Semana 27 Enero - 2 Febrero 2003
Editorial
Debido al gran impacto producido por el gusano “SQL Slammer”, en la editorial de la semana pasada analizamos si este desafortunado hecho, exclusivo en esta ocasión de las plataformas Microsoft, podría reproducirse en entornos de Software Libre. La conclusión fue que, desde el punto de vista del componente humano de los sistemas, sí era posible. ¿Pero y desde la consideración de la naturaleza de las propias plataformas?
Si hay algo de lo que se ha acusado recurrentemente a cualquier entorno propietario es precisamente de la falta de información para los administradores del sistema para enfrentarse a posibles problemas de seguridad. Dado que en la mayoría de los casos la única documentación disponible es la que genera el propio fabricante, el responsable del sistema se ve obligado a confiar la integridad de sus sistemas en el criterio y las capacidades de aquél. Esto es lo que se conoce como “seguridad a través de la oscuridad” y sus inconvenientes son varios y de importancia.
En primer lugar, y como ya hemos comentado, la seguridad de nuestros sistemas se ven en manos de de terceros. Así mismo, estamos a merced de la política de publicación de parches del fabricante, que no tiene por qué coincidir con las necesidades reales de los sistemas. También hay que considerar que, a pesar de que el fabricante oculte información, es posible (como ya se ha demostrado en numerosas ocasiones) que un pirata encontre un agujero y que lo empiece a aprovecharlo activamente, algo de lo que no estaría informado el administrador del sistema y ante lo que no podría hacer nada ya que el fabricante no se ha pronunciado al respecto (por puro desconocimiento). Por último, el hecho de no contar con los fuentes de la plataforma impide que cualquier persona concienciada pueda auditarla y descubrir no sólo agujeros de seguridad sino incluso puertas traseras dejadas ahí maliciosamente por los desarrolladores del fabricante (también se conocen casos).
Nada de lo descrito en el párrafo anterior ocurre en el ámbito del Software Libre, que defiende la filosofía de la “seguridad a través de la claridad”. Basta con leer el párrafo al contrario para conocer las ventajas de una plataforma abierta. Como ejemplo clarificador, piensen que cuando se descubre un fallo de seguridad, cualquier administrador medianamente responsable (recuerden la editorial de la semana pasada) podrá estar tan informado como cualquier pirata del problema, lo que elimina automáticamente la ventaja con que contaban los malhechores.
Por tanto, si queremos la máxima seguridad en nuestros sitemas, debemos contar con dos cosas fundamentales: plataformas basadas en Software Libre y administradores cualificados. Con eso tendremos asegurado un 99% de éxito en nustra tarea de defender la integridad de los sistemas. Contra el 1% restante no hay nada que hacer, sólo pedir que no nos toque a nosotros, ya que queda en manos de lo que Andrew Tanenbaum bautizó como “la ira de Dios”: accidentes, catástrofes naturales, conflictos bélicos…
Hasta la semana que viene.
Empresa
Microsoft gana un premio Linux
El ganador del premio al mejor software de fuentes abiertas de integración de sistemas en la reciente LinuxWorld Expo ha sido “Services for Unix 3.0” de Microsoft, que sin embargo se trata de un producto para sistemas Windows NT4, 2000 y XP Professional. El componente Unix/Linux es necesario para acceder a sistemas Unix. Los puristas ya han argumentado que no se trata de un software abierto como tal.
Enlaces:
Sony anuncia servidor inalámbrico basado en Linux
Sony ha anunciado el FSV-PGX1, un servidor de ficheros inalámbrico portátil basado en Linux 2.4.20 con ext3 y soporte CIFS/SMB, NFS y ftp a través del protocolo IEEE 802.11b. Sus dimensiones son 8,31 x 3,10 x 15,50 cm. y pesa 390 gr.
Enlaces:
- http://www.sony.jp/products/Consumer/PGX/ (en japonés)
Distribuciones
Nueva política de ciclo de vida en Mandrake Linux
MandrakeSoft ha anunciado una nueva política respecto al ciclo de vida de Mandrake Linux. Con la publicación de Mandrake Linux 9.1, MandrakeSoft ofrecerá 12 meses de soporte “de escritorio” (navegadores, ofimática, gestores de ventanas) y 18 meses de soporte “base” (el núcleo, Apache) para distribuciones. En cualquier caso, MandrakeSoft podrá decidir alargar el soporte para ciertas versiones de Mandrake Linux.
