Het rapport van Microsoft's Jeff Jones, waaruit blijkt dat Windows Vista minder lekken heeft dan XP, Red Hat, Ubuntu en Mac OS X, zorgde voor verhitte discussies. Ook Jesper Johansson, voormalig Microsoft werknemer en auteur van het boek Windows Vista Security, heeft een mening. In plaats van een product uit 2001 met een vijf jaar nieuwer product te vergelijken, wilde hij weten of Vista gebruikers meer beveiligingsproblemen hadden dan XP gebruikers. "Het feit dat Vista in het eerste jaar van z'n bestaan minder problemen had dan XP in 2001 is niet relevant voor me als ik een IT manager ben die moet bepalen of hij vandaag XP door Vista vervangt."

"Wat ik wil weten is wat ik kan verwachten qua beveiligingslekken vandaag, niet waar ik zes jaar geleden mee te maken had."

Eigen onderzoek
Johansson besloot daarom zelf maar op onderzoek uit te gaan. Eerst controleerde hij het aantal lekken dat vorig jaar in Vista en XP werden gevonden. Vista had te maken met 45 lekken, terwijl XP in combinatie met IE6 er 62 had. XP gebruikers met IE7 kregen 61 kwetsbaarheden voorgeschoteld. Met name het aantal ernstige lekken ligt in Vista veel lager, met 17 tegenover 29 in XP met IE7 en 38 in XP met IE6. Niet alleen moesten Vista gebruikers minder patches installeren, ook verschenen er op 10 verschillende dagen updates, terwijl dit bij XP 11 was.

Firefox vergroot problemen
"Veel mensen zien deze cijfers en zeggen dat die niet relevant zijn, omdat ze Firefox gebruiken", gaat Johansson verder. Ook deze stelling legde hij onder de loep, en wilde weten of Firefox gebruikers minder vaak moeten patchen en of ze ook met minder lekken te maken hebben. Mozilla bracht op 8 verschillende momenten updates voor Firefox uit, terwijl Microsoft op vijf verschillende dagen IE op Vista moest patchen, en zes moment voor IE6/IE7 op XP nodig had.

Het grote verschil zit hem in het aantal beveiligingslekken. Firefox moest 44 gaten repareren, terwijl dit er bij de browser van Vista 17 waren. Ook XP gebruikers hebben de helft minder lekken als ze IE6 of IE7 gebruiken.

Werkdruk
"Het eerste dat ik wil opmerken is dat het tellen van beveiligingslekken geen goede graadmeter van de beveiliging is. De gegevens laten duidelijk zien dat Firefox meer lekken had dan IE, toch beweren de meeste mensen dat IE vaker wordt aangevallen. Ik heb niet de moeite genomen om gegevens te vinden om die bewering te bevestigen."

Wat het tellen van lekken wel doet, is het meten van de werkdruk voor een automatiseringsafdeling. IT-afdelingen die Vista moesten beheren hadden minder werk dan het geval was bij afdelingen die met XP en IE6 werkten. "De werkbelasting voor een IT-afdeling die ook Firefox beheerde was zelfs nog groter."