systemd is echt zo'n berg aan ellende, dat het helemaal niet verbaast dat er iedere keer weer problemen mee zijn. Wil je met linux betrouwbare servertjes bouwen, begin dan met een linux-distributie die geen systemd gebruikt. En ja, ze bestaan nog.

Namen van de bij u bekende systemen s.v.p?

https://distrowatch.com/search.php?ostype=All&category=All&origin=All&basedon=All&notbasedon=None&desktop=All&architecture=All&package=All&rolling=All&isosize=All&netinstall=All&language=All&defaultinit=Not+systemd&status=Active#simple

Devuan lijkt me wel wat, Debian vork, afgesplitst omdat ze van systemd af wilden. Wel gebaseerd op Debian betekent veel software keuze en stabiliteit. Ook genoeg keuze uit desktops.

Op een server gooi ik systemd er gewoon af, geen probleem bij Debian.

apt-get install sysvinit-core sysvinit-utils
reboot
apt-get remove systemd --purge --auto-remove

Op een werkstation is het lastiger omdat heel de grafische desktop zut afhankelijk is van systemd en andere Poettering
rotzooi (pulseaudio enzo).

CentOS 6.10, maar bijna alle mainstream desktop varianten draaien systemd en steeds meer server smaken stappen ook over.

De meeste desktop distro's die ken hebben systemd-journal-remote niet geinstalleerd staan, daar moet expliciet voor gekozen worden.

rhel6/CentOS6

Welke desktops worden centraal beheerd en via systemd-journal-remote beheerd? We hebben het over server systemen.
https://developer.ibm.com/tutorials/l-lpic1-108-2/ Het is gewoon telemetry, verplicht als je professioneel bezig bent.

Naah. Ik wacht wel even de (Debian) patches af. Want "De updates worden in de aankomende dagen verwacht." dus dat is waarschijnlijk sneller dan een andere Linux versie installeren.

Dat is ook zo. Ik draai Manjaro Linux (systemd). Ik weet wel dat systemd niet ideaal is om meerdere redenen maar in de praktijk draait deze distro prima. Ik wacht ook gewoon de updates af.

Mijn desktop distro draait ook alleen systemd-journald en niet de remote variant. Geen lokale aanvallers hier in huis dus geen zorgen.

En weer een verkeerde link, systemd-journal-remote <> rsyslogd.

En een echte professional gebruikt voor het verzamelen van server telemetrie een geschikt pakket zoals b.v. Splunk.

MX Linux. Debian + extra (MX) repositories. In GRUB kiezen voor systemd of niet. Flexibeler kan bijna niet...

Kennen we, het is een BI big data tool. https://www.splunk.com/en_us/software/splunk-enterprise.html Heel basic sql achtig en zelf gaan grutten http://dev.splunk.com/view/logging/SP-CAAAFCK
Je moet https://www.ibm.com/support/home/product/K404741X17812P16/IBM_Security_QRadar_SIEM hebben. Als het nu niet zo is dan wordt het dat in de toekomst. Met watson krijg je er AI bij https://www.ibm.com/us-en/marketplace/cognitive-security-analytics . Kost allemaal flink wat en dat zal niet overal staan.

Ik vraag me af waarom het "systemd team" zo lang nodig heeft met de fixes. Ze zijn in november van de problemen op de hoogte gesteld, de bugs hadden met kerst al gefixt kunnen zijn.

https://bugs.debian.org/cgi-bin/pkgreport.cgi?src=systemd#_0_1_4

Echt weer een storm in een glas water dit. De melding is er snel, de oplossing simpel en de patches komen er aan. Lang leve OSS/Linux!

Stuitend om te zien hoe hier de anonieme securityridders weer klaar staan met hun oordeel en er meteen weer een persoonlijke aanval op Lennart Poettering van weten te maken.
Ik ben ook geen fan van systemd, maar het is beter dan de init-systems die er waren. Bovendien is het erg korzichtig om Poettering persoonlijk aan te vallen voor een bug in de software die hij schreef voor RedHat.

