Wie kann OpenSource sicherer sein als kommerzielle Software?

[Alexander Foken]

Moin Moin !

Hintertüren sind nicht das einzige Software-Problem:

void fox(void)
{
   char a[10]="";
   strcpy(a,"The Quick Brown Fox Jumps Over The Lazy Dog");
   puts(a);
}

a ist zu klein, strcpy weiß nicht, wie groß a ist. Ergebnis ist ein Buffer Overflow und (in komplexeren Programmen) ein mögliches Sicherheitsloch.

In Closed Source Projekten fällt sowas den paar Leuten auf, die für Qualitätskontrolle zuständig sind. Oder eben auch nicht.

In Open Source Projekten fällt das vielleicht auch jemandem auf, der nur mal so rumstöbert, der den Fehler sucht, oder der schlicht den Quelltext als Testobjekt für eine Forschungsarbeit (http://www.stanford.edu/~engler/p401-xie.pdf) nutzt.

Fehler in Closed Source Projekten muß man mit einem neuen Binary ausbügeln (oder einem Patch-Programm für Binaries), das dauert.

Fehler in Open Source Projekten kann man in Form einer diff-Datei ausbügeln, die man mit patch auf den Quelltext anwendet. Das funktioniert innerhalb von Stunden.

Und übrigens: Auch kommerzielle Software kann Open Source sein, genauso wie nicht kommerzielle Software Closed Source sein kann.

Alexander