Should software be updated?

Before this controversial question gets answered let us take a step back and describe the situation from a general perspective. Software development is usually done in the upstream which is technically realized as a git repository. Multiple software developers are commiting changes to the repository frequently. They are solving bugs, clean up the code and introducing new features. Its not possible to reinvent this workflow because the described combination of programmers who are submitting updates to the git repository is the industry standard.

The only open debate is about how frequently the upstream source code gets converted into binary production ready executable code. This question remains unsolved and its the major cause why so many Linux distributions are available. The first distribution in the ecosystem, Gentoo Linux, assumes, that the end user has a need to compile the code by itself, because his needs are individual. The second distribution, Arch Linux, assumes that the user likes to update the software multiple times per week because this will make the system stable. The third distribution, Debian Linux, assumes that the end user runs a production server which is updated once a month and only security updates are desired.

The simple question is: which strategy is recommended? Nobody knows, and because of this unclear situation lots of opposite Linux distributions and Linux users are available. In general there are two conflicting opinions: rolling release vs. stable release. Rolling release means to increase the update frequency. In the maximum case this is equal to install every day new versions of the packages. The opposite ideology, stable release, means in the extrem case to run an oldoldstable Debian system which wasn't updated since months and some major security updates were skipped because of individual reasons.

Even computer scientists are assuming that the world can be described with Yes and no, True and false, its pretty difficult to answer which of the update strategies is more secure and more recommended. What we can say instead is, that in the reality, the stable release principle is applied in the reality more frequently. Most production servers in the internet are running with a stable release Linux distribution but not with a rolling release system like Archlinux or Debian SID.

To understand the conflict we have to describe how an upstream release gets delivered to a downstream software package. Suppose on day 1 a new version of a software gets installed for the first time on a computer. On this single day 1 the upstream and the downstream is synced perfectly. Both layers are running the same software. A few days later, the git repository in the upstream was modified because of different reasons. And one month later, the upstream git repository was improved drastically because the developers have modified the code. Unfortunately, the code on the downstream layer wasn't affected so the layers are running out of sync. The version in the upstream might be v1.05 but the version in the downstream remains v1.00.

Even without doing something, the out of sync situation will become serious over the time axes. After 12 months, the downstream will run still v1.0 but the upstream has improved the code towards v2.0. This will generate a conflict between the parties. The upstream argues, that the downstream is in charge to update to the new version, but the downstream has no reason for doing so and argues, that he can't update because its a production server with no downtime window.

Resolving the conflict isn't easy. In most cases, the downstream will take a decision. He can update the system in a certain frequency, for example, each month, each year or never. Its not clear what the optimal frequency is and most computers are updated in a different interval. The only thing which is for sure is, that a longer duration between two updates increase the out of sync situation between upstream and downstream.

Sind regelmäßige Softwareupdates sinnvoll?

 Moderator: "Herzlich willkommen zu unserer heutigen Diskussion über Software-Updates. Wir haben heute zwei Experten bei uns, die zwei sehr unterschiedliche Meinungen zu diesem Thema vertreten. Auf der einen Seite haben wir Klaus, einen erfahrenen Sicherheitsexperten, der die Notwendigkeit regelmäßiger Updates betont. Auf der anderen Seite ist Tim bei uns, ein Verfechter der 'Never touch a running system'-Philosophie. Beide werden uns ihre Sichtweise auf das Thema näherbringen.

Klaus, beginnen wir mit Ihnen. Warum sind Ihrer Meinung nach regelmäßige Software-Updates so wichtig?"

Klaus: "Vielen Dank für die Einladung. Software-Updates sind in der heutigen digitalen Welt von entscheidender Bedeutung. Stellen Sie sich vor, Ihr Haus hätte ständig offene Türen und Fenster. Ein Einbruch wäre nur eine Frage der Zeit. Genauso verhält es sich mit Software ohne aktuelle Sicherheitsupdates. Cyberkriminelle suchen ständig nach Schwachstellen, um in Systeme einzudringen, Daten zu stehlen oder sogar Unternehmen lahmzulegen. Durch regelmäßige Updates schließen wir diese Sicherheitslücken und machen es Angreifern deutlich schwerer, erfolgreich zu sein."

Moderator: "Das klingt nach einem starken Argument. Tim, können Sie das entkräften? Warum sind Sie der Meinung, dass Updates eher eine Gefahr als ein Nutzen darstellen?"

Gegner von Updates: "Ich verstehe die Sicherheitsbedenken, aber ich glaube, dass die Risiken von Updates oft unterschätzt werden. Jedes Update birgt die Gefahr, dass neue Fehler eingeführt werden, die das System instabil machen oder sogar zum Absturz führen können. Außerdem sind nicht alle Updates wirklich notwendig. Viele enthalten nur kleine Verbesserungen oder neue Funktionen, die für den durchschnittlichen Nutzer keinen Mehrwert bieten. Ich bevorzuge es, ein System zu haben, das zuverlässig funktioniert, anstatt ständig mit neuen Updates experimentieren zu müssen."

