Ist Open Source vielleicht doch unsicherer als CSS weil Geheimdienste Geld und Personal haben um Lücken zu finden?
-
Man lese sich erst einmal die neuste Meldung zum Heartbleed Bug durch:
Daraus würde ich folgende Punkte aufwerfen:
1. Bugs in Open Source Software kann zwar jeder, der qualifiziert ist und Zeit hat, selbst reparieren und auch einen Code Audit durchführen, aber wenn es niemand oder zu wenige machen, dann bleiben die Bugs drin.
2. Der Heartbleed Bug befindet sich schon seit über 2 Jahren in OpenSSL und niemandem ist es aufgefallen.
3. Geheimdienste wie die NSA haben sowohl Geld als auch genug Personal um auf eigene Faust Open Source Projekte mit einem > 100 Mann Team auf Schwachstellen abzuklopfen, aber wenn sie etwas finden, dann müssen sie das dem Projekt ja nicht mitteilen, warum sollten sie auch, sie sind ein Geheimdienst!
Der entscheidende Punkt ist hier aber:
Der frei verfügbare Quellcode ist hier auch für die Geheimdienste ein wesentlich größerer Vorteil, als ein reiner binärer BLOB, wie er bei CS Software üblich wäre.4. Hacker die auf eigene Faust OS Software auf Schwachstellen überprüfen, könnten die Kenntnis über die Lücke auch einfach an Geheimdienste gegen Bares verkaufen, anstatt dies dem OS Projekt zu melden.
5. Bei Closed Source Software können zwar genauso Bugs entstehen, wie bei OSS und reparieren kann die dann nur der Hersteller, aber dafür haben es böse Gestalten & Geheimdienste auch wesentlich schwieriger, diese Bugs aufzuspüren, denn sie haben ja keinen Quellcode.
Geheimdienste können da zwar auch mit Geld winken, aber wenn der Softwarehersteller aus einem fremden Land ist und nicht mit ihnen zusammenarbeitet, dann stehen auch die Geheimdienste genauso blöd da, wie alle anderen auch.6. Beim Heartbleed Bug hat das Open Source Modell im Bezug auf Sicherheit ganz klar versagt. 2 Jahre eine offene Lücke zu haben ist einfach zu lange und das obwohl jeder hätte reinschauen können.
7. Code Audits bei Open Source Software scheitern mangels Geld oft an ausreichendem qualifizierten Personal. Geheimdienste können dagegen 100 Mann Teams darauf loslassen.
CSS bietet also gegenüber Geheimdiensten also einen Vorteil, den OSS nicht haben kann. Denn Dritte sehen nur einen binären Blob und keinen Quellcode.
Security by Obscurity gibt es zwar nicht, also „Sicherheit durch Unklarheit“,
aber Unklarheit führt eben doch dazu, dass niemand die Sicherheitslücke ausnutzen kann, wenn sie keiner kennt obwohl der Code unsicher ist.
Ganz wichtig: Zur Frage der Sicherheit gehört nämlich nicht nur die Frage, ob eine Sicherheitslücke besteht, sondern auch, ob sie gefunden wird.Die Entscheidende Frage ist also eine Frage der Wahrscheinlichkeit.
Mal angenommen eine Software ausreichender Größe hat nur einen einzigen Fehler und man verteilt diese Software als binären Blob an eine Gruppe bestehend aus 3 Milliarden Menschen und den Quellcode an eine zweite Gruppe, bestehend aus der gleichen Anzahl an Menschen, und sorgt dafür, dass die erste Gruppe mit der zweiten Gruppe keinen Kontakt hat und umgekehrt.
