Mais justement, le journal ici est un exemple de ce que je dis: l'entreprise Lenovo a explicitement demandé le code fautif.
Pourtant:
1) vu que le public de Lenovo est principalement constitué de personne pour qui ça n'a pas d'importance, le nombre de personne qui part est négligeable.
2) même pour ceux pour qui c'est important, tel que l'auteur du journal, ils peuvent considérer que le produit de Lenovo est suffisamment bon que pour supporter le problème plutôt que boycotter Lenovo. C'est un effet de l'impossibilité de forker Lenovo en reprenant tout ses avantages.
3) qui sera viré ? où est le procès ?
Bref, l'exemple de Lenovo montre bien que ce n'est pas si dangereux que ça pour l'entreprise. Prise la main dans le sac, elle s'excuse, retire le truc et continue comme si de rien n'était.
Dans le libre, un acteur indépendant peut effectivement tenter le coup, mais on s'en fout: ce qui est important, c'est que tout les autres types n'ont vraiment pas envie de perdre la confiance des utilisateurs à cause d'une autre personne, et ces autres types ont donc intérêt à eux-mêmes empêcher cette personne de faire quelque chose de mauvais.
À propos de "qui te dis que la faiblesse de SSH dans Debian n'était pas volontaire", c'est prendre le problème à l'envers: tout les bugs peuvent être en réalité volontaire. Par contre, toutes les failles ne peuvent pas avoir l'air d'avoir été involontaire, et ça limite très fortement ce qui peut être fait. Il n'est pas impossible que la faille dans SSH soit volontaire, même si l'explication de son origine est cohérente (on peut prouver que sans la modification, le logiciel ne compilait en effet pas. C'est quand même extrêmement chanceux si la faille est volontaire).
En plus, soit la faille est dans le logiciel de base, et dans ce cas, on risque de la découvrir à chaque paquetage dans chaque distribution différente, soit la faille est rajoutée dans le paquet dans une distribution, et là, difficile de faire croire que c'est un bug volontaire (pourquoi un paqueteur changerait du code sans raison).
Dans le cas d'un logiciel proprio, si ce genre de truc est découvert, vu que le paqueteur et le créateur du logiciel sont les mêmes, c'est assez facile de prétendre à un bug de production, et ce pour pratiquement toutes les failles.
[^] # Re: Trivial avec du proprio, mais pas impossible avec du libre
Posté par j-c_32 . En réponse au journal Superfish ou: j'ai rien compris au logiciel propriétaire. Évalué à 3.
Mais justement, le journal ici est un exemple de ce que je dis: l'entreprise Lenovo a explicitement demandé le code fautif.
Pourtant:
1) vu que le public de Lenovo est principalement constitué de personne pour qui ça n'a pas d'importance, le nombre de personne qui part est négligeable.
2) même pour ceux pour qui c'est important, tel que l'auteur du journal, ils peuvent considérer que le produit de Lenovo est suffisamment bon que pour supporter le problème plutôt que boycotter Lenovo. C'est un effet de l'impossibilité de forker Lenovo en reprenant tout ses avantages.
3) qui sera viré ? où est le procès ?
Bref, l'exemple de Lenovo montre bien que ce n'est pas si dangereux que ça pour l'entreprise. Prise la main dans le sac, elle s'excuse, retire le truc et continue comme si de rien n'était.
Dans le libre, un acteur indépendant peut effectivement tenter le coup, mais on s'en fout: ce qui est important, c'est que tout les autres types n'ont vraiment pas envie de perdre la confiance des utilisateurs à cause d'une autre personne, et ces autres types ont donc intérêt à eux-mêmes empêcher cette personne de faire quelque chose de mauvais.
À propos de "qui te dis que la faiblesse de SSH dans Debian n'était pas volontaire", c'est prendre le problème à l'envers: tout les bugs peuvent être en réalité volontaire. Par contre, toutes les failles ne peuvent pas avoir l'air d'avoir été involontaire, et ça limite très fortement ce qui peut être fait. Il n'est pas impossible que la faille dans SSH soit volontaire, même si l'explication de son origine est cohérente (on peut prouver que sans la modification, le logiciel ne compilait en effet pas. C'est quand même extrêmement chanceux si la faille est volontaire).
En plus, soit la faille est dans le logiciel de base, et dans ce cas, on risque de la découvrir à chaque paquetage dans chaque distribution différente, soit la faille est rajoutée dans le paquet dans une distribution, et là, difficile de faire croire que c'est un bug volontaire (pourquoi un paqueteur changerait du code sans raison).
Dans le cas d'un logiciel proprio, si ce genre de truc est découvert, vu que le paqueteur et le créateur du logiciel sont les mêmes, c'est assez facile de prétendre à un bug de production, et ce pour pratiquement toutes les failles.