"Vi kan betale for sikkerheden, efter vi har købt softwaren, eller vi kan betale for den, når vi køber softwaren. Jeg synes, det er bedst at betale, når man køber softwaren."
Ordene kommer fra sikkerhedsguruen Bruce Schneier, der undrer sig over, at softwarebranchen stadig laver "lousy software", som han udtrykker det.
Det er to år siden, at Computerworld sidst havde lejlighed til at tale med Bruce Schneier.
Ligesom dengang mener han, at den eneste måde at få gjort software mere sikker, er ved at introducere et økonomisk incitament for softwarefirmaerne. Der skal simpelthen være et produktansvar for softwarebranchen, ligesom andre brancher har.
Dermed ligger han på linje med EU, der for nylig kom med forslag om, at softwarebranchen skal gøres ansvarlig for eventuelle sikkerhedshuller.
Vi betaler allerede i dag
Bruce Schneier er klar over, at det vil gøre udvikling af software dyrere, men det er en pris, som vi alligevel allerede betaler for at gøre usikker software sikker.
"Ja, det vil koste mere at lave sikker software. Der er omkostninger ved sikker software. Men i dag betaler vi for usikkerhed. Hvis vi tager alle de penge, der bliver brugt på sikkerhedsprodukter, der skal gøre den usikre software sikker, og i stedet bruger dem på softwareudvikling, så ville softwaren være meget bedre," siger Bruce Schneier, som Computwerworld har mødt i forbindelse med sikkerhedskonferencen Info Security Europe 2009.
"Hele det her show handler om de ekstra omkostninger for softwaresikkerhed," siger den gråskæggede amerikaner og peger ud mod de forskellige stande, der faldbyder produkter som firewalls, DLP (dataleak prevention), antivirus og anden anti-malware.
Sikkerhed er et spørgsmål om kompromisser
En måde at få bedre og mere sikre systemer er at anvende matematisk programverifikation og anvende værktøjer, der automatisk checker koden for fejl.
"Nogle af den slags værktøjer kommer ind i mainstreamudvikling. Microsoft er eksempelvis blevet meget bedre med deres automatiske checking-tools. Vista gik igennem 500 mandeår af sikkerhedsanalyse. Men samtidig blev den første bug fundet efter, hvad, 14 dage?
Det er blevet bedre, men der er meget, meget lang vej at gå endnu," siger Bruce Schneier.
Bevis for programmers sikkerhed
Selvom matematisk programverifikation kan være med til at gøre programmer mere sikre, har Bruce Schneier svært ved at se et matematisk funderet udtryk for softwaresikkerhed.
"Det er meget meget svært at nå frem til det. Det vil ikke ske i vores levetid. Men før eller siden vil der være en matematisk teori for sikkerhed, og den vil blive brugt, men det vil tage mange, mange årtier," siger Bruce Schneier og fortsætter:
"Vi har ingen som helst ide idé om, hvordan vi blot skal begynde at formulere problemerne. Vi kan ikke engang bevise, at et computerprogram afslutter. Du vil have mig til at bevise, at et computerprogram er sikkert?" spørger Bruce Schneier retorisk.
Begrav din computer
Et gennemgående træk ved Bruce Schneiers syn på sikkerhed er, at det i høj grad er et spørgsmål om kompromisser:
"Jeg kan gøre gøre den her computer meget sikker," siger Bruce Schneier og peger på sin lille bærbare på glasbordet foran sig.
"Jeg kan grave computeren ned og aldrig bruge den igen, så er den virkelig sikker. Tricket er at gøre den sikker og brugbar. Det er et kompromis. Sikkerhed kontra performance, sikkerhed kontra udviklingstid, sikkerhed kontra funktionalitet og features. Vi kan slå trådløst netværk fra, så bliver den mere sikker - men mindre brugbar," siger Bruce Schneier.
Hvorfor fungerer dårlige sikkerhedsløsninger?
Selvom Bruce Schneier ikke er tilfreds med sikkerheden i softwaren, så virker han dog mere optimistisk end for to år siden.
"Jeg er ikke pessimistisk med hensyn til softwaresikkerhed. Det er usikre systemer, men jeg tror, vi generelt klarer os. Tænk på dørlåse. Dørlåse er virkelig dårlige sikkerhedssystemer, de er meget nemme at dirke op, men de fungerer generelt ok.
Et andet eksempel: Underskrifter pr. fax. Det er nok noget af det dummeste, der findes. Enhver med en saks og tape kan få enhver til at underskrive hvad som helst. Men det virker. Vi klarer os meget godt med den slags egentligt utilstrækkelige løsninger," siger Bruce Schneier.
Løsningerne anvendes ikke isoleret, men indgår i en større sammenhæng, som generelt får det til at fungere.
"Hvorfor virker det? Der foregår andre ting i baggrunden: Min advokat sender mig en fax, efter vi har talt sammen over telefonen. Tingene foregår ikke i isolation, men indgår i en kontekst af en række interaktioner," siger Bruce Schneier.
