The US military wants to understand the most important software on Earth

and a third bad player could be found by us here in der USA...  ;-)

Alexander S. schrieb:
> Hallo,
>
> quelloffene Software hat den Vorteil, dass sie prinzipiell von vielen
> Experten auf Sicherheitslücken hin untersucht werden kann. Wenn aber
> sehr viele zum Quelltext beitragen, besteht das Risiko, dass bösartiger
> Code eingeschleust wird. DARPA untersucht dieses Risiko, hpts.
> hinsichtlich des Linux-Kernels, genauer.
>
>  The US military wants to understand the most important software on
> Earth
>

Well, good luck, guys 😉👍.
As long as it’s open source checking the source shouldn’t be a biggie 
however understanding is a wee bit different, isn’t it.

And as long as everybody (including countries, b.t.w) is able to modify 
the source who will keep the good guys from the other side of the 
Atlantic from modifying the software to fit their needs 😂😂😂

And to be clear - that’s not only a one way affair, isn’t it 😂

Them amateur english goes me on the biscuit so much.

Thats not good.
I break together.
I think i spider!  :(

such a childrengarden ;-)

The most important software on Earth is the human brain installed by the 
mice to find the question for the answer.

Heiner (Gast)
>And as long as everybody (including countries, b.t.w) is able to modify
>the source who will keep the good guys from the other side of the
>Atlantic from modifying the software to fit their needs 😂😂😂

Das ist der größte Irrtum mancher Open-Source Apologeten:
Es ist niemals möglich, eine Software auf vollständige Sicherheit zu 
prüfen, auch wenn man den Code einsehen kann.
Wenn ein Staat ein genügend großes IT-Wissenschaftler Team hinsetzt, die 
über mehrere Umwege Hintertüren verstecken wollen, werden sie es immer 
schaffen. Oder woher meinst du wohl kommen die großen Softwarebugs, die 
alle paar Monate in den Security Nachrichten entdeckt werden?

Achim M. (minifloat)

>Alexander S. schrieb:
>> he US military wants to
>... sneak in a killswitch ?

Been there,
Done that.

=> Intel Managment Engine
https://de.wikipedia.org/wiki/Intel_Active_Management_Technology

Friedhelm schrieb:
> Es ist niemals möglich, eine Software auf vollständige Sicherheit zu
> prüfen, auch wenn man den Code einsehen kann.

Das stimmt, die Lage ist aber trotzdem deutlich besser, wenn der Kernel 
und deren Update-Pakete quasi öffentliche Wege gehen.
Bei Microsoft musst du darauf vertrauen, dass deren "KB1337" 
Update-Paket nicht mal eben eine Hintertür rein patcht.
Bei Linux kannst du vom Quelltext über Changelog usw. alles einsehen und 
nachvollziehen.
Klar, der übliche Anwender macht das nicht. Bei dem muss man froh sein, 
wenn der überhaupt Updates installiert.
Im Sicherheits-kritischen Umfeld werden diese Pakete aber sehr wohl 
überprüft. Bei Open Source ist einfach die Chance größer, dass es 
auffällt wenn da etwas schief läuft.

Vor einigen Tagen war ich auf einem Vortrag, wie diese Untersuchung des 
Quellcodes mit KI-Unterstützung ergänzt werden soll.

Andre schrieb:
> Bei Linux kannst du vom Quelltext über Changelog usw. alles einsehen und
> nachvollziehen.

Das setzt aber auch voraus, dass auch dem cpp-Kompiler vertraut werden 
kann. Die darunter liegenden Assembler-Module, bzw. 
Maschinensprachen-Module, düfte es ganz dünne werden, wer diese kritisch 
einsieht.

Friedhelm schrieb:
> Heiner (Gast)
>>And as long as everybody (including countries, b.t.w) is able to modify
>>the source who will keep the good guys from the other side of the
>>Atlantic from modifying the software to fit their needs 😂😂😂
>
> Das ist der größte Irrtum mancher Open-Source Apologeten:
> Es ist niemals möglich, eine Software auf vollständige Sicherheit zu
> prüfen, auch wenn man den Code einsehen kann.

Guy, you didn’t read my comment properly and you didn’t understand my 
comment at all - I never stated that somebody’s able to check the code 
completely regarding back doors etc.
Just read it again 😉

Heiner schrieb:
> who will keep the good guys from the other side of the Atlantic from
> modifying the software to fit their needs

Die machen das ja nicht für uns oder dich, sondern für sich.

Wenn Du Sicherheit möchtes, musst Du selber aktiv werden oder anderen 
vertrauen.

A. S. schrieb:
> Heiner schrieb:
>> who will keep the good guys from the other side of the Atlantic from
>> modifying the software to fit their needs
>
> Die machen das ja nicht für uns oder dich, sondern für sich.
>
> Wenn Du Sicherheit möchtes, musst Du selber aktiv werden oder anderen
> vertrauen.

You also didn’t get the meaning of my comment: „…modifying the software 
to fit THEIR needs“ -> now whose needs?

1. Sorry, wenn Ihr nun jede der 25 Millionen Codezeilen prüfen möchtet, 
seid Ihr bis zur Rente oder bis zum nächsten Update noch nicht ganz 
fertig!
2. KI ist auch nicht schlauer als ihr Programmierer.
https://www.heise.de/newsticker/meldung/Zahlen-bitte-Linux-mehr-als-25-Millionen-Zeilen-Code-3845637.html

(prx) A. K. schrieb:
> Hinsichtlich Sicherheit ist der Vorzug von Open Source eher
> theoretischer Natur, wie ihr ja schon ausführtet. Wer in O.S.
> Hintertüren einbauen will, muss sich nur etwas mehr anstrengen.

Ich denk eher es geht um das Abgreifen von Daten. Da ist OpenSource m.E. 
auch recht anfällig dafür. Die Uhrzeit von einem Gugel-Server abfragen, 
den Internet-Vorhanden-Test usw.
Die Amis wollen halt, dass das dann bei Gugel, Amazun, Cloudflär usw. 
bleibt, wo sie dann Zugriff auf die Daten haben und nicht stattdessen an 
Yandex und Baidu.

Alexander S. schrieb:
> Wenn aber
> sehr viele zum Quelltext beitragen, besteht das Risiko, dass bösartiger
> Code eingeschleust wird.

Hat man doch vor einiger Zeit bei Linux gemacht. Irgendwelche "Forscher" 
von einer Uni haben absichtlich Fehler in den Code eingeschleust. Zu 
Forschungszwecken ;-) Ja, das funktioniert.

Alexander S. schrieb:
> quelloffene Software hat den Vorteil, dass sie prinzipiell von vielen
> Experten auf Sicherheitslücken hin untersucht werden kann

Die Praxis zeigt, dass das ein Märchen ist. Viele benutzen OpenSSL, aber 
die (ein paar) Entwickler hatten keine Ressourcen und keine Zeit um 
Heartbleed-Problem zu vermeiden / zu entdecken.

schrieb im Beitrag #7129269:
> Yandex und Baidu
Wenn z.B. die Suchwörter transparent weitergeleitet werden, könnten sie 
schön abgreifen und sparen sich viel Arbeit und Rechenleistung?
Einen Schraubenschlüssel kann man gut kontrollieren, ob er in Ordnung 
ist, bei SW im Netz ist es "etwas" mühsamer.

Friedhelm schrieb:
>>Alexander S. schrieb:
>>> he US military wants to
>>... sneak in a killswitch ?
>
> Been there,
> Done that.
>
> => Intel Managment Engine
> https://de.wikipedia.org/wiki/Intel_Active_Management_Technology

Warum so weit weg? SE Linux!