Masturberende aber

Linus Torvalds skriver i en e-mail på linux-kernel mailinglisten, at han betragter sikkerhed som lige så vigtigt, men vel at mærke ikke mere vigtigt end alt andet, der er vigtigt.

I sædvanlig stil for Torvalds skal han så også lige fornærme nogen. Han kalder OpenBSD-folk for masturberende aber, fordi de kun går op i sikkerhed og ikke noget andet.

Han oplever, at sikkerhedsfolk ofte ser verden i sort og hvid, hvilken han ikke kan fordrage.

Men i hvilket omfang har han ret?

Jeg vil hævde, at den type af sikkerhedsfolk, som Torvalds taler om, er dem, som ikke forstår at lave en risikoanalyse og en forretningsmæssig vurdering af risici.

Set fra et forretningsmæssigt synspunkt er sikkerhed i sig selv uinteressant. Hvis man man bruger flere penge på sikkerhed, end man regner med at spare (spare i bred forstand inkl. prestigetab osv.), har man begået en fejl.

Det er selvfølgelig i orden, at man personligt bruger en uforholdsmæssig stor mængde tid og penge på sikkerhed, sålænge man dog er opmærksom på, at der er tale om en hobby eller en særinteresse (underholdning om man vil).

Jeg ville fx gerne køre OpenBSD, men jeg har hverken kompetencen eller tiden til det. Jeg vil formentlig heller ikke kunne leve med de manglende funktionaliteter (fx muligheden for at sidde i Spanien og være online via et USB-modem).

Udviklingen af Linux har længe afspejlet Torvalds? holdning. Derfor forsøger Torvalds og andre at have en afbalanceret blanding af sikkerhed og funktionalitet. Det er selvfølgelig både en svaghed og en styrke.

Linux er helt sikkert ikke verdens mest sikre styresystem, og denne fokus på funktionalitet går selvfølgelig ud over sikkerheden, men til gengæld kan Linux bruges til noget af mange flere mennesker.

Microsoft har efterhånden lært lektien og øget deres fokus på sikkerhed. Det er længe siden, vi har set en verdensomspændende orm ramme Windows.

OpenBSD har som bekendt haft to root-huller i over 10 år. Det er ekstremt cool, men hvor mange bruger egentlig OpenBSD' Og til hvad'

Men i virkeligheden handler Torvalds? e-mail om de irriterende mennesker, der ser alting med sort-hvide briller.

De er ganske rigtigt forfærdelig irriterende.

Kommentarer (10)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Peter Hansteen

Hvor mange som faktisk bruker OpenBSD er vanskelig å si. Vi har ingen 'OpenBSD counter' ala counter.li.org, og CD-salg er en svært lite egnet indikator, siden det er uhyre enkelt å laste ned CD eller installere direkte over nettet. Det er grunn til å tro at tyngden av OpenBSD-bruk er i nettverksfunksjoner som routere og brannmurer, selv om du også vil finne noen av oss med OpenBSD på laptop og de fleste steder ellers.

Det tallet som for min del er mest nærliggende, er at min tutorial om PF (brannmur) på http://home.nuug.no/~peter/pf/ (forgjengeren til boken - http://nostarch.com/pf.htm) har hatt sine vel 42 og et halvt tusen unike besøkende (unik IP-adresse eller hostnavn) per akkurat nuh, uten at man skal ha for bastante meninger om hvor mange av disse igjen som har endt opp med å sette OpenBSD i produksjon.

Ellers er jeg litt forbauset over påstanden om at det vil være umulig å bruke USB-modem med OpenBSD, men dette er noe jeg selv ikke har hatt behov for og dermed ikke utdype noe vesentlig.

Mikkel Høgh

Nu er det jo langt fra første gang Linus kommer med sådan en udtalelse. Der var også den gang han kaldte GNOMEs udviklere for interface-nazister.

Lige som Theo de Raadt (OpenBSDs grundlægger) er det som regel interessant at læse hvad de skriver, omend man af og til blot skal ryste på hovedet og gå videre.

Det kan godt være at der ikke er særlig mange der bruger OpenBSD i sig selv, men der er stort set ikke den *nix-distribution der ikke har kode fra OpenBSD i maven. Mest prominent er OpenSSH, som vel nærmest er den eneste SSH-stak der bruges i dag.

Så det kan godt være at Linus mener både det ene og det andet om OpenBSD, men projektets indflydelse er stor og koden er kommet vidt omkring, så man kan vel dårligt kalde det andet end en succes.

Jesper Louis Andersen

For det foerste har jeg en fin sun4u Ultra 10 som koerer OpenBSD og har gjort det i et stykke tid. Det er en aeldre maskine, men det fungerer fint.

For det andet: OpenBSD bliver anvendt en del steder, ikke mindst i form af brannmure some Peter skriver. Fordi systemet er barberet ned til det som betyder noget, saa falder risikoanalyser som regel ud til systemets fordel - netop fordi der ikke er andre angrebsvektorer end det som giver 2 root-holes paa 10 aar (hvor den ene endda er i IPv6-stakken hvis jeg husker rigtigt, saa den kraever noget routing at udnytte).

I de senere aar har der vaeret meget fokus paa routing-infrastruktur: BGP, OSPF, etc, og det er efterhaanden en ret god loesning hvis man har stoerre komplekse netvaerk.

Den stoerste hovedpine for tiden er hvordan de grejer multicore verdenen. Der mangler de noget i forhold til andre systemer. Det bliver spaendende at se om de finder en smart smutvej - for jeg tror ikke de accepterer fine-grained-locking i kernen.

Simon Lyngshede

Giver det mening for OpenBSD udviklerne at lave en forretningsmæssig vurdering af deres satsning på sikkerhed, de kan vel gøre som det passer dem uden at det går ud over deres ikke eksisterende forretning.

Noget helt andet er vel at de udviklere der er på OpenBSD projektet typisk benytter deres egen kode i forbindelse med deres arbejde og vel derfor netop har vurderet at det er indsatsen værd at satse på sikkerhed, og konsistens, noget andet Linux klart mangler.

Jeg er nok lidt modsat, men jeg bryder mig meget lidt om folk der altid vil lave en forretningsmæssig vurdering af alting. Det er en stor belastning at arbejde med den slags mennesker, da de typisk aldrig ser specielt langt ud i fremtiden. Forretningsmæssige og økonomiske vurderinger af hvorledes et projekt skal håndteres ender også ofte med at man ikke tænker videre til næste projekt. I tilfældet med operativ systemer at det godt betale sig at være en sikkerheds masturberende abe, fremfor at skulle håndtere fremfor at skulle lappe kode og håndtere sikkerhedsbrud i fremtiden. Microsoft kan sikkert snakke med om hvad det kan gøre for ens ry, hvis man ikke i tide at prioriteret sikkerhed højt nok.

Verden er sort og hvid, forretningsfolk, økonomer og andre grå mennesker har bare for travlt med at masturbere til deres regneark til at forstå det.

Henrik Kramshøj Blogger

det er hvad jeg bruger det til, til alle typer "servere"

Dvs, Firewalls PF er gudeskønt og intet andet i Linux verdenen når op på samme niveau af simpel og lækker konfiguration kombineret med ekstremt gode features

Mailserver med OpenBSD og Postfix er super nemt

Webserver med Apache og Tomcat til Java smølfer 100%

og skulle man have brug for en nogenlunde sikkert BIND DNS server er det blot en standardinstallation med et named_flags="" - så har man en chrootet BIND der kører på et system med alskens lækre sikringsforanstaltninger mod hackere. :-)

OpenBSD er skønt, simpelt og frit

Linux er typisk mere kluntet, usikkert og besværligt. Med al respekt for Linus Torvalds er han ikke en gud og forstår desværre ikke at bare fordi han kan nogle ting på nogle områder, så fatter han ingenting af andre. Potentielt kunne jeg snildt forestille mig ham lave en bommert a la Debian random som kom frem for nyligt.

