Celà dit, ça va être dur de supplanter OpenSSH. Non seulement sur le plan fonctionnel, mais surtout en ce qui concerne la confiance des utilisateurs et des distros qui l'intègrent.
En effet, en suivant le cvs, on remarque vite qu'OpenSSH est régulièrement audité par des spécialistes renommés. Je me rappele avoir vu passer quelques corrections de bugs identifiées par Solaar designer ou Ulrich Drepper, par ex. Ou, pour s'en tenir à ces derniers mois, des corrections venant d'audits par l'outil d'analyse statique « coverty » de standford, par l'outil « Saturne » et par la Google Security Team.
Mais le gros de ce travail de (ré)audit permanent et d'amélioration continue de la sécurité tient à l'intégration d'OpenSSH dans un projet beaucoup plus large, OpenBSD. De là, de nombreux developpeurs d'OpenBSD participent régulièrement au ré-audit d'OpenSSH, avec en particulier des recherches ou améliorations « à thèmes » : séparation des privilèges (c'était il y a un moment déjà, mais plus récement: ), utilisation systématique de fonctions d'allocations renforcées ad hoc pour prévenir divers types de débordements, recherche systématique des int overflow, ré-audit systématique de la gestion des signaux, ré-audit systématique des paths d'erreurs, ...
Autrement dit, à mon sens, le succès d'OpenSSH vient aussi du fait que sa sécurité n'est pas seulement améliorée par ses développeurs (au sens strict), pas si nombreux, mais par une équipe beaucoup plus large de développeurs experts en sécurité, l'équipe d'OpenBSD (même les développeurs du noyau ou de la libc d'Open participent régulièrement à l'amélioration de la sécurité d'OpenSSH).
[^] # Re: historique de OpenSSH
Posté par herodiade . En réponse à la dépêche OpenSSH version 4.4 fait dans la finesse. Évalué à 10.
Celà dit, ça va être dur de supplanter OpenSSH. Non seulement sur le plan fonctionnel, mais surtout en ce qui concerne la confiance des utilisateurs et des distros qui l'intègrent.
En effet, en suivant le cvs, on remarque vite qu'OpenSSH est régulièrement audité par des spécialistes renommés. Je me rappele avoir vu passer quelques corrections de bugs identifiées par Solaar designer ou Ulrich Drepper, par ex. Ou, pour s'en tenir à ces derniers mois, des corrections venant d'audits par l'outil d'analyse statique « coverty » de standford, par l'outil « Saturne » et par la Google Security Team.
Mais le gros de ce travail de (ré)audit permanent et d'amélioration continue de la sécurité tient à l'intégration d'OpenSSH dans un projet beaucoup plus large, OpenBSD. De là, de nombreux developpeurs d'OpenBSD participent régulièrement au ré-audit d'OpenSSH, avec en particulier des recherches ou améliorations « à thèmes » : séparation des privilèges (c'était il y a un moment déjà, mais plus récement: ), utilisation systématique de fonctions d'allocations renforcées ad hoc pour prévenir divers types de débordements, recherche systématique des int overflow, ré-audit systématique de la gestion des signaux, ré-audit systématique des paths d'erreurs, ...
Autrement dit, à mon sens, le succès d'OpenSSH vient aussi du fait que sa sécurité n'est pas seulement améliorée par ses développeurs (au sens strict), pas si nombreux, mais par une équipe beaucoup plus large de développeurs experts en sécurité, l'équipe d'OpenBSD (même les développeurs du noyau ou de la libc d'Open participent régulièrement à l'amélioration de la sécurité d'OpenSSH).