"Se invierte mucho dinero en seguridad, pero, la situación es peor, porque también se invierte mucho dinero en intentar romperla" Esta es una de las afirmaciones que según news.com, ha lanzado Alan Cox mientras asistía a la LinuxWord de Londres celebrada hace pocos días. Alan Cox, respetado desarrollador del núcleo de Linux y actual trabajador de Red Hat, se queja de la autocomplacencia del mundo del código abierto con respecto a la seguridad. (Publicado por Hispasec - una al día)
Alan Cox conoce el mundo del código abierto. Ha programado activamente el núcleo de Linux e incluso tenía su propia versión de la rama 2.4. Según publica news.com, sus declaraciones no tienen desperdicio.
Advierte de que mucho código abierto está lejos de ser seguro y que se están invirtiendo grandes sumas de dinero en intentar romper la seguridad de este código. Aunque no lo menciona, es fácil constatar que en los últimos meses se han puesto en marcha varias iniciativas desde empresas privadas (más las iniciativas que con toda seguridad existen "en la oscuridad") que incentivan el descubrimiento de problemas de
seguridad, que se ha convertido en un negocio a todos los niveles. No sólo en el código abierto, sino en todo tipo de filosofía. Se paga a cambio del conocimiento de los detalles de la vulnerabilidad, por la exclusividad de la publicación del fallo bajo el nombre de la empresa. Cuanto más crítico el problema, más jugoso el premio. Este es el caso de iDefense, o TrippingPoint. Por ahora, se le pueden adjudicar varias publicaciones de vulnerabilidades que han visto la luz a través de estos
proyectos, tanto en productos de código abierto como "cerrado".
"Lo que aparece en los medios de comunicación como que el código abierto es seguro y más fiable y que tiene menos fallos son afirmaciones muy peligrosas", dijo Cox. "Un análisis de 150 proyectos de SourceForge (un repositorio de software de código abierto) no obtendría los mismos buenos resultados que el núcleo de Linux. La alta calidad sólo se aplica a algunos proyectos, los que tienen buenos autores y buenas revisiones de código".
Alan Cox continua: "El debate de Microsoft diciendo "Mira qué seguros somos" contra Linux afirmando "Nosotros somos más seguros" no se está enfocando en los puntos importantes". Esta es una de las afirmaciones que podemos considerar particularmente más lúcidas. En los últimos meses, esta estéril discusión se ha materializado especialmente en la constante comparación (casi competitiva) de la comunidad entre los navegadores Internet Explorer y Firefox, su número de errores, la criticidad, la rapidez para corregirlos... algo que como bien opina Cox, no es realmente la cuestión.
Cox, por otro lado, también habló del nuevo proyecto llamado Software Quality Observatory for Open Source Software (SQO-OSS) fundado por la Comisión Europea y estrenado recientemente. Pretende medir la calidad del código abierto de manera estricta y cuantificable a través de fórmulas establecidas. Respecto al proyecto, parece no tenerlo del todo claro y dijo que "es bueno establecer medidas, y SQO-OSS tiene un gran potencial, pero existen problemas con esto, y riesgos asociados a este
tipo de metodología".
Alan Cox conoce el mundo del código abierto. Ha programado activamente el núcleo de Linux e incluso tenía su propia versión de la rama 2.4. Según publica news.com, sus declaraciones no tienen desperdicio.
Advierte de que mucho código abierto está lejos de ser seguro y que se están invirtiendo grandes sumas de dinero en intentar romper la seguridad de este código. Aunque no lo menciona, es fácil constatar que en los últimos meses se han puesto en marcha varias iniciativas desde empresas privadas (más las iniciativas que con toda seguridad existen "en la oscuridad") que incentivan el descubrimiento de problemas de
seguridad, que se ha convertido en un negocio a todos los niveles. No sólo en el código abierto, sino en todo tipo de filosofía. Se paga a cambio del conocimiento de los detalles de la vulnerabilidad, por la exclusividad de la publicación del fallo bajo el nombre de la empresa. Cuanto más crítico el problema, más jugoso el premio. Este es el caso de iDefense, o TrippingPoint. Por ahora, se le pueden adjudicar varias publicaciones de vulnerabilidades que han visto la luz a través de estos
proyectos, tanto en productos de código abierto como "cerrado".
