Software-Infos

> Ich würde gerne sehen, wenn kommerzielle Hersteller für
> Software-Bröckchen bezahlen müssten, die sie kostenlos einsetzen
> dürfen, um dann ihre kommerziellen Produkte zu verkaufen…da würden
> einige ganz schön in die Röhre schauen, ich vermute, dass einiges an
> Open-source-Komponenten in diesen Produkten steckt.
Es geht aber nicht um Software-Bröckchen, sondern um die Ideen, die
dahinter stehen. Und wenn man sich das mal ganz genau anschaut,
stellt man fest, dass sehr viele Implementationen auf Konzepten,
Vorgehensweisen und Verfahren beruhen, die entweder aus dem
Forschungsbereich kommen oder die von Enthusiasten erstellt worden
sind.
Nota bene reden wir von “Patenten” wie dem “One-Click-Shopping” von
Amazon, was prinzipiell keine so revolutionäre Neuerung darstellt,
aber schon zu handfesten Querelen geführt hat. Die grundlegenden
Ideen sind im Rahmen des Designs und der Konzeption von html, der
ersten Web-Server und von Mosaic gelegt worden, und Amazon hat da nur
eine minimale Idee zur Automatisierung gehabt. Die Originalität von
Amazon bestand im wesentlichen darin, diese patentieren zu lassen.
Wenn Amazon jetzt Lizenzen für die darunterliegenden Ideen bezahlen
müsste, wäre da einiges fällig.
Wie gesagt, speziell die US-IT-Industrie besetzt jetzt großzügig
Felder, die sie Prima zu klingender Münze machen können. Wer die
Diskussion um RIM und das von ihnen gehaltene “Patent” bezuglich
Handy-Tastaturen als Nachrichteneingabetastaturen verfolgt hat, weiß
was ich meine. Da geht eine pissige kleine Firma hin und versucht da
Geld zu machen, die ansonsten über keinerlei andere Assets verfügt.
http://www.theregister.co.uk/content/7/27205.html
Lit

> Es ist eine haarige Situation, aber ich kann verstehen, dass ein
> Hersteller auch sein Geld haben möchte. Wenn jemand eine bessere
> Möglichkeit weiss, wie die Hersteller an ihr rechtmäßiges Geld
> kommen, dann gebt bescheid.
Das gleiche leidige Thema: Es ist mit euch wie mit der
Medienindustrie.
Kohle verlangen als Obermanager für das was andere gemacht haben und
sie dabei ausbeuten was das Zeug hällt.
Pervers dabei ist nur das der Staat das unter Angestellten Verhältnis
durchgehen läßt.
Die besten Leute in der Geschichte der Softwareentwicklung waren
niemals
Leute die Angestellt bei Firma X oder Y waren und dort Ihre
revolutionären
Ideen und Kreativität in Software / Klangmaterial umgesetzt haben.
Schön nur, das das jetzt ein Ende hat, es Alternativen gibt und diese
“Menschen/Rechte” vermarkter ihrem sicheren Ruin entgegen sehen
können.
Die GNU-Projekte belegen es unsausweichlich deutlich ( Bereich der
Software entwicklung) sowie die selbständige Vermarktung der Künstler
mit Ihrer Musik durchs Internet.
Das MS Monopol wird fallen: Sie sind zu groß um sich gegen Millionen
von
Feinden die sie mit “Guerillia-Tatik” fertig machen behaupten zu
können und
zu sehr im Fadenkreuz der Justitz / Öffentlichkeit um sich große
Schnitzer erlauben zu können.

