パスワードを忘れた？ アカウント作成
Close
2202 story

WindowsはLinuxより安全？ 64

ストーリー by Oliver
統計マジック? 部門より

tyamagch 曰く、 "アメリカのWinInfoに掲載された記事から。 米SecurityFocusがまとめたOS別のバグ発見件数の統計で昨年1月から8月までのLinuxでのバグ発見件数がWindowsでのそれを上回った、だからWindowsはLinuxより安全、というのがこの記事の趣旨のようだが。
残念ながらこれらのバグのうち、どれだけが実際の被害に繋がったかとか、DebianやRedHat、Calderaとパッケージ別に加算されたLinuxのバグのうち、同内容のものが重複している割合が不明なので何ともいえないのだが、本当にこの結果を見て「Windowsの方がLinuxよりsecure!」と言えるのだろうか？ところで、「OSと不可分」であるはずのIE(含Outlook Express)のバグは当然Windowsバグの件数に含まれているんでしょうね"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

WindowsはLinuxより安全？ More

  • SecurityFocusの注意書き (スコア:4, 参考になる)

    by enoq (3650) on 2002年02月05日 15時19分 (#60055) ホームページ 日記
    上記のSecurityFocusの該当記事では [securityfocus.com]上のほうに
    Several things should be taken into consideration when interpreting these numbers:
    からはじまる注意書きがあります。要約としては
    • 2001年8月以降は記録していない
    • Windowsと他のOSの数え方は異なっている
    • 脆弱性の数は単純に合算しただけ
    で、この結果を何かの比較に使うのは適切ではない。

    としているようです。
    参考:セキュリティホールmemo ML[memo:2858] Re: Windows More Secure Than Linux [ryukoku.ac.jp]

    • Re:SecurityFocusの注意書き (スコア:3, 参考になる)

      by k3c (4386) on 2002年02月05日 15時32分 (#60066) ホームページ 日記
      2番目についてちょっと補足しておくと、LinuxやBSDについては、その配布形態の特徴から、アプリケーションについてもサブコンポーネント的に脆弱性データベースにおいて両者が同一に扱われることが多い。一方、WindowsではExplorerなどサブコンポーネント的なものもアプリケーションとしてOSとは独立して数えられている（つまりこの統計には含まれていない）ものが多い。ということらしいです。

      なので、元タレコミの
      「OSと不可分」であるはずのIE(含Outlook Express)のバグは当然Windowsバグの件数に含まれているんでしょうね
      という質問に対する答えは（タブン）NOです。
      シェア
      親コメント
      • つまり Linux や BSD では、Apache や BIND や sendmail 等のバグも一緒に数えられてしかも異なるディストリビューションで出たバグは合算される可能性があるけれど、Windows は OS の一部である IE も数えない可能性があると言うことですかね。

        それって情報としてもはや意味を持たないような。
        シェア
        親コメント

    • Re:SecurityFocusの注意書き (スコア:2, おもしろおかしい)

      by Hebikuzure (489) on 2002年02月05日 16時45分 (#60082) ホームページ 日記
      要するに、ここの「国民投票」と大差ないのだな(^^; [srad.jp]
      シェア
      親コメント

  • 追跡調査求 (スコア:4, すばらしい洞察)

    by deepsix (2374) on 2002年02月05日 15時29分 (#60062) 日記
    で、それらのセキュリティ(バグ|仕様)のうちで望ましい(修正|仕様変更)が施された件数はどれぐらいなんでしょうか？実はその数値がセキュリティ強度だと思うけど。

    バグがないものは作れないし
    バグの対応は難しい
    さらにパッチの適用はもっと難しい

    これらを含めてどう対処「できたか」が勝負でしょ？
    --
    職業としてのプログラマ

  • そりゃあ (スコア:3, すばらしい洞察)

    by yasushi (789) on 2002年02月05日 15時09分 (#60048)
    バグじゃなくて仕様だからでしょ

  • 安全とは？ (スコア:2, おもしろおかしい)

    by a Coward (5383) on 2002年02月05日 15時24分 (#60057) ホームページ
    この記事どおりだとすると、Linuxで作られた防火壁に守られて、
    Windowsを安心して使っている自分は、アホということなので
    しょうか？（いやそうではないと思う）

    • 危険とは？ (スコア:1)

      by benjo-kohrogi (5193) on 2002年02月05日 16時00分 (#60071)
      落とし穴に落っこちる理由を分けると、
      • 落とし穴が見えていない。
      • 落とし穴と知りつつ落ちる。
      普通は前者でしょう。ただ後者は思いっきり笑われること請け合い。
      シェア
      親コメント

    • Re:安全とは？ (スコア:1)

      by Ying (4319) on 2002年02月05日 17時37分 (#60096)
      Linuxだから安全だと思ってるようなら立派なアホでは？
      OSがなんであれキチンとメンテナンスされてなければ同じですよね。
      ま、どっちがメンテナンスしやすいかと言われればってのはありますが。
      シェア
      親コメント
      • >OSがなんであれキチンとメンテナンスされてなければ同じですよね。

        　きちんとメンテナンスしているということが
        前提じゃないと、この話は論外でしょう。

        　とはいっても、パッチが公表されるときにその
        脆弱性を知るということが殆どですけど。
        シェア
        親コメント

  • 「バグ」って一括りに言われてもねぇ (スコア:2, 興味深い)

    by kimura (2954) on 2002年02月05日 15時27分 (#60059)
    元ネタ読まずに書いてるんで間違ってたら申し訳ないけど....

    バグの数で比較するってどうなの?確実に再現できる致命的なバグから，再現性も無くてめったに遭遇しない超マイナーなバグまであるし，「システムへのダメージは無いけど，今までは100%のパフォーマンスが発揮されてませんでした」的なバグだってあるわけじゃない?
    俺の印象では，MSのバグはほぼ確実にクリティカルヒットをかましてくれる，っていうイメージなんだけど，それを数だけで比較するっていうのは意味あるのかなぁ．
    • >俺の印象では，MSのバグはほぼ確実にクリティカルヒットをかましてくれる，っていうイメージなんだけど，

      それはクリティカルでないものは仕様扱いされてしまっているからでしょう。(笑)

      >それを数だけで比較するっていうのは意味あるのかなぁ．

      「第三者がバグレポートの中身を同一基準で精査した結果」
      だったら意味があるかもしれないですが

      それぞれの基準で公表された数字をまとめただけでは
      自分もたいした意味はないと思います。
      シェア
      親コメント

  • んじゃー (スコア:2, 興味深い)

    by Kow (2603) on 2002年02月06日 10時57分 (#60299) ホームページ 日記
    LindowsはWindowsのバグと、Linux系OSのバグを足した数になるのか(違)。
  • このデータだけじゃあ、 [数が少なくでてる OS のがなんぼかマシ] レベルの話しか出来ない。
    それにクリティカルなものが Windows2000 にはよく見られるから、
    ・この数字のうち、管理者権限取れちゃうものの数
    とかも出してもらわないと、判断をするためのデータとしては役不足だろうね。

    [単に出してみただけなんであんまり信用するなよー]って書いてあるし、 OS バグとして含めてないものもある、みたいな注意書きもあるっぽいし、あんまりシリアスに考えちゃいけないっぽい。
    ぼけーっと眺めてるだけなら面白いけど。 RedHat と Mandrake おおいねえ....

  • 発見数はともかく (スコア:1)

    by uxi (5376) on 2002年02月05日 15時25分 (#60058)
    MacOS X Server における発見数なんかを見てると
    単にユーザー数が少ないから見つかってないだけ
    って穴もたくさんありそうなので
    むしろ潰されずに放置されてる期間のほうに興味あるかも、、、
    # なぜそういう観点がないのだろう、、、＞元ネタのサイト
    --
    uxi

    • Re:発見数はともかく (スコア:2, 興味深い)

      by f6_6m (6762) on 2002年02月06日 1時01分 (#60228)
      >MacOS X Server における発見数なんかを見てると

      MacOSXServer1.x ですよね？
      コレなんかはじめからメーカ側にサポートされてるとは思えないです
      （無保証もココまで行くと大問題ですね、お金払って買ってるのに）。
      ユーザランドはほとんどFreeBSD3.x のまま放置（ぉぃ。
      …ってことは栄えあるバグ最多OS ＆放置期間最長OS はコレで決まりでしょう。

      こういった体質は本来非難されるべきですが利用者が少ないおかげ（笑）
      と、スキで使ってる人のおかげ（自爆）
      でM$ のそれと比べると非難を浴びないで済んでますよね（笑）。

