¿Firefox o Explorer? ¿Windows o Linux? ¿Verdad o Mentira?
Me acaba de salir la pantallita del firefox avisándome que está lista la actualización de la versión 1.5.0.4. Pincho en «Detalles» y veo que han arreglado 12 fallos de seguridad, 7 de ellos críticos, lo que quiere decir que permiten la ejecución de código arbitrario sin la intervención del usuario.
Y yo me pregunto: ¿Por qué callan aquellos que ante la mínima vulnerabilidad de Internet Explorer ponen el grito en el cielo?. Que nadie se lleve a engaño, no estoy defendiendo al Internet Explorer. Soy usuario de Firefox porque me resulta más agradable de usar, más estético, tiene pestañas y es Open Source. En el tema de la seguridad, bien, que el 98% del malware intente explotar vulnerabilidades en el Explorer es un punto a favor del Firefox, pero eso no quiere decir que sea más seguro. A los datos me remito.
De hecho con una adecuada configuración del Internet Explorer y tocando algunas claves en el registro, se puede navegar con total tranquilidad. Parece ser que en Windows Vista Internet Explorer correrá en un mode protegido por defecto. Ya era hora.
A mi modo de ver el verdadero problema de los navegadores, aparte del Javascript, son los plugin de terceros, muchos de ellos marcados como «Safe», lo que quiere decir que a menos que especifiquemos lo contrario, el navegador no nos mostrará ningún tipo de confirmación para reproducir los archivos asociados: flash, quicktime,pdf etc…
Por ejemplo,tener activado el plugin de Quicktime como «Safe» es un auténtico suicidio para la seguridad. Realmente, los programadores de Quicktime o pasan olímpicamente o no hay nadie que les haya explicado cómo escribir código seguro. La única protección que tiene ese plugin es que está compilado con el flag «/GS» y aun así, esta protección te la puedes saltar, en cierta vulnerabilidad, sin demasiada dificultad. La última actualización del Quicktime solucionó ¡21 fallos críticos!. Y todavía quedan… ;).
No hace mucho descubrí un stack overflow en la forma en que se maneja el plugin de Acrobat para Mozilla/Firefox(www.reversemode.com/pdfbug/poc.html). Teóricamente, no es explotable o al menos extremadamente dificil explotarlo con éxito, ya que es una situación recursiva y el stack overflow se produce debido al consumo de toda la stack, no a un buffer overflow. Aun así, bajo determinadas circunstancias de carga del navegador es posible, (sólo lo conseguí una vez) ejecutar código arbitrario en una dirección marcada por valores fijos a cada sesión. Sólo es un ejemplo de lo que podría pasar con un bug explotable en un plugin tan masivamente usado como el de Acrobat Reader o Macromedia Flash. Ambos navegadores podrían verse afectados.
En estos tiempo de «mi ubuntu mola», «en mi turubuntu chiniwini 3.0 no me funciona, pero si me instalado madriva chuniwani 5.0 me va perfectamente» conviene recordar que nada «mola porque sí». Si les preguntas a usuarios de OpenBSD: «linux es lamentable». Si les preguntas a algunos usuarios de linux: «Windows es lamentable» y así sucesivamente. Pero realmente, muy pocos de ellos sabrán mantener con argumentos sólidos y técnicos esas afirmaciones(bueno, de OpenBSD creo que la mayoría sí ). Con esto quiero decir que, por favor, antes de pronunciar verdades absolutas seamos más humildes e intentemos ser objetivos defendiendo nuestras ideas y preferencias, alejándonos de modas. Nadie es más «hacker» por usar Firefox-Internet Explorer, Linux-Windows… sino por saber usarlos realmente y comprenderlos.
No deberíamos creernos nada a no ser que lo viéramos por nosotros mismos, y aun así deberíamos dudar. ¡Conspiranoicos del mundo, uníos! ¡y a ser posible, los proletarios también !