Ich finde das Vorgehen der BSA auch sehr hart, habe aber ein gewisses
Verständnis. Ich arbeite als Key Account Manager für ein Systemhaus,
das u.a. auch Softwarelizenzen vertreibt.
Mir ist von vielen Kunden bekannt, dass dort deutlich weniger
Lizenzen bezogen wurden, als tatsächlich eingesetzt werden. Häufig
lässt sich dies durch Umwissenheit (die übrigends nicht vor Strafe
schützt) entschuldigen.
Zusätzlich sind die Lizenzbestimmungen der Softwarehersteller kaum
noch verständlich, zum großen Teil sogar nicht rechtswirksam.
Ich setze daher darauf, meine Kunden umfassend über Ihre
Lizenzsituation zu informieren und versuche in einfachen Worten
darzustellen, wann eine Lizenz notwendig ist.
Nun wäre zu erwarten, dass ein Unternehmen, das von mir aufgeklärt
wurde, die entsprechenden Lizenzen bestellt oder die Nutzung
einstellt. Viele Unternehmen lizenzieren daraufhin auch nach. Leider
ist auch im Business-Bereich die Einstellung zur Software-Nutzung
sehr flapsig, es wird bei einigen Unternehmen auch weiterhin
wissentlich unlizenzierte Software eingesetzt.
Die Hersteller selbst kennen die Kundensituation nicht so genau, wie
die Key Accounter der Systemhäuser (also ich). Ich als Systemhaus
sitze in der Zwickmühle: Den Kunden werde natürlich nicht beim
Hersteller verpetzen, sonst war es die längste Zeit meine Kunde.
Trotzdem muß ich mein Geld verdienen, besonders in diesen rauhen
Zeiten und der Hersteller erwartet von mir als Partner natürlich auch
die Info über Lizenzverstöße.
Um alle zu beruhigen: Ich petze nicht ! Und ich denke, jedes andere
seriöse Systemhaus tut dies auch nicht (obwohl mir Ausnahmen bekannt
sind…)
Daher ist der Hersteller im allgemeinen recht hilflos. Er weiß
letztendlich vom Lizenzmißbrauch, kann aber eigentlich nichts
ernsthaftes dagegen tun. Daher wird an viele Kunden ein “böser Brief”
versendet, der natürlich bei vielen korrekt lizenzierten Unternehmen
Mißstimmung hervorruft.
Bei Unternehmen, die die Lizenzierung bisher wissentlich oder
unwissentlich vernachlässigt haben, kann dies jedoch den nötigen
Anstoß zum Lizenzkauf bedeuten.
Es ist eine haarige Situation, aber ich kann verstehen, dass ein
Hersteller auch sein Geld haben möchte. Wenn jemand eine bessere
Möglichkeit weiss, wie die Hersteller an ihr rechtmäßiges Geld
kommen, dann gebt bescheid.

> Schau Dir mal http://www.ffii.org/verein/statut/index.de.html#aktiv
> an.
Schon mal ein schöner Anfang.
Aber…
bis jetzt sind sich die meisten Open-Source-Hacker nicht darüber im
klaren, dass sie hier auch direkt aktiv werden sollten. Und das gilt
auch für die Koordinatoren von OS-Projekten. Natürlich bedeutet das
Formulieren und Verfolgen von Patentschriften einen nicht
unerheblichen Aufwand, der von der Zeit abgeht, in der man “etwas
Sinnvolles” machen könnte.
Das Problem ist, dass man…
o patentwürdige Neuerungen identifizieren (und nicht nach dem Motto
“ich bin so genial, dass jede meiner Ideen and das Patentamt
weitergeleitet werden muss”),
o den gegenwärtigen Stand der Patentierung ermitteln,
o eine vernünftige, formelle Patenschrift erstellen und
o das Patentverfahren geduldig durchführen muss.
Nur bei den letzteren zwei Aktivitäten kann eine solche Organisation
helfen. Die ersten zwei müssen aus dem Projekt heraus erfolgen. Bei
der Definition und Durchführung von Softwareprojekten im Bereich OS
hat sich in den letzten Jahren ein enormer Professionalisierungsschub
ergeben. Der muss jetzt auch auf diese “extracurricularen”
Aktivitäten ausgedehnt werden.
Lit

Du bist Schüler, stimmts? Als Angestellter weiß man, das
Softwarekosten den geringsten Teil der Gesamtkosten in einem
Unternehemn ausmachen, die zudem noch abschreibbar sind. Desweiteren
kosten Unternehmenslizenzen deiner genannten Software (vermutlich
kennst du nicht mehr) einen Bruchteil dessen, was du vermutest.
Ich sag dir mal ein Beispiel aus meiner Branche:
PCB Design und Simulationstool: Arbeitsplatzlizenz 50.000 Euro, sag
mir mal eine kostenlose Alternative dazu.
MEMS Simulationstool, Lizenz 10.000 Euro. Sag mal eine kostenlose
Alternative.
Cadnece und Renoir Entwicklungstools, nicht unter 100k