Voordat je je grote security-mond open zet en als beste stuurman aan wal staat te ageren tegen alles waar van je de klok hebt horen luiden, maar geen flauw benul hebt van waar de klepel hangt, als je denkt dat je het beter kan, DOE HET DAN! Het is open source, wat let je om het te fixen als je het het beter weet?

De securityscene is echt niet gebaat bij de complotdenkertjes die zich hier anoniem manifesteren. Om te kotsen gewoon!

Oh gut. Ik heb maar één andere locale user. Mijn schoonmoeder. Kan dat link zijn?

@karma4 & soeperees,

Geen frontale aanvallen, slechts verklaringen zoekend van een bepaald gegeven. Net zoals men zocht bij javascript naar HTML toen dit er nog niet was. De aanvankelijke ellende ervan is nog niet helemaal verdwenen, ook niet met babel etc.

De discussie is al even aan de gang, getuige dit hier uit 2012, een eeuwigheid geleden in digitale tijdstermen gesproken dan: https://www.linuxquestions.org/questions/linux-general-1/what-are-the-advantages-disadvantages-of-using-systemd-versus-sysvinit-4175422544/

Genoeg over te vinden, dus geen nieuw item van overpeinzing: https://linux.slashdot.org/story/17/12/11/0049245/does-systemd-make-linux-complex-error-prone-and-unstable

Het grondidee van systemd zou niet slecht kunnen zijn, ware het dat men maar eens ophield met steeds weer het wiel opnieuw te willen uitvinden, want AIX, HP-UX, Solaris, NeXTSTep bezitten reeds iets gelijkaardigs. Deze managment tools doen echter niet alles, zoals cron replacement, dynamische device files hanteren, hostname instellen, syslog replacement, inetd replacement, automounten e.d. Zeg maar wat we hier vergeten zijn.

Als het op Unix is gebaseerd volgt het immer minder strak de zuivere Linux filosofie. Vergeet niet dat we steeds blijven voortborduren op een orgineel idee, dat nog uit de jaren zeventig stamt. Op de beschuitbus uit mijn jeugd stond de prachtige spreuk: "Puurt wat duurt en bijdt uw tijd". Veel analysten zouden aan deze eeuwige waarheden eens wat meer een voorbeeld moeten nemen.

luntrus

Daar is wel het een en ander op aan te merken.

Ben ik niet met je eens. Er bestaan minstens een half dozijn sysv-init-vervangers die ongezien beter zijn dan systemd. Het is dan ook ingevoerd om politieke redenen. Waar allerlei nerds zich voor hebben laten lenen en sommige daarvan spijt dat ondertussen heel erg. Dat poetterings rotzooi zich verder en verder ingraaft is dan ook vooral te danken aan de ontzettende incompatabiliteit zodat er allerlei pakketten wel mee "moeten".

En, nouja, poettering heeft heel erg zijn best gedaan zich onpopulair te maken met zijn gedrag, dat kan niet anders dan terugkomen.

Wat? Hij schrijft al z'n rotzooi voor politiek gewin van red hat. Daar betalen ze hem voor.

Je staat hier vrij hard je eigen vooroordelen uit te venten. Wie zonder zonde is, etc.

In die rommel wroeten? Ik gebruik liever geheel wat anders. FreeBSD (oorspronkelijk NetBSD) hun rcng bijvoorbeeld. Dat is geheel shell en een stuk robuuster en eleganter dan de ondertussen toch wel vrij achterhaalde softlink farm van sysv-init. Dat "linux" daar niet eerder wat aan gedaan heeft is de opening geweest waar systemd mee naarbinnen werd gewurmt, maar die "discussie" is heel zorvuldig geframed geworden als "sysv is achterhaald dus MOETEN we wel systemd invoeren"... terwijl er veel betere alternatieven te krijgen waren. Maarja, de framing.

Och zeur niet zo. Niemand dwingt je hier te lezen. Maar doe je het toch, wellicht dat je nog wat kan opsteken ook nog.

Precies mijn gedachte. Veel systemen zullen dus niet getroffen zijn door deze kwetsbaarheid. Op geen enkel systeem die ik geïnstalleerd heb op mijn vele computers is er niet één die dit heeft.

Het is overigens wel ernstig hoor, dus ik vat het zeker niet licht op. Maar ik vertrouw erop dat een patch er snel is. Zoals altijd op een actueel Linux systeem.

Ik vraag me dan wel af waar je die 'storm' dan ziet. Het gaat over Linux dus dan vallen de reacties meestal wel mee. Ik zie verder ook geen complotdenkertjes en als je hierom moet kotsen moet je misschien even je huisarts bellen...

Nou... Dat klinkt als iemand die wachtwoorden op briefjes schrijft en die onder het toetsenbord legt.

Gentoo kan met openrc of systemd geinstalleerd worden, dus is in principe ook een linux zonder systemd.

Op The Register heb ik gelezen dat openSUSE niet kwetsbaar is.

Lees het artikel even ..... .... maar dat de lekken niet in SUSE Linux Enterprise 15, openSUSE Leap 15.0 en Fedora 28 en 29 zijn te misbruiken vanwege de manier waarop de user space van deze distributies is gecompileerd.

En opgelost! Ik heb zojuist een update ontvangen, en Systemd is weer gepatcht. Klaar. Punt. Next....

Prima luntrus,
Ik maak me niet eens druk over de verschillen. Het kost onnodig veel energie die beter in een enkele best of all opgepakt kan worden dan dat vliegen afvangen om te zeggen "ik ben beter dan … wij zijn goed, jullie zijn fout", wedstrijdje ver plassen heet dat. Kun je ook doen met vreugdevuren en dan gaat dat duidelijk niet goed.


Als er slechterikken zijn moet je er rekening mee houden dat een verdedigingslijn kan falen, en wat doe je dan?
https://www.security.nl/posting/593648/Grootste+datalek+Singapore+door+reeks+beveiligingsmissers Mooi document de aan high prio aanbevelingen 1-6 en dan vluchtig de rest zijn goed snel te doorlopen. Ik mis de web site kwetsbaarheid met de aanbevelingen. Je kunt er op wachten da via die kant … .

6.4.2 pag 16 534Tb security logs per maand analyseren 4.611/mnd meldingen van de endpoints over malware waar er 60852 endpoints staan op 6232 server met 14635 netwerk devices. Analyse van malware op een endpoints op de persoonlijke laptop van welgeteld 1 persoon dat dan handmatig gedaan moet worden. Wat zou er over het hoofd gezien kunnen worden …..

Zoals verwacht. Je hoeft ook niet te wachten tot de tweede dinsdag in de maand.

OK. Fijn voor jullie. Maar dat neemt niet weg dat de kritiek niet geheel is weggenomen. Natuurlijk is een bug vinden en vervolgens patchen goed, als ieder dat ook direct implementeert. Maar de architectuur manco's en zwakheden blijven voortetteren..

Het gaat er bijvoorbeeld niet over hoeveel iemand overslaat in de persoonlijke php code, maar de fouten in het rechtlijnige beta-denken blijven actief funest. Gaat om de basis idee. Weet je niet hoever een array precies reikt, ga je de bietenbrug op als developper.

Dan krijgt karma4 weer gelijk met zijn "Singapore ellende komt toch ergens vandaan" en dat heeft niets met een linux flamewar of zoiets te maken, maar hoe je code in de steigers zet en vervolgens implementeert en configureert met ingebakken zwakheden.

Het wordt niet voor niets een (beta-)taal genoemd, daarin kun je ook verspreken, een grammaticale fout maken of een idioom missen, zelfs linguisten doen dat. Daarom is er Google translate en zijn er technische hulpmiddelen als spelcorrectors. Gebruik gerust online generators, maar weet wel wat je op je rekenmachine ermee moest doen en de theoretische achtergrond. Begrijp wat je inklopt en de consequenties van waar je mee bezig bent. Je bent immers geen wichelroedeloper.

luntrus

Vanmiddag heb ik de patch al op Xubuntu geïnstalleerd. Ik tik dit bericht op Manjaro, maar vreemd genoeg hebben zij de patch nog niet beschikbaar. Maar ik verwacht deze vandaag of morgen ook wel binnen te hebben.

Alsjeblieft zeg... (die @karma4 - @luntrus een-tweetjes)

Ik heb twee non systemd distro's even live getest.

Devuan: draait prima maar het is wel 15 jaar terug in de tijd qua gebruikers interface.
Void: de live versie met mijn favoriete Cinnamon desktop komt niet verder dan een crashende Cinnamon tijdens de start.

Systemd zal zeker wel nadelen hebben qua opzet en onderhoudbaarheid maar ik draai nu 7 jaar Mint en Manjaro en ik heb er in de praktijk nog nooit problemen mee gehad.

Ik ben ook geen Linux fan omdat ik continue ermee aan het hobbyen ben maar gewoon omdat al die jaren de Linux pc's in huis gewoon dag in dag uit probleemloos en vlot werken zonder je druk te hoeven maken over de veiligheid of updates/upgrades die jouw pc in het honderd laten lopen.

De grootste bezwaren die systemd tegenstanders hebben betrekken zich volgens mij op server omgevingen. En zoals 10-01-2019, 18:38 door Anoniem al stelt kan je het er op een (Debian) server gewoon afgooien met:

Er is niks mis met sysv-init zelf, het enige wat soms wel eens gewenst zou zijn is een monitoring- en recovery systeem
voor de opgestarte daemons. Als sysv-init een service start is deze daarna geheel aan zichzelf overgeleverd, als deze
crashed dan wordt daar verder niets mee gedaan. Het zou wel handig zijn als er een optie was voor een recovery, of
op zijn minst een gestandaardiseerde melding (weet ik veel, bijv je /etc/init.d/service script wordt gestart met de parameter
"exited" ofzo als de door dat script gestarte daemon exit of crashed. dan kan het script daar wat mee doen indien nodig)

Helaas wordt met het oplossen van dit probleempje meteen het hele badwater weg gegooid wat die /etc/init.d scripts
bieden. Nu kun je alleen maar simpelweg een bepaalde executable starten met eventueel wat simple before- en after
acties, maar de gigantische flexibiliteit die een opstart script bood mbt het verzamelen van parameters en het bepalen
van de omgeving dat is totaal weggesmeten met systemd.

En dat is vervelend, want de daemons die je wilt starten en/of de addons die gemaakt zijn voor de daemons die zijn
daar vaak nog niet op aangepast. Dus je zit ineens met een situatie van iets wat altijd prima werkte onder sysv-init,
en wat met systemd helemaal niet meer lukt of niet zo simpel of elegant meer is.

En dat die systemd club daar alleen maar op reageert met "dat is allemaal deprecated" dat helpt niet om ze populair
te maken. Mensen die Linux gebruiken op systemen die willen dat hun oplossingen (blijven) werken, niet dat ze worden
gespannen voor karretjes van mensen als Poettering die Linux willen verWindowsiveren.
Bovendien is er altijd heel veel software (zowel binnen als buiten de open source gemeenschap) die om allerlei
redenen niet meer onderhouden wordt maar die je wil wilt blijven gebruiken. Dan is die optie van "verbouw het maar
naar onze ideeen" er helemaal niet. (en nee, het feit dat er source is betekent nog niet dat er dan capaciteit en
motivatie is om dingen te gaan aanpassen)

Ja wat een verademing he?
Eindelijk weer een _gebruikers_ _interface_ in plaats van een _indruk_maken_op_familie_en_collegas_ _interface_.
Eindelijk weer CPU en Memory beschikbaar voor applicaties in plaats van voor allerlei effectjes en gimmicks.
Ik mag dat wel.

Maar ja ik vond Windows XP tot nu toe ook de top gebruikers interface van Microsoft. Daarna is het bergaf gegaan.

Werkt dat ook op Linux Mint LMD3?

