Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/2019 Danke!
wer meint eigentlich lpx oder dieses
eine npm modul was ein paar millionen
projekte benutzen
und bekommen die leute dafür genug die
unterstützung von der gesellschaft für
diese wirklich systemrelevanten aufgaben
thomas programm ist open source berater
und beschäftigt sich schon seit
jahrzehnten mit linux und open source im
nächsten vortrag erzählte uns wie das so
funktioniert mit der öffentlichen
finanzierung von open source projekten
und wie das mit der nächsten
bundesregierung weiter geht viel spaß
vielen dank für die einladung und dass
ich hier also mal ausnahmsweise wieder
live einen vortrag halten kann und auch
richtig gute technik vor mir sehe und
richtig gute techniker das ist so die
selbst vorstellung der gehen wir einfach
mal drüber hinweg was ist die motivation
eigentlich für diesen vortrag auf was
wollen wir machen nun das werde ich euch
erklären und dann werde ich euch vier
beispiel projekte vorstellen dazu gehört
nicht petit und lockt das jetzt hoch
gekommen ist dann werden wir über die
probleme im open source development
reden also was wir da so sehen ich werde
den souverän techno
vorstellen und dann am ende haben wir
noch verschiedene aspekte
die ich ein bisschen beleuchten werde
wichtig zu sagen ist diese initiative
ist tatsächlich im wesentlichen von
anderen leuten gemacht worden also hier
adriana gros hat mich irgendwann
eingeladen einfach in 14 tagen studie zu
schreiben weil ihn wagner ist noch zu
erwähnen fiona karten bürger julia
katharina maier und ganz im hintergrund
hat sicherlich auch marco alexander
breit noch was dazu beigetragen
und weitere leute war noch tara taraki
susanne porsche und ja ich habe da also
wirklich nur an 14 tagen mit gearbeitet
aber es haben doch einige aspekte von
meiner arbeit in die studie geschafft
ich bin dafür tatsächlich auch bezahlt
worden als nebenjob das war ende august
anfang september
das sollte man glaube ich immer erwähnen
die beispiele die ich bringen werde sind
meine tägliche erfahrung das alles wenn
ich hier projekte ausgewählt habe dann
deswegen weil ich die selber kenne weil
ich die benutzer und weil ich damit
jeden tag umgehe das ist jetzt keine
priorität in irgendeiner weise also ich
nehme hier nicht vorweg was gefördert
werden soll sondern das ist einfach
meine persönliche auswahl
was so in den letzten jahren einfach
über meinen virtuellen schreibtisch
geflattert ist
wir hatten ja schon von ihr lied vor
ihnen gehört die wir digitale
souveränität das ist ein nicht völlig
unproblematisch aber griff
weil er auch vor allen dingen unscharf
benutzt wird also digitale souveränität
was ich daraus immer links oder was
nicht herein lese ist erstmal brauchen
wir digitale kompetenz ohne kompetenz
können wir nicht souverän sein
dann gibt es immer diesen begriff dieser
unschärfe ist es jetzt die souveränität
der regierung die alte regierung
besonders das innenministerium hat er
sehr viel souveränität der regierung
reininterpretiert und
das steht im widerspruch zur
individuellen souveränität also die
freiheitsrechte die wir eigentlich
meinen für mich ist die digitale
souveränität eigentlich nur der
aufkleber auf einem trojanischen pferd
mit dem man juristen erklärt was open
source ist und dann können die da ihren
souveränitäts begriff darauf an wänden
und innen drin ist open source software
wenn wir uns für den ford noch darauf
einigen können haben wir glaube ich
alles soweit
eingestellten ausgerichtet
es geht alles los mit diesem ikonischen
bild
ein projekt das ein random personen in
die branche ohne dank seit 2003 maintain
und darauf baut alle unsere moderne
infrastruktur auf
tatsächlich folge ich zufällig der
person die
da gemeint ist dass nico dil sie lebt in
oklahoma aber das ist ziemlich nah dran
und die hat sich auf dem tweet auch dann
geoutet das ist
ich bin die person die auf dem bild
gemeint ist und
naja oklahoma und dem raska sind nah
genug an einander das heißt wir haben
wir haben das problem dass wir digitale
infrastrukturen und im prinzip zählen
dazu ganz ökonomien haben die von
