ra-mon a écrit :



C’est un très bon moyen d’établir une relation de confiance. Après faut la tenir.





Tu ne comprends pas.



Si le concepteur du logiciel proprio est gentil, il te dira A.

Si le concepteur du logiciel proprio est méchant, il te dire A.

Du coup, si le concepteur du logiciel te dit A, tu es incapable de savoir s’il est gentil ou méchant.

Ensuite, il est très difficile de prouver que le concepteur est méchant (ou gentil), comme le démontre le cas Apple.



Prenons maintenant un logiciel libre.

Si le concepteur du logiciel libre est gentil, il te dira A, et les tiers te diront A.

Si le concepteur du logiciel libre est méchant, il te dira A, et une partie des tiers te diront non-A, ce qui fera que d’autres vérifieront et diront eux-même non-A.

Donc, là, on a une méthode pour savoir s’il est gentil ou méchant.



Il faut être stupide pour continuer à prétendre que la première situation est équivalente à le seconde.





et respectent données et vie privée de l’utilisateur tant que personne ne prouve le contraire après une analyse attentive et exhaustive



Bien sur que non.

Si un concepteur de logiciel proprio introduit un cheval de troie, il ne risque pratiquement rien (cf. cas Apple).

Si un concepteur de logiciel libre introduit un cheval de troie, cela ne veut pas dire que celui-ci sera trouvé, mais si c’est le cas, il a bien plus à perdre que dans le cas proprio.

En effet, on peut là prouver qu’il y a un problème (au pire, le concepteur peut camoufler sa backdoor en bug, ce qui signifie que 1) ce sera une backdoor peu efficace, 2) elle peut disparaitre du jour au lendemain avec les remontées de bug), et, MIEUX, on peut forquer son logiciel.

Contrairement au concepteur du logiciel proprio, le concepteur du logiciel libre ne subsiste que parce qu’on a confiance en lui, sinon, on forque. Il a donc bien plus à perdre, c’est un incitant de taille à ne pas tricher

(ou en d’autres termes: si tu veux tricher, tu es vraiment un idiot de le faire avec un logiciel libre alors que tu pourrais le faire avec un logiciel proprio où ça te serait bien moins dangereux)





surement pas en lisant le code source d’ailleurs !



Bien sur que non, personne ne lit le code pour trouver ce genre de truc, c’est totalement inutile.

Par contre, un projet libre permet aux extérieurs de participer.

Et là, implémenter un cheval de troie devient très compliqué. Imagine que tu te retrouves dans une équipe de 5 personnes, avec 4 personnes que tu ne connais pas. Comment tu fais pour les convaincre de participer à ton plan diabolique ? Il y a une très très grande chance pour que l’un d’entre eux refuse de participer à ça.

Ensuite, il y a les nouveau arrivant. Ceux-ci ne pondent pas du code aléatoirement comme ça, sans savoir comment marche le programme. Ils se forment d’abord. Et pour ce former, ce qu’ils font, c’est … lire le code déjà écrit. Et c’est à ce moment-là qu’ils peuvent découvrir des comportements bizarres.



Il y a évidemment beaucoup de logiciel conçu et maintenu par une seule personne. Mais cette personne ne peut jamais être sur que personne ne se forme sur son logiciel. Par ailleurs, un logiciel maintenu par une seule personne est peu populaire (ou plutôt: un logiciel populaire va attirer des développeurs).



Ces deux points n’existent pas chez le proprio, car les codeurs sont les employés. On peut même leur cacher du code (avec une très bonne raison: éviter qu’ils emportent du savoir chez un concurrent s’ils quittent la boîte).





Si gens il y a, donc…



Tu fais 2 poids 2 mesures: soit il y a des gens pour le libre et pour le proprio, soit il n’y en a pas pour les deux (auquel cas, le proprio peut te dire n’importe quoi et sa parole vaut que dalle).





Le développeur de logiciel proprio est obligatoirement diabolique ou suspect par défaut ?



Qui a dit ça ? C’est toi qui dit que le développeur de logiciel proprio est obligatoirement un ange qui te dit tout le temps la vérité.

Moi, ce que je dis, c’est:

1. le risque 0 n’existe pas, il ne s’agit pas de trouver celui qui donne 100% de garantie, il s’agit de trouver celui qui donne le plus de garantie
   


2. avec le proprio, les garanties ne viennent QUE de personnes qui ont intérêt à mentir si ces garanties sont fausses. Avec le libre non: une partie des gens qui donnent les garanties ont tout intérêt à démasquer le code malfaisant car celui-ci ne leur rapporte rien.
   
