La semaine dernière, nous nous faisions l’écho d’un important correctif de sécurité déployé par Apple sur ses appareils. La faille colmatée touchait la vérification des connexions TLS/SSL et il était plus que recommandé aux utilisateurs de procéder rapidement à la mise à jour. On sait désormais que de nombreux produits basés sur un composant open source sont touchés par une faille similaire, dont plusieurs distributions Linux.
La distribution Ubuntu est vulnérable
Une faille très similaire dans iOS, OS X et la bibliothèque GnuTLS
La faille TLS/SSL qui affectait aussi bien iOS qu’OS X est désormais colmatée, mais elle n’en reste pas moins critique. Ce sont respectivement les mises à jour 7.0.6 et 10.9.2 qui se sont occupées du problème. Ce dernier provenait d’une importante lacune dans la vérification des connexions sécurisées qui pouvait permettre à de faux certificats d’être considérés comme authentiques. Des pirates pouvaient donc très bien faire passer un site malveillant comme parfaitement légitime.
Alors qu'elle avait largement fait parler d’elle, le monde de l’open source vit une autre onde de choc : une faille similaire a été détectée dans le composant GnuTLS, utilisé par de très nombreux produits, dont des distributions Linux. Comme son nom l’indique, cette bibliothèque gère les connexions sécurisées, et une erreur dans son code permet le même type d’attaques que dans le cas d’iOS et OS X.
Des étapes manquant dans la vérification de l'authenticité des certificats
Cette similitude est inhérente au détail de la faille. Une liste de commandes permet normalement de vérifier l’authenticité des certificats TLS, ou X509. Certaines étapes critiques dans cette vérification ne fonctionnent tout simplement pas car certains codes d’erreurs ne sont pas gérés correctement. Conséquence : des certificats TLS qui ne devraient pas être validés sont considérés comme parfaitement légitimes. Comme l’indique Red Hat (qui a découvert la faille au cours d'un audit) dans un bulletin de sécurité, un pirate pourrait tout à fait créer un certificat qui pourrait être appliqué sur un faux site en le faisant passer pour le véritable site.
L’erreur est nécessairement humaine et semble grossière. L’un des aspects inquiétants de l’affaire est que le code affecté pourrait remonter à 2005, ce qui signifie qu’il pourrait exister depuis neuf ans sans que personne ne l’ait repéré et alors qu’il était en accès libre. Mais le problème le plus sérieux est que la bibliothèque GnuTLS est utilisée dans de très nombreux produits, ce qui pourrait entraîner des conséquences multiples.
De nombreux produits touchés, un correctif déjà disponible
Ainsi, des distributions l’utilisent, notamment Debian (qui a publié également un bulletin de sécurité) et Ubuntu, déjà largement représentées dans la sphére Linux. La présence dans ces deux seules distributions suffit à rendre la faille exploitable sur de nombreuses machines. Certains composants, comme la version 3 de lib-curl ou encore des applications de réseau privé virtuel fonctionnant avec le matériel Cisco, s’appuient sur GnuTLS et sont donc vulnérables.
Pour les développeurs de GnuTLS, la situation est simple : toutes les versions de la bibliothèque sont atteintes, à l’exception des dernières révisions des deux branches en cours, estampillées 3.2.12 et 3.1.22. Ils encouragent donc vivement les utilisateurs à mettre à jour ce composant aussi vite que possible. La faille a par ailleurs fait son entrée sur la Common Vulnerabilities and Exposures List sous la référence CVE-2014-0092. Les détails n’y sont par contre pas encore présents.
La mise à jour des distributions sera probablement l’étape la plus simple. Cependant, la diffusion de correctifs pour l’ensemble des produits touchés prendra plus de temps. La faille pose également la question, comme dans le cas d’Apple, d’une éventuelle implication de la NSA. Bien qu’il puisse s’agir d’un scénario de film d’espionnage, les documents dérobés par Edward Snowden ont montré combien l’agence américaine s’investissait dans le contournement des protections informatiques, allant jusqu’à noyauter le développement de certains standards. Une interrogation que l’on peut d’ailleurs voir surgir dans une discussion sur Reddit à propos de la faille.
