Duitse overheid publiceert veilige software

Het Bundesamt für Sicherheit in der Informationstechnik heeft een serie open-sourceprogramma's gepresenteerd waarmee particulieren, bedrijven en instellingen hun beveiliging een flinke impuls kunnen geven. De overheidsorganisatie denkt daarmee aan een groeiende behoefte tegemoet te komen. Als centrale IT-leverancier van de Duitse overheid ziet het BSI de gratis software ook als goede reclame voor de beveiliging van computersystemen, die volgens de club in steeds toenemende mate noodzakelijk is. Het project maakt in elk geval duidelijk dat steeds meer overheden het gebruik van open-sourcealternatieven als een serieuze optie zien.

Voor privé- en zakelijke e-mailgebruikers raadt de organisatie de GNU Privacy Guard for Windows aan. Dit pakket, dat onder meer met Microsoft Outlook te integreren is, kan van de Engelstalige site van de ontwikkelaars worden geplukt, hoewel het BSI uiteraard de Duitse versie aanbeveelt. Om de beveiliging van netwerken in de gaten te houden, werd de BSI Opensource Security Suite - kortweg BOSS - ontwikkeld. Dit pakket is gebaseerd op de functionaliteit van Nessus en de van oorsprong Duitse Security Local Auditing Daemon, ook wel SLAD genaamd. Als laatste heeft het BSI de zogenaamde Erposs4-suite online gezet. De afkorting staat voor 'Experiment with Open Source Software' en de ontwikkelaars ervan hebben zich ten doel gesteld om open-sourcesoftware eenvoudiger in het gebruik te maken. Dit pakket draait op Debian-systemen met een KDE-interface, en bestaat onder andere uit OpenOffice.org, KMail met anti-spam- en anti-virussoftware, een firewall en de Firefox-browser.

Reacties (24)

[CAPSLOCK2000]

Goeie actie van die Duitsers. Dit is een prima voorbeeld van waarom Open Source zo geschikt is voor de overheid.
De opbrengst van dit project is beschikbaar voor alle Duitsers, en zo veel als ze willen. Van deze eenmalige investering kan heel Duitsland meeprofiteren.

Als de Duitse overheid gesloten software zou aanbevelen, zouden de Duitsers licenties moeten kopen. De Duitse overheid zou natuurlijk een volume licentie kunnen nemen, maar dan moeten ze die licenties ook gaan beheren. Verder zouden ze waarschijnlijk jaarlijks moeten blijven betalen voor licenties en upgrades. En als hun leveranciers failliet zouden gaan, zijn ze hun investering kwijt.

Door het op deze manier te doen kan iedereen, voor altijd, blijven profiteren van deze investering.

Bijkomend voordeel voor de Duisters is dat ze het werk kunnen laten doen door Duitsers, en het geld blijft dus ook binnen Duitsland. Dit in tegenstelling tot software van bv. Amerikaanse ontwikkelaars. Als overheid stimuleer je natuurlijk bij voorkeur je eigen economie.

[miw]

Secure en Windows zijn toch zaken die moeilijk verenigbaar zijn. Bij closed source ben je verplicht de leverancier van die software te vertrouwen en daarom kan je dat niet. Bij Open Source is die verplichting afwezig en daarom kan je die software juist wel vertrouwen. Wired heeft vandaag een leuk verhaal waarin dat nader wordt uitgelegd.

[Guru Evi]

Bepaalde overheden kunnen bepaalde stukken van de software inzien. Ik denk niet dat ze de complete source code eventjes doorzenden naar China of Korea of dat ze gelijk welke overheids-it-department vertrouwen met de veiligheid of het opslaan ervan.
De meeste IT departementen in de overheid weten nog met moeite hoe ze Outlook moeten instellen en alles die daarbuiten ligt moeten ze een bedrijf voor inhuren.

Daarnaast is er voor mij nog steeds geen vertrouwen in te stellen als slechts 1 of 2 Microsoft Certified Prutsers de code kunnen inzien. Open Source is zo veilig juist omdat zo veel goede programmeurs het kunnen inkijken, er zijn programmeurs van verschillende landen met verschillende denkwijzen en verschillende specialiteiten.

[Brent]

Simpel stellen dat je veilig bent omdat je Open Source gebruikt is lachwekkend en dom.

