El reciente ataque a diversos servidores oficiales de la distribución Debian ha sido lo sufientemente difundido como para que a estas alturas todos los usuarios estemos bien informados al respecto. Según parece, el repositorio Debian no se vió afectado, por lo que los usuarios de Debian no deben preocuparse acerca de haber introducido software malicioso en sus sistemas a raíz de este ataque. Es cierto que este hecho, al igual que el reciente intento de implantar una puerta trasera en el código fuente del núcleo de Linux, han provocado cierta atención sobre la vulnerabilidad de los respositorios de software libre. Un atacante que fuese capaz de introducir una pequeña porción de código malicioso en el sitio “adecuado” podría llegar comprometer a miles de sistemas.
Menos atención ha recibido el coste producido por la indisponibilidad de los servidores Debian. En mayor o menor medidad, todos los usuarios de Debian se han visto afligidos por la incapacidad de acceder a los distintos servicios. Quienes peor lo han pasado han sido los propios desarrolladores de Debian, que se han visto completamente detenidos en su intento de publicar la nueva versión 3.0r2. Si se hubiera producido un importante incidente de seguridad mientras los servidores de Debian no estaban disponibles, hubiera sido imposible para el proyecto dar una respuesta rápida y efectiva.
Los sistemas Linux están en constante evolución. Incluso los sistemas más estables necesitan actualizaciones ocasionales para mantenerse seguros. Los usuarios Linux dependen de la disponibilidad de la infraestructura de soporte de sus distribuciones para mantener sus sistemas al día. Este tipo de ataque, que lleva a la indisponibilidad de dicha infraestructura, daña a usuarios en todo el mundo y podría dejarles sin capacidad de respuesta frente a problemas serios. Una vez más, hemos sido avisados de que la infraestructura que soporta al Software Libre no es lo suficientemente robusta y segura. Es hora de que nos pongamos manos a la obra.
Hasta la semana que viene.
Editorial publicada originalmente en el Boletín de Noticias Linux nº 91 (2ª época) el 4 de diciembre de 2003.