Login
Newsletter
Werbung

Thema: Firefox wird reproduzierbar

22 Kommentar(e) || Alle anzeigen ||  RSS
Kommentare von Lesern spiegeln nicht unbedingt die Meinung der Redaktion wider.
2
Von L.Lenort am Fr, 22. Juni 2018 um 22:23 #

verfolge die Arbeiten und das Projekt auf https://reproducible-builds.org schon lange. Das ist wirklich ein gute Entscheidung von Mozilla.

Wäre zu hoffen, dass noch mehr Anbieter auf dieses Projekt aufsetzen oder es unterstützen. Nach dem Einsatz von Open Source der nächste wichtige Schritt in Richtung Selbstbestimmung, Autonomie und Sicherheit für Hersteller und Anwender gleichermaßen.

Big thumb up Mozilla ... ich bin beeindruckt!

lle

[
| Versenden | Drucken ]
  • 0
    Von Anon Y. Mouse am Sa, 23. Juni 2018 um 10:43 #

    Es mag vielleicht wie eine blöde frage klingen, aber was bringt mir das nun? Wie verifiziere ich das? Muss ich dazu den source kompillieren? Könnte ich dann nicht einfach meine binaries verwenden, denen ich ja traue?

    Ich bin sicher dass ich irgend ein detail übersehe...

    Danke für antworten

    [
    | Versenden | Drucken ]
    • 0
      Von kamome umidori am Sa, 23. Juni 2018 um 11:38 #

      Nicht-reproduzierbaren Binaries _kannst_ Du zwar trauen, hast dafür aber keine gute Grundlage – Du kannst einfach nicht wissen, ob die Binaries aus dem verfügbaren Quellcode erstellt wurden. Wenn Du dagegen eine Distribution verwendest, die „reproduziert“ (oder Du selbst baust), kannst Du sicher sein, dass da kein Maintainer etwas am Binary verändert hat bzw. aus anderem Quellcode generiert hat – so kannst Du also den Quellcode untersuchen (lassen) und weißt damit wirklich, was das Binary auf Deinem Rechner macht (von Bösen Prozessoren u.ä. mal abgesehen).

      [
      | Versenden | Drucken ]
      0
      Von Mandri am Sa, 23. Juni 2018 um 11:41 #

      Das Detail ist das individuelle Sicherheitsbedürfnis.
      Deines und meines dürfte eher gering sein.
      Otto-Normal-User ist mit den signierten Paketen der Distributionen ausreichend bedient.

      Oppositionelle in einen nicht ganz so freiheitlichem Land, wie dem unsrigen, haben da schon ganz andere Sorgen.

      Firmen in sicherheitsrelevanten Branchen / Militär / Geheimdienste / Regierungen sollten auch ein Interesse an so etwas haben. Da setzen aber die meisten Windows ein, da kommt es auf so etwas eh nicht mehr an.

      [
      | Versenden | Drucken ]
      1
      Von Verfluchtnochmal_5987109 am Sa, 23. Juni 2018 um 12:42 #

      Was ist daran nicht zu verstehen dass damit beweisbar ist dass das binary wirklich mit den veröffentlichten Quellen gebaut wurde? Nein, das brauchen du und dein Nachbar nicht regelmässig machen weil dann könntet ihr wirklich gleich selber bauen

      Aber es reicht wenn das Security-Spezialisten regelmässig machen und ganz laut aufschreien wenn da plötzlich was umgefallen ist

      [
      | Versenden | Drucken ]
      0
      Von L.Lenort am Sa, 23. Juni 2018 um 13:02 #

      Hi,

      reproducible-builds sind nicht nur für Sicherheits- und Freiheitsfanatiker wie mich wichtig und interessant. In erster Linie wird damit die Integrität des binären Produkts nach dem Übersetzungsvorgang angestrebt. Bei einer hundertprozentigen Erfüllung wäre es somit möglich sicherzustellen, dass der veröffentlichte Source Code tatsächlich die Herkunft meiner binären, ausführbaren Kopie auf dem eigenen System entspricht. Dafür muss keiner Source Code übersetzen.

