Windows er lige så sikkert som Linux

MS Windows 2003 Server er lige så sikkert som SuSE Linux Enterprise Server, og Poul-Hennings elskede FreeBSD er tilsyneladende slet ikke sikkert ' hvis man altså går ud fra styresystemernes Common Criteria-evaluering, hvor begge førstnævnte styresystemer har niveauet EAL4+, mens FreeBSD slet ikke har nogen evaluering.

Common Criteria er en international ISO standard for computersikkerhed, som erstatter den berømte men forældede Orange Book.

Common Criteria tager ikke udgangspunkt i en eller anden model for sikkerhed som Orange Book, der bl.a. tog udgangspunkt i Bell-LaPadula-modellen, men evaluerer produkter ud fra en beskyttelsesprofil, der forsøger at tage højde for specifikke sikkerhedsrelaterede problemer.

Der laves altså en række beskyttelsesprofiler, der beskriver relevante trusler, og hvordan disse trusler kontrolleres. Beskyttelsesprofilerne bruges så af producenterne, når de udvikler produkterne, af Common Criteria-folkene ved evalueringen til at kontrollere, at produkterne lever op til profilerne, og af kunderne til at kontrollere, at produkterne løser netop deres sikkerhedsproblem. Common Criteria er altså et framework snarere end et tvunget valg, som Orange Book var.

En leverandør specificerer og implementerer derfor selv sine sikkerhedskrav inden for dette framework, mens testlaboratorierne efterfølgende evaluerer produkterne for at fastslå, om de rent faktisk lever op til kravene.

En Common Criteria-certificering er altså en blåstempling af, at udviklingen af selve produktet er foregået på en standardiseret måde.

Common Criteria evaluerer produkterne i syv niveauer (evaluation assurance level (EAL)), der så er et udtryk for, hvor gennemgribende en test et produkt har været igennem. For kommercielle produkter er EAL4 normalt grænsen, mens EAL5-7 typisk er til militære produkter.

MS Windows Server og MS Windows XP er den 6. november 2005 certificeret til EAL4+, mens forskellige versioner af SuSE Linux Enterprise Server er certificeret henholdsvis EAL3+ og EAL4+.

EAL4+ betyder, at produktet er ' methodically designed, tested, and reviewed', mens EAL3+ betyder, at produktet er ' methodically tested and checked'.

Imidlertid gælder en sikkerhedsevaluering kun for en specifik version af et produkt. Hvis der efterfølgende er kommet en patch til et produkt, så har produktet ikke længere nogen sikkerhedsevaluering, hvis patchen bliver installeret. Dette gælder også, selv om der er tale om en sikkerhedspatch.

Samtidig er en Common Criteria-certificering tidskrævende og dyr. Det kan tage op til 2 år og koste $350.000 at gennemføre en EAL4+-certificering.

Så det er sådan set naturligt nok, at freeBSD ikke har en certificering, selv om der findes et TrustedBSD-projekt, der arbejder på at imødekomme kravene fra Common Criteria.

Så tilbage til spørgsmålet om, Windows er lige så sikket som Linux? Tja, svaret har sådan set ikke så meget at gøre med Common Criteria-certificeringen.

Kommentarer (9)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Adam Tulinius

.. bliver lynhurtigt useriøse, når de er så dyre at gennemføre, at nogle ellers meget brugte styresystemer aldrig får certificeringen. Og så især det med at en patch kræver endnu en certificering...

Det er jo det samme som med posix-certificeringen - no wonder at fx linux i al almindelighed aldrig bliver certificeret til noget som helst. Desværre er der vel folk der hopper på den slags bogus, og den dertil automatisk medfølgende favoritisering af produkter fra store internationale firmaer.

Karsten Nyblad

Et andet problem med disse certificeringer er, hvad der bliver kontrolleret. Windows har faktisk en række udemærkede faciliteter til at sikre PCerne, men hvad hjælper det, når almindelige brugere kører med administratorrettigheder? Samtidigt er der en del applikationer, der er så hjernedødt programmeret, at de kun virker, når brugeren har netop disse rettigheder.

