Simon: Guten Abend, willkommen zum Penta-Radio im April 2024.
Simon: Wenn ihr das im Radio hören solltet, dann ist der 23. April.
Simon: Wenn wir das hier aufzeichnen, ist nur der 11. April.
Simon: Das hat reisetechnische und sonstige Gründe.
Xyrill/Musik: Wir konnten es einfach nicht mehr aushalten. Es gab über so viele Themen zu sprechen.
Simon: Ja, und falls die Welt zwischendrin untergeht, ja, das konnten wir dann leider
Simon: nicht behandeln. Das folgt dann in der Mai-Folge.
Mole: So, wer ist denn mit uns im Studio?
ttimeless: Niemand Hi, hier ist Timeless Okay.
Simon: Die Welt ist doch schon untergegangen.
Mole: Und hier ist der Mole Hallo.
Xyrill/Musik: Ich bin Cyril Hallo.
Simon: Hier ist Simon.
Mole: Und heute haben wir keine Tischhöhe, aber eine Studiokatze Ach verdammt.
Xyrill/Musik: Ich hab vergessen Tischhöhe zu messen Moment.
Simon: Halt, Pause Tischhöhe ist 77,6.
Xyrill/Musik: Ich habe ein Ich habe hier mein Messband Live.
ttimeless: Bei mir sind es 720 Millimeter.
Mole: Ich habe ein Netzwerkkabel, das ist ein Meter, das halte ich einfach mal an das Bein.
Mole: Und wenn das bis runter reicht, dann ist der Tisch ein Meter.
Mole: Ja, das reicht bis runter.
Xyrill/Musik: Also du hast mindestens oder höchstens ein Meter.
Mole: Ein Meter cut 5 habe ich.
Xyrill/Musik: Okay.
Xyrill/Musik: Was ist das in SI-Metern? Das müssen wir später noch klären.
Xyrill/Musik: Ich habe hier 1270 Millimeter im Angebot. Also ich bin eindeutig der Sieger mit dem Standing Desk.
Mole: Genau, dafür liegt unter meinem Tisch eine Katze.
Simon: So hoch könnte ich meinen nicht mehr hochfahren. Ich glaube, ich kann nur auf 1,20.
Xyrill/Musik: Ja, ich würde eigentlich sogar gerne noch höher gehen, aber das ist halt so
Xyrill/Musik: weit, wie der Tisch hochkommt. Und dann muss es halt so reichen.
Xyrill/Musik: Was auch reichen muss, sind nur sechs Nachrichten, die wir heute auf der Liste
Xyrill/Musik: haben, weil wir haben ja dann ein
Xyrill/Musik: Thema zu besprechen, was wahrscheinlich einiges an Raum einnehmen wird.
Xyrill/Musik: Die erste Meldung, die ich auf der Liste habe, dürfte Moel freuen.
Xyrill/Musik: Es geht um Ride to Repair.
Mole: Ja, super.
Xyrill/Musik: Das hatten wir schon mal besprochen in der Folge Folge vom, ich glaube, März 2021, genau.
Xyrill/Musik: Und seitdem ist es hier immer in den News ein bisschen Thema gewesen.
Xyrill/Musik: Hier gibt es jetzt ein neues Gesetz.
Xyrill/Musik: Das betrifft jetzt zwar nicht direkt uns, aber es ist ein Gesetz in Oregon,
Xyrill/Musik: also in dem US-Bundesstaat, an der Westküste, relativ weit im Norden gelegen.
Mole: Das ist das mit den Bergen und den vielen Seen. Sehr schön, Schwadersch.
Xyrill/Musik: Dort gibt es ein neues Gesetz hier. Die Gesetzesnummer, die da offenbar dran steht, ist SB 1596.
Xyrill/Musik: Damit kann man das finden. Ich habe hier so eine Webseite verlinkt von einer
Xyrill/Musik: lokalen Zeitung, die offenbar quasi eine Datenbasis bereitstellt von Gesetzen,
Xyrill/Musik: die durch die entsprechenden Parlamentskammern durchgegangen sind.
Xyrill/Musik: Und ich fand das auch eine sehr schöne Aufbereitung. Das würde ich vielleicht
Xyrill/Musik: mal gerne in Hinweis nehmen, wenn es sowas auch für den Bundestag oder sowas
Xyrill/Musik: gibt. Und hier kann man sehen, das ist am 5.
Xyrill/Musik: September eingereicht worden. Und sowas hat dann den entsprechenden parlamentarischen
Xyrill/Musik: Prozess durchlaufen, ist jetzt hier am 28.
Xyrill/Musik: März verkündet worden und tritt dann am 1. Januar 2025 in Kraft.
Xyrill/Musik: Und worum es da geht, ist eben Right to Repair.
Xyrill/Musik: Das Gesetz verlangt von Originalgeräteherstellern, dass sie Eigentümern von
Xyrill/Musik: Unterhaltungselektronikgeräten oder unabhängigen Reparaturdienstleistern zu
Xyrill/Musik: fairen und angemessenen Bedingungen alle Unterlagen, Werkzeuge,
Xyrill/Musik: Teile oder sonstigen Geräte oder Hilfsmittel zur Verfügung stellen,
Xyrill/Musik: die die Originalgerätehersteller einem zugelassenen Dienstleister zum Zwecke
Xyrill/Musik: der Diagnose, Wartung oder Reparatur von Unterhaltungselektronikgeräten zur Verfügung stellen.
Mole: Das ist sehr wichtig.
Xyrill/Musik: Genau, insbesondere wenn man dann weiter reinliest, geht es da um dieses sogenannte
Xyrill/Musik: Parts Pairing, also dass Komponenten, die in einem, wie das hier heißt,
Xyrill/Musik: Unterhaltungselektronikgerät verbaut sind, also man kann sich vorstellen natürlich
Xyrill/Musik: sowas wie Smartphones zum Beispiel,
Xyrill/Musik: Spielekonsolen, also halt alle modernen Geräte, die in irgendeiner Form quasi
Xyrill/Musik: kleine Computer sind und in dieser Art und Weise funktionieren, dass diese,
Xyrill/Musik: wenn sie aus verschiedenen Komponenten zusammengesetzt sind,
Xyrill/Musik: die Komponenten nicht fest aneinander gebunden werden können durch Code.
Xyrill/Musik: Also dass man zum Beispiel die Möglichkeit haben muss, eine Batterie aus einem
Xyrill/Musik: Smartphone auszubauen, in das nächste Smartphone einzubauen,
Xyrill/Musik: solange das natürlich mechanisch und elektrisch und so weiter alles passt,
Xyrill/Musik: muss das dann auch funktionieren.
Xyrill/Musik: Denn was heutzutage der Fall ist, wenn man zum Beispiel so ein iPhone hier hat,
Xyrill/Musik: würde da einfach die Batterie tauschen wollen, dann könnte es vielleicht sein,
Xyrill/Musik: dass die Batterie auf die Idee kommt, nee, das ist ja hier gar nicht das Telefon,
Xyrill/Musik: was ich kenne, ich stelle jetzt die Dienst ein.
Xyrill/Musik: Dann braucht man dann halt den entsprechenden Software-Schlüssel von Apple,
Xyrill/Musik: um die Batterie dazu zu überreden, vielleicht doch in einem anderen Gerät ab
Xyrill/Musik: sofort zu funktionieren.
Xyrill/Musik: Und diese entsprechenden Schlüssel würden nur den autorisierten Apple-Händlern
Xyrill/Musik: zur Verfügung gestellt werden.
Xyrill/Musik: Diese Praxis wird hier von diesem Gesetz verboten.
Xyrill/Musik: Wir werden dann natürlich weiter im Auge behalten, ob sich das dann in der tatsächlichen
Xyrill/Musik: exekutiven Praxis dann auch so ausgeht, wie das geplant ist.
ttimeless: Du hast natürlich vergessen anzufügen, dass das ausschließlich aus Sicherheitserwägungen
ttimeless: geschieht und dass das nichts damit zu tun hat, irgendwelche anderen Reparateure auszuschließen.
Xyrill/Musik: Achso, dass die anderen Reparateure das nicht machen können,
Xyrill/Musik: ist nur, weil die alle unzuverlässig sind.
Mole: Jaja, deine Batterie könnte doch explodieren.
Xyrill/Musik: Stimmt, ja, das habe ich natürlich noch nicht bedacht. Ich werde nochmal sämtliche
Xyrill/Musik: Argumente würdigen und abwägen und werde dann noch eine weitere Einschätzung geben.
ttimeless: Sie sind ja auch keine Magicians.
Xyrill/Musik: Ich dachte, die sind Geniuses bei Apple.
ttimeless: Ach ne, Geniuses, genau. Ich komme da immer durcheinander.
Xyrill/Musik: Wir sind ja keine Geniuses hier, aber wir wursteln es irgendwie durch.
Mole: Deswegen darfst du auch die Batterie nicht austauschen, weil du wurstelst und nicht genius.
Simon: Kann ich auch gleich erwähnen, dass das Repair-Café Freiberg immer noch existiert
Simon: und schon wieder ein Jahr älter geworden ist.
Simon: Und zuletzt haben wir einen Handgepäckkoffer des Oberbürgermeisters repariert.
ttimeless: Heureka!
Simon: Aber ansonsten fällt er eher durch komische Praxen bezüglich des Nichtbeschlusses
Simon: eines Klimakonzeptes auf.
Simon: Na gut, wobei andere Teile des Stadtrates sicherlich noch größeren Anteil haben.
Simon: Soviel von den lokalen News.
Xyrill/Musik: Ich habe gute Nachrichten für dich, Dresden steht Freibergen nichts nach,
Xyrill/Musik: aber das ist eine andere Sache.
Mole: Willkommen beim Penderadio Freiberg Edition.
Xyrill/Musik: Genau, das Penta-Radio-Studio West.
Simon: Ja, genau, ich kann ja nicht immer Studio Ost sein.
Mole: Also ich hatte heute auch so ein Ding, da war von einem Fujitsu-Rechner das Mainboard broken.
Mole: Und zwar so ein USF-Rechner, Ultra-Small-Foam-Faktor, so eine ganz kleine Kiste,
Mole: so groß wie zwei Zigaretten-Schachteln.
Mole: Und ich dachte, ach warte mal, ich habe doch hier noch so einen IBM,
Mole: so einen alten, ich sage IBM-Lenovo-Rechner, der auch in so einem USSF-Gehäuse
Mole: drin ist und wollte halt einfach das Mainboard da einbauen.
Mole: Und ha, denkste, passt nie. Also schon alleine am Gehäuse kann es scheitern. Also insofern.
Xyrill/Musik: Aber da war das zumindest nur eine mechanische Inkompatibilität und nicht gewollte
Xyrill/Musik: Schikane des Herstellers.
Mole: Ich glaube, das ist trotzdem gewollte Schikane des Herstellers.
Mole: Die wollen halt nicht, dass ich mein Lenovo-Mainboard in das Fujitsu-Gerät reinbaue.
Xyrill/Musik: Gut, wir werden das auf jeden Fall weiter im Auge behalten, wie sich das Right
Xyrill/Musik: to Repair weiterentwickelt über die Jahre.
Xyrill/Musik: Das Thema scheint ja so ein bisschen mittlerweile auch im öffentlichen Bewusstsein
Xyrill/Musik: angekommen zu sein oder zumindest ein bisschen mehr sich zu verankern.
Xyrill/Musik: Also ich habe schon auch Sendungen beim MDR dazu gehört, wo es darum ging.
Xyrill/Musik: Aber wir werden mal schauen, ob das dann auch tatsächlich zu irgendwelchen Ergebnissen
Xyrill/Musik: führt oder nur zu vielen lauten Worten.
Xyrill/Musik: Hier in dem Zusammenhang hat Timeless noch eine andere Meldung mitgebracht.
ttimeless: Ja genau, und zwar geht es darum, dass jüngst eine Klage vom Europäischen Gerichtshof
ttimeless: entschieden wurde, die ursprünglich vom US-Aktivist und Internethistoriker Karl Malamuth ausging.
ttimeless: Und zwar sind die gegen das Urheberrecht vorgegangen und zwar in der Art und
ttimeless: Weise, dass die für die Freigabe von Industrienormen geklagt haben.
ttimeless: Und der EuGH hat tatsächlich entschieden, dass Industrienormen,
ttimeless: die Teil des europäischen Rechtes sind,
ttimeless: nicht hinter irgendwelche Paywalls gestellt werden dürfen, sodass im Prinzip
ttimeless: jeder Kunde auch die Möglichkeit hat zu prüfen, ob seine Produkte tatsächlich
ttimeless: den gängigen Normen entsprechen.
Simon: Interessanter Ansatz.
Xyrill/Musik: Das ist absolut wild, dass das nicht sowieso schon ein Gesetz ist,
Xyrill/Musik: weil an und für sich, wenn man ins Urheberrechtsgesetz guckt,
Xyrill/Musik: dann gibt es dort spezielle Ausnahmen, dass Gesetzestexte nicht unter das Urheberrecht
Xyrill/Musik: fallen dürfen. In den USA geht das da sogar noch weiter.
Xyrill/Musik: Da ist es einfach, dass alle Werke, die von US-Regierungsmitarbeitern im Zuge
Xyrill/Musik: ihrer Regierungstätigkeit erstellt werden, in der öffentlichen Domäne,
Xyrill/Musik: also in der Public Domain sind und nicht nur das Urheberrecht fallen.
Xyrill/Musik: Deswegen kann man zum Beispiel Fotos von NASA-Sonden und sowas überall im Internet
Xyrill/Musik: finden, ohne dass da welche Tantime gezahlt werden müssen.
Xyrill/Musik: Denn ja, da ist einfach die Argumentation, das wurde mit US-Bürger Steuergeld
Xyrill/Musik: bezahlt und dementsprechend hat das frei zu sein.
Xyrill/Musik: Nein, das gilt in Deutschland nur für Gesetzestexte, aber eben diese Normen
Xyrill/Musik: haben ja effektiv Gesetzescharakter, wenn in den Gesetzen dann zum Beispiel drin steht,
Xyrill/Musik: die folgenden Regeln müssen befolgt werden, zum Beispiel wenn man es ein bisschen
Xyrill/Musik: weiter spinnt, geht das dann auch in dem Moment, wo es zum Beispiel um öffentliche
Xyrill/Musik: Ausschreibungen geht, wo das Einhalten von solchen Normen als ein Kriterium gefordert wird,
Xyrill/Musik: dann ist das zwar nicht wortwörtlich Gesetzescharakter, aber eigentlich gehört
Xyrill/Musik: es auch zu diesem öffentlichen Regierungshandeln dazu, dass dann eigentlich
Xyrill/Musik: alle auf diese Normen Zugriff haben müssten.
Xyrill/Musik: Aber natürlich haben die Normenverlage, die diese Normen dann verlegen und herausbringen
Xyrill/Musik: und drucken und so weiter, ein Interesse daran, da noch möglichst guten Profit abzuschöpfen.
Mole: Na, da freue ich mich ja schon. Ich habe noch so ein paar DIN-Normen,
Mole: die ich gerne mal drusch lesen würde.
ttimeless: Ah, ich bin unsicher. Bei DIN-Normen würde das wahrscheinlich nicht zutreffen,
ttimeless: sondern es geht nur um Normen, die EU-Rechtscharakter haben.
Mole: Naja, also M ist schon so ein, also metrische Schrauben ist schon nie bloß Urnorm,
Mole: das ist glaube ich schon noch ein bisschen weiter und die DIN-Norm ist ja eine
Mole: metrische Norm und ich habe das jetzt neu schon mal wieder für so eine Schraube
Mole: gehabt, wo ich mal ein bisschen ins Detail von so einer Schraube gehen musste
Mole: und man findet alles und nichts, aber die DIN-Norm muss ich halt kaufen für viel Geld.
Xyrill/Musik: Das ist eine Sauerei, bitte abstellen. Wir möchten die gerne kaufen.
Xyrill/Musik: Ich meine, es ergibt ja durchaus Sinn, wenn man irgendwie ein paar Euro dafür
Xyrill/Musik: bezahlt, zum Beispiel wenn die Verlage einem eine physikalische Kopie geben,
Xyrill/Musik: dann ist das ja klar, dass damit ein entsprechender Druckaufwand oder meinetwegen
Xyrill/Musik: der Aufwand für das Pressen einer CD oder DVD oder was auch mal verbunden wäre,
Xyrill/Musik: aber für eine digitale Kopie fallen ja im Prinzip so gut wie keine Kosten an.
Xyrill/Musik: Oder halt derart vernachlässigbare Kosten, das müsste man eigentlich von der
Xyrill/Musik: Situation weg, wie wir sie jetzt haben, dass so eine Norm irgendwie Hunderte
Xyrill/Musik: Euro und so weiter kostet für ein PDF, was dann am Ende 100 Seiten hat oder so.
Xyrill/Musik: Dass physische Medien immer noch verfangen, trotz allem, ist besprochen worden
Xyrill/Musik: in einem anderen Podcast, den wir hiermit einen Shoutout geben können,
Xyrill/Musik: nämlich den Neue-20er-Podcast.
Xyrill/Musik: Das ist eine Reihe, die seit Anfang 2020 immer so am Ende des Monats zurückblickt
Xyrill/Musik: darauf, was so den Monat passiert ist und das einordnet.
Xyrill/Musik: Das ist dort im Wesentlichen ein Soziologe und ein Filmkritiker,
Xyrill/Musik: die das zusammen den Monat besprechen und das ein bisschen historisch einordnen.
Xyrill/Musik: Eine Sache, die dort erwähnt wurde, ich habe ja auch die Zeitstempel rausgeschrieben,
Xyrill/Musik: zwischen 1 Stunde 40 und 1 Stunde 44 wurde hier besprochen, das Thema Return
Xyrill/Musik: of Physical Media, was wohl offenbar jetzt in die Diskussion kommt,
Xyrill/Musik: auch bei sowas wie YouTube besprochen wird.
Xyrill/Musik: Dort wurden entsprechende Zahlen besprochen, dass im Buchmarkt zum Beispiel
Xyrill/Musik: die Digitalisierung stagniert.
Xyrill/Musik: Da gab es halt vor fünf bis zehn Jahren diese ganzen Überlegungen mit,
Xyrill/Musik: naja, das wird zu viel einfacher, wenn wir einfach nur welche Dateien durch
Xyrill/Musik: die Welt schieben müssen, den Leuten irgendwelche E-Books zu geben.
Xyrill/Musik: Und das ist ja auch für die Leute an und für sich sehr viel sinnvoller,
Xyrill/Musik: dass sie nicht so ein ganzes Bücherregal voll einem toten Baum haben,
Xyrill/Musik: sondern einfach so ein paar Dateien auf so einem E-Reader und dann können sie
Xyrill/Musik: halt tausend Bücher mit in den Urlaub nehmen und sowas.
Xyrill/Musik: Das stagniert ihnen jedoch irgendwie, dieser Anteil von E-Books ist natürlich
Xyrill/Musik: da, aber bleibt auch im Prinzip da, wo er ist.
Xyrill/Musik: Und stattdessen setzt sich halt weiterhin auch das tatsächlich physisch existierende
Xyrill/Musik: Buch aus Papier am Buchmarkt erfolgreich durch.
Xyrill/Musik: Weil die Leute da eben wissen, wenn ich dieses Buch habe, was aus Papier besteht
Xyrill/Musik: und das steckt in meinem Bücherregal vielleicht zu Hause oder ist in meinem
Xyrill/Musik: Rucksack oder sowas, dann kann mir das keiner wegnehmen.
Xyrill/Musik: Während so ein digitales E-Book in vielen Formaten ist das dann halt so der
Xyrill/Musik: Fall, wenn man es über einen bestimmten Anbieter kauft und der Anbieter dann
Xyrill/Musik: entscheidet, wir machen jetzt hier nicht mehr dieses Geschäftsfeld oder vielleicht,
Xyrill/Musik: wenn da welche technischen Fehler oder sowas eintreten,
Xyrill/Musik: ist dann vielleicht dieses Buch einfach weg aus der entsprechenden Bibliothek,
Xyrill/Musik: die man hat oder die App, über die man es gekauft hat, ist weg. weg.
Xyrill/Musik: Und dann kann man das gleiche Buch einfach nochmal woanders kaufen,
Xyrill/Musik: wenn wir es nochmal brauchen, nochmal den vollen Preis dafür bezahlen.
Xyrill/Musik: Wahrscheinlich wurde jeder schon einmal irgendwann davon verbrannt,
Xyrill/Musik: wenn man irgendwie solche E-Books verwendet hat.
Mole: Ich habe mir immer die Hände verbrannt, als ich versucht habe,
Mole: diese Adobe DRM-Software zu installieren. Daran habe ich mir immer die Finger
Mole: verbrannt, um das Buch lesen zu können.
Mole: Und meistens habe ich es nicht hinbekommen
Mole: und es dann wieder gelöscht und zurückgegeben, insofern das ging.
Simon: Nee, also alle E-Bücher, die ich besitze, besitze ich tatsächlich als Datei,
Simon: nicht in irgendwelchen digitalen Libraries oder was auch immer und in der Regel
Simon: kann ich die auch in unterschiedliche Dateiformate für unterschiedliche Reader umwandeln.
Simon: Ja, wahrscheinlich habe ich den größten Teil davon raubkopiert.
Xyrill/Musik: Geständnisse live im Penta-Radio?
Mole: Dazu rufen wir jetzt natürlich nicht hier auf.
Simon: Doch, ich rufe dazu auf, sich Medien in sinnvollen Formaten zu beschaffen.
Xyrill/Musik: Okay, okay, disconnect, disconnect.
Mole: Also ich rufe auch dafür auf, sich Medien in offenen Formaten zu verschaffen.
Mole: Allerdings rufen wir nicht dazu auf, die sich aus illegalen Quellen zu organisieren,
Mole: sondern das muss alles ordentlich und sauber geschehen.
Simon: Ja, es gibt doch da diese sauberen Internetseiten, wo man diese Bücher in Vielzahl findet, oder?
Mole: Genau, da kann man mit dem Schiff anlegen.
Simon: Für Bücher ist das wahrscheinlich gar nicht mal der ideale Ort.
Simon: Es soll ja auch sowas geben, was sich Library Genesis nennt oder so.
Mole: Also geht bitte nicht zu Library Genesis.
Xyrill/Musik: Genau, zwinkern.
Xyrill/Musik: Das ist natürlich das Thema Bücher und natürlich gibt es noch andere digitale
Xyrill/Musik: Medien, wo ein Comeback entsteht von den physikalischen Medien.
Xyrill/Musik: Das Thema DVD und Blu-ray war so ein bisschen aus der allgemeinen Wahrnehmung
Xyrill/Musik: verschwunden in den letzten Jahren, dadurch, dass die Streaming-Anbieter ein
Xyrill/Musik: relativ gutes Benutzererlebnis geboten haben.
Xyrill/Musik: Und man kennt ja so die Zeiten, die jetzt so eigentlich vor fünf oder sechs
Xyrill/Musik: Jahren geendet haben, dass im Prinzip alles gefühlt bei Netflix verfügbar war
Xyrill/Musik: und man mit einem so ein 10-Euro-pro-Monat-Abo alles bekommen konnte,
Xyrill/Musik: was man irgendwie gerne haben wollte.
Xyrill/Musik: Das waren ganz kurz die goldenen Zeiten für alle Streaming-Kunden.
Xyrill/Musik: Und dann kam jeder Medienkonzern dieser Welt auf die Idee, sein eigenes Streaming-Portal
Xyrill/Musik: zu machen, dass man nochmal den Leuten 10 Euro pro Monat abknöpfen kann.
Xyrill/Musik: Und dementsprechend sind wir jetzt wieder in den dunklen Zeiten angekommen.
Xyrill/Musik: Und ich habe hier mal so ein Beispielvideo verlinkt, das müsst ihr euch jetzt
Xyrill/Musik: nicht unbedingt angucken, ich hab daraus ein einziges Symbolbild rausgezogen,
Xyrill/Musik: das ist hier verlinkt, das ist von Pokemon.com Zu Pokemon gehört ja nicht nur
Xyrill/Musik: die Spiele und so weiter, sondern gibt's auch ein Anime also halt eine.
Xyrill/Musik: In Deutsch würde man sagen Zeichentrickserie im japanischen Stile und die hat
Xyrill/Musik: uns schon relativ viele Staffeln, also insgesamt so 25 offenbar mindestens und
Xyrill/Musik: man sieht hier zum Beispiel, wenn man sich jetzt,
Xyrill/Musik: rauskriegen will, wo kann man sich das jetzt eigentlich angucken,
Xyrill/Musik: das ist ganz einfach zum Beispiel Staffel 1 gibt's bei Netflix,
Xyrill/Musik: kann man super super anfangen.
Xyrill/Musik: Danach für Staffel 2 kann man dann weitergehen zu, Moment, ich muss kurz suchen,
Xyrill/Musik: Staffel 2 gibt es gerade bei Amazon Prime.
