"Качество" opensource, а так же "как сделать 'уязвимость', которую сложно обнаружить при review"

[sporaw]

Искал на днях кое-какую информацию и абсолютно случайно вышел на баг-репорт один. Он меня, что называется, "поразил до глубины души".

Посмотрите вот на этот код в генераторе RSA-ключей. Между прочим - opensource (привет Debian-сообществу!).

CK_MECHANISM mechanism = {CKM_RSA_PKCS_KEY_PAIR_GEN, NULL_PTR, 0

Comments

[salikh]

Товарищ, вы показываете хороший пример, только, по-моему, неправильно его трактуете. Если бы не было открытого исходника, то подобную проблему вообще бы никогда не обнаружили

[and3957]

>Если бы не было открытого исходника, то подобную проблему вообще бы никогда не обнаружили.

Вранье. В любой нормальной фирме практикуют и регулярный code review, и тестирование. Причем занимаются этим специальные квалифицированные люди, которым платят деньги за то, что они это делают. А выискивать ошибки в чужом коде забесплатно - мало желающих.

>но open source предоставляет значительно большие возможности для обнаружения и исправления ошибок

и опять вранье - никаких дополнительных возможностей по обнаружению ошибок он не предоставляет. Миллионы глаз, которые смотрят на код - это миф. То есть смотреть то некоторые смотрят, а видят - только фигу. Но нет профессионалов, которые занимаются этим квалифицированно.
Зато, дополнительная возможность, которую опен сорс предоставляет - это возможность анонимно и преднамеренно внести ошибку в код. Великолепно ;)

[salikh]

Прошу прощения, но я в вашем ответе не обнаружил аргументов по существу

[and3957]

>Open source сам по себе никому не затрудняет проводить code review и тестирование. Поэтому сам по себе открытый исходник не может ухудшить качество кода.

Давайте не будем заниматься подтасовками. Ответ был на этот вот фрагмент:
>>Если бы не было открытого исходника, то подобную проблему вообще бы никогда не обнаружили.
Который, очевидно, является неправдой.

>А вот тут вы ставите с ног на голову. Те, кто коммитит в open-source проекты -- они не анонимны. Быть может, истинное имя человека и не известно

Если ты не знаешь истинное имя человека - он анонимен. Просто по определению этого понятия ;) Так, в частности, его нельзя привлечь к ответственности.

>но репутация в любом случае зарабатывается долгим трудом.

Репутацию нельзя купить, но зато можно продать.

[beroal]

А сколько подобных ошибок в закрытом коде, где их никто не видит.

[sporaw]

В закрытом коде существует такое понятие как тестирование )
И еще куча различных мероприятий, направленных на минимизацию подобных проблем с момента задумывания идеи, и проходящих через все этапы разработки. См. SDL.

[beroal]

Все эти понятия применимы к любому коду, хоть закрытому, хоть открытому. На что вам неоднократно указали выше (но вы, я вижу, упорствуете в своих предрассудках :) ). В частности, в том дистрибутиве, который я использую, есть специальный репозиторий для тестеров.

[sporaw]

К открытому они применимы только в случае конкретной коммерческой разработки, вполне конкретной структурой команды (архитекторы, разработчики, тестеры и т.д.). Подскажете такие проекты из обсуждаемых здесь? И конкретные подходы к разработке (желательно полноценно описанные). Или тут тоже "миллионы людей могут потестировать и сообщить", так же как "миллионы глаз видят открытый код и находят ошибки, дорабатывают".

[keinkeinkein]

[sporaw]

Код-ревью просто так тут не поможет.