      Die Firmen oder einzelne Personen die Source Code oder Open Source Produkte anbieten, könnten über Checksummen, Fingerprints, etc. einen eindeutigen Hash-Code (z.B. MD5) veröffentlichen die wiederum vom Betriebssystem oder unabhängigen Tools auf dem lokalen eigenen Rechner zum verifizieren eingesetzt werden könnten. Daher könnte das Betriebssystem sich selbst kontrollieren und kompromittierten Programmcode identifizieren und bereinigen. Damit wird die Sicherheit und die Stabilität wesentlich verbessert. Anti Viren Software könnten diese Aufgabe auch übernehmen und wesentlich effizienter arbeiten.

      Aber dabei bitte nicht nur den Nutzen für den eigenen PC denken! Systeme die unsere wichtigen Infrastrukturen wie Kraftwerke, Verkehr, Krankenhäuser, etc. sichern oder die Sicherheit und Stabilität der zukünftigen Smart Citys können davon maßgeblich profitieren.

      Zusätzlich existieren noch unzählige weitere Einsatzmöglichkeiten wie die Sicherung von Betriebssystemkernen, Software/Image/Docker Repository, usw.

      lle

      [
      | Versenden | Drucken ]
      • 0
        Von Verfluchtnochmal-05995bd7b am Sa, 23. Juni 2018 um 14:00 #

        Klar, nur Checksums etc. kannst du heute auch schon machen, reproducible-builds sind ausschliesslich deshalb relevant weil sich damit eben beweisen lässt dass das wirklich aus dem behaupteten Quelltext gebaut wurde und um den Beweis finally anzutreten musst du eben sehr wohl den Source Code übersetzen was ohne reproducible-builds nichts bringt

        [
        | Versenden | Drucken ]
        • 0
          Von L.Lenort am Sa, 23. Juni 2018 um 17:19 #

          absolut richtig! Das ist exakt was das Projekt ermöglichen will und deine Aussage bzgl. das es reicht wenn Experten den finalen Beweis antreten und nicht jeder zum Experten avancieren muss ist auch richtig. Aber wem kann man dieses Vertrauen entgegen bringen wenn nicht sich selbst oder wenn es direkt oder abgeleitet zum Standard wird.

          Auch deine Anmerkungen zu Checksumen, Hashing sind richtig. Gibt es schon lange aber in Kombination mit dem, dem man vertrauen kann oder besser muss ;.-), ist es ein gutes und bewährtes Mittel für die optimierte Massenprüfung wie sie in Bereichen wir Scannern oder Echtzeitanalyse zu Einsatz kommen kann. Aber klar, ich muss dem der sie publiziert vertrauen. Daher ist diese Idee und das Projekt auch richtig und von besonderer Bedeutung. Aber leider ist es so, dass wenn die Menschen nicht mehr verstehen wie etwas funktioniert oder verwendet wird, wird es ignoriert oder schlicht deaktiviert (Firewalls, Virenscanner, Echtzeitschutz,etc.).

          Nicht jeder ist in der Lage ein großes Projekt, geschweige denn ein ganzes OS, zu compilieren und dann das alles noch gehen die Referenz zu verifizieren. Daher müssen diese Technologischen Ansätze in leicht zu verwendende Tools oder indirekt über das OS selbst genutzt werden. Ebenen da sind die erwähnten Checksume- und Hash- Werte eine Alternative.

          lle

          [
          | Versenden | Drucken ]
          0
          Von inta am So, 24. Juni 2018 um 11:57 #

          Der Punkt ist doch, bisher bringen die Checksummen recht wenig. Du weißt nur, dass das was du dir heruntergeladen hast dem erwarteten Ergebnis entspricht. Ob das Ergebnis aber auch dem einsehbaren Code entspricht kann erst durch reproduzierbare Builds nachgewiesen werden. So kann die gesamte Kette vom Code bis zum Nutzer verifiziert werden. Ich finde das sehr wichtig, so können Manipulationen einfach aufgedeckt werden.

