News Linux Foundation stellt zwei Entwickler für OpenSSL bereit

[fethomm]

Als Maßnahme gegen weitere Sicherheitslücken vom Ausmaß des Heartbleed-Bugs hat die Linux Foundation im April das Programm „Core Infrastructure Initiative“ aufgelegt. Namhafte Unternehmen wollen damit wichtige, aber unterfinanzierte Projekte unterstützen.

Zur News: Linux Foundation stellt zwei Entwickler für OpenSSL bereit

 

[DeoDeRant]

Also die Créme de la Créme der vertrauenswürdigsten Unternehmen, da kann ja dann nichts schiefgehen..

R.I.P. OpenSSL

 

[startaq]

Da sehe ich ehrlich gesagt in LibreSSL mehr Zukunft.

 

[think->write!]

Naja, es sind ja nicht die Firmen welche die SW überprüfen sie sind nur die Geldgeber, daher dürfte die SW besser getestet werden als wenn eine der Firmen intern eine Implementation erstellt für eines der Protokolle. Zudem kann es sich auch die NSA nicht leisten Leute wie den Ted Tso zu verbraten, wenn die Geheimdienste Sicherheitslücken drin haben wollen in der SW werden sie es mindestens in der Zukunft nicht mehr in einem der CII Projekte tun, würde mich eh erstaunen, wenn das heute nicht schon der Fall ist, und schon heute das ganze bei Windows über die Updatefunktion einiger Programme geschieht.

 

[Chillvie]

Also die Créme de la Créme der vertrauenswürdigsten Unternehmen, da kann ja dann nichts schiefgehen..

R.I.P. OpenSSL

Jedes dieser Unternehmen hat Interesse daran, dass OpenSSL zuverlässig ist. Und im Übrigen hat eines der Unternehmen aus dieser Liste den Heartbleed-Bug entdeckt und gemeldet.

 

[DocWindows]

Schade dass das Kind immer erst in den Brunnen fallen muss bevor man sowas macht.

Die Kernkomponenten des Webs haben sich ja nicht erst gestern herauskristallisiert. Dass bisher z.B. der/die Entwickler von OpenSSL gemessen an der Beudeutung des Projekts quasi für ein halbes Mettbrötchen mit Zwiebeln gearbeitet haben ist schon recht traurig. Da hätte es wenigstens eine Institution mit Weitsicht geben müssen. W3C oder so?!?

Hoffentlich verlässt man sich in Zukunft weniger auf das allseits beliebte Mantra dass OpenSource per Definition sicher ist. Weil Quellcode einsehbar ist, von jedem geprüft werden kann, 1000 Augenpaare draufschauen, etc. pp.

 

[derbe]

Ganze ZWEI Entwickler?

 

[Teiby]

Ganze ZWEI Entwickler?

Das Projekt ist ja fertig. Geht also nur um die Produktpflege.
Die werden einfach jedes Stück auseinander nehmen, um Fehler zu finden. Und wenn die durch sind, nochmal von vorn...

 

[CvH]

Das Projekt ist ja fertig. Geht also nur um die Produktpflege.

das würde ja bedeuten das die das selbe machen müssen wie bei LibreSSL.
OpenSSL scheint derzeit eine einzige Müllhalde zu sein, schlechter, fehleranfälliger, vollkommen veralteter Code an allen Stellen.
OpenSSL ist so toll die unterstützen unter anderem : DOS, Windows 16bit , MacOS ... scheinbar ein einziger Müllcontainer

Wer sich mal den gesamten Umfang des Grauens anschauen möchte (mit Bildern und so) -> http://www.openbsd.org/papers/bsdcan14-libressl/

 

[mensch183]

Na da bin ich ja gespannt. Wenn sie grundsätzlich so weiterwurschteln wie bisher, wirds durch 2 zusätzliche Vollzeitkräfte eher schlimmer als besser.

Die Art, wie openssl plattformübergreifend gemacht wurde, ist eine Krankheit. Ich "durfte" vor langer Zeit (v0.9.6) Teile von openssl zu Demozwecken portieren und seitdem hat sich IMHO außer neuen Features nichts geändert. Hoffentlich finden die Leute den Mut oder bekommen vom Geldgeber auferlegt, mal _richtig_ aufzuräumen statt nur Bugs zu fixen, den Code zu pflegen und neue Funktionalität einzubauen. Viele Basiskomponenten (1000 Kryptoalgorithmen, RNG, ASN.1, ...) könnten komplett rausfliegen und in externen Bibliotheken landen, damit Openssl eine reine SSL-Bibliothek + Verwaltungstools wird, wie der Name eigentlich verheißt. Die verbleibende Baustelle wäre totzdem groß.

Die Kernkomponenten des Webs haben sich ja nicht erst gestern herauskristallisiert. ... Da hätte es wenigstens eine Institution mit Weitsicht geben müssen. W3C oder so?!?

Es gibt 3 weitverbreitete SSL-Implementierungen. Aus Sicht von Standardisierungsgremien (IETF, W3C, ...) ist das fast schon eine erfreulich breite Basis. Das auf Serverseite dank Linuxverbreitung so extrem dominant gewordene Openssl hat aus Anwendersicht "zu gut" funktioniert, um ausreichend Druck entstehen zu lassen, der zu neuen Implementierungen geführt hätte.

Kryptozeug _gut_ coden und pflegen IST HART. Ohne wirtschaftlichen Druck oder externe Bezahlung tut sich das niemand freiwillig an, dauerhafte Pflege erst recht nicht. Das Modell mit Geld von Firmen und Orga über die Linux Foundation ist genau der richtige Weg für Software wie Openssl. Daumen hoch!!

BTW: Jede Wette, daß mehrere der beteiligten Firmen im eigenen Haus schon seit vielen Jahren private Openssl-Forks gehegt und gepflegt haben, von denen die Welt leider wenig profitierte. Wirtschaftlich ist das verständlich.

 

[Goodplayer]

Da sehe ich ehrlich gesagt in LibreSSL mehr Zukunft.

Also sollen in Zukunft alle Server usw. auf ein BSD-Derivat umgestellt werden, denn LibreSSL läuft (bisher) nur unter BSD (wird ja auch von den OpenBSD-Entwicklern entwickelt)? Zumindest ist mir nicht bekannt, dass sich an diesem Punkt seit der Ankündigung etwas geändert hat.

 

[mensch183]

@Goodplayer
Ich meine irgendwo aufgeschnappt zu haben, von LibreSSL soll nebenbei genau wie bei Openssh eine parallel gepflegte, portable Variante entstehen. Anderenfalls wäre das Ding praktisch bedeutungslos.

OpenSSL scheint derzeit eine einzige Müllhalde zu sein, schlechter, fehleranfälliger, vollkommen veralteter Code an allen Stellen.

Openssl funktioniert. Solange dies ein Alleinstellungsmerkmal ist, ist es für den praktischen Einsatz müßig, sich über das Innenleben Gedanken zu machen.

Wer sich mal den gesamten Umfang des Grauens anschauen möchte (mit Bildern und so) -> http://www.openbsd.org/papers/bsdcan14-libressl/

Ganz typischer "gewachsener" Code. Hauptsache er läuft irgendwie. Die in den Slides rüberkommende Häme ist mMn vollkommen unangebracht.

 

[Goodplayer]

@Goodplayer
Ich meine irgendwo aufgeschnappt zu haben, von LibreSSL soll nebenbei genau wie bei Openssh eine parallel gepflegte, portable Variante entstehen. Anderenfalls wäre das Ding praktisch bedeutungslos.

Das wäre dann natürlich nicht schlecht. Damals bei der Ankündigung hieß es aber noch, dass LibreSSL nur für BSD-Derivate entwickelt werden soll, schließlich hatte man dort den BS-spezifischen Code für alle anderen Betriebssysteme entfernt.

 

[startaq]

Also sollen in Zukunft alle Server usw. auf ein BSD-Derivat umgestellt werden, denn LibreSSL läuft (bisher) nur unter BSD (wird ja auch von den OpenBSD-Entwicklern entwickelt)? Zumindest ist mir nicht bekannt, dass sich an diesem Punkt seit der Ankündigung etwas geändert hat.

Es gab doch bis jetzt noch kein einziges Release, und das wird wohl noch etwas dauern. Sobald da mal ein erstes Alpha oder Beta Paket draussen ist, wird das in null komma nix für andere (moderne!) System angepasst werden. Im Moment liegt die Priorität aber im Müllaufräumen.

 

[think->write!]

Das wäre dann natürlich nicht schlecht. Damals bei der Ankündigung hieß es aber noch, dass LibreSSL nur für BSD-Derivate entwickelt werden soll, schließlich hatte man dort den BS-spezifischen Code für alle anderen Betriebssysteme entfernt.

Nein, daaben sie von anfang an gesagt es soll auch für andere OS verfügbar werden, aber da es einfacher ist beim Aufräumen nur die Anbindung an einem OS zu testen haben sie allen andern Code entfernt. Mit der absicht die Schnittstelle für andere Betriebssysteme, welche aktuell genutzt werden nach dem Funktionstest und Aufräumen wiederr neu hinzuzufügen, OS 9 Support oder gar DOS support kann man sich sparen.

 

[CvH]

Openssl funktioniert. Solange dies ein Alleinstellungsmerkmal ist, ist es für den praktischen Einsatz müßig, sich über das Innenleben Gedanken zu machen.

So werden aber Bugs... billigend in Kauf genommen.
Nur weil es kein Exploit dafür gibt heißt es ja nicht das der Code i.O. ist.

Bei OpenSSL werden Bugs ja nur gefixt wenn es auch Exploits gibt -> es wird erst reagiert wenn das Kind schon ins Wasser gefallen ist. Das nenne ich Katastrophe (die Gründe werden ja Hauptsächlich Unterfinanzierung sein).

Die in den Slides rüberkommende Häme ist mMn vollkommen unangebracht.

Jop das hätte man auch Erwachsener regeln können, aber ich denke mal das sich die Entwickler so erschrocken haben an dem katastrophalen Code das es irgendwo mal raus musste. Die halbe Sicherheit des Internets hängt an einem zusammengepusselten und zusammengestückelten Stück Software was schon Jahre lang nicht ordentlich gepflegt wird (da sind wir wieder bei Unterfinanzierung).

Und wenn man vor so einem Scherbenhaufen steht sehe ich wirklich nicht die Möglichkeit den Schweizer Käse zusammen zupatchen. Da ist der LibreSSL Ansatz schon besser.