      # それとも、Apple な人って、セキュリティの概念が無いのか？？
      # いまだにMacOSXServer1.x をグローバルIP に晒してる人は勇者です。
      シェア
      親コメント

  • 何のために？ (スコア:1)

    by tada (5086) on 2002年02月05日 15時30分 (#60063)
    この統計は何を意味しているのかさっぱり分かりません。
    例えば、
    Slackware 10
    Solaris 33
    Windows NT/2k 42
    RedHat 54
    この順位から何が分かるのでしょう？
    統計というか、単なるデータですねこれは。

    • 数が多い方が逆に「セキュリティ情報に常に目を光らせて対策しているので安心できる」という見方もできますね．

      それより気になるのは Slackware と RedHat の数の違い． 単にディストロに含まれるパッケージの数によるのか，どうなのか．

      シェア
      親コメント

    • Re:何のために？ (スコア:1)

      by yosshy (3545) on 2002年02月05日 23時22分 (#60193) 日記
      積極的に情報公開すれば数は増えるわな。
      シェア
      親コメント

    • Re:何のために？ (スコア:0)

      by Anonymous Coward
      MacOS X Serverは"0"ですね。
      一番安全なのはMacOS X Serverということでよいですか？:p

      • Re:何のために？ (スコア:3, 興味深い)

        by RED COMET (3816) on 2002年02月05日 19時37分 (#60127) ホームページ
        AMIGAにも、Webサーバはあるけれど名前も出てこない。
        もしかして、セキュリティレベルが他を超越しているとか！？

        実際の話、マイノリティというセキュリティ(？)は結構強いですよね。
        超漢字なんかもいいのかもしれない。
        --
        AMIGA4000T(60/50)使い
        シェア
        親コメント

        • Re:何のために？ (スコア:1)

          by G7 (3009) on 2002年02月06日 1時20分 (#60234)
          >マイノリティというセキュリティ(？)は結構強いですよね。

          これを読んだとき、たまたま近くにあった、別スレッド(?)の、

          (yosshyさん)
          >積極的に情報公開すれば数は増えるわな。

          が、まさに返事として機能しているなあ、とか思ってしまった…

          つまりサーバーとして元気に活動すればするほど
          そのマイナー環境はマイナーでなくなりセキュリティが低下するという(笑)
          シェア
          親コメント

      • Re:何のために？ (スコア:1)

        by kicchy (4711) on 2002年02月05日 16時56分 (#60088)
        >> MacOS X Serverは"0"ですね。
        >> 一番安全なのはMacOS X Serverということでよいですか？:p

        よし！
        (まぁ導き出される結論はこんな風になるデータってことで)
        シェア
        親コメント
      • >MacOS X Serverは"0"ですね。
        >一番安全なのはMacOS X Serverということでよいですか？:p

        それをいうなら Connectiva なんか 5年連続ゼロです。

        って、それはそれで問題だろう > Connectiva (笑)
        シェア
        親コメント

  • 記事を読んだ (スコア:1)

    by WindKnight (1253) on 2002年02月05日 15時36分 (#60068) 日記
    よくわからん。

    Linux については、kernel だけでなく、ftpd や httpd なども含んだ数だとは思うけど、Windows に IIS や IE、OE が含まれているかどうかは読み取れない。

    で、それぞれの解消率はどれくらいなんだろう？

  • もしWindowsの方がbugが少ないなら、なぜわざわざbug出し期間を1ヶ月も設ける [srad.jp]必要があるんでしょうか?

  • 「何にも考えないで導入されたUnix」よりも
    「できる限りMS製ソフトウェアの数を絞ったNT/2000」の方が安全だ、
    ってことだろう。

    そりゃあそうだと思うよ。
    ただ、WinInfo のような記事の書き方で、
    そのように解釈してくれる読者がどれくらいいるかは知らんがね。
    --
    # mishimaは本田透先生を熱烈に応援しています
  • http://www.aik.co.jp/c-pro/atu/data/jiko1.html

    神奈川より大阪の方がハイタク交通交通事故件数が少ない(2000年)から
    大阪の方が安全なんだ。
    そういう問題じゃなかろうに・・・。
    上の事故でいうなら事故に対する死者数や様々なサンプルを以って
    判断すべきもんじゃろ。
    OS比較も重要度ってあるでしょうに。
    スペルミスのバグ修正とか:)

