Kommentar von Firma zu SSL Bug

Allein schon die Sprache ist sowas von unprofessionell und daneben, dass 
ich bei DIESER Firma sicher nicht kaufen würde.
Welcher Chef ist so bekloppt, so etwas zu veröffentlichen?

Aus welcher Zeitschrift kommt das?

Aha, FAZ.
http://blog.patricksauer.net/security/tag/heartbleed/

Wenn die Qualität des Produktes so hoch sein soll, warum ist der Artikel 
dann nicht auf ähnlichem Niveau, wo doch offensichtlich der Autor für 
beides verantwortlich ist und einen gewissen Anspruch an sich selber zu 
stellen scheint?

Ein duemmlicher Schwaetzer. Jagt den Troll raus.

Euer Genöle hier zeigt eure erbärmliche Geisteshaltung. Der Autor hat 
mit all dem was er schreibt nicht nur recht, sondern er trifft damit den 
Nagel auf den Kopf. Er ist ein erfahrener Programmierer und eben keiner 
dieser 17-jährigen Freizeitcoderhanseln, die hier an etwas 
herumfrickeln, an dem keiner rangehört, der solche VOLLIDIOTEN Fehler 
baut, wie eben geschehen.

Auch als erfahrener Programmierer ist man nicht automatisch davor 
geschützt, dass niemals Vollidioten-Fehler im Code landen.

"des weiteren"
    ~~~

Die korrekte Schreibweise ist allgemein bekannt.
Herr Brandstätter scheint mir nicht übermäßig intelligent.

Kommentator schrieb:
> Er ist ein erfahrener Programmierer und eben keiner
> dieser 17-jährigen Freizeitcoderhanseln
Und eben diese 17-jährigen Freizeitcoderhansel finden tag täglich 
sicherheitslücken in Software die von solchen "professionellen und 
erfahrenen Programmieren" kommt. Wer ist da jetzt wo an welcher Stelle 
"besser Qualifiziert" oder hat "mehr Erfahrung"?

Die Freizeitcoderhansel machen die einen Fehler, die erfahrenen 
Programmierer machen dafür andere Fehler: siehe goto-Fehler von Apple 
und Co. Der Fehler ist nicht weniger schlimm und peinlich.
Und wie ist der entstanden? Auch aus einem
Kommentator schrieb:
> VOLLIDIOTEN Fehler
Glaubst du da war auch ein Freizeitcoderhansel dran?

Kommentator schrieb:
> Euer Genöle hier zeigt eure erbärmliche Geisteshaltung
Und dein Genöle ist kein bisschen besser.

Wer ohne Sünde ist, werfe den ersten Stein...
So wie der rumault und den Entwickler beschimpft, hat er sicher noch nie 
einen schwerwiegenden Bug in seiner Software gehabt. Moment...

Außerdem ist jede Firma selbst schuld die das benutzt, hat die den für 
OpenSSL bezahlt? Keinen einzigen Cent.

Außerdem ist mir Open-Source-Code, wo jeder rein schauen kann (was ja 
der herr super-programmierer bemängelt), tausendaml lieber, als Code wo 
keiner außerhalb der Herstellerfirma reinschauen kann, gerade wenn 
es um Sicherheit geht! Open-Source-Code kann ich einer unabhängigen 
Sicherheitsüberprüfung unterziehen, Zeile für Zeile, ohne womöglich 
tausende von euro für den Code hinlegen zu müssen und ohne 
knebelvertrag. Natürlich kann man sich das auch Sparen, und auf das 
Versprechen des Herstellers vertrauen, denn die wissen ja was sie tun... 
und die machen bestimmt niemals fehler...

TriHexagon schrieb:
> Außerdem ist jede Firma selbst schuld die das benutzt, hat die den für
> OpenSSL bezahlt? Keinen einzigen Cent.
Der Meinung bin ich auch. Zwingt ja keiner die Firmen dazu, OpenSSL zu 
benutzen. Steht ja jedem frei, sein eigenes Ding, volkommen fehler frei, 
zu basteln. Ist bestimmt schnell gemacht. Für so hoch qualifizierte 
Programmierer müsste das ja eine Fingerübung sein, und die eigene Lösung 
sollte damit doch in einer Woche vollständig umgesetzt sein...

> Und eben diese 17-jährigen Freizeitcoderhansel finden tag täglich
> sicherheitslücken in Software die von solchen "professionellen und
> erfahrenen Programmieren" kommt.

Und soll das jetzt die Rechtfertigung dafür sein, dass hier derart 
gepennt wurde?

> Und dein Genöle ist kein bisschen besser.

Darum geht's auch nicht. Aber dieses aus Prinzip jeden Bockmist 
verteidigen, bloß weil's aus der OpenSource Ecke kommt, ist 
symptomatisch. Und wenn euch dann mal erfahrene Leute die Meinung (zu 
recht) geigen, dann wird reagiert, als ob man einem Haufen ereifernder 
Kids gerade den Strom für die LAN Party abgedreht hat. Da fallen dann 
die 'alles ist umsonst und deswegen hat man's nicht zu kritisieren' 
Kinnladen herunter und das Genöle geht los.

Nur noch mal zur Erinnerung, an OpenSSL herumdoktorn ist sowas wie eine 
Operation am offenen Herzen ausführen! Das überlässt man nicht einem 
Krankenpfleger, der gerade einen Abendkurs in Wundbehandlung absolviert. 
Schon der Umstand, dass der Deppenfehler in der Sylvesternacht geschah, 
lässt einen erahnen, wie "wichtig" oder besser gesagt, zweitrangig man 
das Herumfummeln an einer der wichtigsten Schnittstellen der heutigen IT 
befand. Genausogut hätte der "Developer" seinen Code in der 
Fußgängerzone bei Mc Donald mit einem Ketchup verschmierten Burger in 
der Hand in sein iPad hacken können.

Wenn du hier herausstellst, wie toll doch von solchen Frickelbrüdern 
immer Sicherheitslücken gefunden werden, dann unterschlage bitte schön 
nicht, dass eher noch viel mehr Programmierfehler durch genau die 
gleichen Leute in die Software erst mal hineingecodet werden! Man kann 
nicht nur sich die guten Seiten herauspicken und die ganzen Bugs nur 
immer den Firmen zuschreiben. Wenn der SSL-Bug hier von MS verursacht 
worden wäre, das Gemaule der Opensource'ler wäre unüberhörbar 
herablassend shitstormartig übers Netz gefegt.
Man sollte auch besser mal von ausgehen, dass das (wie der Autor 
anmerkt) wohl nicht der einzige Bug sein wird, da ja nach allem was 
bekannt ist keine hinreichende Qualitätskontrolle bei OS-SW stattfindet.

> Zwingt ja keiner die Firmen dazu, OpenSSL zu
> benutzen. Steht ja jedem frei, sein eigenes Ding, volkommen fehler frei,
> zu basteln.

Das ist blanker Unfug. Ich empfehle mal ein bisschen sich mit Frank 
Schirrmacher's Äußerungen diesbezüglich zu befassen. Der Glaube jeder 
könne hier heutzutage noch frei handeln und sich einfach ausklinken und 
damit seine individuelle Sicherheit erhöhen ist ein Ammenmärchen und 
zeugt nur davon, dass man gar nicht verstanden hat, wie Abhängig wir 
alle heutzutage von der IT sind. Genausogut könnte die NSA sagen, "wir 
hören schließlich nur ab, was ihr freiwillig an Informationen preisgebt" 
und als Empfehlung könnten sie sagen, "stellt doch einfach alle eure 
digitale Kommnunikation ein". Wohl wissend, dass das der Tod aller 
Industrienationen sein würde und es deswegen sowieso nicht geschieht.

