bashar a écritiuchiban a écritJe pense que le gars à l'origine de ce problème va se faire taper sur les doigts.😛
C'est plutôt la façon dont sont validés les apports des contributeurs qui est en question ici.
Parce qu'à la limite, quelqu'un de mal intentionné pourrait lui-même contribuer en apportant ses développements, en y glissant "par inadvertance" une petite fragilité qu'il serait a même d'exploiter...
Heu oui mais non...
Là on parle d'un mainteneur de Debian.
Lorsque tu ne fais pas partie de l'équipe de maintenance d'une distribution, tout dabord, généralement, ce n'est pas toi qui fabrique un paquet qui est déjà dans la distribution.
Si tu a créé ton propre soft, que tu en fait un paquet et que tu veux qu'il soit intégré dans une Debian, il va falloir qu'il passe le contrôle des mainteneur de la version Unstable...et sera peut être rejeté.
Dans le cas de openssl et openssh, ces paquets ont des mainteneurs officiels chez Debian. Ces gens sont connus, et lorsqu'une connerie est apparait dans les paquets openssh ou openssl, ce ne peut être à l'origine qu'une connerie du mainteneur ou du développeur.
Coté développement c'est pareil, ces projets ont des équipes de développement et n'importe qui ne peut pas injecter n'importe quoi dans le code. Pour entrer dans une équipe de développement il faut avoir fait ses preuves, par exemple en tant que testeur de longue date. Il est facile de télécharger le contenu d'un mirroir de développement, genre sur un CVS ou subversion, mais pour avoir un code d'accès développeur et y déposer quelque chose, ce n'est pas si facile que cela.
Il ne faut donc pas croire qu'il est facile d'injecter du code malicieux dans un projet open-source qui va être packagé puis intégré dans une distribution.