          Du hast recht, dafür muss der Code kompiliert werden, aber es reicht aus wenn das einer oder wenige machen. Immerhin kann es überhaupt nachvollzogen werden, das war bisher kaum möglich.

          [
          | Versenden | Drucken ]
          • 0
            Von Anon Y. Mouse am So, 24. Juni 2018 um 16:00 #

            Hmmmmm also man verschiebt also das vertrauen vom distributor, der mir bisher schon kryptographisch verifizierbar, bestätigt hat, dass sourcen und binaries identisch sind, auf eine oder mehrere externe"zertifizierungsstelle" hat zwar sicherlich gewisse Vorteile. Man könnte aber auch ohne verifizoerbare builds ein Debian"built n certofied by tüv süd" anbieten, hätte den selben Effekt tüv kompiliert und signiert ich traue tüv...

            Egal ist halt momentan ein spleen, einziger Vorteil ich lann überprüfen, ob tüv, debian, dekra, nist und die chinesische zuständige Behörde zum selben Ergebnis kommen.

            Ob dann die Sourcen auch geprüft wirden oder denen blind vertraut wurde steht auf einem anderen Blatt.

            [
            | Versenden | Drucken ]
            • 0
              Von inta am So, 24. Juni 2018 um 17:33 #

              Ja, sicher muss sich nichts ändern, aber reproduzierbare Builds sind die Vorraussetzung dafür, dass man überhaupt unabhängig überprüfen kann. Der praktische Vorteil mag gering erscheinen, ich halte ihn aber für sehr wichtig.

              [
              | Versenden | Drucken ]
              0
              Von kamome umidori am So, 24. Juni 2018 um 19:26 #

              Ich _vermute_, dass es doch wesentlich besser wird: Wenn die Reproduzierbarkeit automatisiert überprüft wird, musst du nur dieser Automatisierung des Distributors trauen, die Dir garantiert, dass der veröffentlichte Quellcode den veröffentlichten Binaries entspricht.
              Außerdem kann das nun auch jeder selbst nachprüfen. Sorgfältige Audits (mehrere) der veröffentlichten Quellen sind natürlich dennoch nötig, um „sicher zu gehen“.
              So reproduzierbar über mehrere Architekturen hinweg stelle ich mir auch das Ausnutzen von eventuell bösartigen Prozessor-Features aufwändiger vor.

              [
              | Versenden | Drucken ]
              0
              Von Verfluchtnochmal_5987109 am So, 24. Juni 2018 um 20:03 #

              Man verschiebt überhaupt nichts - Du kannst nur ZUSÄTZLICH wie jeder andere auch überprüfen ob beim Distributor nicht irgendwas schief gelaufen ist wie zB Maschine vom maintainer kompromitiert und manipulierten tarball eingefangen oder Infrastruktur der distribution gehackt und manipulierte Pakete im Umlauf die blöderweise auch noch korrekt signiert sind

              Wie prüft das denn jetzt jemand ohne einfach blind zu vertrauen?

              Keine Ahnung wie man auf die dämliche Idee kommt dass deswegen irgendwas verschoben wird! Es geht um ZUSÄTZLICHE Möglichkeiten zu verifizieren und mögliche verdächtige Dinge frühzeitig festzustellen weil es halt schon einen Unterschied macht ob manipulierte Pakete 2 Stunden oder 2 Wochen im Umlauf sind

              [
              | Versenden | Drucken ]
      0
      Von Unerkannt am Di, 26. Juni 2018 um 07:36 #

      was bringt mir das nun?
      Das bringt gar nichts. Wenn man die Software eh selber baut um zu verifizieren, dass das Binary ok ist, dann kann man sie auch einfach selber bauen und diese Version verwenden.

      [
      | Versenden | Drucken ]
    0
    Von Glalapagos am So, 24. Juni 2018 um 10:45 #

    verfolge die Arbeiten und das Projekt auf https://reproducible-builds.org schon lange. Das ist wirklich ein gute Entscheidung von Mozilla.

    Nur um das klar zustellen, es gibt Distributionen, die haben reproduzierbare Builds bereits vor Jahren umgesetzt. Das was Mozilla jetzt macht, ist wohl eher ein längst überfälliger Schritt.

    Big thumb up Mozilla ... ich bin beeindruckt!

    Warum beeindruckt? Weil Mozilla endlich die Notwendigkeit erkannt hat und nachzieht?

    [
    | Versenden | Drucken ]
    • 0
      Von L.Lenort am So, 24. Juni 2018 um 11:45 #

      Es ist Super wenn andere Distributionen das bereits seit Jahren machen. Obwohl mich das etwas wundert, da es m.W. nach selbst dem Hauptprojekt noch nicht gelungen ist eine hundertprozentige Umsetzung des Ansatzes zu realisieren. Zudem wird eine Linux Distribution meistens mit zahlreichen Anwendungen ausgeliefert die diesen Ansatz noch nicht direkt unterstützen. Um das zu erreichen müssten die Distribution den Source Code der betreffenden Anwendungen und/oder Tools ändern.

      Aber vielleicht kenne ich die erwähnten Distributionen einfach auch nicht. Wenn das so ist, finde ich das echt super! Die wären gut beraten dieses Thema deutlich in den Medien zu präsentieren und auf die Notwendigkeit hinzuweisen.

      Big Thumb... Hm, ja sicher ist das richtig. Mozilla macht da einen notwendigen richtigen Schritt aber warum soll man das nicht feiern? Ich selbst bin nicht immer mit den Entscheidungen die Mozilla trifft einverstanden. Insbesondere was das Plugin/Addon Thema oder die Unterstützung von Java betrifft. Aber ein richtiger Schritt bleibt ein richtiger Schritt und ich finde das kann nicht genug Anerkennung finden.

      Ich bin zudem der Meinung, dass eben diese selbstverständlichen Schritte zu wenig Aufmerksamkeit in der Öffentlichkeit bekommen. Wenn MS den Source Code vom .NET Core veröffentlicht dann wird das in allen IT Kanälen bejubelt und gefeiert. Warum? K.A. MS hat wirklich aus eigener Kraft noch nichts neues erschaffen aber wenn es um Software geht hat jeder sofort diesen Namen im Kopf.

      Das alles mag einem nicht gefallen und Bescheidenheit ist eine Tugend aber was nützen einem alle guten Funktionen, Technologien und Entwicklungen wenn sie keiner kennt? Noch schlimmer wenn sie von denen, die nichts dazu beigetragen haben, für sich und das eigene Image ausgenutzt werden... Nichts ;-)

      lle

      [
      | Versenden | Drucken ]
      • 0
        Von Verfluchtnochmal_5987109 am So, 24. Juni 2018 um 13:27 #

        Irgendwas ist bei dir ganz komisch wenn Mozilla in deinem Kopf auf dem gleichen Layer wie Distributionen läuft

        [
        | Versenden | Drucken ]
        • 0
          Von Anonymous am Di, 26. Juni 2018 um 09:29 #

          Irgendwas ist bei dir ganz komisch .... in deinem Kopf

          na, das sagt ja der richtige; mit "komisch im Kopf" kennst du dich ja aus.

          [
          | Versenden | Drucken ]
          0
          Von der-don am Di, 26. Juni 2018 um 11:48 #

          Seine beiden Beiträge sind nachvollziehbar, höflich formuliert und greifen niemanden an - ich weiss nicht in was für einer Diskussionskultur du groß geworden bist, für mich sind das beides plausible Kommentare.

          [
          | Versenden | Drucken ]
          • 0
            Von Verfluchtnochmal_5987109 am Fr, 29. Juni 2018 um 20:35 #

            Was ist daran nachvollziehbarwenn man zu blöde ist zwischen distribution und upstream Komponente zu unterscheiden?

            [
            | Versenden | Drucken ]
Pro-Linux
Pro-Linux @Facebook
Neue Nachrichten
Werbung