Discussion :

[Hinault Romaric]

La qualité du code open source meilleure que celle du code propriétaire, selon Coverity
Le code Linux à nouveau « référence de qualité »

La faille Heartbleed dans la solution de chiffrement open source OpenSSL, largement utilisée sur le Web, fait couler beaucoup d’encre et a remis en cause la qualité du code des produits open source. Pour certains, c’est l’une des pires failles qu’aurait connues le monde de l’IT.

Coverity, une entreprise spécialisée dans la qualité du code source des applications et des tests de sécurité, a jugé que cette période était propice pour rappeler, chiffres à l’appui, que le code source des applications open source est de bonne qualité.

Alors que l’année dernière, la qualité du code open source se situait quasiment au même niveau que celle du code propriétaire, le rapport de cette année conclut que le code open source serait bien meilleur que le code propriétaire. Coverity a constaté que le code open source avait moins d’erreurs par millier de lignes de code que le code propriétaire.

Le rapport de Coverity a été effectué en analysant le code de 750 projets open source populaires écrits en C/C++ et en Java avec un échantillon anonyme d’applications propriétaires de ses clients. Parmi les projets open source qui ont été analysés, on retrouve Linux, NetBSD, FreeBSD, LibreOffice, Apache Hadoop ou encore Cassandra.

La qualité du code a été mesurée en utilisant la densité des défauts, qui représente les défauts pour mille lignes de code. La norme standard acceptée par l’industrie pour un code de bonne qualité est une densité de défauts de 1,0 ce qui représente un défaut toutes les 1 000 lignes de code.

L’analyse de Coverity a permis de trouver une densité moyenne de 0,59 pour les projets open source écrits en C et C++, tandis que pour les projets propriétaires écrits avec les mêmes langages, une densité de 0,72 a été observée. Ce résultat démontre, selon Coverity, un engagement fort de la communauté open source dans la vérification et les tests du code pendant le développement.

Une nouvelle fois, le code Linux est étiqueté comme code de référence pour l’open source. Sur plus de 8,5 millions de lignes de code Linux analysées par Coverity en 2013, une densité de défauts de 0,61 a été trouvée dans le noyau. Depuis 2008, la densité du code Linux a toujours été en dessous de 1.


Source : Coverity


Et vous ?

Que pensez-vous des conclusions de cette étude ?

La faille Heartbleed a-t-elle remis en question votre confiance dans le code open source ?

[el_slapper]

L'open-Source est une excellente chose(ça fait des années que je me dis qu'il faudrait que je m'y mette), mais il faut savoir raison garder : on s'aperçoit, en comparant les listes, que les codes propriétaires testés font en moyenne 1 388 070 lignes, là ou les codes open-source font en moyenne 340 094 lignes de code. Soit 4 fois moins. La taille brute d'un code le rend plus difficille à maintenir, et peut à elle seule expliquer certains écarts.

[PixelJuice]

Qu'en pensez-vous des conclusions de cette étude ?

Fallait-il vraiment une étude pour ça ? De mon sens , c'est naturel d'écrire du beau code compréhensible quand je sais que des centaines , voir des milliers de gens vont voir et utiliser / modifier ce code. Alors que si je fais ma tambouille perso , je m'en contrefous un peu plus tant que je comprends mon propre code.(et tant que ça marche pour le chef de projet)

La faille Heartbleed a-t-elle remise en question votre confiance au code open source ?

Du tout , après on ne connais toujours pas l'ampleur des dégâts causés par cette faille donc c'est difficile de juger.

[guillauk]

Encore une fois, il avoir d'avantage d'informations pour pouvoir conclure de telles résultats :
- Quel est le code propriétaire qui a été pris en compte? Des applications grands public ou non? Peut-on comparer le code développé pour être utilisé par une centaine de personne avec celui fait pour être utilisé par le plus grand nombre? Le code open-source possède certes l'avantage de pouvoir être maintenue par une forte population mais il est impossible d'impliquer le même nombre de personnes (que ce soit en open-source ou non) pour l'ensemble des projets.
- S'agissant d'une entreprise spécialisée dans la qualité du code source, les entreprise qui y font appel ne sont-elles pas celles qui justement ont potentiellement une mauvaise qualité?

