Adobe patcht stiekem beveiligingslekken in software zoals Adobe Reader en Flash Player, zonder hier het publiek over te waarschuwen. Topman Brad Arkin vertelde Security.nl dat het alleen kwetsbaarheden meldt die door externe onderzoekers zijn ontdekt en gemeld. Over andere lekken, of "code verbeteringen" zoals Arkin het noemt, zwijgt men. Het bedrijf zegt de afgelopen tijd een grote sprong voorwaarts te hebben gemaakt op het gebied van veiligheid.

"Iedereen binnen Adobe weet het belang van security voor onze klanten", aldus de topman. Door de houding van Adobe is het onbekend hoeveel lekken er werkelijk in de software zitten. "Het is ons beleid om niet publiek over de details van code aanpassingen te spreken."

Cyclus
Op dit moment heeft Adobe elk kwartaal een patchcyclus, waarbij het updates voor Reader en Acrobat uitbrengt. Het bedrijf gaat de tijdsspanne op verzoek van klanten mogelijk aanpassen, zodat het net als Microsoft elke maand met updates komt. Tevens wil het tijdens dit moment patches voor alle producten uitbrengen, zoals Flash Player en Shockwave Player. Programma's die door bijna iedereen worden gebruikt, wat volgens Arkin ook de populariteit bij aanvallers verklaart.

Om de populatie van gebruikers gezond te maken, is Adobe begonnen met het uitrollen van een automatische updater. Op dit moment moeten gebruikers zelf inschakelen dat ze automatisch de updates willen ontvangen. Als het aan Adobe ligt verschijnt er straks een scherm, waarin staat dat gebruikers dit standaard willen. "Als ze dan het scherm weg klikken, krijgen ze automatisch de updates", merkt Arkin op.

Shockwave
Volgens Arkin werkt Adobe al geruime tijd aan het beveiligen van de eigen software. Op de vraag hoe het kon dat bij de laatste patch voor Shockwave Player er van de 18 lekken er geen één door Adobe was gevonden, reageerde Arkin door te zeggen dat Shockwave niet de hoogste prioriteit heeft en een ouder programma is. "Shockwave is minder belangrijk voor me", aldus Arkin. Flash en Reader staan vanwege hun dominante marktpositie bovenaan de lijst. Het gaat dan om percentages van bijna honderd procent. Toch is ook Shockwave met meer dan 450 miljoen installaties geen kleine speler, maar nog altijd de helft in vergelijking met Flash.

Lichtgewicht
Sommige onderzoekers hebben geopperd dat Adobe een lichtgewicht versie van de PDF-lezer moet maken, die alleen PDF's kan bekijken en geen JavaScript en dynamische formulieren ondersteunt. Volgens Arkin is dit geen oplossing, aangezien eindgebruikers in de Verenigde Staten bijvoorbeeld via hun PDF-lezer de belastingformulieren moeten invullen.

Arkin deed zijn uitspraken tijdens de Microsoft Trustworthy Computing Tour, waarbij hij vertelde over hoe Adobe de Security Development Lifecycle van Microsoft heeft geïmplementeerd. Een lifecycle die Adobe zelf weer heeft aangepast en nu gebruikt om andere bedrijven uit te leggen hoe ze hun producten moeten beveiligen.