Penetration Tester: "Das ist ein weit verbreiteter Irrglaube. Die meisten modernen Updates sind sehr gut getestet und haben nur einen minimalen Einfluss auf die Systemstabilität. Außerdem sind viele dieser 'kleinen Verbesserungen' entscheidend für die Sicherheit des Systems. Nehmen wir zum Beispiel die jüngsten Ransomware-Angriffe. Viele dieser Angriffe nutzen bekannte Schwachstellen aus, die durch einfache Updates hätten geschlossen werden können."

Gegner von Updates: "Aber was ist mit den Fällen, in denen Updates tatsächlich zu Problemen führen? Ich habe selbst erlebt, wie ein wichtiges Programm nach einem Update nicht mehr funktionierte. Das kann für Unternehmen verheerende Folgen haben."

Moderator: "Das ist ein wichtiger Punkt. Es gibt sicherlich Fälle, in denen Updates zu Problemen führen können. Aber ist das Risiko nicht geringer, als das Risiko eines erfolgreichen Cyberangriffs?"

*Penetration Tester: "Absolut. Das Risiko, dass ein System durch veraltete Software kompromittiert wird, ist weitaus höher als das Risiko, dass ein Update zu Problemen führt. Außerdem gibt es Möglichkeiten, das Risiko von Update-Problemen zu minimieren, zum Beispiel durch das Erstellen von Backups oder das Testen von Updates in einer isolierten Umgebung."

Gegner von Updates: "Trotzdem bleibe ich dabei, dass ein funktionierendes System nicht ständig angefasst werden sollte. Wenn es nicht kaputt ist, dann repariere es nicht."

Moderator: "Vielen Dank für Ihre Ausführungen, beide. Wir werden dieses Thema gleich noch weiter vertiefen und auch auf die persönlichen Erfahrungen eingehen, die Sie mit Software-Updates gemacht haben."

----

Moderator: "Vielen Dank für diese klare Darstellung der beiden Seiten. Lassen Sie uns nun etwas persönlicher werden. Klaus, können Sie uns von einem konkreten Fall erzählen, bei dem ein Unternehmen aufgrund veralteter Software einen schweren Cyberangriff erlitten hat?"

Penetration Tester: "Natürlich. Ich erinnere mich noch sehr gut an einen Kunden, ein mittelständisches Unternehmen aus der Fertigungsindustrie. Sie hatten eine extrem veraltete Industriesteuerung im Einsatz, die seit Jahren nicht mehr gepatcht wurde. Ein Cyberangriff legte die gesamte Produktion still. Das Unternehmen musste mehrere Wochen lang schließen und erlitt einen immensen finanziellen Schaden. Die Mitarbeiter waren entlassen, die Kunden verärgert und der Ruf des Unternehmens nachhaltig beschädigt. Das war ein dramatischer Fall, der zeigt, welche verheerenden Folgen veraltete Software haben kann."

Moderator: "Tim, Sie haben ja bereits erwähnt, dass Sie negative Erfahrungen mit Updates gemacht haben. Können Sie uns von einem solchen Fall berichten?"

Gegner von Updates: "Ja, das kann ich. Ich hatte einmal ein sehr stabiles Betriebssystem, das seit Jahren problemlos lief. Dann kam ein großes Update, das versprach, viele neue Funktionen zu bieten. Nach der Installation waren plötzlich viele Programme nicht mehr kompatibel, und das System wurde extrem langsam. Ich habe mehrere Tage damit verbracht, das Problem zu beheben, und konnte in dieser Zeit kaum arbeiten. Solche Erfahrungen machen einen sehr skeptisch gegenüber neuen Updates."

Moderator: "Das sind eindrückliche Beispiele, die die beiden Seiten dieser Medaille sehr gut verdeutlichen. Klaus, wie kann man denn Unternehmen dazu bewegen, die Bedeutung von regelmäßigen Updates ernster zu nehmen?"

Penetration Tester: "Das ist eine komplexe Frage. Es bedarf einer Kombination aus Aufklärung, Beratung und gesetzlichen Vorschriften. Unternehmen müssen verstehen, dass Cyberangriffe keine theoretische Gefahr mehr sind, sondern eine alltägliche Realität. Zudem müssen sie die Kosten eines Cyberangriffs mit den Kosten für regelmäßige Updates vergleichen. Oft ist ein Update deutlich günstiger als die Folgen eines erfolgreichen Angriffs."

Moderator: "Tim, gibt es Ihrer Meinung nach Möglichkeiten, die Risiken von Updates zu minimieren?"

Gegner von Updates: "Ja, auf jeden Fall. Man sollte Updates nicht blindlings installieren, sondern sich vorher genau informieren, welche Änderungen sie mit sich bringen. Es ist auch wichtig, regelmäßige Backups zu erstellen, um im Falle von Problemen schnell wiederherstellen zu können. Und natürlich sollte man sich für ein Betriebssystem entscheiden, das bekannt dafür ist, stabil und zuverlässig zu sein."

Moderator: "Vielen Dank für Ihre offenen Worte, beide. Wir haben heute gesehen, dass das Thema Software-Updates sehr komplex ist und es keine einfachen Antworten gibt. Jeder muss für sich selbst abwägen, welche Risiken er bereit ist einzugehen."

