Microsoft onveiliger dankzij beveiligingsindustrie

Eerst zal het kloppend hart van het computersysteem via api's (programmeerinterfaces) beschikbaar komen en later komt er mogelijk zelfs een directe toegang. Normaal zou ik die openheid toejuichen, maar nu ben ik diep ongelukkig.

Het probleem zit in de manier waarop de programmatuur aanhaakt op de kernel. De software van de antivirusleveranciers is namelijk zelf ook gesloten software en kan problemen hebben. Dit is geen nieuw verschijnsel en bij de Linux-kernel zagen we vorige week een vergelijkbaar probleem. De drivers van Nvidia, die in een gesloten bron beschikbaar zijn, worden door het systeem als module geladen. In de stuurprogramma's blijkt nu een fout te zitten. Het is de vraag of en, zo ja, wanneer de kaartbouwer het probleem oplost en tot die tijd blijven de Linux-systemen met Nvidia-kaarten kwetsbaar. Waar de open-sourcegemeenschap anders in actie had kunnen komen, staan ze nu machteloos.

Microsoft: zelfde laken een pak

Voor Microsoft was dit juist de reden de kernel dicht te gooien, want de leverancier weet inmiddels dat een groot gedeelte van alle supportcalls te maken hebben met driver-problemen. Daarom mogen alleen geautoriseerde drivers direct op het systeem werken en houdt het bedrijf de achterdeur voor iedereen dicht. Een slimme insteek, want als je het hart van het systeem goed beheert dan zijn grote aanvallen toch een stuk moeilijker.

Een opening voor antivirusbedrijven is ook een opening voor derde partijen. Omdat de rest van het systeem niet open is, geeft deze vorm van openheid dus extra risico. Daarbij moet je je afvragen of de beveiligingsindustrie zo betrouwbaar is gebleken. In het verleden hebben lieten zij nogal wat steken vallen. Zo bleef de rootkit van Sony zeker anderhalf jaar onopgemerkt totdat een techneut naar buiten trad. Zelfs toen duurde het bij sommige bedrijven nog maanden voordat er iets aan het lek werd gedaan.

Diezelfde beveiligingsindustrie schreeuwt nu moord en brand en beticht Microsoft van machtsmisbruik. Natuurlijk komt dat niet helemaal uit de lucht vallen, want het bedrijf heeft nogal wat geflikt in het verleden. Maar dat laat onverlet dat de bouwer van het besturingssysteem ook wel rechten heeft het eigen product te beschermen om daarbij het aantal crashes en lekken proberen te reduceren tot een minimum.

Sommige beveiligingsbedrijven hebben aangegeven prima te kunnen werken zonder toegang tot de kernel en misschien zouden andere partijen daar ook vrede mee hebben. Wie echt de klant wil beveiligen gaat met Microsoft om de tafel zitten en werken aan een architectuur waar iedereen op kan inhaken en waar geen nieuwe achterdeuren worden geïntroduceerd. Dat dat kan bewees de 'monopolist' ook al met de ws-security-laag voor authenticatie waar ook iedereen op kan aansluiten.

Daar heeft iedereen meer aan dan gaan janken bij Nelie, want ook zij heeft geen oneindige voorraad aan tissues en uiteindelijk leven we in een grote mensenwereld.

De rubriek Opinie biedt ruimte aan opvattingen uit de markt over actuele ontwikkelingen in de ICT. De meningen en opvattingen in het bovenstaande artikel zijn voor rekening van de auteur, en komen niet noodzakelijk overeen met de meningen en opvattingen van de redactie. U kunt opinies aan Webwereld aanbieden door deze te mailen naar redactie@webwereld.nl. De redactie behoudt zich het recht voor om opinies zonder overleg te redigeren, te weigeren en/of in te korten.