Les distributions linux nouvelle génération

DISCLAMER: le point de vue énoncé dans ce journal n'est en aucun cas mon point de vue. Je ne suis que le messager d'un nouveau messie allant révolutionner le monde du logiciel libre et des distributions linux en particulier, j'ai nommé : ciol



The megafreeze development model is broken

Et j'essaie de le prouver. Pour cela, je vais utiliser un argument que je pense irréfutable (en partie 2.). Je défie quiconque de prouver que j'ai tort. Si c'est le cas, je me flagellerais sur place.


*** ATTENTION : Lire d'abord les ajouts de dernières minutes (tout en bas). ***

Je vais parler plus précisément de Debian GNU/Linux.

1. Introduction
Dans le monde merveilleux de Debianland [référence à Mickey], sa version stable est complètement figée, de façon à ne pas introduire de nouveaux bogues. Sauf pour les bogues critiques et les mises à jour de sécurité, que l'on corrige.
C'est là que le bât blesse.

2. Problèmatique
Supposons que je développe le logiciel X. Il est en version 1.0 dans Debian stable.
Je sors mes versions suivantes, j'informe quand je fais des mises à jour de sécurité. Debian se casse la tête à les rétro-porter. Bien.
Maintenant, supposons que j'ai une fonction foo dans mon logiciel, que je modifie radicalement (conceptuellement), et je sors une version 2.0.
Pour les versions suivantes, tout se passe comme avant (détection et réparation en amont, rétro-portage). Mais maintenant, supposons que l'ancienne version foo du programme contienne une faille de sécurité. Debian ne pourra pas la corriger, vu que plus personne en amont ne s'intéresse à l'ancienne fonction foo.
Alors, il y a l'audit de code. Je vais faire une affirmation qui vaut ce qu'elle vaut : c'est plus facile pour un pirate motivé de trouver *une* faille dans *un* programme bien ciblé, que pour un audit de trouver *toutes* les failles dans *plusieurs* programmes différents.

Donc Debian stable n'est pas sécurisée, donc le modèle est cassé. CQFD.

3. Ébauche de solution
Que faut-il faire ?

Vous avez la branche 2.6.16 du noyau qui est toujours maintenue. Elle en est à la version 2.6.16.53. Autant dire que ça doit être relativement stable. Ce qui est dommage, c'est que très peu de distributions utilisent cette branche, les développeurs font donc ce travaille presque pour rien.

Si je prends l'exemple d'Apache, les branches 1.3, 2.0 et 2.2 sont maintenues par la fondation.
Que fait Debian ? Elle possède dans sa branche stable la branche 2.2, mais alors que la dernière version d'Apache est la 2.2.4, pour debian c'est la 2.2.3-etch1 (elle a rétro-porté les changements ultérieurs qu'à fait Apache.
- Apache a sorti la dernière version un peu pour rien.
- Pour l'instant, les deux versions sont assez proche, qu'est-ce qu'il va se passer avec le temps ? Peut on affirmer que la version de Debian sera de meilleur qualité que celle fournit par Apache ?

Debian devrait fournir les trois branches, 'as it'. Pour ceux qui veulent de la stabilité, ils ne sont pas obligé de changer de branches tout le temps.

Pour les logiciels tiers, ce sont les développeurs amonts qui doivent prendre leur responsabilité. Si la dernière version de firefox casse, j'en voudrais à Mozilla, pas à Debian. Une distribution doit se limiter à empaqueter les logiciels, et le faire bien.

Bien sûr, un modèle comme Arch Linux ou Gentoo n'est pas non plus parfait. Le cas des biliothèques est assez critique. C'est pourquoi, je reconnais que le système Debian a parfois du bon, mais seulement pour les logiciels de base comme le noyau ou la libc et certaines bibliothèques.

Dans le monde merveilleux de ciolland :
- Debian n'aurait pas de système de release périodique, mais un système en perpétuel développement.
- Elle aurait la branche 2.6.16 du noyau, tout en fournissant les dernières versions pour ceux qui le veulent.
- Pour les biliothèques, tant qu'on peut maintenir une version d'une bibliothèque, fournir celle-ci et compiler les logiciels tiers avec cette bibliothèque. Fournir en même temps pour ceux qui le veulent la dernière version de cette bibliothèque. Lorsque l'ancienne bibliothèque devient trop vieille, changer de version.
- La dernière version de firefox dans sa branche stable (c'est ce que veut l'utilisateur lambda).
- J'ai encore d'autres idées mais bien sûr vous en avez rien à foutre parce que je suis ni Linus Torvalds, ni RMS, donc ce que je dis c'est de la merde à vos yeux.


Conclusion
Le modèle de développement où tout est figé convient à Red Hat Linux qui a les moyens de le supporter. Pas à Debian et ses petits bras musclés.
C'est dommage de fournir une version, et de la « laisser tomber ». « Voilà, on a sorti Debian Etch, on touche plus à rien. » Etch devrait être une FIERTÉ dans laquelle on met les dernières versions et on ajoute des logiciels parce que ça nous fait plaisir d'améliorer notre FIERTÉ.

Vous devez penser que c'est un troll. Pourtant je suis sérieux. Et j'argumente. Dans un troll, on n'argumente pas, on affirme. Si vous voulez un vrai troll, regardez : http://www.modeemi.fi/~tuomov/b/archives/2007/03/03/T19_15_2(...) . Je m'en suis inspiré (et c'est écrit par le frère de ptilouis).

Au fait, j'y peux rien si on vit dans un monde pourri où il faut corriger les failles de sécurité dans les logiciels.
« Le monde est pourri, une des preuves est le fait qu'on soit obligé de fermer sa porte à clé. »
ciol, le ??/??/???? (un jour j'écrirais un livre sur pourquoi le monde est pourri).


Ajouts de dernières minutes :
- Je suis allé sur le forum d'Ubuntu, j'ai vu pas mal de personne se demander pourquoi il n'y a pas la dernière version de pidgin (encore sous le nom de gaim) et de thunderbird (1.5 vs 2.0). Les solutions sont des liens vers des dépôts non officiels et autres joyeusetés. Linux ne peut pas percer parce que ce modèle de développement est i-llo-gi-que.
- En fait, c'est un troll. Mais voilà, croyez moi ou non, je suis ultra méga stressé en ce moment, et ça me fait écrire un peu n'importe quoi, même si je pense en parti ce que je dis.
- Je voulais écrire ça vendredi, mais je me suis dit non, garde ton idée. En fait je suis en train de faire une telle distribution. Elle stagne énormément (cf premier tiret de ce paragraphe). Si jamais vous voulez en faire une avec cette idée, vous pouvez me demander des avis j'ai des TAS d'idées pour faire une distro vraiment chouette.
- Mon argument est complètement pourri, mais vraiment croyez moi, ce modèle de développement est cassé.

*** UNE DISTRIBUTION DOIT PACKAGER DES LOGICIELS ET LE FAIRE BIEN. C'EST TOUT. ELLE DOIT FAIRE CONFIANCE AUX DÉVELOPPEURS AMONTS ***

> Lire le journal (195 commentaires, moyenne: 1,5).