Vyhody/nevyhody Open Source SW

[Pavel Kankovsky]

On Wed, 10 Mar 2004, Dan wrote:

> na The Register webu 
> (http://www.theregister.co.uk/content/55/36033.html) [...]
> Mel by k tomu nekdo co rici? (tedy krom nazoru typu "Windows jsou spatne 
> protoze MS").

Divat se na to da ruzne. Ja bych pridal tri takove postrehy:

1. Casto se zapomina, ze ti "zli", co hledaji diry, aby je zneuzili, a ti
"hodni", co je hledaji, aby je odstranili, se nachazeji ve velmi ruznych
situacich: te prvni skupine staci k uspechu najit jednu diru, ta druha je
uspesna, jen kdyz je najde vsechny, coz je obvykle nepomerne obtiznejsi.
Jako "hodneho" mne tedy spis zajima, kolik der tam jeste zbyva. Jestli
se nepletu, tak je znamo, ze pocet rezidualnich chyb v softwaru (ktery
se  dale nevyviji) klesa exponencialne v case (zvlaste u bezpecnostnich 
problemu to ma v praxi znacne vykyvy, jak se objevuji nove typy slabin, 
ale pro jednoduchost to ignorujme). Cili kdyz budu mit na zacatku dva 
systemy S1 a S2 se stejnym poctem chyb, ale v S2 budou ty chyby 
nachazeny rekneme dvakrat rychleji nez v S1, tj. rekneme ze v S1 za 
casovou jednotku poklesne rezidualni pocet chyb na polovinu, zatimco
v S2 na ctvrtinu, formalne e1(T+t) = e1(T)/2 a e2(T+t) = e2(T)/4.
Je evidentni, ze S2 idealnimu bezchybnemu stavu blizi mnohem rychleji
a navic je evidentni, ze i kdyz je zpocatku pocet nove objevenych chyb
za casovou jednotku vyssi v S2 nez v S1, tak se situace pomerne rychle
obrati ve prospech S2, formalne e2(T) - e2(T+t) < e1(T) - e1(T+t). A to 
vsechno jen diky tomu, ze je proces odhalovani (a odstranovani) chyb v S2 
dvakrat rychlejsi.

2. Mam jistou obavu, ze cim vetsi usili je treba vlozit do samotneho
procesu hledani der v nejakem programu, tim (relativne) vetsi bude
mnozstvi tech, kteri je tam budou hledat se zamerem skutecne zle skodit.
Cili u open source bude zhruba stejne "hodnych" a "zlych" a 1 % skutecnych
zlocincu, zatimco u closed source to muze byt klidne tak, ze tech zlocincu
bude polovina. Otazka pochopitelne je, jak je to s temi relativnimi cisly
ve skutecnosti a jak je to v absolutnich cislech.

3. Automatizovane nastroje na hledani chyb, specialne tech bezpecnostnich,
co se uz pomalu (az bolestne pomalu) ale jiste objevuji, lze v principu
pouzit nejen na zdrojove kody, ale i na binarni kod. A narozdil od rucni 
prace neni treba shanet lidi s vetsim intelektualnim potencialem, ale 
staci ten rozdil v urovni abstrakce preklenout trochu chytrejsim 
programem a trochu vyssim vypocetnim  vykonem.


--Pavel Kankovsky aka Peak  [ Boycott Microsoft--http://www.vcnet.com/bms ]
"Resistance is futile. Open your source code and prepare for assimilation."