Jak se uživatelům ztrpčuje aktualizace software

V týdnu oběhla Internetem zprávička od serveru Secunia, který zveřejnil statistiky nástroje Secunia Personal Software Inspektor. Ten umí zkontrolovat systém a vyhledat software, ke kterému chybí bezpečnostní aktualizace. Zveřejněné statistiky jsou vskutku neradostné. Statistika zahrnuje periodu jednoho týdne, při kterém bylo zkontrolováno 20 000 počítačů a na nich přibližně 1,8 miliónů aplikací. Výsledkem je, že jen necelých 5% kontrolovaných počítačů neobsahovalo žádnou aplikaci, ke které by byla dostupná bezpečnostní aktualizace, kteorou majitel počítače nenainstaloval. Méně než 5 nebezpečných aplikací obsahovalo 28% počítačů, do rozmezí 6-10 se vešlo 26% počítačů a více jak 11 jich mělo téměř 42% počítačů. Vskutku neradostná čísla. I když pominu pravděpodobnou nedokonalost uvedeného nástroje, který mi nadetekoval nainstalovanou Javu 1.4, ač ji skutečně nemám a fakt, že ne všechny nenainstalované aktualizace mohou znamenat bezprostřední bezpečnostní hrozbu, nedalo mi to, abych se nezamyslel nad tím, co je tomu také příčinou.

Asi každý zaregistroval, že počet osobních počítačů již řadu let roste. Počítače zastávají v našich životech stále důležitější roli a mnohdy nahrazují roli stolního přehrávače DVD, přehrávače hudby, televize apod. Počítač se zkrátka stal od nástroje „geeků“ spotřebním zbožím. To s sebou přineslo i řadu pochopitelných návyků jako zapnout, o nic se nestarat a používat. Zkrátka jako televize, kde nás nezajímá, jak to celé funguje a jen mačkáme dálkové ovládání dle libosti. Takto rekrutovaným uživatelům se těžko vysvětluje pojem bezpečnost. Mají návyky odjinud, které automaticky aplikují i zde a nejsou přístupni novým věcem. Pojem bezpečnostní aktualizace je pro ně cizí.

Chování uživatelů lze měnit velmi pozvolna, co však lze změnit výrazně, je samotná distribuce bezpečnostních aktualizací. Pokud používáte Microsoft Windows, pak víte, že instalaci bezpečnostních aktualizací automaticky nabízejí. Nejčastěji zneužívaný software jako Flash či Java pravidelně kontrolují dostupnost nových verzí a nabízejí uživateli jejich aktualizaci. Uživatel jen klepne na tlačítko pro instalaci a o nic víc se nestará. Řada dalších programů upozorňuje na novou verzi při spuštění či mají v horším případě volbu na kontrolu aktuálnosti verze v hlavní nabídce.

Pokud se nad jednotlivými variantami zamyslíte, zjistíte, že je zde mnoho co zlepšovat. Asi nejagresivnější variantu instalací aktualizací má například Firefox, který ve výchozím nastavení dostupnou aktualizaci automaticky stáhne a nainstaluje. Uživatel je tak říkajíc hozen před hotovou věc a jen se mu řekne, aby znovu spustil prohlížeč. Úspěšnost této distribuce aktualizací je velmi velká. Většina instalací je aktualizována do 48 hodin.

Druhou variantou je při dostupnosti aktualizace se dotázat uživatele. S touto variantou se můžete setkat například u Javy, která upozorňuje na aktualizaci v oznamovací oblasti Windows (systray). Pokud s instalací souhlasíte, vše potřebné se stáhne automaticky. Dá se říci, že instalace je bezproblémová. Problémem je, že řada uživatelů uvedené nabízení aktualizací jednouše ignoruje. O tom jsem ale psal výše.

Třetí variantou, která je asi nejčastější a můžete se s ní setkat například u webového prohlížeče Opera, je strohé oznámení, že je dostupná nová verze. V lepším případě u těchto upozornění máte k dispozici odkaz ke stažení, ale obecně musíte pro instalaci aktualizované verze vyvinout větší usílí. Musíte jít na web, stáhnout si aktualizovanou verzi a nainstalovat. Zbytečně mnoho kroků.

Čtvrtou variantou jsou programy, které žádné podobné upozorňování nemají. Tyto programy jsou hojně zastoupeny a nedávají prakticky uživateli (laikovi) možnost, jak se o bezpečnostní aktualizaci dozvědět. A to je v případě, kdy se mohou potencionálně stát hrozbou v systému, špatně.

Pokud se nad těmito čtyřmi scénáři zamyslíte, patrně dojdete k závěru, že varianty 1 a 2 jsou správnou cestou. Je asi věcí názoru, zda instalovat bezpečnostní aktualizace automaticky či se uživatele dotazovat. Důležité ovšem je, že obě cesty umožňují snadnou distribuci bezpečnostní aktualizací na jednotlivé počítače. Varianty 3 a 4 obsahují zbytečné kroky k tomu, aby se bezpečnostní aktualizace dostala tam, kam má.

Samotná dostupnost kanálu na bezpečnostní aktualizace však nemusí být sama o sobě výhrou. Takovému distribučnímu kanálu musí v prvé řadě uživatel důvěřovat. A řada tvůrců software mu k tomu nedává moc prostor a dostupnost takových kanálu zne/využívá. Nač konkrétně narážím? Svého času spustila společnost Microsoft program Windows Genuine Advantage, v rámci něhož se snažila snížit míru nelegálních instalaci Windows. Potuď vše v pořádku. Problém je, že v rámci něho se skrze aktualizace Windows nainstalovala aktualizace, která při startu Windows zobrazovala varování „Stali jste se obětí sofwarové kriminality...“.

Věřím tomu, že uvedený krok snížil míru nelegálních instalací Windows. Na druhou stranu je mi ale jasné, že často k takto postiženým počítačům přišel zkušenější uživatel, odinstaloval uvedenou aktualizaci a vypnul instalaci bezpečnostních aktualizací. Co kdyby se to náhodou ještě nainstalovalo. Souhlasím s tím, že uživatelé nelegálních instalací by neměli mít na nic nárok a měl by se jim ztrpčovat život jak to jen jde, ale v tomto případě je problém, že takto neaktualizované instalace jsou bezpečnostní hrozbou, na kterou doplatí i uživatelé legálních instalací.

Možná jste si teď neodpustili nějaké to hrubší slovo na pány z Microsoftu, ale možná by to chtělo zadržet, protože se nejedná jen o problém u nich, ale o běžne používanou praxi. Kanály na bezpečnostní aktualizace se staly dobrou formou, jak uživateli vnutit instalaci něčeho, co s bezpečnostní aktualizací nesouvisí a co nechce. Na podzím loňského roku například společnost Sun pustila do nástroje na upozorňování nových verzí Javy nabídku na stažení OpenOffice.org. Pokud si nainstalujete webový prohlížeč Safari pro Windows s nástrojem na upozorňování a instalaci aktualizací, dopadnete ještě hůř. V pravidelných intervalech je uživateli nabízena instalace něčeho, co má zjevně spojitost s iTunes a co skutečně nemá s bezpečnostní aktualizací nic společného. A tak dále.

K nabízení snadných bezpečnostních aktualizací u většiny software je ještě dlouhá cesta. Trochu se bojím, že řada z těch stávajících aktualizačních mechanismů jim ztratí důvěru u uživatelů dříve, než přijdou.

Přečtěte si také:

Komentáře

1. VfB
nevím, ale co mám nainstalovanou třetí verzi Firefoxu a alespoň jednou denně mně otravuje s aktualizací, tak už toho pomalu začínám mít plné zuby a uvažuji, že to vypnu

2. spl!te
Protože FF3 takhle často skutečně aktualizuje, šel jsi do beta verze (btw, proč už se neříká alfa, beta atd, proč je to RS1 RS2 a tak? :-( ) a u té se samozřejmě finišuje a aktualizuje co to jen jde aby se vychytalo a vyzkoušelo všechno co se ještě vychytat dá...

3. Pavel "JasnaPaka" Cvrček
[1] Používej stabilní verzi Firefoxu, nikoliv vývojovou verzi. Ta je určena primárně pro testování a aby takové testování mělo smysl, je každý den nabízena aktuální verze. Navíc to nemá nic společného s tím, o čem píšu v tomto příspěvku.

4. carnero
VfB: Používám Firefox 3 beta 2 (stable verze) a s aktualizacema rozhodně neotravuje. Resp. zatím jí po mě vůbec nechtěl.

A velmi chválím přístup Firefoxu - nemusím se o nic starat a Firefox se nainstaluje sám. Sice ano, nemám moc na výběr, ale aktualizoval bych tak jako tak. A takto to mám bez práce a vždy aktuální.

Nutnost se pídit po aktualizacích má jednu nevýhodu - často během pár dní zapomenu, kde jsem ten či onen soft stáhnul a procházet menu, nápovědu či googlit a hledat web výrobce jsem prostě líný.

5. Magorak
carnero: Ač sice používám "okýnka", dost často spravuji i server s GNU/Linux. Jediné, co mi na "okýnkách" vadí je to, že nemají tak "dokonale" propracovanou aktualizace softwaru, jako je to u GNU/Linux. Samozřejmě se to nedá až takhle porovnávat (vždyť v GNU/Linux je relativně vše open-source a většinou se to dá najít v repozitářích a v "okýnkých" je většina software uzavřená a pokud člověk potřebuje ten konkrétní software, musí leckdy vynaložit hodně velké úsilí (případně peněz), aby našel požadovaný software.) Každopádně je to opravdu zarážejíci, že i s dnešním rychlým rozmachem výkonných počítačů a stálě rychlejší internetových přípojek, aby tolik lidí doslova zanedbávalo své citlivé informace v počítači a auktualizací si něvšímali!!! Možná je to způsobeno i přístupem vývojářů, jako v článku popsán bod 3 a 4. Toť můj názor

6. Fred
Tohle chování má hodně programů, cokoliv co nainstaluji a vytvoří to další běžící proces, aniž bych spustil související aplikaci ihned odinstalovávám. Cokoliv se pokouší o přístup na síť bez mého přičinění taktéž. Vyjímku má Minefield a Opera, u Minefieldu to je trochu k vzteku s rozšířeními. Spokojeně používám SP1 v kombinaci s NOD32 a Jetico firewallem. Safari jsem zkoušel a ten jeho milý pozdrav bonjour.exe bylo docela problematické odinstalovat, mimochodem je součástí spousty programů Adobe.

7. David Majda
Pro mě osobně je u aktualizací na Windows problém v nejednotnosti a nedůvěře k aktualizačním systémům.

Když mi třeba taková Java nabídne aktualizaci, vůbec netuším, co mi s počítačem udělá. Přepíše stávající verzi? Strčí tu novou paralelně vedle ní (a zabere X MB místa)? Co když mám třeba nějak nestandardně nastavené systémové proměnné/cesty? Půjde to zas odinstalovat, kdyby to něco rozbilo?

Tyhle otázky člověk musí řešit u každého software, co se chce aktualizovat - a nejjednodušší variantou je samozřejmě je neřešit a updaty neinstalovat.

A to ještě nemluvím o tom, že všechny ty kontroly aktualizací jsou často psané jako programy spouštěné při startu, takže zabírají zbytečně paměť. Na starších počítačích je proto vždycky povypínám.

Nechci z toho tdělat flamewar, ale Linux (konkrétně teď mluvím o Ubuntu) má tohle vyřešené řádově lépe. Všechno jsou balíčky, existují standardní nástroje na jejich správu a jeden program, který ověřuje, zda nejsou k dispozici nové verze nainstalovaných balíčků. Update probíhá náhradou balíčku - vždy úplně stejně a relativně předvídatelně. Na výše uvedené otázky existují jasné odpovědi.

Jediný problém je se softwarem, který není ve standardních repozitářích Ubuntu - pokud také využívá balíčků, je třeba ručně přidat jeho URL do konfiguráku. Snad na tom vývojáři ještě zapracují.

8. carnero
Magorak: Okýnka nepoužívám, ale viděl bych hlavní rozdil v jediné věci. Software pro oba OS se chová stejně, jenže linux je zpravidla vybaven něčí, co z jednoho místa aktualizuje uplně všechno (v případě mnou užívaného Arch Linuxu je to pacman a jeho repozitáře). Ve Windows taková aplikace, která by prohrabala celý počítač, našla a nainstalovala všechny aktualizace, není. Nebo alespoň ne spolehlivě a použitelně (tedy co vím). To by mohl udělat Microsoft - Windows Update by mohl mít přístup k databázi aktuálních verzí a zdrojů a aktualizovat i aplikace, nejen systém. Ale to přirozeně není otázkou dní či týdnů, ale spíše roků.

9. janko hrasko
to by sa najskor mrkwo$hrot musel prestat zaoberat napr. DRM srackami a na druhej strane wrndoze nie je pre uzivatelov, ale na zarabanie dolacov. takze takato iluzia patri skor do relacie "snivajte s nami" ;)

10. janko hrasko
a este som scel k clanku :) ak ten "Secunia Personal Software Inspektor" funguje podobne ako "Symantec Security Check" tak by som tie statistiky nebral vobec vazne. 1. vo firefoxe mi to nescelo sputit 2. cez ie si to stiahlo activex component ( no coment :D ) 3. oscanovalo mi to iba "symantecu zname" porty 4. nod32 pre symantec nie je "known antivirus software" 5. tie statistiky tiez vyzerali "hrozivo" pretoze 28% zo 6.5 miliona scanovanych pocitacov nema antivir

co prakticky znamena, ze 28% pocitacov s wrndozami (alebo ie bezi aj inde?) nema symantec antivir

11. Magorak
Tak jsem na slovneském portále zive.sk našwl článek, který se tak trochu týká toho v článku. Více na http://www.zive.sk...9/default.aspx
Kdyby něco podobného bylo v okýnkách, pak by uživatelé měli komfortnější život s aktuálními programi.

12. Pavel "JasnaPaka" Cvrček
[11] Zajímavý program, díky za tip.

13. TomSon
Jednou z možností, jak hlídat aktualizace všech nainstalovaných aplikací je třeba tato aplikace:
http://filehippo.com...datechecker/

14. VfB
3 - OK uznávám, že jsem přestřelil, ale jen jsem chtěl poukázat na to, že velmi časté aktualizace mohou mít tento efekt, tj. vypnutí aktualizace

8 - pokud by bylo řešení aktualizace i sw "třetích" stran řešeno přes MS, tak by se našlo jistě dostatek uživatelů, kteří by přestali aktualizovat úplně, já třeba Mozille věřím, ale MS už méně a MS v kombinaci s konkurencí bych nevěřil určitě

Přidat komentář

K tomuto příspěvku není možné přidávat další komentáře.