Waar Microsoft iedere dinsdag van de maand een reeks patches uitbrengt en indien nodig extra patches, is het bij Apple volledig onduidelijk wanneer de firma beveiligingsgaten dicht. Aan de hoeveelheid lijkt ook geen limiet te zitten, het bedrijf heeft de afgelopen twee weken op vijf van de tien werkdagen een update uitgebracht.

Brandjes blussen

Volgens Andrew Storms, director of security operations bij beveiligingsbedrijf nCircle Network Security Inc is dat een slecht principe: "Het is altijd een verrassing wanneer je een update van Apple krijgt. Het eerste dat je dan doet is samen met je team naar de update kijken, prioriteiten stellen en de taken verdelen. Dan verschijnt er de volgende dag ineens een nieuwe update, en begint het hele verhaal weer opnieuw. Als je dit niet goed kunt plannen dan ben je voortdurend brandjes aan het blussen."

Niet te doen

Volgens Storms is een dergelijke handelswijze dan ook bijna niet te doen voor bedrijven met systeembeheerders die gewend zijn om updates in te plannen: "Zelfs als je je realiseert dat de Mac een effectieve computer kan zijn, zal de impact op de infrastructuur alsnog negatief uitvallen door de manier waarop Apple patches uitbrengt. De vraag is dan ook of je infrastructuur hiertegen bestand is."

Patchproces overgeslagen

Charlie Miller, onderzoeker bij Independent Security Evaluators is het hier mee eens: "Systeembeheerders zijn sterk afhankelijk van planning, van weten wanneer iets gebeurt. Als ze op de hoogte zijn van een op handen zijnde patch, dan kunnen ze daar hun week op plannen". Volgens Miller zorgen onaangekondigde patches er dan ook voor dat bedrijven geneigd zijn om deze patches helemaal niet aan te brengen: "Voor mij is het niet zo'n groot probleem. Maar voor professionals is het een heel ander verhaal. Zij kunnen niets met een patch die ineens opduikt, omdat er niet gepatcht kan worden zonder dit eerst te testen. Vaak wordt dan ook besloten om maar helemaal niet te patchen.

'Proces Apple veel veiliger'

Apple krijgt echter ook bijval. Volgens Swa Frantzen van het Internet Storm Center van het SANS Institute, is het niet mogelijk en zelfs oneerlijk om de patchprocessen van Apple te vergelijken met die van Microsoft: "Als Apple vergeleken moet worden met een concurrent, vergelijk het bedrijf dan eens met andere bedrijven, zoals Sun, HP, FreeBSD, OpenBSD. Die brengen bijna ook nooit op maandelijkse basis een groep patches uit. Het uitbrengen van een patch op het moment dat een probleem verholpen is, maakt gebruikers juist minder kwetsbaar. Bij de Microsoft-aanpak blijven gebruikers soms een halve maand langer kwetsbaar dan nodig is."