Dubbio sicurezza opensource

[cdimauro]

Originariamente inviato da uovobw

che la security throug obscurity si sia dimostrata la tecnica perdente è ormai provato, basta vedere il ciclo di aggiornamenti di firefox e quello di ie.

L'analisi, pure superficiale, di un caso specifico, non dimostra la generalità di un concetto.

Inoltre la sicurezza basata sul rilascio dei sorgenti e quella sul non rilascio sono due lati della stessa medaglia, che è appunto la sicurezza. Sono mutualmente esclusive e la prima non fa affatto fuori la seconda (in termini di sicurezza). Tutt'altro.
Hanno entrambi pregi e difetti proprie della scelta effettuata, ma nessuno dei due rappresenta la soluzione al problema della sicurezza di un sistema (in generale. Nello specifico è da vedere, caso per caso, in base agli obiettivi che ci si pone).

Un po di tempo fa avevo letto il post di uno che diceva una cosa simile: avere il codice sorgente disponibile in un sistema operativo è come mettere l'allarme in casa e scrivere il codice per spegnerlo sulla porta.
Sbagliato:
avere il codice disponibile è come mettere l'allarme in casa e il suo schema di funzionamento: sai come funziona, ma l'allarme c'è lo stesso.
Poi tu mi dici: si ma se lo schema di funzionamento mi fa capire che il filo rosso stacca l'allarme, siamo daccapo.
E qui la risposta: il problema è che anche chiunque possa leggere quello schema può vedere che li c'è una debolezza e modificare un attimo l'impianto.

Solo che nel frattempo io sarò già entrato in casa tua e l'avrò svaligiata.

Poi puoi anche trovare la falla, modificare lo scherma e ripubblicarlo: tornerò a studiarmelo, e appena ne troverò un'altra che ti sarà sfuggita ti fregherò ancora.

Proprio questo è un caso in cui la security through obscurity dimostra la sua indubbia validità.

[Gica78R]

Originariamente inviato da ilsensine

www.cdimauro.net ..

Difatti il sito sembra ancora non reperibile..
Ma quanto ci metti a ripararlo?

[cdimauro]

Originariamente inviato da W.S.

Esatto, in più se sai di scrivere software aperto stai attento a cosa scrivi per paura di fare figuracce

A giudicare da tanto software open source che ho visto, sono in molti a non preoccuparsi delle figuracce...

In più molti programmatori non sanno come scrivere in modo da evitare buchi,

Se conosci un modo per scrivere programmi senza bug, fammelo sapere: ti assicuro che diventiamo miliardari.

Ti risparmio la fatica: NON ESISTE nessun metodo del genere e MAI esisterà.

a loro basta che funzioni, soprattutto quando hai il fiato di qualche scadenza sul collo ti lasci scappare qualche controllo.

Se lo fai di proposito, sei un folle (e non sei assolutamente un professionista; a meno che non ti sia stata data carta da bianca dal tuo responsabile).
Se lo fai per distrazione, è una cosa normale: può capitare a tutti, anche a chi ha parecchi anni di esperienza alle spalle e adotta solide metodologie di sviluppo.

Il discorso è proprio quello di dare la possibilità di controllare cosa si ha in mano, che poi la maggior parte degli utenti non guardi il codice è un'altro discorso, l'importante è averne la possibilità.

Questa possibilità ce l'hai anche senza avere i sorgenti in mano.

Correggere un buco senza avere i sorgenti a disposizione è un'impresa ed è pure illegale!

Correggere un bug è interesse di chi ha sviluppato il software, non di chi l'ha trovato e non ha a disposizione i sorgenti.

Inoltre non credo che sia illegale: lo è aggirare le protezioni in tanti paesi, e in altri il reverse engineering, ma non la correzione di un bug di per sé (a meno che non si sia violata una delle due).

E' lo stesso discorso del filo rosso, una cosa è vederlo un'altra è poter fare in modo che non basti quello a staccare l'allarme.