Daar heb je helemaal gelijk in. Echter stellen dat software veilig is omdat je er een smak geld voor hebt betaalt, de lobbygroep van de desbetreffende fabrikant je verteld dat het een goed bedrijf is wat veilige producten verkoopt en dat het configuratiescherm zo'n handige, leuke interface heeft is nog veel lachwekkender en dommer. Dat laatste zie ik menig overheid sneller doen dan zelf een kritisch onderzoek plegen waarin de broncode (bij grote commerciele bedrijven door een bepaalde afspraak en OSS spreekt voor zich) ook doorgelicht wordt.

[Mars Warrior]

[...] waarmee particulieren, bedrijven en instellingen hun beveiliging een flinke impuls kunnen geven.
Misschien ontgaat het me een beetje, maar is dit niet wat overdreven om een PGP utility en een poortscanner zo'n zwaar stempel te geven??

Laat staan wat dit nu met het 'voordeel' van OSS te maken heeft...

Het lijkt meer op een reklame offensief van Duitse bedrijven om HUN spullen te promoten (lees: geld!)

[kidde]

Er zat ook nog een e-mail cipher en een vulnerability-suite bij. Het voordeel van OpenSource is, met name voor cryptografie, dat iedereen na kan gaan of de encryptie juist geïmplementeerd is (zonder achterdeurtjes).

Closed source encryptiesoftware is voor gebruikers als het Duitse Ministerie van Buitenlandse zaken (die met genoemde tools ook gevoelige info uitwisselt) simpelweg onveilig en nutteloos, omdat niet te controleren valt of de inhoud juist geëncrypteerd wordt, en de fabrikant van de software kan er (al dan niet onder druk van een overheidsinstelling) achterdeurtjes in bouwen. Dat (met de achterdeurtjes) is bij Microsoft in het verleden gebeurd, en als ik het goed heb, is dat een van de redenen dat het Duitse ministerie van Buitenlandse zaken zo snel mogelijk van gesloten-bron software voor het afhandelen van gevoelige informatie af wilde.

@^Tijger^: Gebruik Google eens of zo voordat je weer gaat liegen!
Hier bijv

[Tijger]

FUD, er heeft nog nooit een achterdeurtje in Windows gezeten en Microsoft maakt niet eens encryptie software buiten datgene wat in Windows zelf zit (EFS).

[janjansen73]

en hoe weet jij dat zo zeker?
Zodra je het niet kan nakijken/nalezen moet je de maker vertrouwen op zijn woord. Dat is geen zekerheid.
Je zou dus kunnen dus zeggen:

Ik denk dat/ ik ga er van uit dat er heeft nog nooit een achterdeurtje in Windows gezeten en Microsoft maakt niet eens encryptie software buiten datgene wat in Windows zelf zit (EFS).

tenzij je windows hebt geschreven natuurlijk.

[Verwijderd]

het is duits denk ik
de andere zijn vaak engels

[guillaume]

...de zogenaamde Erposs4-suite online gezet...

Je moet wel dyslectisch zijn om daar "Experiment with Open Source Software" uit te halen

[Verwijderd]

Bijkomend voordeel voor de Duisters is dat ze het werk kunnen laten doen door Duitsers, en het geld blijft dus ook binnen Duitsland

De economische bijdrage van OSS is veel gelimiteerder dan van closed source. OSS software producten zetten veel minder om en dragen daardoor veel minder aan de economie. denk dat Microsfot in duitsland meer belasting afdraagt dan de hele OSS industrie aan omzet genereert (en dat terwijl duitsland echt een OSS bolwerk is). Natuurlijk levert software ook veel spinoff werk op in de vorm van ICTdienstverlening maar ik zie niet echt dat er voor duitland een economisch effect voortvloeit als duitse bedrijven support leveren voor of OSS of voor closed source producten.

[Zaffo]

OSS hoeft niet per se door hobbyisten op zolderkamertjes ontwikkeld te worden. Er zijn vele bedrijven die zich bezighouden met OSS. En als overheid kan je ook ontwikkelaars in dienst nemen om iets wenselijks te ontwikkelen. Hier komen wel belastinginkomsten van, er zijn personen aan het werk en het is een stukje innovatie.

Microsoft is groot en heeft een enorme omzet, het is dan ook niet gek dat de totale belastingafdrage groter is.

[Verwijderd]

Ik ben met je eens dat OSS niet door hobbyisten hoeft te worden ontwikkeld. Het is echter de praktijk dat afgezien van de linux distro's vrijwel alle andere OSS bezigheden worden gesubsidieerd door bedrijven of overheden of voor niets gedaan worden. Economisch gezien is dat slecht. Je wilt als economie niet dat een belangrijk deel van je intellect zich ontrekt aan het economische leven om langdurig gesubsidieerd of gratis werkzaamheden te verrichten. Het heeft ook heel positieve kanten (bv. kennisuitwisseling) maar het is maar de vraag of deze uiteindelijk opwegen tegen de negatieve effecten.

OSS bevat veel belangrijke principiele elementen waar ik best veel waardering voor heb maar het is puur voor de duitse economie waarschijnlijk veel zinvoller om succesvolle duitse ICT bedrijven (SAP?) te ondersteunen.

[Verwijderd]

Je wilt als economie niet dat een belangrijk deel van je intellect zich ontrekt aan het economische leven om langdurig gesubsidieerd of gratis werkzaamheden te verrichten.

Echt niet? Wat denk je dan van universiteiten, waar het intellect gesubsidieerd werkzaamheden verricht? En waarom zouden dan zoveel landen er grote onderzoeksinstellingen op na houden, ook voor onderzoek dat op de korte termijn economisch niks oplevert? Niet alleen Duitsland en Frankrijk, maar ook (en vooral) de Verenigde Staten? Niet alles wat op de lange termijn nuttig is houdt zich direct economisch staande...

[Verwijderd]

Ja, dus je bevestigd wat ik al zeg de broncode moet voor de veiligheid dus eerst onderzocht worden op veiligheidslekken. ( door beveiligingsexperts,
(hackers vind ik zo'n ordinair woord en is in mijn ogen gewoon crimineel, maak geen onderscheid tussen cracker of hacker ))

Het enigste voordeel is dus als ik het goed begrijp dus wel dat OS zich laat onderzoeken erop en CS niet.
Maar goed zo'n onderzoek naar de OS broncode kost natuurlijk ook veel bling bling

[Verwijderd]

Her enige verschil hier is dat deze opensource door de "Bundesamt für Sicherheit in der Informationstechnik" is ontwikkeld en dat is al van de overheid, geen extra bling-bling dus.

[Verwijderd]

Ik vind dat maar eng hoor , Opensource voor overheden.
Deze redenering gaat trouwens ook voor Closed Source op maar goed.

Wie garandeerd de overheid dat de maker van de Opensource( Jan en Alleman ) niet stiekem heel slimme sluwe geniepige backdoortjes en dergelijke tussen de code heeft verstopt en zo overheidsgegevens probeert te jatten.

Als ik manager zou zijn zou ik hier eerst een onderzoek naar willen en niet zomaar een stukje open source in gebruik nemen.
Wie kan hier meer over zeggen?

[bootchee]

Omdat je in Opensource software wel volledig inzicht in de broncode hebt. Zo kunnen overheden zichzelf ervan verzekeren dat er geen rare achterdeuren oid in verstopt zitten.

[ichnaton]

Angsten zijn begrijpelijk. Echter, het gaat erom dat je je angst overwint. Focus niet op het gevaar, maar op de kansen: zelf de code (laten) nalopen.

Laat je inspireren voor OpenBSD,die zelf duizenden regels code naliepen van de programma's op hun systeem.

Kijk dan nog even naar de beperkingen die je hebt als gebruiker om er zelf wat aan te doen, ofwel, bij welke heb je meer risico van backdoors, open- of closed-source ?

[miw]

Het idee is een stap in de goede richting. Toch denk ik dat wired een beter advies heeft ten aanzien van de beveiliging.

[GoBieN-Be]

Leuke link, maar ik zie daar nergens een lijst van Open Source producten die zorgen voor een betere beveiliging.

[Verwijderd]

Kunnen die Nederlandse wannabe's en prutsertjes nog wel een voorbeeld aan nemen. Hier draait nog 99% van de overheids PC's op Windows, en is IE als standaardbrowser ingesteld.

[HANC]

Intressante zet van de Duitse Overheid.

Als ze nou ook nog het belangerijkste veiligheidsprobleem (de gebruikers) aanpakken hebben ze het prima voor elkaar.

Goede eerste stap denk ik zo.

edit:

Hmmz overbodig?
Kennelijk voelde een gebruiker zich aangesproken