De todos son conocidos los problemas de Windows Vista para entrar en el mercado, con controvertidas cifras de venta (recordemos que se lo hacen comer con patatas a cada comprador de un sistema informático) y con otros serios problemas con el hardware, los recursos y la compatibilidad, como ya predijo Gartner en su momento. Pero puede que la puntilla destinada a acabar definitivamente con este sistema operativo tan polémico, se la  hayan acabado de dar en Las Vegas.

Al parecer, investigadores de IBM y VMWare acaban de desvelar, durante la conferencia Black Hat de Las Vegas, una técnica que permite obtener control total de Windows Vista y lo hacen, de una manera que puede que sea prácticamente imposible de solucionar por Microsoft, a menos que cambie por completo, o al menos sustancialmente, la arquitectura de seguridad de Windows Vista, lo que sinceramente, como están las cosas, me parece improbable.

El problema nace en la forma en la que algunos programas de Windows Vista, como el navegador Internet Explorer, cargan las DLL's (librerías dinámicas) en la memoria de la máquina. El error se basa en que Microsoft asumió para la arquitectura de seguridad de su sistema operativo Windows Vista, que cualquiera de los archivos de DLLs que se cargasen a través de su tecnología .NET, eran seguros por definición. Apuesta, que sin duda, es arriesgada para la seguridad del sistema, pero que parecía conveniente por motivos comerciales. Como están las cosas, basta mezclar la tecnología .NET con código malicioso embebido en DLL's, para tener un cóctel explosivo y demoledor para la seguridad de los usuarios.

Lo peor de todo, es que es una técnica muy sencilla de implementar y muy flexible, puesto que se pueden modificar las DLL's maliciosas con mucha facilidad y añadirles una carga de pago personalizada, lo que puede abrir las puertas a un nuevo universo de maldades informáticas, gracias a que cualquiera podrá tomar el control total y absoluto de un ordenador dotado con Windows Vista, con un acto tan inocente como visitar una página Web preparada para ejecutar el ataque.

Por si alguno piensa que el parche llegará pronto, hay un problema adicional en todo este asunto, como hemos dicho, el fallo reside en la arquitectura de seguridad de Windows Vista, es decir, que no explota un error de programación, más bien, explota un error de diseño que afecta a lo más íntimo del sistema operativo. La consecuencia es clara, puede que no se pueda arreglar con facilidad, o si se puede, el parche puede ser de varios cientos de megas y sobre todo, de poder arreglarse, es posible que tarde algún tiempo en llegar.

Por ahora, por asombroso que parezca, la mejor solución para protegerte de esto, es instalarte un Linux y no usar Windows Vista para abrir ningún archivo, o para acceder a Internet, si eres un feliz usuario de Vista no te puedes fiar de nada, la DLL maliciosa que, robe tu información personal, lo convierta en un miembro de honor de una red botnet, o que lo configure como servidor de pornografía infantil, puede venir por cualquier medio, a través de un chat, por correo electrónico, o simplemente, visitando una página web, etc, por ello, el mejor consejo que os puedo dar, felices usuarios de Vista es "olvidaos de Vista hasta que se solucione el problema, si es que se soluciona".

Ahora es el momento de pensar en lo que decía Bruce, sobre el coste para la seguridad que tiene un monopolio, o sobre los problemas de seguridad del código cerrado y monolítico.Pero lo peor de todo, es que a pesar del desastre para los usuarios de Vista, habrá muchos usuarios que no serán conscientes del problema y que seguirán usando Vista con todo lo que ello puede suponer para la seguridad global.

Fuente: Search Security / Black Hat.

"Copyleft 2008 Fernando Acero Martín. Verbatim copying, translation and distribution of this entire article is permitted in any digital medium, provided this notice is preserved."

NOTA: Parece que algunos no saben lo que es una licencia libre, ni la forma de reconocer los derechos del autor de un artículo, tabién había otro se lo saltaba a la torera, pero que lo ha corregido 24 horas después y después, sin más, lo ha borrado.

