Log4Shell

 

 

Ultimamente ci sono un po di marette sull'open source ed in particolare di quello che comunemente chiamiamo LinuX.

Prima cosa, l'open source si e' diffuso, fino a salire sul 99% dei computer per 2 motivi:

Il primo e' che e' GRATIS.

Possiamo menarla quanto vogliamo, ma M$ per una copia di Win chiede anche 200$, oltre 1000 per la versione full, capiamo che sulla mia workstation tascabile da 200$ non ha molto senso.
Se MS si mettesse a venderlo a 1E dubito molto che poi ci sarebbe gente disposta a spendere di piu' per metterlo su di un desktop o non usasse la licenza del telefonino per il desktop.

Il secondo e' che LinuX e' stato per anni l'unico SO diffuso affidabile sul mercato. (suona forte, vero?)

Dobbiamo tornare un pochino indietro per capire questi assunti.

Negli anni 80-90 nei computer vi era un fermento colossale.
Processori diversi, modi nuovi e molte altre cosette.

 

Si usciva dall'epoca delle macchine con la semplice ROM dominata dall' apple II e CBM PET e 64, per approdare a macchine in cui il modus operandi sulla rom non riesce piu' a stare.

Il mercato e' allegro con SO favolosi, amiga, ACORN, MP/M, o come BeOS o GEM, e altri, sono gia' su architetture diverse (portabili), al gruppone degli UniX che e' vasto con i vari SCO, HP-UX, BSD, Solaris, IriX eccetera.

In tutto questo caos spumeggiante la solita racchia furba (figura gia' vista in molti mercati): MS.

Microsoft aveva un problema, riuscire a mantenere la presa senza pero' innovare, del resto non ha mai inventato nulla fin dagli albori.
Del resto MS-DOS era molto limitato e di fatto presupponeva poca flessibilita' e scarso adattamento ad un mondo diverso. Nato per quella che era poco piu' di una brainboard anche solo l'idea di avere delle directory era stato un passo importante.

Quindi MS si concentro' piano piano per essere sempre piu' aggressiva con la concorrenza fino a fare takeover di concorrenti o di aziende che reclamavano un giusto brevetto alla piu' completa spregiudicatezza.

Il motivo di concentrarsi sul PC da tavolo era quindi multiplo

Il SO 8-bit stile compilato a 16 non avrebbe certo potuto alimentare workstation o altro e parimenti montare uno UniX (all'epoca MOLTO costoso per vari motivi) su un 8086 aveva poco senso... o quasi.

Ammettendo pero' la superiorita' dello UniX per compiti non-game la stessa MS produsse una versione dell'OS AT&T (pagando licenze per accedere ai sorgenti) chiamata XeniX per il 286 nel 1985 e nel 1987 per il 386 divenendo non solo lo unix piu' diffuso all'epoca, ma di fatto il primo OS a 32 bit venduto da MS... per pochi mesi, perche' di fatto la storia, per il fatto banale che xenix si vendeva troppo, sottolineava bene l'inutilita' di MS-dos, almeno a livello PRO.

In pratica essendo un clone AT&T cosa avrebbe fatto se fosse giunto sui desktop che nel frattempo erano sempre piu' potenti?
Alla fine era solo uno dei tanti SystemV e un PC HP o  di IBM secondo voi avrebbe avuto a bordo HP-UX,  AIX o qualcosa di MS come Xenix?

MS infatti comincio' da prima a vendere tutto a SCO, un'azienda con cui collaborava per produrre Xenix e poi ad allontanarsi facendo notale che MS-dos era “piu' meglio”... peccato che Xenix rimase in giro all'interno di MS fino al 96: voi comprate il mio MS-DOS, ma per le mie necessita' io uso xenix (per la cronaca dopo non uso' comunque roba MS sui server per anni).

In quelle epoche i SO di MS si caratterizzavano per essere costruiti in maniere, come dire?, pessime.
MS-dos era molto spartano e con limiti enormi e le sue GUI erano prone a schiantarsi come zanzare sui parabrezza (infatti all'epoca in autostrada era utile avere un raschietto).
Il SO che doveva essere “pro”, NT, passava dal suicidio al mal funzionamento, e solo con la beta chiamata XP venduta in massa nel 2003 cominciava a funzionare piu' di 10 minuti di seguito, ma solo con la versione XPsp2 (agosto 2004) poteva dirsi usabile.

