Forum

Reprise du message précédent

Ah oui mais ce n'était pas un reproche hein, juste une constatation.... Téléchargement direct ? Pas de source ? Pas de compilation perso..... Une façon bien étrange de considérer l'open source en effet lol

Ce n'est pas forcément ça. Ici, d'après le bug de papoteur, c'est la méthode de construction qui est comme ça. Au lieu de regarder si les bibliothèques existent localement, elle va directement tout chercher en ligne au moment de l'installation. C'est cette méthode qui est interdite par Mageia.
Papoteur a testé la construction en locale (toujours d'après le bug) mais il a eu une erreur qui l'empêche d'aller plus loin.

Ce n'est pas une question de conception de l'open source. C'est une manière de concevoir la distribution des logiciels.
Tu as le monde des distributions qui récupèrent un lot de sources et font la construction des applications à partir de ce lot et des librairies déjà présentes.
Et tu as les technologies genre npm qui sont l’assemblage de modules à profusion et qui récupèrent en direct ces modules au moment de l'installation, en spécifiant des contraintes sur les versions de ces modules, et sans utiliser ce qui pourrait déjà être là pour d'autres applications. Les langages Go, Ruby, Rust font aussi la même chose, et Python de plus en plus. Ces deux modes de fonctionnement sont assez irréconciliables.
Les distributions considèrent que quand un module a un défaut de sécurité, il faut pouvoir actualiser le module et qu'ainsi tous ceux qui l'utilisent bénéficient de la correction. Par contre, avec le deuxième modèle, il faut actualiser toutes les applications qui l'utilisent, et le premier problème qui se pose est d'identifier quelles sont les applications qui utilisent tel module.

Vous m’arrêtez si je me trompe mais :
>Les distributions considèrent que quand un module a un défaut de sécurité, il faut pouvoir actualiser le module et qu'ainsi tous ceux qui l'utilisent bénéficient de la correction.
* Si j'ai bien compris, quand un module a un défaut de sécurité (OU de code malveillant...(MIM))), et qu'ainsi tous ceux qui l'utilisent bénéficient de la correction. donc tout le chateau est potentiellement contaminé ?!? au lieu d'une seule piece ???

> Par contre, avec le deuxième modèle, il faut actualiser toutes les applications qui l'utilisent
*N'est ce pas le system appelé submarine ? cloisonnement => ainsi une seule pièce est concerné (pas tout le chateau)...

N'est ce pas là une des particularité de linux ?

>et le premier problème qui se pose est d'identifier quelles sont les applications qui utilisent tel module.
* ceci doit être possible a trouver...
en effet, parfois quand on veut désinstaller une appli, il affiche que ca désinstallera ceci et cela
donc il connais les 'dépendances' non ?

désolé si ma question est stupide, mais là! j'ai un problème de logique

precision: oui submarine ne veut pas dire cloisonnement mais c'est la technique des sous marins.. pouvoir isoler une piece et disposer des autres pieces...

En attendant : ceci ne vous aiderais pas ?

https://askubuntu.com/questions/343677/problem-when-installing-anki-unmet-dependencies
https://forum-francophone-linuxmint.fr/viewtopic.php?t=11257

Édité par steven Le 04/07/2023 à 18h53

En effet, si la glibc a un bug, tous les logiciels qui l'utilisent aussi.



Non


Justement, le concept de dépendance vient de l'utilisation des bibliothèques partagées entre toutes les applications. Si maintenant chaque logiciel vient avec ses propres bibliothèques, il est impossible de savoir où une bibliothèque est utilisée et quelles sont les différentes versions installées. Il y a alors un risque d'en rater une.

La comparaison n'est pas valable, car si une seule bibliothèque est buguée ou compromise, tout le système est à risque, que ce soit une bibliothèque partagée ou non. Donc même si on la corrige dans 99% des logiciels, le 1% que l'on aura oublié compromettra le système.

Le risque d'attaque de type Man in the Middle est très faible avec le fonctionnement des distributions Linux.

Alors là, je comprend mieux,
merci yuusha