"Trước đây, mọi người thường đưa ra kết luận chủ yếu dựa trên định kiến. Lần này, chúng tôi hy vọng sẽ cung cấp một số thông tin giúp người dùng lựa chọn sản phẩm một cách logic hơn”, Laura Koetzle, tác giả chính của báo cáo, giải thích về mục đích của công trình.
Để xây dựng nó, Koetzle cùng các đồng nghiệp đã thu thập dữ liệu về sự tổn thương của Windows cùng Linux của bốn hãng Debian, Red Hat, SuSE, và MandrakeSoft. Thông tin thuộc giai đoạn 1/6/2002 - 31/5/2003, lấy từ danh sách địa chỉ Bugtraq, bugzilla.org, CERT/CC và một số nguồn khác. Họ sau đó tạo ra một thuật toán xác định các hãng phân phối phản ứng ra sao khi lỗi xuất hiện, các lỗ hổng bị phát hiện được vá có chu đáo không, và một hệ điều hành được xếp hạng thế nào trong quan hệ với các lỗ hổng. Thuật toán sau đó đưa ra hai tham số để xác định kết quả. Thứ nhất là “số ngày rủi ro”, nghĩa là thời gian từ khi lỗ hổng được công bố tới khi bản vá lỗi xuất hiện. Thứ hai là tỷ lệ lỗ hổng được vá.
Dù tỷ lệ lỗi rất cao, ngạc nhiên thay, Microsoft tỏ ra nhanh nhẹn nhất trong việc vá lỗi. Số ngày rủi ro của Microsoft vào khoảng 25, bỏ xa Red Hat và Debian đứng thứ hai (57 ngày). MandrakeSoft bét bảng, với 82 ngày, nghĩa là gấp hơn ba lần so với Microsoft.
Xét trên tính chu đáo, Microsoft cũng dẫn đầu khi vá hết 128 lỗi nặng. Bỏ qua một lỗi, Red Hat vá được 99,6% số lỗ hổng. Trong khi đó, Debian đứng cuối khi để lọt 11 lỗi, chỉ vá được 96,2%.
Dù vậy, Koetzle thừa nhận thuật toán này chưa giải quyết triệt để vấn đề, bởi nó không tính tới hiệu quả khi bản vá lỗi đã tung ra. “Sau khi các hãng phát hành bản vá lỗi, sự cố có được khắc phục hay không còn tùy vào việc khách hàng có muốn và dễ dàng cài nó không”, bà nói. Trong trường hợp Microsoft, một phân tích khác của Koetzle cho thấy hầu hết doanh nghiệp chẳng thèm cài các bản vá lỗi sẵn có.
Cuối cùng, với tất cả những tham số trên, thay vì kết luận Windows an toàn hơn Linux hoặc ngược lại, Forrester nhấn mạnh các công ty nên chọn sản phẩm tùy theo quan điểm về khía cạnh bảo mật thiết yếu nhất. Những công ty muốn nhanh chóng che đỡ điểm yếu nên chọn Windows bởi số ngày rủi ro là thấp. Ngược lại, nếu muốn dễ dàng cài đặt các bản vá lỗi, Red Hat có thể là phù hợp.
Thanh Tùng (theo InternetWeek)