<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<meta name="Generator" content="Microsoft Word 15 (filtered medium)">
<style><!--
/* Font Definitions */
@font-face
{font-family:Wingdings;
panose-1:5 0 0 0 0 0 0 0 0 0;}
@font-face
{font-family:"Cambria Math";
panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
{font-family:Calibri;
panose-1:2 15 5 2 2 2 4 3 2 4;}
@font-face
{font-family:"Time new Roman";
panose-1:0 0 0 0 0 0 0 0 0 0;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
{margin:0cm;
margin-bottom:.0001pt;
font-size:11.0pt;
font-family:"Calibri",sans-serif;}
a:link, span.MsoHyperlink
{mso-style-priority:99;
color:blue;
text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
{mso-style-priority:99;
color:purple;
text-decoration:underline;}
p.MsoListParagraph, li.MsoListParagraph, div.MsoListParagraph
{mso-style-priority:34;
margin-top:0cm;
margin-right:0cm;
margin-bottom:0cm;
margin-left:36.0pt;
margin-bottom:.0001pt;
font-size:11.0pt;
font-family:"Calibri",sans-serif;}
p.msonormal0, li.msonormal0, div.msonormal0
{mso-style-name:msonormal;
mso-margin-top-alt:auto;
margin-right:0cm;
mso-margin-bottom-alt:auto;
margin-left:0cm;
font-size:11.0pt;
font-family:"Calibri",sans-serif;}
span.E-MailFormatvorlage19
{mso-style-type:personal-reply;
font-family:"Calibri",sans-serif;
color:windowtext;}
.MsoChpDefault
{mso-style-type:export-only;
font-size:10.0pt;}
@page WordSection1
{size:612.0pt 792.0pt;
margin:70.85pt 70.85pt 2.0cm 70.85pt;}
div.WordSection1
{page:WordSection1;}
/* List Definitions */
@list l0
{mso-list-id:994606936;
mso-list-type:hybrid;
mso-list-template-ids:-70875864 1731360588 67567619 67567621 67567617 67567619 67567621 67567617 67567619 67567621;}
@list l0:level1
{mso-level-start-at:0;
mso-level-number-format:bullet;
mso-level-text:-;
mso-level-tab-stop:none;
mso-level-number-position:left;
text-indent:-18.0pt;
font-family:"Calibri",sans-serif;
mso-fareast-font-family:Calibri;}
@list l0:level2
{mso-level-number-format:bullet;
mso-level-text:o;
mso-level-tab-stop:none;
mso-level-number-position:left;
text-indent:-18.0pt;
font-family:"Courier New";}
@list l0:level3
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:none;
mso-level-number-position:left;
text-indent:-18.0pt;
font-family:Wingdings;}
@list l0:level4
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:none;
mso-level-number-position:left;
text-indent:-18.0pt;
font-family:Symbol;}
@list l0:level5
{mso-level-number-format:bullet;
mso-level-text:o;
mso-level-tab-stop:none;
mso-level-number-position:left;
text-indent:-18.0pt;
font-family:"Courier New";}
@list l0:level6
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:none;
mso-level-number-position:left;
text-indent:-18.0pt;
font-family:Wingdings;}
@list l0:level7
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:none;
mso-level-number-position:left;
text-indent:-18.0pt;
font-family:Symbol;}
@list l0:level8
{mso-level-number-format:bullet;
mso-level-text:o;
mso-level-tab-stop:none;
mso-level-number-position:left;
text-indent:-18.0pt;
font-family:"Courier New";}
@list l0:level9
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:none;
mso-level-number-position:left;
text-indent:-18.0pt;
font-family:Wingdings;}
ol
{margin-bottom:0cm;}
ul
{margin-bottom:0cm;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]-->
</head>
<body lang="DE" link="blue" vlink="purple">
<div class="WordSection1">
<p class="MsoNormal"><span style="mso-fareast-language:EN-US">Hallo,<o:p></o:p></span></p>
<p class="MsoNormal"><span style="mso-fareast-language:EN-US">die Einschätzung des QGIS-Kernteams ist ja vom 26.8.2016. Zu der Zeit war wohl noch ein Grundvertrauen in das Internet nachvollziehbar. Inzwischen gibt es aber ja zahlreiche Vorfälle mit Viren, Erpressung
usw, Tendenz weiter steigend, die mit QGIS direkt erst mal nichts zu tun haben. Trotzdem ist das Internet-Repositorium sicher ein potentielles Einfallstor; bisher wurde es Gott sei Dank nicht missbraucht.
<o:p></o:p></span></p>
<p class="MsoNormal"><span style="mso-fareast-language:EN-US"><o:p> </o:p></span></p>
<p class="MsoNormal"><span style="mso-fareast-language:EN-US">Unsere Verwaltung hat seit Kurzem einen neuen IT-Dienstleister, und das Thema Sicherheit wird jetzt wichtiger genommen. Hier werden im Moment 2 Wege diskutiert:<o:p></o:p></span></p>
<ul style="margin-top:0cm" type="disc">
<li class="MsoListParagraph" style="margin-left:0cm;mso-list:l0 level1 lfo1"><span style="mso-fareast-language:EN-US">Jedes QGIS-Plugin (das kann auch eines aus dem Internet sein) wird vom IT-Dienstleister verpackt, in einem Softwarecenter zur Verfügung gestellt,
und kann dann vom Nutzer selbst installiert werden. Jedes dieser plugins hat innerhalb unserer Verwaltung einen sogenannten Anwendungsverantwortlichen, d.h. auch ein plugin aus dem Internet muss vom Anwendungsverantwortlichen sicherheitstechnisch geprüft werden;
z.Z. erst in Teilen realisiert.<o:p></o:p></span></li><li class="MsoListParagraph" style="margin-left:0cm;mso-list:l0 level1 lfo1"><span style="mso-fareast-language:EN-US">Einrichtung eines Intranet-Repositoriums, auf die die Anwendungsverantwortlichen ihr plugin (ob aus dem Internet oder selbst programmiert)
selbst hochladen können. Das ist im Moment wohl der Favorit, einfach weil das Verpacken durch den IT-Dienstleister einen nicht tragbaren Zeitrahmen erfordert; warum auch immer.<o:p></o:p></span></li></ul>
<p class="MsoNormal"><span style="mso-fareast-language:EN-US"><o:p> </o:p></span></p>
<p class="MsoNormal"><span style="mso-fareast-language:EN-US">Es ist wohl so, dass die QGIS-Community beim Thema Sicherheit noch nachlegen sollte.
</span>Crowdfunding ist da sicher eine gute Idee. Vielleicht können wir das als qgis.de ja mal anstoßen.<span style="mso-fareast-language:EN-US"><o:p></o:p></span></p>
<p class="MsoNormal"><span style="mso-fareast-language:EN-US"><o:p> </o:p></span></p>
<div>
<p class="MsoNormal"><span style="color:#1F497D">Mit freundlichen Grüßen, Im Auftrage<o:p></o:p></span></p>
<p class="MsoNormal"><span style="color:#1F497D">Uwe Brengelmann<o:p></o:p></span></p>
<p class="MsoNormal"><span style="color:#1F497D"><o:p> </o:p></span></p>
<p class="MsoNormal"><span style="color:#1F497D">Landesamt für Geoinformation und Landesvermessung Niedersachsen (LGLN)<o:p></o:p></span></p>
<p class="MsoNormal"><span style="color:#1F497D">- Regionaldirektion Oldenburg-Cloppenburg -<o:p></o:p></span></p>
<p class="MsoNormal"><span style="color:#1F497D">Dezernat 2 - Geodatenmanagement<o:p></o:p></span></p>
<p class="MsoNormal"><span style="color:#1F497D">Im Hagen 2, 27793 Wildeshausen<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US" style="color:#1F497D">Tel.: +49 4431 73798-35<o:p></o:p></span></p>
<p class="MsoNormal"><span lang="EN-US" style="color:#1F497D">Fax: +49 4431 73798-11<o:p></o:p></span></p>
<p class="MsoNormal"><span style="color:#1F497D"><a href="mailto:uwe.brengelmann@lgln.niedersachsen.de"><span lang="EN-US" style="color:#0563C1">mailto:uwe.brengelmann@lgln.niedersachsen.de</span></a></span><span lang="EN-US" style="color:#1F497D"><o:p></o:p></span></p>
<p class="MsoNormal"><span style="color:#1F497D"><a href="http://www.lgln.niedersachsen.de"><span style="color:#0563C1">www.lgln.niedersachsen.de</span></a><o:p></o:p></span></p>
</div>
<p class="MsoNormal"><span style="mso-fareast-language:EN-US"><o:p> </o:p></span></p>
<div>
<div style="border:none;border-top:solid #E1E1E1 1.0pt;padding:3.0pt 0cm 0cm 0cm">
<p class="MsoNormal"><b>Von:</b> Thomas B <rdbath.regiodata@gmail.com> <br>
