Dubbio sicurezza opensource

[fek]

Ho citato l'FSF, elaboro un attimo il concetto. Quando leggo che tutto il software deve essere open in nome di una non meglio precisata liberta' di informazione mi gira il sangue al contrario. E' come se qualcuno mi dicesse che in ogni bagno deve esserci una telecamera cosi' chiunque puo' guardarmi mentre faccio i bisogni in nome della liberta' di informazione. Follia pura.

[Artemisyu]

Originariamente inviato da fek

Ho citato l'FSF, elaboro un attimo il concetto. Quando leggo che tutto il software deve essere open in nome di una non meglio precisata liberta' di informazione mi gira il sangue al contrario. E' come se qualcuno mi dicesse che in ogni bagno deve esserci una telecamera cosi' chiunque puo' guardarmi mentre faccio i bisogni in nome della liberta' di informazione. Follia pura.

Mi si gela A ME il angue nele vene a vedere che riesci a pensare una cosa del genere.

il software è un ene di consumo qualsiasi, lo si usa per raggiungere degli scopi, punto e basta.
Come fai a confonderlo con la privacy non lo capisco.
Un software non è un "informazione personale" di chi l'ha programmato.

Mi semra che tu non abbia capito proprio una sega di cosa vuol dire "free software"

[nico159]

Open Source NON e' una metodologia di sviluppo, e' un modello di distribuzione del software. NON c'entra nulla con la metodologia di sviluppo e non c'entra nulla con la bonta' o meno del codice che dipende solo dalla metodologia di sviluppo.

La GPL è un modello di distribuzione del software. L'open source è un modello di sviluppo, che nella sua forma più pura consente a tutti di partecipare allo sviluppo e di un progetto o al suo sfruttamento commericale. E questo, non c'era nulla con la ridistribuzione del codice.

Tornando a cdimauro:

L'open source non è una "tecnologia": è soltanto una diversa forma di fruizione di un prodotto.

E quando mai avrei detto che è una tecnologia? :=)

Ampiamente opinabile: i cacciatori di bug "buoni" e quelli "cattivi", a parità di "capacità acquisite", hanno la stessa probabilità di beccare un bug leggendo un sorgente, ma questo non vuol implica assolutamente che i buoni troveranno i bug prima dei cattivi; sono due cose completamente diverse.

Certo, ma le cose cambiano se sono 100 che lo fanno a fin di bene contro 10 che lo fanno con cattive intenzioni. 100 persone hanno più possibilità di 10 persone.

Vedi sopra: bisogna stare attenti, perché non è certo bello fixare un bug per poi ritrovarsene un altro. Anche perché questi sono i bug più "bastardi", in quanto il codice in oggetto viene ingenuamente considerato "sicuro" proprio grazie al bug fix che ha subito.

Anche con il modello di sviluppo open source, si testano i cambiamenti apportati :-) Esempio. FireFox ha una vulnerabilità documentata. La patch è già pronta, chi vuole può già applicarla, ma la nuova sottoversione verrà rilasciata solo dopo 5 giorni di testing.
Inoltre, è troppo generico. Sfido io la Microsoft a volerci fare del testing di mesi, quando viene scoperta una vulnerabilità di grado critico in un suo prodotto.

Ti riferisci ai sorgenti prodotti, o al prodotti di per sé? In entrambi i casi, la tua affermazione è ampiamente opinabile.

Ovvio che non mi riferisco ai sorgenti, Come si potrebbe mai? Pagagonare Firefox a Opera basandosi sui sorgenti? Quali sorgenti?

Fortunatamente lo sviluppo del kernel (cioé Linux) è in mano a un'oligarchia,

Scusa :°) Ma c'è sempre qualcuno che coordina ogni progetto. Cosa credi? Un responsabile di progetto c'è sempre.

Immagino tu non abbia mai dato un'occhiata ad esempio al codice sorgente di Firefox oppure ai sorgenti del kernel di Linux? Non sono proprio un fulgido esempio di "buon codice".

E uno sguardo a progetti come Apache httpd, gcc e NetBSD, giusto per fare due nomi, no?

