Vertrauen zu Linux
Alexander Weber
In der Heutigen Zeit, wo das Internet voll mit Viren, Würmern, Trojanern
etc. ist, mache ich mir Sorgen über Vertrauenswürdigkeit der Linuxprogramme.
Ich will jetzt nicht Linux oder Linuxprogramme in die Gleiche Reihe zu
den oben genannten Punkten stellen, wie MS das tut. Ich selbst nutze
seit c.a. 2 Jahren Linux privat produktiv als Desktop-Betriebssystem.
Hier ist mein Anliegen:
Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
welches kostenlos als Source zum Download bereitstellt. Man kompiliert
das Spiel. Zum Installieren muss man sich aber als Root einloggen. Es
kann keiner garantieren, dass im Spiel kein Trojaner o.ä. ist oder ein
Rootkit gleich mitinstalliert wird. Man kennt den Programmierer nicht
und weiss daher nicht, ob man diesem vertrauen kann.
Bei grösseren Projekten wie z.B. GNOME können auch schwarze Schaafe da
sein. Wie ist es sichergestellt, dass kein absichtlich schädlicher Code
in das Projekt reinwandert?
Viele Distributionen bieten automatische Updates an. Wenn ein Hacker in
den Update-Rechner einbricht, kann er manipulierte Pakete drauflegen,
die dann bei tausenden von Rechnern installiert werden. Wenn er die
Version der Programme hoch genug setzt, so werden diese nicht so schnell
durch offizielle Updates ersetzt.
Das gleiche gilt, wenn es einer schafft die Verbindnugen zu einem
Update-Server auf seinen eigenen Rechner umzuleiten.
Ich habe daher bei dem Gedanken, dass man Leuten, die man nicht kennt,
blind vertrauen muss, ein mulmiges Gefühl. Sicherlich könnte ich wieder
auf ein kommerzielles Betriebssystem umsteigen. Nur es existiert keins,
das meine Erwartungen erfüllt und dessen Hersteller ich blind vertrauen
kann.
Zur Zeit ist es noch kein oder sehr geringes Problem. Meine Meinung ist,
dass es sich in Zukunft ändern wird. Und daher interessiert es mich, ob
bereits irgendwelche Maßnahmen in die Richtung unternommen werden.
(z.B. Einstufung der Vertrauenswürdigkeit einzelner Programmierer /
Projekte / oder Internetquellen)
Ich hoffe, dass Ihr diesen Beitrag nicht negativ, sondern als
konstruktive Kritik aufnimmt bzw. als als Anregung zum Diskutieren aufnimmt.
Ich wünsche euch allen ein schönes Wochenende
Grüße, Alex
Karl-Heinz Zimmer
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man
> kompiliert das Spiel. Zum Installieren muss man sich aber als Root
> einloggen. Es kann keiner garantieren, dass im Spiel kein Trojaner
> o.ä. ist oder ein Rootkit gleich mitinstalliert wird.
Entschuldige, wenn ich das so schreibe, aber der letzte Satz ist
völliger Schwachsinn!
Du sagst: "Man kompiliert das Spiel."
Also hast Du die Sourcen!
Also kann jeder, der skeptisch ist, entweder programmieren lernen und
die Sourcen auf verborgene Schweinereien hin überprüfen, oder einem
anderen Programmierer dafür Geld bezahlen, dass es dieses tut.
Das kannstde bei closes source nicht!
Karl-Heinz
René Maroufi
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man kompiliert
> das Spiel. Zum Installieren muss man sich aber als Root einloggen. Es
> kann keiner garantieren, dass im Spiel kein Trojaner o.ä. ist oder ein
> Rootkit gleich mitinstalliert wird. Man kennt den Programmierer nicht
> und weiss daher nicht, ob man diesem vertrauen kann.
>
> Bei grösseren Projekten wie z.B. GNOME können auch schwarze Schaafe da
> sein. Wie ist es sichergestellt, dass kein absichtlich schädlicher Code
> in das Projekt reinwandert?
Die Sicherheit wird durch Open Source gewährleistet: Du kannst jederzeit den
Quelltext begutachten. Vielleicht wirst du jetzt antworten, ich ann den
Quelltext nicht verstehn, da ich nicht programmieren kann, ist man aber so
mißtrauisch, kann mn immer noch entweder programmieren lernen oder man
bezahlt jemanden, der den Quelltext begutachtet.
>
> Viele Distributionen bieten automatische Updates an. Wenn ein Hacker in
> den Update-Rechner einbricht, kann er manipulierte Pakete drauflegen,
> die dann bei tausenden von Rechnern installiert werden. Wenn er die
> Version der Programme hoch genug setzt, so werden diese nicht so schnell
> durch offizielle Updates ersetzt.
> Das gleiche gilt, wenn es einer schafft die Verbindnugen zu einem
> Update-Server auf seinen eigenen Rechner umzuleiten.
Dafür wird oftmals die md5-Prüfsumme mitangegeben. Kontrolliere diese bei
Downloads aus dem Internet einfach. Stimmt sie nicht überein, wurde das
Paket eventuell auf dem Server gehackt. Wenn sie übereinstimmt ist alles in
Ordnung.
Schönen Gruß
René
--
René Maroufi
http://www.php4scripte.de
Lars Roesch
> Hallo NG,
>
> In der Heutigen Zeit, wo das Internet voll mit Viren, Würmern, Trojanern
> etc. ist, mache ich mir Sorgen über Vertrauenswürdigkeit der
> Linuxprogramme.
>
> Ich will jetzt nicht Linux oder Linuxprogramme in die Gleiche Reihe zu
> den oben genannten Punkten stellen, wie MS das tut. Ich selbst nutze
> seit c.a. 2 Jahren Linux privat produktiv als Desktop-Betriebssystem.
>
> Hier ist mein Anliegen:
>
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man kompiliert
> das Spiel. Zum Installieren muss man sich aber als Root einloggen. Es
> kann keiner garantieren, dass im Spiel kein Trojaner o.ä. ist oder ein
> Rootkit gleich mitinstalliert wird. Man kennt den Programmierer nicht
> und weiss daher nicht, ob man diesem vertrauen kann.
>
> Bei grösseren Projekten wie z.B. GNOME können auch schwarze Schaafe da
> sein. Wie ist es sichergestellt, dass kein absichtlich schädlicher Code
> in das Projekt reinwandert?
Kann man nicht, aber die wahrscheinlichkeit ist sicherlich geringer,
weil _andere_ Programmierer den Quellcode nachprüfen können. Anderst wie
bei Closed Source Betriebsystemen/Programmen. Dies gibt sicherlich auch
keine 100% Garantie, das mit dem Code alles in Ordnung geht aber die
wahrscheinlicher das gefährlicher Code verbreitet wird, ist deutlich
geringer.
> Viele Distributionen bieten automatische Updates an. Wenn ein Hacker in
> den Update-Rechner einbricht, kann er manipulierte Pakete drauflegen,
> die dann bei tausenden von Rechnern installiert werden. Wenn er die
> Version der Programme hoch genug setzt, so werden diese nicht so schnell
> durch offizielle Updates ersetzt.
> Das gleiche gilt, wenn es einer schafft die Verbindnugen zu einem
> Update-Server auf seinen eigenen Rechner umzuleiten.
Ja, genauso wie bei allen anderen automatischen update Systemen. Ist
also kein problem von Linux/Windows oder sonst einem Betriebsystem. Ob
es Microsoftpatches sind, oder updates von einem Linuxdistributor. Jeder
Rechner der am Internet ist, kann mit genügent hohem aufwand gehackt
werde, oder in anderer Weise die Verbindung manipuiert werden.
> Ich habe daher bei dem Gedanken, dass man Leuten, die man nicht kennt,
> blind vertrauen muss, ein mulmiges Gefühl. Sicherlich könnte ich wieder
> auf ein kommerzielles Betriebssystem umsteigen. Nur es existiert keins,
> das meine Erwartungen erfüllt und dessen Hersteller ich blind vertrauen
> kann.
>
> Zur Zeit ist es noch kein oder sehr geringes Problem. Meine Meinung ist,
> dass es sich in Zukunft ändern wird. Und daher interessiert es mich, ob
> bereits irgendwelche Maßnahmen in die Richtung unternommen werden.
> (z.B. Einstufung der Vertrauenswürdigkeit einzelner Programmierer /
> Projekte / oder Internetquellen)
Wenn du so denkst kannst du keinem Vertrauen. Auch die Einstufung von
"seriösen" Quellen/Programmierer etc. kann nicht absolut
vertrauenswürdig sein, weil diese Einstufung im Prinzip auch
unterwandert werden kann.
Gruss
Lars
--
Sei vorsichtig, was für eine Zukunft Du Dir wünschst,
denn Du weisst nie,
ob darin ein Platz für Dich vorhanden ist.
Lars Roesch
> Alexander Weber wrote:
>
>
>>Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
>>welches kostenlos als Source zum Download bereitstellt. Man kompiliert
>>das Spiel. Zum Installieren muss man sich aber als Root einloggen. Es
>>kann keiner garantieren, dass im Spiel kein Trojaner o.ä. ist oder ein
>>Rootkit gleich mitinstalliert wird. Man kennt den Programmierer nicht
>>und weiss daher nicht, ob man diesem vertrauen kann.
>>
>>Bei grösseren Projekten wie z.B. GNOME können auch schwarze Schaafe da
>>sein. Wie ist es sichergestellt, dass kein absichtlich schädlicher Code
>>in das Projekt reinwandert?
>
>
> Die Sicherheit wird durch Open Source gewährleistet: Du kannst jederzeit den
> Quelltext begutachten. Vielleicht wirst du jetzt antworten, ich ann den
> Quelltext nicht verstehn, da ich nicht programmieren kann, ist man aber so
> mißtrauisch, kann mn immer noch entweder programmieren lernen oder man
> bezahlt jemanden, der den Quelltext begutachtet.
Dazu muss man ihm aber auch vertrauen.
>>Viele Distributionen bieten automatische Updates an. Wenn ein Hacker in
>>den Update-Rechner einbricht, kann er manipulierte Pakete drauflegen,
>>die dann bei tausenden von Rechnern installiert werden. Wenn er die
>>Version der Programme hoch genug setzt, so werden diese nicht so schnell
>>durch offizielle Updates ersetzt.
>>Das gleiche gilt, wenn es einer schafft die Verbindnugen zu einem
>>Update-Server auf seinen eigenen Rechner umzuleiten.
>
>
> Dafür wird oftmals die md5-Prüfsumme mitangegeben. Kontrolliere diese bei
> Downloads aus dem Internet einfach. Stimmt sie nicht überein, wurde das
> Paket eventuell auf dem Server gehackt. Wenn sie übereinstimmt ist alles in
> Ordnung.
Die Prüfsumme kann auch 'nachgebessert' werden.
Florian Weingarten
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man kompiliert
Wenn das Spiel als Source verfuegbar ist, steht es jedem frei, sich den
Source anzugucken und nach Viren zu suchen. Das musst nicht DU tun, aber du
kannst oft davon ausgehen, dass wenn es wirklich Viren enthalten wuerde, das
schon jemand gesehen haette. Vorallem bei Software die in Form von Binary
Packages von deinem Distributor kommt kannst du davon ausgehen, dass sie
"sauber" ist, weil sie vorher von mehreren Leuten getestet wurde.
Und man muss auch nicht alles als root installieren. Man kann auch den
Prefix der Installation (der meistens /usr/local/ ist) aendern und es dann
an eine Stelle installieren an die der User Schreibrechte hat, dann den Pfad
dahin setzen und dann sollte das ebenfalls funktionieren.
> Ich habe daher bei dem Gedanken, dass man Leuten, die man nicht kennt,
> blind vertrauen muss, ein mulmiges Gefühl. Sicherlich könnte ich wieder
> auf ein kommerzielles Betriebssystem umsteigen. Nur es existiert keins,
Wer garantiert dir, dass bei kommerziellen Betriebsystemen nicht die selbe
Gefahr (bzw. eine noch viel groessere) da ist?
--
Florian Weingarten <f...@go.cc>, IRCnet: fw, Web: http://hackvalue.de/~flo/
(E-Mails mit HTML Content oder ohne Realname werden ungelesen geloescht)
PGP Public Key URL: http://srv.mordeth.de/~flo/pub.asc, Key ID: 65C91285
Andreas Cammin
> Entschuldige, wenn ich das so schreibe, aber der letzte Satz ist
> völliger Schwachsinn!
>
> Du sagst: "Man kompiliert das Spiel."
>
> Also hast Du die Sourcen!
>
> Also kann jeder, der skeptisch ist, entweder programmieren lernen und
> die Sourcen auf verborgene Schweinereien hin überprüfen, oder einem
> anderen Programmierer dafür Geld bezahlen, dass es dieses tut.
Das ist IMHO noch nicht mal nötig. Da sich bei OSS eh viele verschiedene
fähige Programmierer mit anderer Leute Code befassen, dürfte die
Wahrscheinlichkeit, dass schädlicher Code schnell als solcher erkannt wird,
nahe bei 100% liegen. Paranoiker brauchen eigentlich nur auf die
Authentizität der Quellen achten.
Andreas
--
Und seitdem das Vorhandensein von Positionslichtern am Notebook
bei mir zu den strikten Kaufvorschriften gehört, habe ich auch kein
Notebook mehr zertreten (Roland Mösl in de.alt.fan.aldi)
Andreas Janssen
Andreas Cammin (<andreas...@freenet.de>) wrote:
> Karl-Heinz Zimmer wrote:
>
>> Entschuldige, wenn ich das so schreibe, aber der letzte Satz ist
>> völliger Schwachsinn!
>>
>> Du sagst: "Man kompiliert das Spiel."
>>
>> Also hast Du die Sourcen!
>>
>> Also kann jeder, der skeptisch ist, entweder programmieren lernen und
>> die Sourcen auf verborgene Schweinereien hin überprüfen, oder einem
>> anderen Programmierer dafür Geld bezahlen, dass es dieses tut.
>
> Das ist IMHO noch nicht mal nötig. Da sich bei OSS eh viele
> verschiedene fähige Programmierer mit anderer Leute Code befassen,
> dürfte die Wahrscheinlichkeit, dass schädlicher Code schnell als
> solcher erkannt wird, nahe bei 100% liegen. Paranoiker brauchen
> eigentlich nur auf die Authentizität der Quellen achten.
Auch offizielle Server können genkackt werden, und der Quellcode von
offiziellen Quellen kann Trojaner enthalten. Eine zusätzliche
Überprüfung PGP-Signaturen, md5sums oder ähnlichem wäre also schon
ratsam.
Beispiele sind Openssh, irssi und der GNU ftp Server:
http://www.heise.de/newsticker/data/pab-01.08.02-000/default.shtml
http://www.heise.de/newsticker/data/pab-27.05.02-000/default.shtml
http://www.heise.de/newsticker/data/ju-13.08.03-001/default.shtml
Grüße
Andreas Janssen
--
Andreas Janssen
andreas...@bigfoot.com
PGP-Key-ID: 0xDC801674
Registered Linux User #267976
Ralf Ramge
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man kompiliert
> das Spiel. Zum Installieren muss man sich aber als Root einloggen. Es
> kann keiner garantieren, dass im Spiel kein Trojaner o.ä. ist oder ein
> Rootkit gleich mitinstalliert wird. Man kennt den Programmierer nicht
> und weiss daher nicht, ob man diesem vertrauen kann.
Richtig. Das ist ein generelles Problem, unabhängig vom jeweiligen
Betriebssystem. Siehe zum Beispiel Produkte wie "Diablo II", bei welchen
man in Kauf nehmen muß, daß der Hersteller ohne weitere Nachfrage Daten
sammelt, sobald man online geht. Oder Produkte wie Divx, welche mal
nebenbei Spyware installieren, bei welcher noch nicht ausgeschlossen
werden konnte, daß sogar die Daten weitergeleitet werden, welche man
in Webformulare eingibt. Oder Windows XP, welches im Anschluß an den
Bootvorgang bereits eine Verbindung mit Microsoft aufbaut. Bei einem
kommerziellen closed source Produkt unter Linux hast Du das gleiche
Problem.
Nun kannst Du Dir natürlich die Frage stellen, wer vertrauenswürdiger
ist: Einige Programmierer, welche mit ihrem Namen und somit auch mit
ihrer Reputation für ein Produkt stehen und sich bereiterklären, den
Quellcode für jedermann überprüfbar frei zugänglich zu machen - oder
anonymen Angestellten einer Firma, die auf Beschwerden primär über
hauseigene Anwälte reagiert und jegliche Form von Produkthaftung
pauschal ausschließt. von den beiden Geschäftsmodellen erscheint mir
ersteres definitiv als vertrauenswürdiger.
Nun stellt sich natürlich die Frage, ob man überhaupt jemandem vertrauen
darf. Hier gibt es dann aber nur wenige Möglichkeiten für mich, auf
Software zu reagieren. a) Ich gebe eine Software in Auftrag und der
Hersteller ist vertraglich an die Korrektheit gebunden, ansonsten
Haftung. b) Ich installiere nichts, was ich nicht selbst genauestens
überprüft habe oder durch eine vertrauenswürdige Person habe überprüfen
lassen. c) Ich installiere die Software eben *nicht* als root, sondern
führe stattdessen erstmal eine Testinstallation in mein Home-Verzeichnis
durch, oder auf einem Testsystem und schaue sie mir ganz genau an, bevor ich
sie in Produktion gehen lasse. Möglichkeit a ist unbezahlbar, Möglichkeit b
sowieso nur bei open source durchführbar und Version c) bei einem gewissen
weit verbreiteten OS nur eingeschränkt durchführbar.
Du hast bei open source die Möglichkeit, selbst beurteilen zu können und
auch im Detail herauszufinden, was die Software denn wirklich tut. Bei
closed source fällt diese Möglichkeit weg und Du bist zu 100% auf das
nicht vorhandene Vertrauen angewiesen.
> Bei grösseren Projekten wie z.B. GNOME können auch schwarze Schaafe da
> sein. Wie ist es sichergestellt, dass kein absichtlich schädlicher Code
> in das Projekt reinwandert?
Indem nicht Hinz und Kunz einfach Code einbringen können. Du kannst zwar
Code einreichen und um Integration in das Projekt bitten, aber das wird
vorher von einem Maintainer geprüft und abgesegnet. Als letzte Instanz
kommt in der Regel auch eine umfangreiche Testphase in Form einer Betaversion.
Bis diese dann mal als stable oder Releaseversion gilt, wurde die schon von
unzähligen Endanwendern abgeklopft. Im Gegensatz zu closed source, wo es
gang und gäbe ist, daß das Produkt erstmal "beim Kunden reift".
> Viele Distributionen bieten automatische Updates an. Wenn ein Hacker in
> den Update-Rechner einbricht, kann er manipulierte Pakete drauflegen,
> die dann bei tausenden von Rechnern installiert werden. Wenn er die
> Version der Programme hoch genug setzt, so werden diese nicht so schnell
> durch offizielle Updates ersetzt.
> Das gleiche gilt, wenn es einer schafft die Verbindnugen zu einem
> Update-Server auf seinen eigenen Rechner umzuleiten.
Vollkommen richtig. Einer der wichtigsten Gründe, zum Beispiel Microsofts
windowsupdate.com nicht zu benutzen. Konsequenterweise installiert man auch
unter Linux dann am besten alles selbst. Und spielt auch unabhängig vom
Betriebssystem keine voll dokumentierten Patches mit nachprüfbar offengelegtem
Quellcode in Form von Binaries, also auch keine "Security Updates" und
"Service Packs" aus Redmond, wobei dies natürlich ein krasses Beispiel ist,
da hier oftmals nebenbei noch Schindluder getrieben wurde und wird.
Allerdings muß man sich dann auch die Frage gefallen lassen, weshalb man
einem Update eines Herstellers nicht vertraut, wo man doch schon das komplette
OS dieses Herstellers gekauft und installiert hat. Fehlt dieses Vertrauen,
ist man in der Situation, ein komplettes Betriebssystem eigenhändig auf
die Beine stellen zu müssen. Und auch das ist nur bei Open source möglich.
> Ich habe daher bei dem Gedanken, dass man Leuten, die man nicht kennt,
> blind vertrauen muss, ein mulmiges Gefühl. Sicherlich könnte ich wieder
> auf ein kommerzielles Betriebssystem umsteigen. Nur es existiert keins,
> das meine Erwartungen erfüllt und dessen Hersteller ich blind vertrauen
> kann.
Dann mach ein Linux from Scratch. Wenn Du den Programmierern des Kernels
nicht traust, hast du keine andere Wahl, als entweder auf Computer generell
zu verzichten (konsequenterweise bis runter zur Software von Auto & Co)
oder Dir Deinen eigenen Kernel zu schreiben. Wobei es natürlich wieder
auf die originale Prämisse hinausläuft: Wer ist spontan vertrauenswürdiger,
der Programmierer, welcher Dir aus Eigeninitiative seinen Source zur
Überprüfung anbietet oder jener, welcher sich beharrlich weigert, Dir
Einblick zu geben?
> Zur Zeit ist es noch kein oder sehr geringes Problem. Meine Meinung ist,
> dass es sich in Zukunft ändern wird. Und daher interessiert es mich, ob
> bereits irgendwelche Maßnahmen in die Richtung unternommen werden.
> (z.B. Einstufung der Vertrauenswürdigkeit einzelner Programmierer /
> Projekte / oder Internetquellen)
Wie gesagt, im Open Source Bereich wird diese Vertrauenswürdigkeit
projektintern geregelt, indem der Programmierer bzw. das Team jeden
eingebrachten source prüft und dann auch bereitwillig mit der eigenen
Person dafür gradesteht.
> Ich hoffe, dass Ihr diesen Beitrag nicht negativ, sondern als
> konstruktive Kritik aufnimmt bzw. als als Anregung zum Diskutieren aufnimmt.
Naja, viel zu diskutieren gibt es hierbei ja nicht, denn eigentlich ist
die Sachlage ja völlig klar. Nicht umsonst indoktriniert Microsoft mittlerweile
ja die eigene Kundschaft heftigst, um sie vom Gegenteil dessen zu
überzeugen, was ihnen der gesunde Menschenverstand bislang mitteilte.
cu,
Ralf
Hilmar Preuße
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man
> kompiliert das Spiel. Zum Installieren muss man sich aber als Root
> einloggen.
>
Trojaner in make?
> Es kann keiner garantieren, dass im Spiel kein Trojaner o.ä. ist
> oder ein Rootkit gleich mitinstalliert wird.
>
Die Ausgaben von make kann man sich ja anschauen. Wer paranoid ist,
gibt als Normaluser "make install DESTDIR" and und schaut, was das
Makefile tut. Anschließend das Spiel als Sandbox-User starten.
> Bei grösseren Projekten wie z.B. GNOME können auch schwarze Schaafe
> da sein. Wie ist es sichergestellt, dass kein absichtlich
> schädlicher Code in das Projekt reinwandert?
>
man gegenseitige Überwachung?
> Viele Distributionen bieten automatische Updates an. Wenn ein
> Hacker in den Update-Rechner einbricht, kann er manipulierte Pakete
> drauflegen, die dann bei tausenden von Rechnern installiert werden.
> Wenn er die Version der Programme hoch genug setzt, so werden diese
> nicht so schnell durch offizielle Updates ersetzt.
>
Ja, na das ist ein Frage, wie gut die Server abgesichert werden. Bei
Debian müßte er noch MD5-Summen und/oder PGP-Keys fälschen. Hat aber
nichts mit Linux als OS zu tun.
> Das gleiche gilt, wenn es einer schafft die Verbindnugen zu einem
> Update-Server auf seinen eigenen Rechner umzuleiten.
>
Wenn ich denke, daß ich mir die neuesten Sicherheitsupdates bei M$
herunterlade.....
> Ich habe daher bei dem Gedanken, dass man Leuten, die man nicht
> kennt, blind vertrauen muss, ein mulmiges Gefühl. Sicherlich könnte
> ich wieder auf ein kommerzielles Betriebssystem umsteigen.
>
Kennst Du die Entwickler bei M$?
H.
--
"Korrekt, Freundlich, Kostenfrei", wähle genau zwei.
(Lutz Donnerhacke)
Jens Kubieziel
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man
> kompiliert das Spiel. Zum Installieren muss man sich aber als Root
> einloggen. Es kann keiner garantieren, dass im Spiel kein Trojaner
Das musst du nicht unbedingt. Du kannst die Software in vielen Fällen
auch als User installieren und benötigst keine Root-Rechte.
> o.ä. ist oder ein Rootkit gleich mitinstalliert wird. Man kennt den
> Programmierer nicht und weiss daher nicht, ob man diesem vertrauen
> kann.
Dafür ist es Open Source, d.h. sehr viele Leute werden sich den
Quellcode anschauen und beurteilen. Wenn sie etwas finden, was ihnen
"komisch" vorkommt, werden sie das auch publizieren. Keine Sorge, sowas
passiert i.d.R. sehr schnell. Es sei denn, es ist ein kleines Projekt,
dem ohnehin keiner Beachtung schenkt ...
> Viele Distributionen bieten automatische Updates an. Wenn ein Hacker
> in den Update-Rechner einbricht, kann er manipulierte Pakete
> drauflegen, die dann bei tausenden von Rechnern installiert werden.
Dies unterscheidet sich nicht von anderen Updates. Auch hier gibt es
dieselbe Möglichkeit. Man versucht durch MD5-Summen das Problem in den
Griff zu bekommen und in der Vergangenheit wurden auf diese Weise auch
schon falsche Pakete entdeckt.
> Ich habe daher bei dem Gedanken, dass man Leuten, die man nicht kennt,
> blind vertrauen muss, ein mulmiges Gefühl. Sicherlich könnte ich
> wieder auf ein kommerzielles Betriebssystem umsteigen. Nur es
> existiert keins, das meine Erwartungen erfüllt und dessen Hersteller
> ich blind vertrauen kann.
Du hast immer noch die Möglichkeit, dir einen externen Dienstleister zu
engagieren, der dir für Geld den Code auf Probleme durchschaut. Damit
dürftest du dann letzte Zweifel beseitigen.
--
Jens Kubieziel http://www.kubieziel.de
FdI#153: höflich
Abwesenheit von absichtlichen Beleidigungen.
Lars Marowsky-Brée (la...@marowsky-bree.de)
Matthias Sprünglin
Muss man nicht, wenn man dem Programmierer nicht traut. Compiliere einfach
mit Praefix /home/werauchimmer/ und installiere das Spiel im User Mode.
Gruss
--
Matts Sprünglin
Karl-Heinz Zimmer
> Karl-Heinz Zimmer wrote:
>
>> Entschuldige, wenn ich das so schreibe, aber der letzte Satz ist
>> völliger Schwachsinn!
>>
>> Du sagst: "Man kompiliert das Spiel."
>>
>> Also hast Du die Sourcen!
>>
>> Also kann jeder, der skeptisch ist, entweder programmieren lernen und
>> die Sourcen auf verborgene Schweinereien hin überprüfen, oder einem
>> anderen Programmierer dafür Geld bezahlen, dass es dieses tut.
>
> Das ist IMHO noch nicht mal nötig.
Damit hast Du zwar Recht, allerdings schrieb ich obiges, um meine
Behauptung, Christians Aussage sei völliger Schwachsinn, zu stützen:
so etwas behauptet man ja nicht leichtfertig.
Er schrieb ja:
| Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
| welches kostenlos als Source zum Download bereitstellt. Man
| kompiliert das Spiel. Zum Installieren muss man sich aber als Root
| einloggen. Es kann keiner garantieren, dass im Spiel kein Trojaner
| o.ä. ist oder ein Rootkit gleich mitinstalliert wird.
Wenn Du diesen Absatz langsam liest, siehst Du, dass der letzte Satz
völliger Schwachsinn ist - und darum ging es mir, denn mir kommt
aufgrund dieser schwachsinnigen Aussage "Es kann keiner garantieren"
der Verdacht, dass Christian uns hier bloss ein wenig aufmischen
wollte - denn so dämlich kann er ja wohl kaum sein, wie er da tut!
Karl-Heinz
René Maroufi
schau dir doch mal OpenBSD an, ich denke das dürfte deinen
Sicherheitsbedürfnis näher kommen als wie Linux:
Kim Huebel
> Die Prüfsumme kann auch 'nachgebessert' werden.
Die Prüfsumme wird idR. in einer PGP oder GPG-signierten Form
bereitgestellt, was wiederum heisst: wenn man den public-Key des
Signierers kennt, sollte es kein Problem sein, die Authentizität der
Signatur und somit der md5checksumme zu überprüfen.
regards, Kim
--
A.:"Sag mal, haben Zitronen kleine gelbe Füße?"
B.:"Nein - warum?"
A.:"Mißt, dann habe ich gerade den Kanarienvogel in den Tee gedrückt!"
Alexander Weber
(auch für "Sie sind überall", den ich als persönlch angreifend ansehe)
Ich habe es erwartet, als paranoid hingestellt zu werden.
Ich halte Linux für das bessere Betriebssystem und möchte, dass es auch
so bleibt. Daher war meine Frage, ob es in dieser Richtung was passiert.
Dass die Open Source vertrauenswürdiger ist als Closed Software ist mir
klar. Ich wusste halt nicht warum. Diese Frage wurde aber auch gut
beantwortet.
Das andere Problem mit den Updates, welches ein generelles Problem ist.
Sicher, es ist nicht Betriebssystemabhängig. Mein Gedanke war, dass
Linux hierbei vom anfang an auf die Problematik eingeht uns dich damit
von anderen Betriebssystemen abhebt. Hier habt Ihr mich aber auch
überzeugt, dass Linux gegen das Problem auch schon ziemlich gut
gewappnet ist.
Ihr habt mich also überzeugt, dass Linux ein sicheres System ist.
Was in der Zukunft passieren wird, war meine Sorge, dass Linux bzw.
Linuxanwendugen sich auf die gleiche Ebene der mangelnden Sicherheit
begeben werden, wenn durch die Verbreitung von Linux mehr Angriffe in
die Richtung gehen.
Auf diese Fragestellung wurde zwar kaum eingegangen, aber ich bin mir
sicher, dass da andere kluge Köpfe sich gedanken machen werden, wenn es
soweit ist.
Irgendwie komme ich mir vor, wie ein kleiner Junge, der versucht hat mit
Erwachsenen zu diskutieren.
Naja, man blamiert sich nicht jeden Tag.
Ich hol mir einen Lolly.
Grüße,
Alex
Andreas Kneib
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man
> kompiliert das Spiel. Zum Installieren muss man sich aber als Root
> einloggen.
[andreas]~ > which {mutt,links,opera,3ddesk}
/home/andreas/.own/bin/mutt
/home/andreas/.own/bin/links
/home/andreas/.own/bin/opera
/home/andreas/.own/bin/3ddesk
etcppp.
> Es kann keiner garantieren, dass im Spiel kein Trojaner
> o.ä. ist oder ein Rootkit gleich mitinstalliert wird. Man kennt den
> Programmierer nicht und weiss daher nicht, ob man diesem vertrauen
> kann.
Du hast den Quelltext. ;)
Bye,
Andreas
--
"Mit Befremden sehe ich, wie Leute, die Windows einsetzen,
täglich abstürzen, sich Viren einfangen oder ihr System
neu installieren müssen." Gefunden bei heise.de/newsticker
Karl-Heinz Zimmer
> Dass die Open Source vertrauenswürdiger ist als Closed Software ist
> mir klar. Ich wusste halt nicht warum.
OK, dann mal Butter bei de Fische, ehrliche Frage:
Weisst Du, was passiert, wenn Du ein Programmpaket auspackst und per
./configure
make
su -c "make install"
installiert - oder weisst Du das nicht?
Anders gefragt: Weisst Du, was man unter dem Begriff 'kompilieren'
versteht, oder weisst Du lediglich, dass man dies mal tun muss,
damit das Programm anschliessend gestartet werden kann?
Karl-Heinz
--
Karl-Heinz Zimmer, Senior Software Engineer, Klarälvdalens Datakonsult AB
<mailto:k...@klaralvdalens-datakonsult.se> <mailto:k...@kde.org>
"For every complex problem there is an
answer that is clear, simple, and wrong." H. L. Mencken, 1880 - 1956
Alexander Weber
> On Freitag, 31. Oktober 2003 15:08 Alexander Weber wrote:
>
>
>>Dass die Open Source vertrauenswürdiger ist als Closed Software ist
>>mir klar. Ich wusste halt nicht warum.
>
>
> OK, dann mal Butter bei de Fische, ehrliche Frage:
>
> Weisst Du, was passiert, wenn Du ein Programmpaket auspackst und per
>
> ./configure
> make
> su -c "make install"
>
> installiert - oder weisst Du das nicht?
>
> Anders gefragt: Weisst Du, was man unter dem Begriff 'kompilieren'
> versteht, oder weisst Du lediglich, dass man dies mal tun muss,
> damit das Programm anschliessend gestartet werden kann?
>
> Karl-Heinz
Was kompilieren bedeutet weiss ich. Bin selbst programmierer.
Die Funktionsweise von make kenne ich nicht, habe mir aber vorgenommen
dies irgendwann nachzuholen.
Dass man den Quellcode überprüfen kann war mir klar. Was nicht klar war,
ob und in welchem Umfang dies auch gemacht wird.
Alex
Karl-Heinz Zimmer
> Karl-Heinz Zimmer schrieb:
>
>> Weisst Du, was passiert, wenn Du ein Programmpaket auspackst und per
>>
>> ./configure
>> make
>> su -c "make install"
>>
>> installiert - oder weisst Du das nicht?
>>
>> Anders gefragt: Weisst Du, was man unter dem Begriff 'kompilieren'
>> versteht(...)?
> Was kompilieren bedeutet weiss ich. Bin selbst programmierer.
> Die Funktionsweise von make kenne ich nicht, habe mir aber vorgenommen
> dies irgendwann nachzuholen.
>
> Dass man den Quellcode überprüfen kann war mir klar.
Ja, Mensch, um Himmelswillen, wenn Dir das klar war, wie /konntest/ Du
denn bloss zu einer solchen Aussage gelangen (hervorhebung von mir):
"Es kann keiner garantieren, dass im Spiel kein Trojaner
^^^^^^^^^^^
o.ä. ist oder ein Rootkit gleich mitinstalliert wird."
Wieso bloss, warum nur?
Ich hielt Dich deswegen bereits für einen Troll. <gg>
Bernd Mayer
>
> Hier ist mein Anliegen:
>
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man kompiliert
> das Spiel. Zum Installieren muss man sich aber als Root einloggen. Es
> kann keiner garantieren, dass im Spiel kein Trojaner o.ä. ist oder ein
> Rootkit gleich mitinstalliert wird. Man kennt den Programmierer nicht
> und weiss daher nicht, ob man diesem vertrauen kann.
Achtung: Deine Spielstände sind in in Gefahr, die sind für Trojaner ja
bekanntlich hochinteressant. Spielspionage ist in der heutigen Zeit ein
ernstes Problem das gerne unterschätzt wird.
Die Konkurrenz schläft nicht!
Bernd Mayer
--
Monopole haben nicht nur Vorteile
Alexander Weber
> On Freitag, 31. Oktober 2003 15:50 Alexander Weber wrote:
>
>
>>Karl-Heinz Zimmer schrieb:
>>
>>
>>>Weisst Du, was passiert, wenn Du ein Programmpaket auspackst und per
>>>
>>> ./configure
>>> make
>>> su -c "make install"
>>>
>>>installiert - oder weisst Du das nicht?
>>>
>>>Anders gefragt: Weisst Du, was man unter dem Begriff 'kompilieren'
>>>versteht(...)?
>
>
>>Was kompilieren bedeutet weiss ich. Bin selbst programmierer.
>>Die Funktionsweise von make kenne ich nicht, habe mir aber vorgenommen
>>dies irgendwann nachzuholen.
>>
>>Dass man den Quellcode überprüfen kann war mir klar.
>
>
> Ja, Mensch, um Himmelswillen, wenn Dir das klar war, wie /konntest/ Du
> denn bloss zu einer solchen Aussage gelangen (hervorhebung von mir):
>
> "Es kann keiner garantieren, dass im Spiel kein Trojaner
> ^^^^^^^^^^^
> o.ä. ist oder ein Rootkit gleich mitinstalliert wird."
>
> Wieso bloss, warum nur?
> Ich hielt Dich deswegen bereits für einen Troll. <gg>
>
> Karl-Heinz
War ein Ausdrucksfehler. Gemeint war natürlich, dass es keine Garantie
dafür gibt.
Aber wie ich jetzt erfahren habe, ist diese nahezu bei 100%
Alex
Andreas Cammin
>> Das ist IMHO noch nicht mal nötig. Da sich bei OSS eh viele
>> verschiedene fähige Programmierer mit anderer Leute Code befassen,
>> dürfte die Wahrscheinlichkeit, dass schädlicher Code schnell als
>> solcher erkannt wird, nahe bei 100% liegen. Paranoiker brauchen
>> eigentlich nur auf die Authentizität der Quellen achten.
>
> Auch offizielle Server können genkackt werden, und der Quellcode von
> offiziellen Quellen kann Trojaner enthalten. Eine zusätzliche
> Überprüfung PGP-Signaturen, md5sums oder ähnlichem wäre also schon
> ratsam.
Völlig richtig - das hab ich aber mit "Authentizität der Quelle" bereits
impliziert. Schön dass wir uns einig sind :-)
Andreas
--
Frauen sind einfach - Hauptstädte sind schwieriger.
(Bart Simpson)
Karl-Heinz Zimmer
Auch dies ist, mit Verlaub gesagt, _völliger_ Schwachsinn!
Wenn Du wirklich Programmierer bist, warum schreibst Du dann solchen Käse?
Stellst Du Dich vielleicht absichtlich dumm?
Wenn jemand sagt "Sieh' hier, dies habe ich programmiert, falls es
Dir gefällt, installiere es - hier sind die Sourcen!" was willst Du
dann noch?? Sieh' in die Sourcen hinein, prüfe von mir aus jede Zeile,
- falls Du so paranoid bist, installiere _keinen_ Code, den Du nicht
gelesen und völlig kapiert hast, dann kannst Du Dir selber eine 100%
Garantie ausstellen, dass Du nix mit Hintertüren drinne installiert
hast.
Wieso schwafelst Du neuerdings etwas von "nahezu 100%" - was ja nicht
weiter bedeutet als "keine vollständige Garantie"?
Matthias Wieser
> Hier ist mein Anliegen:
>
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man kompiliert
> das Spiel.
OK
> Zum Installieren muss man sich aber als Root einloggen.
Ja, aber man muss nicht "make install" ablaufen (und sich überraschen)
lassen, sondern kann das Makefile überprüfen oder das Programm manuell
in eines der bin/ Verzeichnisse kopieren (oder ganz woanders hin).
> Es
> kann keiner garantieren, dass im Spiel kein Trojaner o.ä. ist oder ein
> Rootkit gleich mitinstalliert wird.
Doch. Viele Programme müssen nicht installiert werden da sie schon im
Compilierungsverzeichnis laufen, oder man installiert sie wie oben
beschrieben.
Dann startet man das Programm einfach unter einer anderen Benutzerkennung
und kann damit, wenn man keine lokalen Sicherheitslücken hat, Gefahren
vermeiden.
(Falls Du Suse verwendest, musst Du nur "sux - irgendein_testuser"
eingeben und kannst dann X-Window Programme unter diesem Account
starten.
> Man kennt den Programmierer nicht
> und weiss daher nicht, ob man diesem vertrauen kann.
Tu einfach so, wie wenn Du ihm nicht vertrauen würdest.
> Bei grösseren Projekten wie z.B. GNOME können auch schwarze Schaafe da
> sein. Wie ist es sichergestellt, dass kein absichtlich schädlicher Code
> in das Projekt reinwandert?
Das ist garnicht sichergestellt. Man braucht sich nur ein bischen bei den
Projekten einschleimen und bekammt dann meist einen CVS Account.
> Viele Distributionen bieten automatische Updates an. Wenn ein Hacker in
> den Update-Rechner einbricht,
Kann passieren.
> kann er manipulierte Pakete drauflegen,
> die dann bei tausenden von Rechnern installiert werden.
Kann nicht passieren, da Update-Dateien bei ernstzunehmenden Firmen immer
signiert sind und nur bei korrekter Signatur installiert werden. Der
Signaturschlüssel liegt natürlich nicht auf dem Updateserver.
> Das gleiche gilt, wenn es einer schafft die Verbindnugen zu einem
> Update-Server auf seinen eigenen Rechner umzuleiten.
Auch da kann er die Pakete (inkl. Datum) nicht signieren.
> Ich habe daher bei dem Gedanken, dass man Leuten, die man nicht kennt,
> blind vertrauen muss, ein mulmiges Gefühl.
Du musst niemandem blind vertrauen.
> Sicherlich könnte ich wieder
> auf ein kommerzielles Betriebssystem umsteigen. Nur es existiert keins,
> das meine Erwartungen erfüllt und dessen Hersteller ich blind vertrauen
> kann.
Mach dich mit restriktiven Benutzerrechten und dem Updatemechanismus
deiner Distribution vertraut.
> Zur Zeit ist es noch kein oder sehr geringes Problem. Meine Meinung
> ist, dass es sich in Zukunft ändern wird.
Das wird sich sicher ändern, das Problem sehe ich aber eher an der laxen
Updatefeudigkeit mancher Linuxuser (wozu Sicherheitsupdates - Viren gibt
es doch eh nicht...).
Matthias
Matthias Wieser
> Es kann keiner garantieren, dass im Spiel kein Trojaner
>> o.ä. ist oder ein Rootkit gleich mitinstalliert wird. Man kennt den
>> Programmierer nicht und weiss daher nicht, ob man diesem vertrauen
>> kann.
>
> Du hast den Quelltext. ;)
Viele Leute können keine Quelltexte lesen oder gar getarnte
Funktionalität darin erkennen.
Daß jeweils verschiedene Sicherheitsspezialisten alle neuen Programme,
Spiele, Desktoperweiterungen,... überprüfen, halte ich auch
ausgeschlossen.
Der Quellcode bringt einem als Nicht-Programmierer dann herzlich wenig.
Matthias
Matthias Wieser
> On Freitag, 31. Oktober 2003 13:08 Alexander Weber wrote:
>
>> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
>> welches kostenlos als Source zum Download bereitstellt. Man
>> kompiliert das Spiel. Zum Installieren muss man sich aber als Root
>> einloggen. Es kann keiner garantieren, dass im Spiel kein Trojaner
>> o.ä. ist oder ein Rootkit gleich mitinstalliert wird.
>
> Entschuldige, wenn ich das so schreibe, aber der letzte Satz ist
> völliger Schwachsinn!
Mal schaun...
> Du sagst: "Man kompiliert das Spiel."
>
> Also hast Du die Sourcen!
Klar. Und spätestens bei den angeblichen MMX und 3dnow Optimierungen kann
$(!(Programmierer)) aufgeben.
> Also kann jeder, der skeptisch ist, entweder programmieren lernen und
> die Sourcen auf verborgene Schweinereien hin überprüfen, oder einem
> anderen Programmierer dafür Geld bezahlen, dass es dieses tut.
man Verhältnismäßigkeit
Die theoretische Möglichkeit, ein Rootkit oder anderen Schädlichen Code
zu erkennen, stellt noch lange nicht sicher, daß diese erkannt werden,
bevor Schaden eintritt.
Matthias
Matthias Wieser
>>> völliger Schwachsinn!
> Behauptung, Christians Aussage sei völliger Schwachsinn, zu stützen:
> Wenn Du diesen Absatz langsam liest, siehst Du, dass der letzte Satz
> völliger Schwachsinn ist - und darum ging es mir,
Stimmt, man sieht, daß es dir um "Schwachsinn" ging.
> denn mir kommt
> aufgrund dieser schwachsinnigen Aussage "Es kann keiner garantieren"
> der Verdacht, dass Christian uns hier bloss ein wenig aufmischen
> wollte - denn so dämlich kann er ja wohl kaum sein, wie er da tut!
Wie kannst du denn garantieren, daß der, der den code durchsieht, den
schädlichen Code als solchen entdeckt?
Matthias
Matthias Wieser
> Die Prüfsumme wird idR. in einer PGP oder GPG-signierten Form
> bereitgestellt, was wiederum heisst: wenn man den public-Key des
> Signierers kennt, sollte es kein Problem sein, die Authentizität der
> Signatur und somit der md5checksumme zu überprüfen.
Das hilft einem aber nicht, wenn man ein neu gefundenes Programm
installieren möchte und deshalb noch keinen über eine vertrauenswürdige
Strecke erhaltenen Publick key besitzt.
Matthias
Matthias Wieser
>> Viele Distributionen bieten automatische Updates an. Wenn ein Hacker
>> in den Update-Rechner einbricht, kann er manipulierte Pakete
>> drauflegen, die dann bei tausenden von Rechnern installiert werden.
>> Wenn er die Version der Programme hoch genug setzt, so werden diese
>> nicht so schnell durch offizielle Updates ersetzt.
>> Das gleiche gilt, wenn es einer schafft die Verbindnugen zu einem
>> Update-Server auf seinen eigenen Rechner umzuleiten.
>
> Ja, genauso wie bei allen anderen automatischen update Systemen. Ist
> also kein problem von Linux/Windows oder sonst einem Betriebsystem. Ob
> es Microsoftpatches sind, oder updates von einem Linuxdistributor.
Das ist nicht bei jedem automatischem Update System so. Suse könnte z.B.
das FTP Verzeichnis ihres Updateservers zum schreiben frei geben und
trotzdem würden nur Patches von Suse installiert werden. Der Rechner,
auf dem die Pakete signiert werden, ist IMHO nicht an das Internet
angeschlossen.
Matthias
Ralf Bader
Der Umstand, daß ein Programmierer sich normalerweise bemühen wird,
Quellcode, den er veröffentlicht, in ordentlichem Zustand zu halten und
sich nicht mit Kraut-und-Rüben-Salat lächerlich zu machen, oder sich
gar mit "getarnter Funktionalität" im Falle der jederzeit möglichen
Entdeckung seinen Ruf dauerhaft zu ruinieren, bringt auch dem
Nicht-Programmierer etwas. Eine 100prozentige Garantie für oder gegen was
auch immer ist das natürlich nicht. Aber was sollte und könnte eigentlich
ein Programmierer mehr tun, um die Sicherheit seines Codes nachprüfbar zu
machen, als ihn zu veröffentlichen? Vielleicht ein Bundesblablubbinstitut,
das ein Siegel "Sichere Software" unter Schirmherrschaft von Frau
Verbraucherschutzministerin Künast aufklebt, und dem der Papst die
Unfehlbarkeit bescheinigt hat?
Ralf
Matthias Wieser
> Ja, Mensch, um Himmelswillen, wenn Dir das klar war, wie /konntest/ Du
> denn bloss zu einer solchen Aussage gelangen (hervorhebung von mir):
>
> "Es kann keiner garantieren, dass im Spiel kein Trojaner
> ^^^^^^^^^^^
Deine Argumentation funktioniert in der Theorie super.
Aber in der Praxis versagt sie.
Dun meinst, "Es kann keiner garantieren, dass im " Programm " kein
Trojaner ist" falsch ist.
Theoretisch kann natürlich jemand nach entsprechend viel Aufwand und
Kosten zusichern, daß das Programm Wurmfrei ist.
Aber wer kann garantieren, daß
http://www.kde-look.org/content/show.php?content=8557
keinen schädlichen Code enthält?
Über sechshundert Leute haben sich diese Fensterdekoration schon
runtergeladen (und vermutlich installiert). Das Programm ist seit
24.10.2003 im Netz und enthält u.a. ein potentiell gefährliches 700kB
configure Skript, diverse c++ und header Dateien, usw.
Daß diverse qualifizierte Leute den gesamten Code (dieses langweiligen
Programms) überprüft haben, ist sehr unwahrscheinlich.
Wenn der Author wollte, könnte er seinen Viren/Trojaner/Rootkit-Code
sicher an ein paar tausend Leute bringen, bevor es im besten Fall mal
jemanden auffällt.
Opensource bietet in so einem Fall imho nur theoretische Vorteile, die
Überprüfbarkeit des Codes kann mangels unbegrenzter Freizeit der
Anwender häufig nicht ausgenutzt werden.
Daß Programme wie openssh von vielen Leuten überprüft worden sind (und
trotzdem immer noch bisher übersehene Sicherheitslücken regelmäßig
auftauchen) ist natürlich ein anderes Thema.
Matthias
Matthias Wieser
> Der Umstand, daß ein Programmierer sich normalerweise bemühen wird,
> Quellcode, den er veröffentlicht, in ordentlichem Zustand zu halten
Es geht hier nicht um freundliche Programmierer, sondern un Leute, die
einen dazu bringen wollen, ein Rootkit zu installieren.
> Aber was sollte und könnte
> eigentlich ein Programmierer mehr tun, um die Sicherheit seines Codes
> nachprüfbar zu machen, als ihn zu veröffentlichen?
Nicht viel. Aber das kann auch keine Cracker ausschließen.
Matthias
Karl-Heinz Zimmer
> Karl-Heinz Zimmer wrote:
>
>> Ja, Mensch, um Himmelswillen, wenn Dir das klar war, wie /konntest/ Du
>> denn bloss zu einer solchen Aussage gelangen (hervorhebung von mir):
>>
>> "Es kann keiner garantieren, dass im Spiel kein Trojaner
>> ^^^^^^^^^^^
>
> Deine Argumentation funktioniert in der Theorie super.
(...)
> Wenn der Author wollte, könnte er seinen Viren/Trojaner/Rootkit-Code
> sicher an ein paar tausend Leute bringen, bevor es im besten Fall mal
> jemanden auffällt.
Recht hast Du. Und Recht habe ich. :-))
Was mich an der Behauptung von Alexander Weber derart störte, war seine
Aussage: "Es kann keiner garantieren"(...).
Diese Aussage ist (wie gesagt) schlichweg Schwachsinn, denn es _kann_
sehr wohl einer garantieren - bloss ist der Aufwand dafür gross.
Vom Aufwand war aber nur in zweiter Linie die Rede, Alexander
insistierte ja sogar noch und behauptete später, die Garantie
sei "nahezu bei 100%" - was heisst: _nicht_ 100%.
Wenn ich die Sourcen in der Hand habe (und paranoid bin), stehen mir
zwei Möglichkeiten offen:
A) Ich prüfe die Sourcen selber minutiös. (das dauert...)
B) Ich beauftrage ein Institut mit der Prüfung. (das kostet...)
In beiden Fällen ist es möglich, jede einzelne Zeile zu prüfen
und nachzusehen, ob ein Wurm oder Trojaner versteckt ist.
Dies ist _nur_ möglich, weil ich die Sourcen in der Hand habe - bei
Windows hingegen geht das _nicht_, und DORT ist 100% Sicherheit
unmöglich!
Karl-Heinz
Karl-Heinz Zimmer
> Karl-Heinz Zimmer wrote:
>
>> On Freitag, 31. Oktober 2003 13:08 Alexander Weber wrote:
>>
>>> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
>>> welches kostenlos als Source zum Download bereitstellt. Man
>>> kompiliert das Spiel. Zum Installieren muss man sich aber als Root
>>> einloggen. Es kann keiner garantieren, dass im Spiel kein Trojaner
>>> o.ä. ist oder ein Rootkit gleich mitinstalliert wird.
>>
>> Entschuldige, wenn ich das so schreibe, aber der letzte Satz ist
>> völliger Schwachsinn!
(...)
> Die theoretische Möglichkeit, ein Rootkit oder anderen Schädlichen
> Code zu erkennen, stellt noch lange nicht sicher, daß diese erkannt
> werden, bevor Schaden eintritt.
Genau diese theoretische Möglichkeit (die ja lediglich eine Frage des
Aufwandes ist, den man wg. seiner Paranoia zu treiben gewillt ist)
hat der OP aber mit seiner Behauptung "Es kann keiner garantieren"
geleugnet.
Beachte:
"Es kann keiner garantieren" ist eine boolesche Aussage: entweder
sie stimmt, oder sie stimmt nicht.
Da sie aber nicht stimmt, ist sie Schwachsinn, denn es _kann_ einer
garantieren - muss bloss den Aufwand dafür treiben wollen, bei unsicheren
Kadetten tue ich das des öfteren, oder installiere sie gar nicht. :-)
Karl-Heinz Zimmer
> Karl-Heinz Zimmer wrote:
>
>>>> völliger Schwachsinn!
>
>> Behauptung, Christians Aussage sei völliger Schwachsinn, zu stützen:
>
>> Wenn Du diesen Absatz langsam liest, siehst Du, dass der letzte Satz
>> völliger Schwachsinn ist - und darum ging es mir, denn mir kommt
>> aufgrund dieser schwachsinnigen Aussage "Es kann keiner garantieren"
>> der Verdacht, dass Christian uns hier bloss ein wenig aufmischen
>> wollte - denn so dämlich kann er ja wohl kaum sein, wie er da tut!
>
> Wie kannst du denn garantieren, daß der, der den code durchsieht, den
> schädlichen Code als solchen entdeckt?
Indem ich es selber tue und shcön umsichtig dabei vorgehe. :-)
Eric Wick
> Ich habe es erwartet, als paranoid hingestellt zu werden.
Die Wadenbeisserfraktion findet man überall:-/
> Das andere Problem mit den Updates, welches ein generelles Problem
> ist. Sicher, es ist nicht Betriebssystemabhängig. Mein Gedanke war,
> dass
Richte mal Dein Augemnmerk auf Distributionen, die liefern Binärpakete
mit Schlüssel die von der Paketverwaltung nur installiert werden wenn
die Schlüssel übereinstimmen. Ich habe selber schonmal in einem Paket
ein Skript geändert und danach wurde es nicht mehr akzeptiert weil die
Checksumme nicht mehr passte.
> Ihr habt mich also überzeugt, dass Linux ein sicheres System ist.
Wenn man es gründlich durchzieht und nur Distributionspakete
verwendet, dürfte die Sicherheit noch weiter steigen.
> Auf diese Fragestellung wurde zwar kaum eingegangen, aber ich bin
> mir sicher, dass da andere kluge Köpfe sich gedanken machen werden,
> wenn es soweit ist.
Es bleibt aber das Schutzkonzept das man wirklich mit den Userrechten
arbeiten kann, die Programmierer von Malware treffen über diesen Weg
nur die Root-User unter den Newbies oder müssen unter Userrechten nach
dem Scheunentor (sudo?) suchen. Ich kann mir allerdings auch
vorstellen das für die Newbies eines Tages eine Distri kommt wo man
für's Ego immer als Root arbeitet:-/
Bye Eric
--
Techinfo Page http://www.eric-wick.de (DE)
René Maroufi
> Es bleibt aber das Schutzkonzept das man wirklich mit den Userrechten
> arbeiten kann, die Programmierer von Malware treffen über diesen Weg
> nur die Root-User unter den Newbies oder müssen unter Userrechten nach
> dem Scheunentor (sudo?) suchen. Ich kann mir allerdings auch
> vorstellen das für die Newbies eines Tages eine Distri kommt wo man
> für's Ego immer als Root arbeitet:-/
So was in die Richtung gibt es schon: Ark Linux
siehe:
http://www.arklinux.org
Da arbeitet man zwar nicht ständig als Root, aber es gibt keine Kennwörter
mehr, also su und kein Kennwort eingeben. Außerdem hat unter Ark Linux auch
der normale User ausgeweitete Rechte (z. B. Softwareinstallation).
Matthias Wieser
> On Freitag, 31. Oktober 2003 21:11 Matthias Wieser wrote:
>
>> Wie kannst du denn garantieren, daß der, der den code durchsieht, den
>> schädlichen Code als solchen entdeckt?
>
> Indem ich es selber tue und shcön umsichtig dabei vorgehe. :-)
Nicht jeder kann c, c++, pearl, python, x86 assembler, ... so gut, daß er
eine sorgfältig über mehrere Dateien verstreute Schadfunktion findet.
Matthias
Karl-Heinz Zimmer
Allerdings hast Du gefragt: "Wie kannst du "
^^
<grins>
Matthias Wieser
> On Samstag, 1. November 2003 14:18 Matthias Wieser wrote:
>>> On Freitag, 31. Oktober 2003 21:11 Matthias Wieser wrote:
>>>
>>>> Wie kannst du denn garantieren, daß der, der den code durchsieht,
>>>> den schädlichen Code als solchen entdeckt?
>>
>> Nicht jeder kann c, c++, pearl, python, x86 assembler, ... so gut, daß
>> er eine sorgfältig über mehrere Dateien verstreute Schadfunktion
>> findet.
>
> Allerdings hast Du gefragt: "Wie kannst du "
> ^^
Lies genauer!
Wie kannst Du garantieren, daß Du es bist, der den code durchsieht?
> <grins>
<grins width="200">
;-)
Matthias
Martin Bock
> Ich kann mir allerdings auch vorstellen das für die Newbies eines
> Tages eine Distri kommt wo man für's Ego immer als Root arbeitet:-/
AFAIK ist das unter 'Lindows' (nein, SuSE ist nicht gemeint) schon heute
der Fall.
--
Martin
/* God is dead!............Nietzsche */
www.martin-bock.de /* Nietzsche is dead!......God */
Key-ID: 0x93FA8A93 /* Nietzsche is God!.......The Dead */
Lasse Kliemann
> Beispiel: Man findet im Internet ein interessantes Spiel für Linux,
> welches kostenlos als Source zum Download bereitstellt. Man
> kompiliert das Spiel. Zum Installieren muss man sich aber als Root
> einloggen.
Die allerwenigsten Pakete brauchen wirklich root-Rechte zur
Installation. Häufig sind die root-Rechte nur dazu da, die Dateien des
Paketes nach /usr, /usr/local, /opt (oder ähnliches) zu schreiben, wo
nun mal sinnvollerweise nur root schreiben darf. Wie hier schon jemand
schrieb, manchmal laufen die Programme auch direkt aus dem
Verzeichnis, in dem sie kompiliert wurden. Ferner, und das ist sicher
die schönere Lösung, kann man meistens beim ./configure angeben, wo
genau die Dateien später landen sollen. Es gibt da die Option
--prefix. Die ist per Default meistens /usr/local, aber mit
--prefix=/home/foo/bar überschreibt man den Default.
Wenn ein Paket unbedingt root will, weil vielleicht Geräte unter /dev
angelegt werden sollen, dann kann man die entsprechenden Zeilen aus
dem Makefile heraussuchen, und diese dann direkt von Hand ausführen.
Manchmal wird in Makefiles Gebrauch vom Programm install gemacht,
welches Optionen kennt, mit denen automatisch der Besitzer der zu
installierenden Dateien geändert wird, etwa auf den User bin oder so.
Diese install-Aufrufe gehen dann auch nur als root. Hier kann man aber
auch Hand an die Makefiles legen.
> Viele Distributionen bieten automatische Updates an. Wenn ein Hacker
> in den Update-Rechner einbricht, kann er manipulierte Pakete
> drauflegen, die dann bei tausenden von Rechnern installiert werden.
> Wenn er die Version der Programme hoch genug setzt, so werden diese
> nicht so schnell durch offizielle Updates ersetzt.
Hier helfen krytographische Signaturen. SuSE ist in diesem Punkte
übrigens vorbildlich. Deren öffentlichen Schlüssel findet man auf den
SuSE-CDs, also ist er garantiert echt, und damit kann man dann die
Updates überprüfen. Leider verwenden viele Projekte solche Methoden
noch nicht.
> Das gleiche gilt, wenn es einer schafft die Verbindnugen zu einem
> Update-Server auf seinen eigenen Rechner umzuleiten.
Du meinst DNS-Forgery? Erledigt sich auch durch Signaturen.
> Ich habe daher bei dem Gedanken, dass man Leuten, die man nicht
> kennt, blind vertrauen muss, ein mulmiges Gefühl. Sicherlich könnte
> ich wieder auf ein kommerzielles Betriebssystem umsteigen. Nur es
> existiert keins, das meine Erwartungen erfüllt und dessen Hersteller
> ich blind vertrauen kann.
Eben.
--
Lasse Kliemann
<http://plastictree.net>
Anselm Lingnau
> > Ich kann mir allerdings auch vorstellen das für die Newbies eines
> > Tages eine Distri kommt wo man für's Ego immer als Root arbeitet:-/
>
> AFAIK ist das unter 'Lindows' (nein, SuSE ist nicht gemeint) schon heute
> der Fall.
Das ist ein verbreiteter Irrtum. Die Lindows-Leute haben inzwischen
wohl eingesehen, daß das fundamental nicht so prall ist; mittlerweile
kann man sich aussuchen, wie man es gerne hätte -- wie das bei jeder
anderen Distribution auch geht.
Anselm
--
Anselm Lingnau .......................................... ans...@strathspey.org
Has anyone ever thought about the fact that in general, the only web sites that
are consistently making money are the ones dealing in pornography? This brings
new meaning to the term, "obscene profits". :) -- Paul Robinson, RISKS 20.82
Anselm Lingnau
> Beachte:
>
> "Es kann keiner garantieren" ist eine boolesche Aussage: entweder
> sie stimmt, oder sie stimmt nicht.
>
> Da sie aber nicht stimmt, ist sie Schwachsinn, denn es _kann_ einer
> garantieren - muss bloss den Aufwand dafür treiben wollen, bei unsicheren
> Kadetten tue ich das des öfteren, oder installiere sie gar nicht. :-)
Anhand des Quellcodes für das Paket kannst Du *nicht* garantieren, daß
das Paket keinen Schaden anrichtet. Siehe hierzu »Reflections on
Trusting Trust«, den Turing-Award-Vortrag von Ken Thompson, zu finden
auf den Webseiten der ACM (www.acm.org). Dort wird beschrieben, wie
man eine Hintertür in das »login«-Programm einbaut, ohne den Quellcode
für »login« zu ändern und so, daß sie auch dann noch wieder erscheint,
wenn man den Quellcode für »login« neu übersetzt.
Sehr interessante Lektüre. Außerdem um die 20 Jahre alt. Man könnte
sich wünschen, daß dieser Kram sich in der Zwischenzeit rumgesprochen
hätte; ist aber offensichtlich nicht so. Statt dessen finden sich
immer wieder Leute, die von Blauäugigkeit oder Wunschdenken erfüllt
den Mythos von der ach so »sicheren« freien Software hochhalten. Was
ein Unfug. Freie Software ist fundamental genauso sicher oder unsicher
wie proprietäre (ob nun *eine* ausbeutbare Sicherheitslücke drin ist
oder hundert, ist unter dem Strich ja egal, wenn der Cracker erst mal
eingebrochen ist); die Stärke freier Software liegt bestenfalls darin,
was passiert, wenn jemand eine Sicherheitslücke gefunden hat.
Anselm
--
Anselm Lingnau .......................................... ans...@strathspey.org
A banker is a fellow who lends you his umbrella when the sun is shining and
wants it back the minute it begins to rain. -- Mark Twain
Werner Bittl
> Hier helfen krytographische Signaturen. SuSE ist in diesem Punkte
> übrigens vorbildlich. Deren öffentlichen Schlüssel findet man auf den
> SuSE-CDs, also ist er garantiert echt, und damit kann man dann die
> Updates überprüfen. Leider verwenden viele Projekte solche Methoden
> noch nicht.
MandrakeSoft hat das ebenfalls seit Anfang des Jahres eingebaut.
--
Werner Bittl
ICQ #125138652
Debian 3.0 Sarge *** Mandrake 9.2
Alexander Gehrig
> Auch offizielle Server können genkackt werden, und der Quellcode von
> offiziellen Quellen kann Trojaner enthalten. Eine zusätzliche
> Überprüfung PGP-Signaturen, md5sums oder ähnlichem wäre also schon
> ratsam.
Aber wenn jemanden den Server hackt, weshalb sollte er nicht auch noch
gleich die Checksum dementsprechend anpassen?
bye
Alex
Andreas Schwarz
Weil die PGP-Signatur dann nicht mehr stimmt.
Andreas Janssen
Weil die natürlich unabhängig vom Programm selbst gespeichert werden
(sollten), zum Beispiel auf einem anderen Server.
Grüße
Andreas Janssen
--
Andreas Janssen
andreas...@bigfoot.com
PGP-Key-ID: 0xDC801674
Registered Linux User #267976
Markus Raab
> Martin Bock <mb...@despammed.com> schrieb:
>
>> > Ich kann mir allerdings auch vorstellen das für die Newbies eines
>> > Tages eine Distri kommt wo man für's Ego immer als Root arbeitet:-/
>>
>> AFAIK ist das unter 'Lindows' (nein, SuSE ist nicht gemeint) schon
>> heute der Fall.
>
> Das ist ein verbreiteter Irrtum. Die Lindows-Leute haben inzwischen
> wohl eingesehen, daß das fundamental nicht so prall ist; mittlerweile
> kann man sich aussuchen, wie man es gerne hätte -- wie das bei jeder
> anderen Distribution auch geht.
Irgendwie finde ich das sehr erheiternd:) Lindows wollte am Anfang ein
Windows-Clone produzieren, was nur die Hälfte kostet. Sie ändern sich
aber immer mehr zu einer "normalen" Linux-Distri. Das beweist welcher
Weg der richtige ist*G*
mfg Markus
--
Linux, the choice | Planung bedeutet, den Zufall durch den
of a GNU generation -o) | Irrtum zu ersetzen. -- Managerweisheit
Kernel 2.4.22-mh /\ |
on a i686 _\_v |
Peter Lemken
> [...] Was ein Unfug. Freie Software ist fundamental genauso sicher oder
> unsicher wie proprietäre (ob nun *eine* ausbeutbare Sicherheitslücke drin
> ist oder hundert, ist unter dem Strich ja egal, wenn der Cracker erst mal
> eingebrochen ist); die Stärke freier Software liegt bestenfalls darin, was
> passiert, wenn jemand eine Sicherheitslücke gefunden hat.
Das ist nicht richtig. Ein System, dessen Sourcen man nicht kannt, kann per
definitionem nicht als sicher bezeichnet werden. Ein Open Source Programm
hingegen hat zumindest die theoretische Chance dazu. Big difference.
Peter Lemken
Berlin
--
Mail an die im From: angegebene Adresse stellt eine Beauftragung zur
Überprüfung der Mailfunktion des Absenders dar und wird mit einer
Bearbeitungsgebühr von EUR 1000,- in Rechnung gestellt.
Jens Link
> Das ist nicht richtig. Ein System, dessen Sourcen man nicht kannt, kann per
> definitionem nicht als sicher bezeichnet werden. Ein Open Source Programm
> hingegen hat zumindest die theoretische Chance dazu. Big difference.
Leider haben das viele Firmen/Institutionen/Behörden noch nicht
eingesehen. Der Source kann von jedem geändert werden, also ist die
Software gefährlich.
Jens
--
I just found out that the brain is like a computer.
If that's true, then there really aren't any stupid people.
Just people running Windows.
Karl-Heinz Zimmer
(...)
> also ist die Software gefährlich.
>
> Jens
Der gute Jens!
Mensch, dass wir Dich hier nochmals begrüßen dürfen - so ein Glück! :-)
Fühl' Dich ganz wie zuhause, darfst auch gerne die Füße auf dem Tisch
lassen, wir kennen Dich ja...
Karl-Heinz