Nuove falle in Firefox

[fek]

Originariamente inviato da friwer

Sempre imho, ogni volta che si scrive codice è inevitabile il rischio di bug, per questo non credo al mito del software perfetto. Ma esiste la serietà professionale, quella che ti impone di rimediare ad una falla, il più rapidamente possibile per evitare danni. Mozilla eccelle in questo campo, Microsoft (per quanto riguarda IE) un pochino meno....

La serieta' professionale impone di consegnare ad un utente software testato che minimizzi le incognite.

Risolvere un bug e rilasciarlo potenzialmente non testato significa portarsi da una situazione nota (c'e' un bug, questo e' il work around per evitarlo) ad una situazione ignota (il bug non c'e' piu' ma non sappiamo se il fix ha introdotto nuovi bug e non conosciamo i possibili work around).

La seconda situazione, converrai con me, e' piu' indesiderabile della prima.
La situazione migliore e' avere il bug fixato e testato a dovere, perche' potenzialmente anche un cambiamento al codice minimo ed apparentemente innocuo puo' causare disastri, la storia della farfalla che batte le ali e causa un uragano si applica benissimo software.
Ho visto cose con questi miei occhi... ed alcune le ho causate io ed ho imparato questa lezione sulla mia pelle

[Runfox]

Originariamente inviato da fek

La serieta' professionale impone di consegnare ad un utente software testato che minimizzi le incognite.
....

Ho seguito con interesse le discussioni sulla sicurezza di IE e FF, anche riguardo alle tue considerazioni sulla "troppa" fretta di fare uscire un fix, su cui mi trovi d'accordo, almeno in linea teorica.

Vorrei però fare una riflessione, cioè, il bug c'è e nessuno se nè accorto finora; esce il fix, potrebbe aver introdotto nuovi bug. La mia riflessione è:
Se nessuno si è accorto finora del bug precedente, chi mi assicura che un periodo di test più lungo, mi consenta di verificare se ho introdotto nuovi bug, visto che non mi sono accorto nemmeno di quello originario ?
Forse (e dico forse) mi conviene fare uscire il fix, e lasciare ad altri (secunia ? user ?) il compito di trovare eventuali nuovi bug che ho introdotto, almeno io (FF) ho corretto il bug che mi è stato rilevato.

Come ho premesso, in linea teorica sono d'accordo che una casa debba almeno testare per un pò le modifiche effettuate; da un'altra parte posso anche capire perchè FF abbia deciso di rilasciare subito la patch.

[Cimmo]

Originariamente inviato da Runfox

Forse (e dico forse) mi conviene fare uscire il fix, e lasciare ad altri (secunia ? user ?) il compito di trovare eventuali nuovi bug che ho introdotto, almeno io (FF) ho corretto il bug che mi è stato rilevato.

Beh questo e' il compito delle beta release, ma per le versioni final l'utente non dovrebbe essere mai delegato a fare da beta-testing delle patch.
Purtroppo pero' succede spesso di trovare prodotti finali con bug vistosi magari perche' fatti uscire prematuramente.

[fek]

Originariamente inviato da Runfox

La mia riflessione è:
Se nessuno si è accorto finora del bug precedente, chi mi assicura che un periodo di test più lungo, mi consenta di verificare se ho introdotto nuovi bug, visto che non mi sono accorto nemmeno di quello originario ?

Nessuno te lo assicura per definizione
Ma il principio base del testing non e' trovare tutti i bug, ma cercarli. Fare piu' testing e' meglio che farne meno sempre e a prescindere. Poi c'e' una soglia superata la quale si ha abbastanza "confidenza" per rilasciare il fix e per essere ragionevolmente tranquilli che il vantaggio per gli utenti sia maggiore dei rischi. Se questa soglia non e' mai raggiunta, e' giusto che il fix non venga mai rilasciato.

Ogni programmatore avra' un suo metro di giudizio che variera' la soglia.
Un programmatore che rilascia un fix a milioni di utenti dopo un giorno di testing e' un programmatore molto scarso, oppure molto impaurito, oppure entrambi.

Forse (e dico forse) mi conviene fare uscire il fix, e lasciare ad altri (secunia ? user ?) il compito di trovare eventuali nuovi bug che ho introdotto, almeno io (FF) ho corretto il bug che mi è stato rilevato.

Io utente non sono un betatester e non ho ne' il compito ne' le capacita' di testare il software, ma voglio usarlo per risolvere un mio problema. E' compito dell'azienda rilasciare software testato al meglio delle sue possibilita': e' il principio base dell'"Assicurazione di Qualita'".

[Runfox]

Da wintricks, leggo questo:

Negli ultimi sei mesi la quantità di falle scoperte è cresciuta decisamente, il browser viene preso di mira dagli stessi bug finder che cercavano in Internet Explorer. C'é da dire che la percentuale di vulnerabilità critiche di FF è decisamente bassa. Tuttavia lo staff di mozilla-firefox sta seriamente prendendo in considerazione, o meglio sta pensando come realizzarlo, un sistema centralizzato di gestione dei bug che abbiano una incidenza diretta sulla sicurezza.

Sino adesso la gestione della sicurezza era stata quella del bazar: chi trova segnali. Anche con campagne ironiche e pubblicitarie con ricompense al fortunato scopritore di una falla di sicurezza. Ma adesso il problema si pone in maniera più professionale e per tale ragione si sta pensando una soluzione al problema.

E' importante ricordare che i progetti OpenSource hanno un approccio diverso al codice del programma. Lo stesso kernel linux nella sua versione vanilla presenta molti bug, dei quali molti non ancora non patchati. Questi però trovano una soluzione quando il vanilla viene 'trattato' per essere inserito in una distribuzione.

Il compito di patchare il kernel viene spesso delegato ai distributori, cosa che non può avvenire col software closed, a meno di non comprare le licenze per avere accesso al codice.
E' probabile che se mozilla.org non riuscirà a tener dietro al fixing dei bug, si creerà una rete distribuita di correzione del codice, in modo che all'utenza finale il prodotto venga sempre garantito senza falle di sicurezza note non patchate.



Direi che dovremo aspettarci novità future nel modo di gestire i fix ?

[Runfox]

Originariamente inviato da Cimmo

Purtroppo pero' succede spesso di trovare prodotti finali con bug vistosi magari perche' fatti uscire prematuramente.

Si, specialmente i giochi; prima esce, poi si vedono 1, 2 , 3 patches da centinaia di mega..

Direi che sta tutto nella professionalità di una software house, visto il mio post (preso da wintricks), direi che mozilla.org sta cercando di assumere una professionalità maggiore rispetto a quella attuale.

Il problema sarà spiegare a molti partecipanti del forum che un "ritardo" nella uscita di fix significa anche più professionalità nella software house

[fek]

Originariamente inviato da Runfox

E' probabile che se mozilla.org non riuscirà a tener dietro al fixing dei bug, si creerà una rete distribuita di correzione del codice, in modo che all'utenza finale il prodotto venga sempre garantito senza falle di sicurezza note non patchate.

Una situazione come questa sarbbe a dir poco allarmante e mi farebbe tornare dritto su IE (e perdere le commodity di FF alle quali mi sono abituato ) oppure all'ultima versione di FF che reputo stabile.

[12pippopluto34]

Originariamente inviato da IcemanX

PippoPluto ti faccio notare che nei link che hai citato indipendentemente dal numero di bug è subito presente un giudizio della situazione è FF è quotato con la più critica possibile nonostante i 16 bug contro gli 88 di IE.

Ti ha gia' risposto Cimmo; vado avanti.

2) I Mac non sono esenti da virus, la questione è duplice; in primo luogo è la diffusione a farla da padrone, in più a nessuno frega di far piantare panther/tiger

Su Mac non mi espongo piu' di tanto perche' non lo conosco; sapendo pero' che e' un *nix, credo valga lo stesso discorso di Linux, ovvero non ha molto senso spargere virus per tali SO in quanto le impostazioni degli stessi non consentono l'esecuzione sull'intero filesystem di tutto cio' che passa per posta, web, ecc...

mentre a tutti fa piacere vedere in ginocchio win a quanto pare (se non altro a tutti coloro che fanno worm con utility da 2 soldi). Dopodichè ricorderei alla gente che la maggiorparte dei virus NON può proprio girare x differenza di codice eseguibile.

Mentre a tutti fa piacere scrivere malware per Win, vista la facilita' con cui questo funzionera' BENE!

3) FF forse non è male, cmq non credo siano in molti ad avere tempo da perdere x scaricarsi il source e mettersi a controllarlo;

Perche', e' possibile farlo con IE e con Opera?

pur potendo farlo mi son preso il mio eseguibile della 1.0 (quando era uscito), l'ho installato, l'ho provato 2-3 giorni e l'ho tolto.

Male!
Testalo piu' a fondo e vedrai che non te ne pentirai.

Principalmente xchè era più lento di IE (su fibra non me n'ero accorto, su adsl si) ,

Menti sapendo di mentire!

in secondo luogo l'integrazione con programmi di 3° parti era tutt'altro che perfetta e nonostante la ricca compilation non credo che l'utente medio abbia voglia/capacità di mettersi a scaricare dozzine di estensioni x avere ciò che già aveva con IE.

Aveva gia' con IE?????
Ma che cazzo dici!


Per avere con IE cio' che hai con FF+ext devi installare e configurare Maxthon et similia; altrimenti, nun c'e' trippa pe' gatti!


Anzi: per un utente dummy credo sia mooolto piu' facile installare una ext su FF che scaricare e buttar su un pacchetto eseguibile.
Sembrera' strano ai piu', ma provate a chiedere a chi non e' smanettone come s'installa un sw che non e' su un cd.
Il concetto di Setup.exe non e' cosi' diffuso come pensiamo; lo dico per esperienza diretta!

Infine (e non x colpa di FF) molte pagine sono sviluppate fuori standard x IE e con FF non funziano a dovere.

Fooorse erano queste le pagine che ti si caricavano piu' lentamente?

X questi motivi x quel che mi riguarda ci si rivede ad ogni release significativa

Alla faccia!


FF e' gia' per molti un ottimo prodotto, superiore di diverse spanne ad IE, e tu non fai altro che installarlo, lanciarlo per una manciata di minuti, disinstallarlo e dire che non va?

Diciamo piuttosto che proprio non sei capace!

[12pippopluto34]

Originariamente inviato da IcemanX

Quindi il fatto che le 88 falle di IE che fuori da anni non siano così gravi non importa?

Beh, di quelle 88 ben il 42% http://secunia.com/graph/?type=cri&period=all&prod=11 erano gravi; ma e' anche vero che sono state patchate, quantomeno con WinXP-SP2.

Questa invece no:
http://secunia.com/advisories/9534/
...e se ne sta li' da quasi DUE anni!
Ed e' proprio questa che ne determina il security rating.

Mentre, come puoi vedere http://secunia.com/product/4227/ , dopo pochissimi GIORNI il nostro caro FF e' tornato alla normalita'!

Cmq la smetto xchè qua è sempre battaglia persa lol

Per forza!
Difendi l'indifendibile!

[IL PAPA]

Dai raga basta flames, la notizia è vecchia e la 1.04IT è disponibile, bug risolti e tutti felici per ora.

[12pippopluto34]

Originariamente inviato da IcemanX

Vedi, a me non ha toccato neanche il Blaster, eppure non ero coperto.

Boh!
Se non eri dietro ad un fw, o quantomeno un router, hai avuto mooolto !
Ci sono test online che dimostrano che XP, senza patch e fw, in Rete non dura piu' di pochi minuti!

Allo stesso modo non credo che nessun utente FF avrà mai problemi x codesta falla.

Chiaramente!
Grazie alla velocita' di patching sara' difficile che fregheranno qualcuno!

La situazione è Higly Critic eppure non mi pare succeda nulla, quella di FF Extreme Critic e non succede nulla uguale.

Mah!
Forse a te, ma a mooolti altri utenti a quanto pare IE da' un sacco di grattacapi, tanto per usare un eufemismo!

Pare sia solo uno sfizio diverso x chi non tifa x una squadra di calcio

No, qui e' solamente un far notare la sostanziale differenza di FF con IE.
Poi chiaramente c'e' chi fa quanto tu dici, e mi fa incazzare anche a me; ma c'e' anche chi, come te, scrive senza sapere!


...e spero vivamente che la tua sia solo disinformazione!

[daniak116]

credo che una delle pecche di FF sia il fatto che ogni volta bisogna installare nuovamente tutto l'applicativo, ma nonostante questo FF rimane sempre miglioire di IE.

cmq, non capisco perchè il tabbrowser preferences non sia installato di default nel file di installazione.

[fek]

Mah!
Forse a te, ma a mooolti altri utenti a quanto pare IE da' un sacco di grattacapi, tanto per usare un eufemismo!

Anche a me non ha mai dato alcun problema, e lo trovo decisamente piu' stabile di FF (crash vari e memory leak su tutti), che comunque preferisco e uso per la sua maggiore comodita'.

[12pippopluto34]

Originariamente inviato da fek

Anche a me non ha mai dato alcun problema,

Per problemi di sicurezza, nemmeno a me.
Comunque converrai che noi, come tanti altri qua dentro, siamo un caso a parte rispetto alla moltitudine la' fuori; dunque, per la legge dei grandi numeri, praticamente non facciamo testo.

E comunque, converrai anche che l'hardenizzazione di IE rispetto a FF consta di passaggi piu' complessi, o quantomeno piu' numerosi.
Chiaramente, gia' il solo navigare come utente limitato, para il qlo in entrembe i casi da parecchie sventure.

E coverrai anche che i dialer, ed anche certe tipologie di spyware, proprio per implementazione (a meno di usare un'apposita ext AFAIK!), non si installano tramite FF.
Al limite ti scarica l'exe sul hd; il che non e' poco, IM(NSH)O!

e lo trovo decisamente piu' stabile di FF (crash vari e memory leak su tutti),

In effetti anche a me capita di visitare qualche sito che mi manda in panne la volpe (vd. youbuy.it).
Pero' ricordo anche i crash spontanei di IE 5.qualcosa a suo tempo su Win98, che m'impallavano tutto il SO, 'sticazzi!


Dunque, considerando che FF e' relativamente piu' giovane di IE, trovo fisiologico che abbia ancora alcune pecche di stabilita'.

E comunque con FF, se hai SessionSaver installata, stai a posto anche se ti salta la luce; con IE liscio (non so pero' con Maxthon & co.!) credo proprio di no!

che comunque preferisco e uso per la sua maggiore comodita'.

FF con le dovute ext fa proprio i numeri!


PS: comunque per il memory leak, ho notato che dalla 1.0.3, nonostante occupi sempre parecchie decine di MB di RAM (ovviamente anche perche' ho su parecchie ext!):
- quando lasci la sessione FF aperta, chiudendo tutte le tabs e svuotando la cache, ti libera diversi MB;
- anche lasciandolo aperto con molte tabs per alcuni giorni, non incrementa il consumo, almeno non in termini rilevanti come precedentemente.
Forse hanno cominciato a metterci le mani?
Qualcuno sa nulla?

[fek]

Originariamente inviato da 12pippopluto34

Dunque, considerando che FF e' relativamente piu' giovane di IE, trovo fisiologico che abbia ancora alcune pecche di stabilita'.

Due pesi e due misure?

PS: comunque per il memory leak, ho notato che dalla 1.0.3, nonostante occupi sempre parecchie decine di MB di RAM (ovviamente anche perche' ho su parecchie ext!):

Non ho notato alcun miglioramento nelle ultime due versioni, arrivo a punte di 250mb di memoria usate e devo killare il processo manualmente e ripartire. Fastidioso, ma neppure troppo.

[12pippopluto34]

Originariamente inviato da fek

Due pesi e due misure?

E perche' mai?

Scusa, ma io paragonavo la sporadica instabilita' di FF nel renderizzare alcuni siti a quella che si verificava con con l'allora IE 5.qualcosa; mi sembra un paragone calzante.

Anzi!
Se ti riferivi al fatto che IE 6.x dia piu' grattacapi di FF, questo e' IM(NSH)O ancor piu' vero; ma non gia' nel renderizzare, piuttosto nell'installarti un porcaio di mondezza senza la quasi interazione del pezzo di carne tra sedia e tastiera.

Non ho notato alcun miglioramento nelle ultime due versioni, arrivo a punte di 250mb di memoria usate e devo killare il processo manualmente e ripartire. Fastidioso, ma neppure troppo.

[pozzetto_mode = on]

E la maddonaaaaa!

[pozzetto_mode = off]

Mai capitato nulla di simile con prodotti Mozilla!


PS: tra le funzioni che mi attizzano di piu' di FF c'e' la barra di ricerca del testo introdotta dalla 1.0PR AFAIR!

[Cimmo]

Originariamente inviato da 12pippopluto34

In effetti anche a me capita di visitare qualche sito che mi manda in panne la volpe (vd. youbuy.it).

Non e' una volpe di fuoco come tanti pensano, ma si riferisce al panda rosso.
http://images.google.com/images?q=ailurus+fulgens

[12pippopluto34]

Originariamente inviato da Cimmo

Non e' una volpe di fuoco come tanti pensano, ma si riferisce al panda rosso.
http://images.google.com/images?q=ailurus+fulgens

'azz!

E' vero, mi scordo sempre!


Tra l'altro e' pure un bel animaletto; complimenti a chi l'ha scelto come logo!