Windows x Linux
Atualizações de 2023:
Atualização dos links que não funcionavam
Remoção de termos considerados ofensivos
Inclusão de foto do Linus Torvalds no stand da Microsoft durante a LinuxCon em Vancouver
Atualizações de 2021:
Adição do uso do Windows pela SpaceX e Blue Origin
Adição sobre uso do Linux em computadores lentos e antigos
Atualizações de 2020:
RedHat informa sobre a necessidade de uso de antivírus no Linux
Windows não precisa ser comprado, pois já vem em computadores e notebooks
Linux também vem pré-instalado em computadores e notebooks, acabando com o argumento de “venda casada” com Windows
Desde os anos 90 eu tenho discutido Windows x Linux com defensores do Software Livre, pois eles são extremamente críticos ao Windows e eu considero importante conhecer a linha de raciocínio e argumentos que eles utilizam ao criticar o sistema operacional em que eu sou especialista.
Naquela época eles já acreditavam em argumentos que justificariam o uso do Linux ao invés do Windows no desktop.
E hoje em dia, mais de duas décadas depois, o uso do Linux continua irrelevante no desktop com um market share eternamente estagnado – e isso pode ser explicado com bastante facilidade.
Por que um sistema operacional gratuito falhou em substituir o Windows e porquê isso não mudará no futuro?
Quais argumentos os defensores do Linux utilizam para defender esse sistema operacional e/ou criticar o Windows?
Por que qualquer discussão Windows x Linux no desktop é tecnicamente inútil?
Esse artigo reúne informações de centenas de horas dedicadas nos últimos anos em discussões Windows x Linux no meu site, no fórum e na área de comentário dos vídeos do meu canal do YouTube.
Eu pretendo que esse artigo seja uma referência na internet brasileira a todos usuários interessados SERIAMENTE na questão Windows x Linux que acontece no MUNDO REAL fora do ambiente demagógico e fantasioso de sites pró-Linux e pró-Software Livre.
As páginas deste artigo servem como repositório de informações reais e atualizadas com links idôneos (Linux Foundation, Oracle, RedHat…) que dão total credibilidade às informações postadas, contradizendo com EXEMPLOS E FATOS REAIS muitas informações incorretas disseminadas por defensores do Linux e sites de Software Livre.
A realidade é simples: não existe nenhum sistema operacional 100% seguro e nunca existirá: nem Windows, nem Linux, nem macOS, nem UNIX, nem qualquer outro. Quem argumenta que um sistema operacional é mais seguro do que outro (como Linux x Windows) erra ao fazer isso por ignorar algumas informações básicas:
Windows x Linux: Windows é inseguro?
Quando algum linuxer alega que “Linux é mais seguro do que Windows“, ele está apenas repetindo (sem questionar) um conceito antigo e ultrapassado das décadas passadas, quando Windows NT, Windows XP, Windows 2000 ou Windows 2003 eram as versões mais novas do Windows – e essas versões realmente deixavam a desejar em relação a segurança.
Aquela época primitiva da segurança online mostrou para a Microsoft que ela precisava melhorar MUITO a segurança do Windows – principalmente depois do Melissa (1999), ILOVEYOU (2000), Code Red, Nimda e Klez (2001), SQL Slammer (2003), Sasser e MyDoom (2004) e Conficker (2008).
Como 2001 foi um péssimo ano em relação a segurança digital do Windows, no início de 2002 Bill Gates criou o Trustworthy Computing (TwC), uma iniciativa para aumentar a segurança dos produtos criados pela Microsoft. Essa decisão foi tão importante que a Microsoft pausou por dois meses o desenvolvimento de todos os softwares (incluindo o Windows Server 2003) para os engenheiros e programadores se focarem exclusivamente na segurança deles.
Desde então a Microsoft implementou dezenas de funcionalidades relacionadas à segurança digital no Windows, além de lançar correções mensais que tornaram o Windows cada vez mais seguro – e o Windows 10 lançado em 2015 comprova o ótimo resultado disso.
O único malware que causou sérios problemas nos últimos anos, o ransomware WannaCry, não causou nenhum dano ao Windows 10 – inclusive a vulnerabilidade que ele se aproveitava já havia sido corrigida e disponibilizada meses antes para todos os Windows a partir do Windows Vista (lançado em 2006) – e o resultado é que somente usuários de Windows XP e usuários que estavam com o Windows desatualizado foram infectados.
Infelizmente quando linuxers pensam sobre a segurança digital, eles acham que Windows 10 é o Windows XP – e por isso eles postam tantas informações incorretas sobre esse assunto.
