La découverte de nouvelles failles dans OpenSSL retarde la mise à jour de Sailfish OS

Posté le 6 juin, 2014 par Nicolas SUFFYS — 34 commentaires ↓

En raison de la découverte de nouvelles failles dans OpenSSL, Jolla retarde la septième mise à jour de Sailfish OS prévue pour début juin 2014.

En effet, après la faille “Heartbleed” découverte au printemps et aussitôt corrigée, OpenSSL fait encore parler avec sept nouvelles brèches dont une importante qui pourrait conduire à une attaque de l’homme du milieu (MITM) dans SSL / TLS ainsi que quelques-unes qui permettraient des attaques par déni de service (DOS)

Pour cette raison, Jolla retarde la mise à jour, qui dans la logique des choses, devrait être déployée avant le 15 juin 2014.

Source

A propos de Nicolas SUFFYS

Fondateur de Ugeek.fr & JollaFr.org et co-fondateur de Nokians.fr. Linuxien de longue date. Lenovo Z6 Pro & Jolla / Jolla C

Voir tous les articles par Nicolas SUFFYS →

34 commentaires à propos de “La découverte de nouvelles failles dans OpenSSL retarde la mise à jour de Sailfish OS”

redge73 dans 6 juin, 2014 à 22 h 34 min a dit :

excuse bidon, la faille peut être colmaté après coup, si a chaque faille les éditeur retardait la sortie de leur applications, elles ne serait jamais disponible dans les temps. Lamentable.

Répondre ↓
Bousky dans 6 juin, 2014 à 22 h 39 min a dit :

Pfff la vieille excuse, ils sont pas prêt, ils ne pouvaient pas nous refaire avaler une histoire de fusion de 2 màj alors ils ont trouvé ça… mouahaha.

Répondre ↓
Fonx2 dans 6 juin, 2014 à 23 h 06 min a dit :

Faut avoué que c’est un peu louche tout de même… Pour les MMS ils ont sorti un correctif mineur sans soucis une semaine environ après la mise à jour majeure. Pourquoi pas pour un pauvre paquet openssl? Comme très justement souligné par redge73, comment font les autres distributions?? Dans cette logique alors on arrête tous les serveurs web qui utilise cette version d’openssl jusqu’à ce que ce soit corrigé? Je peux vous dire que là on est mal barré!! Ça ferrais quoi… 70% du web en moins…?? Violent comme solution!

Non là franchement autant je les défends sans failles lorsqu’on critique leur travail pour des raisons plus ou moins douteuses (bugs pas assez vite corrigés, comparaison avec des OS vieux de plusieurs années et donc arrivés à maturité, etc…) autant là c’est grave abusé…

Bref vivement qu’elle arrive cette fichu mise à jour. En attendant je lui ai trouvé un petit nom: Désirée! 😉

Répondre ↓
p@t dans 6 juin, 2014 à 23 h 48 min a dit :

le message apparaît peu clair mais si j’ai bien compris, on comprendra la semaine prochaine pourquoi ils n’ont pas fait de hotfix après, car hier soir c’était encore une possibilité …. à voir donc

Répondre ↓
Malebo dans 7 juin, 2014 à 10 h 15 min a dit :

D’après Wikipedia c’est bien “le 5 juin 2014 que six vulnérabilités additionnelles de moindre niveau sont rendues publiques par l’OpenSSL Foundation”
http://fr.wikipedia.org/wiki/OpenSSL
Donc, les failles ne concerneraient pas que Sailfish OS…

Cldt

Répondre ↓
Malebo dans 7 juin, 2014 à 10 h 22 min a dit :

Le Journal “Le Monde” en a aussi fait état :

http://www.lemonde.fr/economie/article/2014/06/06/apres-heartbleed-une-nouvelle-faille-de-securite-dans-openssl_4433841_3234.html

Cldt

Répondre ↓
Malebo dans 7 juin, 2014 à 10 h 28 min a dit :

Et, Un correctif a aussitôt été publié d’après :

http://www.silicon.fr/openssl-encore-touche-failles-securite-94875.html

et…
http://www.developpez.com/actu/71963/Decouverte-de-sept-nouvelles-failles-de-securite-dans-OpenSSL-des-correctifs-sont-disponibles/

Répondre ↓
ron dans 7 juin, 2014 à 10 h 41 min a dit :

je pensais qu’ils devaient prendre des congés après cette mise à jour. J’espère que cela ne les impacte pas trop. Quand je lis ce que doit contenir cette version, c’est peut être la véritable 1.0.

Répondre ↓
Bousky dans 7 juin, 2014 à 12 h 30 min a dit :

Je me demande pourquoi il continue de se prendre autant la tête sur le developpement de l’OS, si ils le rendaient vraiment open-source je suis certain que la comunauté pourrait s’occuper des petites failles de sécurité, des amelioration de pref et de hack en tout genre. Ils n’ont qu’à fournir un dépot de paquet classic à la Debian (stable, test, experimental) et hop le toue est joué, tout le monde met la main à la patte, tout le monde peux tester, tout le monde peux coder, et en plus ils récuppére tout un tas de linuxiens. L’OS se dévellopperait 10× plus vite, les ventes se trouverait aussi augmentées.

