[gull] Mise à jours

[felix]

Bonjour Yann,

On Fri, Apr 22, 2016 at 10:35:51AM +0200, Yann Lehmann wrote:
> Bonjour,

> On lit souvent qu'il faut absolument mettre à jour ses systèmes
> régulièrement.
> 
> Sous Windows, il vaut parfois mieux attendre quelques jours à la sortie d'un
> patch, l'histoire récente ayant démontré plus d'une fois qu'une mise à jour
> mal fagotée peut provoquer plus de problèmes qu'elle n'en résout.

Il faut comprendre que la publication de patch est un moyen de communication
commerciale répondant à des impératifs commerciaux. C'est l'image de marque
en particulier qui dicte la fréquence et les délais de publication.

Dans le monde de l'open-source, on à vu Debian qui répond à qui demande
``Quand sortira la prochaine version'' une phrase bien sonnée du genre:
``Quand elle sera prête''!

Mais dans le monde de Darwin, il y a de toutes les espèces, il y en à même
qui se croient obligées d'adopter les même stratégie de communication
que les entreprise commerciales:

 .1 On n'annonce pas un bug si on est le seul à le connaitre, donc on
    ne corrige pas et on ne publie rien.
 .2 Lorsque une faille est annoncée, elle *doit* faire l'objet d'une
    publication dans les XX heures!
 .3 Lorsqu'un patch corrige une faille qui n'est pas connue ou réputée
    colmatée lors d'un précédent patch, alors on ne dit rien et se
    contente de publier un patch ``ordinaire'' tous les 3 mois...
 Et caetera...

Cependant, ce type d'attitude est généralement mal perçue des mainteneurs
de distributions.

Donc, pour ce qui est de Debian, je dirais que je n'ai jamais installé
un bug en installant une mise à jour (hormis quelque problèmes avec
des librairies propriétaires comme NVidia).

Ubuntu non plus, pour mon expérience.

Je miserai moins sur les groupes cotés en bourse qui, par leur dépendences
financières, risquent plus de se trouver confrontés à des calendriers
absurdes, cependant à ma connaissance, ce n'est pas le cas.

Pour finir, l'une des grandes fiertés de l'open source est précisement la
souplesse et la réactivité dans les cas importants et/ou grâves.

 - Une faille est annoncés
 - moins de douze heures plus tard, un patch est disponnible
 - moins de douze heures plus tard (24h) le patch à été vérifié, est
   validé.
 - moins de douze heures plus tard, les mainteneurs des distribution
   ont intégré le patch dans les serveurs et il peut être installé
   par les utilisateurs finaux.

Ces égallement pour cela que l'on parle de ``zero day exploit'', car
les première vingt quatre heures après l'annonce d'une faille sont
les seules utilisables pour un piratage.

-- 
 Félix Hauri  -  <felix at f-hauri.ch>  -  http://www.f-hauri.ch