| Há muita polémica em relação à revisão dos patches. Existem várias opiniões: - O dos administradores de sistema paranóicos, que querem ver os problemas de segurança corrigidos ASAP, mesmo que isso quebre alguma coisa.
- Os administradores de sistema não paranóicos, que não querem perder dias a reinstalar as máquinas todas apenas porque um patch não se encontrava em condições de ser aplicado no hardware em questão.
- Os integradores/fabricantes/distribuidores/whatever que têm a responsabilidade de criar os patches. Estes não podem apenas enviar patches sem os testar devidamente, pois têm que os testar devidamente em todas as combinações de hardware e software, pois um patch mal feito criará o caos nos seus serviços técnicos.
A maior causa destes problemas é mesmo o facto do software ser closed source. Assim, temos o problema de que quem tem acesso ao código fonte não é a mesma pessoa que descobriu o problema ou que está interessada em resolver o problema. Temos também o problema de que o patch será distribuído apenas sob a forma binária, aumentando grandemente as hipóteses de incompatibilidade com algum software de terceiros (e até com software do próprio fabricante). Mas nada disto justifica a demora de bastantes meses (e até anos?) por parte da SUN para lançar alguns patches... No entanto, o software open source não resolve imediatamente estes problemas todos, pois não é raro patchs enviados para a bugtraq (ou outra mailing list da SecurityFocus (aquando da discussão da vulnerabilidade) serem corrigidos ou por não corrigirem o problema completamente, ou por quebrarem alguma coisa, ou até por abrirem novos problemas. Mas é claro que o software open source terá mais cabeças dedicadas a resolverem o problema, e o problema será resolvido mais rapidamente. Em relação à afirmação de o software closed source ser mais seguro, não posso senão rir às razões indicadas, pois deve ser uma piada. Em primeiro lugar, a afirmação que software open source não é revisto é ridícula, pois não é por ser open source que deixa de ser revisto, e além disso, depois de sair será revisto por todos os paranoicos no planeta (e até mesmo por apenas curiosos), coisa não possível no software closed source (ex de o software ser revisto: quem avisou da última vunerabilidade nos BIND ISC). Esta está a ser uma altura muito má para a Microsoft, como se pode deduzir dos últimos ataques ridículos por parte da Microsoft contra o movimento open source.
hugs Strange |
