Open Source ist eh nicht automatisch besser, oder?

Dilaradieschoene

Dilaradieschoene

New member
Ok, ich mag Open Source wirklich, aber "weils offen ist, ist es sicher" stimmt halt eig nicht, wenn eh keiner den Code liest. Welches Projekt nutzt ihr täglich und habt ihr schon mal selber was beigetragen, und sei's nur ein Typo in der Doku?
 
Dilaradieschoene Heartbleed war ja genau das, jahrelang offen und trotzdem hat's keiner richtig angeschaut. Ich nutz täglich Firefox und VS Code, beigetragen hab ich bisher nur nen Typo-Fix in irgendeiner Doku und fand das schon überraschend aufregend...
 
Collex OpenSSL hatte damals mega wenig Geld und ein paar Ehrenamtliche die alles stemmten, das war doch eher ein Finanzierungsproblem als ein Open-Source-Problem... Und wärst du bei Closed Source wirklich sicher, dass es früher aufgefallen wäre, gell?
 
Dilaradieschoene Ich hab bei Heartbleed damals nur gestaunt, dass quasi eine Handvoll Leute das Ding für die halbe Welt am Laufen gehalten hat. Bei Closed Source wäre der Bug vermutlich genauso durchgerutscht, nur hätte es am Ende keiner erfahren.
 
Sportfreak ehrlich, "Handvoll" triffts so gut 😅 dass die halbe Welt auf dem Zeug von so wenigen Leuten läuft, find ich eig immer noch wild. Aber genau deswegen weiß man's ja überhaupt, bei closed source hätt man wahrscheinlich nie was davon gehört. Schade nur, dass so lang keiner richtig hingeschaut hat 🙈
 
Jo, genau das. Bei uns in der Firma lief jahrelang so ein uraltes Closed-Source-Tool mit bekannter Lücke, der Hersteller hat's einfach ausgesessen, und keiner durfte reingucken. Bei OpenSSL hat wenigstens die ganze Welt gemeckert, und dann kam tatsächlich Geld rein 🙂
 
Dilaradieschoene Naja, ob man bei closed source nie davon gehört hätte, wär ich mir nicht so sicher. Da gibts auch Lücken, nur erfährt man die dann halt erst, wenn irgendwer sie ausnutzt, oder eben nie. Dass keiner hingeschaut hat, find ich eig das größere Problem: Der Code lag ja offen da, nur geprüft hat ihn keiner. Offen heißt halt nur, dass man könnte, nicht dass es auch wer macht. Und die Firmen, die ihr ganzes Geschäft drauf aufbauen, zahlen oft kaum was für sowas wie Audits. Müsste man da nicht eher die in die Pflicht nehmen als die paar Maintainer?
 
NervaX Mmn trifft das den Kern: Offen heißt nur, dass man prüfen kann. In meinem alten Job (kleine Agentur) hing unser komplettes Kundenportal an einer Bibliothek, die ein einzelner Typ nebenbei in seiner Freizeit gepflegt hat. Als ich mal vorgeschlagen hab, wir könnten da ja was spenden oder zumindest mal einen Blick auf den Code werfen lassen, hieß es nur "dafür ist kein Budget da". Dabei haben wir damit ordentlich Geld verdient, z.B. über die Wartungsverträge. Imo ist das bei Heartbleed & Co. ähnlich gelaufen, bzw. da hat's halt knallen müssen, bis sich was bewegt hat. Die Maintainer können ja nicht alles allein stemmen, da sollten die Firmen, die davon profitieren, deutlich mehr Verantwortung übernehmen, sei es mit Geld oder mit eigenen Leuten, die mitprüfen.
 
Dilaradieschoene Ob man bei Closed Source wirklich nie davon gehört hätte, bezweifle ich ein bisschen, da wird's vermutlich nur leiser gepatcht. Woher weißt du denn, dass dort mehr Leute hinschauen, nur weil die Handvoll ein Firmenbadge trägt?
 
Puh, ja, das sehe ich ziemlich ähnlich. Bei Heartbleed (dem OpenSSL-Bug von 2014, durch den man Speicherinhalte von Servern auslesen konnte) hing alles an ein paar Spenden und einer Handvoll Leuten, obwohl halbe Banken und Firmen darauf gebaut haben. Bei uns im Team hatten wir mal was Ähnliches im Kleinen: eine Library, die mega viele nutzen, und hinter der steckt eine Person, die das abends nach dem Job pflegt. Da wurde mir erst richtig klar, wie dünn das Eis manchmal ist 😅

Bei Closed Source kommt für mich dazu, dass du es schlicht nicht weisst. Wenn niemand von aussen reinschauen kann, erfährst du von Lücken meistens erst, wenn sie ausgenutzt werden oder die Firma es zugibt. Der Vorteil von Open Source ist also eher, dass man hinschauen könnte. Das nützt aber wenig, wenn niemand Zeit oder Geld dafür hat, gell?

Ich frag mich, ob es überhaupt ein Modell gibt, das die Wartung von so unsichtbarer Infrastruktur fair bezahlt, oder ob wir immer erst nach dem nächsten Knall nachbessern.
 
You must log in or register to reply here.
Back
Top