au hasard, je dirais que les IDS Open Source vont réagir beaucoup plus vite que leurs "concurrents" commerciaux...
Objectivement, je ne pense que pas que les softs Open-Source soit forcément à l'abris de ce genre de comportement càd cacher des failles ou prendre son temps pour corriger les bugs.
Ainsi, dans la réponse du développeur de Snort il explique qu'on lui avait envoyé la faille depuis plusieurs mois, mais qu'il ne s'étais pas pressé pour commiter le fix dans le CVS car il pensait qu'il ne serait dévoiler qu'à la prochaine conférence de sécu.
Sauf erreur de ma part, lors du bug d'openSSH, le bug à été fixé <i>en douce<i> dans le CVS longtemps avant que la faille ne soit annoncée.
Enfin, lorsque je lisais Bugtraq, j'avais parfois l'impression que les patchs des distribs étaient tout le temps à la bourre par rapport à l'annonce de la faille et que la Debian était souvent encore plus à la bourre que les autres (j'ai pas de statistiques mais c'est l'impression sincère que ça me donnais).
Je suppose que celà s'explique par le fait que la Debian a des ressource limitée (car elle ne repose sur des bénovoles), et que patcher des bugs n'est pas vraiment excitant donc ils ne doivent pas se bousculer au portillon.
Avec de l'argent on arrive toujours à motiver des gens pour faire un tel travail.
Enfin, toute chose étant égale par ailleurs, avoir le source est forçément une bonne chose, car celà peut te permettre de te faire une meilleure idée de la qualité du soft que tu veux acheter (si tu es capable de le lire, car lire le code d'un programme que tu n'as pas écrit est difficile à moins qu'il soit très propre).
[^] # Re: Free software vs Logiciel propriétaire
Posté par Anne Onimousse . En réponse à la dépêche Passez sous le nez de Snort. Évalué à 2.
Objectivement, je ne pense que pas que les softs Open-Source soit forcément à l'abris de ce genre de comportement càd cacher des failles ou prendre son temps pour corriger les bugs.
Ainsi, dans la réponse du développeur de Snort il explique qu'on lui avait envoyé la faille depuis plusieurs mois, mais qu'il ne s'étais pas pressé pour commiter le fix dans le CVS car il pensait qu'il ne serait dévoiler qu'à la prochaine conférence de sécu.
Sauf erreur de ma part, lors du bug d'openSSH, le bug à été fixé <i>en douce<i> dans le CVS longtemps avant que la faille ne soit annoncée.
Enfin, lorsque je lisais Bugtraq, j'avais parfois l'impression que les patchs des distribs étaient tout le temps à la bourre par rapport à l'annonce de la faille et que la Debian était souvent encore plus à la bourre que les autres (j'ai pas de statistiques mais c'est l'impression sincère que ça me donnais).
Je suppose que celà s'explique par le fait que la Debian a des ressource limitée (car elle ne repose sur des bénovoles), et que patcher des bugs n'est pas vraiment excitant donc ils ne doivent pas se bousculer au portillon.
Avec de l'argent on arrive toujours à motiver des gens pour faire un tel travail.
Enfin, toute chose étant égale par ailleurs, avoir le source est forçément une bonne chose, car celà peut te permettre de te faire une meilleure idée de la qualité du soft que tu veux acheter (si tu es capable de le lire, car lire le code d'un programme que tu n'as pas écrit est difficile à moins qu'il soit très propre).