La documentation c'est bien joli, mais...

La documentation, c'est bien joli, mais j'ai rencontré un chercheur Microsoft (non, je ne donnerai pas nom, n'insistez pas) qui m'a expliqué qu'elle n'était pas suivie. Pour être plus précis : lui, son domaine, c'est les protocoles cryptographiques (en gros). Et il expliquait qu'un énorme problème, c'est que les connaissances actuelles en vérification de protocoles cryptographiques étaient difficilement applicables, parce qu'elles se fondent sur une vérification de la spécification. Or la spécification n'est suivie qu'au tout début, ensuite l'implémentation diverge petit à petit (on patche, on rajoute des fonctionnalités, etc.) et la spécification n'est pas mise à jour. Du coup, il se retrouvait à vérifier un protocole théorique, différent de celui qui tourne vraiment (d'où les recherches actuelles pour extraire le modèle directement à partir du code).

Après, c'est peut-être différent pour SMB, mais je ne vois pas vraiment de raison. Même si Microsoft joue le jeu, honnêtement, et fourni les documents qu'elle possède, il n'est pas évident que ça suffise (à la limite, il faudrait pouvoir examiner le code, mais ça n'est clairement pas possible).

Si quelqu'un a des infos plus précises...