Zenitram a écrit 29583 commentaires

• Ils ne sont pas payés pour faire la recherche donc n'ont pas d'obligation de publication

On parle de responsabilité.
Personne ne parle d'obligation.

Tu trouves responsable l'idée (si on augmente ton principe) de laisser crever des gens alors que tu aurais pu empêcher ça en informant juste la bonne personne, et tu peux dormir tranquille, pas moi. Ils ne sont pas payés pour faire la recherche? Qu'ils ne la fassent pas. Mais si ils trouvent, c'est de leur responsabilité (non légale) d'informer la bonne personne (et si l'upstream s'en fout, tant pis, ils auront fait ta part). Ils n'en n'ont pas l'obligation légale certes, mais cette non obligation n'enlève pas l'idée que ces personnes sont des salopards (sans les guillemets).

Tu as un conscience très sélective.

• Le point le plus important: la publication de découvertes de sécurité est une pratique dangereuse. Cela ne s'applique sans doute pas à linux, mais publier en son nom propre (même en suivant les pratiques de "responsible disclosure") expose le chercheur à des ripostes légales. Parfois prendre ce risque gratuitement ne vaut pas le coup.

Tu le dis toi-même : ça ne s'applique pas à Linux. Et ici, on parle de?
informer seulement l'upstream uniquement n'a jamais fait prendre des risques légaux dans ce milieu. Il y a même des confs dédiées à ça! Au pire on t'ignore (genre Microsoft), au mieux on te récompense nominativement et financièrement (hop, pratique tu perds ton argument "risque gratuit") (genre Mozilla et Google).

Les risques sont si tu t'attaques au système d'un autre (accès frauduleux genre si tu t'attaques au GIE carte bancaire, il y en a un qui en a fait les frais), ici tu peux t'attaquer à ton propre système, donc le seul risque et de te prendre un procès de toi-même, risque gérable.

Ne te cache pas devant des excuses fallacieuses pour te donner bonne conscience.

Se boucher les oreilles et crier lalalala n'est pas un argument valide.

Tu parles de toi?

La politique de sécurité de linux est puante

Ce n'est pas parce qu'elle ne te plait pas qu'elle est puante. C'est un choix. Qui a l'air de plaire.

La politique de sécurité de linux est puante et ce n'est pas parce que l'équipe de dev de linux se complait dans leur médiocrité que c'est comme ça que ça doit fonctionner.

Je t'en prie, propose mieux. En vrai, hein, pas en lalalala, pour démontrer qu'il est possible de mieux faire (en plus, tu dis toi-même que les "méchants" scannent les logs GIT, donc ça doit être aussi possible pour les "gentils").
Perso, je constate juste que Linux est sur tous les serveurs ou presque non pas parce que les commerciaux sont doués, mais parce qu'il répond au besoin technique (sécurité comprise, faut voir comparé à d'autres OS).

se complait dans leur médiocrité que c'est comme ça que ça doit fonctionner.

Je reprend ce bout de phrase, mais l'utilise pour ton "(Je connais personnellement des dizaines de personnes qui le font, moi y compris)".

Ils sont locaux et embauchent en france, non?

Il y a autre chose que des commerciaux Microsoft en France?

mais ça apprend plein de choses de faire tout à la main.

Oui, on peut tout faire à la main, même à manger, faire sa maison et son lit, et construire ses moyens de transports.
Si tu as le temps.

Perso, je ne sais pas comment tu fais, mais moi je n'ai pas le temps de tout faire à la main.
Alors quand on peut ne pas le faire… Surtout sur de la prod.
J'espère qu'on ne te paye pas pour perdre ton temps à apprendre des choses si peu utiles, sinon il y a de quoi râler de la part de celui qui paye si tu ne l'as pas mis au courant de ce que tu fais.

Oracle ne propose ksplice que pour son kernel maison

Euh… Je ne connais pas du tout à part le site web, mais sur le site web il y a RHEL, Fedora 2 versions, Ubuntu 4 versions.

Ensuite, peut être que je suis mauvaise langue, c'est vrai, ksplice inc avait réussi à avoir 70 clients en 2 ans d'existence, c'est pas mal.

