Unix en Windows veiligheid vergeleken

In een artikel van TechRepublic (gratis registratie verplicht) wordt een vergelijking gemaakt tussen verschillende operating systems waarbij gekeken wordt naar het aantal security fixes die in een periode van één jaar zijn uitgebracht. Fanatieke Linux gebruikers staan er om bekend te claimen dat Unix smaken veel veiliger zijn dan Windows, maar de onderstaande lijst ontkracht dat verhaal enigzins:

The bottom line As these numbers illustrate, Windows NT 4.0 was the leader in bugs identified during 2000. But Linux was not far behind. And in 2001, Windows 2000 has stabilized a bit and is actually running in the middle of the pack. One logistical note: It wouldn't be fair to add those Linux bug numbers together; most are the same bugs across every platform. However, the conclusion here is that there is obviously a comparable number of security problems with the various flavors of Linux, as well as Sun's Solaris, as there are with Windows NT 4.0 and Windows 2000.

Er moet wel opgemerkt worden dat dit onderzoek gericht is op alle security packages die uitgebracht zijn, dus ook voor packages die mensen niet installeren (SuSE Linux komt bijvoorbeeld met zes CD's aan extra applicaties). De basis-installatie van OpenBSD bevat al vier jaar geen beveiligingsgaten meer die vanaf buitenaf te misbruiken zijn, maar dat zegt niets over de andere geïnstalleerde software.

Ook hier geldt, net zoals bij ieder ander systeem, dat de veiligheid van een machine afhangt van de systeembeheerder, niet van het OS. Zo meldt Security.nl dat de website Unix.nl gehackt is, waarschijnlijk door een gat in het gebruikte pakket "PHP-Nuke".

Onze dank aan i-res en M de Rooij voor het gebruik van de newssubmit.

Reacties (137)

[RG]

Ook hier geldt, net zoals bij ieder ander systeem, dat de veiligheid van een machine afhangt van de systeembeheerder, niet van het OS. Zo meldt Security.nl dat de website Unix.nl gehackt is, waarschijnlijk door een gat in het gebruikte pakket "PHP-Nuke".

Tja en PHP Nuke heeft geen bal met UNIX te maken. Ik vind zulke testen altijd echt enorme onzin. Ten eerste weet je niets van de ernstigheid van een bug. Ten tweede vind ik het aantal bugs per OS ook maar raar. Wat wordt er bedoeld met het aantal bugs in Linux en Windows?? In de Linux kernel alleen bijvoorbeeld zitten vrijwel geen security bugs (2 gezien de afgelopen 2 jaar ofzo). Hetzelfde geldt voor Windows2000 natuurlijk en de andere Unices. Kortom dit vind ik echt een compleet waardeloze test.

Veiligheid hangt gewoon af van de admins. En aangezien Windows2000 er nu eenmaal makkelijker uitziet zullen meer wannabees zich ermee bezig houden en een slecht beveiligde bak opzetten. Maar dat is natuurelijk al lang bekend. Echter doordat er zoveel user frendly Linux distro's komen kan er met Linux hetzelfde gebeuren....

[Verwijderd]

Dat gat in PHP Nuke had ook niets met de test te maken, dus dat is geen argument om deze test af te zeiken.

Zo meldt Security.nl dat de website Unix.nl gehackt is, waarschijnlijk door een gat in het gebruikte pakket "PHP-Nuke".

Dit voorbeeld wordt in dit geval gebruikt door de newsposter als illustratie bij de test, maar heeft op zich niets met de test zelf te maken.

[RG]

Dit voorbeeld wordt in dit geval gebruikt door de newsposter als illustratie bij de test, maar heeft op zich niets met de test zelf te maken.

Ja dat zal best zijn, maar men doet nu net zo alsof Unix daarom zwak is, terwijl het dara niets mee te maken heeft en dat vind ik nogal triest.

[Verwijderd]

Dit soort onderzoeken vertellen eigenlijk helemaal niets, het is verbazingwekkend hoe ze iedere keer toch opnieuw uitgevoerd en uitgegeven worden.

Aangezien de structuur van de verschillende systemen en het plan erachter (open source vs. closed source bijvoorbeeld) compleet verschillend zijn zal een dergelijk onderzoek nooit een degelijk beeld van de situatie geven.

