Ce genre de personne que tu décris est bien un salopard, pas besoin de mettre des guillemets.
Et non, ce n'est pas standard dans l'industrie de la sécurité, il y en a pas mal qui découvrent des bugs, codent l'exploit pour démontrer aux autres qu'il y a un réel problème, démonstration soit privée (responsible disclosure, la personne attend le patch puis se fais la pub, si ça tarde trop hop en public pour forcer le patch), soit en public lors des meeting de sécurité, et parfois empochent quelques milliers de $ en remerciement, soit un bon gros plaisir sadique de faire du 0-day (irresponsible disclosure).
Désolé de te contredire, le standard dans l'industrie c'est de garder les résultats de recherches privés. sd n'a rien fait de mal en gardant pour lui ses résultats. Il n'a rien publié avant que ce soit connu, il ne s'est même pas plaint que ce soit devenu public. Il n'a rien fait d'irresponsable.
Au contraire, les devs qui ont publié les patches sans faire de review de sécurité sur le bug qu'ils avaient trouvé ont publié un bug de sécurité selon ta vision de l'irresponsible disclosure.
Le développeur ne savait peut-être pas que ça posait un problème utilisable de sécurité. Si il faut faire un CVE pour chaque patch…
C'est un problème de processus. Sur les gros projets (et les petits aussi), chaque bug qui est trouvé et dont on soupçonne des répercussions au niveau de la sécurité doit être analysé par une équipe compétente. Mon petit projet y arrive, pourquoi linux n'y arrive pas ? Parce qu'il n'y a pas d'équipe de sécurité.
C'est à ma connaissance la politique de Linus depuis le début, ton irresponsable a quand même un CV en béton.
Donc d'après toi, puisque monsieur Linus a un meilleur pédigrée que moi, il a toujours raison. Ton argument d'autorité, tu peux le garder. Et bien non, en terme de sécurité, la vision de Linus (Un bug de sécurité = un bug) est totalement irresponsable. Il se moque totalement de l'impact des bugs de linux au niveau de la sécurité et compte sur les autres pour tenter de regarder le backlog et trouver ce qui est urgent à backporter et ce qui ne l'est pas. Linus le dit lui même, la sécurité de Linux c'est pas son problème. Je refuse de prendre des conseils en sécurité de cette personne.
Et ce n'est pas juste moi qui le dit, mais Spender (le mec de grsecurity qui s'y connait "un peu" en sécurité linux) [1] premier hit sur "spender linus security"
Tant que ce n'est pas exploité, ça ne pose aucun problème. Sans compter que la plupart du temps, c'est non exploitable.
Ce type d'excuse est irresponsable. Tu crois que parce qu'un problème est caché sous le paillasson, il n'existe pas ? Il y a des gens qui passent leur temps à inspecter les commits linux à la recherche de bugs exploitables et crois-moi, ils ne réagissent pas comme sd lorsqu'ils trouvent quelque chose. Tant que ce travail ne sera pas fait de manière systématique par l'équipe sécurité de Linux, on aura ce genre de problèmes de manière récurrente.
[^] # Re: HAHA
Posté par Aris Adamantiadis (site web personnel) . En réponse à la dépêche Root exploit sur les noyaux linux 2.6.38 à 3.8.8. Évalué à 8.
Désolé de te contredire, le standard dans l'industrie c'est de garder les résultats de recherches privés. sd n'a rien fait de mal en gardant pour lui ses résultats. Il n'a rien publié avant que ce soit connu, il ne s'est même pas plaint que ce soit devenu public. Il n'a rien fait d'irresponsable.
Au contraire, les devs qui ont publié les patches sans faire de review de sécurité sur le bug qu'ils avaient trouvé ont publié un bug de sécurité selon ta vision de l'irresponsible disclosure.
C'est un problème de processus. Sur les gros projets (et les petits aussi), chaque bug qui est trouvé et dont on soupçonne des répercussions au niveau de la sécurité doit être analysé par une équipe compétente. Mon petit projet y arrive, pourquoi linux n'y arrive pas ? Parce qu'il n'y a pas d'équipe de sécurité.
Donc d'après toi, puisque monsieur Linus a un meilleur pédigrée que moi, il a toujours raison. Ton argument d'autorité, tu peux le garder. Et bien non, en terme de sécurité, la vision de Linus (Un bug de sécurité = un bug) est totalement irresponsable. Il se moque totalement de l'impact des bugs de linux au niveau de la sécurité et compte sur les autres pour tenter de regarder le backlog et trouver ce qui est urgent à backporter et ce qui ne l'est pas. Linus le dit lui même, la sécurité de Linux c'est pas son problème. Je refuse de prendre des conseils en sécurité de cette personne.
Et ce n'est pas juste moi qui le dit, mais Spender (le mec de grsecurity qui s'y connait "un peu" en sécurité linux) [1] premier hit sur "spender linus security"
Ce type d'excuse est irresponsable. Tu crois que parce qu'un problème est caché sous le paillasson, il n'existe pas ? Il y a des gens qui passent leur temps à inspecter les commits linux à la recherche de bugs exploitables et crois-moi, ils ne réagissent pas comme sd lorsqu'ils trouvent quelque chose. Tant que ce travail ne sera pas fait de manière systématique par l'équipe sécurité de Linux, on aura ce genre de problèmes de manière récurrente.
[1] http://www.reddit.com/r/netsec/comments/18qab0/spender_grsecurity_author_linux_approach_to/ https://lwn.net/Articles/538600/