MS passava il tempo a bombare tutti con un marketing (ed avvocati) tutto e tutti.
Se non era MS era rischioso, solo MS e' la vostra mamma.
Il famoso FUD, come spiegare che lo schifo era buono distruggendo qualsiasi cosa che non sia MS.

Questo creo' quel contesto che sul blog abbiamo visto piu' volte (come la nascita di un Berlusconi, itunes, netflix o l'exploit di Omnitel):
Se qualcuno o qualcosa fa tabula rasa di tutti i foxxuti concorrenti si crea una zona vergine dove qualcosa puo' arrivare e farlo tutto suo.

Mentre MS spendeva in “relazioni” e non nel “prodotto” un ragazzino fece un aborto di SO, un gioco estivo, almeno all'inizio.

A qualcuno venne l'idea, che gia' circolava da tempo, che un SO completo si potesse fare senza aziende scassacaxxo.

Bisogna anche ricordare per chi non e' del settore che un SO non e' UN programma, ma e' in pratica un insieme di programmi, qualche migliaio, che permettono di fare quello che ci si aspetta da un SO, che sia la banale calcolatrice, alla lettura del mouse, passando dal programma che formatta l'HDD e a quello che ci mette sopra l'OS vero e proprio (il kernel).

Ovviamente era un po destrutturato e ognuno aveva un'idea un po diversa su cosa dovesse essere un SO e se erano a disposizione 20 calcolatrici diverse e 10 linee di comando, ma nessuno aveva pensato che esistevano cose come le schede audio (vado a caxxo ma rende l'idea).

Pero', come avviene in questi casi, arrivarono anche organizzatori e questi, chiamate distribuzioni, sostanzialmente collezionavano i programmi fatti da mezzo mondo e da tutti rendendo l'ambiente coerente.

Diciamo che una mandrake della fine degli anni 90 non era piu' difficile di un win 9X 8 bit like, anzi, pero' era molto piu' efficace e gia' a 64 bit, processore permettendo.
Da cui il mito “questo e' l'anno di linux sui desktop”

Ovviamente la cosa miglioro' negli anni con le varie ubuntu (“questo e' l'anno di linux sui desktop”),
ubuntu server (“questo e' l'anno di linux anche sui miniserver”)
e  infine le favolose mint (“questo e' l'anno di linux sui desktop”)
che erano molto piu' facili dei vari windows, piu' stabili e piu' ECONOMICHE.

Ovviamente ogni anno era sempre “l'anno di linux sui desktop” soprattutto quando mori' IBM OS/2.

Questo enorme successo tecnico ovviamente ha portato ad un enorme adozione, non certo nel desktop difeso con coltello, denti e soprattutto avvocati e “bustarelle”, da MS.
In compenso “l'anno di linux sui desktop” divenne 

-“l'anno di linux anche sui router” dove il peones non chiede “ma dov'è windoze bello pubblicizzato? Io ci voglio intentette quello del coso con la e”

-“l'anno di linux sui supercomputer” dove il peones non chiede “ma dov'è windoze bello pubblicizzato? Io ci voglio intentette quello coso con la e”, ma abbiamo personale specializzato che guarda all'efficienza e modifica la cosa a proprio vantaggio.

-“l'anno di linux anche sui server” dove il peones non chiede, ma il teNNico risparmia sbatti e danari

-“l'anno di linux anche sui TV” dove il peones non chiede “ma dov'è windoze bella pubblicizzata?”, ma chiede che funzoni sempre e facilmente.

-“l'anno di linux anche sui DVD” dove il peones non chiede “ma dov'è windoze bello pubblicizzato?”, ma chiede che funzoni sempre e facilmente.

-l'anno di linux anche su marte”, ai marziani non interessa la "e"

-l'anno di linux anche sui telefoni”

-”l'anno di linux anche sui vibratori” (si, non chiedete, e' pure buggato)

-“l'anno di linux anche sulle auto” 

Poi ovviamente il FUD dice che sul desktop "e' troppo difficile da usare per l'utente medio" che lo usa sull'auto, sul tv, il telefono, sul frullatore: l'utente del desktop deve essere uno che non ha auto tv, cellulare... perche li trove difficilissimi da usare.

Se ci pensate e' un'adozione ragionevole: chi non vuole un SO di qualita' superiore a quella di MS che chiede milioni di euri per motorizzare il vostro sistema informatico?

Cosi' dapprima il nostro open source e' salito su di tutto un po e siccome un SO server abbisogna di specificita' si e' cominciato a RACCOGLIERE altri programmi come quelli necessari a fare web server, database eccetera che a loro volta raccoglievano tutte quelle piccole parti che non progettavano personalmente.

Tutto sommato e' buono, del resto, di media, il prodotto risultate da questo minestrone accozzaglia e' buono e siccome l'unico contender e' MS che, diciamocelo, non svetta certo per qualita', non era neppure una scelta.

Vorrei ricordare come esempio di rara qualita' del prodotto quel bidone di XP: bastava connettere il cavo di rete e aspettare 10 minuti per averlo con un virus e una backdoor.
Non serviva neppure visitare un sito malevolo o avere attivato chissa' quale programma o arcano come un web server (e dimentichiamo il bidone IIs di win XP che roba era).
Non parliamo neppure del tanto pompato (e all'epoca costosissimo anche per utente singolo) MsSQL (la M sta per merda?) che negli anni ha dato molta prova di se con cosette come SQLSlammer: 75000 server infettati nel 2003 in meno di 10 minuti e aveva infettato quasi il 90% dei server MSSQL su inet, compresi molti di proprieta' di MS stessa, nel giro di ore.

Capite che nessuna distro ad oggi si e' mai abbassata cosi' tanto.

In realta', in quella che e' una distro media ben oltre il 50% del codice e' oggi di grandi aziende che usano linux&c per i loro prodotti (molta IBM, ma anche delle parti scritte da MS stessa, per dire) e ovviamente quando manca una funzione sono i primi ad aggiungere. Un buon 25% ulteriore e' fatto da societa' piu' o meno piccole.
Una cosa che spesso alcuni dimenticano quando raccontano in salsa semi politica che e' una cosa fatta dal popolo o da gente che lavora gratis e sono eroi del mondo libero in salsa di destra o di sinistra (mah) come vogliono far credere come mito artigianale.
Del resto firefox, apache, oracle, ubuntu e financo redhat non sono filantropie, ma AZIENDE.

E' anche vero una parte ancora rilevante e' fatta, fu fatta, da dei signor nessuno 15enni durante le vacanze estive del 1989.

Quando una banca ha risparmiato qualche milioncino (e non contribuisce neppure alle aggiunte), quando un'azienda di TV idem e quando uno dei millaemila produttori di router, auto, caffettiere, water, telecamere, tv, hanno risparmiato decine di miliardi di $ per avere gratis il prodotto di buona qualita' in teoria dovrebbero mettere sul tavolo dei soldini per migliorare il prodotto open source, per esempio pagando della gente che esamina il codice. Non dico milioni di $, ma almeno un nichelino ogni tanto.

Ma oggi viviamo nel momento in cui il prodotto va buttato fuori il prima possibile e al prezzo piu' basso anche se e' completamente immaturo con bug grossi come una casa.
Del resto i cinokoreani sono fatti cosi' e hanno basato il loro successo a questo modo di fare:
ho millantati watti,
Millantato processore grosso,
Millantati pixel
e millantato 4k.

Poi lo accendi e, beh si,
ha il processore 8834BXq, ma non va cosi bene in the wild,
ha i pixel, ma l'immagine fa caxare di quella webcam,
nel tv 4k sono indirizzati, ma un 576 se lo fulmina.

E' come l'ecologia: che la faccia qualcun altro, io intanto mi compro l'auto nuova, e' pure piu' potente e non pago il bollo se greenwash.

Insomma per le grandi aziende l'open source e' diventato il mondo in cui e' possibile avere software GRATIS di grande qualita' senza dipendere da fornitori del caxxo.
Perché e' da ricordare cosa ha fatto MS a clienti che hanno OSATO proporre altro sui desktop.

Insomma oggi tutti i computer hanno qualcosa di open source, spesso mezzo computer quando non tutto.
Ricordiamo che colossi come Google o Amazon, sono di fatto computer linux, i 500 computer piu' veloci della terra, computer da un miliardo di euro, girano di fatto solo su linux, tutti i telefonini hanno dentro roba open source, quando non l'intero coso.

MA e' solo una faccia della medaglia, vi e' di peggio del solo sistema operativo.

Ormai e' diventato la norma, non si programma quasi piu' si “va a cercare” qualcosa che assomigli a quello che abbiamo bisogno e si usa.

