ftofficer|张聪的blog

Operating System Vulnerability Scorecard

一个很有趣的操作系统的安全漏洞的统计结果。

先把作者的结果转载过来：

操作系统的所有组件（包括所有和操作系统一起发布的组件）的漏洞统计，四张图，分成客户端操作系统和服务器操作系统，以及最近一年和最近三个月的分布：

剔除了Linux当中和GUI, X11, Gnome, KDE相关，firefox和所有可选的客户端应用程序组件，仅保留作为Web服务器或者其他常见服务器角色的组件；Windows仍然保留所有随操作系统发布的组件。这种统计方法下面得到的漏洞统计，也是四张图，分成客户端操作系统和服务器操作系统，以及最近一年和最近三个月的分布：

结果很有意思。Windows的漏洞比Linux要少得多，即使是在第二种看起来不怎么公平的评价体系下面。（考虑到作者本人是Microsoft的人，而且帖子发在TechNet上面，权且认为这种结果是有意发布出来了 🙂 ，anyway，这个结果应该还是可信的），单纯从这个角度上来说，似乎Windows比Linux要安全一些。

但是请暂时不要被这种思想所左右：如果考虑到Windows的源代码封闭而Linux源代码开放的事实，就比较容易理解为什么Linux的漏洞反而比Windows得多：这个统计表所表达的是“发现并且修复”的漏洞数目分布，修复在手边有源代码的情况下其实并不难，关键是“发现”，显而易见，开放源码的Linux及其组件，更容易被人读懂，也更容易找出漏洞。

按照通常的软件生命周期，看起来Windows XP和Server 2003已经进入了一个产品的稳定期，漏洞数目逐渐稳定。而Vista应该因为上市时间比较短，还没有足够的时间来出现更多的漏洞，接下来的几个月到半年应该是Vista的漏洞多发的时期。而Linux长期以来一直保持着很高的漏洞发现率，这个和Linux长年的锐意创新可能有些关系，而且开源社区的人们喜欢重写代码——这样一来就很容易把原本修复的问题重新暴露出来，也许这也是Linux的漏洞长期比较高的原因。

Anyway，这是一个很有意思的统计结果。