Nörde: “Raips, on aivan selvää että Suse ja Mandriva ovat Ubuntua parempia kun Ubuntu on se reikäisin. Samoin KDE on varmasti parempi kuin Gnome. Mutta kukapa tietää Windowsin tietoturva-aukoista… Onkohan vai eiköhän se ole reikäisempi kuin Ubuntu?”
Mandriva ja (open)SUSE ovat “yhtä” reikäisiä kuin Ubuntu. Jälleen kerran on kysymys miten lasketaan tietoturva-aukot ja se määräytyy vain tekniikan mukaisesti. Ja kun lähdetään tietoturvalla luokittelemaan turvallisinta, täytyy tulokset pisteyttää eri tavoilla aina eri ryhmiin.
Jos lasketaan käyttöjärjestelmän tietoturva-aukot, lasketaan vain NT:n ja Linuxin tietoturva-aukot. Jokainen voi löytää Linux-käyttöjärjestelmän tietoturva-aukot kernel.org sivustolta. Mutta se kertoo vain ja ainoastaan upstream version eli niin kutsutun vaniljan tietoturva-aukot. Jokainen jakelija vielä kääntää Linuxin eri asetuksilla ja erilaisella kokoelmalla laiteajureita ym. jolloin lopputuloksena on käyttöjärjestelmä joka sisältää eri määrän tietoturva-aukkojakin. Eli eri Linux-käyttöjärjestelmän jakelijat voidaan pisteyttää heidän omien käyttöjärjestelmään tekemien valintojen mukaisesti ja vaatii nimenomaan jakelijan omien tietoturvatiedotteiden seuraamista (esim jakelijat jotka kääntävät ja tarjoavat vain x86 arkkitehtuurille Linux-käyttöjärjestelmää, eivät kärsi tietoturva-aukoista jotka koskee vain PPC-arkkitehtuuria).
Microsoftin osalta on vielä vaikeampaa saada mitään tarkkaa tulosta kuin mitä vain julkaisevat. Ja silloinkin ei ole vielä hirveän tarkkaa tietoa. Yksi päivitys voi tehdä n+1 määrän muutoksia mihin tahansa osaan Windowsia, se voi olla NT-käyttöjärjestelmään Microsoftin osalta tai se voi olla jonnekkin muualle järjestelmässä. NT-käyttöjärjestelmässä voi olla vuosikausia tietoturva-aukkoja joita ei paikata koska kukaan ei tiedä niistä eikä niihin hyökätä. Ja kun Microsoft paikkailee salaa tietoturva-aukkoja Service Packien yhteydessä, ei tilastoja voida saada. Ja kun Microsoft voi Service Packin avulla tehdä todella radikaaleja muutoksia koko Windowsiin, voidaan samalla paikata paljon hyvin vakavia tietoturva-aukkoja jotka jokaisen ohjelmistokehittäjän täytyy ottaa jatkossa huomioon.
Tarkkaa tietoa ei siis ole jos ei Microsoft suostu kertomaan. Ja jokaisen pitäisi jo tietää että Microsoft pitää mielummin kaikki tiedot salassa eikä paljasta tarkkaan mitään, edes päivityksen jälkeen.
Ja kun vielä täytyy ottaa huomioon että NT eroaa käyttöjärjestelmänä Linuxista, on niiden tietoturvapäivitykset eri tavoin. Linux on monoliittinen käyttöjärjestelmä eli rakenne missä laiteajurit toimivat kiinteästi käyttöjärjestelmässä. Laiteajurit tulevat lähes poikkeuksetta (muutamia binääriajureita ja laitteiden firmwareja lukuunottamatta) käyttöjärjestelmässä valmiina, vaatii niiden päivitys useimmiten koko käyttöjärjästelmän kääntämistä uudelleen, jos ei siis käännetä moduuliksi.
NT:llä taas onkin eri asia. Microsoft ei suurinta osaa laiteajureita tarjoa ja kun NT on vielä server-client arkkitehtuuriltaan niin laiteajureiden päivittäminen onnistuu helpommin. Ja kun tavallisella käyttäjällä ei ole käytössä kuin melkein vain tarvittavat laiteajurit. Niin tietoturva-aukkojen määrä laskee jälleen reippaasti. (Kaatumisiahan voi molemmilla tapahtua kun useimmiten käyttöjärjestelmän virheet ovat 70% laiteajureista johtuvia. Jolloin vähentämällä laiteajureiden määrää, saadaan käyttöjärjestelmästä paljon vakaampi ja turvallisempi jo laskennallisesti).
Ja sen jälkeen kun ruvetaan laskemaan käyttöjärjestelmään kuulumattomien ohjelmistojen tietoturva-aukkoja, päästään siihen ongelmaan itsessään. Ubuntussa nyt tunnetusti tulee Linux-käyttöjärjestelmän lisäksi satoja ohjelmistoja esiasennettuna. Joten mahdollisia tietoturva-aukkoja löytyy todella paljon. Sama asia koskee kaikkia Linux-käyttöjärjestelmän jakelupaketteja, suhteutettuna tietenkin millaiset kokoelmat ohjelmistoja on esiasennettuna oletusjärjestelmässä.
Mutta jos laitetaan rinnakkain vaikka Mandriva ja Ubuntu, katsotaan mitä ohjelmistoja on esiasennettuna ja mitkä versiot jokaisesta ohjelmistosta, voidaan alkaa laskemaan sitä määrää kuinka paljon tietoturva-aukkoja löytyy oletusasennuksesta. Mutta jokainen asennettu paketti lisää todennäköisyyttä että järjestelmästä löytyy enemmän tietoturva-aukkoja. Ja kun jokainen käyttäjä asentaa yleensä erilaisen kokoelman lisäohjelmistoja, muodostuu vertailtavuus käyttäjien kesken vaikeammaksi. Helpointa on vain vertailla oletusjärjestelmää mikä tulee asennettua. Nimittäin harvemmin tavallinen käyttäjä poistaa mitään ohjelmistoja järjestelmästä, vaan lisää jotain.
Ja kun lähdetään vertaamaan esim Windows Vista ja Mandriva One Gnome -version tietoturva-aukkoja oletusasennuksella, niin Windows Vista on merkittävästi etulyöntiasemassa. Nimittäin Windows Vistan asennuksessa ei NT-käyttöjärjestelmän lisäksi asenneta montaa sovellusohjelmaa ja kaikki ovat vain Microsoftin omia. Mutta silti kiintolevyn kulutetun tilan mukaisesti voidaan laskea heti että mahdollisia tietoturva-aukkojahan on todella paljon. (Paljon koodia == paljon mahdollisia virheitä).
Ja kun vielä jokainen OEM tekee erilaisen oletusasennuksen. Esiasentavat ohjelmistoja järjestelmään ja näin luovat oletuksen jossa on mahdollisesti enemmän tietoturva-aukkoja. Näitähän ei voida laskea Windows Vistan tietoturva-aukoiksi, mutta OEM:n asennuslevyn luomiksi tietoturva-aukoiksi järjestelmässä.
Ja kun vielä on useita erilaisia eroavaisuuksia ohjelmistojen tarjonnassa. Esim Microsoft ei itse tarjoa asennettavaksi kolmannen osapuolen ohjelmistoja ym. Windows ei ole järjestelmä missä jokainen ohjelmisto on jaettu paketteihin ja pakettihallinnalla asennellaan mitä tarvitaan. Kun taas Mandrivan ym Linux-käyttöjärjestelmän jakelupakettien kohdalla kaikki ohjelmistot on jaettu paketteihin jotka useimmiten asennetaan pakettihallinnan kautta. Ja jokainen jakelija itse tarjoaa paketit omalla palvelimella joka lisätään lähteeksi pakettihallintaan. Ja jakelija itse lataa jokaisen ohjelmiston upstreamista, kääntää sen paketiksi ja laittaa tarjolle ja päivittää siemmentiedoston että käyttäjien pakettihallinta tietää päivityksiä ilmestyneen ja mitä paketteja on saatavilla, muodostuu Linux-käyttöjärjestelmän jakelijalle paljon suurempi vastuu kaikkien ohjelmistojen päivittämisestä kuin mitä Microsoftille ikinä. Kun jokaisella jakelijalla on vain pieni määrä omia ohjelmistoja joiden ylläpitäjä se on, usein ei edes sitäkään. Esimerkiksi Mandriva on ylläpitäjä kehittämilleen omille Drake-työkaluille. Mutta kaikki muut ovat kolmannen osapuolen ohjelmistoja joita vain Mandriva paketoi ja tallentaa hallitsemilleen palvelimille.
Ja toiminta ei loppupäästä eroakkaan paljoa Windows Vistan käyttäjien näkökulmasta. Esim ohjelmisto X on upstreamin käsissä joka vastaa sen ylläpidosta. Mutta se ei tarkoita etteikö sen jakelija voisi tehdä patchia, lähettää sen upstreamiin missä se hyväksytään tai tehdään jotain muutoksia siihen ja jokainen downstream saa korjatun version ohjelmistosta, kääntää sen ja pistää palvelimilleen jakoon, mistä jokainen jakelupaketin käyttäjä lataa sen ja asentaa järjestelmäänsä. Eli vaikka on useita satoja jakelijoita (downstream), ne tekevät aina yhteistyötä upstreamissa ja välittävät yhteistyön hedelmät käyttäjilleen jotka taas voivat itse omalta osaltaan vaikuttaa suoraan upstreamiin lähettämällä sinne bugiraportit ja parannusehdotukset. Ja näin saavat upstreamin kautta vaikutettua kaikkien ohjelmistoja käyttävien toimintaan tiiviin yhteistyön avulla.
Ja kun vielä käytetyt ohjelmistot Windowsilla on usein suljettuja, ei niidenkään tietoturva-aukoista saa tietää mitään. Ja niitähän ei voida laskea Windowsin tietoturva-aukoiksi yhtään sen enempää kuin NT-käyttöjärjestelmän tietoturva-aukoiksi voitaisiin laskea vaikka Live Messengerin tietoturva-aukkoja. Aivan kuten minkään Ubuntussa olevan ohjelmiston tietoturva-aukkoja ei voida laskea käyttöjärjestelmän aukoiksi jos eivät ole Linuxissa.
Joten onhan se kivaa kun Microsoft voi todistaa että Windowsissa on vähemmän tietoturva-aukkoja kuin esim Ubuntussa, mutta kun Ubuntussa tulee Linux-käyttöjärjestelmän lisäksi esiasennettuna satoja ohjelmistoja ja Canonical paketoi (viralliset paketit) vielä lisää kolmannen osapuolen ohjelmistoja että niitä on yli 20 000kpl, päästään sellaisiin tietoturva-aukkojen lukemaan että Microsoft voi markkinoinnissa käyttää niitä niin hyvin hyödykseen jos ei oteta tekniikkaa huomioon mikä koskee mitäkin ja mikä on minkäkin syy/vika/oire ym. Jotkut yrittävät ilman logiikkaa yhdistellä mm. Ubuntua samanlaiseksi kuin Windows on. Toimivan mukamas samoilla periaatteilla ja kokonaan yhdistää samanlaiseksi toiminnaksi avoimen lähdekoodin kehitystä miten ohjelmistot jaetaan ja suljetun lähdekoodin ohjelmistojen jakamista.
Ja ainahan se on Microsoftille parempi jos niin tehdään koska silloin se saa tuulta siipiensä alle ja pystyy tekemään “Get the Facts” kaltaisia tempauksia jotka pitävät sitten paikkaansa kieroutuneella tavalla. Mitä ei sitten tavalliset ihmiset tiedä miten ne on rakennettu.
Kuten Tietokoneen uutisissa kerrotaan, Windows 7:n suomalaiset hinnat ovat nyt tulleet julki. Hinnat ovat karvas pettymys niille, jotka odottivat Ruotsin mallin mukaisia kohtuuhintaisia perhepaketteja. Windows 7 on ihanan kallis.
microsoftin ilmaisohjelmilla mennään…
