Mastodawn

@chrisstoecker https://mastodon.social/@chrisstoecker/113180984455530519

Peter König

▶️ Die #Terroranschlag-Serie

durch "in zivilen Gadgets versteckte Bomben" werfen natürlich auch ein Licht auf die

▶️ Vertrauenswürdigkeit unserer Lieferketten, weltweit!

Denn wenn (mutmaßlich) #Mossad und #NSA / #CIA in der Lage sind, unter falschem Namen Fake-Unternehmen zur Durchführung von Terroranschlägen zu gründen und Lieferketten "legal/unsanktioniert" zu sabotieren, dann müssen wir fragen,

▶️ welcher (OpenSource) #SW wir noch vertrauen wollen!

🧵

Bei #Ubuntu und #Shuttleworth gab und gibt es von Beginn an Bedenken, ob das Projekt nicht vorsätzlich die Integrität von #Debian schwächen sollte:

Unter dem Vorwand besonderer Einfachheit wurde proprietäre Software als "lässliche Sünde" akzeptiert, mit der sich "Sprengstoff-gleich" Bugdoors im Umfeld des sonst vollständig überprüfbaren Debians platzieren ließen.

Zudem konnten mit den vielen Millionen US-$ natürlich auch Debian-Entwickler:innen umworben/abgeworben werden.

🧵

Diese Überlegung sollte uns an den XZ-Angriff auf die #FOSS Lieferkette erinnern:

Wer kann es sich denn leisten, systematisch die schwächste Stelle der Linux-Lieferkette (1-Personen-Projekte) zu analysieren und jahrelang Spione und Saboteure finanzieren, um dieses Projekt systematisch und extrem subversiv anzugreifen?

Klar: #China oder #Russland können das. Mit Blick auf die Sabotage der Pager- und Walkie-Talkie-Lieferketten kommen mir ganz andere Akteure in den Sinn!

🧵

Wir sind uns bei quelloffener Software im Grunde einig:

Sie bietet die notwendige Voraussetzung, um Software bestmöglich sicher zu machen:

Man kann sie inkrementell verbessern, ohne dass ungesehen neue Bugs einfließen - intendiert oder unabsichtlich.

Proprietäre Software versagt bereits an dieser Stelle!

Natürlich ist Offenheit nicht hinreichend! Es reicht nicht aus "FOSS" zu rufen, um sicher zu sein.

Dazu müssten wir ein systematisches FOSS-Risiko-Management etablieren.

🧵

Der Witz ist: Unsere #Marktwirtschaft gäbe das her!

Wenn wir, ähnlich zum Risiko bei der Atomkraft,

▶️ Eintrittswahrscheinlichkeit * Schadenshöhe

multiplizieren und den Wert den Verursachern auf die Produktpreise schlagen würden, dann kämen wir bei proprietärer Software - wie bei der Atomkraft - zu unendlich hohen Werten. Denn durch die Geheimhaltung des Quellcodes entzieht sich proprietäre Software jeder Risiko-Quantifizierung (z.B. der SW-Qualität).

🧵