Les clefs secretes de Debian chez Google!

GP wrote:

Public secrete Keyrings. Matthew Garret noticed that the secret keyring
to access the wanna-build database for Debian's AMD64 port was
publically available and detectable via Google. Adam Majer reacted fast
and immediately revoked this archive key since it had to be considered
compromised.

http://www.debian.org/News/weekly/2004/43/

On est grand, on sait que DWN existe et on sait lire.

Je sais bien que je ne devrais pas plus critiquer Debian que Dieu en
personne mais, tout de même, pour une organisation qui vante la sécurité
de sa distribution, avoir ses clés secrètes chez Google, c'est quelque
chose, non?

Tu dois confondre: le système qui se vante de sa sécurité, c'est
OpenBSD. Mais si, tu sais bien, là, les gens qui n'ont eu qu'un seul
trou de sécurité en 6 ans (et qui ont dû ravaler leur fierté avec ça)...
Debian a surtout la réputation d'être parmi les plus stables et les plus
respectueuses des standarts et des licences libres.

Sur la même note, il semble que nous ne soyons pas les seuls à nous
étonner de cette liste de bugs dits /release critical/:

"Nous" ?

Release Critical Bug Reports. Cord Beermann noticed that the list of
RC-bug reports was considered as junk by the mailing lists recently, and
didn't make it to the lists any more.

Meanwhile back on the farm, Slackware 10.1 est déjà en prévente:

http://store.slackware.com/cgi-bin/store

Comme, jusqu'à présent, le délai entre deux versions n'a jamais été de
moins de six mois, la sortie ne devrait pas se faire avant décembre,
mais ce sera probablement avant la sortie de Sarge. Car, aux dernières
nouvelles:

Faut dire qu'avec bien moins de paquets, bien moins de personnes, et
bien moins d'architectures officiellement supportées, c'est facile de
sortir une version tous les 6 mois.
Maintenant, le choix du projet Debian est à l'opposé de la plupart des
distribution: à savoir, on ne sort une nouvelle version que lorsque le
cahier des charges est remplie et non pas à une date précise, point.
Ne serait-ce que trop demander que de respecter cette différence ?
Si Debian ne te convient pas, l'alternative existe.

Recent changes
2 release-critical bugs were closed and 2 were opened.

C'est bien peu en comparaison des derniers mois, ça ne saurait donc
tarder: la Sarge sera sortie avant ta 10.2.

--
Raphaël 'SurcouF' Bordet
http://debianfr.net/ | surcouf at debianfr dot net

Raphaël 'SurcouF' Bordet wrote:

GP wrote:

As-tu déjà vu une telle affaire arriver chez Slackware ou Bed Rat?

Ah bon ? Y a des miroirs de Slackware ? ;-)

D'où tu sors pour poser une question comme celle-là?

GP

On 2004-11-04, GP <gilpel@inverse.nretla.org> wrote:

As-tu déjà vu une telle affaire arriver chez Slackware ou Bed Rat?

Ah bon ? Y a des miroirs de Slackware ? ;-)

D'où tu sors pour poser une question comme celle-là?

Je pense qu'il sort, tout comme moi, de la foultitude des

utilisateurs de Slackware qui ont régulièrement pataugé
dans la liste foireuse de miroirs sans tain de Slackware.org

Heureusment, ça semble s'être améliorer un peu, mais il y a
quelques mois/semaines, c'était pas trop la joie, les miroirs
Slack...

--
_/°< coin

Raphaël 'SurcouF' Bordet wrote:

Bote: Ne pas manquer à la fin, les délais entre les différentes versions.

GP wrote:

Release Critical Bug Reports. Cord Beermann noticed that the list of
RC-bug reports was considered as junk by the mailing lists recently,
and didn't make it to the lists any more.

Meanwhile back on the farm, Slackware 10.1 est déjà en prévente:

http://store.slackware.com/cgi-bin/store

Comme, jusqu'à présent, le délai entre deux versions n'a jamais été de
moins de six mois, la sortie ne devrait pas se faire avant décembre,
mais ce sera probablement avant la sortie de Sarge. Car, aux dernières
nouvelles:

Faut dire qu'avec bien moins de paquets,

Il y a bien plus de paquets avec Slackware: il suffit d'utiliser
checkinstall et on les a. Que Debian prenne prétexte du besoin
incontournable de compiler des milliers de paquets dont personne ne se
sert pour retarder sa sortie, c'est complètement loufoque.

