@AucuneImportance,

Yep, Q. Norton est dans un mode exagération/binaire/y'a pas d'autre issue...

Mais bordel, ose me dire que "tout n'est pas cassé"...
Tout est réellement cassé.

On imagine souvent les experts en sécurité comme des petits génies mathématiciens qui manipulent des fonctions cryptographiques hyper complexes de manière inédite. Ben en vrai ces gens là doivent représenter moins de 5% de la profession.

Le reste c'est juste des gens de "classiquement" à "modérément" intelligents (comme n'importe quel ingénieur), bien que peut-être un peu plus fourbes...

Bref, ils font pas de la magie et sont aussi faillibles que les autres.

Et pour travailler spécifiquement dans le domaine du développement, ben c'est encore moins joli :
- quand c'est du propriétaire, faut tout de suite oublier toute notion de qualité de code. Imaginer que le code source est un tas de glu entre des librairies plus ou moins douteuse pondu par un stagiaire en mode quick'n'dirty (parce que vous comprenez... le planning est serré !), +/- testé (c'est vrai quoi, les tests unitaires automatisés, faut les écrire, ça tombe pas du ciel !) et non documenté (on documentera quand le code marchera... pas vrai ?) est la plupart du temps vraiment pas loin de la vérité.
- quand c'est de l'open source, y'a 2 cas :
* le gros projet soutenu professionnellement : là y'a en général une doc technique vaguement à jour, du code relativement mutualisé et modularisé, de la relecture, des tests unitaires automatisés assez couvrants. Bon après ça protège pas de l'accumulation débordante et crade (OpenOffice ?) ni de l'injection de failles par la NSA et consorts (cf. tout ce qui tente de chiffrer quelque chose ou qui a des droits d'exécution étendus sur la machine !).
* le petit projet mono-développeur : ben là, c'est hyper variable, mais sachant que la plupart de ces projets sont développés sur le temps libre des auteurs, il y a *forcément* des failles par pelletés.

Bref, la priorité, c'est le besoin "métier" : les fonctionnalités expressément demandées par l'utilisateur. C'est moche à dire, mais la sécu, c'est juste la noix de chantilly sur la cerise sur le gâteau... (Q. Norton cite l'exemple de libpurple, mais c'est partout comme ça...)

En tous cas, moi j'attends impatiemment quoique ce soit de constructif de tes commentaires, mais pour l'instant... y'a pas. Mais je ne désespère pas, hein !