Microsoft heeft in een nieuw rapport keihard uitgehaald naar Mozilla, door te stellen dat Internet Explorer minder ernstige lekken dan Firefox heeft. Volgens Microsoft beveiligings- topman Jeff Jones laten de cijfers zien dat Mozilla niet de waarheid spreekt als het Firefox veiliger noemt dan IE. "De afgelopen drie jaar heeft Internet Explorer met minder lekken en minder ernstige lekken te maken gehad dan Firefox."

Sinds de release van Firefox 1.0 in november 2004 moest Mozilla 199 lekken dichten, waarvan 75 ernstig, 100 medium en 24 in de laagste categorie. Microsoft deed het volgens Jones veel beter, IE had in dezelfde periode te maken met 87 kwetsbaarheden, waarvan 54 ernstig, 28 medium en 5 in de laagste categorie.

En dat is nog niet alles, want doordat Mozilla haar browser versies korter ondersteunt in vergelijking met Microsoft, kan dat ervoor zorgen dat meer mensen met een niet ondersteunde versie surfen en daardoor extra risico lopen. Verder kent Firefox 2 meer ongepatchte lekken dan IE7, hoewel de browser van Microsoft met 2 ernstige lekken meer te maken heeft dan bij Mozilla het geval is.

Publieke misleiding
Jeff Jones neemt ook Mozilla's "Chief Security Something or Other" Window Snyder op de hak, maar die bijt fel van zich af. "Helaas voor Microsoft worden niet alle beveiligingsproblemen geteld. Hij telt alleen de publieke problemen, omdat Microsoft ons daar alleen over verteld. Microsoft is bang dat als het zegt dat het X aantal problemen heeft verholpen, de wereld zich zal richten op het feit dat de browser in eerste instantie X aantal lekken had, en niet dat ze nu gepatcht zijn en geen gevaar voor de gebruikers zijn."

Volgens Snyder zorgt dit gedrag ervoor dat gebruikers van IE soms erg lang op een patch moeten wachten voor een lek waarvan ze niets afweten. "Wij bewaren onze patches niet voor een grote release. Wij patchen regelmatig, omdat het beveiligen van onze gebruikers belangrijker is dan de bescherming van ons PR-team, dat op artikelen over het tellen van lekken moet reageren, in plaats van naar de punten te kijken die aangeven of een ontwikkelaar echt z'n best doet om gebruikers te beschermen."

Ook Mozilla topman Mike Schroepfer laat weinig heel van het rapport van Jones, omdat niemand buiten Microsoft weet hoeveel lekken er in Internet Explorer zitten. "Is dit het gedrag van een ontwikkelaar die open, transparant en eerlijk over beveiligingsproblemen is? Ik verwacht meer van ontwikkelaars, en dat zou jij ook moeten doen."