Une fois sortie de sa botte l'aiguille parait bien bien poitue, encore faut il la trouver dans la masse de foin...
Quand au code crade, c'est juste pour ne pas dépareiller avec le reste de l'implémentation historique d'openssl.
Il y a une grande différence entre établir une RFC et l'implémenter. OpenSSL est le standard de-facto pour toute nouvelle implémentation, donc souvent la première implémentation est pluôt naive et sert à valider le fonctionnement.
( J'aimerai bien voir du code de schneier... ) On peut être un très bon théoricien et moins porté sur le code.
Il me parait évident qu'avant d'arriver à la communauté ce doit etre revu et corrigé - par de nombreuses personnes -. Le code est là depuis deux ans, personne d'autre que des spécialistes n'en a parlé avant...
Je fais partie des gens qui ont sélectionné openssl avec un pleine confiance en la revue qui était faite et je m'inclus dans le fait qu'on a pas eu l'oeil assez critique sur la masse de changements arrivant avec toutes les nouvelles RFC supportées par 1.0.1.
Avec openssl comme avec tout programme incluant de la sécurité il faut n'ajouter que le stricte nécessaire. On se demande encore qui utilise le heartbeat dans la nature... a part pour en abuser des effets indésirables...
C'est un avertissement, il faut y réagir sereinement et être un peu plus circonspect sur les prochains ajouts.
[^] # Re: un effet Snowden?
Posté par philippe lhardy (site web personnel, Mastodon) . En réponse à la dépêche Nouvelle vulnérabilité dans l’implémentation OpenSSL. Évalué à 1.
Une fois sortie de sa botte l'aiguille parait bien bien poitue, encore faut il la trouver dans la masse de foin...
Quand au code crade, c'est juste pour ne pas dépareiller avec le reste de l'implémentation historique d'openssl.
Il y a une grande différence entre établir une RFC et l'implémenter. OpenSSL est le standard de-facto pour toute nouvelle implémentation, donc souvent la première implémentation est pluôt naive et sert à valider le fonctionnement.
( J'aimerai bien voir du code de schneier... ) On peut être un très bon théoricien et moins porté sur le code.
Il me parait évident qu'avant d'arriver à la communauté ce doit etre revu et corrigé - par de nombreuses personnes -. Le code est là depuis deux ans, personne d'autre que des spécialistes n'en a parlé avant...
Je fais partie des gens qui ont sélectionné openssl avec un pleine confiance en la revue qui était faite et je m'inclus dans le fait qu'on a pas eu l'oeil assez critique sur la masse de changements arrivant avec toutes les nouvelles RFC supportées par 1.0.1.
Avec openssl comme avec tout programme incluant de la sécurité il faut n'ajouter que le stricte nécessaire. On se demande encore qui utilise le heartbeat dans la nature... a part pour en abuser des effets indésirables...
C'est un avertissement, il faut y réagir sereinement et être un peu plus circonspect sur les prochains ajouts.