Re: Quel dégout ?

C'est à ce moment qu'on se rend compte qu'Apache a plus de failles parce qu'il est open-source et que n'importe qui peut rapporter une faille, même pour des corrections préventives

C'est a ce moment qu'on commence a chercher des excuses bancales pour justifier le plus grand nombre de failles.
T'as des stats sur quel bug a ete trouve par code review et lequel ne l'a pas ete ?

De plus, le comptage des failles de sécurité est un moyen très imparfait pour mesurer les risques de sécurité. En effet, chez Mozilla, de par notre ouverture et le fait que notre code soit public, tous les correctifs de sécurité sont forcément déclarés, même si ce sont des améliorations qui proviennent de notre propre initiative, par opposition aux bogues trouvés par des chercheurs en sécurité tiers. A l'inverse, les autres éditeurs de navigateurs, et Microsoft en tête, peuvent corriger silencieusement des failles de sécurité qu'ils auront découvertes eux-mêmes

Idem, faut regarder comment la faille a ete trouvee plutot que se fier a des arguments de ce genre. Ils ont beau avoir leur bugzilla ouvert a tout le monde, si le gars a trouve la faille en faisant du fuzzing plutot que s'amuser a parcourir des millions de lignes de code qu'il ne comprend pas, son argument ne vaut pas un clou