© 1995-2008 by The FreeBSD Project. All rights reserved.URL: http://www.FreeBSD.de
as 2007-08-06 02:19:07 UTC
FreeBSD ports repository
Modified files:
books/porters-handbook book.sgml
Log:
Kapitel 11 formatiert.
Revision Changes Path
1.111 +491 -459 de-docproj/books/porters-handbook/book.sgml
Index: book.sgml
===================================================================
RCS file: /home/cvs/de-docproj/books/porters-handbook/book.sgml,v
retrieving revision 1.110
retrieving revision 1.111
diff -u -I$FreeBSDde.*$ -r1.110 -r1.111
--- book.sgml 5 Aug 2007 23:58:09 -0000 1.110
+++ book.sgml 6 Aug 2007 02:19:07 -0000 1.111
@@ -10126,181 +10126,186 @@
aktuell halten.</para>
</chapter>
- <chapter id="security">
- <title>Sicherheit der Ports</title>
+ <chapter id="security">
+ <title>Sicherheit der Ports</title>
- <sect1 id="security-intro">
- <title>Warum Sicherheit so wichtig ist</title>
+ <sect1 id="security-intro">
+ <title>Warum Sicherheit so wichtig ist</title>
- <para>Es finden sich immer wieder Fehler in Software. Die
- gefährlichsten davon sind wohl jene, die
- Sicherheitslücken öffnen. Technisch gesehen
- müssen diese Lücken geschlossen werden, indem die
- Fehler, die Sie verursacht haben, beseitigt werden. Aber die
- Vorgehensweisen, wie mit bloßen Fehlern und
- Sicherheitslücken umgegangen wird, sind sehr
- unterschiedlich.</para>
-
- <para>Ein typischer kleiner Fehler betrifft nur Nutzer, die eine
- bestimmte Kombination von Optionen aktiviert haben, die den
- Fehler auslöst. Der Entwickler wird letztendlich einen
- Patch herausgeben, gefolgt von einer neuen Version des
- Programms, die den Fehler nicht mehr enthält - jedoch
- wird die Mehrheit der Nutzer nicht sofort aktualisieren, da
- sie von diesem Fehler nicht betroffen sind. Ein kritischer Fehler,
- der zu Datenverlust führen kann, stellt ein
- schwerwiegendes Problem dar. Dennoch sind sich umsichtige
- Nutzer bewusst, dass Datenverlust verschiedene Ursachen -
- neben Softwarefehlern - haben kann, und machen deshalb
- Sicherungskopien wichtiger Daten. Zumal ein
- kritischer Fehler sehr schnell entdeckt wird.</para>
-
- <para>Bei einer Sicherheitslücke ist dies ganz anders. Erstens
- wird sie vielleicht jahrelang nicht entdeckt, da dies oftmals
- keine Fehlfunktion im Programm verursacht. Zweitens kann eine
- böswillige Person unerlaubten Zugriff auf ein unsicheres
- System erlangen, um empfindliche Daten zu verändern oder
- zu zerstören; im schlimmsten Fall findet der Nutzer
- nicht einmal die Ursache des Schadens. Drittens hilft der
- Zugriff auf ein unsicheres System dem Angreifer oft in ein
- anderes System einzudringen, welches ansonsten nicht gefährdet
- wäre. Deshalb reicht es nicht aus eine Sicherheitslücke
- nur zu schließen: Die Zielgruppe sollte möglichst
- genau und umfassend darüber informiert werden, damit sie
- die Gefahr einschätzen und passende Maßnahmen
- ergreifen können.</para>
- </sect1>
-
- <sect1 id="security-fix">
- <title>Sicherheitslücken schliessen</title>
-
- <para>Bei Ports und Paketen kann eine Sicherheitslücke im
- ursprünglichen Programm oder in den Port-Dateien
- verursacht werden. Im ersten Fall wird der ursprüngliche
- Entwickler den Fehler wahrscheinlich umgehend korrigieren oder
- eine neue Version herausgeben und Sie müssen den Port nur
- aktualisieren und die Korrekturen des Autors
- beachten. Falls sich die Korrektur aus irgendeinem Grund
- verzögert, sollten Sie <link linkend="dads-noinstall">den
- Port als <makevar>FORBIDDEN</makevar> markieren</link> oder
- selbst den Fehler für den Port korrigieren. Falls die
- Sicherheitslücke im Port verursacht wird, sollten Sie ihn
- sobald wie möglich berichtigen. In jedem Fall sollte
- <link linkend="port-upgrading">die Standardvorgehensweise zum
- Einreichen von Änderungen</link> beachtet werden - es sei
- denn, Sie haben das Recht diese direkt in den Ports-Baum zu
- committen.</para>
-
- <important>
- <para>Ports-Committer zu sein ist nicht genug, um Änderungen
- an einem beliebigen Port zu committen. Bitte denken Sie
- daran, dass Ports üblicherweise Maintainer haben, die
- Sie respektieren sollten.</para>
- </important>
-
- <para>Bitte stellen Sie sicher, dass die Revision des Ports erhöht
- wird, sobald die Sicherheitslücke geschlossen wurde.
