Je schrijft:
[quote]Feitelijk zijn de cijfers correct, maar voer voor heel veel discussie.[/quote]
Dit kun je op geen enkele manier aantonen, en er zijn hele sterke aanwijzingen dat dit niet eht geval is, blijkbaar heb je de reacties niet gelezen
U bent nu hier: Home Blog Onveilig RedHat zuigt …
Onveilig RedHat zuigt …
Onveilig RedHat zuigt … helemaal niet, Microsoft ook niet en Apple helemaal niet. Na alle emotionele debatten en de directe vragen aan mijn adres deel ik met liefde wat over de Bug-Counter-Affaire.De afgelopen week ben ik in London bij de RSA-conferentie geweest. Een boeiende bijeenkomst waar ik veel leuke verhalen heb opgeduikeld. Ook Microsoft heeft zich aangeboden voor een interview en met veel passen en meten kwam het in het schema.
Het bedrijf vertelde iets, waarover ik binnenkort ga berichten als ik de checks heb gedaan. Daarnaast was er dit uiterst doortastende onderzoek. De stelling van Microsoft, juist jaren verguisd op het gebied van de lekken, is nu dat ze het beter doen en ze onderbouwen dat met cijfers. Feitelijk zijn de cijfers correct, maar voer voor heel veel discussie. Die twijfel uit de expert aan het einde van mijn eerste artikel ook. Dat mag het bedrijf best roepen, zeker in een omgeving waarin ze uiterst kritisch bejegend worden.
Kloppende cijfers?
De vraag is alleen of cijfers veel zeggen. De truc is alleen welke cijfers je in ogenschouw neemt en welke niet. Welke meetlat gebruik je en daar gaat de discussie om. RedHat weerlegt de feiten met eigen cijfers, die een andere taal spreken. Dat gebeurt vaker. Onderzoeken in opdracht van Microsoft naar de TCO van Windows versus Linux pakten altijd fundamenteel anders uit dan die RedHat liet uitvoeren.
De crux was bij het kostendebat steevast rommelen met de afschrijftijd van een migratie. Zeg maar een rekbare meetlat met grote, zeer grote consequenties. Anti-virusbedrijven ruziën al jaren over de juiste meetlat om aan te tonen dat hun product het minst ineffectief is. Nu is het debat: wat is een lek, wanneer is iets kritiek, wanneer begin je te meten, welke software tel je mee en welke niet.
Geen winnaar
Mijn mening in dit hele debat? De cijfers van Microsoft representeren de werkelijkheid niet volledig, maar ik zie wel dat het bedrijf fors beter scoort op beveiliging dan eerder. Vista is een stuk minder kwetsbaar dan eerdere versies van het besturingssysteem en dat is een flinke stap vooruit. RedHat heeft ook zijn problemen en laat soms om moverende redenen behoorlijke steken vallen.
Apple, leverancier van het platform dat ik naast Windows en Linux het meest gebruik, laat soms hele grote steken vallen. Soms weten we niet wat voor gaten ze dichten, bugreports zijn heel matig van kwaliteit (vroeger non-existent) en sommige zaken – zoals het DNS-lek van Kaminsky – worden laat gedicht en dan nog verkeerd ook. Kortom er is geen briljante partij en dus geen echte winnaar. Ik ben gecharmeerd van Unix-achtige systemen, maar ben ook daar kritisch naar. Linux-adepten moeten zich wel beveiligingsincidenten aantrekken dunkt me. Er is wel een verliezer: de gebruiker.
Wat betreft statistieken heb ik twee problemen: Om te beginnen vertegenwoordigen de werkelijkheid in een versimpelde weergave die nooit deugt. Daarnaast gaan ze altijd over het verleden en de toekomst verandert veel. In een podcast interview met professor Ian Angell wordt dat geweldig uitgelegd (moet je echt luisteren!).
Emotie
In de discussie wordt gevraagd wat ik voor hatemail heb gehad en dat zijn er precies twee. Ze stellen vast wat veel lezers en ikzelf al lang wisten, namelijk dat ik ondeskundig en een lul ben. Ik ben geschokt dat mensen mij continu aan die feiten moeten herinneren, juist op moment dat ik dat placht te vergeten. Daarnaast heb ik opmerkelijk veel telefoontjes gehad van vrienden en bekenden, die het debat als leuk hebben ervaren.
Wat betreft het vermeende geldschuiven van Microsoft richting Webwereld of mijn persoon: simpel ik ben niet bij de commercie betrokken. Boeit me niet. Microsoft heeft mij behalve Spa Blauw tijdens het interview (wat ik heb geweigerd omdat ik zelf koffie bij mij had) niets aangeboden. Geen geld, auto’s, reizen en zelfs niet – en dat neem ik ze wel kwalijk – geen mooie vrouwen.
Tijdens het gesprek met Microsoft heb ik gepodcast en ook RedHat komt in de volgende aflevering van De Beveiligingsupdate aan het woord. Dinsdag mag er weer een nieuwe discussie losbarsten als de episode online staat en reageren wordt dan onderdeel van een prijsvraag. Wie neemt dan smeergeld aan? De reageerder!
Ronald op 31-10-2008 om 21:46
Harrie op 31-10-2008 om 21:51
Ik hoop dat je in een volgend artikeltje wel controleerbaar cijfermateriaal hebt, want ik vindt het toch beneden peil dat een gerenommeerd journalist zich moet bedienen van vage bronnen die op geen enkele wijze controleerbaar zijn.
Dat is mijn grootste bezwaar wat betreft jouw artikeltjes, oppervlakkig, niet controleerbaar cijfermateriaal, en vooral, niet vermelden dat ze zijn gebaseerd op slecht materiaal.
Caesar Tjalbo op 31-10-2008 om 22:59
Geeft niks joh, de wereld is vol van de ondeskundige lullen en we hebben onszelf nog steeds niet opgeblazen. Maar wat ik zeggen wilde: Ik vond de titel “RedHat: patchrapport Microsoft zit vol gaten” leuk gevonden.
Wat ik moet denken van
De cijfers van Microsoft representeren de werkelijkheid niet volledig, maar ik zie wel dat het bedrijf fors beter scoort op beveiliging dan eerder.
weet ik niet, inmiddels zal er wel het een en ander gedicht zijn en ‘t zou toch ook een gotspe zijn als het slechter was geworden.
ps. de “captcha” (rood), zou dat niet oranje moeten zijn?
Brenno de Winter op 01-11-2008 om 00:04
CVE-meldingen zijn controleerbaar materiaal. Of dat voldoende is, is een andere discussie.
pol528 op 01-11-2008 om 09:54
Zijn we (de reageerders) nu al helemaal van de pot geplukt?
Brenno is in principe de “messenger” die je niet beschiet. De cijfers voor zover MS die meld hoeft Brenno niet verifieerbaar aan te tonen, dat is namelijk het nieuws, MS meld het met die onderbouwing.
Het artikel geeft aan hoe MS zelf hier mee bezig is, of ze zichzelf zo goed voelen, bedreigd door de alternatieven of wat dan ook maakt voor de schrijver niet uit.
Dat men discuteert over de cijfers, de manier waarop ze tot stand komen, e.d. is leuk (althans behoort het te zijn), maar zoals cijfers.net aangeeft, regeren de motieven waarom dit zo gaat, de schrijver is degene die deze uitspraak van derden aan het publiek bekend maakt, hij/zij (journalisten in het algemeen) geven een mening van derden weer, pas als Brenno in dit geval cijfers had proberen te weerleggen of verifiëren doet hij inbreuk aan het nieuws feit en wordt partijdig genoemd. Ik ken Brenno persoonlijk niet, een mening over iemand, waar ik allerlei soorten artikelen van lees en op n3rd heb mogen zien (waar is die overigens?), is niet iemand die ik mag of kan veroordelen, hij is bezig met zijn werk en daar is hij (naar mijn bescheiden mening) goed mee bezig, raakt het je als lezer in de verkeerde hoek, zit je waarschijnlijk op de verkeerde site of reageer je op het verkeerde nieuws, gevoelens zijn altijd een verkeerde leidraad maar kunnen wel je geluk verhogen.
Brenno de Winter op 01-11-2008 om 10:05
N3rd.TV is een stille dood gestorven
.
pol528 op 01-11-2008 om 10:29
N3rd.TV is een stille dood gestorven
.
Zonde en gecondoleerd.
Eerde op 01-11-2008 om 13:33
“Ze stellen vast wat veel lezers en ikzelf al lang wisten, namelijk dat ik ondeskundig en een lul ben.”
Jammer dat mensen niet ‘en plein publique’ durven te zeggen wat ze van je vinden. Als hatemail vind ik het achterbaks, laf en eigenlijk bizar.
Maar zie er de humor van in, het waren maar twee mensen die een poging deden je als persoon te omschrijven.
Tsja een ‘ondeskunge lul’, wat moet ik me daarbij nou voorstellen ?
Harrie op 01-11-2008 om 20:23
Brenno zegt:
“CVE-meldingen zijn controleerbaar materiaal. Of dat voldoende is, is een andere discussie.”
—-
Ik vind dat geen andere discussie, want een open source product zal meer vulnerabilities bekend maken dan een closed source product.
Microsoft publiveert alleen vulnerabilities die toch al buiten het bedrijf bekend waren.
Linux distro’s publiceren alles, inclusief de source code.
Het is ook niet aan jou dat ik dit uitleg, want jij weet dat best wel.
Het is, vind ik, een vervelende zaak dat jij juist deze kracht van open source inzet tegen open source, door dit in het geheel niet te vermelden in een artikeltje gebaseerd op het drijfzand van Jeff Jones.
Ruud de Jonge is een grote fan van Jeff Jones, heeft hij jou op het spoor gezet? Zou me niet verwonderen.
Vervelend vind ik ook dat jij tot op dit moment, ondanks massieve en goed kritiek, geen kruimel toegeeft, maar ons, daarvoor in plaats, trakteert op volkomen irrelevante mededelingen zoals wat je drinkt bij MS en of je zelf je koffie meeneemt.
sed op 02-11-2008 om 00:57
Prima benadering en leuk stimulerend artikel. Dat de discussie hoog oploopt zegt genoeg over de wat diepgaande betrokkenheid van sommigen.
Het is maar een OS
Harrie op 02-11-2008 om 01:25
SED:
“Het is maar een OS”
Als ik zo de discussies lees ben jij wel een van die mensen die zich ontzettend opwinden over OSsen.
Brenno de Winter op 02-11-2008 om 02:20
@Harrie: kritiek in de vorm dat ik omgekocht ben? Wat de cijfers betreft: Je bevestigt mijn punt dat cijfers uiterst bediscussieerbaar zijn. Het is geen ‘spoor’ dat ik volg, maar MS treedt naar buiten. Dat het massaal wordt verworpen says it all hoe serieus MS nemen. Maar het feit dat de onderneming nu roept dat ze ongelofelijk goed zijn, blijft nieuws. Ik laat een analist aan het woord in dat artikel die twijfelt aan de correctheid. Een dag later komt RedHat. Wat wil je meer?
Harrie op 02-11-2008 om 10:33
“kritiek in de vorm dat ik omgekocht ben?”
Omkopen is een groot woord, klinkt alsof je beëdigd getuige bent. Het gebeurt heel vaak dat journalisten klakkeloos persberichten van multinationals overschrijven, ze verdienen daar hun brood mee.
Om dat nou omkopen te noemen? Daarmee zet je het te zwaar aan.
“Ik laat een analist aan het woord in dat artikel die twijfelt aan de correctheid. Een dag later komt RedHat.”
Ik, persoonlijk had liever gezien dat je een kritisch artikel over de cijfers van Microsoft had geschreven, want die cijfers verdienen zeker kritiek. Die korte relativeringen in jouw artikeltje vind ik, persoonlijk, beslist onvoldoende. Daarmee doe je geen recht aan de grote hoeveelheid onzin die je daarvoor publiceert.
Decimeterpaaltje op 02-11-2008 om 19:59
Ik snap de hele ophef over die artikelen niet. Het is toch godver de normaalste zaak van de wereld dat een journalist nieuws weergeeft. Als MS met een rapport komt dan wordt dat als nieuws gezien. Dat is echt niet alleen op WW gemeldt. En dan een dag later wordt het nieuws van de concurrent weergegeven. WTF is het probleem nou. Die hatemail zal wel door niet MS aanhangers gestuurd zijn. Ik vraag me af of Brenno na het artikel over Redhat ook hatemail gekreen heeft? Ik denk het niet. Het zal wel aan die overhitte ****** liggen die niet kunnen hebben dat hun distrootje niet zo grootschalig gebruikt wordt als het wereldmarktleidende Windows. Echt zielig om dan zo jezelf te laten kennen op een IT-site. En dan OOK nog de pot verwijten dat ie zwart ziet door sommige lui als SED, hAL en weet ik veel weg te zetten als trollen. Mijn achting voor deze distroridders is zeker ver te zoeken na dit weekend.
Decimeterpaaltje op 02-11-2008 om 20:02
@ harrie,
Het is niet aan de journalist om kritiek op nieuwsberichten te geven. Dan wordt een journalist objectief en dat komt het journaille helemaal niet ten goede. Je geeft het nieuws subjectief weer. Als je kritiek wil zien dan moet je je aanmelden op een anti MS blog en niet op een IT – NIEUWS SITE.
Harrie op 02-11-2008 om 21:05
Nieuws-interpretatie is ook nieuws. ik zie graag nieuws geïnterpreteerd door iemand met kennis van zaken. Als jij dat anders vind, moet jij dat weten, maar jij kunt niet aan mij opleggen wat ik moet vinden, dus enige bescheidenheid zou je sieren.
En als een interpretatie anti MS is, moeten we daar niet bang voor zijn, maar goed, tegen wie zeg ik dat, misschien moet jij wel naar een pro-MS blog. Of is dat ent zo’n onzin als jij zegt.
Harrie op 02-11-2008 om 21:06
“Die hatemail zal wel door niet MS aanhangers gestuurd zijn.”
Nee, alleen anti-MSsers doen dat soort dingen, moet ik je verder ook nog serieus nemen?
Doe toch normaal man
Decimeterpaaltje op 02-11-2008 om 23:09
Hey Harrie, moet ik jou wel serieus nemen dan? “Nee, alleen anti-MSsers doen dat soort dingen” Dat zeg ik niet, wel op blijven letten Harrie. Het ging over deze 2 artikelen. Of denk jij dat MS aanhangers, op een positief artikel voor MS, hatemail gaan schrijven? Laat me niet lachen. Ik heb Brenno ook niks horen zeggen over hatemail na zn Redhat artikel. Verder schrijft Harrie: “Vervelend vind ik ook dat jij tot op dit moment, ondanks massieve en goed kritiek, geen kruimel toegeeft, maar ons, daarvoor in plaats, trakteert op volkomen irrelevante mededelingen zoals wat je drinkt bij MS en of je zelf je koffie meeneemt.” en vervolgens zeg je: “maar jij kunt niet aan mij opleggen wat ik moet vinden” Ik leg jou helemaal niks op, maar jij wil blijkbaar wel de journalist je wil opleggen, want hij moet toegeven van jou dat je gelijk hebt. Neem jij jezelf wel serieus, Harrie? Proest.
Harrie op 03-11-2008 om 07:53
Ik wil hier geen flamewar, daar is het te belangrijk voor.
De wereld onderverdelen in MS en anti-MS aanhangers is kinderachtig en onjuist.
Harrie op 03-11-2008 om 07:56
“Ik leg jou helemaal niks op, maar jij wil blijkbaar wel de journalist je wil opleggen, want hij moet toegeven van jou dat je gelijk hebt. Neem jij jezelf wel serieus, Harrie? Proest.”
Als je uitgelachen bent, neem dan kennis van volgende:
Je kunt van mensen in een bepaalde functie bepaalde dingen verwachten. Brenno en ik staan functioneel niet op gelijke voet, van mij worden andere zaken verwacht.
Van een journalist die met autoriteit iets beweert verwacht ik een rectificatie als hij er naast zit, van jou (bijvoorbeeld) niet.
Brenno de Winter op 03-11-2008 om 20:01
@Harrie: rectificaties zijn voor onjuiste weergave van feiten, beledigingen of dingen waar je bij de rechter toe wordt gedwongen. Sorry dat gaat echt niet gebeuren. Dat ik met autoriteit schrijf klopt voor een aantal dossiers (inclusief deze). Ik trek alleen geen partij voor Microsoft, ik laat ze wel hun verhaal doen. Dat mag in Nederland. Ik heb geen indicatie dat Microsoft of RedHat naar de rechter stappen, ik heb niets gedaan en dus komt er geen rectificatie. Mail me gerust off list dan geef ik je mijn nummer en praten we erover: brenno@dewinter.com of je luistert morgen de podcast.
Harrie op 03-11-2008 om 21:47
rectificeren: verbeteren, zuiveren, weer goed maken, rechtzetten, herstellen, corrigeren
Rectificatie kan via een rechtbank worden afgedwongen, maar kan ook zonder gerechtelijke dwang plaatsvinden. Dus je eerste zin is niet correct. Maar goed, je hkit tegen dat woord aan, vandaar dat ik een aantal synoniemen heb neergezet, dan kun je daar een van kiezen.
Je zegt dat je Microsoft hun verhaal laat doen, maar dat blijkt niet uit de titel, en ook niet uit de samenvatting, bovenin het artikel, daarin wordt de conclusie verwoordt alsof het je eigen conclusie is.
Nergens trek je de cijfers in twijfel, je voegt er nog vergoeilijkend een statement van Microsoft aan toe, waarin Microsoft zelf in een retorische truc een kleine nuance aanbrengt. Deze retoriek dient om tegenstanders de wind uit te zeilen te nemen (zie je wel ze zijn zo kwaad nog niet)
Je zou met dezelfde zichtbaarheid als het gewraakte een artikel kunnen plaatsen waaruit blijkt dat de cijfers van Jeff Jones oncontroleerbaar zijn, en bestaan uit vulnerabilities die toch al buiten Microsoft bekend zijn. Daarnaast zou je hardop kunnen betwijfelen of honderd issues per jaar wel een realistisch getal kan zijn voor pakweg 200 miljoen regels code die Microsoft onderhoudt.
Al deze argumenten zijn in het forum al door meerdere mensen aangekaart.
Ik heb verder niet zo’n behoefte om dit offline te bespreken, want er zijn geen argumenten die ik niet online en publiekelijk zou kunnen bespreken.
Decimeterpaaltje op 03-11-2008 om 23:12
Jammer dat die handreiking van Brenno niet met twee handen wordt aangepakt. Nette zet van Brenno.
Harrie op 04-11-2008 om 00:39
“Nette zet van Brenno”
Ach ja, ik weet niet, waarom?
Het gaat niet om mij persoonlijk, het gaat niet om Brenno persoonlijk, het maakt helemaal niets uit of Brenno er met mij over praat.
Het gaat om een journalistiek issue, dat in het publieke vlak is ontstaan, en in het publieke vlak moet worden opgelost.
Dit is ook in het professionele belang van Brenno, niet het persoonlijke. Dit stukje hoort bij zijn gepubliceerde werk, het al altijd blijven bestaan. Hij heeft de mogelijkheid om het bij te sturen. Ik begrijp dat dat moeilijk is zonder gezichtsverlies. Het vereist een zeer zorgvuldige formulering. Dat zal ook de reden zijn waarom hij het liever in een persoonlijk contact bespreekt.
Maar ik zie wel dat een corrigerende publicatie niet zal gebeuren, en verder is het niet zo belangrijk. Niets wordt zo snel vergeten als zo’n niemendalletje over cijfers van Jeff Jones.
Dus laten we er maar over ophouden. Bedankt voor je interesse
Sjoerd op 04-11-2008 om 08:36
Nou lees ik toch elke dag de artikelen op ww en ik moet zeggen dat de irritiatie rond de reacties steeds meer toenemen. Wat is dat toch met die Linux vs MS discussie. Is dat zo langzamerhand niet enorm kinderachtig aan het worden? Het anti MS sentiment weet soms zelfs door te dringen in reacties op artikelen die niet eens over ms gaan.
En verder vraag ik mij af wat veel mensen hier doen overdag. Er onstaan enorme discussies waarbij ik mij afvraag of er niet gewoon gewerkt moet worden.
P.S. Ik werk zowel met MS en Linux en beiden doen hun werk.
Schwejk op 04-11-2008 om 08:57
“Het anti MS sentiment weet soms zelfs door te dringen in reacties op artikelen die niet eens over ms gaan.”
Er wordt vaak negatief gesproken over de mensen die deze anti-MS sentimenten uiten, ook jij doet dat.
Maar een belangrijke vraag wordt overgeslagen:
Hoe zou dat komen, dat dit gebeurt? Het is duidelijk een signaal. Wat doet MS verkeerd zodat dit soort gevoelens tot ontwikkeling komen?
Zou MS deze vraag ook overslaan, en daarmee het probleem niet oplossen?
Sjoerd op 04-11-2008 om 09:08
@Schweyk
Ik geloof nooit dat deze sentimenten ooit te doorbreken zijn. MS is een commercieel bedrijf wat geld wil verdienen. Linux komt voort uit een andere filosofie.
Maar veel praktischer ipv bashen is natuurlijk gewoon werken met de producten die je het beste bevallen en andere producten links laten liggen. Da’s veel productiever.
Misschien ben ik pragmatischer ingesteld en gebruik ik gewoon diverse producten met hun pro’s en cons ipv eindeloze discussies voeren die al teruggaan tot inmiddels 20(?) jaar terug.
Brenno de Winter op 04-11-2008 om 09:11
@Harrie: Dat is nou precies waarom ik verwijs naar Ian Angell’s interview dat ik had. Want maakt dat punt zo mooi. Garanties uit het verleden … we houden er over op.
. Maar voor nazorg kunnen we altijd bellen
.
wildplasser op 04-11-2008 om 12:39
Het is niet per se zo dat statistieken niet kloppen. Statistieken proberen een werkelijkheid te beschrijven. De bedrijfsprocessen van MS en RH zijn volkomen anders, en ze zijn dus niet met dezelfde statistieken te beschrijven. Microsoft (en andere commerciele softwareproducebten) hebben een volkomen geintrumenteerd bedrijfsproces, dat komt door de “management by the numbers” filosofie. Redhat is anders; het is in wezen een productie-proces volgens het bazar-model, maar de PHB’s hebben daar een laag van metrics en beancounters bovenop gelegd. En als je die twee gaat vergelijken … krijg je onzin.
Daarbij komt een totaal gebrek aan “ongekleurde” informatie; alle informatie is gekleurd, er zijn geen onafhankelijke bronnen. Behalve de eindgebruikers en consumenten, natuurlijk.
Harrie op 04-11-2008 om 15:07
Wildplasser, je hebt de essentie gemist.
Samengevat:
- Microsoft beheert honderden miljoen regels code, en kent slechts een issue per jaar, per 2 a 3 miljoen regels code, dit is volkomen onrealistisch
- Microsoft publiceert alleen problemen die ook buiten Microsoft bekend zijn, met andere woorden, intern ontdekte problemen worden niet in de statistiek opgenomen
Deze twee gegevens gecombineerd betekent
- dat Microsoft een veelvoud van het aantal issues heeft dan dat het bekend maakt
- dat ook met geen mogelijkheid te verifiëren valt hoe snel issues worden gerepareerd
Met andere woorden, het artikel van Brenno is gebouwd op drijfzand, en nu druk ik het vriendelijk uit.
wildplasser op 04-11-2008 om 16:13
Dat ontken ik toch niet?
Niet alleen Brenno’s verhaal, maar ieder verhaal is gebaseerd op drijfzand indien de definities ontbreken. Het is onduidelijk wat de getallen voorstellen en hoe ze totstand zijn gekomen; de kans dat je ze kan verifieren is dus gering. Laat: staan vergelijken.
Aantal fouten per KLOC is totaal zinloos als je de code en de wijze waarop de issues verwerkt worden niet kent.
Maar ik vrees dat jij eigenlijk hetzelfde bedoelt. Alleen weet je dat nog niet
Harrie op 04-11-2008 om 20:28
Maar ik vrees dat jij eigenlijk hetzelfde bedoelt. Alleen weet je dat nog niet
Dan zijn we het eens, mooi

