Linux distributeurs beperken support oude versies

Businessweek heeft een artikel online geplaatst naar aanleiding van maatregelen die onder andere Mandrake en Red Hat hebben genomen met betrekking tot de support van oudere versies van hun distributies. De belangrijkste verandering is dat de twee Linux-bedrijven de ondersteuning voor de verschillende versies van hun producten vastleggen op een bepaalde periode. Red Hat zal in de toekomst zijn Linux-pakketten nog maar twaalf maanden na release blijven ondersteunen. Mandrake heeft een differentiatie aangebracht tussen de verschillende componenten van hun distributie. 'Desktop components' zullen één jaar worden ondersteund, terwijl de 'base components', waaronder Apache, 18 maanden zullen worden ondersteund.

De maatregelen hebben tot gevolg dat een aantal versies van Red Hat en Mandrake op korte termijn niet meer ondersteund zullen worden. Red Hat 6.2 en 7.0 worden per 31 maart niet meer voorzien van nieuwe patches. Voor versie 7.1 tot en met 8.0 is deze datum gesteld op 31 december van dit jaar. Mandrake ondersteunt de 'desktop components' van versie 7.2 en 8.0 per direct niet meer, terwijl de 'base components' van deze twee per 31 maart van support verstoken zullen blijven. Hetzelfde geldt voor zowel de 'base' als 'desktop components' van versie 8.1.

Businessweek snapt de stap van beide bedrijven wel, maar is er niet erg positief over. Volgens de site is één jaar een fractie van de gebruiksduur van een Linux-distributie. De implementatie van een productieserver neemt in sommige gevallen al een dergelijke tijdsduur in beslag. Overigens geldt het nieuwe support-beleid niet voor de server-producten van beide bedrijven. Hoewel de support van de producenten vervalt, betekent dit niet dat er totaal geen patches meer beschikbaar zijn. Voor onder andere Red Hat is er het apt programma beschikbaar, waarmee gebruikers automatisch patches kunnen installeren:

Now some Linux distributors are planning to make good on that threat. Red Hat and Mandrake's recently-announced revised support policies might spell the end of the free ride for many companies using Linux.

[...] But as an advocate for better computer security, I'm nearly panic-stricken over this move. In the short term, at least, this will be a big negative for practical security on the Internet. Old software doesn't go away just because it's no longer supported, and with network operating systems the consequences could be drastic. Those systems will be sitting ducks for vulnerability scanners, and the size of distributed denial-of-service networks may grow exponentially as a result.

Reacties (51)

Het is voor bedrijven als Red Hat en Mandrake - die het moeten hebben van betaalde support - ook financieel gezien niet meer mogelijk support te leveren voor hele oude distros. Naar mijn bescheiden mening is dat ook niet nodig. Je kunt per slot van rekening gratis een nieuwe versie downloaden, en het kopen van een nieuwe versie kost nauwelijks iets van 100 dollar / euro.

Daarnaast doet Microsoft dit al jaren, dus er is niets nieuws onder de zon. Nieuwere packages zijn sowieso alleen nog maar te krijgen in de vorm van RPMs voor de latere versies, maar dat staat nog steeds niet in de weg aan het zelf compileren van pakketjes. Je systeem kan dus wel up-to-date blijven, maar het kost iets meer moeite.

Overigens hebben ook de oude versies nog tamelijk grote support communities en vraag ik me persoonlijk af hoeveel mensen nu nog Red Hat 6 gebruiken en waarom. Als mensen daadwerkelijk nog een oude distro gebruiken, wordt het misschien toch tijd om te upgrade in verband met de nieuwere hardware support in de nieuwere versies. Ach, het is jammer, maar geen ramp.

Als mensen daadwerkelijk nog een oude distro gebruiken, wordt het misschien toch tijd om te upgrade in verband met de nieuwere hardware support in de nieuwere versies.

Omdat bijvoorbeeld de leverancier van een software pakket garandeerd dat het systeem werkt op RH6.

Vaak worden eisen aan soft- en hardware keihard vastgelegd in een contract, en dan kun je niet zomaar even een upgrade doen omdat er een nieuwere versie is.

Ach, het is jammer, maar geen ramp.

Hangt er vanaf wat je belangrijker vind... support op je OS, of van je leverancier van dat ene software pakket.

Daarnaast heb je nog de belangrijkste regel... *if it aint broken, don't fix it*

Ik denk veel beheerders moeilijke keuzes moeten gaan maken in het geval van security fouten die na de support-datum aan het licht komen. Of een gat laten zitten en hopen dat niemand binnen het bedrijf zo slim is om het te misbruiken.. of al je werkplekken migreren naar een nieuwe versie van het OS.

