Was für ein Blödsinn. DU stellst genauso irgendwelche Behauptungen auf, ohne die tatsächliche Lage anzuerkennen. Oder glaubst du etwa wirklich, dass die rgoßen Konzerne nach den Snowden-Leaks auf einmal eine 180 Grad Wende hingelegt haben?
Nene Kollege, Du hast mit dieser Behauptung angefangen und bisher keinen Beleg geliefert:
Bei proprietärer Software wüssten wir heute nichts von der Sicherheitslücke aber der Hersteller hätte den passenden Exploit Code dazu an die Geheimdienste verscherbelt.
Danach kamen nur "sei nicht so naiv" oder "Du glaubst doch selbst nicht" Argumente.
Ja der M$ Support ist natürlich besser. Aber nur weil Open Source i.d.R. keinen richtigen Support hat, sondern auf die Community angewiesen ist.
"Aber nur weil" interessiert keinen der die Software in seinem Unternehmen einsetzen möchte. Wenn ich mich entscheiden müsste zwischen:
A) Kostenlose Software - offizieller Support nicht vorhanden - Patching unklar
B) Kostenpflichtige Software - offizieller Support vorhanden - Patching (EOL Datum) geklärt
Dann nehme ich natürlich B. Da hängt im Zweifel mein Unternehmen dran...
Klar kann man sich gut absichern. Bis der erste dann meint, dass er doch irgendein kritisches Feature braucht und der Chef das so absegnet. Viel besser als im Nachhinein abzusichern ist erst gar keine kritischen Komponenten in die Umgebung einzubringen.
Sagte ich ja, einige Kunden benötigen für ihre uralt legacy Software leider Versionen jenseits von Gut und Böse. VaaS sozusagen (Vulnerability as a Service).
Ja, das nennt sich Vendor Lock-In und spricht nicht unbedingt für Qualität der eingesetzten Software, sondern eher für die Faulheit der User sich neues anzueignen.
Es spricht nicht unbedingt für die Qualität, sehr wohl aber für die o.g. Punkte (offizieller Support vorhanden - Patching (EOL Datum) geklärt). Außerdem ist die Kompatibilität innerhalb der MS Umgebung einfach da. Ich kann beispielsweise keinem Manager erklären dass er leider mit LibreOffice gelieferte Word / Excel Dokumente erst mal umformatieren muss damit sie ordentlich aussehen.
Ja klar und das sind vermutlich nur die Server-Systeme. Bei uns laufen noch unzählige Router, Switches und andere Netzwerk-Hardware auf Linux oder OpenBSD Basis. Dazu einige Debian-Webserver, Red-Hat Systeme, etc.. Alles in allem dürfte der Linux Anteil in vielen Rechenzentren überwiegen.
Der Windows Anteil überwiegt definitiv, frag mal hier im Forum rum bei Leuten die auch mit Datacentern zu tun haben. Das geschätzte Verhältnis (70:30) ist vermutlich sogar noch optimistisch für Linux. Das hat ganz einfach auch etwas mit verfügbaren Admins zu tun, die Linux-Fraktion ist einfach kleiner. Leider finde ich dazu keine Statistik im Web, nur Artikel mit Schätzungen und Meinungen.
Bei Netzwerk-Hardware bin ich allerdings bei Dir, natürlich laufen die nicht auf Windows Basis. Das sind aber auch keine Server...
Das ist eine Indikation dafür, wie viel skalierbarer Linux-Systeme sind. Hätte man schon kapieren können, nachdem man explizit nach Vorteilen von Linux gefragt hat.
Dem widerspreche ich auch gar nicht. Trotzdem ist das nicht die breite Masse an Servern.
Kommt auf das Lizenz-Modell an. In den aller meister Fällen (GNU z.b.) sind auch die Libs OpenSource.
Stimmt, mea culpa. Muss aber auch gemacht werden, also das reviewen.
Ja Anschaffungskosten fallen bei Open Source Software in aller Regel weg. Du willst manche Argumente wirklich falsch verstehen oder?
"Keinerlei Kosten" sagtest Du, nicht "keine Anschaffungskosten".
Bestes Beispiel Print Nightmare. Das hat M$ nach knapp einem halben Jahr noch immer nicht im Griff. Für die Log4J Lücke die seit einigen Tagen hauptsächlich Apache-Server betrifft gab es bereits am ersten Tag Hotfixes, Workarounds und teilweise sogar ganze Patches.
PrintNightmare ist etwas anderes, dazu muss man erst mal als authentifizierter User angemeldet sein und kann sich dann SYSTEM Rechte holen über den Spooler Dienst. Der Workaround ist "deaktivieren" des Dienstes, kein schlechter Workaround da man auf Servern eher selten den Usern erlauben muss selbst Druckertreiber zu installieren.
Log4J ist aktuell das beste Beispiel für Open Source mit Sicherheitslücke. Und es betrifft nicht erst "seit einigen Tagen" die Server, sondern es ist erst bekannt seit einigen Tagen. Hier ist der Angriffsvektor auch ungleich einfacher, man benötigt nicht mal einen authentifizierten User um das System komplett zu übernehmen. Die Hotfixes / Patches beinhalten aktuell auch größtenteils nur die Deaktivierung der Lookup Funktion oder gleich das Löschen der ganzen Klasse:
Die offizielle Empfehlung ist hier für Versionen ab 2.10: Das Setzen der Eigenschaft log4j2.formatMsgNoLookups auf true oder der Variable LOG4J_FORMAT_MSG_NO_LOOKUPS auf true.
Für die ebenfalls verwundbare Version 2.0-beta9 bis einschließlich 2.10 empfiehlt das Log4J-Team ein Vorgehen mit dem Holzhammer: das komplette Entfernen der JNDI-Lookup-Klasse aus der Anwendung:
zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class .
Das verhindert effektiv ein Ausnutzen der Lücke, da JNDI-Aufrufe dann nicht mehr ausgeführt werden können.
Je nachdem kann durch diesen Eingriff auch irgendetwas anderes nicht mehr funktionieren da man ja Funktionalitäten deaktiviert / löscht die vorher da waren.
Quasi jedes Spiel, das mit Proton läuft...
https://www.protondb.com/
Oh ja, super viele und immer super schnell. Nicht. Außerdem sprechen wir hier von Software, nicht nur von Games.
Kommt auf das Linux an. Wenn man nicht allzu viel am System rumbastelt, braucht das eigentlich auch nicht mehr oder weniger Pflege als Windows. Nur wenn man entsprechende Anpassungen eben braucht, kann man das mit Windows i.d.R. vergessen, je nachdem wie umfassend die Änderungen am System sind. Linux lässt sich da komplett customizen.
Dein Punkt war "Anpassungsfähigkeit" - dementsprechend steigt nach Anpassung der Pflege-Aufwand. Da tun sich die beiden Betriebssysteme nichts, ist für mich kein Vorteil von Linux. Man muss sich da eben entscheiden:
A) maximales Customizing - erhöhter Pflegeaufwand -> Linux
B) standardisiertes Produkt - geringer Pflegeaufwand -> Windows
Das hat auch keiner behauptet. Es ging darum, ob Java tendenziell unsicherer ist als andere Sprachen und genau das kann man mit der Statistik belegen. Es gibt von der ganzen getesteten Software nur 2 Sprachen die noch mehr Sicherheitslücken aufweisen als Java-basierte Applikationen...
Java + JavaScript bewegen sich in der Statistik ziemlich genau im Mittelfeld.
