News Sicherheitslücke in xz: Backdoor in Linux-Archivbibliothek macht Systeme angreifbar

[jenzen]

Doch, es ist im Vorteil, weil die "ganze Welt" draufgucken kann. Natürlich kann mal was übersehen werden, so wie hier in dem Fall, aber es wurde zum Glück nur relativ kurzzeitig übersehen. Es sind keine Hacks bekannt geworden, die auf dieser Lücke basieren. Von daher würde ich sagen, Open Source funktioniert und hilft bei Sicherheit und Vertrauenswürdigkeit.

Bei proprietärer Software hätten es solche ressourcenreichen Angreifer einfacher: sie müssen nur einen Mitarbeiter als "Geheimagent" in die Firma kriegen (bei den gefragten Skills bestimmt nicht so schwer), der dann dort intern entsprechende Rechte im Code-Repo bekommt. Und schwupps, plötzlich schauen da nur noch viel weniger Augen auf den Code (nämlich nur noch die berechtigten Mitarbeiter der Firma) als wenn der Code weltweit verfügbar wäre. Ein derart gut versteckte Backdoor würde wahrscheinlich nie erkannt werden in den meisten Software-Firmen. Da wäre es dann viel zu spät und dann würden alle von einem Hackerangriff auf X in den News lesen.

Theoreitsch sind bei Closed Source Software noch viel gruseligere Sachen denkbar, man denke nur an potenzielle NSA-Deals mit der (US-)Firma oder so. Es passiert ja alles im Geheimen und niemand hat Einblick. Dass sie gefundene Schwachstellen offen lassen für den eigenen Bedarf, ist eh fast garantiert. Und das ist dann auch nichts anderes als eine Backdoor. Der eine größere Wurmangriff vor nicht allzu langer Zeit ging auf die "Eternal Blue" oder so getaufte Schwachstelle zurück und die hatte die NSA eigentlich für sich behalten, um Windows-Systeme selbst gezielt angreifen zu können. Microsoft kann dann zwar behaupten, sie hätten nix davon gewusst, aber jetzt stell dir mal vor das war ein Deal und sie wussten davon. Das wäre eine Bankrotterklärung für sämtliche Sicherheitsversprechen von jeglicher (zumindest US-basierten) Closed Source Software. Weil du dem Zeugs einfach nicht vertrauen kannst, wenn der Code nicht offen liegt. Sie können immer A behaupten aber B einbauen, und du kriegst es nicht mit. Immer. und immer wieder.

 

[andy_m4]

Doch, es ist im Vorteil, weil die "ganze Welt" draufgucken kann.

Aber es i.d.R. nicht tut. Weil "draufgucken" zwar lapidar klingt, aber es in Wirklichkeit nicht ist.
Um ein Quelltext wirklich zu verstehen muss man nicht nur die entsprechende Programmiersprache beherrschen, sondern sich in das betreffende Projekt auch einarbeiten.

Kurzum: Es bedeutet Aufwand. Daher geschieht das weniger häufig, als man vielleicht denkt.
Dazu gibts inzwischen auch zahlreiche Beispiele (z.B. OpenSSL) bei denen Lücken jahrelang offen standen, aber niemand die gefunden/gemeldet hat, obwohl ja "jeder" reingucken kann.

Trotzdem ist es natürlich schon gut, wenn eine Software offen ist und im Sinne der Transparenz ist das natürlich ein Plus.

Microsoft kann dann zwar behaupten, sie hätten nix davon gewusst, aber jetzt stell dir mal vor das war ein Deal und sie wussten davon. Das wäre eine Bankrotterklärung für sämtliche Sicherheitsversprechen von jeglicher (zumindest US-basierten) Closed Source Software.

Spielt letztlich keine Rolle ob es solche Deals gab oder nicht. Allein die Tatsache das es solche Deals geben kann und vergleichbare Deals ja auch schon anderswo gemacht worden sind, macht doch solche Sicherheitsversprechen hinfällig.
Es braucht also keine "Bankrotterklärung" mehr. Die war schon längst da (wissen wir ja spätestens seit "Snowden").

 

[jenzen]

Jo. Das meinte ich auch so, wie du es schreibst. Es ist klar dass Sicherheitslücken schwer zu finden sind und nicht jeder der weltweiten Augen drauf schaut. Aber zumindest kann man es, und wenn da jemand draufschaut der was versteht von der Materie, dann findet der auch Dinge. Und man kann unabhängige Audits machen lassen, auch ein großer Vorteil. Bei Closed Source gilt halt immer, man muss dem (einzigen) Anbieter vertrauen können. Und MS hat schon mehrfach bewiesen, dass man das nicht kann, und im Hintergrund kann sich MS auch nicht wehren gegen NSA-Sabotage oder -Spionage, weil sie nun mal den Gesetzen unterworfen sind. Also nicht immer ist MS der direkte Sündenbock, manchmal ist es auch die NSA. Denkt da immer dran: die 3-Buchstaben-Agenturen in USA dürfen sowas legal tun und gleichzeitig dem Hersteller verbieten, die User darüber zu informieren, dass das überhaupt passiert ist. D.h. MS würde sich strafbar machen, wenn sie irgendwelche NSA-Machenschaften aufdecken würden. Das bedeutet für die User letztendlich: Eure Rechte, der Anspruch auf "Transparenz", eure Souveränität und die Integrität und Sicherheit von Closed Source Software aus den USA stirbt im Geheimen. Das alles... ja warum eigentlich... achso ja, Terrorismus oder so.