Para piorar, eles consideram que a segurança do Windows está restrita à instalação “default” (instalação padrão do sistema operacional) utilizada por centenas de milhões de usuários, sem saber que o Windows pode ser configurado para ser muito mais restrito e seguro – embora poucos fazem isso.
O resultado é que qualquer problema de segurança que não causaria nenhum problema em um Windows corretamente configurado causa sérios problemas no Windows com instalação “default”.
Quem REALMENTE entende a fundo sobre Windows e Segurança Digital sabe como configurar o Windows para deixá-lo muito mais seguro (“hardening Windows“), e por isso grandes empresas e corporações raramente têm problemas graves de segurança nas suas estações Windows, uma vez que ali estão profissionais QUALIFICADOS para evitar que isso aconteça.
Some a isso o fato de o Windows ser muito mais visado em ataques digitais por ele liderar o nicho de desktop (algo que também acontece com o Android no mundo dos smartphones), além do total descaso e desinteresse dos usuários comuns sobre segurança digital, e o resultado não poderia ser outro: a clara percepção que o Windows parece ser inseguro.
Lamentavelmente os internautas “aprendem” a tornar o Windows inseguro ao assistir vídeos de youtubers que na realidade são meros usuários de Windows sem NENHUMA qualificação ou conhecimento avançado nesse sistema operacional, onde eles sugerem desabilitar o Windows Update – que é algo pavorosamente errado, pois ele atualiza o sistema operacional tornando-o mais seguro.
Além disso eles incentivam o uso de programas inúteis ou dispensáveis que podem causar problemas (instalação essa que seria bloqueada pelo antivírus, mas o Windows não impede de o usuário fazer isso se ele quiser), além de ignorarem regras básicas de segurança digital que valem para qualquer sistema operacional (evitar clicar em links suspeitos, por exemplo) – e quanto o usuário sofre algum problema com isso, o culpado é o Windows por ser “inseguro”.
Pensando de maneira racional:
Todas as empresas Fortune 100 utilizam Windows (incluindo a Apple, pois sem Windows ela jamais poderia desenvolver e testar as versões do QuickTime e iTunes para esse sistema operacional e ela também não poderia produzir seus computadores)
Mais de 95% das empresas Fortune 500 utilizam Azure (plataforma na nuvem que utiliza mais de 100 datacenters e milhões de servidores com hosts rodando Windows)
Praticamente todos os bancos do planeta utilizam Windows
Órgãos governamentais de todos os países utilizam Windows – incluindo a China, que tem uma edição do Windows 10 específica para eles
A conclusão disso tudo é que profissionais de TI altamente qualificados de corporações do mundo todos já concluíram que Windows tem estabilidade e segurança para ser utilizado em larga escala, e alegar indiscriminadamente que “Windows é menos seguro que Linux” denota apenas uma crença cega ou falta de informação.
E mais: todas essas corporações e bancos sempre tiveram capacidade técnica e verba para substituir Windows por Linux, principalmente por questão de segurança, mas elas nunca fizeram. Porque será?
Windows x Linux: Linux é seguro?
Conforme eu escrevi acima, quando algum linuxer alega que “Linux é mais seguro do que Windows”, ele está apenas repetindo sem questionar um conceito antigo e ultrapassado das décadas passadas. Eu não os culpo por isso pois eu sei que eles aprenderam em sites pró-Linux e pró-Software Livre recheados de “ativistas de teclado”, que são aqueles internautas que defendem suas ideologias e crenças na internet sem saber que no mundo real a realidade é totalmente diferente.
Alguns exemplos interessantes:
Enquanto muitos defendem que Linux é seguro, no mundo real centenas de sites sob Linux são hackeados diariamente pois não existe nenhum sistema operacional 100% seguro e nunca existirá: nem Windows, nem Linux, nem macOS, nem UNIX, nem qualquer outro.
O pior é que defensores do Linux e Software Livre repetem há décadas que “Linux é seguro”, dando a falsa impressão que basta instalá-lo e você nunca terá problemas de segurança. Mas existe uma IMENSA diferença entre o que esses defensores alegam e o que acontece no mundo real, longe dos sites, blogs e fóruns.
É justamente essa crença absurda de “Linux seguro” que fez o kernel.org (principal site que distribui o código-fonte do kernel do Linux e que é gerenciado pela própria Linux Foundation) ser miseravelmente hackeado em 2011, aonde o principal administrador, John Hawley (Warthog9) informou no pastebin que um trojan foi encontrado em dois servidores, e três outros também poderiam estar infectados.
