Security is nog altijd geen natuurlijk proces voor Apple, zo werd de afgelopen weken weer eens duidelijk. Aan de ene kant liet "Cupertino" een vijf maanden oud Java-lek zitten dat al lang op andere platform is gepatcht, maar aan de andere kant wist het bedrijf de beveiligingsexpert van het One Laptop Per Child project binnen te halen. "Deze ontwikkelingen lijken bijna tegenstrijdig", zegt beveiligingsconsultant Rich Mogull. Volgens hem vindt Apple security belangrijk, maar heeft het moeite met het voeren van een effectief beleid. Met nieuwe versies van de iPhone en Mac OS X in aantocht, geeft Mogull Apple daarom vijf tips.

Als eerste moet Apple een Chief Security Officer (CSO) aanstellen, een functie die nu ontbreekt. Het tweede advies van Mogull is veilig programmeren. Op dit moment is er geen formeel beveiligingsbeleid. Aan de hand van een Secure Software Development Programma zou men veiligere programma's kunnen ontwikkelen. Daarnaast moet het beveiliging in alle onderdelen doorvoeren, van ontwerp en ontwikkeling tot testen. Het derde verbeterpunt is het opzetten van een Security Response Team. Er is op dit moment geen team voor het beheren van extern gemelde lekken of andere beveiligingsproblemen. Daardoor loopt het contact met onderzoekers moeilijk, iets wat een response team kan verbeteren. Ook helpt zo'n team bij het eerder patchen van lekken in third-party software.

Microsoft
Eén van de grootste problemen waar Apple mee te maken heeft, zijn lekken in de programma's van anderen. Het duurt echter vrij lang voordat dit soort kwetsbaarheden gepatcht zijn, terwijl dit bij andere platformen veel sneller het geval is. "Dit is voor een aanvaller een snelweg naar je desktop", aldus Mogull. Zo beschikt de populaire hackingtool Metasploit over een aparte Mac OS X module. Apple moet daarom een apart programma starten om de lekken in third-party componenten beter te monitoren en zodra oplossingen beschikbaar komen, die direct in de eigen software te verwerken.

Het laatste advies dat Apple krijgt is het implementeren van anti-exploit technologieën die het lastiger voor aanvallers moeten maken om het systeem over te nemen. "Zoals Microsoft nu leert is het belangrijk om deze maatregelen ook in individuele applicaties door te voeren, niet alleen het besturingssysteem, zodat een enkele browser plugin niet de beveiliging kan omzeilen. Apple zit in een betere positie om deze regels door te drukken dan Microsoft en kan dus beter Mac en iPhone gebruikers beschermen."