Les paquets "contrib" sont-ils sûrs?

Support Debian
Tags: #<Tag:0x00007f3b8d375f58>
#1

Salut les zamis,

Je découvre que certains paquets qui me seraient utiles sont classés comme « contrib » dans les paquets Debian, et que par défaut « contrib » ne fait pas partie des sources préconfigurées à l’installation de Debian. Je crois comprendre que ces paquets sont classés ainsi pour diverses raisons, des fois ça peut être parce qu’ils utilisent des paquets non-libres, d’autres fois ça peut être pour des raisons de légalité…

Si on met de côté ces aspects de non-libre et de légalité, est-ce problématique techniquement d’installer des paquets contrib ? Est-ce que mon Trixie a plus de chances de devenir instable ou quoi que ce soit ? La sécurité dans ces paquets est-elle maintenue par l’équipe Debian comme pour les paquets classés dans « main » ?

#2

Non. Si c’était le cas alors ils seraient dans non-free.

mais:
contrib : logiciel libre, mais nécessite une ou plusieurs dépendances venant de non-main (par ex. d’autres sections comme non-free ou d’autres dépôts)

#3

Je donne un exemple : Doom³.
Le moteur a été libéré mais le jeu lui-même n’est pas libre et à ma connaissance, il n’existe pas de pk4 libre pour jouer à Doom³. dhewm3 est un moteur libre (ainsi que darkradiant, l’application qui permet de créer des niveaux pour Doom³).
Doom 1 et 2, en revanche, ont été dans contrib tant que FreeDoom 1 et 2 n’existaient pas. À cette époque, il fallait avoir un des IWAD (shareware téléchopable ou complet achetable encore aujourd’hui) pour y jouer.
Maintenant, tu peux jouer à Doom 1 ou à Doom 2 avec ou sans les IWAD libres, avec ou sans les IWAD propriétaires ; les moteurs pour jouer à Doom 1 et à Doom 2 ne sont plus dans contrib.

#4

C’est surtout ça qui m’intéresse.

#5

Contrib n’implique rien qui ne soit en lien avec la légalité.
Qu’entends-tu par la sécurité?
Le découpage des paquets Debian sont liés à notion de Logiciel Libre (Free Software), qui réponde à une catégorie de licences particulières.
Main ce sont les logiciels libre au sens licences du terme, aussi bine du logiciel lui même que des dépendances de celui-ci.
Contrib, c’est un logiciel libre, mais qui dépend de logiciel non libre.
Non-free ce sont les logiciels complètement non libres (leurs dépendances aussi bien qu’eux mêmes).

En clair, il n’y a là aucun critère technique.

geoipupdate, lutris et steam sont des paquets contrib,

Pour les licences: Liste de licences libres — Wikipédia

Pour un peu plus de lecture: Les paquets Debian — Lea Linux

#6

J’ai lu ça dans wikipédia, et c’est justement cette librairie libdvdcss qui m’intéresse :

Distribution

De nombreuses distributions Linux (telles que Debian, SuSE et Ubuntu) n’incluent pas libdvdcss dans leurs dépôts officiels. Ceci par crainte d’enfreindre des lois de type DMCA comme la directive EUCD européenne et sa transcription dans le droit des états membres de l’Union (loi DADVSI en France). Toutefois libdvdcss est alors souvent disponible dans des dépôts non officiels.

libdvdcss fait partie du package libdvd-pkg qui est dans contrib.

#7

libdvdcss n’a pas de problème de légalité en France car elle est conforme à nos loi, notament avec les arguments:

  • « les mesures techniques ne doivent pas avoir pour effet d’empêcher la mise en œuvre effective de l’interopérabilité, dans le respect du droit d’auteur. »
  • « Les mesures techniques ne peuvent s’opposer au libre usage de l’œuvre ou de l’objet protégé dans les limites des droits prévus par le présent code, ainsi que de ceux accordés par les détenteurs de droits. »

Source: libdvdcss — Wikipédia

D’ailleurs, dans le cadre de la loi DADVSI, loi liberticide à sa création par un député de droite (évidement), j’avais défendu le point de vue précédent lors d’une émission sur une radio libre locale en même temps que j’avais exposé les critiques légitime contre la loi Hadopi.

#8

Par la sécurité j’entends la publication régulière de correctifs de sécurité. Debian gère très bien cet aspect dans main. Je me demandais si c’était aussi le cas de contrib, ou si c’était moins bien couvert, moins pris au sérieux, ou que sais-je.

#9

Bonjour,

La réponse courte est : elle ne l’est pas. contrib, non-free et non-free-firmware ne font pas officiellement partie de la distribution Debian et ne sont pas publiées, c’est pourquoi elles ne sont pas prises en charge par l’équipe en charge de la sécurité.

https://www.debian.org/security//faq#contrib

1 J'aime
#10

C’est ce que je voulais savoir, merci !