O pior nem foi o fato de o hacker ter instalado ali o rootkit Phalanx, além do trojan Ebury (que infecta servidores Linux, FreeBSD e Solaris) em vários outros servidores da mesma rede, mas sim que durante 17 dias ninguém percebeu *absolutamente nada* ali e o site linux.org ficou fora do ar por mais de um mês por causa disso!
Para completar essa destruição, algumas semanas após esse problema o próprio site da Linux Foundation e Linux.com foram invadidos, aonde a Linux Foundation informou que “provavelmente” isso tenha sido reflexo da invasão do kernel.org, informando os usuários para alterar suas senhas e chaves de criptografia pois elas foram comprometidas. Até hoje muitos criticam a Linux Foundation por não ser transparente, pois até hoje ela não detalhou o que realmente aconteceu com seus servidores.
Isso tudo não é exatamente o melhor “cartão de visita” para quem defende a segurança do Linux…
O mais curioso é que nada disso teria acontecido se os servidores do kernel.org utilizassem um bom antivírus, pois além do código-fonte do rootkit Phalanx ter sido disponibilizado na web em 2005, em 2008 ele já estava infectando servidores Linux e há muito tempo ele já era detectado por antivírus para Linux – mas certamente os administradores achavam que apenas Windows precisa de antivírus pois “Linux é seguro”. Nada melhor que um banho de realidade do mundo real!
Por fim, o próprio site da Linux Mint foi invadido e os arquivos ISO dessa distro foram substituídos por outros que continham o malware Tsunami. Isso por si só levantou a importante questão da dificuldade de se manter uma distro Linux como hobby. Além disso, os servidores da RedHat foram hackeados e arquivos do Red Hat Enterprise Linux foram alterados, e também os servidores da Debian foram hackeados.
Windows x Linux: isso tudo mostra que no mundo real o Linux está muito longe de ser seguro ou imune a hackers ou malwares.
No Linux Security Summit de 2016 os próprios mantenedores do kernel do Linux criticaram a falta de foco em segurança no mundo atual da Internet das Coisas (IoT). Nesse evento, o engenheiro de segurança do Google e o principal responsável pelo projeto de proteção do próprio kernel do Linux, Kees Cook, comentou que um bug de kernel do Linux leva em média TRÊS ANOS para ser corrigido, além de citar problemas de segurança em driver e também o risco de vida que ativistas e dissidentes correm ao serem monitorados através da exploração de vulnerabilidades descobertas por hackers contratados por governos.
Além disso, como qualquer outro sistema operacional, o Linux também tem guias mostrando como deixá-lo mais seguro (“hardening”), pois qualquer profissional de TI competente imune a ideologias baratas sabe que todos os sistemas operacionais são vulneráveis – e quanto mais proteção ele tiver, melhor.
Em 2020 a própria RedHat publicou em seu site um artigo sobre a necessidade de usar antivírus no Linux
“Se você ainda acredita que o Linux não pode ser infectado por malware, pense novamente e instale esses três aplicativos para detectar e evitar problemas”
Windows x Linux: Código aberto é mais seguro?
Enquanto muitos acreditam que “código aberto é mais seguro” por permitir a sua revisão por qualquer programador competente, no mundo real isso é mito, pois eles contêm muitas falhas e são vulneráveis como qualquer software de código fechado. Entre os melhores exemplos estão:
ShellShock, um bug que esteve no Bash por 20 anos e permitia execução remota de código
Heartbleed, uma grave vulnerabilidade no OpenSSL que esteva ali por 3 anos cujo problema foi tão grave que colocou em dúvida justamente a segurança do código aberto por ele não ser revisado pela comunidade.
Drown, vulnerabilidade no HTTPS
Lucky13, ataque que quebra o algoritmo usado pelo OpenSSL e TLS
BEAST, outro ataque ao OpenSSL e TLS
POODLE, ataque aproveita uma vulnerabilidade no SSL 3.0
GHOST, vulnerabilidade que existia desde 2000 e permitia acesso remoto a um servidor Linux bastando enviar um e-mail(!)
Isso sem contar falhas graves no Jenkins, AngularJS, Drupal, Node.js, curl e muitos outros projetos de código aberto. No final de março de 2019 descobriu-se que todas as versões do PuTTY (software de código aberto para acesso remoto) tinham vulnerabilidades que comprometiam a segurança do usuário
Se você ainda acredita que “código aberto é mais seguro”, então eu sugiro você conhecer a empresa Mend.IO (ex-WhiteSource) que é focada em detectar vulnerabilidades em componentes open-source utilizados por aplicativos. A imagem abaixo mostra o crescimento delas:
Além disso, o fato de um software ser de código aberto não significa que o código foi lido ou revisado – tanto que o Linux compromete a segurança de milhões de pessoas que utilizam roteadores D-Link, Netgear, TP-Link, Trendnet e ZyXel por causa de uma falha de driver dele da década de 90, indicando que aparentemente ninguém revisou esse código por quase 30 anos(!)
O Linux está cheio de bugs antigos como este. Em 2016, por exemplo, foi descoberto um bug de 9 anos no kernel do Linux (Dirty Cow) que permitia rootar qualquer versão do Android (que utiliza o kernel do Linux) em menos de 5 segundos, colocando em risco milhões de usuários. Em 2017 apareceram os primeiros malwares que se aproveitaram dessa vulnerabilidade para instalar um backdoor nos smartphones dos usuários.
Aliás, se você acha que as empresas focadas Software Livre se apoiam mutualmente em prol da “comunidade” e que elas são transparentes em termos de segurança, você deve rever seus conceitos: engenheiros do Google analisaram casualmente o código do OpenSSL e após encontrar um gravíssimo bug ali (Dirty Cow citado acima), a empresa não avisou ninguém por 10 dias até que a correção fosse aplicada nos seus próprios servidores.
Somente 14 dias depois a comunidade foi informada dessa vulnerabilidade – e entre as empresas focadas em Software Livre que não foram avisadas estão Amazon Web Services, Twitter, Yahoo, Ubuntu, Cisco, Juniper, Pinterest, Tumblr, GoDaddy, Flickr, Netflix, Instagram, Dropbox, GitHub, Wikipedia, WordPress, entre muitos outras.
Procure no Google por “old linux kernel bug” e você comprovará que o fato de um software ter seu código-fonte acessível não significa EM NADA que ele seja seguro. Não é à toa que há anos o kernel do Linux é constantemente o campeão de vulnerabilidades no CVE.
Um detalhe importante é que muitos pensam que existe uma comunidade unida de jovens desenvolvedores que acreditam e defendem o ideal do software livre e por isso dedicam seu tempo para melhorar o kernel do Linux, mas no mundo real a realidade é outra: mais de 90% do desenvolvimento do kernel do Linux é feito por programadores pagos por empresas como Intel, Red Hat, Samsung, Novell, IBM e Google. Essas empresas não podem depender do trabalho voluntário sem prazos nem resultados oferecidos pelos demais desenvolvedores – tanto que a participação dos desenvolvedores voluntários tem caído ano após ano: em 2012 era de 14,6%, em 2013 era 13,6%, em 2014 era 11,8% e em 2016 caiu para apenas 7,7%.
Windows x Linux: de acordo com a CVE, os sistemas operacionais mais vulneráveis de 2023 são justamente aqueles que utilizam o kernel do Linux:
1º lugar: Debian Linux
2º lugar: Android (sistema operacional com kernel do Linux)
3º lugar: Fedora Linux
4º lugar: Ubuntu Linux
5º lugar: Kernel do Linux
Por fim, uma aplicação com código aberto pode conter malware sem que ele seja detectado, como detalhado nesse interessante artigo que descreve três exemplos de programas de código aberto que realizavam ações maliciosas – afinal nem todos internautas têm capacidade ou interesse de analisar o código-fonte do programa que ele acabou de baixar.
Adicione a isso tudo o Chaos (malware que instala backdoor no Linux), o Dnsmasq (que tinha vulnerabilidades que permitia acesso remoto a roteadores, Linux, FreeBSD, OpenBSD, NetBSD e macOS), e até mesmo marca-passos com Linux têm vulnerabilidades que permitem ser hackeados.
Além disso, há tempos foi descoberto um bug simplório no Linux: bastava pressionar a tecla backspace por 28 vezes para acessar um PC com Linux que esteja protegido por senha ou qualquer outro método de autenticação(!), comprovando que não existe uma relação direta entre segurança e software de código aberto.
Até mesmo o mecanismo de segurança SELinux, considerado a melhor opção para deixar o Linux seguro, tinha uma vulnerabilidade crítica que podia ser explorada, e em 2019 foi descoberta uma falha noapt/apt-get que permitia execução de código remoto.
Além disso, nos últimos anos apareceram diversas vulnerabilidades antigas: https://thehackernews.com/2017/03/linux-kernel-vulnerability.html, http://securityaffairs.co/wordpress/57194/hacking/cve-2017-2636-linux-kernel-flaw.html, https://www.theguardian.com/technology/2016/oct/21/dirty-cow-linux-vulnerability-found-after-nine-years, etc.