bien moins de personnes,

Il est éminemment facile de remédier à cela: il suffit de garder
autant de développeurs qu'il y a d'architectures. Ainsi, Debian se
retrouverait à égalité avec Slackware. Il n'y aurait plus de temps
pour les discussions vides.

et
bien moins d'architectures officiellement supportées,

Oui, on l'a déjà dit. À l'évidence, si ARM n'est pas prêt, impossible
de sortir Intel. Et «sortir», évidemment, ça voudrait tout simplement
dire écrire quelque part, bien en vue, sur le site: «Sarge vient de
passer en stable» et ne plus jamais prendre prétexte que Sarge n'est
pas stable pour excuser tous les problèmes.

Actuellement, les Debianais disent: «Ouais, ouais, utilisez Sarge, y a
aucun problème», mais quand tu veux savoir ce qu'il reste comme bugs
release critical, tu as une liste où se confondent la non-corformité à
la norme GPL de certains paquets obscurs, l'absence de fichiers de doc
en format info, les vrais bugs d'obscures architectures et, enfin, les
bugs pour l'architecture intel, que 90% des gens utilisent.

On dirait que tout, absolument tout a été fait pour que personne ne
s'y retrouve.

c'est facile de
sortir une version tous les 6 mois.

Avec tous les bâtons que Debian se met dans les roues, il est évident
que ce n'est pas facile de sortir une nouvelle version à tous les six
mois.

Maintenant, le choix du projet Debian est à l'opposé de la plupart des
distribution: à savoir, on ne sort une nouvelle version que lorsque le
cahier des charges est remplie et non pas à une date précise, point.

Point? Le cahier des charges rempli? Étant donné la vitesse à laquelle
se fait le développement Linux, avec toutes les versions à 0.xx, tu
trouves normal qu'il ne sorte une nouvelle version qu'à tous les deux
ou trois ans? Et c'est pour ça qu'on recommande toujours d'utiliser la
testing, mais sans décrire précisément, architecture par architecture,
les vrais bugs release critical qui demeurent?

Ne serait-ce que trop demander que de respecter cette différence ?
Si Debian ne te convient pas, l'alternative existe.

Une chance! Sauf que bien des énergies se s'engouffent dans ce projet
ridicule qui auraient pu être tellement plus utiles ailleurs. remarque
que c,est peut-être aussi une façon de débarrasser le monde Linux d'un
tas de songe-creux.

Recent changes
2 release-critical bugs were closed and 2 were opened.

C'est bien peu en comparaison des derniers mois, ça ne saurait donc
tarder: la Sarge sera sortie avant ta 10.2.

Tu crois? Tu crois vraiment que, en admettant que la 10.1 sorte en
décembre et que la 10.2, fort probablement la 11, sorte six mois plus
tard, Sarge va sortir d'ici 8 à 10 mois? Ça fera même pas trois ans
que Woody sera sorti. Ce serait à peine croyable :)

Tu ne trouves pas que le ready when it's ready s'allonge un peu trop
là? Quand il va y avoir un siècle entre deux versions, vas-tu
prétendre que Debian existe toujours? Entre

Buzz et Rex, il y a eu 6 mois

Rex et Bo, 6 mois

Bo et Hamm, 7 mois

Hamm et Slonk, 8 mois

Slink et Potato, 17 mois

Potato et Woody, 23 mois

Woody et Sarge, on en est déjà à plus de 27 mois!!!

Et il n'y a pas de tendance dans ce ready when it's ready? Debian
n'est pas en train de foirer lamentablement?

GP

On 2004-11-04, GP <gilpel@inverse.nretla.org> wrote:

On dirait que tout, absolument tout a été fait pour que personne ne
s'y retrouve.

Avec toute l'adrénaline que la non-sortie de Sarge te fait générer,

c'est la communauté mondiale des coureurs de 110m haies qui s'y
retrouve, je pense...



--
_/°< coin

Thierry Boudet wrote:

On 2004-11-04, GP <gilpel@inverse.nretla.org> wrote:

As-tu déjà vu une telle affaire arriver chez Slackware ou Bed Rat?

Ah bon ? Y a des miroirs de Slackware ? ;-)

D'où tu sors pour poser une question comme celle-là?

Je pense qu'il sort, tout comme moi, de la foultitude des
utilisateurs de Slackware qui ont régulièrement pataugé
dans la liste foireuse de miroirs sans tain de Slackware.org

Heureusment, ça semble s'être améliorer un peu, mais il y a
quelques mois/semaines, c'était pas trop la joie, les miroirs
Slack...

