Het bestempelen van Google Chrome als de gevaarlijkste software van 2010 door Bit9 is een marketingstunt van een bedrijf dat de eigen producten wil verkopen. Dat zegt beveiligingsexpert Marc Maiffret. Bit9 stelde een lijst van de "dirty dozen" samen, gebaseerd op het aantal lekken in populaire programma's. Chrome stond met 76 kwetsbaarheden bovenaan het overzicht. Google heeft volgens Maiffret briljante beveiligingsonderzoekers in dienst en volgens andere experts is Chrome veruit de veiligste browser van het moment.

Marketing
De beveiligingsindustrie smeedt volgens Maiffret allerlei plannen om bedrijven bang te maken en vervolgens een oplossing voor het net gepresenteerde probleem te verkopen. "Iedereen die een product aanbiedt probeert geld te verdienen. De werkelijkheid is dat er echt grote dreigingen zijn waar bedrijven mee te maken hebben en die meer kosten om op te lossen dan als men proactief in beveiliging had geïnvesteerd."

Ondanks dat is het eenvoudig voor mensen in de beveiligingsindustrie om misleidend beveiligingsonderzoek te presenteren, die uiteindelijk 'leads' op moeten leven om producten te verkopen. Dit proces begint meestal met een brainstorm over een whitepaper, tool of onderzoek. Op zich is dit niet verkeerd, aangezien er ook handige tools en onderzoeken zijn, merkt Maiffret op. "Waar het misgaat is als je dit proces puur als marketingoefening ziet dat uiteindelijk tot een whitepaper en nieuwsberichten met misleidende conclusies leiden. Wat het geval is met het recente Dirty Dozen "rapport" van Bit9", aldus de expert.

Het persbericht van Bit9 werd massaal overgenomen en laat lezers geloven dat Chrome de gevaarlijkste applicatie van dit jaar is. De beoordeling is gebaseerd op het aantal lekken. "Sommige mensen denken misschien dat als een programma veel lekken heeft, het betekent dat de software 'dirty' is en daarom een groter risico vormt dan software met minder lekken." Maiffret is het hier niet mee eens. Het aantal lekken in een programma zegt niets of het ook tot gehackte systemen leidt.

Knappe koppen
De kans dat systemen via Adobe Reader of Flash Player worden gehackt is vele malen groter dan met Google Chrome het geval is. Er zijn veel meer exploits voor Adobe software in omloop dan voor Chrome. "Dat komt deels doordat Chrome met security in het achterhoofd is ontwikkeld en door het Google onderzoeksteam gesteund wordt, dat uit zeer knappe koppen bestaat." Chrome beschikt al geruime tijd over een sandbox, terwijl Adobe die later deze maand lanceert. In hackertool Metasploit zitten geen exploits voor Chrome, terwijl zowel Adobe Reader als Flash goed vertegenwoordigd zijn. Ook op Exploit-DB.com zijn er nauwelijks gevaarlijke exploits voor Googles browser. Het aantal werkende exploits voor Adobe software kan dan ook niet met die voor Chrome vergeleken worden.

Maiffret wil niet zeggen dat Chrome onkwetsbaar is. "Maar om te zeggen dat Chrome de kwetsbaarste applicatie is, geeft IT'ers de conclusie dat ze andere browser dan Chrome moeten gebruiken en stuurt ze daardoor richting de verkeerde conclusie."

Hoe gevaarlijk een applicatie is, is dan ook niet alleen van het aantal lekken afhankelijk. Ook de snelheid waarmee leveranciers lekken patchen, hoe ze updaten, hoeveel lekken ze zelf ontdekken, hoeveel lekken hackers daadwerkelijk misbruiken spelen allemaal een rol. Eén van de belangrijkste dingen bij het bepalen hoe gevaarlijk een applicatie voor een bedrijf is, is vast te stellen hoe men de applicatie kan beheren en onderhouden.