Non je n'ai pas les compétences de faire un audit. Mais, par exemple, aujourd'hui je debug mon serveur DNS.
D'avoir le code source me permet de réparer un dysfonctionnement quand je le détecte et ensuite j'aurais des risques en moins sur mon système. Personnellement je ne peux _pas_ tester un code pour trouver un problème futur, mais je peux réagir très vite quand je trouve un problème.
J'ai corrigé un bug dans un outil (web) qu'on utilisait pour accéder à notre annuaire LDAP. La session n'était pas détruite lorsque l'utilisateur se déconnectait, cela permettait à un méchant de faire du vol de session, mais si l'utilisateur se déconnectait correctement.
J'ai corrigé un bug sur OpenLDAP qui permettait, sans authentification aucune, de faire tomber le serveur LDAP !
Parce que j'ai rencontré ces problèmes et que j'ai eu les informations à disposition, j'ai pu les résoudre, envoyer ça en upstream et aujourd'hui certains logiciels sont un poil plus sécurisé.
Quand le firewall checkpoint plantait, à part envoyer un 32ème mail d'insulte que ça fait trois mois qu'on attend, je pouvais rien faire.
C'est certain, je n'ai pas les capacités techniques de faire de la sécurité pro-active, mais, travaillant tous les jours avec des logiciels serveurs, je rencontre des bugs que personnes n'a rencontré et des fois je peux les corriger, sinon je les signale juste.
La responsabilité finale, peu importe la solution open ou closed source, c'est sur moi. Donc si je choisis du closed source et qu'il y a un problème, je prends dans les dents autant qu'avec l'open source, par contre avec l'open source j'arrive à corriger les bugs avant que les utilisateurs s'en rende compte car je testes l'utilisation du logiciel dans "mes" conditions avant de le donner à l'utilisateur.
"It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell
[^] # Re: Et ne pas avoir à protéger ces informations ?
Posté par Etienne Bagnoud . En réponse à la dépêche Threat modeling - Savez vous quelles sont les menaces qui guettent votre application ?. Évalué à 4.
D'avoir le code source me permet de réparer un dysfonctionnement quand je le détecte et ensuite j'aurais des risques en moins sur mon système. Personnellement je ne peux _pas_ tester un code pour trouver un problème futur, mais je peux réagir très vite quand je trouve un problème.
J'ai corrigé un bug dans un outil (web) qu'on utilisait pour accéder à notre annuaire LDAP. La session n'était pas détruite lorsque l'utilisateur se déconnectait, cela permettait à un méchant de faire du vol de session, mais si l'utilisateur se déconnectait correctement.
J'ai corrigé un bug sur OpenLDAP qui permettait, sans authentification aucune, de faire tomber le serveur LDAP !
Parce que j'ai rencontré ces problèmes et que j'ai eu les informations à disposition, j'ai pu les résoudre, envoyer ça en upstream et aujourd'hui certains logiciels sont un poil plus sécurisé.
Quand le firewall checkpoint plantait, à part envoyer un 32ème mail d'insulte que ça fait trois mois qu'on attend, je pouvais rien faire.
C'est certain, je n'ai pas les capacités techniques de faire de la sécurité pro-active, mais, travaillant tous les jours avec des logiciels serveurs, je rencontre des bugs que personnes n'a rencontré et des fois je peux les corriger, sinon je les signale juste.
La responsabilité finale, peu importe la solution open ou closed source, c'est sur moi. Donc si je choisis du closed source et qu'il y a un problème, je prends dans les dents autant qu'avec l'open source, par contre avec l'open source j'arrive à corriger les bugs avant que les utilisateurs s'en rende compte car je testes l'utilisation du logiciel dans "mes" conditions avant de le donner à l'utilisateur.
"It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell