Microsofts patchpolitik: $$$ kontra sikkerhed

Web-servere, der er baseret på Microsofts IIS-serversoftware, spreder langt flere sikkerhedsmæssige problemer, end MS-markedsandelen "berettiger". Det fremgår af en ny undersøgelse, som Googles division for "security og safety" har gennemført.

Servere, der var vært for over 80 millioner domæner, er tjekket. Der blev fundet 70.000 domæner, der gennem seneste måned enten selv har spredt ondartet kode (malware) eller har været vært for udnyttelser af browser-software, så besøgende får smittet deres pc via downloads (drive by downloads).

Kun 23 procent af serverne med de i alt 80 mio. domæner var Microsoft-baserede, men disse udgjorde hele 49 pct. af den samlede smittekilde.

Apache-serversoftwaren, der kommer fra Open Source-verdenen, lå på 66 procent af serverne, men smittekilde-andelen lå "kun" på 49 pct.

Kigger man på den landemæssige fordeling af smittekilderne, viser der sig et interessant billede. I Kina sker så godt som al smitte via Microsoft ISS. Også i Syd Korea er ISS-andelen meget dominerende. Google mener, at årsagen kan være, at netop disse to lande er kendt for kraftig piratkopiering. Har man en piratkopi af ISS, kan man IKKE benytte Microsofts automatiske opdatering af sårbarheder, så patching skal ske pr. "håndkraft". Men der er desuden visse patches som slet ikke kan bruges på piratkopier.

Problemet er altså, at Microsofts patchpolitik, der skal gøre det langt mindre attraktivt at bruge en piratkopi, ender med at øge de sikkerhedsmæssige problemer over hele verden. Der er tale om en slags "catch 22-situation", hvor der er onder, uanset hvad man vælger.

Google-rapporten er her.

I øvrigt er det lidt interessant i disse tider, hvor alle snakker om Microsofts monopol, netop at se på web-serverne. Her er softwaregiganten nemlig blevet lillebror. Apache er et rigtig godt stykke software, og så er det gratis. Når Microsoft selv har givet noget gratis for at opnå markedsandel har det ikke altid været tilfælde. Jeg tænker især på, da Microsoft sov i timen over for internettet, og Netscape nærmest "ejede" browsermarkedet. Den første Internet Explorer imponerede ikke, og hele Explorer-familien har jo været præget af store sårbarheder. Er det ikke først nu, at sikkerheden er kommet nogenlunde på plads?

PS: Interessant artikel på Ars Technica om, hvorledes brugere vurderer det, de er vænnet til at bruge, højere end andet, også selv om det nye måtte være lettere at bruge. En af mange forklaringer på, hvorfor altdominerende produkter bliver ved med at være altdominerende.