Mht. multicore og SMP har de været langt mere "omhyggelige" og det har blandt andet betydet at mange problemer var non-issues. Nu hvor OpenBSD understøtter SMP er der flere ting at tænke på ... mere kompleks kode = flere sikkerhedsfejl.

Poul-Henning Kamp Blogger

Den helt centrale grund til at linux-verdenen stadig fungerer, er et Linus er et utroligt pragmatisk menneske der ikke er bange for at sige sin mening.

En typisk nordbo med andre ord.

Og denne typiske nordbo er helt enig med ham i hans bedømmelse af både tofarvede sikkerhedsfolk og OpenBSD udviklerne som gruppe.

OpenBSD har fokuseret utroligt meget på sikkerhed, på bekostning af stort set hvad som helst, herunder portabilitet til moderne hardware, performance på SMP systemer osv.

God software kræver at man tager hensyn til alt muligt, hvis man kun tænker på sikkerhed (OpenBSD), eller aldrig tænker på sikkerhed (Microsoft) så bliver det noget makværk.

Og sikkerhedsfolk der kun kan dele verden op i sort og hvidt, de er sjældent deres løn værd.

I virkelighedens verden er man nødt til at finde den rette balance imellem firmaet evne til at få arbejdet udført og den risiko det medfører for ulovligheder.

Poul-Henning

Peter Hansteen

> Og denne typiske nordbo er helt enig med ham i hans bedømmelse af både tofarvede sikkerhedsfolk og OpenBSD udviklerne som gruppe.

vel, etter denne nordboens erfaring er overlappingen mellom de to nevnte gruppene ikke av særlig størrelse.

på den annen side, antakelig er SMP i FreeBSD fortsatt noen hakk foran blant annet OpenBSD, uten at det nødvendigvis er konsekvens av prioritering av sikkerhet over andre hensyn.

Morten Jensen

Indledende tror jeg at begge grupper er vigtige, og at det er op til den enkelte at vaelge side.
-Det suveraent ENESTE der ikke er brug for er mudderkastning, undtagen som underholdning...
Mudderkastning er noget som FreeBSD-OpenBSD-Linux folk er meget involverede i, det er beklageligt, men menneskeligt.

Det er BEFRIENDE og maaske noedvendigt at Theo og ligesindede fokuserer paa sikkerhed og ignorer, eller smider med mudder efter ALT andet.

Om et OS er bedre, mere brugt eller mere kommercielt er ligegyldigt.

Jeg bruger OpenBSD til en masse ting, jeg skriver det her fra en Ubuntu desktop, da det lidt nemmere at installere. mine stakkels kunder bruger overvejende Windows. det er DERES valg, og det er praesis det som hele OpenSource boelgen har givet os. Jeg BEHOEVER ikke koere Windows, der er alternativer. OpenSSH er utroligt godt, selv Cisco har opdaget at telnet nok er lidt, uhm simpelt...

Julian Hollingbery

Jeg vil vælge at forstå "forretning" i bredest mulige forstand, hvorved "forretningsvurdering" bliver synonym med "helhedsvurdering". I den forstand giver det absolut mening for at OS projekt at lave en forretningsvurdering - det er vel en sådan vurdering som ligger til grund for at der idag både findes OpenBSD og FreeBSD ;-)

Nå, men bortset fra det, så er OpenBSDs fokus på sikkerhed vel OK, så længe de (1) ikke overtaler resten af verden (dvs. fremstillere af operativsystemer) til at skulle leve op til deres sikkerhedskrav, og (2) kan finde relevante brugere som har de sikkerhedsbehov - og jeg vil mene at til visse IT-infrastrukturinstallationer er sikkerhed så væsentlig et krav at det er berettiget.

Log ind eller Opret konto for at kommentere