pasBill pasGates a écrit 16169 commentaires

Alors quand est-ce qu'un kernel est defini comme stable si c'est pas quand il sort de la branche stable ?

Un kernel dans le branche stable, il est sense etre stable. Si je download le dernier kernel de la branche stable car je veux le support XYZ et qu'il me torche une partition je hurles.

C'est comme ca que se fait le developpement partout, tant que t'as des trucs graves qui se passent dans le soft t'appelles ca alpha/beta/pre ou autre, quand ton soft ne fait plus rien de dangereux, qu'il est stable, qu'il fait ce qu'il est sense faire, etc... tu l'appelles 1.0, 1.2, 2.4.17, ce que tu veux mais les gens sont senses pouvoir l'utiliser sans risques apres, si c'est pas le cas c'est que t'as merde.

Est-ce que vendre une option sur une voiture qui ne peut etre qu'une BMW est de la vente forcee ?

J'en doute...

Franchement, remplacer le logo sur la touche n'a aucune utilite quelle qu'elle soit, ca prend du temps, ca n'apporte rien du tout si ce n'est voir MS moins souvent. En gros ca a une raison "philosophique" ou extremiste plutot que technique, a mon avis ca vient de la le mot "fanatique" de la journaliste.

En gros ca montre que la personne n'est pas contre MS pour des raisons technique mais pour des raisons ideologiques ou autres, ensuite ben selon l'endroit ou on pose le milieu, la personne peut etre vue comme extremiste, c'est une question de referentiel.

Perso je suis NUL en Word, je connais probablement pas 5% des trucs qu'il faut pour faire un truc potable. Moi ce que je sais faire c'est programmer, Excel, Word, Photoshop et autres j'y connais rien, en gros je serais le gars ideal pour utiliser LaTeX a longueur de journee car c'est un langage.

Le fait est que taper un texte dans un editeur, devoir le compiler puis voir le resultat apres ca me casse les burnes, j'ecris ce rapport car je dois le faire et moins je passe de temps plus je suis content, il y a bien LyX qui serait une solution, mais vu que je me fous de la qualite "imprimerie" du resultat j'ai aucune raison d'y passer. Le cote "non WYSIWYG" de LaTeX me casse les burnes quand je veux faire un truc simple et rapide.

LaTeX je connais hyper-bien j'ai joue avec ca chaque semaine pendant plus de 2 ans, quand il s'agit de faire un gros rapport qui doit sortir hyper-bien, un rapport scientifique ou des docs voire un livre oui c'est le top, pour les autres cas ca ne m'apporte rien et ca m'emmerde. Les macros je les ai, les templates aussi, simplement voir juste un editeur de texte en face de moi sans avoir une vue immediate du resultat je supporte pas quand je suis presse, je suis en train de faire un truc vite fait avec et je dois toujours recompiler plusieurs fois mon document pour avoir exactement ce que je veux, c'est chiant. Quand t'ecrit un gros truc c'est pas important car t'ecrit au kilometre et tu corriges les fautes d'orthographe/grammaire/... en 1-2 passes apres, mais pour un truc vite fait faire 1-2 passes ca prend 50% du temps.

Croire que LaTeX ne marche pas a cause de la propagande c'est se voiler les yeux, les gens pour la plupart ecrivent des petits trucs et n'ont pas besoin d'une qualite "imprimerie", ecrire dans un editeur de texte met mal a l'aise car on voit pas le resultat final, resultat LaTeX n'est pas adapte, et LyX n'apporte finalement rien de plus pour ces gens que Word ou WordPerfect vu qu'ils se foutent de la qualite de l'impression.

Il faut bien te rendre compte que LaTeX c'est un langage, simple mais c'est un langage, les gens si ils n'utilisent pas LyX doivent s'imaginer le resultat car ils ne l'ont pas tout de suite devant les yeux, et ca ben c'est pas a la portee de tout le monde est c'est pas forcement agreable, l'avantage est que tu as une sortie superbe, mais compte le nombre de gens qui ont vraiment besoin d'une qualite pareille et le nombre de gens qui veulent voir immediatement le resultat de ce qu'ils font, et la tu verras que LaTeX n'est pas fait pour l'utilisation "grand public".

Faut pas se leurrer, LaTeX est un soft genial, mais il faut pas croire que c'est la solution a tous les problemes d'edition de texte, il y a certains usage ou il est au top, et d'autres ou il n'est pas adapte.

Que je sache Linux il y a des gens qui le rejoignent(bien que je pense pas qu'il soit mieux que le reste sur tous les plans).

Bon, desole de te casser ton exemple sur LaTeX mais perso j'ai intensivement utilise LaTeX pendant mes etudes et le job que j'avais pendant mes etudes pour faire des rapports, des docs et le rapport de mon travail de licence, j'ai plus besoin depuis un bon moment de lire des docs pour ecrire un truc en LaTeX, ca ne change rien au fait que quand je veux taper un truc et que j'ai pas besoin qu'il s'affiche en qualite imprimerie je prends Word(ou WordPad quand c'est vraiment primitif).

Perso j'ai toujours eu des doutes sur les propos du type "oui on est une infime minorite a utiliser un outil gratuit qui est soi-disant mieux que le reste, tres peu de gens nous rejoignent mais on a raison".

Le code source ca sert quand tu sais debugger et que t'es capable de le faire, quand t'as pas les connaissances necessaires ben le code source ne te sert a RIEN.

Le probleme ici c'est quelle quantite de gens qui ne sont pas des devs du kernel sont capables de debugger le kernel. Pour faire ca il faut avoir une certaine connaissance de l'architecture du kernel et de la maniere dont a ete programmee la partie qui plante, il est tres clair que la tres grande majorite des xxx gars qui downloadent un kernel tout frais et le testent chez eux n'en sont pas capables, ils ont surement des connaissances informatiques voire sont des devs sur d'autres projets, mais ils n'ont pas les connaissances suffisantes de la partie qui plante ou du kernel pour faire quelque chose de vraiment utile et efficace pour la plupart, c'est sur que dans certains cas c'est arrive qu'un gars externe a localise voire corrige le bug, mais tres peu de gens en sont capables.

Moi le kernel de W2k je comprends le fonctionnement de certaines parties et le fonctionnement general, mais je serais pas capable de debugger un probleme dans bon nombre de parties du kernel, pourtant j'ai les sources.

Non, pour la simple et bonne raison que bon nombre de ces beta-testeurs n'ont pas les competences pour trouver la faille, resultat ils envoient un bug report avec ce qu'ils ont fait et c'est tres souvent le gars qui a ecrit le code qui corrige le bug.

Corriger ou localiser un bug dans le kernel ou autre partie non-triviale c'est pas a la portee de tout le monde, faut avoir une bonne connaissance du logiciel que tu debugge et du code, et ca d'habitude c'est ceux qui ont ecrit le code, pas les beta-testeurs. Si localiser un bug revient a envoyer un dump du debugger, ben sous Windows t'envoyes le dump, c'est la meme chose. Si il s'agit d'aller plus loin, ca devient tout de suite bien plus complexe.

Alors oui, en theorie c'est faisable avec l'open-source et pas avec le proprietaire, en pratique la difference est assez faible.

Oui, apres un petit moment les gens trouveront le probleme, et d'ici la combien auront ete infecte ?
Mon backdoor infecte ensuite les rpms qu'il trouve sur ta machine, tu les passes a tes amis, et hop ca se propage.

Mon exemple prouve simplement qu'avoir un soft open-source ne garantit en rien une protection reelle, car le fait est que la verification des sources prend un certain temps pour se realiser et qu'entre-temps tu as tout le loisir d'infecter ce que tu veux.

Non effectivement, maintenant la question est: combien de bugs sont trouves par un dev qui lit le code, et combien sont trouves par un testeur qui voit sa machine torcher ?

La proportion est tres largement en faveur des beta-testeurs ayant leur soft qui torche, pour la simple et bonne raison que le code passe normalement par une code review d'un autre developpeur avant de finir dans le tree. Resultat de temps en temps une couille visible a l'oeil nu passe, mais c'est rare, seules les couilles tres difficiles a detecter a l'oeil nu passent, et celles la ben dans l'enorme majorite des cas, les autres devs les verront pas non plus.

Le "grand public" pour Linux c'est toi et moi, des gens qui participent pas forcement au developpement mais qui pourraient tout a fait aller sur kernel.org downloader le kernel et l'installer, si on avait fait ca on se serait fait entuber profond.
Un noyau qui sort de la branche stable est "grand public" par defaut. Tout comme un service pack, les beta/RC1/RC2 sont "instable", le RTM est grand public. Ils ont pas appele la branche stable "stable" pour faire joli uniquement, c'est pour que les gens prennent ces kernels la en sachant qu'ils sont stables et verifies.

Sinon, entre une merde dans un service pack gratos pour un OS que t'as paye et une merde dans un kernel qui s'installe sur une distrib que t'as payee le resultat est le meme, t'es enerve dans les 2 cas car ca a torche ta machine voire tes donnees.

Ben qu'est ce qui est le plus simple ?

Porter des applications/scripts de Unix a Unix ou de Windows a Unix ?

Faire passer son admin Unix a Linux ou faire passer un admin Windows a Linux(voire le remplacer) ?

Voila les raisons.

"Sisi chef je vous dis, on peut remplacer tous nos gros serveurs par du Linux, la preuve que c'est baleze: on peut faire marcher des XBox en reseau avec !!"

"Comment ca je suis vire ?"

il n'est pas rares de voir des vieilles stations HP ou Sun etre remplacées par des PC sous Linux.

Comme tu le constates toi-meme, Linux a surtout tendance a remplacer les Unix, pas Windows.

Et vous etes moins secure que AIX et IRIX et HP-UX aussi, comme quoi ca ne veut rien dire.

Ben si c'est exploitable: http://www.securityfocus.com/archive/1/242750(...)

Mais la question n'est pas la, que MS(ou autre) soit le seul a etre au courant ou pas ne change rien, il faut limiter le plus possible les moyens de profiter de la faille jusqu'a ce que le patch soit sorti, ca n'empeche pas d'annoncer la faille mais ca protege au maximum en attendant le patch. Au pire c'est le meme resultat, au mieux ca empeche les script kiddies de hacker des machines.

Mais non, si tu donnes des la decouverte de la faille des infos generales sur la faille et un workaround, les admins peuvent se proteger en attendant le patch, et les script kiddies peuvent pas utiliser l'exploit pour torcher 90% des serveurs. Les admins ils y perdent rien.
Dans le pire cas ca ne change rien car les details ont ete divulges d'une maniere ou d'une autre.

Ben si on prend l'exemple de IE et les cookies:

- Tu dis des la decouverte de la faille:
"Il y a une faille dans la gestion des cookies, il est fortement conseille de bloquer la gestion des cookies pour eviter d'etre une victime"

Tu donnes un moyen aux gens de se proteger et tu ne dis pas aux script kiddies comment profiter de la faille

Ensuite, des que le patch est pret ou dans X(MS a propose 30) jours tu devoiles les details
Le patch est dehors donc les gens peuvent reutiliser les cookies et sont proteges
Les gens peuvent voir la faille et tester le patch
...

Ou est le probleme ?

Ah moi je dis ca ?

A croire que t'es en vacances quand je hurles sur les dev de IIS alors.

D'autre part mon prob n'est pas qu'il y ait une faille dans Linux car je sais pertinemment que ca arrive a tout le monde, d'ailleurs c'est pas dans Linux mais dans wu-ftpd. Mon prob c'est la maniere dont la faille a ete geree a ete encore plus obscure que ce que MS avait propose et MS s'est fait allumer pour ca. J'aimerais donc que soit les distribs se fassent allumer, soit que les gens qui ont allume MS admettent qu'ils s'etaient trompes.

Moi je crois surtout que t'as absolument rien compris a ce que j'ai dit.

Ce que Redhat/Suse/... faisaient(s'entendre pour ne pas sortir la faille avant le patch), moi je suis pour.

Ce qui m'agace c'est les gars qui ont hurle sur MS quand il a propose un truc un petit peu moins obscur que ca, j'aimerais donc qu'ils hurlent de la meme maniere ici ou qu'ils admettent qu'ils s'etaient trompes dans le cas MS.

Si moi demain je trouves une faille dans Linux et que je la crie sur tous les toits avec les details, ben ca fout tout le monde dans la merde car les script kiddies peuvent s'amuser a torcher tous les systemes Linux sur le net, et ton open-source il fait rien contre ca car les scripts kiddies auront l'exploit avant que le patch soit sorti.

Il est absolument pas question de revolutionner/innover ou quoi que ce soit, il est question d'eviter que les script kiddies puissent s'amuser a faire torcher la moitie des machines sur le reseau car l'exploit a ete divulgue avant le patch.

MS a propose une solution a ca, et le monde du libre l'a descendu en flamme. Maintenant les gens du libre se rendent compte que leurs distribs preferees font la meme chose, alors soit ils sont en accord avec eux meme et ils agissent de la meme maniere avec leurs distrib qu'avec MS, soit ils admettent qu'il n'y avait aucune raison de hurler contre MS.

C'est juste une histoire d'etre equitable entre 2 entites qui se comportent de maniere identique.

Justement, chacun son boulot.

Vous vous occupez de la partie Microsoft plus que regulierement, je prends donc une partie du boulot et je m'occupe de l'autre partie, histoire que ce soit equitable.

Dans le 1er cas oui il est probable que ce sera decouvert au bout d'un moment plus ou moins long, mais ca aura surement deja permis d'infecter un tres grand nombre de gens. Le mal aura deja ete fait.

Dans le 2eme cas, ben moi je vois qu'on trouve des buffer overflows depuis des annees dans wu-ftpd et sendmail, dans Windows, IIS, et plein d'autre softs.
Mon experience et celle de mes collegues qui je te le rappelle ne faisont que ca et rien d'autre(= corriger des bugs) est que trouver des buffer overflows peut etre particulierement complexe, un buffer overflow ca peut rester cache des annees dans un soft sans qu'on s'en apercoive, et cela malgre les softs developpes pour les trouver, les stress tests, les code reviews,...

C'est le cas PARTOUT, monde proprio ou libre, la solution miracle contre les BO dans les progs en C/C++ n'existe pas encore, le jour ou tu arriveras a me PROUVER qu'un soft non-trivial ne contient pas de buffer overflow je te paie le champagne.

Non, ce qui s'est probablement passe(pure speculation mais a mon avis c'est ca) est :

- La boite trouve la faille et l'annonce a la distrib XYZ et les auteurs
- La distrib XYZ informe les autres distrib et se met d'accord avec les autres et les auteurs pour une date de release du patch et une certaine discretion
- chacun reste discret de son cote et corrige le bug
- tout le monde release le patch en meme temps que l'annonce de la faille

Non, si la boite qui trouve la faille ne voit rien apres 30 jours ils peuvent sortir les details, que MS ait sorti le patch ou pas.

Faudrait voir a arreter les petites insinuations de ce genre sans fondement, si je me mettais a faire de meme sur Linux ca foutrait une atmosphere peu agreable je pense.