Het Deense Secunia is inmiddels wereldwijd bekend vanwege haar uitgebreide lekken database en Software Inspectors, die Windows gebruikers laten zien hoe kwetsbaar hun systeem is. Morgen een review van de Network Software Inspector, maar eerst kijken we hoe de Denen al die beveiligingslekken weten te verzamelen. Secunia is al vijf jaar bezig met het opslaan van informatie over patches en kwetsbaarheden en heeft zo'n 13.000 verschillende applicaties in haar database staan. Om op de hoogte te blijven gebruikt het Google-achtige zoekrobots die mailingslist, websites, changelogs, persberichten en natuurlijk de CVE database indexeren.

Vaak proberen ontwikkelaars een beveiligingsprobleem geheim te houden en melden ze dat de update een bepaalde crash verhelpt. De robots die Secunia gebruikt zoeken naar bepaalde kernwoorden die mogelijk een teken zijn dat de ontwikkelaar informatie achterhoudt, iets wat volgens CTO Thomas Kristensen dagelijks gebeurt. Vindt de robot een kernwoord, dan wordt het betreffende changelog of persbericht door een van de werknemers doorgelezen en vaak wordt er ook nog contact opgenomen. Daarbij weet Secunia regelmatig ontwikkelaars op "heterdaad" te betrappen. "Alles wat publiekelijk bekend en gemeld is over beveiligingslekken, zullen we vinden. We hebben het beste trackrecord wat betreft het vinden van beveiligingslekken," laat Kristensen weten.

Microsoft als voorbeeld

De Personal, Web en Network Software Inspectors zijn geen automatisch patchtools, maar eerder inspectie tools die controleren welke updates ontbreken. Voor alle kwetsbaarheden kijkt Secunia in haar eigen database, behalve in het geval van Microsoft. Daarvoor wordt Windows Update ingezet, wat volgens Kristensen een fantastisch stukje software is, wat haar gelijke niet kent. “Windows Update is in 99% van de gevallen de beste tool voor de job, wij richten ons alleen op de foutjes die ze maken.” De Deen doelt op bepaalde gevallen waarbij Microsoft updates mist die nog geïnstalleerd moeten worden. In die gevallen helpt Secunia de softwaregigant. "Wat betreft het updaten van haar gebruikers ligt Microsoft lichtjaren voor op de concurrentie. Geen enkele vendor is zo toegewijd aan het uitrollen van patches.”

Automatisch updaten niet voor iedereen

Sinds Service Pack 2 voor Windows XP is het automatisch updaten van het besturingssysteem gemeengoed voor Windows gebruikers geworden. Veel andere ontwikkelaars zijn nog niet zover, waardoor menig gebruiker ongepatchte en kwetsbare applicaties blijft gebruiken. Het ziet er helaas naar uit dat er voorlopig nog geen tool verschijnt die alle programma's op de computer kan monitoren en patchen. "Ik zou het graag willen doen," zegt Kristensen. Toch zijn er nog verschillende beren op de weg.

Menig ontwikkelaar zal een derde partij geen toestemming geven om patches te "rebranden" en opnieuw uit te geven. Een ander punt is de lokalisatie. Secunia linkt nu nog naar Engelse patches, die bij Nederlandse versies van de software niet werken. "Het komt regelmatig voor dat een Nederlandse gebruiker ons mailt en zegt dat de gelinkte patch niet werkt." Zeker als het om bedrijven gaat is het automatisch uitrollen van updates geen gemakkelijke taak en moet er rekening worden gehouden met de omgeving van het bedrijf. Generieke update pakketten zijn daarom lastig samen te stellen. Secunia stelt binnenkort verschillende API's beschikbaar, die haar tool laat samenwerken met patchmanagement tools. Op die manier kan Secunia de software vertellen welke updates de patchmanagement software moet installeren, rekening houdend met het bedrijfsnetwerk.

Kristensen hoopt dat er een dag komt dat Windows gebruikers, net als met apt_get bij Linux, hun software via een centraal programma kunnen bijwerken. "We dromen over die dag. Het vereist wel samenwerking tussen de verschillende vendors , maar zorgt ervoor dat ze uiteindelijk met minder support telefoontjes te maken krijgen."