De toute manière c'est un peu hors-sujet l'OS dans la plupart des cas quand on parle de serveurs. La plupart des failles viennent des applis elles-même, il n'a a pas besoin d'élever des privilèges pour obtenir un shell, chiffrer ou exfiltrer des données sensibles.
Tu mentionnes la libraries log4j, la faille fonctionne autant sous linux que sous windows.
Et c'est pas l'OS qui va nous sauver des risques de library poisoning. de gestions de dépendances des librairies et de leur cycle de vie. On l'a vue avec le mainteneur de corejs qui s'est retrouvé plusieurs mois en prison, et là encore c'était vaguement pas trop mal géré dans le sens où il a prévenu avant que la sentence soit définitive mais malgré avoir délégué l'accès à son dépôt à une tierce personne les commits s'étaient réduits à peau de chagrin: https://github.com/zloirock/core-js/graphs/contributors
Même chose si un mainteneur meurt de manière subite, accepte d'introduire des failles ou ne voit pas que des contributions intègrent petit à petit des morceaux permettant de créer une faille (comme cela a été le cas sur le noyau linux via une équipe de recherche. On se rie souvent de l'ecosystem javascript/nodejs mais go, python, rust ou tout autre langage n'offrent aucune sécurité supplémentaire en rapport avec ces risques.
On a plein de souçis à se faire niveau sécurité et l'OS le plus sécurisé du monde n'y changera rien.
[^] # Re: Nuance...
Posté par Psychofox (Mastodon) . En réponse au journal Coût de piratage des serveurs Linux. Évalué à 7.
De toute manière c'est un peu hors-sujet l'OS dans la plupart des cas quand on parle de serveurs. La plupart des failles viennent des applis elles-même, il n'a a pas besoin d'élever des privilèges pour obtenir un shell, chiffrer ou exfiltrer des données sensibles.
Tu mentionnes la libraries log4j, la faille fonctionne autant sous linux que sous windows.
Et c'est pas l'OS qui va nous sauver des risques de library poisoning. de gestions de dépendances des librairies et de leur cycle de vie. On l'a vue avec le mainteneur de corejs qui s'est retrouvé plusieurs mois en prison, et là encore c'était vaguement pas trop mal géré dans le sens où il a prévenu avant que la sentence soit définitive mais malgré avoir délégué l'accès à son dépôt à une tierce personne les commits s'étaient réduits à peau de chagrin:
https://github.com/zloirock/core-js/graphs/contributors
Même chose si un mainteneur meurt de manière subite, accepte d'introduire des failles ou ne voit pas que des contributions intègrent petit à petit des morceaux permettant de créer une faille (comme cela a été le cas sur le noyau linux via une équipe de recherche. On se rie souvent de l'ecosystem javascript/nodejs mais go, python, rust ou tout autre langage n'offrent aucune sécurité supplémentaire en rapport avec ces risques.
On a plein de souçis à se faire niveau sécurité et l'OS le plus sécurisé du monde n'y changera rien.