211service.com
Patch del processo di aggiornamento della sicurezza
Ricerche recenti mostrano che l'utente tipico di PC deve installare un aggiornamento di sicurezza all'incirca ogni cinque giorni per utilizzare in sicurezza Microsoft Windows e tutti i programmi di terze parti che in genere vengono eseguiti su di esso. In risposta, un'azienda danese di sicurezza informatica afferma che presto debutterà un nuovo servizio gratuito che automatizza silenziosamente l'installazione degli aggiornamenti di sicurezza per dozzine dei prodotti software più comunemente usati.
La cifra di cinque giorni proviene dalle informazioni raccolte da Secunia, che ha analizzato le statistiche di circa due milioni di utenti del suo free Ispettore software personale (PSI), un programma progettato per avvisare gli utenti di software obsoleto e non sicuro in esecuzione sui loro computer. Secunia ha scoperto che l'utente tipico di Microsoft Windows ha più di 66 programmi di più di 22 fornitori di software diversi sul proprio computer.
Anche se la versione attuale del software PSI include collegamenti agli ultimi aggiornamenti per ogni applicazione obsoleta, molti utenti trovano ancora il processo di aggiornamento troppo macchinoso, afferma Thomas Kristensen, chief security officer di Secunia.
La maggior parte degli utenti non vuole essere disturbata da tutti questi aggiornamenti, afferma Kristensen. Anche quando forniamo loro i collegamenti di download appropriati per gli aggiornamenti, molti utenti dicono 'No, non voglio fare clic su tutte queste cose'. il processo di patch a quel punto.
Ci sono ampie prove che suggeriscono che l'utente medio non può essere disturbato a installare aggiornamenti di sicurezza in modo tempestivo, a meno che il processo non sia più o meno automatizzato. In uno studio pubblicato la scorsa estate, i ricercatori di Google Svizzera e del Istituto Federale Svizzero di Tecnologia ha scoperto che i browser che includevano aggiornamenti automatici e silenziosi, come Firefox di Mozilla e Chrome di Google, funzionavano molto meglio e più velocemente nel fornire patch con successo rispetto al meccanismo di installazione manuale utilizzato dai browser di rivali come Microsoft, Opera e Apple.
Quando gli hacker attaccano sempre più spesso le falle di sicurezza del software prima che i fornitori possano spedire le patch per collegarle, l'applicazione tempestiva delle patch è più vitale che mai, afferma Wolfgang Kandek, chief technology officer di Qualys , un'azienda di sicurezza informatica con sede a Redwood Shores, in California, che aiuta le aziende a gestire la distribuzione delle patch. Kandek afferma che Microsoft ha fatto grandi passi avanti con Windows XP Service Pack 2, che ha spinto gli utenti ad attivare gli aggiornamenti automatici per il sistema operativo. Ma aggiunge che sono troppo pochi i principali produttori di software di terze parti che includono meccanismi di aggiornamento automatico simili.
Prendi le versioni precedenti del software Adobe, che non dispongono di un componente di aggiornamento, afferma Kandek. Gli utenti su questi rimarranno semplicemente sulla versione che stanno utilizzando e non aggiorneranno mai. Alan Paller, direttore della ricerca per Bethesda, MD-based SENZA Istituto , un gruppo di formazione sulla sicurezza informatica, dice che molti anni fa Microsoft ha preso in considerazione l'idea di proporre il suo servizio Windows Update a fornitori di software di terze parti come canale di aggiornamento, ma alla fine ha abbandonato l'idea a causa di problemi di responsabilità legale.
Kristensen di Secunia afferma che lo strumento della sua azienda eviterà qualsiasi problema di responsabilità scaricando le patch esattamente nello stesso modo per ogni applicazione come farebbe un normale utente. Tuttavia, dice, è probabile che non tutti i fornitori di software lo rendano facile.
I problemi di responsabilità sorgono se dovessimo iniziare a modificare le patch o inserirle nel nostro repository di aggiornamenti, afferma Kristensen. Una cosa che possiamo garantire è che non funzionerà per il 100% del software. Ci piacerebbe farlo, ma ciò richiederebbe il 100% di cooperazione da parte di molti fornitori che non hanno una buona storia in merito.
Secondo Paller, la sfida principale di Secunia è attirare gli utenti che non conoscono abbastanza la sicurezza per sapere che devono distribuire aggiornamenti di terze parti. Ecco perché penso che un servizio come questo, se vuole avere un impatto decente, debba essere offerto attraverso i [fornitori di servizi Internet], dice. Il mio obiettivo sarebbe dire che se diventerai un ISP, devi fornire un servizio come questo.
Lo strumento di patch di Secunia probabilmente avrà bisogno di alcuni test seri prima di poter essere distribuito su una scala così ampia. Secunia ha già adattato la versione aziendale di PSI per distribuire aggiornamenti di terze parti, ma fare lo stesso per i computer consumer sarebbe una sfida molto più grande, in particolare nel far funzionare il software su tutte le varie implementazioni in lingua straniera di questi prodotti di terze parti .
L'obiettivo è renderlo scalabile e legale, e per farlo dovremo, almeno all'inizio, dare la priorità ai prodotti che applichiamo in base a quelli che sono installati più ampiamente, perché non c'è modo che saremo in grado di fare 13.000 applicazioni in una sola volta, dice Kristensen.
Secunia punta ad avere una versione di anteprima disponibile ad aprile per gli utenti esperti di PC e una versione beta per un maggior consumo pubblico pochi mesi dopo.