Veni, Vidi, VISA

Nachdem ich im vorherigen Eintrag geschrieben habe das ich nicht ständig *BSD anstelle von Linux installieren muss wenn es sich um sicherheitsrelevante Systeme dreht, haben mich schon einige Mails erreicht wo mir erklärt wurde, das man auch Linux auf solchen Systemen verwenden kann.
Stimmt auffallend. Die Frage ist nur ob man das auch wirklich will? Das kein System wirklich sicher ist, steht außer Frage (mal XTS-400 und diverse TCSEC-B1 - Systeme mal außer Acht gelassen) und das Sicherheitslücken gefunden werden lässt sich bei komplexen Systemen nicht vermeiden. Aber was ein absolutes KO-Kriterium sein kann, ist, wie auch gefundene Sicherheitslücken reagiert wird. Bei *BSD (damit ich mich auch den vorherigen Eintrag beziehe) gibt es dafür Mailinglisten und Advisories auf der Homepage wo man sich informieren bzw. auf dem laufenden halten kann. Bei Linux gibt es weder noch; nur einen kurzen Log im git-log. Gut.. besser als nix werden sich jetzt einige denken, aber das ist für Admins alles andere als auch nur irgendwie brauchbar. Ein Admin hat i. d. R. keine Zeit um sich ein Repo zu clonen und dort in den Shortlogs nach Änderungen Ausschau zu halten die sich auf Sicherheitslücken beziehen. Und - auch wenn ich jetzt einige enttäuschen muss - es bringt auch nicht viel das z. B. Debian die Mailingliste debian-security-announce@ hat, wo man über Sicherheitslücken benachrichtigt wird. Deren Aufgabe ist es, Patche über ihr Paketmanagementsystem verfügbar zu machen, damit sie eingespielt werden können. Aber das können sie erst, nachdem der Patch auch verfügbar ist.
Wenn eine bekannte Sicherheitslücke über zwei Monate lang nicht behoben wird, dann ist das absolut untragbar und die Tatsache das in keiner Art und Weise veröffentlicht wird, dass es sich um die Behebung eines sicherheitsrelevanten Bugs handelt, ist für mich ein Grund meinen Kunden Linux auf sicherheitsrelevanten Systemen als letzte Möglichkeit zu empfehlen (und selbst da nur mit Einschränkungen).

Gibts eigentlich ein ungeschriebenes Gesetz das einige Addons beim Update von Firefox nicht mehr kompatibel sind oder wird das per random() entschieden? Tab Mix Plus ist da mein absoluter Top-Favorit! Und weil wir grad beim WWW sind.. wer ist eigentlich auf die abgefuckte Idee gekommen, Produktkataloge im Flash-Format anzubieten? Oder noch besser.. der Hersteller von hochwertigen Kunstködern mit eigenem Shop bietet z. B. den Katalog mit als PDF zum freien herunterladen an. Auf RapidShare.. sieht dann in etwa so aus:

Diese Datei ist weder einem Premiumaccount, noch einem Collector's Account zugeordnet und kann deshalb insgesamt nur 10 mal heruntergeladen werden.

Dieses Limit ist erreicht.

Um diese Datei herunterladen zu können, muss der Anbieter entweder die Datei in seinen Collector's Account verschieben, oder die Datei erneut raufladen. Die Datei kann nachträglich in ein Collector's Account verschoben werden. Der Anbieter muss nur auf den Löschlink der Datei klicken, um mehr Informationen zu erhalten.

Wieso kriegt es sogar M$ auf die Reihe Patche für Sicherheitslücken online zu stellen und zu dokumentieren, während die Linuxkreaturen kein Wort über gefundene und ggf. behobene Sicherheitslücken verlieren und die Patche klammheimlich einbauen? Wieso fangen einige Mac-User an zu schmollen wenn man ihnen erklärt das die Hardware von Apple veralteter und überteuerter Schrott ist? Was ist so schwer daran, einen halbwegs brauchbaren und ausführlichen Changelog zu erstellen? Mutt ist da auch so ein Fall; ständig kommen neue Features hinzu die irgendwo dokumentiert sind, aber die man erst mit so ekligen Einzeilern wie

grep DT_SYN, init.h | sed -e 's/.*"\(.*\)",.*/\1/'

grep DT_ init.h | grep -v define | sort

raus'grep(1)'en und diff(1)'en muss? Mutt ist da nicht alleine; Slrn, Vim (Ja. :h version-7.2 ist mir bekannt, aber da steht nicht drin welche Settings neu sind) und sämtliche GNU-utilities sind da ebenfalls gemeint.

Manchmal fühl ich mich einfach nur noch müde.. *sigh*

Wieso verwenden immer wieder irgendwelche Wahnsinnige Funktionen wie

Wieso wird nicht einfach

verwendet, damit foobar() auf jeden Fall aufgerufen wird? Wieso rufen einige "Programmierer" indent(1) nicht mit -npro -kr -i8 -ts8 -sob -l80 -ss -ncs auf? Wieso wird von einigen ein Patch ohne die Parameter -urN alt-1.0.1/ neu/ > alt-1.0.1.patch auf? Wieso schreiben einige Kreaturen in ihre Programme Kommentare, die ueber 200 Zeichen in einer Zeile lang sind? Fragen ueber Fragen.. *sigh*