Sujeevan: Hallo und willkommen zu Tilpott, Episode Nummer 60. Wieder ein Runder.
Dirk: Hallo Dirk. Hallo Soutjivan.
Sujeevan: Ich meinte nicht mit Runde.
Dirk: Arsch darf man ja nicht sagen, aber denken darf ich das.
Sujeevan: Genau. Wir nehmen auf am 19. September. Es ist 19.15 Uhr.
Sujeevan: Wir sind ja wie die Lage der Nation.
Sujeevan: Veröffentlichen wir jetzt am 1. Oktober. zwei Wochen, nachdem die letzte Folge rauskam.
Sujeevan: Und das war quasi auch ein bisschen das Feedback, war schön,
Sujeevan: dass dann etwas dazwischen kam und mehr so das Feedback war,
Sujeevan: glaube ich, auch mehr oder weniger gewesen.
Sujeevan: Wir sollten es dann raushauen, wenn es fertig ist, also wenn wir genug Content auch haben.
Dirk: Genau, und Zwischenepisoden sind gar nicht so schlimm, also ruhig machen.
Sujeevan: Ja, aber meistens haben wir gar nicht so viel Content.
Dirk: Ja, oder wir haben so viel Content, den wir nicht machen wollen,
Dirk: das ist ja auch schon vorgekommen.
Sujeevan: Ja, genau. Gut, wir haben aber ein Content lange nicht mehr gemacht.
Dirk: Endlich mal wieder ein Buch-Update. Yippie.
Sujeevan: Woher wüsstest du das?
Dirk: Ja, böse Zungen behaupten, ich hätte die Planung vor mir.
Sujeevan: Ja, genau, ein Buch-Update Nummer 31. Und es ist ganz bewusst ein Buch-Update
Sujeevan: zum DevOps-Buch effektiv.
Sujeevan: Obwohl es eigentlich ein neues Buch ist.
Sujeevan: Und zwar bin ich jetzt einer von 1,
Sujeevan: 2, 3, 4, 5, 6, 7, 8 Autoren des IT-Management-Buchs vom Rheinberg-Verlag.
Sujeevan: Und da wurden quasi ich glaube zwei DevOps-Kapitel aus meinem Buch,
Sujeevan: aus meinem DevOps-Buch, wiederverwendet quasi.
Dirk: Zweitverwertet.
Sujeevan: Zweitverwertet. Genau, auf die Restrepanne.
Sujeevan: Und Und genau, deswegen habe ich jetzt noch ein Buch, wo ich als Autor dran
Sujeevan: stehe, wo ich ehrlich gesagt nicht so ganz weiß.
Sujeevan: Also ich habe den restlichen Text quasi nicht gelesen.
Sujeevan: Deswegen, aber es geht halt um IT-Management.
Dirk: Ja, verlinken wir es einfach nicht, wenn du es nicht kennst. Aber ja, alles gut.
Sujeevan: Genau, kommt am 10.10. raus. Ich kriege auch ein paar Exemplare.
Sujeevan: Wobei ich da auch eine Frage habe. ich bin ja jetzt quasi einer von vielen Autoren bei dem Buch.
Sujeevan: Und ich hatte halt mit einem, mit dem Mike, Mike Wienströer,
Sujeevan: quasi das, der ist quasi der Herausgeber, der hat auch ein paar Kapitel geschrieben.
Sujeevan: Aber er hat das quasi so federführend halt vorangetrieben. Und mit dem hatte
Sujeevan: ich halt alleine Kontakt. Zu den anderen habe ich nicht mal eine E-Mail-Adresse oder sonst was.
Dirk: Ja.
Sujeevan: Wie läuft das eigentlich bei deinem Buch? Weil effektiv seid ihr ja auch vier Leute, fünf Leute.
Dirk: Hast du für das Buch keinen Vertrag bekommen?
Sujeevan: Doch, habe ich.
Dirk: Da steht das ja drin, oder?
Sujeevan: Nein, ich meine jetzt, wie es von der Organisation für dich läuft.
Dirk: Also wir werden vielleicht machen wir dann auch noch weitere Buchupdates.
Dirk: Ich weiß nur nicht, ob wir die Nummerierung beibehalten sollten.
Dirk: Im nächsten Jahr wird es ja ein neues Adminbuch geben.
Dirk: Wir werden wahrscheinlich im November, also Mitte November, Ende November eine
Dirk: Redaktionskonferenz haben, wo wir die Inhalte festlegen.
Dirk: Und da werden wir dann auch besprechen, wer was macht, weil es steigt ja ein
Dirk: Autor aus bei uns und dann schreibt halt jeder für sich.
Sujeevan: Ja, okay, das heißt, ihr trefft euch virtuell wahrscheinlich einmal.
Dirk: Einmal, genau.
Sujeevan: Ja, und dann läuft das Rest komplett async quasi und jeder schreibt für sich.
Dirk: Genau, und wir haben eine Mailingliste, wo wir uns drüber austauschen und wo
Dirk: alle Autoren drauf sind und die einen antworten öfter, die anderen antworten weniger oft, genau,
Dirk: und wo wir dann auch fragen klären inhaltliche fragen klären oder auch formatierungs
Dirk: fragen zum beispiel klären wir werden auch ein komplett neues satzsystem machen
Dirk: wir werden nicht mehr in datech setzen sondern,
Dirk: markdown das wird leicht unterschiedlich werden und ja da tauschen uns darüber
Dirk: aus und da gucken wir dass wir vorwärts kommen und bei uns gibt es einen verteilschlüssel
Dirk: der sich nach der anzahl der seiten richtet die jeder auto genau das.
Sujeevan: Habe ich auch.
Dirk: Das habe ich.
Sujeevan: Auch da aber mir ging es auch mehr um die Organisation.
Sujeevan: Also wie plant man das zusammen? Weil sie macht ja schon wirklich was zusammen
Sujeevan: bei mir. Also wir verwenden hier, das ist okay. Ich so, ja, macht mal.
Dirk: Also bei uns ist ja so, dass jedes Kapitel komplett nur explizit für dieses
Dirk: eine Buch geschrieben wurde. Das ist ja nochmal was anderes.
Dirk: Und wir haben im Vorfeld natürlich schon relativ viel Austausch via Mail,
Dirk: aber wir wollen dann halt die drängenden Fragen durchdiskutieren,
Dirk: weil da ist dann Mail vielleicht auch der verkehrte Weg.
Dirk: Und da legen wir das dann fest. Das kommt dann auch als Vertragsanhang zu der
Dirk: neuen Auflage dazu und dann wird das dann dementsprechend umgesetzt.
Dirk: Und da legen wir auch ungefähr einen Seitenumfang fest, weil wir sind mit dem
Dirk: Adminbuch an der Seitengrenze, die bindbar ist.
Dirk: Und da müssen dann einige Leute Einschnitte hinnehmen und andere Leute können
Dirk: dann halt vielleicht mal ihr Kapitel ausführlicher machen.
Sujeevan: Gehilft dann wahrscheinlich ja auch, um ein bisschen so die Themen,
Sujeevan: die vielleicht nicht ganz so relevant sind, von den Leuten dann auch wieder
Sujeevan: wegzunehmen, wird es gemeinsam passiert und nicht.
Dirk: Ja, ich habe ein Kapitel zum FTP-Server gemacht. Also ich glaube,
Dirk: mittlerweile kann man in 2025 sagen oder 2026, dass man das getrost weglassen will, weglassen kann.
Dirk: Das wollen wir, das alte FTP-Kapitel wollen wir dann aber zum Download bereitstellen
Dirk: zum Beispiel. Solche Sachen werden dann da diskutiert.
Dirk: Einfach um auch,
Dirk: Ja, das Administrator-Kapitel ist ja auch von mir.
Dirk: So arbeitet ja heute auch keiner mehr. Das werde ich wahrscheinlich komplett
Dirk: neu schreiben müssen, um die heutige Kultur so ein bisschen zu widerspiegeln.
Sujeevan: Ja.
Dirk: Genau.
Sujeevan: Kannst du was über DevOps schreiben? Kann ich was über DevOps schreiben?
Dirk: Ja. Ich sage mal, reine Linux-Administration ist ja ein reines OS-Administrator.
Dirk: Da ist nicht ganz so DevOps, außer dass das Betriebssystem nach DevOps-Prinzipien
Dirk: weiterentwickelt wird.
Dirk: Also sprich, konfiguriert wird und aktualisiert wird.
Sujeevan: System Engineering quasi.
Dirk: Genau, das geht Richtung System Engineering, Plattform Engineering.
Dirk: Oder wie man heute sagt, Plattform Development. Genau.
Sujeevan: Ja. Genau. Genau.
Sujeevan: Ja, das IT-Management-Buch kostet 59,90 Euro. Ich glaube, euer ist das auch so teuer, oder?
Dirk: Nee.
Sujeevan: Oder ist euer sogar teurer?
Dirk: Teurer. Ich glaube, das ist mittlerweile bei 80 Euro, also 79,90 Euro, glaube ich.
Sujeevan: Ja, aber das hier ist 832 Seiten. Ich glaube, das ist ja schon an die 1000 oder so.
Dirk: 1250 oder so ist.
Sujeevan: Ja,
Sujeevan: ist ein bisschen ein kleiner Unterschied.
Dirk: Ja, und bei uns wird halt nicht so viel gelabert wie bei dir.
Dirk: Das ist dann halt auch nochmal ein Unterschied.
Dirk: Nein, Quatsch. Wir haben ja so einen Gemischtwarenladen. Das ist die einzige,
Dirk: Basis für das Thema ist, dass das,
Dirk: für das Buch ist, dass wir alle über Linux schreiben, aber letzten Endes haben
Dirk: wir ja nicht mehr Gemeinsamkeiten in dem Buch.
Dirk: Jedes Kapitel ist analog. 69, 90, ich habe mich vertan.
Dirk: Jedes Kapitel ist eigentlich in sich geschlossen und kann ohne die anderen Kapitel
Dirk: ohne Probleme gelesen werden.
Sujeevan: Ja, ein klassisches Handbuch halt mal.
Dirk: Ja, genau.
Sujeevan: 1337. 37.
Dirk: 37, verstanden. Irgendwas um die 1300 Seiten.
Sujeevan: Ja, sorgt mal dafür, dass es 1337 wird. Das wäre doch schön.
Dirk: Sind leider 1306. Aber ja, 1337 wäre schon cool. Das ist richtig, ja.
Sujeevan: Das wäre elitär.
Dirk: Wenn man das so hinkriegt auf die Seitenzahl, ja. Und sogar,
Dirk: sagen wir mal so, wenn man das gewollt auf die Seitenzahl hinbekommt,
Dirk: Das wäre natürlich schon cool, ja.
Sujeevan: Ja, du machst da noch Bilder rein oder sowas. So ein Klassiker aus Schule und Uni.
Dirk: Oder ich erzähle noch ein Schwank aus meiner Jugend, mache die Vorstellung von
Dirk: den Autoren, ja, irgendwie so. Content, den jeder lesen will.
Sujeevan: Genau.
Sujeevan: Gut.
Dirk: Prima. Dann kommen wir zum ersten Shorty.
Dirk: Mein Shorty ist Timeblocking. Timeblocking kennt, glaube ich,
Dirk: jeder. Das ist, wenn man sich vor seinen Kalender setzt und einfach in den Kalender
Dirk: einträgt, was man wann erledigen möchte.
Dirk: Das ist natürlich die triviale Form. Ich habe jetzt einen Artikel gelesen,
Dirk: den nicht ganz interessant war, der sagte, dass man sich Zeit für vier Bereiche blockieren soll,
Dirk: für einen Fokusbereich, wo man intensive Arbeit macht, wo man Admin-Aufgaben
Dirk: löst, also so Verwaltungsaufgaben, dass man Zeit für Social einplanen soll,
Dirk: also irgendwelche Sachen, wo man mit anderen Leuten was zusammen macht und einen
Dirk: Recreation-Teil einbauen soll,
Dirk: also wo man sich erholt oder wo man sich schon erholt.
Dirk: Und die Frage, die dahinter steckt, ist, dass man sich im Vorfeld überlegt,
Dirk: zu welchen Zeiten erholen wir uns?
Dirk: Wo finden wir Zeitfenster für echte Konzentrationen? Wie erledigen wir administrative
Dirk: Arbeiten und vor allem wann? Und was sind die Zeiten für Socializing?
Dirk: Das Time-Blocking würde damit auch noch in den privaten Bereich rein strahlen,
Dirk: was natürlich auch nochmal ein ganz anderer Ansatzpunkt ist.
Dirk: Ich habe mir mal überlegt, das mit Lego umzusetzen, einfach zu sagen,
Dirk: ich habe so ein grünes Lego-Brett, was so jeder kennt und würde dann halt das
Dirk: mit Steinen in verschiedenen Farben machen.
Dirk: und würde dann sagen, ein Einmal-Dreistein, also einer, der einen Baustein hoch
Dirk: ist und drei Bausteine breit ist, der würde für eine halbe Stunde stehen und
Dirk: dann einen Halbstundenblöcke in meinem Terminkalender damit belegen.
Dirk: Ich habe mir dann noch überlegt, dass mir diese vier Kategorien eigentlich zu
Dirk: wenig wären und dass ich eigentlich noch so Sachen haben möchte wie Denkzeit.
Dirk: Ich möchte einfach mir überlegen, wann kann ich mich mal hinsetzen,
Dirk: um wirklich nachdenken über Dinge.
Dirk: Also nicht nur Fokuszeit, wo ich fokussiert Arbeit tue, sondern einfach mal
Dirk: auch Zeit, wo ich mal nichts tue, sondern wirklich Zeit zum Nachdenken nutze, ab vom Computer.
Dirk: Oder Lernzeit, Zeit, wo ich Sachen lerne und diese Zeit dann auch für jede Woche fix einplanen.
Dirk: Das heißt, dass ich jede Woche, weiß ich nicht, zwei Stunden mehr explizit Zeit
Dirk: nehme, irgendwas zu lernen.
Dirk: Und bei den ganzen privaten Verpflichtungen ist mir so durch den Kopf gegangen,
Dirk: dass es gar nicht so wahnsinnig einfach ist, weil man braucht ja Zeiten für
Dirk: den Haushalt, man braucht Zeiten für Partner oder Partnerinnen,
Dirk: man braucht Zeit für Kinder oder Haustiere oder Hobby. Hobby wäre Recreation wahrscheinlich.
Dirk: so dass das da eigentlich schon relativ strammes korsett steht wenn man das
Dirk: alles wirklich im vornen dann planen möchte und dann habe ich überlegt ob das
Dirk: nicht einfach zu viel des guten ist.
Sujeevan: Ja das ist auch mein ding also ich mache es nicht manchmal sollte ich es machen
Sujeevan: also teile davon zumindest weil mein sportplan quasi macht ja sich auch bemerkbar
Sujeevan: auf den tagesplan fand ich mit Arbeit anfange oder sowas.
Sujeevan: Weil ich zuletzt zumindest eigentlich immer Morgensport mache.
Dirk: Ja.
Sujeevan: Und,
Sujeevan: ja, und das ist dann halt auch immer die Frage, ob man das jetzt explizit blocken sollte oder wie.
Sujeevan: Also zumindest ich glaube der wesentliche Punkt da ist, dass man auch feststellt,
Sujeevan: ob man zu wenig Privatkrams macht quasi.
Dirk: Also mir ist die Idee mit den Negostein gekommen, einfach du hast einen fixen
Dirk: Vorrat an Steinen, den du verplanen musst für die Woche,
Dirk: also dass du sagst, du möchtest, weiß ich nicht, jeden Tag wenigstens eine halbe Stunde Sport machen,
Dirk: dass du dann fünf von diesen Einreihern oder sieben von diesen Einreihern hast,
Dirk: den du irgendwann in deine in deinen Wochenplan aufbauen willst und dann sagst
Dirk: du dir selber als Regel, dass einer von diesen Steinen pro Tag irgendwo auftauchen muss.
Dirk: Ich glaube, das gibt dir ein ganz anderes Gefühl dafür, wie du deine Zeit verbringst an der Stelle.
Sujeevan: Ja, genau.
Dirk: Und gerade wenn du, du warst ja jetzt neulich in Frankfurt, gerade wenn du solche
Dirk: Tage hast, dann ist das ja mit der Planung dann auch nochmal deutlich schwieriger ja, ja,
Dirk: Oder wenn du sagst, jetzt in deinem Fall, du gehst ja laufen,
Dirk: wenn du in deinem Fall sagst, ich möchte, weiß ich nicht, fünf Stunden pro Woche
Dirk: laufen, dann hättest du halt zehn Steine, die du verballern musst und du weißt
Dirk: genau, an einem Tag in der Woche kannst du nicht, weil du da den ganzen Tag unterwegs bist,
Dirk: dann weißt du halt eben auch, dass du an den anderen Tagen irgendwie die Zeit unterbringen musst.
Sujeevan: Ja, genau.
Dirk: Einfach so ein haptischer Ansatz, wie man mit solchen Zeitblöcken umgehen kann.
Sujeevan: Ja, so eine Budgetierung quasi.
Dirk: Genau, genau. Man kann das sicherlich auch mit einer Excel-Tabelle machen,
Dirk: wie man fast alles mit einer Excel-Tabelle machen kann.
Dirk: Nein, man kann das sicherlich auch auf andere Art und Weise machen.
Dirk: Man kann das auch sicherlich im Kalender hin und her schieben.
Dirk: Aber ich finde gerade die Idee mit Lego, die gefällt mir ganz gut.
Sujeevan: Aber hast du es dann ausprobiert oder noch nicht?
Dirk: Nee, noch nicht. Ich suche tatsächlich noch einen Laden, wo ich mir so Lego-Steine
Dirk: einfach kaufen kann, so viel ich es brauche.
Dirk: Gibt wohl ein paar, aber von denen weiß ich, zum Teil sind das sehr dubiose
Dirk: Internetseiten, von daher weiß ich nicht, was ich so von denen halten kann.
Dirk: Wenn da einer unserer Zuhörer was kennt, wäre ich dankbar für Hinweise.
Dirk: Ich würde das gerne mal versuchen, ob das irgendwie hinhaut.
Sujeevan: Ich bin gespannt.
Dirk: Ja, ich auch. Dann gibt es einen Time-Blocking Teil 2. Nach dem Buch-Update 33 oder so.
Dirk: Genau.
Sujeevan: Gut.
Dirk: Gut, gut.
Sujeevan: Mir fiel neulich was auf und deswegen mal ein Shorty. Das ist auch halb Frage
Sujeevan: an dich, halb auch an unsere Community.
Sujeevan: Also von wegen, ich habe das Gefühl, dass früher sehr, sehr viel darüber diskutiert
Sujeevan: wurde bezüglich X ist besser als Y. Vor allem halt in dieser OSS-Bubble.
Sujeevan: Klassisches Beispiel Ubuntu versus, keine Ahnung, alles andere.
Sujeevan: wird gefühlt nicht mehr so häufig diskutiert wie noch vor ein paar Jahren.
Dirk: By the way, I use Arch, genau.
Sujeevan: Genau.
Sujeevan: Hast du das Gefühl auch?
Dirk: Es kommt immer darauf an, mit
Dirk: wem du sprichst. Ich kümmere mich ja um Linux-Desktop für unsere Firma.
Dirk: Und da gibt es schon klare Sachen. Der eine sagt, er möchte lieber Void-Linux
Dirk: haben, der andere möchte lieber NixOS haben.
Dirk: Oder der dritte möchte gerne Ubuntu haben, aber dann Ubuntu mit NixOS-Packages.
Dirk: Da gibt es solche Diskussionen schon noch, aber sie werden nicht mehr so heftig
Dirk: geführt wie früher. Das Gefühl habe ich.
Sujeevan: Ja, das war gefühlt früher immer sehr religiös.
Dirk: Ja, finde ich auch.
Sujeevan: Und das Ubuntu versus irgendeine andere Distro war ja jetzt nur ein Beispiel.
Dirk: Ja, ja, irgendeine andere Distro ist eh immer besser. Genau.
Sujeevan: Ja, ich meine, gleich ist wie Android versus iPhone oder sowas.
Dirk: Ja.
Sujeevan: Mittlerweile ist das auch in der OSS-Bubble, und ich spreche jetzt vor allem
Sujeevan: von der OSS-Bubble, sehr durchmischt.
Dirk: Ich glaube aber auch, dass ein Teil dem geschuldet ist, dass wir älter geworden sind.
Dirk: Ich glaube, das sind so Phasen, in denen solche Sachen relativ häufig diskutiert
Dirk: werden. Und da sind wir, glaube ich, rausgewachsen.
Sujeevan: Ja, ich glaube auch, dass es so ein bisschen, wenn es was Neues ist,
Sujeevan: dass es dann noch mal ein bisschen was anderes ist.
Sujeevan: Weil das Thema iPhone, Android oder Buntu irgendwas, wenn das noch relativ neu
Sujeevan: ist, dann wird sowas halt diskutiert.
Sujeevan: Nach einer Weile halt weniger. Ansible Puppet wird gefühlt auch nicht mehr diskutiert.
Dirk: Also vielleicht ist das auch ein Zeichen, dass die ganzen Themen im Mainstream angekommen sind.
Dirk: Und dass man im Mainstream sich halt die Wahl zwischen zwei ähnlich guten Lösungen hat.
Sujeevan: Ja. Ja, ich meine, ein paar andere Sachen gibt es ja auch nochmal so, die Lizenzthematiken.
Sujeevan: Gefühl ja auch viel mehr diskutiert, ob und unter welcher Lizenz eine bestimmte Software steht.
Sujeevan: Mittlerweile ist das Gefühl so, Hauptsache ist es irgendeine Open-Source-Lizenz. Ja.
Dirk: Ja, wobei ich da schon häufiger mal gehört habe, dass viele Leute sagen,
Dirk: GPL sonst gar nichts. Das höre ich auch immer noch häufig.
Sujeevan: Ich nicht.
Dirk: Oder dass die Leute sagen, dass Apache-Dizinsen nicht so gut sind,
Dirk: aber ich glaube, das hat sich mittlerweile auf so Statements verkürzt,
Dirk: also nicht auf religiös geführte Diskussionen, sondern mehr auf Statements.
Sujeevan: Genauso wie Gloom versus KDE versus, keine Ahnung, irgendein Tiling Window Manager.
Dirk: Momentan ist doch Hyperland der Große.
Sujeevan: Ich habe es bis vor ein paar Tagen nie von was gehört.
Dirk: Ja, der Groß, die neue große Sau, die durchs Dorf getrieben wird.
Sujeevan: Genau, so wie Python versus Ruby, auch so ein Ding.
Sujeevan: Ich glaube, Python hat sie da deutlich verbreiteter als Ruby heutzutage.
Dirk: Ja, ich habe zu allem eine Meinung, klar.
Sujeevan: Ja.
Dirk: Ich bin mit Ruby nie so gut zurechtgekommen, also von daher wäre es für mich
Dirk: da auch eher Python, aber ich glaube, ich muss dir recht geben,
Dirk: gefühlt gibt es diese religiösen Kriege da nicht mehr.
Dirk: Also ein Python vs. Ruby Auseinandersetzung habe ich glaube ich noch nie gehabt.
Dirk: Eher so Python vs. Pearl.
Dirk: Aber da es mit Pearl so irgendwie gar nicht weitergeht und das neue Pearl 6,
Dirk: also das Raku, mehr oder weniger Nischen-Dasein, führt jetzt die Diskussion da auch nicht mehr da.
Sujeevan: Ja. Das letzte, was mir noch einfiel, war Wim vs. EMAX.
Dirk: Das ist gerade eine Frage. Was war das Zweite, was du gesagt hast?
Sujeevan: Ja, ich verstehe diese Diskussion auch nie. So, Wim versus EMAX,
Sujeevan: was ist besser? Ich meine, das ist doch so einfach. Natürlich ist Wim besser.
Dirk: Natürlich. Ja, wobei ich da jetzt häufiger schon gehört habe,
Dirk: dass viele Leute auf Neo-Wim schwören.
Sujeevan: Ja, das ist jetzt für mich eine Kategorie quasi.
Dirk: Aber das ist Wim versus Neo-Wim. Also das höre ich auch.
Sujeevan: Achso, ja, gut. Aber mehr so von wegen, die Leute zu überzeugen,
Sujeevan: auf das Modernere zu gehen.
Sujeevan: Und nicht unbedingt, weil Wim doof ist, sondern einfach nur,
Sujeevan: hey, das ist die logische Weiterentwicklung.
Dirk: Ja, und wie ich es gehört habe, ist bei Neo Wim ein Language Server dabei,
Dirk: was natürlich schon einige Vorteile bringt. Ja, aber ja.
Dirk: Aber ich benutze immer noch den Plain Wim.
Dirk: Nein, falsch. Wim Extended oder Wim Enhanced heißt ein bestimmtes Betriebssystem.
Sujeevan: Ja.
Dirk: Genau. Ich habe den gleichen Eindruck.