Commentaires (234)
#1
Et comme chez Apple, c’est dans un code où il y a du Goto.
" />
Coïncidence ? Je ne crois pas…
#2
La faille pose également la question, comme dans le cas d’Apple, d’une éventuelle implication de la NSA. Bien qu’il puisse s’agir d’un scénario de film d’espionnage, les documents dérobés par Edward Snowden ont montré combien l’agence américaine s’investissait dans le contournement des protections informatiques, allant jusqu’à noyauter le développement de certains standards.
A priori, un logiciel de “versioning” est utilisé pour le développement de cette lib ?
Si c’est le cas, il suffirait de remonter aux commits concernés pour vérifier s’il y a eu véritablement intervention de la NSA ou pas, non ?
#3
C’est bon dans 2 jours il y a un patch complet. Par contre ça va être une news à troll.
#4
Ah ceci explique pourquoi ce matin j’ai eu cette mise à jour sur ma Ubuntu 13.10
Les paquets suivants ont été mis à jour :
libgnutls-openssl27 (2.12.23-1ubuntu4.1) to 2.12.23-1ubuntu4.2
libgnutls26 (2.12.23-1ubuntu4.1) to 2.12.23-1ubuntu4.2
libgnutls26:i386 (2.12.23-1ubuntu4.1) to 2.12.23-1ubuntu4.2
Et pour quelles raisons ces patchs ?
gnutls26 (2.12.23-1ubuntu4.2) saucy-security; urgency=medium
* SECURITY UPDATE: certificate validation bypass
Une fois qu’ils s’en sont rendus compte, il a fallu combien de temps à Apple pour corriger son bogue déjà ?
Je ne veux pas rajouter de poils au
#5
#6
C’est pensé à l’envers leur truc. Ça devrait échouer par défaut et réussir uniquement si tous les tests sont bons.
Là ça fait l’inverse, ça accepte par défaut et échoue si un des tests est faux. Du coup, si un test n’est pas effectué (c’était le cas pour Apple), il accepte !
#7
#8
Depuis 2005, 9 années ?
" />
" />
Hé ben… moi qui pensais que mettre du code open source garantissait que les failles soient rapidement trouvées et corrigées …
Cependant, la diffusion de correctifs pour l’ensemble des produits touchés prendra plus de temps.
.. sans compter que même après diffusion, il est clair que ce ne sont pas tous les posts qui seront mis à jour, du moins je pense : est-ce que les updates sont obligatoirement automatiques sur tous les posts et installés sans intervention de l’utilisateur ?
La faille pose également la question, comme dans le cas d’Apple, d’une éventuelle implication de la NSA.
E on se pose encore la question ?
#9
#10
Oui enfin dès qu’une faille est utilisé par pas mal de monde, on le sait rapidement voir on retrouve son exploitation chez les scripts kiddies. Celle-ci soit personne ne l’a vue, soit juste un très petit nombre de personne ont pu l’exploiter (nsa, etc…).
#11
#12
#13
#14
#15
Oh tiens, le open source c’est mieux car revu en permanence par des centaines de bénévoles…
Mouais.
Là encore, je pense qu’on a une démonstration que open source != plus sécurisé.
Après je ne dis rien du côté de Microsoft, ils ont sûrement pleins de failles, mais de ce type moins car ils ont un process de test assez rôdé, et assez plébiscité par de nombreux experts.
#16
#17
Mon serveur ubuntu 12.04 reste vulnérable malgré qu’il soit a jour…une idée ?
#18
#19
Par contre, ceux qui attendaient qu’une actu de ce genre arrive pour vider leurs frustrations, ce sera blocage très rapidement. Merci de rester constructifs.
#20
#21
Faut pas forcément paniquer: c’est “GnuTLS” qui est touché et pas “OpenSSL” (jusqu’à qu’on trouve aussi une faille du même genre dans ce dernier)
Et OpenSSL est largement plus utilisé que gnutls (par exemple c’est sur ce dernier que s’appuie le mod_ssl d’Apache)
La phrase “utilisé par de très nombreux produit” est à prendre avec des pincettes.