[fek]

Originariamente inviato da Artemisyu

Mi si gela A ME il angue nele vene a vedere che riesci a pensare una cosa del genere.

il software è un ene di consumo qualsiasi, lo si usa per raggiungere degli scopi, punto e basta.
Come fai a confonderlo con la privacy non lo capisco.
Un software non è un "informazione personale" di chi l'ha programmato.

Esattamente perche' e' uno strumento per raggiungere degli scopi, farne una questione di liberta' e di religione e' fuori dal mondo.

Mi semra che tu non abbia capito proprio una sega di cosa vuol dire "free software"

Penso che sia il contrario.

[fek]

Originariamente inviato da nico159

La GPL è un modello di distribuzione del software. L'open source è un modello di sviluppo, che nella sua forma più pura consente a tutti di partecipare allo sviluppo e di un progetto o al suo sfruttamento commericale. E questo, non c'era nulla con la ridistribuzione del codice.

No. Open Source e' un modello di distribuzione del software. SCRUM, ad esempio, e' un modello di sviluppo (development process).

[nico159]

No. Open Source e' un modello di distribuzione del software.

Procedimento inverso: che modello di sviluppo è uno che permette a tutti di partecipare allo sviluppo di un progetto?
Sai, perchè a me sembra che si parli di sviluppo e non di distribuzione

[fek]

Originariamente inviato da nico159

Procedimento inverso: che modello di sviluppo è uno che permette a tutti di partecipare allo sviluppo di un progetto o al suo sfruttamento per fini commerciali?
Sai, perchè a me sembra che si parli di sviluppo e non di distribuzione

Si chiama "Distributed Development Process" e puoi comodamente non rilasciare il codice open quando lo sviluppo e' terminato.

Se si parla di modello di sviluppo e ci si riferisce all'open source, come ho detto, si sta commettendo un errore di fondo fin dal principio del thread.

Una cosa e' la metodologia di sviluppo ("Distributed", "SCRUM", "Agile", "Waterfall").
Un'altra cosa e' la policy di distribuzione ("Open", "Closed").

Esempio di "Sviluppo Distribuito": CollabNET (http://www.collab.net/).
E NON rilasciano tutto quello che sviluppano Open.

Esempio di distribuzione "Open" all'interno di un'azienda: ThoughtWorks (http://www.thoughtworks.com), sviluppano del software all'interno con metodologie agili (XP) e poi lo rilasciano open source.

Come vedi, sono due cose diverse.

[nico159]

Uhm..no, ti evidenzio meglio:
che modello di sviluppo è uno che permette a tutti di partecipare allo sviluppo di un progetto o al suo sfruttamento per fini commerciali?

Chi adotta Distributed Development Process ne limita la partecipazione a determinato gruppo di persone , e quindi che io voglio parteciparci, non potrei, o sbaglio?

Scusa se insisto, ma non capisco :-)

[fek]

Originariamente inviato da nico159

Uhm..no, ti evidenzio meglio:
che modello di sviluppo è uno che permette a tutti di partecipare allo sviluppo di un progetto o al suo sfruttamento per fini commerciali?

Si chiama Distributed Development Process (e due).

Chi adotta Distributed Development Process ne limita la partecipazione a determinato gruppo di persone , e quindi che io voglio parteciparci, non potrei, o sbaglio?

Sbagli. Puo' limitare o meno la partecipazione. Quando poi distribuisce il prodotto puo' decidere di distribuirlo open source oppure chiuso senza fornire la licenza.
La confusione nasce dal fatto che la maggior parte dei progetti open source sono sviluppati con un processo distribuito, ma non e' condizione necessaria; come l'esempio di ThoughtWorks, posso sviluppare del codice con una metodologia inerentemente non distribuita (quale XP) e poi distribuirlo open source (un esempio e' CruiseControl).

[pinok]

Originariamente inviato da fek

E' come se qualcuno mi dicesse che in ogni bagno deve esserci una telecamera cosi' chiunque puo' guardarmi mentre faccio i bisogni in nome della liberta' di informazione. Follia pura.

Ti lamentavi dell'esempio del motore e fai un esempio del menga ??

