En skrækhistorie om skomagerbørn

Fra https://externals.io/message/113981:

»The master.php.net system, which is used for authentication and various management tasks, was running very old code on a very old operating system / PHP version, so some kind of vulnerability would not be terribly surprising.

We have made a number of changes to increase the security of this system:

  • master.php.net was migrated to a new system (running PHP 8) and renamed to main.php.net at the same time. Among other things, the new system supports TLS 1.2, which means you should no longer see TLS version warnings when accessing this site.
  • The implementation has been moved towards using parameterized queries, to be more confident that SQL injections cannot occur.
  • Passwords are now stored using bcrypt.
  • Existing passwords were reset (use main.php.net/forgot.php to generate a new one).

Previously, passwords were stored in a format compatible with HTTP Digest authentication (essentially a plain md5 hash), [...]«

Forklaringen på at nogen kunne committe en bagdør i PHP's core-code under Rasmus' navn var med andre ord: "Ingen gad være sysadm".

Det er selvfølgelig ikke OK, men det er desværre ret almindeligt i FOSS verdenen.

Jeg har et temmelig ambivalent forhold til github i den forbindelse.

På plus-siden er det utrolig kompetent det de foretager sig og tilbyder. At flytte til github har forbedret den operationelle sikkerhed i stort set alle FOSS projekter som har migreret derover.

På minus-siden er der tilføjet så meget funktionalitet, at et eller andet kryds på tredje underniveau under "settings" og så har man givet guderne vide hvilken "samarbejdspartner" lov til et eller andet dumt.

Det fundamentale princip i al sikkerhed er "separation of concerns", skæg for sig og snot for sig, som vi siger på dansk, men github's og alle mulige andres tilgang er "one-click".

"One-click" er meget fristende hvis "What's New" er lidt kort på det ny release, FireFox har f.eks ngole temmelig obskure funktioner bundet direkte til key-board shortcuts, funktioner der retteligen burde tage noget mere at aktivere.

Det største problem med github er dog at de har brug for en forretningsmodel til at betale deres gode folk en god løn og derfor har de brug for at fremstå som hip'e og interessante.

Men det er en helt forkert tilgang, github er i realiteten offentlig digital infrastruktur og den slags skal bare virke, hvilket vil sige at det skal være så kedeligt og forudsigeligt som muligt.

Ligesom vandforsyning er det.

EU-landene er langt om længe begyndt at fokusere på det digitale fundament og her er et lavthængende stykke frugt hvor de virkelig kunne gøre en forskel:

Lav en skatteyderbetalt "fosshub.eu" service hvor FOSS projekter kan få et robust digitalt fundament under deres projekter, leveret af en organisation som ikke har brug for hele tiden at tilføje komplexitet og ligegyldige features, for at berettige sin existens.

  • Tre EU borgere i forening kan oprette et projekt og de bliver automatisk projektets første administratorer.
  • Der skal altid være mindst tre EU borgere blandt administratorene.
  • Administratorer logger ind med en EU-stats digitale ID.
  • Administratorerne har det juridiske ansvar for projektets indhold.

Tilbudte Services:

  • Brugeradministration & to-faktor auth.
  • Et git Repository.
  • Bugtracker
  • Minimal WWW/Wiki support.
  • Maillister.
  • "Pull" notification service.

Med næsten en halv milliard EU borgere vil driftudgiften til en sådan service blive under én euro-cent per borger per år, men det vil være en forbandet god investering.

phk

Kommentarer (24)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#5 Jørgen Hansen

God ide, det er på tide at staten stiller infrastruktur til rådighed når befolkningen tvangsdigitaliseres, men livet har lært mig at når noget er skatteyderbetalt så blander politikerne sig, og når politikere blander sig i teknologi så går det galt. Så .. hvordan sikre man at det ikke sker.

  • 4
  • 3
#6 Martin Dahl

Men det er en helt forkert tilgang, github er i realiteten offentlig digital infrastruktur og den slags skal bare virke, hvilket vil sige at det skal være så kedeligt og forudsigeligt som muligt.

Ligesom vandforsyning er det.

Det er så utroligt indsigtsfuldt og sandt.

Mens der tales om digitale strategier for EU og Danmark, og buzzwords som security by design smøres ud over et uimplementerbart politisk program, så er det præcis forsyningssikkerhed, simpelhed og statslig digital identitet, der er behov for.

Se f.eks. hvor tankeløst digitale services er spredt ud over et hav af domæner, som uinteresserede tredieparter shopper ind ad hoc til hvert eneste nye digitale krumpspring.

Hvorledes skal borgere kunne opbygge tillid til en digital service, hvis det ikke er samme og altid samme afsender?

Bemærk hvor konsekvent Google har været med, at alle alle alle deres services kommer fra google.com, hvor f.eks. Microsoft i dekader har spredt deres indsatser på et tagselvbord for phishing sites.

Hvordan skal jeg, som borger, vide om NemId login boksen, som vises i en omg-iframe, når jeg skal købe en burger, er ægte?

Alle services under *.borger.dk

Alle services via HTTPS i en browser (Apps er velkomment for det kommercielle marked, men dermed valgfrit for borgere og åbent for konkurrerende leverandører, som benytter samme API)

Krav om open source for algoritmer, der regulerer den enkelte borger på statens vegne. Herunder f.eks. de kontroversielle "AI" blackboxes, der skal flagge socialt udsatte, modellen for beregning af skat som funktion af alle selvangivelsens felter, osv.

One-trick-ponies: Een service til een funktion. Det foreslåede fosshub, kan præcis være der, at der er krav om dokumentation, for leverede produkter til staten.

  • 28
  • 0
#7 Mads Peter Jensen

Hvad med en "git brugsforening". Sådan løste man problemer med forskellige private virksomheders måde at "snyde" almindelige borgere for hundrede år siden. Hvis vi skal vente på at staten eller EU får sat gang i det, så har verden ændret sig inden.

  • 7
  • 0
#9 Kjeld Flarup Christensen

Alle tænker instinktivt på github, men der findes jo også gitlab.com som har endnu bedre features. Dem kan man jo lade være med at bruge, hvis man er dogmeudvikler.

Som liberalist, kan jeg godt lide at der er konkurrence, for det giver bedre værktøjer.

Og værktøjer er der brug for, for at FOSS skal kunne udvikle sig. Disse platforme muliggør samarbejde mellem forskellige bidragsydere, og formaliserer hvordan man upstreamer

Selvfølgelig kan man godt lave en offentlig løsning, og selvfølgelig kan man gøre den billig. Men hvorfor genopfinde den dybe tallerken?

Man kan også prøve at gå 20 år tilbage og se hvor mange af de foreslåede ting der eksisterede den gang. Hvis fosshub.eu var opfundet den gang, ville den være håbløst forældet i dag.

Hvor skal udviklingen komme fra hvis ikke der er konkurrence?

  • 4
  • 5
#10 Martin Dahl

Hvor skal udviklingen komme fra hvis ikke der er konkurrence?

Konkurrence er altid velkomment. Men hvis ikke man trækker en streg i sandet og fryser et givent miljø, så bliver det umuligt at etablere et kanon for standardfunktionalitet.

Ønsker man bleeding edge kan man køre github for sine repos og nightly builds for sine apps.

Ønsker man stabilitet og pålidelighed, så er der behov for et miljø, som alene foretager nødvendige sikkerhedsopdateringer. Og intet andet.

  • 11
  • 0
#11 Kjeld Flarup Christensen
  • 3
  • 0
#12 Martin Dahl

Ja, men så forestil dig at den streg blev sat for 20 år siden. Eller bare 10.

Der er ingen silver bullit, som både giver dejlig ny funktionalitet og samtidig et stabilt miljø.

Eksempelvis støder man i det konservative Debian ofte panden mod muren, fordi at en given version af OSet med vilje ikke opgraderer ditten og datten til nyere versioner. Tilgengæld kan man i væsentlig højere grad regne med at en opdatering ikke knækker diverse afhængigheder omkring i stakken.

I dette tilfælde med git og online browsebare repos, er det tydeligt at gits funktionalitet forlænge siden nåede et modenhedsstadie, men at online konceptet laget over git, er i rivende udvikling.

Postulatet er at når et givent featuresæt er modnet og over længere tid ikke ændrer sig væsentligt (Browsebare repoer, pull request notifications) men at andre features er i rivende udvikling, så kan man med fordel branche en LTS version, som er frosset pånær security.

LTS er muligvis ikke for evigt:

Jeg forudser, at det miljø hurtigt bliver forladt

Men på OS distro fronten fungerer konceptet.

  • 9
  • 0
#15 Martin Bøgelund

Lav en skatteyderbetalt "fosshub.eu" service hvor FOSS projekter kan få [...]

Jeg stopper dig lige her.

GitHub er en privat virksomhed, og produktet github.com er til for at deres ejere kan tjene penge.

Hvis EU bruger skatteydermidler til at sætte "fosshub.eu" i verden, vil det betyde at GiHub skal konkurrere mod en offentlig pengekasse der kan spædes vilkårligt op med skatteyderkroner.

Dette setup vil være kontroversielt i visse kredse. (Og ja, jeg underdriver bevidst i det udsagn. Der er faktisk lovgivning der forhindrer den slags.)

Havde det været den anden vej rundt - at fosshub.eu var noget der eksisterede, og GitHub derefter blev grundlagt som et privat, kommercielt initiativ, ville man i EU måske overveje om ikke det var en idé at lukke eller nedskalere fosshub.eu, for ikke at kvæle iværksætteri og privat initiativ med offentlige projekter.

Så at foreslå at der på bagkant skal oprettes en offentligt betalt konkurrent til et privat produkt er mildest talt en del udenfor realismens domæne.

Tag ikke fejl: Ideen, argumenterne og formålet med dit forslag om et fosshub.eu er helt i topklasse, og jeg er vild med ideen.

Men det er bare ikke den måde vi driver samfund på i en fri, international og åben markedsøkonomi, så problemerne med forslaget burde være åbenlyse.

Og dét allerede før jeg har nævnt at GitHub er ejet af det USA-baserede Microsoft, som i forvejen mener sig chikaneret af EU og vores allesammens Margrethe Vestager, med tilhørende risiko for handelskrig og dårligere forhandlingspositioner overfor USA i international samhandel.

  • 2
  • 1
#16 Poul-Henning Kamp Blogger

GitHub er en privat virksomhed, og produktet github.com er til for at deres ejere kan tjene penge.

Hvis EU bruger skatteydermidler til at sætte "fosshub.eu" i verden, vil det betyde at GiHub skal konkurrere mod en offentlig pengekasse der kan spædes vilkårligt op med skatteyderkroner.

Og det har jeg ikke skyggen af problem med.

Github er idag kritisk infrastruktur for både Danmark og EU.

Github vil, ligesom Twitter gjorde det, helt uden for enhver demokratisk kontrol kunne lukke og slukke for ethvert projekt deres ejere beslutter sig for ikke at kunne lide, uden at hverken den danske stat eller EU kan gøre det mindste ved det.

Det er ikke en måde at køre et samfund på og derfor kan kapitalisterne med deres skinhellige konkurrence-religion rende og hønse.

  • 6
  • 2
#17 Kjeld Flarup Christensen

Og dét allerede før jeg har nævnt at GitHub er ejet af det USA-baserede Microsoft,

Github er idag kritisk infrastruktur for både Danmark og EU.

Er det egentligt ikke det der er problemet her, at al IT instrastruktur ender hos typisk amerikanske ejere.

Er offentligt ejerskab løsningen på det problem? Hvis der KUN var et git repository at tage stilling til, så var det måske.

Men det er jo langt fra tilfældet. Blot se på CSC's aktiviteter i Danmark. Eller NETS.

Der er saftsuseme mig mange ting som politikerne skal til at eje.

Github vil, ligesom Twitter gjorde det, helt uden for enhver demokratisk kontrol kunne lukke og slukke for ethvert projekt deres ejere beslutter sig for ikke at kunne lide, uden at hverken den danske stat eller EU kan gøre det mindste ved det.

Men så er der Gitlab og Bitbucket. Konkurrence gør at de ikke bare kan starte på den slags. Brugerne reagerer altså på censur og privacy krænkelser. Blot se på vandringen fra Whats App til Telegram.

HVORFOR opstår der ikke sådanne virksomheder i EU?

  • 1
  • 0
#18 Poul-Henning Kamp Blogger

Er det egentligt ikke det der er problemet her,

Jo, det er præcis det der er problemet her.

At github er et næsten globalt monopol og (tilsyneladende) forærer det første fix bort gratis gør kun sagen værre.

Hvis en stat ikke skal kunne udsættes for afpresning, skal dens kritiske infrastruktur være under dens egen jurisdiktion.

Når et monopol forærer noget væk gratis, kan der per definition ikke blive tale om konkurrenceforvridning, hvis andre også forærer den samme ydelse væk til samme lave pris.

  • 4
  • 0
#19 Kjeld Flarup Christensen

At github er et næsten globalt monopol

Som jeg nævnte, er der mindst to andre alternativer.

og (tilsyneladende) forærer det første fix bort gratis gør kun sagen værre.

Var der nogen som sagde Microsoft Windows?

Men du angriber jo en forretningsmodel, som er vildt udbredt i dag. Alle SoMe platforme bruger den, og der er næsten ikke den Cloud tjeneste, som ikke har en variant.

At lave en FossHub rækker som en skrædder i helvede.

Lige siden jeg startede på universitetet tilbage i 80'erne har disse fænomener eksisteret. Der har været gratis udgaver af det meste software og ofte så producenterne igennem fingre med at der blev piratkopieret big time.

Samtidigt opstod ideen om fri software, hvilket ofte blev til gratis software.

At ting i dag kan være gratis er næsten en forudsætning for at få noget nyt op at stå. For at få brugere skal det være gratis at komme med. Det betyder at der skal en god kapital i ryggen for at lave et internet startup, og den kapital har de i USA, og den må gerne give et afkast.

Kapital kniber det måske med i EU. Jo der er masser af kapital i staterne, men inden politikerne få diskuteret noget færdigt, så har 4 forskellige amerikanske initiativer taget markedet.

Vil du have en fosshub.eu så find nogle sponsorer, det vil være hurtigere.

  • 1
  • 0
#22 Bjarne Nielsen

Det betyder at der skal en god kapital i ryggen for at lave et internet startup, og den kapital har de i USA, og den må gerne give et afkast.

Det er ganske givet rigtigt, at vi i højere grad skal op af hængekøjen, og gribe dybere i foret, men det er der også tegn på, at der breder sig en erkendelse af.

Github er på mange måder et glimrende eksempel på, hvordan markedet ikke løser alt, men i stedet leder til i højere og hørere grad tomme kalorier i mere og mere farverig indpakning.

Skal man virkelig flytte noget, så er det tit at grundstenene skal lægges i fællesskab, og man skal det ikke kigge dybt i mange silicon valley-agtige forretningssuccesser for at se, at deres fundament i høj grad er bygget af ildsjæle i fællesskab, som hverken får anerkendelse eller kompensation, og at det kommercielle bidrag i høj grad er indpakning og markedsføring (ledsaget er en hær af jurister).

Som et punktnedslag på et konkret fællesskabsinitiativ, så kan jeg til eksempel pege på Digital Signature Service (DSS), som er OSS/LGPL, som EU er gået foran på - sikkert i erkendelse af, at der i høj grad er tale om fælles infrastruktur, som en markedsbaseret tilgang jo helt grundlæggende kun sjældent forstår eller formår at løfte, og i erkendelsen af, at det ikke er nok at skrive direktiver, hvis digitaliseringen skal lykkedes.

Eller denne kronik i The Guardian af John Naughton https://www.theguardian.com/commentisfree/2021/apr/10/intel-new-ceo-patr..., hvor han trækker streg imellem EUs fokus på chipproduktion (som har penge med), og Intels udmeldinger om at ville være med i et skub i retning af mere regional chip-produktion. Realismen kan vi så diskutere, men signalet er tydeligt og tydeligvist også opfanget.

Så jeg tror helt sikkert at erkendelsen er der, både af at en hyperforbundet verden er utroligt sårbar, og man ikke skal lægge alle sine æg i andres kurv, men også af at det kommer til at koste (for det bunder nok også i erkendelsen af, at det kan blive endog meget dyrt, hvis man er for nærig). Og at det er en ulykke, som markedet har skabt, og som derfor ikke kan læses af markedet alene, men at fællesskabet pinedød må træde i karakter.

