In den letzten Tagen konnten wir uns u.a. über Punktupdates der großen Distributionen Ubuntu ( fosstopia ) und Debian ( fosstopia , Linux Magazin , linuxnews ) freuen, wo viele Sicherheitslücken geschlossen wurden. Das ist sehr erfreulich - zumal wir uns ja in den letzten Wochen und Monaten intensiv mit Bugs befasst und herumgeschlagen haben ( Ghostlock , Copy Fail ). Besonders dramatisch wird dies, wenn es sich dabei um Programmcode handelt, der quasi überall verwendet wird (beispielsweise GnuPG oder SSH) und man diesen nicht mal so eben wie beispielsweise einen Texteditor austauschen kann. Trotzdem wundert man sich manchmal, denn eigentlich müssten doch irgendwann "alle" Sicherheitslücken gefunden worden sein bzw. die bekannten Werkzeuge zur Statischen Codeanalyse ( WP ) müsten doch "alle" Fehler verhindern können. In einigen Fällen kann eine grundlegende Neuimplementierung sinnvoll sein, wie dies der Fall der Rustutils ja so schön zeigt ( LinuxCommunity ). Der/die geneigte Anwender/in freut sich verständlicherweise über neue Features neuer Programmversionen oder Distributionen ( fosstopia ). Allerdings wird eher selten die Frage nach neuen Bugs durch diese "Featureritis" gestellt. Auch deshalb bin ich inzwischen ein Freund einfacher Fenstermanager statt großer Desktopumgebungen. Und oft kommt man auch mit weniger komplexen Programmen zum Ziel. Denn schon rein statistisch enthält schlanker Code weniger Sicherheitslücken als fetter Programmcode (ein Punkt, der sich aufgrund weiterer Aspekte, wie beispielsweise der Wahl einer fehleranfälligen vs. einer sicheren Programmiersprache nicht so pauschal beantworten lässt - aber mir geht es hier um das Verständnis des Problems).

In der letzten Zeit ist noch die KI mit all ihren Vor- und Nachteilen dazu gekommen, so dass bedeutend mehr Sicherheitslücken publik wurden. Hier reicht die Spannbreite von seit Jahren unentdeckt im Programmcode schlummernden Bugs, die nur durch die KI gefunden wurden bis hin zum sog. KI Slop, also Schwachsinnsmeldungen, die die Bugtracker verstopfen und somit wertvolle WoMen-Power unnötig binden (das eingestellte Bug Bounty-Programm des Curl-Projekts ( Linux Magazin , Security Insider ) ist eine unschöne Folge des Phänomens).

Vor diesem Hintergrund ist dieser äußerst lesenswerte Heise-Text zu verstehen, der darlegt, wie viel "Sicherheitsblödsinn" (also angebliche Sicherheitslücken, die faktisch keine sind) die Bugtracker verstopft und häufig medienwirksam aufgebläht wird ("Heartbleed") - was im schlimmsten Fall sogar noch unnötiges Geld verbrennt. Somit ist es vielleicht hilfreich, gleich bei den System-Installationen "abzurüsten" und diese lieber schlanker zu halten. So merke ich selber immer stärker, dass meine eigenen Installationen immer schlanker werden, da ich jede Menge "tolle Tools" faktisch nicht brauche und sie daher gar nicht mehr installiere - während ich gerade im Kontext von Installationen, die sich im Bereich "Testing" oder gar "Unstable" befinden, einige essenzielle Programme (Texteditor, Bildbetrachter) dann doch ganz gerne funktionell redundant installiere, falls mal temporär eines jener Programme bricht. Und (von Sicherheitsprogrammen abgesehen) ist jeder Code, der nicht installiert ist, auch kein potenzielles Sicherheitsrisiko mehr. Auch vor diesem Hintergrund sind die Live-CDs mit all dem auf ihnen befindlichen unnötigen Zeugs als Installationsmedium eher kritisch zu sehen. Eine manuelle Minimalinstallation mit nur den exakt benötigten Programmen ist hier der wohl eher zielführende Weg - gerne verbunden mit der Diskussion, welche Software man wirklich "dringend braucht".