Die Qualifikation der Personen in den jeweiligen beiden Gruppen soll hierbei identisch sein.Frage:
Wie hoch ist dann die Wahrscheinlichkeit, dass dieser eine bestehenden Bug von der ersten Gruppe in dem Closed Source binären BLOB gefunden wird im Vergleich zu der Wahrscheinlichkeit, dass die andere Gruppe, die über den Sourcecode verfügt, den Bug findet?Wenn hier die Wahrscheinlichkeit, dass die zweite Gruppe, die über den Source Code verfügt, den Bug findet, wesentlich größer ist,
als bei der ersten Gruppe, dann wäre es mathematisch zumindest untermauert, dass Closed Source Software gegen die tatsächliche Durchführung der Ausnutzung so eines Bugs sicherer ist, als Open Source Software obwohl in beiden der Bug gleichermaßen vorhanden ist.Man beachte hierbei folgenden relevanten Punkt:
Das Maß der Sicherheit bedeutet hier nicht, ob eine Lücke tatsächlich besteht,
sondern ob die Lücke auch gefunden und ausgenutzt wird.und
Ist das Finden von Lücken mithilfe des Quellcodes einfacher, als wenn man nur einen binären Blob hat?
Zum letzten Punkt:
Meines Wissens nach wurde dieser Heartbleed Bug von denen, die ihn öffentlich gemacht haben, durch Zufall gefunden und dies anhand des binären Blobs und nicht anhand des Quellcodes.
Dies zeigt zwar, das man auch mit genügend Zeit bei CSS so einen Bug finden könnte, aber da in diesem Fall der Source Code von Anfang verfügbar war, zeigt dies auch, dass es bei closed Source Code wesentlich länger dauert.
Nicht bekannt ist allerdings, auf welche Weise dieser Geheimdienst den Bug gefunden hat. Dieser hat ihn schon vor vielen Monaten ausgenutzt.
Hier wäre es denkbar, dass der Geheimdienst einfach den Quellcode durchsucht hat.Daraus muss man leider auch folgern:
Existiert in einem Open Source Projekt ein Bug, dann muss man mit hoher Wahrscheinlichkeit damit rechnen, dass irgendein Geheimdienst davon schon Kenntnis hat.
Daraus folgt: Open Source Software kann, sofern sie nicht Bugfrei ist, generell nur als unsicher eingestuft werden.Wie seht ihr das?
-
Noch etwas wichtiges:
NSA loves Heartbleed schrieb:
Existiert in einem Open Source Projekt ein Bug, dann muss man mit hoher Wahrscheinlichkeit damit rechnen, dass irgendein Geheimdienst davon schon Kenntnis hat.
Daraus folgt: Open Source Software kann, sofern sie nicht Bugfrei ist, generell nur als unsicher eingestuft werden.Daraus kann man nur folgenden Schluss ziehen:
Bei sicherheitskritischer Open Source Software, darf man, um Sicherheit garantieren zu können, für die Entwicklung dieser Software nur Programmiersprachen verwenden, mit denen man anschließend, die Sicherheit der Software mathematisch auch beweisen kann.
Alles andere wäre fahrlässig.
-
NSA loves Heartbleed schrieb:
Existiert in einem Open Source Projekt ein Bug, dann muss man mit hoher Wahrscheinlichkeit damit rechnen, dass irgendein Geheimdienst davon schon Kenntnis hat.
Daraus folgt: Open Source Software kann, sofern sie nicht Bugfrei ist, generell nur als unsicher eingestuft werden.Das gilt aber für nicht quelloffene Software genauso. Wenn Microsoft schon Universitäten und Regierungen Einblick in den Windows-Quelltext gibt, meinst du nicht, daß die NSA auch Zugriff hat?
Aber ansonsten hast du recht. Die gemeinhin verbreitete Einschätzung, Open Source sei per se sicherer, ist irreführend.
NSA loves Heartbleed schrieb:
Bei sicherheitskritischer Open Source Software, darf man, um Sicherheit garantieren zu können, für die Entwicklung dieser Software nur Programmiersprachen verwenden, mit denen man anschließend, die Sicherheit der Software mathematisch auch beweisen kann.