Men det kommer ikke til at ske på et øjeblik. Det er en udvikling, som mindst kan spores tilbage til forgående årtusinde, og symboliseret ved Reagan og Thatcher, så det kommer til at blive et sejt træk. Så det er bare med at komme igang.

  • 2
  • 0
#23 Kjeld Flarup Christensen

Og at det er en ulykke, som markedet har skabt, og som derfor ikke kan læses af markedet alene, men at fællesskabet pinedød må træde i karakter.

Men det kommer ikke til at ske på et øjeblik. Det er en udvikling, som mindst kan spores tilbage til forgående årtusinde, og symboliseret ved Reagan og Thatcher, så det kommer til at blive et sejt træk. Så det er bare med at komme igang.

Man kan ikke helt sammenligne to tidsepoker.

Jeg læste for nogle måneder siden en analyse, som sagde at Reagans politik (eller hvad tiden sagde var nødvendigt) var at han den skabte et miljø hvor der var lettere adgang til kapital.

I dag er der rigeligt med kapital, i hvertfald i USA, så der kommer nogle ændringer, men det bliver nok ikke med den nuværende præsident, som jo var stærkt støttet af kapitalen. Tiden til ændring er ikke moden endnu.

Og EU evner ikke at gøre noget selvstændigt, så vi må bare vente til ændringerne kommer fra USA.

  • 0
  • 1
#24 Martin Bøgelund

Og det har jeg ikke skyggen af problem med.

Og det er du i din gode ret til, og dine argumenter og motivationen for din holdning er der heller ikke noget galt med. Jeg er stort set enig hele vejen.

Lovgivning og markedsregler skal dog fungere bedst muligt for flest muligt, og det afgørende er ikke om du har et problem med det eller ej, men hvordan det fungerer på nationalt, og i EU-sammenhænge internationalt plan. Og her er der altså anlagt en linje, hvor det private initiativ, iværksætteri og frie og åbne markeder er vægtet så højt, at man ikke vil risikere at forgifte vilkårene for det private erhvervsliv ved at skride ind og nationalisere eller udkonkurrere med offentlige pengekasser, når et produkt eller en service viser sig så brugbar og populær, at rigtig mange indlejrer den som fundament i deres aktiviteter.

Github er idag kritisk infrastruktur for både Danmark og EU.

Det er jo ikke hele historien, og jeg mener virkelig ikke det skal være mig der påpeger dette overfor dig, men nærmere omvendt - jeg er overbevist om at du kender meget mere til Git og generel SCM end jeg gør, både teknisk, historisk og konceptuelt.

Så ret mig endelig hvis jeg har misforstået noget i det følgende:

  • Du kan selv sætte en Git-server op på din egen hardware
  • Du kan selv gøre din Git-server tilgængelig for dit (lokale/internationale/globale) team via internet
  • Du kan vælge andre, konkurrerende udbydere af SCM-løsninger end GitHub
  • Git er designet som et DCVS, hvor D'et står for "Decentral" eller "Distribueret", og du er konceptuelt ikke bundet til at tjekke ind på eller ud fra GitHub, uanset om det er der du oprindeligt klonede fra

Så jeg er ikke enig i præmissen at GitHub er kritisk infrastruktur. Så snart vi erkender at SCM generelt er en kritisk komponent i vores udviklingsprocesser, og samtidig indser at vi kan vælge og vrage mellem SCM-løsninger - enten hjemme-administrerede eller noget vi lejer/låner ude i byen - ser vi at det reelle billede er et andet. For Sørensen, du siger jo selv at det ikke er GitHub der er kritisk, når du selv foreslår at vi skal stige over på en anden udbyder, nemlig EU(!) Så jeg savner noget strukturel sammenhæng mellem din løsning og dit påståede problem.

Github vil, ligesom Twitter gjorde det, helt uden for enhver demokratisk kontrol kunne lukke og slukke for ethvert projekt deres ejere beslutter sig for ikke at kunne lide, uden at hverken den danske stat eller EU kan gøre det mindste ved det.

Se ovenfor, jvf D'et i DCVS. De kan ikke lukke noget som helst, højst chikanere kortvarigt. Projektdeltagerne har deres egne repositories som de kan dele med hinanden eller pushe til en anden udbyder, skulle GitHub se sig gale på deres projekt og lukke deres del af Git-netværket omkring det. Ret mig gerne hvis der er noget jeg ikke har forstået omkring mekanikken og koncepterne i Git!

