6 сентября 2008 г.

Статистика.

Чет заставил меня один клоун на блоге полезть в статистику и сравнить уязвимости в операционных системах. Кричит, панимаешь, что в вашем Линухе дыр больше, чем в винде. Ну я типа решил глянуть статистику на http://www.us-cert.gov/ и обнаружил интересные дела.

Это списочек за этот 2008 год:

Technical Cyber Security Alerts

Technical Cyber Security Alerts provide timely information about current security issues, vulnerabilities, and exploits.

Sign up to receive these technical alerts in your inbox.

TA08-193A Sun Java Updates for Multiple Vulnerabilities July 11, 2008
TA08-190B Multiple DNS implementations vulnerable to cache poisoning July 8, 2008
TA08-190A Microsoft Updates for Multiple Vulnerabilities July 8, 2008
TA08-189A Microsoft Office Snapshot Viewer ActiveX Vulnerability July 7, 2008
TA08-162C Apple QuickTime Updates for Multiple Vulnerabilities June 10, 2008
TA08-162B Microsoft Updates for Multiple Vulnerabilities June 10, 2008
TA08-162A SNMPv3 Authentication Bypass Vulnerability June 10, 2008
TA08-150A Apple Updates for Multiple Vulnerabilities May 29, 2008
TA08-149A Exploitation of Adobe Flash Vulnerability May 28, 2008
TA08-137A Debian/Ubuntu OpenSSL Random Number Generator Vulnerability May 16, 2008
TA08-134A Microsoft Updates for Multiple Vulnerabilities May 13, 2008
TA08-100A Adobe Flash Updates for Multiple Vulnerabilities April 9, 2008
TA08-099A Microsoft Updates for Multiple Vulnerabilities April 8, 2008
TA08-094A Apple Updates for Multiple Vulnerabilities April 3, 2008
TA08-087A Mozilla Updates for Multiple Vulnerabilities March 27, 2008
TA08-087B Cisco Updates for Multiple Vulnerabilities March 27, 2008
TA08-079B MIT Kerberos Updates for Multiple Vulnerabilities March 19, 2008
TA08-079A Apple Updates for Multiple Vulnerabilities March 19, 2008
TA08-071A Microsoft Updates for Multiple Vulnerabilities March 11, 2008
TA08-066A Sun Updates for Multiple Vulnerabilities in Java March 6, 2008
TA08-043C Microsoft Updates for Multiple Vulnerabilities February 12, 2008
TA08-043B Apple Updates for Multiple Vulnerabilities February 12, 2008
TA08-043A Adobe Reader and Acrobat Vulnerabilities February 12, 2008
TA08-017A Oracle Updates for Multiple Vulnerabilities January 17, 2008
TA08-016A Apple QuickTime Updates for Multiple Vulnerabilities January 16, 2008
TA08-008A Microsoft Updates for Multiple Vulnerabilities January 8, 2008

Давайте посчитаем:

  • Слово Микрософт в списке встречается: 8 раз.
  • Sun: 2 раза
  • Apple: 6 раз.
  • Linux : 1 раз (это знаменитая ошибка в одном единственном дистрибутиве).

Кто чемпион?
Хотя тут тоже можно считать по американски, т.е. как выгодно Наполеону. Если по количеству очков - то Микрософт, если по количеству уязвимостей - то Linux.

А если копуть поглубже, то обратите внимание на слово Multiple Vulnerabilities. Заглянем во внутрь, например сюда:
Systems Affected

  • Microsoft Windows
  • Microsoft Windows Server
  • Microsoft Internet Explorer

А что у нас в линуксе?

  • Systems Affected Debian, Ubuntu, and Debian-based distributions

Упс... так эту 8-ку еще надо умножить как минимум на 3!

Наслаждайтесь.

2 комментария:

  1. "Клоун" считал уязвимости в kernel или уязвимости в GNU/Linux? :)
    Ядро очень часто патчиться и новые версии выходят одни за другой. Все желающие обновить свое ядро могут скачать его тут: ftp.kernel.org, далее выбрать ветку 2.4 или 2.6 и скачать архив (как правило, это либо bz2 либо gz).

    ОтветитьУдалить
  2. Да он считает вообще.

    Последняя его фраза была такой:

    На данный момент только критических уязвимостей в bind было - 30 штук (http://www.isc.org/index.pl?/sw/bind/). В Microsoft DNS - 2 (две).

    Только он, как обычно, малость передернул факты. За последнее время - это за сколько? Например по приведённой ссылке перечисляются уязвимости с начала 2000 годов!

    Но если посмотреть статистику за последние, например 2 года, то оказывается все не так.

    BIND:

    VU#25273507/24/2007ISC BIND generates cryptographically weak DNS query IDs
    VU#18729707/24/2007ISC BIND does not correctly set default access controls
    VU#20361112/10/2007inet_network() off-by-one buffer overflow
    VU#80011307/08/2008Multiple DNS implementations vulnerable to cache poisoning
    4 штуки.

    Microsoft Windows DNS:

    VU#48464911/13/2007Microsoft Windows DNS Server vulnerable to cache poisoning
    VU#55592004/13/2007Microsoft Windows DNS RPC buffer overflow
    VU#80011307/08/2008Multiple DNS implementations vulnerable to cache poisoning
    3 штуки.

    Это очень похоже на то как описывают недавнюю войну: Россия напала на Грузию.

    Опять же, по заявлениям этого же клоуна, уязвимостей в Linux на порядки больше, чем в Windows.

    Ну в сообщении я как раз показал список критических уязвимостей с начала этого года.

    Опять же не надо путать bugs и критические уязвимости. баги могут жрать память, немного не так обрабатывать данные и прочее. Но они далеко не всегда приводят к краху или взлому системы.

    Поскольку в Linux используется открытая модель разработки, такие баги легко обнаружить и исправить. Именно этим вызваны частые апдейты софта.

    В Микрософт, тоже есть баги, но мы их можем не видеть. Они потихоньку исправляются и кидаются в очередной апдейт виндов. Но апдейты у винды обычно связаны с серьёзными багами. Для мелочи редко выпускают специальный апдейт, и она (мелочь) накапливается до ближайшего серьёзного бага. Поэтому визуально кажется что багов в винде меньше.

    ОтветитьУдалить