> J'adore Debian, mais il me faut un peu plus qu'"un désolé on a
> merdé", j'espère une sérieuse reflexion sur
J'aimerais savoir combien de développeur d'OpenSSH utilisent debian comme poste de travail ?
S'ils sont plusieurs, eux non plus n'auraient pas regarder leur propre code ni vu l'erreur...
Sinon, y a pas moyen de faire un md5sum des clefs et de regarder la répartition de ces clefs dans un espace pour voir la bonne équi-répartition ? Certes, debian a merdé, mais comme beaucoup le disent, OpenSSL et OpenSSH n'ont pas de programme de vérification /a posteriori/ ?
Lorsque je programmais plus, on considérait que le code était valide s'il passait tous les cas tests. Si un codeur n'était pas content parce qu'on lui cassait une fonctionalité, on le renvoyait à l'écriture d'un cas test ;-)
Avoir des patch signé, reviewé, co-signé... C'est bien mais tout cela reste bien humain et parfois cela n'empêche de faire des grosses conneries. Il suffit de voir le nombre de personnes travaillant par exemple autour des ministres et d'entendre parfoit les grosses bourdes qu'ils font... (autre exemple, l'hélice du Charles de Gaule)
Mesurer l'aléa sur des programmes de crytographie me semble faisable et une distribution pourrait lancer le test avant de sortir une version stable de sa distribution. Un peu comme les tests ACID et autres pour les navigateurs.
Bref, pour prendre exprès le contrepied de certaines opinions qui se sont exprimés ici, développer un programme comme openssl ou openssh sans avoir un environnement permettant de valider de manière automatique (ou semi auto) la solidité de l'implémentation me semble peu cohérent.
Je précise pour finir que je ne sais pas du tout comment sont développé openssl et openssh en pratique.
[^] # Re: Une réaction sur Debian Planet en français
Posté par Sytoka Modon (site web personnel) . En réponse à la dépêche Découverte d'une faille de sécurité critique dans OpenSSL de Debian. Évalué à 4.
> merdé", j'espère une sérieuse reflexion sur
J'aimerais savoir combien de développeur d'OpenSSH utilisent debian comme poste de travail ?
S'ils sont plusieurs, eux non plus n'auraient pas regarder leur propre code ni vu l'erreur...
Sinon, y a pas moyen de faire un md5sum des clefs et de regarder la répartition de ces clefs dans un espace pour voir la bonne équi-répartition ? Certes, debian a merdé, mais comme beaucoup le disent, OpenSSL et OpenSSH n'ont pas de programme de vérification /a posteriori/ ?
Lorsque je programmais plus, on considérait que le code était valide s'il passait tous les cas tests. Si un codeur n'était pas content parce qu'on lui cassait une fonctionalité, on le renvoyait à l'écriture d'un cas test ;-)
Avoir des patch signé, reviewé, co-signé... C'est bien mais tout cela reste bien humain et parfois cela n'empêche de faire des grosses conneries. Il suffit de voir le nombre de personnes travaillant par exemple autour des ministres et d'entendre parfoit les grosses bourdes qu'ils font... (autre exemple, l'hélice du Charles de Gaule)
Mesurer l'aléa sur des programmes de crytographie me semble faisable et une distribution pourrait lancer le test avant de sortir une version stable de sa distribution. Un peu comme les tests ACID et autres pour les navigateurs.
Bref, pour prendre exprès le contrepied de certaines opinions qui se sont exprimés ici, développer un programme comme openssl ou openssh sans avoir un environnement permettant de valider de manière automatique (ou semi auto) la solidité de l'implémentation me semble peu cohérent.
Je précise pour finir que je ne sais pas du tout comment sont développé openssl et openssh en pratique.