Google verbetert stiekem patchen van Chrome
Het feit dat Google zonder melding aan en toestemming van gebruikers de Google Chrome browser bijwerkt, zorgde voor een storm van kritiek, maar de zoekgigant houdt vol dat het veiliger is en heeft het proces verder verbeterd. "Het is een vloek om een 10MB grote update te verspreiden die je een security fix van tien regels geeft", zegt software engineer Stephen Adams. Hoe kleiner de updates, hoe minder risico gebruikers lopen. Als een update namelijk tien keer zo klein is, kan Google tien keer zoveel gebruikers bereiken. "We hebben voldoende gebruikers dat dit betekent dat die eerder beschermd zijn." Een ander voordeel is dat een kleinere update beter werkt voor gebruikers die niet zo'n snelle internetverbinding hebben.
Klein is fijn
Om alleen maar de kwetsbare code te vervangen, gebruikte Google verschillende diff algoritmes. Daarbij was bsdiff de favoriete tool. "Het is klein en werkt beter dan alles wat we geprobeerd hebben." Toch vond Google dat de diffs van bsdiffs nog steeds te groot waren. Daarom ontwikkelde het een nieuw algoritme genaamd Courgette, dat bijna 10 keer kleinere diffs oplevert.
Zo was de volledige update van versie 190.1 naar 190.4 10MB groot. Met bsdiff werd dit naar 704KB verkleind, maar Courgette wist er uiteindelijk 78KB van te maken. "De kleine omvang in combinatie met Chrome's stille update betekent dat we zo vaak als mogelijk kunnen updaten om gebruikers veilig te houden."
Update: bytes in KB veranderd
Full update 10,385,920
bsdiff update 704,512
Courgette update 78,848
Stiekem updaten, tja, prima zo zolang dat geen problemen oplevert. Maar geschiedenis leert ons kennen dat dit natuurlijk ook een keer fout gaat.
HET IS NIET STIEKEM want google geeft zelf aan dat ze het op deze manier doen, het is niets meer dan volledig automatisch patchen, maar jah dat klinkt natuurlijk niet zo spannend als STIEKEM.. past goed in het wereldje van ID diefstal en spyware etc. gewoon even mijn menig
ontopic:
Het is goed dat ze de updates zo klein weten te maken, het zal inderdaad schelen, en voor het volledig automatische updaten ik vind het inderdaad een zeer goed idee, het is zeker voor de minder computerkundige mensen een goede oplossing.
Nog steeds vind ik dat er een optie in moet zitten dat je alleen een melding krijgt zodat je het kunt installeren wanner het het beste uitkomt.
Firefox die geeft een melding en zit je weer op te wachten. Over IE ga ik het niet hebben en
Chrome merk je dus niet, het is immers stiekem.
Voor de gebruiker geeft dit een betere gebruikerservaring omdat je blijkbaar niet hoeft te wachten op Chrome. Dit was toch ook het concept dat Google met Chrome voor ogen had, een snelle browser. Ongemerkt patchen is voor gevoel sneller dan dat je moet wachten totdat die gepatched is.
Aan de andere kant, bewust patchen maakt ook een soort veilig gevoel bij de gebruiker.
O, ze zijn druk bezig om de nieuwste bugs te fixen (al hoeft dit natuurlijk niet direct een feit te zijn dat het veilig is).
Als Microsoft dit flikt, wordt zo'n beetje de oorlog verklaard, maar nu Google het doet...
Hoe je het ook bekijkt, zulke acties moet je gewoon kenbaar maken aan je gebruikers. Doe je dat niet, ben je gewoon onbetrouwbare partij, in mijn ogen. Het is een kleine moeite je gebruikers op de hoogte te stellen dat er iets in de software is veranderd. Ze doen dit gewoon expres, want er zit meer achter. Nu is het om de kwaliteit van de software, maar straks is het om de kwaliteit van de winstcijfers.
Ben Weg
Wij IT'ers weten wellicht hoe het moet.. maar duizende huisvrouwen niet.
MS vertrouwen we niet, Apple en Google mogen veel meer "want ze bieden tenminste concurrentie". Maar ook bij de concurrent moet je opletten. MS is ooit als concurrent begonnen......
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