Als tegenargument kun je bijvoorbeeld aanvoeren dat aangezien Linux open source is het voor ontwikkelaars, hackers en gebruikers veel makkelijker is om fouten te lokaliseren en zullen er derhalve meer gevonden worden. Daarbij komt ook nog dat er wereldwijd meer mensen aan de diverse Linux systemen ontwikkelen dan aan Windows systemen, wat ongetwijfeld ook nog meespeelt.

[Jive]

Kan ik je geen ongelijk in geven.

Bij windhoos is het soms heel makkelijk om bugs te vinden, maar vaak moeilijker omdat het Closed-Source is ...

Doet natuurlijk niet af dat er figuren rondlopen als Guninski die ze gewoon heel makkelijk vinden, en Mikkiesoft dan ook nog eens een oplossing aandragen op een presenteer blaadje.

Het probleem met Mikkiesoft is alleen dat het bij hun veeeeeel langer duurt voor een een fix/patch is ...
En het bij hun heel moeilijk is om te achterhalen welke patch je nu moet gebruiken wegens hun superonduidelijke structuur.
Alleen windowsupdate is redelijk makkelijk te gebruiken, want die zegt gewoon wt je wel en niet hebt.
Maar werkt ook niet helemaal toppie. want ik heb nu al 2 maanden last van dat ding omdat hij denkt dat ik een patch nog niet heb, die er allang inzit .. en dus elke keer weer ermee terugkomt.

En dat afgezien van het feit dat ze bij Mikkiesoft niet zo snel zijn met bijwerken van de windowsupdate site ... want soms zit er wel een week of 2 tussen de patch en de update aldaar.
* 786562 JiveDAF

[real[B]art]

Die kale cijfers zeggen me niet zoveel...ik vind het interessanter worden als ze bijvoorbeeld ook kijken naar hoe erg een lek is, en een hele zware bijvoorbeeld een zwaardere weging geven dan een minieme...id-tje voor een volgend onderzoek?

[Verwijderd]

Je hebt helemaal gelijk hoor, maar daar schiet je niks mee op. Het is gewoon weer een artikel dat bewijst dat statistiek de overtreffende trap van liegen is.

Als je standaard alles dicht zet en alleen uitzonderingen toelaat, ben je op zich al veel veiliger dan standaard alles open zetten omdat dat "leuke dingen voor de mensen" mogelijk maakt, en dan enkele uitzonderingen afsluiten. Dat heeft dus ook consequenties voor de schade die aangericht kan worden als je eenmaal door het lek binnen bent gekomen.

Het hele artikel gaat er over hoeveel patches er uitgebracht zijn. Dat zegt hoegenaamd helemaal niets over de veiligheid.

Het aantal lekken dat gedicht is zegt niets over het aantal lekken dat nog openstaat

Als er bij Linux 35 lekken zijn, en er zijn daarvan 33 gedicht, dan heb je dus nog maar 2 lekken.
Als bij win2000 35 lekken zijn, en er zijn er 24 gedicht, dan heb je nog steeds 11 lekken.
En wat is dan veiliger

[Verwijderd]

Alleen is er helemaal NIETS bekend over het aantal lekken dat mogelijk nog open staat. Wat jij dus eigenlijk zegt is dat een OS onveiliger is omdat er meer security packages zijn uitgebracht . Dat is natuurlijk dezelfde onzin als beweren dat het OS onveiliger is omdat er juist *meer* uitgebracht zijn. Wie weet zitten er in OpenBSD ook al wel 4 jaar lang allerlei lekken verborgen, maar heeft niemand die nog ontdekt.

Conclusie: het is totaal onzin om uitspraken te doen over het aantal lekken dat nog open zou staan.

[Verwijderd]

Ik chargeer het alleen een beetje om iets duidelijk te maken.
Het is alleen wel zo dat unix al veeeel langer meeloopt. Bovendien is windows van origine op een compleet andere markt gericht: de Personal Computer (ipv mainframes en mini's). Dat zie je ook aan bv Mandrake, dat ook duidelijk voor de thuisgebruiker bedoeld is.

We hadden het er ook over dat de zwaarte van een lek van belang is. Als er onder X fanatiek naar kleine foutjes gezocht wordt vind je er ook meer. Als er onder NT alleen grote gaten gedicht worden heb je er weinig.

Wat jij dus eigenlijk zegt is dat een OS onveiliger is omdat er meer security packages zijn uitgebracht

Nee. Voor de eerlijke vergelijking en het gemak nam ik als uitgangspositie zelfs een gelijk aantal.

