Quelle distrib linux?

[b0fh]

Bon, y'a quand même un fond de débat intéressant, alors j'aimerais répondre sérieusement (oui ça m'arrive) sur deux points:

- La backdoor dans "Reflections on Trusting Trust" est un magnifique exercice théorique. Mais je ne pense pas qu'il puisse se généraliser à un scénario catastrope ou tous les compilateurs du monde sont backdoorés, pour des raisons simples.

D'abord, nous avons plusieurs compilateurs différents (en libre, gcc et llvm pour commencer). Il est hautement improbable qu'une backdoor telle que celle décrite dans l'article, en admettant qu'elle aie réussi à contaminer gcc partout sur la planète, réussisse a infecter llvm dont l'architecture est considérablement différente.

Ensuite, la modification ne passerait pas inaperçue après désassemblage du binaire de login ou du compilo. ça serait étonnant que personne n'ai ejamais remarqué le glitch par hasard sur une analyse statique.

- La backdoor dans le kernel en 2003 a été détectée le jour même, et celle de proFTPd en 3-4 jours

- la faille openssl était selon tout évidence un accident et pas une backdoor délibérée. La correction par Debian a été très rapide, si on considère qu'une vulnérabilité similaire était présente dans plusieurs produits propriétaires a bien plus grande échelle, et que les vendeurs ont pris des mois a corriger, parfois sans même annoncer le problème à leurs clients

- tous les autres exemples concernent des produits fermés

Alors oui, c'est bien d'être prudent, mais faut pas exagérer.