[markj]
Het gros van de systeembeheerders heeft zich meestal niet gericht op C / C++ / etc (vaak wel shell-scripts en Perl ofzo, maar daar valt weinig mee te patchen)

Of zorgen dat dat gat niet geexploiteerd kan worden

* IPchains/IPsec en alleen bepaalde poorten open zetten
* geen shell geven als hetniet nodig is
* services die exploitable zijn uitzetten

En zowiezo.. server en client systemen kun je onafhankelijk van elkaar updaten. (Over het algemeen)

Of het gat zelf fixen... je hebt de source... je hebt de bugtraq / CVE informatie met fout en eventueel fix-patch... compile, install, klaar...

Dat komt doordat NT4 en Win2k heel veel van elkaar verschillen. Je weet nooit of al je software nog draait op het nieuwe systeem, of dat je hardware nog wel ondersteund wordt.

Als je een beetje handige systeembeheerder bent (ik hoop dat ze die hebben bij zo'n bedrijf) kan je met Linux nog jaren vooruit met individuele systeemcomponenten updaten, zonder dat de rest van de software hier enige nadelige invloed van ondervindt. In 1 klap overschakelen op een nieuwe distributie, wat inderdaad erg moeilijk en kostbaar kan zijn, is niet nodig.

Hoewel een big-bang invoering wel handig is om de stress-bestendigheid van je systeembeheerders te testem

Je vergeet dat upgraden voor bedrijven meer is dan alleen het installeren van een nieuwer OS. De migraties van NT4 naar win2k die ik overal om me heen zie, maken allemaal gebruik van uitgebreide testomgevingen. Die processen duren soms maanden. Er draait vaak alleerlei speciale software als databases en specialistische financiele pakketten.

met een beetje geluk is de uptime van de linux server langer dan de support die erop geleverd wordt.

bedoeld als kritische noot
ik wil even een kleine vergelijking trekken met microsoft waar het onfatsoenlijk wordt gevonden dat na 5 jaar een product niet meer gesupport wordt


ik vind het prima en ook logisch dat er een limiet aan de ondersteuningsduur wordt gesteld maar die moet zeker 3 jaar zijn

Het verschil met MS is dat de desktop versie van Red Hat gratis is en dat je voor Windows moet betalen. Ik vind het zowiezo al heel wat dat er gratis support op een gratis product wordt gegeven.

Als je dan de betaalde versie bekijkt wordt het verschil met Microsoft ineens een stuk kleiner qua kosten

nee want microsoft windows is veel duurder in totaliteit. De licentiekosten van MS zijn maar een klein deel van de totale kosten. MS is duur.

De support van Redhat met MS windows vergelijken is btw onzinnig. MS levert geen voordelige support en op slechts een kleiner deel.

Maarja. Technisch en op korte termijn bezien is MS inderdaad niet zo slecht. Het is pas triest als je MS over tientallen jaren en op politiek terrein tegen het licht houdt.

met een beetje geluk is de uptime van de linux server langer dan de support die erop geleverd wordt.

Met een beetje geluk is de beheerder van het ding slim genoeg om een patch te kopieeren, de specfile aan te passen en rpm -bb file.spec te doen.

ik wil even een kleine vergelijking trekken met microsoft waar het onfatsoenlijk wordt gevonden dat na 5 jaar een product niet meer gesupport wordt

Het probleem is dat je bij MS dan meteen geen keus meer hebt, niemand kan je dan voorzien van security-fixes. Bij de linuxen is het helemaal geen probleem als jouw leverancier geen updates meer uitbrengt. Alle security fixes zijn als losse source patches te downloaden (zo niet van je leverancier, dan wel van de 'upstream provider' of bugtraq o.i.d.) Deze fixes kan je dan zelf inbouwen in he bestaande versie. Bij MS spul gaat dat niet omdat je de sources niet hebt.

Voor de consumenten is het zo-wie-zo minder belangrijk, aangezien die makkelijk kunnen upgraden naar een nieuwere versie, bij linux heeft dit aanzienlijk minder voeten in de aarde dan op de MS platformen.

Bedrijven zullen meestal wel iemand hebben die de nodige security patches dan wel in de source kan verwerken tot nieuwe packages. Anders zijn er ook wel bedrijven of indiviuen te vinden die zelf packages met fixes beschikbaar zullen stellen waar RedHat of Mandrake dat niet meer doen. (Serieuzere gebruikers etc... het is open source, iedereen is vrij zelf iets op te zetten)

1 jaar is inderdaad wel erg kort, maar aan de andere kant staat het feit dat je ook gewoon gratis over kunt naar de nieuwe release (i.t.t. MS).

Het vraagt gewoon wat meer van de systeembeheerder om bij te blijven met patches, als hij/zij met de oude versie wil blijven draaien.