Wie weet zitten er in OpenBSD ook al wel 4 jaar lang allerlei lekken verborgen, maar heeft niemand die nog ontdekt.

Dan is het toch veilig? Maar potentieel onveilig.
Statistisch gezien is de kans gewoon groot dat als je na 40 jaar hard zoeken niets vind het er niet is. En als je na 1 jaar niet zoeken er al 20 hebt zullen er nog wel meer zijn.

Conclusie: het is totaal onzin om uitspraken te doen over het aantal lekken dat nog open zou staan.

Dat zeg ik! Gamma!

[Mr.Aargh]

"We don't lie, we use statistics"

- NetRunner WoTC

[real[B]art]

idd of zoals de Engelsen zeggen:

There are lies, damn lies and statistics

[Verwijderd]

En laten we niet vergeten:

82,4% van de statistieken wordt ter plekke verzonnen

edit:
ff wat vergeten

[jp]

Zoals dit percentage net door je verzonnen is?

[Randal Peelen]

Dat klopt natuurlijk, maar als mensen voor het eerst Linux installeren (wat natuurlijk dagelijks gebeurd) zullen zij gegarandeerd niet die eerste keer het systeem al waterdicht kunnen krijgen, het is dus ook belangrijk te weten hoe veilig het OS van zichzelf als is, en als het dat nog niet genoeg is kun je altijd zelf nog sleutelen.

[Verwijderd]

Een security fix is wel wat anders dan een bug.

Zo kunnen er bijvoorbeeld 1000 security bugs in windows 2000 zitten, maar als er maar 2 security fixes uitgebracht zijn, zitten er nog 998 bugs in die niet gefixt zijn en wel voor eventuele problemen kunnen zorgen.

Naar mijn inzien heeft dit dus niets met de veiligheid van een systeem te maken.

Anderzijds, als het systeem geen fouten bevat, hoeft er ook niets gefixt te worden.

[Verwijderd]

Inderdaad een nietsbetekenende Titel. Deze moet zijn: Vergelijking van het aantal gepubliceerde Security-fixes.

1- Per fix kunnen natuurlijk ook meerdere "bugs" opgelost zijn.
2- Dit is geen indicatie vangewe alle nog niet gevonden holes en bugs.

[Verwijderd]

het lastige van zo'n title is.. dat niemand het artikel dan leest (naja.. bijna niemand.),
en dat is toch de reden dat ze het typen.. dat mensen het lezen.. (d8 ik zo)

[flat]

Ook hier geldt, net zoals bij ieder ander systeem, dat de veiligheid van een machine afhangt van de systeembeheerder, niet van het OS.

en dat vind ik het belangrijkste punt uit het hele artikel

[Dope-E]

En dat elke linux freak eens op moet houden met flamen naar windows wat betreft security!

[LinuxMan]

En dat elke linux freak eens op moet houden met flamen naar windows wat betreft security!

Ik weet niet wie deze vergelijking heeft gemaakt hoor, maar van de 18 security fixes van Debian 2.2 zitten er NUL in het base systeem, allemaal in externe applicaties (18 updates voor 6000 !!! packages is echt niet veel). Windows 2000 heeft er dus 24 in het base systeem zitten, als je bij windows ook 6000 applicaties mee zou gaan nemen dan denk ik dat dat getal ook nog wel eens veel hoger ligt. Hoeveel ICQ updates zijn er bijvoorbeeld niet uitgekomen? die worden bij Linux nu meegeteld, maar bij windows niet. Dit is gewoon erg goedkoop.

[Barend]

Linuxman: dat hangt er maar net vanaf of je IIS tot het base-systeem wil rekenen. Ik vermoed dat jij Apache niet tot de base Debian rekent, dus als je dan Outlook/IIS/IE tot de base van Windows rekent ben *jij* degene die met twee maten meet.

Uiteraard is het zo dat het onderscheid tussen de systemen moeilijker te maken is dan bij Debian, maar het zijn wel degelijk losse apps, en als je ze niet gebruikt heb je de kwetsbaarheden niet. Ik gebruik Mozilla voor WWW en Nieuws, The Bat! voor mail en OmniHTTP als webserver, op een Windows 2000 bak. IE en OE staan erop, daar ontkom je niet aan, maar de IIS is niet geinstalleerd.

Wat ik will zeggen is dat de Base van Windows 2000, dwz de kernel en het netwerksubsysteem en all that, maar NIET de webserver, webbrowser en mail/news client. Absoluut niet onderdoet voor die van Debian.

De TCP/IP stack is, btw, uit OpenBSD afkomstig.

[flat]

okee, maar een slackware-installatie met alleen apache, proftpd en sendmail is echt wel 100x veiliger dan een standaard mandrake-installatie met 2gb aan extra software.
die is dan ook vooral gebouwd op gebruiksgemak, en niet op snelheid en veiligheid!

[Dope-E]

Het is sowieso een feit hoe meer troep er standaard aanwezig is of er bij wordt geïnstalleerd hoe gammeler het OS wordt. Aangezien je Linux erg kaal kan houden en bij Windows allerlei zooi standaard meegeïnstalleerd wordt, zonder dat je dit uit kunt zetten, zal uiteraard een linux-server in eerste instantie beter beveiligd zijn dan een windows-variant.

[reinouts]

Het is nogal belachelijk om te suggereren dat Mandrake geen serieuze distro zou zijn. Het idee dat het al of niet standaard hebben van een grafische omgeving iets te maken heeft met servercapaciteiten is zo mogelijk nog idioter.

Mandrake laat de gebruiker kiezen uit 3 security niveaus (waarbij de hoogste de machine potdicht zet), heeft standaard een firewall en een intrusion detection system meegeleverd (prelude), laat je precies specificeren welke services je wilt draaien en wanneer er vulnerabilities gevonden worden is een update daarvoor altijd met een paar klikken geinstalleerd.

Dus voel jij je lekker elite met alles-met-de-command-line, prima, maar ga dan niet over Mandrake of Red Hat (waar Mandrake al lang niet meer op gebaseerd is) lopen trollen. Ik gebruik de command line wanneer die mij handig uitkomt, en niet als een doel in het leven.

[Verwijderd]

okee, maar een slackware-installatie met alleen apache, proftpd en sendmail is echt wel 100x veiliger dan een standaard mandrake-installatie met 2gb aan extra software.
die is dan ook vooral gebouwd op gebruiksgemak, en niet op snelheid en veiligheid!

Daar zeg je inderdaad wat, redhat en daarop gebaseerde distro's zoals Mandrake zijn altijd de meest getroffen distro's. Sowieso iets waar al standard een grafische omgeving kun je niet serieus noemen als server OS zijnde.
De serieuzere Distro's zoals Slackware en Debian hebben het beter voor elkaar en een updat is er meestal binnen 24 uur.

[Olaf van der Spek]

En waarom zou dat zo zijn? Wat maakt het uit of er toevallig nog een extra programma draait? Met een beetje firewall is er geen mogelijkheid de niet gebruikte programma's te benaderen en ze te gebruiken om het systeem te 'kraken'

[flat]

dat suggereer ik ook helemaal niet, alleen is het gewoon zo dat de ene distro meer geschikt is om op een server te draaien, terwijl een andere (mandrake bijvoorbeeld) perfect is als desktop, en ook meer gericht is op mensen die nog niet zo vertrouwd zijn met linux.
op m'n workstation draai ik dan ook gewoon mandrake (sinds gisteren 8.1)
hoe je op het idee komt dat ik over redhat loop te trollen weet ik ook niet, en "voel jij je lekker elite met alles-met-de-command-line" vind ik ook maar een rare uitspraak.
de enige keer dat ik de commandprompt gebruik is als ik via SSH even de logfiles van m'n server wil bekijken, of even wat rechten op m'n server wil veranderen

[BigFast]

Ten eerste ik ben geen MS fan noch een Unix fan.
Maar beide systemen hebben hun nadelen, Windows(lees outlook) is inderdaad erg kwetsbaar voor email virussen. Maar daar staat tegenover dat het, vergeleken met Unix, erg gebruiksvriendelijk is voor de gemiddelde leek, waaronder ik mijzelf ook reken, want in Unix en aanverwanten ben je toch wel ff bezig voordat je bv. je harde schijf aanspreekt. Hier staat tegenover dat het wel veiliger is dan Windows.

Dus elk nadeel heb zijn voordeel

[lester]

Met een beetje firewall is er geen mogelijkheid de niet gebruikte programma's te benaderen en ze te gebruiken om het systeem te 'kraken'

dat vind ik een beetje gevaarlijk om te zeggen. Het is meer van "hoe meer programma's, hoe meer kans op fouten"

[Renegade]

Hier wil ik me eigenlijk wel bij aansluiten.
Mij is als systeembeheerder altijd geleerd dat bij een webserver "minimalisme"moet worden aangehouden. Als er geen of slechts een klein aantal extra applicatie's op een server staan, is het risico op misbruik of lekken veel kleiner, _juist_ op een webserver.
Verder is het natuurlijk een kwestie van regelmatig updaten (geldt voor alle besturingssystemen ), en op de hoogte blijven van nieuwe ontwikkelingen.

[Stealthje]

En waarin is UNIX nou 100x beter dan Windows ?
Firewalls ...

Ik ben nog altijd van mening dat een combinatie Windows - UNIX het beste is, UNIX voor internet security, firewall en HTTP server. En windows voor het aansturen van de clients.

PS. ik ben officieel ook anti-windows, maar probeer toch reëel te blijven

[picobyte]

Hmm je kan onder windows ook alles uitzetten, incl die IEbrowser, maar de gemiddelde NT systeembeheerder mist dan teveel functionaliteit lees=kan niet meer op een kleurig gui appje klikken met z'n muis

[Vunzz]

ja, en een bakkie met alleen een MS Dos bootdisk zonder proggies en zonder verbinding met de rest van de wereld is nog veel veiliger...

[freaky]

Misschien, helaas kan de gemiddelde gebruiker helemaal geen goeie firewall schrijven, en algemene firewalls zijn over het algemeen niet echt goed. Tevens heb je nog zoiets als spoofing e.d. en als je denkt dat een firewall je zoveel garantie geeft zit je behoorlijk fout. MAC spoofing kan al behoorlijk pijnlijk zijn waardoor je firewall denkt dat de aanvaller op het lokale net zit en de toegang dus gewoon toelaat.

[freaky]

Om jou zielige denkwijze maar een beetje te spekken, ja ik voel me lekker elite op de command prompt. M3 is 3l1t3 yeehaw... wat ijl je nou man? Ik spaar resources en ken m'n systeem wat beter als ik de commandline alleen maar gebruik. Geen handige utilities die het voor me doen maar het zelf doen. Dat vind ik leuk, niet elite. Uitspraken als deze doen me vermoeden dat je d'r de ballen van snapt en het graag zou willen. Vind het maar triest. Maar ja, dat zal wel komen omdat ik in jouw ogen vast 3l1t3 ben....... Tevens is de taal die je gebruikt script kiddie taal, en die hebben meestal de ballen van commandlines....... Maar ja, tot die categorie hoor jij vast

[Verwijderd]

Uhm... MAC addressen worden bij de eerste de beste router eruit geflikkerd dus daar heb je alleen wat aan als je op het subnet van je ISP zit. Bovendien is er altijd nog zoiets als IP spoofing protection, en kan je je lokale IPs blocken vanaf de buitenwereld (daar zitten ze tenslotte niet). Zelfde subnet of niet, je PC ziet altijd op welke interface een pakketje binnenkomt.

[Verwijderd]

Ik wilde eerst een hele flame beginnen. Die zou ook helemaal terecht zijn want jouw argumenten en die in het verhaal zijn niet eenduidig. Dat maakt iedere stelling die erop is gebaseerd ongeldig.

Zie je, het probleem met statistiek is dat je het hele systeem moet overzien, en dat kan je niet (niemand kan dat).

[Aetje]

Mja is eigenlijk wel waar. Die thuisgebruikers die allemaal maar met hun highbandwith connectie thuis IIS draaien zijn een risicogroep... En die draaien ME of 2K of zoiets, Ux bereikt dat nie...

* Aetje is er ook zo een... Gaat nu toch eens de W2K security usenet groepjes nalopen...

