Sinon pour revenir au sujet, le BSI a son GnuPG, l'ANSSI son Keepass
À ce sujet, il faut noter ce qui semble être une différence assez importante entr le fonctionnement de l’ANSSI et celui du BSI en matière de certification.
L’ANSSI ne certifie manifestement un logiciel que dans une version précise au patch level près, comme on peut le voir dans la liste des produits certifiés. Même pour les logiciels pour lesquels aucune version n’apparaît dans la liste (par exemple OpenVPN ou OLVID), le rapport de certification correspondant mentionne toujours une version précise (exemple avec OpenVPN). Toute version ultérieure, même mineure, doit nécessiter une nouvelle certification, parce que rien n’indique que la certification soit valable pour autre chose que la version expressément indiquée.
C’est ainsi par exemple que seule la version 1.4.10b de GnuPG a jamais été certifiée.
Le BSI, de son côté, s’il certifie aussi des versions précises, ne semble pas avoir de problèmes à également certifier des branches plutôt que des versions. C’est ainsi que c’est toute la branche 3.x de Gpg4Win (sous le nom GnuPG VS-Desktop, mais dans les faits c’est pareil) qui a été certifié. Cela recouvre les branches stables courantes de GnuPG (2.2.x) et de libgcrypt (1.8.x).
C’est une différence importante, parce que cela signifie que les développeurs peuvent continuer à corriger d’éventuels bugs dans les branches stables sans avoir à faire re-certifier le tout. Seul le passage à une nouvelle branche invalide la certification (par exemple, une version de GnuPG 2.2 compilée avec libgcrypt 1.9.4 n’est pas conforme, parce que la branche de développement 1.9.x de libgcrypt n’a pas été certifiée).
On peut discuter des avantages et inconvénients des deux approches, mais à première vue l’approche allemande me paraît plus réaliste.
[^] # Re: Quelle bombe !
Posté par gouttegd . En réponse au journal GnuPG devient économiquement viable et n’a plus besoin de dons. Évalué à 8.
À ce sujet, il faut noter ce qui semble être une différence assez importante entr le fonctionnement de l’ANSSI et celui du BSI en matière de certification.
L’ANSSI ne certifie manifestement un logiciel que dans une version précise au patch level près, comme on peut le voir dans la liste des produits certifiés. Même pour les logiciels pour lesquels aucune version n’apparaît dans la liste (par exemple OpenVPN ou OLVID), le rapport de certification correspondant mentionne toujours une version précise (exemple avec OpenVPN). Toute version ultérieure, même mineure, doit nécessiter une nouvelle certification, parce que rien n’indique que la certification soit valable pour autre chose que la version expressément indiquée.
C’est ainsi par exemple que seule la version 1.4.10b de GnuPG a jamais été certifiée.
Le BSI, de son côté, s’il certifie aussi des versions précises, ne semble pas avoir de problèmes à également certifier des branches plutôt que des versions. C’est ainsi que c’est toute la branche 3.x de Gpg4Win (sous le nom GnuPG VS-Desktop, mais dans les faits c’est pareil) qui a été certifié. Cela recouvre les branches stables courantes de GnuPG (2.2.x) et de libgcrypt (1.8.x).
C’est une différence importante, parce que cela signifie que les développeurs peuvent continuer à corriger d’éventuels bugs dans les branches stables sans avoir à faire re-certifier le tout. Seul le passage à une nouvelle branche invalide la certification (par exemple, une version de GnuPG 2.2 compilée avec libgcrypt 1.9.4 n’est pas conforme, parce que la branche de développement 1.9.x de libgcrypt n’a pas été certifiée).
On peut discuter des avantages et inconvénients des deux approches, mais à première vue l’approche allemande me paraît plus réaliste.