staging.inyokaproject.org

Sh4kal schrieb:

Wobei ich mich ja auch immer noch frage warum man noch auf oldstable rumdödelt wenn die übernächste Version bald in stable geht.

Weil Unternehmen da z.B. entsprechende Software für diese Version geschrieben haben bzw. schreiben lassen haben und ja selbst die Weiterführung des Supports finanzieren.

tomtomtom schrieb:

Sh4kal schrieb:

Wobei ich mich ja auch immer noch frage warum man noch auf oldstable rumdödelt wenn die übernächste Version bald in stable geht.

Weil Unternehmen da z.B. entsprechende Software für diese Version geschrieben haben bzw. schreiben lassen haben und ja selbst die Weiterführung des Supports finanzieren.

Was auch gerne vergessen wird: selbst, wenn diese Software auf einem neueren Release laufen würde, so muss man dieses erst mal durch entsprechende Tests sicherstellen. Es gibt nichts ekligeres, als subtile Fehler erst im Produktionsbetrieb zu finden.

encbladexp schrieb:

Variante 1: main/restricted only¶

Nette Idee, bedeutet aber das du massig Software selbst kompilieren, installieren und aktualisieren musst.

Soviel Software ist es auch wieder nicht. Ich habe gerade mal spaßeshalber Universe und Multiverse deaktiviert und nachgeschaut was ich daraus installiert hatte. In meinem Fall waren das dann die folgenden Pakete:

• Diverse gstreamer-Plugins (Vor allem wegen des RTP-Plugins. Ansonsten würde mir persönlich mein gekauftes Fluendo-Codec-Paket ausreichen).

• ttf-mscorefonts-installer (Ohne die MS-Fonts kommt man leider nicht sehr weit)

• amd64-microcode

• Synaptic (Ist bequemer als die Kommandozeile)

Zusammenfassung der Unterstützung für 'wizzard':

Sie haben 34 Pakete (2.1%), die bis Mai 2017 (3y) unterstützt werden
Sie haben 1519 Pakete (95.0%), die bis Mai 2019 (5y) unterstützt werden
Sie haben 27 Pakete (1.7%), die bis Februar 2015 (9m) unterstützt werden
Sie haben 4 Pakete (0.3%), die bis September 2015 (9m) unterstützt werden

Sie haben 3 Pakete (0.2%), die nicht/nicht mehr heruntergeladen werden können
Sie haben 12 nicht unterstützte Pakete (0.8%)

Nicht mehr herunterzuladen:
fluendo-dvd oneplay-gstreamer-codecs-pack turboprint 

Nicht unterstützt: 
amd64-microcode google-chrome-stable gstreamer1.0-plugins-bad 
gstreamer1.0-plugins-bad-faad gstreamer1.0-plugins-bad-videoparsers 
libgme0 libgstreamer-plugins-bad1.0-0 libmimic0 libwildmidi-config 
libwildmidi1 libzbar0 steam-launcher

Alles andere, was ich tagtäglich unter Ubuntu benutze, ist in Main bzw. Restricted enthalten bzw. wird vom Hersteller des Pakets gepflegt und gegebenenfalls per externer Quelle bereitgestellt. Von massig Software kann also kaum die Rede sein. Bei dem einen oder anderen mag es mehr sein, aber in der Regel kommt man mit sehr wenigen Paketen aus Universe bzw. Multiverse gut zurecht.

Nur dumm wenn bei diesen wenigen Paketen halt so Dinge wie nginx, iotop, htop, mosh, nullmailer, postgrey, nload und einige andere dabei sind.

mfg Stefan Betz

"nginx" ist bei Ubuntu 14.04 in den Main-Quellen. Bei kleinen Tools wie iotop und htop sehe ich kein Sicherheitsrisiko. Vor allem deshalb nicht, da keines der Tools überhaupt in einer aktuelleren Version existieren!

glasenisback schrieb:

"nginx" ist bei Ubuntu 14.04 in den Main-Quellen.

12.04 auf dem System wo ich das probiert habe. Aber gut das die das in neueren Versionen "gefixt" haben.

Bei kleinen Tools wie iotop und htop sehe ich kein Sicherheitsrisiko.

Das beurteilt in der Regel auch der Angreifer 😉

mfg Stefan Betz

encbladexp schrieb:

glasenisback schrieb:

"nginx" ist bei Ubuntu 14.04 in den Main-Quellen.

12.04 auf dem System wo ich das probiert habe. Aber gut das die das in neueren Versionen "gefixt" haben.

Hat mit ziemlicher Sicherheit mit dessen steigender Popularität zu tun.

Bei kleinen Tools wie iotop und htop sehe ich kein Sicherheitsrisiko.

Das beurteilt in der Regel auch der Angreifer 😉

Auch wieder war 😉

Wegen iotop: universe heißt nicht automatisch ungepflegt. 😉

Sieht aber so aus, nirgends ein Update: http://packages.ubuntu.com/search?keywords=iotop Aber wenn es eh keine neue Versionsnummer gab...und die eine Lücke wegen unnötigem sudo schloss, laut Ausgabe...

Definiert mal Sicherheit und Risiko ?

Jedes Betriebssystem und Programm kann fehlerhaft sein so das Anwender an Daten kommen oder erzeugen können das diesen aber nicht können sollten.

Risiko

1. Datenverlust ...leicht durch Backup zu vermeiden.

2. Datenkompromittierung bzw. Missbrauch ...unschön wenn unenddeckt bzw. für den Betreiber ein Vertrauensverlust bzw. ein Wertverlust für den Kunden/Betrieber.

Das unschöne ist immer wenn Aktionen unentdeckt bleiben, wenn Diebstahl oder Missbrauch nicht entdeckt werden können.

rdsieb schrieb:

Definiert mal Sicherheit und Risiko ?

Wir definieren dir sicher nach vier Seiten umfangreicher Diskussion nicht irgendwas.

Sh4kal schrieb:

rdsieb schrieb:

Definiert mal Sicherheit und Risiko ?

Wir definieren dir sicher nach vier Seiten umfangreicher Diskussion nicht irgendwas.

Es wäre aber gut ab und zu eine Definition aufzustellen und die eigene Diskussion und die Kommentare damit zu prüfen, wenn es schon vier Seiten sind - umso wichtiger - aber danke für den netten Hinweis.

Sicherheitslücken die unentdeckt sind können auch nicht geschlossen werden, es wird immer 'Lücken' und 'Fehler' im Quellcodes geben die entsprechend ausgenutzt werden können. 'Quellen ohne Maintainer' nicht zu nutzen ist eine gute Möglichkeit um Software aktuell zu halten, was aber auch nichts darüber aussagt wie schnell Updates für kritische Fehler geliefert werden wenn ein Maintainer existiert.

Somit führt die Diskussion ist ein System sicher oder unsicher hier, ohne genau zu wissen was der Einzelne als 'SICHER' ansieht, nicht zu einen! Ziel. Es kann nur eine "best practice" Anleitung geben die zu einen sicheren System aus der heutigen Kenntnisstand führt.

Oder wer hätte von euch den Heartbleed-Bug vor einem Jahr für möglich gehalten.

Für mich ist diese Diskussion auch quatsch. Die Version von OwnCloud ist eh längst gefixt. Außerdem ist Ubuntu LTS ist genauso sicher, wie die STS-Versionen, wenn man die Sicherheitsupdates macht und wenn man alle zwei Jahre auf die neue LTS-Version wechselt. Programme, wie Firefox und Thunderbird, werden ja aktualisiert bzw. wie LibreOffice mit Sicherheitsupdates versorgt. Und FileZilla kann man über PPA aktualisieren oder selber per Hand installieren.