Ils ne sont pas payés pour faire la recherche donc n'ont pas d'obligation de publication
On parle de responsabilité.
Personne ne parle d'obligation.
Tu trouves responsable l'idée (si on augmente ton principe) de laisser crever des gens alors que tu aurais pu empêcher ça en informant juste la bonne personne, et tu peux dormir tranquille, pas moi. Ils ne sont pas payés pour faire la recherche? Qu'ils ne la fassent pas. Mais si ils trouvent, c'est de leur responsabilité (non légale) d'informer la bonne personne (et si l'upstream s'en fout, tant pis, ils auront fait ta part). Ils n'en n'ont pas l'obligation légale certes, mais cette non obligation n'enlève pas l'idée que ces personnes sont des salopards (sans les guillemets).
Tu as un conscience très sélective.
Le point le plus important: la publication de découvertes de sécurité est une pratique dangereuse. Cela ne s'applique sans doute pas à linux, mais publier en son nom propre (même en suivant les pratiques de "responsible disclosure") expose le chercheur à des ripostes légales. Parfois prendre ce risque gratuitement ne vaut pas le coup.
Tu le dis toi-même : ça ne s'applique pas à Linux. Et ici, on parle de?
informer seulement l'upstream uniquement n'a jamais fait prendre des risques légaux dans ce milieu. Il y a même des confs dédiées à ça! Au pire on t'ignore (genre Microsoft), au mieux on te récompense nominativement et financièrement (hop, pratique tu perds ton argument "risque gratuit") (genre Mozilla et Google).
Les risques sont si tu t'attaques au système d'un autre (accès frauduleux genre si tu t'attaques au GIE carte bancaire, il y en a un qui en a fait les frais), ici tu peux t'attaquer à ton propre système, donc le seul risque et de te prendre un procès de toi-même, risque gérable.
Ne te cache pas devant des excuses fallacieuses pour te donner bonne conscience.
[^] # Re: HAHA
Posté par Zenitram (site web personnel) . En réponse à la dépêche Root exploit sur les noyaux linux 2.6.38 à 3.8.8. Évalué à 7.
On parle de responsabilité.
Personne ne parle d'obligation.
Tu trouves responsable l'idée (si on augmente ton principe) de laisser crever des gens alors que tu aurais pu empêcher ça en informant juste la bonne personne, et tu peux dormir tranquille, pas moi. Ils ne sont pas payés pour faire la recherche? Qu'ils ne la fassent pas. Mais si ils trouvent, c'est de leur responsabilité (non légale) d'informer la bonne personne (et si l'upstream s'en fout, tant pis, ils auront fait ta part). Ils n'en n'ont pas l'obligation légale certes, mais cette non obligation n'enlève pas l'idée que ces personnes sont des salopards (sans les guillemets).
Tu as un conscience très sélective.
Tu le dis toi-même : ça ne s'applique pas à Linux. Et ici, on parle de?
informer seulement l'upstream uniquement n'a jamais fait prendre des risques légaux dans ce milieu. Il y a même des confs dédiées à ça! Au pire on t'ignore (genre Microsoft), au mieux on te récompense nominativement et financièrement (hop, pratique tu perds ton argument "risque gratuit") (genre Mozilla et Google).
Les risques sont si tu t'attaques au système d'un autre (accès frauduleux genre si tu t'attaques au GIE carte bancaire, il y en a un qui en a fait les frais), ici tu peux t'attaquer à ton propre système, donc le seul risque et de te prendre un procès de toi-même, risque gérable.
Ne te cache pas devant des excuses fallacieuses pour te donner bonne conscience.