   
   
   
   
   Pourquoi ne divulguerait-il pas en douce ou ne démissionnerait-il pas afin de divulguer la satanique malfaisance de son employeur ?
   
   
   
   C’est exactement le point important:
   
   s’il y a un cheval de troie dans un logiciel libre, un développeur peut non seulement divulger l’info sans perdre son emploi, mais en plus, il peut pointer dans le code l’endroit exact (et ça lui fait une bonne pub).
   
   Pour un logiciel proprio, soit c’est en douce, et alors cela n’est qu’une rumeur, soit il démissionne et cela devient une autre rumeur légérement plus fondée (car il suffit à l’employeur de dire: “il a démissionné suite à des divergence d’opinion et il veut se venger” ou “il fait ça pour se faire de la pub”)
   
   
   
   Bref, de nouveau: divulger un cheval de troie dans du libre, c’est tout bénéf pour celui qui le fait, divulger un cheval de troie dans du proprio, c’est plein d’emmerde pour un résultat médiocre.
   
   Conclusion: le système libre permet plus facilement la divulgation du code malfaisant que le système proprio.
   

ra-mon a écrit :



Uniquement si ces tiers “de confiance” ont analysé le code. Il faut donc compter sur eux et en attendant il n’y a pas trop de raisons d’avoir aveuglement confiance (basée sur la seule gentille réputation de l’éditeur du soft, et d’après ce que je lis c’est surtout de cela qu’il s’agit ici).





Non, non et non.

L’intérêt ne vient pas de la vérification du code en elle-même. L’intérêt vient du fait que la possibilité de vérifier le code fait que le codeur a beaucoup moins d’intérêt à faire qlq chose de malveillants.

C’est comme dire: je fais tout autant confiance à un type qui me refile anonymement des pilules dans une ruelle sombre qu’à un type qui me les vend en pharmacie.

Cela ne nécessite pas de faire chaque fois faire une analyse de chaque pilule pour savoir que le pharmacien est plus digne de confiance: si le pharmacien veut t’arnaquer, il sera poursuivit et perdra son job et ses clients, tandis que le gars dans la ruelle n’a rien à craindre.





À condition que quelqu’un, sait-on jamais, s’attèle à la tâche d’examen du code dispo à la place de la grande majorité des utilisateurs. Et là, même si le code est dispo, il n’y a aucune garantie que cela soit fait sérieusement…

À noter aussi que sur un mobile sous FirefoxOS, le code n’est pas complètement lisible… Qui compilera son FirefoxOS ou même son banal Firefox pour en assurer l’intégrité qu’il mérite grâce à sa licence ?



Non non et non.

De nouveau, on s’en fout de l’examen de la pilule. Ce qui compte, c’est que le vendeur de la pilule n’ai LE MOINS D’INTÉRÊTS possible à t’arnaquer.

Avec le logiciel proprio, si tu ajoutes un cheval de troie, tu ne risques pratiquement rien, car c’est très très difficile à prouver pour peu que tu fasses ça bien.

Avec le libre, effectivement, p-e que jamais personne ne lira ton code. Mais on s’en fout, le risque est bien plus grand.

La question est: pourquoi diable qlq’un qui veut faire un cheval de troie va choisir de le faire dans des conditions bien plus désavantageuses.

ra-mon a écrit :



J’avais omis cette petite phrase:



Tu es certain que n’importe quel développeur indépendant pourra participer à la modification de la couche NSS de Firefox™ ou de Boot2Gecko ?





Ce qui est contradictoire avec ce que tu dis.

Tu dis à la fois:

• Boot2Gecko sur Geeksphone a p-e eu sa couche NSS modifiée
  


• et personne ne jette un œil à la couche NSS de Boot2Gecko de Mozilla.
  
  
  
  Ensuite, si tu as lu mon message, tu comprends que l’important n’est pas de “participer à la modification de l’élément”, mais du fait qu’on peut la lire et se former avec ça.
  
  
  
  
  
  Je me demande si des Google ou des Apple auraient pas plus à craindre de la découverte d’une cochonnerie dans leurs programmes que des petits éditeurs de logiciels libres.
  
  
  
  La réponse est “non”.
  
  J’ai déjà donné l’exemple d’Apple: on a déjà découvert des communications suspectes. Conséquences pour Apple: rien.
  
