Alberto Arebalos, Corporate Communications Manager de Cisco para
América Latina y Caribe, nos explica la postura y/o punto de vista de
Cisco sobre el caso que tratábamos ayer en Hispasec, de la repercusión
de las acciones emprendidas contra la difusión del estudio de Lynn en
la Black Hat.
De cara a no condicionar la lectura de la explicación, desde Hispasec
nos reservamos nuestra opinión sobre el particular, basada en los
datos publicados por las diferentes partes implicadas, incluido el
acceso a la presentación original de Lynn retirada de la Black Hat.
A continuación reproducimos íntegramente el comentario que nos ha
hecho llegar Alberto Arebalos para nuestros lectores de una-al-día:
Respecto al artículo, "Cisco en el punto de mira de los hackers",
acerca del incidente de Black Hat, un punto que me parece interesante
aclarar es que Cisco no censuró la presentación, el problema fue que
(y así lo entendió también la Corte de Distrito Federal) que Lynn no
respetó los protocolos aceptados en la industria para divulgar
problemas de este tipo.
La decisión de ISS y Cisco de ir a la justicia se tomó como acción de
último resorte para detener la difusión de información propietaria
(Lynn hizo ingeniería inversa del IOS).
Las acciones de Cisco con Lynn y Black Hat no se basaron en el
descubrimiento de una vulnerabilidad, sino que ellos optaron por hacer
su divulgación fuera de los canales establecidos por la industria.
Existen protocolos y procedimientos para la difusión de
vulnerabilidades en el software, justamente con el objetivo de evitar
ataques criminales contra los sistemas. Cisco entendió que lo que
hicieron Lynn y Black Hat no fue en beneficio de los usuarios de
Internet.
La Corte también aceptó el hecho que Cisco y ISS prepararon una
presentación alternativa que discutía temas de seguridad en Internet,
incluso la vulnerabilidad que Lynn había identificado, pero sin revelar
código del IOS que podría ayudar a un hacker a explotar la
vulnerabilidad.
La vulnerabilidad había sido detectada a tiempo y el parche estaba
disponible, y la acción de Lynn y Black Hat no puede verse como la
de guardianes de los intereses de los usuarios sino todo lo contrario.
Cisco tiene un sistema desde hace años que se encarga de detectar y
avisar a sus clientes de problemas de este tipo con el objetivo de
minimizar los riesgos en sus sistemas. Poner en riesgo la seguridad
de los mismos por 15 minutos de fama es demasiado oneroso.
Alberto Arebalos
Corporate Communications Manager
Cisco Systems, America Latina y Caribe
Más información:
03/08/2005 – Cisco en el punto de mira de los hackers
http://www.hispasec.com/unaaldia/2475
Deja un comentario