- Dadurch sehen die Nutzer, die installierte Pakete
- regelmäßig aktualisieren, dass es an der Zeit ist
- eine Aktualisierung durchzuführen. Außerdem wird
- ein neues Paket gebaut, über FTP- und WWW-Spiegel
- verteilt und die unsichere Version damit verdrängt.
- <makevar>PORTREVISION</makevar> sollte erhöht werden - es
- sei denn, <makevar>PORTREVISION</makevar> hat sich im Laufe
- der Korrektur des Fehlers geändert. Das heißt, Sie
- sollten <makevar>PORTREVISION</makevar> erhöhen, wenn Sie
- eine Korrektur hinzugefügt haben. Sie sollten diese aber
- nicht erhöhen, wenn Sie den Port auf die neueste Version
- des Programms gebracht haben und <makevar>PORTREVISION
- </makevar> somit schon verändert wurde. Bitte beachten
- Sie den <link linkend="makefile-naming-revepoch">betreffenden
- Abschnitt</link> für weitere Informationen.</para>
- </sect1>
-
- <sect1 id="security-notify">
- <title>Die Community informiert halten</title>
-
- <sect2 id="security-notify-vuxml-db">
- <title>Die VuXML-Datenbank</title>
-
- <para>Ein sehr wichtiger und dringender Schritt, den man
- unternehmen muss, sobald eine Sicherheitslücke entdeckt
- wurde, ist die Gemeinschaft der Anwender des Ports über
- die Gefahr zu informieren. Diese Benachrichtigung hat zwei
- Gründe. Erstens wird es sinnvoll sein, wenn die Gefahr
- wirklich so groß ist, sofort Abhilfe zu schaffen,
- indem man z.B. den betreffenden Netzwerkdienst beendet oder
- den Port komplett deinstalliert, bis die Lücke
- geschlossen wurde. Und Zweitens pflegen viele Nutzer
- installierte Pakete nur gelegentlich zu aktualisieren. Sie
- werden aus der Mitteilung erfahren, dass Sie das Paket,
- sobald eine Korrektur verfügbar ist, sofort
- aktualisieren <emphasis>müssen</emphasis>.</para>
-
- <para>Angesichts der riesigen Zahl an Ports kann nicht für
- jeden Vorfall ein Sicherheitshinweis erstellt werden, ohne
- durch die Flut an Nachrichten die Aufmerksamkeit der
- Empfänger zu verlieren, im Laufe der Zeit kommt es so
- zu ernsten Problemen. Deshalb werden Sicherheitslücken
- von Ports in <ulink url="http://vuxml.freebsd.org/">der
- FreeBSD VuXML-Datenbank</ulink> aufgezeichnet. Das Team der
- Sicherheitsverantwortlichen beobachtet diese wegen
- Angelegenheiten, die Ihr Eingreifen erfordern.</para>
-
- <para>Wenn Sie Committerrechte haben, können Sie die
- VuXML-Datenbank selbst aktualisieren. Auf diese Weise helfen
- Sie den Sicherheitsverantwortlichen und liefern die
- kritischen Informationen frühzeitig an die Community.
