Windows-gebruikers worden sneller van beveiligingsupdates voorzien dan bij Apple, Red Hat of Ubuntu het geval is, zo blijkt uit onderzoek van Microsoft. Beveiligingstopman Jeff Jones onderzocht de kwetsbaarheden waar de vier vendors de eerste helft van 2008 mee te maken kregen. In totaal ging het om 585 unieke beveiligingslekken, waarvan er 292 in Red Hat, 153 in Ubuntu, 222 in Apple en 58 in Microsoft zaten. Wie kan tellen zal zien dat deze cijfers bij elkaar opgeteld meer dan 585 zijn, dat komt omdat sommige beveiligingslekken (26,8%) bij meerdere vendors aanwezig waren.

Microsoft krijgt regelmatig kritiek omdat het bij dit soort rapporten minder ernstige lekken meetelt, terwijl de problemen in Windows vaak ernstig van aard zijn. Om dat argument te bestrijden, maakte Microsoft ook een overzicht van de ernst van de kwetsbaarheden. Wederom komt Microsoft als beste uit de bus, met een score van 53,2. Ubuntu is tweede met 75,8, net voor Apple dat op 96,5 blijft steken. Red Hat is met 121,5 laatste. De cijfers zijn gebaseerd op de formule dat 20 "low" kwetsbaarheden of 5 "medium" lekken, aan één ernstig lek gelijk zijn.

Risico
Het aantal kwetsbaarheden zegt nog niet alles over de veiligheid van een systeem. 'Days of Risk' speelt volgens Microsoft ook een belangrijke rol. Dit is het aantal dagen dat een vendor nodig heeft om een publiek bekend lek te patchen. Het gaat dan alleen om kwetsbaarheden die bijvoorbeeld op BugTraq zijn verschenen en niet alleen bij de vendor zijn gemeld.

Windows-gebruikers moeten gemiddeld 24 dagen op een patch wachten nadat een lek bekend is, terwijl dat in het geval van Ubuntu 72, Apple 98 en Red Hat 105 dagen is. Om de cijfers in perspectief te zetten, past Microsoft haar eigen formule toe en dat is niet gunstig voor Apple. Die komt met een score van 82 dagen op de laatste plaats, terwijl Ubuntu, 51 dagen, en Red Hat, 63 dagen, daar onder zitten. Microsoft eindigt met 25 dagen weer als eerste.

Een ander kritiekpunt waar Jones gehoor aan geeft, is dat Linux-distributies vaak optionele componenten bevatten die niet geïnstalleerd worden, maar wel meetellen bij het aantal beveiligingslekken. De beveiligingstopman maakte daarom een apart overzicht waarin hij alleen de standaard geïnstalleerde Linux onderdelen telt en dat heeft een positief effect op zowel Ubuntu als Red Hat. Het aantal lekken neemt namelijk sterk af, waardoor alleen Mac OS X als enige ver boven de honderd blijft steken. Ook na het toepassen van Microsoft's formule zitten Apple-gebruikers met de meeste beveiligingslekken opgezadeld.

Voor bedrijven is het met name belangrijk om te weten wanneer patches verschijnen en hoe vaak dit gebeurt. Wederom een gebied waarin Microsoft excelleert. In de eerste helft van 2008 kende de softwaregigant slechts vier patchmomenten, terwijl Apple er met tien te maken had. Wie Red Hat of Ubuntu gebruikt moest in de eerste zes maanden meer dan twintig keer aan het patchen slaan.

Vista stabiel
Het onderzoek van Jones laat verder zien dat het aantal gevonden lekken in Windows Vista stabiel is gebleven. Ging het in dezelfde periode vorig jaar om 20 kwetsbaarheden, dit jaar waren het er 21. In het geval van Windows XP is er beter nieuws te melden, daar daalde het aantal lekken van 35 naar 26. Een daling van 25%. "Een ander interessant cijfer is hoeveel problemen er binnen een dag na publieke bekendmaking gepatcht werden. Zo'n negentig procent van Microsoft's problemen was binnen een dag verholpen, relatief goed nieuws voor Microsoft klanten," aldus Jones, die denkt dat het succes te verklaren is doordat Microsoft nauw samenwerkt met beveiligingsonderzoekers. "Dat de andere vendors zo laag scoren is mogelijk inherent aan het opensource model, waarbij veel verschillende producten dezelfde code delen." Jones verwacht dat zijn rapport weer een hoop stof zal doen opwaaien, maar hoopt op constructieve feedback.