Se non basta quello, se ne troverà un altro. Il nocciolo della questione sta tutta qui.

Mettiamo che tu debba collegare il nocciolo di una centrale nucleare all'esterno: renderesti disponibili i sorgenti e gli schemi del sistema oppure no? Nel primo caso faresti la felicità di gente come Bin Laden.

[cdimauro]

Originariamente inviato da Artemisyu

Egregio dottore,

Quando qualcuno comincia a tirare in ballo il (mio) titolo, è segno che non è in grado di discutere tranquillamente. Questo è statisticamente dimostrabile.

ma quand'è che l'open source ha cominciato a starti tanto sulle palle?

Mai. Tant'è che lo uso. Mi faresti vedere da cosa l'avresti dedotto, cortesemente?

Io non capisco tutto quest'astio

Lo vedi soltanto tu.

per un modello di sviluppo che si è generato quasi da solo,

Guarda che l'open source esiste da quando il software stesso ha fatto capolino sulla faccia della Terra.

si è reso operativo in pochissimo tempo e che si è dimotrato vincente, permettendo grandissimi progressi in pochissimo tempo?

Questo è tutto da vedere.

GNU/Linux è un sistema che più persone lo usano più rapidamente si sviluppa,

Ma nonostante tutto non riesce a competere nemmeno con Windows (figuriamoci OS X) come soluzione desktop: perché?

e ha rosicchiato fette enormi di mercato (nel campo server, ovviamente) in un tempo ridotto, dimostrando spesso e volentieri un prodotto più versatile, scalabile, adattabile ad ogni situazione, e molto più conveniente.

Anche questo è tutto da vedere. In ambito server, per le sue caratteristiche, ha avuto un grande successo, ma sul versante desktop la situazione non è affatto la stessa.

Gran parte dei costi inferiori e della dimostrada qualità del prodotto

Cosa intendi per "qualità"? Ti riferisci ai sorgenti o all'applicazione "in esecuzione"? In entrambi i casi, ci sarebbe parecchio da dire. Ma questo NON dipende strettamente dal modello di sviluppo, quanto dalle metodologie (di sviluppo) adottate e dallo spreco di risorse (troppa poca organizzazione, forking, ecc.).

Fortunatamente lo sviluppo del kernel (cioé Linux) è in mano a un'oligarchia, e procede piuttosto bene, seppur con qualche intoppo (ma i bug, come già detto, sono una caratteristica intrinseca del software).

è proprio da trovarsi nel modello di sviluppo che contesti tanto.

ciao ciao!

Io non lo contesto affatto. Anzi, ho detto chiaramente che open e closed source sono due facce della stessa medaglia, nell'ambito della sicurezza (ed era questo l'argomento di discussione del thread), e che certi risultati dipendono dalle metodologie adottate e NON dal fatto che un prodotto sia open o closed.

[cdimauro]

Originariamente inviato da Gica78R

Difatti il sito sembra ancora non reperibile..
Ma quanto ci metti a ripararlo?

Ho avuto per un anno un dominio e relativo spazio web: non ho mai messo neppure una paginetta HTML scritta a mano con scritto "Lavori in corso..."

[Zorcan]

Originariamente inviato da cdimauro

Correggere un bug è interesse di chi ha sviluppato il software, non di chi l'ha trovato e non ha a disposizione i sorgenti.

Sarà, ma se il motore cigola preferisco avere la libertà di aprire il cofano e stringermi la vitina piuttosto che andare in officina e farmi smontare mezza automobile senza capire esattamente cosa gli è successo. La libertà di intervenire, quindi, fa una grande differenza. Ovvio che la faccia anche per chi guadagna dal fatto che il software sia chiuso e veda nell'opensource svanire una discreta somma, ma è il prezzo da pagare quando la gente prende coscienza del proprio diritto alla conoscenza e alla trasparenza.