Dass wir als EU mit 365 Mio Menschen nichtmal eine europäische 
Suchmaschine zustande bringen und schon gar keine Ratingagenturen ist 
der beste Beweis für unsere Abhängigkeit vom Status Quo. Wir regeln 
jeden Scheiss bis ins Kleinste, nur für die wichtigsten Schnittstellen 
unserer Zeit gibt es anscheinend keinen echten Qualitätstüv, keine 
unabhängige Prüfung durch ECHTE - WEIL HOCH BEZAHLTE - Spezialisten und 
nicht irgendwelche Sylvester-Freizeitcoder, die sich damit ihre 
Promotion ergattern wollen. Der Fisch stinkt hier am Kopf und zwar an 
einer falschen, weil zu lachsen Einstellung gegenüber der eigenen Zunft 
gepaart mit dem Unvermögen staatlicher Stellen, die wirklich wichtigen 
Dinge zu regeln und die weniger wichtigen uns nervenden Belange auch mal 
in Frieden zu lassen.

Mehr schreibe ich dazu jetzt nicht. Ist ja doch sinnlos und wird vom 
Shitstorm weggepöbelt und ich möchte mir mein Restostern in Rage redend 
nicht noch gänzlich versauen.

Dabke für den Hinweis auf den Kommentar von Herrn Brandstätter. Auch 
wenn er etwas zugespitzt war, so liegt er in der Sache richtig. Anders 
findet man kein Gehör mehr heutzutage.

Kommentator schrieb:
>> Zwingt ja keiner die Firmen dazu, OpenSSL zu
>> benutzen. Steht ja jedem frei, sein eigenes Ding, volkommen fehler frei,
>> zu basteln.
>
> Das ist blanker Unfug. Ich empfehle mal ein bisschen sich mit Frank
> Schirrmacher's Äußerungen diesbezüglich zu befassen. Der Glaube jeder
> könne hier heutzutage noch frei handeln und sich einfach ausklinken und
> damit seine individuelle Sicherheit erhöhen ist ein Ammenmärchen und
> zeugt nur ... Bla bla bla bla ....

Ein unglaublicher Text ohne wirklich darauf einzugehen. Wo kommt den 
Antwort nun. OpenSSL wird niemand aufgezwungen. Es gibt sogar 
Alternativen. Er ist geizig sein und dann schimpfen, dass im Maul des 
geschenkten Gauls nicht alles in Ordnung ist.

Kommentator schrieb:
> weil zu lachsen Einstellung gegenüber der eigenen Zunft
> gepaart mit dem Unvermögen staatlicher Stellen, die wirklich wichtigen
> Dinge zu regeln

Aha. OpenSSL soll verboten werden? Was ist denn, wenn die staatliche 
Pflichtsoftware mal einen Fehler hat? Ich frage mich wirklich gerade, 
was für Leute hier in diesem Forum sich bewegen.

Ach Leute,
der "BUG" ist er erst dadurch entstanden weil unter OpenBSD das malloc 
so schön "langsam" ist, eben wegen der Sicherheit und deswegen mal eben 
eine eigene "Speicherverwaltung" zusammen geschrieben wurde.
OpenSSL ist wesentlich mächtiger als alle anderen Implementierungen, 
eben weil da sehr viele Leute selbst Hand angelegt haben um das an deren 
"Problem" anzupassen.
Kommerzielle Software sieht idR intern wesentlich schlimmer aus als 
OpenSource, da gibt's dann Termindruck vom Cheffe und schon wird schnell 
mal ein Stub reingeklatscht damit der Kunde auch Klickibunti sehen kann.
Wenn's dann ein halbes Jahr später knallt weiß natürlich keiner woran es 
liegt und es kann niemals die teuer gekaufte Software sein, das liegt an 
was anderem wenden sie sich bei weiteren Fehlern an unseren 
eightlevelsupport unter der Nummer 0-666-XXX ...
Das nun alle rauskommen und darauf herumhauen ist doch klar, nur 
vergleicht mal die regelmäßigen BUGs in z.B. FLASH oder MS-Windows, 
einfach mal die bekannten Sicherheitsseiten durchgehen und mal einen 
Mittelwert bilden wieviele kommerzielle Software von Sicherheitslücken 
betroffen ist und wieviele OpenSource.

