"L'UE sviluppi un sistema operativo e un browser", la proposta del ministro finlandese

[cdimauro]

Originariamente inviato da zappy

e io che pensavo che il riferimento fosse un altro...

LOL. Volevo scrivere "utilizzatori finali" (ogni riferimento NON è causale ), e m'è scappato utilizzati finali. Che, in base al discorso, calza ugualmente (anzi).

Scusate gli orrori grammaticali di cui il commento è pieno, ma ieri avevo pochissimo tempo e ho scritto di getto.

scherzi a parte, il router è il componente che mi preoccupa molto più di tutti gli altri, visto che spesso e volentieri resta come esce, o al più dopo 1-2 anni è abbandonato.
per legge deve essere imposto di mantenerlo per almeno 8-10 anni dal termine delle vendite, vita la crucialità sempre maggiore che assume(rà).

E chi lo paga questo supporto?

Originariamente inviato da marcram

Appunto, per me il router è uno di quegli esempi dove il firmware closed non viene aggiornato praticamente mai, e la gente si ritrova con router di 15 anni, con sicurezza aggiornata a 15 anni fa.

Come fai a fare valutazioni sulla sicurezza di un router con software closed? Poiché è closed, potresti non avere nessuna informazione né tanto meno modo alcuno di ottenerla. E nella stessa posizione si trovano eventuali malintenzionati, visto che potrebbero non avere alcuna possibilità di accedere al firmware per esaminarlo.

Infatti nel caso migliore (in termini di maggior "sicurezza") i farabutti potrebbero non sapere:
- che s.o. viene usato;
- che applicazioni sono installate e girano;
- che processore è usato (variabile tutt'altro che trascurabile);
- che chipset è stato usato.

In buona sostanza dovrebbero passarsi il tempo a fare tentativi mandando pacchetti malformati al router sperando di trovare qualcosa che falla, e che sia sfruttabile.
Buon divertimento!

Nel caso peggiore potrebbero conoscere tutte e quattro le variabili, magari viene usato proprio OpenWRT che ti piace tanto, e di cui potrebbero conoscere delle falle zero day che nessun ricercatore di sicurezza ha mai scoperto.
E qui il lavoro, per loro, è facile facile...

Allora meglio scegliere un router compatibile con OpenWRT, che almeno sai di poter aggiornare...

Vedi sopra: ciò NON ti pone affatto al riparo da vulnerabilità non ancora scoperte dai "buoni". Mentre i "cattivi" potrebbero conoscerle già.

Inoltre il router tu magari sei in grado di aggiornalo (posto che ci sia abbastanza spazio per poterlo fare, perché a volte queste scatolette hanno uno spazio ridotto all'osso e hai ben poca libertà di cambiare roba, soprattutto se dovessi cambiare tutto il software che hanno), ma tanti altri no...

Preferisco di gran lunga un codice aperto recente, che uno chiuso di 15 anni fa...

Che, mio teorema alla mano, non implica che il secondo sia necessariamente meno "sicuro" del primo.

Eccoti una notizia fresca che è passata giusto ieri: Ghostcat minaccia tutte le installazioni di Apache Tomcat degli ultimi 13 anni
13 (TRE-DI-CI) anni senza che nessuno si sia accorto di questa vulnerabilità in uno dei software più usati lato server. E ovviamente open source.
Dov'era lo sterminato esercito di occhi della famigerata "legge di Torvalds"?

Quanto al supporto:

tale patch è disponibile per Apache Tomcat 7.x, 8.x e 9.x, ma non per la versione 6.x che ha terminato il supporto nel 2016.

Welcome to the real world...

Originariamente inviato da andy45

Dove c'è bisogno di continuità un progetto open è sempre preferibile, in modo che chiunque possa riprendere in mano un lavoro magari abbandonato da qualcun altro...che poi convenga o meno e soprattutto sia in grado di farlo è un altro discorso, però come logica funziona meglio di ripartire da zero con un nuovo progetto.

Idealmente sarei d'accordo con te, ma a volte il codice è talmente scritto o progettato male che sarebbe più conveniente riscriverlo.

Ad esempio, quando ho messo mano a LDTP per scrivere un po' di test automatici quando ero alla Intel, alla fine l'ho cambiato talmente tanto e aggiunto tante di quelle API e/o funzionalità, che praticamente l'ho riscritto (visto che chi l'ha realizzato evidentemente non aveva idea di cosa e come realmente serva per controllare i widget a schermo, e i tipici casi d'uso per chi ha bisogno di controllare un'applicazione).
E mi fermo qui, che è meglio...

