Mike Nash, le docteur en sécurité de Microsoft, qui s’exerce en pleine session publique de chat, profite de la sortie du plus gros bulletin de sécurité de Microsoft depuis presque un an. Mike Nash se réjouis tout d’abord des progrès réaliser par sa firme dans le domaine de sécurité informatique, puis, innocemment et tout à fait objectivement bien sûr, lance la remarque qui tue : « Même avec le nombres de patchs que nous avons sorti cette semaine nous tenons largement la comparaison », et de préciser « Dans la même période, Microsoft a eu 15 failles de sécurités dans Windows Server 2003, alors que les OS Linux SuSE Entreprise 9 et RedHat Entreprise 3 ont dû patcher respectivement 78 et 34 failles de sécurités dans leur système. »
Bien sûr il n’attend pas pour modérer ses propos, et admet que le nombre de failles de sécurité découvertes n’est pas forcément un critère significatif, mais quand même, la phrase est lancée… Il ajoute finalement que le plus important est de considérer tous les progrès de Microsoft dans le domaine, affirmant qu’ils ont réussi à mettre en place une bonne stratégie, et des bonnes technologies pour améliorer la sécurité de leur produit. Nous avons des dizaines (voir plus) d’exemples de failles découvertes par des sociétés ou personnes anonymes sur les produits Microsoft, qui n’ont jamais été corrigées. Pour s’en convaincre, il suffit de faire une petite recherche sur Internet.
De plus, quand Microsoft corrige, il faut attendre pour obtenir une correction, puisque les corrections made by M$ sont par exemple mensuelles pour IE. On se souvient tous d’il y a quelques mois lorsque Firefox était encore en version 0.9x. De nombreuses failles avaient été découvertes sur les produits Mozilla. Temps d’attente pour la correction : moins de 24h.On peut d’ailleurs le voir dans cette news
Des failles jamais corrigées et des failles corrigées quelques mois plus tard contre des failles corrigées en 24h : qu’est-ce qui est mieux ? De plus, le nombre de patchs correctifs sortant en un mois n’est certainement pas représentatif de la sécurité d’un OS. D’ailleurs, j’ai même envie de dire qu’au moins chez RedHat et Suse, on bosse !
