Firefox na 102... luki

Firefox jest aplikacją, w której w mijającym roku wykryto najwięcej luk w zabezpieczeniach - informuje firma Qualys. Wcale nie oznacza to, że korzystanie z przeglądarki jest obarczone ryzykiem - program Mozilli może pochwalić się po prostu największą liczbą zidentyfikowanych i zgłoszonych producentowi błędów.
Wg firmy Qualys w Firefoksie znaleziono w tym roku 102 luki w zabezpieczeniach, o 12 więcej niż w 2008 r. (dane pochodzą z bazy prowadzonej przez amerykański Narodowy Instytut Standardów i Technologii).

Wydaje się, że to dużo, jednak trzeba pamiętać o tym, że kod przeglądarki jest otwarty a wszelkie informacje o wykrywanych w nim dziurach są publikowane. Tymczasem producenci programów o zamkniętym kodzie, np. Microsoft czy Apple, publikują informacje tylko o tych lukach, które wykryte zostały przez osoby z zewnątrz. Dane o liczbie luk usuwanych przez korporacyjnych programistów rozwijających przeglądarki Internet Explorer czy Safari nie są ujawniane.

Na drugim miejscu pod względem liczby zgłoszonych dziur znalazło się zbiorczo oprogramowanie firmy Adobe. W aplikacjach spółki znaleziono 45 luk, czyli znacznie więcej niż w roku ubiegłym (14). Pod względem bezpieczeństwa produktów rok 2009 nie jest więc szczególnie udany dla Adobe. Tym bardziej, że - jak wykazuje firma antywirusowa F-Secure - luki w aplikacjach Adobe są częstszym celem ataków niż dziury w produktach Microsoftu.

Koncern z Redmond spadł zaś w tym roku na trzecie miejsce (41 zgłoszonych błędów w zabezpieczeniach, o 3 mniej niż w 2008 r.) listy firm, w których programach znaleziono najwięcej luk.

Wolfgang Kandek, szef Qualys ds. technologii, uważa wymienione liczby za obraz trendu w aktywności cyber-przestępców, polegającego na mniejszym zainteresowaniu tych ostatnich atakowaniem systemów operacyjnych. Większe "pole do popisu" dają za to poszczególne aplikacje, funkcjonujące w ramach systemu.

Jak interpretować dane o lukach?

Na wstępie artykułu wspomnieliśmy, że duża liczba znalezionych i zgłoszonych producentowi luk niekoniecznie oznacza, że używanie danego programu jest niebezpieczne. Bardzo dużo zależy od tego, czy w Sieci krążą już exploity wykorzystujące znalezione błędy oraz tempa, w jakim producent przygotowuje aktualizacje.

W tym kontekście ciekawie wygląda raport firmy Bit9 (dostawcy technologii "białych list" aplikacji). Spółka, również opierając się na danych NIST, sporządziła ranking programów, korzystanie z których jest najbardziej ryzykowne dla użytkowników. Na jego czele znalazł się... Firefox, potem czytnik PDF-ów Adobe Reader oraz odtwarzacz Apple Quick Time. W zestawieniu pojawiły się również Flash Player, Safari, Shockwave, Acrobat, Opera i Real Player.

Jak łatwo zauważyć, na liście brak aplikacji np. Microsoftu czy Google. Jak tłumaczy Bit9, raport dotyczył aplikacji działających w systemie Windows, które nie są aktualizowane automatycznie, a produkty dwóch ostatnich spółek mogą być łatane w ten sposób. Spółka nie zauważyła najwyraźniej, że w przeglądarce Mozilli także dostępna jest opcja automatycznej instalacji znalezionych aktualizacji. Ponadto ranking nie uwzględnia czasu, jaki mija od wykrycia luki w programie do przygotowania przez producenta stosownej łaty.

W 2008 r. Bit9 również uznała Firefoksa za najbardziej wadliwą aplikację.

źródło: cnet.com
Tagi: Firefox, bezpieczeństwo, dziury w programach, przeglądarki
Oryginalny tekst został opublikowany na www.idg.pl
Ocena:
Twoja ocena:

Komentarze (28)

~Wesoły

21-12-2009 13:35

Pisałem wyżej o niezałatanych Firefox vs. IE. Źródło które podałem informuje również o ilości wykrytych luk.

~ja

21-12-2009 13:11

A ile załatanych i niezałatanych do tej pory błędów ma IE? Czy ktoś to opublikuje?

~Gość

21-12-2009 12:49

Historia lubi się powtarzać. M$ zniszczył konkurencję w postaci Netscape swoimi nielegalnymi i monopolistycznymi działaniami, teraz M$ jest trawiony coraz bardziej przez konkurencję, która mimo mniejszych funduszy działa tam gdzie M$ nie może mieć pola manewru - Open Source oraz Mozilla Fundation

~Wesoły

21-12-2009 09:38

@Hatezit, IE7 również nie potrafi wyświetlić poprawnej strony. IE8 nie potrafi wyświetlić poprawnie XHTML oraz SVG. Interpretacja CSS również ma wiele błędów. Do tego chodzi kilka RAZY wolniej od produktów konkurencji. Wcale nie zaleca się IE7 czy 8. W OGÓLE nie zaleca się korzystania z IE.

~Hatezit

21-12-2009 08:46

~ramones59 Znowu mylisz się! FF3 i linux nie są syfami a ty po prostu nie umiesz się po systemie poruszać. IE6? ma luki i źle wyświetla strony, zaleca się IE7 lub nowszą IE8, a ja pozostaje przy Firefox 3.5 lub ewentualnie Opera:)

~Gość

18-12-2009 19:17

Wiesz, zrozumiem gdy ktoś powie,że uzywam Windowsa i nie przejdę na innysystem, bo mi tu dobrze. Umiem go skonfigurować , umiem na nim pracować i efektywnie go wykozystać. Nie rozumiem jednak wypowiedzi pokroju Ramonesa, który sypie głupotami na prawo i lewo nie mając nawet elementarnej wiedzy leżącej u podstaw tego systemu. opluwa wszystko co nie jest spod znaku M$. Zrozumiem ze ktoś może być zindoktrynowany, ale to nie jest przejaw indoktrynacji, lecz oznaka ograniczonego spoglądania na świat. To taksamo jak by być daltonista. Wszystko wydaje się czarne bądż biale, podczas gdyistnieje pelna gama barw pomiedzy nimi.

~Wesoły

18-12-2009 19:05

Ramola szkoda nawet komentować. Nazywa w pełni załatany Firefox "trojanem i totalnym syfem" a poleca powolny, zacofany i nadal mający niezałatane luki Internet Explorer 8. Żałosny troszkę jest z tym swoim szczekaniem ale co poradzić. Tego co mówił "dobrze że Linuksa nie badają, wtedy by było luk" sugeruję by tą ogromną ilość luk poznał i nauczył się wykorzystywać. Bo sławna giełda w Nowym Yorku która cieszy się najlepszą wydajnością na świecie działa właśnie na Linuksie. Więc dobrać się do niego to jak otworzyć dziecku pełen wór cukierków.

~Gość

18-12-2009 19:01

@ramones Linuks i piractwo wyklucza sie wzajemnie.Nie mozna mieć Linuksa ibyć piratem. Płatny w tym systemie jest jedynie support. BTW. styl i jakość twojej wypowiedzi świadczy że nawet gimnazjum nie skończyłeś. Słowo "piraciarze" jest niepoprawne gramatycznie, a słowo "linuksiarze" nie istnieje w słowniku języka polskiego. Popraw się dzieciaczku, albo przestań trollować. Użytkowników linuksa przybywa, a te 0.7% to maszyny z Linuksem które poprostu zgłaszają wersję systemu operacyjnego, która to opcja jest w standardzie ustawniona na "nie zgłaszanie"