Installeer het even in een Virtualbox VM en probeer het. N.B.: alleen van toepassing op SERVERS! Een desktop met GUI help je gegarandeerd om zeep hiermee.

Het licht is _bijna_ doorgebroken....

je noemt daar een beperkt aspect van wat er mis is met sysv-init . Maar je praat alleen over crashende daemons die op een verder statisch systeem misschien vanzelf herstart moeten worden.
In de tijd dat je CPU, memory, storage en interfaces constant waren gedurende de volledige uptime van je systeem kon je daar prima mee leven.

Wat er tegenwoordig anders is, is dat hotplugging, suspend/wake en dynamisch veranderende configuraties _normaal_ zijn.
(dankzij mn VMs, en cloud omgevingen - vooral voor servers.)

In de tijd dat je met een maintenace window en een schroevedraaier disken of NICs toevoegde was het ook wel te overzien dat een beheerder dan even zat te klooien met vi in ./etc/ files om _DE_ configuratie aan te passen.
En hopelijk niks vergat - (hallo daemon -i eth0,eth1,eth2 ) .

_Dat_ is waarom de klassieke decentrale startup systemen achterhaald zijn - ze kunnen niet omgaan met de dependencies die je hebt bij dynamische 'hardware' wijzigingen als hotplug devices en het herstarten van 'alle' services die ervan afhangen.

"De" configuratie bestaat niet meer - met een klik (of een API call) hangen er disken of nics, of CPUs bij. En het is eigenlijk helemaal niet normaal dat er dan een man-met-baard-en-bril moet gaan zitten inloggen , editen, en nog een keer rebooten voordat je die dingen kunt gebruiken.

Dan snap je ook waarom systemd van Redhat afkomstig is - met hun gebruik in Cloud en VM omgevingen hebben ze ervaren dat deze noodzaak er was . En de andere distro's die ook maar enigszins gebruikt worden in dergelijke omgevingen zijn direct meegegaan.
De tijd van Pöttering en de andere developers die ze betaald hebben, en de adoptie ervan in de distro waar heel Redhat van bestaat is echt niet voor z'n mooie ogen, maar omdat ze een oplossing willen waar de Redhat _klanten_ behoefte aan hebben.


[..]

Ook oude honden moeten soms nieuwe kunstjes leren ...
Ik heb SunOS beheerders horen klagen over alles wat er zo erg mis was met Solaris .
En ja, je vaste patronen aanpassen _kost_ tijd en moeite en energie .

Prijs je maar gelukkig dat in Unix land dit soort veranderingen minder frequent zijn dan de WIndows beheerders die van NT4 naar W2K naar Vista naar W7/W10 gesleurd zijn.


Als je in de niche van Unix beheerder met een paar dozijn vaste fysieke servers die je per stuk met het handje beheert blijft plakken heb je en leuke hobby, maar een doodlopende carriére.

@ THE FOSS: 07:47,

1-2-tjes, als men zich niet strikt aan det fanboy-opinie wenst te houden, krijg je dit soort vreemde reactie's.

Of je wordt, zoals in een andere draad al eens geuit, beschouwd als een karma4 "sockpuppet", wat dat ook zijn moge..
Luntrus als het karma4-alter-ego wellicht?

Jaloerse reachtie, als mensen gewoon op uitwisseling van kennis, de ene op back-end, de andere op front-end gebied een zekere vorm van affiniteit qua inzichten menen waar te nemen. Ik ben het ook niet in alle opzichten eens met karma4 of bitwiper bijvoorbeeld, maar vindt het gewoon leuk in de vorm van hoor en wederhoor deel te nemen aan de discussie en "common ground" te zoeken.

Dat anderen dat dan weer direct stoort, vind ik bevreemdend. Kleinzielig eigenlijk.
Vrijheid van inzicht staat geweldig onder druk tegenwoordig. De jaren zestig ervoer ik vrijer als de jaren nu.
Goed dat ik het van jou hoor en niet van de moderatie.