Die Entwicklung jeder Software muss irgendwie bezahlt werden.
Bei “Freier Software” ist es so, dass die Software jeder legal nutzen
kann, ohne einen Betrag dafür zu bezahlen. Ein gewisser Prozentsatz
(allerdings unter 50%) bezahlt freiwillig eine kleine Spende, die
dann zum Größtenteil direkt bei den Entwicklern landet und nicht
reiche Manager noch reicher machen. Wer nicht spendet, dem wird
trotzdem in Foren geholfen.
Bei “Konventioneller Software” ist es so, dass jeder, der die
Software nutzen möchte, dazu verpflichtet ist, für enorme Summen
(wenn ich mal an Programme wie Office oder Photoshop denke - dass ist
ja nicht mehr normal) eine Lizenz zu erwerben. Wer dies nicht tut
(teilweise mehr als 50% der Nutzer) verstößt gegen das Gesetz und
kann im besten Fall nur auf Schadensersatz verklagt werden. Der
Gewinn von den Lizenzkosten gelangt zu einem großen Teil zu
Millionären und macht diese noch reicher oder wird für Werbung (ein
zum großen Teil absolut unnötiges Produkt unserer modernen
Gesselschaft) verschwandt.
Und bevor man sich über Spendenaufrufe für freie Software aufregt,
sollte man erkennen, dass die Lizenzgebühren für konventionelle
Software in den Augen der Mehrzahl der Deutschen Bevölkerung auch
noch Spendenaufrufe sind.
Schönen Tag noch
MGO.

> Und komm nicht mit dem Kindergartenspruch: “Das ist doch
> Spezialsoftware“. Unternehmen, wie wir sie kennen (du nicht)
> definieren Arbeit nicht zu Briefe schreiben, MP3 hören, DivX gucken
> und Surfen.
>
> Für Hardwareentwicklungsschmieden gibt es Null, Nada, Nichts an
> kostenloser, vernünftiger Software. Entwickle mal einen Chip in VHDL
> unter Cadence und Renoir und vergleich das mal mit einer kostenlosen
> Entwicklungsumgebung unter Linux. Mit deinem beschränkten Horizont
> kennst du vermutlich nichts aus dieser Branche (jaja, die Welt
> besteht nicht nur aus OpenOffice). Die kostenlose Alternative ist
> Magic und wer schon mal damit gearbeitet hat, weiß die 100k

> Zumal solche Rückkopplungsschleifen höchst unangenehme Nebenwirkungen
> haben können. In der SF-Literatur sind einige gute Beispiele schon
> vor Jahrzehnten beschrieben worden: von einem
> Raumschiffsteuercomputer der bei der Landung feststellte das ein
> Parameter geringfügig vom exakten Sollwert abwich und deshalb mit
> vollem Schub für einen zweiten Anlauf in den Orbit zurückwollte - die
> Besatzung fand die 60 g nicht so lustig…
… die Kurzgeschichte von Stanislaw Lem ist mir bei dem Artikel
sofort eingefallen: “Ananke” - Neue Geschichten des Piloten Pirx,
1976. Bei einer Marslandung verursacht das “Wächter”-programm eine
Systemüberlastung und manöveriert das Raumschiff in eine ausweglose
Lage. Die Folge ist der Absturz. Der Landecomputer ist übrigens ein
“AIBM 09″ …
In der KI taucht auch immer wieder das Paradoxon der Selbsterkenntnis
auf. Meiner Meinung nach basiert das auf dem Gödelschen
Unvollständigkeitssatz: Eine formale Metasprache (Axiomensystem) zur
Beschreibung eines Systemes ist immer unvollständig. Zwangsläufig
führt das zu dem Umstand, daß ein System, das ein anderes System
beschreibt oder überwacht, eine höhere Komplexität als das zu
überwachende System haben muss.

