Natürlich sollte man alle Sicherheitsfortschritte oder besser Konzepte langsam übernehmen oder nachbauen, und generell gegen alles vorgehen was Sicherheitslücken hat.
Nichtsdestotrotz hat man gerade als Desktop-User so viel Komplexität am Laufen, allein schon das OS mit den Standard-Systemkomponenten, eine Desktop-Umgebung (oder ähnliches) plus ein Web Browser, was wahrscheinlich das Minimum ist was heutzutage jeder am Laufen hat, hat schon so viel Komplexität in sich, dass da hunderte, wenn nicht sogar tausende an Sicherheitslücken sind die man jeden Tag offen hat. Dann kommt's natürlich auf die Priorisierung an. Ein leicht ausnutzbarer zero-click RCE wäre sowas wie 10/10 Kritikalität, aber längst nicht alle Lücken sind so kritisch und so leicht ausnutzbar. Manche sind auch schlichtweg irrelevant außer in ganz bestimmten Szenarien.
Trotzdem sollten natürlich auch Linux-Distris mehr tun, dass die Defaults so sicher sind wie möglich. Offensichtliche Sicherheitslücken, die leicht behebbar sind, müssen unverzüglich geschlossen werden.
Aber ich denke, so wie jeder einen PC/Notebook nutzt, ist es leider "normal" dass das sicherheitstechnisch nicht optimal ist. Was auch ein Grund ist, warum ich fast jede Applikation in einer Sandbox starte, einfach damit ich noch einen Layer Extra-Sicherheit habe.
Aber man will ja auch gewissen Komfort haben, und das bedeutet wieder mehr Komplexität auf der Softwareseite, mehr Zeilen Code, dadurch eine höhere Wahrscheinlichkeit an Bugs die drin sind, die man vielleicht ausnutzen kann. Du willst ein System bestmöglichst lockdownen? Installiere nur sehr simple Software, die am besten auch in Rust o.ä. geschrieben ist (nicht C/C++), die nur die essenziellsten Features bietet, und lasse nur so wenig Software laufen wie nötig. Noch dazu kannst du den Kernel kleiner machen, weniger Module laden, SELInux verwenden, usw. Da kann man schon ziemlich viel an Komplexität reduzieren, gerade unter Linux, was ja sehr modular und anpassbar ist. Aber so ein System wäre dann wohl eher nur was für Server, und wohl kaum etwas als Daily Driver auf dem Desktop. Also Kompromisse muss man eh eingehen, gerade bei der Desktop-Nutzung. Bei Servern kann man mehr lockdownen und sollte das auch tun. Aber auch hier merkt man, wie wichtig Komfort und Schnelligkeit beim Deployment auch bei der Serveradministration ist... willst du jetzt 1 Woche investieren um eine Applikation zu deployen, oder dir irgendein Random-Docker-Image laufen zu lassen mit ein paar Minuten Aufwand?
Sicherheit ist natürlich extrem wichtig, aber auch gleichzeitig etwas womit sich fast niemand beschäftigen will oder auch einfach zu wenig Zeit zur Verfügung steht, sich damit zu beschäftigen. Je kleiner die Firma, desto mehr gilt diese Einschätzung. Deshalb sind auch sichere Defaulteinstellungen so wichtig - es ist ja schön wenn man etwas sicher customizen kann, aber das bedeutet dann immer mehr Aufwand.
Was noch gehen würde, oft zumindest, wäre sowas wie QubesOS zu benutzen, weil das schon ziemlich clever viele Sicherheitsprobleme umgeht, die man ansonsten hat wenn man irgendein (und nur ein einzelnes) OS ausführt. Aber auch das bedeutet natürlich, dass man weniger Komfort und mehr Administrationsaufwand hat, als wenn man nur klassisch ein OS benutzt. Für viele Non-Techie-User wäre das schon zu viel, und selbst für Techies wäre es vermultich an manchen Stellen zu umständlich. Aber eigentlich ist QubesOS sehr clever gemacht und löst viele Sicherheitsprobleme, ich würde es als deutlich sicherer einschätzen als die Nutzung von irgendeinem einzelnen OS (inklusive Linux, Windows, MacOS, OpenBSD, ...).
Auch noch ein wichtiger Punkt ist, gerade bei Linux im Vergleich zu proprietären Blackbox-OS wie MacOS oder Windows, dass alles in Linux offen ist (oder zumindest sein kann) und auch viele Distris dran arbeiten, 100% reproducible Builds zu erreichen, d.h. dass man dann exakt sagen kann, jep, das was ich hier am Laufen habe, das entspringt zu 100% ohne sonstige Patches dem Source Code, den ich hier einsehen kann dank Open Source. Das ist dann natürlich ein Riesen-Vertrauens-Bonus im Vergleich zu Blackbox-Applikationen wie MacOS oder Windows. Auch wenn Apple und MS natürlich viele talentierte Entwickler uhd Sicherheitsforscher employen, diverse Linux-Projekte haben oder bezahlen auch gute Entwickler (oder Firmen wie Google etc. arbeiten auch direkt mit) und gleichzeitig ist der Code weltweit offen und man muss nicht einer einzelnen Firma vertrauen wenn diese sagt "jo, unser Stuff hier, das ist 100% sicher. Trust me, bro.". Noch dazu ist Microsoft als US-Firma ja nicht komplett unabhängig. (Gilt letztendlich für jede Firma in jedem Land). Wenn die Regierung sich dazu entschließt dass du aus welchen Gründen auch immer ein Problem darstellst, und dir dann über den in Windows vorhandenen Remote-Update-Mechanismus ein zielgerichtetes Windows-Update auf deinen PC pusht, was eine kleine Malware oder Backdoor enthält, dann kannst du dagegen genau gar nichts tun. Bei Linux hast du zumindest mehr Möglichkeiten gegen sowas geschützt zu sein. Bei proprietärer Software bist du vielleicht auch vor vielem geschützt, aber niemals vor der einen Firma, von der du dein Blackbox-OS her beziehst. Vor der stehst du immer da mit heruntergelassener Hose. Und wie vertrauenswürdig Microsoft sein kann, sieht man spätestens daran, wie gut sie die Öffentlichkeit darüber informieren, was da genau während dem Azure Hack passiert ist. Sie geben fast gar nichts preis, also lautet die Devise weiterhin: "Nothing to see here. Trust us, bros.". Und obendrauf bauen sie immer mehr Spyware-Funktionen in Windows und andere MS-Produkte ein. Für mich zumindest ist das auch eine Art Sicherheitsproblem (quasi preinstalled Spyware. Spyware von der Firma, der ich blind vertrauen soll weil ich deren OS auf meinem Gerät laufen habe? Wie passt das eigentlich zusammen? Kann man hier überhaupt noch von einem Vertrauensverhältnis sprechen?). Ich finde es auch schlimmer, wenn bspw. ein deutscher Geheimdienst bestimmte Daten über mich hätte, als wenn diese beispielsweise der chinesische Geheimdienst hätte. Denn ich habe nicht vor, nach China zu reisen, ich lebe nicht da, die können mich gar nicht erreichen, selbst wenn sie es wollten. Ein deutscher Geheimdienst schon. Ein europäischer oder US-amerikanischer auch (über Bande).
Über ein anderes Forum (ich informiere mich aktuell über GrapheneOS) bin ich auf den folgenden Artikel gestossen:
