«Se invierte mucho dinero en seguridad, pero, la situación es peor,
porque también se invierte mucho dinero en intentar romperla» Esta es
una de las afirmaciones que según news.com, ha lanzado Alan Cox mientras
asistía a la LinuxWord de Londres celebrada hace pocos días. Alan Cox,
respetado desarrollador del núcleo de Linux y actual trabajador de Red
Hat, se queja de la autocomplacencia del mundo del código abierto con
respecto a la seguridad.
Alan Cox conoce el mundo del código abierto. Ha programado activamente
el núcleo de Linux e incluso tenía su propia versión de la rama 2.4.
Según publica news.com, sus declaraciones no tienen desperdicio.
Advierte de que mucho código abierto está lejos de ser seguro y que se
están invirtiendo grandes sumas de dinero en intentar romper la
seguridad de este código. Aunque no lo menciona, es fácil constatar que
en los últimos meses se han puesto en marcha varias iniciativas desde
empresas privadas (más las iniciativas que con toda seguridad existen
«en la oscuridad») que incentivan el descubrimiento de problemas de
seguridad, que se ha convertido en un negocio a todos los niveles. No
sólo en el código abierto, sino en todo tipo de filosofía. Se paga a
cambio del conocimiento de los detalles de la vulnerabilidad, por la
exclusividad de la publicación del fallo bajo el nombre de la empresa.
Cuanto más crítico el problema, más jugoso el premio. Este es el caso de
iDefense, o TippingPoint. Por ahora, se le pueden adjudicar varias
publicaciones de vulnerabilidades que han visto la luz a través de estos
proyectos, tanto en productos de código abierto como «cerrado».
«Lo que aparece en los medios de comunicación como que el código abierto
es seguro y más fiable y que tiene menos fallos son afirmaciones muy
peligrosas», dijo Cox. «Un análisis de 150 proyectos de SourceForge (un
repositorio de software de código abierto) no obtendría los mismos
buenos resultados que el núcleo de Linux. La alta calidad sólo se aplica
a algunos proyectos, los que tienen buenos autores y buenas revisiones
de código».
Alan Cox continua: «El debate de Microsoft diciendo «Mira qué seguros
somos» contra Linux afirmando «Nosotros somos más seguros» no se está
enfocando en los puntos importantes». Esta es una de las afirmaciones
que podemos considerar particularmente más lúcidas. En los últimos
meses, esta estéril discusión se ha materializado especialmente en la
constante comparación (casi competitiva) de la comunidad entre los
navegadores Internet Explorer y Firefox, su número de errores, la
criticidad, la rapidez para corregirlos… algo que como bien opina Cox,
no es realmente la cuestión.
Cox, por otro lado, también habló del nuevo proyecto llamado Software
Quality Observatory for Open Source Software (SQO-OSS) fundado por la
Comisión Europea y estrenado recientemente. Pretende medir la calidad
del código abierto de manera estricta y cuantificable a través de
fórmulas establecidas. Respecto al proyecto, parece no tenerlo del todo
claro y dijo que «es bueno establecer medidas, y SQO-OSS tiene un gran
potencial, pero existen problemas con esto, y riesgos asociados a este
tipo de metodología».
ssantos@hispasec.com
Más información:
Linux guru warns on security of open-source code
http://news.com.com/2100-1002_3-6129835.html
SQO-OSS: Software Quality Observatory for Open Source Software
http://www.sqo-oss.eu/
Zero Day Initiative
http://www.zerodayinitiative.com/
Vulnerability contributor program
http://labs.idefense.com/vcp/
Deja una respuesta