Bedenk wel dat vrijwel alle paketten door derden geschreven en onderhouden worden en dat daar de patches gewoon zullen blijven komen. Hoeveel extra inspanning mag je dan van de distributeurs verwachten voor de pak 'm beet $50 die de klant betaald heeft voor z'n doosje.

Het free is nog steeds van freedom en niet van free beer

Dat is het voordeel om voor Debian te kiezen. Als niet commerciële distro bieden die veel langer patches aan, zij hebben er immers niks mee te verdienen dat iemand upgrade.

Dat Debian het geniale apt systeem al lang standaard gebruikt, maakt het bovendien alleen maar aantrekkelijker. Ik installeer alvast geen enkele andere distro meer op servers. (desktops valt nog te bekijken, daar is een "out of the box" distro soms wel leuk.)

De bedrijven zullen toch op een bepaalde manier geld willen verdienen. Door deze maatregel denken ze waarschijnlijk geld te besparen maar ik vraag me af of dit niet juist negatief werkt...

Een jaar is wel heel erg kort.

Voor een bedrijf zou dit een doorslaggevend argument kunnen zijn om een andere Linux distributie te kiezen. 1 jaar is gewoon veel te kort, je wil niet elk jaar je servers migreren. Mijn collega is op dit moment bezig met een plan voor de toepassing van Linux servertjes voor kleine bedrijven (pakweg 10 tot 30 mensen) Dit zou een goedkope betrouwbare oplossing kunnen zijn.

Ze zouden er verstandiger aan gedaan hebben om de support na 1 jaar betaald te maken, een bedrag van 5 euro per maand wat bijvoorbeeld in de nieuwsposting van gisteren is genoemd is voor veel bedrijven echt geen belemmering.

aanvulling: advanced server wordt wel langer ondersteund maar dat gaat je wel 799 dollar per jaar kosten, voor kleine ondernemingen zal dat toch een reden zijn om naar alternatieven te zoeken.

Voor een bedrijf zou dit een doorslaggevend argument kunnen zijn om een andere Linux distributie te kiezen. 1 jaar is gewoon veel te kort, je wil niet elk jaar je servers migreren.

Overigens geldt het nieuwe support-beleid niet voor de server-producten van beide bedrijven.

Lezen?

...Mijn collega is op dit moment bezig met een plan voor de toepassing van Linux servertjes voor kleine bedrijven (pakweg 10 tot 30 mensen) Dit zou een goedkope betrouwbare oplossing kunnen zijn....

Helaas bestaat zo'n distributie al inclusief support van Mittel. Check: www.e-smith.org

Ook ideaal voor iedereen die snel en veilig een router met firewall wil installen.

Ik denk niet dat het om geld verdienen gaat. Maar de versies van Linux gaan redelijk snel (veeeeel sneller dan van M$, maar wel terecht in deze fase van het OS).. hierdoor moet support erg uitgebreid zijn (alle versies ondersteunen) en dat kost teveel moeite denk ik (dus geld).

Als dit de trend wordt en alle Linux distibuties dit gaan krijgen, is het voor bedrijven juist weer aantrekkelijker pm voor Microsoft te kiezen, de support voor oude versies is gewoon langer.

Of ze zoeker een (extern) bedrijf dat WEL support levert.... Er zijn tientallen bedrijven die support leveren op de distributies van RedHat, Mandrake of Suse... je zit niet gebonden aan die leveranciers... LinuxCare, IBM en HP leveren tegenwoordig prima support op deze distro's.... als je maar betaald.

En anders moeten dat soort bedrijven maar debian runnen.... Debian support nu nog officieel de 'potato' release die zo'n 3 jaar oud is. On-officieel kan je nog support krijgen voor de 1.3 release als je dat perse wil. (gratis nog ook, tegen betaling kan je bijna alles gesupport krijgen)

* edit *
Niet goed gelezen

Het is heel simpel wat ze hier proberen te doen. Het gaat over de support voor desktop distributies. Er wordt niets veranderd aan het support beleid van server producten.

Op deze manier "motiveren" ze bedrijven om de duurdere Server versies aan te schaffen van hun producten.

Dus op zich dat het slecht is voor de bedrijfs toepassing van hun distributies is onzin. Verschil is dat RedHat en Mandrake zo hopen net iets meer te vangen voor een geleverde distributie aan bedrijven.

Lijkt me een beetje overkill om op elke werkplek een server versie te installeren a 800 dollar ofzo... Dan kan je nog beter overstappen op WindowsXP / 2k , aangezien deze goedkoper zijn (en waar de gebruikers waarschijnlijk wat meer ervaring mee hebben)

Lijkt me een beter idee dat ze gewoon geld vragen voor support (maar goed.. dat is al 100x gezegd geloof ik)

Linux wordt nog niet veel gebruikt op de werkplek maar juist veel meer op servers (webservers, firewall's, fileservers)

Een niet helemaal gepatchte desktop voor mijn gevoel wat minder gevaarlijk (er kunnen minder mensen bij) dan een server die rechtstreeks aan het internet hangt.

