News Subgraph OS: Sicheres Betriebssystem setzt auf Tor und Grsecurity

[-GL4x-]

Also ein Betriebssystem für Hacker, Cracker oder Leute die gerne illegale Downloads oder Streams, oder naja gewisse Porno-Inhalte, die über die Grenzen der Moralvorstellung von Menschen hinaus gehen, konsumieren.

Hmmm..nette Idee *Ironie*

Wenn das der einzige Weg ist unsere Sicherheit und Identität im Netz zu wahren, dann schlage ich wie immer vor: Stecker ziehen und draussen blieben, oder wenigstens sämtlichen persöhnlichen Verkehr im Netz einstellen.

Mehr Sicherheit geht nicht.

 

[ceVoIX]

Für Leute in Ländern, in denen regierungskritische Aussagen gleich bestraft werden oder für den nächsten Whistleblower ist Subgraph OS interessant. Für den 0815 User hier im Westen eher weniger, wenn er nicht gerade im große Stil mit Illegalen Gütern handelt oder ähnliches. Oder glaubt ihr die Nachrichtendienste haben nichts wichtigeres zu tun als jeden Bürger auszuspionieren? Die haben auch nur begrenzte Kapazitäten und im Vordergrund ihrer Arbeit steht immer noch wichtige Informationen zu beschaffen, die z.B. den Schutz den Landes betreffen. Nicht ob Hanswurst mal wieder am Freitag Abend seinen Porno guckt.

Wenn es einem nur darum geht möglichst keine Spuren im Netz zu hinterlassen beim normalen surfen, dann gibt es immer noch VPNs, Proxys und ein ordentlich konfigurierter Browser, dafür benötigt man kein komplettes OS. Und wenn man unbedingt irgendwelche E-Mail Anhänge öffnen möchte, nur weil man eine Rechnung zugeschickt bekommen hat, von einem Shop den man noch nicht einmal kennt. Kann man auch noch eine VM aufsetzten, dann braucht man halt zwei doppelklicks um sein E-Mail Programm zu öffnen, statt nur einem.

Aber an sich klingt das Subgraph OS gut, mal gucken was daraus in Zukunft wird. Selber werde ich es vielleicht mal kurz antestet, aber wohl nicht dauerhaft nutzen.

 

[Yuuri]

Die Gegenfrage ist, wäre es bei Closed Source denn aufgefallen?

Ist das hier relevant? Die Aussage war

Der Quellcode liegt offen, es liegt jedem frei ihn zu überprüfen. Es kann nicht jeder? Macht nichts, auf der Welt gibt es genügend die es können.

und es wurde nirgendwo ein Vergleich OSS <-> CSS angestrebt.

Bei Open Source besteht hingegen die Möglichkeit daß jemand mal Langeweile hat und sich das ansieht.

Oh, na welch glorreiches Argument... Wenn man Langeweile hat, setzt man sich mit Sicherheit hin und durchsucht fremden Code nach Lücken o.ä. Bei eigenem Code könnte ich dies noch verstehen, aber nach Lücken suchst du nicht, wenn du Langeweile hast... Hast du auch mal nur eine Zeile Code geschrieben, gar Module von Anderen nur mal "durchsucht"?

 

[-GL4x-]

... Nicht ob Hanswurst mal wieder am Freitag Abend seinen Porno guckt.

...

Wie gesagt, ich hab von Pornos gesprochen, die über die Moralvorstellung hinaus gehen. Sprich Kinderpornos.

Aber deine andere Einwände sind tatsächlich schlüssig.

 

[strex]

Versuch mal, ein Windows auf absichtliche oder versehentliche Hintertüren zu überprüfen. Pech gehabt, der Quellcode ist nicht zugänglich. Scheitert also bereits im Ansatz.

Das nutzt dir nur nichts, wenn man das offene Open Source OS auf einem Rechner mit closed source Firmware und Hardware betreibt. Die Geheimdienste kommen auch da ran, was dann nur bleibt ist eine reduzierte Analysierbarkeit von Unternehmen wie Google, wobei die auch nicht dumm sind.

 

[wunschiwunsch]

Nein, ich möchte das sagen was ich gesagt habe. Am Ende kommt es darauf an auf was oder wem der Benutzer vertraut.

Dein Text liest sich aber nicht wertneutral. Warum betonst du sonst, dass das auf der einen Seite ein Unternehmen vom "wohl und wehe der Software abhängig ist" und auf der anderen Seite die Leute "ungeprüfte Komponenten zusammen würfeln"?
Übrigens gibt es auch Unternehmen an Linux verdienen. Aber wie schon gesagt, obwohl Unternehmen mit dem Verkauf von Software Geld verdienen sind die eigentlich durchweg langsamer beim Schließen bekannter Sicherheitslücken als die großen (GNU/)Linux-Distributionen. Schon ein Armutszeugnis.

 

[flappes]

Extra Patches?
Ich finde sowas gehört, wenn es sauber geschrieben und wirksam ist, dringend standardmäßig ausgeliefert.

Da gehören neben Performance auch noch Usability dazu. Was nützen mir einzelne Programme, wenn diese nicht mehr ordentlich miteinander arbeiten können. Leider sind halt nich alle Programme von Haus aus auf soetwas ausgelegt.

 

[DocWindows]

Dein Text liest sich aber nicht wertneutral. Warum betonst du sonst, dass das auf der einen Seite ein Unternehmen vom "wohl und wehe der Software abhängig ist" und auf der anderen Seite die Leute "ungeprüfte Komponenten zusammen würfeln"?

Ich habe noch nie selbst z.B. eine Linuxdistribution erstellt. Aber ich gehe mal nicht davon aus, dass man, wenn man sowas vorhat, jedes Paket welches man benötigt erstmal höchstpersönlich Zeile für Zeile analysiert und auf Fehler abklopft. Das meine ich mit ungeprüft zusammengewürfelt. Und das ist auch nicht wertend gemeint.
Wenn ich selbst Komponenten Dritter in meinen Programmen verwende, dann schaue ich mir auch nicht den ganzen Quellcode dazu an. Dann verlasse ich mich darauf dass sie so funktionieren wie beschrieben.

 

[Forum-Fraggle]

...
Das war früher vielleicht mal so als die Projekte noch überschaubar waren. Heute sind sie so groß und komplex geworden dass so etwas sehr unwahrscheinlich geworden ist.
...

Na, dann herrscht ja keine Gefahr, wenn keiner KEINER draufschaut. Aber im ernst, dem ist nicht so. Alleine schon weil es nicht nur Langeweile ist, die manche dazu treibt, sondern auch um zu lernen wie andere es gemacht haben. Oder Sportsgeist Lücken zu finden und zu guter Letzt, weil Firmen wie Google z.B. auch Prämien auf das Finden von Lücken ausheben, was widerum zum Schließen selbiger führt.
Von daher ist das einzige, was man fragen kann:
Was ist sicherer, unbekannter Quellcode den nur wenige sehen und per Trial and Error Lücken von Hackern gesucht werden, oder offener Code, bei den jeder, leider auch Hacker draufschauen können. Und ich wage zu behaupten, ohne eine handfeste und neutrale Statistik ist diese Frage nicht objektiv zu beantworten.

 

[wunschiwunsch]

Wenn ich selbst Komponenten Dritter in meinen Programmen verwende, dann schaue ich mir auch nicht den ganzen Quellcode dazu an. Dann verlasse ich mich darauf dass sie so funktionieren wie beschrieben.

Bei Microsoft , Apple und Co. wechseln die Programmierer auch ständig und da werden die einzelnen Komponenten später ungeprüft übernommen. Dafür ist ja auch gar keine Zeit da ie Millionen von Zeilen jedes mal wieder neu zu prüfen. Zumal es auch dort eine Frage der Kommentare im Code ist. Nur weil jemand Geld dafür verdient schreibt er keine besseren Kommentare oder übersichtlicheren Code. Wenn die Programmier dann weg sind soll es schon öfter vorgekommen sein, dass bei Mittelgroßen Buden kein Schwein mehr wusste wie das Modul das XY Programmiert hat überhaupt funktioniert und was der Code in Zeile Z tut ...

 

[Bolko]

Subgraph OS ist eine Sicherheits-Distribution, die auf dem Testing-Zweig von Debian ...

Das ist ein Designfehler / Konstruktionsfehler.
Entweder "sicher" oder "testing", aber nicht beides gleichzeitig.
Damit etwas sicher sein kann, muss es zuerstmal "stabil" sein und "stabil" ist eben das Gegenteil von "testing".
Warum hat man nicht das normale Debian genommen anstatt die "testing"-Variante?

 

[fethomm]

Das ist ein Designfehler / Konstruktionsfehler.
Entweder "sicher" oder "testing", aber nicht beides gleichzeitig.
Damit etwas sicher sein kann, muss es zuerstmal "stabil" sein und "stabil" ist eben das Gegenteil von "testing".
Warum hat man nicht das normale Debian genommen anstatt die "testing"-Variante?

Vermutlich, weil Stable für sicherheitsrelevante Belange zu wenig aktuell ist. Backports haben in einem solchen Konzept auch eher keinen Platz.

 

[mambokurt]

Oder glaubt ihr die Nachrichtendienste haben nichts wichtigeres zu tun als jeden Bürger auszuspionieren?

Äh, genau das tun sie O.o Die Geheimdienste schneiden _alles_ mit und werten später aus was sie brauchen, das ist schon allein nötig um eine gewisse Historie vorzuhalten wenn TerroristX vor 5 Tagen mal eine Mail an Kontaktperson Y geschickt hat und das jetzt erst bekannt wird.

Verstehst du, die machen kein 'abhören' im klassischen Sinne, die halten Datenberge über Datenberge auf Vorrat, und falls doch mal ein Ansatzpunkt kommt um die auszuwerten werden die Datenberge halt ausgewertet. Nun wächst die Speicherkapazität aber schneller als die Bandbreite (in der Regel), also haben die gar keinen Grund groß zu löschen.

So, wo ein Trog ist sammeln sich die Schweine -> wenn es irgendwo Daten gibt werden die auch irgendwann an die Öffentlichkeit kommen, egal ob es um Terrorismus oder deine präferierte Haarfarbe bei Pornodarstellern oder darum wie oft du Blumen bei Fleurop bestellt hast geht. Irgendwann darf vielleicht das BKA die Daten nutzen, oder der Dienst wird unterwandert und die Daten geleaked. Du _WEISST_ schlicht nicht, was in 5 Jahren mit diesen Daten ist.

Wenn du damit leben kannst, dass _ALLES_ was du online tust und getan hast von jedem gelesen werden kann -> dann hast du kein Problem. Ansonsten tust du gut daran auch zu verschlüsseln.

Verstehst du, ich habe im Internet seit mehr als 15 Jahren Spuren hinterlassen. Mailingliste X, Usenet Post Y, teils Aussagen bei denen ich mir heute an den Kopf fasse. Wenn ich mich heute irgendwo bewerbe, muss ich davon ausgehen, dass mein neuer Arbeitgeber diese Infos einsieht und sich ein Bild von mir macht. Und zwar an Hand von Aussagen von vor 15 Jahren. Aussagen bei denen ich mir _bewusst_ war, dass sie öffentlich sind. Was meinst du passiert, wenn dein gesamter Internetverkehr frei zugänglich irgendwo im Netz liegt?

 

[Bussard]

Oder glaubt ihr die Nachrichtendienste haben nichts wichtigeres zu tun als jeden Bürger auszuspionieren? Die haben auch nur begrenzte Kapazitäten und im Vordergrund ihrer Arbeit steht immer noch wichtige Informationen zu beschaffen, die z.B. den Schutz den Landes betreffen. Nicht ob Hanswurst mal wieder am Freitag Abend seinen Porno guckt.

Da machst Du einen entscheidenden Denkfehler.
Mustererkennung
https://de.wikipedia.org/wiki/Mustererkennung
http://scienceblogs.de/astrodicticu...-mustererkennung-in-der-blubberblasengalaxie/

selbstlernende systeme
http://ibmexperts.computerwoche.de/...e-warnt-vor-selbstlernenden-computern,3206665

Vllt eliminiert Dich demnächst eine Drohne, weil eine KI das für sinnvoll hält ohne, dass ein Mensch weiß, warum.

