News CoreOS – Google-Infrastruktur für jedermann

[freacore]

Habe ich es richtig verstanden, dass man mit CoreOS Serverfarmen verwalten kann. Funktioniert das auch für kleine Netzwerkumgebungen?
Was kann man damit noch machen?

 

[mensch183]

Funktioniert das auch für kleine Netzwerkumgebungen?

Funktionieren bestimmt. Nur hast du beim Einrichten höheren Aufwand ggü. der Nutzung einer 0815-Distribution. Vorteile enstehen erst durch die Mehrfachnutzung der einmal konfigurierten Dienste-Container. Im kleinen Netz wirst du kaum Dienste vielfach in immer gleicher/ähnlicher Konfiguration benötigen.

 

[Straputsky]

Da hätte ich dann doch noch ein bis zwölf Rückfragen...

Aber OpenSource ist nicht autom. sicherer, kein Stück, du kannst immernoch Backdoors und ähnliches untergeschoben bekommen.

Wenn ich die Firma Microsoft kompromittiere, dann habe ich zwangsläufig Windows-Installationen kompromittiert - und zwar alle. Wenn ich Google kompromittiere, dann habe ich vielleicht auch Android kompromittiert - aber auch alle? Was ist mit CM&Co, Samsung, HTC, Amazon...?
Wenn ich beim kompilieren etwas unterschiebe, dann gilt das aber auch nur für die Installationen, welche sich meine kompromittierte Version geladen haben. Alle anderen sind außen vor. Das heißt selbst wenn ich als Nutzer etwas Vorgefertigtes lade, ist nicht gesagt, dass meine Quelle auch kompromittiert ist. Bei Windows wäre dies durchaus der Fall, da es nur eine Quelle gibt. Sicherer ist es mE also durchaus - aber eben nicht vollkommen sicher.

Man sehe sich nur diese Github Schwachstelle an, hätte das jemand mit Linus Torvalds Github-Zugang auf den Linux Kernel gemacht und eine kryptische Performanceoptimierung in den Code eingebaut

Das setzt aber auch voraus, dass z.B. Herr Torvalds keinerlei Sicherheitsmaßnahmen aufgestellt hat, um solche Angriffe aufzudecken. Bei einer so zentralen Figur sehe ich das Problem eher darin, dass dieser selbst kompromittiert werden könnte, als dass jemand in seinem Namen Schadcode einschleusen kann.

OpenSource ist kein Allheilmittel, genauso wenig wie ClosedSource. Beide teilen größtenteils ähnliche Probleme.

Sehe ich fundamental anders (bezieht sich auf den zweiten Satz).

Schwachstelle bei ClosedSource ist der zentrale Ansatz und die begrenzte Entwicklerzahl. Es existiert eine Firma - packe ich die bei den Eiern, habe ich das ganze Produkt im Sack. Das Problem ist bei OpenSource weniger präsent, da sich dann halt einfach ein Bereich abspaltet und die komplette Software unter neuer Leitung weiterbetrieben wird. Mach das mal bei Microsoft... Ich kann bei OpenSource den Zugriff nicht derartig begrenzen, so dass Mitarbeiter und Interessierte keine Möglichkeit haben, nachträgliche Ergänzungen oder Änderungen zu bemerken. Je mehr Nutzer so ein Teil hat, um so höher ist auch die Wahrscheinlichkeit, dass dergleichen aufgedeckt wird. Bei ClosedSource ist dieses Problem weitaus weniger präsent.
Was die begrenzte Entwicklerzahl angeht: Ob Microsoft nun 100Mio Lizenzen oder 200Mio Lizenzen verkauft - die Anzahl der Entwickler in der Firma wird nicht signifikant steigen. Bei Open-Source ist die Korrelation ausgeprägter. Eine stärkere Verbreitung sorgt auch für mehr Manpower. Dadurch verschiebt sich das Ganze. Am Anfang mag das noch relativ parallel laufen (mehr Mitarbeiter bei OpenSource, mehr Angestellte bei ClosedSource) aber irgendwann wird eine Firma keine weiteren Programmierer mehr einstellen. OpenSource hingegen ist OpenEnd, da wirklich jeder dazu beitragen kann, was bei ClosedSource nicht so einfach möglich ist. Daher würde ich behaupten, dass es irgendwo einen Break-Even-Point gibt, ab dem OpenSource anfängt sicherer zu sein, als ClosedSource.
Zudem: Eine entdeckte Schwachstelle mag in ClosedSource nur notdürftig geflickt werden, ohne dass es erstmal auffällt. Ist erst mal eine Lücke entdeckt, sitzen da bei OpenSource für gewöhnlich genügend Geier, die den Patch auf Herz und Nieren testen. Kurzum: Ich würde davon ausgehen, dass Patches bei OpenSource gründlicher getestet werden.

Schwachstelle bei Open-Source ist das Problem genug fähige Entwickler an Land zu ziehen und die Finanzierung des Projekts. In frühen Phasen mit noch relativ wenig Nutzern sehe ich da ClosedSource im Vorteil. Bei identischem Code ist der Aufwand für einen Angreifer, eine Schwachstelle zu finden, höher und der relativ niedrige Adressatenkreis macht es unattraktiv. Bei OpenSource kann ich viel leichter eine Lücke finden und daher mag es trotz der niedrigen Nutzerzahl noch attraktiv sein, hier anzugreifen.
Auch was die Finanzierung angeht, dürfte ich wohl mit ClosedSource leichter (Risiko)Kapital anziehen können, als dies mit OpenSource möglich ist, was es mir wiederum ermöglichen würde, leichter an genug fähige Programmierer zu kommen und eine bessere Software zu entwickeln.
OpenSource lebt von der Gemeinschaft - die muss aber auch erst mal da sein.

 

[anonymous_user]

cool
windows phone 8 für pcs

News und Inhalt nicht verstanden?
Ach warte, du bist doch der der immer und überall Microsoft Produkte in den Himmel Lobt und über jegliche Konkurrenz rumtrollt...


@Topic:
Interessantes Projekt, ich hoffe hier kommen nochmal News sobald das Projekt weiter vorran geschritten ist!

@Straputsky:
Fasst es im großen und ganzen ganz gut Zusammen.

 

[Dese]

Aber es ist auch das Paradebeispiel um zu zeigen, dass diese idealisierte Vorstellung von OpenSource eben nicht stimmt. OpenSSL und Debian wird millionenfach genutzt und trotzdem konnte so eine Lücke 2 Jahre existieren. Eben weil doch kaum jemand den Quelltext sich angesehen hat, wie es oft als Vorteil propagiert wird. Oder eben, weil sich der Quelltext nicht so genau angesehen wird, denn das kostet immens viel Zeit.

von welcher idealisierten vorstellung redest du?

oss bieten eine höhere wahrscheinlichkeit, dass fehler und sicherheitslücken gefunden werden. das liegt schlciht und ergreifend daran, dass mehr als nur die ggf. herstellerfirma drauf schauen. eine einfache logische folgerung.

das schließt aber nicht zu 100% aus, dass fehler auch viele jahre unentdeckt bleiben.

höhere wahrscheinlichkeit =/= 100%

dennoch folgt in bezug auf fehler- und sicheheitslückenfindung: oss >> cs
einfach aus dem oben genennten grund. denn alle anderen eigenschaften, die relevant wären (z.b. hersteller interesse, investitionen in resourcen/entwickler etc.) sind bei beiden im grunde gleich. findet die software wenig interesse am markt, dann kümmern sich auch weniger leute drumm, egal ob cs oder os

edit: deswegen ist aus kundensicht oss IMMER besser als cs. was aber nicht bedeutet, dass damit automatisch jedes produkt, welches auf open source basiert auch besser ist als die CS alternativen.