[fek]

Originariamente inviato da pinok

Ti lamentavi dell'esempio del motore e fai un esempio del menga ??

Se pensassi fosse un esempio del menga non lo farei

[r.]

Altro che nucleare, questi thread sono la vera soluzione alla crisi energetica!

Comunque se posso esprimere la domanda di Dark_Sephirot86 in modo un po' più neutro, ovvero:

Un progetto open source è più insicuro perchè tutti hanno la possibilità di guardare il codice?

La risposta più corretta è no (il che non vuol dire che sia vero il contrario). Un software è più sicuro se e scritto bene e meno se è scritto male. Ci sono esempi da ambo le parti di software scritto bene e male (si lo so che se è closed uno non può vedere il codice, comunque il concetto è quello).

Ora vi lascio perchè è cominciato Inuyasha

[jappilas]

Originariamente inviato da nico159

La GPL è un modello di distribuzione del software. L'open source è un modello di sviluppo

open source uguale "sorgente aperto", cioè disponibile al pubblico, e infatti vuol dire nè più nè meno questo... non contiene intrinsecamente direttive o modelli a cui gli sviluppatori debbano attenersi
fatto salvo di fornire a chi ottiene una copia del SW, anche i relativi sorgenti, lo sviluppatore o il team di sviluppatori può regolarsi come meglio crede

che nella sua forma più pura

scusami, ne esiste una meno pura?

consente a tutti di partecipare allo sviluppo e di un progetto o al suo sfruttamento commericale.

"a tutti" non è detto: molti progetti sono parecchio restii ad accettare patch, ed anche solo suggerimenti per nuove features, da "chiunque": spesso si prende in considerazione solo chi appartenga al team di sviluppo ufficiale, ed anche all' interno del team esistono livelli d' importanza... l' unico mezzo per l' individuo "qualunque" di realizzarsi apportando le proprie modifiche a quel progetto è in quei casi, forkarlo...

il che mi fa pensare che degli stessi progetti il cui prodotto è pubblicato in forma "open" adottino per lo sviluppo un modello distribuito (tnx fek ), nonchè (se vogliamo) meritocratico, e che rendere visibile ogni minor release di ogni file .c e .h in un repository cvs o svn sia leggermente fuorviante...

[fek]

Originariamente inviato da r.

La risposta più corretta è no (il che non vuol dire che sia vero il contrario). Un software è più sicuro se e scritto bene e meno se è scritto male. Ci sono esempi da ambo le parti di software scritto bene e male (si lo so che se è closed uno non può vedere il codice, comunque il concetto è quello).

La risposta piu' corretta e' non dare alcuna risposta, perche' come dice giustamente Cesare non c'e' alcuna metrica oggettiva per stabilire la sicurezza del software.

Si puo' cercare di fare un'analisi del numero di difetti nel software open source in confronto a quello closed source, ma si entrerebbe nel proverbiale "world of pain": le metodologie di sviluppo anche solo dietro al software open sono diverse, stabilire una metrica univoca nel calcolo della densita' di difetti e' un compito erculeo, i linguaggi sono diversissimi, insomma, non si puo' fare all'atto pratico.

[nico159]

Però, uff, c'è sempre un però.
Prendiamo le QT per esempio, sono sotto doppia licenza (commerciale e GPL) il suo modello di sviluppo è chiuso ()
Ma posso io forkare le QT, magari dando vita alle GTQ, offrendoci assistenza io?
"o al suo sfruttamento commericale"

Scusatemi, ma mi è rimasto quest'ultimo dubbio

[fek]

Originariamente inviato da nico159

Però, uff, c'è sempre un però.
Prendiamo le QT per esempio, sono sotto doppia licenza (commerciale e GPL) il suo modello di sviluppo è chiuso ()
Ma posso io forkare le QT, magari dando vita alle GTQ, offrendoci assistenza io?
"o al suo sfruttamento commericale"

Scusatemi, ma mi è rimasto quest'ultimo dubbio

Questo non lo so, dovrei leggermi la licenza commerciale.

