10 Jahre iPhone

[Julius]

Moin.

In Closed-Source-Software (CSS) gibt es nur den Hersteller und eventuell von ihm Beauftrage, die die Quellen inspizieren können. Der Hersteller fällt als Fehlerfinder in vielen Fällen wegen Betriebsblindheit o.ä. mehr oder minder aus. Bleiben die eventuell hinzugezogenen Begutachter (mit Kenntnis der Quelltexte) und Anwender, denen ein Fehlverhalten auffällt, ohne die Quellen zu kennen.

Aber es gibt doch immer öfters diese Bug-Bounty-Programme, wo das Melden von Fehlern belohnt wird.

Die aber für Sicherheitsforscher, denen es primär ums Geld geht, nicht ausreicht. Beispiel: Für Sicherheitslücken, die es erlauben, ein iPhone zu übernehmen, zahlt Apple etwa 200.000$ (können auch Euro gewesen sein), bei Firmen wie Zimperium, die mit Zero-Days handeln, bekommst du aber Millionen.

Man darf auch nicht vergessen, dass jeder OSS schreiben kann, ohne dass bekannt ist, welche QS überhaupt stattfindet. Vielleicht nicht mehr als "funzt in meinem Lieblingsbrowser" — oder so.

Gibt es bei proprietärer Software aber auch zu Hauf. Eine unseriöse Hinterhofklitsche kann sowohl CSS als auch FLOSS schreiben.

Wenn diese Software von kaum jemandem benutzt wird, schaut vermutlich auch kaum jemand rein und wenn jemand Bugs meldet, die der Programmierer nicht behebt — wer weiß dann davon? Trotzdem haben ggfs. alle Rechner, auf denen die Software läuft, ein Sicherheitsproblem, je nachdem was diese Software da öffnet.

Vielleicht ist der Entwickler längst verstorben, aber immer noch wird die Software von ein paar hundert Anwender weiter genutzt.

Ein große Firma würde die Software vielleicht weiter pflegen oder vom Markt nehmen und eine Warnung rausgeben, die nicht mehr zu nutzen (und statt dessen den supercoolen, sauteuren Nachfolger zu kaufen) — ja auch das ist Wunschdenken… 😉

FLOSS kann (muss aber natürlich nicht!) jeder weiterentwickeln und absichern, auch wenn der Hersteller keinen Bock mehr darauf hat.

Gruß
Julius