Brandstätter nutzt das ganze halt zur Eigendarstellung, was ich ihm 
nicht verübeln kann: Dinge wie eine eigene SSL-Implementierung und der 
dahinterstehende Aufwand werden im Alltag von den wenigsten Kunden 
honoriert.

Nadann,
schaut Euch die Webseite der Firma "HOB" in Cadolzburg bei Fürth halt 
mal an. Die ist genau so aufsprecherisch wie dieser Artikel. Produkte 
und Leistungen kann ich da im Grunde nicht entdecken.

Dass der "CEO" (allein diese Bezeichnung für den Inhaber eines 
Kleinbetriebes ist schon mehr als peinlich) mal auf einem Gymnasium war 
(und auch noch vor 40 Jahren) ist ja schon kaum zu glauben, angesichts 
des sprachlichen Niveaus, das ja -vorsichtig ausgedrückt- etwas prollig 
ist.

S.

Rufus Τ. Firefly schrieb:
> Auch lesenswert:
>
> http://www.hob.de/news/2014/news0714.jsp

Inhaltlich sind die Artikel bewußt auf dem Niveau von Lieschen Müller 
geschrieben, mich erschreckt eher die mangelhafte Zeichensetzung ;-)

Einen CEO kann man ab 3 Personen haben.
1. Den Key Account Officer = Sachbearbeiter = der Knecht
2. Den Exekutive Officer = der Vorarbeiter
3. Den Chief Executive Officer = der Chef

Rufus Τ. Firefly schrieb:
> Auch lesenswert:
>
> http://www.hob.de/news/2014/news0714.jsp

Zeugt auch von einem katastrophalen Fehlverständnis des Problems 
überhaupt. Zitat:
> Wenn also jemand das Heartbleed-Problem ausnutzt, dann merkt man das
> weil ab und zu der Webserver abstürzt.

Das böse am Heartbleed ist ja eben, dass man es nicht bemerkt, wenn er 
ausgenutzt wird. Und noch viel schlimmer, dass es ja überhaupt nicht 
darum geht, dass der Server abstürzt. Vielmehr wäre das ja sogar 
wünschenswert, denn dann würde nix bleeden.

Im heise Forum kam das Thema auch gerade auf. Der Webserver dieser Firma 
scheint zumindest OpenSSL zu verwenden, wenn man dieser Seite Glauben 
schenken darf:
https://www.ssllabs.com/ssltest/analyze.html?d=hobsoft.com

"Comon Criteria ist ein internationaler Standarad [..] an welchem auch
die NSA mitarbeitet. Die NSA weiß schon was sicher ist. [..] HOB-SSL hat
diese Common Criteria EAL 4+ Zertifizierung geschafft."

Naja, wenn man bedenk dass die NSA es nicht einmal geschafft hat die USA
vor Whistleblowern wie Chelsa Manning und Edward Snowden (eigenes 
Intranet) zu "bewahren". Trotz Hinweise nicht fähig sind Terrorsnschläge 
zu verhindern (Boston Marathon), gerade mal dazu in der Lage sind 
irgendwelchen Firmen das Einbauen von Backdoors einzutrichtern, dann 
frag ich mich auf welche Sicherheit er sich berufen will.

Außerdem, wer sagt dass die in seinem Code keinen Fehler gefunden haben 
und den nur für sich behalten haben, weil sich der so schön als Backdoor 
nutzen lässt ;-)

Ist das der gleiche Kerl:

http://www.kryptochef.de/