Newsgroup: it.comp.os.linux.iniziare
Titolo: open source più stabile, ma anche più vulnerabile?

è sensato affermare che, essendo linux un sistema operativo open
source, esso sia maggiormente vulnerabile di altri sistemi operativi
proprietari, proprio in virtù del fatto che il codice sorgente è
noto? Come è possibile dimostrare il contrario?

 Come è possibile dimostrare il contrario?
Col numero di vulnerabilita' scoperte nel software proprietario,
quantomeno nello stesso ordine di grandezza di quello OSS (stima moooolto
conservativa).
-- 
Best Regards, Jack
Linux User #264449
Powered by Debian GNU/Linux on AMD64

pavibdama ha scritto:

Le vulnerabilità sono causate da errori di programmazione e/o
progettazione presenti nel software, o a volte intrinseche nei
protocolli di comunicazione. E' inevitabile che una vulnerabilità,
anche di bassa entità, venga prima o poi fuori per qualsiasi software,
data anche la complessità sempre crescente dei programmi e delle
tecnologie.
Per i sistemi open, appunto perché il codice è aperto e a
disposizione di chiunque voglia (e possa) controllarlo, le
vulnerabiltà sono corrette molto prima di quanto non avvenga per i
prodotti closed, spesso con il contributo della comunità degli
appassionati. Questo nonostante il fatto che negli ultimi anni
l'attenzione a problemi di questo tipo è cresciuta a livello
spasmodico, anche (e soprattutto) da parte dei giganti del software
commerciale
Se poi pensi alle implicazioni economiche, capirai anche che la full
disclosure è improbabile da parte di chi, quando ci riesce, ha tutto
l'interesse a non far trapelare certe notizie sui propri prodotti.
Per non parlare poi del fatto che è difficile sapere con esattezza
cosa fa un software commerciale: chi te lo dice cosa trasmette un
client windows update in un flusso cifrato verso i server di Microsoft?
Magari anche avendo il codice a disposizione non tutti hanno le
competenze per stabilirlo, ma il fatto è che questa possibilità è
preclusa a tutti! Non sto parlando di fantascienza, o di paranoia da
sindrome da complotto stile grande fratello: cose del genere sono
successe anche poco tempo fa, non so se ricordi il caso del DRM nei CD
della Sony.
E dulcis in fundo, possiamo arrivare a citare il trusted computing come
esempio di software closed scritto apposta per metterlo in quel posto
agli utenti/consumatori: il male assoluto!
Saluti, GePs

pavibdama wrote:

Vedo che ti hanno già risposto, anche in maniera valida. Io però ti do'
un'idea in più.
- Sistema operativo proprietario closed source -
Viene scoperta una falla di sicurezza di media entità, non consente
l'esecuzione di codice da remoto ma potenzialmente è pericolosa. L'azienda
che sviluppa il sistema operativo decide che la falla non è urgente dato
che, salvo qualcuno non si metta ad incasinarsi il pc da solo, non ci sono
problemi. Risolvere quel problema richiede tempo e molto denaro, la scelta
quindi è di lasciarla li com'è. Mesi dopo viene scoperta un'altra falla,
diversa, anch'essa non particolarmente pericolosa. Qualcuno però nota un
fatto interessante: l'ultima falla permette di sfruttare la prima. Eccoti
sviluppato in mezz'ora un virus che si diffonderà per mezzo mondo in poco
più di un'ora causando miliardi di dollari di danni. Questa cosa è successa
realmente.
- Sistema operativo libero -
Viene scoperta una falla che può permettere ad un cracker di accedere al
sistema se per caso la configurazione è così, il pacchetto tale è compilato
cosà, ci sono le librerie x y z w installate, ed in quel momento
l'amministratore di sistema è al cesso col mal di pancia... tre giorni dopo
quella falla è tappata.
In sostanza, quello che voglio dire, è che l'open source ti permette di
avere *sempre* il controllo di quello che avviene alla tua applicazione, di
qualunque natura si tratti. Con un'applicazione closed source sei vincolato
alle scelte di chi l'ha sviluppata, che molto spesso non tengono
minimamente conto dei tuoi interessi. Un'azienda privata, ad esempio,
tenderà a lasciare le cose così come sono finché non sarà praticamente
costretta a sistemarle, spesso e volentieri troppo tardi, proprio perché
risolvere un bug è costoso.
La possibilità di vedere il codice, inoltre, consente a molte persone di
migliorarlo sotto vari aspetti. E' molto probabile che se tu ti intendessi
di programmazione e potessi vedere come sono scritte molte applicazioni
closed che usi, ti metteresti le mani nei capelli. Io stesso non comprerei
mai l'applicazione che sviluppavo nell'azienda dove ero prima, perché
scritta coi piedi (totale mancanza di ingegnerizzazione, programmatori poco
avvezzi alla pulizia, programmazione ad oggetti da vomitare, modello
multi-tier sventrato, algoritmi di inefficienza paurosa, multithreading
neanche a parlarne...).
Mattia