« Donc on a un systeme qui a des failles. ce n'est pas "correct" dans le sens ou ca n'apporte rien qui ressemble a quelque chose de gentil, bon, secure, trusted, safe.»
C'est correct pour ce que ça vérifie, c'est tout. Par exemple "pas de bufferoverflow". C'est bien évident que "correct" dans l'absolu ça veut rien dire, personne ne prétend le contraire.
«Mais quelle valeur a ce certificat ? rien: du vent. Le certificat ne sert qu'à affirmer une identité. Et c'est tout à fait comparable à l'équipe Debian qui signe ces packages.»
Faux, archi faux. C'est un moyen pour toi de vérifier, plus vite que tu ne pourrais le faire sans, des propriétés sur ton programme. Ça n'a rien à voir avec une signature. Si ton certificat te permet de vérifier faclement que y'a pas de bufferoverflow, tu peux avoir sur ce point une confiance bien plus grande que la signature de Debian, qui dit elle "jusque là, on en a pas trouver, donc on vous file le truc".
« Sauf que dans le cas de Debian, ils donnent les sources, ils publient sur les ML et ils n'abusent pas des termes à la mode, secure, trusted, safe. »
Tu es en train d'insinuer que l'utilisation qui sera faite de ces technique sera proprio donc pas transparente. Je ne sais pas où tu a été pêcher ça. Des chercheurs peuvent faire leur proto en libre (c'est très souvent le cas), et les développeurs du libre ont le droit de regarder ce qui se prépare en recherche pour l'implémenter (c'est malheureusement moins souvent le cas).
«C'est une imposture parce qu'on utilise ces termes marketing pour vendre des programmes certifiés»
On utilise sans plus de précision ces termes dans les titres des papiers scientifiques, mais bon, faut pas lire que les titre... Dans le papier, on te dit précisement qu'est-ce qu'on va vérifier, les propriétés prises en compte, etc. Y'a pas d'embrouille.
Après, l'utilisation sans plus de détail de ces mots là a des fins marketing par des éditeurs de logiciels propriétaires existe, mais faut pas tout confondre, c'est surement pas les chercheurs qui en son responsable.
[^] # Re: Premier BIOS TCPA/Palladium
Posté par tgl . En réponse à la dépêche Premier BIOS TCPA/Palladium. Évalué à 4.
C'est correct pour ce que ça vérifie, c'est tout. Par exemple "pas de bufferoverflow". C'est bien évident que "correct" dans l'absolu ça veut rien dire, personne ne prétend le contraire.
«Mais quelle valeur a ce certificat ? rien: du vent. Le certificat ne sert qu'à affirmer une identité. Et c'est tout à fait comparable à l'équipe Debian qui signe ces packages.»
Faux, archi faux. C'est un moyen pour toi de vérifier, plus vite que tu ne pourrais le faire sans, des propriétés sur ton programme. Ça n'a rien à voir avec une signature. Si ton certificat te permet de vérifier faclement que y'a pas de bufferoverflow, tu peux avoir sur ce point une confiance bien plus grande que la signature de Debian, qui dit elle "jusque là, on en a pas trouver, donc on vous file le truc".
« Sauf que dans le cas de Debian, ils donnent les sources, ils publient sur les ML et ils n'abusent pas des termes à la mode, secure, trusted, safe. »
Tu es en train d'insinuer que l'utilisation qui sera faite de ces technique sera proprio donc pas transparente. Je ne sais pas où tu a été pêcher ça. Des chercheurs peuvent faire leur proto en libre (c'est très souvent le cas), et les développeurs du libre ont le droit de regarder ce qui se prépare en recherche pour l'implémenter (c'est malheureusement moins souvent le cas).
«C'est une imposture parce qu'on utilise ces termes marketing pour vendre des programmes certifiés»
On utilise sans plus de précision ces termes dans les titres des papiers scientifiques, mais bon, faut pas lire que les titre... Dans le papier, on te dit précisement qu'est-ce qu'on va vérifier, les propriétés prises en compte, etc. Y'a pas d'embrouille.
Après, l'utilisation sans plus de détail de ces mots là a des fins marketing par des éditeurs de logiciels propriétaires existe, mais faut pas tout confondre, c'est surement pas les chercheurs qui en son responsable.