Lamenteibol.
Actualizado: DrNo hace una importante observación en los comentarios.Así que toca rectificar algunas cosas.
Dan Kaminsky es un conocido researcher que va y descubre uno de las fallos más graves en la historia de Interneeer. Tampoco voy a hablar del impacto del fallo porque creo que está todo dicho. De los de apagar el ordenador y meterte debajo de la mesa. Bien, el tio va y hace lo que hay que hacer, contactar con el CERT para coordinar con todos las empresas afectadas un parche etc,etc… Y que más hace, pues prepara una charla en la conferencia más importante de seguridad informática actualmente, el BlackHat, donde revelará todos los detalles sobre la vulnerabilidad. Entre esta charla y la liberación de los parches por parte de las empresas afectadas existe un intervalo de tiempo suficiente para que se parchee todo los DNSs vulnerables.
Pero aquí empieza la juerga. Con las vagas descripciones sobre los parches liberados la gente empieza a especular sobre el verdadero impacto del fallo, la gente se engorila y empiezan a atacar directamente a Kaminsky acusándole de sobredimensionar la movida y demás.
Uno de los tantos que elige ese camino es Thomas Ptacek, el cherif de matasano que viene dedícándose a esto desde hace mil o más. No tiene que demostrar nada porque cualquiera que siga su trabajo sabe que es uno de los mejores. Kaminsky contacta con él para explicarle los detalles del fallo y Ptacek rectifica, dándole el impacto que realmente tenía.
Halvar Flake, que no es de los que fué contactados por Kaminsky para recibir en privado los detalles de la vulnerabilidad, pues especula en una entrada de su blog sobre por donde pueden andar los tiros. Nada que objetar, puede ser o no puede ser, pero son especulaciones fruto de la curiosidad de otro de los mejores investigadores actuales.
Parece ser que se aproxima bastante a lo que es la realidad del fallo y entonces alguien dentro de Matasano decide publicar una entrada en su blog de matasano, explicando detalladámente el fallo, pero recordemos que no con «sus» detalles sino con los que Dan Kaminsky confió en privado. Mérito = ninguno. Mala baba = Puede que sí o simple error. El post dura hasta que alguien da un toque supongo. Pero claro, en internet lo que se publica queda para siempre. Y entonces ya está liada. Slashdot se hace eco de la movida, y Ptacek publica una nota disculpándose y diciendo que por error se publicó el post. Hemos de creer que no ha habido mala intención.
Y que pasa ahora, mucha gente dice que muy bien hecho, que eso no se podía mantener guardado que así no se protege internet y ese tipo de comentarios. Bobadas.
Dan Kaminsky hizo todo lo que hay que hacer teniendo una vulnerabilidad de esas dimensiones entre las manos, se merece tanto que respeten su decisión de hacer públicos los detalles en la Blackhat como que respeten el voto de confianza que dió a esas pocas personas que recibieron los detalles en privado. El descubrió la vulnerabilidad, él la investigó y él se comió el proceso de coordinated disclosure, que cualquiera que haya estado en el tema sabe las movidas que hay entre las diferentes partes implicadas. Tenía todo el derecho, y más, a que le dejaran «disfrutar» de su merecida recompensa.
Pero le han puteado bien, no pasará mucho tiempo hasta que salgan los primeros exploits porque no es que sea demasiado dificil explotarlo. Y todo ¿por qué? por puto ego, ya pueden decir misa de si así está mas seguro internet,que si la información debe ser libre y que si la abuela fuma, que detrás de todo esto no hay nada más que ego… y la frustración de muchos de no haber sido ellos los descubridores del fallo.
Por mi parte sólo decir que me parece que todo el mundo que hace un gran trabajo como ha sido Kaminsky debe ser felicitada y no recibir oxtias por parte de la comunidad. Un 10 para él, no se le puede reprochar nada, ¿notoriedad? totálmente merecida y me parece estupendo que si él lo considera oportuno la aproveche.. Un 0 para los de Matasano en esta ocasión.
Veremos cómo acaba todo.