  • 1
  • 0
#27 Martin Bøgelund

Se det er jo heldigvis ikke et holdningsspørgsmål: Vi kan bare blokére github i hele EU og se hvad der sker...

Jeg skulle blive meget forbavset hvis ikke det i løbet af få timer slog fast at github de-facto er kritisk infrastruktur.

Kan du være mere specifik?

Taler vi om tab af meneskeliv, oprør, borgerkrig, lukning af el, vand, varme og fødevareforsyninger, flygtningestrømme fra Europa mod andre kontinenter osv?

Eller taler vi om at der går en uge eller to før folk har fundet ud af at anvende tilsvarende værktøjer fra andre udbydere, og vi derfor ser ind i et ikke nærmere specificeret produktivitetstab, a la det vi så da Mærsks systemer var nede?

  • 1
  • 1
#28 Martin Bøgelund

Du har ret i at Git er et DVCS, men GitHub er meget mere end bare Git-delen – pull requests (hvilket indebærer rig review funktionalitet), tickets, wiki, brugerstyring (inklusiv ting som intuitiv verifikation af signed commits)...

Tak for opdateringen, Sune. Hvis jeg havde tænkt efter havde jeg nok kunnet nævne nogle af disse ekstra services som en del af GitHub. Jeg prøver selv (på hobbybasis) at undgå GitHub af netop de årsager som PHK nævner som motivation for at... undgå at vi skal bruge GitHub. Og arbejdsmæssigt er vi på en anden platform, drevet in-house.

Så nu bliver vi næsten nødt til at se på hvad der udgør den kritiske del af denne portefølje hos GitHub, og hvad der ligesom er flødeskum og kagekrymmel.

Er det det hele som du og Poul-Henning vil kategorisere som kritisk, eller hvad er den minimale samling af services hos GitHub som EU skal udbyde for at det ikke ligger hos en privat udbyder?

Og i det lidt bredere perspektiv: Hvad får vi ud af at EU udkonkurrerer de udbydere der er i dag, vha skattekroner? Lige nu kan jeg se der bare her er nævnt 2 andre udbydere af kerneydelsen (SCM) som GitHub tilbyder.

Hvis de alle lukker biksen i EU fordi de udkonkurreres af fosshub.eu, står vi uden alternativer, og fosshub.eu bliver single point of failure uden konkurrenter man kan udvandre til. Lige nu kan man vel skifte GitHub ud med Gitlab, Atlasian/BitBucket, Sourceforge(?), og hvad der ellers måtte være?

  • 0
  • 0
#29 Sune Marcher

Er det det hele som du og Poul-Henning vil kategorisere som kritisk, eller hvad er den minimale samling af services hos GitHub som EU skal udbyde for at det ikke ligger hos en privat udbyder?

Godt spørgsmål.

Jeg er enig med PHK i at det er kritisk i den forstand at der ville være et massivt produktivitetstab hvis GitHub røg, og det ville tage et godt stykke tid at komme i gang igen. Og omfanget kommer an på om vi taler midlertidig outage, komplet datatab, "deplatforming" eller andet, samt hvilke features man anvender og i hvilken grad.

Der er sandsynligvis erstatninger for alt du kan med GitHub, men det kan hurtigt blive noget af en opgave at få mix-and-matched de nødvendige services, for slet ikke at tale om integrationerne imellem dem. Og integrationer (og whitelists og...) til andre services. Og brugerstyring, permissions, single-sign-ons, key management og hvad ved jeg.

Derudover, hvis vi har komplet datatab scenariet... selve repositories og versionshistorik kan naturligvis reconciles udfra enkelte udvikleres lokale repositories, men det er ikke nødvendigvis en triviel opgave – skal man kunne bevise der ikke er tamperede med data? Er det muligt at genskabe samtlige branches? Er man i en lovgivnings-reguleret branche der kan medføre andre hovedpiner?

Og så er der alle de andre ting udover selve VCS repoet, det kan nok være jævnt træls at miste igangværende pull requests, bug tickets, samt diskussioner og anden historik :)

  • 0
  • 0
Log ind eller Opret konto for at kommentere