Datenschutz VS Datenschutz - OSS und Kommerzielle Software im Vergleich

Lance

Well-Known Member
Erstens lügt Dir Apple ins Gesicht und sammeln Zweitens dann doch Daten und Drittens bezahlen musst Du das dann auch noch.
Da muss man moralisch schon sehr flexibel sein, dann diesbezüglich über Microsoft/Office zu schimpfen. :-)
@Andy_m4
Ok, meine Recherchen ergaben Hauptsächlich Verdacht und eine Klage in Frankreich. Das heißt dass Apple mit Vorsicht zu genießen ist.

Ja klar, ist jeder den ich nicht persönlich kenne. Ich habe nie gesagt, dass ich Apple 100% vertraue. Aber mehr als Microsoft. Die sammeln definitiv mehr Daten und sind voll von Pannen, Lecks und Fehlern.
Neulich Bitlocker. Geknackt in 43 Sekunden.

Sorry aber finde mal Belege dass du als Apple Kunde immer wieder gef… wurdest. Ist einfach nicht der Fall.

Klar, will ich mich möglichst anonym im Netz bewegen, nehme ich Tails oder FreeBsD und kein macOS, aber schon gar nicht Windows und ChromeOS. Unter Android hatte ich bis heute nie meinen privaten Email Verkehr abgewickelt. Online Banking? Niemals.

Was ich damit sagen will: Stelle bitte MS nicht auf die gleiche Stufe wie Apple.

Imho the Best 2 Worst (Datenschutz)

FreeBSD, Linux, macOS, iOS, Windows, Android, ChromeOS


Imho the Best 2 Worst (Security)

iOS, ChromeOS, FreeBSD, macOS, Linux, Android, Windows.
 
Sowohl Apple als auch Microsoft sind US Firmen. Wenn Uncle Sam sagt, dass sie deine Geraete und Daten ueberwachen und Nutzerdaten fuer ihre KI oder was auch immer sammeln und an sie weitergeben muessen, dann muessen sie das tun und duerfen noch nichtmal darueber reden (Patriot Act). Auch dass England nun weltweit Zugang zu allen Daten in der iCloud haben will, ist bedenklich. Um solche Daten erheben zu koennen, muessen sie erstmal gesammelt werden. Google scannt schon jetzt per default dein Smartphone nach "Kinderpornografie" und Apple wird das zukuenftig mit Sicherheit auch tun. Ausserdem wird Apple demnaechst auch KI fuer ihre ganzen neuen Systeme bereitstellen und was glaubt ihr, woher ihre KI die Daten erhaelt? Ob Microsoft oder Apple oder Google, ich habe ich alle grossen Konzerne kein Vertrauen. Microsoft-Nutzer stellen Windows auf ein Podest, Google-Nutzer Android/ChromeOS und Apple-Nutzer iOS/macOS. Unterm Strich ist keiner Besser. Apple verkauft die gesammelten Daten vielleicht nicht an Dritte, aber macht das denn Microsoft? Microsoft sammelt die Daten fuer ihre KI und Apple wird das zukuenftig auch machen, da KI zum Bestandteil ihrer Systeme wird und dem "Nutzererlebnis" dient. Apple hat halt das bessere Marketing. Wer glaubt, dass Apple die Guten sind und Microsoft und Google die Boesen, der lebt in einer Fantasiewelt.
 
Apple stellt für mich auch das in sich deutlich geschlosserene System.

Dazu ist es eine US-Firma die in der Vergangenheit mindestens genauso oft im verhältniss zur nutzerbasis negativ aufgefallen ist wie Mircosoft was diverse unschöne Themen angeht.

AFAIK Scant Google @midnight nur bei Nutzung der Cloudfunktion, aber nicht lokal, Apple hatte das für alle Geräte lokal geplant und ist dann erst nach sehr viel kritik wieder zurückgerudert. Ob Apple in der Cloud inzwischen Scant weiß ich nicht.

Ein weiteres Beispiel ist das Apple seit Jahren sehr viel mehr ausgrenzt auf ihren Geräten, nutzer von Nextcloud unter iOS (Wie ich z.B.) wissen was ich meine. Oder ssh-clients die lange nicht im Hintergrund laufen durften (Was die Session beendet hat), alternative Browser waren auch nicht möglich, man konnte eine App verwenden, musste dann aber apples mäßige browser-engine trotzdem nutzen.

Ich habs selbst auch aufgegeben eigene Musik auf mein iPhone kopieren zu wollen. Es geht nur über eine sehr dubiose, riesige Windows-Anwendung und selbst dann funktioniert es nicht richtig und bricht bei zu vielen Daten einfach für immer, nicht wieder aufnehmbar ab.
Phone an einen PC anschließen und einfach frei Daten hin-und-her kopieren wie unter Android? Pustekuchen.
 