[fek]

Originariamente inviato da pizeta

perchè l'opensource permette una sorta di intelligenza collettiva, e l'avere il codice libero significa doversi concentrare sulla creazione di un buon codice

Immagino tu non abbia mai dato un'occhiata ad esempio al codice sorgente di Firefox oppure ai sorgenti del kernel di Linux? Non sono proprio un fulgido esempio di "buon codice".

Originariamente inviato da Zorcan

Sarà, ma se il motore cigola preferisco avere la libertà di aprire il cofano e stringermi la vitina piuttosto che andare in officina e farmi smontare mezza automobile senza capire esattamente cosa gli è successo. La libertà di intervenire, quindi, fa una grande differenza. Ovvio che la faccia anche per chi guadagna dal fatto che il software sia chiuso e veda nell'opensource svanire una discreta somma, ma è il prezzo da pagare quando la gente prende coscienza del proprio diritto alla conoscenza e alla trasparenza.

Se non fosse che il motore di un'automobile non e' proprio la stessa cosa del software. Sono due "oggetti" profondamente differenti.

[pinok]

Mi sembrano le contestazioni che fa un dipendente di M$ ben istruito da Bill, comunque ....

Originariamente inviato da cdimauro

I bug sono contemplati SEMPRE, sia che si effettui manutenzione / bugfix di un prodotto, sia (e a maggior ragione) se vengono introdotte altre modifiche / funzionalità.

Non ho detto il contrario. Ho detto che non si attende una nuova release per correggere il bug e che non esce una nuova release solo per correggere un bug.

Originariamente inviato da cdimauro

L'analisi non è affatto facile: dal solo "comportamento anomalo" può essere molto difficile scoprire la causa.

Tu chiami comportamento anomalo un modem che si scollega e ricollega, un PC che genera elevato traffico, il disco che ti si riempie ?
L'analisi è comunque più facile se hai il sorgente, piuttosto che no.
Se ci lavori un po' come programmatore, dovresti sapere che dal comportamento anomalo, come lo chiami tu, non risali mai alla causa, ma a cio' che l'ha generato. Da lì parti a circoscrivere il problema, analizzi il codice relativo a quella porzione e vai alla causa.

Originariamente inviato da cdimauro

Subito significa anche rilasciare un prodotto che ha un'elevata probabilità di aver generato altri bug.

Non è che per forza di cose, se cambi una riga tra true a false apri nuovi bugs e comunque preferisco che venga tappato subito un bug noto e rischiare per un bug non noto (che darà un po' da studiare), che non stare con le braghe calate ad aspettare che M$
1) raccolga tot segnalazioni per prenderlo in considerazione
2) indica una riunione per valutare il problema
3) organizzi un piano di intervento
4) istituisca una commissione di sorveglianza
... pausa caffè....
5) distribuisca i pezzi di codice a vari sottogruppi.

La patch che ne uscirà avra meno bugs (dubito), ma nel frattempo mi hanno rigirato per bene il computer oppure ho dovuto staccarlo dalla rete con i danni che ne conseguono.

P.S.:
Non sono sicuro, ma a differenza di quello che dici, credo che in M$ pochi abbiano la visibilità completa del codice; per lo più ricevono incarico di sviluppare su specifica delle porzioni che poi qualcun altro riassemblerà.

[pinok]

Originariamente inviato da cdimauro

Solo che nel frattempo io sarò già entrato in casa tua e l'avrò svaligiata.

Poi puoi anche trovare la falla, modificare lo scherma e ripubblicarlo: tornerò a studiarmelo, e appena ne troverò un'altra che ti sarà sfuggita ti fregherò ancora.

Proprio questo è un caso in cui la security through obscurity dimostra la sua indubbia validità.

Ti contraddici
Nell'attesa che chi produce l'allarme ne rilasci un nuovo modello, il ladro, senza bisogno di impegnarsi in nuovi studi, svaligia l'intera città, non la casa e quando l'antifurto sarà pronto, non ci sarà più niente da proteggere.

Pensaci Bill

[fek]

Originariamente inviato da pinok

Mi sembrano le contestazioni che fa un dipendente di M$ ben istruito da Bill, comunque ....

