Znajdź zawartość

Jeff Jones, autor kontrowersyjnego raportu na temat bezpieczeństwa Internet Explorera i Firefoksa, postanowił porównać systemy operacyjne. Tym razem nie brał pod uwagę jedynie liczby luk, ale również, m.in. średni czas jaki upłynął od momentu ich publicznego ujawnienia do opublikowania łaty. Jones badał systemy Microsoftu, Red Hata, Apple'a oraz Ubuntu. Podczas tworzenia raportu pracownik Microsoftu wziął pod uwagę dane z pierwszego półrocza bieżącego roku. Podstawowe wnioski, które z niego wypływają są następujące: - w tym czasie producenci systemów operacyjnych (Microsoft, Apple, Red Hat i Canonical) załatali 585 błędów. Spośród nich aż 26,8% występowało w więcej niż jednym systemie, ale tylko 8 załatano tego samego dnia. - najszybciej błędy łatał Microsoft. Średnio każda z luk doczekała się poprawki po 24,22 dniach od momentu publicznego ujawnienia dziury. Kolejny z producentów potrzebował aż 72 dni. - najmniej błędów znaleziono w Windows Vista (21), a drugi w kolejności był Windows XP (26). Jones brał pod uwagę Windows Vistę, Windows XP SP 2, Mac OS X Leopard, Red Hat Enterprise Linux 5 oraz Ubuntu 6.06 LTS. Spośród wszystkich znalezionych błędów aż 31% występowało tylko i wyłącznie w systemie Red Hata, 30% dotyczyło produktu Apple'a, 10% systemów Microsoftu i 9% Ubuntu. Z raportu Jonesa dowiadujemy się też, że aż 89,7% luk zostało załatanych przez Microsoft w ciągu 1 dnia od momentu ich ujawnienia. W przypadku najpoważniejszych dziur odsetek ten wzrósł do 90,3%. Najdłużej niezałatana dziura w systemach Microsoftu czekała na poprawkę przez 495 dni. Była to luka w Microsoft Speech API. NIST oceniał ją na "poważną", natomiast Microsoft na "średnio poważną" dla desktopów i "mało poważną" dla serwerów. W przypadku systemu Apple'a jedynie 17% luk doczekało się poprawki w ciągu 1 dnia od upublicznienia informacji o nich. Odsetek ten nie zmienił się w odniesieniu do luk poważnych, a najdłuższy czas oczekiwania na poprawkę wyniósł 1001 dni dla mało groźnej luki w Mac OS X Tiger. Red Hat w ciągu pierwszych 24 godzin od ujawnienia opublikował poprawki dla 38% luk ogólnie i dla 60% groźnych. Na jedną z poprawek, dotyczącą mało groźnej luki w jądrach 2.4 i 2.6 trzeba było czekać aż 1292 dni. W przypadku Ubuntu doczekaliśmy się 23,5% poprawek w ciągu pierwszego dnia, a dla luk groźnych odsetek ten wyniósł 20,7%. Mało groźna dziura w jądrze doczekała się poprawek po 623 dniach. Na zakończenie swojego raportu Jones podkreśla, że nie ma on za zadanie mierzenia bezpieczeństwa systemów operacyjnych, gdyż tego nie da się w prosty sposób zmierzyć. Ten report to analiza błędów, która dostarcza pewnych danych związanych z lukami i może posłużyć jako część większej analizy dotyczącej bezpieczeństwa - pisze Jones. Ze szczegółami raportu możemy zapoznać się na blogu Jeffa Jonesa (PDF).