Microsoft: betere beveiliging betekent uitstel producten

Na eerdere indicaties van het uitstellen van producten, zoals Visual Studio en SQL Server 2005 en Windows Longhorn, blijkt uit een artikel van Ars Technica dat de vertragingen nog verder kunnen oplopen. Aangezien Microsoft een flink deel van zijn ontwikkel-budget sinds begin dit jaar in de verbetering van de veiligheid van zijn producten is gaan steken, zullen belangrijke updates voor Microsoft's ontwikkeltools en SQL Server verder uitgesteld worden, wat tot gevolg heeft dat andere producten van de softwarereus die van beiden afhankelijk zijn ook uitgesteld worden.

Volgens het artikel zal voor sommigen dit verdere uitstellen van nieuwe producten als slecht nieuws komen, maar de mensen van Ars Technica wijzen op het veel grotere belang van de veiligheid van producten dat boven het belang van het halen van releasedata hoort te staan. Een ander voordeel naast de betere veiligheid in de toekomstige producten van Microsoft dat in het artikel wordt genoemd, is het feit dat men langer met de huidige hardware kan werken, wat weer zal schelen in de portemonnee.

Reacties (41)

[EfBe]

Security is geen 'add-on' feature, het is onderdeel van het initiele design en blijft dat totdat het product klaar is. Dat men nu, terwijl de producten al ver in development zijn, ineens security als belangrijk ervaart, geeft aan hoe fout het initiele design is geweest. Ik spreek niet over Visual Studio maar over Yukon.

Aangezien MS ineens het wel is gaan zien als hot issue, is belangrijk, maar daar plukken we de vruchten pas van wanneer de producten die nu gedesigned worden (Longhorn al niet eens) op de markt komen, dus pas over een jaar of wat (4jaar of later). Alle producten waarbij het 'niet zo'n issue was' bij het design maar nu ineens wel zijn 'achteraf' gepatched (het design is gepatched), wat niet direct ook security verhogend hoeft te werken.

[YaPP]

Security is geen 'add-on' feature, (...) Dat men nu, terwijl de producten al ver in development zijn, ineens security als belangrijk ervaart, geeft aan hoe fout het initiele design is geweest.

Bravo! Niet omdat het een opmerking over Microsoft is, maar omdat hieruit af te lezen is dat hier iemand spreekt met Software Engineering ervaring! (dat is iets anders dan coden) edit: grappig om dit ook in je profiel terug te vinden.

Zelf wou ik er nog aan toevoegen, dat ik het zeer opmerkelijk vind dat Microsoft nu zoveel nadruk legt op het woord "security' in hun presentaties. Het lijkt deels als excuus gebruikt voor de vertraging; aangezien de grote menigte ook niet de kennis van software engineering heeft, en dus ook niet weet dat secutiry achteraf toevoegen niet hoort. Men accepteerd de reden klakkeloos.

[EfBe]

Bravo! Niet omdat het een opmerking over Microsoft is, maar omdat hieruit af te lezen is dat hier iemand spreekt met Software Engineering ervaring! (dat is iets anders dan coden) edit: grappig om dit ook in je profiel terug te vinden.

heh, ja ik doe al 10 jaar niks anders

Zelf wou ik er nog aan toevoegen, dat ik het zeer opmerkelijk vind dat Microsoft nu zoveel nadruk legt op het woord "security' in hun presentaties, toen ik het artikel las had ik de indruk dat het deels als excuus gebruikt wordt, omdat de menigte (non professionals) het zo makkelijk accepteerd.

Het is puur politiek. Je praat hier niet over een paar installaties van 'een' programma, dit gaat over de software op desktop computers en servers die door verreweg de meeste mensen op deze aarde wordt gebruikt, direct of indirect.

Als er dan fundamentele security issues naar boven komen drijven hebben die dus verregaande gevolgen, althans als ze misbruikt worden door kwaadwillenden. Dus het is zaak om het gemor onder de (potentiele) klanten te smoren door toe te zeggen dat je er volop mee bezig bent.

Een MKB directeur die software voor zn bedrijfje wil kopen begrijpt termen als 'security' tegenwoordig, maar hoe en wat verder niet. Dus als MS zegt dat ze security topprioriteit heeft, dan is dat voldoende, althans, om het meeste gemor te lijf te gaan.

Er komt echter een ander probleem op zo langzamerhand en dat is dat je wel kunt blijven roepen dat het topprioriteit heeft, men wil ook wel eens daden zien. De wormen vliegen nog altijd om je oren. Dat dit voornl. komt door flaws in oudere versies van windows en outlook (express) is een van de dingen die men dus NIET zegt, maar waar men zolangzamerhand WEL mee geconfronteerd gaat worden: men kan wel blijven roepen dat XP bv een nieuw service pack krijgt wat alles fixed wat er te fixen valt, feit blijft dat een inmense hoeveelheid mensen nog altijd met oudere windows versies werkt, oudere office versies en oudere outlook express versies. Die mensen help je niet met een XP service pack.

Verder wordt het meer en meer duidelijk dat MS maar wat heeft aangekloot de afgelopen jaren. I.p.v. bijvoorbeeld Internet Explorer een echte sandboxed applicatie te maken (dus het kan totaal niet buiten zichzelf komen, geen files lezen vanaf disk etc. etc.) probeert men lekjes in routines die misbruik maken van het feit dat het GEEN sandboxed applicatie is te verhelpen, maar dat verhult NIET dat zodra een ander lek ontdekt is, de applicatie dus weer je systeem open zet voor kwaadwillenden.

Daarom is het essentieel dat security een onderdeel is van je design. Je ziet bv in .NET terug dat men daar vanaf het begin erg mee bezig is geweest. In het geval van bv Windows Media Player is dat absoluut niet het geval. Je kunt scripts embedden in media streams. Dat is al eens fout gegaan met een buffer overflow in media player. Dit is dan schadelijk ivm de foute constructie van hoe die applicaties werken mbt externe connecties: de externe connectie houdt niet per definitie op bij de applicatie in user-land in memory, maar kan via die applicatie in theorie elk onderdeel van het systeem bereiken.

Het zijn dat soort 'functionele design errors' die security zo belangrijk maken vanaf het begin. Je kunt achteraf wel wat bufferoverflows fixen of wat access right misbruik trachten te voorkomen, de al aanwezig functionaliteit verwijderen omdat het potentiele schade kan aanrichten is dan al vaak veel te laat.

[Bobco]

Prima dat Microsoft inziet dat security inderdaad een groot probleem is en alleen maar groter wordt in een wereld waarin steeds meer systemen aan elkaar hangen en bedrijven steeds meer afhankelijk worden van de mogelijkheden die software biedt.

Het is alleen wel een beetje lullig voor die bedrijven die gebruik maken van software assurance, dat licentiemodel waarbij je een 'abonnement' neemt op de nieuwe versies die de komende x jaar worden uitgebracht. Als er in die x jaar geen nieuwe versie uitkomt mag je je wel eens af gaan vragen waar je nu precies voor hebt betaald...

[scsirob]

Uitstel van alweer een upgrade zal door veel bedrijven met gejuich ontvangen worden. Eerst een solide product maken, dan pas upgrades.

[K.C.]

En wat doen we in de tussentijd met de "onveilige" producten?

We weten dat het slot van de deur kapot is, zetten er "tijdelijk" een stoel tegen en hopen dat inbrekers het niet zien?

[Verwijderd]

Uitstel van alweer een upgrade zal door veel bedrijven met gejuich ontvangen worden. Eerst een solide product maken, dan pas upgrades.

Je hoeft niet te upgraden.
Win98 wordt nogsteeds erg veel gebruikt én ondersteund.
Of het gebruik van Win98 nu de beste keuze is in deze tijd is een tweede, maar het gaat even om het principe.

Je hoeft, zeker als bedrijf, niet voorop mee te lopen met de laatste OS versies. De distributie/uitrol hiervan kost veel geld.

[rept]

Win 98 wordt inderdaad nog veel gebruikt maar de support zal niet lang meer blijven duren.
Heb gisteren nog een mail van MS builder gekregen met als titel: "Windows 98 Is Retiring, but We Still Have Plenty of Options for You!"

[Verwijderd]

Heb jij ergens gelezen dat het oplossen van bugs/ beveiligingsgaten is stopgezet? Ik niet iig.

[Twarp]

Logisch, zodra je iets verbetert op de markt wil brengen dan kost het meer tijd.

Het is alleen de vraag welke hoe ver je dit gaat toepassen voordat je een product released en hoeveel kosten er in gaat zitten. Mij lijkt het een duurdere optie voor de consument, er moet immers meer tijd eerst in een product gestoken worden en je mist de feedback van veel gebruikers. Ik hoop dat er een goede verhouding voor gevonden zal worden.

[Verwijderd]

Weet niet of ze dit zullen doorberekenen aan de klant. De prijzen zijn imho al behoorlijk hoog. Dit zullen ze doen om van de naam 'onveilig' af te komen, daar zullen ze zelf wel wat voor investeren, ze hebben nog genoeg geld op de bank staan om die extra kosten op te vangen.

Bovendien als het product de naam 'veilig' krijgt door alle extra maatregelen zullen meer mensen het komen, en stijgen dus hun inkomsten weer. Lijkt me investeren in hun eigen toekomst.