[freaky]

Getuige de reacties hier ook blijkt wel weer hoeveel eikels er in deze branche zitten.... Sorry hoor, maar dat is de realiteit. Heb deze test al gezien via securityfocus mailing lists, en dat zo'n eikel zich een expert duft te noemen begrijp ik totaal niet. Je kunt op deze manier HELEMAAL NIET vergelijken. Een windows patch is nl voor 99% van de windows gebruikers van belang, 70% van de patches hierboven ga ik NOOIT gebruiken, en het waarom is heel simpel, linux komt met 5 ftp servers, 3 webservers, 4 SMTP servers, zal ik nog even doorgaan of is het inmiddels duidelijk? 20% kans dat de ftp patch een patch voor mijn server is (tegenover 99% kans bij windows) 33% kans dat het een patch is voor mijn webserver (weer 99% kans bij windows) 25% kans op de SMTP server, etc etc etc. Dan komt er ook nog even bij kijken dat ze hier over OS patches praten, wat tevens mijn bovenstaande stuk maar half kloppend maakt. De HTTP/SMTP/FTP server services worden nl wel als onderdeel van het OS gezien in linux, in windows is dit niet zo. Exchange is de SMTP/POP service dat is geen onderdeel van windows, IIS is de HTTP server ook dit is in veel gevallen geen onderdeel van het OS. Kortom, deze hele test is een hoop marketing/publiciteits BULLSHIT. Eniger waarde valt er niet aan te hechten.

[corani]

Maar als je alle security patches voor ALLE programma's die onder windows geinstalleerd kunnen worden bij elkaar op gaat tellen, volgens mij kom je dan ook een STUK hoger uit.......

[wildhagen]

Maar als je alle security patches voor ALLE programma's die onder windows geinstalleerd kunnen worden bij elkaar op gaat tellen, volgens mij kom je dan ook een STUK hoger uit.......

Ja, maar die staan standaard niet in Windows. Zo heeft Adobe bijvoorbeeld een fix voor dat PDF gedoe uitgebracht, maar die zou je volgens jou moeten optellen bij Windows? Lijkt me niet, en toch kan dit onder Windows worden geinstalleerd...

[corani]

Ah, maar dat alle applicaties die onder linux meegeinstalleerd KUNNEN worden, die zou je dan ook niet mee moeten tellen, want anders is het meten met twee maten.

Is IIS bijvoorbeeld meegerekend bij Windows?

[wildhagen]

Inderdaad, die moeten NERGENS meegerekend wòrden, of het nu Windows, Linux, Solaris of voor mijn part Swahili-OS is...

Is IIS bijvoorbeeld meegerekend bij Windows?

Ik denk het niet, het word ook niet standaard meegeinstalleerd namelijk. En het is software, geen OS, dus ik vind niet dat het hier in de tabel thuis hoort.

[KMK]

IIS niet standaart geinstalled

Dat licht er maar aan welke versie je hebt pro server adv server data etc.

[LEiPiE]

maar dan nog ben je er zelf bij en kun je duidelijk zien wat er geinstalleerd wordt.... het lijkt er hier af en toe op dat je bij windows installeren nooit iets mag kiezen ofzo...

was bedoeld als reactie op KMK

[Verwijderd]

Dit soort zaken zijn lastig en vertroebelen het beeld, de cijfers zijn daarmee waardeloos. Je kunt eeuwig doordiscussieren over wat nu wel en niet meegenomen moet worden
Het zegt verder ook weinig over de veiligheid van je configuratie.

[blaatenator]

Ja idd, zo op het eerste gezicht wordt ik ook niet veel wijzer uit zijn artikel. 'k zal het zo nog wat verder uitspitten. Hij heeft zjin getallen van securityfocus, dus onzin is het iig niet.
Maar ik denk dat de iemand die serieus dit soort dingen volgt, niet gaat roepen dat linux/windows/unix perfect is. Dat zijn meer de newbie's die er trots op zijn dat ze wat hebben kunnen installeren

[Bor]

Maar als je alle security patches voor ALLE programma's die onder windows geinstalleerd kunnen worden bij elkaar op gaat tellen, volgens mij kom je dan ook een STUK hoger uit.......

Klopt, want dan horen ook office en andere van dat soort programma's daarbij. Vergeleken met 1 cd voor windows met 7 cds voor bv suse vind ik het een belachelijke vergelijking.

[Verwijderd]

Hier ben ik het ook mee eens, als je echt alle linux-fixes gaat bekijken en je neemt b.v. Suse met 7 cd's (en daarop zo'n 2000 programma's/applicaties) of windows met in verhouding maar een paar extra progjes. Dan scheelt dat nog wel een stuk.
En bij linux maakt het dan ook nog uit welke veilige en minder veilige applicaties je installeerd. Bij windows heb je dan even iets minder (zeg maar geen) keuze.
(ik kijk nu ff alleen naar wat je krijgt als je het pakket in de winkel koopt)

Dus echt vergelijken kan dan niet, gezien het grote verschil in aantal meegeleverderde programma's.