Il est exact que GnuTLS est inclus dans toutes les distribs Linux mais cela ne veut pas dire qu’il est effectivement utilisé par vos applis.
#22
#23
#24
#25
#26
#27
goto fail
Oui c’est un bon résumé.
#28
#29
#30
à l’exception des dernières révisions des deux branches en cours, estampillées 3.2.12 et 3.1.22.
justement, j’ai lancé un petit pacman -Syu ce matin et :
gnutls-3.2.12-1-i686 1867,0 KiB
Les rolling Release, c’est quand même bien!
#31
#32
Une faille critique dans la gestion des connexions TLS/SSL fragilise Linux
Une similitude troublante avec la faille d’iOS et OS X
Un peu trop semblable…je ne crois pas aux coïncidences de ce type, c’est forcément voulu.
#33
#34
#35
Goto …
#36
#37
#38
#39
#40
#41
#42
La mise à jour des distributions sera probablement l’étape la plus simple. Cependant, la diffusion de correctifs pour l’ensemble des produits touchés prendra plus de temps. La faille pose également la question, comme dans le cas d’Apple, d’une éventuelle implication de la NSA.
Et le cas où Apple reprend du code de GnuTLS en le modifiant à sa guise mais en gardant la vulnérabilité ?
Je trouve cela un peu plus crédible ^^
#43
C’est la seconde faille détectée dans ce fichier en quelques jours.
Voir mon commentaire dans la news “OS X Mavericks 10.9.2 est disponible …”.
C’est le même qui a corrigé les 2 failles. Il a peut-être continué la relecture pour voir s’il n’y en avait pas d’autres.
Cela confirme la réputation que j’avais lu sur GNI TLS qui a un code de mauvaise qualité et qui est donc susceptible de failles.
L’utilisation de Open SSL est préférable quand c’est possible. Par contre, il faut bien étudier les compatibilités de licences : elle est incompatible avec la GPL quand elle n’est pas embarquée dans l’operating system sauf s’il est prévu une exception dans le soft GPL.
#44
L’open source super secure car le code est relu et tout ça en prend un coup !
" />
OK on le voit mais si c’est 9 ans après
#45
#46
#47
#48
#49
Ça montre bien a quelle point linux est un OS vulnérable.
Je m’y connais beaucoup en langue anglaise et il aurait fallu écrire “go to” et pas “goto”. Les gens qui ont fais ce programme parlaient manifestement très mal anglais. Peut-être qu’ils on fais anglais LV3 et pris allemand ou espagnol en LV2.
Avec windows (Qui veut dire “fenêtre” en anglais), un programme écrit par des gens qui parlent vraiment la langue de shakespear, on a jamais aucun virus de mauvaise orthographe anglaise.
Les écossais de Macintosh parlaient moyennement bien anglais et on probablement écrit leur code avec leur accent, ce qui explique la faille.
#50
’un des aspects inquiétants de l’affaire est que le code affecté pourrait remonter à 2005, ce qui signifie qu’il pourrait exister depuis neuf ans sans que personne ne l’ait repéré et alors qu’il était en accès libre.
Problème classique du libre: tout le monde s’appuie sur la disponibilité du code pour supposer que celui-ci est relu et analysé… Ce qui n’est pas toujours le cas.
(C’est sans doute encore pire avec du propriétaire… )
#51
#52
Ah, donc maintenant à chaque faille on aura le paragraphe à copier coller sur la NSA histoire de passer en mode théorie du complot sans le début du commencement d’un indice … mouais, non, on va plutôt parti sur l’hypothèse du foirage avec 0 audit de sécurité correct depuis
" />
Le lien cité quand on parle de l’age du commit remonte le bug à novembre 2003, par le mainteneur principal de la lib, un employé red hat européen…
#53
“La mise à jour des distributions sera probablement l’étape la plus simple. Cependant, la diffusion de correctifs pour l’ensemble des produits touchés prendra plus de temps.”
Bah non justement : La distribution mets à jour la lib, tous les logiciels qui l’utilisent en profitent.
C’est un des intérêts de bien gérer les dépendances comme le font les distributions Linux : Les logiciels ne s’installent pas avec leur version à eux des bibliothèques tierces.
