URL: https://linuxfr.org/users/efournie/journaux/des-nouvelles-de-libressl Title: Des nouvelles de LibreSSL Authors: patate Date: 2014年05月19日T10:25:48+02:00 License: CC By-SA Tags: openssl, libressl, openbsd, sécurité, faille, faille_tls et heartbleed Score: 53 Dans une présentation informative et de bon goût, Bob Beck fait le point sur les raisons qui ont poussé les développeurs OpenBSD à débuter le nettoyage complet du code d'OpenSSL sous le nom de LibreSSL: http://www.openbsd.org/papers/bsdcan14-libressl/ On y apprend, entre autres: - Que la goute qui a fait déborder le vase n'était pas Heartbleed mais le remplacement pourri de malloc(). - Que la fondation OpenSSL est une organisation à but lucratif qui génère des gains de l'ordre du million de dollars par an en tant que consultants FIPS (le standard federal US pour les communications). - Que les développeurs OpenBSD ont été les premiers à militariser la police Comic Sans. - Que les développeurs OpenSSL ont l'air plus intéressés par l'ajout de nouvelles fonctionnalités que par les corrections de bugs, avec des rapports de bus qui traînent sur leur tracker depuis des années. Dans l'ensemble, la présentation est très intéressante et permet de comprendre comment on a pu en arriver là (une bibliothèque de sécurité massivement utilisée mais dont le code est horrible et personne qui n'ose y toucher malgré le fait qu'elle soit open source). Une situation qui prend un peu à revers la théorie selon laquelle l'open source apporte plus de contributeurs et un code de meilleure qualité.