Angewiesen ist man darauf nicht, aber ganz ehrlich: >99,99% machen es auch bei FLOSS so. Die wenigsten lesen Sicherheits-Audits oder prüfen den Quellcode oder lassen jemanden prüfen.
Klar, du könntest es prüfen oder jemanden damit beauftragen. Aber machst du das auch? Nicht falsch verstehen, ich bin auch ein großer Fan von FLOSS. Aber die Aussage, dass man theoretisch prüfen könnte, ist halt in sehr vielen Fällen eine rein hypothetisch getroffene Aussage, die in der Praxis nur selten tatsächlich umgesetzt wird.
Natürlich mache ich das nicht annähernd in dem Ausmaß in dem es nötig wäre, um selbst umfänglich zu wissen was der Code auf meinem Rechner macht. Dazu habe ich nicht die Zeit und selbst wenn ich sie hätte, hätte ich nicht die Fähigkeiten dazu.
Von Zeit zu Zeit schaue ich mir mal ein Stück Code an, aber ich bin nicht so vermessen zu glauben, mit meinen doch eher bescheidenen Kenntnissen komplexe Programme auf Sicherheitslücken prüfen zu können. Ich habe da aber z.B. in das Debian-Security-Team als zusätzliche Instanz zu Upstream mehr Vertrauen als ich es z.B. in Microsoft hätte, wo es gar keine öffentliche Kontrolle gibt, bzw. die "öffentliche Kontrolle" die es gibt nicht als unabhängig angesehen werden kann, da jeder der ein Audit auf MS-Code machen möchte, auf das Wohlwollen von MS angewiesen ist um überhaupt Zugang zu bekommen.
Aber da hinkt die Argumentation doch irgendwie. Wenn ich sage, dass alles nur Schlangenöl ist, was ich nicht überprüfen kann, dann kann ich mir eine ganze Menge Updates sparen:
- Updates für Windows
- Updates für die Firmware-Pakete unter Linux
- Updates für die Microcode-Pakete unter Linux
- BIOS-Updates jeglicher Art
- Updates für alle closed source Anwendungssoftware
- ...
... und zwar ganz egal, ob da Sicherheitslücken bekannt sind oder nicht. Das wäre fatal. Wie viele Leute würden dann mit einem Windows offen wie ein Scheunentor durch die Gegend surfen, weil das Sicherheitsargument für die Updates ja nur Schlangenöl ist, weil man es ja gar nicht überprüfen kann? Das halte ich für ziemlich kritisch.
Da habe ich mich vielleicht schlecht ausgedrückt. Closed-Source-Sicherheitsupdates sind wichtig, denn die Lücken die dadurch geschlossen werden sollen, sind sicher vorhanden. Aber im Gegensatz zu FLOSS kann man eben nicht prüfen, ob sie auch tatsächlich das tun, was sie vorgeben. Und das meine ich durchaus im doppelten Sinn:
1. Schließt das Update tatsächlich die kritische Lücke oder hat es vielleicht einen Bug, der die Lücke nicht wirklich schließt?
2. Schließt das Update nur die kritische Lücke oder schiebt es mir weitere Funktionen unter die ich gar nicht haben will?
Mit "Schlangenöl" meine ich nicht das BIOS-Update an sich, sondern das Versprechen, dass es Sicherheitsprobleme löst, denn keiner der unabhängig ist kann es überprüfen und keiner der es überprüfen kann ist unabhängig.
