staging.inyokaproject.org

Wie gut die "Qualitätskontrolle" für Snaps ist, haben wir ja auch bereits gesehen...

Hatte ich ja auch schon verlinkt. Aber es ist in der Tat so das es bei den Snaps offenbar keinerlei Sicherheits- und Qualitätskontrolle gibt. Da es bei universe und multiverse offenbar an Betreuern fehlt, kann ich nicht einschätzen wie es dort aussieht. Allerdings kommen die Quellpakete dort wenn ich mich recht erinnere von Debian, so dass schon einmal eine gewisse Vorkontrolle stattgefunden hat. Das nützt natürlich auch nichts wen Sicherheitsupdates nicht eingespielt werden. Mag aber auch sein das ich da was falsch in Erinnerung habe, bin schon ne ganze Zeit aus dem Thema raus.

Hallo,

Aber es ist in der Tat so das es bei den Snaps offenbar keinerlei Sicherheits- und Qualitätskontrolle gibt.

Doch, es gibt automatisierte Scans / Tests, wie z.b. auch in Google Play Store für Android Apps. Wie gut die Tests in Bezug auf Schadsoftware ist, ist.. na ja, fraglich.

Allerdings kommen die Quellpakete dort wenn ich mich recht erinnere von Debian, so dass schon einmal eine gewisse Vorkontrolle stattgefunden hat.

Aber nicht auf Aktualität und Pflege, sondern AFAIK "nur" auf problemlose Installierbarkeit und korrekte Paketierung.

Das nützt natürlich auch nichts wen Sicherheitsupdates nicht eingespielt werden.

Genau. Oder die paketierte Version hängt X Releases hinter der aktuellen Version hinterher.

Gruß, noisefloor

Guten Abend,

Aber es ist in der Tat so das es bei den Snaps offenbar keinerlei Sicherheits- und Qualitätskontrolle gibt.

Doch, es gibt automatisierte Scans / Tests, wie z.b. auch in Google Play Store für Android Apps. Wie gut die Tests in Bezug auf Schadsoftware ist, ist.. na ja, fraglich.

Offenbar haben sie den Krypto-Miner der soweit ich es mitbekommen habe recht einfach gestrickt ist nicht mitbekommen. Google musste dahingehend auch schon sein Lehrgeld zahlen und hat damals massiv aufgerüstet.

Allerdings kommen die Quellpakete dort wenn ich mich recht erinnere von Debian, so dass schon einmal eine gewisse Vorkontrolle stattgefunden hat.

Aber nicht auf Aktualität und Pflege, sondern AFAIK "nur" auf problemlose Installierbarkeit und korrekte Paketierung.

Gut das ist freilich auch wieder nicht optimal. Die Frage ist was tun.

Das nützt natürlich auch nichts wen Sicherheitsupdates nicht eingespielt werden.

Genau. Oder die paketierte Version hängt X Releases hinter der aktuellen Version hinterher.

Stimmt, Sicherheitsupdates gibt es nur für die jeweils aktuelle Version.

Evtl. wäre es eine Lösung universe und multiverse generell einzustampfen und ein eigenes Projekt für die erweiterte Paketunterstützung die der User dann nach der Installation explizit aktivieren muss ins Leben zu rufen. Das wäre imho auch eine total ehrliche Sache.Optimal wäre dann ein eigenes Paketsystem das z. B. unter /opt, /apps oder anderen installiert wird. Evtl. könnte man es auch möglich machen das zusätzlich zur zentralen Installation auch eine Installation im Verzeichnis des Users möglich ist.

Viele Grüße

Ravenbird

Ravenbird schrieb:

Guten Abend,

Guten Abend zurück

Evtl. wäre es eine Lösung universe und multiverse generell einzustampfen und ein eigenes Projekt für die erweiterte Paketunterstützung die der User dann nach der Installation explizit aktivieren muss ins Leben zu rufen.

Damit entfernt sich Ubuntu wahrscheinlich für viele Neueinsteiger jedoch wieder vom einsteigerfreundlichen System.

Evtl. wäre es eine Lösung universe und multiverse generell einzustampfen und ein eigenes Projekt für die erweiterte Paketunterstützung die der User dann nach der Installation explizit aktivieren muss ins Leben zu rufen.

Damit entfernt sich Ubuntu wahrscheinlich für viele Neueinsteiger jedoch wieder vom einsteigerfreundlichen System.

Wie kommst Du darauf? Wenn nach der Installation oder beim ersten Login eine entsprechend gestaltete Abfrage kommt ist das nun wirklich kein Problem. Ganz im Gegenteil wäre das weitaus Benutzer- und auch Neueinsteigerfreundlich als jetzt, wo man den Leuten durch universe und multiverse zwar wirklich riesige Mengen an Software verfügbar macht, sie dann aber mit der Sicherheitsproblematik und den Bugs der Software alleine lässt.

Ravenbird schrieb:

Wie kommst Du darauf? Wenn nach der Installation oder beim ersten Login eine entsprechend gestaltete Abfrage kommt ist das nun wirklich kein Problem. Ganz im Gegenteil wäre das weitaus Benutzer- und auch Neueinsteigerfreundlich als jetzt, wo man den Leuten durch universe und multiverse zwar wirklich riesige Mengen an Software verfügbar macht, sie dann aber mit der Sicherheitsproblematik und den Bugs der Software alleine lässt.

Dann muss es der Ubuntudurchschnittsuser zwar abnicken, aber an der Pflege der Pakete in den manuell aktivierten Quellen wird sich dadurch nichts verbessern.

Ravenbird schrieb:

Wie kommst Du darauf? Wenn nach der Installation oder beim ersten Login eine entsprechend gestaltete Abfrage kommt ist das nun wirklich kein Problem. Ganz im Gegenteil wäre das weitaus Benutzer- und auch Neueinsteigerfreundlich als jetzt, wo man den Leuten durch universe und multiverse zwar wirklich riesige Mengen an Software verfügbar macht, sie dann aber mit der Sicherheitsproblematik und den Bugs der Software alleine lässt.

In der Realität werden 99% der User dann einfach blind das Häkchen setzen, weil das das Howto so vorgibt oder weil man das eben so macht.

0,9% werden es aus Gründen nicht setzen. Und 0,0000000001% werden hier im Thread diskutieren, wie warum und wieso welche Regelung am Besten (für sie selber) wäre 😇

Ravenbird schrieb:

Aber es ist in der Tat so das es bei den Snaps offenbar keinerlei Sicherheits- und Qualitätskontrolle gibt.

Doch, es gibt automatisierte Scans / Tests, wie z.b. auch in Google Play Store für Android Apps. Wie gut die Tests in Bezug auf Schadsoftware ist, ist.. na ja, fraglich.

Offenbar haben sie den Krypto-Miner der soweit ich es mitbekommen habe recht einfach gestrickt ist nicht mitbekommen. Google musste dahingehend auch schon sein Lehrgeld zahlen und hat damals massiv aufgerüstet.

Der Miner kam als Blob, und es wird nur Code getestet.

IMHO sollte man auch nicht der Illusion nachlaufen, man könnte 100% sicheren Code/Pakete ausliefern. Egal welche Tests man macht, es kommt immer etwas durchs Netz; ob gewollt oder ungewollt.
Die Frage ist eher, wie geht der Gatekeeper (snap Store, play store, applestore, Repo-Betreiber) mit Problemen um? Also sowohl mit Meldungen zu Schadcode als auch mit False-Positives? Hier hat canonical mit dem snap store schnell und richtig gehandelt, finde ich. Die Frage ist halt, wie das funktioniert, wenn das Ding jetzt mal universe und multiverse ersetzt hat. Denn dahin wird die Reise gehen, denke ich: Ein main, was von canonical mit rock-solid support gewartet wird. Und dann den Rest als snap direkt vom Entwickler in den Snapstore gepackt. Ohne, dass da jede Distri ihre Maintainer zwischenschalten muss, oder der Entwickler selber für drölfzig Formate und Releases das selber machen muss.

k1l schrieb:

In der Realität werden 99% der User dann einfach blind das Häkchen setzen, weil das das Howto so vorgibt oder weil man das eben so macht.

0,9% werden es aus Gründen nicht setzen. Und 0,0000000001% werden hier im Thread diskutieren, wie warum und wieso welche Regelung am Besten (für sie selber) wäre 😇

+1

Ravenbird schrieb:

Evtl. wäre es eine Lösung universe und multiverse generell einzustampfen und ein eigenes Projekt für die erweiterte Paketunterstützung die der User dann nach der Installation explizit aktivieren muss ins Leben zu rufen.

In der Linux-Gemeinschaft ist man es ja gewohnt, statt ein Problem zu lösen, etwas neues (mit neuen Problemen) zu entwickeln. Warum glaubst du, dass ein weiteres Projekt etwas besser macht? Warum sollte dies nicht mit den gleichen Problemen zu kämpfen haben, wie all die bereits existierenden Formate?

MfG
Tronde

Es ist klar das es keinen absoluten Schutz oder absolute Sicherheit gibt. Aber gerade quelloffene Software sollte einen größeren Schutz als Software die geschlossen ist bringen. Eben weil jeder der sich ein wenig damit auskennt in der Lage ist sich den Quellcode anzuschauen. Das wiederum zeigt wie gefährlich Closes Source Komponenten in Quelloffener Software sind. Eben weil dadurch diese Kontrollmöglichkeit zu Nichte gemacht wird.

Und Tronde ich widerspreche Dir ja nur ungern. Aber das Problem ist seit der ersten Generation von Ubuntu präsent, also seit nunmehr rund 14 Jahren, nur eine Lösung oder auch nur den Ansatz einer Lösung gab es im Rahmen des Projekts nie. Früher als es noch keine LTS-Versionen gab und noch nicht so viele normale Benutzer dabei waren denen es weitgehend an Grundkenntnissen fehlt war das kein Problem, man hat ja eh in der Regel zwei mal im Jahr ein neues Release gehabt und ist auch darauf gewechselt. Nur mit den LTS Releases von ursprünglich drei Jahren und bei Ubuntu selbst inzwischen sogar fünf Jahren wurde das Problem äußerst brisant, da so z. T. jahrealte Software die bekannte Sicherheitslücken hat weiter genutzt wurde da es ja über das Paketsystem keine Updates gibt. Und es ist nicht abzusehen wo es innerhalb des Ubuntu-Projekts auf absehbare Zeit eine Lösung geben wird.

Ravenbird schrieb:

Und Tronde ich widerspreche Dir ja nur ungern. Aber das Problem ist seit der ersten Generation von Ubuntu präsent, also seit nunmehr rund 14 Jahren, nur eine Lösung oder auch nur den Ansatz einer Lösung gab es im Rahmen des Projekts nie.

Ich vermisse jetzt irgendwie deine Jubelsprünge, dass canonical snaps erfunden hat 😀 Denn das soll (und wird IMHO) universe und multiverse ablösen. Warum sollte ich veraltete Software erst über das Maintainer-System in universe kippen und da dann verrotten lassen, wenn man auch aktuelle snaps direkt vom Entwickler haben kann. Das sich Leute sinnlose Schadsoftware installieren hat auch bisher universe nicht verhindert, wenn man sich mal so das Durchschnittssystem mit all den Fremdquellen und manuellen .deb Installationen so anguckt.

Aber ich fürchte, dass hier eher die eierlegende Wollmilchsau gefordert wird: Tagesaktuelle Software, aber zig mal durchgetestet und "rocksolid". Das wird dir so niemand erfüllen können.

k1l schrieb:

Ich vermisse jetzt irgendwie deine Jubelsprünge, dass canonical snaps erfunden hat 😀 Denn das soll (und wird IMHO) universe und multiverse ablösen. Warum sollte ich veraltete Software erst über das Maintainer-System in universe kippen und da dann verrotten lassen, wenn man auch aktuelle snaps direkt vom Entwickler haben kann. Das sich Leute sinnlose Schadsoftware installieren hat auch bisher universe nicht verhindert, wenn man sich mal so das Durchschnittssystem mit all den Fremdquellen und manuellen .deb Installationen so anguckt.

Sorry wenn ich das jetzt sage, aber Snaps können ein gut gepflegtes Paketsystem nicht ersetzen. Sie verbrauchen mehr Platz, mehr Leistung und werden noch weniger kontrolliert als die regulären Quellen. Außerdem werden die Snaps nur von einen recht kleinen Teil von Projekten unterstützt, auch wenn ich den Ansatz das die Projekte die Pakete selbst pflegen gut finde. Allerdings muss es dazu ein universelles System sein das zumindest in den Mainstreamdistributionen nativ unterstützt wird.

Aber ich fürchte, dass hier eher die eierlegende Wollmilchsau gefordert wird: Tagesaktuelle Software, aber zig mal durchgetestet und "rocksolid". Das wird dir so niemand erfüllen können.

Nein wie gesagt wäre in meinen Augen ein distributionsübergreifendes Paketsystem das neben dem Paketsystem der jeweiligen Distribution arbeitet durchaus denkbar. Dort kann man z. B. mit einen testing und einen stable Zweig arbeiten. Sprich ich kann als Anwender selbst entscheiden ob ich 'den neuesten Scheiß' will, oder ob ich die Software lieber ein wenig später haben will wenn sie ein wenig abgehangen und gereift ist.

ich fasse dich mal zusammen:
1. snap ist kacke
2. eigentlich will ich snap

welche deiner Punkte erfüllt denn snap nun genau nicht? Nur weil jemand eine sinnlose App mit einem versteckten Miner in den snap store gepackt hatte (die aber nach bekanntwerden auch sofort entfernt wurde) müssen sich doch nicht alle User jetzt sinnlose Apps installieren. Oder hast du etwa alle Pakete aus universe installiert?