Linus Torvalds est particulièrement remonté contre le battage fait autour des failles de sécurité. Il renvoie dos à dos les partisans de la divulgation immédiate des bugs et ceux qui cultivent à leur profit le secret de l'embargo.

Linus Torvalds, le célèbre créateur du noyau Linux, en a assez de ce qu'il voit comme un « cirque sur la sécurité » entourant les vulnérabilités logicielles, et le battage dont elles font l'objet de la part des professionnels. Il a répondu à nos confrères de Network World via un échange d'emails.

Il est revenu sur ce qu'il avait indiqué il y a un mois, via un post (http://article.gmane.org/gmane.linux.kernel/706950) : Une raison qui fait que je refuse de m'inquiéter avec tout ce cirque sur la sécurité est que je pense que cela valorise, et donc encourage, les mauvais comportements. Cela transforme les professionnels de la sécurité en héros, comme si les gens qui corrigent les autres bugs n'étaient pas importants. Or, tous ces bugs ennuyeux et normaux sont beaucoup plus importants, parce que ce sont les plus nombreux ".

Linus Torvalds s'était également fendu d'une charge sur la communauté OpenBSD. « Le monde de l'OpenBSD est un groupe de singes se masturbant, dans le sens, où ils font tout un plat du fait de se concentrer sur la sécurité au point que rien d'autre ne compte pour eux ». Linus Torvalds a reconnu par la suite que cette sortie pouvait être jugée offensante.

Il regrette le fait que ce que l'on appelle « sécurité » se sépare trop souvent en deux camps : ceux qui conservent le secret sur les problèmes en cachant les informations jusqu'à ce qu'un bug soit corrigé, et ceux qui révèlent « les failles de sécurité des vendeurs parce qu'ils voient cela comme une preuve de plus du fait que ces derniers sont corrompus, ce que la plupart sont certes ». Selon Linus Torvalds, ces deux camps sont « fous. Ils se pointent du doigt réciproquement comme un moyen de cimenter leur propre raison d'être.». Il estime qu'aucun des deux camps n'a tout à fait raison, et que le juste milieu consistant à corriger les problèmes le plus tôt possible sans trop de battage, est préférable. « Il faut effectuer les corrections rapidement, et pour cela un certain niveau de divulgation auprès des développeurs est nécessaire »

Vos commentaires

. Web-profils.com, la place de marché du conseil et de l'ingénierie