Wie funktioniert SonarQube?

SonarQube besteht aus drei Komponenten

1. Einem Modul für Build-Management-Tools wie Apache Maven oder Apache Ant. (Hauptsächlich für die Analyse des Quelltextes hinsichtlich verschiedener Qualitätsmerkmale.)
2. Einer Datenbank, für Speicherung der Ergebnisse der Qualitätsanalyse.
3. Einer Website für die visuelle Darstellung, Auswertung und das Management der Qualitätsanalyse-Ergebnisse.

Durch diese Architektur kann man sowohl eine Prüfung des Quelltextes auf dem Entwicklungsrechner ermöglichen als auch eine Einbindung von SonarQube in den Entwicklungsprozess gewährleisten. Dies unterstützt die Ermittlung der Qualitätsmetriken auf einem Build-Server für die kontinuierliche Integration.

SonarQube analysiert den Quelltext hinsichtlich der Abdeckung durch Modultests, checkt den Quellcode nach doppeltem Code und in Bezug auf die Komplexität. Auch werden unter anderem potenzielle Fehler im Code, Kodier-Richtlinien als auch Kommentare überprüft.

Modularer Aufbau und Erweiterungen

SonarQube ist modular aufgebaut und integriert selbst einige bekannte Entwicklungswerkzeuge zur Analyse der Codequalität, darunter PMD und Checkstyle für die Erkennung von doppeltem Code für die Prüfung von Kodier-Richtlinien. Damit wird unter anderem auch nach ineffizientem Code gesuche. FindBugs dient beispielsweise zum Aufdecken potenzieller Fehler sowie Surefire und Cobertura zur Messung der Qualität der Modultests.

Diese Werkzeuge nutzen entsprechend ihrer Natur und Einsatzgebiete Metriken, um die jeweiligen Auswertungen bzw. Statistiken zu erzeugen. Der Name „Metrik“ trägt jedoch wenig Bedeutung von dem in sich, was eine Metrik ausmacht. Schlägt man nämlich nach woher der Name kommt, landet man im Lateinischen: „ars metrica„, die Lehre von den Maßen. Fragt man jedoch das Institute of Electrical and Electronics Engineers, was eine Softwaremetrik ist, erhält man folgende Antwort:

„software quality metric: A function whose inputs are software data and whose output is a single numerical value that can be interpreted as the degree to which software possesses a given attribute that affects its quality.“ „Eine Softwarequalitätsmetrik ist eine Funktion, die eine Software-Einheit in einen Zahlenwert abbildet, der als Erfüllungsgrad einer Qualitätseigenschaft der Software-Einheit interpretierbar ist.“ – IEEE Standard 1061, 1998

Folglich bedeutet dies, dass es sich bei einer Metrik am Ende des Tages um eine Funktion handelt, die für beliebige Eingaben Zahlen erzeugt. Die Beschaffenheit ist so, dass sie, nur so 

lange sie von derselben Funktion erzeugt wurden, vergleichbar sind. Dadurch kann man Rückschlüsse auf die Eingabe mit Hinblick auf die Funktion erzielen.

Ein Beispiel dafür ist die McCabe-Metrik, auch zyklomatische Komplexität genannt. Diese sehr grundlegende Metrik berechnet die Anzahl der unterschiedlichen Pfade durch ein Stück Code. Die Formel ist relativ einfach: Es wird die Anzahl an Kontrollstrukturen wie if, while, case und boolescher Operatoren wie && und || summiert und nochmals mit 1 addiert. Möchte man diese Information nochmals anhand eines Beispiels betrachten, sieht es folgendermaßen aus:

String nameDesWochenTags(int nr) {
  switch(nr) {
    case 1: return "Montag";
    case 2: return "Dienstag";
    case 3: return "Mittwoch";
    case 4: return "Donnerstag";
    case 5: return "Freitag";
    case 6: return "Samstag";
    case 7: return "Sonntag";
  }
  return "";
}

Diese relativ einfache Methode gibt den Namen eines Wochentages entsprechend seiner 1-indizierten Position innerhalb der Woche zurück. Ihre zyklomatische Komplexität beträgt 8. Zumal 1 + 7 x case. Dies ist ein verhältnismäßig hoher Wert. Ein Maximalwert von 10 gilt als allgemein akzeptiert und ausreichend erprobt. Um also die Komplexität dieser Methode zu verringern, findet eine Refaktorisierung statt, die folgendermaßen aussehen kann:

String nameDesWochenTags(int nr) {
  String[] names = new String[] {
    "Montag", "Dienstag", "Mittwoch",
    "Donnerstag", "Freitag", "Samstag",
    "Sonntag"
  };
  if(nr) > 0 && <= names.length) {
    return names[nr - 1];
  }
  return "";
}

Die zyklomatische Komplexität dieser Methode beträgt 3. Zumal 1 + 1 x if + 1 x &&. Durch den unterschiedlichen Ansatz kann man die Komplexität verringern. Dennoch ist es relativ unstrittig, dass die erste Version leichter zu verstehen ist.

Will man nun also alle Tools gemeinsam benutzen, muss man alle konfigurieren und ihre Ergebnisse zusammenführen, damit sich ein Gesamtbild darstellen lässt. Außerdem kommt es dabei zwangsweise zu Dopplungen in ausgewerteten Metriken oder anderen Kennzahlen. PMD beispielsweise besitzt durch seinen relativ vagen Aufgabenbereich Überschneidungen im Hinblick auf Codestil mit checkstyle, während es aber auch genauso wie FindBugs auf toten Code achtet. An solchen und weiteren Stellen kann SonarQube Verbesserungen herbeiführen.

Neben der visuellen Anzeige der Ergebnisse der einzelnen Bereiche, ermöglicht SonarQube das Drill-Down der Ergebnisse bis auf die einzelne Metrik und Codezeile sowie die Verknüpfung der einzelnen Metriken sowie die Darstellung ihrer historischen Entwicklung in einer recht übersichtlichen grafischen Oberfläche.

Über einen ausgeklügelten Plugin-Mechanismus ist eine relativ einfache Integration von Erweiterungen möglich. Neben den Erweiterungen für die Analyse zusätzlicher Programmiersprachen gibt es Plugins für ergänzende Metriken, Governance, Schnittstellen zu Entwicklungsumgebungen, Visualisierungen, Integration sowie zur Berechnung der technischen Schuld(en).

Fazit

Ich arbeite noch nicht so lange mit SonarQube. Um genau zu sein, habe ich es mir erst heute das erste Mal angeschaut. Zusammenfassend kann ich folgendes sagen:

Statistiken sind zwar interessant und es kann Spaß machen, sich diese anzuschauen, doch ist eine statische Codeanalyse erst dann wirklich vollständig, wenn ein Mindestmaß an Interpretation hineingeflossen ist.

Die Codeanalyse liefert ein gutes Gefühl für die Codebasis. Erst so kann man fundierte Aussagen darüber treffen, welche Bereiche des Projekts besonders gefährdet, instabil oder verbesserungsfähig sind.

Regelmäßige Analysen können die Teammotivation erhöhen. Eine positive Issuebilanz am Ende eines Sprints und aufwärtszeigende Historiengraphen sollten gute Treiber für eine Gruppe Entwickler und ein Beweis für die eigene Leistung sein.

Alles in allem sind Analyseergebnisse immer gut als Argumentationsgrundlage. Mit Hilfe der Projekthistorie, die eine Auswahl gut darstellbarer Kennzahlen beinhaltet, kann man vor Kunden oder Entscheidern besser über ein eventuell nötiges technisches Release diskutieren.

Der Beitrag SonarQube – Das Code-Qualitätsmanagement-Tool erschien zuerst auf CEOsBay.

Kurze Zeitreise

Die Geschichte des Raspberry Pi geht zurück auf das Jahr 2006. Als ein Team von Wissenschaftlern und Technikern am Computer Laboratory der University of Cambridge, darunter Eben Upton, Rob Mullins, Jack Lang, Alan Mycroft und Pete Lomas, eine wachsende Besorgnis über den Rückgang der Informatikkenntnisse unter britischen Schülern feststellten. Die Anzahl der Schüler, die Informatik auf Universitätsebene studierten, nahm ab. Hinzu kam, dass die Schüler weniger praktische Programmiererfahrungen hatten, als in den Jahren vorher.

