Index A-Z
Nyhetsbrev
RSS
För att vi ska kunna bena ut den här gamla klassiska debatten måste vi först klargöra ett begrepp: Vad är säkerhet? En definition som många är överens om är faktorerna hemlighet, dataintegritet och tillgänglighet. I vissa fall lägger man till autenticitet och spårbarhet, men vi tror inte att de två faktorerna tillför något i just det här sammanhanget.
Därefter behöver vi ställa oss frågan: Är säkerhet lika med frånvaron av hot mot de tre faktorerna eller ska vi bara räkna de hot som förverkligas? Till exempel: Om det finns mer buggar i ett av systemen men färre angripare använder dem, är det systemet säkrare?
Hotens storlek kan vi försöka uppskatta genom att räkna mängden skadlig kod och kända buggar för respektive plattform, men redan där börjar det bli luddigt. Vi kan nämligen inte räkna de okända buggarna, även om de också är farliga. I synnerhet om de hederliga människorna inte känner till dem och Kjell Kriminell just finslipar en angreppsmetod.
Det vore trevligt om vi kunde räkna de kända säkerhetshålen på respektive plattform och sedan anta att det på varje kodrad finns grovt sett proportionerligt lika många okända säkerhetshål som bara väntar på att bli upptäckta. Men nu är vi inne på de närmast religiösa tassemarkerna.
Windowsutvecklarna menar att deras systematiska säkerhetsarbete har gjort att många buggar redan har skakats ut ur koden. Samtidigt påstår Linuxmänniskorna att deras öppna källkod har gjort att många buggar redan har skakats ut ur koden. Bilden kompliceras något av att många buggar i Windowsprogram tätas i all tysthet av företagen bakom programmen. Så även om de är kända är de inte kända för oss. På Linuxsidan får den som rapporterar en bugg respekt, vilket leder till betyligt ljudligare buggrapporter.
För att utröna vilket system som passar just dig bäst kan du fylla i nedanstående test. Kryssa boxarna och räkna samman i vilken kolum som flest kryss hamnat – det är rätt system för dig!
Vill du gå lite djupare kan du lägga till några kategorier som är viktiga för dig. Vill du gå ännu djupare än så kan du värdera de olika kategorierna mot varandra utifrån just din hotbild och dina användares beteende.
På frågan om vilket av de två som är säkrast om vi antar att administratören inte alls bryr sig om säkerhet svarar it-säkerhetsexperten Jonathan James på Atea Windows.
– Linux är mer som en sportbil. Det erbjuder extrema möjligheter att trimma och finjustera för den som vill ha säkerhetsprestanda.
– I dag har både Windows och Linux brandväggen påslagen som standard och automatiska uppdateringar. Båda har också fått standardiserade programmeringsgränssnitt inne i programkoden för att underlätta för anti-malwareprogram. Vi börjar närma oss en punkt där det inte är så stora skillnader mellan Linux, Mac och Windows, varken i utseende eller funktioner, säger Jonathan James.
För god säkerhet i Linux talar att många av dess programmerare är eldsjälar, men på samma gång kan man oroa sig för att brinnande entusiasm fortfarande är vad som krävs för att god säkerhet ska upprätthållas. Windowsprogrammerare har å andra sidan ett stort företag bakom sig. Det gör det troligare att de har dels formell utbildning inom säkerhet, dels moderna programmeringsverktyg med inbyggda säkerhetsfunktioner. Stora utvecklingsavdelningar på företag har också ofta bättre rutiner för granskning av koden än vad eldsjälarna har. Samtidigt noterar vi att det mesta utvecklandet av Linuxprogram numera också görs på stora företag.
En annan skillnad mellan de två är att Linux innehåller väsentligt färre rader kod än Windows. Av det kan man dra flera olika slutsatser. Å ena sidan kan man tro att det minskar den totala mängden buggar i Linux, å andra sidan blir det ju fler buggar per rad kod när vi räknar dem som har rapportrats. Och att Windows innehåller fler rader kod gör att det också blir mer jobb att granska den. Linux öppna källkod underlättar visserligen för skurkar att hitta buggar, men samtidigt gör den att de händiga snabbt kan rätta buggarna själva. Å tredje sidan är det långt från alla Linuxanvändare som kan programmera.
Att det gått snabbt att installera uppdateringar är viktigt för säkerheten. Till och med det allra viktigaste, enligt flera säkerhetsexperter som har uttalat sig i frågan under det senaste året. Både Linux och Windows har system för automatiska uppdateringar numera. Linux har en fördel genom att dess olika pakethanterare även sköter uppdateringar av nyttoprogram, men bara om programmen finns i det egna programbiblioteket. För Ubuntu och dess pakethanterare Synaptic innebär det att olika Office-sviter, webbläsare, pdf-läsare, grafikprogram, filmvisare och annat som förgyller livet automatiskt uppdateras genom samma tjänst som uppdaterar operativsystemet. Linuxvarianter av stora kommersiella program som Notes måste alltid hämtas separat och sedan uppdateras.
Förespråkarna för de båda sidorna i ”konflikten” har sina speciella säkerhetstekniker som de själva lyfter upp, men som motståndarna förringar. Båda system kan också använda skyddade minnesareor. Vissa menar att Linux använder den tekniken bättre, medan Windows är mycket bättre på att dra nytta av tpm-kretsar i datorns hårdvara (trusted platform module).
Ubuntu och flera andra moderna Linuxvarianter har inte heller längre något rootkonto på samma sätt som förr, men på Windowssidan är det fortfarande vanligt att användaren i tid och otid är inloggad som administratör.
En teori om Linux förträfflighet är att eftersom programkoden är öppen kan fler människor granska den och hitta säkerhetshål. Den tesen drivs av bland andra Linuxförkunnaren Eric S Raymond, författare till boken ”The Cathedral and the Bazaar”. Andra, som John Viega på McAfee, har sagt rakt ut i ett decennium att det är struntprat. Även Jonathan James på Atea är skeptisk.
– Det bygger på antagandet att alla som hittar sårbarheter har samma incitament att rapportera dem. I dag kan du sälja en sårbarhet eller en färdigt angreppsmetod för att utnyttja en sårbarhet för stora pengar till skumma företag. På det sättet kan öppen källkod vara osäkrare än stängd källkod. Men det betyder inte att program med stängd källkod är säkrare. Det finns många människor med så kallade fuzzer-program som testar program genom att mata in medvetet felaktiga data och parametrar för att upptäcka fel, säger Jonathan James.
It-säkerhetsexperterna Anders Nilsson på Eurosecure och Johan Jarl på F-Secure tror inte heller på den så kallade many eyes-teorin.
– Jag tror det är samma. Fast på Windowssidan är det så många som tjänar pengar på att hitta säkerhetsluckor för olika programvara, säger Johan Jarl.
– Program i dag är stora och svåra att överblicka. Vi hittar fortfarande buggar i gamla program. Den stora skillnaden är att när buggarna väl är hittade går de snabbare att fixa med öppen källkod, säger Anders Nilsson på Eurosecure.
Janne Haldesten, chef för informationssäkerhet vid Exericon Group, tror att storleken spelar roll.
– Microsoft har varit väldigt drabbade för att de haft störst marknadsandel. Men nu ser vi att allt fler användare går över till både Linux och Mac. I takt med det lär vi sannolikt få se fler attacker mot de plattformarna. Många tror till exempel att webbläsaren Opera är säkrare än Internet Explorer och Firefox. Tekniskt sett skulle jag väl säga njaae, men hotbilden är mindre på grund av en väsentligt mindre marknadsandel än till exempel Firefox, säger Janne Haldesten.
– Om du gör en riktad attack och vet att ditt målföretag kör Linux, så tar du reda på vilka sårbarheter som finns där och hur du ska exploatera dem. I dag finns det inte längre några heliga kor utan system angrips oavsett typ. Motivet är oftast ett av två: pengar eller informationsöverläge. Det senare representeras i stor utsträckning av riktade attacker, säger Janne Haldesten.
