קוד סגור ופרצות אבטחה
לאחרונה התפרסמו נתונים שכמות פרצות האבטחה בתוכנת acrobat reader עולה על אלו של Microsoft word.
ליתר דיוק כמות הקבצים העושים שימוש בפרצות אבטחה של acrobat reader גדולה מאלו המנצלים פרצות של word.
האם זה אומר שמתכנתי אדובי לא יודעים לכתוב קוד בטוח?
לדעתי לא. בדיוק כמו שלא נכון לומר שמתכנתי מיקרוסופט לא יודעים לכתוב קוד בטוח.
מדוע עם כן יש כל כך הרבה פרצות אבטחה בתוכנות האלו?
לדעתי התשובה היא: מאחר שהן תוכנות קנייניות בקוד סגור!
מה בדיוק הקשר?
הקשר הוא פשוט. התוכנה סגורה, גישה לקוד המקור יש רק לחברה אחת וגם שם רק לחלק מהאנשים. מה שאומר שמספר המתכנתים היכולים לתקן פרצה קטן יחסית. אותם מתכנתים מן הסתם עובדים כרגע על גרסה חדשה של התוכנה, או מוצר אחר של החברה.
לבקש מהם לתקן באג או פרצת אבטחה בתוכנה, פירושו לקחת אותם מהעבודה שהם עובדים כרגע. מה שאומר שהתוכנה עליה הם עובדים כרגע תתעכב קצת.
למנהלי החברה זו בעיה, שהרי ההכנסות העתידיות של החברה תלויות לא בתוכנות הקיימות אלא באלו העתידיות. מה שאומר שתיקון פרצות אבטחה בעצם לא טוב לרווחי החברה.
לעומת זאת, מה קורה בקוד פתוח?
בקוד פתוח, כל אחד יכול לראות את קוד המקור ולתקן. כך יש בעצם פוטנציאל אינסופי של מתכנתים שיכולים לתקן את הבאגים.
זה לא שבקוד פתוח אין פרצות אבטחה. יש פרצות ולדעתי בכמות דומה. ההבדל הוא שפרצות האבטחה מתוקנות מהר יותר.
בדרך כלל פרויקטי קוד פתוח אינם מתביישים להודות בבאגים ו\או פרצות אבטחה. ברגע שמודיעים להם על באג או פרצת אבטחה, הם מודים למוצא ומתקנים בהקדם.
חברות קוד סגור כנראה מהסיבות שפורטו לעיל ומסיבות מסחריות נוספות, בדרך כלל גם לא יודו בקיומו של באג או פרצת אבטחה. כתבתי על כך גם בפוסט קודם בבלוג זה, כיצד חברת National Instruments לא הודתה בבאג שלה וגרמה לי לעשות מעקפים בתוכנה כדי לבצע את המשימה שלי.
מדיניות הכחשת הבאגים היא מדיניות רווחת בקרב חברות קוד סגור.
).