Vu le domaine, c'est un marché de niche. Et c'est mieux d'avoir 70 clients à 1 Million que 1 million de client à 10€.
Ce nombre seul ne suffit pas dans ce domaine. On ne sait rien de la valorisation de la chose (Le prix d'achat na pas été rendu public à a connaissance)

kadalka est trolleur professionnel (mais contrairement à moi, il tape surtout dans le négatif) et commence à -10 vu la merde (ce n'est pas moi qui le dit, mais les utilisateurs de ce site) qu'il raconte d'habitude. La, en fait, il a déjà eu plein de "pertinent" sur ce commentaire.

sd n'a rien fait de mal en gardant pour lui ses résultats. Il n'a rien publié avant que ce soit connu, il ne s'est même pas plaint que ce soit devenu public. Il n'a rien fait d'irresponsable.

Tu arrives à rester sérieux en écrivant ça?
Bon, il sait que ça va exploser un jour, il a de quoi empécher l'explosion, mais il laisse exploser, c'est responsable de ton point de vue, le mec est un salopard du mien.

Ton argument d'autorité, tu peux le garder

Relit, je ne parles pas d'autorité, rien à faire de l'autorité.
Je dis simplement que les autres ont l'air de très bien vivre avec ça, et que personne n'arrive à proposer "mieux".
Je ne parle pas d'autorité, je dis juste que ça marche. Ensuite, libre (c'est beau le libre) à d'autres de te proposer une review de sécurité si ça vaut le coup.

le mec de grsecurity qui s'y connait "un peu" en sécurité linux

Tu es au courant qu'il y a un très faible nombre de gens qui utilisent grsecurity? Il faut croire que la vision de Spender n'attire pas plus foule que ça.

L'avantage du libre, c'est que tu peux, toi, proposer ta vision sans problèmes. Faut juste que les autres suivent. grsecurity est un très bon exemple, ses patchs sont jugés foireux, rejetés de la branche principale, et il est bloqué à Linux 3.4.4, ça manque un peu de réactivité…

Libre à toi d'avoir une autre politique de sécurité, chacun sa liberté et sa politique de sécurité (vive le libre), mais désolé, je n'accepte pas qu'on balance que ce comportement de salopard (pour reprend ton mot qui a bien sans les guillemets) est ce qu'on peut appeler, même de loin, responsable. c'est au mieux du je m'en foutiste, mais ici ce n'est pas le cas puisque la personne a codé une démo pour se faire mousser, donc la c'est l’irresponsabilité complète et/ou le plaisir de nuire.

De ce que je comprends de la définition de la haute disponibilité, même une panne matériel grave ne doit pas impacter les services.

Ce que j'en comprend, c'est que si tout est redondé, mais que pendant 2 minutes tu rebootes, ben tu as volontairement cassé ta redondance et donc tu es en période de danger. Donc toute suppression d'indispo est bonne à prendre, même tout redondé (justement car tu enlèves ta redondance lors du reboot).

Après, est-ce que ça vaut le coup de risquer une merde complexe avec ksplice ou tripler le matos… Question à laquelle je ne peux répondre (perso, je vois le matos comme pas cher de nos jours, je voterai pour tripler le matos plutôt, mais c'est 100% subjectif et certain matos est très cher).

Car quand je vois les problèmes, pour reloader dynamiquement un simple module python,

Troll: après, tu parles d'un langage de prototypage… ;-)

Je ne vois pas trop comment ça peut marcher ce truc…

Ca change les adresses pour les nouveaux appels, c'est vraiment pas idiot. Mais c'est pas trivial, donc pas fait par tous (genre Python que tu as cité : c'est peut-être pas leur priorité)

Le "salopard" en question ne fait que suivre ce qui est standard dans l'industrie de la sécurité, c'est à dire découvrir des bugs, coder l'exploit pour soi et attendre que ça tombe ailleurs. (Je connais personnellement des dizaines de personnes qui le font, moi y compris)

Ce genre de personne que tu décris est bien un salopard, pas besoin de mettre des guillemets.
Et non, ce n'est pas standard dans l'industrie de la sécurité, il y en a pas mal qui découvrent des bugs, codent l'exploit pour démontrer aux autres qu'il y a un réel problème, démonstration soit privée (responsible disclosure, la personne attend le patch puis se fais la pub, si ça tarde trop hop en public pour forcer le patch), soit en public lors des meeting de sécurité, et parfois empochent quelques milliers de $ en remerciement, soit un bon gros plaisir sadique de faire du 0-day (irresponsible disclosure).