Cosas sobre Linux y la seguridad en Internet

Como todos sabéis, soy un feliz usuario del sistema operativo Linux desde hace mucho tiempo y siempre he recomendado su uso en la Administración, hogar y empresas; pero recientes acontecimientos relacionados con la seguridad de los sistemas Windows, no han hecho más que confirmarme que Linux puede ser la mejor opción (si no la única en este momento), si no queremos tener problemas serios, con nuestro banco, o incluso con la Justicia.

La realidad puede ser demasiado cruda para los usuarios del omnipresente sistema operativo de Microsoft, según un reciente informe del INTECO “El 70% de los ordenadores domésticos contiene virus y programas espías”, algo que es muy preocupante si realizamos operaciones bancarias, o queremos usar sin riesgos nuestro flamante DNI electrónico. Pero ¿qué pasaría si además de peligrar nuestra cuenta corriente, peligrase nuestra integridad física?.

Pues lo cierto es que esto ya ha pasado. En un informe publicado en relación con la operación “Ore”, iniciada en 1999 contra la pornografía infantil en Internet, se cuenta como algunos usuarios fueron encarcelados por tener pornografía infantil en sus ordenadores. El problema es que dicha pornografía había sido introducida por los delincuentes en sus ordenadores “zombi” a través de Internet y sin que ellos lo supieran. Lo peor es que dichos ordenadores habían sido configurados para que se comportasen como servidores de pornografía infantil en beneficio de los delincuentes que comerciaban con ella. Para la policía, que no comprendía que se pudieran “esclavizar” de ese modo los ordenadores, los usuarios afectados eran culpables de distribuir la pornografía y por ello, fueron encarcelados. Es decir, que como están las cosas, nadie nos garantiza que nuestro sistema no acabe cometiendo delitos en nuestro nombre y que por ello acabemos siendo procesados.

Muchos usuarios creen que teniendo el sistema operativo y el antivirus actualizado, no tendrán problemas con su Windows. Lo cierto es que así se minimiza mucho el riesgo, siempre hay una ventana de exposición entre el momento en el que aparece código malicioso y en el que se actualiza el antivirus y además, por las políticas de actualización de los fabricantes de software, no todos los fallos se seguridad se corrigen en un tiempo razonablemente corto, lo que hace que nuestro sistema sea vulnerable. Digamos que siempre estamos en el filo de la navaja si somos usuarios de Windows y no tenemos mucho cuidado con lo que hacemos en Internet.

Pero seamos realistas, algo falla cuando la realidad es que hay un 70% de ordenadores domésticos comprometidos, sin que sus usuarios sepan lo que están haciendo, la información que contienen, o la que les están robando. Algo que tampoco es de extrañar, cuando en otro reciente informe se dice que el 10% de páginas web están preparadas para infectar a los usuarios que acceden a ellas. Desgraciadamente, muchas páginas con reclamos tan jugosos como, los programas gratis, la música, las películas, la pornografía, o los contactos personales, suelen ser las más peligrosas, pudiendo convertir nuestro ordenador en un “zombi” a las órdenes de cualquier desalmado, en una milésima de segundo.

También hay que decir, que al igual que hay almas cándidas en el mundo de los ordenadores domésticos, también las hay en el de las páginas web empresariales y páginas de empresas muy importantes y solventes, también han sido preparadas por los delincuentes para infectar a los sistemas que las visitan, llegando a representar un no despreciable 40% del total [4] de las páginas maliciosas. Por ello, no podemos estar seguros cuando visitamos páginas que consideramos “legales”.

No repetiré aquí las indudables y contrastadas ventajas para la seguridad que tiene el sistema operativo Linux, pero a pesar de esta realidad palpable, lo cierto es que la gente usa de forma mayoritaria Windows, algo que considero inexplicable y casi irresponsable, si tenemos en cuenta las estadísticas y las terribles consecuencias que puede tener para el usuario un ordenador infectado y conectado a Internet.