Hier scoor je niet mee, THE FOSS.

google...
Een sock-puppet is een pop gemaakt van een sok waar je je hand in steekt en dan buikspreekt. (Denk aan de Muppets).

En on-line discussies staat het iemand die met een andere identiteit z'n eigen bijdragen ondersteund of herhaald ('ja dat heeft karma4 goed gezegd')
https://en.wikipedia.org/wiki/Sockpuppet_(Internet)

Oh? Je bent er zo eentje die de hele dag bezig is met hoe je kan 'scoren'? (Ik dus juist niet.)


Precies dat en vice versa ook. Viel mij op.

"I'm not a crook", zei Richard Nixon destijds. Regel 1 bij framing & de-framing rules is is om nooit een framing te ontkennen.
Men zal vaak wat je ontkent aannemen. Hoe jammer voor het karma4 alter-ego dan ook.

Die THEFOSS is toch een hele groep, waarom heet die dan niet "legio", want daar valt niet op te googelen ook.
Regel twee kies altijd voor een multi-interpretabele avatar.

Lekker anoniem offtopic allemaal. Tot jullie begonnen zag ik alleen maar nuttige bijdragen van THE FOSS.
Het gaat hier over de voor en tegens van systemd.

Ik denk dat dat wel meevalt. Niets weerhoudt je ervan om via systemd niet de daemon rechtstreeks op te starten maar een script dat de parameters verzamelt en de omgeving bepaalt.

En heel vaak is het helemaal niet nodig, en dan zijn de service-bestandjes van systemd een verademing van eenvoud in mijn ogen. En als het wel nodig is kan het geen kwaad om je eens kritisch af te vragen waarom dat nodig is. Heb je het over dingen die in de configuratie van de daemon zelf thuishoren? Is het iets dat de daemon zelf moet kunnen uitvogelen? Ik zeg niet dat dat altijd zo is, maar het kan geen kwaad om je af te vragen waarom die scrips de juiste plek ervoor zijn.

Waarmee je zelf het bewijs levert dat je wereld niet verder komt dan het doosje. Informatieveiligheid en risico impact van kwetsbaarheden gaat veel verder. Dat is wel buiten het eigen hobby thuisgebruik.

THE FOSS is populair met zijn typisch puristische Linux palaver. Niet te geloven. Alle code heeft tegencode net als alle tijden tegentijden. Geloof me maar. Wat is het probleem van systemd bij kvm?

Alweer zo een die niet snapt dat mensen gewoon software willen kunnen installeren en in gebruik nemen en dat het
dan doet wat de maker van die software bedacht had, en niet willen worden geconfronteerd met een taakstraf opgelegd
door de "wij maken alles beter" boys!

Net zoals die anoniem van een paar berichten erboven overigens. Even een of andere imaginaire situatie schetsen
en dan maar denken dat je de hele wereld beschreven hebt. Dat is wat Poettering ook zo graag doet.

Voor het geval dat je niet begrijpend kan lezen karma4, hier nogmaals het topic van deze draad: Linux-systemen kwetsbaar door ongepatchte lekken in systemd.

Ik lees lekken in open software die iedereen had kunnen zien maar niemand zag. Zeg maar een architectuur gap.
Vervolgens lees ik een probleem bij beheer want al die systemen waar het fout zit moeten aangepast worden terwijl het niet zekere is dat de verandering nieuwe problemen gaat opleveren. Gangbaar zitten er vele blokkades voor een verandering.
Vervolgens lees ik dat kwaadwillenden allerlei data hadden compromitteren, omdat je het niet weet dat het niet zo is dan is vast alle data gelekt.

Wat ik wel begrijp is dat evangelisten het niet leuk vinden als een geloof beschadigd raakt.
Dat er dan als een soort vreemde verdediging van dat geloof op de persoon gespeeld moet worden is niet sterk,

@karma4: ik zeg niet dat er in Linux systemen nooit lekken zitten. Het zijn er overigens stukken minder dan bij Microsoft software. Hoef je de CVE statistieken alleen maar op na te slaan.

Dit is ook een leesbaar overzicht aangaande een systemd-devel toepassing hier voor vm, re:
http://0pointer.net/blog/walkthrough-for-portable-services.htm

Het hele scala aan security maatregelen ligt dus wat breder als bestaande uit een enkele bug-melding en oplossing,
gepatched, dan is het NEXT- verhaal. Of je moet niet verder willen kijken.
Het is altijd structureler, dieper en wijder. Dat moeten we het in ieder geval over eens kunnen worden.

Dit zegt toch iets anders? https://www.cvedetails.com/top-50-products.php

Kijk even onderaan die pagina welke Vendor prominent op de eerste plaats staat.

P.S. Je kunt url tags gebruiken.

Kun je een werkende link geven?

Mea Culpa.Ik werk met een browser waarin je voor de zichtbare url link nog een keer moet doorklikken. Vandaar, maar dat is geen excuus. De l was namelijk weggevallen tijdens de knip & plak actie en dan krijg je dus een 404 error. Dus hier opnieuw de correcte link: http://0pointer.net/blog/walkthrough-for-portable-services.html

Aanduiding van die nieuwe functies: https://lists.freedesktop.org/archives/systemd-devel/2018-June/040879.html

Vroegere exploit al eerder dit jaar: https://news.slashdot.org/story/18/10/27/196227/new-systemd-vulnerability-discovered

The issue list: https://github.com/systemd/systemd/pull/10518 ergo een fuzzer is geen overbodige luxe hier als het met de lengte-bepaling kan misgaan. Over die onverwachte activity kunnen wel even van gedachten wisselen, dunkt mij.

Meer generieke zaken: https://github.com/systemd/systemd met 17 nieuwe issues: https://github.com/systemd/systemd/pulse#new-issues

Dus nogal wat openstaande materie. En nooit te beroerd om eens na te lopen. Het verbreedt de discussie en werkt vaak ook inzichtelijk zo. Ik weet echt niet alles en op dat punt kunnen we het nooit alleen. Het onverbloemde sterke punt is dat er 1014 keer 2 ogen naar hebben gekeken, de allergrootste benefit van non-propriety linux open source software op zich. Maar dan zijn we er nog niet, want 1 bug-pepernoot uit een hele zak met bug-pepernoten is dus wat schraal opgediend.

Les geleerd - laat propriety developers niet te veel met non-propriety software stoeien, commerciële invloeden derhalve.
De "one click moet het allemaal kunnen doen" filosofie van M$ & IBM etc. hebben al voor genoeg ellende gezorgd.

Ik wel: http://0pointer.net/blog/walkthrough-for-portable-services.html


Welke 'beschadiging van een geloof'? Want je kan wel nagaan hoe erg het dan wel niet moet zijn bij closed source software, waar je niet in de broncode kan kijken.. Oh wacht, dat weten we al! Want de problemen in de Microsoft closed source zijn bijna niet meer bij te houden. Elke dag wordt het erger en erger.

https://www.bleepingcomputer.com/news/microsoft/windows-10-january-2019-cumulative-updates-released-with-fixes/

Toch zijn er ook wel weer bewegingen die THe FOSS daarentegen gelijk geven, ze pleiten voor argwaan t.o.v. Microsoft.
Lees en huiver hier: https://www.theregister.co.uk/2019/01/07/github_free_private_repos/

Dat Microsoft nu Github gaat gebruiken als een soort van free content sharing uithangbord, waarbij developers later zich gaan wenden tot de hoogst bieders in de markt (via het opgebouwde netwerk). Hop, van 7 dollar naar nop, op Github.

Daarbij even niet vergeten, dat 99% van linux gebruikers nooit code schrijft voor het project, maar dat is een ander verhaal. Maar op deze manier wordt Github wel een soort van afgekloven karkas. Dan kun je beter XSS-DOM kwetsbaarheden woordenboeken opstellen voor gebruik in tools als Intellitamper en van dat soort activiteiten willen we nu juist wegkomen, dat soort van "a dirty mind is a joy forever" instellingen.

Ik moet denken aan HiJackThis destijds, een initiatief dat door een bekende av-oplossing werd opgekocht en vervolgens de grond in geboord door het ook niet meer bij te houden, de "let it r0t taktiek". Vlak daarna verscheen freefixer een andere qualified malware removing tool. Nu achterhaalde software overigens. Maar de sluwe wegen van de monopolist zijn zo wel bekend zo onderhand.

#sock-puppet

Slackware?

Je opmerking is misplaatst. Iemand die gewoon wil installeren zonder zich druk te maken om details kan dat met een op systemd gebaseerde distro ook. De makers van de distro hebben wat jij een taakstraf noemt al gedaan. Als gewone gebruiker heb je er geen omkijken naar.

En als je wél zelf die taakstraf uitvoert, om wat voor reden dan ook, dan was het punt dat dat onder systemd ook gewoon kan omdat je in plaats van de daemon rechtstreeks vanuit systemd te starten er ook een script tussen kan hangen dat het voorwerk doet.

Vandaar ook de hoogtijdagen voor dozenschuivers en one-click-oplossingen. De massa trapt erin, want het wordt mooi verkocht aan CEO's en vindt vooral (marketing) management aan hun zijde. Wie betaalt de hoofdprijs steeds qua security, natuurlijk de eindgebruiker en de developer, die onder tijdsdruk mee moet met dit circus. "Sign of the times & fait accompli".

Niet iedereen houdt van fuzzen of code analyseren of heeft er gevoel voor, zoals burne101 hierboven (proficiat).

Ik dacht dat dit een platform was voor security mensen, die juist wat verder keken als de commerciële en fanboy-neus lang is, maar dan heb ik me toch geweldig vergist en kom van een koude kermis thuis.

Met linux gaat het ook niet goed als het in verkeerde handen valt, net als met andere proriety only driven platformen.
Ik verwacht hier niet direct discussies a la StackOverflow, maar toch eens wat interessants te lezen houd je graag.

Bootstrap,js versie 3 wordt niets meer aan gedaan, omdat alle energie nu gaat naar versie 4 volgens het development team,
versie 3.3.4 geeft 46 sources and 33 sinks voor DOM-XSS. Dat moet je wel willen analyseren en kijken waar het elders opgevangen moet worden via best policies en hardening. Je bent dus bezig met een continue proces en je kan noot zeggen gepatched en dan NEXT, want jij moet de hele handel bewaken en een kraker heeft aan 1 werkzaam wurmgaatje genoeg.

#sockpuppet

Voor beide statistieken geldt dat ze niet het volledige beeld geven. Behalve het aantal kwetsbaarheden maakt het ook nog een groot verschil hoe ernstig ze zijn en hoe snel (met name de ernstige) kwetsbaarheden worden hersteld.

Verder is het ook nog eens knap lastig om te overzien in hoeverre de verschillende produkten en leveranciers vergelijkbaar zijn. Een Linux-distro bevat alle software die het merendeel van de gebruikers nodig zal hebben. Bij propriëtaire software zijn softwarecomponenten veel meer aparte produkten. Kan je in die verschillende werelden met heel verschillende benaderingen de categorieën waarbinnen je de aantallen kwetsbaarheden telt eigenlijk wel goed met elkaar vergelijken? Mijn indruk is dat dat maar heel beperkt mogelijk is.

Het resultaat is dat iedereen die iets wil onderbouwen makkelijk iets uit de beschikbare statistieken kan plukken dat zijn gelijk lijkt te onderbouwen. Alleen is het geheel behoorlijk complex en geven details die uit een complexe context gelicht worden nooit het volledige beeld. En dan vormen het geen sterke argumenten en getuigt het niet van inzicht in de complexiteit van de materie als je toch probeert je standpunt ermee te onderbouwen.

Systemd is een modern en knap systeem dat Linux moderniseert en sneller maakt.

Vooral het container gedeelte zal een grote toekomst bieden om systemen snel up-to-date te houden.
De kritiek op systemd is volledig onterecht!