diff options
| -rw-r--r-- | content/Informatique/sailfish_2.rst | 117 |
1 files changed, 117 insertions, 0 deletions
diff --git a/content/Informatique/sailfish_2.rst b/content/Informatique/sailfish_2.rst new file mode 100644 index 0000000..48aacc7 --- /dev/null +++ b/content/Informatique/sailfish_2.rst @@ -0,0 +1,117 @@ +.. -*- mode: rst -*- +.. -*- coding: utf-8 -*- + +================================== +Revue du système Sailfish OS (2/2) +================================== + +:date: 2015-12-31 +:tags: Libre, Sailfish +:logo: /images/hacking/2294144289_a54db90ac5_q.jpg +:status: draft +:summary: Petite revue du développement et de la sécurité du système + d'exploitation Sailfish, suite à la diffusion de ma première + application. + +.. figure:: {filename}/images/hacking/2294144289_a54db90ac5_q.jpg + :figwidth: 150 + :figclass: floatright + :alt: Security + + `David Goehring`_ (creativecommons_) + +.. _David Goehring: https://www.flickr.com/photos/carbonnyc/2294144289 +.. _creativecommons: https://creativecommons.org/licenses/by/2.0/ + +La sécurité +=========== + +Gestion de droits +----------------- + +**Oups !** Contrairement à un système android, dans lequel les applications +affichent les droits qu'elles requirent (avec plus ou moins de succès bien +sûr), ici rien de tout ça : le développeur est maître à bord de son +application, et celle-ci tourne avec les droits de l'utilisateur en disposant +pleinement du système. + +On dispose donc d'un accès à l'ensemble des fichiers, aux connexions réseaux, +etc. Ça rend le développement bien sûr plus facile, mais ça signifie qu'il faut +rester vigileant quand on télécharge une nouvelle application. En fait le +comportement est identique à la situation que l'on peut rencontrer sur son +poste d'utilisateur : l'utilisateur installe ce qu'il veut sur son ordinateur, +et ce qu'il installe relève de sa responsabilité… + +Pour l'instant, une grosse partie de la sécurité repose sur la faible +utilisation du système, mais à terme, le problème risque de prendre de plus en +plus d'importance… + +La diffusion +------------ + +Il n'est pas difficile de diffuser son application une fois prête. Le site +openrepos permet facilement d'ouvrir un compte et fournir un espace pour +envoyer ses applications. Du côté utilisateur, il suffit d'activer le compte du +développeur pour pouvoir installer l'ensemble de ses applications. + +Par contre, le *open* du nom indique juste que le site est ouvert à tout le +monde : aucune obligation de diffuser son code source (ni même aucune garantie +que le code que l'on télécharge correspond à celui affiché…). Cela veut donc +dire qu'il faut être prudent lorsqu'on télécharge une application. Pour +l'instant je n'ai pas entendu parler de compte diffusant des logiciels +malveillants (la faible part de marchés des téléphones jolla doit aider), mais +c'est un gros avertissement pour l'ensemble des utilisateurs. + +.. admonition:: Bémol + + Il faut quand même avoir autorisé l'installation d'applications depuis des + dépôts tiers pour pouvoir installer les applications depuis ce catalogue. + + (mais qui aujourd'hui n'a jamais installé une application + depuis un catalogue non officiel ?) + +Quelles solutions ? +------------------- + +La sécurité est une affaire de contraintes et de confiance. Contrainte pour +garantir qu'une application ne sort pas du cadre qui lui a été accordée, et +confiance de l'utilisateur vers l'application qu'il utilise (ou vers la chaîne +qui relie l'application au développeur). Pour l'instant aucun des deux points +n'est satisfaisant. + +Pour autant, il n'existe pas de solution parfaite : les droits accordés aux +applications android n'empêchent pas la diffusion de malwares sur le système, +et les développeurs échangent avec les utilisateurs sur les `forums de maemo`_, +ce qui permet de garder une proximité. + +.. _forums de maemo: http://talk.maemo.org/forumdisplay.php?f=52 + +Tout ça pour dire que cette solution n'est peut-être pas viable à grande +échelle, mais elle n'est pas non plus catastrophique *pour l'instant*. Pour +autant je n'ai pas vu de discussions qui vont dans le sens de mettre en place +davantage de contrôles sur les applications sur les catalogues d'applications. + +Je n'ai pas testé la diffusion d'application sur le catalogue officiel. Tout ce +que j'ai dit doit donc être nuancé, voire corrigé concernant l'ensemble des +applications que l'on peut télécharger sans activer les dépôts tiers. + +Au final +======== + +Jolla vise pour l'instant les programmeurs (il suffit de voir les vidéos de +promotion du téléphone), et cela se ressent à travers la mise à disposition de +l'environnement de développement. L'émulateur permet de tester facilement les +applications sans craintes de casser son système, ce qui permet de tester son +développement sans grand risque (beaucoup de patches au système sont +disponibles en ligne). + +Par contre cette grande liberté va de pair avec le problème de la sécurité. On +prend de plus en plus conscience des risques qui planent sur les smartphones, +et le système n'offre ici aucune garantie… C'est dans l'esprit du téléphone +j'ai envie de dire. + +Toutefois, n'oublions pas qu'une application qui tourne avec l'utilisateur +principal d'un téléphone a un accès complet à la messagerie, l'historique des +sms, etc. Pour ma part, j'apprécie ce système, avec ses avantages et ses +limites. L'esprit d'ouverture que m'offre le téléphone me convient davantage +qu'une boîte protégée certe, mais fermée. |