Oui, me semble que tu dois être un utilisateur de Slackware! Qu'il y
ait eu une poignée de miroirs qui déconnaient dans la liste, ça t'a
fait patauger, toi?

Quand tu commences à télécharger à 10 kBps, tu n'arrêtes pas le
téléchargement pour trouver un miroir qui fonctionne, tu te sens
obligé de continuer? Et quand tu en as trouvé un ou deux qui
fonctionnent, et ce n'était vraiment pas trop long, tu te sens obligé
de rejouer à la roulette russe à chaque fois? Tu n'entre pas le miroir
dans swaret et salut, bonjour, on n'y pense plus.

Dis donc! Tu es en train de te faire un nom, Boutet!

GP

Le Thu, 04 Nov 2004 22:45:21 +0000, Thierry Boudet a écrit :

Avec toute l'adrénaline que la non-sortie de Sarge te fait générer,
c'est la communauté mondiale des coureurs de 110m haies qui s'y
retrouve, je pense...

Il est pas le seul que ça fasse chier la non sortie de Sarge. Moi j'ai
choisi Debian AUSSI parce que je pensais pouvoir raisonnablement compter
sur Sarge stable cette année. Si j'avais pu prévoir, j'aurais peut-être
misé sur slack, qui sait.

--
A thing of beauty is a joy forever.
J. Keats.

Ah! Singe débotté, hisse un jouet fort et vert!
Marcel Bénabou.

On 2004-11-04, GP <gilpel@inverse.nretla.org> wrote:

Je pense qu'il sort, tout comme moi, de la foultitude des
utilisateurs de Slackware qui ont régulièrement pataugé
dans la liste foireuse de miroirs sans tain de Slackware.org

Heureusment, ça semble s'être améliorer un peu, mais il y a
quelques mois/semaines, c'était pas trop la joie, les miroirs
Slack...

Oui, me semble que tu dois être un utilisateur de Slackware! Qu'il y
ait eu une poignée de miroirs qui déconnaient dans la liste, ça t'a
fait patauger, toi?

Oui. Une liste de miroir où il n'y en a qu'un sur cinq qui

répond, parfois pour te dire que le répertoire n'est plus là,
ça me fait patauger, comme tout le monde.

Quand tu commences à télécharger à 10 kBps, tu n'arrêtes pas le
téléchargement pour trouver un miroir qui fonctionne, tu te sens
obligé de continuer?

10 k ((Bit/Octet)?) par seconde, c'est que ça marche.

Et quand tu en as trouvé un ou deux qui
fonctionnent, et ce n'était vraiment pas trop long, tu te sens obligé
de rejouer à la roulette russe à chaque fois?

Quand ça change d'un mois sur l'autre, oui, c'est la roulette.

Tu n'entre pas le miroir
dans swaret et salut, bonjour, on n'y pense plus.

Je n'utilise pas swaret.

Dis donc! Tu es en train de te faire un nom, Boutet!

Mon nom, c'est "Boudet", et si tu veux faire de l'humour dessus,

tu peux essayer (dans l'ordre) -Thierry la fronde-, -Boudeur- ou
-Boulet-. Boutet, personne ne rigole.

--
_/°< coin

Le Thu, 04 Nov 2004 21:53:40 +0000, Thierry Boudet a écrit :

Je pense qu'il sort, tout comme moi, de la foultitude des
utilisateurs de Slackware qui ont régulièrement pataugé
dans la liste foireuse de miroirs sans tain de Slackware.org

Heureusment, ça semble s'être améliorer un peu, mais il y a
quelques mois/semaines, c'était pas trop la joie, les miroirs
Slack...
ah? ftp.slackware.at marche très bien ftp.kpn.be aussi

http://www.acert.pt/~fribeiro/mirrorwatch/?distro=slackware&tree=updates

GP wrote:

Raphaël 'SurcouF' Bordet wrote:

Bote: Ne pas manquer à la fin, les délais entre les différentes versions.

GP wrote:

Release Critical Bug Reports. Cord Beermann noticed that the list of
RC-bug reports was considered as junk by the mailing lists recently,
and didn't make it to the lists any more.

Meanwhile back on the farm, Slackware 10.1 est déjà en prévente:

http://store.slackware.com/cgi-bin/store

Comme, jusqu'à présent, le délai entre deux versions n'a jamais été
de moins de six mois, la sortie ne devrait pas se faire avant
décembre, mais ce sera probablement avant la sortie de Sarge. Car,
aux dernières nouvelles:

Faut dire qu'avec bien moins de paquets,

Il y a bien plus de paquets avec Slackware: il suffit d'utiliser
checkinstall et on les a. Que Debian prenne prétexte du besoin
incontournable de compiler des milliers de paquets dont personne ne se
sert pour retarder sa sortie, c'est complètement loufoque.

Il y a toujours au moins une personne qui s'en sert: le responsable
officiel qui les y a introduit. En général, il ne s'en occupe uniquement
parce qu'on lui demande: c'est parce qu'il en a besoin et qu'il s'en
sert. Par la suite, il peut en accepter d'autres. C'est toujours une
démarche volontaire et tous les logiciels, si populaires soient-ils ne
sont pas nécessairement acceptés automatiquement (ex: MPlayer).
Maintenant, tous les paquets debian fournis sont suivis par l'enemble
des responsables debian et n'importe lequel d'entre-eux peut à tout
moment corriger une anomalie d'un paquet qui n'est pas sous sa coupelle,
pourvu que tout le monde en profite.

bien moins de personnes,

Il est éminemment facile de remédier à cela: il suffit de garder autant
de développeurs qu'il y a d'architectures. Ainsi, Debian se retrouverait
à égalité avec Slackware. Il n'y aurait plus de temps pour les
discussions vides.

Sauf que Debian est un projet communautaire volontariste démocratique,
pas le jouet d'une seule et même personne qui peut décider de tout et
rien. Si ça ne te plaît pas...

et bien moins d'architectures officiellement supportées,

Oui, on l'a déjà dit. À l'évidence, si ARM n'est pas prêt, impossible de
sortir Intel. Et «sortir», évidemment, ça voudrait tout simplement dire
écrire quelque part, bien en vue, sur le site: «Sarge vient de passer en
stable» et ne plus jamais prendre prétexte que Sarge n'est pas stable
pour excuser tous les problèmes.

Debian gère avant tout des paquets source: donc, oui, si un paquet
contient encore des anomalies sérieuses, elle ne sortira pas, même si ça
n'affecte "que" l'architecture arm. Si tu lisais le Contrat Social[1],
tu saurais pourquoi.

Actuellement, les Debianais disent: «Ouais, ouais, utilisez Sarge, y a
aucun problème», mais quand tu veux savoir ce qu'il reste comme bugs
release critical, tu as une liste où se confondent la non-corformité à
la norme GPL de certains paquets obscurs, l'absence de fichiers de doc
en format info, les vrais bugs d'obscures architectures et, enfin, les
bugs pour l'architecture intel, que 90% des gens utilisent.

On ne dit pas "Debianais" mais "utilisateurs de debian". Au moins, on
sait de qui on parle: les conseils d'un utilisateur, fut-il expérimenté
(comme moi, d'ailleurs), ne valent pas ceux d'un développeur officiel
chevronné. Maintenant, j'avoue que le re^D^Ddélai que prend la sortie de
Sarge amène certains de ces utilisateurs devant un choix plutôt cornélien:
- continuer à utiliser "stable", quitte à user avec parcimonie de
rétro-portage,
- passer à sarge, actuelle testing, quitte à devoir surveiller de plus
près les mises à jour de sécurité (et donc une source unstable pas loin),
- passer directement à unstable et accepter que certains paquets
puissent ne pas être à la hauteur ainsi que le devoir de rapporter les
anomalies rencontrées.
Quant à la list des anomalies dites "RC", c'est là[2].
Si tu veux les y aider, ne te gêne pas, hein.

On dirait que tout, absolument tout a été fait pour que personne ne s'y
retrouve.

c'est facile de sortir une version tous les 6 mois.

Avec tous les bâtons que Debian se met dans les roues, il est évident
que ce n'est pas facile de sortir une nouvelle version à tous les six mois.

Regarde donc la distribution Ubuntu: elle est basée sur une calendrier
qui colle à celui de Gnome, ou presque: tous les 6 mois. Peut-être
serait-il temps, pour toi, de changer de distribution. Maintenant, tu
constateras qu'Ubuntu n'a que faire des 12 architectures et se concentre
essentiellement sur deux ou trois d'entre-elles (les plus communes).
En outre, ses développeurs sont rémunérés à plein temps pour ne faire
que cela et pas entre deux journées de travail alimentaire. De là à dire
que ça aide beaucoup, il n'y a qu'un pas que je franchis allègrement.

Maintenant, le choix du projet Debian est à l'opposé de la plupart des
distribution: à savoir, on ne sort une nouvelle version que lorsque le
cahier des charges est remplie et non pas à une date précise, point.

Point? Le cahier des charges rempli? Étant donné la vitesse à laquelle
se fait le développement Linux, avec toutes les versions à 0.xx, tu
trouves normal qu'il ne sorte une nouvelle version qu'à tous les deux ou
trois ans? Et c'est pour ça qu'on recommande toujours d'utiliser la
testing, mais sans décrire précisément, architecture par architecture,
les vrais bugs release critical qui demeurent?

Propose donc un CGI qui donnerait ce genre de liste.

Ne serait-ce que trop demander que de respecter cette différence ?
Si Debian ne te convient pas, l'alternative existe.

Une chance! Sauf que bien des énergies se s'engouffent dans ce projet
ridicule qui auraient pu être tellement plus utiles ailleurs. remarque
que c,est peut-être aussi une façon de débarrasser le monde Linux d'un
tas de songe-creux.

La Force des Logiciels Libres vient aussi de ces personnes qui
s'engouffrent dans des projets qui, aux yeux d'autres, ne servent
visiblement à rien (comme Slackware, par exemple, puisque tu sembles
l'apprécier, moi pas) sinon disperser les efforts et pourtant...
Maintenant, Debian affiche clairement ses lignes de conduite et ne se
cherche pas d'excuses, loin de là. En fait, ceux qui lui en cherchent,
ce sont les gens comme toi, qui aimeraient bien qu'elle convienne un peu
plus à leur goût sans faire le moindre effort. Critiquer, c'est facile,
contribuer, un peu moins. Donc, si elle ne te convient pas, tu as
plusieurs solutions:
- Tu prends une autre distribution plus proche de tes attentes,
- Tu prends le taureau par les cornes et tu forges ta propre distribution.
Dans les deux cas, ça ne sert à rien de venir pleurer ici-bas sur ton
sort. Rien n'avancera ainsi: les projets avancent à la force des bras,
ce n'est pas comme de la politique où il suffit de faire des belles
phrases bien démagogiques.

[...]
http://bugs.debian.org/release-critical/

Tu ne trouves pas que le ready when it's ready s'allonge un peu trop là?
Quand il va y avoir un siècle entre deux versions, vas-tu prétendre que
Debian existe toujours? Entre

Buzz et Rex, il y a eu 6 mois

Buzz: "released June 1996 (474 packages, 2.0 kernel, fully ELF, dpkg)"

Rex et Bo, 6 mois

Rex: "released December 1996 (848 packages, 120 developers)"

Bo et Hamm, 7 mois

Bo: "released July 1997 (974 packages, 200 developers)"

Hamm et Slonk, 8 mois

Hamm: "released July 1998" ("1500+ packages", "more than 400 Debian
developers", "i386, m68k")

Slink et Potato, 17 mois

Slink: "released on 09 March, 1999" ("2250 packages", "i386, m68k,
Alpha, Sparc")

Potato et Woody, 23 mois

Potato: "released August 15th, 2000" ("3900+ binary and 2600+ source
packages", "450 Debian developers", "i386, m68k, alpha, Sparc, PowerPC,
ARM")

Woody et Sarge, on en est déjà à plus de 27 mois!!!

Woody: "released July 19th, 2002" ("8500 binary packages", "more than
one thousand Debian developers", "i386, m68k, alpha, Sparc, PowerPC,
ARM, hppa, ia64, mips, mipsel, s390")

Je n'invente rien: tout est là[3].

Et il n'y a pas de tendance dans ce ready when it's ready? Debian n'est
pas en train de foirer lamentablement?

Je dirais plutôt qu'elle poursuit son bonhomme de chemin, propulsée par
ces centaines et maintenant, ces milliers de petits bras qui en ont fait
la solide réputation qu'on lui connait. Et si tu souhaites participer de
plus près à l'aventure, tu peux t'engager à bord, moussaillon !


[1]:http://www.debian.org/social_contract
[2]:http://bugs.debian.org/release-critical/
[3]:http://www.debian.org/doc/manuals/project-history/ch-detailed.en.html#s4.1
--
Raphaël 'SurcouF' Bordet
http://debianfr.net/ | surcouf at debianfr dot net