einzelnen personen abhängen dieser sehr
professionell in ihrer freizeit machen
oder als
leitprojekt
es ist eigentlich wert auch mal zu
erwähnen was macht marianne cornel sonst
sie ist der tief involviert in elb ein
linux
das werden die meisten leute von euch
nicht kennen weil das halt nicht auf dem
desktop läuft das ist eigentlich ein
embedded linux enthält keine gelebte
weil es auf größe optimiertes und
geliebtes einfach zu groß für kleine
systeme wir haben ihre eigene gelb c
geschrieben lieb nyse
da sind nur acht megabyte und ob sie
können das heißt wenn ich das in
container umgebung verwendet
sind das praktisch sehr sehr kleine
container nicht die gigabyte container
die man normalerweise von den großen
herstellern bekommt sondern
und hannah im megawattbereich das kommt
alles aus der linux im bett appliance
firewall das heißt es war ein sehr
kleine embedded systeme die verwendet
werden soll verwendet auch kein system d
ich habe also nicht persönlich gegen
system dies ist aber einfach sehr groß
für kleine systeme
und weil es container freundlich ist ist
es auch noch zusätzlich einfach zu
härten weil da ist einfach nichts drin
etwas nichts enthält kann ich auch
nichts angreifen das ist also mein
persönlicher grund warum ich versuche
containern projekte auch auf 11 1
auszurichten
und
nebenbei also in dem in den thread wird
dann erklärt was sie so gemacht hat oder
package config ist das älteste lebt mühe
kontext das sind dinge die man außerhalb
der entwickler community die also diese
bild systeme auch betreut kaum kennt
also in dem sinne ist die wirklich
völlig unbekannt aber natürlich
verdienen sie auch eben entsprechend
dieser helden und heldinnen verdienen
alle beachtung was man auch immer
wiedersieht ist und das sagt sie auch es
gibt probleme mit dem funding ja es gibt
immer wieder probleme mit dem funding
also eine finanzierung läuft aus dann
übernimmt hier in dem fall auch mal
google weil google auch sehr viel geld
hat um container technologie
unterstützen aber das endet natürlich
auch irgendwann
also wenn der elb ein linux nicht kennt
isst was sicherlich eine gute
möglichkeit mal ein sehr kleines linux
sich anzugucken
warum ist was noch wichtig nun container
härtung ist sehr wichtig das werde ich
in den nächsten vortrag noch erzählen
die deutschen regierungen und
verwaltungen werden im nächsten jahr
wenn die
projekte
aus dem
aus dem it planungsrat um das online
zugangs gesetzt was bisher nur auf dem
papier entsteht das ist also
das was alle digitalen leistungen von
soll es ist also je nachdem wie ich das
messe ist es entweder schon sehr weit in
der planung oder ist es so gut wie nicht
ausgerollt also da ist die metrik schon
unklar da werden also container in
großer anzahl ausgerollt also in unserer
eigenen öffentlichen infrastruktur
container laufen übrigens inzwischen in
allen kritischen infrastrukturen also
das was in deutschland unter das
kritisch gesetz für fällt das ist
elektrizität
kraftwerke es gibt praktisch keine
anwendung mehr im steuerungs segment und
elektrischen anlagen die nicht als
container ausgeholt wird
das der letzte tag wird mein nächster
sein weil wir die reihenfolge getauscht
haben
wichtig bei eltern ist auch noch es wird
von google und unterstützt weil google
mit kuwait ist heute container industrie
losgetreten hat
[Musik]
das ist aber auch nicht der einzige
den es hier im prinzip mal zu ehren gilt
das ist
eine stop in der ist der mensch
hinter partie das ist das preißn
repository wo die ganzen beiden pakete
drin sind
er lebt glaube ich auch in oklahoma
und mach dass du im nebenjob dh das ist
nicht sein hauptjob
435 pakete zu betreuen nun preisen ist
nachdem
das
nach irgendeinem dieser indizes jetzt
die nummer eins der programmiersprachen
läuft praktisch überall ich lästere
manchmal so ein bisschen das ist das
resümee sich das internet das ist weil
das halt so einfach es benutzt ist jedes
läuft im microcontroller ist läuft in
ein system
mit systemen läuft es auch in kritischer
infrastruktur wenn ich also
entscheidungen treffen möchte
die aufgabe berufen ist es sehr