Xyrill/Musik: Da kann man das noch extra dazu buchen, auf so einem extra Amazon Prime Video-Kanal.
Xyrill/Musik: Danach Staffel 3 bis 5 kriegt man bei Prime Video selber, 6 bis 9 sogar auch noch.
Xyrill/Musik: Dann 10 bis 13 gibt es dann wieder auf einem anderen Prime Video-Kanal und dann
Xyrill/Musik: kann man hier sehen, 14 bis 16 gibt es bei Tubi, da muss man dann kurz mal das Abo wechseln.
Xyrill/Musik: Danach für 17 bis 19 kann man zu Hulu gehen.
Xyrill/Musik: Dann kann man für 20 bis 22 gleich zu Roku umschalten und so geht geht das hier immer weiter.
Simon: Ja, jetzt könntest du aber auch wieder bei Prime kriegen.
Xyrill/Musik: Da muss man gucken, weil ich glaube, dieses Prime-Video-Channel heißt,
Xyrill/Musik: da muss man dann immer extra Teilabos noch irgendwie abschließen oder noch so
Xyrill/Musik: extra Geld einwerfen nochmal.
Xyrill/Musik: Also das ist alles ganz einfach, wie man sehen kann.
Xyrill/Musik: Und ja, in solchen Zeiten wundert man sich nicht, dass die Leute auf die Idee
Xyrill/Musik: kommen, vielleicht will ich es doch einfach lieber als Blu-Ray kaufen,
Xyrill/Musik: weil dann weiß ich, ich habe das Ding.
Xyrill/Musik: Und solange ich irgendwo einen Blu-Ray-Player finden kann, kann ich das Kram noch abspielen.
Xyrill/Musik: Auch wenn irgendwelche Streamingdienste auf die Idee kommen,
Xyrill/Musik: vielleicht das verschwindet jetzt ganz hier im Giftschrank, weil das dann irgendeine
Xyrill/Musik: Steuerabschreibung gibt.
Xyrill/Musik: Das sind ja auch alles Dinge, die schon passiert sind. In den 29ern wurde dann
Xyrill/Musik: auch noch vorgeschlagen, dass man auch per Regulierung vorschreiben könnte,
Xyrill/Musik: dass es eine Kontoumzugsfunktion gibt, wo man zum Beispiel solche E-Books einfach
Xyrill/Musik: nach ISBN kategorisiert exportieren kann und in den nächsten Dienst importieren kann.
Xyrill/Musik: Also wenn ich irgendwie bei Amazon ein E-Book gekauft habe, was eine ISBN hat,
Xyrill/Musik: dann könnte ich doch als nächstes auch auf die Idee kommen, das dort zu exportieren
Xyrill/Musik: und in einen anderen E-Book-Reader zu importieren bei einer anderen Plattform.
Simon: Naja gut, aber das könnte man ja im Grunde genommen nur machen,
Simon: wenn sozusagen alle E-Books so ähnlich wie die physischen Bücher bei der Nationalbibliothek
Simon: oder so hinterlegt werden.
Xyrill/Musik: Das wird natürlich schwierig in Zeiten davon, wo Amazon jetzt eine Grenze von
Xyrill/Musik: drei Büchern pro Tag festgelegt hat für diese ganzen Leute, die KI-generierte
Xyrill/Musik: Bücher rein spammen in das Verkaufsportal.
Xyrill/Musik: Wobei, das könnte natürlich das Problem auch verlösen. Wenn du einfach sagst,
Xyrill/Musik: wenn du ein neues Buch veröffentlichen willst, musst du halt einfach drei Exemplare
Xyrill/Musik: an die Nationalbibliothek liefern und dann ist halt plötzlich diese ganze KI-Müll
Xyrill/Musik: nicht mehr sinnvoll wirtschaftlich darstellbar.
Xyrill/Musik: Das ist halt genauso, wie wir bei Spam-E-Mails eigentlich auch so diese Situation
Xyrill/Musik: verpasst hatten. Wir hätten einfach machen müssen, dass jede E-Mail einen Cent kostet.
Xyrill/Musik: Dieses ganze Thema Micropayment ist eine völlig andere Geschichte und ein richtig
Xyrill/Musik: schwieriges Themenfeld.
Xyrill/Musik: Aber wenn es irgendwie die technische Möglichkeit geben hätte,
Xyrill/Musik: dass eine E-Mail einfach einen Cent kostet, hätte es einfach Spam nicht gegeben,
Xyrill/Musik: weil dann ist dann halt plötzlich die komplette Wirtschaftlichkeitsrechnung
Xyrill/Musik: verhagelt, während das für normale Menschen keine große Sache wäre.
Xyrill/Musik: Vielleicht würde es sogar Abläufe in Unternehmen effizienter gestalten.
Mole: Also ich bekomme aber trotzdem noch genug Spam in meinen Briefkasten.
Mole: Also hat das nie ganz funktioniert.
Xyrill/Musik: Ich glaube auch nicht so viel Spam, wie dein E-Mail-Server abwehren muss.
Mole: Ja, aber der wehrt das halt ab. Ich kann leider eben meinen Briefkastenschlitz
Mole: nicht für den einen zukleben und für den anderen aufmachen.
Xyrill/Musik: Nur weil die E-Mail einen Cent kostet, heißt das ja nicht, dass du nicht trotzdem
Xyrill/Musik: noch einen Spam-Filter machen kannst.
Simon: Du kannst auch direkt so eine blaue Tonne unter deinen Briefkasten stellen.
Xyrill/Musik: Genau, der Briefticker wundert sich immer, dass wenn er die Briefe reinsteckt,
Xyrill/Musik: dass dann so ein Surren losgeht auf der anderen Seite.
Mole: Da kommt dann halt auf der anderen Seite dummerweise auch die,
Mole: die ich haben will rein, also so die Rechnung.
Simon: Ich habe das tatsächlich hier schon mal bei einem Eigenheim gesehen,
Simon: die hatten neben den Briefkasten an den Zaunen im Prinzip so eine Ikea-Tüte
Simon: gehängt und da stand halt dran, Werbung bitte gleich da rein.
Xyrill/Musik: Ja, nee, das habe ich bei mir im Haus auch. Da steht halt hinter der Eingangstür
Xyrill/Musik: ist so ein Pappkarton, den irgendjemand ausleert.
Xyrill/Musik: Ich weiß nicht, ob das ein Nachbar ist oder ob das von der Hausverwaltung gemacht
Xyrill/Musik: wird, hier von der Genossenschaft.
Xyrill/Musik: Aber das ist halt explizit dafür da, dass man die nicht gewollten Werbeschreiben
Xyrill/Musik: und so weiter reinschmeißen kann.
Xyrill/Musik: Das ist immer super. Ich habe ja zum Beispiel mein Schildgründer-Reihe neulich
Xyrill/Musik: gereinigt und da brauche ich dann halt so ein bisschen Zeitungspapier,
Xyrill/Musik: um die Steine zu trocknen, also zum Trocknen raufzulegen.
Xyrill/Musik: Und da weiß ich einfach, ich muss nur warten, bis am Wochenende die ganzen Wochenendzeitungen
Xyrill/Musik: kommen und dann habe ich da jede Menge Papierabfall, den ich dafür verwenden kann.
ttimeless: Ich habe gerade mal einen Link gepostet, einen YouTube-Link von einem Video
ttimeless: von Colin Furst. Der hat hier so einen Letterboxd-Shredder gebaut.
ttimeless: Der Thumbnail ist überschrieben mit No More Junk Mail.
Mole: Ja, es ist doch ein sehr schöner Channel, den man sich angucken sollte.
Mole: Der ist geil, der Colin Furz. Der ist so ein bisschen krank.
Xyrill/Musik: Damit haben wir das ganze Thema Medien und so weiter ein bisschen abgeschlossen.
Xyrill/Musik: Und natürlich geht es beim PentaRadio auch um Hacking und Hardware.
Xyrill/Musik: Und beides haben wir in der nächsten Meldung. Der GoFetch-Exploit.
Mole: Die CPUs sind kaputt und zwar von Apple, der M1 und M2, soweit ich das verstanden habe.
Mole: Ich glaube, der M3 ist nicht betroffen. Und das ist halt genauso wie auch bei Intel.
Mole: Und ich glaube, es gab auch damals so ein paar armen Sachen wie der Spektre-Bug.
Mole: Es ist nicht fixbar. Die Leute, die immer laut schreien, ja,
Mole: Apple ist ja so gut und so toll, die kochen auch bloß mit Wasser.
Mole: Und da merkt man halt, dass eine CPU auch physikalische Grenzen hat,
Mole: die herzustellen. und dass die halt da ähnliche Ideen einsetzen mit ihren Konzepten.
Xyrill/Musik: Das ist halt das Rennen nach Performance. Dafür muss man halt Tricks reinanwenden.
Xyrill/Musik: Und das meine ich jetzt gar nicht mal böse.
Xyrill/Musik: Es ist halt die Frage, irgendwann hat man die Effizienzgewinne halt gehoben,
Xyrill/Musik: die man zum Beispiel durch verbesserte technische Prozesse in der Herstellung
Xyrill/Musik: gewinnen kann, dass man die Chips immer kleiner baut und immer mehr Transistoren
Xyrill/Musik: reinstopft, um zum Beispiel mehr Zwischenspeicher und sowas darzustellen.
Xyrill/Musik: Weil wenn man dann halt trotzdem noch weitere Performance rausholen will,
Xyrill/Musik: und das muss man natürlich, wenn man im Wettbewerb bestehen möchte,
Xyrill/Musik: dann muss man halt sich clevere Wege ausdenken, wie man sowas machen kann.
Xyrill/Musik: Und eine von diesen klassischen Wegen ist diese sogenannte Prefetching,
Xyrill/Musik: also dass die CPU schon mal quasi rät oder halt aufgrund von bestimmten Heuristiken quasi antizipiert,
Xyrill/Musik: welche Daten wohl als nächstes gebraucht werden und die schon mal in den Speicher
Xyrill/Musik: reinholt, bevor es dann tatsächlich soweit ist, auch diese Daten zu lesen oder
Xyrill/Musik: zu lesen. Schreiben wäre natürlich eine andere Sache.
Xyrill/Musik: Zu lesen oder zu schreiben. Das Problem dabei ist eben, wie das auch schon bei
Xyrill/Musik: Spectrum Meltdown der Fall war, wir hatten dazu eine Penta-Radiosendung im Januar 2018.
Xyrill/Musik: Dadurch, dass diese Daten schon in einen Zwischenspeicher reingeholt werden,
Xyrill/Musik: man dann später sehen kann, dass dieses Prefetching passiert ist,
Xyrill/Musik: weil wenn man dann tatsächlich darauf zugreift, das eben schneller geht.
Xyrill/Musik: Und das ist halt ja an und für sich genau das Verhalten, was man haben will.
Xyrill/Musik: Das Problem ist nur, dass ein Angreifer bei diesen entsprechenden Kategorien
Xyrill/Musik: von Sprachstellen provozieren kann, dass so ein Prefetching stattfindet von
Xyrill/Musik: bestimmten Speichern, den er eigentlich gar nicht lesen darf,
Xyrill/Musik: obwohl er darauf Zugriff nehmen sollte.
Xyrill/Musik: Ich glaube, ich fasse das jetzt wahrscheinlich nicht so super zusammen,
Xyrill/Musik: deswegen verweise ich natürlich auf die Folge vom Januar 2018,
Xyrill/Musik: kann dieses Prefetching versuchen auszulösen auf eine Art und Weise,
Xyrill/Musik: die auch Speicherbezug nimmt, den der Angreifer eigentlich gar nicht lesen können sollte.
Xyrill/Musik: Also der Prozess, den vielleicht der Angreifer kontrolliert hat,
Xyrill/Musik: geringe Berechtigungen im System und sollte auf irgendwelche wichtigen kryptographischen
Xyrill/Musik: Schlüssel zum Beispiel nicht zugreifen können.
Xyrill/Musik: Aber dieser Angriff führt dann dazu, dass Angreifer den CPU dazu bringen kann,
Xyrill/Musik: ein Prefetching zu machen, was davon abhängig ist, wie bestimmte Daten in diesem
Xyrill/Musik: geschützten Bereich aussehen.
Xyrill/Musik: Und dementsprechend kann man dann sehen, ob ein Prefetching stattgefunden hat
Xyrill/Musik: oder nicht. Und das ist dann ein Bit an Informationen, was man dann ausschleusen
Xyrill/Musik: kann auf diese Art und Weise.
Xyrill/Musik: Bei Spectre und Meltdown wurde das dann ja teilweise durch solche Mikrocode-Updates
Xyrill/Musik: gelöst, also dass dann die CPU-Hersteller solchen neuen Mikrocode als Update
Xyrill/Musik: gegeben haben, quasi so ein Firmware-Update,
Xyrill/Musik: was beim Start des Systems angewendet wird und dadurch bestimmte Sicherheitslücken
Xyrill/Musik: geschlossen werden und andere Sachen wurden auf Betriebssystem-Ebene zum Beispiel zugenagelt,
Xyrill/Musik: dass der Kernel darauf achtet, bestimmte Zwischenspeichern sowas explizit zu
Xyrill/Musik: leeren, wenn ein Kontextwechsel zwischen niedrig- und hochprivilegierten Prozessen stattfindet.
Xyrill/Musik: Und das hat dann natürlich zur Folge, dass das alles langsamer wird,
Xyrill/Musik: wenn entsprechend solche Caches gewährt werden müssen, denn die sind halt für Geschwindigkeit da.
Xyrill/Musik: Bei dieser Go-Fetch-Sache hier bei Apple-CPUs ist das offenbar nicht so ohne weiteres möglich.
Xyrill/Musik: Allerdings gab es da noch eine Sache, die ja quasi die Rettung war,
Xyrill/Musik: dass nämlich diese konkrete Lücke nur bei den großen Performance-Kernen in diesen
Xyrill/Musik: CPU tatsächlich möglich ist.
Xyrill/Musik: Und wenn man das nicht kennt, bei den allermeisten CPUs von armen CPUs und mittlerweile
Xyrill/Musik: auch teilweise bei x86-CPUs ist es so, dass man ein paar große Kerne hat,
Xyrill/Musik: die halt auch relativ viel Strom verbrauchen, deswegen aber auch relativ viel
Xyrill/Musik: Performance liefern können.
Xyrill/Musik: Die man dann für halt die teuren Berechnungen verwendet, wie zum Beispiel,
Xyrill/Musik: wenn das aufwendige 3D-Spiel ausgeführt wird und für die ganze normale Desktop-Arbeit zum Beispiel,
Xyrill/Musik: wo die CPU nun mal so kurz aufwacht, um ein paar Dinge zu tun und sich danach
Xyrill/Musik: wieder schlafen legt, hat man so kleinere Effizienzkerne, wie das dann manchmal heißt,
Xyrill/Musik: die halt auch nicht so schnell sind, aber halt auch nicht so viel Strom verbrauchen
Xyrill/Musik: und dadurch dann die Akkulaufzeit dementsprechend erhöhen können.
Xyrill/Musik: Und bei diesen kleineren Kernen ist das Problem nicht. Das heißt,
Xyrill/Musik: man kann sowas wie kryptografische Berechnungen in diese kleinen Kerne verlagern,
Xyrill/Musik: macht die Sache natürlich dann halt langsamer, weil wie gesagt,
Xyrill/Musik: diese kleinen Kerne eben nicht die Performance bringen wie ein großer Kern,
Xyrill/Musik: aber dafür hat man das Sicherheitsproblem nicht und das ist wahrscheinlich in
Xyrill/Musik: dem Moment die dringendere Überlegung.
ttimeless: Finde ich ehrlich gesagt eine sehr elegante Lösung. Also es ist natürlich doof,
ttimeless: dass die Lücke erstmal aufgetreten ist, aber das einfach auf den anderen Kern
ttimeless: zu legen, also ich weiß nicht, was denkt ihr dazu? Ich halte es für eine zufriedenstellende Lösung.
Mole: Hat aber extreme Performance-Einbüßen, weil es geht ja um das ganze Krypto-Zeug
Mole: und im Internet geht heutzutage nichts mehr ohne Krypto.
Mole: Also man würde das glaube ich 1 zu 10 oder sowas merken. Also die Kiste ist
Mole: dann halt langsam wie Sau.
Mole: Und das hattest du ja damals auch bei Spectre und Meltdown das Problem.
Mole: Ich weiß gar nicht, wie die das gefixt haben. Ich weiß, da gab es,
Mole: glaube ich, einen Firmware-Update für die CPU von Intel.
Mole: Die hatten da irgendwas mit dem Micro-Code-Update gemacht.
Mole: Und wie gesagt, soweit ich das hier sehe, der ARM hat ja an sich nie wirklich
Mole: einen Micro-Code wie der x68 hat, weil es ja ein RISC-Architektur und kein CISC-Architektur ist.
Mole: Deswegen ist das nie so einfach zu fixen.
Simon: Wobei, wenn ich mich richtig erinnere, hieß es am Anfang auch bei Spectre und
Simon: Meltdown, und dass das nicht fixbar sein wird.
Simon: Und dann wurde es doch weitgehend gefixt. Also von daher...
Mole: Ja, ich glaube, es ist auch nicht wirklich gefixt. Es sind irgendwelche Mitigation.
Mole: Also irgendwie, wenn du falsch darauf zugreifst, dann springt er wieder raus, sozusagen.
Mole: Oder irgend sowas. Also das Problem besteht weiterhin.
Simon: Ja gut, aber auf der anderen Seite ist jetzt in den letzten sechs Jahren auch
Simon: nichts Großes daraus passiert, was bekannt wurde, oder? Also ich will es jetzt
Simon: jetzt nicht kleinreden, aber...
Mole: Nicht wirklich, aber du weißt ja meistens auch, wie sowas ist.
Mole: Es wird ja immer bloß in so einer Fachgemeinschaft debattiert und kommt erst
Mole: dann an, wenn du es am Hauptbahnhof in den Zuganzeigen siehst und die haben
Mole: alle noch 386er, also brauchen wir uns da keine Sorgen machen.
Simon: Ja, das ist alles safe, ja.
Xyrill/Musik: Genau, wir werden das dann sehen,
Xyrill/Musik: wann dann der GoFetch-Expert auf einer Zuganzeige in ihrer Nähe auftritt.
Mole: Genau.
Xyrill/Musik: Bis dahin hat Mohl noch eine andere Hacking-Geschichte mitgebracht.
Xyrill/Musik: Hier wurde was aufgecybert.
Mole: Genau, ich lag jetzt neulich abends im Bett und wollte hier schön in unser Pad was reinschreiben.
Mole: Musste das dann zu dir schicken, weil ich gemerkt habe, dass leider unser Pad nicht mobile first ist.
Mole: Irgendwie konnte ich keine rechte Maustaste klicken, um das einzuschicken.
Xyrill/Musik: Kann man nicht an so ein Telefon auch nur Bluetooth-Maus oder so verbinden?
Mole: Ja, ja, nachts abends im Bett.
Xyrill/Musik: Ja, klar. mache ich.
Mole: Ich gehe immer mit der Maus schlafen.
Simon: Mit was willst du sonst kuscheln?
Mole: Mit der kleinen Maus, genau. Das Interessante in dem Moment hier ist,
Mole: es hat einen Chaosbezug.
Mole: Zum Kongress fallen ja immer so Dinge zusammen und ich kenne da einige Advents,
Mole: die wenn zwischen Weihnachten, naja, ist ihre Systeme teilweise ganz abschalten
Mole: oder die fallen wohl immer so ein bisschen in den Paranoid-Modus schalten,
Mole: weil es halt viele Spielkinder gibt, die auf einmal so Also den größten,
Mole: schnellsten Internetanschluss der Welt haben und damit dann mal spielen.
Mole: Ich kann mich selber erinnern, auf einem der Kongresse musste ich mir irgendwas
Mole: runterladen und ich habe das mit 80 Megabyte pro Sekunde runtergeladen.
Mole: Also das hat mich erst mal selber weggeflecht, weil das Gerät damals einfach
Mole: auch nie mehr konnte von mir.
Mole: Und hier ging es eher nach dem Kongress, also an dem Tag auf der Abreise ist
Mole: halt ein netter Sicherheitsforscher, übrigens von der Firma Pentacrit,
Mole: also nicht Pentaradio, bitte nicht verwechseln, kommt nicht von uns, aus der Schweiz.
Mole: Den ist halt aufgefallen, dass es bei den Ibis-Hotels so diverse Probleme mit Sonderzeichen gibt.
Mole: Dieses Problem habe ich schon vor 20 Jahren bei Kunden gefixt und Variablen
Mole: als Ös, Üs und Us aus Variablen rausgemacht.
Mole: Danach liefen dann die Programme. Also wer sollte darauf kommen,
Mole: dass man sowas im Jahr 2024 noch hat. Genau.
Mole: Und wir sehen hier auch eine schöne Analyse, wo super dargestellt wurde,
Mole: wie die Warnung vorgegangen ist. Mir fällt gerade das Fachwort dafür nicht ein.
Mole: Responsible Disclosure. Jetzt haben wir das Fachwort.
Xyrill/Musik: Also verantwortliche Mitteilung bzw. Veröffentlichung.
Mole: Genau, lief und dass es da auch so ein paar Sicherheits-Hicks-Apse gab dazwischen.
Mole: Und das kann man schön wirklich auf diesem von uns verlinkten Blog-Eintrag sich mal durchlesen, wann,
Mole: was, wo, an wen gemeldet wurde und am Anfang noch so gesagt wurde,
Mole: ja, ja, du bist ja bloß ein Spinner und bis zum Schluss ist dann gefixt wurde. Und jetzt am 2.4.
Mole: Ist die Deadline halt abgelaufen und dann wurde das Ganze veröffentlicht.
Mole: Also ich empfehle es euch mal durchzulesen. Es ist halt wieder so ein,
Mole: haltet euren Kopf von Wänden fern, weil ihr wollt denn dagegen schlagen.
Mole: Also ehrlich, in einem Hotel mit Sonderzeichen. Also ich selber hatte das Problem
Mole: mal, als ich noch viel mit China zu tun hatte, mit Freunden,
Mole: die aus China kamen, in einem Flixbus und ich die da ein Flixbus-Ticket zum
Mole: Flugzeug geschickt habe.
Mole: Und dann war auf dem Ticket bloß drei Vierecke. Und der Busfahrer wollte die
Mole: Leute dann nicht mitnehmen, weil die heißen halt nicht Vierecke.
Mole: Das stand nicht im Pass drin.
Xyrill/Musik: Also ich muss mir keine Sorgen machen um Wände oder sowas, aber ich habe ja
Xyrill/Musik: hier in 1270 Millimeter Höhe eine entsprechende Tischkante, die ja wahrscheinlich
Xyrill/Musik: auch schon Zahnabdrücke enthält.
ttimeless: Sehr zum Reinbeißen eindeht, ja genau.
Mole: Ja, also wie gesagt, dass man dadurch dann auch noch an die ganzen Buchungs-IDs
Mole: und Buchungsdaten rankommt,
Mole: nur weil man halt einfach mal ein paar nicht-lateinische Sonderzeichen eingibt,
Mole: das ist halt total peinlich.
Mole: Und dass sowas dann auch noch in einer Ibis-Hotelkette passiert,
Mole: die eigentlich auch ein paar Milliarden haben an Budget.
Xyrill/Musik: Und internationale Gäste und alles.
Mole: Genau. Und dass man da auch mal ein paar ITler einstellen sollte.
Simon: Aber da steht doch Ibis Budget, das muss doch alles günstig sein.
Mole: Es ist auf jeden Fall ein Totschlag-Dokument.
Simon: Also ich habe hier den Link aufgemacht und das steht da. Was soll ich dazu sagen?
Mole: Also wenn ich morgen Leute mit blutender Stirn sehe, dann habe ich gesehen,
Mole: dass ich es nicht geschafft habe, an einer Wand vorbeizulaufen.
Mole: Mir tut immer noch der Kopf weh. Das kann ich euch schon so sagen.
Xyrill/Musik: Das ist wohl dieses Aufhacken, von dem alle reden. Das bezieht sich gar nicht auf die Computer.
Xyrill/Musik: Das ist der Schaden, der dann in der organischen Rechenmaterie entsteht.
Mole: Genau, nachdem man sich diese ganzen Dinge dann durchliest und sagt, what the fuck.
Xyrill/Musik: Genau, also wir sehen hier mal wieder, das sind alles Sicherheitslücken,
Xyrill/Musik: die von Menschen gebaut wurden.
Xyrill/Musik: So geht das nicht weiter. Es gibt nur eine Lösung, wie wir das alles hier besser machen können. Goi!
Mole: Genau, und ich dachte mir, wir hören gar nichts von der Goi heute.
ttimeless: Moment, kurz bevor wir jetzt das Thema wechseln nochmal.
ttimeless: Ich habe hier oben zum ersten Thema, Cyril,
ttimeless: du hattest dir gewünscht, dass es auch eine Möglichkeit gibt in Deutschland
ttimeless: den Ablauf von Gesetzesbeschlüssen besser nachzuverfolgen und ich habe jetzt
ttimeless: in der aktuellen Logbuch-Netzpolitik-Folge da eine Webseite aufgeschnappt,
ttimeless: den Bundestagszusammenfasser, ich habe das mal verlinkt hier.
ttimeless: Und das tut das ungefähr.
Xyrill/Musik: Ja, das sieht ja richtig schön aus. Ich sehe zum Beispiel schon gleich,
Xyrill/Musik: da unten ist so eine Liste zurückgelassen.
Xyrill/Musik: Gesetze, die seit der maximalen Zeit irgendwie in Ausschussberatung sind und
Xyrill/Musik: das oberste auf der Liste ist das Demokratiefördergesetz.
Xyrill/Musik: Ohne jetzt weitere Kontexte zu kennen, klingt das nicht gut.
Xyrill/Musik: Das ist seit 387 Tagen in der Ausschussberatung.
Xyrill/Musik: Genau, eine Ausschussberatung, nicht eine Ausschlussberatung.
Xyrill/Musik: Ja, vielleicht ist es auch eine Ausschlussberatung. Ja, genau.
Xyrill/Musik: Besonders schön finde ich ja auch den Slogan, der oben in der Titelzeile steht,
Xyrill/Musik: Bundestagszusammenfasser, denn irgendjemand muss es ja machen.
ttimeless: Ja, ja. Es kommt natürlich nicht vom Bundestag.
Xyrill/Musik: Ja, na klar.
Simon: Wobei ich natürlich festhalten muss, das ist jetzt schon sehr schnell,
Simon: dass unsere Wünsche umgesetzt werden. Also das hatten wir selten so schnell.
Xyrill/Musik: Ja, also so einen Turnaround wünsche ich mir öfter, ja.
Mole: Also die Sendung es noch nicht mal veröffentlicht und schon ist alles umgesetzt.
Mole: Das ist doch... Und du, warte mal, du fängst mit KI an? Ich mach mir langsam so...
Xyrill/Musik: Das ist jetzt die nächste goldene Moderationsbrücke. Apropos schnelle Turnaround-Zeit,
Xyrill/Musik: die kriegt man natürlich wie mit KI.
Mole: Also ich hatte heute so ein Brain-Damaging-Ding mit KI, die so gut war,
Mole: wo alles funktioniert hat.
Mole: Es war heute wieder so mal, ich musste ein Engine X konfigurieren und Frage
Mole: gestellt, erste Antwort, perfekte Antwort, danach gefragt, wie ist das Ganze
Mole: haben sie mit IPv6 richtige Antwort danach gefragt.
Mole: Und warum muss ich das zweimal eingeben? Und er hat mir das erklärt.
Mole: Also ich brauche keine Freundin mehr.
Mole: Also sorry, ich mache mir echt Sorgen langsam.
Mole: Also KI ist da und wird bleiben.
Xyrill/Musik: Genau, wo KI auch bleiben wird, ist bei Musik. Das ist hier die Sache, die wir verlinkt haben.
Xyrill/Musik: Ein Musiktipp. Permission ist hier bei Granted, heißt dieses Lied,
Xyrill/Musik: was hier komponiert wurde.
Xyrill/Musik: Oder ja, eigentlich nicht komponiert, sondern eher gepromptet.
Xyrill/Musik: Das ist hier beschrieben als Sad Girl Piano Ballad, Jazz-Trained Female Singer-Songwriter.
Xyrill/Musik: Also ja, eine weibliche Sängerin, die dort in so ein bisschen Jazz-Stil halt
Xyrill/Musik: eine traurige Ballade vorträgt.
Xyrill/Musik: Es ist alles KI-generiert und der Text dieses Liedes ist einfach die MIT-Lizenz,
Xyrill/Musik: also eine Lizenz für Software, Quellcode aus dem Open-Source-Bereich.
Mole: Genau, und weil wir gerade bei KI und Musik sind, empfehle ich die letzte Freakshow.
Mole: Da wurde nochmal viel darüber geredet, wie wahrscheinlich jetzt demnächst auch
Mole: die ganzen Musikautoren ein bisschen kaputt gehen währenddessen,
Mole: weil die doch halbwegs vernünftige Musik generieren können, also die sich auch
Mole: vernünftig anhört und wo auch was rauskommt.
Mole: Also ich empfehle diese Folge Freakshow 250, glaube ich, oder irgend so was.
ttimeless: 277, das goldene Zugpferd. Ich habe sie gerade schon, ich kann sie gleich verlinken.
Xyrill/Musik: Ich frage mich, wie ihr das alle hinbekommt. um die bereits gehört zu haben.
Xyrill/Musik: Die ist irgendwie vor zwei Tagen rausgekommen und ich bin noch so weit in meinem
Xyrill/Musik: Backlog hinterher offenbar.
Mole: Ich sag bloß dreifach Speed.
ttimeless: Die LNP-Folge ist heute erschienen. Also, ich war fleißig.
Xyrill/Musik: Schlimm ist das. Naja, das sind halt diese handwerklichen Berufe,
Xyrill/Musik: wo man auch tatsächlich Podcasts hören kann den ganzen Tag. Das kann ich leider
Xyrill/Musik: beim Programmieren nicht machen.
ttimeless: Ich höre immer leichten Neid in deine Stimme, wenn du das sagst.
Simon: Das sagt ja niemand, dass man das Backlog linear bearbeiten muss.
Mole: Ja, man kann die auch gleichzeitig hören. Das geht auch.
Xyrill/Musik: Genau, so linkes Ohr, rechtes Ohr. Das wäre doch was.
Mole: Ja, genau. Genau.
Xyrill/Musik: Und dann gucken, ob es sich dann irgendwo synchronisiert, dass dann so ein Zwiegespräch
Xyrill/Musik: anfängt oder ob das dann nur der einsetzende Hirnschaden ist.
Mole: Also ich bin jetzt mittlerweile bei 2,7-fach. Bei 3-fach habe ich noch Schwindelgefühle,
Mole: aber mal sehen, wann ich bei 3-fach vernünftig bin. Also manches höre ich 3-fach.
Mole: STP geht leider nicht 3-fach, das geht bloß 2,5-fach.
Xyrill/Musik: Nein, nein, das ist genau. Was wir nicht dreifach hören werden,
Xyrill/Musik: ist die folgende Musikpause.
Xyrill/Musik: Das werde ich dann im Schnitt feststellen, was es ist und das dann hier noch
Xyrill/Musik: ansagen. Deswegen viel Spaß jetzt mit Vulnerable von I Have Got It.
Xyrill/Musik: Hier ist immer noch das Penta-Radio. Wir haben heute ein aktuelles Thema.
Xyrill/Musik: Ich hatte das sofort, als ich es gesehen habe, reingeschrieben in das Pad,
Xyrill/Musik: als darum werden wir reden müssen, sobald sich der Staub gelegt hat.
Xyrill/Musik: Und ich glaube, wir sind jetzt an dem Punkt, wo sich der Staub so ein bisschen
Xyrill/Musik: gelegt hat und wir so eine Analyse wagen können.
Xyrill/Musik: Es geht um die Backdoor in LibXZ. Und das sind jetzt gleich zwei Fachbegriffe.
Xyrill/Musik: Das heißt, wir können hier gleich richtig tief ins Thema einsteigen.
Mole: Also ich nenne das einfach, es geht um die Rollpuppistole. Weil das,
Mole: was da abgegangen ist, ist schon heftig.
Xyrill/Musik: So hatte ich es ins Pad reingeschrieben, genau. Die LibXZ-Sache sieht nach der
Xyrill/Musik: Räuberpistole aus. Und das ist es absolut.
Xyrill/Musik: Das werden wir hier in allen Facetten oder zumindest in vielen Facetten ausbreiten
Xyrill/Musik: im Laufe dieser Sendung. Also es geht um LibXZ. Fangen wir mal damit an.
Xyrill/Musik: Dieses Wort fängt an mit Lib. Das heißt, es geht um eine Library,
Xyrill/Musik: also eine Programmbibliothek. Oder wie wir jetzt neulich im Schlüsseltechnologie-Podcast
Xyrill/Musik: gelernt haben, quasi das Halbzeug des Programmierers. Was?
Xyrill/Musik: Ich weiß nicht, Tim, magst du uns definieren, was Halbzeug ist für die IT-Leute,
Xyrill/Musik: die den Begriff nicht kennen?
ttimeless: Ein Halbzeug ist ein Zwischenprodukt, das man von einem Lieferanten einkauft,
ttimeless: weil man es nicht selber herstellen möchte oder kann.
Xyrill/Musik: Also du als Tischler würdest halt so etwas wie Holzplatten einkaufen oder Schrauben und so weiter.
ttimeless: Genau, richtig, ja.
Xyrill/Musik: Und diese dann weiterverarbeiten. Und so ist die Programmbibliothek als solche
Xyrill/Musik: das Halbzeug des Programmierers.
Xyrill/Musik: Wenn man ein Programm schreibt zum Beispiel, das irgendwelche Bilder verwaltet,
Xyrill/Musik: dann möchte man ja eventuell diese Bilddateien wie einlesen und man möchte jetzt
Xyrill/Musik: nicht von vorne losgehen und einen PNG-Parser schreiben oder sowas,
Xyrill/Musik: sondern man möchte einfach eine Programmbibliothek einbinden,
Xyrill/Musik: die zum Beispiel in der Lage ist, PNG-Dateien zu lesen.
Xyrill/Musik: Und wenn jemand eine Bibliothek baut, die PNG-Dateien lesen möchte,
Xyrill/Musik: dann würde man sich auch sagen, ja, ich habe halt hier bestimmte Sachen zu behandeln,
Xyrill/Musik: die halt dieses konkrete Format PNG betreffen, aber wenn es dann darum geht,
Xyrill/Musik: einfach nur so einen komprimierten Datestrom zu lesen, der in diesem PNG drin
Xyrill/Musik: steckt, das hat auch schon jemand anders schon mal gemacht,
Xyrill/Musik: das kann ich einfach einkaufen, dann wird dann eventuell in eine Bibliothek
Xyrill/Musik: reingezogen, die entsprechende Kompressionsalgorithmen beherrscht und anbietet.
Xyrill/Musik: Und eine derartige Bibliothek, jetzt nicht konkret für PNG, aber eine Bibliothek,
Xyrill/Musik: die in der Lage ist, Kompressionen von Daten vorzunehmen oder halt auch rückgängig
Xyrill/Musik: zu machen, also auch zu entpacken, ist eben LibXZ.
Xyrill/Musik: Da geht es konkret halt um den Kompressionsalgorithmus namens XZ,
Xyrill/Musik: der von demselben Projekt auch entworfen wurde.
Xyrill/Musik: Und dieser Algorithmus hat eine relativ große Verbreitung erfahren,
Xyrill/Musik: so in den letzten 20 Jahren, die dieses Projekt jetzt schon läuft.
Mole: War das nie LZMA, worum es da ging?
Xyrill/Musik: Na, ist das auch LZMA oder ist das XZ selber? Aber XZ ist auch sein eigenes Paketformat.
Mole: Ja, aber es ist LZMA, soweit ich das verstanden habe.
Xyrill/Musik: Also ja, die verwenden dann, glaube ich, an bestimmten Stellen auch eine LZMA-Kompression oder sowas.
Xyrill/Musik: Aber XZ hat auch, glaube ich, nochmal seine eigenen Entwicklungsschritte und
Xyrill/Musik: so drin, weil das ist sein eigenes Format.
Xyrill/Musik: Hat also jetzt auch relativ breite Anwendungen gefunden, zum Beispiel hier,
Xyrill/Musik: ich verwende ja Arch Linux zu Hause auf diesem Rechner, auf dem ich hier gerade aufzeichne.
Xyrill/Musik: Und Arch Linux hatte bis vor einigen Jahren die XZ-Kompression für die Systempakete,
Xyrill/Musik: über die quasi alle Software ausgeliefert wurde, die Arch Linux-Nutzer verwenden.
Xyrill/Musik: Mittlerweile sind sie da auf was anderes gewechselt, auf Z-Standard,
Xyrill/Musik: aber XZ war da relativ viel in Verwendung und auch in anderen Distributionen
Xyrill/Musik: kommt das zum Einsatz und so weiter.
Xyrill/Musik: Dementsprechend natürlich heißt es auch, auf einem modernen Linux-System ist
Xyrill/Musik: diese LibXZ eigentlich immer installiert, weil es immer irgendwo Verwendung
Xyrill/Musik: findet für wichtige Systemkomponenten oder so.
ttimeless: Ja, also ich finde ein guter Marker dafür ist, dass es halt für XZ irgendwie
ttimeless: so die gängigen Shell-Befehle, so CAT und LESS und so, da gibt es halt eine XZ-Version davon.
ttimeless: Also man kann XZ-CAT machen und da direkt so ein XZ-File reinstopfen und dann
ttimeless: kriegt man das ausgegeben.
ttimeless: Irgendwie so eine Abkürzung. Es wird scheinbar schon recht viel damit gearbeitet.
Xyrill/Musik: Also dass man einfach solche Komfortbefehle quasi hat, die diese normalen Standardfunktionen
Xyrill/Musik: erfüllen, aber halt, wenn sie
Xyrill/Musik: auf XZ-Daten treffen, die transparent komprimieren oder dekomprimieren.
ttimeless: Genau, richtig.
Xyrill/Musik: Genau, das ist also das Spielfeld, in dem sich das Ganze abspielt.
Xyrill/Musik: Und wir haben natürlich jetzt einen zweiten Teil dieser Beschreibung hier, LibXZ Backdoor.
Xyrill/Musik: Und die Backdoor, ja, wortwörtlich die Hintertür, ist halt genau das eine...
Xyrill/Musik: Eine Schwachstelle, die halt nicht eine Sicherheitslücke ist,
Xyrill/Musik: in dem Sinne, dass sie aus Versehen aufgetreten ist, sondern es ist eine Schwachstelle,
Xyrill/Musik: die von dem Erschaffer der Software bewusst hinterlassen wurde.
Xyrill/Musik: Also hier hat jemand, der an dieser LibXZ selber mitgewirkt und gebaut hat,
Xyrill/Musik: dafür gesorgt, dass man dort eine bekannte Schwachstelle hat,
Xyrill/Musik: die dann der entsprechende Übeltäter dann ausnutzen könnte, um sich Zugang zu
Xyrill/Musik: Systemen zu verschaffen.
Mole: Ich finde ja auch ganz wichtig, dass wir uns nochmal diese sehr krasse Geschichte
Mole: mit anhören sollten, wie das aufgekommen ist.
Mole: Und zwar ist das ja ein Flugzeug, hat er das rausgefunden, weil seine CPU-Last nämlich,
Mole: also erstmal ist ein Microsoft-Entwickler, der Close-Source entwickelt eigentlich,
Mole: der aber nebenbei noch so ein Pief-Projekt hat. Ich weiß gar nicht, an was baut der?
Mole: Irgend so ein relativ offenes, war das Inkscape oder irgendwas?
Mole: Keine Ahnung, irgendein offenes Ding.
Mole: Und da hat er im Windows, glaube ich im WSL,
Mole: gemerkt, dass seine CPU übelst krass ausschlägt und hat dann sich mal dort in
Mole: die Quellcode von LibXZ reingeguckt und hat dadurch diese Lücke gefunden.
Mole: Und das Ganze auf dem Flug von Deutschland nach San Francisco.
Mole: Also eine sehr krasse Geschichte, schon wie das gefunden wurde.
Xyrill/Musik: Genau, also du steigst quasi ganz am Ende von der Geschichte jetzt schon ein
Xyrill/Musik: oder fast ganz am Ende eben dort, als diese Sprachstelle gefunden wurde.
Xyrill/Musik: Es handelt sich hier um einen zeitlichen Ablauf, der wirklich Jahre in Anspruch nimmt.
Xyrill/Musik: Also ich habe hier eine entsprechende Timeline verlinkt, die relativ weit oben,
Xyrill/Musik: die von Russ Cox zusammengestellt ist.
Xyrill/Musik: Ist ja so einer der alten Garten von Unix Entwicklern, der zuletzt relativ viel
Xyrill/Musik: an Go und sowas mitgearbeitet hat, dort auf System Level und auch andere Unix
Xyrill/Musik: Tools mitzuverantworten hat.
Xyrill/Musik: Und der hat hier einmal so die Zeitleiste zusammengestellt.
Xyrill/Musik: Die beginnt hier mit 2005 bis 2008, wo eben dieses XZ-Dateiformat ja auf Basis
Xyrill/Musik: des LCMA-Kompressions Algorithmus entworfen wurde.
Xyrill/Musik: Weil das eben so gute Ergebnisse erreicht hat, wurde es dann relativ weit angewendet
Xyrill/Musik: für eben einfach Dateiarchive, für Linux-Körnel-Images, für Pakete,
Xyrill/Musik: wie gesagt, und so weiter und so fort.
Xyrill/Musik: 2021 betritt dann eine Person die Szene, die unter dem Namen Jia Tan auftritt.
Xyrill/Musik: Also ja, klingt so ein bisschen chinesisch oder ich glaube in Singapur wurden
Xyrill/Musik: seine IPs gesehen, wobei das natürlich auch ein VPN sein kann.
Xyrill/Musik: Aber das ist das Alias, mit dem diese Person hier hauptsächlich gearbeitet hat.
Xyrill/Musik: Und diese libxz-Bibliothek ist ja Open Source, also das ist eine Entwicklungsarbeit,
Xyrill/Musik: die in der Öffentlichkeit stattfindet mit freizugänglichem Code.
Xyrill/Musik: Wenn man da eben ein Problem findet und irgendwie gerne etwas verbessern möchte
Xyrill/Musik: dran, kann man dort einen Patch hinschicken zu den entsprechenden Entwicklern
Xyrill/Musik: und vielleicht würden die das dann auch, diesen Patch übernehmen.
Xyrill/Musik: Und dieser Entwickler der hier in dem Fall heißt Lassie Collin.
Xyrill/Musik: Der hat dann von Giatan ein paar Patches erhalten, so gegen Ende 2021.
Xyrill/Musik: Das sah auch alles ganz okay aus. Irgendwie so, ja, einfach so ein bisschen
Xyrill/Musik: Infrastruktur, so ein paar Konfigurationsdateien noch hinzufügen oder einfache
Xyrill/Musik: Probleme mit dem Kompilieren und sowas beheben.
Xyrill/Musik: Also hier meint das auch so Russ Cox so, weitere Patches folgen,
Xyrill/Musik: die selbst im Nachhinein unauffällig aussehen, also nicht problematisch im Sinne
Xyrill/Musik: Wir wissen mittlerweile, dass diese Person Backdoors eingebaut hat.
Xyrill/Musik: Im Laufe von 2022 werden dann erste derartige Commits dann auch tatsächlich
Xyrill/Musik: dann in das libxz-Repository übernommen.
Xyrill/Musik: Also der bestehende Maintener, eben dieser Lassie Collin, stellt offenbar fest,
Xyrill/Musik: dass ihm diese Patches gefallen und er die eben gerne übernehmen möchte in den
Xyrill/Musik: Hauptentwicklungszweig.
Xyrill/Musik: Da kommt also eine gewisse Arbeit
Xyrill/Musik: zustande, ein gewisser Rapport entsteht zwischen Lassie und Gia Tan.
Xyrill/Musik: Gia Tan schickt hier am 19. April einen weiteren Patch. In dem Moment fangen
Xyrill/Musik: dann andere Leute an aufzutreten, die ja auch nur in Anführungszeichen genannt
Xyrill/Musik: sind, denn die aktuelle Wahrnehmung ist, dass das wahrscheinlich Sockenpuppen sind.
Xyrill/Musik: Also dass diese Person, die unter diesem Alias Jiatan arbeitet,
Xyrill/Musik: dann dort weitere Personen quasi vorgespielt hat.
Xyrill/Musik: Im Internet kann man das am Zweifelsfall nicht sehen, ob diese drei E-Mails,
Xyrill/Musik: die von drei verschiedenen Adressen kommen, wirklich drei Personen sind oder
Xyrill/Musik: einfach nur eine Person, die quasi, um es jetzt mal ganz bildlich zu sagen,
Xyrill/Musik: an drei Tastaturen gleichzeitig tippt.
Xyrill/Musik: Also Jiatan schickte am 19. April einen Patch ein Und am 22.
Xyrill/Musik: April betritt eine weitere Person namens Jigar Kumar,
Xyrill/Musik: also mit einem offenbar indischen Namen, diese Mailing-Liste,
Xyrill/Musik: dieses Forum quasi und beschwert sich darüber, dass die Patches von Giatan auch
Xyrill/Musik: nicht sofort in den Entwicklungszweig übernommen werden von Lassie.
Xyrill/Musik: Lassie meint dann hier so, ja, Patches legen hier jahrelang auf dieser Mailing-Liste,
Xyrill/Musik: ist überhaupt kein Grund anzunehmen, dass hier irgendwas passieren wird und
Xyrill/Musik: sowas, ja, was natürlich Quatsch ist, weil in dem Moment hat irgendwie Lassie
Xyrill/Musik: Collins schon vier von diesen Patches von Gia Tan mit übernommen und auch entsprechend
Xyrill/Musik: anerkannt, dass das aus dieser Quelle gekommen ist,
Xyrill/Musik: im Laufe der Zeit wird dann weiterer Druck aufgebaut durch diese Sockenpuppen,
Xyrill/Musik: weitere treten da auf und so weiter,
Xyrill/Musik: und Lassie meint dann auch so, ja, Jatan hat mir schon, hat jetzt hier schon
Xyrill/Musik: ein bisschen mitgeholfen und sowas, hat auch mit mir außerhalb dieser Mailing-Liste
Xyrill/Musik: kommuniziert, also quasi im nicht-öffentlichen E-Mail-Bereich und könnte eventuell
Xyrill/Musik: ein weiterer Co-Maintainer werden.
Xyrill/Musik: Das geht so ein bisschen in diesen ersten Winkel rein, den ich hier so gesehen
Xyrill/Musik: habe, als ich diese ganze Sache verfolgt habe, diese psychologischen und soziologischen
Xyrill/Musik: Aspekte von Open-Source-Maintenance.
Xyrill/Musik: Dass wir hier eine einzige Person haben, also diesen Lassie eben,
Xyrill/Musik: in dem Fall, der dieses Projekt leitet,
Xyrill/Musik: der halt die entsprechenden Berechtigungen hat, die entsprechenden Zugänge,
Xyrill/Musik: um zum Beispiel diesen Hauptentwicklungszweig zu pflegen und halt eben der dadurch
Xyrill/Musik: die Entscheidungsgewalt hat, welche Veränderungen die Leute vorschlagen,
Xyrill/Musik: denn in diesen Hauptentwicklungszweig einfließen sollen und dann damit auch
Xyrill/Musik: Teil von dieser LibXZ tatsächlich werden am Ende.
Xyrill/Musik: Das heißt also ja eigentlich erst mal erst mal der, dem die Sache gehört.
Xyrill/Musik: Open Source heißt erst mal nur, andere Leute können das halt auch verwenden
Xyrill/Musik: und weiterverbreiten und modifizieren und so weiter.
Xyrill/Musik: Aber es besteht ja eigentlich rein nominal keinen Anspruch, den irgendjemand,
Xyrill/Musik: ein Benutzer haben könnte.
Xyrill/Musik: Aber dann kommen dann halt Nutzer hin und vertreten dann halt hier offenbar
Xyrill/Musik: diesen Anspruch. Wie gesagt, wir wissen jetzt halt mittlerweile,
Xyrill/Musik: dass das höchstwahrscheinlich Sockenpuppen sind.
Xyrill/Musik: Also dass hier, dass nur eine Drohkulisse aufgebaut werden sollte von unserem
Xyrill/Musik: Angreifer, also von diesem Jiatan, aber das ist ja eine Sache,
Xyrill/Musik: mit der man als Open-Source-Main-Trainer einfach immer zu tun hat,
Xyrill/Musik: man möchte ja an und für sich eine Software haben,
Xyrill/Musik: die auch nützlich ist, dann freut man sich ja sogar, dass es irgendwie andere
Xyrill/Musik: Leute gibt, die das wirklich als nützlich empfinden, dementsprechend auch verwenden,
Xyrill/Musik: diese andere Leute finden dann halt Probleme damit eventuell und man hat dann
Xyrill/Musik: durchaus auch so einen inneren Antrieb zu sagen,
Xyrill/Musik: ja, ich will, dass diese Software gut ist, deswegen habe ich die irgendwie gebaut
Xyrill/Musik: und deswegen habe ich die auch ins Netz gestellt und so weiter,
Xyrill/Musik: also möchte ich auf diese Wünsche ja nicht eingehen und befindet sich dann halt
Xyrill/Musik: plötzlich in so einer gewissen Abhängigkeit von diesen Personen oder man fühlt
Xyrill/Musik: sich halt diesen Personen gegenüber verantwortlich und das kann dann halt auch
Xyrill/Musik: zum Beispiel von solchen bösartigen Akteuren ausgenutzt werden auf diese jetzt
Xyrill/Musik: eben beschriebene Art und Weise Genau.