[k0nt3]

qua si perdono le ore a parlare di licenze, leggi, dettagli semantici (modello di sviluppo o di distribuzione?)... l'unica cosa certa è ke il modello closed source non significa più sicurezza xkè altrimenti MS con le tecnologie e le metodologie acquisite con l'esperienza e i soldi dovrebbe produrre codice quasi perfetto (la realtà è tutt'altra quindi è difficile dire se conviene la struttura leggera-elastica tipo open o lenta-rigida tipo closed)! comunque x il fatto ke praticamente solo il closed source si attieni ai principi di ingegneria del SW io ci andrei piano, xkè nell'ingegneria del SW rientra anke la documentazione! di fatto se scrivo un codice ke deve essere compreso da un qualsiasi pazzo maniaco ke lo vuole comprendere, mi obbligo a documentarlo meglio ed è un dato di fatto ke il codice open è meglio documentato (ci sono molti esempi)!
ma lasciamo un attimo da parte tutto questo... quello su cui secondo me bisogna riflettere è: il programmatore ke contribuisce a un progetto open lo fà xkè gli piace farlo e si diverte (non parlo del kernel o di gcc ovviamente non ci si può divertire con quella roba.. o si?), mentre il programmatore closed la maggiorparte delle volte programma xkè deve farlo! secondo me questo è un fattore psicologico da non sottovalutare quando si cerca di stimare la probabilità di sbagliare una riga di codice.. no? io se programmo quello ke mi piace programmare lo faccio meglio.. voi no?

[fek]

Originariamente inviato da k0nt3

comunque x il fatto ke praticamente solo il closed source si attieni ai principi di ingegneria del SW io ci andrei piano, xkè nell'ingegneria del SW rientra anke la documentazione! di fatto se scrivo un codice ke deve essere compreso da un qualsiasi pazzo maniaco ke lo vuole comprendere, mi obbligo a documentarlo meglio ed è un dato di fatto ke il codice open è meglio documentato (ci sono molti esempi)!

Ma sei proprio certissimo di quello che scrivi?

[k0nt3]

Originariamente inviato da fek

Ma sei proprio certissimo di quello che scrivi?

tutte le volte ke ho voluto modificare un codice open source l'ho capito in poco tempo! comunque di sicuro è pieno di commenti a lato.. tu mi puoi dimostrare ke il codice closed è più documentato? benvenga, ma non voglio un esempio come se da quello valesse tutto, ma un ragionamento lineare e logico ke mi faccia cambiare idea! io ti ho detto ke secondo me il fatto ke il codice è sotto gli occhi di tutti è uno stimolo a documentarlo meglio!

[fek]

Originariamente inviato da k0nt3

tutte le volte ke ho voluto modificare un codice open source l'ho capito in poco tempo! comunque di sicuro è pieno di commenti a lato.. tu mi puoi dimostrare ke il codice closed è più documentato? benvenga, ma non voglio un esempio come se da quello valesse tutto, ma un ragionamento lineare e logico ke mi faccia cambiare idea! io ti ho detto ke secondo me il fatto ke il codice è sotto gli occhi di tutti è uno stimolo a documentarlo meglio!

Guarda, tralasciamo il fatto che stai continuando a confondere il concetto di distribuzione open source con il concetto di metodologia di sviluppo usata per produrre il software in questione, che sono due concetti totalmente differenti.

Tralasciamo anche che di solito non rispondo a chi non ha l'educazione per scrivere in maniera comprensibile evitando di abusare delle k e della sanita' mentale di chi legge.

Io non ti posso dimostrare che il codice closed sia piu' o meno documentato, visto che continuiamo a parlare solo di un modello di distribuzione non di una metodologia di sviluppo. Ma posso dimostrare che che non serve documentare e commentare il codice per renderlo leggibile e di alta qualita', anzi, e' vero l'esatto contrario: codice di alta qualita' raramente ha commenti e raramente ho visto codice open (diciamo sviluppato in maniera distribuita) di alta qualita'. CruiseControl invece e' codice open di altissima qualita', tanto e' vero che non e' sviluppato in maniera distribuita e, incredibile a dirsi, chi lo sviluppa e' pagato per farlo