Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Snap: Ubuntus neues Paketformat ist…

Nullinformation

  1. Thema

Neues Thema Ansicht wechseln


  1. Nullinformation

    Autor: mnementh 22.04.16 - 15:44

    Also kurz gesagt: mit X11 sind Angriffe auf andere Anwendungen möglich. Ob das Programm nun mit deb-Paketen, mit rpm-Paketen oder mit Snap installiert wurde. Wayland und Mir bieten da bessere Absicherung. Das Ganze hat also im Endeffekt nichts mit Snap zu tun.

    Irgendwie habe ich das Gefühl Matthew Garrett meldet sich in letzter Zeit gehäuft mit solchem Kram zu Wort, der in der Schlagzeile interessant aussieht, sich aber bei genauem Hinsehen als heiße Luft entpuppt. Ist das subjektiv, oder ist das anderen auch schon aufgefallen?

  2. Re: Nullinformation

    Autor: Linuxschaden 22.04.16 - 16:01

    Ich mach' jetzt mal kurz Realitätsabgleich:

    In dem Artikel wird "Keylogger" erwähnt, also gehe ich davon aus, dass es (mal wieder) was mit vertrauenswürdiger Software zu tun hat. Einige Anwendungen sollen halt alle Tastaturereignisse mitschneiden können. Andere aber nicht. X kann aber nicht unterscheiden, welche Anwendungen das "dürfen sollen" und welche nicht.

    Und das neue Paketformat von Ubuntu bringt Meta-Informationen mit, welche Anwendungen jetzt so vertrauenswürdig sind, dass sie dem Display Manager sagen dürfen, dass sie gerne alle Ereignisse hätten. In der Theorie. X als DM kann das aber nicht, weswegen die Meta-Informationen hier nicht wirken.

    Und Garrett stört sich halt daran, dass das Versprechen von Sicherheit im Raum steht, obwohl diese bei X nicht greift, was generell Unsicherheit bedeutet (je mehr man glaubt, dass man sicher ist, desto blinder ist man, pauschal gesprochen). Ich glaube, daran hängt sich Garrett auf.

    Ist allerdings meine persönliche Interpretation. Wenn jemand was anderes aus dem Artikel liest, bitte ich um Erleuchtung.

  3. Re: Nullinformation

    Autor: Schnarchnase 22.04.16 - 16:11

    Ich lese das genauso (zumindest aus seinem Blog-Eintrag) heraus. Er beschwert sich eigentlich nur, dass Canonical mit mehr Sicherheit wirbt, diese aber aktuell in der Regel gar nicht erreicht wird. Er schreibt dort auch, dass es ein guter Schritt zu mehr Sicherheit ist, wenn Ubuntu denn mal mit Mir läuft.

  4. Re: Nullinformation

    Autor: Vanger 22.04.16 - 18:12

    Der Knackpunkt ist, dass weder bei deb- noch bei rpm-Paketen behauptet wird, die installierte Software sei voneinander abgeschottet. Snap hingegen behauptet das - was aber offenbar nicht zutreffend ist wenn X11 verwendet wird. Nachdem die Installation von Apps mit GUI kein Sonderfall für den Einsatz von Snap ist sondern vielmehr eines der vorrangigen Ziele, und X11 unter Ubuntu weiterhin den Standard darstellt, ist das Sicherheitsversprechen von Snap falsch. Natürlich ist das kein Fehler in der Software, sehr wohl aber ein Fehler darin womit die Software beworben wird.



    1 mal bearbeitet, zuletzt am 22.04.16 18:12 durch Vanger.

  5. Re: Nullinformation

    Autor: Moe479 22.04.16 - 21:34

    könnte man den berechtigungskrams nicht in x für snap nachpflegen? oder ist das so brutal kompliziert?

  6. Re: Nullinformation

    Autor: Linuxschaden 22.04.16 - 22:21

    Moe479 schrieb:
    --------------------------------------------------------------------------------
    > könnte man den berechtigungskrams nicht in x für snap nachpflegen? oder ist
    > das so brutal kompliziert?

    Wozu?

    Gerade diese spezielle Version des X-Protokolls (X11) ist älter als ich. Nativ ist X sehr limitiert, ein Großteil kommt über Module und Erweiterungen herein, und das meiste wird eh über den Desktop Manager gerendert (der dann aber wieder X anfragt, um auf die Hardware zuzugreifen). Und ich verstehe bis heute nicht, wieso X immer noch als root ausgeführt wird, wenn wir KMS haben und über ein (so bezeichnetes) wohldefiniertes Kernel-API auf die Hardware zugreifen können.

    X sterben lassen würde wahrscheinlich zu weit gehen, schließlich gibt es da draußen noch Admins, die in ihrer IT-Höhle tatsächlich die Netzwerkfähigkeit von X nutzen. Aber für einen ganz normalen Desktop, bei dem alles OOTB funktioniert, bei dem der Nutzer nicht noch manuell uxa oder sna oder glamor oder weiß der Deibel einstellen sollte, da ist X einfach nichts. Da würde ich mich lieber darum kümmern, dass Wayland oder Mir Unterstützung dafür kriegen.

    (Warum Ubuntu überhaupt mit Mir angefangen hat, ist mir auch ein Rätsel. NIH-Syndrom, oder gab es berechtigte Gründe, nicht Wayland zu unterstützen und zu verwenden? Oder ist Wayland jetzt genauso eine Eiterbeule geworden wie X?)

    EDIT: Die Wikipedia-Seite ist auch ganz witzig dazu:

    >It is as important to decide what a system is not as to decide what it is. Do not serve all the world's needs; rather, make the system extensible so that additional needs can be met in an upwardly compatible fashion.

    Ich will gar nicht wissen, zu wie viel redundanten Code dieser Hirnriss geführt hat. Besser, man macht es einmal richtig (oder halt auch zigmal falsch, aber wenigstens bleibt der Code zentral) und alle Programme greifen dann darauf zu.



    1 mal bearbeitet, zuletzt am 22.04.16 22:28 durch Linuxschaden.

  7. Re: Nullinformation

    Autor: Schnarchnase 22.04.16 - 22:23

    Moe479 schrieb:
    --------------------------------------------------------------------------------
    > könnte man den berechtigungskrams nicht in x für snap nachpflegen? oder ist
    > das so brutal kompliziert?

    Ich denke nicht, dass das mit vertretbarem Aufwand möglich wäre. Da ist es einfacher zu warten bis alle Distributionen auf Wayland (und Ubuntu wenn sie es denn unbedingt für nötig halten auf Mir) gewechselt sind.

  8. Re: Nullinformation

    Autor: Schnarchnase 22.04.16 - 22:27

    Linuxschaden schrieb:
    --------------------------------------------------------------------------------
    > X sterben lassen würde wahrscheinlich zu weit gehen, schließlich gibt es da
    > draußen noch Admins, die in ihrer IT-Höhle tatsächlich die
    > Netzwerkfähigkeit von X nutzen.

    Nein, das würde nicht zu weit gehen, genau so wird es kommen. Netzwerktransparenz lässt sich auch mit Wayland erreichen und das wird sicher früher oder später implementiert.

    > (Warum Ubuntu überhaupt mit Mir angefangen hat, ist mir auch ein Rätsel.
    > NIH-Syndrom, oder gab es berechtigte Gründe, nicht Wayland zu unterstützen
    > und zu verwenden?)

    Ganz klar NIH, oder sie haben nicht verstanden, dass Wayland nur ein Protokoll und Weston nur eine Referenzimplementation ist, die man nicht nutzen muss.

  9. Re: Nullinformation

    Autor: Linuxschaden 22.04.16 - 22:32

    Schnarchnase schrieb:
    --------------------------------------------------------------------------------
    > Nein, das würde nicht zu weit gehen, genau so wird es kommen.
    > Netzwerktransparenz lässt sich auch mit Wayland erreichen und das wird
    > sicher früher oder später implementiert.

    Ich meine "X sterben zu lassen, wenn Wayland ausgereift ist". Selbst. wenn die Distros dann alle auf Wayland gewechselt sind, sollte man X noch 'ne Zeitlang unterstützen, allein den ganzen Leuten wegen, die eine Stable-Installation haben und dann mitunter Jahre auf dem Versionsstand bleiben.

    EDIT: Gab doch ernst letztens wieder ein furchtbares Theater, weil XScreensaver oder was es war nach zwei Jahren einen Hinweis einblendete, dass die Version furchtbar veraltert sei und dass man doch bitte eine neue Version installieren sollte. Das Gegreine der Leute habe ich jetzt noch im Ohr, und dabei habe ich mich sogar aus der Debatte rausgehalten.



    1 mal bearbeitet, zuletzt am 22.04.16 22:34 durch Linuxschaden.

  10. Re: Nullinformation

    Autor: Schnarchnase 22.04.16 - 22:34

    Bugfixes wird es wohl noch eine Weile geben, aber mit neuen Features ist wohl nicht zu rechnen.

  11. Re: Nullinformation

    Autor: hellookit 22.04.16 - 23:17

    Linuxschaden schrieb:
    --------------------------------------------------------------------------------
    > Moe479 schrieb:
    > ---------------------------------------------------------------------------
    > (Warum Ubuntu überhaupt mit Mir angefangen hat, ist mir auch ein Rätsel.
    > NIH-Syndrom, oder gab es berechtigte Gründe, nicht Wayland zu unterstützen
    > und zu verwenden? Oder ist Wayland jetzt genauso eine Eiterbeule geworden
    > wie X?)

    Damals haben Sie drei Gründe genannt: Es is sicherer, Input von Wayland war scheiße (wollten den Android-Stack verwenden), und das jedes Zeug am Smartphone und PC gleich funktioniert!

    Sicherheit-Aussage stellte sich als Lüge und Canocial musste sich Entschuldigen.

    Ihr eigenes Eingabesystem haben sie fallen gelassen, weil jetzt libinput so wunderbar funktioniert.

    Es ging eigentlich nur darum, das der Entwicklungsaufwand von Unity so klein wie möglich ist: U-Smartphone, U-Tablet, U-PC sollen alle Mir nutzen.

  12. Re: Nullinformation

    Autor: Wallbreaker 22.04.16 - 23:24

    Schnarchnase schrieb:
    --------------------------------------------------------------------------------
    > Ich lese das genauso (zumindest aus seinem Blog-Eintrag) heraus. Er
    > beschwert sich eigentlich nur, dass Canonical mit mehr Sicherheit wirbt,
    > diese aber aktuell in der Regel gar nicht erreicht wird. Er schreibt dort
    > auch, dass es ein guter Schritt zu mehr Sicherheit ist, wenn Ubuntu denn
    > mal mit Mir läuft.

    Sehe ich auch so. Hier wird seitens Canonical wie so oft um etwas geworben was nie geliefert wird. Eine Open-Source Schande dieses Unternehmen.

  13. Re: Nullinformation

    Autor: Wallbreaker 22.04.16 - 23:38

    Moe479 schrieb:
    --------------------------------------------------------------------------------
    > könnte man den berechtigungskrams nicht in x für snap nachpflegen? oder ist
    > das so brutal kompliziert?

