Je trouve assez curieux cet acharnement pour défendre la longueur de l'embargo
Personnellement, je trouve que c'est un embargo un peu long. Mais, vu qu'on parle d'une faille qui est là depuis 10 ans, et qui, dans le contexte actuel n'est pas si critique que ça, on n'est pas à 2 mois près. Surtout si on critique la longueur car ça permet à la NSA de l'exploiter, il y a des chances que ça fasse longtemps qu'ils étaient au courant.
l'erreur de donner l'accord (Edit: qui est une erreur, et une illustration des risques de faiblesse avec les embargos) ne leur appartient tout simplement pas
Sauf qu'il est possible que les auteurs aient donner leur accord de peur qu'OpenBSD publie le patch avec les explications de la faille, ce qui aurait été pire question embargo.
Et ce n'est pas comme si du côté de Linux ça aime plus les embargos, je dirais même que Linus Torvalds est bien plus extrême en la matière, si ça ne tenait qu'à lui il n'y aurait même pas d'embargo court, et les embargos pour Linux, arrivés malgré Linus, ont actuellement une limite très faible (entre 14 et 19 jours max, avec préférence pour moins de 7 jours, d'après un lwn d'il y a quelques années).
Ce n'est pas vraiment comparable, OpenBSD, c'est un OS complet. Pas juste un noyau. Les failles qui impactent plusieurs noyaux différents, il ne doit pas y en avoir des masses (à part Stack Clash, je n'ai pas d'exemple récent en tête et l'embargo a été de plus d'un mois, alors qu'il y avait moins de monde concerné). Par contre, du côté OS, il y a beaucoup plus de code ou de protocole commun, et donc plus de chance d'avoir des failles avec beaucoup d'acteurs impliqués.
Donc, si on prends une grosse faille comme DirtyCow, on n'est dans un cas avec une poignée d'acteurs (les dev kernel et quelques distributions majeures ayant accès à ces embargo) qui bossent plus ou moins sur la même base de code. C'est donc normal que ça aille beaucoup plus vite. Par exemple, l'embargo sur oss-sec est de 14 à 19 jours normalement.
Cela dit, il est bien possible que le comportement de Linus n'aide pas le kernel à être inclus dans ces embargo multi OS. Et il est bien possible que si ça s'était présenté avec Linux dans la boucle, les même critiques se seraient tourner sur Linus. Et d'ailleurs, j'ai l'impression que les gens se tournent vers les équipes de sécurités des distributions plutôt que vers l'équipe du kernel directement quand il s'agit de parler de faille.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
[^] # Re: En parlant de lire ...
Posté par claudex . En réponse au journal Alerte du 16 octobre en cours : wpa_supplicant souffre d'une faille de sécurité. Évalué à 4.
Personnellement, je trouve que c'est un embargo un peu long. Mais, vu qu'on parle d'une faille qui est là depuis 10 ans, et qui, dans le contexte actuel n'est pas si critique que ça, on n'est pas à 2 mois près. Surtout si on critique la longueur car ça permet à la NSA de l'exploiter, il y a des chances que ça fasse longtemps qu'ils étaient au courant.
Sauf qu'il est possible que les auteurs aient donner leur accord de peur qu'OpenBSD publie le patch avec les explications de la faille, ce qui aurait été pire question embargo.
Ce n'est pas vraiment comparable, OpenBSD, c'est un OS complet. Pas juste un noyau. Les failles qui impactent plusieurs noyaux différents, il ne doit pas y en avoir des masses (à part Stack Clash, je n'ai pas d'exemple récent en tête et l'embargo a été de plus d'un mois, alors qu'il y avait moins de monde concerné). Par contre, du côté OS, il y a beaucoup plus de code ou de protocole commun, et donc plus de chance d'avoir des failles avec beaucoup d'acteurs impliqués.
Donc, si on prends une grosse faille comme DirtyCow, on n'est dans un cas avec une poignée d'acteurs (les dev kernel et quelques distributions majeures ayant accès à ces embargo) qui bossent plus ou moins sur la même base de code. C'est donc normal que ça aille beaucoup plus vite. Par exemple, l'embargo sur oss-sec est de 14 à 19 jours normalement.
Cela dit, il est bien possible que le comportement de Linus n'aide pas le kernel à être inclus dans ces embargo multi OS. Et il est bien possible que si ça s'était présenté avec Linux dans la boucle, les même critiques se seraient tourner sur Linus. Et d'ailleurs, j'ai l'impression que les gens se tournent vers les équipes de sécurités des distributions plutôt que vers l'équipe du kernel directement quand il s'agit de parler de faille.
« Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche