Rsac: hej, folk, korriger dina program!

Secunias kostnadsfria personliga inspektörsverktyg för mjukvara kontrollerar all programvara på din dator, identifierar alla program som behöver uppdateringar och hjälper dig att använda dessa uppdateringar. Företaget samlar också statistik om sårbarheter och publicerar en årlig rapport. Vid RSA-konferensen gick Secunias VD Peter Colsted och CTO Morten Stengaard över den senaste rapporten med mig.

"Sammantaget finns majoriteten av sårbarheterna fortfarande i tredjepartsprogram", säger Stengaard. "Det totala antalet ökar med över 13 000 nya 2013 jämfört med i genomsnitt cirka 9 000 under tidigare år. Den stora ökningen drivs främst av IBM. Det är fortfarande ett enormt problem med över 2 000 sårbara produkter."

Stengaard konstaterade att bland de 50 mest utsatta sårbarheterna är de vanligaste programmen som inte är Microsoft, även om antalet drabbade Microsoft-program är stort. "Microsoft-produkter är tämligen väl täckta, " sade Stengaard, "och människor tenderar att uppdatera." (En ny studie visade att att hålla Windows korrigerat är en viktig del av alla säkerhetsstrategier).

Rapporten visar tydligt mycket mer sårbarheter i de mest populära webbläsarna och PDF-läsarna än hos off-brands. "Du kan använda vilken produkt du vill, så länge du lappar, " sa Colsted. "Om du vet att du inte kommer att lappa, är det bättre att du använder ett mindre vanligt program."

Förändring i attityd

"Vi ser en ny strategi i företag, " sade Stengaard. "Instad för att sätta en lapp genom tunga tester innan de distribuerar, de rullar ut lappar som de visas, med ett alternativ att rulla tillbaka om korrigeringen orsakar problem."

Den gamla test-först-strategin bygger på idén att en lapp kan skada; Jag frågade hur länge sedan den sista "dåliga korrigeringen." Stengaard svarade: "I verkligheten har det gått år sedan en Microsoft-patch bröt något. Samma med många tredjepartsappar. Våra kunder känner sig säkrare."

Mobilspårning

Secunia släppte en Android-version av PSI förra året, men uppgifterna är ännu inte tillräckligt fullständiga för att förtjäna en Android-specifik rapport. "Malware är så enkelt på Android", sade Stengaard, "det finns bara inget incitament att driva sårbarheter. De få som finns riktar sig till de vanliga misstänkta - alltid installerade objekt som webbläsare och PDF-läsare. Vi förutspådde en ökning det senaste året, men det har inte kommit ännu."

Företaget överväger också en iOS-utgåva. "Många fler av våra kunder ber om iOS-support", säger Stengaard. "Det är där, det är i företaget, så de vill spåra det."

Folk lappar inte

"För att sammanfatta våra resultat i år, " sade Colsted, "förekomsten av säkerhetsproblem är en ökande fråga. Det försvinner inte. Och människor plockar bara inte, det är en fortsatt problem. Adobe Reader, Java, Flash, webbläsare, de fortsätter att ha problem."

"Människor behöver verkligen göra sina lappar, " sade han. "Antingen ställer du in det automatiskt eller gör det manuellt. Det är som när antivirus var nytt; det tog ett tag för människor att inse att det är en nödvändighet. Nu är det verkliga problemet säkerhetsproblem. Att korrigera dessa är exakt parallellt med att antivirusskyddet fungerar."

"Om du verkligen inte kommer att lappa, " avslutade Colsted, "bör du välja ett lite känt program snarare än de populära stora namnen." Folk på Opera och Foxit Reader kommer säkert gärna att höra det. Du kan se hela rapporten på Secunias webbplats.