Puhtaanapito
Erka Koivunen, 11.8.2009, 9:08Softatalon 7 tapaa välttää tietoturvayhteistyö
Kollegani meni sohaisemaan muurahaispesään kritisoimalla Computerworldissa julkaistussa kolumnissaan rämäpäistä tapaa, joilla haavoittuvuuksia taas tuotiin julkisuuteen tämän kesän tietoturvatapahtumissa. Tiivistäen: ohjelmistojen valmistajille kerrottin ilmoitusasiana, että tietoturvaongelman yksityiskohdat kerrotaan julkisuuteen lähipäivinä oli korjausta saatavilla tai ei.
Artikkelin pohjalta on käyty keskustelua kansainvälisten tietoturvayhteisöjen piirissä. Edustettuna olleet ohjelmistovalmistajat ovat luonnollisesti paheksuneet tapaa, jolla vikaraportointi tehdään. Tieto viasta toimitetaan valmistajille yleensä varsin myöhään jos ollenkaan, jolloin luotettavasti toimivan korjauksen laatimiselle jää liian vähän aikaan. Julkiset lausunnot ovat kärjistäviä tai jopa ilkkuvia, eikä draamaa rakastava lehdistö pyri ainakaan liennyttämäään vastakkainasettelua. Epäiltiin, että julkistusten tekijöiden todellisena tavoitteena tuskin on ohjelmistojen turvallisuudesta riippuvien loppukäyttäjien suojeleminen.
Niin sanotun full-disclosure-filosofian kannattajilla on toki omat perustelunsa tekemisilleen. Heidän mielestään useimmilla ohjelmistotaloilla on pitkät perinteet vikojen kiistämiseen ja korjausten laiminlyöntiin. Jos asioista ei tehtäisi julkisia, ne haudattaisiin ja ohjelmistojen käyttäjät olisivat vielä turvattomampia, he väittävät. En kiistä, etteikö tämä joskus pitäisi paikkaansa. Ei kuitenkaan aina.
Hyvä vierailija!
Arkistomme on vain rekisteröityneiden käytettävissä.
Jos sinulla on jo käyttäjätunnus Tietoviikkoon, kirjaudu sisään.
Asiaa!
"Cert-fi:n väkeä haastatellessani en kuullut kenenkään törmänneen tällaisiin ohjelmistovalmistajiin. Olisikohan sittenkin kyse siitä, että niin metsä vastaa kuin sinne huudetaan..?" - Turhaa päiden silittelyä, viranomaisia kohtaan yleensä kaikki toimijat esiintyvät korrektisti, mutta korrekti esiintyminen viranomaisille ei kuitenkaan korjaa bugeja asiakkaiden ohjelmistoista ...
Lisäksi on Asiakkaita jotka eivät halua ostaa sovellukselleen tukea/päivityksiä. Niin ollen eivät halua maksaa tietoturvaongelmien korjaamisestakaan, tai sitten se pitää saada vuosienkin jälkeen ilmaiseksi..
Muttu miksi cert-fi piti perustaa? Siksi etteivät suljetun lähdekoodin softatalot halunneet korjata virheitä. Toisaalta, eivät halua vieläkään mutta pääseepä siellä nyt sentään kourallinen itseään täynnä olevia pikkuvirkamiehiä pätemään olemattomatta teknisellä osaamisellaan.
Ilmoituksesi käsitellään seuraavan työpäivän kuluessa.