Dopo un po' di attesa finalmente è stato rilasciato il famoso report del collega Jeff Jones che opera il confronto tra le vulnerabilità di Windows Vista e quelle di altri sistemi operativi client paragonabili, prendendo questa volta in considerazione il primo anno di vita dei prodotti presi in esame. Una certa ansia per l'attesa era comprensibile: sulle due versioni precedenti dello stesso report, quello dei primi 90 giorni (qui il mio post), e quello dei primi 6 mesi (ed il relativo  mio post), su questo stesso mio security blog ho visto scatenarsi i confronti più accesi e animati di un intero anno di blogging.

Iniziamo con il dire che alcuni detrattori di Windows Vista per partito preso, speravano che l'analisi ad un anno ribaltasse i risultati precedenti, un po' alla stregua di quanto avviene durante le elezioni politiche, dove si spera che i risultati dello spoglio siano diversi dagli exit-poll (spiego il parallelo che sembra forse un cavolo a merenda: mentre vi scrivo vedo con la coda dell'occhio i politici che se le danno a Porta-a-Porta in attesa del voto di fiducia al Senato di domani...): questo "ribaltone" non è avvenuto e in estrema sintesi si può dire che Windows Vista esce ancora una volta vincente nel confronto sulle vulnerabilità rispetto agli altri sistemi operativi scelti per il paragone (che vi ricordo sono Windows XP, Red Hat Ent. Linux 4 Wks, Ubuntu 6.06 LTS, Apple Mac OS X 10.4). Il risultato, inoltre, è anche più significativo se pensiamo che il numero di vulnerabilità totali cresce negli anni (dato confermato dall'ultimo Microsoft Security Intelligence Report) grazie all'evidente evoluzione dell'ecosistema di ricerca delle vulnerabilità: oggi ci sono più ricercatori, più strumenti automatici e più metodi per trovarle. Ancora una volta i numeri parlano da soli e i grafici rendono anche meglio il concetto, eccovi quindi il confronto in casa Microsoft, Windows XP rispetto a Windows Vista:

... e a seguire il confronto fuori casa Microsoft, Windows Vista contro tutti:

Il report merita davvero la vostra lettura (e mi riferisco in particolare a tutti coloro che hanno provato a polemizzare su questo tipo di analisi) perché Jeff Jones, proprio per rispondere elegantemente a queste critiche ci ha tenuto a puntualizzare alcune considerazioni importanti: visto che le condivido appieno ve le riporto in breve:

Nessuno ha mai preteso di far passare per dogma la seguente equivalenza: Vista ha meno vulnerabilità di tutti = Vista è più sicuro di tutti. La sicurezza è aspetto ben più complesso da valutare e questa singola metrica ovviamente da sola non basta allo scopo. Sarebbe però anche ottuso negare quale enorme peso abbia il numero delle vulnerabilità nel livello di rischio a cui è esposto un dato sistema operativo.

Il report poi propone una nuova interessante analisi che mostra come siano distribuiti nel corso dell'anno i cosiddetti patch event: documentando le varie occasioni in cui gli amministratori dei sistemi sono stati chiamati ad una operazione di aggiornamento per provvedere all'installazione di una security patch, si è in grado di dimostrare anche in questo caso un evidente vantaggio di Windows Vista rispetto a tutti, come sistema operativo che ha ridotto in modo significativo l'impegno amministrativo sui sistemi.

Per coloro che poi non trovano altro modo di sminuire questa analisi se non contestare questa metrica sul numero di vulnerabilità indicando come più significativa quella dei cosiddetti Days-Of-Risks (i giorni di esposizione al rischio, da quando si conosce la vulnerabilità in modo pubblico a quando si rende disponibile una patch correttiva), il buon Jeff Jones promette di ritornare appena possibile con un'analisi in tal senso... alla prossima!