Internet Explorer bezpieczniejszy niż Firefox?

Jeffrey R. Jones, dyrektor ds. strategii bezpieczeństwa w microsoftowej Trustworthy Computing Group, opublikował na swoim blogu analizę, z której wynika, że Internet Explorer jest bardziej bezpieczny od Firefoksa.

Jones zbadał okres od pojawienia się listopadzie 2004 Firefoksa 1.0. Porównywał następnie wszystkie błędy, które poprawiono od tamtej pory w przeglądarkach Mozilli z błędami poprawionymi w przeglądarkach Microsoftu.

Tak więc w okresie od listopada 2004 do października 2007 mieliśmy do czynienia z Firefoksem 1.0, 1.5 oraz 2.0. W tym samym czasie Microsoft udzielał wsparcia dla IE 5.01 SP3 i SP4, IE 6.0 Gold, SP1, SP2 i edycji dla Windows Server 2003, a także Internet Eksplorera 7.0.

Jones informuje, że w badanym okresie Mozilla poprawiła 199 dziur w swoich produktach. W tym 75 luk oceniono jako bardzo groźne, 100 jako średnio groźne, a 24 zostały uznane za mało groźne. W tym samym czasie Microosft poprawił 87 dziur, w tym 54 bardzo groźne, 28 średnio groźnych i 5 mało groźnych.

To jednak, zdaniem Jonesa, nie wszystkie powody, dla których IE ma być bezpieczniejszy od swojego głównego konkurenta. Zwraca on też uwagę na politykę wsparcia dla produktu. W analizie czytamy: Obecnie Mozilla publikuje poprawki bezpieczeństwa tylko dla Firefoksa 2.0, gdyż w ramach jej polityki wsparcie wygasa po 6 miesiącach od czasu opublikowania kolejnej wersji. Jako że początkowo Mozilla zapowiadała Firefoksa 3.0 na październik 2007, to wsparcie dla Firefoksa 2.0 wygasłoby w maju 2008. Jeśli podobnie działałby Microsoft, to wsparcie dla Internet Explorera 6 zakończyłoby się w maju 2007, a dla Internet Explorera 5.01 - w roku 2001.

Pracownik Microsoftu przypomina, że obecnie jego firma zapewnia 10-letnie wsparcie bezpieczeństwa dla produktów biznesowych. Do głównych edycji Microsoft publikuje Service Packi i wspiera poprzedni SP co najmniej przez rok po ukazaniu się kolejnego – pisze Jones.

Zwraca on uwagę na konsekwencje takiej polityki Mozilli. Gdy np. Red Hat udostępnił swój system operacyjny Red Hat Enterprise Linux Desktop 5 z Firefoksem 1.5, to dwa miesiące później Mozilla przestała zapewniać wsparcie dla tej wersji swojej przeglądarki. Zmusza to Red Hata i podobne mu firmy do takiego przerabiania poprawek Mozilli dla FF 2.0, by pasowały też do FF 1.5.

Jones wymienia jeszcze wiele argumentów, które mają świadczyć na korzyść Internet Explorera. Z pełną ich listą można zapoznać się w Internecie.

Krytycy twierdzą jednak, że jego analiza zawiera bardzo dużo błędów. Przypominają, że Microsoft zwykle w ramach jednej poprawki łata kilka błędów, więc liczenie poprawek nie odzwierciedla rzeczywistej liczby dziur załatanych w IE. Ponadto nie można też bezpośrednio porównywać ważności łatanych luk. Mozilla i Microsoft stosują różne sposoby oceniania luk, tak więc proste porównanie nie działa. To, co dla jednej firmy może być „bardzo niebezpieczną” dziurą, przez drugą może zostać uznane za „niebezpieczną” czy „średnio niebezpieczną”.

Dodatkowo, jak zauważył Jonathen Oxer, dyrektor firmy Internet Vision Technology i prezydent Linux Australia, samo porównanie liczby dziur załatanych w danym okresie nie mówi nam nic o tym, przez jaki czas użytkownicy byli narażeni na niebezpieczeństwo.

Oxer zwraca też uwagę na fakt, że w przypadku opensource’owego oprogramowania (a takim programem jest Firefox), zakończenie wsparcia przez jego twórcę nie oznacza, że użytkownicy nie otrzymają żadnych łatek. Te mogą bowiem zostać wydane przez inne firmy czy organizacje.

Z kolei jeden z przedstawicieli Mozilli, podsumowując raport Jonesa, stwierdził: Czy fakt, że w USA dentyści naprawiają więcej zębów niż w Afryce oznacza, że Amerykanie mają uzębienie w gorszym stanie?.

Internet Explorer Firefox Jeffrey Jones przeglądarka bezpieczeństwo