Hallo Matthias,
das Thema ist aufgrund seiner Komplexität leider nicht so leicht zu durchdringen und weil hier ja sonst kaum was los ist und wir beide offenbar genug Zeit und Lust für diesen kleinen freundschaftlichen Schlagabtausch haben, soll es dann gern so sein.
: deine Darstellung kommt jetzt bei mir etwa so an: Die guten IT-ler arbeiten Tag und Nacht an Programmen, die die undankbaren User kostenlos nutzen können. Jetzt aber kommen die bösen Hacker und finden mit KI die Schwachstellen. Doch heldenhafter Einsatz der guten IT-ler hat die Welt in letzter Minute gerettet.
Es ist schön, dass du mich so gut verstanden hast. ;-)
Nein, ganz so war es nicht gemeint. Dein erster Satz fasst wieder Software-Entwickler und Systemadministratoren stark vereinfachend zu "IT-ler" zusammen, obwohl das zwei völlig verschiedene Handlungsträger sind. Aber weil das hier nicht wirklich schlimm ist, übernehme ich das auch für mein Beispiel. Ich würde das gern so verbildlichen:
Stell dir vor, ein Gitarrenbauer schenkt jemandem (nennen wir ihn John Doe) eine Gitarre, die dieser jahrelang spielt. Ob unser John Doe realisiert, dass man Gitarren normalerweise bezahlen muss, lassen wir mal dahingestellt. Nun hat aber plötzlich ausgerechnet vor einem Gig ein Schalter einen Wackelkontakt, was den Einsatz der Gitarre für den Gig in Frage stellt. Der Gitarrenbauer schlägt sich nun die Nacht um die Ohren und behebt das Problem. Es war eine kalte Lötstelle, und die Auswirkungen haben sich erst im Laufe der Zeit bemerkbar gemacht. Die Frage ist jetzt, ob man erwarten kann, dass John Doe dankbar ist, dass der Gitarrenbauer ihm so schnell geholfen hat. Oder zugespitzt formuliert, ob du gern mit ihm befreundet wärst, wenn er das nicht wäre.
: Das wirft bei mir schon Fragen auf.
Und das zu Recht.
: Diese Geschichte vom altruistischen Entwickler soll ich wirklich glauben?
Ja, das wäre nett. Bei Open Source sind natürlich oft Firmen oder Stiftungen am Werk, aber es sind schon ne Menge Enthusiasten dabei. Sonst gäbe es nicht diesen in der IT legendären und viel referenzierten Cartoon:
: Welchen Kapitän bewunderst du mehr: Den, der vorausschauend und völlig unaufgeregt weit im voraus am Eisberg vorbeischippert oder den, der gerade mal so in einem wilen Manöver ausweichen kann?
Guter Punkt, aber wenn der Eisberg tatsächlich vorher nicht sichtbar war, entsteht die Aufregung nun mal erst kurz vor der Kollision.
: Warum können eigentlich nicht die guten IT-ler auch die KI nutzen, um die Schwachstellen zu finden?
Noch besserer Punkt. Natürlich nutzen auch die "guten" Entwickler KI genau dafür, und tatsächlich war es in diesem Fall so, dass die Schwachstelle vom PHP-Team selbst gefunden wurde. Die Behebung wurde auch ganz im Stil deines bewundernswerten Kapitäns vorausschauend und völlig unaufgeregt begangen, dann aber aufgrund eines Leaks kurz vor Fertigstellung torpediert. Das weiß ich von einem mir persönlich bekannten Beteiligten. Die Aufregung entstand dann auch nicht auf Seiten der Entwickler, sondern bei der Nutzerschar.
: Und warum sind in diesen Programmen, die ja die Grundlage für das Internet und somit schon ein paar Tage alt sind, überhaupt noch Schwachstellen?
Bester Punkt. Du musst jetzt sehr stark sein: Es ist leider Fakt, dass jedes Programm statistisch gesehen immer noch ungefähr einen Fehler je 1000 Zeilen Quellcode hat. Und dabei ist die Rede von ausgereifter Software.
Das Script, welches gleich losrennt, wenn ich auf "Beitrag abschicken" klicke, hat mehr als 1000 Zeilen und wird bestimmt noch einen Fehler haben, den wir noch nicht kennen, obwohl in den ersten vor Äonen veröffentlichen Versionen sicher Dutzende von Programmierern draufgeschaut haben und das Script bei uns von Benjamin, Tom und mir eingehend geprüft wurde.
Große Software hat Millionen Code-Zeilen, PHP über eine Million, und es ist nicht zu umgehen, dass dort noch Fehler drin sind. Die werden nur jetzt schneller gefunden.
Klingt komisch, ist aber so.
Keep rockin'
Friedlieb
