ce que tu veux pas comprendre c'est que les 3 gusses payés pour chaque soft ne serait d'aucune utilité sans les bénévoles.

Oh mais je suis tres loin de dire que les benevoles sont inutiles, bien au contraire, je dis simplement qu'ils ne sont pas suffisant pour faire qqe chose qui suit le developpement du marche.


Pour Qt, on ne parle pas de beta testeur, on parle de ceux qui testent les dernières versions de dev, j'en connais très peu qui font ça. J'en déduis donc que 1) ceux qui le font le font par nécessité (cf toutes les boites qui vivent de la version payante ou KDE ou...) 2) ne sont donc pas des manches.

1) Certains probablement, d'autres sont des geeks qui aiment avoir la derniere version de ce qui sort.
2) Etre une manche ou pas ne veut rien dire du tout, un tres bon developpeur n'est pas forcement un bon testeur, un gars qui teste en faisant simplement tourner son soft pour voir si il fonctionne correctement avec la derniere version de Qt ne teste pas la lib correctement, il ne teste que son soft.

Un peu comme quand le pdg de Qt disait avoir un département de Q&A de 5000 personnes gratuits...

Ce qui est tout simplement faux et une anerie.
Meme avec 500'000 beta testeurs tu remplaces pas 5000 testeurs professionels qui ont des test plans definis, qui rapportent tous les bugs qu'ils voient, qui savent quoi tester et comment , ...

Ce que tu n'as pas l'air de comprendre, c'est que les économies liées au libre permet des choses qui couterait plusieurs fois l'argent dépenser. Combien mandrake devrait dépenser pour développer de 0 le contenu d'une distrib ? Même MS n'aurait pas les moyens de le faire.

Elles permettent quoi a Mandriva ? De vendre qqe chose qu'ils n'ont pas ecrit ? Visiblement au niveau economique c'est pas si genial vu les resultats de Mandriva , Linspire et Suse. Les seuls qui s'en sortent a peu pres c'est Redhat et leur chiffre d'affaire est petit compare aux autres acteurs du marche informatique alors qu'ils sont pourtant grand leaders dans le monde Linux.

Donner des trucs gratuit permet d'avoir autres chose en retour et pas forcément de l'argent mais des choses qui couterais beaucoup plus. Par exemple, sur la liste open graphics, il y a une tripoter de spécialistes en graphisme opengl, combien cela couterais pour une boite de s'offrir tous leur conseils ?

Moi je regardes les softs qui ont le plus de succes dans le monde du libre, et je me rends compte qu'ils sont quasiment tous developpes par des gens payes pour ca.
Firefox, OpenOffice, kernel Linux, Gnome/KDE, ... dans tous ces projets les gros contributeurs sont _payes_ pour le faire.

Quand au sujet qui nous préoccupe, à savoir le développement de logiciels libres, je vais te donner une info sensationnelle : Il y a des gens qui donnent gratuitement de leur temps pour développer des logiciels fantastiques : KDE, GNOME, KOffice, Abiword, VLC, Firefox, Konqueror .... !!!! Il y en a même qui font ça pour le plaisir de partager leurs connaissances avec les autres, tu te rend compte ! Certains poussent le vis à créer des distros entièrement bénévoles et gratuites : Gentoo, Debian, ...

C'est genial , maintenant je vais te ramener sur terre, on va prendre les plus gros projets du libre :

- Firefox : Quasiment tout le code a ete ecrit par des employes de Netscape
- OpenOffice : Quasiment tout le code a ete ecrit par des employes de StarOffice et Sun
- Kernel Linux : Quasiment tous les gros contributeurs sont employes pour bosser a plein temps dessus, le kernel n'a commence a decoller techniquement reellement que quand les entreprises ont commence a mettre les mains a la pate.
...

Voila, il y l'idealisme qui fait croire qu'on peut faire des trucs enormes en etant benevoles, et il y a a realite qui est que pour avoir un gros impact il faut que les gens bossent a temps plein dessus, ce qui explique pourquoi les organisations comme Les restos du Coeur, MSF, ... remunerent un certain nombre de gens, car sans remunerations ces gens n'auraient pas de quoi vivre et ne pourraient se consacrer aux objectifs de l'association suffisament longtemps pour que les choses avancent.

