Hat roflgrins seinen Führerschein vielleicht schon bald umsonst gemacht?

Doch, eigentlich genau deswegen und nur deswegen.

Bevor man ne Metrik anwendet sollte man die vll erst definieren =)

Edit: Ziel des Linuxprojekts ist es z.B. nicht den größten Marktanteil zu bekommen. Das würde die Community sicher freuen, aber das ist nicht die Prämisse unter der dort gearbeitet wird.

Hat alles seine Vor und Nachteile.

Auf der einen Seite kann man die Codes lesen und sogar mitwirken - können aber auch dadurch easy gehackt werden. Auf der anderen Seite wirken viele Leute an dem projekt mit und kontrollieren sich gegenseitig. Vertrauen aber hier und da auch auf die Arbeit des anderen. Viele Firmen rekrutieren die besten Leute, welche wegen Cash, was ein guter Antreiber ist und sprechen für Qualität. Insgesamt eine Grundsatzfrage. Die Praxis zeigt, dass die Unternehmen meisten eher den Großunternehmen vertrauen und das sind jetzt auch meist keine Idioten.

Hast du schonaml Software in ner Firma entwickelt? Ich behaupte die Arbeitsbedingungen sind im OpenSource Bereich besser, wenn man als Ergebnis nicht Gewinnmaximierung will sondern guten Code. Die Gründe dafür sollten offensichtlich sein, kann dir dazu aber auch n paar sehr gute Blogposts raussuchen, falls es interessiert. Refactoring ist zum Beispiel ein Hauptbestandteil um guten Code zu bekommen, liefert aber der Firma kurzfristig erstmal nichts. Das ist aber jetzt kein Argument von closed source zu open source sondern zwischen: Ich code weil ich das will und ich code weil ich ich wirtschaftlichen Zwängen gehorchen muss.

Und der Code ist eben nicht leichter hackbar bei Opensource. Dort wird ein Design verwendet, das den Algorithmus so wählt, dass sein bekanntsein keine Rolle für die Sicherheit spielt. Das machen hoffentlich auch die closed source Lösungen so. Man weiß es halt nicht und genau das ist der Punkt. Ich weiß nicht wie oft ich das wiederholen muss. Du scheinst das entweder nicht zu verstehen oder ignorierst es einfach. Setz dich damit auseinander aber bitte behaupte nicht falsche Dinge.

Die Gründe wieso Firmen dennoch z.B. Lösungen von RSA verwenden sind unterschiedlich. Das wäre auch ein interessantes Thema. Aber ich halte es für ungültig von der größten Nachfrage auf die technisch beste Lösung zu schließen. Sonst würde Basisdemokratie funktionieren und die Bild hätte die besten Journalisten.

Edit: Opensource erspart dir wenn dann eines: Die Einarbeitungszeit in den Code. Bei dem richtigen Design, spielt das aber keine Rolle. Du kannst auch jeden ClosedSource Code decompilen und so anschauen, was da passiert. Ist aufwändiger aber nicht sicherer.

eagles schrieb:

Wenn ich ein externes Unternehmen benötige, beruht alles auf Vertrauen. Ob ich mir Security Haus XY mir eine eigene Lösung bastelt oder ich eine kommerzielle vom Marktführer nutze, macht erstmal keinen Unterschied.

nein. wenn du dir eine lösung auf OS basis einrichten lässt hast du die volle kontrolle darüber. auch nachdem Haus XY es dir eingerichtet hat hast du selbst vollen zugriffdarauf und kannst den code lesen - wenn du willst kannst du 5 spezialisten anheuern die den ganzen tag lang nix anderes machen als jede line code auf backdoors und fehler überprüfen.
bei kommerziellen systemen kannst du gar nix machen ausser dem hersteller, der behauptet es sei sicher, zu vertrauen. ob die software das kryptosystem korrekt implementiert oder nicht, ob fehler drin sind oder nicht, ob sogar absichtlich backdoors drin sind oder nicht - das kannst du alles nicht überprüfen sondern musst dich aufs wort des anbieters verlassen.

die theorie hinter den systemen ist ziemlich klar. kryptographie wird seit jahrzehnten erforscht, und die entwickelten kryptosysteme sind beweisbar sicher.
die anfälligkeit für angriffe in der praxis kommt nie daher, dass irgendein ultra-genie es geschafft hat das verwendete kryptosystem zu knacken, sondern daher, dass die verwendete software das kryptosystem fehlerhaft implementiert oder (absichtlich oder versehentlich) sonstige schwachstellen hat.

Zum jetztigen Zeitpunkt mit den aktuellen Techniken/Ressourcen, unsere Prognosefähigkeit dahingehend ist extrem mittelmäßig.

ja, genau genommen nur sicher unter gewissen annahmen über die komplexität bestimmter probleme
falls morgen jemand nen P=NP beweis vorlegt oder nen krassen durchbruch im bereich quantencomputer schafft bricht die halbe kryptographie über nacht zusammen

Ne du kannst mathematisch zeigen, dass eine Nachricht die mit einem Schlüssel gleicher Länge wie die Nachricht selbst verschlüsselt wird 100% sicher kommunizieren kannst. Bleibt wie ctrl schon sagt halt noch die möglichen Fehler in der Implementierung.

Edit: Das hilft aber nicht bei asymmetrischer Verschlüsselung, die ja schon interessantere Eigenschaften hat.

one-time pad ist aber für die verwendung in der praxis gewaltig unpraktisch

ja. Ging mir nur darum, dass ses geht =)

N=1
Habe von den technischen Details auch nicht so den Plan.

@eagles
Software Sicherheit welche auf Security through obscurity beruht (closed source), ist schlecht. Einfach mal den Wiki Artikel darüber lesen.
Sämtliche Sicherheits Einrichtungen empfehlen bekannte Algorithmen und Verfahren zu nutzen bei denen mathematisch bewiesen ist das Brutforceangriff nicht in annehmbarer Zeit möglich ist.

spiegel.de/auto/aktuell/daimle…n-schicken-a-1045347.html

würde mich ja echt wundern wenn das so schnell geht

Mich würde es freuen. Das wäre tatsächlich mal ein wertvoller Beitrag zur Verkehrssicherheit.

weiß nicht ob das schon gepostet wurde:
wired.com/2015/07/hackers-remotely-kill-jeep-highway/

Wurde es hier, aber dein Artikel ist ausführlicher.

Und noch ein Auto: Angriff auf eine Corvette per SMS-Befehl gezeigt

Hat nichts mit der Elektronik des Herstellers direkt zu tun, sondern mit einem kleinen Gerät (Dongle), welches an die Serviceschnittstelle des Autos angeschlossen wird zum Erfassen der Fahrdaten (guter Fahrstil gibt wohl bessere Konditionen bei Versicherungen, Uber erfasst damit auch den Fahrstil der eigenen Fahrer, etc.).
Das Dongle wiederum verfügt über eine Mobilfunkschnittstelle zum Auslesen der Daten. Über diese konnten per SMS Befehle an das Auto geschickt werden, indem das Dongle die Befehle über die Serviceschnittstelle weiterleitet.

Kein direktes Problem, welches der Autohersteller selbst verbaut hat, aber es zeigt mal wieder, wie in diesem Bereich noch viel zu unsicher gearbeitet wird.

Wùrde bei dem dongle-ding reichen wenn man ne einfach mithör-schnittstelle ausbildet oder? Also nur daten abgreifen.dann sollte man auch nicht auf die technik im fahrzeug zugreifen kónnen