Los primeros afectados por esta política son las versiones 7.2 y 8.0 de Mandrake Linux, que se quedan sin soporte “de escritorio” inmediatamente.
Enlaces:
Certificación LSB para las principales distribuciones Linux
El Free Standards Group ha anunciado que los más importantes fabricantes de Linux han solicitado y aprobado el proceso de certificación Linux Standards Base Certification, con las notables excepciones de Slackware y Debian. El motivo principal de estas ausencias parece ser que, según la versión 1.3 de la especificación LSB, las aplicaciones deben proveerse en el formato de paquete RPM, algo en contra de la propia naturaleza de ambas distribuciones.
En el caso de Debian, ya es compatible LSB en muchos aspectos y, aunque su formato de paquete es dpkg, incluye soporte para RPM. Así mismo, Debian incluye un paquete “lsb” que configura el sistema para ser compatible con LSB. Lo que le falta a Debian es una entidad que se encargue del papeleo y abone las tarifas requeridas para la certificación. Debian es un grupo de voluntarios sin entidad legal para firmar toda la documentación requerida. Estos temas impiden que Debian obtenga la certificación aun cuando ya ha conseguido la compatibilidad LSB.
Núcleo
Linux 2.5 ya soporta NUMA
Linus Torvalds ha aceptado oficialmente la inclusión de un parche creado por IBM que añade soporte para sistemas NUMA (Non-Uniform Memory Access).
Este modelo de memoria es usado por servidores de gama alta con un alto número de procesadores, y como caso especial, por la arquitectura x86-64 de AMD.
El núcleo 2.6/3.0 será en definitiva un gran cambio para los sistemas servidor, donde Linux ya ha demostrado su buen comportamiento. Además, con el soporte para la tecnología HT de Intel, los equipos de escritorio verán aumentado su rendimiento.
Seguridad
Vulnerabilidad en MySQL
Las versiones del servidor de base de datos MySQL anteriores a la 3.23.55 poseen un error por el cual sería posible que un cliente hostil consiguiese tirar el servicio. El error es debido a una errata conocida como “double free”, usualmente producida al intentar liberar dos veces el mismo espacio de memoria.
Software
KDE 3.1, al fin
El proyecto KDE ha anunciado la publicación de la esperadísima edición KDE 3.1. La lista de nuevas características es larga, e incluye mejoras en seguridad, mayor control administrativo sobre escritorios, una nueva plataforma de desarrollo web, nuevos iconos y juegos y mucho más.
Enlaces:
- http://www.kde.org/announcements/announce-3.1.html
- https://web.archive.org/web/20030205/http://promo.kde.org/3.1/feature_guide.php
MySQL 4.1
Aprovechando la LinuxWorld Conference & Expo, MySQL AB ha anunciado la nueva versión 4.1 del popular gestor de bases de datos MySQL. Lo más destacable de esta edición es que por fin se ha dotado a MySQ de la capacidad de realizar “subselects”. Así mismo, se han incluido numerosas mejoras en rendimiento y seguridad que facilitan el desarrollo de aplicaciones empresariales a gran escala con MySQL.
Enlaces:
Ocio
Parsec se convierte en software abierto
Parsec es un espectacular juego multijugador de naves espaciales, que hasta ahora era distribuido como shareware, va a efectuar un giro en su filsofía y los desarrolladores están preparando el código fuente para distribuirlo libremente.
Esta edición de fuentes soportará las plataformas Win32, MacOS X y Linux, y los APIs OpenGL y Glide. La fecha indicada es a principios del próximo Mayo.
Enlaces:
Serious Sam Beta 2
Nueva versión del “port” para Linux del afamado juego Serious Sam. Se corrigen errores como la cantidad de cohetes señalados en el interfaz, el enfoque del ratón al cambiar los modos pantalla completa/ventana, y se puede usar ya el Loki Update para actualizar la beta, entre otras cosas.
Enlaces: