Debido al gran impacto producido por el gusano “SQL Slammer”, en la editorial de la semana pasada analizamos si este desafortunado hecho, exclusivo en esta ocasión de las plataformas Microsoft, podría reproducirse en entornos de Software Libre. La conclusión fue que, desde el punto de vista del componente humano de los sistemas, sí era posible. ¿Pero y desde la consideración de la naturaleza de las propias plataformas?

Si hay algo de lo que se ha acusado recurrentemente a cualquier entorno propietario es precisamente de la falta de información para los administradores del sistema para enfrentarse a posibles problemas de seguridad. Dado que en la mayoría de los casos la única documentación disponible es la que genera el propio fabricante, el responsable del sistema se ve obligado a confiar la integridad de sus sistemas en el criterio y las capacidades de aquél. Esto es lo que se conoce como “seguridad a través de la oscuridad” y sus inconvenientes son varios y de importancia.

En primer lugar, y como ya hemos comentado, la seguridad de nuestros sistemas se ven en manos de de terceros. Así mismo, estamos a merced de la política de publicación de parches del fabricante, que no tiene por qué coincidir con las necesidades reales de los sistemas. También hay que considerar que, a pesar de que el fabricante oculte información, es posible (como ya se ha demostrado en numerosas ocasiones) que un pirata encontre un agujero y que lo empiece a aprovecharlo activamente, algo de lo que no estaría informado el administrador del sistema y ante lo que no podría hacer nada ya que el fabricante no se ha pronunciado al respecto (por puro desconocimiento). Por último, el hecho de no contar con los fuentes de la plataforma impide que cualquier persona concienciada pueda auditarla y descubrir no sólo agujeros de seguridad sino incluso puertas traseras dejadas ahí maliciosamente por los desarrolladores del fabricante (también se conocen casos).

Nada de lo descrito en el párrafo anterior ocurre en el ámbito del Software Libre, que defiende la filosofía de la “seguridad a través de la claridad”. Basta con leer el párrafo al contrario para conocer las ventajas de una plataforma abierta. Como ejemplo clarificador, piensen que cuando se descubre un fallo de seguridad, cualquier administrador medianamente responsable (recuerden la editorial de la semana pasada) podrá estar tan informado como cualquier pirata del problema, lo que elimina automáticamente la ventaja con que contaban los malhechores.

Por tanto, si queremos la máxima seguridad en nuestros sitemas, debemos contar con dos cosas fundamentales: plataformas basadas en Software Libre y administradores cualificados. Con eso tendremos asegurado un 99% de éxito en nustra tarea de defender la integridad de los sistemas. Contra el 1% restante no hay nada que hacer, sólo pedir que no nos toque a nosotros, ya que queda en manos de lo que Andrew Tanenbaum bautizó como “la ira de Dios”: accidentes, catástrofes naturales, conflictos bélicos…

Hasta la semana que viene.

Editorial publicada originalmente en el Boletín de Noticias Linux nº 58 (2ª época) el 5 de febrero de 2003.