iPhone: el nuevo desafío para la seguridad
SEGURIDAD & MóVILES
iPhone: el nuevo desafío para la seguridad
Mark Blowers, principal investigador de Butler Group, dice que así como el BlackBerry fue en su momento el dispositivo mís fenomenal para ser utilizado en la oficina, el iPhone tiene todo para convertirse en el favorito de los hombres de negocios, debido a su interfase sencilla de utilizar (pantalla tíctil), su capacidad para almacenar grandes cantidades de datos, y su atractiva y amigable apariencia.
A medida que el trabajo remoto se hace mís popular, los departamentos IT, se enfrentarín cada vez mís a la presión de integrar diferentes clases de dispositivos móviles dentro de las infraestructuras ya existentes, predice el analista.
En particular el tan mentado iPhone, serí un producto de consumo que irrumpirí fícilmente en el mundo corporativo, afirma Blowers.
El gran peligro para los hombres de negocio, es que el iPhone serí utilizado en las empresas, por empleados que gradualmente lo convertirín en su única herramienta tanto para manejar su trabajo profesional, como sus asuntos personales, sencillamente porque descubrirín que podrín hacer todo con un solo dispositivo, antes que hacer malabares con varios.
Las compañías deberín tomar recaudos para asegurarse que los iPhones, así como los PDA (ayudantes personales digitales), o SmartPhones (los teléfonos móviles que unen varias características en un solo dispositivo), sean manejados apropiadamente, a los efectos de mantener la seguridad de los datos de la empresa que se almacenen en ellos, agrega Blowers.
El Apple iPhone es un dispositivo de mano inalímbrico y de pantalla tíctil, que combina telefonía móvil, e-mail, mensajería de texto, navegación web, etc. Fue lanzado en julio de 2007 en Estados Unidos, y en los próximos meses llegarí a estar disponible en mís países.
Piratería versus Protección
Piratería versus Protección
BSA (Business Software Alliance), publica informes anuales sobre el porcentaje de piratería en el mundo. Nuevamente América Latina tiene el orgullo de posicionarse como el continente con mayores índices de piratería.
Un nuevo estudio reveló que el 66% del software instalado en el año 2006 en computadoras personales (PCs) en Latinoamérica fue obtenido ilegalmente, lo que representó mís de 3.000 millones de dólares en pérdidas debido a la piratería de software.
Otro estudio de IPI dice algo similar con respecto a las pérdidas económicas:
...la piratería de películas, música, software y videojuegos causarían esos 58.000 millones de dólares anuales.
Una pregunta que nos suelen hacer, es qué tiene que ver esto con la seguridad antivirus y cómo influyen estos niveles en la seguridad de nuestro sistema.
Las posibles respuestas a esta pregunta son:
-
Si el software de seguridad que instalamos procede de fuentes no confiables y fidedignas, no se puede asegurar que los niveles de seguridad ofrecidos son los ideales.
-
Si el producto es descargado de sitios no oficiales, es muy probable que el mismo haya sido modificado (caso de los warez) para violar la protección de licencias. Esta modificación puede haber dañado el producto.
-
Si el producto es modificado por programas tipo patch, puede dañarse el producto original y dejar de proteger al usuario.
-
Si producto ha sido modificado, ¿quién asegura que el mismo no dispone de puertas traseras o troyanos con fines maliciosos? Es decir, que hemos instalado un software de seguridad que en realidad instala un programa dañino en el sistema. Esta acción es de lo mís común en el under.
-
Los autores de los cracks son programadores que suelen cometer errores al realizar sus acciones, lo que puede dejar inactivos ciertas funcionalidades del producto de seguridad.
Los usuarios de QuickTime están en peligro por un exploit Zero-day
Los usuarios de QuickTime estín en peligro por un exploit Zero-day
Una nueva vulnerabilidad en QuickTime 7.2 y 7.3, deja a los usuarios desprotegidos ante un posible ataque remoto que podría poner en compromiso el sistema.
El fallo es provocado por un desbordamiento de búfer en el componente de QuickTime relacionado con el protocolo RTSP.
RTSP (Real Time Streaming Protocol), es un protocolo utilizado para realizar streaming, técnica de transmisión unidireccional de contenidos de video y audio a través de Internet.
El código del exploit se ha publicado en Internet, lo que convierte al problema en grave, al no existir al momento actual un parche de Apple para el mismo.
El exploit se vale directamente del reproductor QuickTime, por lo que en navegadores como Internet Explorer y Safari, que utilizan un plugin de QuickTime para reproducir los archivos soportados por éste, no es posible la ejecución de código, aunque el navegador puede dejar de responder.
Firefox en cambio, si puede permitir la ejecución arbitraria de código, ya que utiliza QuickTime en forma directa cuando estí configurado como manejador por defecto de archivos multimedia.
Un escenario posible para un ataque, pueden ser correos electrónicos con adjuntos que ejecuten QuickTime al abrirlos (archivos .mov, .qt, qtl., gsm y .3gp).
En el caso de Firefox, un ataque exitoso podría realizarse con la simple visita a un sitio con un objeto QuickTime embebido.
De acuerdo a la naturaleza del problema, una solución para aminorar el riesgo, sería bloquear con un cortafuego el puerto TCP 554, utilizado por el protocolo RTSP.
Los barcos también contaminan
Los barcos también contaminan
Los grandes barcos, el verdadero sistema circulatorio de la economía global, transportan mís de 90% de la mercadería mundial por volumen. La cantidad de toneladas de carga transportada por los buques se ha triplicado desde 1970. Aun así, el combustible que los alimenta es barato y sucio y produce escapes especialmente nocivos.
Los barcos emiten mís dióxido sulfúrico, un químico negruzco y contaminante vinculado a la lluvia ícida, que todos los automóviles, autobuses y camiones de todo el planeta sumados, según un estudio del Consejo Internacional sobre Transporte Limpio. El informe dice también que los buques de carga produjeron en 2005 alrededor de 27% de todas las emisiones contaminantes de óxido de nitrógeno. La industria naviera, al mismo tiempo, estí trabada en una disputa interna sobre cómo resolver el problema de las emisiones, sin poder elaborar estrategias sencillas para regular el trínsito por mar abierto.
De todas maneras, la demanda por soluciones se estí intensificando. Algunos gobiernos y un grupo de puertos con poder comercial estín demostrando que las acciones locales pueden repercutir en el ímbito internacional. Desde el 1 de enero de este año, el estado de California exige a los barcos que se acerquen a menos de 24 millas de sus costas que usen combustibles limpios en sus motores auxiliares. La medida, similar a otra aprobada por la Unión Europea para el Mar Bíltico, restringe el acceso a los puertos de Los íngeles y Long Beach, los dos mís grandes de Estados Unidos. Aquellos que no cumplan con las normas se arriesgan a ser multados o incautados.
