<div dir="ltr"><br><div class="gmail_extra"><br><br><div class="gmail_quote">On Sat, Jan 4, 2014 at 9:23 PM, Jonathan Thornburg <span dir="ltr"><<a href="mailto:jthorn@astro.indiana.edu" target="_blank">jthorn@astro.indiana.edu</a>></span> wrote:<br>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><div class="im">> Have you noticed how the entire world is moving to a much more<br>

> sophisticated update model, typically dynamically, monthly?<br>
<br>
</div>I'm not sure if that's true.  What I see is low-security consumer<br>
systems (e.g., the usual stuff from Microsoft, Adobe, etc) doing<br>
dynamic updates every month or even every week.  But OSs which make<br>
security a very high priority, like (say) OpenBSD, aren't moving that<br>
way at all -- they're staying with the old "updates are manually<br>
applied by a (human) system administrator" model.<br>
<br>
The OpenBSD website points out that they've only had two remote holes<br>
in the default install in "a heck of a long time" (I think more than a<br>
decade).  So perhaps the manual-updates security model remains viable....<br></blockquote><div><br></div><div>Just don't, we used to laugh at UNIX security back in the days when VMS was the only secure OS. Security is often used as ammo in standards wars, the comparisons are rarely accurate. </div>
<div><br></div><div>I believe the point of OpenBSD is that it is not a kitchen sink O/S which ships everything someone might want by default. That is certainly going to offer more security if you use it for a single purpose with a stripped down build. It also means that the O/S is not going to report a vulnerability each time sendmail gets rolled. </div>
<div><br></div><div>But take OpenBSD and lard it up with the thirty packages that are written by the usual C-crew and the advantage is lost. Very few Microsoft or OSX or Linux security reports are for code in the O/S core. It is usually the support apps that cause the issues.</div>
<div><br></div><div><br></div><div>The most significant differentiator in security has actually been whether accounts have a mandatory separation of superuser privs from regular accounts. Windows XP does not have that and so every app that runs in an account with admin privs can bongo the machine without any trouble.<br>
</div><div><br></div><div>One of the reasons for that is I believe that all modern O/S have essentially the same approach to access control which is essentially broken. Butler Lampson thinks it is broken as well, but even he can't change it.</div>
<div><br></div><div>The problem is that access control attributes are not attached to either files or to the applications that run them. They are ledger entries in the file system and grant access to users. Which makes them essentially useless for modern uses where each machine has between zero and one user and files move from machine to machine without the security controls being carried with them.</div>
<div><br></div><div><br></div><div>I don't think the firmware on my printers has ever been updated. An the routers were never updated till I moved from the cheap linux based ones that last 6 months to Apple airports.<br>
</div><div><br></div><div>Windows XP still accounts for the majority of rooted systems. I find it quite astounding that there are companies who still insist on using it. I started buying my own machines when I was at VeriSign precisely because the IT dept refused to let me run Vista.</div>
<div><br></div><div>I think the Vista hatred was mostly driven by lazyness on the part of the IT staff who wanted to avoid having to make new builds for their machines. The same companies that would allow their IT departments to continue to run an operating system the provider was warning was defective would go out and buy a million dollar firewall. </div>
<div><br></div><div>It will be interesting to see what happens when XP goes EOL in April. A lot of IT staff are likely to find themselves looking for new jobs as they discover that they can't get to grips with the new Windows that other people have been working on for 7 years. Some voluntarily, quite a few not.</div>
</div><div><br></div>-- <br>Website: <a href="http://hallambaker.com/">http://hallambaker.com/</a><br>
</div></div>