From rolling release to froozen release

 

The archlinux community is convinced that a production server has to be updated once a day. The philosophy behind the rolling release model is to convert new sourcecode from the upstream project into a binary file and use the result on a computer for production ready tasks. The idea is that bugs and critical security issues are fixed always in the upstream and after installing the new version the server will become more stable.

The answer – according to the archlinux project – to every problem in computing is to install the new version as soon as possible. Unfortunately there are some cons available. First problem is that updating the entire operating system every day costs time and bandwidth. Lots of new packages have to downloaded and installed. Another more serious problem is, that from time to time the update procedure fails. That means the newly installed package doesn't work or in the worst case the entire wayland server won't display something on the screen so the user has to debug manually with the help of the forum. These problems are the main reasons why the Arch linux project remains a relative small project. And even Archlinux enthusiasts are shy to use the operating system as a webserver.

The opposite philosophy toward arch linux is of course the debian project which creates a new stable version every two 2 years and then the software version remains the same. Only minor bugfixes and security updates are shipped to the production server. And these patches are mostly delayed so that they can be tested on a virtual machine first. This ensures, that a debian server is always in a stable condition which makes it a great choice as a server and a desktop machine.

There is a third philosophy not discussed frequently in the past which is a froozen release model. Froozen release assumes that even Debian stable isn't reliable enough. The user is forced to install new minor versions every 3 months which includes to reboot the machine for a kernel update. The self understanding of a froozen release model, to not deliver any updates and reduce the amount of updates to zero. Froozen means, that a new operationg system is delivered every 2 years and the duration in between the system never gets rebooted or has to update something.

This implies that at the end of of the 2 years period the user is running outdated and all the CVE vulnerabilites remain unsolved. The open question is, if this model is superior to Debian or not.

From a technical standpoint its the logical improvement over stable releases. The idea is that installing updates is the cause for all problems and only an uptime of 700 days ensures stability.

To make the point more clear we should compare rolling release with froozen release. Rolling release means, that the admin of a server installs updates every day with the pacman tool. In contrast, froozen release means to disable the pacman tool at all and the server works 2 years with the unmodified code. If a security problem was available in the original code, this problem remains open for 2 years.

Its a bit hard or even impossible to verify on a scientific basis which software distribution is more reliable. Even the comparison between arch linux and Debian is highly subjective. Introducing a seldom discussed third distribution into the comparison will make the debate harder not easier.

OpenWRT uptime verbessern

 **1 Die Neuen und der Alte**

Jan war so etwas wie ein Wirbelwind, der ins beschauliche IT-Department geweht war. Gerade frisch von der Uni, sprühte er nur so vor Energie und neuen Ideen. Er hatte sich schon während des Studiums einen Namen als IT-Wunderkind gemacht, hackte sich in Systeme, als wäre es ein Kinderspiel und schwärmte von der unendlichen Macht des Codes. Sein neues Büro, ein kleines, unscheinbares Zimmer am Ende des Ganges, war für ihn eine Bühne, auf der er endlich sein Können unter Beweis stellen konnte.

Sein Mentor, oder besser gesagt, der Mann, der ihn einarbeiten sollte, war da ganz anders. Werner hieß er, und er war schon seit Jahrzehnten in der Firma. Er war ein Typ, der seine Arbeit liebte, aber auch seine Ruhe. Seine grauen Haare waren zu einem kurzen Zopf gebunden, und seine Brille saß etwas schief auf der Nase. Werner war ein Verfechter der alten Schule. Er vertraute auf seine Erfahrung und seine handgeschriebenen Karteikarten, in denen er alles Wichtige über das Firmennetzwerk notiert hatte. Diese Karteikarten waren sein Heiligtum, ein Schatz, den er sorgsam hütete.

Jan war von Werners Methoden zunächst etwas irritiert. „Karteikarten? In der heutigen Zeit?“, hatte er belustigt gefragt. Werner hatte nur geschmunzelt und geantwortet: „Die besten Systeme sind oft die einfachsten.“

In den ersten Tagen versuchte Jan, Werner mit seinen neuen Ideen zu beeindrucken. Er sprach von Cloud-Computing, künstlicher Intelligenz und DevOps. Werner hörte ihm geduldig zu, nickte gelegentlich, aber man merkte ihm an, dass er nicht ganz überzeugt war.

Eines Tages, während Jan durch die Serverräume schlenderte, stieß er auf einen alten Router. Es war ein OpenWRT-Router, der schon seit über einem Jahr ohne Probleme lief. Jan tippte ein paar Befehle in sein Notebook, und schon hatte er herausgefunden, dass der Router eine veraltete Firmware hatte. In seinem Kopf begannen die Alarmglocken zu läuten. Er hatte gerade von einer neuen, kritischen Sicherheitslücke in dieser Firmware gelesen.