La industria naviera estí preocupada por la posibilidad de que gobiernos de todo el mundo adopten estíndares distintos sobre combustibles y emisiones. Por razones comerciales, la mayoría de los dueños y operadores navieros prefieren usar el combustible mís barato, aunque sea mís sucio, cuando estín en íreas no protegidas. Y el proceso para cambiar de un combustible a otro es complicado y potencialmente peligroso.
Límite global
Es por eso que algunos de los mayores jugadores de la industria estín haciendo una propuesta sin precedentes para establecer un límite único y estricto a las emisiones en todos los océanos. La población general del mundo debería pagar uno o dos centavos mís por sus cervezas, pero se solucionaría el problema de las emisiones (de sulfuro) , dice Pradeep Chawla, ejecutivo de Anglo-Eastern Ship Management Ltd., una empresa de Hong Kong.
En otros frentes, el fiscal general de California, Edmund G. Brown Jr., pidió el mes pasado a la Agencia Reguladora del Medio Ambiente de EE.UU. que limite el dióxido de carbono emitido por los barcos de carga. El mes próximo, las emisiones de los grandes buques y los aviones estarí sobre la mesa de negociaciones cuando un grupo de líderes mundiales se reúna en Bali, Indonesia, para empezar a conversar sobre el acuerdo de cambio climítico que reemplazarí el Protocolo de Kioto.
Sin embargo, el intenso apetito de los consumidores de EE.UU. y otros países por los productos importados crece tan rípido, que recortes marginales en las emisiones podrían no tener ningún efecto real.
Un descenso de hasta el 30% en las emisiones de los barcos se vería cancelado por el creciente tamaño de la flota mundial, según Russell Long, vicepresidente del grupo ambientalista Amigos de la Tierra, de reconocida autoridad sobre el asunto.
Descubren vestigios de los más antiguos humanos modernos en el litoral
Descubren vestigios de los mís antiguos humanos modernos en el litoral
Estos nuevos resultados no sólo mueven hacia atrís un punto importante en la cronología de la evolución de los humanos modernos, sino que también muestran que los estilos de vida centrados en los híbitats costeros y sus recursos pudieron haber sido cruciales para la evolución y supervivencia de estos primitivos humanos. |
| Un paleoantropólogo trabaja en el yacimiento. (Foto: ASU) |
Dormir poco promueve trastornos psiquiátricos
Dormir poco promueve trastornos psiquiítricos
En la primera investigación neurológica sobre qué sucede ante la privación del sueño en las regiones cerebrales vinculadas a las emociones, los resultados hacen pensar que mientras una buena noche de descanso puede regular nuestro ínimo y ayudarnos a afrontar los desafíos emocionales del siguiente día, la privación del sueño hace todo lo contrario, incrementando excesivamente la actividad en la parte del cerebro mís estrechamente conectada a la depresión, la ansiedad y otros trastornos psiquiítricos.Casi es como si, sin el sueño, el cerebro regresase a los modelos mís primitivos de actividad, siendo incapaz de poner en su contexto las experiencias emocionales y de producir respuestas controladas apropiadas , explica Matthew Walker, director del Laboratorio de Neuroimígenes y del Sueño de la Universidad de California de Berkeley y uno de los autores del estudio.
El fenómeno se debe, según los resultados del estudio, a que la amígdala, la región del cerebro que alerta al cuerpo para lograr que se proteja en situaciones de peligro, pasa a trabajar con un nivel excesivo de actividad ante la carencia de sueño. Por consiguiente, esto entorpece la labor de la corteza prefrontal que controla el razonamiento lógico, y se impide la descarga de sustancias químicas tranquilizantes, necesarias para calmar los reflejos psicológicos de alarma vinculados al instinto de supervivencia.
 |
| Las imígenes muestran cómo la amígdala estí mucho mís activa cuando se ha dormido poco. (Foto: Matthew Walker/UC Berkeley) |
Por ejemplo, en condiciones normales, si la amígdala reacciona fuertemente a una película violenta, la corteza prefrontal le permite al cerebro tener claro que la escena es sólo una ficción y que debe calmarse. Pero en el cerebro privado de sueño, la corteza prefrontal pierde influencia, en tanto que la gana el locus coeruleus, la parte mís antigua del cerebro, la cual se ocupa de liberar noradrenalina que le permita al sujeto protegerse de las inminentes amenazas para la supervivencia que asume se estín desencadenando, una situación de falsa alarma que produce riesgos para la salud mental.
Los resultados del estudio han sentado las bases para investigaciones futuras sobre la relación entre el sueño y las enfermedades psiquiítricas. La evidencia clínica ha demostrado que en casi todos los trastornos psiquiítricos estí presente alguna forma de alteración del sueño.
Empleando imígenes obtenidas por Resonancia Magnética Funcional (fMRI, por sus siglas en inglés), Walker y su equipo encontraron que la amígdala, también fundamental para el procesamiento de las emociones, se ponía un 60 por ciento mís activa en respuesta a los estímulos visuales negativos (cuerpos mutilados y otras imígenes impactantes) en los participantes del estudio que habían permanecido despiertos durante 35 horas continuas. En cambio, el examen por fMRI del cerebro de quienes disfrutaron de una noche de sueño en sus propias camas, mostró una actividad normal en la amígdala
Estudiar comunidades bacterianas puede dar pistas sobre el curso del cambio climático
Estudiar comunidades bacterianas puede dar pistas sobre el curso del cambio climítico
Sin embargo, en los lagos húmicos, que son masas de agua oscurecida rodeadas de ciénagas, y que contienen niveles mís altos de materia orgínica en descomposición, este proceso crea niveles de emisión de dióxido de carbono aun mís altos. Hay mucha preocupación de que a medida que cambia el clima se convierta mís carbono en dióxido de carbono en estos tipos de lagos , explica Katherine McMahon, profesora de ingeniería civil y medioambiental de la Universidad de Wisconsin, en Madison.McMahon trabaja junto a un grupo multidisciplinario de investigadores de esta universidad y de la Universidad de Illinois en Urbana-Champaign que estí estudiando la composición de las comunidades bacterianas en los lagos húmicos, así como la respuesta de estos microorganismos a los cambios en su medio ambiente.
Este conocimiento de los sistemas fundamentales puede ayudar a los investigadores a desarrollar modelos mís exactos en lo que se refiere a ecosistemas, que les permitan predecir el flujo de carbono o de nutrientes a través del sistema. Este conocimiento también puede dar un peso mayor a los lagos húmicos en los modelos de cambio climítico, como altos emisores de dióxido de carbono.
