Original von Phuket
Java ist langsam (im Vergleich zu C)
die sprache selbst ist nicht langsam. die technik mit der sie "betrieben" wird ist wohl nicht das hoechstmass an effizienz. aber man kann durchaus nen compiler schreiben der java in maschinencode umsetzt. du hast mit java angefangen, btw. es ist ja nicht so, dass es keine alternativen gibt; was ist z.b. mit ocaml?
Die Entwickler von OpenBSD haben auch OpenSSH entwickelt aber dass nur so nebenbei
deshalb hab ich openssh erwaehnt.
Formatstrings in OpenSSH gab es, allerdings zu dem Zeitpunkt als diese Art von Schwachstellen überhaupt erst entdeckt worden, zu dem Zeitpunkt war der betreffende Teil nun mal schon lange geschrieben und die betreffende Person wusste nicht, dass man sich vor solchen Schwachstellen ueberhaupt schuetzen muss.
genau, und das ganze waere kein sicherheitsloch gewesen, haette man eine andere sprache verwendet. woher weiss man eigentlich, dass es nicht noch mehr "unentdeckte" (heisst allgemein bekannte) klassen von sicherheitsloechern gibt?
Only one remote hole in the default install, in more than 8 years!
Das remote hole duerfte meiner Meinung nach die format string Schwäche in OpenSSH gewesen sein. Das sollte doch beweisen, dass es möglich ist sicheren C Code zu programmieren.
hab nie was anderes behauptet. ein anderes beispiel fuer vermutlich recht sichere software ist die von djb.
der eigentliche Diskussionspunkt ist doch, dass du behauptest, dass es schwachsinnig ist sicherheitsrelevante Programme wie Webserver,FTP Server und ähnliches weiterhin in C zu schreiben da es deiner Meinung nach dafür geeignetere Sprachen gibt und dem widerspreche ich eben, da C für solche Projekte imho die beste Sprache ist und es durchaus möglich ist sicheren Code damit zu schreiben.
sieht so aus. du hast imho keine argumente gebracht warum c so grossartig dafuer ist. "systemnah" - was heisst das? braucht man das fuer nen webserver? "schnell" - andere sprachen sind auch schnell (ocaml, z.b.).
warum sieht man taeglich advisories zu buffer overflows auf bugtraq? das problem ist anscheinend nicht geloest. wie laecherlich ist ethereal eigentlich, mit ihren tausend remote exploits in den filtern? warum zum geier muessen diese filter in c geschrieben sein? was ist mit snort? eine software zum sichern meines netzes ist ploetzlich ein sicherheitsloch.
assembler ist auch "systemnah" und "schnell". du wirst vermutlich sagen, dass man c nimmt und nicht assembler, weil c viel unnoetige arbeit abnimmt die der programmierer in assembler machen muesste. c ist abstrakter, man kann mehr ausdruecken in 10 zeilen c als in 10 zeilen assembler. genau die gleichen argumente gelten imho fuer z.b. python, lisp, dylan, etc.
Den meisten user-mode Programmen kann es auch voellig egal sein ob sie BO anfällig sind oder nicht. Solange sie keine größeren Rechte bieten als der ausführende Benutzer ist es im Prinzip egal ob sie anfällig sind oder nicht.
das kommt mir etwas riskant vor. das openbsd projekt macht auch nen code audit von "unwichtiger" software. man kann imho nie sicher sagen welche software "unwichtig" ist.
![[HaBo]](/styles/default/logoklein.png)
)
