Mozilla sabelt browserrapport Microsoft neer

"Bugs tellen is betekenisloos"

05 december 2007 | Rowald Pruyn In een rapport uit eigen keuken claimt Microsoft dat Internet Explorer vergeleken met Firefox de minste veiligheidslekken telt. Mozilla vindt dat het rapport zelf vol gaten zit, omdat het verzuimt alle kwetsbaarheden in IE mee te tellen.

Op zijn Security Blog claimde Microsoft-medewerker Jeff Jones vorige week vrijdag dat Mozilla sinds de toetreding van Firefox op de browsermarkt ruim twee keer zoveel lekken heeft moeten repareren als bij Internet Explorer het geval is. De onderzoeker sluit zijn verhaal af met de bewering dat "ondanks populaire aanname Internet Explorer minder kwetsbaarheden telt dan Firefox".

Reactie op blog
Het hoofd van Mozilla's beveiligingsafdeling, Window Snyder, schrijft in een reactie op de Mozilla Security Blog dat het Microsoft-rapport verzuimt om alle lekken te noemen die in de browser gevonden zijn: "Microsoft is bezorgd dat als het ooit zegt dat het X veiligheidsproblemen heeft gerepareerd, de wereld zich zal richten op het feit dat het X veiligheidsproblemen had en niet op het feit dat ze nu zijn gerepareerd en geen bedreiging meer vormen voor de gebruikers", schrijft Snyder. "Dus het aantal problemen dat beschikbaar is voor publieke vergelijking beperkt zich tot de kwetsbaarheden die door de buitenwereld zijn gemeld én gerepareerd in veiligheidsupdates."

Snyder, die zelf bij Microsoft heeft gewerkt, gaat verder met te zeggen dat het bedrijf uit Redmond IE-gebruikers aan meer risico's blootstelt door de lapmiddelen voor zelf gevonden lekken te bundelen in grotere updates en servicepacks. "Helaas voor de gebruikers van Microsoft moeten zij soms meer dan een jaar wachten tot ze kunnen profiteren van het gedane werk. Dat is een hoop tijd voor een aanvaller om hetzelfde lek te identificeren en te misbruiken."

De lezing van Mozilla's veiligheidschef wordt gesteund door Firefox-hoofdontwikkelaar Mike Schroepfer, die in scherpe bewoordingen zijn mening over het rapport uit. "Bugs tellen is betekenisloos. Wat telt is hoe lang je aan risico bent blootgesteld", is een van zijn conclusies.

Jones heeft nog niet gereageerd op de beschuldigingen aan zijn adres. Lees meer artikels over : firefox, internet explorer, veiligheid

bron: ZDNet