In 2003 voor het eerst minder fouten in software gemeld

Afgelopen maandag heeft Symantec een nieuwe editie van zijn halfjaarlijkse Internet Security Threat Report gepubliceerd op zijn site. In het jaar 2003 is er over 2.636 vulnerabilities informatie gepubliceerd, zo meldt het rapport. Dit is een stijging van twee procent ten opzichte van het jaar ervoor toen er over 2.587 vulnerabilities informatie naar buiten werd gebracht. Interessant detail is dat het verschil tussen 2002 en 2003 beduidend kleiner is dan het verschil tussen 2001 en 2002. In de laatstgenoemde jaren is het aantal meldingen namelijk met 81 procent gestegen. Volgens Alfred Huger, senior director of engineering bij Symantec, is dit het eerste jaar waarin het aantal meldingen slechts licht is gestegen. Deze trend is niet alleen door Symantec opgemerkt, ook het Computer Emergency Response Team Coordination Center (CERT-CC) heeft iets vergelijkbaars ontdekt.

In 2003 zijn er bij het CERT-CC acht procent minder meldingen binnengekomen dan in het jaar 2002; in absolute getallen is dit een daling van 4.129 naar 3.784 meldingen over flaws. Er zijn meerdere argumenten te noemen waarmee deze trend verklaard kan worden. De eerste is dat softwareontwikkeling langzamerhand volwassen is geworden en dat de programmeurs geleerd hebben hoe ze bepaalde veiligheidslekken kunnen voorkomen. Een tweede argument is dat steeds meer securityonderzoekers softwarebedrijven eerst de mogelijkheid geven om een patch te ontwikkelen voordat waarschuwingen verstuurd worden. Dit laatste wordt bevestigd door Huger. Hij haalt hierbij het voorbeeld aan van Microsoft dat pas na zes maanden met patches kwam voor lekken die al bijna een half jaar bekend waren bij het bedrijf. Na de patch werden er pas waarschuwingen de deur uitgedaan.

Volgens Huger is er echter nog een derde reden waarom het aantel meldingen is afgenomen. Steeds meer onderzoekers zouden het melden van lekken achterwege laten. Enerzijds komt dit doordat onderzoekers bepaalde informatie achterhouden om hen zo een voordeel te geven ten opzichte van de concurrentie. Anderzijds bestaat ook de mogelijkheid dat onderzoekers het lek stilhouden zodat ze er zelf misbruik van kunnen maken. Een andere trend die Symantec ontdekt heeft, is dat aanvallers steeds vaker gebruikmaken van backdoors die door worm- en virusaanvallen op de computer zijn terechtgekomen. Volgens Huger geeft dit een compleet nieuwe dimensie aan virussen op internet. Die kunnen namelijk veel gemakkelijker computers binnenkomen en daardoor meer schade veroorzaken.

Reacties (12)

[Major 7]

Als ik het zo lees dan staat er dat de toename minder is dan voorheen, er zijn dus nog wel meer fouten in de software.

[fmb]

Als ik het zo lees dan staat er dat de toename minder is dan voorheen

Dat staat in de eerste alinea over Symantec idd. In de tweede alinea staat echter:

In 2003 zijn er bij het CERT-CC acht procent minder meldingen binnengekomen dan in het jaar 2002.

Dus het klopt wel wat je zegt, maar niet voor het hele artikel.

[THC]

Zou het misschien ook te maken kunnen hebben met een recessie, er zullen nu minder nieuwe programma's op de markt gegooid worden omdat dat gewoon een economisch dom moment is.

Ik kan me voorstellen dat de meeste echte flaws gevonden worden in voornamelijk nieuwe programma's of grote updates. Ik zou als ik een groot software bedrijf was, even rustig aan doen met dik investeren in development, maar eerst mijn schulden ed afbetalen.

[n4m3l355]

ik kan nergens uit opmaken of men spreekt over windows of over de software die in windows gedraaid wordt.. of dat het om dat gezamelijk gaat...
noch in het bericht noch in de link staat er iets over vermeld.. dus kunnen we hier ook niet echt iets op baseren imo...

[Taennyn]

Ze spreken hier over CERT. Handig linkje om even bij te houden: http://www.cert.org/

Die lui houden bij van vulnerabilities van zowel OS (zowel het speeltje van ome Bill als ome Linus) als software (BlackICE zie ik toevallig staan), maar ook virussen. Zo ongeveer alles wat je computer niet leuk zou kunen vinden.

[Q-collective]

Niet het hele universum bestaat uit Windows....
Er wordt echter ook met geen woord gerept over Open Source Software, dus je weet in feite niet eens hoe breed dit onderzoek is... handig...

[Verwijderd]

BREEEEEEEEEEEEEEEEEEEEEEEEEEEEEEED.

Dit is niet specifiek. Het enige specifieke hieraan is dat het om software gaat.

[Verwijderd]

Heb het nu niet helemaal doorgelezen, maar waarom zou het om windows of software daarvoor moeten gaan om er iets op te baseren?

[zwippie]

Bij Symantec bestuderen ze de veiligheids gevaren op het internet. Het meest opmerkelijke vonden ze daar Blaster, Welchia, en Sobig.F. Dat zijn dus Windows wormen (correct me if I'm wrong).

[lastramada]

Of...., de mensen hebben geen zin meer om deze fouten te melden.

Met andere woorden, het heeft totaal geen zin om zulke vaagheden als dit als officieel te beschouwen.

Dit soort bewegingen zijn van teveel factoren afhankelijk.

[appies]

Heb ook wel wat anders te doen...

[rapture]

Ik denk dat het met DMCA te maken heeft: het verbod op publiceren van bugs/lekken/fouten.

Daarom zijn er ook minder meldingen...