Je répondrai avec trois arguments/questions, le premier étant nouveau je commencerai par celui-là:
1) Est-ce que cette sécurité est bien fonctionnelle ? qu'est-ce qui permet, au moyen de Wayland, à l'utilisateur de pouvoir correctement attribuer un niveau de confiance par rapport à ce qui s'affiche à l'écran ou d'enregistrer des entrées ? Car, si je comprends bien, c'est à ça que se résume la sécurité d'un /display manager/. En d'autres mots, qu'est-ce qui empêche une application malveillante de reproduire fidèlement et de manière indiscernable mon navigateur web de telle sort que je lui fasse confiance pour introduire des informations à protéger ? QubesOS et picker issu de DROPS/L4 attribuent pour ce faire une couleur différente au cadre de fenêtre, la couleur permettant à l'utilisateur d'attribuer la confiance ou pas. Il y a-t-il quelque chose de similaire sous wayland ? ou du moins prévu sur papier ? (je redoute de recevoir comme réponse que c'est à la discrétion du compositeur... super :p )
2) Est-ce que cela est suffisant ? En reprenant l'exemple des couleurs, est-ce que l'utilisateur fera systématiquement une vérification du niveau de confiance, et sans jamais se tromper ?
3) Pour reprendre votre paraphrase et afin de réexpliquer mon précédent commentaire, n'est-ce pas vouloir boucher le trou dans la coque d'un bateau qui coule ? Pour moi le simple fait de devoir se poser la question de pouvons nous faire ou non confiance dans une application "graphique" est complètement aberrant. Car c'est admettre que le système est déja compromis... Du coups le rapport de la sécurité ajoutée (ce qui reste à démontrer*) par rapport au coût me semble bien faible. Car il a potentiellement une foultitude de moyens différents pour obtenir ces informations, sans passer nécessairement par la couche graphique... On peut rester en désaccord sur ce point. Néanmoins, un bon parano se doit de se considérer comme déja compromis.
*: l'article wayland-compositors-why-and-how-to-handle, outre le fait de passer sur de nombreux "détails" qui "restent à définir" (la "policy"), ne me semble pas assez rigoureux. Btw, qu'est-ce qui nous empêche aujourd'hui de lancer un serveur X par application et d'y ajouter un arbitre pour les interactions inter-applications (touches globales, copie d'écran, drag&drop,etc) ? Pourquoi on ne le fait pas ? Amha cela revient à régler les même problèmes de "policy" avec Wayland... Donc il me semble que la complexité d'un tel arbitre est soit largement sous-estimée soit volontairement passée sous silence.
[^] # Re: Mir et Wayland périmés
Posté par benja . En réponse à la dépêche Sortie d’Ubuntu 16.04 LTS Xenial Xerus. Évalué à 4.
Je répondrai avec trois arguments/questions, le premier étant nouveau je commencerai par celui-là:
1) Est-ce que cette sécurité est bien fonctionnelle ? qu'est-ce qui permet, au moyen de Wayland, à l'utilisateur de pouvoir correctement attribuer un niveau de confiance par rapport à ce qui s'affiche à l'écran ou d'enregistrer des entrées ? Car, si je comprends bien, c'est à ça que se résume la sécurité d'un /display manager/. En d'autres mots, qu'est-ce qui empêche une application malveillante de reproduire fidèlement et de manière indiscernable mon navigateur web de telle sort que je lui fasse confiance pour introduire des informations à protéger ? QubesOS et picker issu de DROPS/L4 attribuent pour ce faire une couleur différente au cadre de fenêtre, la couleur permettant à l'utilisateur d'attribuer la confiance ou pas. Il y a-t-il quelque chose de similaire sous wayland ? ou du moins prévu sur papier ? (je redoute de recevoir comme réponse que c'est à la discrétion du compositeur... super :p )
2) Est-ce que cela est suffisant ? En reprenant l'exemple des couleurs, est-ce que l'utilisateur fera systématiquement une vérification du niveau de confiance, et sans jamais se tromper ?
3) Pour reprendre votre paraphrase et afin de réexpliquer mon précédent commentaire, n'est-ce pas vouloir boucher le trou dans la coque d'un bateau qui coule ? Pour moi le simple fait de devoir se poser la question de pouvons nous faire ou non confiance dans une application "graphique" est complètement aberrant. Car c'est admettre que le système est déja compromis... Du coups le rapport de la sécurité ajoutée (ce qui reste à démontrer*) par rapport au coût me semble bien faible. Car il a potentiellement une foultitude de moyens différents pour obtenir ces informations, sans passer nécessairement par la couche graphique... On peut rester en désaccord sur ce point. Néanmoins, un bon parano se doit de se considérer comme déja compromis.
*: l'article wayland-compositors-why-and-how-to-handle, outre le fait de passer sur de nombreux "détails" qui "restent à définir" (la "policy"), ne me semble pas assez rigoureux. Btw, qu'est-ce qui nous empêche aujourd'hui de lancer un serveur X par application et d'y ajouter un arbitre pour les interactions inter-applications (touches globales, copie d'écran, drag&drop,etc) ? Pourquoi on ne le fait pas ? Amha cela revient à régler les même problèmes de "policy" avec Wayland... Donc il me semble que la complexité d'un tel arbitre est soit largement sous-estimée soit volontairement passée sous silence.