#54
#55
#56
#57
#58
#59
#60
#61
#62
#63
Je peux vous dire, ayant à régler le même genre de problématique (correction orthographique d’écrits personnels pouvant atteindre les 600 pages) que les fautes les plus connes sont souvent les plus difficiles à détecter !
Je trouve régulièrement de belles gaffes dans mes écrits, tant point de vue typo que mise en page ou orthographe/grammaire/syntaxe, alors que j’ai relu le texte en question 2 ou 3 fois avant mise en publication, sans parler des tiers qui me font la remarque…
Donc, une erreur aussi grotesque pas détectée pendant 9 ans, ça ne me paraît pas incroyable, connaissant la nature humaine et ayant la même pratique…
#64
Et maintenant on relis les commentaires de la news parlant de l’approche de Linus par la NSA …
Morceaux choisis :
C’est ça le souci, ceux qui n’utilisent pas Linux et ne font pas un minimum d’administration système, consulté les docs, ne comprennent pas et ne font que spéculer : « il y a des failles, et la NSA installe leur backdoor ni vu ni connu » alors que non, forcément à un moment ou à un autre quelqu’un le verrait puisque le kernel est modifié, scanné, en permanence, par des instances différentes, par du privé, du public, partout dans le monde et y compris au niveau du particulier.
Le jour ou vous verrez une porte dérobée sous nunux faites moi signe, on parle d’un truc ou la moindre modification d’une ligne de code, conduit inévitablement un nombre relativement important de personne a y regarder de plus près.
Tout est décortiqué, analysé, rectifié, refusé suivant l’intérêt du patch, sa qualité, son élégance, pas même Linus ne pourrait s’il le voulait faire passer quelque chose en douce, il y a un historique complet de toutes les modifications qui sont apportés au code.
Voila maintenant si les gens pouvaient se remettre en question de temps en temps en acceptant que tout les systèmes soient vulnérables et qu’au final la NSA a suffisamment de moyen pour pénétré n’importe quelle systèmes.
#65
#66
Apparemment FreeBSD n’est pas concerné (ils ne sont pas très amis avec tout ce qui touche à gnu
" /> ), j’ai rien dans les rapports de sécurité.
Il faut juste faire attention aux ports.
#67
#68
en tout cas, l’argument comme quoi c’est open source donc plus secure en prend un coup dans la gueule.
#69
#70
#71
#72
#73
#74
#75
#76
#77
A la limite avec le code closed source on peut coder une vrai backdoor demandant login + password …
" />
Avec l’open source t’es obligé de fragiliser le système dans sa globalité pour que la NSA puisse rentrer…
Z’ont vraiment aucun savoir vivre les linuxiens
#78
#79
Je rajoute du poil au
" />
" />
Il semblerait que Windows ne soit pas impactés par ce problème
#80
#81
#82
#83
#84
#85
#86
#87
#88
#89
#90
Pour les développeurs de GnuTLS, la situation est simple : toutes les versions de la bibliothèque sont atteintes, à l’exception des dernières révisions des deux branches en cours, estampillées 3.2.12 et 3.1.22
Sur Fedora, la faille est corrigée depuis 3.1.20-4, dispo pour Fedora 19 et 20 dans le dépôt update-testing. Construit lundi, le paquet sera dans le dépôt updates sous peut.
#91
#92
#93
#94
L’un des aspects inquiétants de l’affaire est que le code affecté pourrait remonter à 2005
Ahem…
Mais le problème le plus sérieux est que la bibliothèque GnuTLS est utilisée dans de très nombreux produits
Ahem..
On sait désormais que de nombreux produits basés sur un composant open source sont touchés par une faille similaire, dont plusieurs distributions Linux.
Ahemhemm.. (je m’étouffe)
Commentaire inintéressant mais est-il besoin d’en dire plus…
#95
cough cough, quand on fait bien les choses, on utilise pas gnutls mais openssl. Et ça fait un bail que l’info est connue, 2008 pour être précis, source mailing-list d’openldap:
http://www.openldap.org/lists/openldap-devel/200802/msg00072.html
le seul package installé ici dépendant de gnutls c’est… wireshark (étrangement). Tout le reste (firefox inclus), c’est openssl.
