Ce qui pose question, c'est que les paquets Debian sont assez "obscures". Un gros patch (108 files changed, 3876 insertions(+), 722 deletions(-)) au-lieu de séparer les patchs. Les autres distributions (non basées sur Debian) séparent les patchs, ça facilite grandement l'audit et les remontés upstream.
Là c'est plutot faux en général.
La politique générale de packaging depuis un moment est justement de séparer les patches sur les sources upstream et de les appliquer à la compilation.
Les paquets avec un gros patch debian/ + upstream n'existent quasiment plus, et un format de paquet dit "wig and pen" et à l'étude, où le dossier debian/ serait carrément distribué séparement, forcant les patch upstream a etre séparé des modifs de packaging.
Ce qui pose question, est que Debian veut faire de la sécurité et se prétend meilleur que les projets upstreams (voire par exemple le débat avec Mozilla/Firefox où Debian voulait faire les patchs de sécurité et n'aimait pas que Mozilla audite ses patchs). Dans le domaine de la sécurité, c'est l'upstream qui faut absolument privilégier.
Oui et non.
Tout dépend de ce que tu entends par "faire de la sécurité". En particulier, upstream ne se soucie en général pas des interactions de son programme avec le reste de la distribution, ce que debian gère. De ce point de vue là, debian peux avoir à modifier des programmes sans qu'upstream se sente concerné.
Ce qui pose question aussi, c'est Canonical. Ça la fout mal pour sa crédibilité en entreprise (genre "on vous vend un truc, mais on audite rien").
C'est valable pour énormément de paquets des multiverse, universe et compagnie. Cela montre aussi l'énorme dépendance de Ubuntu envers le packaging Debian.
[^] # Re: Limite du développement bénévole
Posté par Romain Be. . En réponse à la dépêche Découverte d'une faille de sécurité critique dans OpenSSL de Debian. Évalué à 5.
Là c'est plutot faux en général.
La politique générale de packaging depuis un moment est justement de séparer les patches sur les sources upstream et de les appliquer à la compilation.
Les paquets avec un gros patch debian/ + upstream n'existent quasiment plus, et un format de paquet dit "wig and pen" et à l'étude, où le dossier debian/ serait carrément distribué séparement, forcant les patch upstream a etre séparé des modifs de packaging.
Ce qui pose question, est que Debian veut faire de la sécurité et se prétend meilleur que les projets upstreams (voire par exemple le débat avec Mozilla/Firefox où Debian voulait faire les patchs de sécurité et n'aimait pas que Mozilla audite ses patchs). Dans le domaine de la sécurité, c'est l'upstream qui faut absolument privilégier.
Oui et non.
Tout dépend de ce que tu entends par "faire de la sécurité". En particulier, upstream ne se soucie en général pas des interactions de son programme avec le reste de la distribution, ce que debian gère. De ce point de vue là, debian peux avoir à modifier des programmes sans qu'upstream se sente concerné.
Ce qui pose question aussi, c'est Canonical. Ça la fout mal pour sa crédibilité en entreprise (genre "on vous vend un truc, mais on audite rien").
C'est valable pour énormément de paquets des multiverse, universe et compagnie. Cela montre aussi l'énorme dépendance de Ubuntu envers le packaging Debian.