Hallo FSFE-Community,
bezugnehmend auf die Meldung "Europäische Kommission will mehr Open Source" [1] kann mit einem dem Betreff entsprechenden Konzept, wie es zum Beispiel auf https://public.pad.fsfe.org [2] steht, sicher den europäischen Institutionen eben diese näher gebracht werden, oder? Ggf. könnte in diesem Zusammenhang das von der Müncher Stadtverwaltung angepasste Ubuntu namens LiMux [3] auch auf die anderen europäischen Verwaltungen übertragen werden.
Die zugrundeliegende Idee des oben verlinkten Konzepts ist: die Entwicklung eines Betriebssystem (Operating System, OS (ausschließlich) für die Verwaltungen des aus momentan 27 (Stand: Dezember 2014) Staaten bestehenden europäischen Staatenverbunds (Europäische Union, EU).
Dazu wurden folgende Fragen gestellt: - Wieso soll die EU ein eigenes Betriebssystem entwickeln? - Wie kann die Wirtschaft Kapital aus dem Betriebssystem ziehen? - Wie soll das Vorhaben umgesetzt werden? - Wie soll das Betriebssystem lizenziert werden? - Welche Programmen sollten enthalten sein? - Sind Vorarbeiten zur Realisierung des Projekts notwendig?
Die Antworten dazu finden sich unter [2]. Stellen, welche in kursiver Schrift gehalten sind, sind eine konkrete Umsetzungsmöglichkeit. Diese könnte sicher noch vereinfacht werden. Das Konzept umfasst momentan rund sechs Seiten und ist sicher noch nicht fertig entwickelt ;).
Sandro Gaycken, Technik- und Sicherheitsforscher an der Freien Universität Berlin, äußerte im Deutschlandradio bereits im Juni 2011, ein "eigenes Betriebssystem zu entwickeln" [4] mit dem oben verlinkten Pad wird dieser Forderung Nachdruck verliehen.
Gruss
BBiwy
Referenzen: [1] http://www.heise.de/open/meldung/Europaeische-Kommission-will-mehr-Open-Sour... [2] https://public.pad.fsfe.org/p/Entwicklung-EuOS-FSFE [3] https://de.wikipedia.org/wiki/LiMux [4] http://www.deutschlandfunk.de/ein-eigenes-betriebssystem-fuer-den-staat.694....
On 14.12.2014 17:55, BBiwy wrote:
Hallo FSFE-Community,
bezugnehmend auf die Meldung "Europäische Kommission will mehr Open Source" [1] kann mit einem dem Betreff entsprechenden Konzept, wie es zum Beispiel auf https://public.pad.fsfe.org [2] steht, sicher den europäischen Institutionen eben diese näher gebracht werden, oder? Ggf. könnte in diesem Zusammenhang das von der Müncher Stadtverwaltung angepasste Ubuntu namens LiMux [3] auch auf die anderen europäischen Verwaltungen übertragen werden.
Die zugrundeliegende Idee des oben verlinkten Konzepts ist: die Entwicklung eines Betriebssystem (Operating System, OS (ausschließlich) für die Verwaltungen des aus momentan 27 (Stand: Dezember 2014) Staaten bestehenden europäischen Staatenverbunds (Europäische Union, EU).
Dazu wurden folgende Fragen gestellt:
- Wieso soll die EU ein eigenes Betriebssystem entwickeln?
- Wie kann die Wirtschaft Kapital aus dem Betriebssystem ziehen?
- Wie soll das Vorhaben umgesetzt werden?
- Wie soll das Betriebssystem lizenziert werden?
- Welche Programmen sollten enthalten sein?
- Sind Vorarbeiten zur Realisierung des Projekts notwendig?
Die Antworten dazu finden sich unter [2]. Stellen, welche in kursiver Schrift gehalten sind, sind eine konkrete Umsetzungsmöglichkeit. Diese könnte sicher noch vereinfacht werden. Das Konzept umfasst momentan rund sechs Seiten und ist sicher noch nicht fertig entwickelt ;).
Sandro Gaycken, Technik- und Sicherheitsforscher an der Freien Universität Berlin, äußerte im Deutschlandradio bereits im Juni 2011, ein "eigenes Betriebssystem zu entwickeln" [4] mit dem oben verlinkten Pad wird dieser Forderung Nachdruck verliehen.
Gruss
BBiwy
Referenzen: [1] http://www.heise.de/open/meldung/Europaeische-Kommission-will-mehr-Open-Sour... [2] https://public.pad.fsfe.org/p/Entwicklung-EuOS-FSFE [3] https://de.wikipedia.org/wiki/LiMux [4] http://www.deutschlandfunk.de/ein-eigenes-betriebssystem-fuer-den-staat.694....
Es gibt bereits ein Freies Betriebssystem, nämlich GNU. Das hat eigentlich alles, was ein Betriebssytem braucht und kann mit verschiedenen Kerneln (Linux, kFreeBSD, Hurd) betrieben werden. Da es modular aufgebaut ist, kann evt. man fehlende Teile ergänzen oder Teile, auch den Kernel, durch bessere Programme ersetzen.
In GNU und den Kerneln stecken sicherlich Mann-Stunden im Millionenbereich, und sie sind gut getestet und ausgereift. Was spricht also gegen GNU?
Was man braucht sind sogenannte Fachanwendungen mit guten Anpassungs- und Lokalisationsmöglichkeiten. Hier ist Limux für eine deutsche Stadtverwaltung sicherlich vorbildhaft. In diesem Bereich sollte mehr Freie Software geschaffen werden, die auch unter GNU+Freiem Kernel läuft.
Das ist leider mühsam und nicht sehr "sexy" und dabei wird man gerade auch etablierten europäischen Mittelständlern "auf die Füsse treten müssen".
Gruß Michael
RA Stehmann schrieb:
On 14.12.2014 17:55, BBiwy wrote:
Die zugrundeliegende Idee des oben verlinkten Konzepts ist: die Entwicklung eines Betriebssystem (Operating System, OS (ausschließlich) für die Verwaltungen des aus momentan 27 (Stand: Dezember 2014) Staaten bestehenden europäischen Staatenverbunds (Europäische Union, EU).
Es gibt bereits ein Freies Betriebssystem, nämlich GNU. Das hat eigentlich alles, was ein Betriebssytem braucht und kann mit verschiedenen Kerneln (Linux, kFreeBSD, Hurd) betrieben werden. Da es modular aufgebaut ist, kann evt. man fehlende Teile ergänzen oder Teile, auch den Kernel, durch bessere Programme ersetzen.
In GNU und den Kerneln stecken sicherlich Mann-Stunden im Millionenbereich, und sie sind gut getestet und ausgereift. Was spricht also gegen GNU?
Ja, die Wortwahl ist nicht besonders gut. Was hier tatsächlich vorgeschlagen wird, ist gar kein neues Betriebssystem, sondern eher eine speziell angepasste Distribution.
Allerdings erscheint mir auch das nicht besonders sinnvoll. Für staatliche Aufgaben brauchen wir weder ein neues OS, noch eine neue Distro. Zum Beispiel Debian ist doch super. Wenn man auf eine deutsche Distro setzen will, dann halt SuSE. Und wenn man irgendwelche strengen Regularien erfüllen muss, dann gibt es auch darauf spezialisierte Distros (SLES, RHEL).
All das sind sehr gute Ausgangspunkte. Weitere Anpassungsarbeiten sollte man eigentlich von der Distro trennen können (als Konfiguration).
Was man braucht sind sogenannte Fachanwendungen mit guten Anpassungs- und Lokalisationsmöglichkeiten. Hier ist Limux für eine deutsche Stadtverwaltung sicherlich vorbildhaft.
Dem stimme ich vollkommen zu. Die Fachanwendungen sind der eigentliche Knackpunkt.
Das ist leider mühsam und nicht sehr "sexy" und dabei wird man gerade auch etablierten europäischen Mittelständlern "auf die Füsse treten müssen".
Leider.
Gruß Volker
Hallo.-
Am 15.12.2014 um 16:28 schrieb Volker Grabsch:
Ja, die Wortwahl ist nicht besonders gut. Was hier tatsächlich vorgeschlagen wird, ist gar kein neues Betriebssystem, sondern eher eine speziell angepasste Distribution.
Das Zitat im Text spricht aber klare, gegenteilige Worte:
| Aus diesem Grund ist hier die European Union Public Licence (EUPL | v.1.1) [3] (Lizenztext [4]) als bevorzugte Lizenz zu verwenden, wenn | es sich um eine komplette Eigenentwicklung mit eigenem Kernel | handelt.