  Apple aurait été libre, non seulement on aurait pu en savoir plus sur ces communications, mais en plus, en cas de doute, il suffisait d’utiliser un fork de quelqu’un qui prétend être plus digne de confiance.
  
  
  
  En d’autres termes: avec le libre, la confiance est également un élément pour se distinguer des concurrents. Avec le proprio, l’intérêt du software lui-même l’emporte facilement sur la confiance: si j’abandonne un éditeur, je suis incapable de profiter du software.
  
  
  
  
  
  Donc en fait pour diffuser un malware tranquillement, il vaudrait mieux le faire dans un code Open Source bien touffu de manière à pas passionner les foules qui auront surement autre chose à faire que de vérifier un truc dans lequel finalement personne aurait intérêt à cacher quoi que ce soit. Si en plus on passe pour le bon samaritain de service, c’est gagné " />
  
  
  
  De nouveau, les malwares dans le code ne sont pas trouvées par des gens qui cherchent les mawares dans le code, mais par des gens qui regardent le code pour d’autres raisons (parce qu’ils veulent participer, parce qu’il veulent coder leur propre programme, parce qu’ils veulent forker et éventuellement améliorer, parce qu’ils veulent comprendre comment ça marche avant de bosser sur une contribution adjacente, …).
  
  Donc, non, le fait qu’on parte avec l’a priori qu’il n’y a pas de malware ne va pas réduire la capacité à trouver des malwares.
  
  
  
  Tu notes également que trouver un malware dans un logiciel libre est bien plus profitable pour celui qui le trouve que celui qui trouve un malware dans un logiciel proprio.
  
  Car dans le cas proprio, le développeur peut tjrs trouver une excuse (à moins d’avoir lui-même fait un truc stupide), et le découvreur du malware passe juste pour un haineux. C’est la parole de l’éditeur vs la parole du découvreur.
  
  Dans le cadre du logiciel libre, on a le code source faisant foi.
  

ra-mon a écrit :



Euh, non, j’dis pas ça, juste que l’article du Fiasco De Firefox 3.5 indique qu’il ne serait pas aisé de modifier librement la couche NSS de Firefox™





À propos, cet article est une très bonne illustration de ce que j’essaie de t’expliquer.

Que se passe-t-il ici:

1. quelqu’un remarque que Firefox farfouille dans les dossiers cache de IE
   


2. il regarde plus loin, et découvre que c’est pour NSS, ce qui est stupide
   
   
   
   Imaginons que Firefox soit à source fermée. Que se passe-t-il alors:
   


3. quelqu’un remarque que Firefox farfouille dans les dossiers cache de IE
   


4. il ne peut pas savoir à quoi c’est utilisé. Il pose la question à Mozilla “pourquoi diable regardez vous dans mon cache ?”
   


5. Mozilla répond: “ne vous inquiétez pas, c’est juste pour la couche NSS”
   


6. On répond: “si vous faites ça, c’est que vous êtes stupide. Par ailleurs, qui nous dit que ce n’est pas pour d’autres raisons ?”
   


7. réponse de Mozilla: “bah personne, mais faites nous confiance voyons”
   
   
   
   Ça illustre bien ce que je dis: le fait que ça soit open-source est très utile pour vérifier. Sans ça, on ne peut faire que confiance au développeur, qui peut répondre n’importe quelle excuse s’il est coupable.
   

ra-mon a écrit :



C’est un peut ce qu’ils auraient répondu, on dirait : “Mozilla on their forum says ‘a’ developer is working on a fix and they ‘hope’ that this developer is able to fix it.”

Ils auraient pu aussi répondre : “c’est open-source, démerdez-vous, forkez le machin et ne l’appelez pas Firefox” " />





Non non, on SAIT pourquoi Firefox regarde là.

Personne ne doit faire confiance à Mozilla en ce qui concerne la raison de ce comportement: ce n’est PAS Mozilla qui explique pourquoi ce comportement est observé.



C’est justement ça la différence: même si Mozilla ne répond pas, c’est pas grave.

Opera ne va p-e jamais répondre pour cette histoire de header. Du coup, personne ne pourra jamais être sur si c’est un comportement “normal” ou si c’est une violation de la vie privée. Opera aurait été open-source, on aurait pu vérifier.



Voilà pourquoi les logiciels proprios ont bcp moins à craindre à placer des trojans dans leur logiciel, ce qui implique que les garanties sont plus élevées pour les logiciels libres.