Reprise du message précédent :

Oui, ça c'est la théorie/les bonnes pratiques, mais là on est peut être en train de s'apercevoir que la pratique diffère sensiblement de la théorie
Et si il y a divergence entre les pratiques annoncées et les pratiques réelles, qui dit/garantit qu'on a pas le même problème ailleurs ?

tips : c'est censé être une gonzesse

 
Ce n'est plus forcément vrai pour la majorité des logiciels libres.  
 
Et puis il faut mettre en perspective, la « base de code » est tellement énorme, je pense qu'il est possible que ça soit passé au travers. C'est aussi au LL d'avoir des méthodes de tests fiables.

 
Le LL c'est beaucoup de boîtes maintenant. Je disais juste que c'est plus forcément vrai pour tous les softs. J'ai pas dit le contraire
 

 
Je trouve ça au contraire très classique. Le laxisme est roi, partout. Tant que ces mecs sont pas responsabilisés, ils ont pas « d'intérêt » à faire les choses proprement.

Moi, dans cette histoire se qui m'étonne le plus, c'est de ne pas avoir entendu ni microsoft, ni apple réagir a la découverte de ce genre de failles : ça devrait logiquement être du pain béni pour eux niveau discrédit des solutions de communication "libre" ...

Seraient-ils dépassés par le rythme de développement de fonctionnalités et de modification de code ? Leurs méthodes d'analyse sont probablement trop anciennes, il faudrait des relectures par commit où une couverture de test totale pour voir ce genre de chose. Moi je vois surtout de l'incurie, c'est presque tous le temps la cause des problèmes de l'humanité

M'est d'avis que c'est pire chez eux

Ca les arrête pas vraiment en général

Genre les comparaisons apache<=>IIS, MSSQL <=> Mysql
'fin, c't'un peu libre corpo VS corpo tout court dans ce cas (oracle VS microsoft)

Faut que je fasse le tour des mailing list pour avoir plus d'infos mais selon Theo de Raadt c'est pas nouveau que l'équipe d'OpenSSL code comme des cochons.
L'hypothèse bug à la con qui a pas été vu à la relecture ne me parait pas si improbable.
Après sur la vérification du code par des entités externes je dirais que chacun "vérifie" (et là on pourrait en dire des choses...) que les quelques parties qui les intéressent. Sur les libs "mainstream" telle que celle là je ne serais pas étonné que tout le monde se dise "ouai eux c'est des roxors le code est forcément OK, concentrons nos maigres moyens sur le reste".

Je suis de l'avis de grao

 
Largement probable, mais une telle faute, quand découverte par un organisme type NSA, RG, où autre, devrait pas rester en l'état pour l'exploit comme des porcs comme ils le font. Que la lib soit déficiente, ça arrive, j'pense pas que ça soit le premier organe de sécurité qui soit trouvé, mais qu'on la laisse tel quel, parce que ça permet d'espionner pépère sans se faire griller. Ceci dit, l'exposition de la faille ressemble fortement a un "coup" de communication : on donne un gros truc en passant par un organisme de sécurité, pendant que d'autres trucs encore plus gros seront tranquilles et pendant que tout le monde se focalise sur un audit d'openssl y'a d'autres trou du cul d'éléphants qui passent

Ce genre de faille c'est du pain béni pour la NSA. Qu'ils ne la signalent pas ça ne me choque pas.  
Ce ne sont pas des enfants de coeur, leur job c'est justement d'exploiter les failles.

http://arstechnica.com/information [...] b-at-risk/
 
 

Au dela du review qui a rien vu ça veut aussi dire qu'ils ont pas de tests de non reg, de test de fuzing, etc...
C'est encore plus grave

 
Au final c'est bien pire en effet

Quand je pense que c'est la NSA qui a poussé SEAndroid, ça me fait flipper

Bonjour all

Bon anniv Oggy

oh la vieille branche

Deux jours de retard…

   
 
 
Si seulement

Demat

Fille ou garçon

10 ans de mandarine

Tu vas bientôt faire partie des meubles

Tu finiras par t'occuper du CE et tu distribueras des tracts à la cantoche en temps que DP

dernz

nope

Preum's

Le kernel 3.14 me fait chier.

bonjour,

 
et PI alors ?

https://blogs.akamai.com/2014/04/he [...] te-v3.html

Sympa la politique d'Akamai  
Comparé à tous les connards qui auraient balancé leurs avocats sur le gars qui a reporté le truc.

J'vais finir par avoir un arbre portage custom complet ... J'vais pouvoir forker gentoo O_O

Bientôt sur vos étals : MystxOS, gentoo based binary system for clusters and big data. <_<
 
 

Funtoo, Sabayon,…

Mesdames, Messieurs,
 
    Je conchie OCS.
 
Cordialement,
Doublevé

Administrateur AD : "momant j'ai peur j'doit migrer mes serveurs je sais pas comment faire"
Moi : "Euuhhh, retourne en cours ?"
Administrateur AD : "AD is serious business"
Moi : "dafuk ?!"

Quand tu lances OCSInventory.exe en faisant clic-clic dessus en utilisateur standard, y'a un problème de droits sur le fichier last_state ... avec le même utilisateur quand tu lances l'inventaire via le systray (qui fait donc appel à OCSInventory.exe), y'a pas de problème.