pasBill pasGates a écrit 16057 commentaires

"Sisi chef je vous dis, on peut remplacer tous nos gros serveurs par du Linux, la preuve que c'est baleze: on peut faire marcher des XBox en reseau avec !!"

"Comment ca je suis vire ?"

il n'est pas rares de voir des vieilles stations HP ou Sun etre remplacées par des PC sous Linux.

Comme tu le constates toi-meme, Linux a surtout tendance a remplacer les Unix, pas Windows.

Et vous etes moins secure que AIX et IRIX et HP-UX aussi, comme quoi ca ne veut rien dire.

Ben si c'est exploitable: http://www.securityfocus.com/archive/1/242750(...)

Mais la question n'est pas la, que MS(ou autre) soit le seul a etre au courant ou pas ne change rien, il faut limiter le plus possible les moyens de profiter de la faille jusqu'a ce que le patch soit sorti, ca n'empeche pas d'annoncer la faille mais ca protege au maximum en attendant le patch. Au pire c'est le meme resultat, au mieux ca empeche les script kiddies de hacker des machines.

Mais non, si tu donnes des la decouverte de la faille des infos generales sur la faille et un workaround, les admins peuvent se proteger en attendant le patch, et les script kiddies peuvent pas utiliser l'exploit pour torcher 90% des serveurs. Les admins ils y perdent rien.
Dans le pire cas ca ne change rien car les details ont ete divulges d'une maniere ou d'une autre.

Ben si on prend l'exemple de IE et les cookies:

- Tu dis des la decouverte de la faille:
"Il y a une faille dans la gestion des cookies, il est fortement conseille de bloquer la gestion des cookies pour eviter d'etre une victime"

Tu donnes un moyen aux gens de se proteger et tu ne dis pas aux script kiddies comment profiter de la faille

Ensuite, des que le patch est pret ou dans X(MS a propose 30) jours tu devoiles les details
Le patch est dehors donc les gens peuvent reutiliser les cookies et sont proteges
Les gens peuvent voir la faille et tester le patch
...

Ou est le probleme ?

Ah moi je dis ca ?

A croire que t'es en vacances quand je hurles sur les dev de IIS alors.

D'autre part mon prob n'est pas qu'il y ait une faille dans Linux car je sais pertinemment que ca arrive a tout le monde, d'ailleurs c'est pas dans Linux mais dans wu-ftpd. Mon prob c'est la maniere dont la faille a ete geree a ete encore plus obscure que ce que MS avait propose et MS s'est fait allumer pour ca. J'aimerais donc que soit les distribs se fassent allumer, soit que les gens qui ont allume MS admettent qu'ils s'etaient trompes.

Moi je crois surtout que t'as absolument rien compris a ce que j'ai dit.

Ce que Redhat/Suse/... faisaient(s'entendre pour ne pas sortir la faille avant le patch), moi je suis pour.

Ce qui m'agace c'est les gars qui ont hurle sur MS quand il a propose un truc un petit peu moins obscur que ca, j'aimerais donc qu'ils hurlent de la meme maniere ici ou qu'ils admettent qu'ils s'etaient trompes dans le cas MS.

Si moi demain je trouves une faille dans Linux et que je la crie sur tous les toits avec les details, ben ca fout tout le monde dans la merde car les script kiddies peuvent s'amuser a torcher tous les systemes Linux sur le net, et ton open-source il fait rien contre ca car les scripts kiddies auront l'exploit avant que le patch soit sorti.

Il est absolument pas question de revolutionner/innover ou quoi que ce soit, il est question d'eviter que les script kiddies puissent s'amuser a faire torcher la moitie des machines sur le reseau car l'exploit a ete divulgue avant le patch.

MS a propose une solution a ca, et le monde du libre l'a descendu en flamme. Maintenant les gens du libre se rendent compte que leurs distribs preferees font la meme chose, alors soit ils sont en accord avec eux meme et ils agissent de la meme maniere avec leurs distrib qu'avec MS, soit ils admettent qu'il n'y avait aucune raison de hurler contre MS.

C'est juste une histoire d'etre equitable entre 2 entites qui se comportent de maniere identique.

Justement, chacun son boulot.

Vous vous occupez de la partie Microsoft plus que regulierement, je prends donc une partie du boulot et je m'occupe de l'autre partie, histoire que ce soit equitable.