En ce qui concerne la faille Heartbleed, cela n'a nullement modifié mon avis sur l'open-source. L'opensource possède des failles, le code propriétaire possède des failles. Il est plus délicat de découvrir les failles du code propriétaire mais l'open-source a l'avantage de pouvoir être beaucoup plus réactif lorsque de tels problèmes se produisent.

J'aimerais juste préciser que ce n'est surtout pas une critique envers l'open-source, bien au contraire. Celui-ci possède des avantages et des inconvénients et, comme pour un peu tout ce que l'on croise dans la vie, tout dépend des conditions globales du projet.

[GTSLASH]

Je me demande comment ils ont fait pour connaitre le nombre de lignes de code d'un code source qu'ils n'ont pas.

Tous ca c'est des estimations calcul magique politiciens.

Les chiffres on leur fait dire ce qu'on veut l'important c'est les faits et les résultats.

Dans certains cas l'open source est un meilleur choix et dans d'autre pas. La difficulté est de savoir quoi choisir en fonction de ses besoins et de sa situation. Et c'est pas une calculatrice qui nous donnera la solutions.

[imikado]

Je me demande comment ils ont fait pour connaitre le nombre de lignes de code d'un code source qu'ils n'ont pas.
Tous ca c'est des estimations calcul magique politiciens.

De quoi parlez-vous ? des projets propriétaire ?

avec un échantillon anonyme d’applications propriétaires de ses clients.

La qualité du code dépend avant tout de son développeur, après, on peut ajouter des revues de code.. pour vérifier/encadrer celui-ci pour en améliorer la qualité
Mais un même developpeur peut travailler à la fois sur du code propriétaire dans son entreprise + du code opensource sur son temps libre

[laloune]

bien plus meilleur

l'open source c'est plus mieux ! :-)

[Traroth2]

Je me demande comment ils ont fait pour connaitre le nombre de lignes de code d'un code source qu'ils n'ont pas.

Tous ca c'est des estimations calcul magique politiciens.

Les chiffres on leur fait dire ce qu'on veut l'important c'est les faits et les résultats.

Dans certains cas l'open source est un meilleur choix et dans d'autre pas. La difficulté est de savoir quoi choisir en fonction de ses besoins et de sa situation. Et c'est pas une calculatrice qui nous donnera la solutions.

http://www.coverity.com/

[ustensile]

C'est marrant de voir comment la faille heartbleed est exploitée médiatiquement pour tenter de discréditer l'open source, tant qu'on est à parler de sécurité, je pense que tout le monde sera d'accord pour dire que les grands éditeurs(adobe, crosoft etc...) ont tendance à nous pondre des perles en termes de sécurité.

[Baster]

- S'agissant d'une entreprise spécialisée dans la qualité du code source, les entreprise qui y font appel ne sont-elles pas celles qui justement ont potentiellement une mauvaise qualité?

Au contraire, je pense qu'une boite qui fait l'effort d'utiliser un outil comme ça a un plus haut niveau de conscience professionnelle qu'une boite qui ne le fait pas, et donc potentiellement un code de plus haute qualité à la base.

[GTSLASH]

De quoi parlez-vous ? des projets propriétaire ?

Oui. Qui peut dire le nombre de ligne de code de Windows, Office, OSX, .... ? ca ca m'interesserai de savoir. Pour connaitre le nombre de Bug par ligne de code c'est indispensable.

http://www.coverity.com/

La de même comment lancer cet outils d'analyse sur du code source propriétaire ? je ne vois pas comment le faire légalement en tous cas. Ce serait bien en tous cas mais je pense pas que ce soi possible. Et ca aurait fait du bien a l'equipe d'OpenSSl.