Sagt på en anden måde: Det kan godt være, en Windows maskine kan sættes op, så den er rimeligt sikker, men hvad nytter det, når Microsoft lokker brugerne til at køre i en opsætning, som slet ikke udnytter sikkerhedsfaciliteterne?

Jesper Laisen

Jeg betragter bestemt ikke en Common Criteria-certificering som useriøs. Jeg synes det er utrolig vigtigt, at der findes krav til et minimum af standard på udviklingssiden. Fx bør software til våbensystemer leve op til meget høje standarder for udvikling.
Men det er da klart, at den høje pris for en certificering betyder, at kun software med pengestærke bagmænd bliver certificeret.
Det betyder så, at meget open source-software som fx FreeBSD ikke kan anvendes, når der er krav om certificering.

Jørgen Elgaard Larsen

Jeg synes artiklens overskrift er misvisende, når man sammenligner den med artiklens indhold.

Som du selv skriver, er Common Criteria-niveauet ikke et udtryk for, hvor sikkert et system er, men kun hvor grundigt, det er blevet testet.

Overskriften burde snarere være: "En specifik version af Windows er blevet testet grundigere end en specifik version af Linux" - eller bare "Windows testet lige så grundigt som Linux".

Om testen siger noget om Windows' sikkerhed, afhænger jo af, hvilke kriterier Microsoft har valgt.

Det minder mig om dengang Microsoft blærede sig med en sikkerhedscertificering af Windows NT. Det var kun med meget små bogstaver, at de oplyste, at det gjaldt "in a stand-alone configuration". Læs: Så længe den ikke er koblet på nettet.

Er det mon samme historie denne gang? :-)

Poul-Henning Kamp Blogger

Common Criteria siger ikke noget om et systems sikkerhed, det siger kun noget om at nogen har betalt en formue for en masse papirarbejde.

FreeBSD lever helt op til alle Common Criteria kravene, men vi har ikke haft nogen der var dumme nok til at smide penge efter en værdiløs certificering.

Hvis du virkelig vil have et sikkert operativsystem, så skal du ikke kigge på certificeringer, så skal du kigge på hvilke features du får adgang til og på den skala er FreeBSD langt foran de fleste andre operativsystemer med faciliteter som ACL, MAC, Jail osv.

Kig på FreeBSD varianten TrustedBSD hvis du er i tvivl.

Det faktum at temmelig mange organisationer med .gov domainer bruger FreeBSD taler for sig selv.

Poul-Henning

Jesper Laisen

Jeg er meget imponeret af FreeBSD, når det handler om sikkerhed, men et FreeBSD uden en certificering fra Common Criteria betyder, at der er virksomheder, der ikke kan bruge FreeBSD.
Og jeg synes, det er rigtigt, at det offentlige stiller krav til at software, der skal bruges følsomme steder, er certificeret på et bestemt niveau. En common criteria-certificering er derfor bestemt ikke værdløs.

Jørgen Elgaard Larsen

Jesper Laisen skrev:
"Og jeg synes, det er rigtigt, at det offentlige stiller krav til at software, der skal bruges følsomme steder, er certificeret på et bestemt niveau."

Uha, den er farlig. Hvis man skal stille den slags krav, det må være betinget af

1) Det er den offentlige myndighed, der opstiller de sikkerhedskrav, der skal vurderes efter - ikke leverandøren.

2) Den offentlige myndighed står for certificeringen, herunder dækning af alle udgifter.

3) Ved udbud forsøges alle leverandørers produkter certificeret.

4) I drift certificeres alle nye versioner, herunder sikkerhedsopdateringer.

Dette vil imidlertid være sindsygt bekosteligt under Common Criteria. Men man kunne nok godt forestille sig, at man lavede en fællesoffentlig certificeringsorganisation til den slags.

Desværre vil det nok blive vanskeligt at certificere proprietær software, da ikke alle leverandører vil give adgang til kildekoden.

Mvh

Jørgen Elgaard Larsen

Dennis Krøger

"Desværre vil det nok blive vanskeligt at certificere proprietær software, da ikke alle leverandører vil give adgang til kildekoden."

Så kan de ikke få nogen offentlige kontrakter uden at give adgang til koden, exactly as it should be!

Log ind eller Opret konto for at kommentere
Brugerundersøgelse Version2
maximize minimize