Ist Open Source vielleicht doch unsicherer als CSS weil Geheimdienste Geld und Personal haben um Lücken zu finden?

OpenSSL schrieb:

Seit letzter Woche gibt es weltweit keine sicherere Verschlüsselungssoftware, als OpenSSL.

Du machst die Annahme, dass sich in den letzten Tagen tausende Entwickler auf den Code von OpenSSL geworfen haben um weitere Bugs zu finden?

Wenn dem so wäre, wo ist dann die neue Version mit dem Patches nach der Version mit dem Heartbleed Patch?

SwitchIO

Genauso finden die Guten auch die Fehler in OSS, das gleicht sich sicherlich mit CSS aus. Nur OSS gehört keiner Firma und untersteht damit nicht zwanghaft dem Geheimdienst. Firmen wie Microsoft, Apple etc. MÜSSEN das machen was die Regierung sagt. Du kannst dir sicher sein, dass bei OSS jetzt noch mehr Leute jeden Commit kritisch hinterfragen.

Wenn OSS endlich in Behörden usw. eingesetzt werden würde, dann würde das Interesse an besseren Code-Reviews noch viel größer.

Es gibt für mich keinen Grund CSS der OSS vorzuziehen. Die Software von Firmen, die dem Geheimdienst unterstehen, vertraue ich schon aus diesem Missstand nicht.

Was ich auch nicht verstehe ist, dass einem seine Daten auf einem Server so extrem wertvoll sind und den eigenen Briefkasten bekommt jedes Kind auf und kann die ach so wichtigen Daten abgreifen, oder noch einfacher man durchsucht euren Müll. Es ist ein leichtes an Bankdaten etc. ran zu kommen. Digitale Daten, die wirklich wichtig sind, sollte man generell nicht auf einem PC mit Netzanschluss ablegen, geschweige denn auf einem Server in der Wolke. Und wenn, dann muss man sich immer im klaren sein, dass kein System wirklich sicher ist.

Je komplexer ein System, desto fehleranfälliger wird es. Aber so wird nur eine Meta-Diskussion daraus. Vielleicht ist es auch ein Fehler, dass fast jeder die gleichen drei Schloss-Arten verwendet, damit können sich Diebe gut spezialisieren. Auf der anderen Seite erfindet man nicht mal so eben ein neues sicheres Schloss selbst. Bleibt die Frage, ob ein individuelleres Schloss was nicht so sicher ist im Endeffekt doch mehr Sicherheit bring, weil sich die Diebe lieber auf die bekannten Massen-Schlösser stürzen?

asc

SwitchIO schrieb:

Nur OSS gehört keiner Firma und untersteht damit nicht zwanghaft dem Geheimdienst. Firmen wie Microsoft, Apple etc. MÜSSEN das machen was die Regierung sagt.

Du tust so, als ob CSS automatisch Geheimdiensten unterstellt ist, und alle CSS aus der USA kommt.

Ich halte CSS für genauso sicher/unsicher wie OSS. Aus meiner Sicht hat OSS einige Nachteile, die durchaus die "theoretische Sicherheit" zuwider laufen:
1. Bei OSS kann jeder seine Finger mit im Spiel haben - und bei jedem Projekt einer gewissen Größe ist es selbst mit Reviews nicht ausgeschlossen das Fehlerstellen enthalten sind.
2. Bei OSS sitzt von unerfahren bis erfahren alles am Projekt, die Qualität schwankt teils recht stark.
3. Bei jedem erfolgreichen OSS sitzen vornehmlich auch die bezahlten Entwickler aus großen Unternehmen (und davon nicht gerade wenige auch aus der USA). Wer garantiert das die Reviewer (so es welche gibt) nicht auch bezahlt sind.

Ich möchte mal die Menschen sehen, die meinen den Code von einem großen Projekt wirklich zu verstehen.

ScottZhang

NSA loves Heartbleed schrieb:

Ersetze Hackerkiddie durch ein 1000 Mannteam bestehend aus 30-50 jährigen ehemaligen Kellerkindern und Hackern die mit dem C64 und sonstigm Hackerzeugs groß geworden sind, von denen dann auch manche eingelocht wurden und nun per Vertrag mit dem Geheimdienst ihre Freiheit wiedererlangt haben, dann stimmt's.
Also das glatte Gegenteil von dem, was du behauptest.

Ich verstehe genau was du meinst und ich sag ja, unter der Annahme kann ich deine Gedanken nachvollziehen.
Nur finde ich es etwas naiv, wenn man glaubt das sich ein Geheimdienst einzig auf solche Zufälle einen Bug zu finden verlässt. Was wäre das denn für einen Geheimdienst. Wie ich schon einmal schrieb, es geht um Kontrolle.

NSA loves Heartbleed schrieb:

Ich weiß ja nicht wie es bei euch ist, aber mir fällt es wesentlich leichter Fehler in einem Programm zu finden, wenn ich den Quellcode zur Verfügung habe.

Wie findest Du denn Fehler in deinem Programm? Liest Du so lange den Quelltext solange, bis Du 'nen Fehler findest und fixt ihn dann oder guckst Du nach z.B. einem Absturz in den Quelltext was die Ursache gewesen sein könnte?

Beim *Fehler finden* hilft mir der Quelltext wenig bzw hat keine gutes Kosten/Nutzen Verhältnis vom Zeitaufwand her (es sei denn es sind triviale Fehler). Beim *Fehler analysieren* ist der Quelltext jedoch umso hilfreicher.

Die OpenSSL Lücke wurde übrigens auch nicht durch Quelltextlesen gefunden, sondern weil jemand eine unerwartete Antwort vom Server bekommen hat, als er gerade sein eigenes Programm getestet hat.

Sqwan

Ihr habt Probleme. Was kümmert mich was die NSA mit liest.
Viel wichtiger sind Kriminelle. Und DIE machen definitive keine erlauben reviews by MS, wohl aber in OSS.
Die Qualitätskontrolle hallte ich in einer großen Software Schmiede auch für besser.

Dennoch hängt der Einsatz schwer vom Einsatzgebiet ab. Nicht umsonst laufen große Webserver(farmen) oft auf Debian oder Cent OS.

OpenSSL schrieb:

Euere Argumente - die einen, wie die anderen stimmen alle.
Eins kann ich jetzt jedenfalls mit absoluter Sicherheit behaupten:

Seit letzter Woche gibt es weltweit keine sicherere Verschlüsselungssoftware, als OpenSSL.

Woher willst du das wissen? Kennst du alle CSS? Und wenn ja, kennst du den Code der CSS? Weißt du ob OpenSSL vllt doch noch Fehler enthält?

audacia

Sqwan schrieb:

Ihr habt Probleme. Was kümmert mich was die NSA mit liest.

D.h., du hast nichts zu verbergen?

asc

Sqwan schrieb:

Ihr habt Probleme. Was kümmert mich was die NSA mit liest.

Industriespionage...

Davon abgesehen: Selbst wenn meine Privatmails nichts problematisches enthalten, so will ich dennoch das diese privat bleiben. Wenn ich einen Brief schicke, so will ich ja auch nicht, das dieser geöffnet wird. Selbst wenn es sich um triviale Inhalte handelt, sind es dennoch "Gespräche" die man bewusst zwischen den Beteiligten führt und nicht z.B. in ein Forum postet. Ich unterscheide auch ganz stark davon, was ich öffentlich poste, und was ich privat schreibe.

Sqwan

audacia schrieb:

Sqwan schrieb:

Ihr habt Probleme. Was kümmert mich was die NSA mit liest.

D.h., du hast nichts zu verbergen?

Nein, und natürlich klar. Meine Kontostände würde ich schon gerne für mich behalten. Sonst eigentlich nichts. Aber ich gehe nicht davon aus, dass die NSA mein Konto missbraucht. Entsprechend finde ich es nicht so schlimm wenn die NSA code audits macht.

Der punkt ist doch. Kriminelle machen keine ("Erlaubten") Code-Audits in CSS, jedoch in OSS. Organisationen die sich legitimieren können, sind vllt in der Lage CSS und OSS zu sehen, sind da aber nicht so gefährlich wie Kriminelle.
Und CSS hat halt den vorteil, dass "nur" legitimierte leute rein schauen könne.

Damit halte ich CSS nicht für sicherer. Ich finde nur das die NSA als eine der sehr sehr wenigen Organisationen die sich legitimieren können, nicht die Argumentationsgrundlage sein sollten.

audacia schrieb:

(TrueCrypt ist immer noch unauditiert.)

breaking news: http://istruecryptauditedyet.com/

audacia

Sqwan schrieb:

audacia schrieb:

Sqwan schrieb:

Ihr habt Probleme. Was kümmert mich was die NSA mit liest.

D.h., du hast nichts zu verbergen?

Nein

Braver unbescholtener Bürger Aber wer das ernsthaft behauptet, hat das Problem nicht erkannt.

Artchi

Ich bekomme Monat für Monat Security-Patches für Windows. Wie kommt das? Weil MS-Mitarbeiter diese Lücken finden? Zu denken, das lediglich MS den Windows-Code nach Fehlern durchsucht, ist blauäugig. MS selbst gibt doch den Sourcecode an externe Firmen per Sharedsource-Lizenz raus, damit diese auch Sicherheitslücken finden können.

Hier schreiben einige über CSS und Windows, als MS den Code im Tresor aufbewahrt und hin und wieder die NSA vorbeischauen darf.

Glaubt ihr wirklich, das MS absichtlich Sicherheitslücken einbaut?

Ich weiß eines, Bill Gates hatt schon vor einem Jahrzehnt seine Mitarbeiter angewiesen z.B. nur die sicheren C-Funktionen zu benutzen. Jeder kann sich bestimmt noch an VC++ 2003 (oder war es 2005?) erinnern, als es Warnings hagelte, wenn man unsichere C-Funktionen nutzte.

Hat das OpenSSL-Projekt solche Maßnahmen getroffen? Sieht ja nicht so aus.

Ich finde es übrigens bedenklich, das die meisten OSS-Projekte immer noch kein C++ benutzen. Linus Torvalds ist auch so ein Held: er versteht C++ und OOP nicht (oder will es nicht verstehen), und deshalb wird C gemacht. Und das gilt auch komischerweise für alle anderen OSS-Projekte, bis auf wenige Ausnahmen. Aber das zeigt schon mal, wie flexibel und fortschrittlich die OSS-Community ist, um weniger fehleranfällige Software zu entwickeln.

Sqwan

audacia schrieb:

Sqwan schrieb:

audacia schrieb:

Sqwan schrieb:

Ihr habt Probleme. Was kümmert mich was die NSA mit liest.

D.h., du hast nichts zu verbergen?

Nein

Braver unbescholtener Bürger Aber wer das ernsthaft behauptet, hat das Problem nicht erkannt.

Sqwan schrieb:

audacia schrieb:

Sqwan schrieb:

Ihr habt Probleme. Was kümmert mich was die NSA mit liest.

D.h., du hast nichts zu verbergen?

Nein, und natürlich klar.

Sei doch so gut un zitiere alles, und nicht nur das was dir gefällt.
Nein, ich habe wirklich nichts vor der NSA zu verbergen. Das heißt aber noch lange nicht, dass ich alles private mit Ihnen teilen möchte.

Hier schreiben einige über CSS und Windows, als MS den Code im Tresor aufbewahrt und hin und wieder die NSA vorbeischauen darf.

Deshalb bezog ich mich auf wenige Organisationen die sich legitimieren können. Und nicht auf die NSA alleine.

audacia

asdfasdf schrieb:

audacia schrieb:

(TrueCrypt ist immer noch unauditiert.)

breaking news: http://istruecryptauditedyet.com/

Wunderbar! Im Appendix mußte ich kurz lächeln, weil die Auditoren doch sehr ihre Coding-Style-Präferenzen empfehlen. Sonst ist es doch ein guter Anfang.

@Sqwan, was soll das heißen, "sich legitimieren können"?

TyRoXx

Sqwan schrieb:

Nein, ich habe wirklich nichts vor der NSA zu verbergen. Das heißt aber noch lange nicht, dass ich alles private mit Ihnen teilen möchte.

Das ist ein Widerspruch.

In der Kryptographie haben inzwischen fast alle verstanden, dass "security by obscurity" nicht funktioniert. Bei Sourcecode steht das noch bevor.

hustbaer

TyRoXx schrieb:

Sqwan schrieb:

Nein, ich habe wirklich nichts vor der NSA zu verbergen. Das heißt aber noch lange nicht, dass ich alles private mit Ihnen teilen möchte.