Begeistert stürzte er in Werners Büro. „Werner, ich habe etwas gefunden!“, rief er. „Unser Router ist total unsicher!“ Werner legte seine Karteikarten beiseite und sah Jan skeptisch an. „Was ist denn jetzt schon wieder los?“, fragte er müde. Jan erklärte ihm die Situation und übertrieb die Gefahr der Sicherheitslücke. „Wenn wir nichts tun, könnten Hacker in unser Netzwerk eindringen und alle unsere Daten stehlen!“, warnte er. Werner zögerte. Er wusste, dass Updates immer ein Risiko bargen. Aber Jan war so überzeugt, dass er schließlich nachgab.

So begann das Drama um den Router.

**2 Die Entdeckung der Schwachstelle**

Jan war wie ein Hund auf der Fährte. Er hatte sich in den alten Router vergraben und jede Einstellung, jedes Protokoll und jede Konfigurationsdatei unter die Lupe genommen. Und dann war es passiert: Er hatte sie gefunden. Eine kleine, unscheinbare Zeile in einer langen Konfigurationsdatei, die auf eine veraltete Firmwareversion hinwies. Es war die CVE-2023-12345, eine Schwachstelle, die erst vor kurzem entdeckt worden war und es Hackern erlaubte, sich unbemerkt in das System einzuschleichen.

Mit leuchtenden Augen stürzte Jan zurück zu Werner. „Ich hab’s gefunden!“, rief er aufgeregt. „Eine riesige Sicherheitslücke! Hacker könnten jederzeit in unser Netzwerk eindringen und alles kaputtmachen!“ Werner runzelte die Stirn. Er hatte von solchen Schwachstellen schon gehört, aber er war sich nicht sicher, wie ernst die Lage wirklich war. „Das klingt ja nicht gut“, meinte er vorsichtig.

Jan wollte keine Zeit verlieren. Er hatte sich bereits im Internet schlau gemacht und wusste, welche Gefahren von dieser Schwachstelle ausgingen. Er malte Werner ein düsteres Bild von Cyberangriffen, Datendiebstahl und Erpressung. „Stell dir vor, unsere gesamte Kundendatenbank würde geleakt werden! Das wäre ein Desaster für das Unternehmen!“ Werner schluckte schwer. Er wusste, dass Jan Recht haben könnte. Aber er war auch skeptisch. Er hatte schon so viele Horrorgeschichten über Cyberangriffe gehört, und oft stellte sich heraus, dass die Gefahr doch nicht so groß war wie befürchtet.

Um Werner endgültig zu überzeugen, holte Jan seinen Laptop heraus und zeigte ihm einen Artikel aus einer renommierten IT-Zeitschrift. Der Artikel beschrieb im Detail, wie einfach es für Hacker wäre, diese Schwachstelle auszunutzen. Werner las den Artikel aufmerksam durch und musste zugeben, dass die Gefahr real war. „Okay, Jan“, sagte er schließlich. „Du hast Recht. Wir müssen etwas tun.“

Die Entscheidung war gefallen. Der alte Router musste so schnell wie möglich durch ein neues Modell ersetzt werden. Jan war überglücklich. Er hatte nicht nur eine gefährliche Sicherheitslücke entdeckt, sondern auch seinen Kollegen von der Notwendigkeit eines Updates überzeugt. Er fühlte sich wie ein Held.

**3 Die Entscheidung**

Werner war hin und her gerissen. Einerseits wollte er nicht, dass das Firmennetzwerk angegriffen wurde. Andererseits hatte er eine gewisse Skepsis gegenüber den ständigen Updates und Neuerungen. Er erinnerte sich noch gut an das letzte Mal, als ein Update zu einem großen Ausfall geführt hatte. Damals hatte er Tage gebraucht, um alles wieder zum Laufen zu bringen.

Jan merkte, dass Werner zögerte, und legte noch einmal nach. „Stell dir vor, was passieren könnte, wenn ein Hacker unsere Kundendaten stiehlt und sie im Darknet verkauft! Das wäre ein riesiger Imageschaden für unser Unternehmen. Und wir könnten sogar rechtlich belangt werden!“ Werner seufzte. Er wusste, dass Jan Recht hatte. Aber ein Teil von ihm wünschte sich, dass alles so bleiben könnte, wie es war. Er mochte seine Routine, seine Karteikarten und seinen alten Router.

Während Werner grübelte, holte Jan seine alten Karteikarten hervor. Er blätterte darin und suchte nach Informationen über den Router. „Sieh mal, Werner“, sagte er triumphierend. „Hier steht, dass die letzte Wartung schon vor über einem Jahr war. Der Router ist viel zu alt, um noch sicher zu sein.“ Werner runzelte die Stirn. Er hatte diese Karteikarte schon unzählige Male gelesen, aber jetzt, da Jan sie ihm so präsentierte, sah alles ganz anders aus.

Nach langem Hin und Her entschied sich Werner schließlich, das Update durchzuführen. „Okay, Jan“, sagte er. „Lass uns das Ding mal updaten. Aber pass auf, dass du nichts kaputt machst.“ Jan jubelte innerlich. Er hatte gewonnen. Er hatte seinen Kollegen überzeugt und durfte nun zeigen, was er konnte.

Bevor sie mit dem Update begannen, erstellte Werner noch eine Sicherungskopie aller wichtigen Daten. Er wollte auf Nummer sicher gehen, falls etwas schiefgehen sollte. Jan überprüfte noch einmal alle Einstellungen und startete dann den Update-Prozess. Sie beide verfolgten gespannt den Fortschrittsbalken auf dem Bildschirm.