Puede que el problema esté en que los usuarios domésticos no se atrevan a instalar Linux por considerar que es muy complicado, o por otros prejuicios que lanzan las multinacionales para que no cambie su cuenta de resultados y que sinceramente, creo que no tienen mucho fundamento actualmente. Por ello, he decidido hablar de algunas alternativas que considero muy interesantes y viables para los usuarios de Windows que deseen probar, o tener Linux funcionando en su sistema, sin que esto sea demasiado traumático.

Lo primero que hay que decir, es que Linux no es más complicado que Windows, simplemente es diferente. Sí es cierto que requiere cierto grado de aprendizaje por parte del usuario, pero para usar Windows también es necesario aprender cosas. Y todo hay que decirlo, lo que aprendemos de Windows puede que no nos valga con la siguiente versión que salga al mercado, algo que no ocurre con Linux. Por otra parte, han aparecido nuevas tecnologías que han logrado que la instalación del sistema operativo Linux y todas sus aplicaciones asociadas, sea mucho más sencillo y rápido que instalar Windows, por lo que cada vez tenemos menos excusas.

La primera tecnología son las distribuciones “Live”. Estas distribuciones permiten arrancar y ejecutar un sistema Linux completo desde un CD o un DVD, sin tener que instalar nada en el ordenador. Algunas de estas distribuciones Live también disponen de una opción para instalar en el disco duro el sistema completo, si es que es de nuestro agrado. Normalmente, esta instalación se realiza de forma automática después de contestar a una serie de preguntas sencillas y seleccionar algunas opciones igualmente simples, lo que está al alcance de casi cualquier usuario.

En Internet podemos encontrar una gran cantidad de estas distribuciones, que cara a la seguridad también son muy interesantes, ya que al residir los programas en un CD/DVD, no hay posibilidad de que nada ni nadie modifique nada de su contenido. Cada vez que arranquemos el sistema desde el CD/DVD, es como si se hubiera instalado desde cero, lo que también es muy bueno para hacer experiencias, ya que nunca podremos dañar nuestro sistema. Para usarlas, solamente hay que descargarlas de Internet, grabarlas como una imagen ISO con cualquier programa de grabación de CD/DVD y configurar la BIOS del ordenador para que arranque desde el CD/DVD. Después, bastará con introducir el disco en el lector de CD/DVD que hemos configurado como de arranque en la BIOS del sistema y reinicializaremos el ordenador. A los pocos segundos del arranque, tendremos una distribución Linux completa funcionando y que habrá reconocido automáticamente todo el hardware de nuestro sistema, más simple imposible.

La última variedad son las distribuciones Live que están instaladas en una memoria flash USB. La principal ventaja de esa opción, es que se ejecutan mucho más rápidamente y además, permiten guardar información personal y configuraciones en la memoria flash USB. Una de las más famosas es la Mandriva Flash, que tiene 1 Gb de programas Linux y deja para el usuario 3 Gb de espacio libre, algo nada desdeñable si consideramos que solamente cuesta 89 euros. Para poder usarla, la BIOS de nuestro ordenador debe permitir arrancar desde un dispositivo USB, algo que está disponible en la mayoría de los ordenadores actuales. Esta opción, por su reducido tamaño y portabilidad, es la mejor, si queremos disponer de un sistema Linux completo, con nuestra configuración y datos en cualquier parte del mundo y sin tener que instalar nada, solamente configurar la BIOS introducir el dispositivo USB y arrancar el sistema. Esta opción tiene dos problemas; tenemos que añadir el precio del soporte físico (aunque actualmente no es muy elevado y está en continuo descenso) y la vida limitada en ciclos de borrado/escritura de las memorias flash.

Otra interesante opción para usar aplicaciones típicas de Linux en Windows y sin tener que instalar nada en el sistema, son las versiones “portables”. Estas no son maś que versiones para Windows de estas aplicaciones típicas de Linux y que se distribuyen como un único archivo “.exe” y que por lo tanto, no necesitan instalación alguna. Esta es una opción muy interesante cuando nuestro “administrador” no nos deja instalar nada en el ordenador, o cuando queremos usar en cualquier parte nuestro programa ofimático OpenOffice, sin tener que instalarlo en el ordenador del trabajo o del instituto. Las aplicaciones portables, son muy útiles y fáciles de usar, basta con bajarlas de Internet, guardarlas en una memoria flash, o disco duro USB y ejecutarlas haciendo doble clic sobre ellas en el navegador de archivos de Windows, parece magia.

