11mo ago

BSI deckt schwerwiegende Sicherheitslücken in Matrix und Mastodon auf

www.heise.de

18 comments

Das kann das BSI machen, weil es OpenSource ist. Wie viele Schwachstellen gehen wohl im Vergleich bei Closed Source unter?
- Hoch votiert
- security through obfuscation
Die relativ große Menge an Code-Duplizierungen per Copy-and-Paste deuteten zudem auf teilweise chaotisch "gewachsene", unaufgeräumte Projekte hin.
Ja, das ist schon unbezweifelt der Fall. Wenn aber lieber alle Microsoft und co. in den Hintern kriechen, anstatt Open Source zu unterstützen, dann sollte man eher dankbar sein, dass überhaupt noch sowas entwickelt wird, anstatt das zu kritisieren.
Das gilt jetzt nicht direkt dem BSI, ist ja gut, dass die sowas machen.
- Auf jeden Fall. Microsoft hat Unmengen Geld für sowas.
  Man braucht Geld, viel, um eine geordnete Entwicklung und Audits zu gewährleisten
  
  Ich glaube aber, die Audits spart sich Microsoft auch gern weg und macht lieber stattdessen mehr Werbung.
  
  Man braucht Geld, viel, um eine geordnete Entwicklung und Audits zu gewährleisten
  Mastodon ist von einer gGmbH. Die haben Sponsoren und angestellte Entwickler.
- Im Gegensatz zu tun Team kann ich statt Synapse auch Conduwuit einsetzten. Das eine ganz andere Basis hat.
  
  Mich würde immer noch brennend interessieren, was damals zum Fork vom Conduwuit geführt hat...
Die relativ große Menge an Code-Duplizierungen per Copy-and-Paste deuteten zudem auf teilweise chaotisch "gewachsene", unaufgeräumte Projekte hin.
Ich dessen Commits mehrheitlich das Wort Refactoring enthalten:
Also bei Open Source kocht man auch nur mit Wasser?
- Ich habe noch nie schlechten proprietären Code gesehen!
  Also ich habe noch nie proprietären Code gesehen, und habe deswegen keinerlei Möglichkeit dessen Qualität zu überprüfen.
  
  Als jemand, der tagtäglich proprietären Code sieht: Besser ists!
- Aber nicht nur Wasser, sondern freiverfügbare und nicht von Nestlé besitzem.
Das passt vielleicht nicht ganz zum Thema, aber mich würde die Haltung des BSI zu FOSS interessieren.
Das BSI hat Anfang August eine "Technische Richtlinie" (TR) zu einem "sicherem Software-Lebenszyklus" veröffentlicht und fordert die Softwarehersteller auf, "Informationssicherheit von Anfang mitzudenken".
"Sichere Soft- und Hardware bilden die Grundlage für den sicheren Einsatz von IT-Produkten in Staat, Wirtschaft und Gesellschaft", heisst es. Aber dann kommt im gleichen Dokument der Hinweis:
Die TR lässt sich in ihrem aktuellen Stand nicht anwenden auf Prozesse zur Entwicklung von Software, die üblicherweise als „Open Source Software (OSS)“ oder „Free / Libre and Open Source Software (FLOSS / FOSS)“ bezeichnet werden. Für diesen Zweck müssen die Anforderungen an die Eigenheiten der Entwicklung von Open Source Software angepasst werden.
Kommt da noch was FOSS-spezifisches vom BSI? Weiss da jemand mehr?
(Die TR zum Download gibt es hier.)
[Edit typo.]

18 comments