Macmarks vielzitierter Apache vs IIS-Vergleich ist seit einem Jahrzehnt schlichtweg falsch

[Wassertrinker]

Wenn es um das Thema geht, wird immer wieder mal die Seite http://www.macmark.de/osx_security.php zitert, unter anderem das berühmte Apache vs IIS:

"Wenn der Verbreitungsgrad eine Rolle spielen würde, dann müßte der Apache Webserver deutlich mehr Sicherheitsprobleme haben als der Microsoft Internet Information Server, denn während zwei von drei Internet-Seiten auf dem Apache Webserver liefen und nur jede fünfte Internetseite auf dem Microsoft Internet Information Server, hatte der Apache Webserver deutlich weniger unter Sicherheitsproblemen aller Art zu leiden als der Microsoft Internet Information Server"

Tja, und genau das ist falsch!

Der IIS hat seit fast zehn Jahren (seit IIS 6 von 2003) weniger Sicherheitslücken als Apache:

http://penguinday.wordpress.com/2010/08/10/the-fsf-is-getting-desperate/#security

"Here is IIS6:
http://secunia.com/product/1438/
Affected By 6 Secunia advisories
Unpatched 0% (0 of 6 Secunia advisories)
Six holes in six years. Not bad. And all of them patched.

If we compare that to Apache 2.2:
http://secunia.com/product/9633/
Affected By 15 Secunia advisories

Unpatched 13% (2 of 15 Secunia advisories)
The statistics for the new IIS 7 are impressive too:

http://secunia.com/advisories/product/17543/

Affected By 1 Secunia advisories

Unpatched 0% (0 of 1 Secunia advisories)

[Note: This article was originally posted in 2009, so the secunia statistics may be different when you read this. Last time I checked them (August 2010), the general trend was the same (Apache had more open holes than IIS 6 & 7)]
"

Wenn man sich Statistiken heute ansieht, stimmt es immer noch: Apache 2.2 hat mehr offene Lücken (und mehr Lücken insgesamt) als IIS 6 und 7 zusammen.

[Vorlif]

Sorry Wassertrinker,

aber worauf willst du, mit diesem Vergleich, Hinaus?
Du weißt schon das eine Lücke ungleich einer Lücke ist!
Das kannst du drehen wie du willst aber es bleibt so wie es ist = Ungleich!

Und IMHO sind Statistiken und der IT-Branche von Selbsternannten Profis vollkommen Sinnlos. Man kann jede Angelegenheit so drehen das sie der Wahrheit ähnelt aber das heißt noch lange nicht das sie der Wahrheite Entspricht...

Eigentlich will ich gar nicht weiter schreiben aber wie kann man bitte zwei Unschiedliche Programme/Services von zwei Unterschiedlichen Betriebssystemen Vergleichen ohne das OS dabei mit ein zu beziehen?
Ist ja so ähnlich als würde man Geschwindigkeit ohne Beschleunigung und Gewicht vergleichen :)

mfg
Vorlif

[Wassertrinker]

Vorlif schrieb:
-------------------------------------------------------------------------------
>
> Eigentlich will ich gar nicht weiter schreiben aber wie kann man bitte zwei
> Unschiedliche Programme/Services von zwei Unterschiedlichen
> Betriebssystemen Vergleichen ohne das OS dabei mit ein zu beziehen?

Hier das OS:
http://secunia.com/advisories/product/18255/
Nicht schlechter als die vergleichbaren Linux Distros.


>
> Und IMHO sind Statistiken und der IT-Branche von Selbsternannten Profis
> vollkommen Sinnlos. Man kann jede Angelegenheit so drehen das sie der
> Wahrheit ähnelt aber das heißt noch lange nicht das sie der Wahrheite
> Entspricht...

Interessant dass das Argument erst dann kommt, wenn man Leute wie Macmark mit ihren gleichen Waffen schlägt.



1 mal bearbeitet, zuletzt am 05.04.12 17:27 durch Wassertrinker.

[Vorlif]

Wassertrinker schrieb:
--------------------------------------------------------------------------------
> Hier das OS:
> secunia.com
> Nicht schlechter als die vergleichbaren Linux Distros.

Eigentlich habe ich gemeint wie man Unterschiedliche programme für/von Linux/Unix, Microsoft gegeneinader Antreten lassen kann? ;)

> Interessant dass das Argument erst dann kommt, wenn man Leute wie Macmark
> mit ihren gleichen Waffen schlägt.

Tut mir leid aber ich zähle mich (in diesem Fall) zu keiner Gruppe!
Ich bin weder Pro/Contra Linux, Unix, Windows, Mac, etc. und habe niemals auf diese weiße Argumentiert ;)
Ich meine nur das es sicherlich immer einen intelligenten , Redegewandten Menschen geben wird der für seine Favoriten Argumentiert ;)

[Jungspund]

=> Internet Information ServicES, nicht ServER...

[Vorlif]

=> Microsoft Internet Information Server läuft nur auf Microsoft!

[MacMark]

Wassertrinker schrieb:
--------------------------------------------------------------------------------
> Wenn es um das Thema geht, wird immer wieder mal die Seite www.macmark.de
> zitert, unter anderem das berühmte Apache vs IIS:
>
> … hatte der Apache Webserver deutlich
> weniger unter Sicherheitsproblemen aller Art zu leiden als der Microsoft
> Internet Information Server"
>
> Tja, und genau das ist falsch!
>
> Der IIS hat seit fast zehn Jahren (seit IIS 6 von 2003) weniger
> Sicherheitslücken als Apache:

Du interpretierst da etwas hinein, was da gar nicht steht. Es geht nicht um die Anzahl der (bekannten) Bugs, sondern um die tatsächlichen Sicherheitsprobleme in der Praxis. Beispielsweise Code Red, Nimda und die Anzahl und Schwere der Angriffe. Lies meine Passage zu dem IIS/Apache-Thema bitte vollständig und beachte auch die Links zu den Details: http://www.macmark.de/osx_security.php#scheinargument_marktanteil
Der IIS wurde und wird, obwohl er die deutlich kleinere Plattform darstellt:
- öfter insgesamt angegriffen
- öfter erfolgreich angegriffen
- öfter mit verheerenden Folgen angegriffen

Das widerlegt die oft genannte Vermutung, daß immer bevorzugt das am weitesten verbreitete System angegriffen wird.

[Wassertrinker]

MacMark schrieb:
--------------------------------------------------------------------------------

>
> Du interpretierst da etwas hinein, was da gar nicht steht. Es geht nicht um
> die Anzahl der (bekannten) Bugs, sondern um die tatsächlichen
> Sicherheitsprobleme in der Praxis. Beispielsweise Code Red, Nimda und die
> Anzahl und Schwere der Angriffe. Lies meine Passage zu dem IIS/Apache-Thema
> bitte vollständig und beachte auch die Links zu den Details

Hab' ich. Sorry, aber Code Red und Nimda sind von 2001, und betrafen IIS 5. Also bitte. Wir sprechen hier von IIS Version 6 (2003), immerhin fast 10 Jahre alt. Und diese Version ist deutlich sicherer.

Wenn man Würmer von vor 11 Jahren als Maßstab nimmt, kann man genauso gut Viren für System 7 und 8 in die Mac Viren-Statistik nehmen.

Dein anderes Beispiel auf der Seite war.. eine _SQL Injection_ Attacke.. !?