Die Einschränkung auf typsichere Sprachen wäre auch schon sehr hilfreich und viel einfacher umzusetzen.
-
audacia schrieb:
Aber ansonsten hast du recht. Die gemeinhin verbreitete Einschätzung, Open Source sei per se sicherer, ist irreführend.
Aber sicherlich besser als Closed Source. Wie sich hier gezeigt hat, wird da immer mal wieder von Nicht-NSA-Leuten auf Bugs überprüft. Was bei Windows nicht der Fall ist.
audacia schrieb:
NSA loves Heartbleed schrieb:
Bei sicherheitskritischer Open Source Software, darf man, um Sicherheit garantieren zu können, für die Entwicklung dieser Software nur Programmiersprachen verwenden, mit denen man anschließend, die Sicherheit der Software mathematisch auch beweisen kann.
Die Einschränkung auf typsichere Sprachen wäre auch schon sehr hilfreich und viel einfacher umzusetzen.
Dieser Bug hat überhaupt nichts mit Typsicherheit zu tun. Typsicherheit wird von C++-Programmierern überbewertet.
-
audacia schrieb:
Das gilt aber für nicht quelloffene Software genauso. Wenn Microsoft schon Universitäten und Regierungen Einblick in den Windows-Quelltext gibt, meinst du nicht, daß die NSA auch Zugriff hat?
Warum muss eigentlich immer Microsoft als Beispiel für CSS herhalten?
Ich wähle mir jetzt mal ein Software Unternehmen aus dem Iran aus.
Warum sollte dieses, der NSA einen Einblick verschaffen?So, dass ist dass eine.
Der zweite Punkt ist, wenn du als Geheimdienst keinen Quellcode hast, dann wird die Bugsuche im Binärcode wesentlich schwieriger.Klar kann es auch mal ein US Unternehmen sein, dass mit der NSA zusammenarbeitet und sogar absichtlich Backdoors einbaut, aber das ist doch kein genereller Maßstab für CSS.
Und es stümpert auch nicht jedes Softwareunternehmen, es gibt auch welche, die Gewissenhaft arbeiten und ihre Lücken schnell stopfen.Aber ansonsten hast du recht. Die gemeinhin verbreitete Einschätzung, Open Source sei per se sicherer, ist irreführend.
Danke.
-
tschawa schrieb:
audacia schrieb:
Aber ansonsten hast du recht. Die gemeinhin verbreitete Einschätzung, Open Source sei per se sicherer, ist irreführend.
Aber sicherlich besser als Closed Source. Wie sich hier gezeigt hat, wird da immer mal wieder von Nicht-NSA-Leuten auf Bugs überprüft. Was bei Windows nicht der Fall ist.
Klar bei Windows prüft nur die NSA ob Bugs vorhanden sind, sicher
Was haben dann nur die Sicherheitsupdates zu bedeuten die ich immer mal wieder bekomme??, Die NSA wird die gefundenen Sicherheitslücken ja wohl kaum an Microsoft weitergeben, wie werden die nur gefunden 
Bei OSS und CSS haben Kriminelle, Geheimdienste und die von der guten Seite die gleiche Ausgangslage. Ich denke bei so großen OSS Projekten wie Linux ist OSS gleich sicher wie CSS, das mit OpenSSL kann überall mal passieren. Ist halt blöd gelaufen, kann man jetzt auch nicht mehr ändern.
floorball
-
tschawa schrieb:
audacia schrieb:
Aber ansonsten hast du recht. Die gemeinhin verbreitete Einschätzung, Open Source sei per se sicherer, ist irreführend.
Aber sicherlich besser als Closed Source.
Nein eben nicht.
Das was OSS mit dem Faktor "jeder darf Lücken stopfen" besser macht, dass macht CSS mit dem Faktor "auch Geheimdienste haben nur einen Blob" wieder wett.
Die Sicherheit ist also bestenfalls identisch.
Wie sich hier gezeigt hat, wird da immer mal wieder von Nicht-NSA-Leuten auf Bugs überprüft. Was bei Windows nicht der Fall ist.
Siehe oben, weder US Unternehmen noch MS ist das Maß aller Dinge für CSS.
Genauso gut könntest du mit dieser Argumentation bei OSS nur Hobbyprogrammierer heransziehen, das ist genauso unsinnig.
-
tschawa schrieb:
audacia schrieb:
Aber ansonsten hast du recht. Die gemeinhin verbreitete Einschätzung, Open Source sei per se sicherer, ist irreführend.
Aber sicherlich besser als Closed Source. Wie sich hier gezeigt hat, wird da immer mal wieder von Nicht-NSA-Leuten auf Bugs überprüft. Was bei Windows nicht der Fall ist.
Doch, und zwar von Microsoft. Und die haben ein ganz anderes Budget als irgendein Open-source-Projekt. Das heißt nun ebenfalls nicht, daß Windows dadurch grundsätzlich sicherer wäre. Aber es ist halt nicht so einfach, wie du denkst.
tschawa schrieb:
audacia schrieb:
Die Einschränkung auf typsichere Sprachen wäre auch schon sehr hilfreich und viel einfacher umzusetzen.
Dieser Bug hat überhaupt nichts mit Typsicherheit zu tun.
Doch, hat er. Wenn OpenSSL in der CLR liefe, hätte der Programmierer nicht
memcpy()benutzen können, um ein paar Bytes aus diesem eingehenden Puffer zu kopieren. Innerhalb einer typsicheren Umgebung kannst du nicht einfach irgendwelchen Speicher lesen, der mit völlig anderen Objekten assoziiert ist. Der Puffer wäre halt einbyte[]oder so gewesen, und um die ersten n Bytes zu kopieren, hätte erbuffer.Take(n)schreiben müssen. Und wenn n zu groß ist, wirft der Code halt eine Exception.NSA loves Heartbleed schrieb:
Warum muss eigentlich immer Microsoft als Beispiel für CSS herhalten?
Relevanz. Und Microsoft war nur das nächstbeste, was mir einfiel. Bei Apple ist es sicher nicht anders.
NSA loves Heartbleed schrieb:
Ich wähle mir jetzt mal ein Software Unternehmen aus dem Iran aus.
Und dieses Softwareunternehmen aus dem Iran, schreibt das sicherheitsrelevanten Code, der auf fast allen Rechnern im Internet benutzt wird, oder wenigstens auf einer nennenswerten Zahl davon?
NSA loves Heartbleed schrieb:
Klar kann es auch mal ein US Unternehmen sein, dass mit der NSA zusammenarbeitet und sogar absichtlich Backdoors einbaut, aber das ist doch kein genereller Maßstab für CSS.
Nein, stimmt. Aber vielleicht koinzidiert der informationelle Weltherrschaftsanspruch der NSA ja auch mit der amerikanischen Dominanz im IT-Sektor? Wenn 95% der Software aus Rußland kommen würde, wäre es vielleicht der russische Geheimdienst, über den wir uns jetzt ärgern würden.
-
Die NSA, deren Hauptaufgabe es ist, widerrechtlich geheime Informationen aus aller Welt zu beschaffen, würde natürlich niemals proprietären Code stehlen. Die lesen nur Open Source!
Proprietäre Software und Sicherheit schließen sich gegenseitig aus.
Open Source Projekte leiden oft darunter, dass viele daran unkontrolliert herumbasteln und nutzlose Features einbauen wie bei Heartbleed. Das ist aber ein organisatorisches Problem, das nichts mit freier Software an sich zu tun hat. Wenn bei Microsoft jeder Mitarbeiter in jedem Projekt committen dürfte, wäre da auch ganz schnell Chaos.
-
TyRoXx schrieb:
Die NSA, deren Hauptaufgabe es ist, widerrechtlich geheime Informationen aus aller Welt zu beschaffen, würde natürlich niemals proprietären Code stehlen. Die lesen nur Open Source!
Die NSA wird überall versuchen an Daten heranzukommen.
Aber auch sie wird da am meisten Erfolg haben, wo es am einfachsten ist.Die die verbunktere Iraner Firma kommen die auch nicht rein, wenn die durchgehend überwacht wird.
Proprietäre Software und Sicherheit schließen sich gegenseitig aus.
Blödsinn.
Proprietäre Software und Vertrauenswürdigkeit aus Kundensicht schließen sich vielleicht gegenseitig aus, aber definitiv nicht Proprietäre Software und Sicherheit.
Denn, es ist möglich Software zu schreiben, die sicher ist und dennoch proprietär.Open Source Projekte leiden oft darunter, dass viele daran unkontrolliert herumbasteln und nutzlose Features einbauen wie bei Heartbleed. Das ist aber ein organisatorisches Problem, das nichts mit freier Software an sich zu tun hat.
Ähm doch, jeder kann es erweitern wie er will.
Und das war auch kein organisatorisches Problem, weil der Commiter schon viele Jahre an diesem Projekt mitgewirkt hat.
Das Problem war ein mangelnder Code Audit, insbesondere auch von den vielen Augen nach dem Commit, mit denen bei OSS immer geworben wird.
-
NSA loves Heartbleed schrieb:
Die die verbunktere Iraner Firma kommen die auch nicht rein, wenn die durchgehend überwacht wird.
Klar. So wie Stuxnet nicht in die Uran-Anreicherungsanlage in Natanz reinkam.
-
audacia schrieb:
NSA loves Heartbleed schrieb:
Die die verbunktere Iraner Firma kommen die auch nicht rein, wenn die durchgehend überwacht wird.
Klar. So wie Stuxnet nicht in die Uran-Anreicherungsanlage in Natanz reinkam.
Es macht einen Unterschied ob du eine IT fähige oder eine IT affine Firma hast.
Nukleartechnik ist Sache der Physiker, die haben nicht zwangsläufig viel Ahnung von IT.Zumal wir hier von IT Firmen sprechen, die hochsichere Sicherheitssoftware schreiben soll.
-
Übrigens, so einfach geht das mit Open Source:
Dank Quellcode konnte die NSA schon von Anfang an mithören.
Ich habe doch gesagt, dass Geheimdienste genug Manpower und Geld haben um so etwas durchzuführen.Da bringt die Offenheit von OSS nichts mehr, denn wenn ein Bug existiert, dann ist damit zu rechnen, dass ihn die NSA auch kennt.
-
NSA loves Heartbleed schrieb:
Es macht einen Unterschied ob du eine IT fähige oder eine IT affine Firma hast.
Nukleartechnik ist Sache der Physiker, die haben nicht zwangsläufig viel Ahnung von IT.Du solltest mal den Artikel lesen. Natanz war völlig abgeriegelt. Und auch bei denen werden nicht die Physiker für die IT zuständig gewesen sein. Trotzdem kann man da reinkommen, wenn man ein bißchen standortspezifische Informationen, eine Handvoll Exploits, eine Prise menschliches Fehlverhalten und ein irrsinniges Budget zusammenwirft.