<b>Gesendet:</b> Freitag, 16. September 2022 10:02<br>
<b>An:</b> Bernhard Ströbl <nospam@stroweb.de><br>
<b>Cc:</b> Brengelmann, Uwe (LGLN) <Uwe.Brengelmann@lgln.niedersachsen.de>; qgis-de@lists.osgeo.org<br>
<b>Betreff:</b> Re: [QGIS-DE] Repositorium im Internet<o:p></o:p></p>
</div>
</div>
<p class="MsoNormal"><o:p> </o:p></p>
<div style="border:solid #003333 1.0pt;padding:2.0pt 2.0pt 2.0pt 2.0pt">
<p style="line-height:10.0pt;background:#D5EAFF"><span style="font-size:10.0pt;font-family:"Time new Roman",serif;color:red">ACHTUNG!!</span><span style="font-size:10.0pt;font-family:"Time new Roman",serif"> Diese E-Mail erreicht Sie von einem Absender außerhalb
der niedersächsischen Landesverwaltungs-Infrastruktur mit TLS-Verschlüsselung. Bitte klicken Sie auf keine Links oder öffnen Sie keine E-Mail-Anhänge, falls Sie den Absender nicht kennen und nicht wissen, ob der Inhalt sicher ist.<o:p></o:p></span></p>
</div>
<div>
<div>
<div>
<p class="MsoNormal">Hallo Uwe und Bernd,<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">ich persönlich halte es allein von der vorhandenen "manpower" für nicht gegeben, dass alle >1000 Plugins im offiziellen Repository manuell auf Sicherheitslücken hin überprüft werden können. In einem nicht mehr ganz aktuellen Blogeintrag
wurde die Tatsache, dass der Inhalt der Plugins außerhalb der Kontrolle des QGIS-Projektes selbst steht folgendermaßen eingestuft: "We view this as a potential security risk ". (s.u.)
<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">In Bereichen, in denen IT-Sicherheit wichtig ist oder gar auf bestimmten ISO-Normen hin überprüft wird würde ich nur ein hausinternes Repository einbinden. Besser noch wäre es den Plugin-Installer anzupassen, so dass man mit einer Whitelist
arbeiten kann und nur freigegebene Plugins überhaupt installiert/aktiviert werden können aber das wäre sicherlich ein gewisser Aufwand. Je nachdem wie viel Bedarf es hier gibt könnte das ja auch mal ein Thema für ein Crowdfunding sein.<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p> </o:p></p>
</div>
<div>
<p class="MsoNormal">Viele Grüße,<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal">Thomas<o:p></o:p></p>
</div>
<div>
<p class="MsoNormal"><o:p> </o:p></p>
</div>
<div>
<p class="MsoNormal"><a href="https://blog.qgis.org/2016/08/26/what-are-trusted-plugins/">https://blog.qgis.org/2016/08/26/what-are-trusted-plugins/</a>
<o:p></o:p></p>
</div>
<div>
<p>The vast majority of our plugins (listed in <a href="http://plugins.qgis.org/">
http://plugins.qgis.org/</a> and inside your copy of QGIS) are developed by third parties, either individuals, companies, and institutions. As such, they are outside our direct control and the developers often relatively unknown to the QGIS community. We view
this as a potential security risk. We are convinced the risk is small, because of many factors including the “many eyes” principle (the code is visible to everybody, and in use by thousands of people), but cannot exclude the possibility that someone tries
to inject malicious code into a plugin.<o:p></o:p></p>
<p>In order to address this situation, we looked into the opportunity of implementing automatic tools to scan plugins, before their publication, and spot potential problems. Our research indicated that this approach would be difficult and costly, and easy to
circumvent.<o:p></o:p></p>
<p>We (the PSC) therefore decided to implement a simple yet robust approach to security, based on the ‘web of trust’ principle: we trust people we know well in the community. You will see on the
<a href="http://plugins.qgis.org">http://plugins.qgis.org</a> web site that there is a ‘Trusted Author’ tag has been applied to plugins created by those members of the community that we know and trust.<o:p></o:p></p>
</div>
</div>
<p class="MsoNormal"><o:p> </o:p></p>
<div>
<div>
<p class="MsoNormal">Am Do., 15. Sept. 2022 um 15:14 Uhr schrieb Bernhard Ströbl <<a href="mailto:nospam@stroweb.de">nospam@stroweb.de</a>>:<o:p></o:p></p>
</div>
<blockquote style="border:none;border-left:solid #CCCCCC 1.0pt;padding:0cm 0cm 0cm 6.0pt;margin-left:4.8pt;margin-right:0cm">
<p class="MsoNormal">Hallo Uwe,<br>
meines Wissens nach gibt es da keine Gewährleistung über die Community, um sicherzugehen, solltest Du die Frage nochmal auf die QGIS-user ML geben.<br>
Grundsätzlich gibt es derartige Fragen natürlich. Ein paar Ideen, wie man damit umgehen kann:<br>
- organisatorische Lösung: den MA ist es untersagt, Software aus dem Internet zu installieren<br>
- technische Lösung: sperren der URL<br>
- technische Lösung: Deaktivieren des Repos in QGIS<br>
Grundsätzlich kannst Du nicht verhindern, dass jemand sich ein Plugin herunterlädt und auf dem Firmenrechner installiert (notfalls lädt er es zu Hause runter und bringt es per USB-Stick mit), Du kannst es ihm nur erschweren.<br>
Wenn Du dennoch Plugins zur Verfügung stellen willst, kannst Du sie mit QGIS direkt verteilen, oder im Intranet Profile anbieten, die die Nutzer bei sich installieren können oder ein eigenes Plugin-Repo im Intranet betreiben.<br>
Grüße<br>
Bernhard<br>
<br>
<br>
> Brengelmann, Uwe (LGLN) <<a href="mailto:uwe.brengelmann@lgln.niedersachsen.de" target="_blank">uwe.brengelmann@lgln.niedersachsen.de</a>> hat am 15.09.2022 14:17 CEST geschrieben:<br>
> <br>
> <br>
> Hallo Community,<br>
> In QGIS ist ja ein Internet-Repositorium eingerichtet, das hunderte von QGIS-Plugins enthält. Da das Thema Sicherheit eine immer größere Bedeutung bekommt, hier meine Frage dazu:<br>
> Ist eigentlich sichergestellt, das man sich über das Internet-Repositorium keine Viren oder andere Schadprogramme einfängt? Ist das durch die QGIS-Community gewährleistet und wie? Gibt es da eine Argumentationshilfe den Personen in der eigenen Organisation
gegenüber, die sich um IT-Sicherheit kümmern?<br>
> <br>
> Mit freundlichen Grüßen, Im Auftrage<br>
> Uwe Brengelmann<br>
> <br>
> Landesamt für Geoinformation und Landesvermessung Niedersachsen (LGLN)<br>
> - Regionaldirektion Oldenburg-Cloppenburg -<br>
> Dezernat 2 - Geodatenmanagement<br>
> Im Hagen 2, 27793 Wildeshausen<br>
> Tel.: +49 4431 73798-35<br>
> Fax: +49 4431 73798-11<br>
> mailto:<a href="mailto:uwe.brengelmann@lgln.niedersachsen.de" target="_blank">uwe.brengelmann@lgln.niedersachsen.de</a><br>
> <a href="http://www.lgln.niedersachsen.de" target="_blank">www.lgln.niedersachsen.de</a><<a href="http://www.lgln.niedersachsen.de" target="_blank">http://www.lgln.niedersachsen.de</a>><br>
> <br>
> _______________________________________________<br>
> QGIS-DE mailing list<br>
> <a href="mailto:QGIS-DE@lists.osgeo.org" target="_blank">QGIS-DE@lists.osgeo.org</a><br>
> <a href="https://lists.osgeo.org/mailman/listinfo/qgis-de" target="_blank">https://lists.osgeo.org/mailman/listinfo/qgis-de</a><br>
_______________________________________________<br>
QGIS-DE mailing list<br>
<a href="mailto:QGIS-DE@lists.osgeo.org" target="_blank">QGIS-DE@lists.osgeo.org</a><br>
<a href="https://lists.osgeo.org/mailman/listinfo/qgis-de" target="_blank">https://lists.osgeo.org/mailman/listinfo/qgis-de</a><o:p></o:p></p>
</blockquote>
</div>
</div>
</div>
</body>
</html>