Dans le 1er cas oui il est probable que ce sera decouvert au bout d'un moment plus ou moins long, mais ca aura surement deja permis d'infecter un tres grand nombre de gens. Le mal aura deja ete fait.

Dans le 2eme cas, ben moi je vois qu'on trouve des buffer overflows depuis des annees dans wu-ftpd et sendmail, dans Windows, IIS, et plein d'autre softs.
Mon experience et celle de mes collegues qui je te le rappelle ne faisont que ca et rien d'autre(= corriger des bugs) est que trouver des buffer overflows peut etre particulierement complexe, un buffer overflow ca peut rester cache des annees dans un soft sans qu'on s'en apercoive, et cela malgre les softs developpes pour les trouver, les stress tests, les code reviews,...

C'est le cas PARTOUT, monde proprio ou libre, la solution miracle contre les BO dans les progs en C/C++ n'existe pas encore, le jour ou tu arriveras a me PROUVER qu'un soft non-trivial ne contient pas de buffer overflow je te paie le champagne.

Non, ce qui s'est probablement passe(pure speculation mais a mon avis c'est ca) est :

- La boite trouve la faille et l'annonce a la distrib XYZ et les auteurs
- La distrib XYZ informe les autres distrib et se met d'accord avec les autres et les auteurs pour une date de release du patch et une certaine discretion
- chacun reste discret de son cote et corrige le bug
- tout le monde release le patch en meme temps que l'annonce de la faille

Non, si la boite qui trouve la faille ne voit rien apres 30 jours ils peuvent sortir les details, que MS ait sorti le patch ou pas.

Faudrait voir a arreter les petites insinuations de ce genre sans fondement, si je me mettais a faire de meme sur Linux ca foutrait une atmosphere peu agreable je pense.

La pique c'etait de montrer que les distrib vont plus loin que ce que MS preconisait, alors qu'ils s'etaient fait allumer par les supporters du libre pour ca.

MS disait:
- on peut reveler la faille tout de suite mais SANS les details qui permettent d'en tirer parti
- on peut reveler les details apres la sortie du patch ou 30 jours apres la decouverte de la faille

Les distrib ont fait:
- On ne revele rien avant la sortie du patch

Alors bon, si vous arrivez a vivre avec ce que les distrib font, vous pourrez surement vivre avec la methode MS qui est moins obscure, ou sinon, traitez les distrib de tous les noms comme ca c'est passe pour MS.

Les boites genre Redhat, Mandrake,... ont probablement un departement "securite" qui recoit les annonces de failles de securite, ensuite ils les transmettent les uns aux autres.

La boite qui a trouve la faille a une "policy" qui est de ne rien dire pendant un certain temps histoire de laisser le temps aux gens de corriger la faille, il est donc clair qu'ils allaient pas faire l'annonce sur une mailing-list Linux...

Euh oui mais si il y a deux advisory sur securityfocus.com ca devient subitement bien plus credible :+)

bon c'est vrai que j'ai ete incomplet dans la news, mea culpa.

Voici une advisory updatee : http://www.securityfocus.com/archive/1/242750(...)

Dans laquelle il est specifie que :
1) les vendeurs ont ete mis au courant le 14 Novembre( donc 3 semaines avant au lieu de 2, encore une erreur de ma part)
2) Redhat a sorti l'annonce le 27 alors que c'etait prevu le 3 decembre et que de ce fait les autres distrib ont pas eu le temps de corriger la faille
3)un autre site: http://news.cnet.com/news/0-1003-200-8007615.html(...) qui precise que les distruteurs etaient a peu pres tous au courant

J'ai vu ca sur Slashdot et sur un autre site qui etait linuxtoday je crois. Pour les autres distrib je crois me souvenir qu'il y avait Mandrake(pas sur) mais je sais pas pour les autres.

C'est pas le probleme de coordination que je souleve, c'est ce que le probleme de coordination a revele: que les distrib s'entendent entre elles pour cacher les failles jusqu'au moment ou ils ont un patch.

Sinon, je m'interessais aux news sur Linux a l'epoque ou fvwm etait considere comme le top des GUI sur Linux, j'ai pas attendu la vague mediatique Linux pour ca.

Pour ton info, je suis a la base Amigaiste et Unixien, et j'ai probablement encore pour quelques mois plus de connaissances de ces 2 systemes que de Windows...