    Es ist mehr als nur brutal kompliziert. Denn der X-Server ist eigentlich noch ein Konstrukt der 80er Jahre, und wurde im Sinne damaliger Bedürfnisse entwickelt.
    Zudem wurde er über Jahre wieder und wieder endlos gepatcht, um ihn an moderne Verfahren anzupassen. Nur das hat sehr deutliche Grenzen zumal das grundlegende Design, keinerlei echte Sicherheit jemals vorgesehen hat. Daher ist es auch ungeheuerlich schwierig diese gesamte Infrastruktur, inkl. aller darauf aufbauenden Programme mal einfach zu verändern. Und das es Wayland gibt was mit Sicherheit im Fokus designt wurde, ist eine deutliche Antwort auf die Probleme des X-Servers.
    Sprich es wurde komplett neu angefangen, da es sich offenbar nicht lohnt zu patchen.

    Ich nutze bereits jetzt schon Wayland. Aber es ist stark vom jeweiligen Desktop abhängig, inwieweit der Support dafür gereift ist. Hier ist derzeit GNOME 3 mit vollem Wayland Support, und auch für KDE Plasma wird das bald fertig sein.
    Ebenso wurde bei E20 deutlich daran gefeilt, doch die restlichen Desktops sind noch weit davon entfernt, und haben bislang nicht vor den X-Server zu verlassen.

  14. Re: Nullinformation

    Autor: Wallbreaker 23.04.16 - 00:00

    Linuxschaden schrieb:
    --------------------------------------------------------------------------------
    > Und ich verstehe bis heute nicht, wieso X immer noch als root
    > ausgeführt wird, wenn wir KMS haben und über ein (so bezeichnetes)
    > wohldefiniertes Kernel-API auf die Hardware zugreifen können.

    Wird schon lange nicht mehr als Root ausgeführt in mehreren Distributionen, wie z.B. Debian. Zudem ist hier das Bedeutende, dass der Compositor und der jeweils gewählte Fenstermanager nur mit Nutzerrechten laufen. Die Kommunikation mit Xorg wird über systemd abgewickelt um das etwas sicherer zu gestalten.

    > X sterben lassen würde wahrscheinlich zu weit gehen, schließlich gibt es da
    > draußen noch Admins, die in ihrer IT-Höhle tatsächlich die
    > Netzwerkfähigkeit von X nutzen.

    Das wird Wayland ebenso bald können. Auch wenn das nicht das wichtigste Feature ist.

    > (Warum Ubuntu überhaupt mit Mir angefangen hat, ist mir auch ein Rätsel.
    > NIH-Syndrom, oder gab es berechtigte Gründe, nicht Wayland zu unterstützen
    > und zu verwenden? Oder ist Wayland jetzt genauso eine Eiterbeule geworden
    > wie X?)

    Genau genommen wurde Mir begonnen, aufgrund wenig fundiertem Gehetze seitens Canonical gegen Wayland. Es wurden angebliche Probleme vorgeworfen, auch dass das Projekt keine Fortschritte machen würde. Nur letztlich hat sich nichts davon jemals bestätigt. Seit Wochen ist Wayland nun fertig, muss also nur noch adaptiert werden, doch von Mir oder gar Unity 8 nicht die geringste Spur. Nichts als Gelaber und Verunglimpfungen, aber selbst nichts zustande bringen.
    Ganz ehrlich die Wahrheit hinter Mir ist doch nur, dass man hier einen Lock-in Effekt herstellen kann, was dann zu den Unmengen an Alleingängen von Canonical passt. Hier wird Ubuntu laufend mehr isoliert vom Rest um letztlich von diesem System abhängig zu machen. Eigentlich will Canonical einmal mit Ubuntu Geld verdienen. Wie könnte man das also besser anstreben als mit exklusiv lizensierten Technologien, die ausschließlich unter Ubuntu funktionieren?

  15. Re: Nullinformation

    Autor: JOnathanJOnes 23.04.16 - 01:24

    Wallbreaker schrieb:
    --------------------------------------------------------------------------------
    > Linuxschaden schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Und ich verstehe bis heute nicht, wieso X immer noch als root
    > > ausgeführt wird, wenn wir KMS haben und über ein (so bezeichnetes)
    > > wohldefiniertes Kernel-API auf die Hardware zugreifen können.
    >
    > Wird schon lange nicht mehr als Root ausgeführt in mehreren Distributionen,
    > wie z.B. Debian. Zudem ist hier das Bedeutende, dass der Compositor und der
    > jeweils gewählte Fenstermanager nur mit Nutzerrechten laufen. Die
    > Kommunikation mit Xorg wird über systemd abgewickelt um das etwas sicherer
    > zu gestalten.
    >
    > > X sterben lassen würde wahrscheinlich zu weit gehen, schließlich gibt es
    > da
    > > draußen noch Admins, die in ihrer IT-Höhle tatsächlich die
    > > Netzwerkfähigkeit von X nutzen.
    >
    > Das wird Wayland ebenso bald können. Auch wenn das nicht das wichtigste
    > Feature ist.
    >
    > > (Warum Ubuntu überhaupt mit Mir angefangen hat, ist mir auch ein Rätsel.
    > > NIH-Syndrom, oder gab es berechtigte Gründe, nicht Wayland zu
    > unterstützen
    > > und zu verwenden? Oder ist Wayland jetzt genauso eine Eiterbeule
    > geworden
    > > wie X?)
    >
    > Genau genommen wurde Mir begonnen, aufgrund wenig fundiertem Gehetze
    > seitens Canonical gegen Wayland. Es wurden angebliche Probleme vorgeworfen,
    > auch dass das Projekt keine Fortschritte machen würde. Nur letztlich hat
    > sich nichts davon jemals bestätigt. Seit Wochen ist Wayland nun fertig,
    > muss also nur noch adaptiert werden, doch von Mir oder gar Unity 8 nicht
    > die geringste Spur. Nichts als Gelaber und Verunglimpfungen, aber selbst
    > nichts zustande bringen.
    > Ganz ehrlich die Wahrheit hinter Mir ist doch nur, dass man hier einen
    > Lock-in Effekt herstellen kann, was dann zu den Unmengen an Alleingängen
    > von Canonical passt. Hier wird Ubuntu laufend mehr isoliert vom Rest um
    > letztlich von diesem System abhängig zu machen. Eigentlich will Canonical
    > einmal mit Ubuntu Geld verdienen. Wie könnte man das also besser anstreben
    > als mit exklusiv lizensierten Technologien, die ausschließlich unter Ubuntu
    > funktionieren?

    MIR und unity 8 laufen auf Handy und tablet schon sehr gut. Gibt noch ein paar Probleme aber selbst die convergence läuft. Also von wegen keine Spur von MIR und unity 8.

  16. Re: Nullinformation

    Autor: tingelchen 23.04.16 - 22:21

    > Seit Wochen ist Wayland nun fertig
    >
    Hu? Gar nicht mitbekommen...

    Mittlerweile gibt es die Protokoll API in v1.3 und wayland himself in v1.10.



    1 mal bearbeitet, zuletzt am 23.04.16 22:26 durch tingelchen.

  17. Re: Nullinformation

    Autor: tingelchen 23.04.16 - 22:35

    Hab mir Snap nicht näher angesehen. Aber wie um alles in der Welt sollen die Anwendungen von einem Paket Management Tool voneinander abgeschottet werden?

    Das würde ja nur gehen, wenn Snap mehr ist als ein Paket Management Tool, sondern zugleich auch eine API für Anwendungen liefert und die Anwendungen selbst in einen Sandkasten stopft.

  18. Re: Nullinformation

    Autor: Vanger 24.04.16 - 12:50

    Genau das ist es ;)

  19. Re: Nullinformation

    Autor: zilti 24.04.16 - 20:41

    Also wollte Canonical einfach mal wieder mit ein paar dünnen Argumenten ihr NIH-Syndrom ausleben... Diese paar Metainformationen könnte man auch in die bisherigen Formate einbauen (falls überhaupt ein "Einbauen" nötig wäre, was ich stark bezweifle), aber man erfindet ja lieber das Rad neu, damit man ein Lock-In-Alleinstellungsmerkmal hat.

