• [^] # Re: ouais enfin non

    Posté par . En réponse au message Gros malin. Évalué à 3.

    Mon système télécharge le code source depuis le site de projets libres (ou le binaire de projets non-libres, mais ça j'évite), vérifie les checksums, puis compile et installe. Je ne fais pas confiance à un dépôt en particulier.

    admettons, tu tournes donc à partir des sources, et tu fais donc confiance au mainteneur du serveur pour verifier les sources et en calculer un checksum.

    et ton systeme est entierement compilé sur ta machine, tu n'as pas de paquet binaire percompilé, ca doit etre long le jour ou il faut mettre à jour firefox/openoffice/gimp... mais admettons.

    parce que sinon, tu telecharges un binaire precompilé dont le checksum est fournit par le meme serveur.

    si le serveur est detourné, ou que le binaire est verolé mais non controlé avant d'arrivé sur le depot,
    ben tu installeras toi aussi une verole sur ton poste.

    le probleme du depot, c'est le controle qui doit etre fait avant d'inserer un logiciel dedans,
    apple le fait, et se fait engueuler quand il est un peu trop severe,
    debian le fait et se fait engueuler quand il refuse certains projets en upstream
    google ne le fait pas, ou de maniere plus light, et se fait engueuler car ca diffuse certains adwares/spyware...