Microsoft ha rilasciato l'atteso report sulla sicurezza che mostra il confronto tra le vulnerabilità di Windows Vista e quelle di altri sistemi operativi client paragonabili, prendendo in esame il primo anno di vita dei prodotti; il commento ufficiale al report ed al primo anno di Windows Vista è stato pubblicato sul blog Windows Vista Security. Il report è disponibile a questo indirizzo in PDF.

Fonte: Tweakness.net

Austin Wilson, direttore del Windows Client Security Product Management, commenta: "Credo che sia corretto dire che Windows Vista sta dimostrando di essere la versione più sicura di Windows mai rilasciata. I nostri investimenti nel SDL e il nostro approccio di difesa profonda nella creazione di Windows Vista sembrano dare i loro frutti. Diamo uno sguardo ad alcune aree in cui abbiamo fatto progressi: l'impatto della defense-in-depth; la protezione delle informazioni personali in IE7; vulnerabilità e infezioni; e risparmio dei costi". 

Andando a guardare l'impatto di funzionalità come User Account Control e Internet Explorer Protected Mode, si può notare che queste funzionalità hanno aiutato a ridurre il rischio e la gravità dei bollettini di sicurezza, offrendo alle imprese maggiore tempo per l'installazione delle patch. Eseguire il sistema come standard user, configurazione raccomandata e più semplice in Vista grazie a User Account Control, aiuta a ridurre l'impatto di qualsiasi vulnerabilità. Dei 23 bollettini di sicurezza che sono stati rilasciati per Vista fino al 12 Gennaio 2008, 12 evidenziano nello specifico un più basso impatto per coloro che eseguono il sistema con privilegi amministrativi.

Grazie a IE Protected Mode, il bollettino MS07-056 di Ottobre 2007 è stato classificato importante su Windows Vista e critico su Windows XP. Un numero minore di aggiornamenti critici aiuta le organizzazioni a mantenere processi regolari di patch management. Internet Explorer 7, il browser predefinito in Vista, aiuta a proteggere i dati personali degli utenti finali. Microsoft ha visto circa 1 milione di tentativi di phishing bloccati alla settimana, da parte della nuova funzionalità integrata nel prodotto. In aggiunta ci sono più di 3.500 siti con Extended Validation SSL Certificates (EV SSL). IE7 è il primo browser ad integrare il supporto completo per EV SSL.

Per quanto riguarda gli aggiornamenti, le vulnerabilità e le infezioni, Microsoft ha notato un progresso deciso in positivo, rispetto a Windows XP. Secondo il rapporto redatto da Jeff Jones, Microsoft Security Strategy Director, durante il primo anno di disponibilità di Windows XP, gli aggiornamento sono stati rilasciati in 26 giorni separati; grazie al programma mensile di aggiornamento ed al numero inferiore di vulnerabilità, Windows Vista è stato aggiornato solo nove volte durante il suo primo anno. Questo dato secondo Microsoft è uno dei più importanti dal punto di vista dei professionisti della sicurezza.

Nel dettaglio il report mostra: Meno vulnerabilità, bug del codice corretti e non corretti (36 corrette/30 non corrette per Windows Vista contro 68 corrette/54 non corrette per Windows XP). Meno mesi con aggiornamenti. Meno infezioni (60% meno infezioni malware e 2.8 volte meno software indesiderato su Vista rispetto XP SP2). Infine un recente report commissionato da Microsoft di GCR sul risparmio dei costi per i computer portatili mostra $251 per macchina per anno di risparmio con Windows Vista, di cui $55/per macchina sono attribuibili alle nuove funzioni di sicurezza e protezione dati come User Account Control e BitLocker Drive Encryption.

Feliciano Intini, Chief Security Advisor di Microsoft Italia, commenta: "In estrema sintesi si può dire che Windows Vista esce ancora una volta vincente nel confronto sulle vulnerabilità rispetto agli altri sistemi operativi scelti per il paragone (che vi ricordo sono Windows XP, Red Hat Ent. Linux 4 Wks, Ubuntu 6.06 LTS, Apple Mac OS X 10.4). Il risultato, inoltre, è anche più significativo se pensiamo che il numero di vulnerabilità totali cresce negli anni (dato confermato dall'ultimo Microsoft Security Intelligence Report) grazie all'evidente evoluzione dell'ecosistema di ricerca delle vulnerabilità: oggi ci sono più ricercatori, più strumenti automatici e più metodi per trovarle".