El problema WMF y la ética de una computación confiable

El problema WMF y la ética de una computación confiable
	VSantivirus No. 2003 Año 10, lunes 2 de enero de 2006 El problema WMF y la ética de una computación confiable http://www.vsantivirus.com/01-01-06.htm Por Jose Luis Lopez ()* videosoft@videosoft.net.uy En el Internet Storm Center, Tom Liston es muy claro: "la vulnerabilidad de Microsoft WMF es mala. Es muy, muy mala. Hemos recibido muchos correos electrónicos de personas que dicen que nadie en un ambiente corporativo aceptará utilizar un parche no oficial". "Aceptable o no, las personas, usted, tiene que confiar en alguien en esta situación", continúa Liston. "Según mi leal saber y entender, nosotros [el ISC y el SANS Institute], no hemos pedido nunca su confianza: nosotros la hemos ganado. Ahora usaremos algo de esa confianza ganada con sudor. Esta es una situación mala que cada vez se pone peor. La mejor respuesta que nuestra sabiduría colectiva puede dar hoy, está contenida en este consejo: desregistrar SHIMGVW.DLL y aplicar el parche no oficial. Usted necesita confiar en nosotros." Liston también nos hace ver algo que no puede pasar inadvertido. El 31 de diciembre, a pocas horas del final del año, se anunció la publicación de un exploit "nuevo y mejorado" para la vulnerabilidad WMF (ver "Alerta ante nuevo exploit para la vulnerabilidad WMF", http://www.vsantivirus.com/31-12-05.htm). Este nuevo código genera archivos lo suficientemente diferentes como para evitar la mayoría de los productos antivirus, al menos en un primer momento (NOD32 entre ellos). Publicar esta clase de código en un fin de semana de vacaciones, en un momento tan particular como un fin de año, es un acto muy irresponsable. De modo que, mientras la mayoría de las personas contaban los minutos para recibir el nuevo año, un grupo de voluntarios renunció a estas fiestas para reunirse en equipo y poner todo su conocimiento e intelecto colectivo para enfrentarse a la situación que esta imprudente liberación creaba. Cómo el ISC y Liston explican, mientras algunos probaban el exploit, otros se ponían en contacto con los fabricantes de antivirus, algunos más preparaban las condiciones para encontrar un medio válido que mitigara la vulnerabilidad. El resto probaba los parches y las soluciones que surgían de ese trabajo de equipo. Liston agrega "fui privilegiado para ser parte de ese equipo, y estoy increíblemente orgulloso de todos los que participaron en él. Cuando llegó a ser obvio que el "parche" que preparábamos era esencialmente lo mismo que ya había sido creado por Ilfak Guilfanov, le escribimos a él para preguntarle si podríamos redistribuir el suyo. El fue increíblemente amable y cortés en permitirnos hacerlo así, y aún para trabajar con él verificando varios cambios que permitieron que el parche trabajara en una gran variedad de sistemas de Windows." "Hemos escudriñado cuidadosamente este parche. El mismo hace sólo lo que se anuncia, es reversible [puede desinstalarse fácilmente], y, en nuestra opinión, es tan seguro como efectivo.", afirma Liston. Y aún es más crítico al afirmar: "El discurso de Redmond no es alentador. No hemos oído nada que parezca indicar que veremos algo de parte de Microsoft antes del 9 de enero". Y continúa: "El resultado es este: Usted no puede esperar por un parche oficial de Microsoft, usted no puede bloquear esto en la frontera [en el acceso a su PC], y usted no puede dejar sus sistemas desprotegidos". Y culmina con una frase que apoyamos completamente: "Es tiempo para una verdadera computación confiable. Todo lo que le preguntamos, es si nosotros no hemos demostrado ser dignos de su confianza". Artículo original: Trustworthy Computing http://isc.sans.org/diary.php?rss&storyid=996 Relacionados: Alerta ante nuevo exploit para la vulnerabilidad WMF http://www.vsantivirus.com/31-12-05.htm Todo lo que hay que saber sobre el exploit WMF http://www.vsantivirus.com/faq-wmf-exploit.htm Parche NO oficial para la vulnerabilidad WMF http://www.vsantivirus.com/vul-wmf-parche.htm (*) Jose Luis Lopez es el responsable de contenidos de VSAntivirus.com, y director técnico y gerente general de NOD32 Uruguay. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com