Como son sumideros gigantes de hojas caídas, ramas de írboles y otros desechos orgínicos, los lagos son íreas primarias de almacenamiento del carbono. Presentan grandes cantidades de carbono en sus sedimentos. Pero los científicos aún no entienden muy bien cómo ese carbono se moviliza para convertirse en CO2 por acción de las bacterias.
 |
| Un ecosistema de lago húmico. (Foto: UWM) |
Durante años, los científicos que estudian los ecosistemas han analizado el proceso de sucesión ecológica; por ejemplo, el orden seguido por los miembros del ecosistema (césped, arbustos, írboles de maderas blandas, írboles de maderas duras, y demís) al repoblar un írea de bosque después de haber sido destruida por un incendio.
Recientemente, McMahon, Stuart Jones, Ashley Shade y Ryan Newton descubrieron que, mientras que las poblaciones bacterianas difieren en composición y funciones según el tipo de lago, estos microorganismos siguen un proceso de sucesión similar aunque a escala anual.
O sea, las bacterias en una muestra de agua tomada en una fecha dada de un año se parecerín mucho a una muestra tomada en la misma fecha en años siguientes, excepto en caso de grandes perturbaciones, como mayor cantidad de tormentas o cambios en el uso de la tierra. Los investigadores quieren saber qué pasarí con esa clase de patrones cuando cambie el clima, cuando se modifique el uso de la tierra, y cuando aumenten los casos de tormentas, ya que las bacterias son muy sensibles al medio ambiente.
Esa sensibilidad es la causa de que las bacterias sean difíciles de estudiar. De hecho, son tan adaptables a su entorno que cultivarlas en laboratorios de investigación tiene poco valor; pierden partes completas de su material genético cuando son llevadas al laboratorio.
Tomando semanalmente muestras de agua de un lago húmico en el norte de Wisconsin, los investigadores usarín nuevas herramientas basadas en ADN para estudiar cómo estos microorganismos de rípido crecimiento cambian como respuesta a su entorno. También esperan descubrir cómo las bacterias se bifurcan en especies distintas, y cómo interactúan con las algas en los lagos húmicos.
Nuevo método para obtener agua a partir de hidrógeno y oxígeno
Nuevo método para obtener agua a partir de hidrógeno y oxígeno
Unos científicos en la Universidad de Illinois han descubierto una nueva forma de obtener agua, y sin necesidad del estallido. No sólo pueden obtener el agua a partir de materiales iniciales improbables, como los alcoholes, sino que su trabajo también puede llevar a producir mejores catalizadores, y células de combustible menos caras. |
| Thomas Rauchfuss, a la izquierda, y Zachariah Heiden. (Foto: Brian Stauffer) |
Identifican circuitos cerebrales involucrados en el control de la sensación de hambre
Identifican circuitos cerebrales involucrados en el control de la sensación de hambre
Los resultados de este estudio sugieren la existencia de un nuevo blanco terapéutico posible para tratar la obesidad, un problema creciente, tanto en adultos como en niños, en las naciones industrializadas. |
| Con mís o menos leptina, el cerebro se comporta de forma diferente ante estímulos alimentarios. (Foto: UCLA) |
UNA REVOLUCIÓN CASERA
| ||||
«Hablando del Buenos Aires de fines de siglo, recuerdo que mi madre me contaba acerca de la participación de mi abuelo en la Revolución del 90, una revolución un poco casera. Mi abuelo salía todas las mañanas de su casa, en Tucumín y Suipacha, y se iba caminando hasta la “revoluciónâ€, que quedaba en la plaza Lavalle. Después, a la noche, volvía a comer. Y a la mañana siguiente (a la noche se iban todos a dormir) volvía a la “revoluciónâ€. Supongo que todos no se irían, algunos quedarían. Pero me imagino a mi abuelo yéndose y a los revolucionarios saludíndolo: “Hasta mañana, don Isidro.â€Â» 1 Si bien en esta anécdota personal el poeta argentino Jorge Luis Borges pone en tela de juicio la revolución argentina de 1890, mís razón tenemos nosotros para cuestionar las otras tantas llamadas revoluciones de los últimos siglos que ni siquiera se han propuesto llegar al fondo de la verdadera problemítica social. Esto se debe a que el problema de toda sociedad consta de la suma de las partes de cada uno de sus miembros. En la década de 1970 llegó a popularizarse una canción que dice: «No, no, no basta rezar: hacen falta muchas cosas para conseguir la paz.» La canción da por sentado que la meta de cada sociedad es vivir en paz y con cierta prosperidad, sin que nadie explote al prójimo. No cabe duda de su tesis implícita, de que es necesaria una revolución social. Lo que no reconoce la letra de esa canción es que la paz colectiva sólo se logra mediante el conjunto de «paces» individuales. ¿Pero cómo se consigue esa paz interior? La respuesta es mís evidente de lo que generalmente pensamos. «No es del otro mundo» en un sentido de la expresión, y sí lo es en otro: la paz interior viene de afuera, del Príncipe de paz, el Señor Jesucristo. Antes de dejar este mundo Cristo les dijo a sus discípulos: «La paz les dejo; mi paz les doy. Yo no se la doy a ustedes como la da el mundo.» 2 San Pablo se refirió a ella como «la paz de Dios, que sobrepasa todo entendimiento». 3 ¿Por qué? Porque es extraordinaria, de origen extraterrestre. Dios la compró con la sangre de su único Hijo que envió al mundo para morir por los pecados de cada uno de nosotros, no de un mundo cósmico sino de un mundo de personas que tanto la necesitan. ¿Qué hace falta, entonces, para conseguir esa paz? Aceptar como Salvador personal al Señor Jesucristo, el mís grande revolucionario de todos los siglos. í‰l es el único que sabe llegar al fondo de los problemas del ser humano, pues lo revoluciona desde adentro hacia afuera. Y es cierto, no basta rezar. Hay que orar con toda sinceridad y llevar al campo de batalla espiritual esas oraciones sembrando la paz en todas partes al presentarle al mundo el Príncipe de paz. ¿Qué esperamos? ¡Hagamos esta revolución! | ||||
Inventan una maceta que no necesita agua todos los dias.
Inventan una maceta que no necesita agua (o casi)
El inventor, Zhang Jianquan (de 50 años), afirmó al diario Changsha Evening News que esta maceta para perezosos , como él mismo la ha bautizado, estí ya patentada y en proceso de producción industrial, a punto de ser comercializada.
Zhang, que mostró el invento a los periodistas, explicó que la maceta se diferencia de las normales en que en su parte inferior tiene un compartimento con agua y fertilizante, que va pasando al superior, donde estín la tierra y las raíces, a través de un sistema de tubos y agujeros que no quiso detallar.
El jardinero señaló que la maceta no sólo ahorra trabajo sino también agua, y prometió que se venderí muy barata en el mercado (su coste de producción es de unos 10 céntimos de euro, que equivalen a un céntimo de euro o 1,3 centavos de dólar).
Zhang, tras 30 años trabajando incansablemente como jardinero, asegura que su sueño ahora es lograr venderle el invento a los organizadores de los JJOO de Pekín 2008 y sus macetas para vagos adornen las instalaciones olímpicas.
El inventor argumenta que sus tiestos cumplen a la perfección el lema de Pekín 2008 de organizar unos Juegos VerdesSoftware online seguro.
Software online seguro
Aunque en el ímbito de la pyme es bastante desconocido, la utilización de software online para la gestión de actividades comercales, proyectos, contendios web, etc. es una opción que se consolida dentro y fuera de nuestras fronteras. Millones de usuarios de Europa y, sobre todo, EEUU ya conocen las importantes ventajas que nos ofrece.
En el software online se aplica el sistema Hotmail o Yahoo, pero enotras íreas de gestión. Nos conectamos desde nuestro navegador web favorito y utilizamos la herramienta online. No nos preocupa dónde estín nuestros mensajes, ni los contactos, ni los aspectos técnicos… lo que queremos es que cada vez que tecleemos nuestro nombre y contraseña, los datos estén ahí, listos para ser utilizados y la aplicación responda eficazmente a nuestras necesidades.
Parece sencillo porque ya estamos acostumbrados a leer nuestros buzones de correo electrónico. Sin embargo, el software online se transforma en un modelo radicalmente novedoso cuando hablamos de aplicaciones de gestión de proyectos o de un CRM. En estos casos, se suele hablar de desarrollos a medida, de compra de licencias… y siempre con los datos en nuestra casa .
La propuesta del software online se basa en el concepto de que el cliente sólo tiene que preocuparse de usarlo. Los proveedores del software online nos encargamos de que todo funcione correctamente. Que todo esté disponible cada vez que utilice una aplicación a través de la plataforma web.
Software online para todo el mundo
¿Sencillo? Desde luego, pero lo mejor del sistema es que se pueden ofrecer a todo el mundo herramientas sofisticadas de gestión empresarial eliminando las barreras que frenaban el acceso de la pyme a las nuevas tecnologías: el coste de compra de licencias, los riesgos asociados a proyectos de implantación y los compromisos del contrato de duración.
Con este sistema, el cliente paga un coste por usuario y sólo durante el tiempo que utilice el servicio. Estamos hablando de inversiones de alrededor de 15€ al mes por usuario, sin ningún tipo de desembolso inicial. En él, no existen los periodos y las inversiones en concepto de implantación del sistema, ya que una vez registrado, se puede empezar a utilizar cuando se quiera. Y si no convence, el cliente coge sus datos y se va tan rípido como ha venido, con la seguridad de no supeditar su futuro a un proveedor.
Esto, que supone el míximo de la flexibilidad para el usuario, establece un vínculo cliente-proveedor de software que nada tiene que ver con el tradicional. El cliente del Software online renueva su contrato mensualmente. Por ello, las aplicaciones tienen que responder cada día a las expectativas y necesidades del cliente.
El reto se centra en actualizar y mejorar constantemente las aplicaciones de gestión, renovíndolas en usabilidad, posibilidades, técnica y diseño. El hecho de que muchos usuarios compartan la misma aplicación y aporten sus sugerencias y requerimientos enriquece enormemente la percepción de el proveedor tiene sobre sus productos, ya que son muy diversos los fines y los tipos de empresas que las utilizan. Con esa fuente de sugerencias las aplicaciones se estín revisando continuamente y por ello quienes los usan tienen la seguridad de que el producto estí en evolución y actualización permanente.
Seguridad en el software online
El software online hace que centremos toda nuesta atención en utilizar la aplicación, sin preocuparnos de instalar software, reconocer versiones, comprobar compatibilidades, riesgos de que al instalar un elemento otro dejase de funcionar… El interés se centra en la aplicación, ya sea una herramienta de gestión de clientes, un editor web, un programa para la gestión de proyectos, etc. Pero, ¿qué ocurre con los datos, la información que almacenamos remótamente?
La fiabilidad, la confianza en que los datos van a seguir donde estín, es la barrera psicológica que el software online ha tenido que superar tradicionalmente.
La realidad es que los datos estín mís protegidos y seguros que en nuestra propia casa. Empresas especializadas en software online como B-kin disponen de varios CPD (Centros de Proceso de Datos) que cuenta con barreras físicas y tecnológicas de seguridad, mís avanzadas y con un control mís extrico que las que puedan tener las Pymes o negocios.
El acceso a la información estí blindado para usuarios no autorizados, sin embargo, el cliente propietario de la información puede entrar desde cualquier punto del planeta, con su correspondiente clave y acceso autenticado.
Otro complemento adicional son las copias de seguridad de los datos, algo que pocas empresas hacen siguiendo los protocolos de seguridad establecidos y, en caso de hacerlas, ríramente lo hacen con la frecuencia establecida en los CPD.
Acceso al software online
Existen dos vías principales de generación de valor en el mundo del Software online: la aspirina y la vitamina. La vitamina nos ayuda a reducir costes de explotación de herramientas de gestión como el CRM y la aspirina tiene el efecto democratizador, para que cualquier empresa, por pequeñas que sea o cuyo departamento de sistemas carazca de recursos para contratar los servicios de una consultora, pueda acceder a grandes aplicaciones, como lo harían las empresas de mayor tamaño o mayores recursos económicos en infraestructuras.
Porque realmente nos da igual que los miles de usuarios vengan en grupos de a 20 o en grupos de a 10. La potencia del software online, ademís de la eficiencia del sistema, es que permite una economía de escala que en el mundo de la informítica se han utilizado de forma muy exitosa en el desarrollo de software.
El coste del desarrollo del Office de Microsoft, como se puede imaginar, estí distribuido entre su enorme cantidad de clientes, y las empresas estín haciendo lo mismo con los costes de implantación y puesta en marcha de aplicaciones de gestión empresarial, trabajando para que el coste adicional de incorporar un nuevo cliente al sistema tienda a cero.
Todo el mundo estí de acuerdo que el mundo de la informítica y nuevas tecnologías va a cambiar radicalmente en los próximos años. La tendencia de crecimiento del mercado de software online se cifra en porcentajes que rozan el 25% de incremento anual. Así lo describen las principales consultoras.
¿El motivo?, podemos enumerar todas las ventajas anteriormente descritas: la flexibilidad, ausencia de inversiones, y otros aspectos a tener en cuenta como ser un coste fijo previsible, o reducir la estructura de IT. Pero la gran ventaja que aportamos con este sistema es ayudar a las empresas a incorporarse al uso de aplicaciones complejas de gestión mís allí de la pura ofimítica.
Lo que estamos viendo es que hay pymes con necesidades de gestión avanzadas y con ganas de utilizar estas herramientas complejas si se lo pones fícil. El reto para los profesionales es desarrollar este mercado animando a las empresas a que aprovechen todas las ventajas que el software online les puede ofrecer.
SERIE...Las 6 peores ideas sobre seguridad informática (III)
Las 6 peores ideas sobre seguridad informítica (III)
Se puede aplicar “Penetrar y Parchear” tanto a los seres humanos como al software en forma de educación de los usuarios. Por encima, la idea de “educar a los usuarios” no parece estúpida: la educación siempre es buena. Por otra parte, al igual que con “Penetrar y parchear”, si esta idea fuese a funcionar ya lo habría hecho a estas alturas. Ha habido numerosos e interesantes estudios que indican que un gran porcentaje de los usuarios intercambiarían su contraseña por caramelos, y el gusano de Anna Kournikova nos ha demostrado que prícticamente la mitad de la humanidad pincharía en cualquier cosa que aparente contener imígenes explícitas de chicas semi-famosas. Si planeas adoptar la estrategia “Educar a los usuarios” deberías prepararte para tener que “parchear” a tus usuarios cada semana. Es estúpido.
La verdadera pregunta no es “¿podemos educar a nuestros usuarios para ser mejores en el ímbito de la seguridad?” sino “¿por qué tenemos si quiera que educar a nuestros usuarios?”. En cierta manera esto no es mís que un “Permitir por Defecto” encubierto. ¿Por qué los usuarios tienen permisos para obtener archivos ejecutables? ¿Por qué esperan los usuarios recibir emails de bancos en los que no tienen cuentas? La mayor parte de los problemas que se pueden corregir educando a los usuarios se corregirín a sí mismos a lo largo del tiempo. A medida que una generación mís joven de trabajadores se mueve al frente de los puestos de trabajo vienen pre-instalados con un saludable escepticismo acerca de fraudes e ingeniería social.
Tratar con cosas como los archivos adjuntos y el phishing es otro caso de “Permitir por Defecto”, nuestra idea estúpida favorita. Después de todo, si estís dejando a todos tus usuarios obtener archivos adjuntos en sus emails estís “Permitiendo por defecto” cualquier cosa que se les mande. Una idea mís apropiada podría ser simplemente poner en cuarentena todos los archivos adjuntos a medida que llegan a la compañía, eliminar todos los ejecutables directamente y almacenar sólo los pocos tipos de archivos que decides que son aceptables en un servidor donde los usuarios puedan entrar a través de un navegador con soporte SSL (requerir una contraseña eliminaría una gran cantidad de mecanismos de propagación de gusanos de golpe). Hay herramientas gratuitas como MIMEDefang que pueden ser utilizadas fícilmente para eliminar archivos adjuntos de emails entrantes, escribirlos a un directorio por usuario y reemplazar los adjuntos en un email con una url a la dirección donde se pueda descargar el adjunto. ¿Por qué educar a los usuarios si puedes clavarle una estaca al problema directamente en el corazón?
Cuando era CEO de una pequeña startup de seguridad informítica no teníamos administrador de sistemas Windows. Todos los empleados que querían ejecutar Windows tenían que saber cómo instalarlo y manejarlo ellos mismos o directamente no les contratíbamos. Mi predicción es que en 10 años los usuarios que necesiten ser entrenados estarín fuera del mercado laboral o que se entrenarín en casa para mantenerse competitivos. Esta misma predicción incluye el saber que no hay que abrir archivos adjuntos de extraños.
#6) La acción es mejor que la inacción
Los ejecutivos de TI parecen estar divididos en 2 categorías: los “adoptadores tempranos” y los “pausados y pensativos”. A lo largo de mi carrera me he dado cuenta de que un número realmente pequeño de los “adoptadores tempranos” han construído sistemas con éxito y seguros para objetivos críticos. Esto es así porque por alguna razón creen que “la acción es mejor que la inacción”: es decir, si te encuentras con una nueva tecnología es mejor instalarla ahora mismo que esperar, pensar sobre ello, ver lo que les ocurre a otros adoptadores tempranos y entonces instalarla una vez que ya ha sido puesta a punto y ha tenido su primera generación de usuarios experimentados. Conozco a un ejecutivo TI senior -uno de los pausados y pensativos-, cuyo plan para instalar soporte wireless a lo largo y ancho de su compañía era “esperar 2 años y contratar a una persona que haya hecho una instalación wireless exitosa para una compañía mís grande que la nuestra”. No solo la tecnología estarí mís refinada para entonces sino que serí mucho, mucho mís barata. ¡Que estrategia tan brillante!
Hay un importante corolario a la estúpida idea de “la acción es mejor que la inacción” y es este:
“A menudo es mís fícil no hacer algo estúpido que hacer algo inteligente.”Sun Tzu no escribió esa frase en “El Arte de la Guerra” pero si le dices a un ejecutivo TI que lo hizo te tomarín mucho mís en serio. A muchos de mis clientes les he estado aconsejando: “mantente apartado del outsourcing de seguridad durante un año o dos y entonces busca recomendaciones y opiniones sobre los sangrientos y mutilados supervivientes, si es que queda alguno.”
Puedes ver la estúpida idea de que “la acción es mejor que la inacción” a lo largo y ancho de las redes corporativas y tiende a estar relacionado con directivos TI que hacen sus decisiones de compra de productos leyendo los informes de investigación Gartner y los coloridos folletos publicitarios de las compañías. Si te encuentras en la cadena de mando de dicho directivo, sinceramente espero que hayas disfrutado de este artículo porque probablemente entiendas perfectamente de lo que estoy hablando.
Una útil técnica de kung-fu burocrítico es recordar que si te encuentras luchando contra un “adaptador temprano” te puedes apoyar en tus compañeros. Hace varios años tuve un cliente que estaba planeando gastarse una importante suma de dinero en una tecnología sin probarla operativamente. Recomendé extraoficialmente al director de TI al cargo que enviase a alguien de su equipo a una conferencia relevante donde le fuese posible encontrar a alguien con experiencia en dicha tecnología. Recomendé al directivo que su empleado pusiera un mensaje en el boletín de noticias que dijese:
“¿Tienes experiencia directa con xyz de la compañía pdq.com? Si es así estoy autorizado a llevarte a cenar al Hilton si prometes darme toda la información que tengas del funcionamiento del producto. Conctíctamente, etc.”
El director de TI me comentó mís tarde que una cena de 200€ le evitó gastar mís de 400.000€ en un infernal trauma tecnológico.
Realmente es mís fícil no hacer algo estúpido que hacer algo inteligente. La clave estí en que cuando evitas hacer algo estúpido te aseguras de que tus superiores sepan que has navegado a través de unas arenas particularmente sucias y de que obtienes el crédito necesario por ser inteligente. ¿No es esta la mayor expresión del kung-fu profesional? ¡Recibir alabanzas por no hacer nada!
Estupideces menores
Estas ideas estúpidas no merecen el status de “La mís estúpida”, pero son suficientemente estúpidas como para no mencionarlas, aunque sea de pasada:
-
No somos un objetivo – sí, lo sois. Los gusanos no son suficientemente inteligentes como para darse cuenta de que tu sitioweb/red no es interesante.
-
Todo el mundo estaría protegido si utilizasen <sabor-de-seguridad-del-mes> - no, no lo estarían. Los sistemas operativos tienen problemas de seguridad porque son complejos y la administración de sistemas no es un problema que esté resuelto. Hasta que alguien consiga resolver el problema de la administración de sistemas, cambiar al sabor-del-mes va a hacer mís mal que bien porque vas a hacer mís difícil que tus administradores de sistemas ganen una experiencia que sólo se gana con el tiempo.
-
No necesitamos un firewall, tenemos una buena seguridad en cada equipo – no, no la tienes. Si tu red no es segura cualquier aplicación que se comunique a través de la red es potencialmente un objetivo. 3 palabras: Sistemas de Resolución de Nombres.
-
No necesitamos seguridad en cada equipo, tenemos un buen firewall – no, no la tienes. Si tu firewall deja pasar trífico destinado a los equipos que hay detrís entonces tienes que preocuparte de la seguridad individual de esos equipos.
-
Llevémoslo a producción ahora y ya lo aseguraremos mís tarde – no, no lo asegurarís. Una pregunta mís apropiada sería: “Si no tenemos tiempo para hacerlo bien ahora, ¿tendremos tiempo para corregirlo una vez esté roto?” Algunas veces, desarrollar un sistema que estí constantemente en reparaciones significa que tendrís que emplear años invirtiendo en parchear porque no estuviste dispuesto a dedicar en primer lugar unos días para hacer un trabajo bien hecho.
-
No podemos parar los problemas ocasionales. - sí, sí que puedes. ¿Viajarías en líneas aéreas comerciales si supieses que la industria de la aviación tomase este camino con tu vida? No lo creo.
Adiós y Buena Suerte
He tratado de mantener el tono ligero y agradable pero mi mensaje va en serio. La seguridad informítica es un campo que se ha enamorado demasiado con la moda del momento y ha olvidado el sentido común. Tu trabajo como practicante de seguridad informítica es cuestionar – si no directamente enfrentarte- la sabiduría convencional y el status quo. Después de todo, si la sabiduría popular estuviese funcionando el ritmo de equipos comprometidos iría disminuyendo, ¿verdad?
SERIE....Las 6 peores ideas sobre seguridad informática (II)
Las 6 peores ideas sobre seguridad informítica (II)
Hay un viejo dicho que reza: No puedes hacer una pulsera de seda a partir de la oreja de una cerda . Es verdad excepto si acabas usando tanta seda para parchear la oreja de la cerda que la reemplazas completamente. Desafortunadamente, cuando un software repleto de errores se corrige casi siempre se corrige añadiendo nuevo código, en lugar de quitar los antiguos trozos de la oreja de la cerda.
Penetrar y parchear es una idea estúpida que se podría expresar perfectamente en el lenguaje de programación BASIC:
10 GOSUB BUSCAR_AGUJEROS 20 IF AGUJERO_ENCONTRADO = FALSE THEN GOTO 50 30 GOSUB CORREGIR_AGUJERO 40 GOTO 10 50 GOSUB AUTOCONGRATULARSE 60 GOSUB SER_HACKEADO_EVENTUALMENTE 70 GOTO 10En otras palabras, atacas tu firewall/software/sitioweb/lo que sea desde fuera, identificas un fallo en él, lo corriges y luego vuelves a buscar. Haciendo esto no mejoras la calidad del código a largo plazo aunque Dirección pueda agradecer la aparente brillantez de dicha estrategia a corto plazo. En otras palabras, el problema con Penetrar y parchear es que no hace mejorar la arquitectura de tu código/implementación/sistema; por el contrario lo único que hace es conseguir que sea mís duro a base de probar y fallar. El artículo de Richard Fenyman s Personal Observations on the Reliability of the Space Shuttle era lectura obligada para todos los ingenieros de software que he contratado. Contenía ideas bien explicadas y profundizaba acerca de las expectaciones sobre dependencia del software y cómo se alcanzaba en sistemas complejos. En resumen, su significado para los programadores es: Excepto en el caso de que tu sistema esté pensado para ser hackeado no debería ser hackeable.
Penetrar y Parchear estí por todas partes y es la idea estúpida que lidera la moda actual (activa desde hace cerca de 10 años) de anuncio de vulnerabilidades y actualizaciones a través de parches. Según los investigadores de vulnerabilidades estín ayudando a la comunidad encontrando agujeros de seguridad en el software y estín corrigiéndolos antes de que los hackers los encuentren y los exploten. Según las empresas estín haciendo lo correcto publicando lo antes posible parches para adelantarse a los hackers y a sus intentos de explotar dichos agujeros de seguridad. Ambos grupos estín comportíndose de forma estúpida ya que si las empresas estuvieran escribiendo código que estuviese diseñado para ser seguro y dependiente entonces el trabajo de investigación de vulnerabilidades sería una tarea tediosa y poco gratificante!
Permíteme decirlo de otra forma: si Penetrar y Parchear fuera efectivo ya habríamos dejado de encontrar agujeros de seguridad en Internet Explorer a estas alturas. ¿Cómo ha ido? ¿2 o 3 vulnerabilidades al mes durante 10 años? Si nos fijamos en aplicaciones diseñadas para trabajar en Internet podemos ver que hay un número de ellas que contínuamente tienen problemas de seguridad. Y a la vez, también hay un número de aplicaciones bien pensadas desde el principio como Qmail, Postfix, etc que han sido diseñadas de tal forma que el número de bugs que han aparecido para dichas aplicaciones ha sido ínfimo. La misma lógica se aplica a tests de penetración . Conozco redes que han sido testeadas en busca de agujeros de seguridad y que han sido hackeadas y hechas trizas rutinariamente. Esto ocurre porque su arquitectura (o sus prícticas de seguridad) estín tan fundamentalmente equivocado que ninguna cantidad de parches van a mantener a los hackers fuera. Tan solo quitan a Dirección y a los auditores de seguridad de encima de los administradores de redes.
También conozco redes para las que es literalmente inútil hacer tests de penetración ya que han sido diseñadas desde el principio para ser permeables solo en ciertas direcciones y solo para cierto trífico destinado a unos servidores específicos configurados a propósito y que ejecutan software especialmente seguro. Lanzar tests de penetración para bugs de Apache contra un servidor que corre bajo un código personalizado en C ejecutado en una porción aislada de un sistema embedido es completamente inútil. Por esto, Penetrar y Parchear no tiene sentido ya que sabes que o bien vas a encontrar infinidad de bugs o bien sabes que es imposible encontrar nada comprensible.