Quand on à une communauté aussi étendu que de meamo blindé de developpeurs, et qu’on peut potentiellement récupperer celle du N900, c’est tout de même dommage de ne pas s’appuyer dessus!

Répondre ↓
- xillibit dans 7 juin, 2014 à 13 h 58 min a dit :
  
  La grosse majorité est open-source mise à part silica (l’environnement graphique de sailfish)
  
  Répondre ↓
  - Bousky dans 7 juin, 2014 à 18 h 28 min a dit :
    
    Oui mais l’environnement graphique ne peux absolument pas être concidéré comme une “petite minorité”.
    
    Et de l’open source sans develloppement ouvert ça sert à rien. Tout le monde devrait avoir accés au code en court de develloppement, là personne ne sais au ça se trouve, on peux toujours contribuer à mer ou wpa_supplicant mais pas directement à Sailfish OS.
    
    Au finale c’est moins ouvert qu’Android qui est soit disant open-source.
    
    Répondre ↓
    - Fonx2 dans 8 juin, 2014 à 21 h 28 min a dit :
      
      Heu… la par contre faut pas non plus poussé mémé dans les orties sans sa culotte…
      
      Android est directement sous le contrôle de Google et de ces alliés de l’Open Handset Alliance et on ne peux pas réellement modifier son code source à souhait.
      
      Un article intéressant sur cette question: http://www.numerama.com/magazine/20599-android-est-il-vraiment-libre-et-open-source.html
      
      Répondre ↓
- Fonx2 dans 8 juin, 2014 à 21 h 19 min a dit :
  
  Je suis bien d’accord avec toi Bousky. Je suis moi aussi un peu surpris de pas avoir une option dans le mode développeur pour tester en avant première les nouveautés au fur et à mesure qu’elles sortent des labos de Jolla (il y a bien “autoriser les mises à jour développeur” mais c’est précisé en dessous qu’il faut une autorisation particulière de la part de Jolla :'().
  
  Ce serai un peu comme les différents niveaux de CSSU sur Maemo. Toute une communauté de beta-testeurs pour faire des remontés d’infos, de bug, des logs, etc… Le rêve pour réaliser le développement rapide mais robuste d’un nouvel OS.
  
  En revanche sur la partie Open-Source et bien que je sois pas nature un fervent défenseur de ce mode de diffusion, il faut bien avoué que leur position est compréhensible. Ils sont bien obligé de gagner de l’argent quelque part et passer tout le code en Open-Source serait risqué si ils veulent pouvoir vendre des licences à d’autres constructeurs… Maemo lui-même n’est pas Open-Source à 100%.
  
  Répondre ↓
  - DracoRPG dans 9 juin, 2014 à 0 h 38 min a dit :
    
    Des boites qui ne vendent pas un copec de matériel arrive à faire des dizaines de millions de bénéfices en vendant du libre et de l’open source (Red Hat par exemple), donc il faut arrêter avec ça, le libre c’est pas une utopie, c’est un business model qui marche.
    
    J’aime beaucoup mon jolla, mais à un moment les excuse bidons et les « on est une startup, soyez gentil », faut arrêter ! Qu’ils fassent des erreurs, je comprend, mais qu’il les reproduisent systématiquement ça devient lourd.
    
    D. Se tâte à propos du Firefox Flame.
    
    Répondre ↓
zeta dans 7 juin, 2014 à 13 h 53 min a dit :

J’adore la com’ de Jolla.

Ils sont touchés par une faille SSL (comme le reste du monde, là n’est pas le problème) mais pas un mot sur leur twitter (qui reste leur “seul” moyen de com officiel vers les clients). Soit.

De plus, ils retardent leur mise à jour (à priori à cause de ce bug), mais là encore, aucune communication officielle. L’info à été diffusé par AllAboutN9, et même eux ont du mal à retrouver la source de chez Jolla : https://twitter.com/AllBoutN9/status/475004603579502592

Mais pendant ce temps, le compte officiel de Jolla joue au morpion (https://twitter.com/JollaHQ/status/474419393569763328) avec le compte de younited, tout va bien ! 😀

Répondre ↓
xillibit dans 7 juin, 2014 à 13 h 58 min a dit :

Et pendant ce temps-là le support des nexus avance : https://wiki.merproject.org/wiki/Adaptations/libhybris

Répondre ↓
mat dans 7 juin, 2014 à 14 h 18 min a dit :

et moi pendant c’temps la j’tournais la manivelle

Répondre ↓
draeker dans 7 juin, 2014 à 15 h 37 min a dit :

moi je pense vendre mon jolla bientôt lol

Répondre ↓
- namae dans 7 juin, 2014 à 18 h 14 min a dit :
  
  ça vous fait quoi de pas avoir la mise à jour cette semaine ? à quel que jour près y’a pas urgence…
  
  Répondre ↓
velpeau dans 7 juin, 2014 à 17 h 28 min a dit :

Pareil. Ce projet grandeur nature me séduit de moins en moins. Hop je revends tout ça sans regrets. Je ne me laisserai plus avoir par la com des djeunz dynamiques.