Bon, j’ai pas lu l’intégralité des commentaires, mais j’imagine la floppée de trolls qui ont dû se faire plaisir pour, au final, que dalle.
#96
Les distributions linux c’est plus sécure par ce que c’est opensource et donc tout le monde peut vérifier.
" />
" />
Ca en fout un coup à ce type d’argumentaire puis qu’apparemment personne ne vérifie
Une distrib linux c’est pas plus sécure qu’un windows ou macos
#97
#98
Bon allez je mets les pieds dans le troll :
#99
Seuls les pirates chevronnés pourraient nous dire qui d’entre Linux, Mac OS et Windows est le plus sécurisé (en évitant de comparer les machines desktops et les serveurs qui n’ont probablement pas les mêmes angles d’attaque).
Les affirmations des libristes et des commerciaux me paraissent être du blabla et de l’idéologie qu’aucun fait ne vient étayer.
#100
#101
#102
#103
#104
#105
#106
#107
#108
#109
#110
#111
#112
#113
#114
#115
Et dire qu’on nous dit a longueur de temps que l’open source est la parade a la NSA.
En fait personne ne lit le code, ou en tout cas, pas des personnes qui le comprennent.
#116
#117
#118
#119
Bien que l’erreur semble assez grossière.
il me semble que les commentaires oublient qu’un soft libre ou proprio avec 0 bug n’existe pas.
#120
#121
#122
#123
#124
#125
#126
#127
#128
#129
J’avoue ne pas avoir lu tous les commentaires précédents. Mais voilà : autant coder un truc comme ça c’est moche mais on peut comprendre que ça se produise (fatigue ou plus probablement “merge” foireux), autant valider un truc comme ça, c’est assez énorme. Surtout pour une lib sensible qui a en charge le TLS.
On aurait pu s’attendre à ce qu’une telle lib dispose d’un jeu de tests couvrant les cas nominaux mais aussi des cas d’erreur et des cas tordus, avec des certificats volontairement foireux.
Bref, c’est assez flippant…
#130
#131
Et qu’est ce qu’on en a à foutre des failles de sécurité ?
Sérieux ! (à part faire marcher le business de la sécurité et de la peur !!!)
Puisqu’on sait que l’ordinateur est insécurisable.
Les informations qui ne doivent être divulguées n’ont pas leur place sur un ordinateur.
Il faut jusque accepté cela et agir en conséquence.
#132
Pour moi il faut juste mettre la capote, le reste il faut l’accepter.
#133
#134
#135
#136
#137
#138
J’ai eu la mise à jour aujourd’hui (openSUSE 13.1).
Donc le libre permet de corriger les failles vite, mais pas de les connaitre plus vite.
#139
Bon, ça explique le joli mail qu’unattended-upgrades m’a envoyé hier pour me dire que libgnutls passer en version 2.12.20-8+deb7u1.
#140
#141
#142
#143
#144
#145
Enfin pour ajouter je dirai que cette faille donne tord à Linus quand il dit que les développeur BSD sont des “paranoïaque de la sécurité” parce que cette faille montre qu’être paranoïaque peut avoir du bon et montre la supérieur d’OpenSSL sur GNU.
" />
Bref ca montre qu’avec les logiciel GNU il y a à boire et à manger n’en déplaisent à notre chère RMS.
#146
#147
#148
#149
#150
#151
En fait l’OS ultime c’est Debian kFreeBSD auquel tu vire les outil GNU.
" />
#152
#153
#154
#155
#156
#157
#158
#159
#160
#161
#162
#163
Allez… 1 de trouvée… plus qu’1 milliard…
" />
#164
#165
#166
#167
#168
#169
#170
#171
#172
Bien qu’il puisse s’agir d’un scénario de film d’espionnage…
La similitude est en effet troublante… en plus ca fait vraiment erreur de copier/coller et l’oeuil ayant tendance à être moins attentif aux doublons
Bon, ca fait quand même un peu tâche… quand l’accès aux sources est là, c’est dingue que ca puisse trainer 9 ans. C’est dire la situation potentielles des OS boite noires avec le dev en Inde par des mecs payés à coups de trique?