Auch wenn da "wenn" steht, so suggeriert der Text das doch (nicht nur in diesem Satz) als einen gangbaren Weg. Als ich diese Passagen gelesen habe, verflog in mir der Glaube dass der Text ernst gemeint ist. :)
Generell finde ich so einen Ansatz gar nicht so verkehrt, aber man muss natürlich generell anstreben so wenig wie möglich neu zu programmieren und wann immer es geht eine Integration vorhandener Software vornehmen. Nur dann hat man brauchbare Interoperabilität und nur dann kann das Projekt auch von unterschiedlichen Dienstleistern betreut werden.
Gruß, Bernd
Hintergrund dieser Idee ist, wie sie Sandro Gaycken im Juni 2011 bereits formulierte, ein "eigenes Betriebssystem zu entwickeln" [1]. Daneben will ich einen Anstoss geben, "[...]dass[...]eine ganze Reihe von Konzepten überhaupt[...]neu entwickelt werden müssen." [2] Was nun mal das verwendete Betriebssystem mit einschließt.
Es geht in diesem Konzept darum eine Plattform zu entwickeln, um die Unabhängigkeit und Sicherheit zu gewährleisten, damit z. B. keine Daten abgegriffen von irgendjemanden, sei es amerikanische Firmen, etwaige staatliche Institutionen (außerhalb Europas) oder Dritte, werden. Im Endeffekt müssen die Deutschen und/oder die EU "eigene Strukturen anfangen anzuschaffen, das ist auch schon aus Sicherheitsperspektive geboten, dass wir also nicht mehr abhängig sind von amerikanischer und chinesischer IT, wo halt eben jeder mit reingucken kann." [3] Dies kann mit dem Konzept gemacht werden.
Auf Seiten des Bundestages gibt es eine Niederschrift über ein "[ö]ffentlichen Fachgespräch des Ausschusses "Digitale Agenda" des Deutschen Bundestages zum Thema "IT-Sicherheit"" [4], wo nach das bisher angewandte Modell (entwickelt in den 1960er bis 1980er Jahre) eine "grundlegend verwundbare Informationstechnik akzeptiert [hat]".
Zur Vertiefung bzw. weiter Informationen platziere ich mal noch vier Links [5,6,7,8].
Am 15.12.2014 um 17:49 schrieb Bernd Wurst:
[...] Generell finde ich so einen Ansatz gar nicht so verkehrt, aber man muss natürlich generell anstreben so wenig wie möglich neu zu programmieren und wann immer es geht eine Integration vorhandener Software vornehmen. Nur dann hat man brauchbare Interoperabilität und nur dann kann das Projekt auch von unterschiedlichen Dienstleistern betreut werden. [...]
Nun ja, unter dem Aspekt der Hochsicherheit, ist es (in meinen Augen) nicht sinnvoll bereits vorhandene (nicht auf Hochsicherheit ausgelegte) Software zu verwenden. Auch wenn nur "etwa 0,004% (in gehärteten und nie veränderten Open Source Kernmodulen) bis 1% (bei schlecht entwickelter Software) des Codes, geschätzt nach Zeilen Code, kritische Sicherheitslücken [sind], bei denen voller und oft persistenter Systemzugang ermöglicht wird." [9] Als Kompromiss kann man den Quelltext unter freier Software stellen, jedoch wird dieser nur den Dienstleistern/Auftraggebern ausgehändigt. Denn was nützt mir ein Betriebssystem, dessen Quelltext verfügbar ist und somit Angriffsmöglichkeiten ausprobiert werden können, wo es doch ein Hochsicherheitssystem sein soll.
Kurz vor Ende meines Beitrages noch etwas Allgemeines:
Mich wundert, dass Beschwerde gegen Apple, Google/Android und Microsoft (Auswahl) vorgebracht werden, aber dann nicht ein Gegenstück entwickeln (zu wollen).
Am 15.12.2014 um 17:49 schrieb Bernd Wurst:
Hallo.-
Am 15.12.2014 um 16:28 schrieb Volker Grabsch:
Ja, die Wortwahl ist nicht besonders gut. Was hier tatsächlich vorgeschlagen wird, ist gar kein neues Betriebssystem, sondern eher eine speziell angepasste Distribution.
Das Zitat im Text spricht aber klare, gegenteilige Worte: [...]
+1
[...] | Aus diesem Grund ist hier die European Union Public Licence (EUPL | v.1.1) [3] (Lizenztext [4]) als bevorzugte Lizenz zu verwenden, wenn | es sich um eine komplette Eigenentwicklung mit eigenem Kernel | handelt.
Auch wenn da "wenn" steht, so suggeriert der Text das doch (nicht nur in diesem Satz) als einen gangbaren Weg. Als ich diese Passagen gelesen habe, verflog in mir der Glaube dass der Text ernst gemeint ist. :) [...]
Scheinbar kennt ihr nicht den Text auf http://gnu.org/ [10], wo nach die EUPL eine GPLv2-Relizenzierung (und in v1.1 - bisher die aktuellste -) eine GPLv3-Relizenzierung über den Umweg der CeCILLv2-Relizenzierung, die zu einer beliebigen GPL-Version weiterlizenziert werden kann, erlaubt. Die kommende EUPL v1.2 (nach einem Entwurf von Januar 2014 [11], der wohl schon im Dezember 2012 veröffentlicht wurde [12]) wird die GPLv3 ootb unterstützen. Oder ihr habt euch noch nicht die überarbeitete Lizenz-Auswahl von github angeschaut, welche die EUPL neuerdings auch anbietet [13]. Selbst auf der Wiki-Seite des Fedora-Projekt ist die EuPL, als "FSF Free?" (Ja), "GPLv2 Compat?" (Ja), "GPLv3 Compat?" (Nein), eingetragen [14].
Nein, das keine Satire! Es ist das Ergebnis einer mehrjährige Arbeit von jemanden, der die öffentl. Verw. von innen kennt und sich für dieses Thema seit mehreren Jahren (~ 2011) interessiert.
Aber ich werde mich aus der Diskussion nun heraus halten, nachdem schon der zweite unterstellt, dass sei Satire...
Gruss
BBiwy
Referenzen: [1] http://www.deutschlandfunk.de/ein-eigenes-betriebssystem-fuer-den-staat.694.... [2] http://www.deutschlandfunk.de/wirtschaftsspionage-deutsche-firmen-sind-graue... - Letzter Satz der Antwort 4 [3] http://www.deutschlandradiokultur.de/sandro-gaycken-politikern-fehlt-experti... - Zweiter Satz der Antwort 6 [4] https://www.bundestag.de/blob/278504/448f91d638435d61c8986abc27cbee4a/stellu... [5] http://www.deutschlandradiokultur.de/sicherheitsluecken-bespitzelung-wirtsch... [6] http://www.faz.net/aktuell/feuilleton/debatten/ueberwachung/sandro-gaycken-z... [7] http://www.secupedia.info/aktuelles/ergebnisse-des-fachgespraechs-im-ausschu... [8] http://www.deutschlandradiokultur.de/viele-staaten-versuchen-alles-zu-machen... [9] https://www.bundestag.de/blob/278504/448f91d638435d61c8986abc27cbee4a/stellu... - Seite 4 [10] https://www.gnu.org/licenses/license-list.de.html#EUPL [11] https://joinup.ec.europa.eu/sites/default/files/09/09/4f/Rationale%20for%20t... [12] http://www.ifross.org/en/node/1490 [13] https://github.com/github/choosealicense.com/issues/229 [14] https://fedoraproject.org/wiki/Licensing:Main
Hallo Bernd,
Am 15.12.2014 um 17:49 schrieb Bernd Wurst:
[...]
bevor ich auf deinen Post eingehe, möchte ich (kurz) den Ausgangspunkt des Konzepts darlegen.
Hintergrund dieser Idee ist, wie sie Sandro Gaycken im Juni 2011 bereits formulierte, ein "eigenes Betriebssystem zu entwickeln" [1]. Daneben will ich einen Anstoss geben, "[...]dass[...]eine ganze Reihe von Konzepten überhaupt[...]neu entwickelt werden müssen." [2] Was nun mal das verwendete Betriebssystem mit einschließt.
Es geht in diesem Konzept darum eine Plattform zu entwickeln, um die Unabhängigkeit und Sicherheit zu gewährleisten, damit z. B. keine Daten abgegriffen von irgendjemanden, sei es amerikanische Firmen, etwaige staatliche Institutionen (außerhalb Europas) oder Dritte, werden. Im Endeffekt müssen die Deutschen und/oder die EU "eigene Strukturen anfangen anzuschaffen, das ist auch schon aus Sicherheitsperspektive geboten, dass wir also nicht mehr abhängig sind von amerikanischer und chinesischer IT, wo halt eben jeder mit reingucken kann." [3] Dies kann mit dem Konzept gemacht werden.