2- Lorsqu'un développeur a trouvé le bug (une écriture en dehors du buffer !!) ils ont corrigé le bug sans même créer un CVE

Le développeur ne savait peut-être pas que ça posait un problème utilisable de sécurité. Si il faut faire un CVE pour chaque patch…

Ces personnes sont les véritables irresponsables, car un bug de sécurité a été publié dans la nature sans que le patch ne soit prêt à être déployé.

C'est à ma connaissance la politique de Linus depuis le début, ton irresponsable a quand même un CV en béton.
Libre à toi de critiquer cette façon de faire, libre à eux de considérer que l'industrie s’accommode très bien de cette façon de faire et de t'envoyer chier. Il te reste à démontrer que ta façon de faire est viable et meilleure. Eux démontrent, pas toi.

Et je suis convaincu que ce n'est pas le premier bug de sécurité publié ouvertement dans le git sans qu'il y ait le moindre CVE et backporté dans aucune distribution majeure.

Tant que ce n'est pas exploité, ça ne pose aucun problème. Sans compter que la plupart du temps, c'est non exploitable.

bien que Wikipedia indique que le module est libre.

Ce n'est plus le cas depuis qu'Oracle a pris le contrôle de la chose (merci Oracle…).

Perso, ce qui m'étonne est que personne (à ma connaissance) n'a forké la chose (c'était vraiment lire avant?), je me dis que j'en ai clairement pas l'utilité mais qu'il doit bien y avoir du monde qui aime la haute dispo.

C'est très intéressant un serveur que tu redémarres, donc indisponibilité et donc pas terrible du tout, pour mettre à jour un noyau alors qu'il n'y a pas eu de trou de sécurité et que donc c'est inutile pour toi.

pauvre Mme Michu! (elle s'en prend plein la gueule pour un oui ou pour un non alors qu'elle n'a rien demandé à personne)

Que ça te plaise ou pas, c'est statistiquement factuel, il faut que ça "pète" sur une chaine hifi toute pourrie, faut pas un silence, sinon pas de vente.
Saloperie de faits qui viennent factuellement dire que Mme Michu, qui n'est qu'un reflet statistique, veut ça.

Pauvres ingés-son!

Ne mélange pas : oui, la, c'est clairement les pauvres, car pour ceux que je connais un peu, ils pleurent de devoir massacrer leur travail sous peine de dégager.

pour sonner plus fort que les voisine.

Et d'après toi, c'est pour quelle raison? Attention tu risques de retomber sur la première phrase… Tu démontres toi-même que c'est Mme Michu le problème, tu parle qu'il faut que Mme Michu entende plus fort et donc tu sous-entends que plus c'est un son compressé, plus elle va acheter. Tu accuses l'industrie musicale (que tu généralises autant que Mme Michu, je pourrai te retourner un "pauvre industrie musicale, elle s'en prend plein la gueule pour un oui ou pour un non alors qu'elle n'a rien demandé à personne") mais démontre avec Mme Michu, très fort, l'industrie musicale doit vendre, ce n'est pas elle la coupable de l'achat, elle fait juste ce qui se vendra, tu inverses cause et conséquence. Si Mme Michu n'achète pas, l'industrie musicale ne fera pas.

C'est le problème de la cassette : sa capacité à reproduire la réalité est simplement un bonne grosse merde.
Qu'on supportait quand on était petit car pas le choix, mais maintenant on sait faire mieux.

C'est comme si tu disais que la VHS c'est génial (240i), c'est un problème d'enregistrement, ben non, c'est l'incapacité d'enregistrer 3000 lignes (4K) dessus, qualité d’enregistrement ou pas.

Ecouter, c'est faire le con?
C'est comme ça, les cassette, juste en écoutant, ça s'use.
Alors si c'est pour mettre la chose dans un coffre et ne pas écouter… Et encore, ça s'use aussi comme ça.
Les cassettes (audio ou vidéo), c'est simplement l'enfer pour les archivistes, ils ne comptent plus les œuvres perdues.

Je ne pense pas avoir été clair,

Au contraire, c'est un bon exemple : montrer qu'on n'a pas les mêmes sensibilités.

Par rapport aux supports analogiques, le son est sec et froid, sans dynamique.

En gros, tu nous dis que tu avais l'habitude d'un son pourri, et que tu te plains qu'on t'a mis un son plus proche de la réalité, c'est ça?
Parce que bon, la dynamique, elle est largement supérieure avec un CD malgré ce que tu imagines.

A ta décharge, ca fait cet effet pour pas mal de choses (HD vs SD, 60fps vs 30fps…)

Donc la musique que j'écoute c'est essentiellement celle que je siffle ou fredonne.

Ta vie doit être bien triste. Mais c'est peut-être un plaisir que de se limiter.

en parler ou l'écouter ne vaut pas grand chose.

Oui, et du coup, il faut appliquer tout ça à tout :
- Ne pas parler ou boire du vin des autres, le faire soit même
- Ne pas parler ou habiter un logement fait par les autres, le faire soit même
- Ne pas parler ou utiliser un PC fait par les autres, le faire soit même
- etc…

Je ne sais pas comme tu fais, mais moi, je ne sais pas faire, il y a 10 000 ans ça fonctionnait comme ça, tout à faire soit-même, mais c'était du coup pas beaucoup de choses et on mourrait tôt de tout ce travail.

La musique que tu siffles ou fredonnes n'est pas ce qu'il y a de mieux (sinon tu serais connu ;-) ), on peut aussi apprécier les compétences des autres. Ecouter la musique des autres vaut bien plus que tu ne le penses, c'est même une grande valeur, bien plus grande même pour soit que ce que tu siffles ou fredonnes (on ne peux pas être doué en tout).

La culture, ce ne sont pas des enregistrements poussiéreux, ou ce qui resterait quand tout est oublié

La, j'écoute du Pink Floyd d'il y a 40 ans, ce n'est qu'un exemple, ce n'est pas poussiéreux, ce n'est pas oublié, et c'est largement au dessus, niveau plaisir d'écoute, que ce que je ou tu peux siffler ou fredonner.

Et la musique, c'est comme le sport

Rien à voir : autant je ne regarde aucun sport (surtout celui où les 22 gars pourraient s'acheter un ballon perso plutôt que de courir après un seul) mais j'écoute de la musique, car la musique a pour but de te faire plaisir, en touchant une sensibilité. Et puis même, regarder d'autres jouer est aussi un plaisir que je conçois même si je ne le fais, il n'y rien de négatif dessus.

• J'ai décidé de faire confiance au système. »

Elle est belle celle la.
On ne décide pas d'avoir confiance ou pas, on a confiance ou pas.
Traduction de sa phrase : je n'ai pas confiance mais je me couche.

Pourquoi pars-tu d'hypothèses différentes pour le libre et le non libre :

Tu pars sur des hypothèses différentes que tu veux mettre dans ma bouche.

Libre : S'il faut développer

Si c'est déjà développé, la ligne coût de développement est à 0 et on continue de comparer, c'est quoi le problème?
Tu ne veux pas comparer, tu fuis avec une excuse "c'est pas comparable", par peur du résultat?

Libre Office coûte plus cher qu'MS Office ?

Mauvaise question, complètement orientée sur la conclusion que tu veux.
Honnêteté 0.
La question devrait être : pour un besoin donné (en terme de volume d'utilisation et de fonctionnalités, par exemple), lequel me coûtera le moins cher?
Ce n'est pas forcément Libre Office (c'est vraiment un très très mauvais exemple à cause de la qualité du produit pris en exemple…)

Ce sont les véritables questions.

Certainement pas.
Je peux toujours te faire un produit x moins cher qu'un produit y, vas-y demande n'importe quoi, je te sortirai x à 0€ même si le besoin n'est pas remplit (tu a l'air de n'avoir rien à faire du besoin, tu mets juste deux noms de produits face à face), si il ne répond pas au besoin ça te fera une belle jambe.