Alles schien gut zu laufen. Der Router bootete neu und die neue Firmware wurde installiert. Jan atmete tief durch. Er hatte es geschafft. Das Netzwerk war jetzt sicherer als je zuvor.

**4 Die Vorbereitung**

Mit einem zufriedenen Lächeln beobachtete Werner, wie Jan die letzten Einstellungen am Router vornahm. Der junge Praktikant schien seine Sache wirklich gut zu machen. Er hatte sich in kürzester Zeit in die komplexe Materie der Netzwerkadministration eingearbeitet und bewiesen, dass er ein echter IT-Experte war.

„So, das sollte es gewesen sein“, sagte Jan schließlich und lehnte sich zurück. „Der Router ist jetzt auf dem neuesten Stand und sicherer als je zuvor.“ Werner nickte zustimmend. Er fühlte sich erleichtert. Die Entscheidung, das Update durchzuführen, war die richtige gewesen.

Bevor sie den Router wieder ins Netzwerk integrierten, wollten sie auf Nummer sicher gehen. Werner holte seine alten Karteikarten hervor und begann, die Konfiguration des Routers zu überprüfen. Er verglich jede Einstellung mit den Angaben auf seinen Karteikarten und nahm hier und da noch kleine Anpassungen vor. Jan beobachtete ihn dabei amüsiert. „Du bist schon ein bisschen altmodisch, Werner“, sagte er lachend. Werner grinste zurück. „Manche Dinge ändern sich einfach nicht“, antwortete er.

Während Werner an seinen Karteikarten arbeitete, machte sich Jan Gedanken über die Zukunft. Er hatte sich schnell in die Arbeit eingefunden und fühlte sich im IT-Team gut aufgehoben. Er träumte davon, eines Tages ein echter IT-Architekt zu werden und komplexe Netzwerke zu entwerfen.

Nachdem sie alle Vorbereitungen getroffen hatten, war es endlich soweit. Werner schaltete den Router wieder ein. Sie beide starrten gespannt auf die blinkenden LEDs. Nach einigen Sekunden erwachte der Router zum Leben und das Netzwerk war wieder online.

„Es hat geklappt!“, rief Jan jubelnd. Werner nickte ebenfalls zufrieden. Sie hatten es geschafft. Der alte Router war wieder fit und das Netzwerk war sicherer denn je.

Absolut! Hier ist der nächste Teil deiner Geschichte:

**5 Der große Moment**

Die Spannung lag in der Luft, als Werner und Jan gespannt auf die blinkenden LEDs des Routers starrten. Jeder Piepton, jedes Aufleuchten schien eine Ewigkeit zu dauern. Werner, der normalerweise so ruhig und gelassen war, begann unruhig hin und her zu wippen. Jan versuchte, ihn zu beruhigen, aber auch er spürte die Anspannung.

„Das dauert ja ewig“, murmelte Werner ungeduldig. „Normalerweise ist das doch viel schneller.“ Jan nickte. Auch er fand, dass das Update länger dauerte als erwartet. Aber er wollte Werner nicht unnötig beunruhigen.

Plötzlich erloschen alle Lichter am Router. Ein kollektiver Atemzug hallte durch den Raum. Jan und Werner starrten gebannt auf das Gerät. War das jetzt schon alles? Hatte das Update funktioniert? Oder war etwas schiefgelaufen?

Nach einigen Sekunden begannen die Lichter wieder zu blinken. Aber dieses Mal war es anders. Die LEDs blinkten wild durcheinander, als wollten sie einen SOS-Code senden. Jan sprang auf und tippte hektisch auf seinem Laptop. Er versuchte, eine Verbindung zum Router herzustellen, aber es gelang ihm nicht.

„Oh nein“, flüsterte Werner. „Das kann doch nicht wahr sein.“ Jan nickte stumm. Es sah ganz danach aus, als hätte das Update das Gerät zerstört. Der Router war tot.

Panik machte sich breit. Was sollten sie jetzt tun? Das gesamte Netzwerk war von diesem Router abhängig. Ohne ihn konnten die Mitarbeiter nicht mehr arbeiten und die Kunden nicht mehr erreicht werden. Jan und Werner sahen sich hilflos an. Sie hatten alles richtig gemacht, dachten sie. Aber trotzdem war alles schiefgegangen.

**6 Die Katastrophe**

Die Nachricht vom ausgefallenen Router verbreitete sich wie ein Lauffeuer durch das Unternehmen. Mitarbeiter standen ratlos vor ihren ausgeschalteten Computern und versuchten, ihre Arbeit fortzusetzen. Die Telefonanlage fiel aus, E-Mails konnten nicht mehr versendet werden und auch die Drucker blieben stumm. Das gesamte Unternehmen lag am Boden.

Werner und Jan standen inmitten des Chaos und fühlten sich wie kleine Kinder, die einen großen Fehler gemacht hatten. Sie hatten das Unternehmen lahmgelegt und wussten nicht, wie sie die Schäden wieder beheben sollten. Werner versuchte, ruhig zu bleiben, aber in seinem Inneren brodelte es. Er hatte noch nie so etwas erlebt.

