[spoiler]Тем не менее, вопрос важный и разобраться с ним хочется. Поэтому я нашёл в "Фейсбуке" соответствующую тему, выбрал там значимые, на мой взгляд, утверждения противников СПО и попробовал их прокомментировать. Разумеется, мои комментарии — ни в коем случае не истина в последней инстанции, а приглашение к обсуждению.
| Microsoft не скрывает исходного кода своих программ. В 2002 году Россия стала первой страной, с которой корпорация подписала соглашение Government Security Program о доступе к исходным кодам. А в 2003 году на базе НТЦ «Атлас» организована специальная лаборатория по исследованию исходных кодов продукции Microsoft. |
В 2003 году начали, а в августе 2007 года внезапно обнаружилось, что исследователи почему-то не заметили, что Windows может обновляться без ведома пользователей. Или не сочли эту особенность опасностью, что уж совершенно невероятно.
А теперь давайте посмотрим на Government Security Program с позиции практики. Поскольку НТЦ «Атлас» – предприятие государственное, то получается, что за счёт бюджета производится по сути тестирование продукции компании США. Причём, особого смысла в нём нет по нескольким причинам.
Во-первых, обновления системы российские пользователи получают практически одновременно со всеми остальными. И совершенно непонятно, когда специалисты «Атласа» успевают их проверить.
Во-вторых, поскольку обновления производятся не с серверов самого «Атласа», то где гарантия, что проверенный пакет не будет впоследствии заменён другим. А поскольку система Windows, как нам уже известно, может быть обновлена без ведома пользователя, то никакая безопасность тут и рядом не лежала.
В-третьих, тщательный анализ кода требует примерно столько же ресурсов, сколько и его написание. Получается, что на реализацию даже условно работающей схемы России потребуется создавать огромную организацию, результат работы которой может быть сведён к нулю достаточно простыми действиями корпорации. Также необходимо заметить, что даже при сравнимых расходах никаких прав на код Windows Россия не получит.
| Гарантия безопасности – вовсе не открытый код, а методики раннего предупреждение дефектов кода. Например, SDL (Security Development Lifecycle) методика разработки безопасных программ, применяемая на Microsoft уже восемь лет. |
Строго говоря, Security Development Lifecycle к безопасности вообще не имеет прямого отношения. Это обычная система контроля качества, функции которой вполне вписываются в регламенты ОТК.
Причём, внутреннего ОТК, что особенно важно. То есть, о безопасности продукции Microsoft мы знаем со слов представителей самой Microsoft. Дальше можно уже ничего не обсуждать – все сказанные слова будут пустым звуком.
Разве что можно потеоретизировать о значении системы контроля качества в системе безопасности. Разумеется, оно значительно выше нуля, но переоценивать её тоже не стоит. Даже неисправность в оружии может быть вызвана не диверсией, а элементарным техническим браком из-за чьей-то невнимательности. Оргвыводы, конечно, сделать надо, но раздувать из мухи слона не следует.
| Сторонники СПО почему-то забывают о том, что в ядре Linux примерно столько же уязвимостей, как во всей Windows XP, включая интегрированные в неё приложения и сервисы. Как ни крути, но СПО – лидер по уязвимостям. |
Уязвимости сами по себе мало о чём говорят. Допустим, есть две дороги. На одной – десять открытых и заметных ям. На другой — всего одна, но замаскированная. Какая дорога безопасней?
К тому же, следует учитывать, что безопасность всей системы, безусловно, определяется безопасностью её составляющих, но значительно сложнее, чем арифметическим сложением. Практика показывает, что при всех своих уязвимостях, Linux-система всё таки не обновляется без согласия пользователя. А практика, как известно, критерий истины.
| Сторонники СПО постоянно говорят о том, что хоть уязвимостей в СПО больше, зато исправляются они быстрее. Забывая при этом, что большинство людей всё-таки выберут тот автомобиль, который не ломается, а не тот, который быстро чинится. |
Возможно, но выбор большинства определяется не безопасностью, а удобством. Обратите внимание, что и на этот раз имеет место банальная подмена понятий – с тем же успехом синие джинсы можно считать безопасней оранжевых только потому, что их охотней покупают.
Кстати, а выберут ли пользователи автомобиль, если им честно рассказать, что в любую минуту кто-то может управлять ей дистанционно? Например, повернуть руль или нажать на газ.
| Спросите сторонников СПО о ресурсах, которые требуются для адекватного анализа чужого кода. И вы сразу поймёте, что ничего российские спошники не контролируют. Максимум – 10-15%. С точки зрения безопасности это практически не отличается от нуля, поскольку если вы не контролируете хотя бы 1%, то именно там будет опасный объект. |
Это правда. И эту правду сторонники СПО уже давно пытаются донести до людей, отвечающих за безопасность.
Правда заключается в том, что контроль над западным проприетарным ПО мы не получим никогда. Поэтому никаких вариантов, кроме СПО, у нас попросту нет.
Конечно, разработка полностью отечественной системы на базе свободного кода потребует серьёзных затрат. Но всё равно они будут значительно меньше, чем расходы на приобретение Microsoft или Apple и переноса центров разработки в Россию.
| Главный критерий – практика. Уже сколько лет говориться о том, что вот этот год уже точно будет годом Linux, но пользователи «голосуют ногами» и явно не за СПО. Наверное, в том числе и потому, что понимают какой именно продукт безопасней. |
Вряд ли. Вот только один пример «свободного выбора».
Аналогичных фактов очень много. И говорить о свободном выборе никаких оснований нет.
| Так почему же фактически западное СПО безопасней фактически западного ППО? Ведь по сути два сапога пара – мы не контролируем ни того, ни другого. |
СПО безопасней тем, что при наличии политической воли государства через некоторое время оно может перестать быть фактически западным. Практика, кстати, это подтверждает. Практически без всякой поддержки со стороны государства наши компании уже контролируют некоторую (разумеется, небольшую) часть кода Linux.
| Ну всё-таки ИБ – это не такие глобальные вещи, а обычная защита системы от всяких хакеров и прочих злоумышленников. Может быть всё-таки вернёмся с небес на землю и поговорим о более прозаических и практически важных вещах. |
В чём заключается деятельность хакеров и прочих злоумышленников? В том, чтобы управлять системой независимо от воли её владельца. По сути – отнять у пользователя часть прав.
А какие права отнимать у пользователя западного ППО, если он даже не может контролировать обновление собственной системы? Управление ей уже давно перехвачено, причём не какой-то шпаной, а крупнейшей в мире софтверной корпорацией.