Microsoft-Nutzer stellen Windows auf ein Podest, Google-Nutzer Android/ChromeOS und Apple-Nutzer iOS/macOS. Unterm Strich ist keiner Besser.
Nein. OS Jünger tun das womöglich. Leute aus meinem Umfeld tun das nicht. Die meisten pflegen halt ihre Gewohnheiten und wollen wegen Datenschutz keine Veränderungen. Verständlich. Und so schlimm ist das ganze ja auch nicht. Mein Hauptgrund gegen Windows ist nicht Datenschutz sondern die zahlreichen Probleme und der Aufbau von Windows an sich: Updatezwang, Bugs und Lags, Art wie Software installiert wird, usw.
Aber ich könnte auch mit Windows 11 in Form der LTSC ganz gut zurecht kommen.
 
Dazu ist es eine US-Firma die in der Vergangenheit mindestens genauso oft im verhältniss zur nutzerbasis negativ aufgefallen ist wie Mircosoft was diverse unschöne Themen angeht.
Also ich lese seit vielen Jahren Golem und Heise und kann das nicht bestätigen.



Ich habs selbst auch aufgegeben eigene Musik auf mein iPhone kopieren zu wollen.
Es ist Apples gutes Recht, ein eigenes Ökosystem aufzubauen und ich hatte nie Probleme was zu kopieren. Nutze halt auch AirDrop und für große Datenmengen USB.

Übrigens lief es auch unter Ubuntu gut. Dass du da unter Windows Probleme hast, tut mir ja Leid aber schon wieder das Wort „dubios“. Ich habe da den Verdacht, dass hier nicht immer sachlich rangegangen wird. Klar pflegt Apple Windows stiefmütterlich, so wie halt auch MSOffice unter Windows am besten läuft.


Phone an einen PC anschließen und einfach frei Daten hin-und-her kopieren wie unter Android? Pustekuchen.
Eben unter einem Ubuntu ausprobiert. Ich musste nichts extra installieren. Einmal auf dem iPhone „vertrauen“ anklicken und los geht es. Habe sowohl Datein hin als auch vom iPhone kopiert.

Edit: muss zugeben, bin gerade etwas überrascht und positiv angetan wie einfach das geht. Hatte es seit einigen Jahren nicht gemacht. Und man weiß ja nie welche Hürden Apple evtl setzen könnte.
 
Keine Frage. macOS ist von usability sehr gut. Shortcuts funktionieren konsequent in jeder Anwendung gleich usw. Es ist aber alles Gewohnheit. Wer nur Windows genutzt hat, flucht ueber macOS, weil dort alles anders ist. Umgekehrt genauso. Fuer mich das das ganze Fensterkonzept mit hintereinander liegenden Fenstern sowohl bei Apple als auch bei Windows nichts und der Umweg ueber Alt-Tab ist mir zu umstaendlich. Sowohl macOS als auch Windows lassen sich inzwischen nicht mehr vernuenftig in einen tiling-wm verwandeln und Shortcuts sind dort nur begrenzt anpassbar, was das Fenstermanagement und die Fensternavigation betrifft. Windows 11 Pro ist beispielsweise auch noch gut verwendbar und ich nutze das auf der Arbeit in einer VM fuer gewisse notwendige Programme. Aber privat wuerde ich weder Apple noch Microsoft nutzen wollen. Gerade der Updatezwang hat mit in der Vergangenheit auch immer bei Windows gestoert, wobei der Otto-Normal-Nutzer ohne diesen Zwang vermutlich keine Updates installieren wuerde.
 
AFAIK Scant Google @midnight nur bei Nutzung der Cloudfunktion, aber nicht lokal, Apple hatte das für alle Geräte lokal geplant und ist dann erst nach sehr viel kritik wieder zurückgerudert. Ob Apple in der Cloud inzwischen Scant weiß ich nicht.
Das liest sich hier anders: https://www.googlewatchblog.de/2025...ktbildern-funktion-wurde-ungefragt-aktiviert/

Jetzt wurde bekannt, dass dieser SafetyCore unter anderem dazu in der Lage ist, Nacktfotos zu erkennen und entsprechend darauf zu reagieren. Und zwar nicht in der Cloud, sondern in der persönlichen Galerie des Nutzers. Nach Bekanntwerden hat sich Google dazu geäußert und mitgeteilt, dass dieser Scanner unter anderem von Google Messages verwendet wird, um die Nutzer vor eingehenden Nacktbildern zu warnen und diese erst nach einer Bestätigung anzuzeigen. Löbliche Funktion, aber sicherlich mit fraglicher Umsetzung.
 
Neulich Bitlocker. Geknackt in 43 Sekunden.
Du meinst sicherlich Windows BitLocker: Screwed without a Screwdriver
Diese Art von Angriffen lassen sich gut mit pre-boot-PINs verhindern. Aber ja, man muss Microsoft vorwerfen, das die nicht wenigstens zum default machen.
Aber mehr als Microsoft. Die sammeln definitiv mehr Daten und sind voll von Pannen, Lecks und Fehlern.
Ich bin hier weit weg davon Microsoft zu verteidigen.
Mir ist nur Apple bei Deiner Apple-vs-Microsoft-Betrachtung zu gut weggekommen. :-)

Sorry aber finde mal Belege dass du als Apple Kunde immer wieder gef… wurdest.
Das werden sie in erster Linie durch Apple. :-)
Das sieht man insbesondere dann, wenn man sich die Gewinnmargen so anguckt. Die erreicht man sonst nur bei nvidia oder durch den Verkauf illegaler Substanzen. :-)

Es ist Apples gutes Recht, ein eigenes Ökosystem aufzubauen
Das können die halten wie die wollen. Aber es ist halt das gute Recht eines jeden, diesen goldenen Käfig zu kritisieren.

Otto-Normal-Nutzer ohne diesen Zwang vermutlich keine Updates installieren wuerde
Wobei man da unterscheiden sollte zwischen Updates und Upgrades. Und zumindest im Privatbereich forciert Microsoft das ja auch bei Upgrades.
Und ja. Die Nutzer muss man vielleicht auch zwingen. Aber wenn Updates nicht am laufenden Bande was kaputt machen würden, bräuchte es den Zwang vielleicht gar nicht. :-)
 
Sowohl Apple als auch Microsoft sind US Firmen.
Obwohl ich glaube, diesen Einwand zu verstehen und auch durchaus bereit bin, ihn zu teilen, greift der, glaube ich, zu kurz.
Ist nicht irgendwie das gesamte Internet mehr oder weniger in der Hand der USA?
Liegt nicht Berkeley im Land der unbegrenzten Möglichkeiten und lebt und arbeitet nicht auch Linus dort irgendwo?

Die Verteidiger der Freiheit und Hüter von Recht und Ordnung müssen heute gegen internationale Verbrecher-Banden und Terroristen kämpfen. Ich glaube, wir sollten einen ähnlichen Blickwinkel entwickeln und in Anwendung bringen.

Denn, ich zumindest fürchte die Aktivitäten privater Datensammler bedeutend mehr, als die Überwachungswut irgendwelcher Regierungen, was nun aber bitte nicht heißen soll, dass ich letztere nicht ebenfalls verurteile.
Und damit sind für mich dann zwar die verschiedenen Betriebssysteme nicht ganz raus und keineswegs frei gesprochen, besonders, wenn sie sich beharrlich weigern, uns offen ihren Code zu zeigen, aber weitaus bedeutender werden all die vielen kleinen und größeren Anwendungen, die man zusätzlich irgendwie installieren kann und die dann oft vollkommen ignorant von irgendwoher aus dem Netz als Binary gezogen werden. So lange es nur irgendwie läuft... und natürlich habe ich der Lizenz zugestimmt..., sonst geht es ja nicht weiter. Wie, diese Anwendung will Administrator-Rechte? Lästige Frage, natürlich gebe ich das frei, ich will ja das (vermeintlich) kostenlose Erlebnis haben.

Sowohl Apple als auch Microsoft sind AktienGesellschaften und das bedeutet, dass sie nur und ausschließlich dem Zwang unterliegen, möglichst viel Geld zu verdienen oder zumindest die Bilanz so aussehen zu lassen, als wenn sie viel Geld verdienen könnten. Sie sind keinesfalls verpflichtet, den Moralvorstellungen irgendwelcher Christenmenschen zu genügen, die da glauben, dass Reichtum den Charakter eines Menschen verderben kann und dass wir besser tun, einander zu lieben und gegenseitig zu helfen, als uns zu übervorteilen. Das betone ich deshalb in dieser Art und Weise, weil besonders wir in Mitteleuropa durch die Jahrhunderte in christlichem Glauben erzogen wurden und uns mit den Vorstellungen eines rein kapitalistisch geprägten Denkens womöglich schwer tun.
Genau dies müssen wir aber meines Erachtend hier aufwenden und in die Waagschale werfen.

Es wurde da ein schier unglaublicher Markt geschaffen, der mit unseren persönlichsten Daten arbeitet und Geschäft generiert.
Das ist in meinen Augen der pure Wahnsinn und wenn ich jünger wäre, würde ich vielleicht auch anfangen "NutzerDaten" zu generieren (etwa durch bots) um diese dann an Firmen zu verkaufen, die darauf ihre Werbestrategien ganz gezielt ausrichten. Der xyz.user liebt Pizza? Dann schalten wir mal entsprechende Werbung für den und wenn die Werbung dann auch noch Erfolg hat, weil xyz.user einen entsprechenden Kommentar abgibt oder so, hagelt es Pfennige.
Das hört sich recht lustig an, ist aber extrem bedenklich.
Denn, wenn (schräg konstruiert) ein Gesetz den Genuss von Pizza Hawaii verbietet und ich aber unbedarft weiter positive Kommentare zur Qualität der Pizza Hawaii veröffentliche (oder dies ein bot für mich macht), kann ich ja in Bedrängnis kommen. Bedrängnis kann nun wieder ausgenutzt werden und ein Schweigegeld von mir erpresst werden und so weiter.
Deshalb, oder besser, aus so ähnlichen Gründen, wollen wir das lieber nicht, dass irgendwelche Daten von uns gesammelt werden, schon gar nicht von dubiosen Firmen und Vereinigungen.

OK. Wir wollen das also nicht.
Was kann man da tun?
Ich sage bewusst nicht, was kann man dagegen tun, denn da gibt es diverse Programme, die Schutz versprechen und manche Betriebssysteme kommen in der Bewertung besser weg, als andere, aber alles ist und bleibt dann doch Vertrauenssache.
Ist das so?
Aus meiner Sicht ist das so!
Ich muss vertrauen können, denn ich kann es nicht wirklich selbst begreifen und messen und erfassen.
Nun denn, wem vertraue ich mehr? Wem am Meisten?
Microsoft?
Apple?
Amerikanischen Aktiengesellschaften?
Ich vertraue am meisten OpenSource!

Das heißt nun nicht, dass alles gut ist, was OpenSource genannt wird. Aber zumindest trauen die Hersteller von OpenSource-SW sich, ihren Code zu veröffentlichen!!!
WoW.
Ich glaube, das kann man vor dem zuvor beschrieben Hintergrund gar nicht hoch genug schätzen!

Man stelle sich vor, dass ein Bösewicht einen fiesen Code geschrieben hat und in eine SW einbringt.
Würde der sich trauen, den zu veröffentlichen?
Umkehrschluss: warum trauen sich die Aktiengesellschaften Apple und Microsoft dies nicht?
Ich glaube nicht, das diese Firmen böse sind und sich deshalb nicht trauen, weiß das aber auch nicht. Niemand kann es wirklich wissen, weil sie eben ein Geheimnis daraus machen, wie sie funktionieren.
Mich persönlich widert das an und ich kann dem gar kein Vertrauen entgegen bringen und nutze weder diese Systeme, noch sonstige verschlossene SW.

Würde ich diese proprietären Systeme benutzen müssen, würde ich versuchen, darauf ausschließlich OpenSource-SW zu installieren.
Nicht, weil diese besser ist, das kann sie ja niemals sein, sondern, weil ich mich damit besser fühle, weil mein Vertrauen größer ist in SW, deren Quellcode für jeden offen liegt und weil meine Sympathie mit Leuten ist, die ihr Wissen freigiebig mit allen teilen.
Aber, ich muss das proprietäre Zeug ja nicht nutzen (so gut wie nie).

Würden die AGs nun plötzlich bankrott gehen und man ihre Systeme nicht mehr anmieten können, alle Lizenzen verfallen und keine weitere SW entwickelt werden, nun, dann würde ich das gar nicht mal sofort bemerken. Es würde mich kaum berühren, was ich für mich einen durchaus wichtigen Punkt nenne. Sollen diese Firmen ihre Geheimnisse getrost mit ins Grab nehmen, ich bin froh, fühle mich besser, wenn ich davon unabhängig arbeiten kann.

Deshalb ist mir das auch recht egal, wie gut oder schlecht Apple vs Microsoft und so weiter abschneidet.
So lange die nicht OpenSource sind, traue ich denen nicht und weigere mich so gut es geht, eines davon zu benutzen.
 
Sowohl Apple als auch Microsoft sind AktienGesellschaften und das bedeutet, dass sie nur und ausschließlich dem Zwang unterliegen, möglichst viel Geld zu verdienen oder zumindest die Bilanz so aussehen zu lassen, als wenn sie viel Geld verdienen könnten. Sie sind keinesfalls verpflichtet, den Moralvorstellungen irgendwelcher Christenmenschen zu genügen
Ja aber Firma ist nicht gleich Firma. Genau da liegt der Fehler, alle unter einem Kamm zu scheren. Tim Cook ist nicht Steve Jobs, ist nicht Steve Ballmer, ist nicht Larry Ellison. Verschiedene Menschen, verschiedene Unternehmensphilosophien.
So lange die nicht OpenSource sind, traue ich denen nicht und weigere mich so gut es geht, eines davon zu benutzen.
Gefährlich. Auch OpenSource kann kompromittiert sein! Erinnerst du dich an Malware-Verseuchte Linux Mint Images? Oder angeblich gab es im Ubuntu Snap Store auch schon Malware. Und… weißt du ob deine Lieblingsanwendung aus den FreeBsD Ports gründlich auf Hintertüren, etc. gecheckt wurde? Wie viele nutzen FreeBSD und schauen sich die ganzen Quellcodes an?
 
ich bin froh, fühle mich besser, wenn ich davon unabhängig arbeiten kann.
Naja und ich bin eben auch froh, dass es OpenSource gibt. Ohne DRM, ohne Beschränkungen. Ich nutze es kaum aber es ist und bleibt ein „Rettungsanker“, z. b. wenn es kommerzielle Software nur noch als Abo gibt, oder die Software nur mit einer Internetverbindung vernünftig funktioniert. (Z.B. Wondershare Filmora; direkt wieder deinstalliert, da Abo und zahlreiche Funktionen die nur Online gehen.)
 
Gefährlich. Auch OpenSource kann kompromittiert sein! Erinnerst du dich an Malware-Verseuchte Linux Mint Images? Oder angeblich gab es im Ubuntu Snap Store auch schon Malware. Und… weißt du ob deine Lieblingsanwendung aus den FreeBsD Ports gründlich auf Hintertüren, etc. gecheckt wurde? Wie viele nutzen FreeBSD und schauen sich die ganzen Quellcodes an?
diese Zeilen spornen mich an, das Thema zumindest ein klein wenig in eine andere Richtung auf zu fächern.
Zunächst: ich habe nie das Gegenteil gesagt und würde mich dazu auch nicht befugt sehen, weil ich eben zu jenen gehöre, die nicht in Quellcodes lesen. Von wenigen Ein-Mann-Projekten mal abgesehen, gibt es aber fast immer ein Team von Leuten, die an SW-Projekten arbeiten und deshalb auch den Code lesen. Die Wahrscheinlichkeit ist deshalb schon geringer, ein divers zusammengesetztes Team, komplett auf die Seite des Bösen zu ziehen. Die Möglichkeit besteht natürlich durchaus und man kann sich sogar vorstellen, dass zB einige staatliche Russen-Hacker genau so etwas probieren, ist ja auch zu verlockend. Nur, sie und alle anderen Bösen gehen natürlich dabei das wesentlich größere Risiko ein, dass ihr Treiben im offenen Quellcode entdeckt wird. Meine Frage ist, ob sich die das überhaupt trauen?
Schon alleine wegen der Behauptung, dass OpenSource mitgelesen werden kann, scheint es mir in dieser Weise sicherer zu sein, obwohl ich ausdrücklich darauf hinweise, dass diese Entscheidung bei mir Gefühlssache ist und sich dieses Gefühl durchaus noch aus anderen Komponenten nährt, als der vermeintlichen Sicherheit von OpenSource.

Ja im Gegenteil.
Die bloße Behauptung, dass etwas alleine deshalb sicher ist, weil OpenSource darauf steht, führt womöglich zu einem sträflichen Leichtsinn.
"mir doch egal! Ich benutze Linux, da bin ich doch sicher..." oder so ähnlich kann man das von manchen Anwendern durchaus hören, die sich ihre ersten Millimeter über den MS & Apple Horizont erhoben haben.
Nein! So ist das eben nicht!
Hier wird durch falsch verstandene Behauptungen ein nicht gerechtfertigtes Vertrauen geschaffen, das den Nutzer verleitet, allzu sorglos zu bleiben.
Ganz praktisch war ich einige Jahre in einem Knoppix-Forum unter Wegs. Knoppix ist ein Live-Linux-System, das als DVD-Image daherkommt und sich aber auf USB-Sticks am wohlsten fühlt. Es wird (wurde, denn es scheint abgestorben zu sein) mit sehr positiven Eigenschaften gerade hinsichtlich Internet-Sicherheit beschrieben. Wenn es nun ein neues Knoppix geben sollte, hatte der Schöpfer häufig eine Art Vorab-Version in einem Linux-Magazin veröffentlicht. Man musste also Geld für das Magazin bezahlen und erhielt dafür eine DVD mit Knoppix dazu. Geld bezahlen tut ja weh, weshalb sich auch hier sofort ein Markt ergab: einer kauft das Magazin und kopiert dann die DVD auf USB-Sticks, die man alsdann entsprechend im Internet anbietet. Wie legal das ist, will ich gar nicht erst erörtern, aber diese Sticks kosten teilweise dann mehr, als das Magazin gekostet hätte und einige Monate später erscheint dann ja das Image des neuesten Knoppix auch zum kostenlosen Download auf den bekannten Servern. Man mag es nicht glauben, dass trotzdem Leute diese Sticks kauften und: benutzten!
Eigentlich sollten wir doch inzwischen die Art Allgemeinbildung besitzen, nicht irgendeinen gefunden Stick mal schnell in den eigenen PC zu stecken, oder?
Hier wurde der Stick nicht gefunden, sondern gekauft und wenn man doch dafür bezahlt hat...
Knoppix ist ein Live-System. Es ist dafür gemacht, an einem PC zu booten. Wer kann so einfältig sein, einen Stick irgendwo im Internet zu kaufen und seinen PC damit zu booten? Weil jemand behauptet, es ist ja Knoppix darin?
Leider verhalten wir uns nur allzu oft in dieser arglosen Weise, auch und vielleicht gerade dort, wo dies gar nicht angebracht ist. "ich will einen Film ansehen" "ei, dafür gibt es VLC, findet sich im Internet". Dann wird gesucht, gefunden, auf eine exe-Datei geklickt und bei Bedarf auch entsprechende Berechtigung zum Verändern des Systems erteilt. Sicherheit? Lachhaft, der Kumpel hat es doch gesagt: nimm VLC, das ist OpenSource und kostet auch nichts.

Im Grunde kann ein derartiges Verhalten vieler Leute nur als IT-unreif bezeichnet werden und natürlich gibt es Bösewichter, die genau das ausnutzen möchten und die positive Strahlwirkung der Begriffe Linux und OpenSource für ihre Attacken misbrauchen.

Weiter vorne hatte ich von Vertrauen gesprochen.
Nun, ich bin aus mancherlei Gründen bei FreeBSD gelandet und hier geblieben, doch Vertrauen in die Mechanismen habe ich nicht deshalb entwickelt, weil mir das bunte beasty so gut gefällt. Die Mechanismen, wie hier etwas passiert und SW zur Verfügung gestellt wird, sind offen beschrieben und zeigen, meiner Meinung nach, ein wohl durchdachtes Konzept, mit einem vertretbaren Restrisiko, das ich durch eigenes Verhalten zusätzlich beeinflussen kann.
pkg install vlc ist um dermaßen viel besser und sicherer, als irgendeine .exe down zu laden, weil sie VLC benannt ist und dann diese Datei auch noch zur Ausführung zu bringen.
Es ist, zumindest nach meiner bescheidenen Meinung auch besser, als in einem grafischen Installer, etwa in einem Ubuntu, irgend ein Icon mit Namen VLC zu klicken und nicht zu wissen, was jetzt eigentlich passiert. Wird ein Paket aus dem Ubuntu eigenen Repositry genommen, wird ein Flat-Pack genommen, wird aus Fremdquellen installiert oder sogar aus dem Quellcode? Ich habe lange kein Ubuntu benutzt und will das Beispiel nur exemplarisch konstruieren und nicht behaupten, dass es der Wirklichkeit entspricht. Es entspricht aber der Denkweise von Ubuntu: Endanwender-Ready und der Endanwender soll ja da gar nicht viel wissen und fragen, sondern einfach und schnell zum Erfolg kommen. Das bildet in mir nicht die Grundlage für ein Vertrauen, wie ich es für FreeBSD entwickelt habe.

Also ganz klar: nur weil OpenSource drauf steht, sollte man nicht leichtsinnig und kopflos handeln und nicht ungerechtfertigt einfach vertrauen.
Wenn aber noch nicht mal OpenSource drauf steht, kann ich die Einstiegshürde zu einem möglichen Vertrauen kaum überwinden.
 
Gefährlich. Auch OpenSource kann kompromittiert sein!
Natürlich weiß man das nicht. Aber die Wahrscheinlichkeit das das passiert, würde ich mal als geringer einschätzen. Eben weil es offen ist.

Und… weißt du ob deine Lieblingsanwendung aus den FreeBsD Ports gründlich auf Hintertüren, etc. gecheckt wurde? Wie viele nutzen FreeBSD und schauen sich die ganzen Quellcodes an?
Und wer schaut sich das bei Closed-Source-Software an? Wenn die sich nicht gerade ein externen Quelltext-Audit unterziehen, gar nicht (und wenn, dann bedeutet das ja noch lange nicht, das die Ergebnisse veröffentlicht werden; i.d.R. werden sie es nicht).
Den Vertrauensvorsprung hat Open-Source nicht deshalb, weil da Schadcode nicht passieren kann, sondern weil die Wahrscheinlichkeit aufgrund der Offenheit geringer einzuschätzen ist.

Nur, sie und alle anderen Bösen gehen natürlich dabei das wesentlich größere Risiko ein, dass ihr Treiben im offenen Quellcode entdeckt wird. Meine Frage ist, ob sich die das überhaupt trauen?
Ja. Die trauen sich das.
-> https://www.heise.de/news/xz-Attack...e-Details-zu-betroffenen-Distros-9671588.html

Die bloße Behauptung, dass etwas alleine deshalb sicher ist, weil OpenSource darauf steht, führt womöglich zu einem sträflichen Leichtsinn.
Ja. Man kann auch noch weitere Sicherheitsmaßnahmen ergreifen. In dem man zum Beispiel Programme "jailed". Das kann man auch mit Closed-Source-Programmen machen. Aber bei Open-Source-Programmen hat man noch die Möglichkeit Dinge was nachträglich reinzupatchen (z.B. mit Capsicum). Das braucht natürlich wieder Know-How, aber immerhin hat man bei Open-Source die prinzipielle Möglichkeit.
 
das hat mich ja wirklich betroffen gemacht. Also, nicht etwa, dass so etwas wirklich passiert ist, sondern wie genau das meinem paranoiden Gedankengang zu möglichem Missbrauch folgt.
Ich zitiere mal aus einem der begleitenden Beiträge zu dem Link:
Die Security-Szene ist derweil weiter in Alarmstimmung. Dass ein Unbekannter mithilfe möglicherweise gefälschter Spießgesellen die Kontrolle über ein Open-Source-Projekt übernehmen und Schadcode einschleusen kann, wirft ein Schlaglich auf die prekäre Situation vieler, vor allem kleinerer Projekte. Dass ein einzelner Projektbeteiligter die Verantwortung für den gesamten Programmcode trägt und das ehrenamtlich, ist keine ungewöhnliche, doch aber eine potenziell schädliche Situation.
Und dieser Position aus einer anderen Stelle kann ich da nur zustimmen:
Rufe nach mehr Unterstützung für Open-Source-Projekte werden nun lauter. Der Entwickler der Python-Netzwerkbibliothek Twisted schrieb dazu auf Mastodon, er hoffe wirklich, die übliche Praxis, sein "gesamtes gottverdammtes Produkt auf den Schultern einer überarbeiteten Person ruhen zu lassen, die langsam einen Nervenzusammenbruch bekäme, ohne diese finanziell oder strukturell irgendwie zu unterstützen" würde nun in der gesamten Branche auf den Prüfstand gestellt.

Die Antwort auf solche Vorfälle lautet: mehr OpenSource und besseres OpenSource.
Die Antwort lautet in keinem Fall: weg von OpenSource, weil es doch mal unsicher sein kann.
denn:
Und wer schaut sich das bei Closed-Source-Software an?
oder frei nach Terry Pratchett: wer bewacht die Wache? Das darf nicht an den Händen eines Einzelnen kleben. Wir alle müssen wachsam sein und das können wir doch überhaupt nur dann, wenn die Quellen der SW offen liegen, die wir überwachen wollen.
 
dieser Position aus einer anderen Stelle kann ich da nur zustimmen
Ja. Besonders verwerflich finde ich das, wenn Open-Source-Software von vielem Firmen genutzt wird (die damit ja auch ne Menge Geld sparen), aber dann keine Unterstützung zurück kommt (insbesondere wenns Firmen mit dicken Gewinnmargen sind). Klar. Gezwungen sind sie dazu nicht. Aber moralisch finde ich das schon fragwürdig. Und ist letztlich ja auch doof, weil die sich ja damit auch selbst gefährden.
Ich könnte mir vorstellen, da steckt auch manchmal die Denke hinter:
"Wenn wir hier jetzt investieren und die Open-Source-Software unterstützen, dann profitieren nicht nur wir, sondern auch alle anderen (im Zweifel auch die direkte Konkurrenz) von unser Investition".
 
Es ist, zumindest nach meiner bescheidenen Meinung auch besser, als in einem grafischen Installer, etwa in einem Ubuntu, irgend ein Icon mit Namen VLC zu klicken und nicht zu wissen, was jetzt eigentlich passiert. Wird ein Paket aus dem Ubuntu eigenen Repositry genommen, wird ein Flat-Pack genommen, wird aus Fremdquellen installiert oder sogar aus dem Quellcode?
Das wird dir im AppStore von Ubuntu angezeigt. Also Snap oder deb.

Snap ist im Übrigen ähnlich restriktiv wie die iOS und Android Apps, also imho sicherer als nicht-jailed FreeBsD Apps.


Endanwender-Ready und der Endanwender soll ja da gar nicht viel wissen und fragen, sondern einfach und schnell zum Erfolg kommen. Das bildet in mir nicht die Grundlage für ein Vertrauen, wie ich es für FreeBSD entwickelt habe.
Mir wäre neu, das Ubuntu intransparent wäre. Der Anwender kann alles wissen, wenn er es möchte. Dass so vieles oob funktioniert spricht für Ubuntu. Nerds-Linuxe gibt es genug.
 
Snap ist im Übrigen ähnlich restriktiv
Ja. Man kann ja im Einzelnen sicherlich hier und da Kritik üben, aber der grundsätzliche Trend Programme so zu sandboxen und das auch in einer Weise, das es für den Nutzer angenehm/einfach zu benutzen ist, ist zu begrüßen.
Gibt ja i.d.R. auch keinen Grund, warum mein Musikplayer auf meine Textdokumente zugreifen können soll. Und dann ist das ja nur konsequent, dem das zu verbieten, das wenn der mal exploitet wird dann vielleicht meine Musiksammlung weg ist, aber nicht meine Doktorarbeit an der ich gerade schreibe.

jailed FreeBsD Apps
Apropos:
Wenn hier irgendwie breiteres Interesse besteht, würde ich mal ein How-To schreiben, wie man relativ einfach (Desktop-)Programme in eine Jail packen kann, um die abzusichern.

Um mal ein bisschen Fore-Shadowing zu betreiben, mein Ansatz ist da nicht irgendwie eine Full-Jail mit eigenen Base-System zu machen, sondern ad-hoc eine Jail beim Start des sandboxed-Programm zu erstellen, bei dem die benötigten Verzeichnisse aus dem Host-System eingeblendet werden.
Das isoliert nicht so stark wie eine "Full-Jail", ist aber dafür relativ einfach zu realisieren und muss muss nicht großartig viel machen.
 
Ich wollte demnächst mal versuchen, so etwas wie AppImage für FreeBSD zu bauen, falls das jemanden hier interessieren würde. Aber ich bin schon daran gescheitert, rquickshare zu bauen. Wieder Fehlermeldungen und leider keine Energie meinerseits, dem nachzugehen, und weitere Zeit zu opfern.

Wenn hier irgendwie breiteres Interesse besteht, würde ich mal ein How-To schreiben, wie man relativ einfach (Desktop-)Programme in eine Jail packen kann, um die abzusichern.
Also ich nutze zwar aktuell kein FreeBsD aber interessieren würde es mich, wenn in der Jail dann auf jeden Fall auch alle Abhängigkeiten sind, so dass ich es als Äquivalent zu einem Snap sehen kann. Also das Programm somit auch überlebt, obwohl es oder Abhängigkeiten davon nicht mehr maintained/weiterentwickelt werden.


und das auch in einer Weise, das es für den Nutzer angenehm/einfach zu benutzen ist, ist zu begrüßen.
Und was eben auch zu begrüßen ist, dass die Programme nicht mehr so mit dem System verzahnt sind, was Abhängigkeiten angeht. Somit kann ich ein stabiles Ububtu LTS haben oder halt ein Enterprise Linux mit Älteren aber ausgereiften Komponenten und trotzdem neuer Software. Das waren vor Snap und Flatpak echt Sachen, die einfach blöd an Linux waren.
 
Ich wollte demnächst mal versuchen, so etwas wie AppImage für FreeBSD zu bauen, falls das jemanden hier interessieren würde.
Erzähl mir mal mehr darüber.
Also wie Du das ungefähr machen willst und wie das dann funktionieren soll.

Orientiert sich das an dem AppImage, welches man aus der Linux-Welt kennt? Wo man quasi ein Skript hat, was embedded ein Image hat welches on-the-fly gemountet wird?
(btw.: es gibt tarfs, was möglicherweise für solche Fälle ganz praktisch wäre, weil dann das Image eine normale tar-Datei sein kann)

wenn in der Jail dann auf jeden Fall auch alle Abhängigkeiten sind
Nein. In die Richtung soll es eigentlich nicht gehen. Es geht darum, ein vorhandenes und bereits installiertes Programm zu sandboxen.
Das was Du Dir wünschst, geht eher so in Richtung AppJail (wobei auch das mehr macht/kann, als man dafür braucht).

Das FreeBSD-Wiki hat auch eine kleine Übersicht, was so Container-Lösungen für FreeBSD angeht:

Und was eben auch zu begrüßen ist, dass die Programme nicht mehr so mit dem System verzahnt sind, was Abhängigkeiten angeht.
Ja. Wobei das Hit & Miss ist. Ja. Die Anwendungen sind robuster, weil ein Library-Update nicht die Applikation kaputt machen kann. Oftmals hat man dann auch die Möglichkeit ein Rollback zu machen, wenn der Container geupdatet wird.

Aber das erkauft man sich mit höheren Ressourcenbedarf (gut; da kann man ja sagen: Platz hat man heutzutage meist genug). Und man tritt sich auch gerne mal ein Sicherheitsproblem ein. Eben weil dann Bibliotheken vielleicht nicht mehr konsequent geupdatet werden und dann steht man möglicherweise plötzlich mit einem angreifbaren Programm da, weil das irgendwie 'ne uralt-Version von libpng (oder was auch immer) mitliefert.

Kurzum: Das steht und fällt dann halt auch sehr damit, wie gut die Container gepflegt werden und Du kannst auch nicht mal eben unkompliziert mit 'nem pkg audit (um mal im FreeBSD-Jargon zu bleiben) nachschauen.
 
Orientiert sich das an dem AppImage, welches man aus der Linux-Welt kennt? Wo man quasi ein Skript hat, was embedded ein Image hat welches on-the-fly gemountet wird?
Ja


Und man tritt sich auch gerne mal ein Sicherheitsproblem ein. Eben weil dann Bibliotheken vielleicht nicht mehr konsequent geupdatet werden und dann steht man möglicherweise plötzlich mit einem angreifbaren Programm da, weil das irgendwie 'ne uralt-Version von libpng (oder was auch immer) mitliefert.
Das liest man zwar immer wieder und es gibt sicherlich auch prominente Beispiele, aber meistens gehört doch einiges dazu um eine Lücke auszunutzen und dabei wirklich Schaden anzurichten. Ich würde auch sagen, ein Desktopnutzer ist da immer noch ein wesentlich entspannterer Fall als ein 24/7 Server.


Also wie Du das ungefähr machen willst und wie das dann funktionieren soll.
Mit einem Verzeichnis und einer Umgebungsvariable. Ich nehme mir dafür mal ne Stunde Zeit bei einem Kaffee, mal sehen ob es was brauchbares wird.

Habe grad n Rechner da mit ner FreeBSD VM, daher meine kleinen Experimtierausflüge
 
Zurück
Oben