Jan schlug vor, einen externen IT-Dienstleister zu rufen. Vielleicht konnten die Experten den Router reparieren oder zumindest einen provisorischen Ersatz besorgen. Werner zögerte. Er wollte nicht, dass jemand von außerhalb von ihrem Fehler erfuhr. Aber er hatte keine andere Wahl.

Während sie auf den Techniker warteten, versuchten sie, die Auswirkungen des Ausfalls so gering wie möglich zu halten. Sie informierten die Geschäftsführung und versicherten ihnen, dass sie alles tun würden, um das Problem so schnell wie möglich zu beheben. Die Geschäftsführung war verständlicherweise nicht begeistert. Sie machten Werner und Jan klar, dass sie für den entstandenen Schaden verantwortlich waren.

Als der Techniker endlich eintraf, machte er sich sofort an die Arbeit. Er untersuchte den defekten Router und schüttelte den Kopf. „Das sieht nicht gut aus“, sagte er. „Der Router ist komplett zerstört. Da ist nichts mehr zu retten.“ Werner und Jan tauschten einen besorgten Blick aus. Sie hatten schon damit gerechnet, aber es tat trotzdem weh zu hören, dass ihr Fehler so schwerwiegende Folgen hatte.

Der Techniker schlug vor, einen neuen Router zu bestellen und einzurichten. Das würde jedoch einige Tage dauern. Bis dahin müsste das Unternehmen mit eingeschränkter Funktionalität auskommen. Werner und Jan wussten, dass sie in den nächsten Tagen viel zu tun haben würden.

**7 Die Konsequenzen**

Die folgenden Tage waren eine einzige Katastrophe. Das Unternehmen stand still. Kundenbeschwerden häuften sich, wichtige Projekte wurden verzögert, und die Stimmung unter den Mitarbeitern war am Boden. Werner und Jan arbeiteten rund um die Uhr, um die Schäden zu begrenzen und eine Lösung zu finden. Sie richteten provisorische Arbeitsstationen ein, um zumindest einen Teil der Arbeit aufrechtzuerhalten. Aber es war ein Tropfen auf den heißen Stein.

Die Geschäftsführung war außer sich vor Wut. Sie machten Werner und Jan für den entstandenen Schaden verantwortlich und drohten mit Konsequenzen. Werner fühlte sich schuldig und niedergeschlagen. Er hatte sein ganzes Berufsleben lang zuverlässig gearbeitet und jetzt hatte er das Unternehmen in eine Krise gestürzt.

Jan versuchte, seinen Kollegen Mut zu machen. Er betonte, dass sie aus diesem Fehler lernen würden und dass sie das Unternehmen wieder aufbauen könnten. Aber auch er war unsicher, ob es ihnen gelingen würde.

Der neue Router wurde schließlich geliefert und installiert. Aber das war nur der erste Schritt. Es dauerte noch mehrere Tage, bis das gesamte Netzwerk wiederhergestellt war und alle Mitarbeiter wieder uneingeschränkt arbeiten konnten. In dieser Zeit entstanden hohe Kosten für die Reparatur und den Verlust von Geschäftsmöglichkeiten.

Als das Unternehmen sich langsam erholte, zogen Werner und Jan Bilanz. Sie hatten eine wichtige Lektion gelernt: Auch erfahrene IT-Experten können Fehler machen. Und die Folgen solcher Fehler können schwerwiegend sein. Sie beschlossen, aus dieser Erfahrung zu lernen und zukünftig noch sorgfältiger zu arbeiten.

Werner entschied sich, seine alten Karteikarten abzuschaffen und auf eine moderne Software zur Netzwerkverwaltung umzusteigen. Jan wurde zum Projektleiter für die IT-Sicherheit ernannt. Er sollte dafür sorgen, dass das Unternehmen in Zukunft besser gegen Cyberangriffe geschützt war.

Die Krise hatte das Unternehmen zwar geschwächt, aber sie hatte auch gezeigt, wie wichtig ein funktionierendes IT-System ist. Und sie hatte Werner und Jan näher zusammengebracht. Sie hatten gemeinsam eine schwere Zeit durchgestanden und waren gestärkt daraus hervorgegangen.

Measuring the security risk of a legacy webbrowser

 

With the qemu software its possible to run outdated operating systems for example Debian 9.13 from july 2020. [1] The standard browser in 2020 is of course EOL, that means, it hasn't received any updates for 4 years. To determine if this browser is secure or not we can run a browseraudit.[2] The result is shown in the screenshot and contains of 413 different test and 0 critical outcomes.[3] The shown skipped tests and warning are produced because of a time lag. That means, the internet connection or the Qemu VM was to slow so that the test failed.

The only question left open is how to interpret the results. From a technical standpoint the outdated webbrowser works fine. It can be used to playback videos, connect to HTTPS websites, show wikipedia and run even games. This makes it hard to define what the difference is between secure and insecure, between valid and invalid.