C'est marrant de voir comment la faille heartbleed est exploitée médiatiquement pour tenter de discréditer l'open source, tant qu'on est à parler de sécurité, je pense que tout le monde sera d'accord pour dire que les grands éditeurs(adobe, crosoft etc...) ont tendance à nous pondre des perles en termes de sécurité.

heartbleed a posé de très gros problèmes sur l'internet en général. C'est normal que les gens s’inquiète. Et quand ont leur dit que en résumer la securite de la moiter des serveurs du monde est basée sur le travail de quelque programmeurs bénévole et que des millions de personnes ont pu voir le code source et qu'aucun n'a remarque ca en 2 ans. Ca fait peur et ca rend les gens mefiant d'internet (ce qui n'est pas bon pour nous je vous rappel) Et encore une fois c'est pas un jugement c'est un fait. Il suffit de regarder les site de news et de parler et d'expliquer ca a des gens qui ne sont pas informaticiens.

[Baster]

La de même comment lancer cet outils d'analyse sur du code source propriétaire ? je ne vois pas comment le faire légalement en tous cas.

Coverity => besoin d'une licence, tu payes (cher ) selon le nombre de ligne de codes (en gros) donc il y a très certainement des stats qui sont renvoyées pour vérifier que l'utilisateur respecte bien les termes de la licence.

[GTSLASH]

Coverity => besoin d'une licence, tu payes (cher ) selon le nombre de ligne de codes (en gros) donc il y a très certainement des stats qui sont renvoyées pour vérifier que l'utilisateur respecte bien les termes de la licence.

Donc coverty pourrait analyser les code source d'Office, Windows, OSX, ... ?

[Invité]

Marrant, sur la page du site de Coverity, ils disent que leur produit fait de l'analyse de code : "Find and fix critical quality and security defects in complex codebases".
Manifestement, ils ont du oublier de scanner certaines librairies SSL
Je trouve ça un peu bullshit
J'ai cru comprendre que la licence de ce produit était d'un montant astronomique. Il vaut peut-être mieux mettre ce budget à engager des codeurs dignes de ce nom

Quoi qu'il en soit, comme disait feu Dijkstra, "testing reveals the presence, but not the absence of bug"

Steph

[Tryph]

Donc coverty pourrait analyser les code source d'Office, Windows, OSX, ... ?

Le rapport de Coverity a été effectué en analysant le code de 750 projets open source populaires écrits en C/C++ et en Java avec un échantillon anonyme d’applications propriétaires de ses clients.

c'est quoi au juste que tu comprends pas dans la partie en gras?

t'as probablement déjà vu un logiciel te demander si tu étais d'accord pour envoyer des données anonymes sur l'utilisation que tu faisais d'un logiciel. bah dis toi que là ça doit être un truc dans le genre.

[GTSLASH]

un échantillon anonyme d’applications propriétaires de ses clients

Ok donc ca veut absolument rien dire. C'est bien ce qui me semblait.

[jbb2811]

Peut être parce que les codeurs Open-source sont :
- plus passionnés
- plus motivés
- moins stressés
- moins pressés
( en tout cas pour ceux qui font de l'open source sur leur temps libre)
( et ne parlons pas de ceux qui font du propriétaire sur leur temps libre ...)

[Zefling]

Peut être parce que les codeurs Open-source sont :
- plus passionnés
- plus motivés
- moins stressés
- moins pressés
( en tout cas pour ceux qui font de l'open source sur leur temps libre)
( et ne parlons pas de ceux qui font du propriétaire sur leur temps libre ...)

Sur mon temps libre, quand je fais du propriétaire je n'expose pas ton code, donc s'il n'est pas très beau, personne ne le verra, quand c'est du libre, c'est crade tout le monde le verra. D'ailleurs ce que je passe en libre, j'ai tendance à le vérifier 3 ou 4 fois plus et plus le commenter. Quand c'est pour moi, si j'oublie un commentaire c'est pas trop grave.

[raimbow]

Moi ce que je me demande, c'est comment ils détectent les erreurs ?

Visiblement c'est automatique, donc comment ça marche ? Sur quoi ils se basent pour dire si c'est une erreur ou pas, et surtout est-ce que ce sont des erreurs qui produisent potentiellement un bug et sont donc gênant pour l'utilisateur ou est-ce que ce sont des "erreurs" du style variable instancié mais non utilisé ce qui est pas très propre mais représente peut de risque de bug direct.

[landry161]