ROFTL
Hier die Antwort auf deinen Erguss:
Fakten, Fakten Fakten, nichts als Fakten.
Meldung vom 15.09.2003 13:17 heise online
Mehrere Schwachstellen im Sicherheits-Zonenmodell des Internet
Explorers
Im Internet Explorer 6 wurden insgesamt sieben Lücken entdeckt, mit
denen sich das Sicherheits-Zonenmodell austricksen lässt. Damit kann
ein Angreifer mit manipulierten HTML-Dokumenten beliebigen Code in
jeder Sicherheitszone ausführen. In der “lokalen Zone” ist der
Zugriff auf Cookies, lokale Dateien und Systemkommandos möglich.
Normalerweise hat ein HTML-Dokument und darin enhaltener Code nur
Zugriff auf Objekte, die aus der gleichen Domäne beziehungsweise Zone
stammen. Ein Skript von der Seite www.foobar.com kann zum Beispiel
nicht auf den Formularinhalt eines Dokumentes der Seite
www.meinebank.de zugreifen. Durch die Sicherheitslücken kann ein
Angreifer diese Restriktion aber umgehen. Liu Die Yu, Entdecker der
Schwachstellen, hat erste Proof-of-Concept-Exploits bereits auf
seinen Seiten veröffentlicht. Microsoft ist über die Probleme
informiert, hat aber noch nicht reagiert. Als Workaround sollte man
Active Scripting und ActiveX deaktivieren.
Siehe dazu auch:
Security Advisory auf Full-Disclosure
Schwachstellen-Demonstration von Liu Die Yu
Meldung vom 12.09.2003 10:12 heise online
Schwachstelle im Windows XP ZIP-Manager
Auf Bugtraq ist eine Meldung erschienen, in der drei Fehler im
Standard-ZIP-Manager von Windows XP beschrieben werden. Zwei der
Fehler sind auf die falsche Verarbeitung von zu langen Dateinamen und
einer zu hohen Verzeichnistiefe zurückzuführen und nicht
sicherheitsrelevant. Der dritte Fehler basiert wahrscheinlich auf
einem Buffer Overflow in der “zipfldr.dll”, die zum Absturz des
ZIP-Managers führt. Ein Proof-of-Concept-Exploit ist auf Bugtraq
bereits veröffentlicht. Nähere Angaben zu der Schwachstelle wurden
nicht gemacht, ob der Fehler geeignet ist, beliebigen Code auf den
Stack zu schreiben und auszuführen ist derzeit nicht bekannt.
Allerdings ließe sich diese Lücke mit beliebigen gezippten Dateien
ausnutzen. Ein Anwender würde hinter einer komprimierten txt-Datei
sicherlich keinen Angriff vermuten.
Microsoft wurde von dem Fehler informiert, hat aber offiziell noch
nicht reagiert. Der ZIP-Manager gehört zum Lieferumfang von
Windows-XP und ist standardmäßig mit ZIP-Dateien verknüpft. Der
ZIP-Manager läßt sich mit folgenden Befehl unter “Ausführen”
deaktivieren:
regsvr32 /u %windir%\system32\zipfldr.dll
Mit
regsvr32 %windir%\system32\zipfldr.dll
kann man ihn wieder aktivieren
Siehe dazu auch:
Security Advisory auf Bugtraq
Meldung vom 11.09.2003 17:34 heise online
Hilfe zu den neuen RPC/DCOM-Sicherheitslücken in Windows
Die gestern gemeldeten Sicherheitslücken im RPC/DCOM-Dienst unter
Windows sorgen für reichlich Verwirrung, da viele Anwender alte und
neue Updates verwechseln und der Meinung sind, sie hätten den
RPC-Patch doch bereits installiert. Dennoch müssen sie den in
MS03-039 beschriebenen Patch einspielen, um die neuen Fehler im
RPC/DCOM-Dienst zu beheben. Praktischerweise beseitigt dieser Patch
auch gleich noch den alten, in MS03-026 beschriebenen Fehler.
Damit wird sowohl das Loch geschlossen, über das der Lovsan-Wurm in
die Systeme eindringt, als auch die drei neu entdeckten
Sicherheitslöcher. Für eines davon kursiert bereits seit dem 21. Juli
ein Exploit, mit dem Windows-2000-Systeme zum Absturz gebracht werden
können. Mit den zwei übrigen können Angreifer sehr wahrscheinlich
beliebigen Code auf dem System einschleusen und ausführen. Nach dem
Advisory der Sicherheitsexperten von eEye zu urteilen, ist es wohl
nur eine Frage der Zeit, bis der nächste RPC-Wurm das Licht der Welt
erblickt. Der Exploit-Code für Lovsan wurde über mehrere Wochen in
entsprechenden Foren diskutiert und verfeinert. Vom Erscheinen der
Updates von Microsoft, bis zum Ausbruch des Wurms vergingen immerhin
vier Wochen. Auf die gleiche Art und Weise dürfte auch der neue Code
entstehen. Es ist deshalb dringend anzuraten, die Updates diesmal
zeitnah einzuspielen.
Folgende Patches stellt Microsoft für deutsche Windows-Systeme zur
Verfügung:
Windows NT Workstation
Windows NT Server 4.0
Windows NT Server 4.0, Terminal Server Edition
Windows 2000
Windows XP
Windows XP 64 bit Edition
Windows XP 64 bit Edition Version 2003
Windows Server 2003
Windows Server 2003 64 bit Edition
Des weiteren schützen dieselben Maßnahmen wie bei Blaster/Lovsan.
Eine (Personal-)Firewall kann Angriffe gegen den RPC-Dienst abwehren,
indem sie Zugriffe auf die UDP-Ports 135, 137, 138 und 445 sowie die
TCP-Ports 135, 139, 445 und 593 sperrt. Sofern RPC über HTTP oder COM
Internet Services aktiviert sind, kann der RPC/DCOM-Dienst auch über
die Ports 80 und 443 angesprochen werden. Windows XP verfügt bereits
über eine eingebaute Firewall, die allerdings von mancher
Internet-Einwahlsoftware, zum Beispiel T-Online und AOL, umgangen
wird. Einige Treiber für ISDN-Karten legen ebenfalls eigene
Verbindungen an, bei denen die Firewall deaktiviert ist. Kerio
Firewall und ZoneAlarm sind kostenlose Alternativen, die damit
umgehen können.
Administratoren können Systeme in ihren Netzwerken mit Tools von eEye
und Microsoft auf alte und neue RPC-Schwachstellen scannen. Der
Scanner von eEye hat eine grafische Oberfläche und lässt sich sehr
einfach bedienen. In der kostenlosen Version kann er allerdings in
einem Durchlauf nur ein Class-C-Netz überprüfen. Als Ergebnis listet
er alle erreichbaren Systeme auf und für welche der Schwachstellen
sie anfällig sind. MS03-39 weist auf die neuen Sicherheitslöcher hin,
ist zusätzlich MS03-026 aufgeführt, wurde schon das alte
Sicherheitsloch peinlicherweise nicht gestopft. Windows-98-Systeme
werden dem Microsoft-Advisory entsprechend als nicht betroffen
aufgeführt. Das Tool von Microsoft ist ein Kommandozeile-Scanner ohne
grafische Oberfläche, mit dem auch größere Netzwerke überprüft werden
können. Der Scanner unterscheidet zwischen “unpatched”, “patched with
KB823980″ und “patched with KB824146 and KB823980″. KB823980
bezeichnet hier die alte Schwachstelle aus MS03-026, KB824146
kennzeichnet den Patch für die neuen Lücken in MS03-039.
Kritik wird mittlerweile an der Art und Weise laut, wie Microsoft
Sicherheitslöcher beseitigt. Kein Wunder, ist zum Stopfen der
aktuellen Object-Data-Tag-Schwachstelle im Internet Explorer bereits
ein dritter Patch in Arbeit. Anscheinend wird bei Bekanntwerden einer
Schwachstelle nicht der gesamte betroffene Code einer Ãœberprüfung
unterzogen, sondern nur so angepasst, dass bekannte Exploits nicht
mehr funktionieren. Des weiteren hat es Microsoft seit Jahren
versäumt, dafür zu sorgen, dass Dienste wie RPC nicht über das
Internet zu erreichen sind. Damit beschäftigt sich auch der aktuelle
Kommentar auf heise Security:
Unsicher by Design
Weitere Informationen:
Deutsches Security Bulletin MS03-026 von Microsoft
Deutsches Security Bulletin MS03-039 von Microsoft
RPC-Dienst immer noch offen — Microsoft bessert nach auf heise
Security
Scanner von eEye
Scanner von Microsoft
und so weiter und so fort.
So, du Dummschwätzer, jetzt kommst du!
Aber da du ja den Eindruck machst, dass du zu dumm bist ein Loch in
den Schnee zu pinkeln, wird das Forum auf deine Antwort lange warten
müssen.
Denk mal darüber nach!