~rusineck

18-12-2009 18:19

@ramones Tad chociaż stara się coś z ładem i składem napisać, ty za to jesteś, nie boję się tego powiedzieć, w pewnie sposób upośledzony. Tylko troll powie, że coś jest złe bo ma luki. Tyle razy ludzie trąbią, że nie ważne ile luk, ważne jak szybko są łatane, a w przypadku FF łatane są niemal natychmiastowo. Więc zamilcz głupcze, bo jesteśmy już zmęczeni. @Tad Nie wiem skąd teza, że FF jest produktem dla linuksa. Czyżbyś, o skarbnico wiedzy wszelakiej, nie zauważył, że jest to przeglądarka wieloplatformowa? Wstyd...

~ramones59

18-12-2009 17:43

FF3 to totalny syf i trojan do wykradania wszystkiego i zaśmiecania systemu. Linuksiarze i piraciarze z fanboys ff3 nawet nie maja pojęcia co było wykradane i instalowane w tle pod ff3. Jednym z trojanów który był tylko instalowany użytkownikom ff3 to trojan password stealer (złodziej haseł) który w pliku tekstowym na dysku zapisywał wszystko i odsyłał do kogo potrzeba. Linuksiarze i piraciarze nadal nie mają pojęcia co mają w systemie. :D Pozdrawiam fanboys trojana ff3 i najgorszego programu dziurawego w historii netu.

~phi

18-12-2009 17:31

@Wesoły - warto jeszcze dodać statystyki eksploitowania kazdej z tych luk. Póki co Adobe Flash jest na pierwszym miejscu, na drugim Internet Explorer. Zgadzam się, że raport jest równie stronniczy, co niektóre testy robione przez NSS Labs.

~Wesoły

18-12-2009 16:43

Po pierwsze Tadziu przecież nie wiesz ile luk zostało naprawionych w IE bo nikt o tym nie informuje. Informacje są o tych zgłoszonych. A popatrz chłopcze na to że na 2 luki w Firefox który ma OTWARTY kod do analizy przez KAŻDEGO przypada JEDNA luka w Internet Explorer KTÓRY MA ZAMKNIĘTY I "SUPER TAJNY" KOD. Jak dla mnie to żałosne bo co się stanie jeżeli MS otworzył by kod IE ? Pewnie wszystkie Windowsy w sieci siadły by po paru dniach. Dodatkowo może przy okazji tematu wyjaśnisz nam dlaczego ostatnia głośna luka w aplikacji Microsoftu była znana PÓŁ ROKU!!! zanim ją załatano ? Bo w tamtym temacie milczałeś. Druga sprawa to bardzo wygodny raport w którym POMIJA się Internet Explorer twierdząc że to aplikacja która automatycznie się aktualizuje. Gdzie Firefox czy Chrome robi to samo. I tak próbowano obsmarować Firefoxa i ukryć istnienie ważnego konkurenta Microsoftu jakim jest Google. Czysta manipulacja. Poza tym Secunia podaje że Firefox obecnie jest CAŁKOWICIE ZAŁATANY zaś Internet Explorer 8 ma nadal 3 niezałatane luki. Wersja 7 ma 10 luk gdzie jest najpopularniejsza na rynku. Wersja 6 ma ich PONAD 20!. Następnym razem Tadziu jak zaczniesz bełkotać,miej jakieś argumenty.

~siwy

18-12-2009 16:33

@tad "gdybym pisał poprawnie to być może za łatwo by mnie było zidentyfikować i przestało by to byc tak podniecające dla adwersarzy" Właśnie dzięki tej niespotykanej umiejętności (ułomności?) kaleczenia mowy ojczystej jesteś łatwy do zidentyfikowania choć się nie podpisujesz. Poprawnie nie będziesz pisał bo i tak nie potrafisz, nie jesteś też wcale podniecający, co najwyżej irytujący delikatnie ujmując. Analizując ilość poprawek publikowanych przez MS nie da się dojść do wniosku że jest ich z roku na rok mniej, podobnie większa ilość tych publikacji wcale nie świadczy, że ich produkty są coraz bardziej dziurawe. Łatanie jest wyrazem zabiegania o klienta (w przypadku IE raczej może utrzymania go przy swoim produkcie). Porównywanie zresztą pod tym względem oprogramowania Open Source z zamkniętymi aplikacjami jest z wiadomych względów nielogiczne, a może wręcz celowo wprowadzające w błąd.

