<div dir="ltr"><div>On Tue, Oct 21, 2014 at 9:23 PM, Mike Hommey <<a href="mailto:mh@glandium.org">mh@glandium.org</a>> wrote:<br>> On Tue, Oct 21, 2014 at 08:18:14PM -0400, William Herrin wrote:<br>> > On Tue, Oct 21, 2014 at 6:42 PM, Mike Hommey <<a href="mailto:mh@glandium.org">mh@glandium.org</a>> wrote:<br>> > > On Tue, Oct 21, 2014 at 06:05:27PM -0400, William Herrin wrote:<br>> > > > <a href="https://www.debian.org/security/faq">https://www.debian.org/security/faq</a><br>> > > ><br>> > > > "The most important guideline when making a new package that fixes a<br>> > > > security problem is to make as few changes as possible. Our users and<br>> > > > developers are relying on the exact behaviour of a release once it is<br>> > > made,<br>> > > > so any change we make can possibly break someone's system."<br>><br>> Wanna bet what Red Hat does? Spoiler alert: the same thing<br>> <a href="https://www.redhat.com/archives/rhsa-announce/2014-October/msg00026.html">https://www.redhat.com/archives/rhsa-announce/2014-October/msg00026.html</a><br><br></div>Mike, you summarize my complaint: with iceweasel you've done the same lousy job at versioning that Red Hat does. You can do better. To come close to meeting the Debian patch guidelines, you must do better.<br><div><br><br>> Reality is that the choice is between not shipping a web browser, or<br>> shipping one that's secure. <br><br></div><div>Nonsense. I offered three credible alternatives to the current practice for iceweasel in yesterday's email none of which requires significant additional effort from you.<br></div><div><br><br>> It's impossible to ship a secure browser<br>> that stays at the same major version anymore[1].<br><br></div><div>Agreed. Nevertheless, your conclusion above does not follow from this fact. There are better ways to handle the problem that blithely blowing away the users' configuration, including better ways at the same level of effort. Open your mind.<br></div><div><br></div><div>Regards,<br>Bill Herrin</div></div>