Zoals ik hierboven ergens al geschreven heb, advanced server kost ongeveer 799 dollar per jaar. Voor kleine bedrijven is dat een stuk minder aantrekkelijk ben ik bang

Voor onder andere Red Hat is er het apt programma beschikbaar

Mis ik nu iets? apt was toch juist van Debian? Dat is toch één van de redenen dat veel mensen juist een Debian-based distro gebruiken ipv. een RedHat-based?

Mja, daar klopt volgens mij iets niet. Het is juist mandrake met urpmi die succesvol automatische updates voor het rpm systeem heeft geimplementeerd.

Het is niet goed overgenomen uit het orginele artikel zie ik, daar word gesproken over dat duizenden mensen vast komen te zitten als het up2date systeem geen support meer geeft voor RH7.3 maar ze geven enkele oplossingen, a een up2date cloon waarvan redhat niet de bandbreedte hoeft te betalen. en b connectiva's apt front end voor redhat rpms.
Zo merk je hoe snel een bericht een hele andere bedoeling krijgt als informatie niet goed door de auteurs wordt overgenomen. Ik vertrouw eigenlijk de meeste nieuwsberichten niet. die zijn altijd "gemanipuleerd" ipv "samengevat"

Denk nou eens voor je blaat

Dit maakt helemaal niks uit voor een fatsoenlijke admin. Een linux box hoor je gewoon up to date te houden. Als er een nieuwere stable versie is van software gooi ik hem hier er direct op. Als je software hebt op je OS die ouder is dan 1 jaar ben je hoogstwaarschijnlijk iemand die niet patched en tsja, dat soort mensen moeten we toch niet hebben.

Ik denk niet dat jij je erg populair zou maken in het bedrijfsleven met deze instelling. Als ze ergens een hekel aan hebben is het wel veranderingen. Proven technology is het 'key word'
Ten eerste weten ze dat het werkt, en ten tweede kost veranderen ahnden vol met geld. Wat denk je dat het kost als een bedrijf met 1000 werknemers per werknemer 30 minuten verliest omdat er 'iets' een beetje anders is? Ik heb een verandering meegemaakt waarbij het enige verschil voor de gebruiker een iets andere kleur icon was. De helpdesk heeft er geloof ik 30 telefoontjes over gehad.
Gebruikers zijn GEEN It specialisten en ze willen GEEN veranderingen.

Als bedrijven ergens een hekel hebben is het wel aan extra kosten door wormen en dergelijke die shitloads aan bandbreedte slurpen en waar zij voor mogen betalen. Software uptodate houden is een MUST (ik doel hier vooral op serversoftware a la apache, mysql). Daarnaast, als je een apache upgraded zullen gebruikers daar niks van merken.

Wat je nu zegt is een tikje anders dan wat je eerst zei. In je eerste stelling suggereer je dat je ongeveer iedere verandering/vernieuwing MOET doorvoeren. (Ik werk bij een grote multinational. Wij hebben dat soort mensen in dienst gehad. Ze werken hier geen van allen meer.) Wat je nu stelt is wat genuanceerder. Maar het enige wat we ECHT goed in de gaten houden is de firewall. En de virusscanners op de mailserver de de desktops. Intern kan het een stuk losser. In principe brengen we wel patches en service packs aan. maar daarbij lopen we niet voorop. Ze zullen me lynchen als ik om de haverklap een van de paar honderd servers plat gooi om 'even' een 'verbetering' aan te brengen. Waar dan weer het gevolg van kan zijn dat een andere server een probleem krijgt. Bandbreedte betalen? Dat doen we niet. We hebben eigen lijnen en huurlijnen die een vast bedrag kosten.

Voor onder andere Red Hat is er het apt programma beschikbaar, waarmee gebruikers automatisch patches kunnen installeren:

Pardon? apt is Debian hoor, nogal anders dan rpm!

edit:
shit, misschien toch even reloaden voortaan

Nee, 'deb' is Debian, maar apt bestaat idd ook voor Red Hat (en andere RPM distributies). apt op zich is namelijk onafhankelijk van het package formaat.

Apt was origineel ook _ALLEEN_ voor debian... het is echter wel onafhankelijk genoeg van het deb fileformaat dat het ook anders ingezet kan worden. De braziliaanse distro Connectiva (die rpm's gebruikt) heeft toen apt aangepast om ook met RPM's te kunnen werken