>
> Das lobe ich mir. Ich dachte schon, das wären auch so Sesselpubser
> wie alle anderen, aber ich habe mich anscheinend geirrt.
Was ja nichts Neues wäre, aber ich darf dir verkünden, daß du dich
diesmal ausnahmsweise nicht geirrt hast
>
> Hoffentlich wird es was. Den Herren Politikern und Unternehmern
> müssen mal die Augen geöffnet werden.
ja genau !
>
> Desshalb nochmals danke für dieses Engagement.
welches ?
> Wir Software-Entwickler
Wir? Du etwa auch ? mach keinen Quatsch.
Ich dachte du wärst CHEF-Entwickler, wie kannst du dich nur so
herablassen ?
> wissen diese Arbeit durchaus zu schätzen.
nu übertreib mal nicht
> Endlich werden unsere Stimmen erhört.
Stimmen hören ? Ja, passiert manchmal, wenn man zulang im Laufrad
gesessen hat.
> Ich will diesselben Rechte wie ganz normale Handwerker
kein Thema, jeder hat das Recht auf eine fristgerechte Kündigung.
> und Musiker
Musiker haben Rechte ? seit wann ?
> auch. Ist doch nicht zuviel verlangt, oder?
weiß nicht
>
> butzi
>
> MumuHamster
*letztesMöhrchenfürHeuterübergeb*