Un bug sécurité n'est pas juste un bug, et ne pas clarifier que ces bugs ont un impact sécurité est un énorme problème.
donc un bug de sécurité a un impact ... de sécurité? C'est bien ça?
Un bug qui t'empêche disons de connecter une caméra USB moi je ne peux rien en faire pour détruire ta vie ou tes finances.
Petit point de vue de la lorgnette. Imaginons que je monte un service de vidéosurveillance. Ton bug de caméra USB va détruire mes finances. A l'opposé, ton bug CVSS maxi plus bestof 11.0 qui permet de leak 2 bytes de la mémoire kernel, je m'en contrefiche. Ton bug ksmbd? mouhahaha, mais qui fait ça, en vrai? Par contre, m'expliquer qu'à cause de spectre, je vais perdre 30% de perfs, ça impacte fortement mes achats de serveurs. Et devoir subir un audit ou un zozo reprend la liste des CVE critiques genre "une socket mal fermée peut dans certains cas provoquer un leak de fd" et m'empêche d'avoir une certification car j'ai pas redémarré le datacenter suite à la dernière vuln alakon, bah ça impacte les finances.
Un bug qui me donne accès a distance a ta machine par contre, cela me permet de choper tout ce que tu fais sur ta machine : tes photos en string léopard, les mots de passe de ta banque, tes clefs Bitcoin, etc..
oui, alors ce genre de bug, c'est pas tous les bugs taggés "sécurité" qui permettent de faire ça, et c'est un problème (de taxonomie).
Et pour mes photos en string léopard, j'en suis très fier et je les poste publiquement, donc au pire si le pirate me les vole, ça me fera un backup de plus :D [et si le pirate voit mon niveau de finance, ça l'attendrira et il me donnera du fric devant le vide abyssal demon compte en banque]
Un bug sécurité est très différent et c'est bien pour cela que le monde de la sécurité trouve l'approche des gens du noyau complètement stupide.
Parcequ'ils ont le nez dans le guidon de la sécuritay! sécuritay!
99% des bugs sécurité valent pas un fifrelin. Publie une chaîne complète qui bypasse l'intégralité des défenses, et là, je veux bien en reparler. Et comme 99% des bugs sécu, c'est le fait des gens qui ont un ego démesuré, qui voudraient que le monde s'arrête pour prendre le temps de les flatter (et corriger le bug), ouais je crois que les devs kernels ont pris la bonne décision: un bug est un bug, et on le corrige. Pour le security circus, les posts de blogs, les name dropping, les petites glorioles, les "c'est la fin du monde", c'est pas par là.
[^] # Re: N'importe quoi...
Posté par octane . En réponse au journal L'entreprise est-elle responsable des fuites de données dans le cadre du télétravail ?. Évalué à 6.
donc un bug de sécurité a un impact ... de sécurité? C'est bien ça?
Petit point de vue de la lorgnette. Imaginons que je monte un service de vidéosurveillance. Ton bug de caméra USB va détruire mes finances. A l'opposé, ton bug CVSS maxi plus bestof 11.0 qui permet de leak 2 bytes de la mémoire kernel, je m'en contrefiche. Ton bug ksmbd? mouhahaha, mais qui fait ça, en vrai? Par contre, m'expliquer qu'à cause de spectre, je vais perdre 30% de perfs, ça impacte fortement mes achats de serveurs. Et devoir subir un audit ou un zozo reprend la liste des CVE critiques genre "une socket mal fermée peut dans certains cas provoquer un leak de fd" et m'empêche d'avoir une certification car j'ai pas redémarré le datacenter suite à la dernière vuln alakon, bah ça impacte les finances.
oui, alors ce genre de bug, c'est pas tous les bugs taggés "sécurité" qui permettent de faire ça, et c'est un problème (de taxonomie).
Et pour mes photos en string léopard, j'en suis très fier et je les poste publiquement, donc au pire si le pirate me les vole, ça me fera un backup de plus :D [et si le pirate voit mon niveau de finance, ça l'attendrira et il me donnera du fric devant le vide abyssal demon compte en banque]
Parcequ'ils ont le nez dans le guidon de la sécuritay! sécuritay!
99% des bugs sécurité valent pas un fifrelin. Publie une chaîne complète qui bypasse l'intégralité des défenses, et là, je veux bien en reparler. Et comme 99% des bugs sécu, c'est le fait des gens qui ont un ego démesuré, qui voudraient que le monde s'arrête pour prendre le temps de les flatter (et corriger le bug), ouais je crois que les devs kernels ont pris la bonne décision: un bug est un bug, et on le corrige. Pour le security circus, les posts de blogs, les name dropping, les petites glorioles, les "c'est la fin du monde", c'est pas par là.