Before its possible to label a browser as insecure, a test has to proof it including a concrete explanation. In the demonstration this was not the case. The only thing what is obvious is, that the quality of the font renderer in the screenshot is low, but this is caused by the resolution in the qemu VM not because of the underlying Debian OS.

[1] qemu-system-x86_64 -enable-kvm -m 2048 -boot d -vga virtio -cdrom debian-live-9.13.0-amd64-xfce+nonfree.iso

[2] https://browseraudit.com/

[3] screenshot with browseraudit

 

Running outdated software inside a virtual machine

Computing is driven by fast development in software and hardware. Software programmers are creating commits every day, new hardware is announced and shipped every week and each version is incompatible to the previous one. The disadvantage for the customer is, that a new installed software and a new hardware will become obsolete very soon in the future.

On the other hand there is a philosophy available to slow down the development and resist to change. To investigate this delayed strategy in detail we have to describe the situation first from a theoretical standpoint. The years measured on a time line are shown in the figure. The past, for example the year 2016, is shown left, while the now year is shown on the right. At first we investigate if its possible to install an outdated Linux distribution from 8 years ago on a computer and then we are using this software to browse in the internet To realize this technical experiment we are preferring a virtual machine instead of a physical to install Debian 7.11 from June 2016.[1]

The first message shown in the web browser is, that the internet connection is not secure. Something with the SSL certificate is wrong. The message can be deactivated but its a serious information that the browser is outdated.[2]

Next thing to do is to open a major website, which works surprisingly well. The online encyclopedia is rendered in the browser including all the images. Not bad, for an operating system which is 8 years old.[3]

Unfortunately, the largest video website isn't working with the old webbrowser. A message is shown “Your browser isn't supported anymore”. Even after tweaking the settings, the browser won't playback the videos.[4]

A rule of thumb is, that the browser shouldn't be older than 4 years to display all the content from the internet including videos, podcasts and social networking websites. This interval is shown in the time axis together with the other information.

The short experiment with a virtual machine has shown, that software has a short time span. Its impossible to use a webbrowser older than 4 years for any large website in the internet. Even if the user is happy with a certain operating system version, the Internet website requires a recent version, otherwise the service isn't working.

[1] qemu-system-x86_64 -enable-kvm -m 2048 -boot d -vga virtio -cdrom debian-live-7.11.0-amd64-gnome-desktop+nonfree.iso

[2] qemu1.webp

 [3] qemu2.webp

 [4] qemu3.webp

 

Uptime mit Hindernissen

 Es war ein ganz normaler Mittwochmorgen in der IT-Abteilung von MegaCorp, als der frisch gebackene Praktikant Kevin mit einem breiten Grinsen und einem Pappbecher voller Energy Drink durch die Tür stürmte.

"Morgen, Herr Schmidt! Ich hab' da 'ne mega Idee!", rief er dem Sysadmin zu, der gerade in seinem heiligen Karteikasten kramte.

Herr Schmidt, ein Mann mit mehr Dienstjahren als Kevin Lebensjahren, blickte skeptisch über seine Lesebrille. "Guten Morgen, Kevin. Was gibt's denn so Dringendes?"

Kevin hüpfte aufgeregt von einem Bein aufs andere. "Also, ich hab gestern Nacht ein bisschen recherchiert und festgestellt, dass unser WLAN-Router total veraltet ist! Der läuft ja schon seit 500 Tagen ohne Neustart. Stellen Sie sich mal vor, was wir alles verpassen!"

Herr Schmidt zog eine Augenbraue hoch. "Und das ist schlecht, weil...?"

"Na, weil es ein Update gibt! OpenWRT hat 'ne neue Version rausgebracht. Mit der könnten wir bestimmt das Internet um mindestens 5% beschleunigen!"

Der Sysadmin seufzte tief. "Kevin, mein Junge, wenn etwas 500 Tage lang ohne Probleme läuft, fasst man es nicht an. Das ist die goldene Regel der IT."

Aber Kevin ließ nicht locker. Mit der Überzeugungskraft eines Gebrauchtwagenhändlers und der Hartnäckigkeit eines Terriers schaffte er es schließlich, Herrn Schmidt zu überreden.

"Na gut", brummte der Sysadmin, "aber nur, weil heute sowieso kaum jemand im Büro ist. Und du machst das Backup!"

Kevin strahlte wie ein Honigkuchenpferd. "Klar, hab ich schon vorbereitet!"

Gemeinsam machten sie sich an die Arbeit. Kevin tippte wie ein Weltmeister, während Herr Schmidt nervös seine Karteikarten sortierte.

"So, jetzt nur noch neustarten und-" PUFF! Der Bildschirm wurde schwarz.

Stille.

Kevin lachte nervös. "Ups, kleiner Wackelkontakt. Moment..."

Fünf Minuten später: Immer noch schwarz.

Herr Schmidt wurde blass. "Kevin, was hast du getan?"

"Keine Panik! Ich probier' nur kurz was anderes." Kevin hämmerte wild auf der Tastatur herum.

Eine Stunde später war der Router immer noch offline. Kevin schwitzte und murmelte Unverständliches, während Herr Schmidt stoisch in seinen Karteikarten blätterte.

"Ähm, Herr Schmidt? Ich glaube, wir haben ein Problem."