Maar wat mij ook onduidelijk blijft is hoe zwaar de fixes zijn. Zijn het fixes voor bedreigingen die het hele systeem plat kunnen gooien of juist openstellen en dan administrator/root rechten geven aan de hacker. Of is de bedreiging alleen leesrechten op maar een paar bestanden (van b.v. 1 gebruiker -> nog erg genoeg, maar minder als volledige rechten)

Maar de veiligheid van een systeem valt of staat met de beheerder (en gebruikers).

[Bor]

En waar zijn de dsb varianten zoals openbsd gebleven? Het is volgens mij een beetje appels met peren vergelijken als je alle patches voor beide platformen gaat tellen. Zegt mij niet veel in ieder geval.

....Het is maar wat je lang duren noemt... meestal heeft MS binnen één dag al een fix voor een probleem, soms al binnen een paar uur. Zie je MSSB's (Security Bulletins) die je ontvangt......


En dat komt gewoon omdat de klok word stilgezet op het moment dat de melding bij hun binnenkomt. Het is al lang bekend dat er veelvuldig fouten worden gemeld waar microsoft soms zelfs helemaal geen actie op onderneemt zoals in het geval van bv de unicode bug. Wanneer je in een dermate complexe organisatie werkt met alle bijbehorende processen rond je software engineering (bijkomend change en incident managment etc) waar ook nog eens zo veel personen bij zijn betrokken is het gewoonweg bijna niet mogelijk iets verandwoord te patches binnen een uur. Veel van de problemen zijn zo complex op dit vlak dat het zelfs niet eens mogelijk is het gros te doorgronden in deze tijd.

[SvMp]

Je hebt helemaal niks aan dit lijstje..het zegt helemaal niks.

Stel dat er in een paar Apache versies een lek zit. Dan betekent dat dus een fixje extra voor alle Unices/Linuxen die met die versies zijn uitgerust.

Windows is alleen het operatingsystem terwijl die Linux/Unices zijn uitgerust met allerlei stuff zoals mail-servers en web-servers. Als je Windows uitrust met IIS en Exchange server, dan staan ze gelijk bovenaan, gezien de vele berichten over security holes in deze 2 stukjes software.

Windows, Linux en Unices vergelijken is zo iets als appels, peren en bananen vergelijken.
Windows is puur een OS, die Unices bevatten veel verschillende deamons (dus meer fixes, Windows heeft bv. geen ssh-server, dus geen eventuele fixes als er iets met sshd aan de hand is), en die Linux distro's zijn met zo'n enorme lading software uitgerust dat het logisch is dat er ook meer security problemen ontstaan.
Die getalletjes zeggen dus niks..het is hetzelfde als het aantal moetjes tellen in een fiets, een auto en een bus.

De titel Unix en Windows veiligheid vergeleken is ook wat ver gezocht: Het gaat voornamelijk om Linux-distributies in deze tabel, ook al staan de belangrijkste Unices er wel tussen moet ik zeggen.
Maar wat ik wel echt mis zijn de BSD's: FreeBSD, OpenBSD, NetBSD en BSDi hadden er imo zeker tussen moeten staan.

[Bobco]

Hoera, weer een UNIX <> Windows discussie

Mijn mening over dit onderzoek: cijfers liegen meer dan 1000 woorden. Ik heb geen flauw idee hoe erg de gevonden vulnaribilities zijn, maar ga er van uit dat het nogal verschilt.

Als je naar de ervaringen van de laatste tijd kijkt zou je zeggen dat MS een veel groter security probleem heeft dan de andere software-makers. Nu is dat beeld natuurlijk sterk vertekend vanwege het feit dat verreweg de meest berichtgeving gaat over 'applicaties' en niet over fundamentele fouten in het OS. In het artikel wordt er nergens uitgelgd waar deze cijfers nu precies op gebaseerd zijn en op SecurityFocus kom ik ook al niet veel verder.

Ik lees wel eens wat op SecurityFocus en mijn indruk (en nee, dat kan ik niet met cijfers onderbouwen) is dat de gemiddelde Unix-eploit heel wat lastiger is te benutten dan de gemiddelde Windows-exploit. Hierbij gooi ik natuurlijk ook weer alle meldingen op een grote hoop.