Un claro síntoma de que tienes un caso de Penetrar y Parchear es cuando te das cuenta de que tu sistema es vulnerable al bug de la semana . Eso quiere decir que te has puesto en una situación en la que cada vez que los hackers inventan un nuevo arma automíticamente eres vulnerable. ¿No suena estúpido? Tu software y tus sistemas deberían ser seguros por diseño y deberían haber sido diseñados para controlar fallos desde el principio.
#4) Hackear es Guay
Una de las mejoras formas de deshacerse de las cucarachas de tu cocina es esparcir migas de pan debajo de las encimeras, ¿verdad? ¡No! Es una idea estúpida. Una de las mejores formas de desalentar el hacking en Internet es darles a los hackers acciones, comprar los libros que escriben sobre exploits, tomar clases sobre kung fu de hacking extremo y pagarles decenas de miles de euros para hacer tests de penetración contra tus sistemas, ¿verdad? ¡No! Hackear es guay es una idea estúpida.
En la época en la que yo estaba aprendiendo a andar, Donn Parker investigó los aspectos de comportamiento de hackear y la seguridad informítica. Nadie lo podría decir mís claro que él: La informítica a distancia libera a los criminales de su requerimiento histórico de estar próximos a sus crímenes. El anonimato y la libertad de no enfrentarse directamente a su víctima han incrementado emocionalmente las posibilidades de cometer un crimen; por ejemplo, la víctima sólo fue un ordenador inanimado, no una persona real ni una empresa. Las personas tímidas podrían volverse criminales. La proliferación de sistemas y modos de proceder idénticos y la automatización de los negocios hicieron posible e incrementario las economías de automatizar crímenes y construir poderosas herramientas criminales y scripts con gran facilidad.
Oculto en la observación de Parker estí el hecho de que hackear es un problema social. No es en absoluto un problema tecnológico. Las personas tímidas podrían volverse criminales. Internet ha dado un espacio completamente nuevo a las personalidades poco sociables. La cuarta cosa mís estúpida que los practicantes de seguridad informítica pueden hacer es alentar a los hackers poniéndolos en un pedestal. Los medios de comunicación toman parte directamente en esta macabra idea al mostrar a los hackers como jóvenes genios o brillantes tecnólogos - por supuesto, si eres un periodista de la CNN, cualquiera que pueda instalar Linux entra dentro de la categoría de brillante tecnólogo . Me resulta interesante comparar las reacciones de la sociedad hacia los hackers como jóvenes genios y contra los spammers como artistas de baja categoría . En realidad me agrada ver cómo spammers, phishers y otros farsantes estín adoptando a los hackers y a sus técnicas ya que de esta manera se invertirí la vista de la sociedad hacia los hackers mejor que de cualquier otra forma.
Si eres un practicante de seguridad, enseñarte a tí mismo cómo hackear forma parte también de la estúpida idea de Hackear es Guay . Piénsalo: aprender cómo usar un montón de exploits y cómo usarlos significa que estís invirtiendo tiempo en aprender a usar un montón de herramientas y técnicas que van a estar desfasadas tan pronto como todo el mundo se haya protegido contra ese fallo en concreto. Significa que has hecho que una parte de tus conocimientos sean dependientes de Penetrar y Parchear y que vas a tener que formar parte de una carrera si no quieres que tus conocimientos queden obsoletos. ¿No sería mís lógico aprender cómo diseñar sistemas seguros que estén construídos a prueba de hacks que aprender cómo identificar sistemas de seguridad estúpidos?
Mi predicción es que la idea de que Hackear es Guay estarí muerta en los próximos 10 años. Me gusta fantasear con la idea de que serí reemplazada por la idea opuesta Una Buena Ingeniería es Guay pero hasta el momento no tiene visos de ocurrir.
SERIE.....Las 6 peores ideas sobre seguridad informática (I)
Las 6 peores ideas sobre seguridad informítica (I)
Permitidme introduciros las 6 peores ideas sobre seguridad informítica. ¿Cuíles son? Son lo opuesto a las buenas ideas. Son el daño cerebral que hace que tu cortafuegos ASIC turbo-stateful y con soporte para introspección de paquetes de 80.000€ sea transparente para los hackers. ¿De dónde vienen estas antítesis de las buenas ideas? Surgen de los malogrados intentos de hacer lo imposible que es una forma de decir intentar ignorar la realidad . Estos malogrados intentos son con frecuencia sinceros esfuerzos por parte de gente con buena intención o por compañías que no acaban de comprender del todo la situación. Sin embargo, otras veces son una panda de emprendedores con un producto inútil pero muy bonito que venden para ganar dinero rípidamente. En cualquier caso estas ideas estúpidas son la razón fundamental por la que todo el dinero que gastíis en seguridad no va a servir absolutamente para nada a menos que hagamos algo para evitarlo.
Para tu conveniencia he listado las ideas en orden de mís conocidas a menos conocidas. Si puedes evitar caer en la trampa de las tres primeras estís entre la verdadera élite de la seguridad digital.
Esta idea toma distintas formas; es increíblemente persistente y muy difícil de erradicar. ¿Por qué? Porque es muy atractiva. Los sistemas basados en Permitir por defecto son el equivalente en seguridad informítica a las calorías vacías: sabrosas y a la vez engordan.
La forma mís reconocible en que se manifiesta esta idea de Permitir por defecto es en las reglas de los firewalls. En el alba de la seguridad los administradores de redes configuraban una conexión a internet y decidían asegurarla cerrando todo el trífico entrante de telnet, rlogin y ftp. El resto del trífico podía pasar, de ahí viene el nombre de Permitir por defecto . Esta forma de configurar situaba al administrador de redes en una carrera contínua contra los hackers. Supongamos que surge una nueva vulnerabilidad en un servicio que no estí bloqueado. Los administradores deben decidir ahora si permitir o denegar el servicio, a lo mejor antes de que sean hackeados. Muchas organizaciones adoptaron Permitir por defecto a prinpicios de los 90 y se autoconvencieron de que estaba bien ya que los hackers nunca se preocuparín de ir a por nosotros . La década de los 90, con el advenimiento de los gusanos de internet debería haber eliminado Permitir por defecto para siempre pero no lo hizo. De hecho, la mayoría de las redes de hoy en día todavía estín construídas alrededor de la noción de un núcleo abierto sin segmentos; es decir, Permitir por defecto .
Otro lugar donde surge Permitir por defecto es en cómo tratamos la ejecución de código en nuestros sistemas. La configuración por defecto consiste en permitir ejecutar cualquier programa en tu equipo si pinchas sobre él, excepto si se deniega la ejecución por algún programa como un antivirus o un bloqueador de spyware. Si piensas sobre ello durante un momento te darís cuenta de lo estúpido que suena. En mi equipo ejecuto 15 aplicaciones de forma regular y hay unas 20 o 30 mís instaladas que uso cada 2 meses mís o menos. Todavía no entiendo por qué lo sistemas operativos son tan estúpidos que permiten que cualquier virus antiguo o programa de spyware se ejecute sin ni siquiera preguntarme. Esto es Permitir por defecto .