Dirk: Die Diskussionen sind viel, viel stärker auf einer sachlichen als auf einer
Dirk: emotionalen Ebene statt.
Sujeevan: Ja.
Sujeevan: Und das mit dem Erwachsenerwerden, du bist auch, keine Ahnung,
Sujeevan: wie viele Jahre älter als ich.
Dirk: 24, irgendwie so.
Sujeevan: Irgendwie sowas. Aber das heißt ja nicht, dass die Diskussion gab es ja noch, als du 50 warst.
Dirk: Ja, das stimmt schon. Aber heute weiß ich ja, was besser ist,
Dirk: da brauche ich ja nicht mehr drüber diskutieren.
Sujeevan: Genau.
Dirk: Nein, aber ja, es ist schon richtig. Aber ich habe das Gefühl,
Dirk: die meisten interessiert es auch gar nicht mehr.
Sujeevan: Ja.
Dirk: Also es ist eher wichtig, dass du ein Konfigurationsmanagement-Tool einsetzt
Dirk: und das ist egal, welches Tool du benutzt, Hauptsache du benutzt eins.
Sujeevan: Ja, genau, das ist auch meine Devise. Es ist besser, Puppet oder Ansible zu
Sujeevan: verwenden oder ein Mix aus beidem als Bash-Skript zu schreiben.
Dirk: Ja, also wenn ich zwischen den beiden die Wahl habe, würde ich auch beides nehmen.
Dirk: Puppet zum Konfigurieren und Ansible zum Deployen.
Sujeevan: Genau hat beides irgendwie seine Vorteile.
Dirk: Finde ich und für den Dienstest, da habe ich mir Solstack überlegt um noch einen
Dirk: anderen ins Rennen zu schicken, weil Solstack einige Features hat,
Dirk: die ich ziemlich klasse finde, die ich ziemlich gut finde.
Sujeevan: Und da gibt es ja noch Polumi und Chef.
Dirk: Polumi ist eher ein Konkurrent zu Terraform.
Sujeevan: Ah.
Dirk: Stimmt, ja Ja, oder wie heißt das mit C? Gab es auch noch mal was?
Sujeevan: Cloudformation.
Dirk: Cloudformation? Nee, ich meine, das wäre was anderes.
Sujeevan: Also Terraform.
Dirk: Naja, heißt es Cloudformation? Ich dachte, das wäre was anderes.
Dirk: Klingt jetzt nicht so bekannt für mich.
Sujeevan: Cloudfoundry.
Dirk: Nein, auch nicht.
Sujeevan: Nee, Moment, das ist die Kubernetes. Egal.
Sujeevan: Genau, aber Chef unter den normalen,
Sujeevan: in der Configuration Management-Kategorie.
Dirk: Ja.
Sujeevan: Genau. Ja, oder auch IDEs ja auch, IntelliJ versus Visual Studio Code versus irgendwas.
Sujeevan: Jeder nutzt, glaube ich, so das Ding, weil das alles irgendwie mehr oder weniger
Sujeevan: das Gleiche tut. Und das war's.
Dirk: Ja, also da höre ich auch, da finde ich auch ganz spannend, dass sich da schon
Dirk: fast VS Code quasi als Standard durchgesetzt hat, dass alle anderen nahezu Nischen-Dasein
Dirk: führen, meiner Meinung nach.
Sujeevan: Ja, kennst du doch Notepad++? Ja. Die Älteren erinnern sich.
Dirk: Oder UltraEdit?
Sujeevan: UltraEdit gibt es für Mac.
Dirk: Gibt es auch für Linux, gibt es auch für Windows?
Sujeevan: Achso, ich weiß nicht, dass das bei dem Artikel für die Max-Zeitschrift,
Sujeevan: den ich neulich geschrieben habe, da sollte ich das nochmal irgendwie,
Sujeevan: war das wohl Traded? Ich glaube, ja.
Dirk: Ja, kann sein.
Sujeevan: Ja, aber ja, wir finden ganz viele Beispiele.
Dirk: Das mit C, was ich gesucht habe, ist Crossplane.
Sujeevan: Ah, ja, ja.
Dirk: Live für Sie gesucht, genau.
Sujeevan: Genau, hatten wir auch mal in der Folge erwähnt übrigens.
Dirk: Ja, ich glaube auch. Wir erwähnen so viel.
Sujeevan: Genau. Gut.
Dirk: Gut, gut.
Sujeevan: So viel dazu. War mehr so eine Feststellung, als was ich eigentlich ganz angenehm finde.
Dirk: Aber es ist eine Sache, die du gelernt hast. Von daher passt es ja schon ganz gut. Ja, genau.
Sujeevan: Ich weiß noch, damals fällt mir gerade ein, wo noch immer so,
Sujeevan: ich nutze Ansible und Puppet auszurollen. Witze.
Dirk: Ja, ja. Ja.
Dirk: Ja, weiß ich nicht. Manches ist doch spätpubertäres Gehabe irgendwie,
Dirk: oder? Deswegen meinte ich, wir sind da rausgewachsen.
Dirk: Ich muss auch gestehen, mich interessieren so,
Dirk: ja, ich mag jetzt den Kriegsvergleich nicht ganz so, aber mir fällt jetzt gerade
Dirk: keine Alternativen ein. Mir gefallen so Kriegsgeschichten nicht.
Sujeevan: Ja.
Dirk: Wo dann jeder so die Anekdoten aus seinem Beruf erzählt und die alle irgendwie
Dirk: auch schon 20 oder 30 Mal gehört haben oder jeder so in einer bestimmten Art und Weise erlebt hat.
Dirk: Da bin ich mittlerweile auch raus, merke ich immer mehr.
Sujeevan: Ja.
Sujeevan: Gut, so viel dazu.
Dirk: Ja.
Sujeevan: Kommen wir zu unserem Hauptthema. Und zwar bin ich mir immer noch so ein bisschen
Sujeevan: unsicher, wie ich das Thema genau nennen soll, weil eigentlich ist das so ein
Sujeevan: bisschen Software Supply Chain Security, aber eigentlich geht es mehr um die,
Sujeevan: also heute für uns jetzt vor allem um die Absicherung des eigenen Software Delivery Life Cycles.
Sujeevan: Weil mir fiel es auf, dass es sehr, sehr viele Sachen gibt, die man absichern
Sujeevan: sollte im ganzen DevOps Life Cycle, wenn man quasi alle Stages mal durchguckt,
Sujeevan: wenn man sicher gehen will, dass kein Schindluder betrieben wird.
Dirk: Endlich mal wieder eine Sache, von der ich keine Ahnung habe. Genau.
Sujeevan: Und deswegen habe ich jetzt ganz, ganz viele Punkte mitgebracht,
Sujeevan: die wir mal ein bisschen durchdiskutieren sollten.
Sujeevan: Und wahrscheinlich gibt es da noch ganz viele Sachen, die ich vergessen habe,
Sujeevan: die man auch betrachten sollte.
Sujeevan: Weil theoretisch kann man da richtig viel zu konfigurieren
Sujeevan: schreiben machen wichtig ist
Sujeevan: jetzt vor allem mir geht es jetzt darum dass
Sujeevan: es um echte projekte geht in firmen in open source projekten oder sowas wo und
Sujeevan: jetzt nicht so die hobbyprojekte die ich allein die ich oder du alleine machen
Sujeevan: das ist jetzt weniger relevant sondern wirklich die die die wo es auch hinterher
Sujeevan: am ende irgendwelche nutzer gibt die das ganze dann nutzen.
Dirk: Und du meinst auch Sachen, wo am Ende eine Software rausplumpst und nicht wo
Dirk: eine Plattform am Ende rausfällt, oder?
Sujeevan: Naja, kommt drauf an, wie du jetzt in dem Fall Plattform definierst.
Dirk: Plattform als Basis von Dingen, wo auf die andere Software laufen können.
Sujeevan: Ja.
Dirk: Richtung Infrastruktur.
Sujeevan: Ja, okay. Da ja auch. Wenn der Software entwickelt wird, dann auch.
Dirk: Nein, aber du willst, ja, missverständlich ausgedrückt.
Dirk: Fangen wir einfach an.
Sujeevan: Genau, weil der Gedanke kam ja neulich häufiger mal, wenn wir mal so ein bisschen
Sujeevan: gucken, gibt es ja immer mal wieder so Fälle, wo irgendwelche User eine ProDatenbank
Sujeevan: mal gelöscht haben, obwohl sie es gar nicht sollten.
Sujeevan: Beziehungsweise durften. Und da stellt sich natürlich auch immer die Frage,
Sujeevan: okay, warum ist das jetzt passiert?
Sujeevan: Und wie kann man das verhindern?
Sujeevan: Wovon das bei mir aber eigentlich kam, ist die ganze Thema um AI-Agents.
Sujeevan: Weil das war ja neulich auch wieder in der Diskussion, gab es einen Artikel
Sujeevan: auch wieder, dass irgendwer den Wipe-Coding-Dienst Replit genutzt hat,
Sujeevan: den ich auch nicht kannte.
Sujeevan: Und ja, das sprießt ja auch alle drei Tage auf etwas Neues aus dem Boden.
Sujeevan: wo dann das die AI oder das LLM dann die ProDatenbank gelöscht hat und der User
Sujeevan: hat dann auch nachgefragt LLM, warum hast du denn das getan?
Sujeevan: Da kam dann irgendwie so eine Antwort zurück von wegen so, ja ich bin in Panik
Sujeevan: ausgebrochen und hab's dann irgendwie gelöscht und irgendwie sowas dann halt
Sujeevan: und dann denkst du, alter, was?
Sujeevan: Das eine ist natürlich klar, man könnte jetzt die ganze Zeit mehr keine AI-Agents
Sujeevan: hier und da, vor Nachteile, bla bla bla.
Sujeevan: Ich finde aber, man sollte auch ein bisschen gucken. Ich glaube schon,
Sujeevan: dass das ein Ding ist, was sich durchsetzen wird zu einer gewissen Art und Weise.
Sujeevan: In welcher Art und Weise wird sich noch zeigen.
Sujeevan: Aber es werden wahrscheinlich immer wieder irgendwelche Agents geben,
Sujeevan: die man auf den Source-Code loslässt, der dann was tun soll.
Sujeevan: Und wenn wir jetzt mal gucken, wie können wir auf der ganzen Software-Delivery-Lifecycle
Sujeevan: was absichern, damit sowohl normale Nutzer als auch AI-Agents nichts kaputt machen können.
Dirk: Ich habe bei AI-Agents, die würde ich ein bisschen raushalten wollen,
Dirk: weil ich glaube, wir müssen ein Verständnis dafür bekommen, dass wir die nicht
Dirk: ohne Kontrolle irgendwas machen lassen.
Sujeevan: Genau.
Dirk: Ja, also da muss immer noch irgendwie, wir haben ja, bei Vibe-Coding-Ingenieur
Dirk: hat der Stefan mal irgendwo in Mastodon geschrieben.
Dirk: Ich finde den Vibe-Cleaning-Ingenieur auch ganz witzig, die Leute,
Dirk: die halt hinter den Vibe-Coding-Ingenieurs aufräumen.
Dirk: Also ich glaube, wir müssen einfach verstehen, dass das ein Werkzeug ist und
Dirk: dass das je nach Fragestellung sogar ein sehr schlechtes Werkzeug ist und dass
Dirk: das einfach überprüft werden muss, dass man das nicht alleine machen lassen darf.
Sujeevan: Genau, aber wo ist jetzt der Unterschied zu einem echten Menschen?
Dirk: Dass ich beim echten Menschen, also kommt auch auf die Größe des Menschen an,
Dirk: ein echter Mensch mit drei Jahren, den würde ich auch ständig überprüfen,
Dirk: einen echten Menschen mit, weiß ich nicht, 20 Jahren Berufserfahrung,
Dirk: da würde ich nicht so stark kontrollieren.
Sujeevan: Genau, und da kommt natürlich die Frage, was heißt Kontrolle genau?
Sujeevan: Und genau darüber reden wir jetzt über die einzelnen Punkte,
Sujeevan: weil es kommt jetzt sehr stark auf die einzelnen Punkte an.
Sujeevan: Weil das Erste, was nämlich mal so angeht, ist die Berechtigung auf dem Repository.
Sujeevan: Wir machen jetzt in dieser Episode erstmal nur den CI-Part quasi,
Sujeevan: was quasi Source-Code-Management, Bild und Test ist.
Sujeevan: Alles, was danach kommt, machen wir wahrscheinlich in der nächsten Folge oder
Sujeevan: vielleicht auch danach mal.
Dirk: Für welches INCI hast du dich entschieden?
Sujeevan: Integration.
Dirk: Okay. Nicht Implementation.
Sujeevan: Achso, nee. Ich dachte an CI, CD, deswegen.
Dirk: Ja, aber es gibt auch da verschiedene Spielformen. Deswegen habe ich jetzt gefragt. Integration. Gut.
Sujeevan: Genau, so die Berechtigung ist
Sujeevan: natürlich ein großes Thema. Das zieht sich eigentlich durch alles durch.
Sujeevan: Das ist aber so ein bisschen schwierig, das aufzudröseln in allen.
Sujeevan: Deswegen müssen wir da so ein bisschen unterscheiden.
Sujeevan: Das fängt schon damit an, wer darf Repositories anlegen.
Sujeevan: Weil dahinter ist ja meistens eine Owner-Rolle, der halt alles darf.
Sujeevan: Ein normaler User. Was auch nicht so toll ist, weil dieser kann meistens dann
Sujeevan: halt alle Sicherheitsmechanismen, über die wir gleich sprechen werden, wieder abschalten.
Sujeevan: Ob jetzt Bewusstse oder Unbewusstse, erst mal dahingestellt.
Sujeevan: Aber das ist nicht so praktisch.
Sujeevan: Deswegen muss man eigentlich, und das machen viele Firmen auch,
Sujeevan: die einen quasi Bestellprozess für Repositories auch haben, wo es dann keinen
Sujeevan: normalen Nutzer gibt, der Unerrichte hat.
Sujeevan: und sondern halt maximal maintainer recht oder sowas hat um eben sicherheitsmechanismen
Sujeevan: nicht abschalten zu können das kommt dann für oder halt auch repositoris löschen
Sujeevan: können weil theoretisch wenn du ohne recht an einem repo hast kannst du es halt
Sujeevan: wieder weglöschen ungünstig.
Dirk: Wir reden aber von repos die irgendwas produziert wo irgendwas verwaltet wird
Dirk: was später auch in produktion gehen sollen.
Sujeevan: Weil generell.
Dirk: Ist ja ein repo gar kein schlechtes ding also wenn ich jetzt für meine privaten
Dirk: Dot, falls ein Reeper wollte, müsste es ja nicht so ein Laubprozess durchlaufen.
Sujeevan: Genau, da müssen wir unterscheiden zwischen echten Projekten.
Sujeevan: Deswegen sollten die Rechte dann auch nur für eine bestimmte Gruppe geben,
Sujeevan: wo quasi alle relevanten Sachen drin sind.
Sujeevan: Du kannst ja deinen privaten Kran quasi, und mit privat heißt das jetzt,
Sujeevan: was du für deine Arbeit brauchst, kannst du ja in deinem privaten Profil hinterlegen und gut ist.
Dirk: Ja, einverstanden, passt.
Sujeevan: Wobei mir auch gerade auffällt, theoretisch kannst du damit dann ja auch wieder was umgehen.
Dirk: Ja, es kommt auf ein, ob du dahinter die Pipelines anbinden darfst.
Dirk: Da gibt es ja auch nochmal eine Möglichkeit, durch Berechtigung Dinge zu steuern.
Sujeevan: Genau, und ob du irgendwo hin deployen darfst, das musst du natürlich abgrenzen,
Sujeevan: aus welchen Dingen das kommt.
Sujeevan: Aber deswegen, man merkt jetzt schon, dass es gar nicht so einfach,
Sujeevan: wenn man wirklich alles betrachten möchte.
Sujeevan: Ohne die Berechtigung so stark einzugrenzen, dass es keinen Sinn mehr macht, das zu nutzen.
Dirk: Ich war jetzt gerade kurz versucht zu sagen, das geht so ein bisschen nach gesunden
Dirk: Menschenverstand, aber ich habe leider im Berufsleben erfahren,
Dirk: dass es sowas wie gesunden Menschenverstand einfach gar nicht gibt.
Sujeevan: Genau. Deswegen meinte ich dann halt auch, es ist dann auch egal,
Sujeevan: ob es ein AI-Agent ist oder ein
Sujeevan: normaler Mensch, wenn jemand Schindluder betreiben will, kann er es tun.
Sujeevan: Was ja auch nochmal hinzukommt, ist, wenn dein User-Account komprimitiert wurde,
Sujeevan: das kann jetzt einfach nur, weil jemand deine Zugangsdaten hat und kein Two-Factor
Sujeevan: Authentication Vielen Dank.
Sujeevan: aktiviert wurde, auch ein Ding, was man machen sollte, sind wir eigentlich immer
Sujeevan: noch beim User-Management, kann dein Account ja übernommen werden und kann Dinge
Sujeevan: tun mit den Berechtigungen, die du hast.
Sujeevan: Deswegen, je weniger Rechte du hast, aber die du trotzdem benötigst,
Sujeevan: desto weniger kann kaputt gehen natürlich.
Dirk: Was es natürlich gibt und was häufig gemacht wird, ist, dass es einen User gibt,
Dirk: mit dem du tagtäglich arbeitest und meinetwegen auch Software entwickelst.
Dirk: Und dass es auch einen User gibt, mit dem du Admin-Aufgaben durchführen kannst.
Dirk: Und die User sind voneinander getrennt.
Dirk: Beide sind auf dich als Person zurückzuführen.
Sujeevan: Genau. Ja, so war es bei GitLab auch.
Sujeevan: Da hat er dann das Team, was sich um die Security gekümmert hat bei Incidents.
Sujeevan: Also um tatsächlich Security-Incidents. Die hatten dann halt nicht deren normalen
Sujeevan: Account genutzt, sondern haben sich nochmal zusätzlich über einen separaten Account,
Sujeevan: authentifiziert, um auf die ganze GitLab.com-Instanz zugreifen zu können,
Sujeevan: was sie mit dem normalen Account halt nicht können.
Dirk: Das ist das gängige Praxis, das kenne ich auch so, ja.
Sujeevan: Genau. Und sowas muss man hier natürlich auch betrachten, dass dann dieser technische
Sujeevan: User dann halt nur dafür genutzt wird und dann auch stark reguliert wird.
Sujeevan: Wie genau man das jetzt technisch umsetzt, ist sogar egal, das soll ja auch
Sujeevan: kein Beispiel sein, ob jetzt GitLab, GitHub oder sonst was.
Sujeevan: Aber so der Gedanke, es sollte halt ein bisschen klar sein.
Sujeevan: Und dann kommen wir nämlich ja auch nochmal dazu, dass wenn du dein User-Account,
Sujeevan: komprimitiert worden ist, das kann ja auch sein, wenn du ein Token hast, ein API-Token,
Sujeevan: der deine Berechtigung hat.
Sujeevan: Damit gehen die meisten Sachen halt eher kaputt, dass da irgendwo was geleakt ist.
Sujeevan: Und dann hat man ja auch wieder Zugang auf einen vollen Account.
Sujeevan: Da kann was kaputt gehen.
Sujeevan: Deswegen ist es immer schön und gut, wenn man da sagt, ja, ich vertraue meinen
Sujeevan: Mitarbeitern und bla bla, aber ja, dann ist irgendwo ein Credential geleakt, schlecht.
Sujeevan: Und das gibt es auch nochmal ordentlichen Token Policy, dass die regelmäßig
Sujeevan: rotiert werden müssen, dass wenn die auch ein paar Monate raus sind,
Sujeevan: dass sie dann nicht zu einem Problem werden.
Dirk: Ja.
Sujeevan: Weil einige AI Sachen, die hängen sich ja auch einfach an den normalen Account
Sujeevan: dran und dann hast du es dann auch wieder den normalen User Account,
Sujeevan: den er da nutzt. Ist dann auch nicht unbedingt praktisch.
Sujeevan: Und da gibt es wahrscheinlich noch ganz viele aus den Sachen,
Sujeevan: aus den Berechtigungen. Wir machen jetzt mal weiter, weil ansonsten werden wir heute nicht fertig.
Dirk: Ja, klar.
Sujeevan: Weil wenn wir jetzt mal gucken und sagen, okay, wir möchten jetzt den Coding-Teil
Sujeevan: machen, dann fangen wir ja an, Code zu schreiben.
Sujeevan: Und da ist aber relativ normal, würde ich sagen, dass es diverse Branche-Protection-Rules gibt.
Sujeevan: Also was machen wir mit diesen Branches, wo, was der Hauptentwicklungszweig ist.
Sujeevan: sei es Main, sei es Develop oder wie auch immer der genau heißt und da ist es
Sujeevan: halt eher wichtig, dass das alles nur nach einem Review zu dem Branch läuft,
Sujeevan: sodass dann halt nach einem Review jemand anderes, also nach einem Merch oder
Sujeevan: Pull-Request jemand das abnicken muss,
Sujeevan: eine andere Person, nicht man selbst das wäre dann auch ein bisschen sinnlos,
Sujeevan: dass man keinen direkten Push auf den Main oder Develop-Branch machen kann,
Sujeevan: dass man keinen Force-Push machen kann und dass man so dann halt die normalen
Sujeevan: Branches dann auch entsprechend schützt,
Sujeevan: und das alles nur über ein Code-Review laufen muss.
Sujeevan: Das würde ich sagen, ist schon relativ Standard.
Sujeevan: Viele haben aber zwar einen Review-Prozess drin, aber theoretisch kann man den
Sujeevan: umgehen und selbst Sachen merchen. Das sehe ich dann trotzdem immer noch häufig.
Dirk: Ja, da habe ich auch schon erlebt, dass wenn zu viele Merch-Requests kommen,
Dirk: dass dann auch nicht mehr in den Merch-Request selber reingeguckt wird.
Dirk: Also da muss man glaube ich auch relativ,
Dirk: klar sein, was man alles gemercht haben möchte oder wie man da eine Policy hat.
Dirk: Also wenn man alle fünf Minuten Merge-Requests hat, dann guckt da keiner mehr rein.
Sujeevan: Ja, oder wenn die halt so groß sind, dass die nicht reviewbar sind.
Dirk: Ja, also du meinst, spielt sie in Richtung Atomic Changes, ne?
Dirk: Also dass man relativ kleine Atomara-Changes macht, ja.
Sujeevan: Genau, aber es macht auch keinen Sinn, wenn du zehn verschiedene Merge-Requests für ein Thema hast.
Dirk: Ja, auch das habe ich schon gesehen, ja.
Sujeevan: Ja, das ist irgendwo der Mittelgrund, aber lass uns mal nicht zu sehr darauf
Sujeevan: fokussieren, aber einfach nur, dass dieser Sicherheitsaspekt darauf halt mal
Sujeevan: gucken, dass wir das dann haben.
Sujeevan: Was mir dabei aber noch auffiel ist, naja, es ist ja schön, wenn wir die normalen
Sujeevan: Branches gesichert haben,
Sujeevan: also die langlebigen Branches, aber eigentlich kann es ja auch ein Problem sein,
Sujeevan: wenn ein Feature-Branche, wo ich ein paar Tage daran gearbeitet habe,
Sujeevan: wenn der von wem anders gelöscht wird.
Sujeevan: Klar, du kannst, hängt es natürlich auch ab, wie es eingerichtet ist,
Sujeevan: weil wenn ich jetzt, wenn nur ich das selbst löschen kann, dann ist ja alles
Sujeevan: gut, wenn aber theoretisch anders hingehen kann und das löschen kann,
Sujeevan: was häufig der Fall ist, dann ist das irgendwie nicht ganz so praktisch.
Sujeevan: Und theoretisch, wenn du streng bist, müsstest du das auch reinschränken.
Sujeevan: Also klar, wenn jeder mit seinem eigenen Repository arbeitet,
Sujeevan: dann ist das weniger das Problem.
Sujeevan: Aber wenn halt alle auf demselben Repository arbeitet, was ein bisschen Overhead
Sujeevan: verringert, dann müsste das gemacht werden. Also wenn man nicht mit Forks arbeitet.
Sujeevan: Genau. Theoretisch gibt es da wahrscheinlich doch ganz viele Sachen zu gucken.
Sujeevan: Da hat man natürlich eventuell das Problem, dass angenommen,
Sujeevan: es ist irgendein Incident da und du hast das Problem, dass jemand,
Sujeevan: dass nur einer da ist und du musst jetzt aber um Prot zu fixen irgendein Deployment
Sujeevan: machen und ein Commit machen, da ist kein Reviewer da. Was machst du dann?
Dirk: Einen Reviewer besorgen oder ich mache das ding also entweder ich lebe das oder ich lebe es nicht.
Sujeevan: Genau aber da sind wir effektiv eigentlich
Sujeevan: wieder bei dem punkt was auch vorhin hatten ist es könnte dann ja auch immer
Sujeevan: noch einen separaten technischen user geben oder einen user mit mehr rechten
Sujeevan: geben wo man sich einloggen könnte wenn für den fall aber dann muss es natürlich
Sujeevan: auch ordentlich gelockt werden und geguckt werden oder benachrichtigt werden
Sujeevan: wenn sich jemand einloggt und da was er prüft ja.
Dirk: Aber vielleicht muss es dann noch sowas geben wie ein Team Lead on Duty oder
Dirk: sowas oder Manager on Duty, der sich um solche Sachen dann auch kümmern kann,
Dirk: wenn es wirklich in Bereitschaftszeiten passiert.
Sujeevan: Ja. So richtig geguckt habe ich jetzt auch nicht, wie das andere machen,
Sujeevan: aber so in die Richtung muss es dann letztendlich dann auch gehen.
Sujeevan: Hängt natürlich auch ab, wie groß das Unternehmen ist oder sonst was, ne?
Dirk: Ja, und von der Kritikalität der Anwendung hängt es natürlich auch ab. Gar keine Frage, ja.
Sujeevan: Genau, und da kommen wir nämlich auch zu dem nächsten Punkt direkt.
Sujeevan: Bei den Code-Reviews, wenn man sich mal genauer die Änderungen anguckt,
Sujeevan: kann man den Code ja auch nochmal unterteilen in wer muss das erproben?
Sujeevan: Muss es eine Random-Person sein aus dem Team?
Sujeevan: Muss es vielleicht mehrere sein? Das macht ja auch Sinn. Oder müssen es bestimmte Leute sein?
Sujeevan: Weil es gibt sowohl in GitLab als auch in GitHub und ich glaube bei den anderen
Sujeevan: wahrscheinlich auch eine Code-Owners-Datei.
Sujeevan: Wo du halt sagen kannst, wie alle Changes, die im Doc-Verzeichnis sind,
Sujeevan: muss das Technical-Writing-Team abnicken.
Sujeevan: Alles, was unter dem anderen Verzeichnis ist, muss bestimmte andere Personen
Sujeevan: oder Personengruppen abnicken und so weiter.
Sujeevan: Das kann natürlich dann auch hilfreich sein, die richtigen Personen zu haben,
Sujeevan: weil es bringt halt dann auch nichts, wenn sie die Falschen sind.
Dirk: Ja, vor allem wenn jemand, der nur in einer Sprache programmiert,
Dirk: Merge in einer anderen Sprache abnicken soll, das ergibt auch keinen Sinn.
Sujeevan: Ja, genau. Und was man dann halt auch immer machen sollte oder müsste konfigurieren
Sujeevan: ist, ist auch vergleichsweise Kleinigkeit, meistens ein Haken.
Sujeevan: Naja, der Autor selbst darf nicht seine eigene Matriquests approfen,
Sujeevan: das aber auch keinen Sinn macht.
Sujeevan: Und wenn du einen neuen Push machst auf den Branche, wenn du eine neue Änderung
Sujeevan: pusht, dass sich dann die Approvals wieder resetten.
Sujeevan: Ist meistens auch nur ein Klick auf ein Config Change.
Dirk: Ja, also ehrlicherweise muss ich sagen, ich wusste gar nicht,
Dirk: dass das konfigurierbar ist, aber es ergibt total Sinn, ja.
Sujeevan: So, was dann da jetzt noch hinzukommt, ist, dann hatte ich halt auch so überlegt,
Sujeevan: naja, eigentlich, wenn du jetzt so das nach Zero Trust guckst,
Sujeevan: dürften die Rechner, lokalen Rechner ja auch nicht,
Sujeevan: vertraut werden. Weil du kannst ja einen Agent einfach über deinen User-Account
Sujeevan: auf deinem Laptop installieren und laufen lassen.
Dirk: Wenn du die Rechte hast, hast du das auf deinem Laptop zu tun.
Sujeevan: Genau.
Sujeevan: Beziehungsweise kann ja auch passieren, dass nur weil du in einem Repo arbeitest,
Sujeevan: mit deinem AI-Agent, dass er ausbricht, auf einmal in das Nachbarverzeichnis
Sujeevan: geht und da Dinge tut und Dinge kaputt macht. Und halt auch dann Brunches pusht oder sowas.
Sujeevan: Und da müsste man, wenn man streng ist, das eigentlich auch komplett abschotten.
Sujeevan: Also richtig abkapseln, sodass die Repos nur für sich alleine sind,
Sujeevan: wo du nicht ausbrechen kannst.
Dirk: Also in Sandboxes zum Beispiel, oder?
Sujeevan: Genau. Da gibt es auch so Dienste wie Gitpod. Gitpod hat sich neuerdings umbenannt,
Sujeevan: weil die jetzt auch ganz viel AI machen.
Dirk: Entschuldigung, ja.
Sujeevan: Die haben auch ihre eigenen AI-Agents. Genauso wie GitLab, genauso wie GitHub,
Sujeevan: genauso wie alle anderen auch.
Sujeevan: Und ich habe ganz bewusst die drei genannt, weil alle haben halt diese Remote
Sujeevan: Development Capabilities,
Sujeevan: wo du effektiv eine IDE, was in der Regel Visual Studio Code oder ein Fog davon ist,
Sujeevan: im Browser hast, wo die Container, die du dafür laufen lassen musst,
Sujeevan: um deinen Dienst zu entwickeln, dass die halt auch auf einem Kubernetes zum
Sujeevan: Beispiel im Backend laufen,
Sujeevan: dass du lokal quasi eigentlich nur einen Thin-Client hast und dass die ganze
Sujeevan: Entwicklung, die du halt machst, in dieser Umgebung abläuft,
Sujeevan: die halt einfacher zu handeln und zu abzusichern ist, als jetzt dein,
Sujeevan: Laptop, mein laptop wie auch immer kann man
Sujeevan: auch machen ja vorteil da
Sujeevan: ist halt dass es halt auch einfacher steuern kannst du dann noch irgendwelche
Sujeevan: reporting auditing logging dann noch mit reinbauen will was wer wie gemacht
Sujeevan: hat kannst du theoretisch dann ja auch noch mit einbauen praktisch weiß ich
Sujeevan: nicht ob das schon jemand überhaupt gemacht hat ginge halt ja rein theoretisch
Sujeevan: einfacher als jetzt lokal.
Dirk: Ja, es kommt davon, wie es konfiguriert ist. Ich kümmere mich ja gerade ziemlich
Dirk: intensiv um das Workplace-Thema.
Dirk: Und es gibt Möglichkeiten, dass du die Compliance eines Gerätes testest, sehr ausführlich.
Dirk: Und nur Geräte, die compliant sind, dürfen mit Conditional Access auf bestimmte Dinge zugreifen.
Dirk: Also da hast du ja schon auch Möglichkeiten zu schauen, ob das lokale Gerät
Dirk: kompromittiert wurde im Rahmen bestimmter Parameter und auch nur sagen,
Dirk: wenn das compliant ist, dann darf überhaupt jetzt auf das Code-Repository zugegriffen
Dirk: werden, sonst gar nicht.
Sujeevan: Ja, genau. Es gibt verschiedene Implementierungsmöglichkeiten.
Sujeevan: Also irgendwie sollte es halt abgeschottet sein, wenn man es streng nimmt.
Dirk: Auf die eine oder andere Art, genau.
Sujeevan: Genau, genau. Das sind ja zwei verschiedene Beispiele, wie man es machen könnte.
Dirk: Genau, passt.
Sujeevan: Das nächste Thema ist, wusstest du, dass du deine Commits signieren kannst?
Dirk: Ja.
Sujeevan: Und wie?
Dirk: Mit dem GPG-Key zum Beispiel.
Sujeevan: Genau, damit kannst du es machen und dann kannst du halt auch mehr oder weniger
Sujeevan: sicherstellen, dass da auch eine echte Person hinter ist. Musst du natürlich
Sujeevan: auch richtig einrichten.
Sujeevan: Aber damit kannst du natürlich dann auch nochmal deine Dinge signieren,
Sujeevan: sodass du weißt, dass du das warst, im Vergleich zu einem Agent,
Sujeevan: der von dir angesteuert wurde oder sowas. Oder du hast es abgenickt, wie auch immer.
Dirk: Ja, aber das kann Augenwischerei sein.
Sujeevan: Natürlich.
Dirk: Weil letzten Endes Leute durchaus, die lokal Zugriff auf GPG haben,
Dirk: durchaus auch die Passphrase rauslöschen können.
Dirk: Aus dem Secret Key. Und damit würde jeder sein können, der Zugriff auf die Maschine hat.
Sujeevan: Genau. Kann ja auch bei Smartcard oder sonst was gehen.
Dirk: Natürlich.
Sujeevan: Es gibt ja auch ein paar.
Dirk: Natürlich.
Sujeevan: Ein paar X509 irgendwas.
Dirk: Oder YubiKeys, NitroKeys, was auch immer.
Sujeevan: Genau.
Sujeevan: Darauf gehen wir jetzt mal voran aus, dass du den Secret Key nicht irgendwie modifizieren kannst.
Dirk: Alles gut, ich wollte es nur erwähnen.
Sujeevan: Absolut.
Sujeevan: Und damit kannst du dann zumindest sicherstellen, dass das tatsächlich mehr
Sujeevan: oder weniger sicherstellt, dass da eine Person hinter ist.
Sujeevan: Aber auch wenn die automatisch generiert worden sind, kann ja auch sein, was ja auch okay ist.
Dirk: Ja, oder ich stelle sicher, dass es von einer bestimmten Maschine gekommen ist.
Dirk: Das wäre ja auch noch eine Variante.
Sujeevan: Oder sowas, ja.
Dirk: Genau.
Sujeevan: So, das war es soweit zum reinen Source-Good-Management.
Sujeevan: Ja, wobei ein Teil, der ein bisschen überlappend ist,
Sujeevan: SAST, also Step-Tick Application Security Testing, das ist ja mehr,
Sujeevan: den regulären DevSecOps Ansatz auf den Security-Fokus, dass du deinen Code auf
Sujeevan: Vulnerabilities checkst, also den auf statische Analyse machst.
Sujeevan: Das kannst du halt einmal in der Pipeline machen, dann würde es halt erst in
Sujeevan: der Test-Stage quasi kommen, aber theoretisch kannst du es ja auch lokal laufen lassen.
Sujeevan: Lässt sich natürlich abschalten oder auch nicht abschalten, je nachdem.
Dirk: Ich würde gerne noch eine Sache ergänzen wollen, über die wir jetzt nicht gesprochen
Dirk: haben und das ist, wenn man wir kommen gleich noch zum Dependency-Scanning,
Dirk: aber wenn wir wenn du dir Open Source,
Dirk: nimmst und den Quelltext einfach einbaust also Quelltext, den du nicht selber
Dirk: geschrieben hast, einbaust.
Dirk: Und je nach Umfang wird das dann nicht mehr trivial sein, um herauszufinden, wo das Problem liegt.
Sujeevan: Ja. Aber das hast du ja mit AI-Agents und Copyload und sonst was ja eh.
Dirk: Ja, also wie gesagt, ich sehe das gerade,
Dirk: AI ist nochmal ein ganz eigener Schnack, aber ich sehe das gerade ein bisschen
Dirk: losgelöst von AI-Agents,
Dirk: sondern einfach, wir sprechen viel über Open-Source-Software und ich könnte
Dirk: mir auch einfach statt eine Bibliothek als Dependency reinzuholen,
Dirk: kann ich hier einfach sagen, ich kompiliere mir die gleich mit und nehme in den Quelltext mit rein.
Sujeevan: Ja, natürlich. Du kannst auch nicht alles abdecken.
Dirk: Genau.
Sujeevan: Ich meine, wir versuchen ja auch so möglichst viele Löcher wie möglich zu stopfen.
Sujeevan: Ich fand die Analogie von MyTiny and Kim zur Corona-Pandemie irgendwie spannend.
Sujeevan: Von wegen, du hast halt Käsescheiben, wo Löcher drin sind.
Sujeevan: Und wenn du verschiedene Käsescheiben von verschiedenen Stacks quasi aufeinander
Sujeevan: stapelst, dann werden die Löcher immer wieder überdeckt von anderen.
Sujeevan: Auch wenn du theoretisch eventuell dann durchziehen kannst. An einigen,
Sujeevan: je nachdem, wie groß die Löcher sind.
Dirk: Das Bild ist gut, ja.
Sujeevan: Und das finde ich dann auch irgendwie spannend. Weil wir versuchen natürlich
Sujeevan: dann auch so angenehm wie möglich zu halten, das entwickeln,
Sujeevan: weil ansonsten macht es auch keinen Sinn.
Sujeevan: Weil ansonsten passiert ja auch wieder, dass irgendwer Schatten-IT aufbaut.
Dirk: Ja, wenn du es komplizierter machst, dann wird sicherlich irgendein findiger
Dirk: Entwickler eine Lösung finden, die drumherum kommt.
Dirk: Ja, das sehe ich genauso, ja.
Sujeevan: Gut, gehen wir mal zum nächsten Punkt, nämlich der Build-Stage.
Sujeevan: Das ist einmal so Sache wie Dependency-Scanning.
Sujeevan: Das geht jetzt so Hand in Hand mit dem ZAST auch.
Sujeevan: Dass da mal natürlich geguckt wird, gibt es irgendwelche Abhängigkeiten,
Sujeevan: die Lücken haben. Relativ normales DevSecOps-Verhalten, würde ich sagen.
Sujeevan: Und da ist natürlich auch die Frage so, okay, welche Quellen akzeptiert man jetzt?
Sujeevan: Also was sagen wir ist sicher? Was ist vielleicht nicht sicher?
Sujeevan: Es ist nicht so einfach. Ich hatte schon mehrfach die Diskussion in meiner GitLab-Zeit
Sujeevan: gehabt mit Leuten, wo dann zwei Leute, drei Leute waren, die meinten so,
Sujeevan: ja, wir wollen alle Abhängigkeiten prüfen, die mirroren wir quasi auf unser
Sujeevan: Artifactory, Nexus und Co.
Sujeevan: Und alles andere ist nicht erlaubt. Ich so, ja, viel Spaß, dann könnt ihr eure Firma dicht machen.
Sujeevan: Weil mit drei Leuten kannst du das nicht machen, vor allem egal,
Sujeevan: welche Programmiersprache.
Sujeevan: Also klar, alle haten über JavaScript und NPM, aber eigentlich hast du es ja
Sujeevan: bei jeder Programmiersprache.
Dirk: Ja, definitiv. Also ich kenne auch den Weg über Artifactory und dass ein Security
Dirk: Scanner X-Ray in Artifactory eingesetzt wird.
Dirk: Wenn der Scanner ausfällt und man muss dringend deployen, dann hat man halt
Dirk: auch ein Problem. Alles schon gesehen.
Sujeevan: So, und da macht es aber trotzdem eventuell Sinn, eine Whitelist quasi oder
Sujeevan: eine Allow-List zu haben von Dependency-Quellen.
Sujeevan: Das kann jetzt halt auch ein lokales oder ein wie im internes artifakt wie nexus was auch immer sein,
Sujeevan: wo geprüfte sachen drin sind oder semi geprüfte sachen drin sind die können
Sujeevan: auch automatisch synchronisiert sein so dass man damit sicherstellen kann so
Sujeevan: okay wenn jemand versuchen typosquatting zu machen dass das nicht mit rein landet
Sujeevan: weil die vielleicht schon auf,
Sujeevan: auf dem Zwischenlayer mit draußen sind.
Dirk: Ja.
Sujeevan: Für die, die nicht wissen, was Typo-Squatting ist, Typo-Squatting ist effektiv,
Sujeevan: wenn du keine Ahnung, welches Beispiel haben willst,
Sujeevan: wenn du irgendeine Abhängigkeit installieren möchtest und du einen Tippfehler
Sujeevan: mit einbaust, und dann halt eine ziemlich ähnliche Lippe geholt wird,
Sujeevan: nur mit einer Lücke drin, weil,
Sujeevan: statt Pip-Install Pandas wird dann Pip-Install Pundas installiert,
Sujeevan: was aber nicht auffällt,
Sujeevan: aber halt eine Lücke mit reinholt.
Dirk: Also ihr kennt das bestimmt vom Web, wenn ihr mal die Domain nicht richtig eingebt.
Sujeevan: Ja.
Dirk: Und statt der Domain, die Seite, die ihr wirklich sehen wollt,
Dirk: dann irgendeine andere Seite auftaucht, nur weil ihr einen Tippfehler hattet.
Dirk: Das glaube ich, daran kann man es relativ gut sehen.
Sujeevan: Genau, das eine kannst du quasi machen, okay, du machst das über einen White-Listing
Sujeevan: oder Low-Listing-Test auf den Dependency-Squellen, dass du dann sagst,
Sujeevan: okay, wenn es von es lässt sich natürlich auch verschieden sticken.
Sujeevan: Entweder sagst du, okay, es ist nur das, was wir von einer vordefinierten Liste
Sujeevan: quasi von sagen wir jetzt mal NPM, PyPI und Co.
Sujeevan: halt haben, die wir rein mirroren, die Standardsachen und alles andere machen wir halt nicht.
Sujeevan: Aber es kann ja auch einfach sein, wir machen jetzt so einen Typosquoting-Test.
Sujeevan: Da gibt es mittlerweile auch ein paar Tools zu, die das dann halt quasi gucken,
Sujeevan: ist das vielleicht eine Library, die nicht da drin sein sollte.
Sujeevan: Das kann halt auch helfen.
Dirk: Ja, es gibt ja mittlerweile für alles irgendwelche Tools. Und das Tool kann
Dirk: auch einen Fehler haben.
Sujeevan: Oder Lücken haben.
Dirk: Oder sogar Lücken haben, ja genau. Also man kommt von hundertstens ins tausendste,
Dirk: wenn man nicht aufpasst.
Dirk: Und das muss ja ganze, das Ganze muss noch arbeitbar sein.
Sujeevan: Genau. Weil das gleiche so bei Container Scanning, du kannst dir einfach ein Oboto-Image ziehen.
Sujeevan: Musst du quasi sicherstellen, dass das auch von einer richtigen Quelle kommt und nicht von woanders.
Sujeevan: Weil das kann ja auch passieren. Das heißt, also A, du musst das Container scannen,
Sujeevan: den Container scannen, aber du kannst ja auch scannen, was für ein Bild,
Sujeevan: Basis-Image nutze ich hier.
Sujeevan: Ist es ein erprüftes oder nicht? Und wenn nicht, dann haue ich das raus.
Dirk: Hat Docker Hub nicht sogar die Möglichkeit, dass die einen Verified-Fleck drin
Dirk: haben, wo Sachen gescannt wurden?
Sujeevan: Ja, mittlerweile gibt es einige Firmen, Docker, ShaneGuard und Co.,
Sujeevan: wo es dann auch, oder Bitnami, die alle so Bitnami ist böse.
Sujeevan: Ja, weil Bitnami VMware ist und VMware ist Broadcom, ja.
Dirk: Und die sind teuer, wollen alles teuer machen, aber egal.
Sujeevan: Genau, aber die bieten halt mittlerweile halt auch Zero CVE Container Images
Sujeevan: an, wo die sich darum kümmern, dass das Basis Container Image sicher ist.
Sujeevan: Kann Sinn machen, dass sie einen Nutzen in Firmenumgebungen,
Sujeevan: weil das selbst zu verwalten ist auch Aufwand.
Dirk: Ja, genau. Also wenn du ein sicheres Basis-Image hast, ist das sicherlich ein guter Anfang.
Dirk: Du kannst ja sagen, wenn du Container-Images vom Hersteller bekommst,
Dirk: wenn du eine eigene Registry hat, ist das gut.
Dirk: Letzten Endes musst du den fertigen Container dann doch wieder scannen.
Sujeevan: Ja, das sowieso, genau.
Dirk: Also du kommst um Scannen generell nicht drum rum. Also die Frage ist,
Dirk: an welcher Stelle du scannst.
Sujeevan: Genau, beides. Ein Pre und Post quasi.
Dirk: Ja, exakt.
Sujeevan: Ein Pre-Build und Post-Build.
Dirk: Und in dem Pre kannst du vielleicht dadurch ausschalten, dass du sagst,
Dirk: ich erlaube nur sichere Registries.
Sujeevan: Genau, genau. Sichere Registries und oder eine Allowlist quasi an Container-Busis-Images.
Dirk: Ja, genau.
Sujeevan: Genau, aber da merkt man wieder noch ein weiterer Punkt, wo man theoretisch
Sujeevan: eine Sicherheitsdinge abwärmen muss.
Sujeevan: Ich meine, einige Firmen versuchen ja schon, Firmen intern ein,
Sujeevan: sichere Basis-Container-Images zu machen, die dann von anderen Teams genutzt werden müssen.
Dirk: Ja.
Sujeevan: Sollten. Aber das dann durchzusetzen, da fehlt dann teilweise wieder das Tooling.
Dirk: Ja, und nicht nur das Tooling und manchmal aber auch das Commitment von Management.
Dirk: Also solche Scanner kosten in der Regel auch ein bisschen Geld.
Dirk: Manchmal sogar ein bisschen viel Geld.
Dirk: wenn man security will dann ist es halt mit mit dem preis tag versehen so dass ich.
Sujeevan: Meine nichtmals die scanner selbst sondern so die arbeitsweise.
Dirk: Ja wenn.
Sujeevan: Jetzt drei leute hast die sichere container images bereitstellen.
Dirk: Für die ganze firma da wollte ich im zweiten halbsatz drauf kommen ja dass das
Dirk: dass der aufwand natürlich auch geld kostet ja genau genau genau.
Sujeevan: So, nächster Punkt. Wenn die Pipeline losläuft und das Ding wird gebaut, musst du ja auch dafür,
Sujeevan: sicherstellen, dass die Build Agents auch entsprechend isoliert sind.
Sujeevan: Heutzutage glaube ich weniger ein Problem. Zu Jenkins-Zeiten war früher das
Sujeevan: eher so ein Problem, weil theoretisch hattest du dann ja mehrere,
Sujeevan: Jenkins-Jobs, die auf demselben Haus liefen, die theoretisch auf das andere
Sujeevan: Verzeichnis drüber malen konnten.
Dirk: Ja, die Jenkins-Zeiten sind nicht vorbei, ne?
Dirk: Also, je nachdem, wo du arbeitest, wird immer noch Jenkins eingesetzt.
Sujeevan: Ich meine jetzt aber auch, mittlerweile nutzen ja viele Jenkins ja auch,
Sujeevan: also Jenkins hat viele Probleme, aber wenn du das über Container baust und das
Sujeevan: über einen Kubernetes-Cluster läuft,
Sujeevan: dann ist es ja nochmal ein anderes Ding, als wenn das fixe, feste, Jenkins-Nodes sind,
Sujeevan: die nie aufgeräumt werden, wo ganz viel Müll rumliegt. Der Unterschied ist wichtig.
Dirk: Ja, das wäre dann eher ein dynamisch generierter Build-Agent gegenüber einem
Dirk: statischen Build-Agent, der vor sich hinschimmelt. Genau.
Sujeevan: Und auch da kannst du die Build-Agent ja auch isolieren, wenn das in den Kubernetes
Sujeevan: zum Beispiel läuft, was ja relativ Standard mittlerweile ist,
Sujeevan: in modernen Setups, sagen wir so.
Sujeevan: Weil da kannst du dann ja auch nochmal Kubernetes eigene Sicherheitsmechanismen mit einbauen,
Sujeevan: dass egal welcher Code da drin läuft, dass er nicht an bestimmte Quellen dran
Sujeevan: sollte oder sowas, weil du kannst ja theoretisch auch nochmal auf Netzwerkebene
Sujeevan: hingehen und gucken so, okay, versucht der jetzt hier auf NPM drauf zu gehen, was er nicht sollte,
Sujeevan: dann blockt das hier mal ab, auch wenn das auf anderen Ebenen schon versucht wurde zu reduzieren.
Dirk: Ja, man kann ja sogar so konfigurieren, dass der gar nicht nach außen gehen
Dirk: darf, sondern dass der nur von Input leben darf.
Sujeevan: Genau.
Dirk: Ja.
Sujeevan: Und da muss man natürlich dann auch gucken, dass niemand anderes Build Agents
Sujeevan: an das GitHub, an das GitLab, was auch immer, anschließen kann.
Sujeevan: Weil sonst kannst du es da wieder umgehen.
Dirk: Ja, wobei ich natürlich gerade Quatsch erzählt habe, einen Weg nach draußen
Dirk: muss es geben. Das alte Fakt muss ja irgendwie auch raus.
Sujeevan: Ja, aber das kann ja auch ein internes System sein.
Dirk: Ja, natürlich. Sollte in jedem Fall. Ja, genau.
Sujeevan: Ja.
Sujeevan: Genau, so. Und deswegen, das ist ja alles eigentlich Wissenschaft für sich.
