Semana 12 - 18 Abril 2004
Editorial
Cuando se descubre una vulnerabilidad de seguridad, las acciones correctas a llevar a cabo son preparar un parche y conseguir que se distribuya lo más rápida y extensamente posible. Sin embargo, hay aún hoy en día quien piensa todo lo contrario, que la distribución de parches se debe enlentecer, no acelerar. Obviamente, se refieren a parches que resuelven problemas descubiertos por hackers “de sombrero blanco”, en oposición a las vulnerabilidades que ya estén siendo activamente explotadas por hackers maliciosos.
No hay duda de que un parche de seguridad ofrece un camino pavimentado para cualquiera que esté buscando vulnerabilidades, de forma que un cracker sólo tiene que mirar al trozo de código que está siendo arreglado. La publicación de un parche de seguridad permite a los administradores de sistemas cerrar un agujero, pero a la vez anuncia a todo el mundo la existencia y localización de dicho agujero. En este punto comienza una carrera en la que los administradores intentan aplicar el parche antes de que los crackers consigan explotar la vulnerabilidad.
Lo que se necesita, por tanto, es un método que otorgue a los defensores una ventana de tiempo mayor para obtener los parches antes de que la información acerca de la vulnerabilidad se distribuya. A día de hoy existen diversos mecanismos que están en funcionamiento, pero que arrojan resultados lejanos al 100% de efectividad deseado, como la inclusión de parches en las actualizaciones a nuevas versiones de software o las diversas listas de correo dedicadas a la seguridad de sistemas.
En busca de esa mayor efectividad, se está estudiando un nuevo método, que consiste en la distribución inicial de parches encriptados, perfectamente aplicables al sistema pero cuyo contenido no se puede consultar hasta que se distribuya posteriormente la clave de desencriptación. Este método, sin embargo, debe enfrentarse aún a diversos problemas de diseño para que sea realmente efectivo, como la posibilidad de ataques de denegación de servicio contra la distribución de la clave o los problemas legales de incompatibilidad con software GPL. Aunque a priori parece una solución que puede causar más problemas de los que resuelve, no hay duda que que es una opción interesante con lo que nos gustaría contar en el futuro.
Hasta la semana que viene.
Noticias
Microsoft publica código fuente bajo licencia pública
Microsoft ha hecho público el código fuente de Windows Installer XML, un grupo de herramientas internas de desarrollo de paquetes de instalación para Windows NT y 2000. Hasta la fecha, Microsoft había publicado código fuente bajo una variedad de licencias, todas ellas con el denominador de “código compartido”. La novedad es que la compañía lo hace ahora bajo la licencia IBM Common Public License, una verdadera licencia de código abierto OSI.
Enlaces:
Ataque a supercomputadores Linux
Atacantes desconocidos han comprometido un buen número de sistemas Linux y Solaris en redes de computación de alta velocidad en la Universidad de Stanford y otras instalaciones académicas de investigación, según una nota de seguridad publicada por el grupo ITSS de dicha universidad.
Los ataques, de una elevada sofisticación, consiguieron irrumpir en los primeros sistemas el pasado 3 de Abril. Los atacantes parecen haber elegido deliberadamente como objetivo a sistemas residentes en entornos de alta computación de ambientes académicos, en vez de realizar ataques indiscriminados.
Enlaces:
Gaim 0.76 publicado
Se ha anunciado la disponibilidad de la nueva versión 0.76 de Gaim, el popular cliente de mensajería instantánea multiprotocolo. Esta edición incluye numerosas resoluciones de fallos, novedades (como la transferencia de ficheros a través de IRC o el soporte de Mozilla Firefox) y mejoras (principalmente en la accesibilidad).
Enlaces:
AbiWord 2.0.6 disponible
El equipo de desarrollo de AbiWord ha anunciado la versión 2.0.6 del popular procesador de textos para el escritorio GNOME. Esta edición resuelve diversos problemas presentes en las versiones anteriores, especialmente el antiguo fallo de “Copiar y Pegar”.
Enlaces:
Mandrakelinux 10.0 Official publicado
Mandrakesoft ha anunciado la disponibilidad de Mandrakelinux 10.0 Official, tras dos meses puliendo y mejorando la edición Community. Mandrakelinux 10.0 Official incluye el núcleo 2.6, KDE 3.2 y GNOME 2.4, así como un inmejorable reconocimiento de hardware y soporte para Serial ATA, IEEE 1394 y USB2.
Al igual que la edición Community, se presenta en tres ediciones: Discovery, PowerPack y PowerPack+. Como ha sido habitual hasta ahora, probablemente sólo llegue a España la versión PowerPack, a un precio sugerido de 79,90 EUR.
Enlaces:
Hace un año…
…Novell anunciaba el lanzamiento de un nuevo sitio web, Novell Forge, diseñado como fuente de recursos para los desarrolladores de código abierto
…Martin Michlmayr se convertía en el líder del Proyecto Debian para el 2003, sustituyendo a Bdale Garbee
…Red Hat presentaba la versión 9 de su popular distribución Linux
…se descubría una importante vulnerabilidad en todas las versiones de KDE relacionada con el uso de GhostScript a la hora de visualizar ficheros PS y PDF
Software ASLinux
Paquetes software añadidos al portal de ASLinux esta semana.
- Actualizaciones
No se han publicado actualizaciones
- Software extra
No se han publicado nuevos paquetes