Notices by Patrice Ferlet aka MΣƬΛᄂ3D (metal3d@techlover.eu)

La faille SSL est un exemple, tu sais pertinemment qu'il y a eu d'autres failles induites par des patchs de packageurs.

Et pour la forme, cette faille a eu des rebonds encore en 2018 et 2021.

Tu as vu les rapports de sécu Debian vs RH (je ne suis pas fan de RH hein) ? c'est un peu inquiétant quand même...

@lanodan @breizh

Ce que tu n'as pas compris c'est que je ne critique pas l'utilisation de distributions. Je l'ai répété, expliqué, elles sont importantes et le choix est primordiale.

Et par conséquent, prendre un distrib qui ne respecte pas les normes est un problème. Pour les points que j'ai expliqué et qui ne représentent même pas le tiers des conséquences que ça implique.

Debian est une belle distrib, mais ses choix ont fait énormément de mal - revoir la faille SSL qu'ils ont intriduit

@breizh @lanodan

C'est pour ça que quand tu standardise un minimum, tu assures que ça passe partout (ou presque) et tu soulages la vie des packageurs, admins, etc...

Ce qui me rend triste dans cette affaire c'est que Debian est une belle idée et que la commu est énorme. Le fait qu'ils compliquent la vie de pas mal de gens est un poil irrespectueux à mon gout. Et puis Ubuntu, je l'ai rodé, c'est un tout autre débat...

@lanodan @breizh

Putain... tu le fais exprès...
Je ne vois pas autre chose, tu fais exprès d'oublier les explications.

@breizh @lanodan

Tu sais que chez M. Dupont y'a pas forcément un admin pour installer l'app ?

@breizh @lanodan

Là à la limite vaut mieux le dégager de la distro.

Mais le souci c'est quand on parle de webapp qui ont besoin de httpd par exemple. Quand de base il essait de taper dans "conf.d" et que le dev te dit "bah démerde toi sur debian", y'a pas mal de gens qui ne savent pas faire...

Franchement c'est juste une hisoire de nom de rep, pourquoi Debian refuse de faire l'effort ?

@lanodan @breizh

Voilà en gros c'est mon souci...

Et j'ai d'autres exemples. Tiens par exemple je maintien un OCI pour un projet super intéressant. Sauf que dans les sources c'est figé pour Debian. Sauf que y'a une lib plus supportée. Une faille apparait, je dois changer de distro de base (le FROM). Bah je peux pas..., le code est basé sur des règles de nommage Deb.

L'autre projet, standardisé, passer de Deb à Alpine c'était sans douleur...

C'est juste triste.

@lanodan @breizh

Pas du tout, donc tu n'as pas compris ce que j'ai expliqué. C'est pas grave.

Quand tu fourniras un service sur Github ou autre, avec un Makefile qui installe dans "site-enabled" avec un chmod "www-data", et que t'auras je ne sais pas combien d'issues à ce sujet, peut-être que tu verras de quoi je parle.

@breizh @lanodan

Juste un PS: n'allez pas croire que je vous en veux ou que je suis en colère. J'écoute vos propos et je réponds. Croyez moi, je suis un vrai gentil dans la vie. Je suis juste passionné et très attaché à Linux.

Je vous le dis, je dois utiliser Debian et ça fonctionne. Ma question intiale est une vraie réfléxion latente depuis 2003 environ. Rien contre vous, vraiment.

@lanodan @breizh

De mémoire y'a déjà un BR ouvert à ce sujet, mais ils vont encore mettre 5 ou 6 ans à corriger 😋
@lanodan @dada @breizh

Faut pas abuser sérieux... C'est la majeure partie des distros, et c'est une spec bien écrite:

https://specifications.freedesktop.org/basedir-spec/latest/

@lanodan @dada @breizh

Y'a rien d'hybride dans ce que je dis. Bon sang, je pense que t'as pas compris mes arguments en fait.

Je dis que quand tu respectes des normes et/ou des standards, tu évites de patcher comme un bourrin et d'introduire des failles propres à ta distro. Que tu peux plus facilement suivre les fix du projets sans laisser tes utilisateurs avec des conneries introduites par tes choix.

Debian est dangereuse, plusieures rapports le démontrent, c'est pas rien

@breizh @dada @lanodan

Sérieux tu le fais exprès...

Tu fais comment quand Debian n'a pas de package ? Genre pour un PHP à jour, un Python 3.12 ou Go installé correctement (pas comme le font les packageurs Debian) ?

Explique moi comment tu répares une faille en moins de 2h si tu dois attendre 2 semaines qu'ils se sortent les doigts ?

@breizh @dada @lanodan

Et quand AUCUNE distro ne le propose parce que les packageurs ne sont pas tes larbins ?

@breizh @dada @lanodan

J'ai cité ces exemples, tu sais très bien qu'il en existe d'autres.

Freedesktop c'est central sur des distro grand public, donc que Ubuntu ne sache pas le respecter pose de sérieux problèmes là. Surtout quand il s'agit des nommages dans DBus (j'en ai fait les frais en bossant avec le projet Fyne.io)

@lanodan @dada @breizh

Parce que j'utilise Podman et runc, non ?

@breizh @dada @lanodan

tiens bah en voilà un super exemple !

docker, faille de sécu, tout le bazard. Un standard existe: OCI.Docker le respecte, Podman et runc aussi. Voilà, tout le monde peut travailler main dans la main sans se tirer dans les pattes.

Tu l'as ton exemple de "pourquoi faut respecter les normes"

@breizh @dada @lanodan

Vous parlez de ".deb", pas moi - tout le souci est là. Un tarball c'est un package. Un AppImage c'est un package. Un flatpak aussi...

Un tarball avec un Makefile == un package

@lanodan @dada @breizh

J'ai l'impression que vous le faites tous exprès de ne pas comprendre la question...

Je fais une appli, je propose un Makefile qui utilise le standard (conf.d, XDG pour installer dans ~/.local/bin pour un user par exemple...) - ça marche sur 99% des distros **SAUF** Debian/Ubuntu.

Aucun packageur ne va s'intéresser à mon app qui a 10 stars sur github.

Je me prend des issues, je dois donc MOI faire un travail parce que la disto est naze... moi, le dev

@breizh @lanodan

Les raisons d'utiliser Debian était justement un énorme débat à l'époque. Tout une partie de la commu c'est énervé à cause de ce choix.

Donc, on en revient à ma question

@breizh @dada @lanodan