Sujeevan: Also jeder einzelne Punkt, den wir so nennen.
Sujeevan: Da gibt es, könnten wir noch zu jedem Punkt nur einzelne Folge zu machen.
Dirk: Selbst ich, ohne dass ich Ahnung davon habe, könnte dann noch was zu erzählen.
Sujeevan: Ja, genau, da merkt man erst mal, wie tief das Ganze ist, weil ich bin jetzt
Sujeevan: ja auch ein ganz Security-Experte, aber das sind ganz viele Punkte,
Sujeevan: die du theoretisch ja auch schon abfrühstücken kannst.
Dirk: Ja.
Sujeevan: Mit per Scripting oder sonst was. Genauso wie Reproducible Builds.
Sujeevan: Es gibt ja auch die Website Reproducible Builds, das gibt es auch schon seit über zehn Jahren.
Sujeevan: Dass was aus der Open-Source-Ecke halt kommt, dass wenn du ein Debian-Paket
Sujeevan: baust, wenn du es lokal baust und wenn es auf dem Build-Server baust,
Sujeevan: dass genau das gleiche Image bei rauskommt, wo auch die Hash-Summe gleich ist.
Sujeevan: Das willst du innerhalb der Firma oder so ja auch haben,
Sujeevan: damit du sicherstellen kannst, dass es auch wirklich das richtige Bild ist und
Sujeevan: nicht irgendwas anderes.
Dirk: Kennst du Fälle, wo Sachen über zwei Wege gebaut werden, um zu schauen,
Dirk: ob die Ergebnisse identisch sind?
Sujeevan: Nee, aber theoretisch sind die meisten ja auch nicht richtig gebaut.
Dirk: Ja, aber du weißt, worauf ich raus möchte. Wenn du es reproducible machst,
Dirk: muss ja, egal über welchen Weg du gehst, das gleich am Ende rauskommen.
Sujeevan: Genau, aber theoretisch müsste das ja das Ziel sein.
Sujeevan: Weil damit stellst du dann ja auch sicher, dass das Nix modifiziert wurde.
Sujeevan: Weil du kannst ja auch die Bildumgebung kann ja auch kompromittiert sein.
Sujeevan: Und dann wird ja lokal und auf den Bildservern was unterschiedliches bei rauskommen.
Sujeevan: Weil wenn wir uns die XZ-Lücke von vor einer Weile angucken,
Sujeevan: da wurde dann ja in dem Fall zwischen, unter anderem,
Sujeevan: beim Bauen wurde das halt lokal irgendwo gebaut und dann hochgepusht und wenn
Sujeevan: du es aber, und da waren andere Dateien drin als das, was im Repo drin war.
Dirk: Ja, genau. Und interessanterweise war im Paketierten was anderes drin als im Tabor. Genau.
Sujeevan: Genau, genau. und das willst du ja auch verhindern.
Sujeevan: Ansonsten machst du das gleiche Problem, weil es ist immer schön,
Sujeevan: einfach zu sagen, ja, Open Source-Projekte, da kann ja jeder irgendwie was machen.
Dirk: Ja, macht aber keiner, genau.
Sujeevan: Und dann, wenn du aber auf deinen eigenen Scheiß guckst, merkst du eigentlich
Sujeevan: so, das ist schlimmer, häufig.
Dirk: Ja.
Sujeevan: Ja. Ich meine, das, was wir jetzt gerade genannt haben, war ja das meiste aus
Sujeevan: dem Build-Stage. Aber eigentlich ist das ja sehr stark überlappt mit dem Test-Stage.
Sujeevan: Quasi auch, weil wir haben ja viel getestet.
Sujeevan: Deswegen haben wir einmal beim Container-Bauen einen Test, ob es sicher ist, quasi, als auch danach.
Sujeevan: Gehen wir jetzt nicht doppelt darauf ein, weil theoretisch hast du dann jetzt beides.
Dirk: Oder Test-Reven-Development geben wir jetzt auch nicht drauf ein,
Dirk: sonst wird es, glaube ich, zu weit, oder?
Sujeevan: Ja, genau. Das ist auch eher Standard, also ein gewisser Standard der Bekannten.
Sujeevan: auch so ein paar sachen weil wenn wir uns jetzt beim testen mal angucken weil
Sujeevan: theoretisch kannst du ja kann ja jeder auch eigene pipeline bestandteile bauen
Sujeevan: da gibt es ja auch noch mal quellen woher ziehst du das container image für den bau wenn.
Dirk: Der bopfe bilder privileges hat ja genau.
Sujeevan: Genau weil ich das kann es halt auch noch mal was machen ja weil da kannst du
Sujeevan: halt theoretisch auch gucken dass zu sagen, sagt es, okay, wir bauen jetzt sicheres
Sujeevan: EICD, Bausteine, die die Teams nutzen müssen,
Sujeevan: was für viele Sachen halt funktioniert, aber nicht unbedingt für alles,
Sujeevan: weil Projekte unterschiedlich sind.
Sujeevan: Wichtig, es sollten Bausteine sein und nicht, wir machen die ganze Pipeline
Sujeevan: für euch, weil das wird wahrscheinlich nicht funktioniert oder es geht nicht so gut.
Sujeevan: Und dann kommen wir noch dazu, dass wir da noch sehr, sehr viel,
Sujeevan: dass das auch nochmal natürlich ein eigenes Team sein kann.
Sujeevan: Genau.
Sujeevan: Ein weiterer Punkt ist, dass wir noch das, was auch wieder zum SAST-Scanning
Sujeevan: halt angeht, noch Infostructures-Code-Scanning auch haben können.
Sujeevan: Gleiches Prinzip, müssen wir jetzt, glaube ich, nicht tiefer betrachten.
Sujeevan: Und was dann halt noch wichtig ist, ist, dass wir bei kritischen Schwachstellen,
Sujeevan: die zum Beispiel vom SaaS oder Infrastructure-Code-Scanning zum Beispiel dann auch kommen,
Sujeevan: dass wir da auch einen gewissen Guardrail auch haben, so okay,
Sujeevan: wenn neue World-Rubility drin sind, dass man gar nicht erst weitermachen kann,
Sujeevan: weil uns bringt das Ganze ja auch nichts.
Dirk: Ja.
Dirk: ja und also ich meine das ist auch noch mal ein punkt generell
Dirk: wie die die die severity die
Dirk: so eine schwachstelle hat die kann ja auch sein dass ich bestimmte severities
Dirk: tatsächlich im endprodukt erlaube ja und aber das wäre dann sache vom cso solche
Dirk: regeln vorzugeben also chief information security officers der der für die sicherheit
Dirk: im unternehmen verantwortlich ist genau.
Sujeevan: Eigentlich gilt sie für alle punkte die wir genannt haben weil man kann ja auch
Sujeevan: sagen okay wenn da irgendwie etwas falsch ist, dann wird das erst mal noch reportet
Sujeevan: und wir gucken hinterher nach, was vielleicht für den Anfang relevant sein könnte,
Sujeevan: damit wir den Prozess nicht zu blockieren.
Sujeevan: Aber das sollte dann nach und nach natürlich verschärft werden.
Sujeevan: Und der letzte Punkt für diesen Teil, und damit sind wir, glaube ich,
Sujeevan: auch soweit durch, ist Variablen, also Secrets.
Sujeevan: Du hast ja häufig irgendwelche Secrets im Bild und Test, kommt dafür Deployment
Sujeevan: erst recht noch mal relevant.
Sujeevan: Aber du hast dann ja auch noch mal irgendwelche Sequels, um auf irgendwelche
Sujeevan: Systeme zugreifen zu können, um irgendwelche Pakete zum Beispiel runterzuladen.
Sujeevan: Müsst natürlich auch richtig gescoped werden, weil es bringt dann halt auch
Sujeevan: nichts, wenn du die einfach ausgeben kannst.
Dirk: Ja.
Sujeevan: Und dann siehst du dann halt die
Sujeevan: Passwörter, die du eigentlich nicht sehen solltest. Oder die credentials.
Dirk: Ja, vor allem die müssen sicher verwahrt werden und aus irgendeinem Secret Management Tool kommen, genau.
Sujeevan: Genau, weil das in GitLab zum Beispiel ist zum Beispiel auch nicht so geil.
Sujeevan: da fern wir das lieber sowas wie Hashtag Vault oder einen Fork davon.
Sujeevan: Wie hieß das nochmal? OpenBow. Wie hieß das?
Dirk: Ja, genau.
Sujeevan: Willst du eigentlich auch, wenn du es richtig machen willst,
Sujeevan: weil dann kannst du auch einfacher rotieren.
Dirk: Ja.
Sujeevan: Und hast es dann auch einfacher, habe ich aber auch keine Erfahrung mit.
Dirk: Ja, aber ich meine, das Grundprinzip ist ja leicht. Man sollte die Secrets unabhängig
Dirk: vom Code und unabhängig von der Pipeline aufbewahren.
Dirk: Da sollte ein Zwischenschritt dazwischen sein, genau.
Sujeevan: Genau, die Pipeline sollte darauf referenzieren.
Sujeevan: Genau. Das waren so alle Punkte, die mir eingefallen sind.
Sujeevan: Wahrscheinlich gibt es da noch ganz, ganz viel mehr. Ich schreibe gerade nämlich
Sujeevan: einen Artikel für Heise in dem Bereich.
Sujeevan: Deswegen arbeite ich das gerade so. Und ich habe Schwierigkeiten,
Sujeevan: gerade das in einem gesunden Maß zu bekommen, dass das nicht ausufernd ist,
Sujeevan: weil das könnte ein eigenes Buch werden, so in die Richtung.
Dirk: Nicht schon wieder. Nein, nein. Geh weg.
Sujeevan: Nicht schon wieder ein Buch update. Genau.
Sujeevan: Genau, was mich jetzt interessieren würde, ist auch, weil ich da natürlich gucke,
Sujeevan: aus meiner Selbstständigkeit da mal ein bisschen drauf zu gucken.
Sujeevan: Ich würde gerne da, da bräuchte ich aber vielleicht den einen oder anderen Kontakt,
Sujeevan: bei Firmen, wo ihr denkt, dass das relevant ist.
Sujeevan: Ich bin gerade dabei, was zu erarbeiten, um das Ganze halt zumindest erstmal
Sujeevan: gegen den GitLab, weil da kenne ich mich am besten aus.
Sujeevan: dass man einmal quasi gegen die API geht und nachschaut, was ist denn alles
Sujeevan: konfiguriert sodass man quasi einen Audit-Bericht bekommt so,
Sujeevan: hier solltest du mal rangehen,
Sujeevan: und das kann dann natürlich dann auch hilfreich sein, oben eine To-Do-Liste zu bekommen Ja.
Dirk: Also ich kenne da tatsächlich nichts aber das war auch alles zu erwarten.
Sujeevan: Glaube ich Ja, ich meine das Problem ist halt auch weil ich kann das nicht für
Sujeevan: mich alles testen weil du musst ja auch mal betrachten, es sind nicht für alle
Sujeevan: Projekte relevant, es ist für einige Projekte relevant,
Sujeevan: und ich habe halt nur meine zehn Projekte oder so da macht das Ganze nicht so
Sujeevan: viel Sinn das zu testen Ja.
Dirk: Aber ich vermute sehr, dass da jetzt sich jemand schon Gedanken drüber gemacht
Dirk: hat und dass es solche Tools auch gibt Ja.
Sujeevan: Ich habe es schon vor ein paar gehört dass es da gibt, aber teilweise auch ein anderer Fokus,
Sujeevan: Genau. Gut.
Dirk: Prima. Über alles, was wir vergessen haben, erwarten wir Kommentare. So, jetzt habt ihr es.
Sujeevan: Genau, genau.
Sujeevan: So, jetzt haben wir noch Medientipps und Tooltipps.
Sujeevan: Und ich habe ein relativ schnelles Buch-Tipp.
Sujeevan: Und zwar habe ich das Buch gehört, Psychologie des Geldes.
Sujeevan: Und fand ich relativ spannend, weil da haben wir dann auch eben,
Sujeevan: oder habe ich halt auch gemerkt, wie viel eigentlich die Psychologie des Geldes effektiv ausmacht.
Sujeevan: Weil ganz viele Sachen, was Geld angeht, weißt du eigentlich,
Sujeevan: was gut oder schlecht ist.
Sujeevan: Aber das heißt nicht, dass du es unbedingt alles machst.
Sujeevan: Weil jeder hat sein eigenes Sicherheitsbedürfnis, kannst du gut damit schlafen
Sujeevan: und das folgt nicht unbedingt immer der Reihenmathematik oder Logik.
Sujeevan: Ein Beispiel als ich mein Haus finanziert hatte das waren 1,2% Zinsen total
Sujeevan: wenig ich habe trotzdem Sondertilgung gemacht weil ich die Zahl runter haben wollte,
Sujeevan: witzigerweise hatte ich damals weniger Einkommen als später dann habe ich es aufgehört,
Sujeevan: einfach nur weil ich die Zahl weniger haben wollte ich wusste,
Sujeevan: dass es eigentlich nicht so viel Sinn macht bei den Zinsen habe es trotzdem
Sujeevan: gemacht einfach nur um ruhiger schlafen zu können,
Sujeevan: und das Buch fand ich in dem Sinn halt spannend, weil es halt sehr,
Sujeevan: sehr oft dann Beispiele genannt hat,
Sujeevan: wo man solche Sachen dann halt eben rausgelesen, wo man dann erst auch merkt
Sujeevan: und man hat sie doch selbst wieder gefunden in den Sachen, da geht es auch so
Sujeevan: Sachen wie Zinses, Zins, weil eigentlich kennt jeder die Theorie,
Sujeevan: trotzdem machst du was falsch.
Sujeevan: Oder kriegst du in Panik, wenn, keine Ahnung, der Aktienmarkt einbricht oder sonst was.
Sujeevan: Oder du denkst, du bist total arm, aber dabei hast du ein Haus in hohem Wert.
Sujeevan: Das sind alles so Punkte, die da so mit reinspielen. Fand ich ein recht spannendes Buch.
Sujeevan: Kann man sich lesen, kann man sich anhören.
Dirk: Vor allem hat das ja auch oft mit gefühlten Reichtum zu tun, oder?
Sujeevan: Ja, genau.
Dirk: Oder gefühlter Armut. Man sucht sich ja immer Beispiele, an denen man sich abarbeiten
Dirk: kann. und man findet immer Leute, die reicher sind.
Sujeevan: Ja, genau. Ja, außer Elon Musk. Wobei, der wurde doch jetzt auch überholt von dem Oracle-Typen.
Dirk: Larry Allison, aber ja. Genau.
Sujeevan: Ist ja auch ein Unterschied zwischen reich sein und reich aussehen.
Dirk: Ja, ja, ja. Ich enthalte mich eines Kommentars.
Dirk: Halsabschneider, Elende. Jetzt habe ich es doch kommentiert, tut mir leid.
Sujeevan: Genau. Gut. Soviel zu meinem Medientipp.
Dirk: Ich glaube, ich werde das mal lesen. Ich habe einen Medientipp, den ich von Stöpfs habe.
Dirk: Da geht es aus der Mediathek, aus der ZEF-Mediathek. Ich weiß gar nicht,
Dirk: bis wann das gespeichert ist.
Dirk: Da geht es um Trump und das Silicon Valley. Und da geht es darum,
Dirk: dass die Internetgrößen, Internetmogule versuchen, an der Demokratie vorbei,
Dirk: weil Demokratie ja viel zu langsam ist, an der Demokratie vorbei Politik zu treiben.
Dirk: und damit auch im Prinzip die Trump-Administration unterminieren.
Dirk: Hochinteressant, also viele Dinge kannte ich schon. Einige Sachen waren mir komplett neu.
Dirk: Einfach zu sehen, dass das die Leute sind, die eigentlich das komplette Land
Dirk: steuern, ohne dass sie eigentlich eine demokratische Befugnis haben und die
Dirk: das auf eine dermaßen subtile und gefährliche Art und Weise machen,
Dirk: dass es kaum noch nachvollziehbar ist.
Sujeevan: Ja, muss ich mir, glaube ich, auch angucken. Wie lange ist das eigentlich?
Dirk: Eine Dreiviertelstunde, also jetzt wirklich nicht so viel.
Sujeevan: Ja, okay.
Dirk: Aber das ist erschreckend. Gute Dokumentation ist erschreckend, wirklich.
Sujeevan: Ja, es ist Nightmare online. Ja, das hat mich auch neulich dran gedacht,
Sujeevan: als alle der Tech-Leader quasi bei Trump vor ein paar Tagen oder ein paar Wochen
Sujeevan: zu Besuch waren und sich bedankt haben für die mögliche Sorge.
Sujeevan: Also ich arschkrieche mich.
Dirk: Die Kniefälle vor dem Autokarten machen, das ist für mich sowieso eine Sache,
Dirk: die irgendwie gar nicht gehen.
Sujeevan: Ja, genau. Und wenn dann der Nächste kommt, egal in welche Richtung,
Sujeevan: dann wird wieder alles dahin gelingt. Also Hauptsache, dass Geld fließt.
Dirk: Ja, furchtbar.
Sujeevan: Ja, es ist frustrierend eigentlich sogar.
Dirk: Ja, frustrierend und wirklich schlimm.
Sujeevan: Ja, das auch.
Dirk: Könnte ich mich jetzt lange drüber aufregen, ehrlicherweise.
Dirk: Aber lassen wir es besser.
Sujeevan: Ja, lass uns lieber zum nächsten Two-Tip gehen.
Dirk: Ja, mach mal deinen Two-Tip.
Sujeevan: Das tut nämlich was dagegen. Und zwar habe ich eigentlich schon vor der FrostCon,
Sujeevan: aber bei der FrostCon gab es einen Stand von Newpipe.
Sujeevan: Ich habe mir das nicht angeguckt, aber das hat mich nochmal erinnert,
Sujeevan: dass ich da mal drauf gucken wollte.
Sujeevan: Es ist ein leichtgewichtiger YouTube-Client für Android, der Open-Source ist,
Sujeevan: wo ein Ad-Blocker mit drin ist, wo du Videos zum Offline angucken kannst,
Sujeevan: wo Privacy-mäßig quasi nur das Nötigste macht, um die Videos zu laden und abzuspielen.
Sujeevan: Du hast sowas wie einen Background-Player drin oder auch einen Pop-Up-Player.
Sujeevan: Und du kannst auch Kanäle abonnieren, ähm,
Sujeevan: Ohne, dass es halt irgendwie mit deinem YouTube-Account verknüpft ist.
Dirk: Ah, okay, cool.
Sujeevan: Das ist natürlich nicht im Play Store, weil das findet Google nicht so toll.
Sujeevan: Du kannst es einfach als APK-Site loeren. Im F-Droid ist das drin.
Sujeevan: Das funktioniert auf dem Handy und dadurch hast du halt diese ganze Werbung
Sujeevan: nicht mehr drin. Das ist der wesentliche Vorteil.
Dirk: Ja, sehr cool.
Sujeevan: Und das unterstützt halt nicht nur YouTube, sondern auch Peertube,
Sujeevan: Soundcloud, Bandcamp und MediaCCC.de.
Sujeevan: und dann hast du dann so einen nativen Player quasi da drin.
Sujeevan: Das ist recht praktisch.
Dirk: Ja, wobei ich sagen muss, media.ccc.de, da lade ich die Videos runter und lade
Dirk: die bei Pocket Casts hoch und gucke die da mit.
Dirk: Weil dann kann ich da aufhören und an irgendeiner anderen Stelle mit einem anderen
Dirk: Gerät einfach weitergucken.
Dirk: Aber für YouTube ist das sicherlich ein super Tipp, glaube ich.
Sujeevan: Ja, für die anderen Sachen auch, wenn man es braucht, ja.
Dirk: Wenn man es braucht, ja. Na klar, wenn man es braucht.
Sujeevan: Also ich habe keinen Peertube, keinen Soundcloud, Bandcamp, keine Ahnung, kenne ich nicht.
Dirk: Ich auch nicht, ja.
Sujeevan: Aber es ist praktisch, um... Also man kann auch dann, gibt es aber auch eine
Sujeevan: Anleitung zu, wenn man in der App ist, wie man bei YouTube, beziehungsweise
Sujeevan: Google, die Abos runterladen kann.
Dirk: Ja.
Sujeevan: Also eine CSV ist das, glaube ich, oder eine JSON. Und dann kannst du die in
Sujeevan: die App wieder laden und dann hast du deine Subscriptions quasi einmal übernommen.
Dirk: Das ist sehr cool, ja.
Sujeevan: Genau. Ist dann halt nicht synchronisiert, sondern One-Way, aber passt ja.
Dirk: Ja, ich habe einen Tipp, ich versuche gerade von, oder ich wechsle gerade von
Dirk: LiquidPompt auf Starship heißt es, Spaceship war das andere,
Dirk: auf Starship als Prompt und bin dabei über, also Starship selber kann ich noch
Dirk: nicht empfehlen, weil ich noch nicht viel Erfahrung habe, aber ich bin dabei
Dirk: über Nerdfonds gestolpert.
Dirk: Nerdfonds sind normale Programmerfonds, die um Icons erweitert werden,
Dirk: wo man Icons für jeden Scheiß findet, letzten Endes auch für alle möglichen
Dirk: Hersteller Software- und Betriebssystem-Logos zum Beispiel.
Dirk: Und die dann einfach im Font eingebaut sind und damit auch auf dem Prompt ausgegeben
Dirk: werden können. Das ist so der Zusammenhang dazu.
Dirk: Und ich kannte Nerdfonds vorher gar nicht.
Dirk: Es gibt zu fast jedem Font mittlerweile Nerdfond. Und es gibt eine Webseite,
Dirk: programmingfonds.org, wo man sich die ganzen Fonts angucken kann.
Sujeevan: Ich habe es gerade mal aufgemacht. Ich kenne keinen, der hat ja zum Beispiel
Sujeevan: die Icons von Font Awesome drin.
Dirk: Ja.
Sujeevan: Aber halt nicht nur, das ist ja nur ein kleiner Teil der Font.
Dirk: Ja, genau.
Sujeevan: Weil das kannte ich zum Beispiel. Das ist spannend, ja.
Dirk: Ich benutze für mein Terminal zum Beispiel den Hack-Font.
Sujeevan: Ja, den habe ich schon mal von gehört.
Dirk: Ja, und den Hack-Font gibt es auch als Nerd-Font, wo dann eben die ganzen Icons
Dirk: drin sind, als Beispiel.
Dirk: Also ich müsste noch nicht mal auf meinen präferierten Font verzichten,
Dirk: sondern kann einfach den Font runterladen und um Icons erweiterten Font benutzen.
Sujeevan: Ah ja, aber wie installierst du das dann genau?
Dirk: Das ist ein normaler Font, den kannst
Dirk: du runterladen und einfach in deinem Betriebssystem als Font installieren.
Sujeevan: Also einfach aufs File-System packen dann, wo es installiert wird?
Dirk: Ja, genau. Also jetzt nicht als Paket? Nein, das ist ein zip-File,
Dirk: wo, glaube ich, TTF-Dateien drin sind, also diese TrueType-Fonts und die kannst
Dirk: du ja in deiner Desktop-Umgebung ganz normal als Fonts installieren.
Sujeevan: Ja, okay. Ja, Paket wäre irgendwie schöner, aber gut, so ist das manchmal.
Dirk: Ja, gibt's vielleicht auch einige als Paket, aber ich hab jetzt,
Dirk: so tief bin ich jetzt noch nicht eingetaucht, ehrlicherweise.
Sujeevan: Okay, kann sein, dass es auch gibt.
Dirk: Ja, ist definitiv gut möglich, ja.
Sujeevan: Ja, es gibt ein Von-Patcher-Skript, damit kannst du dann, glaube ich,
Sujeevan: auch die häufiger aktualisieren oder sowas.
Dirk: Ja.
Sujeevan: Cool.
Dirk: Gut.
Sujeevan: Dann sind wir fertig, glaube ich.
Dirk: Ich glaube auch.
Sujeevan: Dann empfehlt uns weiter, gibt uns Feedback unter tilpod.net findet man Feedback-Kanäle
Sujeevan: von uns, kommt in die Matrix-Gruppe.
Dirk: Da war in den letzten Tagen richtig viel los, da kommt man kaum noch hinterher.
Dirk: Genau, aber es macht Spaß, genau.
Sujeevan: Genau, ich wurde schon darauf kritisiert, dass ich eine ordentliche Programmiersprache
Sujeevan: lernen soll. Vielleicht gab es doch wieder Krieg, was besser ist.
Dirk: Ich finde, es ist sehr gesittet abgelaufen.
Sujeevan: Ja, natürlich.
Dirk: Alles gut soweit.
Sujeevan: Ich habe alles ignoriert. Nein. Ja. Gut.
Dirk: Okay.
Sujeevan: In dem Sinne.
Dirk: Schönen Abend.
Sujeevan: Bis zum nächsten Mal.
Dirk: Tschüss.
Sujeevan: Tschüss.