De ce point de vue là, Debian est un peu le perdant de l’affaire... Ils sont obligés d’attendre qu’OpenSSL publie le correctif sur son propre dépôt, ou au moins qu’ils annoncent le correctif en même temps que la faille, donc Debian a nécessairement une longueur de retard.
Tout est question de savoir si ils ont été prévenu avant. Si tu veux pas trop que des gens sachent de quoi il en retourne exactement (ou alors tu fais signer un NDA à un gars de l'équipe sécu avant de lui filer le patch à tester), tu peux prévenir la veille en disant "attention, que quelqu'un soit prêt à appliquer un patch demain à 17h27".
Quelques heures de retard est encore acceptable, mais vaux mieux 1 heure que 4 heures, et surtout c'est mieux de savoir qu'un patch va arriver (est-ce que ça a été le cas? mystère)
Par contre ce billet où le gars annonce qu’il a pu corriger la faille sur ses services une semaine avant l’annonce de la faille n’honnore pas Yahoo,
En fait, ça n'honnore personne, c'est super-limite d'avoir priorisé des gens une semaine avant (une semaine, c'est long!), et ça n'honnore surtout pas Cloudfare qui en profite pour se faire de la promo "nous on est dans le secret des dieux".
[^] # Re: FreeBSD
Posté par Zenitram (site web personnel) . En réponse à la dépêche Nouvelle vulnérabilité dans l’implémentation OpenSSL. Évalué à 9.
Tout est question de savoir si ils ont été prévenu avant. Si tu veux pas trop que des gens sachent de quoi il en retourne exactement (ou alors tu fais signer un NDA à un gars de l'équipe sécu avant de lui filer le patch à tester), tu peux prévenir la veille en disant "attention, que quelqu'un soit prêt à appliquer un patch demain à 17h27".
Quelques heures de retard est encore acceptable, mais vaux mieux 1 heure que 4 heures, et surtout c'est mieux de savoir qu'un patch va arriver (est-ce que ça a été le cas? mystère)
En fait, ça n'honnore personne, c'est super-limite d'avoir priorisé des gens une semaine avant (une semaine, c'est long!), et ça n'honnore surtout pas Cloudfare qui en profite pour se faire de la promo "nous on est dans le secret des dieux".