Mina_V a écrit :



Jarodd> La réponse doit être à cause des rageux/haters tels que neves ?



Avec des commentaires comme ça, ça va juste leur donner envie de fermer leur code, supprimer le logiciel et nous dire de nous démerder la prochaine fois.



 En tant que libriste, ce genre de réaction (que j’ai pas mal vu) me fait gerber ! On pousse les gens à faire du libre et ensuite on les assassine en leur disant “vous faites que de la merde”. C’est sur que là, on sent bien notre côté ouvert….



Neves> un type fait une IRresponsable disclosure et sur qui on tape ? sur l’éditeur qui aurait dû, qui réagit pas comme t’aurais voulu… franchement, Neves ?  tu en connais bcp des boites dont le logiciel n’est pas leur cœur de métier qui réagissent en moins de 24h, publication de la maj et comm pas trop pourrie comprise, suite à une faille de sécurité ?

 

Je suis crypto et franchement, la majorité des dev continuent à utiliser MD5 qu’on considère comme cassé depuis 15 ans !!! pas 24heures, 15 années. Et pourtant, je ne vois personne hurler là dessus à pars nous.

Même les dév en sécurité on tranquillement attendu 10 ans qu’il y ait “des attaques pratiques” pour vaguement considérer que, peut-être, il faudrait changer les occurences de MD5 par autre chose.

Et maintenant quand on dit arrêté SHA1, c’est l’heure de changer, c’est pas mieux.



 Alors, ok ils sont pas parfait à la CNIL, loin de là, mais là tu fais juste dans la méchanceté pure.





Dis donc, on se connait, pour que tu m’insultes comme ça gratuitement d’entrée de jeu ? Merci pour le rageux/haters juste parce que je ne suis pas ton avis, ça montre directement le niveau de débat qu’on peut avoir avec toi …



Qu’ils ferment leur code et suppriment leur logiciel, ça sera bien mieux oui, d’un point de vue purement sécuritaire.



Je suis aussi libriste, et ce genre de réaction (que je vois pas mal) qui consiste à dire “c’est libre, donc c’est bien, fermez vos gueules” ne fais que desservir complétement la cause de l’open-source. Merci d’arrêter ce comportement donc, qui ne permet qu’aux anti-libristes de dire que le code libre est merdique, preuve à l’appuie.



Tu le dis toi même, leur coeur de métier n’est pas le développement logiciel. Alors qu’ils ne fassent rien et sous-traitent à quelqu’un/une boite qui saura faire ça bien ! publication de la maj rapide ? encore heureux vu la trivialité des failles. Comm’ pas trop pourrie ? C’est une blague ? Leur com’ est complétement nulle, ils ont pris une pelle et continuent à creuser. Ils auraient du patcher et juste dire “voilà le patch”, plutôt que d’essayer de justifier l’injustifiable en montant qu’ils avaient rien compris à la technique.



Non je n’ai pas fais de méchanceté gratuite, je bosse dans la sécurité, c’est mon univers, je ne tolère pas ce genre de réactions de la CNIL. Et encore moins la tienne qui prend leur défense uniquement parce que c’est libre, sans chercher à savoir vraiment les implications (bon ici elles restent minimes puisque personne ne devait utiliser ce logiciel, mais là n’est pas la question). La sécurité, pour l’open-source ou le closed-source, c’est la même chose, pas de compromis.

Gemini_Power a écrit :



Personnellement, je trouve la réponse de la CNIL particulièrement bien sentie.



Déjà qu’ils fournissent ce genre d’outil pour suivre le traçage cookie (je ne connais pas d’équivalent, mais en même temps je n’ai pas cherché non plus).



En plus en licence GPL, c’est vraiment à encourager.

Que chacun, plutôt que de critiquer, comme nous français savons si bien le faire, mette la main à la pâte et aide à avancer, et tout le monde ne s’en portera que mieux.





Je ne suis pas du tout d’accord avec toi. L’outil fournis est pire que tout : il est mal codé (vraiment mal), il y a des failles triviales et risibles, et pire que tout il fait une requête chez Google (!!) sur chaque nom de domaine rencontré… pour obtenir le favicon du site (wtf ?! pourquoi ?). C’est un comble, pour la CNIL. Autant ne rien faire plutôt que ce genre d’outils. Dire qu’il est open-source n’en fait pas un logiciel merveilleux pour autant.

 

Mais au delà de la médiocrité du logiciel, c’est la communication des développeurs qui me choque : minimisation des failles (je cite “ces vulnérabilités ne sont exploitables que lorsque CookieViz est lancé. Si le logiciel est installé mais non lancé, aucun risque”), voire incompréhension totale de leurs impacts (je cite encore : “Une vulnérabilité permet de lire/écrire des infos sur le poste de l’utilisateur mais uniquement dans le répertoire de CookieViz”).