Das ist ein Widerspruch.

Nur wenn man sich weigert zu verstehen wie man "zu verbergen haben" auslegen muss, damit die Aussage Sinn macht (=kein Widerspruch entsteht).

SeppJ

Artchi schrieb:

Glaubt ihr wirklich, das MS absichtlich Sicherheitslücken einbaut?

Das ist eigentlich sogar so gut wie gesichert, dass sie das machen muessen.
http://en.wikipedia.org/wiki/Communications_Assistance_for_Law_Enforcement_Act
Das ist von 1994! Glaubst du wirklich, dass es so etwas mittlerweile nicht auch fuer saemtliche Software gibt?

Morle schrieb:

NSA loves Heartbleed schrieb:

Ich weiß ja nicht wie es bei euch ist, aber mir fällt es wesentlich leichter Fehler in einem Programm zu finden, wenn ich den Quellcode zur Verfügung habe.

Wie findest Du denn Fehler in deinem Programm? Liest Du so lange den Quelltext solange, bis Du 'nen Fehler findest und fixt ihn dann oder guckst Du nach z.B. einem Absturz in den Quelltext was die Ursache gewesen sein könnte?

In so einem Fall darf es natürlich nicht mein eigener Quellcode sein.
Ist es nicht mein eigener Quellcode, dann finde ich auch Fehler durch das bloße durchlesen und durcharbeiten des Quellcodes, weil ich eben vielleicht Dinge sehe, die der Programmierer vor mir nicht gesehen oder übersehen hat.
Beim eigenen Code funktioniert das leider so nicht, weil ich ja dann selbst derjenige bin, der Fehler übersehen könnte.

Also ja, bei fremder Software hilft mir der Quellcode zum Aufspüren von Bugs und Fehlern.

Beim *Fehler finden* hilft mir der Quelltext wenig bzw hat keine gutes Kosten/Nutzen Verhältnis vom Zeitaufwand her

Ein Geheimdienst wird diese Zeit haben und sie auch investieren.

Beim *Fehler analysieren* ist der Quelltext jedoch umso hilfreicher.

Das kommt noch dazu.

Die OpenSSL Lücke wurde übrigens auch nicht durch Quelltextlesen gefunden, sondern weil jemand eine unerwartete Antwort vom Server bekommen hat, als er gerade sein eigenes Programm getestet hat.

Was zeigt, dass Open Source als Schutzfunktion hier nichts gebracht hat.
Da es aber zwei Jahre gedauert hat, ist dies ein Indiz dafür, dass man bei CSS*
einen glücklichen Zufall braucht um den Fehler zu finden oder es wesentlich länger dauert.

* Der Fehler wurde ja schließlich nur beim Testen mit dem Binary entdeckt, das ist wie CSS.

Artchi schrieb:

Ich finde es übrigens bedenklich, das die meisten OSS-Projekte immer noch kein C++ benutzen. Linus Torvalds ist auch so ein Held: er versteht C++ und OOP nicht (oder will es nicht verstehen), und deshalb wird C gemacht. Und das gilt auch komischerweise für alle anderen OSS-Projekte, bis auf wenige Ausnahmen. Aber das zeigt schon mal, wie flexibel und fortschrittlich die OSS-Community ist, um weniger fehleranfällige Software zu entwickeln.

Bei einem OS macht es schon Sinn C zu verwenden, denn der Kernel stellt auch Funktionen zur Verfügung die von anderen Libs, Programmen & Co genutzt werden können sollen.
Die werden aber nicht alle in C++ geschrieben, sondern in anderen Prorgrammiersprachen und C Funktionen sind hier eben als Schnittstelle am kompatibelsten, weil jede andere Sprache diese aufrufen kann.
Bei C++ wird es schwierig.

SeppJ schrieb:

Artchi schrieb:

Glaubt ihr wirklich, das MS absichtlich Sicherheitslücken einbaut?

Das ist eigentlich sogar so gut wie gesichert, dass sie das machen muessen.
http://en.wikipedia.org/wiki/Communications_Assistance_for_Law_Enforcement_Act
Das ist von 1994! Glaubst du wirklich, dass es so etwas mittlerweile nicht auch fuer saemtliche Software gibt?

Daran sind nur US Firmen gebunden.