Se hai bisogno di un programmino che scrive “ciao” prenderai l'intero programma di videoscrittura e gli farai scrivere “ciao”.
Quello che succede nel 99% del tuo codice, boh, chissene, lo usano tutti, che vorrai che ci sia dentro?

Perché il goal e' fare in fretta, e che sia carino, che funzioni eccetera.
Ovviamente se devi controllare 50.000 linee di programma facevi prima a scrivere quelle 200 che ti servivano, ma se non le controlli ci hai messo 10 minuti.

Tanto e' gratis.

E' lo stesso ragionamento degli imbecilli che craccano porcoshioppo: devono solo ritagliare un'immagine, ma usano il coso grosso perché migliore in quanto grosso... e lo usano tutti...

L'anno scorso ho provato un paio di linguaggi di programmazione “nuovi” rifacendo un programmino che avevo iniziato in freebasic e in pascal, purtroppo con limitazioni notevoli nella direzione in cui volevo muovermi dei due ambienti free. Rivoglio la Borland dei tempi che furono!

Cosi' mi armai di queste “novità”, almeno per me che erano 20 anni che non scrivevo un rigo.

La prima cosa che si nota che questi non sono linguaggi di programmazione, ovvero determinano solo la sintassi, non i comandi che sono pochissimi e molto limitati.

A seconda del sito di spieghe, anche quello ufficiale, veniva fuori che DOVEVI caricare CARRETTATE di librerie anche per le cose piu' banali.
A loro volta le librerie si aspettavano le presenza di altre librerie eccetera.

Per eseguire programmini abbastanza stupidi che sotto un linguaggio “normale” a cui ero abituato non servivano librerie, o al massimo una e standardizzata, mi sono ritrovato ad avere caricato 20 librerie e... non funzionavano neppure tutti i programmi di esempio.

Un casino orripilante. Tutto perche' chi “fa” il linguaggio non vuole sbattersi e prende delle librerie terse e le nomina "ufficiali".

Eppure se sentite in rete e' roba cool, figa e che funziona benissimo. Diciamo che la parte di “benissimo” vi e' il solo fatto che e' facile agganciare librerie a nastro.

Cosa vi e' dentro in quella roba raccattata in 20 siti diversi (anche raccolta da alcuni in pacchetti) non e' dato sapere.

Cosi' capitano cose imbarazzanti.

Come gli esempi sul manuale del linguaggio che semplicemente non vanno, perché Giacomino, che pubblica sul suo sito la libreria “faccio le percentuali” ha cambiato un paio di cose, per essere piu' veloce, in occasione delle vacanze estive e quella roba viene usata da “faccio le righe storte” (il cui manutentore, Carletto, e' morto) a sua volta usata da “faccio grafica” di Gennarino.
Tralascio che il disegno per essere salvato devi avere altre 4 (quattro!) librerie a cascata e non va assolutamente come dice il manuale della libreria principale.
Risultato? Fare un cerchio iscritto da un errore “impossibile”.
Ovviamente sono andato di fantasia sui motivi, le concatenazioni, per semplificare, ma l'errore e' reale per motivi simili piu' complessi.

Ormai programmare e' per lo piu' riutilizzare roba SCONOSCIUTA, che non ci sarebbe nulla di male, se non fosse ormai il 99% del lavoro e si controllasse.

Questo su tutti i prodotti, non esiste ormai SW che non sia fatto cosi', oltretutto molti linguaggi nascono cosi', e' impossibile usarli senza usare roba arcana.

Cosi' ci sono pezzi importanti che sostanzialmente sono al momento creati e manutenutati da gente che fa altro nella vita, il pasticcere o il postino.

Quando PGP, che e' scritto da Werner Koch, che prendeva meno di uno spazino crucco per mantenere quello che e' sostanzialmente il motore crittografico delle email certificate e non solo, dichiarò che ne aveva le palle piene perché avendo una figlia non aveva neppure i soldi per i pannolini, a mezza internet che lo usava a sbafo gli si e' stretto il sedere: riscrivere da zero quella roba e/o far manutenzione costerebbe un botto.
La soluzione e' stato che per pagare il poveraccio la linux fondation ha dato 137K$ e Facebook e Stripe 50K cadauno ogni anno e cosi' e' passato da una media di 20KE annui a 150K$ lordi, non tantissimi, ma ci si puo' vivere bene con le tasse crucche.
Ma rimane un one band grobe programmen.
Se dovesse morire?