Le benevolat c'est sympa, mais tu vis comment si tu n'as pas une remuneration ? Tes parents sont riches et te paient ton appart et tes factures ? Ta femme est riche ? T'as gagne au loto ?

Alors le benevolat le soir chez soi oui, 8h par jour avec des moyens materiels pour etre le plus efficace possible c'est pas faisable par contre.

Quand au fait que rien n'est gratuit, c'est pourtant vrai, c'est pas forcement de l'argent qui vient en retour, mais si rien n'arrive en retour, ca ne tient d'habitude pas longtemps. Certains veulent une reconnaissance, d'autres veulent voir des gens utiliser leurs softs, d'autre veulent de l'argent, ... chacun son truc, mais il y a quasiment toujours un retour qui est necessaire.

D'un autre côté je suis développeur et je produit du code pour une entreprise qui le vend à d'autres entreprises et ça ne me choque pas non plus, car seules une entreprise peut fournir un tel niveau de service.

Si cet argent sert à financer les besoins en infrastructures d'une communauté mais qu'elle ne sert pas à rémunérer ni les développeurs ni l'entreprise Mandriva alors OK, je suis pour !

Si je peux me permettre, c'est completement incoherent.

Les avancees qu'il y a dans Mandrake, une quantitee non negligeable est faite par des developpeurs employes par Mandrake pour produire du code, tout comme toi tu es paye pour faire de meme.
Quand a l'infrastructure, devine qui c'est qui paye les serveurs, l'electricite, la bande passante, ... pour les serveurs d'ou tu downloade les patchs Mandrake ? Devine qui paie les machines de tests et les testeurs qui testent les packages avant de les publier ?

Tu crois qu'ils pourraient faire ca sans remuneration ? Tu penses qu'ils paieraient comment ces choses la si ils n'etaient pas remuneres pour leur travail ? Tu crois que les developpeurs pourraient bosser 8h par jour sur la distrib si ils n'etaient pas remuneres ?

Il faut revenir sur terre quand meme, rien n'est gratuit et un developpeur ca a le droit de manger, boire et avoir un toit en retour pour son travail tout comme un menuisier, charpentier ou autre.

Je reste sur le sentiment que je ne vais pas avoir un système vraiment sympa sans être obligé de payer ou que dès que je cliquerais sur une appli j'aurais un popup "Tu veux telle fonction ... Il faut payer !". Je sais que c'est faux, mais ce sentiment désagréable reste présent néanmoins.

J'ai du mal a comprendre, il y a quoi de desagreable a payer pour un travail rendu ? Tu bosses gratuitement toi ?

Tu jettes un oeil aux failles des 2, tu regardes combien des failles Apache ont etre trouvees par le team Apache lui-meme ou par des gens externes, tu compares ensuite.

Et la tu trouveras que meme en comparant uniquement les failles trouvees par des gens externes Apache en a bcp plus qu'IIS.

Plus de failles ont etre trouvees dans Apache 2 que dans IIS 6.

Tout a fait d'accord, mon enervement vient de l'affirmation que si c'est du libre, ca rend automatiquement le consultant competent et intelligent.

Des consultants Windows qui sont des manches je doutes pas un instant qu'il y en ait et qu'il y en ait beaucoup, mais cette affirmation stupide comme quoi bosser sur des LL te rend automatiquement intelligent et competent est pathetique.

Avec les logiciels libres, on a des techniciens de meilleur niveau, capables d'intervenir plus rapidement et de résoudre plus rapidement des problèmes complexes car ils sont habitués à réfléchir

Mais qu'est ce qu'on peut pas lire comme conneries c'est dingue !

Il y a un test a passer avant de pouvoir devenir consultant LL histoire de verifier qu'ils sont tous competents, savent reflechir et ne le font pas parce qu'ils ont vu la lumiere et sont entres ?
Non ?
Alors arretes de sortir des aneries plus grosses que toi, on a compris que tu es tombe amoureux des LL, ca devrait pas t'empecher d'etre un minimum realiste quand meme.

Jettes un oeil sur les vulnerabilites entre IIS6 et Apache 2.0.x (sortis a peu pres en meme temps) :

- IIS6 a eu 11 fois moins de vulnerabilites (3 au total)
- 2 a 3/5 sur l'echelle de severite, 1 a 1/5

- Apache a eu 33 failles
- 2 a 4/5, 10 a 3/5, 18 a 2/5, 3 a 1/5