製品版に向けて改善されるVistaのネットワーク脆弱性

CNETの記事、「Vista」が抱えるアキレス腱--シマンテック、セキュリティ問題を指摘に書かれているように、シマンテックによりWindows Vistaのネットワークに関する脆弱性が報告されている。CNETの記事では報告書がリンクされていないようだが、Windows Vista Network Attack Surface Analysis: A Broad Overviewがそれだ。

これに対して、実はこの報告書が今出てきたのは、マイクロソフトに悪いことではないという意見がある。

Symantec Paper Validates Trustworthy Computing?

Many of the vulnerabilities identified in the earliest build reviewed were gone by the latest build. Despite Slashdot’s ominous title (and totally misleading blurb), I will say that this is a good story for Microsoft, not a bad one.

Why?

This is the kind of trend you want to see from your vendors. I say this not just because of trending, but this is also BETA software, which isn’t even scheduled to ship for 7 months. It demonstrates that they are doing active security reviews during their development lifecycle, and catching vulnerabilities before it ends up in consumer’s hands.

さらに、筆者は報告書に記載された脆弱性をスコア化し、ビルド毎にどのようにそのスコアが変化したかをグラフ化している。その結果が次のグラフだ。

脆弱性がベータ２ではわずか２つに減少していることがわかるであろう。さらにこの２つもgratuitous arpとsequential IP IDsだ。これらについて、筆者は"I could easily make an argument that these aren’t vulnerabilities at all, but even if I lost, I would win the ‘these are low risk vulnerabilities’ argument."（脆弱性とさえいえないかもしれない）としている。

私が書くと、中立的と判断されないかもしれないので、第三者の意見でも、このようなに言っているものもあるということで紹介しておく。