Menü
Avatar von die kleine Himbeere
  • die kleine Himbeere

mehr als 1000 Beiträge seit 25.10.2012

Ich bin *gegen* TLS und finde die Updates sollten bleiben wie sie sind

Ja, in diesem Fall hätte TLS das Problem wohl verhindert.

Aber wie viele andere Probleme hätte TLS geschaffen, wenn es schon ewig von apt-get verwendet worden wäre und dieses bei jedem der kaum noch zählbaren Bugs in der langen Versionsgeschichte von OpenSSL potenziell betroffen gewesen wäre?

Das Debian-Paket Format ist auch bereits selbst (theoretisch) sicher, da es starke Prüfsummen und Signaturen verwendet um die Authentizität und Unversehrtheit des Pakets sicherstellt.

In diesem Fall war ein übler Bug in der Implementation dieser Mechanismen enthalten, den man nun gefunden und behoben hat. Damit sollte es wieder sicher sein.

Fehler können immer irgendwo vorkommen.

Und in OpenSSL sind garantiert schon wesentlich mehr Fehler entdeckt und behoben worden als in APT! Was allerdings leider keinesfalls dazu geführt hat, dass man nun keine Fehler in OpenSSL mehr finden würde. Die Frequenz ist zwar mittlerweile etwas geringer geworden als in den vergangenen Jahren, aber man kann sich nach wie vor darauf verlassen dass zumindest 2 mal im Jahr irgend ein übles Problem in OpenSSL entdeckt wird.

Keine Frage, dieser Bug in APT war kein Ruhmesblatt. Aber man würde noch viele, viele zusätzliche Fehler finden müssen, bevor APT security-mäßig genau so einen schlechten Ruf wie OpenSSL bekäme!

Auf jeden Fall ist das bisherige APT-Format ein simples Textformat mit simplen Hashes für die Prüfsummen der Paketdateien und einer PGP-Signatur um das ganze als Update zu akzeptieren.

Das kann man sich zur Not auch alles mit der Hand ansehen und die Funktionalität überprüfen.

In wie weit man einen TLS-Datenstrom genau so einfach mit der Hand überprüfen kann, überlasse ich eurer Fantasie... ohne spezielle Tools geht da nichts mehr, und die sind dann oft trotzdem noch komplex in der Bedienung.

Hinzu kommt, dass man bei TLS unzähligen vorinstallierten CAs traut, während man bei der bisherigen PGP-Signatur nur den Debian-Maintainern vertrauen musste.

Natürlich kann man jetzt argumentieren und sagen "wir geben TLS ja nur zusätzlich dazu, alles andere bleibt wie es ist".

Aber selbst dann hätten wir nach wie vor das Problem mit der Gefahr, die ein Einsatz von TLS wegen dem schlechten Security Track Record des OpenSSL-Codes selbst herauf beschwört.

Bewerten
- +
Anzeige