Heute. Morgen. Sicher. Dreamlab Technologies AG Was ist sicherer, Open Source oder Closed Source Software?

Transkript

1 Heute. Morgen. Sicher. Dreamlab Technologies AG Was ist sicherer, Open Source oder Closed Source Software? 1

2 2 Das Werk liegt in quelloffener Form vor

3 3 Open

4 4

5 5 Das Werk wird binär geliefert, die Quellen sind nur der Herstellerin bekannt

6 6 Closed

7 7 Was ist nun sicherer?

8 8

9 9 INPUT <> OUTPUT Softwaresicherheit definiert sich zu grossen Teilen an den Schnittstellen

10 10 INPUT Mensch <> Maschine Maschine <> Maschine OUTPUT Maschine <> Mensch Maschine <> Maschine

11 11 THINGS IN BETWEEN: Softwaresicherheit definiert sich durch die Entwicklungsqualität

12 12 Syscall Graph Apache on GNU/Linux Graphs by Dreamlab by Sana Technologies Security AG 2010

13 13 Syscall Graph IIS on Windows Graphs by Dreamlab by Sana Technologies Security AG 2010

14 14 1 : 0 für Open Source?

15 15 Kann das generalisiert werden?

16 16 Eher nicht.

17 17 Verarbeitung Programmfluss Geschäftsprozess Sicherheitslebenszyklus

18 18 Verarbeitung = Qualität Programmfluss = Kontrolle Geschäftsprozess = Kontrolle Sicherheitslebenszyklus = Verbesserung Überwachung Reaktion (Patches)

19 19 Qualität, Kontrolle, stetige Verbesserung, Reaktion (Patches) sind Leistungsversprechen

20 20 Sowohl Open Source als auch Closed Source Projekte können dieses Leistungsversprechen erbringen und umsetzen.

21 Netcraft survey top webservers Apache 59%, Microsoft 25%

22 CVE's Microsoft iis Apache http Microsoft iis 500 Apache http

23 CVE's, distinct Apache http vs Microsoft server Apache http vs Microsoft server cve reports over time cve reports over the last 3 years apache http apache http microsoft iis 100 microsoft iis

24 Servers on Swiss Internet Servers on Swiss Internet filtered for port 80 and http service absolute count of ports others Microsoft IIS Apache httpd % % Apache httpd 77% Microsoft IIS others 0

25 Platform OS vulnerability reporting OS vulnerability reporting microsoft vs linux since 1999 microsoft vs linux last 3 years linux microsoft microsoft linux

26 Platform Linux OS vs Microsoft OS Linux OS vs Microsoft OS absolute count of distinct vulnerabilities absolute count of vulnerabilities last 3 years linux_os microsoft_os linux_os microsoft_os

27 Platform OS vulnerability reporting by vendor OS vulnerability by vendor cve reports as proportion of total cve absolute count % % 5% 53% 12% others microsoft apple sun cisco linux % linux cisco sun apple microsoft others 0

28 Platform OS vulnerabilities by vendor OS vulnerabilities by vendor distinct cve reports by vendor as percentage of total absolute count of distinct cve reports others linux redhat apple sun microsoft % % % % 500 microsoft apple linux sun others 7% redhat 0 9%

29 Platform top 5 os vendors by vulnerabilities absolute count of distinct cve reports over time apple redhat linux microsoft sun

30 Platform very critical reports top 5 vendors percentage of total 35 percentage of total cve with cvss > microsoft cisco apple sun linux 0

31 Was ist sicherer, Open Source oder Closed Source Software? Die Frage kann technisch nicht beantwortet werden. Bei beiden Software Modellen können sehr sichere Produkte entstehen. Sicherheit ist unabhängig vom Publikationsmodell.

32 Was ist sicherer, Open Source oder Closed Source Software? Scheinbar bieten aber Open Source Projekte einen sehr guten Rahmen für Qualität, Kontrolle, Stetige Verbesserung, Überwachung und Reaktion

33 Danke für Ihre Aufmerksamkeit Fragen und Antworten 33