Tu veux dire que la faille a été trouvée et donc, ne se ballade plus mais que l'accès au code source ne sert à rien ?
Ca ne sert pas a rien d'avoir le code (la possibilite de forker et bosser sur son patch de son cote est un enorme plus), mais pretendre qu'un projet est plus sur juste parce qu'on a acces au source, et que donc, des gens competent pourraient lire et auditer le code s'ils en avaient le temps (et l'envie de bosser a l'oeil), chose qu'ils n'ont jamais, est une vaste fumisterie.
Personne ne le fait, et OpenSSL dans debian en est la preuve flagrante.
Est-ce que la potentialité que tout le monde lise code diminue ou augmente la chance ?
Ni l'un ni l'autre, ca affecte tout simplement quasiment pas la decouverte effective de failles.
Dans le cas de SSL, le chercheur aurait soumit un bug report et le bug aurait ete trouve de la meme facon. Tu vas me dire "moins vite", mais he, le bug etait la depuis deux ans, alors bon.
Savoir que potentiellement, ca serait mieux si c'etait mieux, on s'en fout honnetement, la question c'est de savoir si, effectivement, les gens competents sur le sujet le font. Et l'experience prouve qu'ils ne le font pas.
[^] # Re: Bof
Posté par groumly . En réponse au journal Espionnage sous Linux ou délire paranoïaque ?. Évalué à 1.
Ca ne sert pas a rien d'avoir le code (la possibilite de forker et bosser sur son patch de son cote est un enorme plus), mais pretendre qu'un projet est plus sur juste parce qu'on a acces au source, et que donc, des gens competent pourraient lire et auditer le code s'ils en avaient le temps (et l'envie de bosser a l'oeil), chose qu'ils n'ont jamais, est une vaste fumisterie.
Personne ne le fait, et OpenSSL dans debian en est la preuve flagrante.
Ni l'un ni l'autre, ca affecte tout simplement quasiment pas la decouverte effective de failles.
Dans le cas de SSL, le chercheur aurait soumit un bug report et le bug aurait ete trouve de la meme facon. Tu vas me dire "moins vite", mais he, le bug etait la depuis deux ans, alors bon.
Savoir que potentiellement, ca serait mieux si c'etait mieux, on s'en fout honnetement, la question c'est de savoir si, effectivement, les gens competents sur le sujet le font. Et l'experience prouve qu'ils ne le font pas.