Update: die Stadt hat mir ohne grossen Aufwand den Strafzettel erlassen. Das ist eine gute Sache. Trotzdem bin ich der Meinung man sollte für Notfälle eine Parkmöglichkeit schaffen, wo gekennzeichnet ist wie man bei einem Strafzettel vorgehen kann. Vielleicht auch tatsächlich ein, zwei Parkplätze besonders kennzeichnen.

Lieber Herr Oberbürgermeister der Stadt Göttingen,
Ihr Hilferuf hat unsere kleine Familie am 24.10 im Waldweg auf dem Parkplatz des Neu Bethlehem in Form eines Strafzettels für das Fehlen eines Parkscheins erreicht. Mir war nicht klar, dass Göttingen kurz vor einer finanziellen Katastrophe steht. Leider war es mir nicht möglich morgens um 5 Uhr den Parkscheinautomat zu betätigen, da ich meine, unter starken Wehen leidende Freundin, stützen musste. Wäre ihr die finanzielle Situation Göttingens bewusst gewesen, hätte sie sich eventuell etwas mehr beherrscht. Leider kam ich erst am Nachmittag aus dem Kreißsaal und konnte Ihre Nachricht unter dem Scheibenwischer meines Autos finden.

Damit wir zusammen diese Krise durchstehen, biete ich Ihnen an einen Strafzettel für das Fehlen eines Parkscheins aufgrund einer Geburt am 24.10 einmal pro Jahr, die nächsten 4 Jahre, zu übernehmen. Neulinge in Göttingen oder junge Familien könnten sonst wohl noch denken, Göttingen sei raffgierig, Familien unfreundlich, gar auf Neugeborene nicht gut zu sprechen. Wir wissen aber von dieser finanziellen und organisatorischen Krise, da ansonsten natürlich eine kostenlose Parkmöglichkeit für Notfälle geschaffen worden wäre oder wenigstens eine andere Möglichkeit (ohne Zweifel gibt es Möglichkeiten).

Eventuell besteht auch die Möglichkeit eines unbezahlten Praktikums bei der Stadt Braunschweig. Wir könnten vielleicht einen Platz für Sie vermitteln. Dort erhalten Eltern von Neugeborenen zum Beispiel ein Überraschungspaket der Stadt Braunschweig mit vielen praktischen Dingen, dort hat zum Beispiel das Bürgerservicecenter (in Göttingen nennt man das Einwohnermeldeamt) auch Samstags auf, auch die KFZ Stelle hat eingeschränkt Samstags auf. Das mag für Göttingen alles noch Zukunftsmusik sein, aber man kann sich durchaus große Ziele stecken.
Ich habe den Strafzettel eingerahmt und hänge ihn in das Kinderzimmer unseres kleinen Schatzes, damit wir immer daran erinnert werden, wie wir der Stadt Göttingen aus der Krise geholfen haben. Allen Kritikern gegenüber werden wir berichten zu welchen drastischen Maßnahmen Sie gezwungen sind.

Liebe Grüße,

Thomas, Silvia und die kleine Selda

p.s. Um sinnlosen Verantworlichkeits-Diskussionen aus dem Weg zu gehen. Bei Linuxbenutzern herrscht eigentlich der einfache Grundsatz „Wer root hat, trägt auch die Verantwortung für das System“.

===Der Artikel ist schon etwas älter, aber bevor ich ihn lösche… ===

Warum Updates und wie kann an sich informieren?

Betreibt man seinen Server im Internet kommt man um regelmäßige Updates nicht drumherum. Bei Debian stable Systemen bestehen die Updates in der Regel aus Sicherheitsupdates und bringen nur sehr selten größere Versionssprünge mit sich. Informationen zu verfügbaren Updates findet man für Debian unter http://www.debian.org/security/. Dort ist auch eine so genannte debian-security-announce mailing list verlinkt. Trägt man sich dort ein, erhält man eine Benachrichtigung per mail, falls neue Update bereitstehen. Für Ubuntu findet man diese Informationen unter http://www.ubuntu.com/usn. Jede Distribution hat in der Regel einen solchen Informationskanal. Auch das DFN bietet einen solchen Service unter https://portal.cert.dfn.de/ an, Voraussetzung dabei ist ein gültiges DFN-PKI Zertifikat, etwas umständlich, aber eh nur als Hinweis zu sehen. Es sollte vermieden werden, sich bei zu vielen Listen einzutragen, das dient weder der Übersichtlichkeit, noch erhält man zusätzliche Informationen. Sicherheitsupdates sollten, nach Möglichkeit, immer Zeit nah einspielt werden. auf etwaige Wartungsfenster sollte man dabei keine Rücksicht nehmen. Dabei ist es egal, ob es sich um so genannte „local“ oder „remote“ Schwachstellen handelt. Tauchen Exploits erst mal bei Seiten wie http://packetstormsecurity.org/files/ oder 1337day usw. auf, steigt das Risiko eines potentiellen Angriffs auf die ungepatchte Software enorm.
Kurz und knapp gesagt: Existieren Sicherheitsupdates, sind diese zu installieren.

Updates installieren

Unter Debian läuf das Updaten relativ einfach ab.

apt-get update; apt-get dist-upgrade

Durch apt-get update ist dem System bekannt welche Updates eingespielt werden müssen und mit apt-get dist-upgrade werden diese eingespielt. Tools wie apticron, cron-apt oder unattended-upgrades sollten auch einen Blick wert sein. Diese Tools helfen zusätzlich um Updateinformationen zu erhalten und Updates automatisch einzuspielen. Besonders unattended-upgrades ist ein einfacher Weg Updates, besonders Sicherheitsupdates, automatisiert einzuspielen. Dabei kann auch bei jedem durchgeführten Update, eine mail verschickt werden. Will man verfügbare Updates auch via Nagios überwachen, bietet sich check_apt als Plugin an.
Ein Log der eingespielten Updates findet man im Nachhinein unter /var/log/apt/history.log bzw. in /var/log/unattended-upgrades/.

Updates überprüfen

Da es in der Regel keine größeren Versionsprünge bei „normalen“ Updates gibt, sollte es keine Veränderung beim Verhalten des Programms geben. Anders sieht es natürlich bei major Upgrades aus. Eine Sprung von z.B: PHP 5.2 auf 5.3 zieht etliche Veränderungen an diversen Webapplikationen mit sich. So ein Update passiert natürlich nicht beim normalen Systemupdate. Es schadet aber nicht, sich die Updates etwas genauer anzuschauen auch um eventuell neu auftretende Probleme mit den Updates in Verbindung zu bringen. Die betroffenen Dienste sollten auf jeden Fall, nach dem Update, auf ihre Funktion überprüft werden.

Wen informieren?

Bei Sicherheitsupdates kann eigentlich drauf verzichtet werden die Benutzer zu informieren. Es sei denn mit dem Update ist ein Ausfall eines Dienstes verbunden, ist es so, sollte man dem Benutzer über den Grund und die etwaige Dauer des Ausfalls informieren. Ob es den 0815 Benutzer interessiert, dass ein neuer Kernel installiert wurde und welche Lücken durch Update XY gestopft wurden? Information ist dabei das A und O, jeder Benutzer nimmt es positiv wahr, wenn er über den Grund eines Ausfalls informiert wird. Je nach Dauer und Wichtigkeit des Dienstes sollte man die Benutzer rechtzeitig informieren. Die Regel ist einfach: Lieber zu viel, als zu wenig Informationen.
Natürlich hat man immer Querulanten dabei, die sich über Ausfälle beschweren und kein Verständnis zeigen. Diese sollte man über die Folgen nicht durchgeführter Updates aufklären und aus der Freundesliste streichen ;-).

Sonderfall Reboot

Benötigt das Update einen Reboot, wie z.B. ein neuer Kernel wurde installiert, ist es wichtig vorher zu klären ob z.B. ein Dateisystem Check ansteht. Je nach eingesetztem Dateisystem und Größe des Devices kann so ein Check viel Zeit in Anspruch nehmen. Ob ein solcher Check ansteht, kann man mit Hilfe von tune2fs überprüfen, z.B:

$ tune2fs -l /dev/sdc1
...
Mount count:              4
Maximum mount count:      25
Last checked:             Fri Nov 25 09:48:18 2011
Check interval:           15552000 (6 months)
Next check after:         Wed May 23 10:48:18 2012
...

Wie sinnvoll ein Check ist oder nicht, ist eine andere Frage. Viele neigen dazu diese Checks beim anlegen des Devices abzuschalten, ich tue dies nicht.

Letzte Worte

Man sollte sich generell bei Updates immer darüber im klaren sein, wie viel Zeit ein Update einspielen kostet und wie viel Zeit man benötigt um einen Eindringling wieder vom System zu entfernen bzw. den angerichteten Schaden zu beheben.