am2 hat geschrieben: 
14.01.2019 12:41:06
Windoof ist bei Tschipp so sicher wie der VW Golf es in der ADAC-Zeitung einmal war. Es geht wirklich nicht darum, wie viele Lücken entdeckt wurden, sondern vielmehr darum wie viele noch
nicht entdeckt wurden. Gefundener Fehler ist oft die halbe Lösung.
Fefe prangert schon seit einiger Zeit systemd an (Benutzt hier jemand systmed?). Gestern habe ich dafür ein Sicherheitsupdate auf meinem Stretch installiert. Ob das die Lösung war, kann ich nicht sagen, aber es tut sich etwas.
Fehlerfreie Software wird es kaum geben. Selbst wenn der Quellcode tausenden von Reviews standhält weiß man nicht so genau, was der jeweilige Compiler damit macht. Ein Review des Assembler-Codes wäre da schon aufschlussreicher aber wer tut sich das an und wie lange dauert das? So wahnsinnig viele Assembler-Versteher, die den Code wie einen einfachen Text lesen wird es auch nicht mehr geben.
Lücken wird es immer geben. Deswegen geht es m. E. mehr darum, wie dazu Stellung genommen und wie darauf reagiert wird. Den Linux-Leuten schaue ich zwar nicht über die Schulter aber ich finde es in Ordnung, wie die Linux-Community mit Fehlern umgeht. Über Winzig-Weich und seine Lückenpolitik wollen wir hier lieber nicht diskutieren
Die Anzahl noch nicht entdeckter Sicherheitslücken zB im Linuxkernel ist eine unbekannte Größe und lässt sich wohl nur prognostizieren.
Die Wahrscheinlichkeit des Auffindens dieser Lücken ergibt sich wohl nicht zuletzt aus der Summe der sich mit Linux effektiv beschäftigenden Fachleute (freiwillig, wissenschaftlich, angestellt bzw kollektiv oder einzeln) weltweit.
Ein anderer Faktor wäre die Übersichtlichkeit des zu untersuchenden Codes.
In diesem Zusammenhang wurde "Wireguard" von Linus Torvalds wegen seiner Übersichtlichkeit gelobt.
https://linuxnews.de/2018/08/linus-torv ... wireguard/
Interessant wäre auch die Verteilung der aufgefundnen Sicherheitslücken innerhalb des modularen Linuxkernels.
Ebenso die Sicherheitslückenverteilung bei denjenigen Kernelmodulen, welche eine unmittelbare Schnittstelle zum Internet bilden, auch im Vergleich zu den anderen Modulen.
So könnte man das Augenmerk auf diejenigen Module richten, wo der Code besonders komplex und unübersichtlich ist, wo aber im Vergleich zu den anderen Modulen relativ weniger Lücken entdeckt wurden.
Solche Bereiche wären dann - vorausgesetzt eine unmittelbare Schnittstelle zum Internet bildend - besonders sicherheitsrelevant.
Gibt es diesbezüglich schon Visualisierungen?