Cose simili sono successe anche prima, in peggio.

OpenSSL fa funzionare sostanzialmente oltre il 50% dei siti intenet mantenendo la crittografia e funzionando piuttosto bene.

Anche questo era sostanzialmente fatto da un solo uomo sottopagato, Steve Henson (che poi nel 2017 si e' rotto le scatole ed e' andato a farsi dare soldi veri).

Robin Seggelmann, uno studente tedesco all'Università di Muenster, propone una miglioria al codice e il suo proffo lo invita a darli al tipo che lo legge, pensa che vada bene, lo pubblica a capodanno 2011.

Peccato che ha un bug banale ma ENORME che blocca mezza internet con pianti e lacrime nel 2013.

Nei 2 anni successivi al casino del 2103 la openSSL foundation riceve 3000$ in piu' di donazioni per mantenere il cardine della sicurezza maggior parte dei siti internet.
3000$.
LORDI.
Chi lo usa per per business miliardari non gli paga neppure una coppa di gelato LIDL.

Cosi' arriviamo ad oggi dove un caxxo di programma per gestire banalissimi log (ma ovviamente con una marea di funzioni che molti non usano mai) che usano veramente in tanti si scopre avere una mostruosa vulneratilita'.

Ovviamente viene giu' il mondo, si strappano i capelli, si richiama la comunita' che dovrebbe far questo e quello....
insomma questa COMUNITA' piena di gente deve mettersi a ripararlo!
Pero' gli sviluppatori della grande comunità open source sono.....
il sig Ralph Goers,
che lavora presso Nextiva e quando non sa cosa fare anziché cazzeggiare su facebook come scimmia NO-brain, sviluppa un programmillo che e' molto stimato.

Ma, visto che lo fa per diletto, in caso di apocalisse avrebbe potuto dire:
“hei bro, io questi giorni li sto passando con i miei 2 nipotini, non metto mano al codice da tempo, arrangiatevi”.
Oppure poteva essere ricoverato, morto, in vacanza dove non esiste internette...

Forse comincia a diventare chiaro che il SW ha dei problemi.

Non e' semplicemente un problema di open-close source, non solo le schifezze fatte da MS basterebbero a vincere il campionato a mani basse, ma nei server cloud Microsoft il 90% della roba e' open source (e adesso capite perche' linux non e' piu' il diavolo, il male e antidemocratico, ma win 10 ha pure un sottosistema linux e 11 ne avra' 2 quando uscira' dalla beta intorno al 2023)

Inoltre, come abbiamo visto, i linguaggi “cool” sono una bestialita' di librerie, alcune convertite o connesse brutalmente da altri linguaggi, perché “comode” e GRATIS.

Tutto si sta facendo piu' complesso e tirar dentro un problema e' sempre piu' facile.
Un SO prima ci stava su di un floppy, anche uno unix andava poco oltre il MB.
Poi i SO cominciarono ad aver bisogno dei CD, 700MB, poi 2, poi.. Oggi il solo SO occupa quasi per intero un DVD (4700MB).
La stessa cosa hanno fatto i programmi, anche i piu' stupidi per i cellulari sono ENORMI.
Non e' che per un programmino che scarica la posta o mostra 2 foto hai bisogno di tutta quella roba o il produttore ha veramente scritto tutto quel bordello, spesso sono programmini di medda di poche righe, ma tirano dentro universi open come librerie con un paio di click oppure modificano “cose” trovate in giro.
A breve la complessita' aumentera' ancora, e' un dato di fatto, siamo proprio sicuri che sia buono?

Forse bisognerebbe inventare un sistema “via di mezzo” dove un qualcosa deve comunque versato all'inventore.

Fatto sta che il sistema di arraffo fine a se stesso non ha molto senso, certo ha funzionato meglio di MS, ma altri attori comunque non erano cosi' tragici.

Mi pare assurdo che uno sfigato come Fedez o giovanotti prende per il proprio piccolo ingegno milioni di $ e uno che fa SW ben piu' importante, su cui si reggono decine di business miliardari, zero. 

Certo hanno scelto la via dell'open source, ma open non e' gratis e forse se sono pezzi cosi' importanti l'arraffo e basta forse non e' piu' sostenibile.
Pensate per esempio ad auto con opensource a manetta che non frenino il 15 se e' un venerdì alle 3:13 bisestile (qualcuno ha detto tesla?).

Cosa ne pensate?