PS : quitte à me répéter, je n'ai émis aucun avis sur la rentabilité de tel ou tel licence, je parle ici que de la méthodologie pour faire gober tout et n'importe quoi. C'est le meilleur moyen de faire passer les libristes pour des idiots complets, chacun sa façon de militer certes…

Et?

Ce nombre tout seul n'apporte rien.
Si développer la même chose pour le même besoin en libre coûtait 10x plus, je bondirai sur cette dépense inutile comparé à du non libre à 1.5 milliard.

C'est bien le problème avec les intégristes qui utilisent le mot "privateur" : ils ne veulent pas comprendre que le non libre ne prive de rien mais apporte quelque chose (un service, et c'est ce qu'on demande), et qu'il faut comparer pour savoir si la dépense est bonne ou pas. Faudrait peut-être arrêter de prendre les gens pour des idiots dont un gros chiffre ferait déclencher on ne sait quoi alors qu'on ne chiffre pas l'équivalent si c'est le camp "d'en face" qui aurait été pris. Non, le libre n'est pas un dogme.

PS : je ne dis pas que l'Etat est intelligent dans ses choix et/ou qu'il a étudié le sujet pour dire que ça vaut le coup de prendre du non libre, je n'en sais absolument rien à part que la plupart du temps il ne se pose pas trop la question mais ça change doucement, je me focalise sur la non intelligence démontrée des gens se focalisant sur un nombre qui à lui seul n'apporte aucune information sur l’intérêt de prendre du libre à la place et qui voudraient me faire croire que c'est horrible ce qui est fait, comme ça, sans le moindre argument.

En gros, tu fais un journal qui va rester en gros dans les moteurs de recherche, qui traite chromium d'espion (le point d'interrogation n'étant pas lu par les gens comme une interrogation quand c'est dans le titre, car rarement utilisé comme interrogation mais plutôt comme provocation), avec un petit mea culpa dans les commentaires que personne ne lira?

Et ça ne te dérange pas trop de participer à un FUD (volontaire ou pas, le résultat est la)?

mais ne gagne rien pour lui-meme

La page sur comment payer pour être sur la liste blanche casse complètement ta tentative de différentiation…
La méthode est différente, mais le but est le même : ramener l'argent chez soit, Adblock compris.
La méthode est un peu différente, mais la démarche est identique.

Faut croire qu'Adblock compte sur la pub pour vivre, il n'a pas trouvé de modèle économique qui ne se base pas sur la pub (des autres).

Faudrait qu'Adblock ne joue pas avec sa liste blanche pour être crédible sur ses intentions "pour le bien de tous". Depuis sa possibilité de négocier à coup de fric, on sait qu'Adblock joue surtout pour son bien (de son compte en banque) comme les autres.

Vous êtes manipulés, et en êtes fiers.

Tu es bien prompt à faire des procès en moralité, je trouve.

Autant que toi à trouver légitime de consommer sans payer le prix affiché.
que tu le fasses, pourquoi pas, mais que tu trouves ça des plus légitimes, c'est juste impressionnant.

Pourquoi donner la priorité au choix de PCi sur mes propres choix ?

Parce qu'il y a un accord moral dessus?
Pourquoi vas-tu sur ce site si tu n'aimes pas?
Non, la réalité est bien différente : tu veux consommer sans payer (dans le cas de PCI, miracle tu peux payer en Euros plutôt qu'en pub). Libre à toi, tu peux, profite-en, mais ne vient pas dire ensuite que c'est horrible si le libre (par exemple, on peut prendre aussi un salaire pas bien haut comme référence) est utilisé de la même manière : c'est donnant-donnant sur les possibilités.

Sans vouloir casser le libre, pour information, à part les tests hard/soft (et encore, ça peut être juste à code ouvert, sans être libre), pas besoin du libre pour ça (ça sert uniquement si les gens veulent du libre pour contribuer, mais techniquement rien n’empêche de contribuer de la même manière sur du non libre).

C'est plus l'aspect communautaire que tu as réussi à mettre dedans qui t'as sans doute aidé.

Peut être même que petit à petit ces contributions occuperont une bonne place dans ton projet: c'est ce qui s'est passé pour Newton Adventure.

Par curiosité, quelle pourcentage (à la louche) aujourd'hui est des autres dans ton projet?