Als Hauptursache des Rückgangs identifizierten sie die Unzugänglichkeit von erschwinglichen, programmierbaren Computern für junge Menschen. In den 80er Jahren hatten Heimcomputer wie der BBC-Micro und der Commodore 64 eine Generation von Technikbegeisterten inspiriert. Dies ermöglichte auch vielen von ihnen Programmierkenntnisse zu erwerben. Doch die Komplexität der Computer steigerte sich im Laufe der Zeit. Vor allem stiegen damit auch die Anschaffungskosten, wodurch sie für viele unzugänglich geworden sind, insbesondere im Kontext der Bildung.

Um dieses Problem zu lösen, arbeitete das Team an der Entwicklung eines kleinen, erschwinglichen und benutzerfreundlichen Einplatinencomputers. Dieser sollte den Schülern ermöglichen, Programmieren und Computertechnik auf spielerische Weise zu erlernen. Die Idee, ein Gerät zu schaffen, dass in der Lage ist, grundlegende Programmieraufgaben auszuführen. Dies zu einem Bruchteil der Kosten eines herkömmlichen Computers. Dieses Projekt führte zur Entstehung des kleinen Alleskönners.

Entstehung der Raspberry Pi Foundation

Man gründete im Jahr 2009 die Raspberry Pi Foundation, eine gemeinnützige Organisation, um die Entwicklung des Geräts voranzutreiben und Bildungsressourcen bereitzustellen, die auf dem Raspberry Pi basierten. Im Februar 2012 kam dann die erste Version, das Model B, auf den Markt. Die Nachfrage nach dem Gerät, enorm. Und innerhalb weniger Jahre gingen Millionen von Raspberry Pi-Einheiten weltweit über die Ladentheke.

Seitdem hat die Raspberry Pi Foundation verschiedene Modelle und Generationen des Geräts veröffentlicht, die jeweils verbesserte Hardware und Funktionalität bieten. Weiterhin mit der Aufgabe, das Erlernen von Programmierkenntnissen und Computertechnik für Menschen aller Altersgruppen und Fähigkeiten zugänglich und erschwinglich zu machen. Der kleine Alleskönner hat inzwischen eine große und leidenschaftliche Gemeinde. Bestehend aus Bastlern, Entwicklern und Technikbegeisterten und man nutzt es für eine Vielzahl von Projekten und Anwendungen.

Modelle und technische Daten

Seit der ersten Version gibt es mehrere Modelle mit unterschiedlichen Spezifikationen. Hier sind einige der bekanntesten Modelle:

1. Raspberry Pi 1 Model B (2012): Das ursprüngliche Modell mit einem 700 MHz Single-Core-Prozessor, 512 MB RAM und 2 USB-Anschlüssen.

2. Raspberry Pi 2 Model B (2015): Eine Verbesserung des ursprünglichen Modells mit einem 900 MHz Quad-Core-Prozessor und 1 GB RAM.

3. Raspberry Pi 3 Model B (2016): Das erste Modell mit integriertem Wi-Fi und Bluetooth, ausgestattet mit einem 1,2 GHz Quad-Core-Prozessor und 1 GB RAM.

4. Raspberry Pi 4 Model B (2019): Das bisher leistungsstärkste Modell mit einem 1,5 GHz Quad-Core-Prozessor, bis zu 8 GB RAM und Unterstützung für Dual-4K-Displays.

(Hier sei noch zu erwähnen, dass es auch alternative Geräte gibt, die wesentlich leistungsstärker sind. Doch darüber schreibe ich noch einen gesonderten Beitrag.)

Raspberry Pi Zero (2015) und Zero W (2017): Kleinere und kostengünstigere Modelle, die sich gut für einfache Projekte eignen.

Anwendungen und Projekte

Die Vielseitigkeit des kleinen Alleskönners hat dazu geführt, dass man es in einer Vielzahl von Projekten und Anwendungen einsetzen kann. Einige Beispiele hierfür sind:

• Heimautomatisierung: Die Verwendung des kleinen Alleskönners, um die eigenen smarten Geräte zu steuern oder um das gesamte Zuhause zu automatisieren.
• Retro-Gaming: Mit Emulatoren wie RetroPie kann man eine Vielzahl von klassischen Spielen aus verschiedenen Konsolen-Generationen genießen.
• Media Center: Man kann den kleinen Alleskönner als Media Center nutzen, indem man Kodi oder Plex installiert und Lieblingsfilme sowie Serien streamen.
• Lern- und Bildungsplattform: Um Programmieren zu lernen oder eigene Anwendungen zu entwickeln, um anderen dabei zu helfen, neue Fähigkeiten zu erlernen.
• Wetterstation: Benutzerdefinierte Wetterstation, um die Umgebungsinformationen wie Temperatur, Luftfeuchtigkeit und Luftdruck zu überwachen.
• Internet der Dinge (IoT) Projekte: Integration in ein IoT-Netzwerk, um Sensoren und Aktoren über das Internet zu steuern und um Daten zu sammeln.
• Robotik: Als Gehirn des eigenen Roboters, der in der Lage ist, verschiedene Aufgaben auszuführen, wie z.B. automatisiertes Fahren, Objektverfolgung und mehr.
• Sicherheit und Überwachung: Als kostengünstiges Sicherheitssystem mit Bewegungsmeldern, Kameras und Alarmen.
• Webserver: Als eigenen Webserver, um Websites oder Webanwendungen zu hosten.
• Künstliche Intelligenz und maschinelles Lernen: Experimente mit AI-Frameworks wie TensorFlow oder PyTorch, um Machine-Learning-Modelle auf dem Raspberry Pi zu erstellen oder auszuführen. Wobei sich hier auch NVIDIA’s Jetson anbietet und auch von der Performance her wahrscheinlich bei weitem besser aufgestellt ist 😉

Raspberry Pi Ressourcen und Community

Eine der größten Stärken des Raspberry Pi ist die riesige und engagierte Community. Die Raspberry Pi Community bietet unzählige Ressourcen, Tutorials und Foren, um Fragen zu beantworten und bei der Lösung von Problemen zu helfen. Einige empfehlenswerte Ressourcen sind:

Die offizielle Website: Hier findet man Neuigkeiten, Projekte und Lernressourcen direkt von der Raspberry Pi Foundation.

Raspberry Pi Forums: Eine aktive Community, in der man Fragen stellen, Antworten finden und sich mit anderen Enthusiasten austauschen kann.

Hackster.io: Eine Plattform für Bastler und Entwickler, um Raspberry Pi-Projekte mit detaillierten Anleitungen zu teilen und um neue Ideen zu entdecken.

Instructables: Eine weitere hervorragende Quelle für Schritt-für-Schritt-Anleitungen und Projekte, die auf dem Raspberry Pi basieren.

GitHub: Auf GitHub findet man zahlreiche Repositories, die Software, Tools und Projekte für den Kleinen enthalten. Einen Beitrag über GitHub selbst gibt es hier 😉

Fazit

Der Raspberry Pi hat die Welt der Heimcomputer und Bastler revolutioniert und ist ein Paradebeispiel dafür, wie ein kleines, kostengünstiges Gerät großen Einfluss haben kann. Seine Vielseitigkeit, einfache Handhabung und große Community haben dazu geführt, dass man es heute in einer Vielzahl von Projekten und Anwendungen einsetzen kann. Leider sind die Preise aufgrund der Pandemie und den damit verbundenen Lieferengpässen wesentlich gestiegen. Ansonsten bietet sich der kleine Alleskönner an, spannende unzählige Möglichkeiten zu entdecken. Man kann es kaufen, verschenken und auch spenden. In der Regel kann man damit nichts falsch machen.

Der Beitrag Raspberry Pi – Der Kleine mit großem Potential erschien zuerst auf CEOsBay.

Es verfolgt einen dezentralisierten Ansatz, basiert auf den IMAP bzw. SMTP Protokollen und ist, meiner Erfahrung nach, eines der „sichereren“ Messenger Apps, die man heutzutage nutzen kann.

Was ist IMAP?

Das Internet Message Access Protocol (IMAP), ursprünglich Interactive Mail Access Protocol, ist ein Netzwerkprotokoll, dass ein Netzwerkdateisystem für E-Mails bereitstellt.

Was ist SMTP?

Das Simple Mail Transfer Protocol (Einfaches E-Mail-Transportprotokoll), gehört zu der Internetprotokollfamilie, dass zum Austausch von E-Mails in Computernetzen dient)

Durch den Einsatz der E-Mail-Protokolle IMAP und SMTP ist Delta Chat mit jedem herkömmlichen E-Mail-Client kompatibel. Seit Veröffentlichung im Februar 2019 verzeichnet die App im Google Play Store über 100.000+ Downloads. Auch ist die App im Apple App Store verfügbar aber auf die Zahlen haben wir leider keinen Zugriff. Nachdem ein Freund mich darum gebeten hat, heute ein bisschen was über Delta Chat 😉

Wie funktioniert Delta Chat?

Wie anfangs angesprochen, werden die IMAP- und SMTP-Protokolle benutzt. Daher kommt das System ohne Registrierung bzw. Erstellung eines Kontos innerhalb des Messengers selbst und ohne eigene Server aus. Auch wird keine Telefonnummer oder der Zugriff auf das Adressbuch benötigt. Man ist bei der Verwendung nicht auf Nutzer beschränkt, die denselben Dienst verwenden. Folglich kann man damit Nutzer erreichen, die andere Chat-Clients verwenden, da das zugrundeliegende Messaging-Protokoll der offene E-Mail-Standard ist. Alles in allem sehr viel versprechend. Doch zu Beginn habe ich „sichereren“ in Anführungszeichen geschrieben. Bewusst 😉

Dies liegt aber weniger an Messenger selbst, sondern an der E-Mail-Infrastruktur bzw. den zugrundeliegenden Protokollen IMAP und SMTP. Darüber aber nachfolgend mehr.

Verschlüsselung

Bei Nachrichteninhalten wird auf Ende-zu-Ende-Verschlüsselung (E2EE) zur „sichereren“ Kommunikation gesetzt. Unter „E2EE“, versteht man die Verschlüsselung übertragener Daten, über alle Übertragungsstationen hinweg. Nur die Kommunikationspartner (Die jeweiligen Endpunkte der Kommunikation) können die Nachrichten entschlüsseln. Dazu nutzt der Messenger OpenPGP (Ein standardisiertes Datenformat für verschlüsselte und digital signierte Daten). Zertifikate definieren das Format, die als „Schlüssel“ bezeichnet werden. Autocrypt stellt eine weitere Schutzebene dar. Diese Verschlüsselung baut auf dem OpenPGP-Standard auf und ist damit kompatibel. Autocrypt ist ebenfalls eine standardisierte Richtlinie, die eine nutzerfreundliche Verschlüsselung von E-Mails und automatisierten, aber ungesicherten Austausch kryptografischer Schlüssel ermöglicht.

Bei der Verknüpfung eines E-Mail-Kontos generiert Delta Chat bei der Ersteinrichtung automatisch ein Schlüsselpaar. Auch der Import von bereits bestehenden Schlüsseln ist möglich. Mittels Autocrypt werden die öffentlichen Schlüssel anschließend zwischen den Teilnehmern ausgetauscht und ermöglichen damit eine E2EE-Kommunikation. Bei Autocrypt kann theoretisch ein nichtwohlgesonnener E-Mail-Provider diese Verschlüsselung kompromittieren, da Autocrypt grundsätzlich jeden Schlüssel akzeptiert. Dies erfolgt über „Opportunistic Security (RFC 7435)“. Dies werde ich zu einem späteren Zeitpunkt thematisieren, da es den Rahmen sprengen würde. Es ist 06:10 Uhr, Sonntag morgen 😀 – Wen es aber interessiert, kann dennoch auf den Link klicken 😉

MiTM

Auf jeden Fall können wir festhalten, dass das Potential erfolgreicher Man-in-the-Middle-Attacken minimiert wird. Bei einem Man-in-the-Middle-Angriff platziert sich der Angreifer logisch oder physisch zwischen dem Opfer und den verwendeten Ressourcen. Der Angreifer ist dadurch in der Lage, die Kommunikation abzufangen, mitzulesen oder zu manipulieren. Delta Chat erweitert den Autocrypt-Standard daher um countermitm – dadurch wird die Wahrscheinlichkeit einer erfolgreichen Man-in-the-Middle-Attacke auf verifizierte Schlüssel bzw. Kontakte minimiert.