O importante é que independentemente disso tudo, existem ÓTIMOS programas desenvolvidos com código aberto que eu inclusive recomendo seu uso, como o VLC e 7-Zip e outros – mas eles são recomendados por serem excelentes produtos, pois o fato deles serem código-aberto é irrelevante.
Windows x Linux: Linux é imune a malware?
Enquanto muitos acreditam que Linux é “imune a vírus”, o mundo real mostra que isso está muito longe da verdade. Como qualquer sistema operacional, não existe nada no Linux que impeça que eles sejam infectados por algum malware: a única maneira de bloquear um malware é utilizar um software criado especialmente para detectar, eliminar e remover ameaças digitais, ou seja, um antivírus.
Muitos linuxers acreditam que “Linux não precisa de antivírus” sem saber que somente um antivírus teria evitado sérios problemas de segurança digital (algo que o pessoal do kernel.org aprendeu “na marra” conforme eu detalhei acima), sendo que isso é ainda mais importante considerando que muitas vezes um servidor é invadido através de alguma vulnerabilidade que não depende do sistema operacional em si: aplicativo, navegador, rede local, etc.
Além disso, muitas vezes servidores Linux são infectados, mas essa informação está presente apenas em grupos e fóruns na internet – e a ausência desses casos na mídia ajuda a mascarar esse problema.
Em relação ao Linux ser imune a malwares, certamente os administradores de rede das empresas abaixo que sofreram ataques e prejuízos em seus servidores Linux também pensavam isso:
Uma empresa de hospedagem da Coréia do Sul precisou pagar US$ 1 milhão para ter acesso a 153 servidores Linux que foram hackeados, aonde os arquivos deles foram sequestrados pelo ransomware Erebus (que na época já era detectado pelos antivírus como RANSOM_ELFEREBUS.A).
A ESET publicou um documento detalhado sobre a Operação Windigo que em outubro de 2013 já tinha infectado mais de 12 mil servidores Linux e 25 mil servidores UNIX com vários trojans: Ebury, Cdorked, Omnimiki, aonde eles eram utilizados para roubo de dados, redirecionamento de tráfego e envio de spam.
A Kaspersky e Symantec descobriram o sofisticado trojan Turla que infectou servidores Linux por vários anos sem ser detectado – inclusive uma nova variante recém-descoberta.
A Sucuri detalhou o funcionamento de um rootkit que utiliza o SSHD do Linux
A imensa maioria dos dispositivos IoT utilizam Linux, e o firmware e aplicativos desses dispositivos são raramente atualizados ou monitorados – e o resultado não poderia ser outro: o aparecimento de malwares que infectam esses dispositivos IoT, transformando-os em zumbis de uma rede botnet (que eu detalho na aula 42 dos meus cursos de Manutenção de Windows).
Em 2016 o malware BASHLITE já havia infectado mais de um milhão de dispositivos IoT rodando Linux, sendo que 95% desses dispositivos são DVR (câmeras com gravação) e câmeras de segurança, 4% são roteadores e 1% são servidores Linux. Boa parte desses dispositivos estão no Brasil, Taiwan e Colômbia.
Recentemente a Dr.Web descobriu o Linux.BtcMine.174, um malware para servidores Linux que minera criptomoedas, além de baixar e executar o trojan Linux.BackDoor.Gates.9 que instala um backdoor no computador. O Linux.BtcMine,.174 é bastante poderoso pois ele remove arquivos, esvazia diretórios, rouba senhas e também instala um rootkit.
Outro exemplo é o trojan Mirai.Linux que infectou milhares de câmeras de segurança e lançou ataques DDoS (negação de serviço, que eu detalho na aula 42 dos meus cursos de Manutenção de Windows), além de ter infectado 900 mil roteadores da provedora de internet Deutsche Telekom.
Em 2017 apareceu o Hajime, um malware mais sofisticado do que o Mirai que infectou mais de 300 mil dispositivos IoT rodando Linux. Esse malware também mostra mensagens aleatórias como essa:
Em 2019 apareceram variantes do Mirai que utilizam 27 diferentes exploits para infectar dispositivos IoT rodando Linux: de projetores a TVs inteligentes.
Por fim, se Linux fosse imune a malwares, o próprio site Linux.com (mantido pela Linux Foundation) jamais publicaria um artigo mostrando como verificar se um computador com Linux está infectado por algum vírus ou malware.
Além disso, existem sites focados em Linux e destinados a administradores de redes com artigos focados nisso, como uma lista com cinco ferramentas para detectar e remover malwares desse sistema operacional
A conclusão disso tudo é que evidentemente no mundo real o Linux NÃO É imune a malwares.