Moi aussi je me réjouis d'utiliser un système libre, à chaque fois qu'un nouveau vers/virus/spyware/malware se répand en masse et cause bcp de tracas à tout le monde ... sauf à moi nous ! Mais il ne faut pas trop pavaner non plus : Linux (et *BSD, OpenSolaris, Hurd ... ah, non pas Hurd, il est encore trop lent) ne sont pas à l'abri d'une faille comme celle-ci, et on annonce d'ailleurs très régulièrement des "dépassement de tampon", "escalade de droits" ou "deni de service" potentiels.
Un autre aspect important, c'est l'attitude de celui qui a précocement connaissance de la faille. Découvrir un bug, notamment en terme de sécurité, et développer un code de démonstration (proof of concept) est particulièrement difficile. Le découvreur, fier de son travail, est avide de reconnaissance, c'est humain. Ensuite, c'est en bonne partie la licence du logiciel buggé qui va faire de lui un Gentil Hacker ou un Méchant Cracker :
- Dans le cas d'un logiciel libre, quelques posts sur la mailing list de développement, un patch de quelques lignes, et il a son nom dans la liste des contributeurs, la reconnaissance de la communauté, la gloire, les filles se jettent à ses pieds ... heu, ptêt pas quand même. L'ouverture du code permet en tout cas aux plus rapides de développer et publier un patch en quelques heures ou dizaines d'heures ! Ce genre de performance peut se monnayer avec un employeur.
- Par contre, face à un logiciel propriétaire, fermé, breveté, comment faire valoir ses compétences et ses efforts de reverse-engineering ? Faire un rapport de bug sera au mieux traité dans la prochaine version, souvent dans plusieurs mois, selon la bonne volonté de l'éditeur. C'est marrant, plus c'est fermé, moins ils ont de bonne volonté, les éditeurs ... Mais au pire, celui qui divulgue une vulnérabilité peut se retrouver accusé de diffamation, et traîné devant les tribunaux ! (cf. l'affaire Guillermito). Alors certains passent carrément du côté obscur, décident de remuer le couteau dans la plaie, et développent la version moderne du poil à gratter. Ensuite, les vrais escrocs entrent dans la danse, et transforment un simple "exploit" en vrai virus bien méchant.
Finalement, là où beaucoup pensent que la relative immunité des logiciels libres face aux programmes malicieux est surtout due à sa faible diffusion, je suis convaincu que le modèle de développement "Bazaar" encourage les hackers* à être honnêtes et solidaires, contrairement à la "Cathédrale", fortifiée et dédaigneuse, qui incite plutôt à la révolte ...
[^] # Re: quelques liens
Posté par Jimmy . En réponse au journal grave faille de sécuritée dans toutes les versions de windows. Évalué à 10.
Un autre aspect important, c'est l'attitude de celui qui a précocement connaissance de la faille. Découvrir un bug, notamment en terme de sécurité, et développer un code de démonstration (proof of concept) est particulièrement difficile. Le découvreur, fier de son travail, est avide de reconnaissance, c'est humain. Ensuite, c'est en bonne partie la licence du logiciel buggé qui va faire de lui un Gentil Hacker ou un Méchant Cracker :
- Dans le cas d'un logiciel libre, quelques posts sur la mailing list de développement, un patch de quelques lignes, et il a son nom dans la liste des contributeurs, la reconnaissance de la communauté, la gloire, les filles se jettent à ses pieds ... heu, ptêt pas quand même. L'ouverture du code permet en tout cas aux plus rapides de développer et publier un patch en quelques heures ou dizaines d'heures ! Ce genre de performance peut se monnayer avec un employeur.
- Par contre, face à un logiciel propriétaire, fermé, breveté, comment faire valoir ses compétences et ses efforts de reverse-engineering ? Faire un rapport de bug sera au mieux traité dans la prochaine version, souvent dans plusieurs mois, selon la bonne volonté de l'éditeur. C'est marrant, plus c'est fermé, moins ils ont de bonne volonté, les éditeurs ... Mais au pire, celui qui divulgue une vulnérabilité peut se retrouver accusé de diffamation, et traîné devant les tribunaux ! (cf. l'affaire Guillermito). Alors certains passent carrément du côté obscur, décident de remuer le couteau dans la plaie, et développent la version moderne du poil à gratter. Ensuite, les vrais escrocs entrent dans la danse, et transforment un simple "exploit" en vrai virus bien méchant.
Finalement, là où beaucoup pensent que la relative immunité des logiciels libres face aux programmes malicieux est surtout due à sa faible diffusion, je suis convaincu que le modèle de développement "Bazaar" encourage les hackers* à être honnêtes et solidaires, contrairement à la "Cathédrale", fortifiée et dédaigneuse, qui incite plutôt à la révolte ...
* Au sens noble du terme