Originariamente inviato da !fazz

mai detto il contrario ho solo detto che codice chiuso non implica implicitamente maggiore sicurezza rispetto al codice aperto

Mi pareva, da quel che avevi scritto, che volessi sminuire il codice chiuso dal punto di vista della sicurezza.

Comunque per me è più interessante scriverla in un altro modo: il codice chiuso è almeno sicuro quanto quello open. E se ci aggiungiamo ciò che ho scritto sopra, empiricamente è pure meglio.

avere a disposizione il sorgente permette di risalire più rapidamente alla causa del baco ma i bachi ci possono essere e ci possono essere cappellate gravi anche nel codice aperto, hearthbleed di cui parlavi è, giustamente, un esempio ecclatante

Esattamente (vedi anche sopra l'ultima notizia in merito), ma alla fine la differenza fra open e closed riguarda soltanto l'audience: chi e quanti possono accedere ai sorgenti. Perché da ambo le parti sempre ci sono gli sviluppatori che possono controllare i sorgenti e verificare i bug.

[schwalbe]

Originariamente inviato da cdimauro

E chi lo paga questo supporto?

È questo il punto dolente. Plextor e Matrox rappresentano quelle ditte con prodotti di qualità e supporto eccezionale: aggiornavano drive e, soprattutto, firmware spesso, e anche di prodotti anche decennali. Solo che costavano un po' di più della concorrenza. E il mercato cosa ha premiato: naturalmente tutte le ditte coi prezzi più bassi e supporto scarso o inesistenze.
Mettici anche per le PA l'obbligo di bandi con scelta al minor prezzo e si ha, come conseguenza, che i prodotti e materiali devon esser i più economici e scarsi, come le competenze di chi esegue i lavori...

[Piedone1113]

Originariamente inviato da schwalbe

È questo il punto dolente. Plextor e Matrox rappresentano quelle ditte con prodotti di qualità e supporto eccezionale: aggiornavano drive e, soprattutto, firmware spesso, e anche di prodotti anche decennali. Solo che costavano un po' di più della concorrenza. E il mercato cosa ha premiato: naturalmente tutte le ditte coi prezzi più bassi e supporto scarso o inesistenze.
Mettici anche per le PA l'obbligo di bandi con scelta al minor prezzo e si ha, come conseguenza, che i prodotti e materiali devon esser i più economici e scarsi, come le competenze di chi esegue i lavori...

In Europa abbiamo un sacco di centri di ricerca ed universatà statali, da questi si dovrebbe attingire per creare un ente governativo ed indipendente per lo sviluppo e la manutenzione di un os "governativo".
I soldi risparmiati in licenze e supporto ripagherebbero ampiamente i costi, con il vantaggio di avere un os indipendente e la possibilità di creare una miriade di posti di lavoro per softwarehouse che sviluppano per tale os.

Il problema di ogni nuovo prodotto è la sua adozione di massa, trovato l'installato ( parliamo di migliaia di server e milioni di client pubblici) e rendendo gratis l'os per gli europei ti troveresti ad un buon punto.

Se poi utilizzi hardware non x86 ( arm mips o quello che vuoi) puoi difatti produrre tutto in europa ( aumentanto ancora di più i vantaggi).
Non dimentichiamo che in europa abbiamo realtà di primordine in tecnologie come STM, Arm, Olivetti, Nokia, Ericson, e centri di ricerca e sviluppo al top.
Volendo ci sono anche le fab GF a dresda ed un inpulso economico al settore potrebbe rendere l'Europa molto più forte e meno dipendente dalle volontà dei player esteri ( sia privati che governativi)

[zappy]

Originariamente inviato da marcram

Appunto, per me il router è uno di quegli esempi dove il firmware closed non viene aggiornato praticamente mai, e la gente si ritrova con router di 15 anni, con sicurezza aggiornata a 15 anni fa.
Allora meglio scegliere un router compatibile con OpenWRT, che almeno sai di poter aggiornare...
Preferisco di gran lunga un codice aperto recente, che uno chiuso di 15 anni fa...

[zappy]

Originariamente inviato da cdimauro

...E chi lo paga questo supporto?

non mi dirai che quando un router casalingo viene sostituito dal modello successivo, l'hw viene cambiato radicalmente e il sw riscritto da zero.
probabilmente non cambia pressochè nulla a parte l'involucro e il colore dell'interfaccia web.
pertanto, il supporto è sostanzialmente a costo zero e la portabilità delle patch richiede 5 minuti da parte di uno studente al primo anno.

[WarDuck]

La sicurezza di un software non la fa il fatto di essere aperto o chiuso, quanto la sua qualità. Tra l'altro volendo essere pignoli bisognerebbe comunque osservare il binario perché alla fine della fiera è quello che viene eseguito dalla CPU, e il compilatore non è altro che un software, soggetto a bug anch'esso.

In generale comunque possiamo convenire sul fatto che più il sistema è piccolo e meglio è.

E' chiaro che il Linux di oggi non è il Linux del 1991 che aveva inizialmente scritto Torvalds, è un sistema molto più complesso.

In generale, scordatevi che un qualsiasi kernel di sistema operativo general purpose sia certificabile "as is".

Sarebbe invece più interessante ad esempio sviluppare una "distro" attorno ai micro-kernel della famiglia L4. Non ci ho messo le mani, ma sulla carta sembrano promettenti.

Comunque personalmente, con fondi pubblici della UE da cittadino mi piacerebbe che il codice fosse reso disponibile e accessibile con licenza open source.

[biometallo]

Premetto che non ho seguito il thread con regolarità, e in questo momento sono troppo pigro per rileggere tutti i post, ma da ignorante mi permetto un piccolo appunto:

Originariamente inviato da marcram

Appunto, per me il router è uno di quegli esempi dove il firmware closed non viene aggiornato praticamente mai

Che io sappia, buona parte dei firmware dei router non aggiornati in realtà sono proprio basati su linux e comunque io qui in casa ne ho diversi di apparecchi basati su linux dove non esistono aggiornamenti ne è possibile metterci le mani dentro, come la mia smart tv Samsung, o il vodafone tv station (credo si chiamasse così) forse si sta facendo l'errore di confondere open source con software libero

[cdimauro]

Originariamente inviato da schwalbe

È questo il punto dolente. Plextor e Matrox rappresentano quelle ditte con prodotti di qualità e supporto eccezionale: aggiornavano drive e, soprattutto, firmware spesso, e anche di prodotti anche decennali. Solo che costavano un po' di più della concorrenza. E il mercato cosa ha premiato: naturalmente tutte le ditte coi prezzi più bassi e supporto scarso o inesistenze.
Mettici anche per le PA l'obbligo di bandi con scelta al minor prezzo e si ha, come conseguenza, che i prodotti e materiali devon esser i più economici e scarsi, come le competenze di chi esegue i lavori...

Assolutamente d'accordo. Non si vuol capire che la qualità e il supporto si pagano, perché hanno un costo. Ma è un costo che il consumatore medio non vuol sostenere.

Poi, però, che non si venga a puntare il dito contro le aziende "brutte e cattive" che si sono semplicemente adeguate alle richieste di mercato...

Originariamente inviato da Piedone1113

Se poi utilizzi hardware non x86 ( arm mips o quello che vuoi) puoi difatti produrre tutto in europa ( aumentanto ancora di più i vantaggi).

Su ARM non ci punterei, visto che dopo il ban di Trump l'azienda (che pur essendo europea è stata acquisita dalla giapponese Softbank, che ne detiene la maggior quota) decise di sospendere i rapporti con Huawei. Quindi, di fatto, saremmo ancora succubi degli americani.

L'unica europea rimane MIPS, che peraltro ha pure aperto la sua licenza per cercare di fare concorrenza ad ARM e RISC-V, e dunque non dovrebbe esserci alcun problema, a parte il fatto che l'ISA non è un granché a livello di densità di codice e non offre estensioni SIMD a livello delle altre ISA.

Come già detto prima, sarebbe meglio puntare su RISC-V, che è completamente libera, ha diverse estensioni, e ha pure spostato la sede principale a Zurigo (dove, peraltro, c'è una delle implementazioni più interessanti sviluppate dall'università: PULP).

Non dimentichiamo che in europa abbiamo realtà di primordine in tecnologie come STM, Arm, Olivetti, Nokia, Ericson, e centri di ricerca e sviluppo al top.

Purtroppo hanno tutti abbracciato ARM. Anche la nostra STM, che aveva delle sue architetture (ma più che altro in ambito embedded, visto il business).

Però non credo che abbiano problemi a passare ad altro.

Originariamente inviato da zappy

non mi dirai che quando un router casalingo viene sostituito dal modello successivo, l'hw viene cambiato radicalmente e il sw riscritto da zero.
probabilmente non cambia pressochè nulla a parte l'involucro e il colore dell'interfaccia web.

In tal caso non avrebbe nemmeno senso sviluppare nuovi SoC e/o firmware: basterebbe vendere sempre gli stessi router, no?

pertanto, il supporto è sostanzialmente a costo zero e la portabilità delle patch richiede 5 minuti da parte di uno studente al primo anno.

Il problema è che lo studente di primo anno non conosce nulla di repository, code review, gating delle patch, continuous integration, integration testing, system validation, licenze software (e come gestirle), tool come BlackDuck (annesso al punto precedente), productization & product delivery.

Ed è il motivo per cui è, per l'appunto, uno studente del primo anno, che dal punto di vista dello sviluppo software è equivalente a un poppante che succhia capezzoli, produce tonnellate di scorie, sta prendendo confidenza col mondo.

Lo sviluppo di software professionale lasciamo ai professionisti, che sanno quello che devo fare nel mondo reale, e mettiamo alla berlina i laureati all'università della strada che sparano sentenze senza avere la minima idea di come funziona, questo mondo reale.

Originariamente inviato da WarDuck

In generale, scordatevi che un qualsiasi kernel di sistema operativo general purpose sia certificabile "as is".

Sarebbe invece più interessante ad esempio sviluppare una "distro" attorno ai micro-kernel della famiglia L4. Non ci ho messo le mani, ma sulla carta sembrano promettenti.

Concordo. Per questo parlavo prima di sviluppare un microkernel: in modo da ridurre enormemente la complessità del componente più importante e più a rischio di una piattaforma.

Comunque personalmente, con fondi pubblici della UE da cittadino mi piacerebbe che il codice fosse reso disponibile e accessibile con licenza open source.

Capisco e piacerebbe pure a me, ma poi ci sarebbero i problemi di cui sopra.

Originariamente inviato da biometallo

Che io sappia, buona parte dei firmware dei router non aggiornati in realtà sono proprio basati su linux e comunque io qui in casa ne ho diversi di apparecchi basati su linux dove non esistono aggiornamenti ne è possibile metterci le mani dentro, come la mia smart tv Samsung, o il vodafone tv station (credo si chiamasse così) forse si sta facendo l'errore di confondere open source con software libero

This. Ne avevo già accennato, ma il punto è esattamente questo.

[386DX40]

Comunque e' la vecchia questione dell'avere troppi device che fanno la stessa cosa e se poi essi vengono abbandonati come la maggior parte dei prodotti ormai usa e getta, altro che sicurezza. Perche' avere TV smart con kernel vecchi di anni quando un computer di vent'anni fa e' aggiornabile quotidianamente per fare le stesse cose anche se non comodamente sul divano.
Sui discorso dei players alle nostre longitudini rimango sempre dubbioso che gli altri players se ne stiano li a guardare accettando scelte unilaterali. E immagino le conseguenze.

[cdimauro]

Originariamente inviato da 386DX40

Comunque e' la vecchia questione dell'avere troppi device che fanno la stessa cosa e se poi essi vengono abbandonati come la maggior parte dei prodotti ormai usa e getta, altro che sicurezza. Perche' avere TV smart con kernel vecchi di anni quando un computer di vent'anni fa e' aggiornabile quotidianamente per fare le stesse cose anche se non comodamente sul divano.

Primo perché è di gran lunga più comodo avere una TV "smart", ad esempio, anziché doverla collegarci un accrocchio esterno (che consuma pure molto di più) che devi comandare in qualche modo (mentre un telecomando è molto più semplice da usare)

Secondo perché un computer di 20 anni fa non ha la risorse necessarie per le esigenze attuali, mentre l'economicissima Fire Stick da 35€ che ho comprato un paio di settimane mi mette a disposizione una vagonata di funzionalità (inclusa la riproduzione di video in 4K, HDR & Dolby Vision) e ha pure il telecomando con Alexa incorporato.

Terzo perché installarsi un PC con Linux e configurarselo non è certo una passeggiata e non può certo farlo un utente comune.

Poi che con gli anni diventino obsoleti non ci si può far nulla: è normale. Ma intanto la TV che ho comprato circa 6 anni fa me la sono goduta comodamente.