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Rational AG, Landsberg am Lech
  2. Flughafen München GmbH, München
  3. operational services GmbH & Co. KG, München
  4. Hornbach-Baumarkt-AG, Bornheim bei Landau Pfalz

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Hardware-Angebote
  1. 199,90€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Indiegames-Rundschau: Epische ASCII-Abenteuer und erlebnishungrige Astronauten
Indiegames-Rundschau
Epische ASCII-Abenteuer und erlebnishungrige Astronauten

In Stone Story RPG erwacht ASCII-Art zum Leben, die Astronauten in Oxygen Not Included erleben tragikomische Slapstick-Abenteuer, dazu kommen Aufbaustrategie plus Action und Sammelkartenspiele: Golem.de stellt neue Indiegames vor.
Von Rainer Sigl

  1. Indiegames-Rundschau Von Bananen und Astronauten
  2. Indiegames-Rundschau Verloren im Sonnensystem und im Mittelalter
  3. Indiegames-Rundschau Drogen, Schwerter, Roboter-Ritter

Smarte Wecker im Test: Unter den Blinden ist der Einäugige König
Smarte Wecker im Test
Unter den Blinden ist der Einäugige König

Einen guten smarten Wecker zu bauen, ist offenbar gar nicht so einfach. Bei Amazons Echo Show 5 und Lenovos Smart Clock fehlen uns viele Basisfunktionen. Dafür ist einer der beiden ein besonders preisgünstiges und leistungsfähiges smartes Display.
Ein Test von Ingo Pakalski

  1. Nest Hub im Test Google vermasselt es 1A

OKR statt Mitarbeitergespräch: Wir müssen reden
OKR statt Mitarbeitergespräch
Wir müssen reden

Das jährliche Mitarbeitergespräch ist eines der wichtigsten Instrumente für Führungskräfte, doch es ist gerade in der IT-Branche nicht mehr unbedingt zeitgemäß. Aus dem Silicon Valley kommt eine andere Methode: OKR. Sie erfüllt die veränderten Anforderungen an Agilität und Veränderungsbereitschaft.
Von Markus Kammermeier

  1. IT-Arbeitsmarkt Jobgarantie gibt es nie
  2. IT-Fachkräftemangel Freie sind gefragt
  3. Sysadmin "Man kommt erst ins Spiel, wenn es brennt"

  1. Flottenmanager: "Carsharing funktioniert einfach nicht"
    Flottenmanager
    "Carsharing funktioniert einfach nicht"

    Mazda beendet sein Carsharing-Experiment mit dem Mobilitätsdienstleister Choice, der Deutschen Bahn und Lidl. Zuvor hatte Citroen das Segment verlassen. Die Branche soll massive Probleme mit der Rentabilität zu haben.

  2. Little Ripper: Drohnen sollen Schwimmer vor Krokodilen warnen
    Little Ripper
    Drohnen sollen Schwimmer vor Krokodilen warnen

    Der Drohnendienst Little Ripper warnt Schwimmer in Australien vor Krokodilen. Die Kameras sollen die Tiere mit Hilfe künstlicher Intelligenz aus der Luft erkennen.

  3. Nasa/DLR Design Challenge: Die Zubringerflugzeuge der Zukunft sind flexibel und öko
    Nasa/DLR Design Challenge
    Die Zubringerflugzeuge der Zukunft sind flexibel und öko

    Kaum Spielraum für Verbesserungen, aber viele Herausforderungen: Beim Bau von Flugzeugen machen Elektrifizierung und Automatisierung das Design noch wichtiger.


  1. 09:35

  2. 09:20

  3. 09:02

  4. 08:32

  5. 07:57

  6. 07:21

  7. 19:42

  8. 18:31