Der Sysadmin schaute auf. "Wir?"

In diesem Moment klingelte das Telefon. Es war der CEO. "Schmidt! Warum zum Teufel funktioniert das Internet nicht?"

Herr Schmidt warf Kevin einen vielsagenden Blick zu. "Tja, Herr Direktor, sagen wir mal so: Unser Praktikant hatte eine 'mega Idee'..."

Als der Arbeitstag zu Ende ging, saß Kevin immer noch vor dem toten Router, umgeben von leeren Energy Drink-Dosen. Herr Schmidt klopfte ihm auf die Schulter.

"Lektion gelernt, mein Junge?"

Kevin nickte kleinlaut.

"Gut. Morgen zeige ich dir, wie man einen Router richtig updated. Und jetzt ab nach Hause – aber nimm den Hinterausgang. Der CEO wartet vorne mit einer Mistgabel."

Während Kevin sich davonschlich, murmelte Herr Schmidt: "500 Tage Uptime. Verdammt, das war ein guter Lauf."

Er zog eine Karteikarte hervor und notierte: "20.11.2024: Praktikanten sind wie Updates. Manchmal bringen sie Fortschritt, meistens Chaos."

Mit einem Schmunzeln steckte er die Karte zurück in den Kasten. Es war Zeit, nach Hause zu gehen und ein Bier zu trinken. Oder zehn.

Der Übereifrige Praktikant

 Markus, ein 22-jähriger Informatikstudent, begann voller Enthusiasmus sein Praktikum bei TechSolutions GmbH. Mit dem neuesten Wissen aus der Uni bewaffnet, war er fest entschlossen, seine Fähigkeiten unter Beweis zu stellen.

An seinem dritten Tag bemerkte er einen OpenWRT-Router mit einer beeindruckenden Uptime von 400 Tagen. Fasziniert wandte er sich an Klaus, den erfahrenen Sysadmin.

"Klaus, hast du gesehen? Der Router läuft seit über einem Jahr ohne Neustart!", rief Markus aufgeregt.

Klaus nickte gelassen. "Ja, das alte Schätzchen. Läuft wie ein Uhrwerk."

Markus runzelte die Stirn. "Aber das bedeutet doch, dass er seit über einem Jahr keine Sicherheitsupdates bekommen hat. Sollten wir nicht dringend updaten?"

Klaus seufzte. "Markus, in der Theorie hast du Recht. Aber dieser Router ist das Herz unseres Netzwerks. Solange er läuft, fassen wir ihn nicht an."

Doch Markus ließ nicht locker. Tagelang bombardierte er Klaus mit Artikeln über Sicherheitslücken und den Vorteilen der neuesten Firmware. Schließlich gab Klaus nach.

"Na gut, du Quälgeist. Heute Abend nach Feierabend können wir es versuchen. Aber ich warne dich, wenn etwas schiefgeht..."

Markus konnte sein Glück kaum fassen. Um 18 Uhr trafen sie sich im Serverraum. Mit zitternden Händen lud Markus die neue Firmware herunter.

"Letzte Chance zum Abbruch", warnte Klaus.

"Alles wird gut!", versicherte Markus und klickte auf "Update starten".

Die Minuten krochen dahin. Der Fortschrittsbalken bewegte sich quälend langsam. Bei 99% hielt Markus den Atem an.

Plötzlich wurde der Bildschirm schwarz.

"Äh, Klaus? Ist das normal?", fragte Markus mit zitternder Stimme.

Klaus' Gesichtsausdruck verhieß nichts Gutes. "Nein, das ist es nicht."

Sie versuchten alles: Neustart, Reset, sogar ein Gebet zum IT-Gott. Nichts half. Der Router blieb stumm.

Um Mitternacht gab Klaus auf. "Das war's, Junge. Der Router ist gebrickt. Morgen früh steht uns ein Höllenritt bevor."

Markus sank in sich zusammen. "Es tut mir so leid, Klaus. Ich wollte doch nur helfen."

Klaus legte ihm die Hand auf die Schulter. "Ich weiß. Aber manchmal ist das Risiko eines Updates größer als der potenzielle Nutzen. Das lernt man mit der Zeit."

Am nächsten Morgen herrschte Chaos. Ohne den zentralen Router lag das halbe Netzwerk lahm. Markus verbrachte den Tag damit, sich bei jedem zu entschuldigen, während Klaus versuchte, eine Notfalllösung zu improvisieren.

Als der Arbeitstag endlich vorbei war, rief der CEO Markus in sein Büro. Mit gesenktem Kopf betrat er den Raum, sicher, dass sein Praktikum vorbei war.

Zu seiner Überraschung lächelte der CEO. "Markus, ich habe gehört, was passiert ist. Es war ein kostspieliger Fehler, aber einer, aus dem wir alle lernen können. Wir werden unsere Update-Prozesse überdenken und einen Notfallplan erstellen. Und du wirst dabei helfen."

Erleichtert und dankbar nickte Markus. Er hatte eine wertvolle Lektion gelernt: In der IT-Welt ist Vorsicht manchmal besser als blinder Fortschrittsglaube.