Microsoft: open-source is onveilig

Op WebWereld is te lezen dat Microsoft weer eens duidelijk gemaakt heeft dat het echt tegen open-source software is. Op een veiligheidsconferentie hield Steve Lipner van het Microsoft Security Response Center het zoveelste pleidooi tegen open-source. Het belangrijkste argument dat deze keer wordt aangedragen is dat er bij open-source software nauwelijks gekeken wordt naar beveiligingsproblemen:

"Zomaar ergens de broncode van een programma publiceren met de mededeling 'hier is het en ga maar controleren', levert absoluut niet de garantie op dat de controle goed gebeurt en dat belangrijke veiligheidsproblemen uit de software gehaald worden"", zegt Lipner tegen SecurityFocus.

In zijn ogen heeft juist de producent van closed source-software aandacht voor het programma en steekt daar genoeg tijd, geld en manschappen in om belangrijke problemen boven water te halen en op te lossen.

Verder zouden hackers ook kunnen profiteren van open-source, omdat zij beveiligingslekken kunnen vinden die iedereen over het hoofd gezien heeft.

Het volledige artikel is hier te vinden. edwtie was de eerste die ons hierover tipte.

Reacties (81)

[Aaargh!]

Toch wel leuk dat ze zichzelf tegenspreken:

"Zomaar ergens de broncode van een programma publiceren met de mededeling 'hier is het en ga maar controleren', levert absoluut niet de garantie op dat de controle goed gebeurt en dat belangrijke veiligheidsproblemen uit de software gehaald worden"

m.a.w. ze zeggen hier: als je code open betekend nog niet dat mensen belangrijke fouten vinden.

"Aangezien iedereen de broncode kan inkijken, kunnen 'aanvallers' cruciale veiligheidsgaten vinden die anderen gemist hebben. Daar kan misbruik van gemaakt worden."

en hier zeggen ze dat open source niet veilig is omdat mensen belangrijke fouten zouden kunnen vinden

tuurlijk word er gezocht naar fouten, dat er een paar rotte appels tussen zitten die het doen om in te breken is jammer maar helaas, alsof MS van elke werknemer weet of ie 100% zuiver is, zeker bij zo'n groot bedrijf lijkt me dat moeilijk.
(alhoewel ik betwijfel of veel mensen die dat soort fouten kunnen vinden zo kinderachtig zijn om er misbruik van te maken, de mensen die er misbruik van maken zijn meestal scriptkiddies)

[ACM]

Ik dacht niet dat een scriptkiddie zelf de source van een pakket op fouten gaat lopen doorzoeken...

De genen die er in eerste instantie misbruik van maken, zullen misschien scripts voor scriptkiddies schrijven.

[Aaargh!]

Ik dacht niet dat een scriptkiddie zelf de source van een pakket op fouten gaat lopen doorzoeken...

Nee, die leest ergens dat er een fout gevonden is en maakt er misbruik van, natuurlijk is er dan allang een patch uit maar niet iedereen is zo slim die te installeren.

punt is dat mensen die dit soort fouten kunnen vinden vaak wel zo slim zijn om hier geen misbruik van te maken.

[Anoniem: 12]

Nou ja, M$ maakt ook zelf foutjes (zie Outlook en IE bugjes waardoor kwade mensen binnen kunnen dringen)

voor mijn part: geen enkel software is 100% veilig. Er zullen altijd bugjes en holes in zitten.

Een hacker zal steeds via moeilijke paden de beveiliging doorbreken. Dus wat maakt het uit met open-source? Voordeel van open-source is lage prijs en de problemen kunnen sneller opgespoord worden. M$ doet er wat moeilijker en langer over.

Uiteraard moeten de mensen die aan open-source werken eerlijk blijven. Er zullen echter hackers zijn die open-source respecteren omdat het gratis is. Dus werken ze mee aan verbeteren van software. (en misschien tegelijk M$ ermee pesten)

Wie kent een bijbels spreuk: je zeurt om een splinter in de oog van ander, maar de balk in je eigen oog zie je over de oog. Zo zul je met hoge pieten hebben! Ze zwijgen om hun problemen en wijzen al te graag naar anderen. Ze proberen de imago van hun software goed te maken!