Entre estas aplicaciones portables más famosas encontramos el programa OpenOffice, el navegador Firefox, el cliente de correo Thunderbird, el programa de retoque fotográfico El Gimp, el programa de mensajería instantánea Gaim y muchas otras más. Si buscamos un poco en Google, incluso podemos encontrar versiones portables en castellano de todas estas aplicaciones, por lo que esta es otra excusa menos para no probarlas.

Un caso interesante de aplicaciones portables, es la combinación entre aplicaciones Live Linux y portables Windows, desarrollada por la Comunidad de Madrid y que se denomina Nano Max. Esta distribución mixta Linux/Windows, que está orientada al ámbito educativo, se puede instalar en cualquier memoria flash USB que tenga como mínimo 1 Gb de tamaño. En el archivo PDF que hay en el directorio de descarga de Nano Max, se explica la forma de crear una distribución Nano Max en un dispositivo flash USB desde cualquier sistema Linux.

He de decir, que dispongo de una Nano Max y me la llevo a todas partes. Es muy útil para salir de un apuro cuando el sistema Windows se niega a funcionar, o cuando tenemos la sospecha de que un sistema Windows está comprometido y queremos acceder a Internet con cierta seguridad, pero lo mejor de todo, es que tengo a mi disposición mis aplicaciones favoritas con solamente hacer clic con el ratón. Una interesante aplicación portable es la combinación del navegador Firefox y el sistema de navegación anónima Tor para Windows, que se denomina Torpark [9], nunca fue tan sencillo navegar de forma anónima y segura desde Windows, realmente es algo muy recomendable, que también llevo en mi dispositivo USB a todas partes.

Finalmente, tenemos la opción de instalar Linux como si se tratase de un programa Windows normal y corriente. Para ello, bastará con descargarnos un instalador de 9 Mb de tamaño denominado Wubi y ejecutarlo en nuestro sistema como si se tratase de un programa Windows. Wubi es un instalador de la famosa distribución Ubuntu, que permite a los usuarios de Windows entrar en el mundo Linux tras unas pocas pulsaciones del ratón. Como es lógico, para usar esta opción hay que tener una buena conexión a Internet ya que todo el sistema de tiene que descargar desde los servidores de Ubuntu y es algo que nos puede llevar un buen rato.

Lo mejor que tiene Wubi es que permite instalar y desinstalar Ubuntu como si fuera una aplicación Windows, algo que se logra manteniendo todos los archivos de la distribución Linux en un único directorio de Windows. Wubi es ideal para los usuarios que no se quieren complicar la vida, ya que no es necesario modificar las particiones, ni cambiar el arranque del sistema, cosas que pueden dar pánico a muchos usuarios de Windows.

Otra ventaja de Wubi, es que no es necesario grabar ningún CD/DVD, basta con tener una conexión a Internet, lanzar el programa de instalación y esperar a que el sistema de transfiera y se instale en su carpeta de Windows, más sencillo imposible. Por todo lo anterior, creo que esta es una de las mejores formas de entrar en el mundo Linux para los usuarios de Windows. Es una instalación simple y que en nada se aparta de lo que conoce un usuario de Windows cuando desea instalar un programa en su sistema.

Como se puede ver, no hay muchas excusas para no usar Linux y correr riesgos innecesarios cuando nos conectamos y navegamos por Internet. Solamente hay que tener un poco de voluntad y el deseo de no formar parte de esa peligrosa red global de ordenadores esclavizados a las órdenes de delincuentes cibernéticos y que en la actualidad se cifra en el 70% de todos los ordenadores domésticos. Si no me quieres hacer caso, solamente te deseo suerte y de verdad, también te deseo que no te pase nada malo...