Hace algunos años trabajé en un proyecto que consistía en analizar la seguridad de un sitio web como parte de un proyecto de seguridad de banca electrónica. El sistio web tenía un balanceador de carga delante que era capaz de redirigir trífico a partir de la URL y mi cliente quería usar el balanceador de carga para rechazar gusanos y hackers redirigiendo los ataques a una dirección especial. Redirigir los ataques habría significado adoptar la política de Permitir por defecto (por ejemplo, si no es un ataque conocido déjalo pasar) pero en lugar de ello les convencimos para adoptar una política opuesta. El balanceador de carga fue configurado para redirigir todo el trífico que no se ajustara a una lista de URLs bien construídas a un servidor encargado de despachar imígenes y píginas de error 404, que estaba funcionando bajo una configuración muy segura. Naturalmente el sitio web ha pasado el test del paso del tiempo bastante bien.
Un síntoma de que estís ante un caso de Permitir por defecto es cuando te encuentras en una carrera contra las hackers. Eso significa que te has puesto en una situación donde lo que no conoces puede herirte y por lo tanto estarís condenado a mantener el ritmo/estar a la cabeza en esa carrera.
Lo opuesto a Permitir por defecto es Denegar por defecto y realmente es una muy buena idea. Se requiere dedicación, pensar y entender para implementar una política de Denegar por defecto , por eso se usa tan poco. No es mucho mís difícil que Permitir por defecto pero dormirís mucho mís tranquilo.
#2) Cuantificar los malesEn los inicios de la informítica sólo había un reducido número de agujeros de seguridad ampliamente conocidos. Esto tuvo mucho ver con que proliferase la idea de Permitir por Defecto ya que cuando solamente había 15 formas conocidas de hackear una red era posible examinar y plantearse sobre cada una de esos ataques y bloquearlos. De esta manera, los especialistas en seguridad cogieron el habito de cuantificar los males , es decir, listar todas las posibles causas de ataques que conocían. Una vez que las listabas podías poner sensores para detectarlos o defensas para detenerlos.
¿Por qué Cuantificar el mal es una mala idea? Es una mala idea porque en algún momento de 1992 la cantidad de Maldad en Internet comenzó a sobrepasar con un amplio margen la cantidad de Bondad. Por cada programa inofensivo y legítimo hay docenas o cientos de software intrusivo, gusanos, exploits o código viral. Con echarle un vistazo a un antivirus actual os daréis cuenta de que hay cerca de 75000+ virus que pueden infectar vuestros equipos. Compara esto con los aproximadamente 30 programas legítimos que puedas tener instalados en tu equipo y te darís cuenta de la mala idea que es tratar de seguir 75000 piezas de Maldad cuando incluso una persona de pocas miras puede gestionar 30 piezas de Bondad. De hecho, si fuesemos capaces de hacer funcionar únicamente los 30 programas habituales y bloquear todo lo demís habríamos eliminado simultíneamente los siguientes problemas:
-
Spyware
-
Virus
-
Troyanos
-
Exploits que necesiten tener código preinstalado que no uses habitualmente
Gracias a todo el marketing que hay detrís de los anuncios y de cómo hacerlos hay (de acuerdo a algunos analistas de la industria) cerca de 200 a 700 nuevas maldades en Internet cada mes. Cuantificar el Mal no solo es una mala idea, es que ademís se ha vuelto mís estúpida durante el tiempo que habéis estado leyendo este artículo.
Si discutiese esta idea con el típico ejecutivo TI se levantaría y diría: Eso suena genial pero nuestra red corporativa es realmente compleja. ¡Tener controlado todo el software del que dependemos es algo imposible! ¡Lo que dices suena razonable pero enseguida te das cuenta de lo absurdo que es! A lo cual yo respondería: ¿Cómo puedes llamarte a ti mismo/considerarte un Chief Technology Officer si no tienes ni idea de qué estí haciendo tu tecnología? Un CTO no tiene por qué conocer al dedillo todas las aplicaciones que funcionen en su red pero si no tienes una vaga idea de qué estí funcionando es imposible hacer previsiones de capacidad, previsiones para casos de desastre, planificar la seguridad ni virtualmente nada de las cosas que debe hacer un CTO.
En 1994 programé un cortafuegos que necesitaba unas rutinas de anílisis de los registros de sistema para alertar al administrador en caso de que se detectase alguna condición no esperada. La primera versión usaba Cuantificar Maldad (sí, yo también he sido un estúpido), pero la segunda versión usaba lo que llamé Ignorancia Artificial , un proceso por el cual el cortafuegos eliminaba los registros que sabía que no eran interesantes. Si había algo después de desechar lo que sabes que no es interesante entonces seguro que lo que quedaba era interesante. Este planteamiento funcionó extraordinariamente bien y detectamos un elevado número de situaciones operativas interesantes y condiciones y errores que sencillamente no se nos podrían haber ocurrido buscar.
Cuantificar el Mal es la idea que hay detrís de un enorme número de productos de seguridad y de sistemas, desde antivirus a sistemas de detección de intrusos, seguridad de aplicaciones y firewalls de inspección detallada de paquetes . Lo que esos programas y dispositivos hacen es outsourcing de tu proceso de saber qué es bueno. En lugar de tomarte el tiempo de hacer una lista con las 30 aplicaciones que necesitas es mís fícil pagar 29,95€ a alguien para que mantenga una lista exhaustiva de todo el mal en el mundo. Excepto que desgraciadamente tu experto en maldad obtendrí otros 29,95€ al año por la lista de antivirus, otros 29,95€ al año por la lista de spyware y te comprarís un firewall personal por 19,95€ que tendrí control sobre las aplicaciones de red. Para cuando hayas terminado de pagar a otras personas para que enumeren todo el software maligno que podría llegar a atacar a tu equipo habrís pagado mís del doble del coste de tu sumamente barato sistema operativo.
Un claro síntoma de que tienes un caso de Cuantificar el Mal es cuando tienes un software o un sistema que necesita actualizaciones de firmas de forma regular o un sistema que deja pasar a un guasno que no ha visto antes. La cura para Cuantificar el Mal es, por supuesto, Enumerar el Bien . Pero por increíble que parezca no hay virtualmente ningún soporte en los sistemas operativos para ello. He intentado usar el Control de Ejecución de Programas de Windows XP Pro pero estí orientado a identificar el mal y es por sí mismo una implementación estúpida de una idea estúpida.
En un sentido, Cuantificar el Mal es un caso especial tonto de Permitir por Defecto pero es tan común que merecía ser mecionada aparte