 

[ceVoIX]

Äh, genau das tun sie O.o Die Geheimdienste schneiden _alles_ mit und werten später aus was sie brauchen, das ist schon allein nötig um eine gewisse Historie vorzuhalten wenn TerroristX vor 5 Tagen mal eine Mail an Kontaktperson Y geschickt hat und das jetzt erst bekannt wird.

Daten sammeln ist noch was anders als die auch auszuwerten und das ist es was ich meinte, mit Auszuspionieren.
Das ist das gleiche als wenn du mich verwanzen würdest und den ganzen Tag alle Gespräche mit aufnehmen würdest. Solange du dir die aufnahmen nicht anhörst, sonder nur die Sound Datei auf einem Speichermedium hast, weist du nichts weiter über mich.

Im übrigen habe ich habe keine Probleme damit das meine Daten irgendwann mal im Internet auftauchen, wenn ich damit Probleme hätte, würde ich das Internet nicht, bzw. nur noch eingeschränkt nutzen.

@Bussard
Mustererkennung kenne ich, dennoch ist es ein enormer Rechenaufwand über drei Milliarden Menschen mit einem Internetzugang zu analysieren. Und wenn die mein Muster erkennen, sehen die das ich nur ein harmloser irrer bin
Und gegen Drohnen gibt es Adler ^^

 

[riloka]

Es gibt Leute die das nicht wollen.

 

[mambokurt]

Das ist das gleiche als wenn du mich verwanzen würdest und den ganzen Tag alle Gespräche mit aufnehmen würdest. Solange du dir die aufnahmen nicht anhörst, sonder nur die Sound Datei auf einem Speichermedium hast, weist du nichts weiter über mich.

Daten liegen nicht nur so da. Daten haben immer ein Potential (positiv wie negativ), und du weißt eben _nicht_ was in 10 Jahren damit passiert oder wie sie jetzt schon genutzt werden.

Als die RAF damals aktiv war, war ruck zuck die Rasterfahndung in Nutzung. Lass so etwas mal wieder passieren, oder, noch aktueller, stell dir mal vor die Anschläge von Paris wären in Berlin gewesen. Da schert sich keine Sau mehr um den Datenschutz, und auf einmal heißt es 'oooh, wir haben da ja noch Drölftausend Terrabyte an Daten, lass uns die doch mal durchgucken'.
Schon liegt deine Aufnahme eben nicht mehr nur so im Regal. Und wenn der Geist jetzt einmal aus der Flasche ist, kommt Polizeidienst X um die Ecke und hätte gerne Mitschnitte zur Aufklärung eines Verbrechens. Und wenn die das schon dürfen möchte das auch Polizeidienst Y für Liveabfrage bei Verkehrskontrollen. Und auf einmal kann der Streifenpolizist Horst Huber aus Niederbayern seiner Exfreundin hinterherspitzeln.

Datensparsamkeit ist gegen so etwas der beste Schutz, und da ich nicht davon ausgehe dass die Dienste Datensparsamkeit in irgendeiner Form betreiben, bleibt die Datensparsamkeit an der anderen Seite hängen. Wie du schon schreibst: "wenn ich damit Probleme hätte, würde ich das Internet nicht, bzw. nur noch eingeschränkt nutzen. ". Gäbe es keine andere Möglichkeit müsste man das tun, aber warum sollte man wenn es reicht Browser X oder Distro Y zu installieren?

Ich bin kein Aluhutträger, ich bin auch nicht mit so einer Distro unterwegs, alles was ich sage ist: die Gründe so eine Distro zu benutzen sind jetzt nicht absolut an den Haaren herbeigezogen, und das betrifft eben nicht nur 'die Bösen'. Im Gegenteil: warum sollen 'die Bösen' Privatsphäre und Sicherheit bekommen und ich darauf verzichten, nur weil ich ein Guter bin?
Davon ab: wenn du irgendwo in Tackatuckaland sitzt, wo el Presidente den gesamten Netzverkehr überwacht und Kritiker mal kurz an die Wand stellt, kann so eine Distro auf einmal nicht mehr Luxus sondern Notwendigkeit sein.