Hauke Laging
2005-01-16 00:15:22 UTC
F'up2 dcoud
Hallo,
irgendwie bin ich mal wieder in der Stimmung, mich hier verprügeln zu
lassen, also los... <LOL>
Die praktische Sicherheit eines Computersystems hängt wesentlich
davon ab, ob und wie häufig sicherheitsrelevante Patches eingespielt
werden. Zumindest bei Anwendern ohne Administratortendenzen ist für
diese Häufigkeit von großer Bedeutung, wie stark sich diese
Möglichkeit dem Anwender aufdrängt sowie wie komfortabel und
automatisierbar sie ist.
Ich vermute, dass jede Linuxdistribution diese Herausforderung für
den von ihr abgedeckten Softwareumfang mehr oder weniger gut gelöst
hat.
Ich sehe nun das Problem, Software in die automatischen Patchzyklen
einzubeziehen, die mit der Distribution nichts zu tun hat. Das
dürfte vor allem kommerzielle Software betreffen. Natürlich macht
diese bei vielen Leuten nur einen sehr kleinen Teil der verwendeten
Software aus, dennoch erscheint es mir unsachgemäß, sich darüber
keine Gedanken zu machen.
Falls ich richtig informiert bin, gibt es heute keine cleverere
Lösung als die, dass derjenige, der die Software installiert hat,
sich irgendwie darum kümmert, diese Software aktuell zu halten.
Sicher lässt sich das irgendwie automatisieren, aber wohl nur
vergleichsweise individuell pro betroffener Software und damit auch
nicht für Joe User. An dieser Stelle will ich kurz anmerken, dass
ich nicht darüber diskutieren will, ob Joe User berechtigt sein
sollte, einen Computer an einem öffentlichen Netz zu betreiben usw.,
das ist eine andere Baustelle. Alle haben was davon, wenn auch Joe
User weniger Probleme hat (und damit auch verursacht).
Ich schlage vor, dieses Problem wie folgt zu lösen oder zumindest
anzugehen:
Die Paketverwaltungen sollten um einen standardisierten Eintrag
erweitert werden, der eine oder mehrere URLs enthält, unter denen
entweder Patches für diese Software oder aber Listen mit
Downloadadressen (also Mirrors) abgerufen werden können, natürlich
in einem ebenso einheitlichen Format.
Das Ergebnis wäre, dass das Patchwerkzeug der Distribution
automatisch Software mitpflegen könnte, die es "nicht kennt". Der
Anwender müsste dann nur für jeden Anbieter den digitalen Schlüssel
annehmen, aber das könnte man ja gleich bei der Installation
miterledigen.
Ohne echte Programmiererfahrung schätze ich, dass der Aufwand für
alle Beteiligten minimal wäre. Wenn die großen Distributionen das
unterstützten, zögen nach und nach die Softwareanbieter nach. Ganz
zu schweigen davon, dass bei Ausdehnung auf "normale" Updates (über
Sicherheitspatches hinaus) durchaus auch Supportkosten eingespart
werden könnten.
So, und nun immer feste druff.
F'up2 dcoud
CU
Hauke
Hallo,
irgendwie bin ich mal wieder in der Stimmung, mich hier verprügeln zu
lassen, also los... <LOL>
Die praktische Sicherheit eines Computersystems hängt wesentlich
davon ab, ob und wie häufig sicherheitsrelevante Patches eingespielt
werden. Zumindest bei Anwendern ohne Administratortendenzen ist für
diese Häufigkeit von großer Bedeutung, wie stark sich diese
Möglichkeit dem Anwender aufdrängt sowie wie komfortabel und
automatisierbar sie ist.
Ich vermute, dass jede Linuxdistribution diese Herausforderung für
den von ihr abgedeckten Softwareumfang mehr oder weniger gut gelöst
hat.
Ich sehe nun das Problem, Software in die automatischen Patchzyklen
einzubeziehen, die mit der Distribution nichts zu tun hat. Das
dürfte vor allem kommerzielle Software betreffen. Natürlich macht
diese bei vielen Leuten nur einen sehr kleinen Teil der verwendeten
Software aus, dennoch erscheint es mir unsachgemäß, sich darüber
keine Gedanken zu machen.
Falls ich richtig informiert bin, gibt es heute keine cleverere
Lösung als die, dass derjenige, der die Software installiert hat,
sich irgendwie darum kümmert, diese Software aktuell zu halten.
Sicher lässt sich das irgendwie automatisieren, aber wohl nur
vergleichsweise individuell pro betroffener Software und damit auch
nicht für Joe User. An dieser Stelle will ich kurz anmerken, dass
ich nicht darüber diskutieren will, ob Joe User berechtigt sein
sollte, einen Computer an einem öffentlichen Netz zu betreiben usw.,
das ist eine andere Baustelle. Alle haben was davon, wenn auch Joe
User weniger Probleme hat (und damit auch verursacht).
Ich schlage vor, dieses Problem wie folgt zu lösen oder zumindest
anzugehen:
Die Paketverwaltungen sollten um einen standardisierten Eintrag
erweitert werden, der eine oder mehrere URLs enthält, unter denen
entweder Patches für diese Software oder aber Listen mit
Downloadadressen (also Mirrors) abgerufen werden können, natürlich
in einem ebenso einheitlichen Format.
Das Ergebnis wäre, dass das Patchwerkzeug der Distribution
automatisch Software mitpflegen könnte, die es "nicht kennt". Der
Anwender müsste dann nur für jeden Anbieter den digitalen Schlüssel
annehmen, aber das könnte man ja gleich bei der Installation
miterledigen.
Ohne echte Programmiererfahrung schätze ich, dass der Aufwand für
alle Beteiligten minimal wäre. Wenn die großen Distributionen das
unterstützten, zögen nach und nach die Softwareanbieter nach. Ganz
zu schweigen davon, dass bei Ausdehnung auf "normale" Updates (über
Sicherheitspatches hinaus) durchaus auch Supportkosten eingespart
werden könnten.
So, und nun immer feste druff.
F'up2 dcoud
CU
Hauke
--
Helfen Sie Open Source! Petition gegen Softwarepatente
http://petition.eurolinux.org/index_html
----------------
Wie können 59.054.087 Leute nur so dumm sein?
Helfen Sie Open Source! Petition gegen Softwarepatente
http://petition.eurolinux.org/index_html
----------------
Wie können 59.054.087 Leute nur so dumm sein?