[Anoniem: 6690]

Dus werken ze mee aan verbeteren van software. (en misschien tegelijk M$ ermee pesten)

En daar heb je het dus, M$ is gewoon een noodzakelijk kwaad voor Linux, zonder M$ zou Linux veel minder verspreid zijn geweest...

Dus, Lang leve M$

[4POX]

Maar omdat Microsoft zijn code houdt gesloten zien andere mensen geen beveiligingsfouten die microsoft over het hoofd heeft gezien.. Opensource biedt dus voor- en nadelen

[Anoniem: 3226]

uh detail, maar zo closed source is het allemaal nou ook weer niet, er zijn aardig wat instanties die bij de source kunnen

[Anoniem: 10051]

Ja NSA,MI6, etc

[wzzrd]

<off topic>MI6 bestaat niet. Wat jij bedoelt is de Secret Intelligence Service (SIS), de buitenlandse veiligheidsdienst van het Verenigd Koninkrijk. MI5 is de Britse BVD, daar werkt James Bond.
</off topic>

[roelio]

James Bond werkt vast niet bij de engelse BVD want wat moet hij dan altijd in het buitenland (binnenlandse veiligheidsdienst ??)

[Orbit]

MI6 bestaat NIET meer, maar heeft wel bestaan. En idd MI5 is de engelse contra-spionage eenheid.

Hmmmm, das wel erg off-topic.

Anyway, open-source heeft voor en nadelen, zoals alles eigenlijk.

* 786562 Orbit

Het gaat imo niet meer zo lang duren voor de consumenten het zat worden om geld te geven aan een OS dat NIET stabiel is.

Ik vraag me af waarom er geen kleine computer-bouwers zijn die PC standaard leveren met een mooie linux-install op. Als je echt niks kent van computers kan je toch evengoed leren werken met de Unix-familie ipv de windows-familie. Tegenwoordig is de GUI van linux toch gebruiksvriendelijk genoeg met bevoorbeeld die auto-mount van Mandrake.

[boner]

echt waar???

[LinuxMan]

Opensource biedt dus voor- en nadelen

Alleen ziet microsoft wel een ding over het hoofd:

waarom denken ze in hemelsnaam dat bedrijven die iets opensource uitbrengen zelf niet meer naar de beveiliging kijken?

* 786562 LinuxMan

[Anoniem: 3057]

Zomaar ergens de broncode van een programma publiceren met de mededeling 'hier is het en ga maar controleren', levert absoluut niet de garantie op dat de controle goed gebeurt en dat belangrijke veiligheidsproblemen uit de software gehaald worden

Deze statement is volledig waar, maar dat zegt niets over de veiligheid van open source software in het algemeen.

De maker van software, of het nou open source of closed source is, zal zich bewust bezig moeten houden met security om goeie en veilige software te maken, en in beide sectoren gebeurt dat ook.

Wel zie je dat door de populariteit van open source er steeds zoveel nieuwe projecten komen dat de aandacht van developers behoorlijk versnippert, en dat kan nooit goed zijn. Helaas willen te veel mensen opnieuw het wiel uitvinden en hun eer halen met hun eigen software i.p.v. meewerken aan een ander project wat eigenlijk hetzelfde kan om het beter te maken. Denk aan de honderdduizenden OS forums die er zijn, waarvan er ongetwijfeld zat van twijfelachtige kwaliteit zijn, en eigenlijk niets toevoegen.

Daarintegen is er ook een ontzettende wildgroei in 'closed source' software, maar die sterven meestal sneller af omdat een nieuw en kwalitatief slecht product in de commerciele sector vaak geen geld opbrengt, zeker niet als het geenszins vernieuwend is.

Maar nogmaals, het gebrek van kwaliteit en security in OSS is niet gerelateerd aan het OS karakter ervan, maar ligt meer aan het karakter van eerzuchtige mensen die hun energie verspillen door een niet vernieuwend project starten i.p.v. meewerken aan een bestaand en goed project.

[SvMp]

*zucht* het is weer flame-day bij Microsoft..
Ik heb het artikel even door gelezen, en het gaat weer eens nergens over..

Er wordt volgens Microsoft nauwelijks gekeken naar veiligheidsproblemen in deze software. "Het controleren van miljoenen regels code is oersaai, neemt veel tijd in beslag en is moeilijk", zegt Steve Lipner, manager van het Microsoft Security Response Center. Als vrijwilligers de controle doen, is er geen garantie dat het product veilig is.

Voor hun is het misschien oersaai maar echte hackers (en dan bedoel ik niet inbrekers, maar hetgeen dat het woord echt betekent) hebben er hun hobby van gemaakt te zoeken naar beveiligingsfouten. Dat gaat het beste via de source-code dus in de source-code pluizen is dan ook een veelgebruikte methode om fouten aan het licht te brengen.
Dat het veel tijd in beslag neemt maakt niet veel uit, want mensen steken veel tijd in hun hobby en idealisme, bovendien zijn er duizenden mensen mee bezig en vele handen maken licht werk.
Dat het moeilijk is, maakt ook niets uit, want juist bij hobby-isten ligt de kennis.
Bovendien zijn er ook "professionele" bedrijven die zich met open source bezig houden, dus om meteen alles te gaan beschouwen als "vrijwilliger" slaat helemaal nergens op.

Lipner deed zijn uitspraak op de RSA Conference in San Francisco. "Zomaar ergens de broncode van een programma publiceren met de mededeling 'hier is het en ga maar controleren', levert absoluut niet de garantie op dat de controle goed gebeurt en dat belangrijke veiligheidsproblemen uit de software gehaald worden", zegt Lipner tegen SecurityFocus.

Ze doen het ook niet met de mededeling "hier ga maar controleren", maar om hele andere redenen. UIt deze uitmerking wordt het al duidelijk dat Microsoft er echt niks van snapt.

Zeer veel open source programma's worden uitgegeven onder de GNU licentie. Op http://www.gnu.org staat te lezen wat het precies inhoudt.
Kort gezegd zijn er 4 basisrechten voor GNU-software:
1. Je mag het onbeperkt gebruiken voor ieder doel
2. Je mag het doorgeven
3. Je mag het bestuderen
4. Je mag het wijzigen naar eigen behoefte en evt. zelfs opnieuw uitgeven

Voor de fundamentele punten 3 en 4 is het hebben van de sourcecode een absolute vereiste. Toch hebben deze punten niets te maken met "hier ga meer controleren".

De garantie dat de belangrijke veiligheidsproblemen er uit gehaald worden is er niet, maar dit geldt net zo goed voor Micorosft. Ook hun personeel kan fouten over het hoofd zien, omdat dat nou eenmaal menselijk is

In zijn ogen heeft juist de producent van closed source-software aandacht voor het programma en steekt daar genoeg tijd, geld en manschappen in om belangrijke problemen boven water te halen en op te lossen.

Manschappen...hmm dan is Bill Gates zeker de maarschalk.
Aan open source werken duizenden mensen, dus soldaten genoeg.
Geld is dan minder nodig, want de meeste mensen zijn "vrijwilligers", hobbyisten
Tijd: Zoals ik eerder al zei vele handen maken licht werk en die "vrijwilligers" zijn wel bereid daar tijd in te steken.

Patches
Volgens hem zijn netwerkbeheerders beter af wanneer ze hun kostbare tijd besteden aan het controleren van logbestanden en het installeren van patches dan aan het doorlopen van de broncode op zoek naar veiligheidsproblemen.

Dat is ook helemaal waar!
Wie zegt trouwens dat netwerkbeheerders de broncode doorlopen?
Netwerkbeheerders van open source software die installeren over het algemeen ook gewoon patches en nieuwe versies van software.
Microsoft denkt zeker dat we nog in de tijd leven dat je open source software met de hand moest herschrijven om het te laten draaien op je systeem... open source is anno 2001 toch wel wat verder gerijpt.

Voor een normale netwerkbeheerder hoeft het verschil tussen open source software en gesloten software niet merkbaar te zijn. Of je nou "setup" draait of "./configure, make, make install" doet, het komt beide op hetzelfde neer.

Lipner gaf op de conferentie toe dat Microsoft-software ook de nodige problemen met zich meebrengt. Maar volgens hem moet niet vergeten worden dat open source-software ook zijn problemen kent. Hij sprak zijn 'bezorgdheid' uit over de recente veiligheidsproblemen die opgedoken zijn in Unix-software als BIND en WU-FTP.

Tja het blijft mensen werk en zelfs in de beste software zitten fouten.
Het is wel zo dat voor open source software razendsnel na bekend wording van zo'n probleem razend snel een patch verschijnt, over het algemeen sneller als bij Microsoft software.
Als Microsoft begint over BIND en WU-FTP dan moeten ze ook beginnen over bv. Exchange server of MS Information server (balken en splinters, potten en ketels)

"Mensen vragen zich wel eens af waarom het zo lang duurt voordat Microsoft een patch voor een probleem op de markt brengt. Dat heeft alles te maken met het feit dat wij de software door en door testen."

Heel nobel van hun..maar ditzelfde geldt voor Unix.
Alleen daar gaat het testen wat sneller, omdat dit meteen door duizenden (miljoenen misschien wel) gebruikers wordt gedaan. De gebruikers worden erbij betrokken en dat schept ook het nodige vertrouwen. En dan hoeft dit niet eens te betekenen dat Jan met de Pet er meteen mee wordt geconfronteert: Het is in de open source wereld vaak zo dat je een stable-release hebt voor beginners en produktie-machines, en een unstable-release voor experts, ontwikkelaars en mensen die graag het nieuwste willen uitproberen.

Misbruik
Bovendien zitten er volgens hem nog andere gevaren aan het openbaar maken van de broncode. "Aangezien iedereen de broncode kan inkijken, kunnen 'aanvallers' cruciale veiligheidsgaten vinden die anderen gemist hebben. Daar kan misbruik van gemaakt worden."

Klopt
Maar daar weegt tegenover dat veel meer mensen fouten zoeken in de broncode met goede bedoelingen (de échte hackers, die geen inbrekers zijn, maar verbeteraars)

Het is niet de eerste keer dat Microsoft de aanval opent op de open source-beweging. Eeder dit jaar sprak Steve Ballmer, topman van Microsoft, zich al negatief uit over open source. Met name Linux vormt volgens hem een grote bedreiging voor Microsoft. Gratis software is nog niet volwassen en heeft volgens Ballmer geen toekomst.

Hier zijn al uitgebreid discussies over geweest, oud nieuws ga ik niet op in, maar het is wel duidelijk dat Microsoft machteloos is hier tegen (open source heeft en behoeft geen kapitaal, is niet te bestrijden met advocaten en gaat gewoon z'n eigen gang) staat. Open source is niet te bestrijden met de traditionele middelen van Microsoft waarmee het anderen (Netscape, WP, Novell, etc..) heeft bestreden, dus gaat het maar gewoon een end weg flamen.
Toch blijkt het niet echt moeilijk te zijn om tegenargumenten te bedenken tegen die flames, dus echt gefundeerd zijn ze niet.

NB. Een lange post waar ik een tijdje mee bezig ben geweest, dus mijn excuses voor eventuele dubbelposts

[Anoniem: 6690]

onzin, een OS zou geen beveiligingslekken moeten hebben, opensource maakt het veel makkelijker om deze te vinden doordat verschillende mensen dezelfde code zien, zodat bugs in de beveiliging die de programeur(s) over het hoofd hebben gezien alsnog opgemerkt worden, en verder ben je er ook nog eens een stuk zekerder van dat de software geen backdoors bevat

[Crazy D]

en verder ben je er ook nog eens een stuk zekerder van dat de software geen backdoors bevat

Da's maar gedeeltelijk waar. Juist door die opensource kan iedereen wat aanpassen, en het weer beschikbaar stellen als een 'mirror' van een bekende distri. Ga jij de source bekijken voordat je Linux installeert? Ik denk dat de meesten dat niet doen...

Wat niet wil zeggen dat open source daardoor echt gevaarlijker is, aangezien vrijwel iedereen windows plat wil krijgen, hun aandacht daarop richten, maar ik denk dat een kwaadwillenden zonder problemen een suse distri compleet lek kunnen maken en die verspreiden.

[johanvdw]

daarom download ik alleen iso's die ik achteraf check met de md5-sum van de website van de maker.

[Steven]

Het is zeker een cliché, maar bij MS worden toch echt de meeste beveiligingslekker gevonden, en dat zelfs terwijl het niet opensource is!!

Nu is het natuurlijk wel zo dat MS vaak sneller een patch heeft klaar liggen da een vage Linux uitgave...

[LinuxMan]

Nu is het natuurlijk wel zo dat MS vaak sneller een patch heeft klaar liggen da een vage Linux uitgave...

bij "een vage" Linux distro heb je gelijk, alleen gebruikt 99% van de mensen geen "vage" Linux distro maar een "echte".

Het laatste security issue (wat overigens alleen een theoretisch issue was, er is nooit aangetoond dat het ook werkelijk mogelijk was om het te exploiten) in de kernel was 2 uur na de melding gepatched. Dat heb ik microsoft nog nooit zien doen.

Het is zelfs tegenover gesteld: ik gebruik Debian Linux, en die houden voor mij 4500 applicaties in de gaten wat betreft security. Als er ergens (dus niet alleen het operating system, maar ook alle applicaties) een security issue is kan ik mijn systeem met 1 commando automatisch upgraden. Dat is toch een heel wat beter geintegreerd security systeem dan bij windows. Een windows gebruiker moet zelf voor alle applicaties die hij gebruikt gaan zoeken of er eventueel upgrades zijn.

[Anoniem: 17238]

Dit is niet waar. Als je eens kijkt naar Bugtraq dan zie je dat er net zoveel beveiligingslekken geworden dan wel niet meer.

Ik moet toegeven als er wordt gezegd dat hackers met open-source beter fouten kunnen ontdekken. Dat is gewoon waar. Buffer overflows zijn op die manier makkelijker te ontdekken. Ik vind echter dat Microsoft reëel moet blijven. Open-source is gratis en makkelijk aan te passen. Als je de auteur niet vertrouwt moet je het niet gebruiken. Zo simpel is het.

Tuurlijk kan Microsoft met allemaal nadelen aan komen zetten, maar het gaat erom dat ik mij verrot zou moeten betalen aan hun software terwijl ik iets soortgelijks van freshmeat.net kan halen, wat ik vervolgens naar mijn wensen kan aanpassen!

[LinuxMan]

Dit is niet waar. Als je eens kijkt naar Bugtraq dan zie je dat er net zoveel beveiligingslekken geworden dan wel niet meer.

Moet je eens even kijken hoeveel Linux-specifieke bugs er op bugtraq staan. Ik geloof dat de laatste bijna een jaar geleden was. De rest zijn bugs in applicaties. Als er een bug zit in een ICQ-kloon voor Unix staat het op bugtraq, en dan wordt Linux ook genoemd. Maar dat betekent toch niet dat Linux dan een bug heeft? Het enige waar je nog over zou kunnen discussieren zijn applicaties die dicht op de kernel werken. Deze zijn vaal wel specifiek voor Linux geschreven. Applicaties als de modutils, init, iptables e.d. Maar daar zijn ook al tijden geen bugs in gevonden.

[Aaargh!]

Nu is het natuurlijk wel zo dat MS vaak sneller een patch heeft klaar liggen da een vage Linux uitgave...

huh ?
het is juist andersom, problemen zijn meestal binnen een paar uur en hooguit binnen 1 a 2 dagen gefixed, bij MS duurt het meestal maanden.

