URL: https://linuxfr.org/users/patrick_g/journaux/les-bsd-sont-ils-tous-egaux-devant-les-bugs Title: Les BSD sont‐ils tous égaux devant les bugs ? Authors: patrick_g Date: 2017年07月28日T08:22:31+02:00 License: CC By-SA Tags: noyau_linux, bsd et theo_de_raadt Score: 68 J’ai découvert [via le blog du développeur OpenBSD Ted Unangst](https://www.tedunangst.com/flak/post/hurray-we-won) (certificat auto‐signé), cette présentation d’Ilja van Sprundel au sujet des bogues noyau des BSD : . Cela commence par une petite citation de Theo de Raadt (datant de 2005) et qui affirme que les développeurs du noyau Linux ne se préoccupent pas vraiment de la qualité, à la différence des devs OpenBSD. Si l’on regarde les [CVE](https://fr.wikipedia.org/wiki/Common_Vulnerabilities_and_Exposures), on voit qu’effectivement les vulnérabilités noyau de Linux sont plus nombreuses que celles des BSD. Est‐ce parce que, comme l’affirme Theo, les devs Linux se foutent de la qualité et de la sécurité ? Est‐ce simplement parce qu’il y a beaucoup plus de lignes de code dans Linux ? Est‐ce parce qu’il y a beaucoup plus de relecteurs de code (_eyeballs_) dans le monde Linux et donc les bogues sont détectés plus facilement ? Ilja van Sprundel, un spécialiste du _pen test_, a donc décidé de mettre son nez là‐dedans et d’auditer pendant plusieurs mois les codes des trois grands BSD (juste le noyau, pas le _userland_) afin d’introduire un peu de rigueur dans le débat. Je vous laisse lire les diapos, mais voici quelques conclusions qui font réfléchir : - quand on audite le code des noyaux BSD, il est facile de trouver plein de bogues ; - trois mois d’audit de code : 30 bogues trouvés sur FreeBSD, 25 bogues trouvés sur OpenBSD, 60 bogues trouvés sur NetBSD ; - il n’y a pas assez de coopération entre les BSD (les bogues corrigés sur l’un existent toujours chez les autres) ; - OpenBSD sort clairement vainqueur (surface d’attaque réduite par rapport aux autres, qualité du code plus constante) ; - NetBSD sort clairement perdant (plein de code _legacy_, beaucoup de variation de qualité du code) ; - FreeBSD entre les deux. La conclusion d’Ilja semble donc que la qualité du code BSD n’est pas le facteur qui explique le faible nombre de CVE. C’est plutôt le grand nombre de relecteurs de code dans le monde Linux qui est à l’origine de la différence du nombre de vulnérabilités découvertes.