Oracle niet bezorgd over ‘foutenvoorsprong’

Oracle reageert lakoniek op een onderzoek waaruit blijkt dat zijn database-software aanmerkelijk meer fouten heeft dan het concurrerende SQL Server van Microsoft. Tussen december 2000 en november 2006 had de eerste 233 bugs en de tweede slechts 59.

Dit blijkt uit onderzoek door beveiligingsbedrijf Next Generation Security Limited (NGSS), die de in die periode ontdekte beveiligingsgaten bij elkaar heeft opgeteld. Overigens is NGSS in het verleden wel eens door Microsoft ingehuurd om de beveiliging van zijn producten te verbeteren. De getelde gaten, al dan niet gedicht, betreffen Oracle 8, 9 en 10g en SQL Server 7, 2000 en 2005.

Oracle verklaart dat alleen het aantal beveiligingsgaten niets zegt. Het beroept zich erop dat zijn software veel meer mogelijkheden en rijkere functionaliteit biedt, naast het feit dat het op meer platformen draait. Microsoft brengt zijn database-software alleen uit voor het eigen Windows. Dit zou een gedeeltelijke verklaring zijn voor het grotere aantal bugs in Oracle's software. De leverancier benadrukt dat het meten van beveiliging een complex proces is.

Onderzoeksbureau Burton Group is het in grote lijnen met Oracle eens. De beveiliging van een product inschatten op basis van een lijst met het aantal ontdekte – en gedichte – gaten is niet de beste benadering, verklaart analist Pete Lindstrom. Hij stelt dat er andere criteria opgesteld moeten worden voor het 'meten' van beveiliging.

NGSS concludeert dat de slechte reputatie die SQL Server enkele jaren geleden had, niet meer terecht is. Toch zegt het beveiligingsbedrijf dat het inderdaad hoog tijd is om verder te kijken. "Mensen moeten hier nu eens overheen stappen, vooral beveiligingsonderzoekers. We moeten ons bezighouden met het dichten van gaten en het verbeteren van de beveiligingsmentaliteit van leveranciers", zegt NGSS-oprichter David Litchfield. Hij verklaart dat die mentaliteitsverandering bij Microsoft al grotendeels heeft plaatsgevonden.