Het Witte Huis zal voortaan op het opensource CMS Drupal gaan draaien, waarbij de Amerikaanse overheid wil laten zien dat het voor transparantie staat, maar volgens een bekende beveiligingsexpert is dit of een marketingtruc of heel slecht voor de nationale veiligheid. "Dezelfde Drupal met 12 pagina's aan beveiligingslekken sinds het verscheen. Ik weet zeker dat dit de opensource gemeenschap heel blij heeft gemaakt", zegt Robert 'RSnake' Hansen. "Maar ik zie dit als een grote fout."

Volgens Dries Buytaert, de bedenker en projectleider van Drupal, is dit een duidelijk signaal dat de Amerikaanse overheid beseft dat opensource geen risico's ten opzichte van gesloten software met zich meebrengt. "Dit is een complete drogreden. Sterker nog, het is gevaarlijk dat niet-security mensen hun kennis van beveiliging etaleren alsof het een feit is", merkt Hansen op. Als er wordt gekeken naar het aantal lekken per code kan hij zich nog wel in de uitspraak van Buytaert vinden. "Maar zo werkt de echte wereld niet."

Pentest
Er zit namelijk een gigantisch verschil tussen opensource en gesloten applicaties. "Ik kan Drupal de hele dag pentesten zonder een enkel pakketje naar Whitehouse.gov te sturen." Daarnaast zou een buitenlandse overheid voor weinig geld een klein leger van pentesters kunnen inhuren dat elk mogelijk lek zal proberen te vinden, zonder dat de intrusion detection systemen van het Witte Huis alarm slaan.

Hansen vindt het alleen een grote fout als het Witte Huis dezelfde Drupal installeert die iedereen kan downloaden en installeren. "Ja, dan is het gewoon idioot." Toch is dat zeer onwaarschijnlijk en zal het waarschijnlijk om een zwaar gestripte versie gaan en is de server zo zwaar beveiligd dat het upgraden niet eens zonder toestemming van het Congres kan, grapt de expert. "Alleen hoe verschilt een zwaar aangepaste variant van Drupal ten opzichte van een gesloten oplossing? Spring dus niet al te snel van vreugde. Ofwel dit is een marketingtruc of het loopt heel slecht af voor de nationale veiligheid."