Empresas proponen directrices para avisar sobre fallos inform¨¢ticos
La coalici¨®n Organization for Internet Safety (OIS), auspiciada por Microsoft y que re¨²ne a 11 compa?¨ªas, entre ellas Internet Security Systems, Network Associates, Oracle, Symantec y SGI, ha hecho p¨²blicas una serie de directrices para estandarizar las relaciones entre las empresas creadoras de programas y los investigadores que encuentran fallos en ¨¦stos.
El documento quiere poner fin a la pol¨¦mica sobre cu¨¢nta informaci¨®n de una vulnerabilidad debe darse a conocer y cu¨¢ndo. La comunidad de seguridad ha respondido calificando la propuesta de "rid¨ªcula".
El texto, abierto a comentarios hasta el 7 de julio, pide que las empresas inform¨¢ticas respondan antes de siete d¨ªas a quien les notifique una vulnerabilidad y se comprometan a solucionarla en menos de un mes. Los investigadores, por su parte, no deben publicar exploits (c¨®digo que demuestra el fallo) ni dar datos t¨¦cnicos hasta 30 d¨ªas despu¨¦s de que el parche est¨¦ en circulaci¨®n. Pasado ese tiempo, podr¨¢n ofrecer la informaci¨®n a "organizaciones como instituciones acad¨¦micas que investiguen en seguridad inform¨¢tica".
El documento no difiere mucho de otra propuesta, realizada por la misma coalici¨®n hace dos a?os y nunca puesta en pr¨¢ctica, a la que expertos como Bruce Schneier, Jericho, Phil Agre y Eric S. Raymond respondieron p¨²blica y negativamente. Es la misma vieja discusi¨®n en torno a la conveniencia o no del full disclosure (divulgaci¨®n total de informaci¨®n sobre vulnerabilidades inform¨¢ticas). Mientras que las empresas se quejan de que favorece los ataques, los investigadores aducen que sin esta informaci¨®n los administradores no podr¨¢n defenderse y, en cambio, los intrusos la conseguir¨¢n en el mercado negro.
Contra la propuesta
Como hace dos a?os, la comunidad se ha mostrado en contra de la propuesta. Incluso el moderado bolet¨ªn SANS NewsBites: "Un parche en 30 d¨ªas y 30 m¨¢s de espera para la publicaci¨®n del fallo significan 60 d¨ªas; suena excesivo". Marc Maiffret, de eEye Digital Security, afirma: "Si no tenemos los detalles de un fallo, estaremos totalmente en manos de un peque?o grupo de compa?¨ªas". M¨¢s duros han sido los comentarios de los lectores de SecurityFocus: "No queda claro qu¨¦ ganan las partes: ?dar¨¢n dinero a los investigadores para que no publiquen su c¨®digo? ?Les meter¨¢n en la c¨¢rcel?".
Otro denuncia: "Esta propuesta s¨®lo ayudar¨¢ a que las vulnerabilidades sean desconocidas por el p¨²blico durante largo tiempo, durante el cual el underground podr¨¢ explotarlas. Mejor idea ser¨ªa pedir a las empresas que dise?en c¨®digos m¨¢s seguro y crear leyes para denunciarlas si no lo hacen".
Tu suscripci¨®n se est¨¢ usando en otro dispositivo
?Quieres a?adir otro usuario a tu suscripci¨®n?
Si contin¨²as leyendo en este dispositivo, no se podr¨¢ leer en el otro.
FlechaTu suscripci¨®n se est¨¢ usando en otro dispositivo y solo puedes acceder a EL PA?S desde un dispositivo a la vez.
Si quieres compartir tu cuenta, cambia tu suscripci¨®n a la modalidad Premium, as¨ª podr¨¢s a?adir otro usuario. Cada uno acceder¨¢ con su propia cuenta de email, lo que os permitir¨¢ personalizar vuestra experiencia en EL PA?S.
En el caso de no saber qui¨¦n est¨¢ usando tu cuenta, te recomendamos cambiar tu contrase?a aqu¨ª.
Si decides continuar compartiendo tu cuenta, este mensaje se mostrar¨¢ en tu dispositivo y en el de la otra persona que est¨¢ usando tu cuenta de forma indefinida, afectando a tu experiencia de lectura. Puedes consultar aqu¨ª los t¨¦rminos y condiciones de la suscripci¨®n digital.
