"La mayor¨ªa de ataques explotan el factor humano, la estupidez del usuario"

A los 14 a?os escribi¨® su primer virus. A los 27, estudia c¨®mo detenerlos. Joanna Rutkowska es polaca, experta en c¨®digo malicioso y musa de la comunidad de seguridad inform¨¢tica. Le intriga saber si en Espa?a todos hacen la siesta: "Yo s¨ª, cuando investigo algo complicado, y al despertar s¨¦ c¨®mo resolverlo".

Pregunta. ?Cu¨¢l es el estado del arte en el c¨®digo malicioso?

Respuesta. Es m¨¢s f¨¢cil crearlo que detectarlo. Las t¨¦cnicas de los chicos malos est¨¢n por delante de las nuestras.

P. ?Los chicos malos le han pedido alguna vez sus conocimientos?

R. Acabo de crear mi propia empresa, Invisible Things, y entre otras cosas hacemos cursos. No s¨¦ si mis clientes son criminales o no.

P. Cada vez hay m¨¢s complejidad y delincuencia. ?Qu¨¦ podemos hacer?

R. Por una parte est¨¢ el factor humano y, por otra, el tecnol¨®gico. La mayor¨ªa de ataques explotan el factor humano, la estupidez de los usuarios. No podemos proteger totalmente a usuarios est¨²pidos.

P. ?Y el tecnol¨®gico?

R. La tecnolog¨ªa suele tener fallos y hay ataques que no precisan de la intervenci¨®n del usuario. Un ejemplo, que da miedo, es que s¨®lo con tener la tarjeta inal¨¢mbrica de tu port¨¢til funcionando, sin conectarte, alguien puede aprovechar un agujero del controlador y tomar el control de tu m¨¢quina.

P. ?C¨®mo defendernos?

R. Escribiendo programas sin fallos, con mejores controles de calidad y educando a los desarrolladores para que hagan programas seguros.

P. ?Es posible?

R. El sistema BSD tiene entusiastas auditando manualmente el c¨®digo. Pero, aun as¨ª, se encuentran agujeros, a veces despu¨¦s de unos a?os. No es posible crear c¨®digo 100% seguro.

P. ?Y entonces?

R. Otra propuesta es dise?ar el sistema operativo de tal forma que, aunque alguien explote un fallo, el sistema limite el alcance del ataque. Por ejemplo, con arquitecturas de micron¨²cleo.

P. ?Qu¨¦?

R. Windows, Linux o Mac OS tienen grandes n¨²cleos monol¨ªticos, con millones de l¨ªneas de c¨®digo donde no es raro que haya agujeros, y todo est¨¢ all¨ª. El micron¨²cleo es un n¨²cleo diminuto que hace unas funciones b¨¢sicas y el resto funciona en procesos aislados. As¨ª, un ataque al n¨²cleo no afecta a todo el sistema. El problema es que es un cambio dr¨¢stico, pero el futuro va por aqu¨ª.

P. ?Y mientras tanto?

R. Se est¨¢n a?adiendo herramientas especiales. Por ejemplo hacer que, cada vez que se pone en marcha el ordenador, los procesos est¨¦n en sitios diferentes. As¨ª, el atacante no sabe d¨®nde est¨¢n las cosas.

P. ?Y los antivirus?

R. No son m¨¢s que parches. Se basan en bases de datos con miles de firmas de c¨®digo malicioso y, por cada archivo que entra, comprueban si coincide con alguna. ?Es un enfoque equivocado! No funciona contra nuevos ataques.

P. ?C¨®mo deber¨ªan ser?

R. Con un dise?o seguro de los sistemas operativos y tecnolog¨ªas antiataques, los antivirus desaparecer¨ªan. Pero, en realidad, no se dirigen al factor tecnol¨®gico, sino al humano, avisando al usuario para que no abra tal adjunto. En la siguiente generaci¨®n, cuando el humano est¨¦ educado, ser¨¢ diferente.

INVISIBLE THINGS: http://invisiblethings.org