~Gość

18-12-2009 16:18

tadek ryzyk

~ramones59

18-12-2009 15:33

Jak tak dalej bedzie to FF3 skończy jak linux ze swoim 0,7% dla fanboys pasjonatów Pozdrawiam...

~phi

18-12-2009 15:29

@Zeke - luk, który spadł, może powodować poważny problem, zwłaszcza gdy nadchodzi kolejny sztorm (przepraszam, "storm").

~Zeke

18-12-2009 14:59

"A jak komuś spada jego luk" Jak ci spadl luk, to rusz sie i go podnies :)

~Gość

18-12-2009 14:52

Widzę brak argumentów u umiłowanych wyznawców. Jak komuś liczba problemów rośnie (czasem znacznie) w stosounku do tego co sam miał rok wcześniej to znaczy ma złe perspektywy. A jak komuś spada jego luk w stosunku do tego co miał rok temu, to znaczy, że są lepsze perspektywy. Wiadomo, jaka odpowiedź: "w/w to bełkot", "tak mierzyć nie wolno", "ortografia, interpunkcja, literówki, gramatyka", (gdybym pisał poprawnie to być może za łatwo by mnie było zidentyfikować i przestało by to byc tak podniecające dla adwersarzy) itp. uchylenia i manipulacje. Dalczego, bo brak argumentów wobec faktów, nawet naiwne samoograniczanie się do oderwanych analiz czy skupiania się na stanie obecnym produktów zamiast głównie uwzględniać proces w czasie jest marnym wybiegiem.

~asd

18-12-2009 14:49

Ale naprawdę to sa tylko statystyki i cyferki, ja od zawsze korzystam z Firefoxa i nic nigdy nie załapałem. Wszyscy inni w mojej rodzinie, mama, tata, siostra korzystaja z IE i tez nigdy nie mieli zadnego wirusa ani innego badziewia. Tyle tylko ze ich uswiadomiłem i wiedza zeby nie klikac w kazdy link jaki im sie pojawi. No sorki ale chodzac po onecie, wp, naszej klasie, pudelku i innych, nie klikajac w kazdy link z gg to mozna siedziec na starym nie polatanym IE6 i nic sie nie stanie.

~Zeke

18-12-2009 13:56

Co za wspaniala okazja dla trolli do wykazania, ze nie rozumieja tego, co jest napisane w artykule! A tadziu tak sie zagotowal, ze az pare linijek belkotu sie z niego wylalo.

~ramones59

18-12-2009 13:44

Ile razy mam wam mówić i pisać linuksiarze piraciarze, że FF3 to totalny syf i trojan pod każdym systemem. Pozdrawiam...

~Mołot

18-12-2009 13:41

Brawo za przypomnienie, że w aplikacjach o zamkniętym kodzie prawdziwa liczba znalezionych luk nie jest znana.

~Gość

18-12-2009 13:33

@znawca "Dobrze, że nie ujawnili danych dot. luk w LINUXIE bo to dopiero dziurawy system." To włam się do mnie... Do zykłego posiadacza Linuxa jest się 100 razy trudniej wałamać niż do szeregowego posiadacza M$ Windows...

~phi

18-12-2009 12:57

Tadziu przykro mi to mówić, ale znowu się mylisz. Dla kogoś, kto ma elementarne pojęcie w dziedzinie bezpieczeństwa istotne są dwie sprawy - po pierwsze powaga danej luki (czytaj: co gość z zewnątrz za jej pomocą może zrobić i co potrzeba do udanego przełamania zabezpieczenia) oraz czas od zgłoszenia do załatania. W przypadku Microsoftu znam luki, które zostały załatane dopiero po sześciu miesiącach skutecznego działania eksploitów. To samo dotyczy Adobe. Niektóre z dziur w Internet Explorerze mają ponad rok i NADAL w pewnych warunkach można z nich skorzystać (na przykład badziewne ActiveX, które dawno powinno było być wywalone do lamusa technologii). Microsoft nie zgłasza w ogóle raportów o lukach zgłoszonych z zewnątrz, a w przypadku Firefoksa takie poprawki stanowią dość istotną część zmian. WSZYSTKIE z nich są publikowane i nagłaśniane - przecież to jest open source. W dziedzinie bezpieczeństwa Microsoft zrobił duży postęp ale nadal jeszcze musi się wiele nauczyć. Nadal Microsoft twierdzi, że nie wolno podłączać systemu Windows do Internetu bez zapory i oprogramowania antywirusowego...

~Gość

18-12-2009 12:29

Były proroctwa znawców, że MS udusi się w problemach z dużymi programami, faktycznie, duszą się aplikacje na linuksa - taka technologia tworzenia i takie narzędzia tam mają. Najważniejsze jest, że w produktach MS spada liczba luk. a FF, Acrobat i wielu innym rośnie liczba ich luk, i to co najważniejsze, liczona każdemu względem jego luk w jego roku poprzednim. Czyż to nie kolejne fatalne perspektywy dla kultywatorów nienawiści i naiwnych prześmiewców z wyrobów Microsoftu -poprstu praw ekonomii nie zmienisz, podobnie jak nie zastąpisz chciejstem realnych osiągnięć dla deweloperów.

~znawca

18-12-2009 12:08

Dobrze, że nie ujawnili danych dot. luk w LINUXIE bo to dopiero dziurawy system.

~moon

18-12-2009 11:13

co z tego ze mial FF w tym roku 102 luki jak one zostaly naprawione gorzej jest to ze firma np M$ czesc tylko lata a reszte bagatelizuje co pozniej sie msci podwojnie no ale aplikacje o kodzie zamknietym to zawsze beda ukrywac fakt o problemach bo tam gdzie kod aplikacji systemu jest otwarty to wiecej oczu ma dostep do ''silnika i mozna latwiej go naprawic :)

~crank1985

18-12-2009 10:55

W przyszłym roku pozycje mogą się zmienić na niekorzyść MS. Dopiero od niedawna zaczęli informować ile błędów usuwa dana poprawka, bo niektóre z tych firm liczą poprawka=błąd w przypadku MS. Więc nie są to dane poprawne. Słusznie autor zwrócił uwagę, na fakt że firmy nie uwzględniły czasu między opublikowaniem błędu/exploitem, a wydaniem łaty. W tym przypadku to MS zająłby pierwsze miejsce jako niebezpieczna aplikacja.

Polecane

PC World z prezentem!

Tak, zamawiam 12 wydań PC World po 14,09 zł każde (zamiast 19,90 zł) od numeru 6/2012.
Dodatkowo program Panda Antyvirus Pro 2012,
chroniący aż 3 komputery, dostanę za darmo.

PC World 6/2012
Nowy numer PC World 6/2011
Razem: 169


  • Z darmową wysyłką
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »

Pobierz bezpłatnego e-booka

20 lat polskiej sieci
Ebook 20 lat polskiej sieci to kompletna charakterystyka polskiego internetu (oraz polskiego internauty). Odpowiadamy na pytanie, jak wygląda nasz kraj na tle bliższych i dalszych europejskich sąsiadów pod względem popularyzacji szerokopasmowych łączy internetowych i rynku mobilnego. Wymieniamy również wady i zalety korzystania z bezpłatnych punktów dostępowych.
Jeśli chcesz otrzymać darmowego e-booka, wpisz swój adres e-mail. Wyślemy Ci go natychmiast!
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »