Sikkerheten må planlegges først

Sikkerheten må planlegges først

Microsoft har fått mye tyn for manglende sikkerhet i programvaren opp gjennom årene. Siden 2002 har de jobbet for å endre det.

Windows ble til i en tid hvor en pc var en personlig datamaskin og i liten grad snakket med andre maskiner. Virus, som for alvor dukket opp på DOS-baserte pc-er, smittet stort sett via disketter og piratkopierte programmer. Da pc-ene etter hvert havnet i nettverk, var det i vennligsinnede LAN, hvor sikkerheten i første rekke besto i å hindre at noen ufrivillig lagde krøll, som å slette feil filer og slikt.

Da internett etter hvert ble allemannseie, var Windows-baserte pc-er fortsatt ikke sikret bedre enn om de var tilkoblet et lokalnett med bare medarbeidere. Og det visste skurker og hobby-hackere å benytte seg av.

Masseangrep

Etter at Melissa hadde sveipet over tusenvis av pc-er i 1999, etter at «I love you»-viruset spredte seg til millioner av e-postkasser i 2000 og Code Red kravlet inn i titusener av Windows-servere i 2001 var kritikken mot Microsoft om manglende sikkerhet enorm. Og den gikk ikke upåaktet hen.

Høsten 2001 intervjuet undertegnede Microsoft-sjef Steve Ballmer og spurte om nettopp dette. Han svarte:

– Det er ingen tvil om at vi har hatt våre problemer. Nimda er et eksempel på det. Men la det være klart: Sikkerhet er vår første prioritet. Jeg har gitt ordre til at vi i Microsoft skal legge «the pedal to the metal» når det gjelder sikkerhet. Om du sier vi har kjørt i 120 km/t hittil, er vi nå i 160 når det gjelder utvikling av løsninger for sikkerhet.

LES OGSÅ: IBM vil finne feilene

Full stopp

Dette bekrefter nå i ettertid Steve Lipner, som er leder av Microsofts Security Engineering Strategy og dermed legger føringene for all programvareutvikling i Microsoft.

– I 2002 ble all utvikling av Windows stoppet hos Microsoft. Alt fokus ble satt inn på sikkerhet og hele tankegangen og måten å jobbe på ble snudd. Sikkerhet ble første, andre og tredje prioritet. Deretter funksjonalitet, sier Lipner til Nettverk & Kommunikasjon.

Lipner er ansvarlig for Security Development Model (SDL), som er modellen all programvareutvikling i Microsoft nå følger, og har mer enn 35 år bak seg som forsker og leder innen it-sikkerhet.

Etter å ha snudd sikkerhetstenkingen i Microsoft mer eller mindre på hodet, var det første produktet som var utviklet med sikre metoder Windows Server 2003. Ifølge Lipner hadde den halvparten av sikkerhetsproblemene som forgjengeren. Bedre, men ikke bra nok.

Færre feil

– Med SQL Server 2000 SP3 ble det mye bedre. Den hadde frem til 2003 16 svakheter som ble rettet opp, og siden har det blitt funnet én svakhet i året. Det er ikke så galt, sier Lipner.

Han forteller at et utviklingsteam hos Microsoft hadde utviklet et produkt med hvor en komponent hadde 20 svakheter ved første gjennomgang. De fikk beskjed om å fjerne komponenten eller vise at den kunne fikses. Det endte med at de måtte redesigne.

– Vi endret måten å tenke på når det gjelder folk, prosesser og teknologi. Menneskene må delta på årlige kurs, måten å utvikle på er endret til å planlegge sikkerheten først og vi har tatt i bruk verktøy for testing og måling. Dette er en dyrere måte å jobbe på, men det er fryktelig mye dyrere å få smellen i etterkant. Ikke bare økonomisk, sier Lipner.