Auch können mit diesem Konzept sämtliche Vorgänge überprüft und generalisiert werden, womit nur ein Programm für eine Aufgabe notwendig wird, wie z. B. LewisDIGANT (das aus den Fachverf. LewisDB (Einwohnermeldewesen) und DIGANT (Fachverf. f. Pässe, Personalausweise und Führerscheine) besteht).
Auf Seiten des Bundestages gibt es eine Niederschrift einer Stellungnahme für ein "[ö]ffentliches Fachgespräch des Ausschusses "Digitale Agenda" des Deutschen Bundestages zum Thema "IT-Sicherheit"" [4], wo nach das bisher angewandte Modell (entwickelt in den 1960er bis 1980er Jahre) eine "grundlegend verwundbare Informationstechnik akzeptiert [hat]".
Zur Vertiefung bzw. weiter Informationen platziere ich mal noch vier Links [5,6,7,8].
Am 15.12.2014 um 17:49 schrieb Bernd Wurst:
[...] Generell finde ich so einen Ansatz gar nicht so verkehrt, aber man muss natürlich generell anstreben so wenig wie möglich neu zu programmieren und wann immer es geht eine Integration vorhandener Software vornehmen. Nur dann hat man brauchbare Interoperabilität und nur dann kann das Projekt auch von unterschiedlichen Dienstleistern betreut werden. [...]
Nun ja, unter dem Aspekt der Hochsicherheit, ist es (in meinen Augen) nicht sinnvoll bereits vorhandene (nicht auf Hochsicherheit ausgelegte) Software zu verwenden. Auch wenn nur "etwa 0,004% (in gehärteten und nie veränderten Open Source Kernmodulen) bis 1% (bei schlecht entwickelter Software) des Codes, geschätzt nach Zeilen Code, kritische Sicherheitslücken [sind], bei denen voller und oft persistenter Systemzugang ermöglicht wird." [9] Als Kompromiss kann man den Quelltext unter freier Software stellen, jedoch wird dieser nur den Dienstleistern/Auftraggebern ausgehändigt. Denn was nützt mir ein Betriebssystem, dessen Quelltext allgemein verfügbar ist und somit Angriffsmöglichkeiten ausprobiert werden können, wo es doch ein Hochsicherheitssystem sein soll.
Und wenn das nicht gewollt ist, wenigstens auf ein freies (herkömmliches) Betriebssystem zu wechseln.
Kurz vor Ende meines Beitrages noch etwas Allgemeines:
Mich wundert, dass Beschwerde gegen Apple, Google/Android und Microsoft (Auswahl) vorgebracht werden, aber dann nicht ein Gegenstück entwickeln (zu wollen).
Am 15.12.2014 um 17:49 schrieb Bernd Wurst:
Hallo.-
Am 15.12.2014 um 16:28 schrieb Volker Grabsch:
Ja, die Wortwahl ist nicht besonders gut. Was hier tatsächlich vorgeschlagen wird, ist gar kein neues Betriebssystem, sondern eher eine speziell angepasste Distribution.
Das Zitat im Text spricht aber klare, gegenteilige Worte: [...]
+1
[...] | Aus diesem Grund ist hier die European Union Public Licence (EUPL | v.1.1) [3] (Lizenztext [4]) als bevorzugte Lizenz zu verwenden, | wenn es sich um eine komplette Eigenentwicklung mit eigenem Kernel | handelt.
Auch wenn da "wenn" steht, so suggeriert der Text das doch (nicht nur in diesem Satz) als einen gangbaren Weg. Als ich diese Passagen gelesen habe, verflog in mir der Glaube dass der Text ernst gemeint ist. [...]
Scheinbar kennt ihr nicht den Text auf http://gnu.org/ [10], wo nach die EUPL eine GPLv2-Relizenzierung (und in v1.1 - bisher die aktuellste -) eine GPLv3-Relizenzierung über den Umweg der CeCILLv2-Relizenzierung, die zu einer beliebigen GPL-Version weiterlizenziert werden kann, erlaubt. Die kommende EUPL v1.2 (nach einem Entwurf von Januar 2014 [11], der wohl schon im Dezember 2012 veröffentlicht wurde [12]) wird die GPLv3 ootb unterstützen. Oder ihr habt euch noch nicht die überarbeitete Lizenz-Auswahl von github angeschaut, welche die EUPL neuerdings auch anbietet [13]. Selbst auf der Wiki-Seite des Fedora-Projekt ist die EuPL, als "FSF Free?" (Ja), "GPLv2 Compat?" (Ja), "GPLv3 Compat?" (Nein), eingetragen [14].
Nein, das keine Satire! Es ist das Ergebnis einer mehrjährige Arbeit von jemanden, der die öffentl. Verw. von innen kennt und sich für dieses Thema seit mehreren Jahren (~ 2011) interessiert.
Aber ich werde mich aus der Diskussion nun heraus halten, nachdem schon der Zweite unterstellt, dass sei Satire...
Gruss
BBiwy
Referenzen (die Links sind umgebrochen, weil ich einen Fehler "You have lines longer than 80 characters. Fix that." bekomme): [1] http://www.deutschlandfunk.de/ein-eigenes-betriebssystem-fuer-den-staat.694.... .html?dram:article_id=70195 [2] http://www.deutschlandfunk.de/wirtschaftsspionage-deutsche-firmen-sind- grauenhaft.769.de.html?dram:article_id=274944 - Letzter Satz der Antwort 4 [3] http://www.deutschlandradiokultur.de/sandro-gaycken-politikern-fehlt- expertise-in-it.1008.de.html?dram:article_id=254393 - Zweiter Satz der Antwort 6 [4] https://www.bundestag.de/blob/278504/448f91d638435d61c8986abc27cbee4a/ stellungnahme_sandro_gaycken-pdf-data.pdf [5] http://www.deutschlandradiokultur.de/sicherheitsluecken-bespitzelung- wirtschaftsspionage-und.990.de.html?dram:article_id=278208 [6] http://www.faz.net/aktuell/feuilleton/debatten/ueberwachung/sandro- gaycken-zur-it-hochsicherheit-werft-eure-computer-weg-12662971.html [7] http://www.secupedia.info/aktuelles/ergebnisse-des-fachgespraechs-im- ausschuss-digitale-agenda-1597 [8] http://www.deutschlandradiokultur.de/viele-staaten-versuchen-alles-zu- machen-was-irgendwie-geht.954.de.html?dram:article_id=255177 [9] https://www.bundestag.de/blob/278504/448f91d638435d61c8986abc27cbee4a/ stellungnahme_sandro_gaycken-pdf-data.pdf - Seite 4 [10] https://www.gnu.org/licenses/license-list.de.html#EUPL [11] https://joinup.ec.europa.eu/sites/default/files/09/09/4f/ Rationale%20for%20the%20EUPL%20v1.2.%20v06.pdf [12] http://www.ifross.org/en/node/1490 [13] https://github.com/github/choosealicense.com/issues/229 [14] https://fedoraproject.org/wiki/Licensing:Main
Hallo.
Am 16.12.2014 um 17:55 schrieb BBiwy:
Denn was nützt mir ein Betriebssystem, dessen Quelltext allgemein verfügbar ist und somit Angriffsmöglichkeiten ausprobiert werden können, wo es doch ein Hochsicherheitssystem sein soll.
Äh, Hochsicherheit durch Geheimhaltung eventueller Sicherheitslücken?
Dieses Konzept ist in Informatikerkreisen eigentlich allgemein nicht anerkannt weil es auf lange Sicht nicht funktioniert.
Da ist das erkennen und beheben der Sicherheitslücken doch weit mehr zielführend.
Und außerdem: Die EU ist auch groß und in weiten Teilen zueinander fremd. Ich vertraue den europäischen "Sicherheits-Behörden" jetzt nicht wesentlich mehr als den interkontinentalen. Warum also den einheimischen den Code zeigen und den externen nicht?
Gruß, Bernd
* Bernd Wurst bernd@bwurst.org [141217 08:21]:
Hallo.
Am 16.12.2014 um 17:55 schrieb BBiwy:
Denn was nützt mir ein Betriebssystem, dessen Quelltext allgemein verfügbar ist und somit Angriffsmöglichkeiten ausprobiert werden können, wo es doch ein Hochsicherheitssystem sein soll.
Äh, Hochsicherheit durch Geheimhaltung eventueller Sicherheitslücken?
Dieses Konzept ist in Informatikerkreisen eigentlich allgemein nicht anerkannt weil es auf lange Sicht nicht funktioniert.