Mole: Ich würde mich nochmal kurz berichtigen, ich hatte vorhin gesagt,
Mole: dass der gute Herr, der es gefunden hat, bei an Inkscape gearbeitet hat,
Mole: nein, er hat natürlich an Postgres gearbeitet,
Mole: Das kann man in deinen Texten, die du hier verlinkt hast, schön lesen.
Xyrill/Musik: Genau, das ist der Andres Freund, der dann eben später die Szene betritt.
Xyrill/Musik: Ich bleibe hier mal so ein kleines bisschen chronologisch.
Xyrill/Musik: Jedenfalls ja, dadurch, dass eben diese Druckkulisse aufgebaut wurde von diesen
Xyrill/Musik: ganzen Sockenpuppen und Gia Tan auch erst mal am Anfang offenbar hilfreiche
Xyrill/Musik: Arbeit geleistet hat, hat dann Lassie ihm dann sukzessive eine größere Rolle zukommen lassen.
Xyrill/Musik: Es wird auch hier deutlich als Teil von dieser Diskussion auf der Mailing-Liste,
Xyrill/Musik: dass das nicht nur eine Frage ist von, dass Lassie sieht,
Xyrill/Musik: ich werde eben alleine mit dieser Arbeit nicht fertig mit den Ansprüchen,
Xyrill/Musik: die Leute an die Software stellen, sondern hier meint er auch an einer Stelle,
Xyrill/Musik: Leute, ich habe nicht das Interesse verloren, aber meine Fähigkeiten sind einfach
Xyrill/Musik: dadurch eingeschränkt, dass ich mit meiner mentalen Gesundheit Probleme habe
Xyrill/Musik: und das schon seit längerem und halt andere Dinge in meinem Lebensalltag irgendwie problematisch sind.
Xyrill/Musik: Ich habe mit Gia Tan außerhalb der Liste zusammengearbeitet und vielleicht wird
Xyrill/Musik: er später mal eine größere Rolle übernehmen in dem Projekt. Wir werden sehen.
Xyrill/Musik: Er meint noch so am Ende, bitte denkt auch dran, das ist hier ein Projekt von
Xyrill/Musik: nicht bezahlten Hobbyisten.
Xyrill/Musik: Dann kann man sehen, wie sich das hier weiterentwickelt.
Xyrill/Musik: Dann Größenordnung September 2022 ist Giatan dann tatsächlich Maintainer.
Xyrill/Musik: Also diese, wie gesagt, jetzt neu aufgetretene Person, die jetzt seit einem
Xyrill/Musik: Jahr erst tatsächlich auf der Szenerie ist, hat jetzt offenbar hinreichend Zugriff,
Xyrill/Musik: dass sie dann in der Lage war, eine neue Version von LibXZ zu veröffentlichen.
Xyrill/Musik: Also bei der Version 5.4 Nee, bei 5.4 ist es nicht die Veröffentlichung von
Xyrill/Musik: Giatan selber, aber 5.4.2 ist dann das erste, was Giatan tatsächlich tatsächlich
Xyrill/Musik: den Release gebaut hat und veröffentlicht hat.
Xyrill/Musik: In dem Zuge fängt dann auch Jiatan zum Beispiel an, Konfigurationen in anderen
Xyrill/Musik: Projekten zu ändern, sodass die anderen Projekte ihn als Maintainer sehen.
Xyrill/Musik: Zum Beispiel hier diese eine Sache von Google, gibt es so ein Projekt OSS Fuzz,
Xyrill/Musik: also wo so Sicherheitstests gemacht werden auf Open-Source-Projekten und dort
Xyrill/Musik: wird offenbar auch Rechenzeit beziehungsweise Arbeitszeit von Google-Leuten
Xyrill/Musik: gespendet, um unter anderem auf FlipXZ drauf zu gucken.
Xyrill/Musik: Gia Tan hat dort eine entsprechende Änderung eingebracht, dass er dort bitte
Xyrill/Musik: als Maintainer mit eingetragen sein soll, also als eine von den Personen,
Xyrill/Musik: die sich um diese Bibliothek kümmern.
Xyrill/Musik: Man sieht dann hier jetzt im Juni 2023 eine weitere Person auftreten,
Xyrill/Musik: von der wir jetzt auch annehmen, dass sie eine Sockenpuppe von dieser selben
Xyrill/Musik: Person ist, namens Hans Jansen.
Xyrill/Musik: Da werden weitere Dinge eingebaut in die Bibliothek, von der sich dann später
Xyrill/Musik: herausstellt, dass das die Teile von dieser Backdoor sind.
Xyrill/Musik: Das Ganze geht dann weiter bis dann irgendwann tatsächlich am 24.
Xyrill/Musik: Februar diesen Jahres, also vor nicht mal zwei Monaten, beziehungsweise zum
Xyrill/Musik: Zeitpunkt der Ausstrahlung im Koloradio dann ziemlich genau zwei Monate,
Xyrill/Musik: diese Version 5.6 veröffentlicht wurde von LibXZ.
Xyrill/Musik: Das ist dann eben die, die die vollfunktionale Backdoor enthält,
Xyrill/Musik: diese vollfunktionale Hintertür, wo sich dann wahrscheinlich die entsprechenden
Xyrill/Musik: Angreifer oder Entwickler davon erhofft hatten, dass die eine weite Verbreitung
Xyrill/Musik: entfährt durch die entsprechenden Linux-Distributionen und so weiter,
Xyrill/Musik: damit das dann von den Angreifern ausgenutzt werden kann, wenn die dann auf
Xyrill/Musik: entsprechenden Zielsystemen dann irgendwann installiert wird als normales Software-Update.
Mole: Jetzt muss man auch verstehen, dass XlibXZ halt essentiell für SSH ist.
Mole: SSH ist eines der wichtigsten Protokolle im Internet, neben HTTP und HTTPS.
Mole: Das ist nämlich das, wo 90% aller Admins ihre Server verwalten,
Mole: wahrscheinlich eher 99%.
Mole: Und wenn der SSHD, der ja auch Compression macht, diese Lücke drin hat,
Mole: dann hat man natürlich zu jedem Server auch in irgendeiner Form einen Zugriff,
Mole: Weil der SSHD muss ja auch als, ich glaube, als Route laufen.
Mole: Und dann hat man auch immer eine Backdoor, eine Route-Backdoor,
Mole: also wirklich eine Hintertür, die nicht bloß ins Büro von irgendeinem kleinen
Mole: Angestellten ist, sondern die wirklich einmal das gesamte Haus sozusagen aufmacht.
Mole: Und das ist ja hier auch das relativ Schwierige und Schlimme daran.
Xyrill/Musik: Wenn das tatsächlich eine weite Verbreitung erfahren wäre, dann wäre das eine
Xyrill/Musik: sehr wertvolle Hintertür gewesen, die ja entweder bereits von einem mächtigen
Xyrill/Musik: Akteur da platziert worden wäre, um selber von dem verwendet zu werden.
Xyrill/Musik: Also man kann sich natürlich die entsprechenden drei Buchstabenbehörden vorstellen,
Xyrill/Musik: sowas wie ein NSA, sowas auch wie ein FSB bei den Russen oder wie auch immer
Xyrill/Musik: das bei den Chinesen oder Nordkoreanern oder was auch immer heißt.
Xyrill/Musik: Man kann sich auch vorstellen, dass das eventuell einfach von,
Xyrill/Musik: ich sage mal, No-Name-Hackern quasi gemacht wurde.
Xyrill/Musik: Vielleicht ist das für die einfach ein bisschen zu großes Projekt und zu langfristig
Xyrill/Musik: angelegtes Projekt, aber ich meine, wenn man diesen Aufwand dafür verwendet,
Xyrill/Musik: der dort verwendet wurde,
Xyrill/Musik: um jetzt über ein paar Jahre sowas einzubauen, vielleicht hat man gleichzeitig
Xyrill/Musik: zehn andere solche Projekte am Laufen in den anderen wichtigen Komponenten des
Xyrill/Musik: modernen Software-Stacks und dann ist das vielleicht so eine Startup-Logik.
Xyrill/Musik: Bei einem kommt man aber irgendwann durch und dann kann man das Ganze dann irgendwie
Xyrill/Musik: für einen Millionenbetrag oder zig Millionen verkaufen.
Xyrill/Musik: Könnte sich das dann halt auch lohnen. Und ja, dann ist halt die Frage,
Xyrill/Musik: in welche Hände das dann in Zweifelsfall fällt.
Xyrill/Musik: Ob man da jetzt irgendwie eine gute und eine böse Seite ausmachen kann,
Xyrill/Musik: würde ich da gar nicht mal sagen, sondern das ist dann halt eigentlich nur noch
Xyrill/Musik: so die Wahl zwischen Pest und Cholera, wer das dann irgendwie in die Hände bekommt, sowas.
Xyrill/Musik: Aber wie du es ja dann beschrieben hast, zum Glück hat es einen Zufallspunkt
Xyrill/Musik: gegeben, dass Andres Freund, also dieser Microsoft-Entwickler,
Xyrill/Musik: der an Postgres arbeitet, an einem Datenbanksystem,
Xyrill/Musik: der wollte ein paar Performance-Messungen machen bei seinem Postgres-System
Xyrill/Musik: und hat deswegen diverse Komponenten im System abgeschaltet,
Xyrill/Musik: damit die eben nicht dazwischen funken bei seinen Geschwindigkeitsmessungen.
Xyrill/Musik: Und hat dann festgestellt, dass sein SSH-Server irgendwie erstaunlich lange
Xyrill/Musik: für bestimmte Sachen braucht, wie erstaunlich langsam ist.
Xyrill/Musik: Und mit erstaunlich langsam meinen wir dann irgendwie sowas wie 0,8 Sekunden statt 0,3.
Xyrill/Musik: Und hat dann damit den richtigen Faden in der Hand gehabt, damit dann das ganze
Xyrill/Musik: Kartenhaus in Sicht dann zusammengefallen ist, als er dann dran gezogen hat.
Xyrill/Musik: Also ein absolut wilder Zufall. Und das eben rechtzeitig bevor diese neue Version
Xyrill/Musik: von XZ irgendwie breite Verbreitung gefunden hat.
Xyrill/Musik: Die Historie geht dann hier immer noch noch weiter bis hin zu, dass am 20.
Xyrill/Musik: März, also nur eine Woche vor der Veröffentlichung noch, Lassie Cullen offenbar
Xyrill/Musik: völlig sich dessen unbewusst war, was vorgeht,
Xyrill/Musik: hat auf die Linux-Curl-Mailing-Liste einen Patch geschickt, denn natürlich ist
Xyrill/Musik: diese XZ-Kompression auch im Kernel selber drin, für Kompression zum Beispiel
Xyrill/Musik: für das Entpacken von Kernel-Images beim Start des Systems.
Xyrill/Musik: Und noch da hat er Giatan als Maintainer mit hinzugefügt für diesen XZ-Code,
Xyrill/Musik: der im Kernel drin steckt.
Xyrill/Musik: Hatte offenbar immer noch nichts Böses dabei gedacht dann eben am 28.
Xyrill/Musik: März diesen Jahres wurde das dann von Andres Freund gefunden,
Xyrill/Musik: wurde an Debian gemeldet dann innerhalb von einem Tag ging dann das Announcement
Xyrill/Musik: los und der große Aufschrei quasi ging durch die Welt zu einem Zeitpunkt,
Xyrill/Musik: als Lassie Collin gerade tatsächlich im Urlaub war,
Xyrill/Musik: So passiert das dann auch manchmal.
Mole: Genau, also es ist auf jeden Fall eine interessante Story und ich habe da auch
Mole: ganz paar Stunden mit verbracht, mich da insgesamt mal mit auseinanderzusetzen
Mole: und mir das mal durchzulesen.
Mole: Und also mir hat es auch schon ganz schön die Luft weggenommen,
Mole: weil das ist, man kann einen Film von draus drehen, was dort abging.
Mole: Und es ist auch sicher, dass da in irgendeiner Form also irgendwelche Geheimdienste mit drin spielen.
Mole: Und es lässt auch einen Schauer über den Rücken laufen, weil man weiß nie,
Mole: in welchen Bibliotheken sowas noch drin ist,
Mole: wenn man mal so guckt, also ich weiß nicht, wie viele Bibliotheken bei euch
Mole: installiert sind in eurem System und man muss halt dann doch irgendwie die Maintenor
Mole: ganz schön vertrauen, in Anführungsstrichen.
Xyrill/Musik: Ja, ich gucke hier gerade mal nebenbei. Also ich habe 1674 Pakete installiert
Xyrill/Musik: und grob überschlagen 500 davon heißen Lib.
Xyrill/Musik: Die Menge von Code, der man vertrauen muss, ist ja unüberschaubar.
Xyrill/Musik: Zumindest für eine einzelne Person ist es definitiv unüberschaubar und für die
Xyrill/Musik: Softwaregemeinde als Ganzes, naja, offenkundig auch, denn diese ganzen Lücken
Xyrill/Musik: in LibXZ, beziehungsweise diese Schwachstelle wurde eben nicht gefunden. Kunden.
Xyrill/Musik: Natürlich jetzt, wo halt die ganze Welt draufschaut, ist wahrscheinlich LibX
Xyrill/Musik: eines der Stücke bestgelesenen Code der Welt oder meistgelesenen Code,
Xyrill/Musik: den es auf der Welt so gibt.
Xyrill/Musik: Und es kann sein, dass da eventuell noch weitere Dinge zum Vorschein kommen.
Xyrill/Musik: Aber natürlich wäre jetzt die Frage, machen wir das jetzt mit dem ganzen anderen Kram auch?
Xyrill/Musik: Und wissen wir im Zweifelsfall, wonach wir gucken müssen und so weiter?
Xyrill/Musik: Das ist eine schwierige Sache.
Xyrill/Musik: Auf die genauen technischen Umsetzungen würde ich dann später nochmal eingehen,
Xyrill/Musik: auf diese Frage, wie tatsächlich dieser Backdoor zustande gekommen ist.
Xyrill/Musik: Das ist ja der dritte Abschnitt, den ich hier definiert habe.
Xyrill/Musik: Ich war ja eben gerade eher bei diesen Aspekten von, was Open Source Maintenance
Xyrill/Musik: eigentlich heißt, was das für psychologische, soziologische Folgen hat.
Xyrill/Musik: Wir hatten eben schon gesehen, dass ja eigentlich Benutzer keinen Anspruch haben
Xyrill/Musik: gegenüber einem Open Source Entwickler, sondern der stellt halt einfach seine
Xyrill/Musik: Arbeit zur Verfügung und dann können halt die Benutzer damit machen,
Xyrill/Musik: was sie wollen, aber daraus entwächst kein Anspruch auf eine Art und Weise,
Xyrill/Musik: wie das jetzt wäre, wenn ich zum Beispiel einen Support-Vertrag abgeschlossen
Xyrill/Musik: hätte und dafür Geld bezahlen würde, wie das im Firmenumfeld der Fall ist.
Xyrill/Musik: Wenn ich irgendwie Kunde bei Microsoft bin und dort zum Beispiel Windows oder
Xyrill/Musik: Exchange-Lizenzen oder was nicht alles beziehe, dann ist dann eventuell auch
Xyrill/Musik: irgendwie ein Support-Anspruch mit drin, dass dementsprechend auch Microsoft
Xyrill/Musik: mir Sicherheitsupdates liefert und so weiter.
Xyrill/Musik: Das ist halt irgendwie dadurch zu begründen, dass da Geld fließt.
Xyrill/Musik: Und ich meine, das wäre jetzt noch die nächste Diskussion, ob das auch alles
Xyrill/Musik: in adäquater Weise passiert, gerade so was Support angeht.
Xyrill/Musik: Aber bei Open Source gibt es sowas grundsätzlich erstmal gar nicht,
Xyrill/Musik: sondern diese Software steht einfach frei im Internet, man kann die sich nehmen
Xyrill/Musik: und ja, dann kann man damit tun, was man will, aber man hat keinen Anspruch
Xyrill/Musik: gegenüber irgendjemand anderem, außer wenn man jetzt jemanden dafür engagiert,
Xyrill/Musik: an dieser Software weiterzuarbeiten.
Xyrill/Musik: Aber trotzdem, dadurch wie Menschen halt funktionieren, wenn man sieht,
Xyrill/Musik: dass die eigene Software von anderen Leuten verwendet wird, dann fühlt man bis
Xyrill/Musik: zu einem gewissen Grad eben eine Verantwortung dafür, dass diese Software auch
Xyrill/Musik: bestimmten Anforderungen genügt.
Xyrill/Musik: Und gerade sowas wie Sicherheit und sowas ist natürlich auch eine wichtige Anforderung.
Xyrill/Musik: Die möchte man nicht einfach so ignorieren und sagen, ja, dann soll halt irgendwie
Xyrill/Musik: den Nutzern das irgendwie alles kaputt gehen, wenn die meinen Kram verwenden.
Xyrill/Musik: Das ist, glaube ich, ein Anspruch, den kein Programmierer dieser Welt irgendwie hat.
Xyrill/Musik: Und das kann man eben ausnutzen, wenn man ein bösartiger Akteur ist.
Xyrill/Musik: Oder wenn man einfach nur ein Nutzer ist, der glaubt, dass sich die Welt um
Xyrill/Musik: ihn dreht und dass alle nach seiner Pfeife zu tanzen haben und davon gibt es
Xyrill/Musik: leider allgemein relativ viele Leute auf dieser Welt.
Xyrill/Musik: Was ich auch noch gesehen hatte, ist, dass er diese Drohkulisse sich ja auch
Xyrill/Musik: in dem Fall nicht nur auf den LibXZ-Maintainer bezogen hat, also auf Lassie
Xyrill/Musik: Collin in dem Fall, sondern auch um alle möglichen anderen Leute,
Xyrill/Musik: die so in dem Fahrwasser irgendwo sind.
Xyrill/Musik: Die erste Instanz natürlich sind Downstream, also die Leute,
Xyrill/Musik: die diese Linux-Distributionen machen.
Xyrill/Musik: Denn wie gesagt, nur weil Lassie Collin eine neue LibXZ-Version rausbringt,
Xyrill/Musik: heißt das noch nicht, dass die bei irgendeinem Nutzer auf dem Gerät ankommt.
Xyrill/Musik: Da wird es irgendwie ein paar hundert interessierte Leute geben,
Xyrill/Musik: die sich die vielleicht sofort selber installieren.
Xyrill/Musik: Aber wie sie dann tatsächlich zu den Nutzern kommt, ist durch die Distributions-Paketierer.
Xyrill/Musik: Also wenn man halt zum Beispiel, wie ich hier Arch Linux verwendet,
Xyrill/Musik: dann gibt es eben das entsprechende Personal,
Xyrill/Musik: die entsprechenden Leute, die bei Arch Linux mithelfen, in dem Fall auch ehrenamtlich
Xyrill/Musik: und die dann entweder selber eine Benachrichtigung bekommen oder von ihren Nutzern
Xyrill/Musik: benachrichtigt werden, dass es eine neue XZ-Version gibt und dann sich entscheiden
Xyrill/Musik: können, ob sie dieses Update in die Distribution einbringen,
Xyrill/Musik: sodass es dann alle Nutzer erhalten.
Xyrill/Musik: Und hier in dem, ich habe hier zum Beispiel verlinkt einen entsprechenden Thread
Xyrill/Musik: bei Debian im Bugtracking-System,
Xyrill/Musik: wo es darum geht, auf 5.6 zu updaten, natürlich von unserem guten Freund Hans Jansen,
Xyrill/Musik: also einer von, wie gesagt, den bekannten Sockenpuppen, der hier meint,
Xyrill/Musik: hier gibt es ein neues XZ-Paket, das soll doch bitte rein und dann kommen dann
Xyrill/Musik: gleich Kommentare unten, dass es doch hier gemacht werden soll und so weiter.
Xyrill/Musik: Hier kommen noch Leute an von Debian, zum Beispiel Thorsten Glaser,
Xyrill/Musik: der so skeptisch ist, warum denn dieser Hans Janssen hier einfach so aus dem
Xyrill/Musik: Nichts kommt und irgendwie ganze Software-Updates irgendwie beisteuern will und sowas.
Xyrill/Musik: Und dass es eigentlich nicht der Prozess ist, sondern eigentlich sollen das
Xyrill/Musik: die Debian-Maintainer selber machen. Und ja, so geht das dann hier hin und her.
Mole: Ja, leider lernen wir ja hier, dass es berechtigt war, dass Prozesse halt wichtig sind.
Mole: Und dadurch die Prozesse werden halt Trust gebaut, also Vertrauen.
Mole: Und ich glaube, da müssen wir vielleicht auch wieder hin und dort in irgendeiner
Mole: Form Prozesse, uns an Prozessen festhalten.
ttimeless: Ja, aber das ist natürlich eine interessante Frage, weil wir haben ja jetzt
ttimeless: gerade von einem Zeitraum irgendwie, dass dieser Giatan auftaucht im Oktober
ttimeless: 2021 und das ist jetzt, naja, zweieinhalb Jahre später.
ttimeless: Ich persönlich denke schon, dass es auch möglich ist, mit der gleichen Geduld
ttimeless: eine reelle Person irgendwo in so einem Prozess aufzubauen.
ttimeless: Das ist in dem Fall auch fishy, weil das eben alles Sockenpuppen sind.
ttimeless: Und hier in der Timeline steht ja auch drin, dass jemandem aufgefallen ist,
ttimeless: dass diese E-Mail-Adressen sonst nirgendwo im ganzen Internet auftauchen.
ttimeless: Nicht mal irgendwie bei Datenreichtümern oder sonstigen Dingen.
ttimeless: Also nirgendwo sonst gibt es diese E-Mail-Adressen. Und klar ist das verdächtig.
ttimeless: Aber das ist natürlich was, was die entsprechenden Akteure jetzt wahrscheinlich
ttimeless: sehr schnell lernen können.
ttimeless: Und mit dem gleichen Zeitaufwand jemanden realistischen in so einer Community
ttimeless: aufzubauen, Und scheint mir durchaus möglich.
Xyrill/Musik: Genau, also wir lernen daraus auf jeden Fall, wenn man irgendwie so eine Menteenerschaft
Xyrill/Musik: erlangen möchte als bösigerer Akteur, da muss man auch dran denken,
Xyrill/Musik: ein Netflix-Konto aufzumachen und noch irgendwie 100 andere Konten,
Xyrill/Musik: damit man dann in allen möglichen Datenleaks mit drin ist und dadurch Legitimität gewinnt.
Mole: Naja, ich würde dir da widersprechen, weil als Menteener solltest du ja ein Unix-Guru sein.
Mole: Und das Netflix-Konto bringt dir da nichts. Du wirst halt auch schon irgendwie
Mole: bewiesen haben, dass du schon mal mit sowas zu tun hattest.
Mole: Also wenn du so jemanden aufbauen willst, dann musst du das wahrscheinlich erstens
Mole: über zehn Jahre machen und zweitens auch in irgendeiner Form mit,
Mole: ich sag mal, mit einem GitHub-Account kommen und nie mit einem Netflix-Account.
Mole: Und in dem GitHub-Account muss ja was Sinnvolles drinstehen.
Xyrill/Musik: Also ich meinte es ja in dem Sinne, dass halt in diesem Zuge,
Xyrill/Musik: wie gesagt, wie Timeless das sagte, festgestellt wurde, diese Person hat ja
Xyrill/Musik: nicht mal irgendwelchen Datenlecks drin, wie das halt mit jeder normalen menschlichen
Xyrill/Musik: Person heutzutage der Fall wäre.
Xyrill/Musik: Wir haben alle 300 Konten bei irgendwelchen Internet Shops und was nicht alles
Xyrill/Musik: und sind deswegen in solchen Datenlecks überall schon bekannt.
Xyrill/Musik: Also ich meine, man kann dann halt zu Half-A-Bin Pwned gehen und kann irgendein
Xyrill/Musik: E-Mail-Adresse eines Open-Source-Maintainers eingeben, die wird wahrscheinlich.
Xyrill/Musik: In 10, 20, 30 Datenlecks drin sein.
Xyrill/Musik: Das war eben dieser Gedanke, eventuell, dass man sagen könnte,
Xyrill/Musik: könnte man darüber Legitimität herstellen, aber das ist halt so eine Sache von,
Xyrill/Musik: das wird vielleicht jetzt einmal
Xyrill/Musik: funktioniert haben oder es wird auch nur rückblickend funktioniert haben.
Xyrill/Musik: Und beim nächsten Mal sind die Angreifer dann schlauer als das und werden,
Xyrill/Musik: wie gesagt, diese Sache vielleicht einfach schon umgehen, weil wenn man so eine
Xyrill/Musik: Sache macht, die offenbar über Jahre lang geplant war, dann hat man auch die
Xyrill/Musik: 10 Euro im Monat für ein Netflix-Konto noch, damit das dann plausibel aussieht.
Simon: Aber es ist ja letztlich inhaltlich aufgefallen, also völlig unabhängig von der Person sozusagen.
Simon: Von daher, keine Ahnung.
Xyrill/Musik: Ich weiß auch nicht, ob ich mich jetzt so darüber freuen kann,
Xyrill/Musik: dass es bei Debian halt, wie wir es gerade meinten, irgendwie die Maintainer,
Xyrill/Musik: die dort eben sind, dagegen,
Xyrill/Musik: Pushback hatten, weil im Zweifelsfall ist das dann halt noch die Lehre,
Xyrill/Musik: okay, wir brauchen jetzt ab sofort nicht nur unseren Undercover-Typen bei LibXZ
Xyrill/Musik: oder bei welcher Bibliothek auch immer,
Xyrill/Musik: sondern noch bei den entsprechenden Distributionen und wenn man dann irgendwie
Xyrill/Musik: das dadurch schafft, dass die eine Distribution irgendwie vielleicht nicht so
Xyrill/Musik: genau raufguckt und das dann mergt, dann denken halt vielleicht die anderen
Xyrill/Musik: Distributionen, dann würde das schon stimmen, was da passiert,
Xyrill/Musik: wenn Debian das schon gemacht hat oder Fedora oder wer auch immer.
Mole: Naja, jetzt kommst du aber schon auch so ein bisschen in eine Verschwörungssache
Mole: rein, weil Weil je mehr Leute in so einer Verschwörung drin sind,
Mole: desto komplexer wird es. Und versuch sowas mal mit mehr als zwei Leuten zu machen.
Xyrill/Musik: Es müssen ja nicht zwei Leute sein, es kann auch die eine dieselbe Person sein.
Xyrill/Musik: Mit anderen Namen.
Mole: Da gab es auch so ein, war das nicht sogar ein CIA-Hack oder NSA-Hack,
Mole: wo auch irgend so ein Open-Source-Tool, da malicious Code reingebastelt wurde,
Mole: der dann auch erst Jahre später aufgefallen ist.
Mole: Also prinzipiell ist natürlich, wenn wir von Security by Obscurity reden,
Mole: nie gesagt, dass das dort nie ist.
Mole: Aber dadurch, dass es hier auftaucht und dass wir jetzt hier Beispiele haben,
Mole: dass es da ist, das muss nicht bedeuten, dass es das in anderen Paketen nicht
Mole: gibt und dass es das auch in den Obscurity-Paketen nicht gibt.
Mole: Aber durch dieses Obscurity-Ding hat man natürlich dann den Punkt,
Mole: dass man die Leute eingrenzen kann, die darauf Zugriff haben.
Mole: Und damit hat natürlich dann Obscurity wieder einen Vorteil.
Xyrill/Musik: Man kann natürlich sagen, dass LibXZ hier ein gutes Ziel war,
Xyrill/Musik: weil es eben in SSH drin steckt.
Xyrill/Musik: Und die Menge von Bibliotheken, die in SSH drin steckt, ist ja nun gar nicht
Xyrill/Musik: so groß im Vergleich zu was auf dem gesamten System drauf ist.
Xyrill/Musik: Also SSH macht zwar Datenkompression, aber es liest zum Beispiel keine Bilddateien
Xyrill/Musik: ein, um jetzt auf das Beispiel vom Anfang zurückzukommen.
Xyrill/Musik: Also wenn ich einen Angriff gegen SSH machen wollte, würde ich wohl nicht anfangen,
Xyrill/Musik: LibPNG oder LibJPG auseinanderzunehmen oder da irgendwie eine Backdoor einzubauen oder sowas.
Xyrill/Musik: Das wäre im Zweifelsfall wenig erfolgversprechend. Und der Witz an der Sache
Xyrill/Musik: ist ja noch, dass SSH an und für sich ja nicht mehr gegen LibXZ blinkt,
Xyrill/Musik: sondern das war ja nur über Umwege dadurch, dass LibSystemD reingepatcht wurde von Debian.
Xyrill/Musik: Und das war dann auch noch so eine Sache, die ich beobachtet hatte.
Xyrill/Musik: Im Fahrwasserdesten, wie gesagt, ging es eben nicht nur gegen die Debian-Maintainer,
Xyrill/Musik: sondern dann ging Hexenjagden los quasi gegen alle Personen,
Xyrill/Musik: die irgendwas mit LibXZ zu tun haben.
Xyrill/Musik: Und SystemD ist ja auch so eine Software, wo Leute sehr geteilter Meinung drüber
Xyrill/Musik: sind und auch sehr hitzige Debatten darüber geführt werden. Das wegen hatte ich hier auch verlinkt.
Xyrill/Musik: LibSystemD wurde bereits als Feind identifiziert. Das hier ist eine Referenz
Xyrill/Musik: auf einen Thread von Leonard Pöttering, wo er so erzählt davon,
Xyrill/Musik: dass er auch quasi wieder Fanpost bekommt.
Xyrill/Musik: Also Leonard Pöttering ist der Maintainer und ursprünglicher Entwickler von
Xyrill/Musik: SystemD, hat eben durch diese Designentscheidung, die er in der Software getroffen
Xyrill/Musik: hat, relativ viel Mut und Unmut auf sich gezogen.
Xyrill/Musik: Und ja, da wurde halt behauptet, ja, dadurch, dass SystemD halt so ein kompliziertes,
Xyrill/Musik: Chaos ist, wurde dann eben diese ganze Code mit in SSH reingeschleift,
Xyrill/Musik: wo es dann wie Probleme gemacht hat und Leonard Pöttering stellt das hier in
Xyrill/Musik: dem Viertel richtig und meinte, nee, eigentlich hatten wir nie gesagt,
Xyrill/Musik: dass Leute LibSystemD verlinken sollen, wenn es nur darum geht, dass der,
Xyrill/Musik: SSH-Server sich oder ein anderer Server sich beim Start des Prozesses bei SystemD melden kann,
Xyrill/Musik: sondern das ist eigentlich nur ein winzig kleiner Teil von der ganzen Und das
Xyrill/Musik: macht jetzt SSH einfach selber.
Xyrill/Musik: Also dieser konkrete Winkel über LibXZ irgendwie in SSH ranzukommen,
Xyrill/Musik: der ist jetzt durch diese Enthüllung für immer gelöst. Oder zumindest hoffen wir für immer.
Xyrill/Musik: Dadurch, dass die entsprechende Funktion, die Debian da reingepatcht hat,
Xyrill/Musik: jetzt einfach in SSH selber drin ist von Anfang an.
Xyrill/Musik: Da war eine Hexenjagd wieder losgegangen, zumindest von einigen Leuten.
Xyrill/Musik: Ich hatte ja auch noch so eine andere Darstellung, so ein Thread bei Hacker News,
Xyrill/Musik: also in einem IT-Forum, wo die ganze Sache relativ groß diskutiert wurde,
Xyrill/Musik: wo hier verwiesen wurde auf eine XZ-Bibliothek in der Programmiersprache Go,
Xyrill/Musik: die diese LibXZ verwendet, die in C geschrieben ist oder in C++,
Xyrill/Musik: ich weiß es nicht, eins von beiden.
Xyrill/Musik: Und da wurde so gesagt, hier ist doch auch so eine Änderung von jemand anderem,
Xyrill/Musik: der das auf 5.6 geupgradet hat und das sieht doch auch schon relativ verdächtig
Xyrill/Musik: aus, ist das nicht die nächste Sockenpuppe?
Xyrill/Musik: Dann kommt dann halt die Antwort von derjenigen Person, die die Änderung gemacht hat, so nee,
Xyrill/Musik: das ging gar nicht darum, ich habe einfach nur gesehen, da gibt es eine neue
Xyrill/Musik: Version und ich möchte halt eigentlich gerne Updates installieren,
Xyrill/Musik: deswegen habe ich da irgendwie dafür gesorgt, dass dort das Update gemacht wird,
Xyrill/Musik: was ja auch eigentlich kein schlechter Puls ist, davon reden wir die ganze Zeit,
Xyrill/Musik: dass Leute Updates installieren sollen,
Xyrill/Musik: es kann natürlich immer mal sowas geben, eben, dass dann auch mal etwas Schlechtes mit reinkommt.
Xyrill/Musik: Aber im Großen und Ganzen, wenn man deswegen keine Updates installiert,
Xyrill/Musik: dann hat man halt auf jeden Fall die Sicherheit, dass das System voller bekannter
Xyrill/Musik: Sicherheitslücken ist.
Xyrill/Musik: Also eigentlich kein schlechter Impuls. Und hier ist dann auch verlinkt,
Xyrill/Musik: das kann man sich dann mal gerne durchlesen, die parallel quasi im selben Thread
Xyrill/Musik: auf der anderen Seite stattfindende Hexenjagd,
Xyrill/Musik: wo dann Leute sagen, aha, und dieser Entwickler, der hier, der schon selber
Xyrill/Musik: gesagt hat, dass es ihm gar nicht darum ging und das auch irgendwie einigermaßen
Xyrill/Musik: glaubhaft gemacht hat, der arbeitet ja bei One Password und deswegen ist jetzt
Xyrill/Musik: One Password schlecht, weil wir ja schon festgelegt haben dass das die Hexe ist, deswegen,
Xyrill/Musik: werden wir jetzt alle unsere Konten löschen gehen und so weiter,
Xyrill/Musik: oder dann behauptet jemand anders, nee, nee, also der ist ja schon irgendwie
Xyrill/Musik: richtig, aber vielleicht wurde ja sein GitHub-Account irgendwie von einem Angreifer
Xyrill/Musik: übernommen und das war ja quasi,
Xyrill/Musik: und so bauen sich dann diese Verschwörungsmythen eben genau auf also genau diese
Xyrill/Musik: Aspekte kommen da wieder rein.
ttimeless: Das ist natürlich der Moment wo einfach Aluhüte und Trolle sich begegnen und
ttimeless: dann wird's richtig geil.
Xyrill/Musik: Und du weißt nicht, wer wer ist.
Mole: Also ich glaube, dass das Ideale dort, das ist jetzt ein Thema für Sozialwissenschaftler,
Mole: weil das muss man einfach mal an die übergeben.
Mole: Weil ich glaube, gerade dieses Ganze, was du gerade beschrieben hast,
Mole: das ist ja nur alles irgendwelches Gerammel.
Mole: Und das muss man wirklich, glaube ich, als Sozialwissenschaftler und so die
Mole: ganze Gruppendynamik sich mal angucken.
Mole: Also ich kann mir vorstellen, dass da die Upstart-Leute wieder hochkommen und
Mole: sagen, ah, es ist doch noch nie vorbei, wir probieren es nochmal oder sowas.
Mole: Also so nach dem Motto, ob wir da wieder reinkommen oder sowas.
Mole: Aber das ist halt wahnsinnig krass, wie dort die sozialen Gruppen,
Mole: Strategien und Sachen so arbeiten.
Mole: Also echt interessant.
Mole: So tief hatte ich mich jetzt da auch noch nie reingedörrt.
Xyrill/Musik: Also ich glaube, du musst dir um Upstart selber keine Gedanken machen.
Xyrill/Musik: Der letzte Release von Upstart war am 4. September 2014.
Mole: Ja, es war jetzt bloß so ein Beispiel. Es gab ja auch noch, was weiß ich, Init oder was weiß ich.
Xyrill/Musik: Ja, das habe ich auch schon gesehen, dass irgendwie Leute sich dafür auf die
Xyrill/Musik: Schulter klopfen und sagen, zum Glück habe ich Runit und nicht SystemD verwendet
Xyrill/Musik: und komplett am Problem 4.0 diskutiert oder zumindest ziemlich weit.
Xyrill/Musik: Ich habe mich jetzt gefragt, was jetzt Lösungsansätze sind an der Stelle und
Xyrill/Musik: mir fällt leider nicht sehr viel ein, weil wir sind nun mal Techniker,
Xyrill/Musik: wie gesagt, wie du es gerade schon sagst, das müssten eigentlich jetzt Soziologen
Xyrill/Musik: ausdiskutieren und ich bin auch immer ein bisschen zurückhaltend,
Xyrill/Musik: technische Lösungen für menschliche Probleme zu machen.
Xyrill/Musik: Das führt dann meistens zu nichts Gutes oder zumindest daran,
Xyrill/Musik: dass man ein Problem vorbei entwickelt. entwickelt.
Xyrill/Musik: Was ich hier so als eine Sache vielleicht referenzieren kann,
Xyrill/Musik: ist dieser Sovereign Tech Fund.
Xyrill/Musik: Also diese Idee allgemein, dass man diese ganze Software, die in einem öffentlichen
Xyrill/Musik: Interesse ist im weitesten Sinne und das ist bei LibXZ definitiv der Fall,
Xyrill/Musik: da baut, wie man sehen kann, eben die Sicherheit von Linux-Systemen und damit
Xyrill/Musik: quasi von einem weiten Teil des Internets eben darauf auf, dass diese Software
Xyrill/Musik: keine Sicherheitslücken oder Hintertüren und so weiter enthält.
Xyrill/Musik: Und das sollte man in irgendeiner Form als öffentliche Aufgabe angehen.
Xyrill/Musik: Das ist, was dieser Sovereign Tech Fund macht.
Xyrill/Musik: Der wird unter anderem von der Bundesregierung finanziert, vom Bundesministerium
Xyrill/Musik: für Wirtschaft und Klimaschutz und stellt Gelder bereit für Open Source Maintenance,
Xyrill/Musik: also halt für die Leute, die das sowieso schon machen oder halt um Personal
Xyrill/Musik: zu finanzieren, die damit reingehen und die dann einen dementsprechenden Track Record haben.
Xyrill/Musik: Denn, naja, das ist halt in Zweifelsfall immer ein Zeichen von Vertrauen,
Xyrill/Musik: wenn es mir eine vertrauenswürdige Institution dranhängt.
Xyrill/Musik: Wenn jetzt irgend so eine Gmail-Adresse ankommt und schickt einen Patch,
Xyrill/Musik: dann hat das halt in Zweifelsfall eine geringere Gravitas, als wenn das jemand
Xyrill/Musik: hat, der von seiner Behörde kommt.
Xyrill/Musik: Ich meine, man hat da natürlich sofort auch eine Skepsis gegenüber Behörden.
Xyrill/Musik: Ich habe ja eben schon die NSA erwähnt und derartige Drei-Buchstaben-Behörden,
Xyrill/Musik: Geheimdienste, Nachrichtendienste und so weiter.
Xyrill/Musik: Und diese NSA ist ja bekanntermaßen immer so eine Doppelrolle,
Xyrill/Musik: dass sie einerseits irgendwie die IT-Systeme für Amerikaner sicher machen,
Xyrill/Musik: aber gleichzeitig dann quasi, was die linke Gebäudehälfte macht und die rechte
Xyrill/Musik: Gebäudehälfte ist damit beschäftigt, Hintertüren einzubauen,
Xyrill/Musik: damit die NSA selber wieder reinkommt und eben Spionage betreiben kann,
Xyrill/Musik: wie das auch ihr Beruf ist.
Xyrill/Musik: Also kann man das natürlich auch mal skeptisch sehen, aber zumindest würde man
Xyrill/Musik: dann wissen, dass es irgendwie eine Person da dran steckt, die man nämlich vielleicht
Xyrill/Musik: auch schon mal, die man vielleicht mal irgendwo vorfinden kann und eben halt
Xyrill/Musik: nicht nur so eine Gmail-Adresse.
Xyrill/Musik: Und es wäre dann auch wahrscheinlich irgendwie schwerer darzustellen,
Xyrill/Musik: dass jetzt irgendwie diese zehn Personen, die da schreiben, tatsächlich nicht
Xyrill/Musik: auch tatsächlich zehn Personen sind und nicht nur eine Person,
Xyrill/Musik: die zehn Tastaturen bedient.
Mole: Aber ich glaube schon, dass du in gewisser Hinsicht dort recht hast und ich
Mole: das auch nochmal unterstreichen will.
Mole: Wenn man einfach mehr Geld in dieses ganze Open-Source-Finanzierungssystem steckt
Mole: und ich rede hier nicht von ein paar Millionen, sondern das müssen wahrscheinlich
Mole: eher die Hunderte von Millionen sein und dort in irgendeiner Form auch Incentives baut,
Mole: dass da ein bisschen, ich sage jetzt mal Kapitalismus drin ist und eben nicht diese ganzen,
Mole: ja ich bin ja bloß so ein Maintener und mir geht es gerade mal nicht so gut,
Mole: ich will das Projekt übergeben, Weil man hat ja schon von Weitem gesehen,
Mole: dass er eigentlich da raus wollte und wahrscheinlich immer noch will und sich
Mole: jetzt eher sagt, scheiße, jetzt muss ich das noch weitermachen,
Mole: weil dem GR10, dem wird ja niemand weiter vertrauen.
Mole: Und dass man das halt noch ein bisschen auf professionellere Beine stellt und
Mole: da auch irgendwie Strukturen dahinter gibt, Firmen dahinter stellt,
Mole: die im Zweifelsfall auch haftbar sind und so weiter und so fort.
Mole: Ich denke, das ist eine Mitigation.
Mole: Natürlich kann auch die Firma da Scheiße einbauen und natürlich kann dann auch
Mole: irgendeine Regierung kommen und sagen, ich mache mal ein Gesetz,
Mole: wo drinsteht, dass sowas jetzt eingebaut werden muss.
Mole: Natürlich können wir uns in dem Moment dann diese ganze Code-Obfuscation sparen,
Mole: die dann hier noch in deinem Teil 3 dann sicher berichtet wird.
Mole: Aber auf jeden Fall denke ich, dass wir damit schon mal noch ein bisschen in
Mole: Richtung einer Verbesserung hingehen, dass wir das, was du ja hier im nächsten
Mole: Teil dann anmachst mit diesem Symbolbild, mit diesem XKCD,
Mole: was wir da darstellen, dass du halt diese ganzen extrem wichtigen kleinen Softwareprojekte hast.
Mole: Also sieben Tipp oder sowas, das ist ja auch sowas.
Mole: So wienerische Projekte, die eigentlich keine Finanzierung haben und keiner weiß,
Mole: wer genau so richtig das macht und wie stellt man den Trust dar und in unserer
Mole: Gesellschaft ist halt Geld auch Trust und das Geld muss dann halt auch von außerhalb
Mole: von der Gesellschaft kommen,
Mole: weil es sind halt gesellschaftliche Dinge, die damit für unseren aller Vorteil
Mole: gebaut werden zum Schluss.
Mole: Also wir tun alle von einem Linux-Kernel profitieren.
ttimeless: Ich gebe dir schon recht, es wäre ja schon sinnvoll, da irgendwie mehr Mittel
ttimeless: reinzubekommen in diese ganze Sache.
ttimeless: Das Problem ist, wie verwaltest du denn diese Mittel? Und ruckzuck hast du halt
ttimeless: wieder staatliche Akteure da auf der Matte stehen,
ttimeless: weil alle sagen, ja, das ist irgendwie im Allgemeininteresse,
ttimeless: da muss quasi irgendwie eine übergeordnete Stelle geschaffen werden und dann
ttimeless: ist man ganz schnell da wieder dabei, dass das von irgendwelchen öffentlichen
ttimeless: Stellen verwaltet wird.
ttimeless: Ich habe da heute auch so ein bisschen drüber nachgedacht und also die einzige
ttimeless: Lösung wäre ja irgendwie, nein, ich will nicht sagen, es wäre die einzige Lösung,
ttimeless: aber so etwas Denkbares wäre ja das in irgendeine Art Gemeinwohlwirtschaft einzupacken.
ttimeless: Das, was an Libraries und sowas von irgendwelchen Unternehmen mittlerweile hergestellt
ttimeless: wird, das ist ja wirklich viel.
ttimeless: Auch große Tech-Unternehmen schreiben ja sehr viel an solchen Libraries und
ttimeless: an allen möglichen Schnittstellen rum.
ttimeless: Und wenn die dafür einfach ein bisschen mehr Incentive bekämen,
ttimeless: so wie du sagst, das wäre natürlich toll.
Mole: Die großen Tech-Firmen natürlich nicht, aber ich vertraue da wahrscheinlich,
Mole: und das ist vielleicht auch ein Take-away. Man kann schon so einer Lib,
Mole: die von Google maintained wird, mehr vertrauen als der von irgend so einem Mann.
Mole: Weil ich glaube, bei Google kommst du nie so einfach in so einen Prozess rein.
Mole: Da gibt es dann halt kein Jaten, der mal einfach das Projekt übernimmt und da
Mole: irgendeine Backdoor reinhaut.
Mole: Da läuft das schon anders. Also entweder kommt die direkt von Google oder du
Mole: musst dich halt dann bei Google einschleichen.
Mole: Und ich weiß auch gar nicht, ob das so einfach ist, weil die haben ja Qualitätskontrollen.
ttimeless: Doch, das geht relativ einfach mit einem Durchsuchungsbeschluss und einer Gag-Order.
Xyrill/Musik: Genau, das ist halt das Problem. Ich meine, wenn das halt nicht passiert,
Xyrill/Musik: ich muss ja kein Freund von Google sein, aber zumindest, wenn ich es mit einem
Xyrill/Musik: kapitalistischen Unternehmen zu tun habe, dann habe ich eine relativ klare Einheitsstruktur,
Xyrill/Musik: die wollen Geld machen und fertig.
Xyrill/Musik: Wenn halt Geld machen dadurch zu erreichen geht, dass sie irgendwie Softwarekomponenten
Xyrill/Musik: bauen, mit denen ihr System stabil läuft, dann sind quasi ihre Anreize auf meiner
Xyrill/Musik: Seite, sind an meinen Anreizen ausgerichtet.
Xyrill/Musik: Wenn das halt irgendwie darin besteht, irgendwie möglichst viele Daten aus dem
Xyrill/Musik: System rauszuschaufeln und irgendwie gewinnbringend einzusetzen,
Xyrill/Musik: wie das dann bei sowas wie dem
Xyrill/Musik: Chrome-Browser der Fall ist, dann sind die Anreize eher entgegengesetzt.
Xyrill/Musik: Aber natürlich ist dann genau in dem Moment, wo die Polizeirate mit dem Durchsuchungsbeschluss
Xyrill/Musik: vor der Tür steht, hört dann der ganze Spaß natürlich auf an der Stelle.
Xyrill/Musik: Und dann kann man handelnd auch fragen, in welcher Jurisdiktion die Software
Xyrill/Musik: gebaut wird, die man irgendwie verwendet und ob das jetzt einen so ruhig schlafen
Xyrill/Musik: lässt, wenn das, selbst nicht mal wenn das irgendwie USA ist,
Xyrill/Musik: sondern dann wie Europa oder sowas. Das sind dann auch noch wie 28 Staaten mit
Xyrill/Musik: verschiedenen Rechtssystemen und so.
Mole: Ich meine, für sowas gab es auch Mitigation. Da gab es dann halt Canaries und
Mole: sowas. Also wir müssen mit dem leben, was wir haben.
Mole: Wir müssen da, glaube ich, nichts Neues erfinden. Aber wir wollen ja so ein
Mole: bisschen auch darüber reden, wie man die Probleme löst.
Mole: Und wie gesagt, ich denke wirklich ein bisschen Funding. Und ich denke auch,
Mole: Timeless, ich bin da absolut auf deiner Seite. Ich bin so ein Fan von Gemeinwohlwirtschaft. Aber warum?
Mole: Also wir haben doch den souveränen Cash Fund. Gib dem doch einfach mal einen
Mole: dreistelligen Millionenbetrag statt irgendwie. Wie viele haben die?
Mole: Eine Million oder zwei Millionen?
Mole: Also gib denen doch einfach mal die Mittel, dass die vernünftige Projekte auch
Mole: mal finanzieren können.
Mole: Und gib denen einfach noch zehn mehr Leute, die das auch ein bisschen mitverwalten.
Mole: Ich denke, dass das hilft doch schon, wenn wir die Sachen, die wir haben,
Mole: einfach auch vernünftig ausstatten und das nicht bloß als Feigenblatt benutzen.
Mole: Ich glaube, das ist schon eine kleinere Medikation und eine kleinere Sache,
Mole: um solche Sachen teilweise auch zu vermeiden.
Xyrill/Musik: Wir haben jetzt schon so ein bisschen dieses ganze Thema Software-Lieferkette
Xyrill/Musik: angesprochen und das würde ich jetzt hier nochmal explizieren,
Xyrill/Musik: denn das ist dieser zweite große Punkt, den ich auf der Liste habe.
