Linux Talk

El_Gato schrieb:Ich denke schon,

das heist wohl genauer "Ich (bzw. du) glaubst das (oder hoffst das)". Nun ja, bekanntlich ist ja die Hoffnung das Letzte was einem bleibt. Falls dir mal die Hoffnung ein Review der aktuellen Truecrypt-Software vorbei bringt, dann lass es mich wissen.

@El_Gato

Aber ich gebe dir in einem natürlich Recht. Jemand "könnte" die Software reviewen ist natürlich besser als "niemand kann die Software reviewen" Im der Praxis laufen diese beiden Fälle aber leider auf das Gleiche hinaus. Man hat eine Software von der man zwar "glaubt" sie mache dies und jenes, man weis es aber nicht.

@UffTaTa

Selbst wenn TrueCrypt nicht NSA-sicher ist, so schützt TrueCrypt doch vor den neugierigen Blicken unserer Ermittlungsbehörden hierzulande. Die zumindest beißen sich tatsächlich die Zähne daran aus.

@El_Gato

Wenn du meinst. Eigentlich war das mit truecrypt ja auch nur ein Beispiel um aufzuzeigen das es mit der veröffentlichung des source codes nicht getan ist und das dadurch nicht eine "zwangsläufige" Aufdeckung von Backdoors oder gewollten Schwächen verbunden ist. Etwas woran die OpenSource-Szene ja glaubt wie der Katholik an die unbefleckte Empfängnis.

@UffTaTa

UffTaTa schrieb:das heist wohl genauer "Ich (bzw. du) glaubst das (oder hoffst das)". Nun ja, bekanntlich ist ja die Hoffnung das Letzte was einem bleibt. Falls dir mal die Hoffnung ein Review der aktuellen Truecrypt-Software vorbei bringt, dann lass es mich wissen.

Open Source ist ungleich Freier Software. Die Probleme mit Truecrypt wurden bereits angesprochen. Was ist mit der Krypto-Implementierung im Kernel?
Es gibt ja auch noch Krypto-Module für Linux die von Universitäten im Rahmen der Forschung entwickelt wurden, z.B. um durch die Nutzung von CPU Registern Cold Boot Attack zu verhindern

UffTaTa schrieb:Wenn du meinst.

Ist auch so. Wenn der Staat deine verschlüsselten Datenträger konfisziert und die merken, daß sie da nicht durchbrechen können, dann schickt dir der zuständige Staatsanwalt einen Brief, in dem er dich mehr oder minder freundlich auffordert, den Schlüssel rauszurücken und du deine HDD wahrscheinlich mit TC verschlüsselt hast. Das musst du aber nicht machen, weil kein Verdächtiger sich selbst belasten muss.

RaChXa schrieb:Es gibt ja auch noch Krypto-Module für Linux die von Universitäten im Rahmen der Forschung entwickelt wurden

Ja, sowas gibt es auch. Hat sich jemand als mal die Mühge gemacht zu schauen in welchem Auftrag und mit welcher Unbterstützung viele solcher Forschungsaufträge laufen? Da ist häufig Militär oder Geheimdienste involviert. Verständlich, die brauchen ja auch Kryptographie aber ebenso ist das eine Möglichkeit der EInflußnahme.

Mir gehtz es eigentlich nur darum den openSource-Jüngern mal nahezubringen das OpenSource kein Allheilmittel ist gegen Einflußnahme, Hintertüren in Code und gezielten Schwächen in der Implementierung (oder schon dem Design).

Immer wieder findet man auch solche Löcher in OpenSource-Projekten. Sehr selten durch Code-Review, meist durch Verhaltenauffälligkeiten. Und dann merkt man dass diese Schwächen schon seit Jahr und Tag unbemerkt im Code waren. Aber in der OpenSOurce-Szene halten sich nun mal gerne gewisse Mythen. Die der Sicherheit von OpenSource ist, meiner Meinung nach, der gefährlichste Mythos. Dabei ist der Security-Ticker von Heise voll von Schwachstellenwarnungen in openSource-Produkten.

Auch die angebliche so tolle inhärente Sicherheit von Linux-OS finde ich ist ein sehr gefährlicher Irrglauben. Da werden in freier Wildbahn wild irgendwelche Repos ins System mit aufgenommen, das Dateisystem hat nicht mal ACLs, auch nicht auf dem Datei-Serversystem (jaja, samba ist ja so sicher), AppAmor und Ähn liches ist nur nervig, aber um die Sicherheit von Linux soll ich mir ja keine Gedanken machen. Und wenn es dann mal knallt dann ist natürlich der Anwender schuld der sein System falsch aufsetzt. Bei Windows ist aber niemals der Anwender Schuld, da ist immer MS schuld (Mal überspitzt ausgedrückt).

Nee, Mythen sind was für die Märchenstunde und sollten in der Technik nix zu suchen haben. Eine Tatsache die sich gerade die Fans von FOSS und Linux mal hinter die Ohren schreiben sollten.

Ich stimme UffTaTa zu. Mir sind keine Belege dafür bekannt das Open Source bedeutend sicherer ist.
Was ich sehe sind massenhafte Sicherheitslücken, in geschlossenen und offenen Programmen.

Den Quellcode von Programmen lesen übrigens nicht nur gutmütige Helfer sondern auch die bösen Jungs.
Diese Sache nützt also nicht nur der Verteidigung sondern auch dem Angriff.
Genau wie bei closed Software viele Bughunter die Sicherheitslücken freundlich melden und so auch dazu beitragen solche Programme sicherer zu machen.

Ich denke diese Tatsache sorgt dafür, dass die Sicherheit beider Software Varianten ausgeglichen ist. Die Vorteile von Open Source sehe ich vor allem aus gesellschaftlicher und philosophischer Sicht, wenn auch nicht so weitgehend wie bei freier Software.

Sicherheit ist ein ewiger weitgehend ausgeglichener Kampf. Es verhält sich regelrecht wie die Evolution und die Natur. Es gibt keine Sicherheit/Fähigkeit die einen ewigen Vorsprung garantiert, es ist immer eine Frage der Zeit bis die Angreifer sich entsprechend evolutionär neu anpassen und auch die neuen Hürden brechen :D
Open Source ist da halt auch keine Magie und ist den gleichen Naturgesetzen unterworfen.

Ein Software Konzept kann Vorteile für die Sicherheit bieten, solange bis auch die Angreifer ihre Strategien anpassen und noch effektiver vorgehen können.

@UffTaTa

UffTaTa schrieb:Ja, sowas gibt es auch. Hat sich jemand als mal die Mühge gemacht zu schauen in welchem Auftrag und mit welcher Unbterstützung viele solcher Forschungsaufträge laufen? Da ist häufig Militär oder Geheimdienste involviert. Verständlich, die brauchen ja auch Kryptographie aber ebenso ist das eine Möglichkeit der EInflußnahme.

Jaja und die ganzen Studenten/Doktoranden die sich im Rahmen ihrer Graduierungsarbeit damit auseinandersetzen und deren Professoren sind auch alle geschmiert.

Hier mal so ein Projekt (übrigens an einer deutschen Uni):
http://www1.informatik.uni-erlangen.de/tresor

Lightstorm schrieb:Genau wie bei closed Software viele Bughunter die Sicherheitslücken freundlich melden und so auch dazu beitragen solche Programme sicherer zu machen.

Und dann darf man warten bis die Entwickler sich erbarmen das irgendwann mal zu fixen.
Das ganze offene und transparente System des Bug-Trackings wie es fester Bestandteil der Freien Software Community ist halte ich da für deutlich überlegen.

UffTaTa schrieb:Das ist meistens so wenn man sich nicht auskennt. Ich habe noch nie einen linux-fan erlebt der geübt mit der powershell umgehen kann. Sowas gibts wohl einfach nicht.

Ich wette Linux-Fans können durchschnittlich besser mit der Windows Powershell umgehen als Windows-Fans. ;)
Es gibt Windows-Fans die wissen nicht mal was die Powershell ist.

Wie auch immer auf Unixoiden ist die Shell viel flexibler.
Bei unixoiden Shells sind die meisten "Befehle" nicht in die Shell integriert, sondern sind eigenständige Unix- bzw. GNU-Programme.
Die Shell ist austauschbar z.B. gibt es neben der Bash noch die C-Shell oder die sehr mächtige Zsh.
Bei GNU/Linux ist das Eingabe-Frontend nicht die Shell selbst, denn eine (virtuelle) Konsole kommuniziert über ein Terminal mit der Shell bzw. eine Terminalemulation auf X kommuniziert über ein Pseudoterminal mit der Shell.

UffTaTa schrieb:In einem Wutsch auf 2000 Rechnern 20 verschiedene Software installieren, abhängig von OS-Version, Benutzer und Standort und das mit 20 Regeln die ich in 20 Minuten anlege. Und das wird dann in 10 Standorten auf 5 Kontinenten ausgeführt ohne das ich noch mal nachschauen muss.

Hm... Lässt sich sicher auch mit GNU/Linux machen. Ob in 20 min weiß ich jedoch nicht.
Mit welchem Tool hast du das gemacht?

UffTaTa schrieb:Ich habe noch nie einen linux-fan erlebt der geübt mit der powershell umgehen kann. Sowas gibts wohl einfach nicht

Dafür können wir auf Macs in der Shell kompilieren ;)

Trotzdem ist der Vergleich komisch, da Profis wohl mit allem umgehen werden müssen. Persönlich kenne ich zwei Netzwerkadministratoren mit Uni-Abschluss, und die mussten für ihre Abschlussprüfungen mit praktisch allen Systemen, die am Markt sind, headless arbeiten können. Ohne GUI.

Und nur, weil ich alle sechs Monate Windows anwerfe, zwei Stunden ins Café gehe, bis alle Updates eingespielt sind, um das blöde iPad via itunes zu syncen, brauche ich genauswenig Kenntnisse von einer Windows-Powershell, wie ein Windowsnutzer, der surft und seine Mails anschaut, Kenntnisse der Bash benötigt.

Damit ich meinen Wagen fahren kann, lerne ich auch nicht die Funktion aller Lenkrad-Knöpfe eines Formel-1-Rennwagens.

@Branntweiner

Also das ist jetzt relativ scheisse. Wenn ich die Details aufrufe, sucht der Rechner ja nach Updates. Bei mir steht da nach ein paar Sekunden "Install Updates" und wenn ich auf den entsprechenden Button klicke, passiert da gar nichts. :nerv:

Das ist nicht weiter tragisch, da ich das auch mit dem Befehl

sudo apt-get dist-upgrade

machen konnte. Aber dennoch nervt mich das jetzt ein wenig...

@RaChXa

RaChXa schrieb:Und dann darf man warten bis die Entwickler sich erbarmen das irgendwann mal zu fixen.
Das ganze offene und transparente System des Bug-Trackings wie es fester Bestandteil der Freien Software Community ist halte ich da für deutlich überlegen.

So einfach ist das auch bei OpenSource-Projekten nicht.
Spätestens dann, wenn das Projekt eine bestimmte Größe überschritten hat, ist man, auch wenn man Programmierkenntnisse hat, vom Wohl oder Übel der Entwickler des Projekts abhängig.
Denn leider sind viele OS-Projekte nicht ausreichend genug dokumentiert, damit man in einem normalen zeitlichen Rahmen, oder andere Versierte, selber Änderungen am Projekt vornehmen könnten.

El_Gato schrieb:Wenn ich die Details aufrufe, sucht der Rechner ja nach Updates. Bei mir steht da nach ein paar Sekunden "Install Updates" und wenn ich auf den entsprechenden Button klicke, passiert da gar nichts

Der automatische Updater? Oder welches Programm meinst du? Synaptics ist meiner Meinung ein Spitzenprogramm für Updates (das nehme ich sehr oft), und der Update-Notifier bei Gnome ist mit diesem Programm verbunden.

Eigentlich sollte bei Debian Stable im Hintergrund täglich oder so nach Updates gesucht werden und die Datenbank aktualisiert werden. Wenn Sicherheitsupdates reinkommen, werden die nach Anklicken installiert (nach Root-Passwort wird noch gefragt). So macht das Debian mit Apper (KDE).

Nachdem Gnome der Hauptdesktop bei Debian ist, sollte das eigentlich funktionieren, ich kann das aber nicht austesten.

@Branntweiner

Vielleicht liegt es auch nur daran, weil ich eine Version mit Xfce als primären Desktop installiert habe.

El_Gato schrieb:Vielleicht liegt es auch nur daran, weil ich eine Version mit Xfce als primären Desktop installiert habe

Sollte eigentlich nicht. XFCE sollte so einiges an den Gnome-Helferleins mitinstallieren.

Ist update-notifier installiert? Der sollte das eigentlich handeln (ist ein Übergangspaket, das gnome-packagekit zieht).

@Branntweiner

Weiß ich nicht. Wenn du mir den entsprechenden Befehl dafür mitteilen würdest... :vv:

El_Gato schrieb:Wenn du mir den entsprechenden Befehl dafür mitteilen würdest

Gerne. Am besten zwei:

apt-cache policy update-notifier gnome-packagekit aptitude search update-notifier gnome-packagekit

Danke. Ich habe die Befehle eingegeben und die Shell gibt folgendes aus. Ich kann zum jetzigen Zeitpunkt aber leider nicht prüfen, ob es den gewünschten Erfolg erbracht hat, da ich vorhin mittels Kommandozeile das Update durchgeführt habe.

an602@debian:~$ apt-cache policy update-notifier gnome-packagekit update-notifier: Installed: (none) Candidate: 0.99.3debian11 Version table: 0.99.3debian11 0 500 http://ftp.de.debian.org/debian/ wheezy/main i386 Packages gnome-packagekit: Installed: (none) Candidate: 3.4.2-2 Version table: 3.4.2-2 0 500 http://ftp.de.debian.org/debian/ wheezy/main i386 Packages an602@debian:~$ aptitude search update-notifier gnome-packagekit p gnome-packagekit - Graphical distribution neutral software ma p gnome-packagekit-data - Data files for graphical distribution neut p update-notifier - Daemon which notifies about package update p update-notifier-common - Files shared between update-notifier and a p update-notifier-kde - update notifier for the KDE Plasma Desktop an602@debian:~$

El_Gato schrieb:ob es den gewünschten Erfolg erbracht hat

Doch! Perfekt.

Der update-notifier sollte genau das tun, was du wünscht: dich auf Sicherheitsupdates hinweisen und sie bequem installieren lassen.

Mein Vorschlag (als root):

apt-get update && apt-get install update-notifier

Wenn wieder mal ein Sicherheitsupdate kommt, das dich betrifft, solltest du im Tray (bei Gnome geht das so) informiert werden. Das kann bei Debian Stable auch mal etliche Tage dauern.

Falls du einen sehr brauchbaren Paketverwaltungsprogramm wünscht, schau dir mal Synaptic an (mein absoluter Favorit bei jeder Desktop-Umgebung):

apt-get install synaptic

@Branntweiner

Sehr schön. Wie es scheint, ist Synaptic schon installiert. :)

Ich habe bemerkt das bei mir kein Ton geht wenn HTML5 Inhalte abgespielt werden. Weder im Firefox, noch in Chromium.
Wenn ich z.B. ein HTML5 YouTube Video anschaue, dann kommt kein Ton, auch auf anderen Testseiten funktioniert kein Audio von HTML5 Formaten.
Nur von Flash Inhalten kommt ein Ton.

Eine Idee woran das liegen könnte?
Ich vermute mal irgendwas mit dem Audio Server, denn das Problem existiert in Chromium und Firefox, obwohl beide diese Audio Formate unterstützen.

Weiß jemand, wie zum Teufel ich das libdvdcss in VLC Player zum laufen kriege? Google liefert ums verrecken keine brauchbaren Ergebnisse...

Hat sich erledigt, habe es nun doch geschafft. Nach dieser Anleitung hier bin ich vorgegangen:

http://pkgs.org/debian-squeeze/multimedia-main-i386/libdvdcss-dev_1.2.10-0.3_i386.deb.html

:D