beruhigend ist es sehr wahrscheinlich
dass ich da
heißen pakete dran habe das ist mir
tatsächlich im projekt begegnet wir
haben dann mal geguckt und haben gesehen
da wird auch massiv von taipeh
heruntergeladen und das sind und diese
kühlen 435.000 packages macht ernst im
nebenjob das ist also nicht sein
hauptjob
wer von uns würde
435.000 projekte nach feierabend
betreuen das ist also ein
tatsächlich wirklich unter
besetzt das projekt
wenn man in die historie kommt und da
ist mir das auch zum ersten mal begegnet
da gab es sogenannte type of scotland
extras leute laden da einfach in dieses
repository pakete hoch die so ähnlich
klingen wie existierende pakete und wenn
man dann ein tippfehler macht dann
handelt man sich irgendwelche malware
ein
aktuell gibt es auch probleme um die
pendenzen confusion das heißt ich lade
da irgendein paket hoch mit einer sehr
hohen
versionsnummer und dann wird das den
anderen paketen die existieren schon
vorgezogen das heißt was wir hier
brauchen sind zusätzliche security
checks das machen inzwischen
kommerzielle rakete die machen das mehr
oder weniger gut
was ich hier sage gilt auch für andere
programmiersprachen also ruby james und
npm sind da tatsächlich
auch betroffen da sind im grunde
dieselben angriffe möglich
von der ernst hat auch gleich einen
vorschlag der allerdings umgesetzt
werden müsste wir könnten virtuelle
vertrauenswürdige und auditierte sub
repository zu machen das heißt wir
picken uns aus den 435 paketen einen
relevanten upset raus und managen das
ganze auf vernünftige art und weise also
wir auditieren die
und packen die also in einem virtuellen
super positiv zusammen das müsst ihr
implementiert werden
das ist also wirklich etwas was man auch
nicht nebenbei machen sollte das braucht
also wirklich auch architektur
unterstützung
heißen wo läuft überall hat es schon
erwähnt stock exchange systeme oder
börsenhandel läuft darüber energiebörse
hatte ich tatsächlich selber ein projekt
dazu und überall wo das label künstliche
intelligenz drauf klebt ist
wahrscheinlich irgendwo preisen drin
das sind also jetzt zwei beispiele aus
den usa
es kommen zwei beispiele aus deutschland
für auch sehen ist wir haben auch viele
open source entwickler in deutschland
als wir haben kompetenz hier im land die
mehr oder weniger gewürdigt wird einer
von den leuten die hier ein projekt am
laufen halten dass es während der koch
mit dem mit gpg
2015 war auch running out of fans hier
so schön heißt das heißt er hat eine
kleine firma das ganze unterstützt aber
kleine firmen haben immer das problem
wenn die auftragslage schwankt muss ich
entweder die neuentwicklung einstellen
oder ich muss auf vorrat entwickler
einkaufen oder entwicklerinnen das ist
natürlich ein problem
was ein dauerhaftes funding braucht es
gibt ein businessmodell dahinter nämlich
einfach support macht auch support für
das bsi an der stelle aber das ganze
braucht eine dauerhafte unterstützung
das ist ein beispiel hier aus dass ebay
ist deswegen habe ich das doch in der
liebe ist
angemeldet k9 mail ist entwickelt worden
von christian cat ii er hat hier den
android stammtisch mitgegründet
das gibt es tatsächlich schon seit 2009
das ist also eine verschlüsselte e mail
lösung für android
ist ein einzelprojekt er macht das im
wesentlichen allein wenn man sich
diego mit historie anguckt die meisten
kombis sind von ihm es gibt noch
beiträge von anderen leuten aber er hat
glaube ich die absolute mehrheit das
heißt auch solche leute müssen wir
berücksichtigen wenn wir an
finanzierungen und open source denken
so was hier jetzt völlig fehlt und was
sich auch bei der studie nicht auf dem
schirm hatte war die apache foundation
recht sehen wir die selbstdarstellung
der apache foundation und die ist
natürlich schon erstmal beeindruckend
was hier alles ein code geschrieben
haben wieviel committer es gibt
contributor ohren und so weiter
java ist tatsächlich auch ein
professionelles ökosystem da ist überall
enterprise software die darauf aufbaut
dann habe ich gedacht okay wenn eine
open source community kein problem hat
dann die java community
so naiv kann man tatsächlich sein
und dann kam lok vor
also wir haben es nicht berücksichtigt
in dieser studie nicht weil es nicht
wichtig ist sondern weil es so gut
aussah so etabliert und gut ausgestattet
und
niemand hätte gedacht dass hinter
projekten wo auch hecking ist vom oracle
ibm sap rettet das da solche sachen
durchrutschen wie lok vd und
da kann man einfach man kann einfach
nicht in jede ecke gucken
und tatsächlich ist lockt for day in mit
der sicherheitslücke jetzt der grund
warum wir alle noch mal nachdenken
müssen wie wir mit dem funding weiter
gucken weil die lok vor jay lücke
deckt oder betrifft schätzungsweise ein
drittel des internets
und das ist schon so ziemlich die größte
lücke die wir bisher haben in terms of
also im sinne von place to a dios
zerstörungs umfang
und tatsächlich wieder dasselbe bild es
gibt drei maintainer von rock hotel und
die machen das in ihrem nebenjob
und die schreiben auch tatsächlich ja
wir würden gerne open source entwicklung
hauptamtlich machen aber
wir brauchen halt noch einen job um das
ganze
durch zu bringen also wir können das
nicht hauptamtlich betreuen weil wir
auch von irgendwas leben müssen
und das sind alles sehr professionell
heute aber die können sich halt nicht
diese aufgabe hauptsächlich widmen
so das heißt wir haben jetzt hier vier
projekte die sehr unterschiedlich sind
wenn der pc sogar fünf
ja projektgröße als größte
435.000 pakete
kleinste k9 mail ein einzelner
entwickler
von der nummer eins programmiersprache
nach theorie index und alles was
dazwischen ist wir haben alles
betroffenen auf der skala von
mikrocontrollern bis supercomputern
wir haben so wie das in der kritik ali-t
angegangen wird
projekte die als fan projekt gestartet
sind also wirklich spaß projekte nach
feierabend und die laufen jetzt in
kritischer infrastruktur
wir haben alles zwischen am peyman
zwischen
lobbyisten
bad time out also teilzeitarbeit und
vollbeschäftigten das heißt wir müssen
wenn wir etwas fördern wollen in die
richtung müssen wir idealerweise ein
instrument schaffen
das im prinzip das alles abdeckt und es
gibt noch viel mehr dimensionen
also es gibt ja auch noch wenn man sich
das angucken die leute haben alle einen
unterschiedlichen hintergrund die kommen
auch alle aus unterschiedlichen
community das sind leute aus den usa aus
deutschland das muss also alles möglich
sein so was zu fördern
was wir immer höheren erste antwort von
irgendeiner community ist huawei fandet
das höre ich jetzt schon seit ich
irgendwie open source auch mal
kommerziell mir angeguckt habe das heißt
manchmal welt handelt ist ja oracle hat
uns an sparc server hingestellt der
25.000 euro kostet das heißt wir haben
unsere projekte soweit finanziert dass
wir in der lage sind auch mal ein oder
zwei entwickler zu bezahlen das ist aber
für mich nicht weil handelt das ist
etwas wo man sagen kann ja wir können
die entwickler bezahlen aber wir können
nicht unbedingt
das ganze als gut durchfinanziert bitte
an was heißt gut durchfinanziert nun ich
brauche langzeitperspektive weil die
leute sind alle spezialisten also jemand
wie atmen konnte kann ich nicht einfach
ersetzen mit dem wissen die kann nicht
einfach da raus genommen werden und
durch einen x-beliebigen consultant
ersetzt werden wir brauchen das fehlt in
vielen projekten code reviews
wenn man jetzt das erste mal in einem
projekt eine sicherheitsüberprüfung oder
ein code review macht was das lange zeit
nicht gehabt hat dann ist das so als
wenn man einen alten keller aufräumt man
findet unendlich viele dinge und das
überfordert die projekte
das heißt wir brauchen jenseits von
coding ressourcen in den projekten wir
brauchen wartung wir brauchen bugfixing
wir brauchen aber auch simple
dokumentationen und automatische tests
der code reviews kann ich machen aber
wenn ich keine entwickler habe um die
findings von dem code review in dem
projekt unterzubringen dann erzeugt das
einfach nur schlechte laune ja wir haben
ja gewusst dass wir so schlecht sind und
wenn ja was passiert dann ist man an der
stelle
dann ist man an der stelle einfach auch
nicht viel weiter
was man allerdings auch sieht ist wir
müssen an einigen stellen an die
architektur also dass ich jetzt was
dabei ja warum geschlummert hat im
untergrund dieses jahr in drei diese
sicherheitslücke kommt halt aus zeiten
wo ja aber darauf für gedacht war
videorekorder oder was war das blu ray
abspieler oder sowas zu betreiben und
aus dem hintergrund noch ein paar
klassen nachzuladen das label
architektur floss sehen wir in kuwait
ist da ist einfach aus bequemlichkeit
für die entwickler überall ein service
account tagen drin das rät er den
nächsten vortrag noch kommen und
was ich auch gemerkt habe ist
wenn wir das ganze ernst nehmen müssen
wir auch kommunikation mit denken das
heißt was ich gemerkt habe wenn ich
diese ganzen sachen angesprochen habe
mit den entwicklern gemailt oder eine
video-konferenz gemacht habe mit den
entwicklerinnen
dann ist kommunikation in den projekten
ein fulltime-job das heißt ich kann
nicht gleichzeitig bugfixes
maintenance machen und dann noch die
kommunikation das versuchen einige und
das führt dann auch dazu dass ich den
eindruck hatte praktisch alle leute mit
denen ich gesprochen habe sind jetzt
nicht unbedingt im burnout aber die sind
schon jenseits von dem was man für eine
gesunde gesunde
arbeitsbelastung halten sollte
also da müssen wir tatsächlich an das
muss tatsächlich alles unterstützt
werden
ich habe architektur iv losgesagt und
das sind so die ich jetzt hier einfach
mal aus dem kopf unterschreiben kann das
meiste bei den architektur geschichten
ist dass entwickler einfach nicht an
kontinent denken das heißt sie denken
nicht dass ihre prozesse isoliert werden
müssen wenn die lok fortschritt stelle
oder die
lok vorsaison liiert gewesen wäre dass
er also auch gar nicht nach hause
telefonieren kann dann wäre das alles
nicht so schlimm gewesen wir haben also
hier an einigen ecken wirklich nicht die
isolierung die wir haben müssen das
trifft leider auch komponiertes aber
was jetzt eine neuere problem ist aber
das ist halt generell so wir führen viel
zu oft einfach an trusted kot aus
ja also sobald wir irgendwie körper
shell machen dann haben wir tatsächlich
das problem
dass wir irgendetwas
irgendetwas haben was an der stelle
ausgeführt wird aus einer unbekannten
quelle
was wir auch nicht hinbekommen ist kurz
zu signieren
das geht an einigen stellen ganz gut
also die die bienen rpm packages und die
ganzen package systeme sind signiert
aber wir haben zum beispiel so etwas
simples nicht mitgedacht dass der in die
eigentlich nur signierte klassen
ausführen sollte oder dasselbe in kuba
des kubaners kann so eingestellt werden
dass es nur signierte container ausführt
und das sollte man tatsächlich auch
machen wir sind also beispiele dafür wo
ich einfach ohne dass ich es merke ohne
dass mir das einfach bewusst ist
unsignierten code ausführen also cube
ctl eppler - f und irgend einer webseite
das bedeutet ich führe code aus den ich
nicht kenne
unter sogar word makros signieren aber
das ist komplett
nicht üblich also das sind hier der
architektur probleme die wir überall
haben
überall liegen auch service account
token rum wie gesagt nächste vortrag in
der cloud und in kuwait ist ein altes
problem was wir auch nicht mehr
loswerden ist dass wir pausenlos code
und inhalten es geht schon ghostscript
los vor 30 jahren dann musste man schon
einen beim bauen von ghostscript
ausschalten das ist keine shell befehle
ausführt javascript hat dieses problem
auch wo wir auch ganz schlecht sind muss
man ehrlich sagen ist jetzt zertifikat
lifecycle dass wir also nicht sicher
sind wann unsere zertifikate ablaufen
wie wir sie ersetzen
wir können im grunde alles wegen ihren
auch ganze diplom in chains können
signiert werden aber wir müssen das eben
durchziehen
wir brauchen auch da eine ingenieurs
mäßige einstellung dass wir sagen ja wir
machen alles was wir machen nur mit
siegen jetzt in sachen also ein
positives beispiel ist letzten krupp das
ist dieser fc 85 55
damit können wir sicher zertifikate
austauschen seitdem das um sich greift
wird z wird also https auch
fast ausschließlich genommen und wir
haben auch kein problem mehr im
zertifikatsmanagement jedenfalls nicht
so im großen stil wie vorher
wir könnten auf die idee kommen das ist
nicht die aufgabe des serben tech fonds
das alles neu zu schreiben und zu
ersetzen es gibt also ag was ist also
die
rohversion von gpg wird auch die die
rast version wahrscheinlich hast rage
war das löst alles nicht unser team
lifecycle probleme also das hat letzten
coup positiv vorgemacht
mit amy
und das macht auch gerade sechster vor
also sechs tor des ist ein projekt das
sich um das signieren von artefakten im
großen stil kümmert was ich also im
prinzip alles was aus einer deployment
chain oder einer supply chain rausfällt
signiert habe
dazu müssen wir also auch noch einführen
das ist aber jetzt nicht die aufgabe des
fonds sondern das sind eigentlich
projekte die noch over the top kommen
dann müssen wir auch schauen wir können
das ganze wahrscheinlich auch hebeln
weil wir immer wenn man so etwas
anspricht die großen enterprise firmen
haben überhaupt kein problem fünf
prozent ihrer projektkosten in open
source mehr intelligenz zu investieren
das müssen wir halt vernünftig anzapfen
also das wäre noch eine aufgabe über den
fonds hinaus dass wir an der stelle auch
diese ressourcen
managen und hebeln können
was
eigentlich jetzt hier in deutschland
nach den aussagen von hase
selbstverständlich ist ist dass wir so
erst nicht zurückhalten das heißt wir
brauchen auch die prozesse die news
possible disclosure machen in den open
source projekten das heißt es muss klar
sein die communitys setzen selber ihre
responsible disclosure prozesse auf und
das wird jetzt nicht vom bsi drücker
negatives beispiel
china hat gerade
das industrieministerium hat alibaba
gerade ab gedeckelt dafür dass sie
zuerst an die apache foundation das
ganze reportet haben und nicht an ihr
eigenes ministerium
das ist also ein beispiel was überhaupt
nicht geht die projekte müssen selber
ihre sicherheitslücken verwalten und
nicht irgendeine
regierungsorganisation die dann
vielleicht das ganze noch erstmal
zurückhält um angriffe zu machen also
der lok vorjahr backwaren mit sicherheit
einigen leuten schon viel viel länger
bekannt als er jetzt in der
öffentlichkeit aufgefallen ist
so also hier ist jetzt dieser trend
der seit
gut einem jahr von den
mitarbeiterinnen von der open knowledge
foundation und anderen
ins leben gerufen wurde hier ist das
mission statement das heißt es geht klar
um entwicklung verbesserungen
instandhaltung von offenen
basistechnologien
naja soll also auch nachhaltig sein es
war jetzt nicht so etwas sein wie ja ich
mache jetzt mal eine kampagne
was wir sehr oft von der eu hatten wir
machen so in phasen projektphasen 2020
80 seiten antrag
und dann nach einem jahr kommt eine
finanzierung und dann läuft das drei
jahre und dann verpufft das ganze nein
das muss nachhaltig aufgesetzt werden
das heißt es muss im prinzip stetig auch
passieren
focus ist sicherheit resilienz und
technologische vielfalt
und ganz wichtig ist es geht auch um die
menschen hinter den projekten also ist
nutzt uns nichts wenn wir jetzt hier
die neueste technologie einführen und
die menschen hinter den projekten nicht
mitnehmen das heißt wir müssen auch
dafür sorgen dass die menschen die diese
projekte maintain und am leben halten
auch
[Musik]
teil ihres unterhalts oder ihren
gesamten unterhalt damit bestreiten
können
das ist das design was da rausgekommen
ist es ist also ein push pull design das
heißt es wird geschaut
es wird ein gremium geben was erstmal
eine datenbank förderfähiger
software-komponenten aufbau das klingt
erstmal sehr technisch
das heißt es müssen erst mal metriken
entwickelt werden wann ist eine
komponente eigentlich kritisch
das muss im dialog mit der community
statt finde ich kann jetzt nicht einfach
sagen du bist jetzt kritisch und gebt
das geld rein sondern da muss eine
community auch sagen das sehen wir auch
so
das heißt es wird auf die gängigen
communitys zu gehen die apache
foundation
linux foundation und die anderen
es gibt aber auch die möglichkeit sich
offen zu bewerben
wenn man also selber sagt ja ich habe
hier etwas beizutragen es gibt also
einen zusätzlichen
auswahlprozess dann gibt es eine
umsetzung und die kann über partner
gehen muss aber nicht das kann in
einzelfällen
es kann ein team
also oder ein kleines unternehmen sein
was das ganze macht mit externer
expertise es kann aber auch ein großes
unternehmen sein was das ganze als
subventionen bekommt das ist also alles
möglich das wird sicherlich nicht völlig
reibungsfrei ablaufen so was zu
implementieren aber es ist tatsächlich
eher
ein prozess der alles abdeckt und anders
kann man ihn auch an der stelle gar
nicht ausgesetzt hat tatsächlich sehr
offen
beratung und bewilligung sollen
niedrigschwellig sein also es wurde
gleich gesagt ja wir haben keine lust
hier
anträge zu schreiben noch neben unserer
arbeit die wir ehrenamtlich machen
nebenher
sondern es muss eine niedrigschwellige
beratung und bewilligung stattfinden das
heißt es muss klar sein ja ihr seid
liefert einen beitrag
zur open source infrastruktur und das
muss dann
auch umgesetzt werden aber es muss
natürlich ein reporting geben weil man
sonst
türen auf macht für den missbrauch aber
tatsächlich ist das ganze
so angelegt dass wir jetzt in der lage
sind wenn das ganze so umgesetzt wird
wie das hier auf dem papier ist
einen fond aufzusetzen der
niedrigschwellig in verschiedenen
varianten
projekte unterstützen kann
mein kommentar dazu ist das ist erstmal
ein guter start ansatz also wir
unterstützen keine innovation jedenfalls
nicht vordergründig sondern
basistechnologie ja wir sollten über
hebel nachdenken
wir haben eine weite bandbreite von
projekten abgedeckt zehn millionen sind
erst mal ein guter startpunkt also mehr
macht erstmal nicht sinnvoll man muss
das geld ja auch erstmal auf ausgeben
können man muss das erstmal aussetzen
wenn man das vergleicht mit den schäden
die entstanden sind jetzt lockt vor jay
es gibt noch keine bilanz summe aber ich
würde schätzen allein in deutschland bis
heute 100 millionen wenn ich mir die
überstunden angucke die leute leisten
mussten die jetzt diese lücke fixen
was mir in konferenzen alle leute gesagt
haben dass ich einfach verschwunden sind
und einfach 14 tage nicht ansprechbar
waren weil sie ihre weil sie ihre
infrastruktur fixen mussten dann ist das
eine zahl die ich für sehr
wahrscheinlich hält das kann auch noch
teurer werden
20 prozent 20 projekte zu unterstützen
wie in den fonds vorgeschlagen ist erst
mal eine gute idee
könnte man natürlich sagen okay wenn ich
mir andere projekte angucke und hier ist
ein tweet von lilith wittmann wieder mal
ja wir haben auch an einigen stellen
viel mehr geld investiert in sachen die
sich dann nicht ausgezahlt haben um es
mal ganz neutral zu sagen also die id
projekte die block chain projekte sich
bisher nicht ausgezahlt und da sind
50 millionen
insgesamt reingegangen und davon haben
wir erstmal noch nichts gesehen
wenn wir das vergleichen mit anderen
fonds also der open ssf die sich um oben
ssl kümmern also eine tochter der linux
foundation hat ihr auch so an die zehn
millionen
der open text
der hinter dem tor projekt steht
finanziell
der hat 20 millionen das enthält aber
auch radio freies asien also ohne ein
amerikanischer
früher hätte man gesagt propagandasender
aber
das ist also jetzt nicht nur einen text
also das sind ist eine vernünftige
größenordnung mit der man erst mal
arbeiten kann und
wo man einfach sieht dieser fonds wird
wenn er denn so kommt auch
einen wesentlichen beitrag leisten
können
was fehlt das habe ich schon gesagt das
ist die innovation alles jenseits von
block chain
was fehlt sind auch neuere crypt
ursachen zum beispiel diese privacy pro
server openid connection sachen da sind
jetzt paper die jetzt vielleicht
anderthalb jahre dabei sind ist nichts
dabei was mit theorie zu tun hat keine
security prof
und das hätte ich alles gerne noch
zusätzlich in einem anderen geförderten
projekt
warum man einfach sagt wir holen uns
jetzt die neueste kryptographie und
implementieren die einfach mal in den
wichtigsten fünf bis zehn
programmiersprachen java gasteig skript
und machen das noch unsere top das ist
