En la editorial de la semana pasada hablábamos del reciente ataque a diversos servidores oficiales de Debian, concluyendo que esta acción era un “agrio” recordatorio sobre la importancia de la seguridad en sistemas en producción de acceso público. Tal y como también hemos comentado en pasados boletines, la aplicación diligente de parches de seguridad es uno de los mecanismos disponibles para protegerse de vulnerabilidades conocidas (con lo que se hubiera evitado el desastre del gusano de SQL Server), pero con respecto al caso de Debian, ¿como puede uno evitar, o al menos reducir la probabilidad, de que un atacante aproveche una vulnerabilidad desconocida?

Entre las posibles soluciones, una de las más populares y recomendadas es la de la aplicación al núcleo de diversos parches de implantación de sistemas de seguridad, como la protección frente a desbordamientos de buffers y pila, el confinamiento de procesos críticos en “cárceles”, los sistemas de detección de intrusiones o las políticas de control de acceso a recursos. Sin embargo, la mayoría de las distribuciones Linux así como los desarrolladores del núcleo no están aún convencidos de la necesidad de implementar alguna de estas soluciones en sus productos. Entre las principales razones esgrimidas para justificar este escepticismo se encuentra el respeto/miedo que genera incluir nuevo código directamente en el núcleo.

Aún así, existen diversas iniciativas que pretenden cumplir con el objetivo de ofrecer un núcleo realmente seguro, como SELinux, la distro desarrollada con el apoyo de la Agencia de Seguridad Nacional (NSA) de los EEUU. Proyectos como éste confirman la existencia de una tendencia en la comunidad Linux hacia productos construidos en base a la seguridad como parámetro principal. Esperemos que esta tendencia se extienda y popularice para evitarnos en el futuro más sorpresas desagradables como la de los servidores Debian.

Hasta la semana que viene.

Editorial publicada originalmente en el Boletín de Noticias Linux nº 92 (2ª época) el 12 de diciembre de 2003.