Neben dieser „Schwäche“ kommt hinzu, dass OpenPGP keine Perfect Forward Secrecy beherrscht. (PFS – Perfect Forward Secrecy ist eine Methode für den Schlüsselaustausch kryptografischer Verfahren. Es bewerkstelligt, dass eine nachträgliche Entschlüsselung durch Bekanntwerden des Hauptschlüssels erschwert bzw. ausgeschlossen wird. Die Sitzungsschlüssel werden nicht ausgetauscht und sind nicht mehr rekonstruierbar). Die Schutzziele der „glaubhaften“ Abstreitbarkeit und Folgenlosigkeit sind daher nicht umsetzbar. Um sicher zu stellen, dass man mit seinem wahren Gegenüber kommuniziert, stellt Delta Chat eine Authentifizierung via QR-Code zur Verfügung. Dadurch wird gewährleistet, dass sich kein Dritter zwischenschaltet. Nach der Durchführung des gegenseitigen Scans des QR-Codes, werden die Nutzer als „Verifiziert“ markiert.

Wenn die Empfänger einer Nachricht auch Delta Chat nutzen, werden die Nachrichten automatisch Ende-zu-Ende-verschlüsselt und als Chatnachricht dargestellt. Allerdings erlaubt Delta Chat das Versenden von Nachrichten auch an E-Mail-Postfächer bzw. Kontakte, die kein Delta Chat verwenden. Wenn der Empfänger einen E-Mail-Client verwendet, der nicht Autocrypt-kompatibel ist, werden Nachrichten unverschlüsselt bzw. nur transportverschlüsselt gesendet bzw. empfangen. Das hat den Nachteil, dass ein E-Mail-Provider die so empfangenen / versendeten Nachrichten unter Umständen einsehen kann. Diesen Umstand sollte man unbedingt berücksichtigen bzw. bei der Nutzung von Delta Chat im Hinterkopf behalten. Welche Transportverschlüsselung zum Einsatz kommt, kann in der App eingesehen werden bzw. wird dies im Nachrichtenverlauf mit einem Schloss symbolisiert.

Dezentralisierung

Wie bereits angesprochen, verfolgt Delta Chat den Ansatz der dezentralisierten Kommunikation, da der Nachrichtenaustausch nicht über zentrale Server läuft. Delta Chat setzt auf die bestehende E-Mail-Infrastruktur auf und kann dadurch auf eigene Server verzichten. Die Nutzung von Delta Chat setzt demnach lediglich ein bestehendes E-Mail-Postfach voraus, das mit Delta Chat verknüpft werden muss. Der Nutzer ist also vollkommen frei in seiner Entscheidung, bei welchem E-Mail-Anbieter er ein Konto eröffnet. Die einzige Voraussetzung ist das IMAP-Protokoll.

Fazit

Ist man im Besitz einer E-Mail-Adresse, kann man Delta Chat ohne eine Registrierung und vor allem Serverunabhängig nutzen. Wird Delta Chat von der Gegenseite nicht genutzt, werden Nachrichten an die konventionelle E-Mail-Adresse des Empfängers gesendet. Wenn der Empfänger auch Delta Chat nutzt, bekommt man die Nachricht innerhalb der App angezeigt. Durch diesen Ansatz ist es nicht notwendig, denselben Messenger zu nutzen. Man kann Delta Chat daher auch als interoperablen Messenger nutzen.

Im Grunde genommen eignet sich Delta Chat für Personen, die ihre Telefonnummer nicht teilen wollen. Gleichzeitig kann man sich die Möglichkeit offen halten, über einen Messenger erreichbar zu sein.

Leider ist nicht sichergestellt, dass Nachrichten E2EE verschlüsselt zugestellt werden und damit für einen Angreifer einsehbar sind. Über die Metadaten können die An- und CC-Felder des E-Mail-Headers eingesehen werden. So lässt es sich relativ einfach herausfinden, wer mit wem, zu welchem Zeitpunkt kommuniziert hat. Die Interoperabilität hat durchaus seine Vorteile. Ob die Vorteile dabei die Nachteile überwiegen, darf jeder für sich selbst entscheiden. Alles in allem stellt Delta Chat eine gute Alternative als Instant Messenger dar. Selbst für meinen Geschmack, wird eine gute Portion an Mehrwert für den Dezentralisierungsgedanken leistet.

Der Beitrag Delta Chat – E-Mail neu erfunden erschien zuerst auf CEOsBay.