Door Peter V: Luister eens René V. Voor de malware hoef je het niet te doen.
Er bestaan namelijk ook voor Linux wormen en virussen.
Voor de radioactiviteit hoef je niet bij Tsjernobyl uit de buurt te blijven, radioactiviteit stoten de schoorstenen van onze kolencentrales namelijk ook uit. Ik charcheer behoorlijk, maar zo kom je toch een beetje over, er is namelijk overweldigend veel meer malware voor Windows in omloop dan voor Linux. En dat maakt dat bij een gelijke kans dat een stuk malware door de beveiligingen heen weet te dringen de kans op besmetting voor Windows aanzienlijk hoger is dan voor Linux. En dat is geen uitspraak over de kwaliteit van de besturingssystemen, die beschouw ik voor het gemak even als gelijk.
En waarom er zoveel meer malware voor Windows is? Marktaandeel zal ongetwijfeld een rol spelen. Voortzetting van een malwaretraditie die begon met de kwetsbare 9x-systemen ook. Gedrag van de gebruiker (klik je wel of niet op alles wat daarom vraagt) is een deel van de defensie, en de ware digibeten zullen niet zo snel iets anders dan Windows proberen, waardoor dat Windows meer zal benadelen dan andere besturingssystemen.
Ik heb het idee dat de filosofie van hoe je je gebruiker bedient ook een rol speelt. Leveranciers als Microsoft en bijvoorbeeld ook Adobe houden van integratie, van applicaties en documenten die liefst alles kunnen (Flash ingebed in PDF, WTF?), alles moet één door elkaar lopende rijke "experience" zijn. De *nix-filosofie is er juist een van een gereedschapskist met programma's die allemaal goed zijn in één gespecialiseerde taak, maar die zich wel flexibel aan elkaar laten knopen, meer coöperatie dan integratie dus. Ondanks de beschikbaarheid van veelkunners als Firefox, OpenOffice en AdobeReader, en Windows-achtige desktopsystemen, is dat nog steeds een belangrijke basis. Het idee dat alles maar automatisch uitgevoerd moet worden is in de "rijke ervaring"-filosofie voor de hand liggender dan in de gereedschapskistbenadering, en dat levert voor de softwaremakers een sterkere motivatie op om mogelijkheden op te nemen die tot beveiligingsrisico's kunnen leiden.
Je ziet, mede door dat verschil in benadering, dat een pakket op Linux vaak veel kleiner is dan op Windows. Componenten die door meerdere pakketten worden gebruikt worden voor Windows samen met elk van die pakketten opnieuw verspreid, terwijl ze in een Linux-distributie een apart pakketje vormen waar andere pakketten van afhankelijk zijn. En regelmatig zijn het geen afhankelijkheden van een specifiek stukje software maar zijn er meerdere alternatieven die hem kunnen bevredigen. Dat leidt tot grote verschillen in welke componenten precies aanwezig zijn op individuele systemen. Dat wordt nog versterkt door de veelheid aan Linuxdistributies, die ieder hun eigen selectie van componenten en versies van componenten maken. Elke kwetsbaarheid die afhankelijk is van een combinatie van bugs in verschillende componenten (willekeurige code uitvoeren lukt met de ene component, zodat de bug die rootrechten geeft in een andere component bereikbaar wordt), wordt moeilijk exploiteerbaar, de malware of aanvaller moet geluk hebben om de juiste componenten in de juiste versies bij elkaar aan te treffen. Die kans is veel groter op Windows-systemen, omdat componenten veel meer in grote gehelen worden verspreid en geïnstalleerd. Daardoor heeft Windows meer dan Linux het karakter van een monocultuur, en de bijbehorende gevoeligheid voor epidemieën is duidelijk waarneembaar.
Daarmee zie ik zaken die vaak als nadelen van Linux worden genoemd, zowel voor de ontwikkeling van (met name commerciële) applicaties als voor de adoptie door grote groepen gebruikers, tegelijk als niet te onderschatten voordelen.