Un 'software' sin garant¨ªa

Los programas de 'software' controlan aeropuertos, gestionan hospitales, dise?an edificios y cuadran contabilidades. Pero cada d¨ªa se descubren siete nuevos agujeros en estas aplicaciones y, adem¨¢s, el 70% de estas vulnerabilidades son calificadas como "f¨¢ciles de explotar", seg¨²n Symantec. ?Es el 'software' un producto de mala calidad, en un eterno estado de prueba? Sus fabricantes dicen que no, pero reconocen que la responsabilidad de solucionar esos agujeros no deber¨ªa recaer sobre los usuarios.

Los creadores de virus tardan s¨®lo 10 d¨ªas en descubrir los fallos de los programas y explotarlos. Hace cinco a?os, les llevaba meses

Cuando Microsoft anunci¨®, en enero de 2002, que la seguridad de sus programas se convert¨ªa en su m¨¢xima prioridad, Bill Gates inform¨® a sus ingenieros de que, si en el proceso de desarrollo de un producto, se encontraban en la encrucijada de a?adir una nueva funci¨®n o solucionar un agujero, deb¨ªan solucionar el agujero.

La correlaci¨®n que existe entre las muchas posibilidades de un programa y su consecuente falta de seguridad es una discusi¨®n eterna de este negocio. En un mercado de alta competencia, los fabricantes de aplicaciones deciden a menudo publicar productos en fase beta [en prueba]. El problema es que, en las licencias de uso, la mayor parte de las compa?¨ªa no se hace responsable de esos fallos. Y el resultados es toda una industria que vive de solucionarlos.

?Est¨¢ el software preparado para gestionar un mundo en red, o es demasiado vulnerable? Un programa, explica Joaqu¨ªn Reixa, de Symantec, "tiene millones de l¨ªneas de c¨®digo. Pedirle que no tenga fallos es imposible". "Ning¨²n otro producto es tan complejo", confirma Carlos Jim¨¦nez, de Secuware.

Lo que subyace en el fondo de este problema es la concepci¨®n del ordenador personal como una m¨¢quina con muchas posibilidades. Santiago Roncero, de Trend Micro, explica: "Un avi¨®n no falla porque s¨®lo vuela. No intenta, adem¨¢s, tratar fotos, bajar m¨²sica, navegar por Internet y chatear con los amigos". Por eso, hace 15 a?os, cuando la inform¨¢tica era dedicada, la seguridad era muy superior: el PC era una m¨¢quina que s¨®lo serv¨ªa para una cosa y, adem¨¢s, no estaba conectada a Internet.

"Los fabricantes de software nos hemos dedicado durante muchos a?os", reconoce Su¨¢rez, de Network Associates, "a abrir los programas, incluir m¨¢s soluciones, m¨¢s servicios, m¨¢s posibilidades de comunicaci¨®n. En este proceso, hemos dejado muchos huecos abiertos. Ahora, se trata de asegurar todo eso que est¨¢bamos tratando de abrir". Otro problema es el reloj. En 1999, un creador de virus tardaba unos 281 d¨ªas en dise?ar un virus para explotar un agujero de seguridad despu¨¦s de que ¨¦ste se comunicara. Ahora, s¨®lo necesita 10 d¨ªas, seg¨²n la consultora Foundstone.

?No ser¨ªa m¨¢s l¨®gico que las compa?¨ªas de antivirus trabajaran con los fabricantes de software, en lugar de dejar en manos de los usuarios la instalaci¨®n de los parches y la compra de antivirus? Las compa?¨ªas de seguridad explican que ya lo hacen y que, adem¨¢s, trabajan con asociaciones que les obligan a compartir los fallos que descubran. Adem¨¢s, la mayor parte de las grandes compa?¨ªas de software trabajan con ingenieros especializados en seguridad que participan en el dise?o de los programas. Pero la pregunta original sigue en el aire: ?tienen los usuarios que hacerse cargo de esos fallos? Nadie contesta en voz alta. En voz baja, muchos ejecutivos del sector reconocen que deber¨ªa garantizarse por escrito la calidad del producto.