URL: https://linuxfr.org/users/ciol/journaux/une-simple-id%C3%A9e-sur-la-s%C3%A9curit%C3%A9 Title: Une simple idée sur la sécurité Authors: ciol Date: 2007年01月26日T23:47:50+01:00 Tags: postgresql Score: 0 Bonjour, j'ai une idée qui trotte dans ma tête, je sais pas si elle est bonne, alors je demande votre avis. J'ai bien compris que plusieurs distributions, plusieurs façon de d'empaqueter, etc... ce n'est pas une mauvaise chose. Cependant, il y a un point pour lequel j'ai des doutes : c'est la sécurité. J'ai du mal à concevoir que sur le nombre de logiciels (et de distributions) existants, les mainteneurs d'une version 'stable' d'une distribution puissent rétroporter quand il y a lieu _toutes_ les corrections des éventuelles failles existantes. Le fait qu'il y ait ne serait-ce qu'une petite faille dans une application critique comme un serveur me fait frémir de peur. Alors l'idée qui a germée de mon esprit tordu la voilà : « Pour toutes les applications "importantes" comme Apache, Postgresql, python, la libc, le kernel, etc... POURQUOI (il faut toujours un pourquoi dans les questions idiotes) ne pas faire un site commun qui gère (c'est à dire héberge les sources et fait les maj de sécu) ces applications dans les conditions suivantes : (i) Elles doivent rester (les applications) identiques à la version amont (+ patchs du "site" pour les éventuelles corrections) (ii) _tout_ le monde est convié à participer aux maj de sécu (i.e les différentes distributions, les concepteurs amonts, des entreprises etc...) (iii) C'est le point crucial : une 'release' (donc juste un 'freeze' d'une version v) par an, ou par version majeure (ça dépend des cas), avec maintenance de chaque version pendant 3 ans par ex. » Le principe c'est qu'après chaque distribution prélève la version qu'elle veut de ce site commun quand elle en a besoin, ce qui ne change pas grand chose aux principes de l'indépendance de celles-ci, mais permet un travail vraiment collaboratif. Si pour une raison X ou Y elles choisissent de ne pas garder une des versions du site, ce sera toujours plus facile pour elle de rétro-porter les changements en s'inspirant de ce qui a été fait. Une précision, pour les applications comme par ex. le kernel linux, parfois les développeurs décident de maintenir une version particulière (noyau 2.6.16), et il est évidemment judicieux de considérer en priorité ces versions). Ah oui aussi ce serait indépendant de linux/bsd. Bon alors je suis pas mainteneur de paquet ni responsable de sécurité ni rien du tout et on m'a certainement pas attendu pour trouver des idées. Donc ils (ceux qui sont directement confrontés à ça) doivent avoir leurs avis sur la question (que j'aimerais bien connaître), mais je code quand même à mes heures perdues, et je sais combien il peut être stressant et difficile de rétro-porter du code, surtout quand ce n'est pas le nôtre, sans risquer de nouveaux bogues.