[Verwijderd]

Tuurlijk berekenen ze dit door aan de klant...
MS is een commercieel bedrijf!

[flab007]

Dat hangt er helemaal vanaf hoe Linux het gaat doen de komende tijd bij de eindconsument. In het geval dat Linux steeds meer bij de eindconsument geaccepteerd zal raken zal invloed hebben op de prijspolitiek van MS. Er zijn op dit moment al genoeg voorbeelden hiervan in de wereld te zien!

[Verwijderd]

Jep! 2 vrienden van mij worden ook steeds meer geïnterreseerd in Linux. Maar het belangrijkste is waarschijnlijk toch het bedrijfsleven.

[Madrox]

Logisch, zodra je iets verbetert op de markt wil brengen dan kost het meer tijd

Logisch, zodra je meer mensen op dat werk zet kan het weer wat sneller klaar zijn .

[Verwijderd]

Het wordt eindelijk duidelijk dat snel achter elkaar software uitbrengen geen nut heeft. Ben blij dat Microsoft tot inkeer is gekomen door net even wat meer tijd aan de ontwikkeling van software te spederen. Je krijgt dan meer vertrouwen (zie vergissing Windows ME)van de klant. Het scheelt ook weer in patches en fixes.

@jester: Ok er zijn soms probleempjes met de beveiliging maar voor de normale gebruiker is het niet echt zo'n schrikbarend probleem. Hackers zoeken vaak grote bedrijven uit. Die hebben er wel mee te maken. Het enige probleem voor de normale gebruiker is dat er vaak stomme foutjes inzitten waardoor er bepaalde applicaties niet goed werken.
En een OS wat "redelijk"op tijd uitgebracht was Is Win ME (meest grote vergissing van MS) Door de geheugenleaks en de instabiliteit is de consument behoorlijk "genaaid"

[Little Penguin]

Uitstel van introductie betekent voor Microsoft ook uitstel van winst - wellicht was dit in het verleden een reden om een product dus maar met lekken cq slecht getest op de markt te zetten.

Inmiddels is men zo vaak negatief in het nieuws geweest dat men wel aan security moet(!) werken....

[gumkop]

Degenen die nu zo'n abonnement bij MS hebben en elke 3 jaar recht hebben op nieuwe software worden nu behoorlijk gepakt als er ineens 5 jaar tussen gaat zitten ...

[Troy_BP]

nou je mag verwachten dat de license policies veranderd worden he want MS heeft de meeste inkomsten uit corporate contracten dus die clienten zullen ze niet zo in de kou zetten.

[RetepV]

Jawel, dat doen ze wel, maar dan krijgen ze een paar rechtszaken aan de broek en is het uiteindelijke resultaat dat ze toch aan die clienten moeten denken. Dan komt er wel een media-offensief waarna niemand meer weet hoe het precies ook al weer zat. En daarna lijkt het voor iederen alsof Microsoft altijd al aan zijn clienten heeft gedacht. Zo gaat het altijd .

[BikkelZ]

Daar ligt echt niemand van wakker, dat er minder snel nieuwe OS'en uit gaan komen en dat de support op je oudere OS dus langer overeind blijft, zodat het geen wat ze wel uitbrengen deugdelijker is.

[Verwijderd]

Ben blij met die uitstel.
De programma's van Microsoft volgen elkaar soms zo snel op dat ik soms de voorgaande versie nog maar net op de computers heb geïnstalleerd of de volgende ligt alweer klaar.
En bij ons willen ze natuurlijk altijd de laatste versies kunnen gebruiken.
Nou ja zo blijft een mens bezig.

[Verwijderd]

3 jaar vliegt wel voorbij he?

Ok, 2000 -> XP was maar 2 jaar maar alle server versies zitten in een 3 jarige product cycle dus ik begrijp even niet waar jij het over hebt met 'snel op elkaar volgen'

[Pietervs]

Ok, 2000 -> XP was maar 2 jaar maar alle server versies zitten in een 3 jarige product cycle dus ik begrijp even niet waar jij het over hebt met 'snel op elkaar volgen'
Het feit dat er nog veel Windows98 PC's (ook in het bedrijfsleven) zijn, geeft aan dat de opvolging van een aantal besturingssystemen voor veel mensen en bedrijven erg snel is.

[BoGhi]

Waarschijnlijker is het dat er sowieso al een vertraging in de oplevering aan zat te komen, en dat de security aangegrepen wordt als dankbaar excuus hiervoor.. Zo werkt dat toch in het algemeen?

[Verwijderd]

een slecht product heb je zo, als je het goed wilt doen, neem je de tijd ervoor om het te ontwikkelen.

release een goed veilig product en mensen hebben meer vertrouwen in je product, dan releasedate halen en prod op markt brengen met alle bugs