#173
#174
#175
#176
#177
#178
#179
#180
#181
#182
#183
En espérant que cet news aura le mérite de remettre les idées en place à certains lunixiens qu’on peut croiser ici qui avaient la trop fâcheuse tendance à se prendre pour des demi-dieux de l’informatique et à regarder dédaigneusement les utilisateurs de Windows ou OS X sous prétexte que Linux c’est trop de la balle et que c’est complètement invulnérable.
Calmés les gars là.
#184
Bon, mise à jour en cours de ma Fedora 20, et je confirme : gnutls mis à jour.
#185
#186
#187
#188
#189
#190
#191
#192
#193
#194
#195
#196
Et si tout à chacun peut faire ce qu’il veut avec linux sous prétexte que c’est libre, qu’est ce qui empêche une personne mal intentionnée de rajouter quelques lignes de codes à une distri linux lui permettant “d’aspirer” le contenu des ordis des utilisateurs de cet distri?
#197
#198
#199
#200
#201
#202
#203
#204
#205
#206
#207
9 ans… C’est le problème du libre c’est un truc de hippies ! dans l’idéal c’est bien, la “communauté” relis le code pour le bien collectif… sauf que au bout d’un moment les hippies sont trop défoncés et la communauté sensée bosser se transforme en équipée de branleurs végétatifs
:cartman:
#208
#209
#210
#211
#212
@A33
Je n’ai pas besoin d’antivirus sous GNU/Linux, alors que je n’irais pas surfer sous windows sans. Dans les faits, quelque soit l’OS, il y aura toujours des failles de sécurité à régler, mais le code source ouvert permet quand même d’aller bien plus vite pour les combler, et on l’a encore vu cette fois ci dans la réactivité des distributeurs.
La sécurité par l’obscurantisme, ça fait plus de 20 ans qu’elle échoue à faire de windows un système stable et sécurisé, quand à mac os x, je ne le prendrais pas comme exemple : il a aussi ses problèmes propres, et il n’y a que des fanboys pour dénier ce fait.
Je n’irais pas non plus rentrer mon numéro de carte bancaire sous windows ou mac os x, et de manière générale dans tout système fermé, parce que de base, je ne peux pas avoir confiance dans des dictateurs soumis au Patriot Act, qui sont allés jusqu’à fermer le compte Paypal de Wikileaks - en d’autres termes : des gens qui font ce qu’ils veulent et n’ont aucun compte à rendre au reste de la planète, à commencer par leurs usagers. Le dédain patent de microsoft pour ses anciens clients xp démontre à quel point ces gens n’en ont rien à cirer de leur cheptel : il faut vendre du neuf, du cher et du brillant à tout prix, même si c’est de la merde de type vista ou w8. Tant que le législateur ferme les yeux, ils en profitent un max pour racketter via vente forcée.
Alors on peut critiquer le Libre sur certains aspects, et sur une certaine “rectitude” parfois jusqu’au boutiste, mais s’il n’y avait pas les logiciels libres pour équilibrer un peu les choses, ça fait longtemps qu’on aurait perdu toute liberté. Et je ne veux pas d’une informatique sous le contrôle de Big Brother ^ 10.
Pour ma part, j’estime donc que la philosophie GNU a largement prouvé son efficacité - et quand on voit GNU/Linux aujourd’hui, j’ai tendance à dire que windows est définitivement enfoncé, et que mac os x n’a plus vraiment d’aura à défendre.
Le Libre actuel a largement dépassé ses concurrents en terme de facilité d’usage, de stabilité et de réactivité. Son seul défaut véritable, pour ne pas dire son aspect maudit, c’est d’être gratuit, et de ne pas arroser les marchands de pacotille qui vivent des subventions de leurs dictateurs respectifs.
C’est tout le problème d’une génération de marchands qui croit dur comme fer qu’elle peut aller contre le progrès… Et le progrès, ce n’est pas de mettre ses données sur un cloud US en ligne pour qu’on nous les pique, et ce n’est plus la vente de boîtes non plus.