Répondre ↓
- Sthocs dans 8 juin, 2014 à 4 h 48 min a dit :
  
  “Je ne me laisserai plus avoir”, c’est à dire ?
  Ils t’ont menti sur quoi ?
  
  Répondre ↓
Cupraddict dans 7 juin, 2014 à 18 h 33 min a dit :

C’est dingue de voir à quel point vous pleurnicher pour un rien, ça va elle arrive la MaJ! Patientez une petite semaine encore, si vous etes à ce point la au taquet alors que le plus “dur” à été changé, maintenant c’est majoritairement du bonus!

Je pige pas pourquoi vous avez pris ce Jolla si vous ralez sans arrêt, on savait qu’on allais avoir du retard comparé aux autres et ce durant encore facile une année, allez vous prendre un ifion si vous voulez absolument un tel qui a “tout”!
Ou alors arrêtez de faire du boudin et soyez positif

Répondre ↓
- TellienInTouch dans 7 juin, 2014 à 21 h 34 min a dit :
  
  Je soutiens Jolla à 200% mais il faut garder à l’esprit que “le plus dur” pour certains n’est pas “le plus dur” pour d’autres et il reste encore quelques mise à jour je pense pour aboutir à une satisfaction générale 😉
  
  Répondre ↓
- mat dans 8 juin, 2014 à 12 h 47 min a dit :
  
  pourquoi prendre yn ifion? je vais etre un peu plus patient et attendre de voir le samsung z (pas galaxie z) qui sort bientot sous tizen, la suite de meego, ce qu’aurait dû etre feu nokia
  
  Répondre ↓
  - Joejoe dans 8 juin, 2014 à 13 h 20 min a dit :
    
    Ouais, enfin TIzen, tel qu’il est fait actuellement, ressemble plus à un android sans android.
    
    Répondre ↓
    - Fonx2 dans 8 juin, 2014 à 21 h 29 min a dit :
      
      Très juste!
      
      Répondre ↓
      - mat dans 9 juin, 2014 à 0 h 53 min a dit :
        
        tant qu’on l’a pas testé on n’en sait rien. j’ai lu certains dire que ca ressemblait a android et d’autres a meego.
      - Joejoe dans 9 juin, 2014 à 12 h 52 min a dit :
        
        Pas faux, mais globalement, vu que le tout est chapoté par Samsung, on devrait avoir droit à son interface touchwiz, qui n’est pas l’UI de android, mais fortement assimilé à celui-ci, vu l’écrasante part de marché de samsung dans les téléphones android.
        Après, Tizen reste un très bon candidat… Mais j’ai bien peut qu’il ne s’agisse ici que de se défaire de google, histoire d’entrer sereinement dans des marchés extrêmement réfractaires à cette société.
      - mat dans 9 juin, 2014 à 17 h 09 min a dit :
        
        “qu’il ne s’agisse que de se defaire de google” c’ est justement ce point qui m’intéresse particulièrement, j’aurais clairement préféré un meego 2.0 mais nokia ayant vendu son ame…
        sailfish/ tizen sont a mes yeux les seuls a pouvoir continuer cette aventure.
nsuffys dans 7 juin, 2014 à 18 h 52 min a dit :

Et dire qu’une màj d’Android c’est au petit bonheur la chance. Je ne comprends pas tout le monde 😐

Répondre ↓
p@t dans 7 juin, 2014 à 21 h 58 min a dit :

une idée : ils ont repoussé la maj car ils vont annoncer l’app avec younited. comme l’idée est d’avoir un cloud sécurisé alors avoir une faille fesait mauvais genre!?

let’s see mais zzste vient de twitter que la prochaine maj sera légendaire!!

Répondre ↓
- Khertan dans 9 juin, 2014 à 13 h 35 min a dit :
  
  En même temps “cloud sécurisé”, c est plus ça qui me fait bizarre.
  
  Répondre ↓
Zeta dans 7 juin, 2014 à 23 h 12 min a dit :

p@t,

A chaque mise à jour, y’a quelqu’un de Jolla qui dit qu’elle va être “legendary” sur son compte perso (jamais sur le twitter officiel ?). Exemple avec celle de Février où c’était Jukka qui s’y collait : https://twitter.com/jukkaeklund/status/436828712966029312

Si tu ne veux pas être déçu, n’espère pas trop de cette mise à jour. Au pire tu auras une bonne surprise !

Répondre ↓
Joejoe dans 8 juin, 2014 à 11 h 16 min a dit :

Le seul truc perso qui me fait peur, c’est d’avoir une update un vendredi 13 😀 Ca, c’est une bonne raison pour la retarder d’une semaine 🙂

Répondre ↓