Natürlich ist der Aufwand für einen Geheimdienst, an beliebigen Closed-Source-Quelltext zu kommen, sehr groß. Aber darum geht es gar nicht, weil es dich eigentlich gar nicht interessiert, ob deine iranische Firma nun sicheren Code hat oder nicht. Dich interessiert, ob die Programme sicher sind, die du benutzt. Und mit großer Wahrscheinlichkeit sitzen die Firmen, von denen deine Software geschrieben wurde, in den USA oder wenigstens in einem mit den USA assoziierten westlichen Land. Und wie schwierig ist es wohl für die NSA, dort an Quelltext zu kommen? Etwa bei Unternehmen mit vier- oder fünfstelligen Mitarbeiterzahlen, die die interne Kommunikation ihrer Server bis vor kurzem nicht verschlüsselt haben? Bei Unternehmen, die den quelloffenen Unterbau ihres Betriebssystems beim Mergen nicht ordentlich reviewen? Bei Unternehmen, deren nichtamerikanische Konkurrenten vom Staat boykottiert werden, weil die NSA dort nicht sicher sein kann, daß deren Produkte keine nichtamerikanischen Backdoors enthalten?
Wie gesagt, im Prinzip hast du Recht, und es ist eine Schande, daß so wenig Mittel in Audits quelloffener Software investiert werden. (TrueCrypt ist immer noch unauditiert.) Aber wenn man überlegt, was denn die nicht-quelloffenen Alternativen so sein könnten, schwindet der theoretische Vorteil sehr schnell dahin. (Oder würdest du BitLocker nehmen, wenn du mit unveröffentlichten Snowden-Dokumenten im Gepäck über die Grenze willst?)
-
audacia schrieb:
NSA loves Heartbleed schrieb:
Es macht einen Unterschied ob du eine IT fähige oder eine IT affine Firma hast.
Nukleartechnik ist Sache der Physiker, die haben nicht zwangsläufig viel Ahnung von IT.Du solltest mal den Artikel lesen. Natanz war völlig abgeriegelt. Und auch bei denen werden nicht die Physiker für die IT zuständig gewesen sein. Trotzdem kann man da reinkommen, wenn man ein bißchen standortspezifische Informationen, eine Handvoll Exploits, eine Prise menschliches Fehlverhalten und ein irrsinniges Budget zusammenwirft.
In einer sicherheitskritischen Firma trennt man die wichtigen Rechner vom Internet, dann geht gar nichts.
Dann brauchst du social Engeneering oder musst in das Gebäude einbrechen.
Beides ist in einem fremden und feindlichen Land wie es der Iran für die USA ist, auch für die NSA nicht einfach.Und bei Stuxnet wurden die Komponenten vom Ausland geliefert, das ist etwas völlig anderes, als wenn eine Firme ihr Bollwerk selbst programmiert.
Dich interessiert, ob die Programme sicher sind, die du benutzt. Und mit großer Wahrscheinlichkeit sitzen die Firmen, von denen deine Software geschrieben wurde, in den USA oder wenigstens in einem mit den USA assoziierten westlichen Land. Und wie schwierig ist es wohl für die NSA, dort an Quelltext zu kommen?
Auch in einer Deutschen Firma kannst du die relevanten Rechner vom Internet trennen, das Gebäude Tag und Nacht überwachen lassen, mit allerhand Sicherheitsvorkehrungen verbarrikadieren und bei der Personalauswahl sehr vorsichtig umgehen.
Etwa bei Unternehmen mit vier- oder fünfstelligen Mitarbeiterzahlen, die die interne Kommunikation ihrer Server bis vor kurzem nicht verschlüsselt haben?
Viel zu groß. Sicherheitskritische Projekte führt man in einem kleinen Team durch und Zugang kriegt nur der, der damit auch etwas zu tun hat.
Nur weil es Firmen gibt, die noch nicht ganz aufgewacht sind, bedeutet dies nicht, dass man hier sehr paranoisch das Projekt absichern kann.Wie gesagt, im Prinzip hast du Recht, und es ist eine Schande, daß so wenig Mittel in Audits quelloffener Software investiert werden. (TrueCrypt ist immer noch unauditiert.)
Danke.
Aber wenn man überlegt, was denn die nicht-quelloffenen Alternativen so sein könnten, schwindet der theoretische Vorteil sehr schnell dahin. (Oder würdest du BitLocker nehmen, wenn du mit unveröffentlichten Snowden-Dokumenten im Gepäck über die Grenze willst?)
CSS die von kleineren Firmen entwickelt werden haben auch nicht unbedingt den Bekanntheitsgrad, dass wir davon Kenntnis haben.
Nein, Bitlocker würde ich nicht nehmen, weil MS eine US Firma ist und es in den USA Gesetze wegen Nationale Sicherheit gibt, die Firmen brechen können.Ich würde aber durchaus eine europäische Sicherheitssoftware von einem seriiösen Unternehmen einsetzten, sofern es nicht gerade aus England ist.
Aber wie ich bereits vorher sagte, bei CSS ist das Problem nicht eine SIcherheitsfrage, sondern eine Vertrauensfrage.
Es kann sichere CSS geben, aber ob du der Firma vertrauen willst, dass ist eine völlig andere Geschichte.
Bei Open Source vertraust du aber auch blind, wenn du den Code nicht selbst auditest.
Dein ganzes Vertrauen wird also lediglich aus der Hoffnung genährt, dass andere, also Dritte, Lücken in OSS für dich finden. Aber dabei übersiehst du, dass Geheimdienste diese Lücke erst recht finden können und auch werden, aber diese nicht zwangsläufig melden.
Daraus folgt, dass man eigentlich annehmen muss, dass CSS vermutlich mehr Sicherheit bietet.
-
NSA loves Heartbleed schrieb:
Dein ganzes Vertrauen wird also lediglich aus der Hoffnung genährt, dass andere, also Dritte, Lücken in OSS für dich finden. Aber dabei übersiehst du, dass Geheimdienste diese Lücke erst recht finden können und auch werden, aber diese nicht zwangsläufig melden.
Daraus folgt, dass man eigentlich annehmen muss, dass CSS vermutlich mehr Sicherheit bietet.Staatlich organisierte Geheimndienste haben Möglichkeiten, die die der Hackergruppen oder krimineller Dritte um sehr viele Größenordnungen übersteigen. Denen ist es egal ob es closed oder open ist. Wenn sie die Fehler bei CSS nicht finden, besorgen sie sich zur Not den Quellcode durch Infiltration der Unternehmen oder Kauf von führenden Mitarbeitern. Wenn das Ziel wichtig genug ist, stehen bei Geheimdiensten auch genug Mittel zur Verfügung. Man muss hier definitiv unterscheiden und wird zu dem Schluss kommen, dass OSS oder CSS nicht sicherer als das andere ist.
-
Ihr redet hier von Geheimdiensten. Geheimdienste, das sind doch die mit Bestechung, Korruption, Abhören, Agenten, fiese Tricks, Mord usw. usw. und alles ... richtig, eben im geheimen, das kennt man doch aus diversen Filmen.
Also, was da hilft ist Kontrolle. Wo hat hat man die Kontrolle, richtig im Open Source. Denn da kann jeder gucken. Kontrolle hat man gewiss nicht im Closed Source, da hat man nur Versprechen. Und Versprechen sind ...
Wenn nun niemand kontrolliert, ja nun, dann gibt man eben den Geheimdiensten nen Freitfahrtsschein ... aber dann ist man wenigstens selbst schuld.
-
ScottZhang schrieb:
Also, was da hilft ist Kontrolle. Wo hat hat man die Kontrolle, richtig im Open Source. Denn da kann jeder gucken. Kontrolle hat man gewiss nicht im Closed Source, da hat man nur Versprechen. Und Versprechen sind ...
Ich bin nicht in der Lage darüber zu Urteilen ob fremder Code sicher ist oder nicht, was bringt mir da die Theoretische Möglichkeit der Kontrolle? Und wenn man sich darauf verlässt das jemand anderes kontrolliert hat man wieder den gleichen Stand wie bei CSS. Es ist eher so, dass es bei CSS wahrscheinlicher ist, das mal jemand kontrolliert hat als bei OSS.