#213
C’est tellement énorme, que ça en devient risible, enfin pas trop, car c’est en fait d’une gravité effrayante. Je ne souhaite pas aux sales connards de la NSA de venir passer des vacances à Paris, ce n’est plus une ville très sûre
#214
C’est tellement énorme, que ça en devient risible, enfin pas trop, car c’est en fait d’une gravité effrayante. Je ne souhaite pas aux sales connards de la NSA de venir passer des vacances à Paris, ce n’est plus une ville très sûre…
http://www.pcinpact.com/news/84830-blocage-certificats-par-google-interview-patr…
Google a dénoncé sur son blog dédié à la sécurité un problème de certificat ce 3 décembre. L’entreprise américaine a bloqué plusieurs certificats non autorisés visant ses domaines, émis par une autorité de certification en relation avec l’ANSSI. Pour faire le point, Patrick Pailloux, directeur général de l’Agence nationale des systèmes d’information, a bien voulu répondre à plusieurs de nos questions.
#215
#216
#217
Ça ne limite en rien les possibilités de réutilisation. Les développeurs de GNOME sont partis dans une direction qui déplaisait ? D’autres développeurs ont créé Mate et Cinnamon, en se basant sur le code de GNOME. Le rachat de Sun par Oracle et le destin d’OpenOffice ne convenait pas ? Certains ont repris le code pour créer LibreOffice. Des exemples de forks, de fusions ou autre, on en a à la pelle, dans le monde du libre.
" />
Par contre, on reste entre nous, je te l’accorde. Mais je ne vois pas pourquoi ce serait les adeptes de la GPL les fautifs. Personne n’oblige les systèmes BSD à utiliser la licence BSD (leur licence permet même de tout passer sous GPL du jour au lendemain), Apache ou autre. Vous avez fait votre choix, en fonction de votre idéologie, de votre vision de la vie, de l’informatique et de ce que vous voulez.
Alors ok, on ne peut pas réutiliser du code GPL dans un logiciel BSD, mais ce n’est pas de la daube pour autant. Même si ça peut se comprendre que vous soyez un peu dégoûté. En même temps, estimez vous heureux d’avoir accès à des dizaine de milliers de logiciels sous licence GPL, sinon on ne pourrait pas faire grand chose sur un système BSD
(ok, fallait bien que je troll un peu) :)
On a juste une vision différente de la liberté. Pour nous, la liberté doit être préservée à tout jamais, tandis que pour vous, on doit pouvoir être libre de renoncer à cette liberté, aussi bien pour vous même, que pour les autres, dont vous ne vous souciez guère.
#218
#219
#220
#221
#222
#223
#224
#225
#226
#227
Sinon j’ajouterai que la meilleur des licence reste quand même la WTF-PL.
" />
* This piece of software is under the WTF Public Licence.
* Everyone is permitted to copy and distribute verbatim or modified
* copies of this program, under the following terms of the WFTPL :
*
* DO WHAT THE FUCK YOU WANT TO PUBLIC LICENSE
* TERMS AND CONDITIONS FOR COPYING, DISTRIBUTION AND MODIFICATION
*
* 0. You just DO WHAT THE FUCK YOU WANT TO.
Ca c’est typiquement le genre de licence que j’aime, pas besoin d’avoir fait un doctorat en droit ou de passer 1 semaine à couper les poil de cul en quatre pour diffuser ton logiciel.
Au moins avec ce genre de licence il n’y aurait pas eu ce cirque pour VLC ou ils ont du mettre 6 mois à demander à tous les contributeur si ils étaient d’accord pour passer du GPL à LGPL pour faire cohabituer leur programme avec des machin proprio indispensable pour ce type de logiciel.
Avec une licence BSD il y aurait pas eu ce genre de connerie et l’énergie investi dedans aurait été redistribué dans le dev
#228
#229
#230
une question
" />
Tu es commercial (hypothèse), vaut-il mieux vendre un truc qui marche ou un truc qui a du mal à se vendre ?
Dilemme, mais le type qui vendra le plus aura une avance, ça aussi c’est un dilemme pour son portefeuille hahahahahaha !!
La vente forcée marche une fois, mais, pas sûre, deux fois ? (FB en fait l’écho, je suppose)
#231
#232
#233