Ce n'est pas de toi dont je parlais, nous savons bien tous ici que tu n'as aucune haine contre ce système d'exploitation (il n'y a aucune attaque dans cette phrase).
Tes arguments sont recevables, mais ils ne contredisent pas les miens. Je ne me fais aucune illusion, avec une distribution libre, nous sommes potentiellement soumis au même risque, que nous ayons accès aux sources ou non. La proportion de personnes lisant les sources, et étant en mesure de faire une analyse assez poussée pour détecter une faille vicieusement introduite est absolument ridicule.
Alors oui, il est plus simple de le faire sur du code fermé, il n'y a pas à écrire du code vicieux qui passe pour du code anodin, mais à mon sens c'est négligeable. Vu les moyens de la NSA, entre introduire une backdoor visible dans le code avec une procédure de collaboration de Microsoft ou introduire une backdoor avec du code vicieux en apparence anodin dans une distribution libre, ils ont probablement les moyens de faire les deux.
Quand je parlais de bugs, il fallait lire code au comportement anodin ayant un effet différent que celui qui est affiché, comprendre que ça inclue les failles potentiellement volontaire.
Pour moi, l'accès au code source, et la possibilité de compilation de code modifié, offre plein d'avantages, mais pas celui de lutter contre des backdoors volontairement introduites, dans un cas on a une procédure de pression sur l'éditeur, dans l'autre cas on a un déploiement de trésors d'inventivité comme la modification de l'aléa des générateurs pseudo-aléatoire, la proposition d’algorithme cryptographique, l'écriture de code très vicieux. La NSA ne semble être à court ni de moyens ni d'inventivité.
[^] # Re: 1994
Posté par jben . En réponse au journal TrueCrypt, la fin ?. Évalué à 3.
Ce n'est pas de toi dont je parlais, nous savons bien tous ici que tu n'as aucune haine contre ce système d'exploitation (il n'y a aucune attaque dans cette phrase).
Tes arguments sont recevables, mais ils ne contredisent pas les miens. Je ne me fais aucune illusion, avec une distribution libre, nous sommes potentiellement soumis au même risque, que nous ayons accès aux sources ou non. La proportion de personnes lisant les sources, et étant en mesure de faire une analyse assez poussée pour détecter une faille vicieusement introduite est absolument ridicule.
Alors oui, il est plus simple de le faire sur du code fermé, il n'y a pas à écrire du code vicieux qui passe pour du code anodin, mais à mon sens c'est négligeable. Vu les moyens de la NSA, entre introduire une backdoor visible dans le code avec une procédure de collaboration de Microsoft ou introduire une backdoor avec du code vicieux en apparence anodin dans une distribution libre, ils ont probablement les moyens de faire les deux.
Quand je parlais de bugs, il fallait lire code au comportement anodin ayant un effet différent que celui qui est affiché, comprendre que ça inclue les failles potentiellement volontaire.
Pour moi, l'accès au code source, et la possibilité de compilation de code modifié, offre plein d'avantages, mais pas celui de lutter contre des backdoors volontairement introduites, dans un cas on a une procédure de pression sur l'éditeur, dans l'autre cas on a un déploiement de trésors d'inventivité comme la modification de l'aléa des générateurs pseudo-aléatoire, la proposition d’algorithme cryptographique, l'écriture de code très vicieux. La NSA ne semble être à court ni de moyens ni d'inventivité.