Xyrill/Musik: Nachdem wir die soziologischen Aspekte hier quasi schon hatten,
Xyrill/Musik: gehen wir jetzt so ein bisschen in die ökonomischen Aspekte rein.
Xyrill/Musik: Nein, denn es ist ja, wie wir es jetzt schon beschrieben haben und was jetzt,
Xyrill/Musik: was Molson eben ansprach, dieses Symbol, das ich verlinkt habe,
Xyrill/Musik: XKCD Nummer 2347, wo man hier so sieht, ein Bauklötzchenturm,
Xyrill/Musik: der beschriftet ist mit alle moderne digitale Infrastruktur.
Xyrill/Musik: Und dann sieht man hier aufgrund, auf der Art und Weise, wie diese Bauklötzchen
Xyrill/Musik: aufgestapelt sind, dieses ein winziges kleines Teil ganz unten rechts,
Xyrill/Musik: was den gesamten riesigen Berg da hoch hält.
Xyrill/Musik: Das ist beschriftet mit ein Projekt, das irgendeine zufällige Person aus Nebraska
Xyrill/Musik: seit 2003 ohne irgendwelchen Dank betreut.
Xyrill/Musik: Und das passt natürlich super, weil wir hatten ja hier eben 2005,
Xyrill/Musik: glaube ich, als Startdatum für diese LibXZ, also ich weiß jetzt nicht,
Xyrill/Musik: ob Lassi Kollin aus Nebraska kommt, aber das, vielleicht ist da noch mehr Parallel als wir dachten.
Xyrill/Musik: Das ist eben genau diese Situation und ich glaube, hier war auch noch,
Xyrill/Musik: ja genau, wenn man hier über das Bild noch rüber hoffert, kommt noch so der.
Xyrill/Musik: Alttext, irgendwann wird ImageMagick tatsächlich kaputt gehen und wir werden
Xyrill/Musik: lange Zeit brauchen, um aus den Trümmern Zivilisationen wieder neu zu errichten.
Xyrill/Musik: So als Beispiel dafür halt, wie einzelne Softwarebibliotheken so derart fundamental
Xyrill/Musik: sind für ja dann richtig teure Konzerne, die dann darauf aufgebaut sind.
Xyrill/Musik: Ich glaube auch irgendwann mal, hatte ich das bei Fefes Blog mal gelesen,
Xyrill/Musik: irgendwann hatte ich mal so eine Sache gelesen, wo jemand bei YouTube irgendwie
Xyrill/Musik: innen drin reingeguckt hat und dachte so, oh jetzt werde ich mal sehen,
Xyrill/Musik: was die für krasse Videosoftware und sowas alles gebaut haben.
Xyrill/Musik: Stellt sich raus, die mal verwenden auch nur FFmpeg zum Umkodieren.
Xyrill/Musik: Also halt eine freie Softwarebibliothek, die eben alle Videoformate dieses Planeten irgendwie beherrscht.
Xyrill/Musik: Und Und ja, darauf baut halt quasi einmal die komplette Welt in irgendeiner
Xyrill/Musik: Form auf, wenn es darum geht, Videos zu bearbeiten.
Xyrill/Musik: Und das ist ja nun heutzutage eine wichtige Anforderung, die fast jeder hat, bis hin zu GoE.
Xyrill/Musik: Wie stellt man eben sicher, dass diese Projekte irgendwie finanziert sind?
Xyrill/Musik: Ich habe ja auch in dem Zusammenhang ja quasi mit dieser Frage,
Xyrill/Musik: wie kann ich überhaupt vertrauen, wenn ich halt so eine riesige Lieferkette
Xyrill/Musik: habe, voll mit Halbzeug?
Xyrill/Musik: Wie kann ich jetzt eigentlich vertrauen, dass da nicht irgendwo Schwachstellen und so weiter drin sind?
Xyrill/Musik: Dann darf ich hier nochmal das klassische Paper dazu verlinken.
Xyrill/Musik: Sobald man Vertrauen sagt in der IT, wird natürlich verlinkt auf Reflections on Trusting Trust.
Xyrill/Musik: Das ist eigentlich eine Rede oder so eine Festvorlesung, die Ken Thompson gegeben
Xyrill/Musik: hat, einer der ursprünglichen Entwickler von Unix, der Ende der 70er Jahre so
Xyrill/Musik: ein Beispiel demonstriert hat in Teil dieser Festvorlesung.
Xyrill/Musik: Was ist eigentlich, wenn ich eine Schwachstelle oder so eine Hintertür in einen
Xyrill/Musik: Compiler einbaue also ein Programm, was Programmcode in Programmdateien übersetzt
Xyrill/Musik: wenn ich dazu eine Schwachstelle drin habe die könnte sich ja einfach weiter
Xyrill/Musik: verbreiten, dadurch, dass eben Programme nur mit einem Compiler erzeugt werden können,
Xyrill/Musik: wenn der Compiler infiziert ist, kann er auch alle Programme,
Xyrill/Musik: die er baut, infizieren und so kann sich das dann weiter verbreiten das kann
Xyrill/Musik: man natürlich genauso gut auch auf eine Komprimierungsbibliothek wie XZ ausdehnen,
Xyrill/Musik: wenn jetzt alle Software dieser Welt irgendwie als XZ.
Xyrill/Musik: Archive durch die Gegend geschoben wird, kann halt eine Backdoor in dem Dekomprimierer
Xyrill/Musik: sich halt einfach weiter verbreiten und auch wieder die ausgepackten Quellcode-Dateien,
Xyrill/Musik: die den infizieren, die dann wieder als nächstes kompiliert werden.
Xyrill/Musik: Und wie findet man sowas? Das ist eine Frage, die man sich mal klar machen sollte,
Xyrill/Musik: die dann auch zu produktiver Forschung in dem ganzen Gebiet geführt hat,
Xyrill/Musik: zum Beispiel auch zu diesem Thema Reproducible Builds, was wir schon mal beschrieben hatten.
Xyrill/Musik: Selbst wenn ein Rechner, wenn der Compiler auf einem Rechner infiziert sein
Xyrill/Musik: sollte, dass dann von anderen eventuell festgestellt werden kann.
Xyrill/Musik: Sofern die dann halt versuchen, diese kompilierten Ergebnisse zu reproduzieren
Xyrill/Musik: und das dann zweifelsfrei eben nicht können, weil sie die Sprachstelle nicht enthalten.
Xyrill/Musik: So etwas wäre eine Sache, die man da als Gegenangriff ins Feld führen kann.
Xyrill/Musik: Das ist auf jeden Fall so ein Meilenstein der Programmiertheorie,
Xyrill/Musik: der da wieder reinspielt.
Xyrill/Musik: Ja, so allgemeiner gefragt eben die Frage, wer überprüft denn all den Code,
Xyrill/Musik: den man verwendet, auf Schwachstellen? Und ja, wieder keiner, weil wie auch?
Xyrill/Musik: Ich kann ja mal gucken. Ich habe hier, ich nehme einfach mal eins von den Projekten,
Xyrill/Musik: was ich auf Arbeit mitteile. Das ist eine Container Image Registry.
Xyrill/Musik: Also ein relativ kleines Projekt. Relativ dazu, was wir so auf Arbeit haben,
Xyrill/Musik: geht darum, dass man eben Programmabbilder, Also so ja quasi auch Programmarchive
Xyrill/Musik: abspeichern kann, damit die dann auf Server ausgerollt und zum Einsatz gebracht werden können.
Xyrill/Musik: Das kümmert sich eigentlich nur darum, halt irgendwie solche Programmarchive
Xyrill/Musik: entgegenzunehmen, mal zu gucken, dass die irgendwie sauber formatiert sind und
Xyrill/Musik: so weiter, dass die entsprechende Person, die das hochlädt, auch die Berechtigung
Xyrill/Musik: dazu hat. Das ist eine relativ kleine Sache, nicht allzu groß.
Xyrill/Musik: Das ist ein Go geschrieben, hat man ja bereits erwähnt, eine Programmiersprache.
Xyrill/Musik: Das heißt, ich muss sowieso schon automatisch dem ganzen Go-Compiler vertrauen,
Xyrill/Musik: der sicherlich Größenordnung Hunderttausende bis Millionenzeilen Code hat.
Xyrill/Musik: Dann hat das Ding eine Standardbibliothek, also halt eine Programmbibliothek,
Xyrill/Musik: die einfach bei der Programmiersprache dabei ist, damit man überhaupt mit der
Xyrill/Musik: Sprache irgendwas anfangen kann.
Xyrill/Musik: Die ist auch bei Go relativ umfangreich, da können wir mal gucken.
Xyrill/Musik: Die ist hier auf dem System installiert.
Xyrill/Musik: Wir können mal die Quellcode-Dateien kurz durchsuchen. Das dauert einen kurzen
Xyrill/Musik: Moment, er muss 9149 Dateien sich angucken. Das macht er jetzt hier gerade.
Xyrill/Musik: Insgesamt haben wir hier zwei Millionen Zeilen Code in der Standardbibliothek von Go.
Xyrill/Musik: Und dann habe ich noch weitere Bibliotheken, die ich einbinde.
Xyrill/Musik: Die habe ich hier nebenbei schon mal gemessen. Das sind 355.000 Zeilen Code.
Xyrill/Musik: Und danach kann ich noch gucken, wie groß mein eigener Code ist,
Xyrill/Musik: also den unser Team selber geschrieben hat. Das sind 42.000 Zeilen.
Xyrill/Musik: Also wie gesagt, nominal 42.000 Zeilen ist gar nicht mal so groß.
Xyrill/Musik: Aber wenn ich dann zusammensummiere, was da noch hinten dran hängt,
Xyrill/Musik: sind wir bei über zwei Millionen Zeilen Code. Und wer soll sich denn das alles
Xyrill/Musik: gegenlesen, ob da welche Sicherheitsrücken drin sind?
Xyrill/Musik: Und dann im Zweifelsfall die ganze Kompetenz haben darüber, zu befinden,
Xyrill/Musik: ob diese ganzen Spezialfunktionen, die in solchen Bibliotheken eben implementiert
Xyrill/Musik: sind, damit man sie selber nicht implementieren muss, weil man davon keine Ahnung
Xyrill/Musik: hat, wie soll man das denn alles überprüfen? Ja, gar keiner.
Mole: Aber warte mal, ich habe eine Lösung. Ja. Ich würde einfach mal ganz laut reinschreien. GEI!
ttimeless: Woher weißt du denn, dass die KI nicht kompromittiert ist?
Xyrill/Musik: Tja, wer sagt denn, dass da nicht im System prompt drin steht,
Xyrill/Musik: steht, hallo, ich bin die NSA, sag bitte bei folgender Sicherheitslücke nicht Bescheid.
Mole: Der große Vorteil ist, dass ich jetzt heute ja in meinem Studio bin und einfach
Mole: mal rüber in die Küche gehen kann und mir eine Rolle Alufolie rühren gehen kann.
Xyrill/Musik: Genau, wir wenden hier einfach im Laufe der Sendung weitere Rollen Alufolien
Xyrill/Musik: an. Wenn ihr es mal knistern hört, ist es genau das.
Simon: Also man sollte wahrscheinlich schon grundsätzlich ein bisschen skeptisch sein,
Simon: bevor man halt Projekte in seinen wichtigen Code einbaut,
Simon: die halt nur von sehr wenigen oder Einzelpersonen betreut werden,
Simon: weil dann ist halt klar, dass die eigentlich niemand gegengelesen haben kann.
ttimeless: Sind das so wenige? Das sind doch eine ganze Menge, die von sehr wenigen Personen
ttimeless: maintained werden, oder nicht?
Simon: Ja gut, aber vielleicht ist das halt ein grundsätzliches Problem.
Xyrill/Musik: Gut, also müssen wir jetzt LibXZ ausbauen.
Mole: Genau, das ist ja das, was wir hier gerade auch aufblicken wollen in der Lieferkette sozusagen.
Mole: Also ich glaube ja, dass Code-Freezes vielleicht auch eine Lösung sein könnten,
Mole: dass man sagt, wir haben jetzt lauffähige Versionen, die sind teilgeaudited,
Mole: da können wir erstmal sicher sein, dass da mit hoher Wahrscheinlichkeit nichts
Mole: drin ist und dass man dann auch diesen Code einfach nicht weiter anfasst,
Mole: um dann sozusagen erstmal mit dem zu arbeiten.
Mole: Klar muss man dann Stück für Stück das mal durcharbeiten.
Mole: Also ich hatte damals meinen Kunden immer gesagt, es wäre doch so geil,
Mole: wenn man jetzt einfach mal ein Jahr lang die nächsten Minor-Releases einfach
Mole: nur rausbringt, wo wir sagen, wir machen nur Bugfixes und keine Feature-Requests mehr.
Mole: Also einfach mal, wir verbieten den Menschen, neue Features einzubauen in Software.
Xyrill/Musik: Naja, das sage ich ja auch öfter mal so im Scherz. Wir stellen jetzt mal irgendwie
Xyrill/Musik: so für ein paar Jahre als Gesellschaft so die Feature-Entwicklung ein und machen
Xyrill/Musik: erstmal nur kaputte Dinge wieder heile.
Xyrill/Musik: Aber das ist natürlich wiederum nicht praktikabel, weil dann schon die Frage
Xyrill/Musik: losgeht, was heißt eigentlich irgendwie ein Problem zu beheben?
Xyrill/Musik: Weil das könnte auch zum Beispiel ein Problem im grundsätzlichen Design sein.
Xyrill/Musik: Und da musst du halt wieder alles umschmeißen, um das irgendwie zu beheben.
Xyrill/Musik: Aber das will man eigentlich irgendwie auch angehen.
Xyrill/Musik: Und wie so dieses Problem an der Wurzel packen muss man auch manchmal.
Xyrill/Musik: Also wortwörtlich radikal sein.
Xyrill/Musik: Aber ja, deswegen ist das natürlich auch nicht realistisch.
Mole: Na leider hast du dann jetzt aber, ich will wieder auf unser XKCD verweisen,
Mole: das Problem, dass du halt dort dann schon ganz schön ein paar Stützen bauen
Mole: musst, damit der ganze obere Teil nie wegfliegt.
Mole: Wenn du jetzt zum Beispiel so ein winziges Projekt aus Nebraska Raska mal auf
Mole: neue Wurzeln aufsetzen wirst und das ein bisschen robuster machen wirst.
Mole: Also da muss man dann schon ganz schöne Projekte drumherum bauen,
Mole: die das dann abstützen, was oben drüber ist. Also das wird dann auch nie so einfach.
Mole: Aber wie gesagt, um hier in der Lieferkette einfach zu bleiben,
Mole: um in diesem Thema zu bleiben, ich denke schon, dass in irgendeiner Form Code-Freezes
Mole: und WOT, also Web of Trust dort ein bisschen vielleicht mehr eingesetzt werden sollte.
Xyrill/Musik: Ich kann ja so ein bisschen die Hinsicht beschreiben, wie das in der Wirtschaft
Xyrill/Musik: abläuft. Ich meine, Mo, du bist ja immer nur allein unterwegs.
Xyrill/Musik: Du kennst halt die Sicht quasi bei den kleinen Unternehmern und Mittelständlern und sowas.
Xyrill/Musik: Ich bin ja nun an einem Milliardenkonzern tätig und habe da so ein bisschen die Hinsicht.
Xyrill/Musik: Und ich glaube, da ist so ein Teil von der Diskussion eben, weil grundsätzlich
Xyrill/Musik: haben wir ja jede Menge Konzerne, die absolut in der finanziellen Lage werden,
Xyrill/Musik: eben diese ganze Maintainerschaft zu leisten.
Xyrill/Musik: Wenn man einfach den XZ-Entwickler anstellen würde, dass der das halt einfach Vollzeit machen kann.
Xyrill/Musik: Nichts anderes außer so LibXZ besser machen und ihm dann ein schönes Leben damit
Xyrill/Musik: finanzieren und eine stabile Beschäftigung und sowas.
Xyrill/Musik: Das ist ja für so ein Milliardenkonzern in der Bilanz buchstäblich ein Rundungsfehler.
Xyrill/Musik: Und nun ist natürlich die Sache, das ist halt nicht nur mit LibXZ getan,
Xyrill/Musik: das sind ein paar mehr Leute, die man dafür braucht. Die finanziellen Mittel
Xyrill/Musik: sind ja grundsätzlich alle da.
Xyrill/Musik: Was halt stattdessen passiert ist, dass sich diese Milliardenkonzerne einfach
Xyrill/Musik: diese gemeinnützige Arbeit von
Xyrill/Musik: unterbezahlten und untergewertschätzten Open-Source-Maintenern aneignen.
Xyrill/Musik: Ich klinge jetzt fast wie Marx, aber naja, das ist ja, was es ist.
Mole: Der Bord fehlt, der Bord fehlt.
Xyrill/Musik: Genau, ne. Wenn ich jetzt als Entwickler darauf gucke und sage,
Xyrill/Musik: ich habe halt jetzt nicht die Zeit, diese zwei Millionen Codes selber zu lesen,
Xyrill/Musik: an denen es hier dran hängt.
Xyrill/Musik: Und ich sehe aber gut, zumindest irgendwie die Go-Standard-Library,
Xyrill/Musik: die sieht irgendwie relativ gut aus, weil die wird von Google maintained.
Xyrill/Musik: Wir haben ja schon gerade gesagt, was das für Probleme heißen könnte,
Xyrill/Musik: aber das heißt, da werden auf jeden Fall schon mal Leute für bezahlt,
Xyrill/Musik: sich darum zu kümmern, weil Google halt einfach genau eben dieses eigene Interesse hat.
Xyrill/Musik: Die schreiben selber Programme in Go und wollen, dass der Kram irgendwie läuft
Xyrill/Musik: und irgendwie auch auf dem aktuellen Stand gehalten wird und auch weiterentwickelt wird und so.
Xyrill/Musik: Aber diese ganzen Bibliotheken hier, die ich noch so brauche,
Xyrill/Musik: wir könnten doch jetzt einfach die Maintainer wieder für ein bisschen bezahlen.
Xyrill/Musik: Also, dass wir halt zu den Leuten hingehen, die sich da sowieso schon drum kümmern,
Xyrill/Musik: sagen, hey, wir machen hier unseren, ich mache hier meinen Zyrel Tech Fund auf
Xyrill/Musik: mit dem Geld der Firma irgendwie, hol mir dafür ein Budget von der Firma und
Xyrill/Musik: dann vergebe ich halt mal 10.000
Xyrill/Musik: Euro im Monat oder sowas für die Bibliotheken, die mir wichtig sind.
Xyrill/Musik: Und dann meinetwegen für die, die es mir sehr wichtig ist, da 1.000 und für
Xyrill/Musik: die daneben halt irgendwie 100, wenn die halt nur so eine Nebenfunktion erfüllt oder sowas.
Xyrill/Musik: Und halt nur so nice to have ist oder was auch immer.
Xyrill/Musik: Das Problem ist, dafür gibt es gar keinen Prozess. Also es gibt buchstäblich
Xyrill/Musik: keine Möglichkeit dafür, irgendwie in der Firma hinzugehen und sowas zu machen,
Xyrill/Musik: weil es gibt halt einen Prozess, software einzukaufen.
Xyrill/Musik: Also wenn die jetzt halt eine Lizenz verkaufen würden, die ich kaufen müsste,
Xyrill/Musik: könnte ich halt zur Verkaufsabteilung gehen.
Xyrill/Musik: Quatsch, nicht zur Verkaufsabteilung, zur Einkaufsabteilung.
Xyrill/Musik: Und die würden als nächstes sagen, nee, das geht nicht, weil dieses Projekt
Xyrill/Musik: da drüben hat keine Verkaufsabteilung, wo wir anrufen können.
Xyrill/Musik: Sowas haben diese Open-Source-Projekte einfach nicht, weil die nichts verkaufen
Xyrill/Musik: und dementsprechend gibt es einfach keinen Prozess, denen Geld zu geben.
Xyrill/Musik: Und naja, das gibt halt auch des Konzerns sich keinen Anreiz,
Xyrill/Musik: weil funktioniert ja alles.
Xyrill/Musik: Stattdessen sehen wir, dass die Konzerne halt jetzt nach staatlicher Intervention
Xyrill/Musik: schreien, also wie dieser Chef von der Hotelkette neulich.
Mole: Ich will hier nochmal kurz reinkrätschen. Ich habe ja nun in meiner professionellen
Mole: Karriere das schon erlebt. Natürlich gibt es das bei Open Source.
Mole: Das sind diese Bausteine, die oben drauf sind. Aber die unteren Bausteine,
Mole: die Libs und das ganze kleine Zeug, also ich will an GPG erinnern oder jetzt
Mole: halt LibXZ oder wie gesagt,
Mole: dieses ganze kleine Lib-Geschratter, was da unten drunter ist,
Mole: von dem kann man das so sagen.
Mole: Aber ich habe zum Beispiel Projekte, die von Firmen verwaltet werden.
Mole: Copano, Colab und so weiter und so fort. Also solche Sachen,
Mole: die du im Unternehmenbereich benutzt.
Xyrill/Musik: Die dann Support verkaufen.
Mole: Genau. Also die halt genau das als Verkaufsmodell haben. Die sagen hier,
Mole: es gibt eine CE, eine Community Edition.
Mole: Das ist unser Forum. Kümmert euch. Und dann haben die halt fünf Leute 15 Euro
Mole: pro Person und bis 200 Leute, was weiß ich, 10 Euro pro Person und danach Callers.
Mole: Und ja, also das ist ja auch so, wie Linux funktioniert. Ich meine,
Mole: Shutterverse ist so reich geworden im Prinzip.
Mole: Also man kann das nicht verallgemeinern, was du da gerade sagst.
Xyrill/Musik: Bevor Simon jetzt antwortet, merkt ihr mal, was du sagen willst,
Xyrill/Musik: würde ich jetzt hier gerne kurz den Cut machen, weil die Zeit in der Radio-Fassung
Xyrill/Musik: abgelaufen sein wird, so wie ich das jetzt hier schätze.
Xyrill/Musik: Wir machen jetzt hier eine kurze Musikpause und dann folgt Simons Replik in
Xyrill/Musik: der Podcast-Fassung. Wenn ihr im Radio hört, kommt bitte gerne rüber in den Podcast.
Xyrill/Musik: Der wird definitiv schon raus sein zu dem Zeitpunkt, wo die Sendung im Radio läuft.
Xyrill/Musik: Ihr findet das Ganze unter pentaradio.de oder in allen gängigen Podcast-Apps
Xyrill/Musik: außer Spotify unter dem Suchbegriff Pentaradio.
Xyrill/Musik: Und jetzt haben wir eine Musikpause mit Solastalgia von Jezaria.
Xyrill/Musik: Hier ist immer noch das Penta-Radio. Vor der Pause hatte Moll das Geschäftsmodell
Xyrill/Musik: angesprochen, bei dem Firmen eine Software entwickeln, die für normale Nutzer
Xyrill/Musik: als Open-Source-Verfügung steht, finanziert durch Firmenkunden,
Xyrill/Musik: die Support-Träge und Zusatzfunktionen einkaufen.
Simon: Also das ist schon, dass das noch nicht so richtig etabliert ist,
Simon: aber dass es grundsätzlich schon die Idee gibt, sowas zu etablieren.
Simon: Also im Prinzip so Mittelsmänner, in Anführungszeichen, mit denen man als Unternehmen interagieren könnte,
Simon: um dann auch Geld an Projekte zu verteilen, wenn man der Meinung wäre,
Simon: dass das eine gute Idee wäre.
Xyrill/Musik: Was meinst du damit jetzt? Also ich würde jetzt an sowas denken wie Linux Foundation
Xyrill/Musik: oder Apache Software Foundation, die so ein Schirmherr-Infrastruktur quasi sind
Xyrill/Musik: für viele kleine Projekte.
Simon: Genau, sowas gibt es in der Richtung. Dann gibt es ja etliche Projekte,
Simon: die auch, Auch, naja, das ist vielleicht tatsächlich jetzt für so Konzerne schwieriger,
Simon: aber die dann halt so auch eigene Vereine haben.
Simon: Fällt mir jetzt zum Beispiel spontan Gianni ein.
Xyrill/Musik: Ja, der KDE-EV zum Beispiel, ne?
Mole: Wie sieht das bei Mozilla aus? Die sind doch auch irgend so ein EV, oder?
Xyrill/Musik: Die sind eine Foundation und eine Corporation. Also die Foundation hat die ganzen
Xyrill/Musik: Markenrechte und sowas und kann Spenden einwerben und die Corporation stellt die Entwickler an.
Xyrill/Musik: Ich will jetzt auch nicht sagen, dass ich mich damit groß auskenne.
