Ver­öf­fent­licht am 30.3.2019

Open Source Software: 
Sicher­heit durch Transparenz

Im Gegen­satz zu pro­prie­tä­rer Soft­ware ist bei Open Source Soft­ware der Quell­text öffent­lich einsehbar.

Unab­hän­gi­ge Pro­gram­mie­rer welt­weit kön­nen den Quell­text prü­fen und ggf. weiterentwickeln.

Der Sicher­heits­ge­winn besteht dar­in, dass Nut­zer und Ent­wick­ler der Soft­ware (die Com­mu­ni­ty) aus eige­nem Inter­es­se Sicher­heits­lü­cken suchen und schnellst­mög­lich schlie­ßen (Pro­gram­mier­kennt­nis­se vorausgesetzt).

Dadurch wer­den i.d.R. vie­le Sicher­heits­lü­cken schon gefun­den und geschlos­sen, bevor sie tat­säch­lich aus­ge­nutzt wer­den (kön­nen).

Auch ist es für Soft­ware­ent­wick­ler prak­tisch unmög­lich, unbe­merkt Back­doors einzubauen.

Nut­zer von Open Source Soft­ware müs­sen den Ent­wick­lern nicht „blind ver­trau­en”, son­dern kön­nen den Quell­text selbst über­prü­fen (las­sen).

Dies ist natür­lich auch den Ent­wick­lern bekannt, bei schlech­tem Quell­text lässt die ent­spre­chen­de Kri­tik oft nicht lan­ge auf sich warten.

Im Ergeb­nis ent­steht Soft­ware, die ins­be­son­de­re auch in sicher­heits­re­le­van­ten Berei­chen ein­ge­setzt wird.

Bei­spiels­wei­se wer­den vie­le Ser­ver mit Open Source Soft­ware betrie­ben (Linux, Apa­che, MyS­QL usw.).

Aber auch Anwen­der nut­zen in sicher­heits­re­le­van­ten Berei­chen Open Source Soft­ware, bei­spiels­wei­se Linux, Mozil­la Fire­fox und Android.

Pro­prie­tä­re Software: 
secu­ri­ty through obscurity

Um Sicher­heits­lü­cken zu schlie­ßen, müs­sen Anbie­ter i.d.R. kos­ten­los Sicher­heits-Updates (Patches) bereit­stel­len.

Dem­ge­gen­über kann das Ent­wi­ckeln die­ser Sicher­heits-Updates (Patches) mit erheb­li­chen Kos­ten ver­bun­den sein.

Ver­mut­lich des­halb kommt es immer wie­der vor, dass Sicher­heits­lü­cken von Anbie­tern pro­prie­tä­rer Soft­ware „so lan­ge wie mög­lich” unge­pa­ched bleiben.

Erst wenn Sicher­heits­lü­cken in grö­ße­rem Umfang aus­ge­nutzt wer­den oder dies unmit­tel­bar zu erwar­ten ist, besteht eine Gefahr für die Repu­ta­ti­on des Anbie­ters und ein gewis­ser Hand­lungs­druck entsteht.

Auch auf­grund die­ses Inter­es­sen­kon­flikts kann es sinn­voll sein, pro­prie­tä­re Betriebs­sys­te­me durch einen Viren­scan­ner eines Dritt­an­bie­ters zu ergänzen.

Im All­ge­mei­nen kann davon aus­ge­gan­gen wer­den, dass die Geheim­hal­tung des Quell­tex­tes zu kei­nem Sicher­heits­ge­winn führt.

Vgl. dazu:
„secu­ri­ty through obscu­ri­ty” (Wiki­pe­dia)

 

Viren­scan­ner vs. Sicherheits-Updates