Förutom att breda, icke-riktade attacker kommer att bli vanligare mot både Linux och Mac tror han att riktade attacker kan bli mer aktuella mot Mac-användare. De är ofta beslutsfattare och det gör innehållet i deras datorer mer intressant än att bara stjäla kapacitet till ett botnät och en allmän genomsökning efter olika kontonummer och lösenord.
De tillfrågade experterna ser en tendens att Linuxanvändare mycket oftare än Windowsanvändare kör utan skydd, vilket kan vara en säkerhetsrisk i sig. Men vi måste ha i åtanke att mängden skadlig kod för Linux är försvinnande liten jämfört med det rika utbudet på Windowssidan. Johan Jarl på F-Secure försökte räkna efter.
– Det var svårt, eftersom olika sökmotorer gav olika svar och samma virus kan ha olika namn. Men jag kom fram till att det finns mindre än tusen varianter av skadlig kod för Linux. För Windows finns cirka två miljoner. Det finns säkert lika mycket säkerhetsluckor på Linux som på Windows, men de blir inte lika uppmärksammade. Dessutom kan Windowsmaterial lagras på Linuxservrar som innehåller skadlig kod för Windows, säger Johan Jarl på F-Secure.
En annan parameter är antalet och mognaden hos de skydd som finns för den som vill klistra på säkerhet i efterhand.
– Det finns färre alternativ på Linuxsidan. Brandväggarna är till exempel inte lika mogna. De på Windowssidan är ofta mer utvecklade. De har oftare mer skydd och till exempel funktioner för att kontrollera att program inte ändrats eller fått sina moduler utbytta. I Linux byggs ofta skydden på att användare inte ska få byta ut de här filerna, säger Anders Nilsson på Eurosecure.
Jonathan James på Atea tror också att Windows har en fördel i att det är överskådligt och mer moget för företagsanvändning.
– Där finns katalogtjänster och stora program för patch-distribution och att styra användarnas datorer. Visst finns det bra motsvarande program med öppen källkod, men det finns inte ett Active Directory. Det finns kanske tre. Efter ett tag blir ofta ett av dem stort och de andra två blir alternativ. Nu har öppen källkodsprogrammet Samba i version fyra en variant av Active Directory. Andra program och tekniker tangerar bitar av Active Directory.
– Det är lättare att orientera sig på Windowssidan. Om inte Microsoft har ett bra program för ett visst ändamål har något annat stort företag det, säger Jonathan James.
Den uppmärksamma läsaren har säkert redan märkt att ovanstående resonemang inte leder till någon tydlig slutsats angående grundfrågan i artikeln. Efter nio ronder har vi dömt Linux som segrare i fyra, Windows i två och oavgjort i tre – antivirus, slarv med administratörsrättigheter och stabilitet.
Vi har i alla fall kommit fram till att teknisk säkerhet och faktiskt utfall är olika saker. Om vi ser säkerhet som frånvaro av dåligheter som drabbar just dig måste vi ta med dig som individ och ditt sätt att jobba i ekvationen.
Vad som händer och inte händer beror mycket på administratörer och användare än på tekniken i sig. Ett system kan ha färre säkerhetsbrister, men ändå vara ett sämre val vad gäller säkerhet för just din miljö och ditt arbetssätt. Här behövs alltså lite pyssel och knåp, se rutan ovan.
För det är just det som är slutsatsen i den här jämförelsen. Säkerheten i ditt operativsystem beror dels på hur mycket du engagerar dig, dels på hur din hotbild motsvaras av starka och svaga sidor hos olika miljöer.
Säkerheten beror helt enkelt till största del på dig.
Illustration: Jonas Englund
Därefter behöver vi ställa oss frågan: Är säkerhet lika med frånvaron av hot mot de tre faktorerna eller ska vi bara räkna de hot som förverkligas? Till exempel: Om det finns mer buggar i ett av systemen men färre angripare använder dem, är det systemet säkrare?
Hotens storlek kan vi försöka uppskatta genom att räkna mängden skadlig kod och kända buggar för respektive plattform, men redan där börjar det bli luddigt. Vi kan nämligen inte räkna de okända buggarna, även om de också är farliga. I synnerhet om de hederliga människorna inte känner till dem och Kjell Kriminell just finslipar en angreppsmetod.
Det vore trevligt om vi kunde räkna de kända säkerhetshålen på respektive plattform och sedan anta att det på varje kodrad finns grovt sett proportionerligt lika många okända säkerhetshål som bara väntar på att bli upptäckta. Men nu är vi inne på de närmast religiösa tassemarkerna.
Windowsutvecklarna menar att deras systematiska säkerhetsarbete har gjort att många buggar redan har skakats ut ur koden. Samtidigt påstår Linuxmänniskorna att deras öppna källkod har gjort att många buggar redan har skakats ut ur koden. Bilden kompliceras något av att många buggar i Windowsprogram tätas i all tysthet av företagen bakom programmen. Så även om de är kända är de inte kända för oss. På Linuxsidan får den som rapporterar en bugg respekt, vilket leder till betyligt ljudligare buggrapporter.
Rätt val för dig – testa dig själv
För att utröna vilket system som passar just dig bäst kan du fylla i nedanstående test. Kryssa boxarna och räkna samman i vilken kolum som flest kryss hamnat – det är rätt system för dig!
Vill du gå lite djupare kan du lägga till några kategorier som är viktiga för dig. Vill du gå ännu djupare än så kan du värdera de olika kategorierna mot varandra utifrån just din hotbild och dina användares beteende.
Trimma och finjustera
På frågan om vilket av de två som är säkrast om vi antar att administratören inte alls bryr sig om säkerhet svarar it-säkerhetsexperten Jonathan James på Atea Windows.
– Linux är mer som en sportbil. Det erbjuder extrema möjligheter att trimma och finjustera för den som vill ha säkerhetsprestanda.
– I dag har både Windows och Linux brandväggen påslagen som standard och automatiska uppdateringar. Båda har också fått standardiserade programmeringsgränssnitt inne i programkoden för att underlätta för anti-malwareprogram. Vi börjar närma oss en punkt där det inte är så stora skillnader mellan Linux, Mac och Windows, varken i utseende eller funktioner, säger Jonathan James.
"Linux är mer som en sportbil med extrema möjligheter att trimma."
Jonthan James , Atea
För god säkerhet i Linux talar att många av dess programmerare är eldsjälar, men på samma gång kan man oroa sig för att brinnande entusiasm fortfarande är vad som krävs för att god säkerhet ska upprätthållas. Windowsprogrammerare har å andra sidan ett stort företag bakom sig. Det gör det troligare att de har dels formell utbildning inom säkerhet, dels moderna programmeringsverktyg med inbyggda säkerhetsfunktioner. Stora utvecklingsavdelningar på företag har också ofta bättre rutiner för granskning av koden än vad eldsjälarna har. Samtidigt noterar vi att det mesta utvecklandet av Linuxprogram numera också görs på stora företag.
Färre rader kod i Linux
En annan skillnad mellan de två är att Linux innehåller väsentligt färre rader kod än Windows. Av det kan man dra flera olika slutsatser. Å ena sidan kan man tro att det minskar den totala mängden buggar i Linux, å andra sidan blir det ju fler buggar per rad kod när vi räknar dem som har rapportrats. Och att Windows innehåller fler rader kod gör att det också blir mer jobb att granska den. Linux öppna källkod underlättar visserligen för skurkar att hitta buggar, men samtidigt gör den att de händiga snabbt kan rätta buggarna själva. Å tredje sidan är det långt från alla Linuxanvändare som kan programmera.
Att det gått snabbt att installera uppdateringar är viktigt för säkerheten. Till och med det allra viktigaste, enligt flera säkerhetsexperter som har uttalat sig i frågan under det senaste året. Både Linux och Windows har system för automatiska uppdateringar numera. Linux har en fördel genom att dess olika pakethanterare även sköter uppdateringar av nyttoprogram, men bara om programmen finns i det egna programbiblioteket. För Ubuntu och dess pakethanterare Synaptic innebär det att olika Office-sviter, webbläsare, pdf-läsare, grafikprogram, filmvisare och annat som förgyller livet automatiskt uppdateras genom samma tjänst som uppdaterar operativsystemet. Linuxvarianter av stora kommersiella program som Notes måste alltid hämtas separat och sedan uppdateras.
Rootkonto historia
Förespråkarna för de båda sidorna i ”konflikten” har sina speciella säkerhetstekniker som de själva lyfter upp, men som motståndarna förringar. Båda system kan också använda skyddade minnesareor. Vissa menar att Linux använder den tekniken bättre, medan Windows är mycket bättre på att dra nytta av tpm-kretsar i datorns hårdvara (trusted platform module).
Ubuntu och flera andra moderna Linuxvarianter har inte heller längre något rootkonto på samma sätt som förr, men på Windowssidan är det fortfarande vanligt att användaren i tid och otid är inloggad som administratör.
"På Windowssidan är det fortfarande vanligt att användaren i tid och otid är inloggad som administratör."
En teori om Linux förträfflighet är att eftersom programkoden är öppen kan fler människor granska den och hitta säkerhetshål. Den tesen drivs av bland andra Linuxförkunnaren Eric S Raymond, författare till boken ”The Cathedral and the Bazaar”. Andra, som John Viega på McAfee, har sagt rakt ut i ett decennium att det är struntprat. Även Jonathan James på Atea är skeptisk.
– Det bygger på antagandet att alla som hittar sårbarheter har samma incitament att rapportera dem. I dag kan du sälja en sårbarhet eller en färdigt angreppsmetod för att utnyttja en sårbarhet för stora pengar till skumma företag. På det sättet kan öppen källkod vara osäkrare än stängd källkod. Men det betyder inte att program med stängd källkod är säkrare. Det finns många människor med så kallade fuzzer-program som testar program genom att mata in medvetet felaktiga data och parametrar för att upptäcka fel, säger Jonathan James.
Många ögon räcker inte
It-säkerhetsexperterna Anders Nilsson på Eurosecure och Johan Jarl på F-Secure tror inte heller på den så kallade many eyes-teorin.
– Jag tror det är samma. Fast på Windowssidan är det så många som tjänar pengar på att hitta säkerhetsluckor för olika programvara, säger Johan Jarl.
– Program i dag är stora och svåra att överblicka. Vi hittar fortfarande buggar i gamla program. Den stora skillnaden är att när buggarna väl är hittade går de snabbare att fixa med öppen källkod, säger Anders Nilsson på Eurosecure.
Janne Haldesten, chef för informationssäkerhet vid Exericon Group, tror att storleken spelar roll.
– Microsoft har varit väldigt drabbade för att de haft störst marknadsandel. Men nu ser vi att allt fler användare går över till både Linux och Mac. I takt med det lär vi sannolikt få se fler attacker mot de plattformarna. Många tror till exempel att webbläsaren Opera är säkrare än Internet Explorer och Firefox. Tekniskt sett skulle jag väl säga njaae, men hotbilden är mindre på grund av en väsentligt mindre marknadsandel än till exempel Firefox, säger Janne Haldesten.
– Om du gör en riktad attack och vet att ditt målföretag kör Linux, så tar du reda på vilka sårbarheter som finns där och hur du ska exploatera dem. I dag finns det inte längre några heliga kor utan system angrips oavsett typ. Motivet är oftast ett av två: pengar eller informationsöverläge. Det senare representeras i stor utsträckning av riktade attacker, säger Janne Haldesten.
"I dag finns inga heliga kor, utan
system angrips oavsett typ."
Janne Haldesten, Exericon Group
Förutom att breda, icke-riktade attacker kommer att bli vanligare mot både Linux och Mac tror han att riktade attacker kan bli mer aktuella mot Mac-användare. De är ofta beslutsfattare och det gör innehållet i deras datorer mer intressant än att bara stjäla kapacitet till ett botnät och en allmän genomsökning efter olika kontonummer och lösenord.
Kör utan skydd
De tillfrågade experterna ser en tendens att Linuxanvändare mycket oftare än Windowsanvändare kör utan skydd, vilket kan vara en säkerhetsrisk i sig. Men vi måste ha i åtanke att mängden skadlig kod för Linux är försvinnande liten jämfört med det rika utbudet på Windowssidan. Johan Jarl på F-Secure försökte räkna efter.
– Det var svårt, eftersom olika sökmotorer gav olika svar och samma virus kan ha olika namn. Men jag kom fram till att det finns mindre än tusen varianter av skadlig kod för Linux. För Windows finns cirka två miljoner. Det finns säkert lika mycket säkerhetsluckor på Linux som på Windows, men de blir inte lika uppmärksammade. Dessutom kan Windowsmaterial lagras på Linuxservrar som innehåller skadlig kod för Windows, säger Johan Jarl på F-Secure.
"Det finns mindre än
tusen varianter av skadlig
kod för Linux."
Johan Jarl, F-Secure
En annan parameter är antalet och mognaden hos de skydd som finns för den som vill klistra på säkerhet i efterhand.
– Det finns färre alternativ på Linuxsidan. Brandväggarna är till exempel inte lika mogna. De på Windowssidan är ofta mer utvecklade. De har oftare mer skydd och till exempel funktioner för att kontrollera att program inte ändrats eller fått sina moduler utbytta. I Linux byggs ofta skydden på att användare inte ska få byta ut de här filerna, säger Anders Nilsson på Eurosecure.
Jonathan James på Atea tror också att Windows har en fördel i att det är överskådligt och mer moget för företagsanvändning.
"Brandväggarna på
Windowssidan är ofta mer
utvecklade."
Anders Nilsson, Eurosecure
– Där finns katalogtjänster och stora program för patch-distribution och att styra användarnas datorer. Visst finns det bra motsvarande program med öppen källkod, men det finns inte ett Active Directory. Det finns kanske tre. Efter ett tag blir ofta ett av dem stort och de andra två blir alternativ. Nu har öppen källkodsprogrammet Samba i version fyra en variant av Active Directory. Andra program och tekniker tangerar bitar av Active Directory.
– Det är lättare att orientera sig på Windowssidan. Om inte Microsoft har ett bra program för ett visst ändamål har något annat stort företag det, säger Jonathan James.
Mer eller mindre oavgjort
Den uppmärksamma läsaren har säkert redan märkt att ovanstående resonemang inte leder till någon tydlig slutsats angående grundfrågan i artikeln. Efter nio ronder har vi dömt Linux som segrare i fyra, Windows i två och oavgjort i tre – antivirus, slarv med administratörsrättigheter och stabilitet.
Vi har i alla fall kommit fram till att teknisk säkerhet och faktiskt utfall är olika saker. Om vi ser säkerhet som frånvaro av dåligheter som drabbar just dig måste vi ta med dig som individ och ditt sätt att jobba i ekvationen.
Vad som händer och inte händer beror mycket på administratörer och användare än på tekniken i sig. Ett system kan ha färre säkerhetsbrister, men ändå vara ett sämre val vad gäller säkerhet för just din miljö och ditt arbetssätt. Här behövs alltså lite pyssel och knåp, se rutan ovan.
För det är just det som är slutsatsen i den här jämförelsen. Säkerheten i ditt operativsystem beror dels på hur mycket du engagerar dig, dels på hur din hotbild motsvaras av starka och svaga sidor hos olika miljöer.
Säkerheten beror helt enkelt till största del på dig.
Illustration: Jonas Englund
Bra artikel - (patrox) 2010-05-10 13:21
Flamebait - (thommym) 2010-05-10 13:38
Bra artikel - (Sopgubben) 2010-05-10 13:33
118100 bra källa? - (janbanan,) 2010-05-10 13:32
Bra artikel - (Mr.Information) 2010-05-10 13:47
Vill bara påpeka att.. - (Björn O) 2010-05-10 13:44
118100 bra källa? - (ottan ) 2010-05-10 13:52
Bra artikel - (o b n o x i o u s) 2010-05-10 14:00
Bra - (Funkyjansson) 2010-05-10 14:06
Bra artikel - (Showstopper) 2010-05-10 14:01