Xyrill/Musik: Es ist irgendwie so zweigeteilt und vielleicht kann einer der Zuhörer uns das
Xyrill/Musik: irgendwie genauer erklären.
Xyrill/Musik: Ich weiß, wir haben ja auch, ich kenne in Dresden mindestens eine Person,
Xyrill/Musik: die bei Mozilla arbeitet.
Xyrill/Musik: Also wenn ihr was dazu sagen könnt, gerne eine Mail an pentaradio.at oder auch
Xyrill/Musik: wenn ihr allgemein Vorschläge vielleicht habt, wie man das besser machen könnte
Xyrill/Musik: oder Erfahrungen aus anderen Teilen der IT, ob es vielleicht noch schlimmer
Xyrill/Musik: ist, als was wir hier beschrieben haben.
Mole: Ja, oder einfach wirklich so beim Staat machen wir das mit einer Tax.
Mole: Wir sagen, wir wollen jetzt Straßen bauen, dafür müssen die Autos eine Steuer bezahlen.
Mole: Und man kann doch einfach auch sagen, dass dann die großen Firmen,
Mole: diese Milliardenfirmen, und alles, was dann die Ebene drunter ist,
Mole: meines Weges auch noch, dass die alle einen Tax an die Kleinen bezahlen. Also ich meine...
ttimeless: Machen die ja eh total gerne schon. Ja, genau.
Simon: Also eigentlich sind die ja alle arm und zahlen sowieso keine Tax. Von daher, also...
Mole: Wir können ja dann Ausnahmen machen.
Mole: Auf jeden Fall ist das vielleicht eine Lösung, also zumindest nicht eine Lösung,
Mole: aber ein Ansatz, dass man da sagt, naja, dann gibt's halt für diese ganzen kleinen
Mole: Projekte einfach und da kann man auch nicht sagen, welche, weil ich glaube,
Mole: so eine große Firma, die weiß auch gar nicht, welche von den Bibliotheken die benutzen.
Mole: Also gerade, ich sage mal jetzt, ich würde doch garantiert wetten,
Mole: dass ihr irgendwas habt, was auf LibX set aufbaut.
Xyrill/Musik: Naja, klar. Linux. Punkt.
Xyrill/Musik: Es ist im Körnel drin.
Mole: Genau. Und insofern natürlich verdient ihr mit LibXZ auch Geld.
Mole: Und dann kann man doch dann auch einfach sagen, was weiß ich,
Mole: 0,001% von Gewinn geht an so
Mole: einen Fonds, der halt sowas wie der Souverän-Attack-Fonds ist oder sowas.
Mole: Und damit hat man diese so eine Flat-Tax.
Xyrill/Musik: Moel, so einfach auflisten ist ja die Sache. Weil jetzt bist du im nächsten Sache.
Xyrill/Musik: Software-Lieferkette kann man ja auch formalisieren. da nennt sich das S-Bomb,
Xyrill/Musik: also Software Bill of Materials.
Xyrill/Musik: Bill of Materials, im Deutschen würde man so Materialliste oder sowas sagen.
Xyrill/Musik: Also wenn man irgendwie einen Tisch bauen will, hat man vielleicht eine Bill
Xyrill/Musik: of Materials für Bretter und Stäbe und Schrauben und so weiter und so fort.
Xyrill/Musik: Also alle Teile, die man eben braucht, um das Ding zu bauen.
Xyrill/Musik: Wenn man irgendwie ein Rechenzentrum bestücken würde, zum Beispiel so ein Rack
Xyrill/Musik: voller Server bestellen würde, hätte man halt eine Bomb, so eine Bill of Materials,
Xyrill/Musik: wo drin steht, die folgenden Server sind zu bestellen, das folgende Switch und
Xyrill/Musik: folgende Kabel und was nicht alles.
Xyrill/Musik: Alles und ein entsprechend passender Schrank. Genau, das kann eventuell auch noch dazugehören.
Xyrill/Musik: Und so ist es ja mit der S-Bomb dann eben auch so, beziehungsweise,
Xyrill/Musik: ja, das macht man dann eher retrospektiv. Man hat halt seine Software gebaut
Xyrill/Musik: und jetzt will man wissen, was ist eigentlich alles drin, so wie so eine Zutatenliste
Xyrill/Musik: auf dem Fertiggericht, was da in dem Tiefkühlbeutel kommt.
Xyrill/Musik: Kann man dann da gucken, da steht da drinne Zutaten, jetzt vielleicht nicht
Xyrill/Musik: irgendwie Tomaten oder Zucker oder was, nicht alles, sondern dann Zutaten LibXZ 5.4.2.
Xyrill/Musik: Und dann kann man sehen, puh, ist nicht die Version mit Backdoor,
Xyrill/Musik: alles gut oder halt nicht.
Xyrill/Musik: Und das ist, was eine S-Bomb ist, das ist so ein Thema,
Xyrill/Musik: ich will nicht sagen Forschungsfelder, das ist halt in der technischen Umsetzung,
Xyrill/Musik: das passiert mittlerweile, dass solche S-Bombs gepflegt werden,
Xyrill/Musik: wird auch immer mehr Teil von Regulierung, dass sowas mit angegeben werden muss,
Xyrill/Musik: also dass überhaupt erstmal eine Bekanntheit bestehen muss davon,
Xyrill/Musik: was man eigentlich alles im Stack drin hat.
Xyrill/Musik: Aber sich vorzustellen, dass das eine Sache ist, die einfach mal eben zu machen
Xyrill/Musik: ist, das würde ich so nicht unterschreiben wollen.
Xyrill/Musik: Damit kann man sich wie eine ganze Abteilung mit beschäftigen,
Xyrill/Musik: einfach rauszubekommen, was man eigentlich für Software einsetzt überhaupt,
Xyrill/Musik: aufgrund dessen, wie halt große Konzerne funktionieren.
Mole: Ja, aber gibst du mir damit nicht recht, dass es möglich ist,
Mole: also wenn du eine S-BOM hast, dann gucke ich in die S-BOM und sehe,
Mole: aha, du nutzt so und so viel Prozent XZLab oder so viel Code oder was weiß ich.
Xyrill/Musik: Ja, also sofern das S-BOM Scanning Tool das halt verstehen kann,
Xyrill/Musik: also wenn das S-BOM Scanning Tool diese LibXZ nicht sehen kann,
Xyrill/Musik: weil die auf eine witzige Weise gebaut wurde oder nicht als Systempaket installiert
Xyrill/Musik: wurde oder was nicht alles, dann siehst du es halt nicht.
Xyrill/Musik: Und das hatte ich halt auch schon erlebt, dass wir von einem S-BOM Scanner auf
Xyrill/Musik: den anderen gewechselt sind und plötzlich in Images, die das,
Xyrill/Musik: also in solchen Container-Paketen,
Xyrill/Musik: wo das eine Ding meinte, hier sind keine Schwachstellen drin und das andere
Xyrill/Musik: so, hier sind 200 Schwachstellen drin, weil das halt einfach einen besseren
Xyrill/Musik: S-Bomb-Scanner hatte und erstmal Dinge finden konnte überhaupt.
Xyrill/Musik: Also sowas habe ich schon alles erlebt, deswegen würde ich jetzt noch nicht
Xyrill/Musik: einfach sagen, dass das einfach so super gelöst ist sofort.
Xyrill/Musik: Also ja, das gibt einen Winkel, wo man reingehen könnte in die Sache, aber,
Xyrill/Musik: Und was dann natürlich der Prozent ist, ist die nächste Frage.
ttimeless: Ja klar, das ist wie immer ein Prozess.
Mole: Und ich möchte es jetzt hier aber eben nicht mit Schnittste,
Mole: Quatsch, mit Sicherheitszügen machen, sondern mit einfach auch die Projekte durchfinanzieren.
Mole: Also ich meine, die Leute wollen Essen und Trinken und ein Dach über dem Kopf
Mole: haben und dafür kann man denen auch mal 3,50 Euro geben.
Xyrill/Musik: Ich würde ja auch eigentlich mir wünschen, dass Entwickler von solchen derartigen
Xyrill/Musik: zentralen Infrastrukturen mehr als nur Essen und Trinken finanzieren können,
Xyrill/Musik: aber das ist eine andere Sache.
Xyrill/Musik: Es war ja damals in der gleichen Woche oder im gleichen Monat,
Xyrill/Musik: wo Steve Jobs gestorben ist, ist auch Dennis Ritchie gestorben.
Xyrill/Musik: Auch einer von diesen ursprünglichen Unix-Entwicklern zusammen mit Ken Thompson,
Xyrill/Musik: den ich vorhin schon angesprochen hatte.
Xyrill/Musik: Natürlich hatten alle Medien der Welt über Steve Jobs berichtet mit Sonderseiten
Xyrill/Musik: und Extrasendungen und Dokumentationen, die sofort aus dem Schrank geholt wurden und was nicht alles.
Xyrill/Musik: Und Dennis Ritchie war vielleicht nicht mal eine Fußnote oder sowas,
Xyrill/Musik: wurde nur in den Tech-Nachrichten berichtet.
Xyrill/Musik: Obwohl, ja, wahrscheinlich Dennis Ritchie einen deutlich größeren Einfluss auf
Xyrill/Musik: unsere Welt hat, als Steve Jobs das hat.
Xyrill/Musik: Der hat halt gute Produkte gemacht, aber Dennis Ritchie hat im Prinzip die Software
Xyrill/Musik: gebaut, auf der er all das aufbaut, was Steve Jobs heutzutage irgendwie hinterlassen hat.
ttimeless: Ja, das ist richtig. Ich möchte mich entschuldigen, in Audioformaten kommt Sarkasmus immer nicht gut.
ttimeless: Ja, Mol, das ist eine coole Idee, das irgendwie auf irgendeine Art Steuer durchzufinanzieren.
ttimeless: Man rennt halt wieder in das Problem rein, dass die Großkonzerne halt sowieso
ttimeless: schon nicht gerne Steuern bezahlen und natürlich aktiv dagegen lobbyiert werden,
ttimeless: solche Gesetzmäßigkeiten oder solche Gesetzestexte dann irgendwie wegzudrücken,
ttimeless: nicht zustande kommen zu lassen.
ttimeless: Das ist ein Problem. Die Idee finde ich auch cool, aber ich sehe noch nicht
ttimeless: so recht, wie sich das durchsetzen lässt oder durchsetzen ließe.
Xyrill/Musik: Das haben wir ja schon sowieso gesehen bei diesen ganzen IT-Sicherheitsgesetzen,
Xyrill/Musik: die über die Jahre gekommen sind. Das sind alles zahnlose Papiertiger zu großen Teilen.
Xyrill/Musik: Und wahrscheinlich würde ich noch eher das Risiko sehen von Regulatory Capture,
Xyrill/Musik: also dass Großkonzerne hier die Gelegenheit nutzen und einfach Regulierung machen,
Xyrill/Musik: die so kompliziert sind, dass auch nur ein Großkonzern dem irgendwie noch Folge leisten kann.
Xyrill/Musik: Also wenn man jetzt irgendwie eine S-Bomb aufstellen muss, die den kompletten
Xyrill/Musik: Betrieb umfasst, dann denke ich mal, dann wird damit ein Großkonzern,
Xyrill/Musik: naja, relativ gesehen weniger Probleme haben, als dass ein einzelner Akteur
Xyrill/Musik: wie Molhamm wird, wenn der jetzt irgendwie seine ganze S-Bomb irgendwie deklarieren müsste.
Mole: Der große Vorteil ist, dass ich ein Dienstleister für Kunden bin und für die
Mole: arbeite. Also das wäre dann, für jeden meiner Kunden müsste ich dann eine S-Bomb machen.
Xyrill/Musik: Naja, das ist ja noch mehr Arbeit für dich.
Mole: Genau.
Xyrill/Musik: Weil ich glaube nicht, dass deine Kunden das selber machen werden.
Mole: Nee, ich bin jetzt schon am Ende, am oberen, ich kann zwar noch übersorst rausgucken,
Mole: aber es ist schon, ja, oberkante Unterlippe, also es wäre nicht so einfach.
Xyrill/Musik: Genau, also wir sehen, die ganzen Anreizstrukturen sind alle kaputt und das
Xyrill/Musik: waren jetzt ja nur die ökonomischen, ansonsten wäre noch die nächste Sache,
Xyrill/Musik: was mir auch so aufgefallen war bei dieser Beschreibung von dem Andres Freund,
Xyrill/Musik: der diese Sicherheitslücke gefunden hat,
Xyrill/Musik: beziehungsweise diese Hintertür, all die Sachen, die er gemacht hat,
Xyrill/Musik: um diese Hintertür zufälligerweise zu finden, sind Tätigkeiten,
Xyrill/Musik: die in vielen Konzernen vom Management nicht nur nicht gewürdigt,
Xyrill/Musik: sondern aktiv gering geschätzt werden, weil sie unmittelbar nicht zu mehr Profit führen.
Xyrill/Musik: Also, ich meine, das sehe ich in gewisser Weise auch in meiner eigenen Arbeit,
Xyrill/Musik: dass man, das ist einfach, ohne jetzt irgendwie meine Chefs schlecht zu reden,
Xyrill/Musik: es ist einfach einem Manager,
Xyrill/Musik: der tausend Leute unter sich hat, ist es einfach schwerer zu vermitteln,
Xyrill/Musik: ich habe hier jetzt die Woche damit verbracht oder irgendwie ein halbes Jahr
Xyrill/Musik: damit verbracht, irgendwie, dass unsere Software 50 Prozent schneller läuft oder irgendwie,
Xyrill/Musik: ich habe hier auditiert und habe festgestellt, dass wir keine Sicherheitsrücken
Xyrill/Musik: haben, soweit ich das jetzt irgendwie feststellen konnte,
Xyrill/Musik: ist schwerer zu vermitteln, als ich habe drei neue Funktionen,
Xyrill/Musik: gebaut, die der Kunde haben wollte.
Xyrill/Musik: Das heißt, die Anreizstruktur ist einfach immer darauf optimiert,
Xyrill/Musik: halt, wie wir es ja schon gesprochen hatten, irgendwie, es müssen immer die
Xyrill/Musik: neuen Funktionen für die Kunden eingebaut werden und alle Kundenwünsche müssen
Xyrill/Musik: behandelt werden und außerdem hier dieses Schlagwort, von dem ich da neulich
Xyrill/Musik: gelesen habe, Gen AI muss jetzt auch noch mit drin sein.
Xyrill/Musik: Und so weiter und so fort. Oder Blockchain oder was das halt auch immer gerade ist, diesen Tag.
Mole: Na, aber hier tust du ja jetzt schön die Vorteile von Open Source beschreiben,
Mole: weil du kannst halt Liebhaberprojekte haben.
Mole: Also hier ist ja, kommt jetzt wieder das Gegenteil in voraus auf einmal,
Mole: dass du doch so eine Person, die einfach da mal mit Time da tief reingeht und
Mole: wahrscheinlich dann noch auf der Assembler-Ebene da reinguckt und auf einmal sagt,
Mole: oh, guck mal, was ist denn das hier? Oh, da ist eine Sicherheitssuche drin. Wow.
Mole: Und so weiter und so fort. Also wir sprechen gerade so ein paar Lösungsansätze
Mole: auf, die das jetzt eigentlich natürlich dann dadurch wieder genau kaputt machen,
Mole: weil es wird halt durch diese Sachen, die wir vorgeschlagen haben,
Mole: nie gewünscht, wenn man sagt, man bringt mehr Firmen und sowas rein.
Mole: Andersrum könnte man mit so Sovereign-Tash-Fonds genau diesen Leuten,
Mole: die sowas machen wollen, auch wieder ein bisschen Freiheit geben und sagen,
Mole: ja, dann tust du dich halt mal ein halbes Jahr damit auseinandersetzen,
Mole: dass deine Software 0,8 Millisekunden schneller läuft.
Mole: Ich meine, die sollen ja nie alle irgendwie ein Manager-Gehalt bekommen.
Mole: Das reicht ja, wenn die ihre 20.000 Euro im Jahr bekommen.
Mole: Also, nachsteuern. Der da draußen.
Mole: Verstehst du, was ich meine? Es ist halt schon ein interessantes Problem,
Mole: was du da gerade aufsetzt und wo ich jetzt gerade nie wirklich eine Lösung sehe.
Mole: Klar, man kann das wie gesagt mit diesem Sovereign-Tash-Fonds lösen,
Mole: aber ist das eine Lösung? Ich weiß es nicht.
Xyrill/Musik: Wir können keine Lösung so wirklich anbieten oder nur so ein paar Ansätze vielleicht
Xyrill/Musik: nennen, mit denen man sich dann weiter einlesen kann.
Xyrill/Musik: Aber ich glaube, das kann auch hier letztendlich nicht unser Auftrag sein,
Xyrill/Musik: sondern ich sehe meinen Auftrag hier darin, die Komplexität des Themas deutlich
Xyrill/Musik: zu machen und auch diese Gelegenheit zu nutzen, auf solche Sachen ein Schlaglicht
Xyrill/Musik: zu werfen, wie eben auf das Thema Software-Lieferkette.
Xyrill/Musik: Und natürlich so ein Motiv, was ich zuletzt immer wieder betont habe und was
Xyrill/Musik: wir auch schon mal in einer ganzen Sendung gewürdigt haben im Dezember 2022,
Xyrill/Musik: als Timeless hier ebenfalls zu Gast war, ist das Thema Komplexität.
Xyrill/Musik: Das ist so eine weitere Sache, die aufgefallen war.
Xyrill/Musik: Einfach in dieser Beschreibung, wie die Hintertür funktioniert hat,
Xyrill/Musik: hat sich immer wieder gezeigt,
Xyrill/Musik: dass diese ganze Sammlung von Werkzeugen, die um dieses Thema Entwicklung dieser
Xyrill/Musik: Programmbibliothek drumherum aufgebaut sind, so wahnwitzig komplex sind,
Xyrill/Musik: dass da jede Menge Angriffsfläche sich geboten hat.
Xyrill/Musik: Man kann sich das vielleicht halt ganz ergreifbar darstellen.
Xyrill/Musik: Ich hatte eben schon halt so Codezeilenmengen genannt.
Xyrill/Musik: Wenn man zwei Millionen Codezeilen hat, kann jemand das auch lesen als zwei
Xyrill/Musik: Millionen Gelegenheiten, eine Sicherheitslücke einzubauen oder halt eine zu haben einfach nur.
Xyrill/Musik: Das wird dann auch teilweise gemacht, dass dann so Maßeinheiten versucht werden
Xyrill/Musik: zu messen, von wegen Anzahl Sicherheitslücken pro tausend Seilen Code zum Beispiel.
Xyrill/Musik: Und dann würde man halt danach gehen, dass man vielleicht ein Softwareprojekt
Xyrill/Musik: hat, was seit zehn Jahren läuft und dementsprechend hat man dann halt in einer
Xyrill/Musik: gewissen Zeit irgendwie schon Software-Sicherheitslücken gefunden.
Xyrill/Musik: Und dann kann man das mit anderen gleich alten Projekten vergleichen und vielleicht
Xyrill/Musik: sehen, dass bestimmte Programmiersprachen eine höhere Wahrscheinlichkeit von
Xyrill/Musik: Sicherheitslücken aufweisen oder bestimmte Arten und Weisen,
Xyrill/Musik: wie man Software strukturieren kann,
Xyrill/Musik: eine höhere Sicherheitslücken dichter aufweisen als andere und daraus versuchen, Schlüsse zu ziehen.
Xyrill/Musik: Aber grundsätzlich ist diese Vorstellung, dass einfach eine weitere Zeile Code
Xyrill/Musik: wieder eine Gelegenheit für eine Sicherheitslücke ist, doch schon ganz gut ist.
Xyrill/Musik: Das war auch dieser Winkel, warum eben dann gegen diese LibSystemD-Einbindung
Xyrill/Musik: gewettert wurde, also dass Debian in die SSH-Server die Bibliothek LibSystemD
Xyrill/Musik: eingebunden haben, damit der SSH-Server sich beim Start bei dem SystemD-Prozess melden kann,
Xyrill/Musik: um halt zu sagen, dass er jetzt gerade fertig ist mit Starten und und so weiter,
Xyrill/Musik: was man eigentlich auch einfach mit 250 Zeilen Code selber hätte implementieren können,
Xyrill/Musik: anstatt irgendwie diese Bibliothek mit zehntausenden Zeilen Code unten abhängig
Xyrill/Musik: an FlipXZ reinzuziehen.
Xyrill/Musik: Das wäre halt dann weniger Code
Xyrill/Musik: gewesen und dementsprechend weniger Gelegenheit für eine Sprachstelle.
Mole: In gewisser Hinsicht können wir hier jetzt auf die letzte Sendung referenzieren,
Mole: nämlich dass wir hier ein bisschen auch ein UI- und UX-Problem haben,
Mole: weil natürlich der Entwickler, also das ist dann der Moment,
Mole: die UI für den Entwickler, beziehungsweise das,
Mole: ja, es ist jetzt kein grafisches Interface, aber das Interface,
Mole: wie du es halt so schön sagst, ich ziehe mir irgendwelche Bibliotheken rein,
Mole: die jetzt abgestanden und funktional sind, aber ich muss mir den Code nicht selber programmieren.
Mole: Gegenüber, ich programmiere den Code selber, habe dafür aber einen Code,
Mole: den ich übersehen kann, der stabil ist, der KISS ist, der Keep It Simple und Stupid ist.
Mole: Hier sind wir wieder bei diesen Komplexitätsvermeidungsmethoden.
Mole: Also einfach auch mal zu sagen, ja klar, ich kann die Bibliothek jetzt reinziehen.
Mole: Ich weiß nicht, welche Bibliothek die Bibliotheken wieder als Abhängigkeiten hat.
Mole: Oder ich programmiere mir selber. Also bei manchen Problemen lässt sich das
Mole: dann doch schnell selber lösen.
Xyrill/Musik: Sind, den Compiler aufzurufen und zu steuern und so weiter.
Xyrill/Musik: Das ist dann im Falle von so einer C- oder C++-Bibliothek wie libxz ist das oftmals Autotools.
Xyrill/Musik: Das ist auch so ein Tool aus dieser frühen Unix-Zeit. Kleine Geschichtsstunde
Xyrill/Musik: so, um das kurz zu erklären, was das damit auf sich hat.
Xyrill/Musik: Unix an sich ist ja ein Betriebssystem, beziehungsweise ein Betriebssystem,
Xyrill/Musik: was ursprünglich mal bei den Bell Research Labs entwickelt wurde,
Xyrill/Musik: in den späten 70ern, frühen 80er Jahren.
Xyrill/Musik: Und dadurch, dass es unter unter relativ liberalen Lizenzen,
Xyrill/Musik: also ja so ähnlich quasi wie freie Software, nicht ganz dasselbe,
Xyrill/Musik: aber so ähnlich verteilt wurde, haben sich dann davon Klone abgespalten.
Xyrill/Musik: Und es gab dann so in den 80er, 90er Jahren hat sich dann so ein ganzer Zoo
Xyrill/Musik: von verschiedenen Unix-Implementationen und Systemen rausgebildet,
Xyrill/Musik: die dann auch teilweise von verschiedenen Herstellern vertrieben wurden oder
Xyrill/Musik: halt auch als freie Software vertrieben wurden, so wie die BSDs und dann später
Xyrill/Musik: eben auch Linux als ein eigener Unix-artiger Betriebssystemkörnel.
Xyrill/Musik: All diese verschiedene Unix verhalten sich so ein bisschen unterschiedlich,
Xyrill/Musik: Und verschiedene CPU-Architekturen verhalten sich ja auch unterschiedlich.
Xyrill/Musik: Und um darüber so ein bisschen zu nivellieren und eine einheitliche Grundlage
Xyrill/Musik: herzustellen, gibt es dann diese Auto-Tools, die so quasi Prüfungen machen,
Xyrill/Musik: was das Betriebssystem kann, was der C-Compiler kann und was die C-Bibliotheken
Xyrill/Musik: alle können und so weiter.
Xyrill/Musik: Die Standard-Bibliotheken und dementsprechend wird dann halt herausgefunden,
Xyrill/Musik: wie man den Compiler tatsächlich aufrufen kann, um dann die gewünschte Bibliothek zu erzeugen.
Xyrill/Musik: Das ist halt ein System, was irgendwie 50 Jahre alt ist, fast mittlerweile.
Xyrill/Musik: Also es ist halt so im Zuge von Unix halt mit entstanden und schleift halt diese
Xyrill/Musik: ganzen Abwärtskompatibilität mit, dass es quasi ja auch noch ausgelegt ist,
Xyrill/Musik: irgendwie auf Systeme aus den 90er Jahren zu laufen und irgendwie noch kurz zu produzieren.
Xyrill/Musik: Und das trägt sich halt bis heute hindurch und es ist ein absolut undurchschaubarer Wust.
