ubuntuusers.de

Hab hier ne Software die JDK 8 (am besten noch von Oracle) vorraussetzt.

Welche Möglichkeit habe ich OpenJDK8 aus Unicorn in mein Trusty zu bringen, ohne mein ganzes System durch ein komplettes Upgrade auf Unicorn zu zerschießen?

Wie wertet ihr die von Oracle zur Verfügung gestellten Java-Varianten bezüglich Stabilität und Sicherheit im Vergleich zu OpenJDK?

MoonKid schrieb:

Welche Möglichkeit habe ich OpenJDK8 aus Unicorn in mein Trusty zu bringen, ohne mein ganzes System durch ein komplettes Upgrade auf Unicorn zu zerschießen?

Das geht per Apt-Pinning. Ist aber nichts für "ich lese mal nur halb drüber". 😉

MoonKid schrieb:

Wie wertet ihr die von Oracle zur Verfügung gestellten Java-Varianten bezüglich Stabilität und Sicherheit im Vergleich zu OpenJDK?

OpenJDK ist ja die Referenz-Implementierung. Ich finde sie schön und gut. Und quelloffen.

Oracle optimiert dieses OpenJDK dann für diverse Plattformen und bietet geschlossene Binärpakete für diese an: von Intel-Linux bis zu ARM-Linux wie dem Himbeer-Pi. Auch wenn wir auf den hardware-beschleunigten FX-Szenengraph für 2D- und 3D-Graphik von Java8 schauen, sieht Oracles Java8 blendend aus.

Ich nutze Oracles Java8 werktäglich auf einer Xubuntu-14-LTS-Maschine und es läuft schnell und rundum stabil. Es ist bisher schneller als OpenJDK (auf dem Himbeer-Pi sogar um mehrere Faktoren schneller) und bei gewissen graphik-sensiblen Bereichen auch noch genauer als die Referenz-Implementierung: z.B. sind gewisse Java2D-Spezialgebiete wie die Linien-Muster (Füllpfade oder wie die heißen) in OpenJDK noch nicht so weit wie in Oracles Java. Das ist eher für alte Anwendungen wichtig, denn neuere können für die Graphik die FX-Api von Java8 verwenden, welche unter Ubuntu schön den OpenGL(ES)-Treiber benutzt.

P.S. "Installieren" könnte nicht einfacher sein: ich lade von Oracle jeweils das "tar.gz"-Archiv herunter, entpacke es und das war dann schon alles. (Wenn man es als vollen Ersatz fürs OpenJDK aus dem Software-Zentrum haben will, kann man durch Anpassen der PATH-Variable dies auch leicht erreichen, wie ich z.B. hier im Forum beschrieb.)

Reinarden schrieb:

P.S. "Installieren" könnte nicht einfacher sein: ich lade von Oracle jeweils das "tar.gz"-Archiv herunter

Wie stellst du die Aktuallität und (insbesondere bei Java) damit die Sicherheit sicher? Kannst du das OracleJDK irgendwie in einen automatischen Update-Mechanismus (apt-get upgrade) einbinden?

MoonKid schrieb:

Wie stellst du die Aktuallität und (insbesondere bei Java) damit die Sicherheit sicher? Kannst du das OracleJDK irgendwie in einen automatischen Update-Mechanismus (apt-get upgrade) einbinden?

Ich glaube mich erinnern zu können, daß hier im Forum mal vor nicht allzu langer Zeit ein "PPA" erwähnt wurde, das Oracles Java installiert und aktuell hält. Doch wie das heißt, weiß ich leider nicht mehr.

Reinarden schrieb:

Ich glaube mich erinnern zu können, daß hier im Forum mal vor nicht allzu langer Zeit ein "PPA" erwähnt wurde, das Oracles Java installiert und aktuell hält.

Oracle verbietet per Lizenz die Weitergabe durch dritte, somit auch das Erstellen eines PPAs. Wenn das trotzdem jemand anbieten sollte würde ich mich da nicht drauf verlassen, dass es auch lange existiert.

Abgesehen davon, dass PPAs natürlich immer vollkommen ungeprüfte Fremdquellen darstellen, deren Pflege jederzeit eingestellt werden kann und die nicht mit dem Rest des Systems kompatibel sein müssen.

tomtomtom schrieb:

Abgesehen davon, dass PPAs natürlich immer vollkommen ungeprüfte Fremdquellen darstellen,

Genauso, wie wenn ich es von Oracle beziehen würde. Ist auch nur eine ungeprüfte Fremdquelle.

MoonKid schrieb:

Genauso, wie wenn ich es von Oracle beziehen würde. Ist auch nur eine ungeprüfte Fremdquelle.

(Fast) korrekt. Bei Oracle weißt du immerhin noch, dass es die unveränderte Oracle-Version ist.

tomtomtom schrieb:

MoonKid schrieb:

Genauso, wie wenn ich es von Oracle beziehen würde. Ist auch nur eine ungeprüfte Fremdquelle.

(Fast) korrekt. Bei Oracle weißt du immerhin noch, dass es die unveränderte Oracle-Version ist.

Ok, das binary hat ne checksum, aber ich sehe kein Code-Repository bei dennen die Commits checksummen haben.

Ich sehe (bzw. verstehe) keinen Sicherheitsgewinn eines Oracle-binarys im Vergleich zu einem PPA.

Und wenn ich so drüber nachdenke, kommt mir ne andere Frage.... Gibt es überhaupt Methoden um den Prozess des Binary-Erzeugens abzusichern bzw. zu signieren? Wie könnte ich feststellen (egal welches Projekt), ob ein (nicht von mir!) erzeugtes binary, tatsächlich aus dem sauber signierten Git-repository stammt und nicht doch noch vor dem build eine Hintertür reingebaut wurde? Gibt es hierfür Ansätze, oder bleibt einem nur das Selbstbauen?