jetzt nicht in den vorenthalten aber
vielleicht kommt das ja noch
ja und dann dachte ich schon etwas habe
ich hier angekündigt ich muss jetzt hier
ganz vage bleiben und vom 23 dezember 3
uhr 42 nachmittags
da kam dann dieser tweet von franziska
brantner also eine neue staatssekretärin
im wirtschaftsministerium
dass das angegangen wird und
dass
das wirtschaftsministerium halt die
kontinuität war dass es im
wirtschaftsministerium gestartet worden
und wird jetzt von der neuen regierung
fortgeführt das bedeutet wir haben im
endeffekt zwei monate
in der luft gehangen was eine relativ
kurze zeit ist für so ein
regierungsübernahme die
staatssekretärinnen ebene wird ja gerade
gefüllt
und dann geht es gleich weiter und wir
hoffen dass im nächsten jahr
klappt ja
einer zusammenfassung hoffentlich
startet das jetzt alles bald nächstes
jahr open source security
das hat ein vernünftiges budget
über die details werden wir uns noch und
ich nicht allzusehr streiten müssen aber
das muss halt noch definiert wenn danke
für euer interesse und ich hoffe das war
jetzt mal ein bisschen eine positive
botschaft
zum und am anfang des festes super
vielen vielen dank
ich muss mal gucken ob das im internet
fragen haben sonst gibt es hier aus dem
raum fragen möchte irgendjemand hat
jemand im pad ist eine ok ja gerne
ich denke mal die erste frage und dann
hole ich aus dem bett die nächste
internet frage zwar wir geben das jetzt
überhaupt weiter also wann ist da
realistisch mit dem ersten euro
geldauszahlung zu rechnen man glaubt ihr
dass rollen kann man da schon irgendwas
abschätzen ich hoffe dass es so schnell
geht aber natürlich müssen jetzt stellen
besetzt werden
das budget ist jetzt
auf staatssekretärinnen ebene bewilligt
aber jetzt muss das halt noch
eingetütet werden also ich hoffe dass
wir erste ergebnisse
erstes quartal erste hälfte nächsten
jahres sehen dann muss das hochgefahren
werden und dann
obwohl das ist jetzt reine spekulation
das wäre natürlich sehr schön wir haben
ja noch eine frage aus dem internet sehr
viele große unternehmen nutzen
regelmäßig sehr viele tipps und fahren
damit gute gewinne ein welches modell
des finanziellen support kann hier
funktionieren gibt es da
erfolgversprechende ansätze wie zum
beispiel prämien supporter of us es fand
xyz siegel ja das ist eine gute frage
also die viele wollen ja auch beiträge
leisten oder leisten beiträge aber haben
nicht die internen
finanzierungsstrukturen also es wäre gut
wenn man so ein modell fahren würde
irgendwie ein bestimmter prozentsatz
5% halt auf die projektgröße würden in
diesem internet geschichten investiert
die zahlen sind verhandelbar aber im
grunde sehen die unternehmen das auch
dass wir daraus tun müssen weil wie
gesagt die schadenssumme von jvc shell
ist so hoch dass jede vorsorge billiger
gewesen wären
super danke dann vielleicht noch eine
letzte frage wie sieht das aus du hast
ja in diesem bild gezeigt der prozess
ist ja ausgedacht wie das alles dann
funktionieren soll ist das schon gebaut
also ist schon klar welche menschen das
dann umsetzen welche organisationen wo
man sich also vielleicht interessiert ja
leute die jetzt zu hören wo melde ich
mich wenn ich da irgendwie förderung
möchte und zum 2 ich weiß dass leute
denken bei mega cool ich suche noch ein
job nächstes jahr gibt es irgendwie eine
möglichkeit selber weil als dass diese
organisiert werden
ich hoffe das sehr schnell kommt aber
nein also wie gesagt der termin ist
23 dezember gewesen wollen das jetzt
bewilligt worden ist vorher wurden
einfach keine ausgaben der alten
regierung bewilligt also die alte
regierung hat das dann auch selber
gestoppt weil sie gesagt haben wir
wollen das nicht vorwegnehmen und jetzt
ist
mittags nachmittags vor weihnachten ist
das halt gekommen also das müssen wir
jetzt alle abwarten ich hoffe dass ich
schnell kommt
weil ich denke das interesse wird auch
groß sein super dann vielen vielen dank
für den vortrag wir sehen uns hier
gleich noch mal auf der bühne und 2
wieder thomas mit einem vortrag zur
qualitätssicherheit jan auf englisch
oder mal kurz pause und bis gleich