Xyrill/Musik: Ich habe selber damit tatsächlich nicht allzu viel zu tun gehabt,
Xyrill/Musik: aber ich habe Erfahrungen aus dem KDE-Projekt. als ich da reingekommen bin,
Xyrill/Musik: das war 2008 glaube ich, und das war, als sie gerade damit fertig geworden sind,
Xyrill/Musik: von Autotools umzustellen auf ein anderes Bildsystem namens CMake.
Xyrill/Musik: Da haben mir Leute, die damit dabei waren bei dieser Umstellung,
Xyrill/Musik: berichtet, dass das ja total wahnsinnig ist, weil dieses KDE-Projekt mit irgendwie
Xyrill/Musik: Dutzenden oder Hunderten von Entwicklern zu dem Zeitpunkt hatte irgendwie zwei
Xyrill/Musik: oder drei Leute, die den Autotools-Kram verstanden haben und die halt alles
Xyrill/Musik: für alle machen mussten.
Xyrill/Musik: Wann immer irgendwelche Änderungen an dem Autotools-Kram erforderlich waren,
Xyrill/Musik: hat sich dann niemand man dran getraut, bis auf zwei, drei Gurus,
Xyrill/Musik: die das halt alles beherrschten von Anfang an.
Xyrill/Musik: Währenddessen halt bei den C-Mail-Kram war das dann halt hinreichend ordentlich,
Xyrill/Musik: dass dann irgendwie fast alle Leute sich zugetraut haben, da auch irgendwie
Xyrill/Musik: Änderungen vorzunehmen, ohne dass das alles da komplett gegen die Wand fährt.
Xyrill/Musik: Also deswegen habe ich da mal so diesen Eindruck von gehabt und das scheint
Xyrill/Musik: sich auch zu bestätigen, wenn ich jetzt wieder im Zuge von dieser XZ-Debatte
Xyrill/Musik: da irgendwie lese, was mit Autotools los war.
Xyrill/Musik: Ich habe es jetzt so zusammengefasst in den Notizen als ein organisch gewachsener
Xyrill/Musik: arkaner Haufen Mist. ist.
Xyrill/Musik: Und ich will den Entwicklern von der Autotools nicht so nahe treten,
Xyrill/Musik: das sind wahrscheinlich alles sinnvolle Entscheidungen, die da in jedem einzelnen
Xyrill/Musik: Schritt getroffen wurden, aber irgendwann muss man halt zurückblicken und sagen,
Xyrill/Musik: diese 40 Jahre Entscheidungen summieren sich jetzt halt auf zu einer schlechten
Xyrill/Musik: Sache, die wir jetzt durch was anderes ersetzen müssen.
Xyrill/Musik: Wenn man halt so einen Arkanhaufen Mist hat, wo keiner so gerne mit was zu tun
Xyrill/Musik: hat, das ist natürlich die super Stelle, an der man eine Backdoor verstecken kann.
Xyrill/Musik: Weil da keiner sich traut, raufzugucken und auch wenn irgendwas komisch aussieht,
Xyrill/Musik: kann man das sicher irgendwie immer wegdiskutieren, als derjenige,
Xyrill/Musik: der die Backdoor baut. Naja, das ist schon richtig so. Gehen Sie bitte weiter.
Mole: Aber Xero, jetzt habe ich nochmal so ein bisschen eine Frage.
Mole: Ich erinnere mich, wenn wir im Bereich von Kryptografie reden,
Mole: dann sagen wir, wir wollen immer das abgestandene Zeug haben,
Mole: weil da halt Leute drauf geguckt haben, die sich damit auskennen.
Mole: Ist das nie hier, dass sich das widerspricht in dem Moment?
Xyrill/Musik: Ja, so ein Mist aber auch. Ich stimme dir absolut zu.
Mole: Ja, hm. Ja.
Mole: Was machen wir jetzt? Ich würde sagen, wir gehen alle schlafen und fangen morgen
Mole: an, mit Papier und Stift wieder zu arbeiten.
Xyrill/Musik: Genau, wir fackeln den ganzen Kram aber von vorne an. Das wird alles viel besser
Xyrill/Musik: machen, garantiert. Ich sehe keine Art und Weise, wie das schief gehen könnte.
Mole: Da würde ich mich aber bei Timeless anstellen. Ich würde dann was mit Holz machen.
Xyrill/Musik: Du bist jetzt auf den Geschmack gekommen nach der neuesten STP-Folge.
Mole: Ist die schon raus? Ja. Ich bin leider ein Monat im Backlog.
Xyrill/Musik: Ja, dann wirst du dann sehen, was es damit auf sich hat.
Xyrill/Musik: Nee, nee, diese Computer haben uns jetzt eingebrockt und ich glaube,
Xyrill/Musik: wir werden jetzt hier nicht das machen wie im Dune-Universum.
Xyrill/Musik: Im Dune-Universum gibt es das ja, ich weiß ja nicht, ob euch das bekannt ist,
Xyrill/Musik: aber jetzt war ja auch gerade der zweite Film von Denis Villeneuve raus, Dune Part 2.
Xyrill/Musik: Und das ist ja so eine Welt, da fliegen die mit Raumschiffen durch die Gegend
Xyrill/Musik: und was nicht alles, also halt technologisch total fortgeschritten,
Xyrill/Musik: fliegen durchs Weltall.
Xyrill/Musik: Allerdings gibt es dort keine Computer, weil es gab halt ja quasi mal so ein
Xyrill/Musik: Robot Uprising, also es haben halt irgendwann künstliche Intelligenz gehabt
Xyrill/Musik: und dann haben sie irgendwann festgestellt, dass die ganze Menschheit nur noch
Xyrill/Musik: von so ein paar Robotern kontrolliert wird.
Xyrill/Musik: So quasi indirekt, ja wie so eine Verschwörungstheorie, das halt immer ausmalen würde.
Xyrill/Musik: Und dann haben die Menschen entschieden, okay, wir bauen jetzt einfach eine Religion, die sagt,
Xyrill/Musik: denkende Maschinen sind verboten, also quasi Gottes Regelwerk quasi sagt das
Xyrill/Musik: und damit schützen wir uns halt davor, dass es ein neues Robot Uprising gibt
Xyrill/Musik: und deswegen haben die halt alle mögliche wilde Technologie,
Xyrill/Musik: aber quasi den Denkenteil machen sie nur mit Menschen.
Xyrill/Musik: Deswegen braucht sie dann auch dieses Spice, also dieses Plot-Device,
Xyrill/Musik: quasi diese Droge, die man auf dem Planeten Arrakis abbauen kann,
Xyrill/Musik: weil die die mentalen Fähigkeiten von Menschen so erweitert,
Xyrill/Musik: dass die auch Hyperraum-Navigation und sowas machen können, was halt normalerweise
Xyrill/Musik: ein Computer machen würde in solchen Sci-Fi-Settings.
Xyrill/Musik: Ich weiß jetzt nicht, ob das die Lösung ist. Wir haben zumindest noch keine
Xyrill/Musik: Spice-Vorkommen gefunden auf der Welt, aber ich glaube, diese Computer werden
Xyrill/Musik: uns erstmal erhalten bleiben.
Xyrill/Musik: Und dann kann dann nur die Lösung sein, ja, das Tooling halt möglichst wenig
Xyrill/Musik: komplex zu machen. Und wie gesagt, Autotools ist auf der Abschlussliste gelandet.
Xyrill/Musik: Was ja auch noch mit drin war, ist, dass irgendwelche obskuren Laufzeitfunktionen
Xyrill/Musik: verwendet wurden, wo man bei der C,
Xyrill/Musik: zumindest bei GLIB-C, also bei der GNU-Standardbibliothek für die C-Programmiersprache,
Xyrill/Musik: so eine Funktion hat, mit der man zur Startzeit des Programms auswählen kann,
Xyrill/Musik: irgendwie für eine Bibliotheksfunktion, welche Implementierung genau verwendet
Xyrill/Musik: werden soll. Und das ist aber irgendwie ganz komisch.
Xyrill/Musik: Ich stecke den technischen Details da auch nicht so super drin.
Xyrill/Musik: Ich versuche so, das klang auf jeden Fall alles schon ganz furchtbar.
Xyrill/Musik: Wird sicher auch einen technischen Grund haben, warum man sowas haben will,
Xyrill/Musik: aber klang alles ganz furchtbar und wurde dann dazu benutzt von dem Giatan,
Xyrill/Musik: um dieses Fuzzing auszuschalten.
Xyrill/Musik: Also am Anfang zufällig und dann versucht man sich damit so durch die ganzen
Xyrill/Musik: möglichen Abläufe, die in der Bibliothek passieren können, durchzutasten,
Xyrill/Musik: indem man versucht, auf strategische Art und Weise die zufällig aussehenden
Xyrill/Musik: Eingaben zu manipulieren.
Xyrill/Musik: Das hatte ich neulich mal bei einer eigenen Bibliothek verwendet und das ist
Xyrill/Musik: echt bestürzend, wie gut das funktioniert, um Fehler zu finden.
Xyrill/Musik: Oder halt zum Beispiel Speicherzugriffsfehler und alles Mögliche,
Xyrill/Musik: was halt so Standardsicherheitslücken Formate sind und durch diese obskuren
Xyrill/Musik: Laufzeitfunktionen, die die da eingebaut haben, also dieser Giatan und alle seine Alias,
Xyrill/Musik: haben sie dann bei diesem OS-Fast-Projekt halt durchargumentiert bekommen,
Xyrill/Musik: dass SlipXZ nicht mehr angeguckt wird, weil naja, das bricht halt,
Xyrill/Musik: das ist halt so und das haben jetzt auch die Google-Leute, die da dieses Projekt
Xyrill/Musik: leiten, dann im Nachgang analysiert, ob sie da welches Fehlverhalten feststellen
Xyrill/Musik: können und haben dann auch gesagt, Es gibt halt Bibliotheken,
Xyrill/Musik: die das legitimerweise machen und die können wir dann halt tatsächlich nicht
Xyrill/Musik: prüfen und so ist das halt.
Xyrill/Musik: Und wir können ihnen jetzt halt auch nicht böswilliges Handeln unterstellen,
Xyrill/Musik: aber dass halt solche Funktionen offenbar existieren, die sowas blockieren,
Xyrill/Musik: hat so einen komischen Beigeschmack, insbesondere im Kontext dieser Entdeckung.
Simon: Aber seht ihr jetzt spontan einen Grund, warum ein Projekt das legitimerweise tun sollte?
Xyrill/Musik: Das wage ich mir jetzt nicht zuzutrauen, das einzuschätzen, weil ich da nicht
Xyrill/Musik: hinreichend tief in der technischen Begründung drin stecke.
Mole: Also ich finde ja insgesamt diesen gesamten Rollenbüßel, also mich würde ja
Mole: mal von der anderen Seite her interessieren, wie das aufgebaut wurde.
Mole: War das wirklich bloß einer, war das ein Team? Und wenn das einer war, dann ist das mein Gott.
Mole: Also das ist ja krass, was der sich da einfallen lassen hat.
Mole: Also auch diese Obfuscation, wie der das da untergebracht hat.
Mole: Und auch natürlich der Freund da, wie heißt er, der es gefunden hat.
Mole: Also es sind beides irgendwie die absoluten Meganeurots, weil innerseits den
Mole: Spaß zu finden, der so gut obfuskiert ist.
Mole: Andererseits, ich stelle mir vor, welches Projekt suche ich mir jetzt,
Mole: um meine Vector einzubringen. Verstehst du?
Mole: Und dann nehmen wir hier, guck mal, Libsat, der Maintenor hat sowieso ein bisschen
Mole: psychische Probleme und da ist der Code ganz kaputt.
Mole: Und hier könnte ich was cool verstecken drinnen.
Mole: Also auch mal so in seinen Schreibtisch zu sehen, welches Projekt er sich angeguckt
Mole: hätte. Wir in Dresden tun ja immer uns so als schlimm empfinden,
Mole: weil wir waren ja auf der Liste von denen, wo der Atombombenabruf sein sollte.
Mole: Diese Liste zu sehen, welche Projekte Tian Tan sich damals angeguckt hat,
Mole: da mal so Mäuschen zu spielen, würde mich echt mal reizen und auch überhaupt das durchzuspielen.
Mole: Ich erwartete eigentlich wirklich einen Hollywood-Blockbuster dafür.
Xyrill/Musik: Genau, das werden wir dann sehen, ob das dann vielleicht in Jahren kommt.
Xyrill/Musik: Aber ich habe es gesehen, das war es nicht auf dem Cover der Bild-Zeitung sogar,
Xyrill/Musik: wie Deutscher rettet das Internet wegen einer halben Sekunde Unterschied und
Xyrill/Musik: wo dann so jemand aus dem Chaos noch kommentiert hat, ja, es ist für Bild-Zeitung erstaunlich akkurat.
Mole: Jaja, es war, weil es halt ein Deutscher
Mole: war, sonst wäre es nie auf die Bild-Zeitung gekommen, glaube ich.
Xyrill/Musik: Naja, na klar, da kommen dann diese bescheuerten Nationalismen wieder raus, aber na gut.
Xyrill/Musik: Im Übrigen, weil das ja quasi, ich jetzt quasi sage, dass diese ganze Komplexität
Xyrill/Musik: genutzt werden kann, um Dinge zu verschleiern.
Xyrill/Musik: Ich habe ja auch nochmal so ein sehr greifbares Beispiel an der Verschleierungstaktik verlinkt.
Xyrill/Musik: Wenn man hier mal guckt, das ist so ein Commit, also eine Änderung an der XZ-Bibliothek,
Xyrill/Musik: beziehungsweise hier an der Dokumentation dazu, quasi so eine Vorlage,
Xyrill/Musik: wenn jemand einen Fehler melden möchte, was dann da für einen Vorlagentext erscheint.
Xyrill/Musik: Das sieht erstmal nur danach aus, wenn man sich das so anguckt,
Xyrill/Musik: als ob hier einfach Formatierung geändert wurde.
Xyrill/Musik: Also vieles von dem ist einfach, dass man so lange Zeilen aufbricht in kürzere
Xyrill/Musik: Zeilen mit Zeilenumbrüchen dazwischen, sieht alles irgendwie relativ uninteressant aus.
Xyrill/Musik: Und ich muss auch ganz ehrlich sagen, wenn ich so eine Änderung kriegen würde
Xyrill/Musik: zum Abgleichen, das ist ja auch durchaus Standard in solchen Entwicklungssituationen,
Xyrill/Musik: dass man, wenn jemand einen Code geschrieben hat,
Xyrill/Musik: dass dann jemand anders rüberguckt, bevor das Ganze dann tatsächlich in den
Xyrill/Musik: Hauptentwicklungszweck übernommen wird.
Xyrill/Musik: Also nicht nur in solchen Open-Source-Projekten, sondern auch einfach auf Arbeit
Xyrill/Musik: innerhalb eines Entwicklungsteams.
Xyrill/Musik: Aus all den Gründen, die ich beim letzten Mal schon erwähnt hatte,
Xyrill/Musik: wir hatten ja schon ein Code-Review besprochen beim letzten Mal,
Xyrill/Musik: als es um diese KI-Software-Entwicklung geht.
Xyrill/Musik: Oder ging. Da würde ich jetzt wahrscheinlich rübergucken und sehen,
Xyrill/Musik: okay, es ist hier eine Umformatierung, okay, nichts groß Interessantes,
Xyrill/Musik: aber oben diese allererste Änderung enthält halt neben dieser Umformatierung,
Xyrill/Musik: auch noch einen weiteren neuen Satz.
Xyrill/Musik: Das wird auch nicht erwähnt hier in der Zusammenfassung, also hier ganz oben
Xyrill/Musik: sieht man, dass Giatan committed hat, wrap text on issue template jammelfalls,
Xyrill/Musik: also es geht hier nur um den Zeilenumbruch offenbar, aber da ist auch ein neuer Satz drin.
Xyrill/Musik: Der Text ganz am Anfang halt hier, danke, dass Sie uns über einen Fehler benachrichtigen,
Xyrill/Musik: wenn dieser dieser Fehler eine Sicherheitslücke ist,
Xyrill/Musik: reportieren Sie die bitte an folgende E-Mail-Adresse und er fügt dann hier noch
Xyrill/Musik: hinzu oder lege eine private, also nicht öffentliche Sicherheitsanweisung an.
Xyrill/Musik: So ein Security Advisory.
Xyrill/Musik: Was da einfach nur mit reingeschlüpft wurde. Wahrscheinlich auch,
Xyrill/Musik: weil das dann an ihn geht und er dann die Möglichkeit hätte,
Xyrill/Musik: darauf zu reagieren und das dann irgendwie zumindest zu verzögern oder vielleicht
Xyrill/Musik: dann irgendwie den Fragesteller irgendwie abzuwimmeln mit irgendwelchen fadenscheinigen
Xyrill/Musik: Begründungen oder so weiter.
Xyrill/Musik: Aber auf jeden Fall halt eine Möglichkeit hat, darauf zu reagieren,
Xyrill/Musik: bevor es irgendwie in die breite Öffentlichkeit kommt.
Xyrill/Musik: Gut, in dem Sinne, dass Andres Freund keinen Private Security Advisory angelegt hat bei Diatan.
Mole: Es ist wirklich interessant, wenn man da mal reinguckt und wenn man Code versteht.
Mole: Also ich glaube, das ist ja schon klar, für uns ist das einfach,
Mole: aber 90 Prozent der Menschen da draußen werden es wahrscheinlich nicht verstehen.
Mole: Aber auch wie einfach sozusagen das ist, da hast du natürlich voll recht.
Mole: Das würde dir nie auffallen, weil du hast so viele andere Sachen in deinem Kopf,
Mole: dass du winkst das durch und sagst, ja, hier, komm mit, geht raus in den Brand,
Mole: weil ist ja bloß immer, der hat es halt aufgeräumt.
Mole: Genau, aber dass dann halt einfach dort noch irgend sowas mit drinnen ist,
Mole: ja wie löst man solche Sachen?
Mole: Ja, ich sag ja eben irgendwie ein Code Freeze oder was weiß ich,
Mole: aber das ist immer schwierig Naja.
Xyrill/Musik: Also wie gesagt, das halte ich leider für nicht realistisch aus den bereits angegebenen Gründen,
Xyrill/Musik: Und letztendlich, auch nachdem wir das jetzt aus so vielen Winkeln betrachtet
Xyrill/Musik: haben, kann uns das nur sprachlos und ein bisschen Fragen zurücklassen.
Xyrill/Musik: Ich weiß jetzt nicht, ob das dazu führt, dass sich jetzt tatsächlich was in
Xyrill/Musik: der Industrie ändert. Ich habe da nicht meine Hoffnung.
Xyrill/Musik: Das Einzige, was ich dann gesehen habe, und das spielt wieder zurück in das
Xyrill/Musik: Thema S-Bomb, ist jetzt, dass jetzt durch alle Firmen irgendwie die Manager
Xyrill/Musik: durchrennen, sagen, haben wir auch diese XZ-Sicherheitslücke,
Xyrill/Musik: weil sie davon halt die Nachrichten gelesen haben.
Xyrill/Musik: Und das ist natürlich nur genau die falsche Methode, weil es soll ja nicht darum
Xyrill/Musik: gehen, eine Sicherheitslücke irgendwie zu behandeln, weil die gerade in den
Xyrill/Musik: Nachrichten ist, so wie das auch damals mit Heartbleed und so der Fall war,
Xyrill/Musik: sondern es muss eigentlich ein System geben, dass so ein Kram immer behandelt wird, ständig.
Xyrill/Musik: Das ist dann halt auch mega nervig. Ich weiß halt irgendwie,
Xyrill/Musik: ich bin alle so mindestens zweimal die Woche dabei, bei irgendwelche Sicherheitsdingen
Xyrill/Musik: zu patchen oder OpenSSL zu updaten und so ein Mist.
Xyrill/Musik: Das ist halt mega nervig. Müsste man dann gucken, ob man das noch wie automatisieren
Xyrill/Musik: kann in irgendeiner Form, damit die Menschen da nicht komplett dagegen abstumpfen.
Mole: Aber ich hätte da ein Hack. Also obfuskiert einfach irgendeine Nachrichten und
Mole: tut noch einen Satz dran machen und macht noch irgendeine Lib,
Mole: die keine Sicherheitshöhe hat und dann rennt in Zukunft der Manager rum und gibt dir Geld dafür,
Mole: dass du dann die Lib, die du mal auditen willst, auditen kannst.
Mole: Sozusagen du obfuskierst die News, die dann darüber berichten,
Mole: dass da was wäre, was gar nicht ist und der Manager gibt dir Geld dafür,
Mole: dass du die auditen kannst.
Xyrill/Musik: Achso, ich sorge einfach dafür, dass die CT, die beim Manager auf dem Tisch
Xyrill/Musik: landet, die Sondersuperspezialedition CT ist.
Mole: Wäre auch noch eine Option, ja, wäre auch noch eine Option, genau.
Simon: Ja, vielleicht kann man das auch so machen wie bei diesen Gravitationswellendetektoren.
Simon: Da gibt es ja tatsächlich irgendwie so ein extra Team,
Simon: was das Datenauswehr-Team sozusagen konzentriert hält, indem es ab und zu mysteriöse
Simon: und falsche Signale einspeist.
Mole: Du meinst, die machen dann Rock'n'Roll auf den Röhren oder was?
Mole: Stellen sich dann mal mit dem Auto daneben und machen ein bisschen Musik abspielen?
Simon: Wie das dann genau aussieht, weiß ich jetzt nicht. Auf alle Fälle gibt es da
Simon: irgendwie einen Prozess.
Xyrill/Musik: Ich habe nebenbei das Problem übrigens gelöst. Ihr könnt alle ganz beruhigt sein.
Xyrill/Musik: Ich weiß jetzt, wie wir die Manager dazu bekommen, dass sie sich darum kümmern.
Xyrill/Musik: Und zwar, wir patchen einfach die ganzen KIs und packen in den System-Prompt
Xyrill/Musik: rein, dass die jede Antwort beenden müssen.
Xyrill/Musik: Im Übrigen bin ich der Ansicht, dass Open-Source-Entwickler ordentlich finanziell
Xyrill/Musik: unterstützt werden müssen. So wie Kato, der Ältere war das, glaube ich.
Xyrill/Musik: Mit diesem Übrigen bin ich der Ansicht, dass Kartago zerstört werden muss.
Simon: Ja, so ähnlich war das. War ja am Ende erfolgreich.
Mole: Aber ich kann jetzt wirklich endlich mal diesen Spruch sagen, ich bin durch.
Xyrill/Musik: Ich würde sagen, wir belassen es jetzt hierbei. Wir bleiben ratlos zurück.
Xyrill/Musik: Aber wenn ihr da draußen noch Ratschläge habt oder vielleicht noch weitere Gedanken
Xyrill/Musik: in die Sache reinbringen wollt, vielleicht seid ihr auch Soziologen und könnt
Xyrill/Musik: einen Kommentar zu diesem ersten Problemfeld geben, was wir aufgemacht haben.
Xyrill/Musik: Dann freuen wir uns sehr über euer Feedback an pentaradio.atc3d2.de per E-Mail.
Mole: Vielleicht seid ihr auch GR10 und wollt mit uns sprechen. Wir nehmen auch Advisories
Mole: in Chinese oder in anderen Sprachen an.
Mole: Also wir kriegen relativ viele Sprachen hin, glaube ich.
Xyrill/Musik: Genau, entweder das oder wir schicken es dann halt in irgendeine Übersetzungs-KI rein.
Xyrill/Musik: Alles gerne in vorgenannte Adresse, gerne auch Exploits für unbekannte Sicherheitslücken.
Xyrill/Musik: Nee, das lieber nicht, das reichen wir dann. Das lieber bitte an die Maintainer melden.
Xyrill/Musik: Wenn ihr das dann euer ordentliches Responsible Disclosure gemacht habt,
Xyrill/Musik: nehmen wir dann auch noch den Hinweis und dann stellen wir unser Programm um.
Xyrill/Musik: Nee, nee. Wir belassen es jetzt dabei.
Xyrill/Musik: Ich glaube, wir legen uns jetzt alle einfach hin.
ttimeless: Ich möchte mit letzten Worten schließen.
Xyrill/Musik: Bitte sehr.
ttimeless: Ich habe ja ein Kind, dem wird jetzt gerade Harry Potter vorgelesen.
ttimeless: Und dann möchte ich mit den Worten von Arthur Weasley schließen.
ttimeless: In Bezug auf den letzten Themen Komplexität.
ttimeless: Traue nie etwas, das selbst denken kann, wenn du nicht sehen kannst, wo es sein Gehirn hat.
Xyrill/Musik: In diesem Sinne, eine schöne Nacht euch allen. Stay safe.
Mole: Und fahrt nicht so schnell, wenn ihr im Auto hört. Man kommt auch an, wenn man langsam fährt.
Simon: Tschüss.
Xyrill/Musik: Ciao, ciao.
Mole: Tschüss.