[Anoniem: 1001]

Dat is onzin, Microsoft heeft voor ernstige problemen ook altijd binnen enkele dagen een patch klaar.
Alleen moet bij Microsoft de patch eerst door een nogal uitgebreide QA (Quality Assurance) fase om zeker te zijn dat er geen nieuwe problemen geintroduceerd worden door de patch. Die QA fase maakt dat het meestal bij MS een dagje of twee langer duurt. Linux (en andere open source software) heeft een veel kleinere afzetmarkt/marktaandeel, vaak minder grote verscheidenheid aan hardware waarop het moet draaien, minder software waarmee het compatible moet zijn etc, waardoor de QA fase korter kan zijn, en de patch eerder de wereld in gestuurd kan worden.

[Jit]

Linux (en andere open source software) heeft een veel kleinere afzetmarkt/marktaandeel, vaak minder grote verscheidenheid aan hardware waarop het moet draaien...

Mag je me toch eens uitleggen. Linux (en ook vele andere OSS) draait op vele platformen met diverse soorten aanvullende hardware, die soms ook nog eens alleen voor dat ene platform beschikbaar zijn. Daardoor zou Q&A voor dergelijke software dus nog veel langer moeten duren als je jouw redenatie volgt. Dacht 't niet dus.

't Is gewoon een kwestie van een naam hooghouden. Je eer redden. Doe je net iets makkelijker als je direct herkenbaar bent (wat voor de meeste OSS ontwikkelaars geldt), dan dat je je kan verschuilen achter de burocratie van een moloch als MS.

* 786562 Jit

[Anoniem: 8685]

Linux (en andere open source software) heeft een veel kleinere afzetmarkt/marktaandeel

Dit vind ik een interessante.
"Marktaandeel" kun je afmeten aan het aantal exemplaren van een OS dat bij particulieren of bedrijven in gebruik is. Dan is Microsoft onbetwist winnaar, met Windows op bijna alle thuiscomputers.

Of je kunt het afmeten aan het percentage servers dat een bepaald besturingssysteem draait, dan wint Unix van Windows, en heeft Linux (uit m'n hoofd) een groter "Marktaandeel" dan Windows.

Maar als je het Marktaandeel van een besturingssysteem eens zou afmeten (heel onorthodox) aan het percentage ip-pakketjes op heel internet dat is verzonden door dat besturingssysteem.

Dan is Linux volgens mij verreweg het grootste besturingssysteem ter wereld, omdat de meeste webservers Linux/Apache draaien, en ook mailservers meestal sendmail op Linux zijn.

* 786562 Bert

[looskuh]

Wat nou inzichtvol? Slaat als een lul op een drumstel! Wat heeft een bedrijf nou aan een product dat enorm intensief wordt gebruik door maar een paar gebruikers? Daar word je echt niet rijk van.
Maar de afzetmarkt is trouwens even groot, en het marktaandeel is miniem. (ja dat is het)

[Renegade]

Over het algemeen zullen fouten sneller gevonden worden in de open source gemeenschap doordat de broncode vrij te bezichtigen is, en daardoor fouten kunnen worden gezien die de programmeurs overslaan. Punt blijft echter dat er nog altijd meer MS/windows dan *ix/*ux gebruikers zijn, en waar meer gebruikers zijn zullen meer fouten gevonden worden.

[Anoniem: 3226]

Mooi niet, soms zijn fixes al gemaakt en getest binnen 24 uur.
Ik zou zelfs nog wel wat vragen willen zetten 'bij die paar uur' Als je rekent vanaf het moment dat het probleem wordt gemeld, troubleshooting, vaststellign van de oorzaak fixen, testen en opsturen dan is dat vrijwel niet te doen. Tenzij het een KOEI van een fout is natuurlijk...

[Anoniem: 19076]

hmmz over dat patchen; wat is nou makkelijker? een paar regels code vervangen & hercompilen of een gare binary downloaden van 100'en kb's?

[Anoniem: 18254]

Doe mij dan toch maar die gare binary van 100KB want da's sneller gedownload dan de tijd die het kost om je kernel te recompilen...

[Anoniem: 7173]

behalve als je bij Casema zit

[LinuxMan]

hmmz over dat patchen; wat is nou makkelijker?

apt-get update ; apt-get upgrade

(en er wordt gekeken wat er nieuw is, dat wordt automatisch gedownload, geinstalleert, geconfigureerd en klaar!)

dat is pas makkelijk!! (en het heet Debian Linux)

[Anoniem: 3613]

Een bronvermelding is bij dit soort uitspraken wel op zijn plaats. Anders is een beoordeling met 'informatief' toch niet op zijn plaats denk ik.

[Anoniem: 3501]

Even puur een stukje speculatie...

Stel je voor, ik zit in een project team bij M$, en ik weet op de een of andere manier een backdoor in een onderdeeltje van de internet exploiter te bouwen.

IE is closed source, dus alleen een beperkt aantal mensen bij M$ zal die code ooit onder ogen krijgen. Dus wat zou nu de kans zijn dat ze zo'n beveiligingslek vinden?

Als je zoiets echter in een open source browser doet, waar in theorie iedereen die er behoefte aan heeft kan gaan neuzen naar de zulk soort lekken.
Zou de kans dat iemand deze backdoor ontdekt, en er iets tegen onderneemt niet veeeel groter zijn?

[Onno]

Zou de kans dat iemand deze backdoor ontdekt, en er iets tegen onderneemt niet veeeel groter zijn?

Maar zolang niemand een exploit ontdekt is er ook niks aan de hand.

[Anoniem: 5523]

Wat ProX zegt is dat als 1 programmeur bij ms een backdoor in bijv. ie kan maken en dat niemand hem dan vindt.
Dit houdt dus in dat die ene programmeur (en iedereen die hij het verteld) toegang heeft/hebben tot alle computers die die bepaalde versie (en misschien alle volgende?) van internet explorer hebben.

Ikzelf denk dat de kans daar redelijk klein voor is, maar als je kijkt naar bijv. het duitse leger die van MS software afwilt omdat er misschien iets van een backdoor van de NSA in kan zitten...

[Anoniem: 3226]

Er is anders al een paar keer een achterdeur gevonden in perl cgi scripts. Dat is zo open source als het maar kan maar die deurtjes hebben er heel lang ingezeten.
Ik denk dat je een aantal zaken niet mooier moet voorsellen dan het is, het feit dat je de code zou kunnen lezen wil nog niet zeggen dat je het kunt intrepeteren. Het feit dat je de code kan aanpassen wil nog niet zeggen dat je dat ook gaat doen. Beide vereisen mensen met kennis van zaken en een uitgebreid testtraject. Kortom, zeer hoge kosten. Kun je beter Windows uit de doos kopen samen met een premium support pakket. Ben je nog goedkoper uit en je hebt de support erbij.

Just a thought.

[Anoniem: 9308]

Daarom is de National Security Agency natuurlijk ook zo druk bezig met haar Security Enhanced Linux, óók open source, en héél erg dichtgetimmerd! MS is gewoon wel èrg doorzichtig en overigens ook ondoordacht bezig!

[Anoniem: 18254]

Pffff... Alsof we de NSA moeten vertrouwen! Remember the NSAkey?

[Ulysses]

Dit gaat dus weer helemaal nergens over. Hij zegt gewoon totaal onlogische dingen. Alsof een team software engineers meer bugs zou kunnen vinden als de duizenden mensen die meehelpen aan de opensource community. Pff, wat een crap.
Het kan aan mij liggen hoor, maar volgens mij zijn er meer hackers die de source controlleren en bugs in kaart brengen als die ze exploiten.
Daarbij komt nog, dat als een bedrijf Linux professioneel in zet, dat ze dan eerst de mogelijkheid hebben om de source door te kijken, en ze gewoon alles wat ze niet nodig hebben kunnen strippen. En alles wat er niet in zit, kan ook geen lek meer veroorzaken. Die mogelijkheid heb je bij closed source software niet.
En mocht je dan een onveilig programma tegenkomen, dat je wel nodig hebt, dan zijn er altijd nog tig alternatieven. Sendmail onveilig? Nou, dan neem je toch Exim ... om maar een voorbeeld te noemen.

Echt, ze blaten maar wat, in de hoop dat er iemand is die er in gelooft zodat ze zelf weer een pakketje Win2k meer kunnen verkopen.