A me le tue invece sembrano le contestazioni che fa un dipendente di Sun ben istruito

[Artemisyu]

Originariamente inviato da cdimauro

Mai. Tant'è che lo uso. Mi faresti vedere da cosa l'avresti dedotto, cortesemente?

Dal fatto che è un continuo far notare punti deboli di questo sistema di sviluppo, preferendo addirittura un attività di bugfixing interna all'azienda rispetto alla revisione paritaria del codice.

Originariamente inviato da cdimauro

Guarda che l'open source esiste da quando il software stesso ha fatto capolino sulla faccia della Terra.

Appunto.
E comunque non era l'opensource che conosciamo oggi.

Originariamente inviato da cdimauro

Ma nonostante tutto non riesce a competere nemmeno con Windows (figuriamoci OS X) come soluzione desktop: perché?

Perchè linux non è una soluzione desktop.
Lo si può usare su un desktop ovviamente, al prezzo di qualche compromesso.

Originariamente inviato da cdimauro

Cosa intendi per "qualità"? Ti riferisci ai sorgenti o all'applicazione "in esecuzione"? In entrambi i casi, ci sarebbe parecchio da dire. Ma questo NON dipende strettamente dal modello di sviluppo, quanto dalle metodologie (di sviluppo) adottate e dallo spreco di risorse (troppa poca organizzazione, forking, ecc.).

Mi riferisco al fatto che ho dovuto smettere di propinare GNU/Linux ai miei clienti, perchè dopo l'installazione ed un po' di formazione, il sistema andava talmente bene che si dimenticavano della mia esistenza, ed io non guadagnavo più una lira.
Questo, in un modo o nell'altro, è "qualità".

[Artemisyu]

Originariamente inviato da pinok

Mi sembrano le contestazioni che fa un dipendente di M$ ben istruito da Bill, comunque ....

Concordo.
Io fossi in lui farei una bella donazione alla SCO, che sta portando avanti una crociata molto simile alla sua su questo forum.

ciao ciao!

[fek]

Originariamente inviato da Artemisyu

Dal fatto che è un continuo far notare punti deboli di questo sistema di sviluppo, preferendo addirittura un attività di bugfixing interna all'azienda rispetto alla revisione paritaria del codice.

Non ci vuole una chissa' quale preparazione in Ingegneria del Software per capire come un'attivita' di bugfixing e relativo testing ben strutturata e basata su metodologie formali all'interno di un'azienda sia meno costosa e piu' sicura del "trova il bug, fixalo subito e rilascia il fix il prima possibile" tipico di molte produzioni open source (non tutte).

Ma il punto fondamentale e' che state proprio prendendo tutti un'incredibile cantonata perche' state parlando di fischi per fiaschi

Open Source NON e' una metodologia di sviluppo, e' un modello di distribuzione del software. NON c'entra nulla con la metodologia di sviluppo e non c'entra nulla con la bonta' o meno del codice che dipende solo dalla metodologia di sviluppo.

[pinok]

Originariamente inviato da cdimauro

A giudicare da tanto software open source che ho visto, sono in molti a non preoccuparsi delle figuracce...

Prima di fare questa affermazione, dovresti solo sforzarti di ripensare a quella scena in cui un certo Bill Gates, alla presentazione del suo bel closed source (mi pare Win98), attaccò uno scanner per dimostrare la potenzialità del suo prodotto e venne fuori una schermata blu.

A me sarebbe venuta voglia di spararmi per una figuraccia simile in mondovisione

[pinok]

Originariamente inviato da fek

Immagino tu non abbia mai dato un'occhiata ad esempio al codice sorgente di Firefox oppure ai sorgenti del kernel di Linux? Non sono proprio un fulgido esempio di "buon codice".

Sono sicuro che tu potrai avere valutato la bontà del codice M$, per fare un paragone !
Ah, dimenticavo, a meno che non lavori in M$ non hai potuto

Peccato, perché altrimenti mi potevi spiegare cosa ci faceva un simulatore di volo nascosto, se non erro, in Word.
Era per dare dimostrazione dell'ottima qualità del codice ??