Mais bon, ca n'a rien a faire la --> -1

Ils se sont excuses pour avoir sorti le patch et l'alerte trop tot.

Au passage, je tiens a rectifier ma propre news, MS ne proposait pas de ne pas annoncer la faille avant la disponibilite du patch, mais uniquement de ne pas annoncer les details(=exploit) de la faille, la faille en elle-meme peut etre annoncee avant.

des centaines ou des milliers

Je sais il est tard et tu as mal lu...

J'ai pas ouvert les yeux sur les avantages des softs open-source, je demontre que la theorie c'est bien beau, et qu'en pratique c'est tres different.

Autre petit exemple:
Je cree un soft totalement open-source, qui utilise des serveurs sur le net que JE dirige pour faire des transferts/communiquer/jouer, bref ce que tu veux tant qu'il y a un serveur a moi et un port ouvert sur ta machine. En gros j'utilises le modele "soft en open-source et je fais de l'argent sur le service" que tout le monde dans le libre encourage.

Je laisse dans le soft(qui est gros et complexe), un certain nombre de buffer overflows bien caches volontairement.

1) ca passe totalement inapercu, dans 99% des cas les gens ne s'en apercoivent que quand ca torche, je sais de quoi je parles car je les chasse a longueur de journee ici et malgre les codes reviews, les softs d'analyse de code, les tests, etc... il y en a toujours qui passent au travers
2) je peux me la jouer "c'est involontaire, c'est un buffer overflow" si quelqu'un en trouve un
3) le source est 100% ouvert donc les gens se mefient pas et vu que le code est gros et complexe il est impossible de faire un audit efficace pour trouver tous les buffer overflows.
4) ils utilisent mon serveur, a travers le buffer overflow j'ai un backdoor sur les machines des utilisateurs, et vu qu'ils savent tres bien que mon soft communique avec le serveur et qu'ils ont les sources, ben ils se mefient pas du trafic sur le reseau, je fais ce que veux avec leur machine

Comme quoi ton soft a beau etre open-source t'as aucune garantie quand au fait qu'il est sur et fiable.

Je vais chez Geocities, je cree une page web et je pose dessus:

- un binaire avec un backdoor qui fait 254'345 octets sous forme de rpm, bref facile a installer

- des sources qui creent avec au moins 1 version de gcc un binaire de 254'345 octets et qui ne contiennent PAS de backdoor

Maintenant, combien de gens vont:
1- regarder le code source
2- le compiler et comparer la taille
3- faire un diff des binaires et comparer
4- analyser le code binaire car ils ne pensent pas que c'est du a un compilo different ou sont tres mefiants et voir qu'il y a une backdoor

Le nombre de gens qui arriveront au niveau 4 est selon moi particulierement faible voir inexistant, bien sur c'est possible, mais la probabilite est tres faible et entre-temps tu as pose un backdoor chez des centaines ou des milliers de gens qui auront pris le rpm pour eviter de s'emmerder.

Distrib ou pas ca n'a rien a voir, le kernel venait de la branche stable, et il a ete release au grand public avec ces gros bugs dedans.
C'est comme quand MS sort un service pack avec une grosse merde dedans, mais eux ils se seraient sacrement fait taper sur la gueule dans le meme cas par les memes personnes qui cherchent des excuses au kernel team.

Quand a la loi sur le nombre de beta-testeurs, ben on est d'accord la-dessus a 100%.

Le truc etant que quand MS fait ca(distribuer les versions beta a 200'000 personnes et ensuite ceux qui participent vraiment recoivent la version finale gratos), il se fait critiquer comme quoi les utilisateurs font le boulot, quand c'est Linux par contre c'est un avantage du systeme, faudrait savoir.

Pour le reste on est a peu pres d'accord, le truc ou on est probablement pas d'accord par contre, c'est l'importance que ces avantages ont pour les utilisateurs(particuliers ou entreprises).

L'open-source ca garantit rien du tout, la preuve en est les couilles qui sont arrivees recemment au kernel Linux.

Que je sache ce qui importe c'est le present et le futur, et personnellement je doutes fort que RMS apporte plus a Gnome dans le futur que cet employe de Compaq, de mon point de vue RMS est meme un boulet pour Gnome.

RMS aurait surement cree des dissensions avec ses manieres et ses points de vues extremes, et je suis pas sur que ce soit tres bon pour le projet.