Linux Kernel 5.7 im Anmarsch

Zur nächsten Version des Kernels ist es noch bis Juni hin, aber der Release Candidate zeigt, dass die Neuerungen um rund zehn Prozent umfangreicher als sonst ausfallen.

Es tut sich wieder was in der langen Saga um das Windows-Dateisystem ExFAT, zu dem Samsung im Kernel 5.7 eine saubere Umsetzung mit dem Segen Microsofts eingereicht hat. Der bisherige vorläufige Treiber stammte ebenfalls von Samsung, wurde aber von Kernel-Entwicklern blumig als „Ein Haufen Müll“ kritisiert. Einen deutlichen Geschwindigkeitsschub durch den Compiler Clang gegenüber dem üblichen GCC verspricht die neue Kompilieroption „LLVM=1“, die eine Übersetzung des Kernel-Quellcodes mit diesem schnellen Compiler einfacher macht. Und noch mehr Interna: Das Speichermanagement für X86-Prozessoren bekommt eine verbesserte Cachebehandlung, die Cachebereiche über Speichergrenzen hinweg erkennt und diese aus Leistungsgründen vermeidet. Auf Systemen mit mehreren CPUs berücksichtigt Linux jetzt den Faktor „Thermal Pressure“ und vermeidet die Lastverteilung auf zu heiß gelaufenen Prozessoren. Intels „Ice Lake“ bekommt einen Patch gegen einen beobachteten Leistungsverlust und die Grafikeinheit der in Kürze erwarteten Intel-Chips „Tiger Lake“ (12. Generation) funktioniert nun. Von AMD gibt es kleinere Neuerungen im AMDGPU-Treiber für Radeon-GPUs wie die direkte Unterstützung von OLED-Bildschirmen. 

Netflix: AV1-Codec bewährt sich

Für die Codierung seiner Filmbibliothek zum Streaming auf Endgeräten hat Netflix letztes Jahr den Codec AV1 in Betrieb genommen. Dieser freie Codec wurde von Aomedia als eine Alternative zum proprietären Codec H.265 entwickelt. In einem technischen Beitrag auf https://netflixtechblog.com erläutern einige Köpfe hinter Netflix, das auf den extrem soliden Netzwerkstack von Free BSD setzt, die bisher gezogenen Erkenntnisse aus dem Einsatz des freien Codecs AV1. Die Infos von Netflix bescheinigen dem freien AV1 eine um 20 Prozent bessere Leistung als vergleichbare Codecs wie VP9. In Situationen mit begrenzter Bandbreite übertrifft AV1 die Erwartungen. AV1 findet clientseitig dank der Arbeit von VLC und Ffmpeg breite Unterstützung im Linux-Umfeld und unter Android. 

Ubuntu 20.10: Ein fetziger Gorilla

Kaum lag Ubuntu 20.04 zum Download auf den Servern, ging auch schon die Entwicklung der kommenden Ubuntu-Ausgabe 20.10 los, die im Oktober erwartet wird. Der Linux-Kernel 5.8 und Gnome 3.38 könnten es in die Paketauswahl der kommenden Distribution schaffen. Der Codename und das Maskottchen dieser 19. Distributionsausgabe ist auch schon bekannt: „Groovy Gorilla“ heißt das kommende Ubuntu und ist damit ein „fetziger Gorilla“. Der Name soll auch an die Naturschützerin und Paläoanthropologin Dian Fossey erinnern, an ihre wissenschaftliche Arbeit zu Menschenaffen und ihre Ermordung vor 25 Jahren. 

Huawei wird Teil des OIN

Der chinesische Netzwerk- und Telekommunikationsausrüster ist wegen des Verdachts der Wirtschaftsspionage, illegaler Überwachung von Kunden und Unterlaufen von Sanktionen in einigen westlichen Staaten weiter mit einem Bann belegt. Andererseits steht die Hardware von Huawei beim Ausbau von 5G-Mobilfunknetzwerken aufgrund von Know-how und Kosten hoch im Kurs. Nun ist Huawei dem Branchenverband „Open Invention Network“ (OIN) beigetreten. Das OIN bekämpft Patente und Lizenzkosten, indem es seit 2005 Patente erwirbt und dann unter Open-Source-Lizenzen freigibt. Unter anderem gehören Google, Microsoft, Sony, Philips, IBM und Toyota dem Verband OIN an. Mit Open-Source-Lizenzen und freier Einsicht in Hardwarespezifikationen könnte Huawei das Vertrauen in seine Produkte stärken und Vertrauen in der Branche zurückgewinnen. 

20 Jahre Linux Foundation

Im März ist die Linux Foundation 20 Jahre alt geworden. Von bescheidenen Anfängen ist die Foundation zu einem Industriekonsortium gewachsen, zu welchem heute sogar der ehemalige Widersacher Microsoft gehört. Zu den Aufgaben der Linux Foundation gehören nicht nur die Organisation von Konferenzen und die Bezahlung von Linux Torvalds, sondern auch die Organisation von Open-Source-Projekten. So kümmert sich die Core Infrastructure Initiative der Linux Foundation seit der Heartbleed-Lücke um Komponenten für Open-Source-Software und hat einen neuen Bericht zu problematischen Bausteinen vorgelegt (www.coreinfrastructure.org/programs/census-program-ii). 

Linux Mint: Adieu 32 Bit!

Die kommende Ausgabe von Linux Mint wird auf Ubuntu 20.04 basieren und deshalb ebenfalls auf Versionen mit 32-Bit-Architektur verzichten. Ubuntu vollzog diesen Schritt bereits vor einem Jahr zur Version 19.10 und pflegt nur noch ein kleines Set an 32-Bit-Bibliotheken für Wine und die Spieleplattform Steam. Aus dem Umkreis der Linux-Distributionen, die von Debian abstammen, bleibt damit nur noch Debian selbst weiter in einer 32-Bit-Ausgabe für besonders betagte PCs erhalten. 

Für Teamarbeit: Github gratis

Microsoft hat als Eigentümer der Code-Hosting-Plattform Github das Angebot für Entwicklerteams kostenlos gemacht. 
Private Repositorien, auf die sich im Team zugreifen lässt, waren bislang kostenpflichtig, jetzt seit Ende April für alle Nutzer gratis. Darunter fallen alle Basisdienste von Github wie CI/CD, Projektmanagement, Code Review und automatisches Paketieren. Businessangebote für größere Teams, Support durch Github und Single-Sign-on-Funktionen über SAML bleiben kostenpflichtig, jedoch mit halbierten Preisen (https://github.com/pricing). 

Sicherheitsnews

Github: Vertrauliches und Vergessenes

Es ist kein Geheimnis, dass in großen Projekten auf Github oftmals auch vertrauliche Informationen wie Passwörter, Schlüsseldateien und nicht-öffentliche URLs im Quellcode verbleiben. Für Hacker auf der Suche nach Sicherheitslücken in Programmen oder Diensten sind diese vergessenen Informationen Gold wert – und gar nicht besonders schwer zu finden. Ein Entwickler, der unbedingt auf dieses Problem hinweisen möchte, hat eine Live-Suchmaschine ins Web gestellt, die im Browser demonstriert, welche Informationen auf Github landen, die dort eigentlich nicht hingehören: Unter https://shhgit.darkport.co.uk läuft eine Demo, die zeigt, welche Art von Daten unter Verschluss gehören und nicht in ein öffentliches Coderepository.

Open SSL 1.1.1g

Eine Unterversion der verbreiteten Kryptobibliothek Open SSL schließt eine gravierende Lücke in TLS 1.3, das neuere Webserver für HTTPS verwenden. Die entdeckte Lücke erlaubte einen Denial-of-Service-Angriff gegen diese Dienste und ist in allen verbreiteten Linux-Distributionen bereits durch ein Paketupdate Ende April geschlossen worden.

VPN-Apps als Spyware

Zur Dauerdiskussion, ob ein VPN zur Verschleierung des Webtraffics in lokalen Netzwerken überhaupt ein Plus an Sicherheit garantiert, kommt jetzt noch ein Bericht, der gegen zahlreiche VPN-Dienste einen schlimmen Verdacht äußert: Sensor Tower, eine Analyseplattform zur Webnutzung, hat laut Buzzfeed VPN-Tools unter Android und iOS zur geheimen Datensammlung genutzt. Betroffen seien die Apps „Free and Unlimited VPN“, „Luna VPN“, „Mobile Data“ und „Adblock Focus“. Apple und Google haben nach einer Untersuchung bereits einige dieser verdächtigen Apps aus ihren App Stores entfernt.

Firefox: 15 000 US-Dollar für Bugs

Die Mozilla Foundation belohnt (wie viele andere Tech-Unternehmen) Tester und Hacker für gefundene und direkt gemeldete Bugs und Sicherheitslücken. Nun haben die Macher von Firefox die Prämien erneut angehoben, zum zweiten Mal in den letzten drei Jahren. Schwere Sicherheitslücken auf kritischen Webseiten werden mit einem Finderlohn von 15 000 US-Dollar prämiert. Das entspricht einer Verdreifachung des bisherigen Finderlohns. Kleinere, exklusive Lücken sind immerhin 500 bis 3000 US-Dollar wert, was auch von der Qualität des eingereichten Bugberichts abhängig ist. Mozilla betreibt dieses Bug-Bounty-Programm seit 2004, um Internetkriminellen zuvorzukommen, die ebenfalls gute Preise für frische Sicherheitslücken zahlen. In den letzten drei Jahren hat Mozilla fast eine Million US-Dollar an Bugprämien ausgezahlt. Der Durchschnittsbetrag pro Fund lag dabei bei 2700 US-Dollar (www.mozilla.org/en-US/security).

Codeleak: Team Fortress 2 und CS:Go

Valve hat bestätigt, dass der Quellcode zweier populärer Spiele ins Web geraten ist. Betroffen sind „Team Fortress 2“ sowie „Counter-Strike: Global Offensive“. Die Spieleschmiede hat Spieler aber bereits beschwichtigt, dass jetzt nicht mit großen Cheatangriffen zu rechnen ist, denn der Quellcode ist jeweils auf dem Stand von Ende 2017 oder Anfang 2018. Dabei handele es sich übrigens um Quellen, die Valve einigen Partnern zur Verfügung gestellt hatte, die eine Lizenz für die Spieleengine „Source“ besitzen.

WordPress: Angriff per Theme

Ein älteres, aber weit verbreitetes Theme hat Anfang Mai Zehntausende WordPress-Webseiten verwundbar gemacht: „Onetone“ (https://mageewp.com/onetone-theme.html) ist aufgrund seines klaren Aufbaus und responsiven Designs beliebt, enthält aber eine Lücke, die per Cross-Site-Scripting Besucher umleitet oder weiteren Schadcode für Browserlücken unterschiebt. Die Entdecker der Lücke fanden das Theme „Onetone“ auf 20 000 WordPress-Seiten und haben von den Machern des Themes keine Antwort erhalten. Die Lücke geht deshalb ohne Fix an die Öffentlichkeit – mit der Aufforderung, sofort auf ein anderes Theme umzusteigen.

Microsoft Teams: Böse Bilder

Durch eine Sicherheitslücke in Microsofts Besprechungssoftware Teams war es zeitweise möglich, das Konto eines Opfers mit einem manipuliertem GIF-Bild zu übernehmen, das der Empfänger dazu von präparierten Subdomains im Web öffnen musste. Microsoft Teams sendete dabei an die Subdomains *.teams.microsoft.com einen Authentifizierungs-String. Sicherheitsforscher entdecken dabei zwei potenzielle Adressen, die von einem Angreifer übernommen werden könnten. In neuen Version von Teams ist die Lücke geschlossen.

Tuxedo: Neues Notebook mit Manjaro

Speziell für den Betrieb der Linux-Distribution Manjaro hat das bayerische Systemhaus Tuxedo in Augsburg eine besonders performante Linux-Kiste im Notebookformat mit 15,6 Inch (Zoll) entworfen: Das Manjaro Infinitybook Pro 15 hat die jeweils aktuelle Ausgabe von Manjaro mit XFCE oder KDE Plasma vorinstalliert. Die Konfigurationsmöglichkeiten der Hardware reichen im Onlineshop von Tuxedo von einem Intel-Prozessor Core-i5-10210U zum Core-i7-10510U und erlauben eine RAM-Ausstattung auf bis zu 64 GB (DDR4). Die internen Ports für SSDs unterstützen SATA3 und NVME. Erfreulicherweise handelt es sich um ein Businessnotebook mit einem matten IPS-Bildschirm mit 1920 zu 1080 Pixeln. Die Hauptplatine hat einen Mini-Displayport, HDMI-Anschluss, Ethernet-Port und USB vom Typ C mit Thunderbolt-3-Fähigkeiten. In der Basisausstattung kostet das Manjaro Infinitybook Pro 15 ab 1099 Euro (www.tuxedocomputers.com). 

Odroid C4: Schneller Himbeer-Konkurrent

Das südkoreanische Unternehmen Hardkernel hat mit dem Odroid C4 einen weiteren Konkurrenten zum Raspberry Pi 4 ins Rennen geschickt. Der Odroid C4 kombiniert den System-on-Chip von Amlogic mit einer Vierkern-Cortex-A55-CPU (zwei GHz Taktfrequenz) und vier GB RAM. Neben dem kleinen Vorsprung gegenüber dem Raspberry Pi 4, der mit 1,5 GHz getaktet ist, hat die südkoreanische Platine vier USB-3-Ports, Gigabit-Ethernet, einen vorbereiteten Audioausgang via SPDIF über Pins. Der Boot erfolgt über eine Micro-SD-Karte, wobei die Platine noch über einen eMMC-Sockel für eine weitere Speicherkarte bis zu 64 GB verfügt. Der HDMI-2.0-Port kann 4K-Bildschirme mit einer Bildfrequenz von 60 Hz ansprechen. Die GPU ist eine Mali G31, die neben Open GL auch Vulkan beherrscht und vom Linux-Kernel bereits unterstützt wird. Anders als bei vielen anderen Raspberry-Pi-Konkurrenten muss der Odroid-C4 um seine Linux-Unterstützung generell nicht verlegen sein: Ubuntu 20.04 läuft bereits mit einem eigenen Kernel auf dieser Platine, die der Hersteller für 50 US-Dollar plus Versand aus Südkorea schickt. 

Android 11 für Entwickler

Google hat seit Februar 2020 die ersten Entwicklerversionen des kommenden Android R (Version 11) für ausgewählte Geräte der Pixel-Serie freigegeben. Diese dienen vorrangig Entwicklern dazu, neue Elemente der Oberfläche und veränderte Verhaltensweisen des Betriebssystems kennenzulernen. Speziell für diese gibt es jetzt eine Möglichkeit, APKs über Android Debug Bridge (ADB) für Tests nicht mehr nur komplett, sondern in Deltas zu übertragen (also nur inkrementelle Änderungen). Die ADB ist zum Debugging über WLAN ebenfalls bedeutend schneller geworden. Der Linux-Unterbau mit Linux Kernel 4.14 oder 4.19 isoliert Apps strenger in einen Speicherbereich, um mögliche Sicherheitslücken zu entschärfen. Der verwendete, weiterhin stark angepasste Linux-Kernel sucht außerdem den Schulterschluss mit Google Chrome-OS, das auf Chromebooks vorinstalliert ist, um Android-Apps auch unter diesem Linux-basierten Betriebssystem ausführen zu können. 

Android R (11) wird Ende Juni in der endgültigen Version erwartet und eine Rückkehr Googles zum regulären Entwicklerzweig des Linux-Kernels einläuten. 

Mozilla: Deep Speech 0.7 vorgestellt

Macht doch einfach einen guten Browser – diese Forderung hört die Mozilla Foundation häufiger, ist aber gleichzeitig in anderen Open-Source-Projekten mit viel Entwicklungsarbeit involviert. Eines davon ist die Spracherkennung „Deep Speech“, die gesprochene Sprache in geschriebenen Text umwandelt. Mit Deep Speech 0.7 hat das Projekt, hinter der eine Engine mit vielen Jahren Entwicklungsarbeit steckt, die Berechnungsgeschwindigkeit signifikant erhöht und den Speicherbedarf gesenkt. Deep Speech liefert in Englisch bereits beste Ergebnisse und könnte die Sprachsteuerung von Open-Source-Programmen revolutionieren, zumal hier keine Rechner in der Cloud benötigt werden (https://github.com/mozilla/DeepSpeech). 

Lenovo: Thinkpads mit Fedora

Der große chinesische Hardwarehersteller will seine erfolgreiche, einst von IBM übernommene Thinkpad-Serie noch attraktiver für Linux-Entwickler machen. Thinkpads, gerade die etwas älteren Modelle, genießen wegen ihrer unproblematischen Hardwarekomponenten generell gute Unterstützung in Linux-Distributionen. Diesen Heimvorteil hat jetzt auch Lenovo entdeckt und hat angekündigt, die kommenden Thinkpads X1 Carbon, P1 und P53 mit Fedora32 Workstation auszuliefern. Diese Option lässt sich statt Windows 10 im Lenovo-Onlineshop bei der Bestellung auswählen (www.lenovo.com/de/de). 

CPUs: AMD holt auf

Im Marktsegment von Gaming- und Desktop-CPUs hat AMD in den letzten Monaten dank der performanten Ryzen-Prozessoren aufgeholt und Intel erhebliche Marktanteile abgenommen. Dies zeigt eine Momentaufnahme der Verkaufszahlen des Versandhändlers Mindfactory für das erste Quartal 2020. Demnach stammen dort über 80 Prozent der verkauften Prozessoren für Desktop- und Gaming-PCs von AMD –mit dem AMD Ryzen 5 3600 auf dem unangefochtenen ersten Platz. Das ist natürlich in Relation zu sehen: Denn im globalen Gesamtmarkt lag laut den Marktforschern von Mercury Research der Marktanteil AMDs im vierten Quartal 2019 bei 18,3 Prozent, der von Intel bei 81,7 Prozent. Hersteller von Notebooks und Komplettsystemen bevorzugen weiterhin die Chips von Intel. 

China: Aktion gegen Github-User

Die chinesische Regierung ist gegen Github-Nutzer vorgegangen, die eine inoffizielle Wissensdatenbank (https://terminus2049.github.io) zum neuartigen Coronavirus aufgebaut haben. Es enthielt Material, das zuvor von den chinesischen Behörden von anderen Webseiten gelöscht worden war. Der Wirtschaftsnachrichtendienst Quartz aus Japan und USA berichtete über mindesten zwei Verhaftungen in Peking und einer weiteren verschwundenen Person in diesem Zusammenhang. Github ist eine der wenigen frei zugänglichen Webseiten in China und damit für viele zu einem Wissensspeicher geworden, der bisher der Zensur entging. 

UpdateTelegramm

Fedora 32
Mit fast schon traditioneller Verspätung erschien Ende April Fedora 32 in allen seinen Varianten. Die Hauptausgabe liefert wie immer ein Gnome, hier in Version 3.36, das anders als in Ubuntu ohne Modifikationen ausgeliefert wird, dafür aber standardmäßig mit aktiviertem Wayland-Unterbau. Der Kernel ist hier schon bei Version 5.6 angekommen (Download unter https://getfedora.org).

Manjaro 20
Es war der Monat der Linux-Neuvorstellungen: Auch Manjaro, das als Rolling Release weniger starr einer chronologischen Versionszählweise unterliegt, markierte seine neuen Hauptausgaben mit XFCE, Gnome sowie KDE Plasma in der Version 20, die alle mit dem Kernel 5.6 ausgeliefert werden. Eine wichtige Neuerung betrifft den grafischen Paketmanager „Pamac“, der nun auch Flatpaks und Snap-Pakete installieren kann (Downloads unter https://manjaro.org/download).

LXQT 0.15
Im ersten großen Update seit einem Jahr bekommt der schlanke Desktop ein eigenes Tool zum Packen und Entpacken von Archiven, eine Panelerweiterung zur Bildschirmhelligkeit sowie Hintergrundbilder für mehrere Monitore. LXQT nutzt das moderne Qt5-Toolkit und hat in Lubuntu die Nachfolge von LXDE angetreten, das nicht mehr aktiv entwickelt wird (mehr unter https://github.com/lxqt/lxqt/
releases).

True NAS 12
Die NAS-Systeme Free NAS und True NAS vereinigen sich zu einem einzigen System unter dem Namen True NAS, das nach dem Zusammenschluss in der Version 12 erscheint. Gepflegt wurden beide Systeme, die auf Free BSD basieren, von der Firma ixsystems. Mittlerweile war die Codebasis bei einer Deckungsgleiche von 95 Prozent angekommen, sodass es nicht mehr sinnvoll erschien, zwei sehr ähnliche Systeme unter unterschiedlichen Namen zu pflegen (Download unter www.freenas.org/truenas).

Tails 4.5
Das Livesystem mit vorkonfiguriertem TOR-Client zur sicheren Teilnahme am anonymisierenden TOR-Netzwerk unterstützt nun Secure Boot. Im Idealfall bootet das Surfsystem nun also auch auf vielen Firmenlaptops ohne Modifizierung der Firmwareeinstellungen (Download unter https://tails.boum.org).

Qemu 5.0
Qemu ist zugleich Emulator und Virtualisierungsumgebung. Als Emulator kann Qemu andere Plattformen nachbilden und übersetzt dabei die Prozessorinstruktionen, um etwa ein ARM-Betriebssystem auf einem X86-Rechner auszuführen. Qemu 5.0 kann jetzt auch ARMv8-CPUs emulieren und über einen Dateisystemtreiber auf ein freigegebenes Verzeichnis auf dem Hostsystem zugreifen (www.qemu.org).

Vivaldi 3.0
Der Browser im Stil von Opera ist ein Projekt des ehemaligen CEOs von Opera Software, macht nicht nur unter Linux eine exzellente Figur, sondern legt auch ein schnelles Entwicklungstempo vor. Version 3.0 integriert einen Werbeblocker und einen Trackerschutz. Zudem gibt es eine Android-Version (https://vivaldi.com/de).

Cryptomator 1.5
Die Vorstellung, Dateien unverschlüsselt in Cloudspeichern wie Dropbox, One Drive und Google Drive zu speichern, ist vielen Anwendern nicht mehr angenehm. Das Java-Programm Cryptomator 1.5 verschlüsselt Dateien in Verzeichnissen vor dem Upload oder der Synchronisation mit dem Clouddienst (https://cryptomator.org).

Kdenlive 20.04
Der nicht-lineare Videoeditor aus dem Umfeld von KDE ist in den letzten Jahren zu einem enorm aktiven Projekt avanciert, das immer wieder mit professionellen Features überrascht. Zu den neuen Features von Kdenlive 20.04 gehört ein Bewegungstracker für Clips, Multi-Kamera-Management und Rotoscoping. Ein App­image ist unter https://kdenlive.org/de verfügbar.