[fek]

Originariamente inviato da pinok

Sono sicuro che tu potrai avere valutato la bontà del codice M$, per fare un paragone !
Ah, dimenticavo, a meno che non lavori in M$ non hai potuto

Peccato, perché altrimenti mi potevi spiegare cosa ci faceva un simulatore di volo nascosto, se non erro, in Word.
Era per dare dimostrazione dell'ottima qualità del codice ??

Aspetta, sto cercando di capire una cosa, la tua e' una guerra personale contro MS (perche' io non ho citato MS) oppure una disamina dei modelli di sviluppo e distribuzione del software?

(Si', ho avuto la possibilita' di guardare molto codice e metodologie di sviluppo MS, no, non lavoro in MS, no, non tutto il codice prodotto da MS e' di ottima qualita', si' molto codice prodotto da MS e' di buona qualita')

[Zorcan]

Originariamente inviato da fek

Se non fosse che il motore di un'automobile non e' proprio la stessa cosa del software. Sono due "oggetti" profondamente differenti.

Un esempio come un altro, ma non ce n'era un reale bisogno. La libertà dell'opensource è chiara a tutti, anche a chi sviluppa software closed e se mi ero permesso di fare un esempio, era solo perchè sembra che certe posizioni pro-closed eludano sistematicamente la questione libertà. Anche in questo caso, senza offesa, mi sembra che non si sia preso nemmeno in esame il concetto espresso da me e ci si sia limitati a notare che un motore di un'auto non è un software. Puntualizzazione che francamente non comprendo, soprattutto perchè non in merito a ciò che stavo dimostrando. E allora, per evitare che questo circo si protragga in eterno, sarò banalmente chiaro: il software aperto mi da una libertà che il software chiuso mi toglie. E io la libertà non la baratto con niente.

[fek]

Originariamente inviato da Zorcan

Un esempio come un altro, ma non ce n'era un reale bisogno. La libertà dell'opensource è chiara a tutti, anche a chi sviluppa software closed e se mi ero permesso di fare un esempio, era solo perchè sembra che certe posizioni pro-closed eludano sistematicamente la questione libertà. Anche in questo caso, senza offesa, mi sembra che non si sia preso nemmeno in esame il concetto espresso da me e ci si sia limitati a notare che un motore di un'auto non è un software. Puntualizzazione che francamente non comprendo, soprattutto perchè non in merito a ciò che stavo dimostrando. E allora, per evitare che questo circo si protragga in eterno, sarò banalmente chiaro: il software aperto mi da una libertà che il software chiuso mi toglie. E io la libertà non la baratto con niente.

La puntualizzazione e' semplicissima: un motore non e' un software, si costruiscono e si modificano in maniere differenti, hanno comportamenti differenti, non possono essere assimilati. Fare un esempio su uno non dice nulla sul comportamento dell'altro.

Come in questo caso. Il discorso sulla liberta' lascia il tempo che trova, in realta' mi sembra solo una scusa per difendere una posizione a priori (in mancanza di argomenti piu' convincenti). Soprattutto considerando che anche con il software rilasciato con molte tipologie di licenza open source tu NON hai la liberta' di modificarlo, immagino sia questa la liberta' che ti sta tanto a cuore.

Adesso quindi per coerenza ti dovresti scagliare non contro il modello di distribuzione open o closed, ma contro le licenze.

Infine, la tua liberta' finisce dove inizia quella degl'altri: se chi ha sviluppato del codice non vuole che tu lo modifichi, non hai alcuna liberta' di farlo. Ed e' giusto che sia cosi', io che scrivo codice ho la liberta' di decidere in che forma distribuirlo.

[Zorcan]

Originariamente inviato da fek

Il discorso sulla liberta' lascia il tempo che trova, in realta' mi sembra solo una scusa per difendere una posizione a priori (in mancanza di argomenti piu' convincenti).

Considerare la libertà una scusa non ha molto senso, essendo essa un bene primario in ogni contesto.

Originariamente inviato da fek

Soprattutto considerando che anche con il software rilasciato con molte tipologie di licenza open source tu NON hai la liberta' di modificarlo, immagino sia questa la liberta' che ti sta tanto a cuore.

Adesso quindi per coerenza ti dovresti scagliare non contro il modello di distribuzione open o closed, ma contro le licenze.

Non capisco come mai, a piacimento, si critichi il "tutto" in certi casi e il "dettaglio" in altri. Parlavamo di software aperto e chiuso? In quello aperto ci guardo dentro, in quello chiuso no. Non mi riesce di dirlo con meno parole, mi spiace.

Originariamente inviato da fek

Infine, la tua liberta' finisce dove inizia quella degl'altri: se chi ha sviluppato del codice non vuole che tu lo modifichi, non hai alcuna liberta' di farlo. Ed e' giusto che sia cosi', io che scrivo codice ho la liberta' di decidere in che forma distribuirlo.

Anche qui non capisco: qualcuno ha chiesto la crocefissione di chi sviluppa codice chiuso? No, per me può anche stamparselo, arrotolarlo e fumarlo in solitudine, io esprimo una preferenza da utente verso il software aperto. Va da se che, col progredire e l'espandersi del modello opensource, tanti "licenziatori" che con gelosa cura certosina hanno blindato il loro codice, si ritroveranno scartati in favore di soluzioni che garantiscono meglio la libertà della gente e il diritto per essa di sviluppare e usare software nato dal lavoro comunitario e collettivo. Mi spiace se questo porterà ad un danno verso i suddetti licenziatori, ma è un effetto collaterale: potevano perdere meno tempo dall'avvocato ed impiegarlo a cooperare nella comunità open, ci avrebbero gudagnato loro e ci avrebbero fatto guadagnare gli altri.

[fek]

Originariamente inviato da Zorcan

Considerare la libertà una scusa non ha molto senso, essendo essa un bene primario in ogni contesto.

Stai parlando del sesso degl'angeli

Non capisco come mai, a piacimento, si critichi il "tutto" in certi casi e il "dettaglio" in altri. Parlavamo di software aperto e chiuso? In quello aperto ci guardo dentro, in quello chiuso no. Non mi riesce di dirlo con meno parole, mi spiace.

Piuttosto che sintetizzare ulteriormente, invece, ti prego di usare piu' parole perche' stai facendo molta confusione. Il poter guardare dentro il codice non e' una liberta' inalienabile dell'uomo. E' come se mi dicessi che vuoi essere libero di guardare nella mia camera da letto... no, puoi guardarci solo se te lo permetto e non te lo permetto ovviamente

Se ti permetto di guardare dentro il mio codice, sei libero di farlo, altrimenti non lo sei. Io ho la liberta' di decidere che cosa fare del mio codice. E' la mia unica critica alla filosofia della FSF che piu' che un'inneggiare alla liberta' mi sembra un negare la liberta' altrui a favore dei propri interessi.

Nei confronti dell'Open Source come modello di distribuzione del software, al contrario, non ho nulla in contrario: e' una possibilita', a volte e' un'opzione utile per determinate situazioni, altre volte no.

Se ho bisogno di scrivere una versione pesantemente custom di un software ho bisogno di una versione open source. Se ho bisogno di un software life critical o mission critical per nessun motivo potrei affidarmi al software open source perche' se qualcosa andasse storto in quel software nessuno ne sarebbe responsabile.

Per ogni problema, c'e' lo strumento adatto.

Anche qui non capisco: qualcuno ha chiesto la crocefissione di chi sviluppa codice chiuso?

Si', chiunque critichi il software closed con la scusa che vuole essere libero di guardarlo e modificarlo. No, non sei libero di guardare e modificare quello che produce qualcun altro a meno che questo qualcuno non ti conceda questa liberta'. Spero che il concetto sia chiaro ora.