Ich kann da nur zustimmen. Aber es gibt sogar Lehrende an Fachhochschulen, die so einen Blödsinn verzapfen. Ich weiß nicht mehr, ob es im c't oder im iX war, aber da gab es mal ein Interview mit einem Professor einer deutschen FH zum Thema Computer in Autos wo Security by Obscurity vertreten hat. Damals fühlte ich mich dann doch genötigt, einen Leserbrief zu schreiben…
Da ist das erkennen und beheben der Sicherheitslücken doch weit mehr zielführend.
Wenn Dein Ziel Reichtum ist, ist das verkaufen doch wesentlich besser ;)
Und außerdem: Die EU ist auch groß und in weiten Teilen zueinander fremd. Ich vertraue den europäischen "Sicherheits-Behörden" jetzt nicht wesentlich mehr als den interkontinentalen. Warum also den einheimischen den Code zeigen und den externen nicht?
Auch da kann ich Dir nur recht geben. Wenn man sich ansieht, was für Konflikte und Auffassungsunterschiede teilweise zwischen den europäischen Ländern bestehen, dann muss einem klar werden, dass wir noch einen weiten Weg zu gehen haben, bevor es sowas wie Vertrauen geben kann…
On 16.12.2014 17:55, BBiwy wrote:
Im Endeffekt müssen die Deutschen und/oder die EU "eigene Strukturen anfangen anzuschaffen, das ist auch schon aus Sicherheitsperspektive geboten, dass wir also nicht mehr abhängig sind von amerikanischer und chinesischer IT, wo halt eben jeder mit reingucken kann." [3] Dies kann mit dem Konzept gemacht werden.
Das ist Nationalismus (im europäischen Gewand).
Auch können mit diesem Konzept sämtliche Vorgänge überprüft und generalisiert werden, womit nur ein Programm für eine Aufgabe notwendig wird, wie z. B. LewisDIGANT (das aus den Fachverf. LewisDB (Einwohnermeldewesen) und DIGANT (Fachverf. f. Pässe, Personalausweise und Führerscheine) besteht).
Damit werden neue Monopole geschaffen.
Nun ja, unter dem Aspekt der Hochsicherheit, ist es (in meinen Augen) nicht sinnvoll bereits vorhandene (nicht auf Hochsicherheit ausgelegte) Software zu verwenden. Auch wenn nur "etwa 0,004% (in gehärteten und nie veränderten Open Source Kernmodulen) bis 1% (bei schlecht entwickelter Software) des Codes, geschätzt nach Zeilen Code, kritische Sicherheitslücken [sind], bei denen voller und oft persistenter Systemzugang ermöglicht wird." [9]
Hochsicher ist nur ein Computer, der nicht betrieben wird. Damit man wirklich die volle Kontrolle hat, müsste man Hardware und Software "from scratch" komplett neu entwickeln, also praktisch mit Relais und Schaltern wieder neu anfangen. [1]
Als Kompromiss kann man den Quelltext unter freier Software stellen, jedoch wird dieser nur den Dienstleistern/Auftraggebern ausgehändigt. Denn was nützt mir ein Betriebssystem, dessen Quelltext allgemein verfügbar ist und somit Angriffsmöglichkeiten ausprobiert werden können, wo es doch ein Hochsicherheitssystem sein soll.
"Security through obscurity" geht gar nicht! Wissen wir seit 1883 [2].
Abgesehen davon widerspricht das dem Freiheitsgedanken Freier Software und ist auf dieser Liste eher OT. Jeder soll den Quelltext studieren dürfen. Das dient der Volksbildung.
Gruß Michael
[1] Lesenswert: http://rem.eifzilla.de/archives/2013/07/16/gpg4win-and-the-feds [2] http://de.wikipedia.org/wiki/Kerckhoffs%E2%80%99_Prinzip
Hallo Michael,
Am 17.12.2014 um 09:39 schrieb RA Stehmann:
[...]
Als Kompromiss kann man den Quelltext unter freier Software stellen, jedoch wird dieser nur den Dienstleistern/Auftraggebern ausgehändigt. Denn was nützt mir ein Betriebssystem, dessen Quelltext allgemein verfügbar ist und somit Angriffsmöglichkeiten ausprobiert werden können, wo es doch ein Hochsicherheitssystem sein soll.
[...] Abgesehen davon widerspricht das dem Freiheitsgedanken Freier Software und ist auf dieser Liste eher OT. Jeder soll den Quelltext studieren dürfen. Das dient der Volksbildung. [...]
So weit so gut.
LiMux ist freie Software [1], unterliegt also auch der GPL. D. h. der Quelltext/die Software ist zu veröffentlichen. Nun, wenn der Quelltext/die Software der Öffentlichkeit gegeben werden muss, wieso ist dann der Quelltext/die Software nicht öffentlich (und damit eigentlich keine freie Software, die es aber laut Lizenz ist)?!
Weiter gedacht, aus welchem Grund muss ein Auftraggeber (hier: München bzw. die öffentliche Verwaltung allgemein) seinen (oder ihren) Quelltext, denn er(/sie) laut (fiktiver) Ausschreibung erhält, z. B. im Internet, damit auch Jeder darauf zugreifen kann, veröffentlichen?
Und: Aus welchem Grund kann ich nicht nur den Quelltext zwischen den Auftraggeber und Auftragnehmer (oder in späteren Verlauf demjenigen der die Software wartet, aber nicht der Original-Ersteller ist) freigeben lassen?
Gerne kann man die Antwort auch in einem neuen Thread eröffnet werden, mir fällt nur gerade kein optimaler Betreff dazu ein.
Gruss
BBiwy
Referenzen: [1] https://de.wikipedia.org/wiki/LiMux#Client
Hallo "BBiwy",
Am 17.12.2014 um 14:30 schrieb BBiwy:
Hallo Michael,
Am 17.12.2014 um 09:39 schrieb RA Stehmann:
[...]
Als Kompromiss kann man den Quelltext unter freier Software stellen, jedoch wird dieser nur den Dienstleistern/Auftraggebern ausgehändigt. Denn was nützt mir ein Betriebssystem, dessen Quelltext allgemein verfügbar ist und somit Angriffsmöglichkeiten ausprobiert werden können, wo es doch ein Hochsicherheitssystem sein soll.
[...] Abgesehen davon widerspricht das dem Freiheitsgedanken Freier Software und ist auf dieser Liste eher OT. Jeder soll den Quelltext studieren dürfen. Das dient der Volksbildung. [...]
So weit so gut.
LiMux ist freie Software [1], unterliegt also auch der GPL. D. h. der Quelltext/die Software ist zu veröffentlichen. Nun, wenn der Quelltext/die Software der Öffentlichkeit gegeben werden muss, wieso ist dann der Quelltext/die Software nicht öffentlich (und damit eigentlich keine freie Software, die es aber laut Lizenz ist)?!
Weiter gedacht, aus welchem Grund muss ein Auftraggeber (hier: München bzw. die öffentliche Verwaltung allgemein) seinen (oder ihren) Quelltext, denn er(/sie) laut (fiktiver) Ausschreibung erhält, z. B. im Internet, damit auch Jeder darauf zugreifen kann, veröffentlichen?
Und: Aus welchem Grund kann ich nicht nur den Quelltext zwischen den Auftraggeber und Auftragnehmer (oder in späteren Verlauf demjenigen der die Software wartet, aber nicht der Original-Ersteller ist) freigeben lassen?
Ich verstehe weder deine Frage noch den Zusammenhang mit der Antwort von Michael S. und vermute, dass ich nicht der Einzige bin. Bitte überlege nochmal, was du fragen willst und formuliere zusammenhängend.
Gruß Michael
Hallo Michael,
Am 17.12.2014 um 14:53 schrieb Michael Kesper:
[...] Ich verstehe weder deine Frage noch den Zusammenhang mit der Antwort von Michael S. und vermute, dass ich nicht der Einzige bin. Bitte überlege nochmal, was du fragen willst und formuliere zusammenhängend. [...]
ich versuche es mal ein bisschen anders zu formulieren.
Am 17.12.2014 um 09:39 schrieb RA Stehmann:
Als Kompromiss kann man den Quelltext unter freier Software stellen, jedoch wird dieser nur den Dienstleistern/Auftraggebern ausgehändigt. Denn was nützt mir ein Betriebssystem, dessen Quelltext allgemein verfügbar ist und somit Angriffsmöglichkeiten ausprobiert werden können, wo es doch ein Hochsicherheitssystem sein soll.
[...] Abgesehen davon widerspricht das dem Freiheitsgedanken Freier Software und ist auf dieser Liste eher OT. Jeder soll den Quelltext studieren dürfen. Das dient der Volksbildung. [...]