ScottZhang schrieb:
Wenn nun niemand kontrolliert, ja nun, dann gibt man eben den Geheimdiensten nen Freitfahrtsschein ... aber dann ist man wenigstens selbst schuld.
Es bringt mir keinen Vorteil ob ich selbst oder jemand anderes Schuld ist, beides hat die gleichen Konsequenzen für mich.
floorball
-
floorball schrieb:
Ich bin nicht in der Lage darüber zu Urteilen ob fremder Code sicher ist oder nicht, was bringt mir da die Theoretische Möglichkeit der Kontrolle? Und wenn man sich darauf verlässt das jemand anderes kontrolliert hat man wieder den gleichen Stand wie bei CSS. Es ist eher so, dass es bei CSS wahrscheinlicher ist, das mal jemand kontrolliert hat als bei OSS.
Versteh ich nicht, soll das ein Argument sein? Bei CSS hast noch nichtmal die Möglichkeit. Ob das nun deine Fähigkeiten übersteigt oder nicht.
Um über die Wahrscheinlichkeiten spekulieren zu können müsste man überhaupt erstmal verlässliche Quellen darüber haben , wer wie wo und wie oft über Quellcodes schaut, sonst bringt das überhaupt nix.
Es geht darum was die Situation von vornherein zulässt und was nicht. Die Umsetzung interessiert dabei erstmal nicht. Das sollte in einem Programmier Forum wo leute Spzifikationen wälzen doch verständlich sein, oder nicht?
floorball schrieb:
Es bringt mir keinen Vorteil ob ich selbst oder jemand anderes Schuld ist, beides hat die gleichen Konsequenzen für mich.
Ok, wenn man sein Leben nicht wenigstens versucht selbstbestimmt zu führen, dann haste recht.
-
ScottZhang schrieb:
Es geht darum was die Situation von vornherein zulässt und was nicht. Die Umsetzung interessiert dabei erstmal nicht. Das sollte in einem Programmier Forum wo leute Spzifikationen wälzen doch verständlich sein, oder nicht?
Was mir die Situation erlaubt ist doch vollkommen egal. Wichtig ist was raus kommt. Ob es sich dabei um OSS oder CSS handelt ist in der Tat egal. Nur was hat das mit dem Forum zu tun
floorball schrieb:
Es bringt mir keinen Vorteil ob ich selbst oder jemand anderes Schuld ist, beides hat die gleichen Konsequenzen für mich.
Ok, wenn man sein Leben nicht wenigstens versucht selbstbestimmt zu führen, dann haste recht.
Was bringt mir der Versuch wenn er zu scheitern verurteilt ist? Ich programmiere hobbymäßig und habe nur von sehr wenig Themen ein bisschen tiefergehendes Verständnis. Zum Schluss muss ich davon ausgehen, dass wenn Fehler in Software sind, diese äußerst komplex sind. Wie soll ich die Finden??
Ob jetzt OSS oder CSS ist für mich vollkommen egal, bei beiden kann ich davon ausgehen, das sie von Leuten die sich auskennen geschrieben wurde und somit relativ sicher ist.
Außerdem bezweifle ich das du bei jedem Programm, das du benutzt den Code geprüft hast. Zum Schluss ist zwischen den Theoretischen Möglichkeiten und dem was in der Praxis passiert ein riesen unterschied.
Ich will hier auch nicht entscheiden, ob jetzt CSS oder OSS sicherer ist, das kann ich auch gar nicht. Ich finde nur ein paar Argumente von Leuten die behaupten das OSS automatisch sicherer ist als CSS merkwürdig und dahingehend wollte ich argumentieren.
Ich geb dir ja recht wenn du sagt das OSS in der Theorie die Möglichkeiten hat sicherer zu sein als CSS, dass das allerdings auch in der Praxis so ist bezeifel ich. In der Praxis denke ich sind beide gleich sicher.floorball