"Lo que aparece en los medios de comunicación como que el código abierto es seguro y más fiable y que tiene menos fallos son afirmaciones muy peligrosas", dijo Cox. "Un análisis de 150 proyectos de SourceForge (un repositorio de software de código abierto) no obtendría los mismos buenos resultados que el núcleo de Linux. La alta calidad sólo se aplica a algunos proyectos, los que tienen buenos autores y buenas revisiones de código".
Alan Cox continua: "El debate de Microsoft diciendo "Mira qué seguros somos" contra Linux afirmando "Nosotros somos más seguros" no se está enfocando en los puntos importantes". Esta es una de las afirmaciones que podemos considerar particularmente más lúcidas. En los últimos meses, esta estéril discusión se ha materializado especialmente en la constante comparación (casi competitiva) de la comunidad entre los navegadores Internet Explorer y Firefox, su número de errores, la criticidad, la rapidez para corregirlos... algo que como bien opina Cox, no es realmente la cuestión.
Cox, por otro lado, también habló del nuevo proyecto llamado Software Quality Observatory for Open Source Software (SQO-OSS) fundado por la Comisión Europea y estrenado recientemente. Pretende medir la calidad del código abierto de manera estricta y cuantificable a través de fórmulas establecidas. Respecto al proyecto, parece no tenerlo del todo claro y dijo que "es bueno establecer medidas, y SQO-OSS tiene un gran potencial, pero existen problemas con esto, y riesgos asociados a este
tipo de metodología".
Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2925/comentar
Más información:
Linux guru warns on security of open-source code
http://news.com.com/2100-1002_3-6129835.html
SQO-OSS: Software Quality Observatory for Open Source Software
http://www.sqo-oss.eu/
Zero Day Initiative
http://www.zerodayinitiative.com/
Vulnerability contributor program
http://labs.idefense.com/vcp/
Alan Cox
http://en.wikipedia.org/wiki/Alan_Cox
Sergio de los Santos
ssantos@hispasec.com
http://www.hispasec.com/unaaldia/2925/comentar
Más información:
Linux guru warns on security of open-source code
http://news.com.com/2100-1002_3-6129835.html
SQO-OSS: Software Quality Observatory for Open Source Software
http://www.sqo-oss.eu/
Zero Day Initiative
http://www.zerodayinitiative.com/
Vulnerability contributor program
http://labs.idefense.com/vcp/
Alan Cox
http://en.wikipedia.org/wiki/Alan_Cox
Sergio de los Santos
ssantos@hispasec.com
No hay comentarios.:
Publicar un comentario
Bienvenido al blog y muchas gracias por su visita. Espero que el contenido sea de utilidad, interés y agrado.
Los comentarios están moderados. Antes de colocar un comentario lea bien las condiciones, tenga en cuenta que no se permitirán comentarios que:
- sean anónimos y/o posean sólo un nickname.
- no estén vinculados a una cuenta.
- posean links promocionando páginas y/o sitios.
- no se admite propaganda de ningún tipo
- puedan resultar ofensivos o injuriosos
- incluyan insultos, alusiones sexuales innecesarias y
palabras soeces o vulgares
- apoyen la pedofilia, el terrorismo o la xenofobia.
Este Blog ni su autor tiene responsabilidad alguna sobre comentarios de terceros, los mismos son de exclusiva responsabilidad del que los emite. De todas maneras, por responsabilidad editorial me reservo el derecho de eliminar aquellos comentarios que considere inadecuados, abusivos, injuriantes, discriminadores y/o contrarios a las leyes de la República Argentina.