pasBill pasGates a écrit 16280 commentaires

Tout a fait mais c'est risque et il est non negligeable. Pas besoin d'entuber 3 millions d'utilisateurs pour causer des degats. Si tu fais partie de ceux touches ca suffira pour que cela soit douloureux.

Les insultes c'est tout ce que tu connais? Tu es tres tres forts sur ca actuellement. Serait-ce la meme personne paye par MS que avant celui qui se cache sous le pseudo pbpg ou pasBill pasGates, on peut se poser la question.

Tu sors constamment connerie sur connerie, j'appelle un chat un chat.

Ce ne sont pas mes inepties ce sont les programmes sorties de ta boite.

Genial, et ca prouve quoi ? Qu'il y a des failles dedans ? On le sait tous. Tout comme on sait qu'il y a des failles dans les produits libres, et tout comme on sait que les softs MS sont evidemment plus attractifs pour tout ce qui est exploit vu qu'ils representent la quasi-totalite du marche. Mais toi reflechire 2 secondes et essayer de comprendre cela c'est visiblement trop pour toi, tu as un mal fou a faire autre chose que balancer 2 liens qui ne prouvent absolument rien quand on les met dans le contexte global.

Tout ce que j'ai mis en gras moi correspond a des trucs plus interessant car 1) ca montre que c'est patche pas comme les 4 failles que j'ai donne sur les softs de ta boite 2) superbe conditionnel... 3) ca a l'air facile a utiliser comme faille, ais je vraiment besoin de faire un copier colle des infos des failles non patche sur secunia qui indique que l'exploit existe, est public et donc peut etre utilise par des scripts kiddies?

Le jour ou tu comprendras ce qu'un script kiddie ffait tu auras compris que complexe a exploiter ou pas n'y change rien, mais ca aussi c'est hors de ta portee je suppose.
Les failles patchees, tu sais si qq'un les connaissait avant ? Moi non, toi non plus, la MoFo non plus d'ailleurs. Ils ne les ont pas vu publiquement utilise, c'est tout ce qu'ils peuvent en dire.

Le truc rigolo c'est que toutes les failles hautement critique de firefox ont ete patche et je ne pense pas que MS soit "open-source " sur la divulgation des failles de leur soft...

Ca non plus tu n'en sais rien vu que tu n'as pas acces aux bugs de securite de Firefox, ils sont d'acces prive uniquement.

Oui oui bien sur, tu en as d'autres des aneries dans ce genre ?

Le site est down, ou sujet a un DDoS (erreur 'trop de connections' de MySQL)

Ces durees d'exposition si elles sont calculees par rapport au temps de sortie du patch ne veulent rien dire, cf. mon exemple plus haut et l'explication de la maniere dont MoFo et MS sortent leurs patchs par Matthieu, si la page parle d'autre chose je re-repondrai quand le site sera fonctionel.

Hahaha, l'idiot du village qui revient.

Je me souviens pas avoir dit nulle part que sous Windows/IE c'etait mieux, si t'as vu ca tu me le montres, sinon tu apprends a lire

Quand au reste de tes inepties

http://www.mozilla.org/security/announce/2006/mfsa2006-64.ht(...)

14 septembre 2006

As part of the Firefox 1.5.0.7 release we fixed several bugs to improve the stability of the product. Some of these were crashes that showed evidence of memory corruption and we presume that at least some of these could be exploited to run arbitrary code with enough effort.

Allez, retourne te coucher, ou va apprendre la difference entre critique et extremement critique(je t'aide c'est ecrit sur le site de Secunia)

Je sais, mais j'avais peur de lancer un troll "obscurantisme des bugs de securite entre MoFo et MS" donc j'ai prefere jouer au mechant :+)

Ah la naivete c'est beau...

Ce temps de patch, il veut dire quoi ? Le temps entre le moment ou la vulnerabilite est _publique_ et le temps ou le patch sort.

Maintenant, je trouves une faille dans Firefox, je ne la rends _pas_ publique.

Je hacke un serveur, mets une page web qui tire avantage de la vulnerabilite ainsi que le shellcode qui va bien.

J'attends.

Je hacke la machine de plein de gens jusqu'a ce que qq'un decouvre le pot aux roses, si ca se trouve ce sera des semaines ou des mois plus tard, comme on a vu le serveur GNU rester hacke pendant des semaines, et alors la la faille devient publique, et partant de la tu as 3 jours en moyenne jusqu'au patch.

Mais bon, si tu aimes vivre dangereusement c'est ton droit hein.

Par contre, pour linux, rien d'automatique n'existe. Rien que la diversité empéche de rendre le dévelopement d'un tel soft peu interrescant.

Qui te parle d'un bot ? Il s'agit de visiter un site web que tu crois inoffensif et te faire hacker a travers ca. Et des hacks a travers Firefox ca existe: http://www.eweek.com/article2/0,1759,1814056,00.asp

Si tu lis bien l'exemple que j'ai donne plus haut, la seule action necessaire pour que ta machine se fasse hacker, c'est que tu visites un site qui tire avantage d'une vulnerabilite dans ton browser.

Maintenant, tu es libre de prier pour que les sites que tu visites ne se fassent jamais hacker, mais tu te souviendras qu'il y a eu des serveurs de Gentoo, GNU, ... qui se sont fait hacker dans le passe entre autre ainsi que d'autres sites "non geek", bref, il y a un risque meme en visitant des sites non suspects.

Resultat, un firewall qui te permet de detecter et empecher l'ouverture d'un port par un processus inconnu, c'est une bonne chose. Ca cree un obstacle de plus pour le hacker pour un cout quasi nul.

a) Va jeter un oeil a Firefox et le nombre de failles qu'il y a eu dedans ces 2 dernieres annees, toutes les failles "beantes" sont corrigees assez rapidement elles.
b) Comme je l'ai montre plus haut, te faire hacker en user ouvre la porte a te faire hacker en root, a travers un remote shell et une faille locale. Si c'etait inutilise par les hackers ils s'emm.. pas a sortir des patchs pour tous ces softs hein.

Je vais te donner un des moyens habituels d'hacker une machine Linux :

1) Tu utilses une faille pour t'introduire sur le systeme, meme en tant que user
2) Tu chopes un remote shell
3) Si tu n'es pas deja root, tu utilises une faille locale pour le devenir, il y en a quasiment toujours une de dispo qqe part(pas de cris, c'est de meme pour a peu pres n'importe quel systeme).

C'est _TRES_ frequent.

Quand a transofmer une machine Linux en zombie, c'est tout aussi simple que n'importe quelle autre machine, il y a pas besoin d'etre root pour envoyer du spam.

Serieusement, faut enlever les oeilleres ou vous allez vous reveiller un matin avec une sacre gueule de bois.

Bah, pas besoin de 90% de reduction, les desktops sont toujours sous Windows.

Quand a 90%, si c'est le chiffre qui vient du cas de Munich, c'etait loin d'etre 90% en passant.

Qu'est ce que le marketing de mon patron a a voir la dedans ?

En fait ce sont les serveurs de management(ceux qui se chargent de la maintenance des serveurs/desktops genre push de patchs, etc...) qui vont passer sous Linux, ca n'a rien a voir avec les desktops eux meme.

La RATP voulait une solution qui supporte a la fois Linux et Windows niveau management des systemes, c'est pour ca qu'ils ont change leur systeme existant.

cf. l'exemple de la vulnerabilite dans Firefox donnee ci-dessus, t'as beau savoir ce qui tourne, si ca t'arrive tu ne verras rien alors que le firewall lui bloquerait le remote shell.

Tu peux te faire hacker ta machine si il y a une faille dans Firefox et que tu visites un site qui tire avantage de la faille, pas besoin d'avoir un port ouvert en etat listening pour ca.

sauf que cela n'a aucune utilité sur une distrib linux. Tu fais confiance à tout tes softs.

Oui oui bien sur, personne n'ecrit de softs ayant des failles qui peuvent etre exploitees sous Linux c'est bien connu.

Genre une faille dans Firefox qui est exploitee quand tu visites un site web et qui permet a un exploit de creer un remote shell ca serait totalement impossible hein...

Faut penser a ouvrire les yeux un peu, a marcher les yeux fermes tu vas finir par prendre un poteau.

Un firewall ca permet d'EMPECHER le traffic sortant non voulu, quelle que soit l'heure.

Tes yeux visses sur le modem, a part t'empecher de regarder l'ecran ils ne te permettent pas d'empecher le traffic sortant, juste de le detecter(et encore, faut perdre du temps a voir si c'est du traffic permis ou pas, ...), et ils ne te permettent pas une surveillance constante.

Personnellement je mettrai ca un petit peu avant la sortie du kernel 2.2

Et toi ce que tu veux pas comprendre c'est que les 3 gusses payés pour chaque soft ne serait d'aucune utilité sans les bénévoles.

Oh mais je suis tres loin de dire que les benevoles sont inutiles, bien au contraire, je dis simplement qu'ils ne sont pas suffisant pour faire qqe chose qui suit le developpement du marche.


Pour Qt, on ne parle pas de beta testeur, on parle de ceux qui testent les dernières versions de dev, j'en connais très peu qui font ça. J'en déduis donc que 1) ceux qui le font le font par nécessité (cf toutes les boites qui vivent de la version payante ou KDE ou...) 2) ne sont donc pas des manches.

1) Certains probablement, d'autres sont des geeks qui aiment avoir la derniere version de ce qui sort.
2) Etre une manche ou pas ne veut rien dire du tout, un tres bon developpeur n'est pas forcement un bon testeur, un gars qui teste en faisant simplement tourner son soft pour voir si il fonctionne correctement avec la derniere version de Qt ne teste pas la lib correctement, il ne teste que son soft.

Un peu comme quand le pdg de Qt disait avoir un département de Q&A de 5000 personnes gratuits...

Ce qui est tout simplement faux et une anerie.
Meme avec 500'000 beta testeurs tu remplaces pas 5000 testeurs professionels qui ont des test plans definis, qui rapportent tous les bugs qu'ils voient, qui savent quoi tester et comment , ...

Ce que tu n'as pas l'air de comprendre, c'est que les économies liées au libre permet des choses qui couterait plusieurs fois l'argent dépenser. Combien mandrake devrait dépenser pour développer de 0 le contenu d'une distrib ? Même MS n'aurait pas les moyens de le faire.

Elles permettent quoi a Mandriva ? De vendre qqe chose qu'ils n'ont pas ecrit ? Visiblement au niveau economique c'est pas si genial vu les resultats de Mandriva , Linspire et Suse. Les seuls qui s'en sortent a peu pres c'est Redhat et leur chiffre d'affaire est petit compare aux autres acteurs du marche informatique alors qu'ils sont pourtant grand leaders dans le monde Linux.

Donner des trucs gratuit permet d'avoir autres chose en retour et pas forcément de l'argent mais des choses qui couterais beaucoup plus. Par exemple, sur la liste open graphics, il y a une tripoter de spécialistes en graphisme opengl, combien cela couterais pour une boite de s'offrir tous leur conseils ?

Moi je regardes les softs qui ont le plus de succes dans le monde du libre, et je me rends compte qu'ils sont quasiment tous developpes par des gens payes pour ca.
Firefox, OpenOffice, kernel Linux, Gnome/KDE, ... dans tous ces projets les gros contributeurs sont _payes_ pour le faire.

Quand au sujet qui nous préoccupe, à savoir le développement de logiciels libres, je vais te donner une info sensationnelle : Il y a des gens qui donnent gratuitement de leur temps pour développer des logiciels fantastiques : KDE, GNOME, KOffice, Abiword, VLC, Firefox, Konqueror .... !!!! Il y en a même qui font ça pour le plaisir de partager leurs connaissances avec les autres, tu te rend compte ! Certains poussent le vis à créer des distros entièrement bénévoles et gratuites : Gentoo, Debian, ...

C'est genial , maintenant je vais te ramener sur terre, on va prendre les plus gros projets du libre :

- Firefox : Quasiment tout le code a ete ecrit par des employes de Netscape
- OpenOffice : Quasiment tout le code a ete ecrit par des employes de StarOffice et Sun
- Kernel Linux : Quasiment tous les gros contributeurs sont employes pour bosser a plein temps dessus, le kernel n'a commence a decoller techniquement reellement que quand les entreprises ont commence a mettre les mains a la pate.
...

Voila, il y l'idealisme qui fait croire qu'on peut faire des trucs enormes en etant benevoles, et il y a a realite qui est que pour avoir un gros impact il faut que les gens bossent a temps plein dessus, ce qui explique pourquoi les organisations comme Les restos du Coeur, MSF, ... remunerent un certain nombre de gens, car sans remunerations ces gens n'auraient pas de quoi vivre et ne pourraient se consacrer aux objectifs de l'association suffisament longtemps pour que les choses avancent.

Le benevolat c'est sympa, mais tu vis comment si tu n'as pas une remuneration ? Tes parents sont riches et te paient ton appart et tes factures ? Ta femme est riche ? T'as gagne au loto ?

Alors le benevolat le soir chez soi oui, 8h par jour avec des moyens materiels pour etre le plus efficace possible c'est pas faisable par contre.

Quand au fait que rien n'est gratuit, c'est pourtant vrai, c'est pas forcement de l'argent qui vient en retour, mais si rien n'arrive en retour, ca ne tient d'habitude pas longtemps. Certains veulent une reconnaissance, d'autres veulent voir des gens utiliser leurs softs, d'autre veulent de l'argent, ... chacun son truc, mais il y a quasiment toujours un retour qui est necessaire.

D'un autre côté je suis développeur et je produit du code pour une entreprise qui le vend à d'autres entreprises et ça ne me choque pas non plus, car seules une entreprise peut fournir un tel niveau de service.

Si cet argent sert à financer les besoins en infrastructures d'une communauté mais qu'elle ne sert pas à rémunérer ni les développeurs ni l'entreprise Mandriva alors OK, je suis pour !

Si je peux me permettre, c'est completement incoherent.

Les avancees qu'il y a dans Mandrake, une quantitee non negligeable est faite par des developpeurs employes par Mandrake pour produire du code, tout comme toi tu es paye pour faire de meme.
Quand a l'infrastructure, devine qui c'est qui paye les serveurs, l'electricite, la bande passante, ... pour les serveurs d'ou tu downloade les patchs Mandrake ? Devine qui paie les machines de tests et les testeurs qui testent les packages avant de les publier ?

Tu crois qu'ils pourraient faire ca sans remuneration ? Tu penses qu'ils paieraient comment ces choses la si ils n'etaient pas remuneres pour leur travail ? Tu crois que les developpeurs pourraient bosser 8h par jour sur la distrib si ils n'etaient pas remuneres ?

Il faut revenir sur terre quand meme, rien n'est gratuit et un developpeur ca a le droit de manger, boire et avoir un toit en retour pour son travail tout comme un menuisier, charpentier ou autre.

Je reste sur le sentiment que je ne vais pas avoir un système vraiment sympa sans être obligé de payer ou que dès que je cliquerais sur une appli j'aurais un popup "Tu veux telle fonction ... Il faut payer !". Je sais que c'est faux, mais ce sentiment désagréable reste présent néanmoins.

J'ai du mal a comprendre, il y a quoi de desagreable a payer pour un travail rendu ? Tu bosses gratuitement toi ?

Tu jettes un oeil aux failles des 2, tu regardes combien des failles Apache ont etre trouvees par le team Apache lui-meme ou par des gens externes, tu compares ensuite.

Et la tu trouveras que meme en comparant uniquement les failles trouvees par des gens externes Apache en a bcp plus qu'IIS.

Plus de failles ont etre trouvees dans Apache 2 que dans IIS 6.