    チョウチンは勘弁ですね。
  • とは，言えるかもしれませんね。

    どちらがどの程度に安全かを，
    これらの結果は示していないかも知れませんが，
    それぞれを(できるできないは別にして)妥当な一つの基準で比較したとすれば，
    多少の優劣はあれ，決定的な差異はないかもしれないことを，
    示しているのかもしれないなあ，と思いました。

    例えば，機能というものだけを要素にした場合，のような，
    一件簡単に見える基準に基づいてでさえ，
    実は誰にも比較ができていない，
    ということなのかもしれないですね。
    --
    -- LightSpeed-J
  • たしかに絶対的な数がセキュリティに関連しているかもですけど、全体のコード量に対するバグの数で、コードのクォリティを考えたらそれぞれのOSはどんなもんでしょ。もちろん1つ1つのバグの質とか考え出したらきりがないので・・・

    たとえば4KBのDLLに１個バグが見つかったら、0.25KB-1みたいな・・・

    どちらにせよ、オーダーもほとんど変わらないし、どっちもどっちって気もしますけど。1と1000とかなら、断然安全って言えますけどね・・・

  • うーむ (スコア:1, 興味深い)

    by shikine (296) on 2002年02月06日 1時14分 (#60230) ホームページ 日記
    「ヘボいUnix管理者」と「バリバリのWin管理者」のどっちが安全かと言えばもちろん後者ですね。Linux/PC-Unixブームに乗じたような「にわか管理者」というのは最近あちこちにたくさんいるようですけど、これがWinのバグよりもずっと危険な存在らしいです。Unixの場合、安全なバージョンやソフトを選定して判断を下すという責任は主に管理者に重く存在するわけで、結局はバグ云々よりも管理者の資質いかんだと思いますがね。
    --
    他力本願。

    • Re:うーむ (スコア:1)

      by masaru (2119) on 2002年02月06日 3時12分 (#60258) ホームページ
      「ヘボいUnix管理者」と「バリバリのWin管理者」のどっちが安全かと言えばもちろん後者ですね。

      んー、でも「ヘボいユーザ」と「バリバリなユーザ」というのを 比較すると、Linux (というか Unix 全般) の方は どちらかと言う と それなりの知識というか意識を持って使っている人多いから ヘボいユーザみたいな人は少ないと言える。 それに対して Windows の方は、単に「パソコン使わなきゃ」みたいな 目的の場合があって、ヘボいユーザに相当するユーザなんていうのは 測定すれば数十パーセントぐらい出るんじゃないかなぁ。

      まぁそもそも、このネタに出されている数値っつーか それ は 「既知のセキュリティホールをどれだけ直したか」 という数値であり、それなりに意識しているユーザなら それなりにパッチ当てているんだろうけど、 先程の表現で言うところの ヘボいユーザは それほどパッチ を意識していないでパッチ適用していないと思うんだ。 ユーザの状況に合せたセキュリティ対策が行なわれているか どうかということを考えると、Windows のセキュリティホールの 数が少なかったからといって、Windows ユーザにとって安全な ソフトウェアであるとは言いがたい。

      「どれだけのセキュリティホールが存在したか」 というより 「どれだけの危険からどれだけの労力で回避できたか」 ということを議論した方が有益だと思うが。

      シェア
      親コメント

    • Re:うーむ (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2002年02月06日 11時12分 (#60305)
      > Linux/PC-Unixブームに乗じたような「にわか管理者」と
      > いうのは最近あちこちにたくさんいるようですけど、
      > これがWinのバグよりもずっと危険な存在らしいです。

      全く持ってその通りです。
      また、NT/2000/XP Server を Win95/98/Me 程度の感覚で
      運用してくれる、これまた困った「にわか管理者」も山の
      ようにいますです。
      まー、全ユーザに admin 権限あげたり、意味もなくアプリ
      入れまくったり(サーバになぜ Office を入れようとする!!)
      後始末する方のみにもなってほしいですな。

      ま、「管理」ってなーに? ってとこわかったなけりゃ、どんな
      いい道具使ってもダメなものはダメですわ。
      シェア
      親コメント

  • またぞろ (スコア:0)

    by Anonymous Coward on 2002年02月05日 15時29分 (#60061)
    FUDですか？

    せめてbug fixが揃うまでの平均時間を考慮して欲しい。
typodupeerror

犯人はmoriwaka -- Anonymous Coward