Microsoft heeft de afgelopen zes jaar zo'n 745 beveiligingslekken gepatcht, volgens Bruce Schneier het bewijs dat het installeren van updates geen oplossing voor de problematiek van lekke software is. De beveiligingsgoeroe stelt dat er gewoon teveel updates zijn om te installeren en is het onmogelijk om ze allemaal bij te houden, iets waar hij ook al in 2001 voor waarschuwde.

Systeembeheerders krijgen vaak ten onrechte de zwarte piet, zo gaat Schneier verder. "Degene die computernetwerken beheren zijn ook mensen en mensen doen niet altijd wat verstandig is." Soms is het gewoon niet mogelijk om een belangrijk systeem offline te halen, is er niet voldoende personeel om alle machines te updaten of sloopt een patch iets anders op het netwerk. "Het wordt tijd dat de industrie beseft dat de verwachting dat het patchproces de netwerkbeveiliging zal verbeteren gewoon niet werkt." Inmiddels zijn we acht jaar verder en is de situatie nauwelijks verbeterd.

Onmogelijk probleem
Schneier noemt patchen dan ook een onmogelijk probleem. "Een patch moet ongelooflijk goed getest worden. Het moet zonder aanpassingen op elke configuratie van de software die er is werken." Voor beveiligingsredenen moet de update zo snel als mogelijk worden uitgerold. "Deze twee vereisten zijn tegenstrijdig: je kunt geen software hebben die zowel goed getest als snel geschreven is."

Voor oktober 2003 was het patchproces van Microsoft een zooitje, aldus Schneier. De patches waren niet goed getest, waarop systeembeheerders ze pas na een lange testperiode uitrolden. Toen verscheen patchdinsdag, een maandelijkse cyclus die een enorm succes is. "Microsoft's patches zijn beter getest en slopen veel minder vaak andere dingen." Als gevolg hebben meer mensen de Automatische Update functie ingeschakeld. Een nadeel is wel dat de tijd tussen een lek en de beschikbaarheid van een patch is toegenomen. Toch zal het in de toekomst niet veel beter worden. "Patchdinsdagen zijn mogelijk het beste dat we kunnen doen, maar het hele patchsysteem is fundamenteel stuk."

Ontwerp
Patchen is dan ook geen oplossing, en is dat ook nooit geweest, laat Schneier weten. "De cyclus van het vinden van beveiligingslekken en ze zo snel mogelijk proberen te dichten voordat aanvallers ze misbruiken is kostbaar, inefficiënt en onvolledig." Beveiliging moet daarom vanaf het begin in het ontwerp worden mee genomen. "We hebben security engineers nodig die bij het systeemontwerp betrokken zijn. Dit proces zal niet elk lek voorkomen, maar het is veiliger en goedkoper dan de patchloopband waarop we ons nu bevinden."