- Aber auch wenn Sie kein Committer sind und glauben, Sie
- haben eine außergewöhnlich schwerwiegende
- Lücke gefunden - egal welche - zögern Sie bitte
- nicht die Sicherheitsverantwortlichen zu kontaktieren, wie
- es in den <ulink url="http://www.freebsd.org/security/#how">
- FreeBSD Sicherheitsinformationen</ulink> beschrieben
- wird.</para>
-
- <para>In Ordnung, Sie haben sich also für den schwierigen Weg
- entschieden. Wie vielleicht aus dem Titel hervorgeht, ist
- die VuXMl-Datenbank hauptsächlich ein XML-Dokument. Die
- Quelldatei <filename>vuln.xml</filename> können Sie im
- Port <filename role="package">security/vuxml</filename>
- finden. Deshalb wird der komplette Pfadname <filename>
- <envar>PORTSDIR</envar>/security/vuxml/vuln.xml</filename>
- lauten. Jedes Mal, wenn Sie eine Sicherheitslücke in
- einem Port entdecken, fügen Sie bitte einen Eintrag
- dafür in diese Datei ein. Solange Sie nicht mit VuXML
- vertraut sind, ist es das Beste, was Sie machen können, einen
- vorhandenen Eintrag, der zu Ihrem Fall passt, zu kopieren
- und als Vorlage zu verwenden.</para>
- </sect2>
+ <para>Es finden sich immer wieder Fehler in Software. Die
+ gefährlichsten davon sind wohl jene, die
+ Sicherheitslücken öffnen. Technisch gesehen
+ müssen diese Lücken geschlossen werden, indem die
+ Fehler, die Sie verursacht haben, beseitigt werden. Aber die
+ Vorgehensweisen, wie mit bloßen Fehlern und
+ Sicherheitslücken umgegangen wird, sind sehr
+ unterschiedlich.</para>
+
+ <para>Ein typischer kleiner Fehler betrifft nur Nutzer, die
+ eine bestimmte Kombination von Optionen aktiviert haben, die
+ den Fehler auslöst. Der Entwickler wird letztendlich
+ einen Patch herausgeben, gefolgt von einer neuen Version des
+ Programms, die den Fehler nicht mehr
+ enthält – jedoch wird die Mehrheit der
+ Nutzer nicht sofort aktualisieren, da sie von diesem Fehler
+ nicht betroffen sind. Ein kritischer Fehler, der zu
+ Datenverlust führen kann, stellt ein schwerwiegendes
+ Problem dar. Dennoch sind sich umsichtige Nutzer bewusst, dass
+ Datenverlust verschiedene Ursachen – neben
+ Softwarefehlern – haben kann, und machen
+ deshalb Sicherungskopien wichtiger Daten. Zumal ein
+ kritischer Fehler sehr schnell entdeckt wird.</para>
+
+ <para>Bei einer Sicherheitslücke ist dies ganz anders.
+ Erstens wird sie vielleicht jahrelang nicht entdeckt, da dies
+ oftmals keine Fehlfunktion im Programm verursacht. Zweitens
+ kann eine böswillige Person unerlaubten Zugriff auf ein
+ unsicheres System erlangen, um empfindliche Daten zu
+ verändern oder zu zerstören; im schlimmsten Fall
+ findet der Nutzer nicht einmal die Ursache des Schadens.
+ Drittens hilft der Zugriff auf ein unsicheres System dem
+ Angreifer oft in ein anderes System einzudringen, welches
+ ansonsten nicht gefährdet wäre. Deshalb reicht es
+ nicht aus eine Sicherheitslücke nur zu schließen:
+ Die Zielgruppe sollte möglichst genau und umfassend
+ darüber informiert werden, damit sie die Gefahr
----------------------------------------------
Diff block truncated. (Max lines = 200)
----------------------------------------------
To Unsubscribe: send mail to majordomo(at)de.FreeBSD.org
with "unsubscribe de-cvs-doc" in the body of the message
Received on Mon 06 Aug 2007 - 04:20:38 CEST