Sui discorso dei players alle nostre longitudini rimango sempre dubbioso che gli altri players se ne stiano li a guardare accettando scelte unilaterali. E immagino le conseguenze.

Si tratta di scelte commerciali, e mi pare che l'amministrazione Trump si sia data già un bel da fare in questi anni per affossarci anche senza tenere conto degli scenari di cui abbiamo discusso finora.

Meglio svincolarci quanto prima: abbiamo solo da guadagnarci.

[zappy]

Originariamente inviato da cdimauro

...In tal caso non avrebbe nemmeno senso sviluppare nuovi SoC e/o firmware: basterebbe vendere sempre gli stessi router, no?...

certo.
considerato che le esigenze sono +/- sempre le stesse, il 90% dei "nuovi modelli" in realtà non servono a nulla e a nessuno, se non a chi li vende.

[zappy]

Originariamente inviato da 386DX40

Comunque e' la vecchia questione dell'avere troppi device che fanno la stessa cosa e se poi essi vengono abbandonati come la maggior parte dei prodotti ormai usa e getta, altro che sicurezza. Perche' avere TV smart con kernel vecchi di anni quando un computer di vent'anni fa e' aggiornabile quotidianamente per fare le stesse cose anche se non comodamente sul divano.

decisamente è meglio dal punto di vista tecnico ed ecologico recuperare un vecchio hw

[the_joe]

Originariamente inviato da zappy

decisamente è meglio dal punto di vista tecnico ed ecologico recuperare un vecchio hw

Ma non diciamo eresie, un PC di 20 anni fa non serve nemmeno per aprire un browser, nel contempo consuma in un anno in corrente quanto costerebbe un box android che ti decodifica i flussi 4k al volo, o meglio ancora un chromecast così fai tutto col telefonino e non compri nemmeno del nuovo hw.

[cdimauro]

Originariamente inviato da zappy

certo.
considerato che le esigenze sono +/- sempre le stesse, il 90% dei "nuovi modelli" in realtà non servono a nulla e a nessuno, se non a chi li vende.

E allora a maggior ragione un'azienda potrebbe vendere sempre gli stessi router non spendendo un solo centesimo per il loro aggiornamento, e traendo esclusivamente guadagno.

O sono scemi loro che vogliono buttar soldi inutilmente invece raccoglierli a palate, oppure c'è qualcosa che non quadra nel tuo ragionamento.

Originariamente inviato da the_joe

Ma non diciamo eresie, un PC di 20 anni fa non serve nemmeno per aprire un browser, nel contempo consuma in un anno in corrente quanto costerebbe un box android che ti decodifica i flussi 4k al volo, o meglio ancora un chromecast così fai tutto col telefonino e non compri nemmeno del nuovo hw.

Esattamente.

Che poi questi dispositivi li usi in salotto / stanza da pranzo, in cucina, o nelle camerette, perché sono tutti collegati alle TV: un PC di 20 anni fa poteva essere un desktop o addirittura tower (io avevo un big tower!) ed è impensabile che si possano utilizzare simili baracconi in queste stanze soltanto per risparmiare qualche euro, visto l'enorme ingombro, l'intrinseca scomodità, e i consumi che hai citato.

Non ci metterei nemmeno un laptop di qualche anno, che pure occupa molto meno spazio e consuma molto meno, per gli stessi motivi.

Questo assumendo che l'hardware sia adeguato alle esigenze moderne, cosa che non è affatto come giustamente hai evidenziato.

A livello di computer da attaccare alla TV l'unica cosa sensata è un miniPC, che ha dimensioni estremamente ridotte e consumi molto bassi. Infatti ne ho uno collegato alla TV della stanza da letto, a cui però ho dovuto comprare una tastiera bluetooth per renderlo utilizzabile.
Ma è una scelta che non farei mai più perché a livello di costi, consumi, ed ergonomia/comodità è di gran lunga preferibile una firestick o similari.

[zappy]

Originariamente inviato da cdimauro

E allora a maggior ragione un'azienda potrebbe vendere sempre gli stessi router non spendendo un solo centesimo per il loro aggiornamento, e traendo esclusivamente guadagno.

O sono scemi loro che vogliono buttar soldi inutilmente invece raccoglierli a palate, oppure c'è qualcosa che non quadra nel tuo ragionamento.
...

evidentemente non hai capito cosa ho scritto...

[cdimauro]

Evidentemente non ti spieghi bene...