10 Jahre iPhone

[Julius]

Hallo Marc,

Es geht mir nur darum zu verstehen, warum OSS in der Praxis sicherer sein soll - ich kann das nicht wirklich sehen. Ich halte es für ein Wunschdenken.

Ich habe gerade noch ein Beispiel dafür entdeckt, dass die Verfügbarkeit des Quellcodes eine Verbesserung der Sicherheit bedeutet bzw. bedeuten kann, wenn jemand etwas damit macht.

Hier wurde OpenSSL ein Jahr nach Heartbleed „gefuzzt“, es wurden zufällige Eingabedaten ausprobiert und getestet, ob die zu testende Software – hier OpenSSL – korrekt darauf reagiert. Dafür war allerdings der Zugriff auf die Quellen nötig. Das interessante hieran ist, dass das Fuzzing-Tool gar nicht wissen muss, wie die zu testende Software konkret funktioniert und was sie als Dateiformat erwartet und dass mithilfe von Fuzzing Heartbleed recht schnell „wiederentdeckt“ werden konnte (ohne, dass die Fuzzing-Software von Heartbleed „wissen“ musste).

Gruß
Julius