Wenig überraschend: Vista ist sicher. Auch und speziell im Vergleich mit anderen Betriebsystemen. Sagt jedenfalls Jeff Jones, der liefert ja regelmäßig Reports mit konkreten Zahlen, so auch jetzt wieder. Auf dem PTS Blog ist ebenso schon ein Artikel dazu erschienen.
Über Jeff Jones:
Jeff has been a security guy for 20 years. Some of the more interesting jobs he’s done: security consultant doing risk assessments for the Air Force; security consultant for the NSA Orange Book program; kernel and TCP/IP developer for Trusted Xenix; Darpa researcher; VPN developer for Gauntlet firewall; security consultant in EMEA; Director of Product Management for McAfee corporate AV; VP of Product Management for PGP, Cybercop Scanner and Gauntlet firewall; and a director in the Microsoft security group.
So, was gibt es neues? Eigentlich nicht viel, die „hardened services“ und vieles mehr, nicht zuletzt die Reduzierung der Angriffsfläche durch UAC bringt erwartungsgemäß mehr Sicherheit. Allerdings: UAC hin oder her, solange der Benutzer in der Erwartung irgendeines Ereignisses beim Anklicken von „Lustiger-Striptease.exe“ ist, das wahrscheinlich not-save-for-work wäre,…
Untersucht hat Jeff das erste Jahr des jeweiligen Produkts. Dieser Report soll einen Rückschluss auf das Einfließen von Sicherheit bei der Entwicklung ermöglichen. Eine Übersicht über das Kalenderjahr (also z.B. Sicherheitslücken 2007) hat Jeff angekündigt für einen seiner nächsten Berichte.
Auch aus finanziellen Überlegungen interessant: Wie viel Arbeit verursachen die einzelnen Betriebssysteme? Wie oft muss ich patchen?
Bei Ubuntu wäre in 39 Wochen des Jahres insgesamt 80 Patches einzuspielen gewesen.
Bei Vista in 9 Woche ganze 17 Patches. (ich nehme hier absichtlich Ubuntu raus und nicht Red Hat, das noch schlechtere Zahlen hat, weil ich den Eindruck habe, dass das momentan mehr „in“ ist).
Kritik
Seitdem Jeff Jones seine zahlen veröffentlicht, gibt es Kritik daran. Klar, wenn man mal solche Zahlen vor sich sieht und die ganz und gar nicht in das eigene Weltbild passen, dann müssen sie ja falsch sein. Oder so.
Microsoft zählt Lücken anders, oder verheimlicht sie, patcht mit einem Patch gleich mehr,…
Es gibt genug unabhängige Security Listen, da kann Microsoft nicht sonderlich viel verheimlichen. Und „heimliche“ Patches, z.B. solche, die einen Bug fixen, der sich später als sicherheitsrelevant herausstellt, das kommt auch bei anderen vor. Aber richtige Strategie: aufzeigen wo Jeff Unrecht hat. Und zwar nicht mit „stimmt alles nicht!“ sondern ebenso mit Zahlen.!
In Linux-Programme sind ja tausende Programme dabei.
Jup, und deswegen schaut sich Jeff auch nur ein reduziertes Set an, und zwar eine Linux Desktop Maschine. Bei RHEL4WS: keine optionalen Komponenten, keine Server, die Sammlungen text-internet, graphics, office sowie Develepement Tools rausgenommen (…)
Lücken zählen ist nicht die einzige Methode Sicherheit zu messen!
Eh, sagt Jeff ja auch nicht und es werden je nach Report auch andere Schwerpunkte gelegt, z.B. Days-on-Risk, Serverbereich,…
Der ist von Microsoft, was soll der schon sagen!
Man kann jederzeit falsche Information widerlegen, hier oder auf seinem Blog. Dazu gehört allerdings, dass man seinen Report erst mal liest. Diesen Eindruck habe ich nicht von allen, die den Bericht verreissen,…
Mehr Information:
Related Posts:
Quelle: Tech Presales News for Austrian Partners
