Door Anoniem: waar jij op doelt is de code kwaliteit; het aantal patches/CVEs per pakket of regel code oid. echter voor security is een gat voldoende en als je een systeem opzet waar veel pakketen in zitten dan krijg je ook iets meer 'attack surface'. Nee, waar ik op doel is dat een eerlijke vergelijking het aantal CVE's per eenheid van aanvalsoppervlakte zou zijn, wat die eenheid ook zou moeten zijn, en ik heb een poging gedaan om daar een ruwe schatting van te geven. Je hebt gelijk dat het aanvalsoppervlak groter wordt naarmate je meer pakketten installeert. Maar dat betekent ook dat het aanvalsoppervlak kleiner wordt naarmate je minder pakketten installeert. Het totale aanvalsoppervlak van alle pakketten die deel uitmaken van Debian (meer dan 80.000) is enorm. Wat je feitelijk installeert op een systeem is daar maar een fractie van, een kleiner aantal pakketten met een kleiner aanvalsoppervlak dus, en die fractie is voor een server (en de vergelijking is met een server-OS) weer een stuk kleiner dan ...