Lässt du auch dein Auto offen für jeden und lässt den Schlüssel stecken? Oder findest du es gut, wenn jemand ausser der Staat Zugriff auf die Daten des Einwohnermeldewesen hat? Der Staat besitzt ja gewisse Monopole, wie z. B. das Recht auf die Erhebung von Steuern oder das Monopol für Infrastruktur und allgemeine Ressourcen (Strom, Gas, Wasser, Eisenbahn).
Scheinbar wollt ihr dem Staat also keine Sonderrechte zugestehen, lese ich das hier richtig raus? Ihr wisst schon, dass der Staat nicht die Wirtschaft ist und seine Bürger schützen muss oder seid ihr mit der Verletzung euer Persönlichkeitsrechte, wenn das Meldewesen kompromittiert ist, einverstanden, nur damit Jeder sehen kann, wie das Meldewesenprogramm aufgebaut wurde?
und ist auf dieser Liste eher OT. Jeder soll den Quelltext studieren dürfen. Das dient der Volksbildung.
nachfolgend geht es, um den Geltungsbereich den die GPL vorgibt, also wer ist "Jeder"? Anhand nachfolgender Fragen/Ausführungen möchte ich das näher bringen.
LiMux ist freie Software [1], unterliegt also auch der GPL. Nach der GPL ist der Quelltext (bzw. die Software) zu veröffentlichen. Nun, wenn der Quelltext (und die Software) der Öffentlichkeit gegeben werden muss, wieso ist dann der Quelltext (und die Software) nicht öffentlich? Und verstösst damit gegen die GPL-Lizenz, womit LiMux eigentlich keine freie Software mehr ist, aber laut Lizenz ist sie frei?!
Ein bisschen weiter gedacht: Mal allgemeiner gefasst. Die öffentliche Verwaltung allgemein (bzw. hier: München) lässt eine Ausschreibung veröffentlichen, nach der die Software frei sein soll und somit den Quelltext erhält. Wieso muss also ein Auftraggeber (hier: München bzw. die öffentliche Hand) seinen (oder ihren) Quelltext, z. B. im Internet, damit auch Jeder darauf zugreifen kann, veröffentlichen?
Und: Aus welchem Grund besteht nicht die Möglichkeit, nur den Quelltext zwischen den Auftraggeber und Auftragnehmer (oder in späteren Verlauf demjenigen der die Software wartet, aber nicht der Original-Ersteller ist) freigeben lassen?
Gerne kann man die Antwort auch in einem neuen Thread eröffnet werden, mir fällt nur gerade kein optimaler Betreff dazu ein.
Gruss
BBiwy
Referenzen: [1] https://de.wikipedia.org/wiki/LiMux#Client
Hallo,
* BBiwy mailingliste_bbiwy@yahoo.de [2014-12-17T20:26+0200]:
Scheinbar wollt ihr dem Staat also keine Sonderrechte zugestehen, lese ich das hier richtig raus? Ihr wisst schon, dass der Staat nicht die Wirtschaft ist und seine Bürger schützen muss oder seid ihr mit der Verletzung euer Persönlichkeitsrechte, wenn das Meldewesen kompromittiert ist, einverstanden, nur damit Jeder sehen kann, wie das Meldewesenprogramm aufgebaut wurde?
"security through obscurity" ist wirklich ein no-go. full stop. Manchmal gibt es im Leben tatsächlich schwarz-weiß/falsch-richtig Entscheidungen - diese gehört dazu. Da Michael auch schon die weiterführende Literatur (Kerckhoffs Prinzip et al.) erwähnt; d.h. diesbezüglich ist die Diskussion in einer Sackgasse. Und, neeee, der Staat hat eigentlich keine Sonderrechte, müsste er erstmal nachweisen, warum er unfehlbarer ist als ich ;)
und ist auf dieser Liste eher OT. Jeder soll den Quelltext studieren dürfen. Das dient der Volksbildung.
nachfolgend geht es, um den Geltungsbereich den die GPL vorgibt, also wer ist "Jeder"? Anhand nachfolgender Fragen/Ausführungen möchte ich das näher bringen.
[...]
Soweit ich die Lizenzen verstanden hab, muss der Quellcode maximal den Benutzern zugänglich gemacht werden. Ob ich Benutzer werde, indem ich irgendwelche Dienstleistungen kaufe (z.Bsp. redhat) oder einfach nur das Programm runterlade (z.Bsp. firefox) ist die freie Entscheidung der Entwickler.
mfg Thomas Jensch
Hallo Thomas,
Am 17.12.2014 um 20:12 schrieb Thomas Jensch:
[...] Und, neeee, der Staat hat eigentlich keine Sonderrechte, müsste er erstmal nachweisen, warum er unfehlbarer ist als ich ;) [...]
Der Staat hat Sonderrechte. Er kann Gesetze erlassen (es ist das wichtigste Sonderrecht). Zudem muss er dir nicht nachweisen, warum er unfehlbarer ist als du.
Denn entweder (wohlwollend) bedient er sich (privatrechtlich; "fiskalisch") über eine Ausschreibung deiner Arbeitskraft oder er fertigt (öffentlichrechtlich; "hoheitlich") ein Gesetz aus, der dich (in deiner Funktion als Entwickler) dazu verpflichtet, die Entwicklung des Betriebssystems zu übernehmen.
Gruss
BBiwy
On 19.12.2014 20:55, BBiwy wrote:
oder er fertigt (öffentlichrechtlich; "hoheitlich") ein Gesetz aus, der dich (in deiner Funktion als Entwickler) dazu verpflichtet, die Entwicklung des Betriebssystems zu übernehmen.
Art 12 Absätze 2 und 3 Grundgesetz:
"(2) Niemand darf zu einer bestimmten Arbeit gezwungen werden, außer im Rahmen einer herkömmlichen allgemeinen, für alle gleichen öffentlichen Dienstleistungspflicht. (3) Zwangsarbeit ist nur bei einer gerichtlich angeordneten Freiheitsentziehung zulässig.
S.a. Art. 3 Absatz 1 Grundgesetz
Also so geht das definitiv unter der Herrschaft des Grundgesetzes nicht!
Gruß Michael
Hallo.
Am 17.12.2014 um 19:25 schrieb BBiwy:
Lässt du auch dein Auto offen für jeden und lässt den Schlüssel stecken?
Den Link zum Kerckhoff'schen Prinzip musst du mal lesen. Dann kannst du dir solche unpassenden Parallelen sparen.
(Kurzfassung: Verschlüsselungs-Algorithmus offen, Schlüssel geheim)
Oder findest du es gut, wenn jemand ausser der Staat Zugriff auf die Daten des Einwohnermeldewesen hat?
Jeder Hinz und Kunz kann meine Daten vom Eimwohnermeldeamt abfragen. Willkommen in der Gegenwart. :) http://de.wikipedia.org/wiki/Melderegisterauskunft
Aber ich sehe schon, du hast offenbar einen anderen Hintergrund, hast bei elementaren Grundlagen von freier Software eine abweichende Meinung. Es ist daher weder in deinem noch in unserem Sinne wenn wir das hier weiter diskutieren.
Die Idee, eine europäische (dieser Begriff ist als Mindestmenge der Nutzer zu sehen, nicht als Obergrenze) freie Software-Distribution als Referenz-Plattform für neue, öffentlich finanzierte Software zu etablieren ist sehr gut. Es geht mir dabei nicht um einen eventuellen Sicherheitsgewinn sondern um die Verminderung einer Abhängigkeit von einer bestimmten Plattform (und damit auch das Aufbrechen von proprietären Monokulturen und damit letztlich auch einer gesteigerten Sicherheit).
Was ich bisher von LiMux mitbekommen habe ist, dass bei Neuausschreibungen von Fachverfahren immer bevorzugt Web-Anwendungen ohne Festlegung auf eine bestimmte Plattform ausgeschrieben werden. Das ist eine sehr löbliche Entscheidung, die ich mir sehr gut als allgemeine Grundregel vorstellen könnte.
Gruß, Bernd
Hallo Bernd,
Am 18.12.2014 um 05:32 schrieb Bernd Wurst:
[...] Jeder Hinz und Kunz kann meine Daten vom Eimwohnermeldeamt abfragen. Willkommen in der Gegenwart. :) http://de.wikipedia.org/wiki/Melderegisterauskunft [...]
Nun, wie kann man dann durch eine Melderegisterauskunft Zugriff auf das Wählerverzeichnis oder auf steuer-, waffen- bzw. sprengstoffrechtliche Merkmale [1], die wahrscheinlich nicht bekannt werden sollten, bekommen?
[...] Aber ich sehe schon, du hast offenbar einen anderen Hintergrund, hast bei elementaren Grundlagen von freier Software eine abweichende Meinung. Es ist daher weder in deinem noch in unserem Sinne wenn wir das hier weiter diskutieren. [...]
Ja, ich habe einen anderen Hintergrund. Denn ich komme aus der Verwaltung. Auch diskutiere ich mit Anderen darüber und lasse teilweise Aussagen von diesen in meine E-Mails miteinfliessen, wie die Fragen "Lässt du auch dein Auto offen für jeden und lässt den Schlüssel stecken? Oder findest du es gut, wenn jemand ausser der Staat Zugriff auf die Daten des Einwohnermeldewesen hat?" [2].
[...] Die Idee, eine europäische (dieser Begriff ist als Mindestmenge der Nutzer zu sehen, nicht als Obergrenze) freie Software-Distribution als Referenz-Plattform für neue, öffentlich finanzierte Software zu etablieren ist sehr gut. [...]
Deshalb habe ich mir dazu Gedanken gemacht und dachte mir ich starte hier einen Thread dazu. Daneben finde ich auch, dass freie Software in der öffentlichen Verwaltung eingesetzt werden sollte und unterstütze die Ziele der FSFE.
Gruss
BBiwy
Referenzen: [1] http://www.gesetze-im-internet.de/mrrg/__2.html [2] http://comments.gmane.org/gmane.org.fsf.german/6534
Hallo.
Am 19.12.2014 um 21:00 schrieb BBiwy:
Ja, ich habe einen anderen Hintergrund. Denn ich komme aus der Verwaltung. Auch diskutiere ich mit Anderen darüber und lasse teilweise Aussagen von diesen in meine E-Mails miteinfliessen, wie die Fragen "Lässt du auch dein Auto offen für jeden und lässt den Schlüssel stecken? Oder findest du es gut, wenn jemand ausser der Staat Zugriff auf die Daten des Einwohnermeldewesen hat?" [2].
Aber genau diese Analogie ist doch, verzeih die ausdrucksweise, Blödsinn. Es steckt ja sogar der Begriff "Schlüssel" in diesem Satz drin. Und grade Schlüssel sind es ja, die eben nicht veröffentlicht werden. Bei keiner (freien) Software.
Es geht um die Offenlegung der Verfahren, nicht die konkreten mit der Software bearbeiteten Nutzdaten.
Deshalb habe ich mir dazu Gedanken gemacht und dachte mir ich starte hier einen Thread dazu. Daneben finde ich auch, dass freie Software in der öffentlichen Verwaltung eingesetzt werden sollte und unterstütze die Ziele der FSFE.
Die bisher vorgetragegen Gedanken decken sich aber explizit nicht mit den Zielen der FSFE. Ich denke nicht, dass es hier viel Zuspruch gibt für ein System, das "aus Sicherheitsgründen" nicht für jeden Zugänglich sein soll.
Auch wenn es nach dem Wortlaut der GPL möglich ist, Sourceode zunächst ausschließlich den direkten Nutzern der Software zugänglich zu machen, so ist das für eine Software der öffentlichen Verwaltung nicht der richtige Schritt. Außerdem kann man nicht hunderttausende Verwaltungsmitarbeiter per Arbeitsvertrag dazu verpflichten, den Sourcecode geheim zu halten. Denn laut GPL darf ja jeder Nutzer den Quellcode an beliebige Dritte weitergeben.
Gruß, Bernd
Hallo Bernd,
Am 20.12.2014 um 10:05 schrieb Bernd Wurst:
[...] Aber genau diese Analogie ist doch, verzeih die ausdrucksweise, Blödsinn. Es steckt ja sogar der Begriff "Schlüssel" in diesem Satz drin. Und grade Schlüssel sind es ja, die eben nicht veröffentlicht werden. Bei keiner (freien) Software.
Es geht um die Offenlegung der Verfahren, nicht die konkreten mit der Software bearbeiteten Nutzdaten. [...]
nach dem ich die Antwort [1] von Volker Grabsch gelesen habe, war mir das auch klar.
[...] Die bisher vorgetragegen Gedanken decken sich aber explizit nicht mit den Zielen der FSFE. Ich denke nicht, dass es hier viel Zuspruch gibt für ein System, das "aus Sicherheitsgründen" nicht für jeden Zugänglich sein soll. [...]
Nur weil ich (wohl) einen Fehler gemacht habe, bei einem Aspekt [von dem es scheinbar keine Definition, was Hochsicherheit ist, gibt] den ich nur als weitere(!) Möglichkeit zum Einfliessen in das Konzept eingebracht habe, ist die ganze Idee auf einmal schlecht und deckt sich nicht mehr mit den Zielen der FSFE? Im Konzept (das ich mit den "Gedanken" meinte), wenn du es nochmal nachliest, steht darüber kein gar kein Wort, weil ich mir dachte, dass es zu genau dem kommt, was nun passiert ist. Dass die Idee nicht weiterverfolgt wird. (Zumal ich auch die gegebene Freiheit (im Rahmen des Konzepts) bei einer Umsetzung nicht unnötig beschränken möchte.)
[...] Auch wenn es nach dem Wortlaut der GPL möglich ist, Sourceode zunächst ausschließlich den direkten Nutzern der Software zugänglich zu machen, so ist das für eine Software der öffentlichen Verwaltung nicht der richtige Schritt. Außerdem kann man nicht hunderttausende Verwaltungsmitarbeiter per Arbeitsvertrag dazu verpflichten, den Sourcecode geheim zu halten. Denn laut GPL darf ja jeder Nutzer den Quellcode an beliebige Dritte weitergeben. [...]
Die Diskussion, die hier geführt wird, ist ziemlich theoretischer Natur. (Da das Konzept, ja wohl nicht vorstellt werden würde.)
(Wenn du das regeln willst, wird das über den Tarifvertrag geregelt und nicht im Arbeitsvertrag, aber das nur am Rande. Zumal ein typischer Verwaltungsmitarbeiter die Software als Mittel zur Erledigung einer Aufgabe sieht und für die, die sich für freie Software interessieren, wie mich oder euch, ist der Aufwand zu hoch, eine solche Klausel einzuführen bzw. eine solche Notwendigkeit ist (noch) nicht gegeben.)
Und wenn der Quelltext veröffentlicht ist, kommt eine Organisation die sagt, wie unsicher die Software ist.
Vielleicht sollte man mal es ein bisschen ernsthafter an gehen und nicht zu Tode diskutieren, um dann mit all den Unwägbarkeiten, die es zur Folge hat, zu leben.
Heisst kritisiert weiter schön Microsoft und Andere, lebt damit weiter, aber sagt nicht, wir fordern mehr Einsatz von freier Software. Denn auf der einen Seite wird freie Software gefordert, aber auf der anderen Seite gibt es (alternative) Ideen, welche die freie Software fördert und diese werden abgelehnt. Ein Tod müsstet ihr sterben.
Damit werde ich mich wohl aus der Diskussion herausziehen, nur würde ich gerne noch Antworten auf die Frage [2] bekommen:
Am 19.12.2014 um 21:05 schrieb BBiwy: Ja, habe ich. Lizenziert unter EUPL (Überraschung...). Und das Konzept sieht nichts anders vor als, dass das (dann noch zu entwickelnde) Betriebssystem auch unter EUPL steht (damit WollMux darin auch integriert werden kann, falls dies bei der GPL nicht möglich ist) und als Auftragsarbeit (sprich Ausschreibung) oder Eigenentwicklung unter freier Lizenz, wie die EUPL, entwickelt wird.
Es soll im Endeffekt, wie bisher bei LiMux auch entwickelt werden, es geschieht nur drei (NUTS-0 [1], Deutschland) bzw. vier (Europa) Ebenen über der Kommune, also für einen größeren Geltungsbereich.
Und der Quelltext wird nur
- bei einer Ausschreibung: zwischen den Auftraggeber (also der EU) und
dem Auftragnehmer (dem Entwickler/Dienstleister) ausgetauscht. (Das ist bei LiMux auch der Fall.) Damit können falls notwendig Dritte (also ein Firma, die das ggf. irgendwann mal warten soll) es verändern. oder 2. man stellt die Entwickler selbst ein; entwickelt es selbst unter einer freien Lizenz und wartet alles selbst. Falls es nicht selbst zu warten geht, gibt es eine Ausschreibung an eine Firma.
Wieso kritisiert ihr es [also dass ich angeblich "Security through obscurity" mache -was nicht der Fall ist-] bei meinem Vorschlag, tut dies aber nicht bei der Stadt München? [...]
Mit der Antwort und dem darin enthaltenen Link [3] von Volker Grabsch am 20. November um 15:45 [4] versuche ich es mal selbst zu beantworten. Das im Zitat genannte Vorgehen, also das ich Quelltext in EUPL/GPL schreiben darf und intern verwende bzw. nur einem begrenzten Kreis gebe (eben dem Sieger der (darauf folgenden) Ausschreibung) ist in Ordnung, richtig?
Gruss
BBiwy
Referenzen: [1] http://comments.gmane.org/gmane.org.fsf.german/6537 [2] http://comments.gmane.org/gmane.org.fsf.german/6542 [3] https://www.gnu.org/licenses/gpl-faq.html#GPLRequireSourcePostedPublic [4] http://comments.gmane.org/gmane.org.fsf.german/6545
Am 20.12.2014 um 17:02 schrieb BBiwy:
Nur weil ich (wohl) einen Fehler gemacht habe, bei einem Aspekt [von dem es scheinbar keine Definition, was Hochsicherheit ist, gibt] den ich nur als weitere(!) Möglichkeit zum Einfliessen in das Konzept eingebracht habe, ist die ganze Idee auf einmal schlecht und deckt sich nicht mehr mit den Zielen der FSFE?
Das sagt ja keiner. Deine Gedankengänge sind nur in Teilen von dem entfernt, was die FSFE für richtig und wichtig hält.
Und wenn der Quelltext veröffentlicht ist, kommt eine Organisation die sagt, wie unsicher die Software ist.
Was prima wäre, wenn es denn vorher nicht aufgefallen ist.
Vielleicht sollte man mal es ein bisschen ernsthafter an gehen und nicht zu Tode diskutieren, um dann mit all den Unwägbarkeiten, die es zur Folge hat, zu leben.
Die von Dir vorgeschlagene Entwicklung eines eigenen OS ist ein Riesenprojekt - sieh' Dir die Entwicklungsgeschichte anderer OS an und wie sie wieder gestorben oder nie zum Leben gekommen sind. Sowas will vorherig gut überlegt sein.
Es hindert Dich aber auch niemand daran, das Projekt zu beginnen, Mitstreiter zu finden, Programmierer, Administratoren, Tester, etc. pp. und das Ding auf die Beine zu stellen. Ich persönlich sehe keinen großen Sinn darin, ein weiteres Linux zu erfinden, was in ca. 10 Jahren marktreif sein kann - in der Dekade kann ganz andere und mehr Arbeit getan werden, z. B. Gnu Hurd rausbringen, Wollmux in Debian bringen, Suse und Redhat zu apt bewegen, den Leuten beibringen, dass NTFS ein bescheidenes Dateisystem ist, den Chefs beibringen, dass Exchange und Sharepoint keine Lösungun, sondern Probleme sind, den Apple-Fanboys den goldenen Käfig von i{phone,pad,os,*} aufzeigen, usw. usf.
Heisst kritisiert weiter schön Microsoft und Andere, lebt damit weiter, aber sagt nicht, wir fordern mehr Einsatz von freier Software. Denn auf der einen Seite wird freie Software gefordert, aber auf der anderen Seite gibt es (alternative) Ideen, welche die freie Software fördert und diese werden abgelehnt. Ein Tod müsstet ihr sterben.
Machen wir auch weiter schön, keine Bange - da geht uns der Stoff selten aus. :-) Und Du bist gerne eingeladen, mitzumachen. Komm' doch mal auf einem Fellowship-Treffen vorbei.
Was die Leute, die freie Software für sehr wichtig finden, aber nicht machen müssen, ist ein Konzept gut finden, das in mehreren Punkten wirklich krankt. Für seine Überzeugungen einzustehen, heißt gerade nicht, einen Tod zu sterben um eines ungeliebten Kompromisses wegen.
Mit der Antwort und dem darin enthaltenen Link [3] von Volker Grabsch am 20. November um 15:45 [4] versuche ich es mal selbst zu beantworten. Das im Zitat genannte Vorgehen, also das ich Quelltext in EUPL/GPL schreiben darf und intern verwende bzw. nur einem begrenzten Kreis gebe (eben dem Sieger der (darauf folgenden) Ausschreibung) ist in Ordnung, richtig?
Das wäre in Ordnung, wenn auch nicht immer sinnvoll. LiMux geht diesen Weg eben gerade nicht - sie veröffentlichen WollMux, geplant ist die Offenlegung nicht nur des SourceCodes der Desktop-Anwendung WollMux, sondern auch die Programmierungen im Backend.
Eine solche Veröffentlichung erfordert aber einen nicht geringen Anteil an Nachsorge. Es reicht eben nicht aus, einfach einen Klumpen SourceCode irgendwo auf einen FTP-Server zu schmeissen und dreimal zu verlinken. Es gehört, will man ernst genommen werden, eine anständige Dokumentation und personelle Nachsorge, wenn Nutzer die Software verwenden wollen und (unweigerlich) auf Fehler und Schwierigkeiten stoßen. Die Stellen dafür wollen beschafft und bezahlt werden - u. U. ein Punkt, den manchen Auftraggeber davon abhält, seinen SourceCode zu veröffentlichen. In Zeiten, in denen der öffentliche Dienst immer mehr machen soll, aber programmatisch schrumpfen muss, nur zu verständlich.
Mit fröhlichem Gruß
Robert Kehl
BBiwy schrieb:
Am 17.12.2014 um 09:39 schrieb RA Stehmann:
Abgesehen davon widerspricht das dem Freiheitsgedanken Freier Software und ist auf dieser Liste eher OT. Jeder soll den Quelltext studieren dürfen. Das dient der Volksbildung. [...]
Lässt du auch dein Auto offen für jeden und lässt den Schlüssel stecken?
Nein, aber genau darum geht es doch:
Der genaue (Daten-)Inhalt des Schlüssels ist geheim.
Aber die Funktionsweise von Schlüssel und Schloss sind allgemein bekannt, müssen bestimmten Standards genügen und werden international weiter verbessert.
Ist jedoch auch die Funktionsweise geheim, wird das nichts. Das hat die Geschichte immer wieder gezeigt. Diesen Anfängerfehler, der leider immer noch ab und zu gemacht wird, bezeichnet man als "Security through obscurity".
LiMux ist freie Software [1], unterliegt also auch der GPL. Nach der GPL ist der Quelltext (bzw. die Software) zu veröffentlichen.
So eine pauschale Veröffentlichspflicht gibt es nicht, weder in der GPL noch in anderen Lizenzen. Die GPL sagt lediglich: _Wenn_ ich die Software weitergebe, _dann_ mit Quelltext.
Deine Poistings zeigen mehrere fundamentale Missverständnisse, was zum Beispiel IT-Security und FOSS angeht. Ich dann dir nur dringend empfehlen, diese Wissenlücken so bald wie möglich zu schließen.
Gruß Volker
Hallo Volker,
Am 18.12.2014 um 10:51 schrieb Volker Grabsch:
BBiwy schrieb:
Am 17.12.2014 um 09:39 schrieb RA Stehmann:
Abgesehen davon widerspricht das dem Freiheitsgedanken Freier Software und ist auf dieser Liste eher OT. Jeder soll den Quelltext studieren dürfen. Das dient der Volksbildung. [...]
[...]
LiMux ist freie Software [1], unterliegt also auch der GPL. Nach der GPL ist der Quelltext (bzw. die Software) zu veröffentlichen.
So eine pauschale Veröffentlichspflicht gibt es nicht, weder in der GPL noch in anderen Lizenzen. Die GPL sagt lediglich: _Wenn_ ich die Software weitergebe, _dann_ mit Quelltext. [...]
Das ist irgendwie ein Widerspruch. Auf der einen Seite, soll der Quelltext der Öffentlichkeit preisgegeben werden (also veröffentlicht werden) und auf der anderen Seite gibt es keine Veröffentlichungspflicht.
Gruss
BBiwy
BBiwy schrieb:
Am 18.12.2014 um 10:51 schrieb Volker Grabsch:
BBiwy schrieb:
LiMux ist freie Software [1], unterliegt also auch der GPL. Nach der GPL ist der Quelltext (bzw. die Software) zu veröffentlichen.
So eine pauschale Veröffentlichspflicht gibt es nicht, weder in der GPL noch in anderen Lizenzen. Die GPL sagt lediglich: _Wenn_ ich die Software weitergebe, _dann_ mit Quelltext.
Das ist irgendwie ein Widerspruch.
Ich sehe da keinen. Das ist absolut konsequent. Es ist nur nicht das, was man als naiver Beobachter erwarten würde. Aus Sicht eines Programmierers (oder erfahrenen Anwenders) ist das jedoch absolut sinnvoll.
Auf der einen Seite, soll der Quelltext der Öffentlichkeit preisgegeben werden (also veröffentlicht werden)
Nein, das wird so nicht gefordert.
und auf der anderen Seite gibt es keine Veröffentlichungspflicht.
Dieser Teil trifft zu.
Kurz: Die GPL schreibt einem nicht vor, _ob_ man veröffentlichen muss, sondern nur _wie_ man veröffentlichen darf und wie nicht.
Übrigens, deine Frage ist eine ganz typische Anfängerfrage, daher wird sie in der FAQ ziemlich weit oben beantwortet (Frage #2 im Bereich "General understanding"):
https://www.gnu.org/licenses/gpl-faq.html#GPLRequireSourcePostedPublic
Falls deine Frage jedoch auf die Hintergründe abzielt: Die GPL, und Freie-Software-Bewegung im Allgemeinen, hat als oberstes Ziel die Stärkung der Rechte der individuellen Anwender. Alles andere, auch gesamtgesellschaftliche Aspekte, stehen dem nach.
Gruß Volker
On 20.12.2014 15:45, Volker Grabsch wrote:
Falls deine Frage jedoch auf die Hintergründe abzielt: Die GPL, und Freie-Software-Bewegung im Allgemeinen, hat als oberstes Ziel die Stärkung der Rechte der individuellen Anwender. Alles andere, auch gesamtgesellschaftliche Aspekte, stehen dem nach.
Ich sehe da kein Problem:
Wer die Rechte (und vor allem auch die Befähigung ("study", "improve")) des Individuums stärkt, verändert damit auch zwangsläufig die Gesellschaft.
Gruß Michael
RA Stehmann schrieb:
On 20.12.2014 15:45, Volker Grabsch wrote:
Falls deine Frage jedoch auf die Hintergründe abzielt: Die GPL, und Freie-Software-Bewegung im Allgemeinen, hat als oberstes Ziel die Stärkung der Rechte der individuellen Anwender. Alles andere, auch gesamtgesellschaftliche Aspekte, stehen dem nach.
Ich sehe da kein Problem:
Wer die Rechte (und vor allem auch die Befähigung ("study", "improve")) des Individuums stärkt, verändert damit auch zwangsläufig die Gesellschaft.
Ich sehe da auch kein Problem, im Gegenteil: Dadurch, dass stets die einzelnen Anwender im Vordergrund stehen, ist die Gefahr nicht so groß, dass das Projekt seine Integrität zu Gunsten des "großen Ganzen" kompromittiert.
Gruß Volker
On 17.12.2014 14:30, BBiwy wrote:
Hallo Michael,
Am 17.12.2014 um 09:39 schrieb RA Stehmann:
[...]
Als Kompromiss kann man den Quelltext unter freier Software stellen, jedoch wird dieser nur den Dienstleistern/Auftraggebern ausgehändigt. Denn was nützt mir ein Betriebssystem, dessen Quelltext allgemein verfügbar ist und somit Angriffsmöglichkeiten ausprobiert werden können, wo es doch ein Hochsicherheitssystem sein soll.
[...] Abgesehen davon widerspricht das dem Freiheitsgedanken Freier Software und ist auf dieser Liste eher OT. Jeder soll den Quelltext studieren dürfen. Das dient der Volksbildung. [...]
So weit so gut.
LiMux ist freie Software [1], unterliegt also auch der GPL. D. h. der Quelltext/die Software ist zu veröffentlichen. Nun, wenn der Quelltext/die Software der Öffentlichkeit gegeben werden muss, wieso ist dann der Quelltext/die Software nicht öffentlich (und damit eigentlich keine freie Software, die es aber laut Lizenz ist)?!
Schon einmal etwas von Wollmux [1] gehört?
Gruß Michael
[1] http://www.wollmux.net/wiki/Hauptseite http://de.wikipedia.org/wiki/LiMux#Umstellung_auf_OpenOffice.org http://www.wollmux.net/wiki/Download#Quelltext
Hallo Michael,
Am 17.12.2014 um 15:43 schrieb RA Stehmann:
[...] Schon einmal etwas von Wollmux [1] gehört? [...]
Ja, habe ich. Lizenziert unter EUPL (Überraschung...). Und das Konzept sieht nichts anders vor als, dass das (dann noch zu entwickelnde) Betriebssystem auch unter EUPL steht (damit WollMux darin auch integriert werden kann, falls dies bei der GPL nicht möglich ist) und als Auftragsarbeit (sprich Ausschreibung) oder Eigenentwicklung unter freier Lizenz, wie die EUPL, entwickelt wird.
Es soll im Endeffekt, wie bisher bei LiMux auch entwickelt werden, es geschieht nur drei (NUTS-0 [1], Deutschland) bzw. vier (Europa) Ebenen über der Kommune, also für einen größeren Geltungsbereich.
Und der Quelltext wird nur 1. bei einer Ausschreibung: zwischen den Auftraggeber (also der EU) und dem Auftragnehmer (dem Entwickler/Dienstleister) ausgetauscht. (Das ist bei LiMux auch der Fall.) Damit können falls notwendig Dritte (also ein Firma, die das ggf. irgendwann mal warten soll) es verändern. oder 2. man stellt die Entwickler selbst ein; entwickelt es selbst unter einer freien Lizenz und wartet alles selbst. Falls es nicht selbst zu warten geht, gibt es eine Ausschreibung an eine Firma.
Wieso kritisiert ihr es [also dass ich angeblich "Security through obscurity" mache -was nicht der Fall ist-] bei meinem Vorschlag, tut dies aber nicht bei der Stadt München?
Gruss
BBiwy
Referenzen: [1] https://de.wikipedia.org/wiki/NUTS#Nationale_.C3.84quivalente
Hallo Michael,
Am 17.12.2014 um 09:39 schrieb RA Stehmann:
[...]
Auch können mit diesem Konzept sämtliche Vorgänge überprüft und generalisiert werden, womit nur ein Programm für eine Aufgabe notwendig wird, wie z. B. LewisDIGANT (das aus den Fachverf. LewisDB (Einwohnermeldewesen) und DIGANT (Fachverf. f. Pässe, Personalausweise und Führerscheine) besteht).
Damit werden neue Monopole geschaffen.
Wird nun mal mit durch den UNIX-Grundsatz "Schreibe Computerprogramme so, dass sie nur eine Aufgabe erledigen und diese gut machen." [1] und auch dem KISS-Prinzip [2] gefördert. (Auch wenn das Beispiel gerade ein Programm für zwei Aufgaben ist.) Und wenn ich mir den Kernel anschaue, sehe ich dort eigentlich nur Monopole (aka Module).
Daneben gibt es verschiedene gesetzliche Grundlagen und damit auch Programmangebot(e): Gesetze des Bundes (einmal für alle) (z. B. Personenstandswesen aka Standesamt, Einwohnermeldewesen, Ordnungswidrigkeiten, Sozialrecht) Gesetze der Länder (16x mal; für jedes Bundesland eines; könnte aber auch auf die Kommune abgegeben sein) (z. B. Vermessungswesen) Normen der Kommunen (11.114x (Kommune) + 295x (LKr) = 11.409x mal; für jede Kommune anders) (z. B. Hundesteuer, Zweitwohnungssteuer) Als Zwischenform gibt es die Landratsämter (295x), die Aufgaben der staatlichen Verwaltung (z. B. Katasterwesen, Kommunalaufsicht) und der Kommunen (z. B. Abfallwirtschaft, Krankenhäuser) wahrnehmen.
[...] Hochsicher ist nur ein Computer, der nicht betrieben wird. Damit man wirklich die volle Kontrolle hat, müsste man Hardware und Software "from scratch" komplett neu entwickeln, also praktisch mit Relais und Schaltern wieder neu anfangen. [1] [...]
+1
Bei der Umsetzung des Konzepts kann dies, zumindest bei der Software, mitberücksichtigt werden. Und auch, Michael Hange als Präsident des Bundesamt für Sicherheit in der Informationstechnik (BSI), sagte in einem FAZ-Interview von November 2013, dass "Open Source durch die Konfektionierbarkeit des Betriebssystems die Möglichkeit [schafft], den Umfang auf die Softwareanteile zu beschränken, die für spezielle Aufgaben zwingend erforderlich sind". [3,4]
Gruss
BBiwy
Referenzen: [1] https://de.wikipedia.org/wiki/Unix-Philosophie#McIlroy:_A_Quarter_Century_of... [2] https://de.wikipedia.org/wiki/KISS-Prinzip - Erstes Beispiel [3] http://www.faz.net/-gqz-7jo4u - Frage 24 "Warum schützt Open Source?" (Seite 5) [4] http://www.embedded-linux.de/component/content/article/ 681-bsi-praesident-spricht-sich-fuer-open-source-aus - Zweiter Absatz letzter Satz