Barrapunto

¡¡Una semana sin porno!!

Leyendo el primer enlace:

(el destacado es mío), y más adelante, en el mismo documento

Vamos, que hace falta ya pero que puede esperar.

"Los exploits de día cero son aquellos liberados antes de que se publiquen los parches, y por tanto existe una ventana de tiempo en que la vulnerabilidad puede ser explotada sin que haya parches para prevenirlo."

La ventana existia desde el momento en que se libero el binario/parche con el exploit y existe hasta que se corrige, independientemente de cuando se de noticia de que existe la vulnerabilidad. En el extranyo caso de que el codigo padezca de "Heisenbugs y Schrodingbugs", hay que recordar que no es cuantico. Lo que significa que el binario/codigo no muta por el simple hecho de que lo observemos. Asi pues la definicion de dia cero es incorrecta, puesto que siempre ha existido la vulnerabilidad. Eso si, deja claro que tanto el equipo de desarrollo como todos los piratas capaces de entender el exploit - mas bien pocos porque la muchos se limitan a usar herramientas que no saben hacer - estan en una carrera para ver quien saca el parche/virus antes.

Pero aun asi es mejor, puesto que sabemos que existe, podemos tomar precauciones.

Hay que recordar que el hecho que no se haya publicado un exploit no significa que no se conozca su existencia. Asi que me pregunto... ¿cuantos exploits se estan callando en programas cerrados? Porque siempre pueden optar por no corregir uno porque en posteriores versiones reharan el codigo afectado...

Sin embargo... me pregunto como cambiara con los ordenadores cuanticos... los heisenbugs seran reales? :D

--
http://en.wikipedia.org/wiki/Unusual_software_bug [wikipedia.org]

Creo que quienes defendemos el software libre estamos demostrando constantemente que mantenemos una postura absolutamente abierta y pública respecto a los fallos de seguridad que pueda haber, y tu acusación me parece injusta. Este tipo de comentarios viene a ser muy recurrente, y casi clónicos, por parte de quienes defienden las aplicaciones de Microsoft cada vez que sale algún problema con un programa libre, y creo que a estas alturas no aportan demasiado.

Nadie jamás ha dicho que el software libre este libre de fallos, simplemente se dice que:

1. Los fallos se localizan antes porque hay mas gente viendo el código.
2. Se encuentran antes soluciones a los fallos, porque hay más gente proponiendo soluciones.
3. Normalmente se publican antes las correcciones porque las actualizaciones y las fechas de nuevas versiones no vienen marcadas por políticas empresariales.

Mozilla ha dicho que ya tiene hecha la corrección, pero que la próxima actualización oficial saldrá la próxima semana (a menos de que haya problemas), por lo que durante una semana pueden haber problemas. De todas formas, si quieres, tienes el código fuente disponible (ya corregido), y te lo puedes compilar para tu sistema, o incluso coger alguna de las compilaciones nocturnas (por la noche se compila de forma automática la última versión del código fuente) y también lo tendrás corregido (aunque puede tener otros problemas por no haber sido revisado) o puedes coger el código fuente de la versión 3.0.7 y realizar la modificación indicada por Mozilla y volver a compilarlo, con lo que tendrás exactamente el mismo Firefox que ahora, pero sin el fallo de seguridad.

Ahora comprueba las opciones que te ofrece Microsoft con los fallos de seguridad del Internet Explorer.

Pues sí, cada día se sorprende uno más. Da un poco vergüenza ajena.

Claro, luego miras

Y que? Comparemos con los Bugs no solucionados del Internet Explorer 5 o 6 ?

"Un estudio independiente muestra que, en 2006, los usuarios de IE fueron vulnerables a amenazas en Internet el 78% del tiempo. ¿Y los usuarios de Firefox? Solamente el 2%." http://blog.washingtonpost.com/securityfix/2007/01 /internet_explorer_unsafe_for_2.html [washingtonpost.com] http://www.mozilla-europe.org/es/firefox/security/ [mozilla-europe.org]