Por: Diego Osorio Reina*

El pasado miércoles se publicó el hallazgo de una vulnerabilidad en el componente de software Bash, herramienta histórica y propia de los sistemas operativos Unix, Linux y Mac OS X, que ya bautizaron Shellshock, Bashdoor o Bash bug. La vulnerabilidad es un error en el software que permite engañar a la línea de comandos para que ejecute una orden que no estaba concebida, como visualizar archivos confidenciales, espiar la actividad, realizar algún daño o apagar el sistema.

Aunque para alcanzar la línea de comandos y así Bash se requiere que la persona esté sentada frente al computador o que acceda remotamente con usuario y contraseña. Muchos componentes de software de Unix, Linux y Mac OS X que dan servicios masivos en internet como la publicación de páginas web, se comunican con Bash. De esta forma sale a la luz que a partir del miércoles, millones de páginas del planeta permiten ser engañadas para ejecutar comandos no autorizados dentro de los sistemas que las publican. El gran revuelo es ocasionado precisamente por esta situación, llegándose a estimar que los perjuicios pueden ser mucho más altos que el de la última vulnerabilidad famosa de hace unos meses atrás Heartbleed.

Haciendo una analogía, la vulnerabilidad es como si de un momento a otro descubrieran que el aluminio se derrite con una mezcla de sal y limón, teniendo en cuenta que un alto porcentaje de las ventanas en la construcción moderna de casas y apartamentos usan aluminio. ¿Qué ocurriría? Todos los delincuentes saldrían corriendo a derretir las ventanas para robar las casas y todos los propietarios y habitantes de las casas saldrían corriendo a cambiar las ventanas de aluminio. Esto último es lo que está ocurriendo: todos los propietarios y responsables de Unix, Linux y Mac estamos corriendo a remendar Bash con las actualizaciones que están liberando los fabricantes. (La de Mac OS X se puede descargar acá).

En el mundo de la seguridad de internet cuando ocurren este tipo de situaciones, cómo lo es descubrir un error de un programador que permite la ejecución arbitraria de comandos en millones de servidores de publicación web, los fabricantes de software corren a remendar el software por medio de parches y actualizaciones, y por su parte, los delincuentes informáticos corren a aprovecharse de la vulnerabilidad, creando virus y redes de computadores delincuentes en los ya comprometidos (botnets).

Bash es un software histórico y se estima que la vulnerabilidad llevaba 22 años existiendo sin ser descubierta, esto esta dando mucho que hablar y hay quienes afirman que esto es la prueba de que existe un Big Brother que espía todas las actividades de la sociedad. Si esto es cierto o no, no lo se, simplemente sé que les recomiendo a todos remendar a la mayor brevedad sus sistemas Linux, Unix y Mac OS X.

______

*Diego es CIO de LockNet, una empresa de seguridad informática en Bogotá, Colombia. Además es especialista en redes y consultor de seguridad informática.

Salió una nueva vulnerabilidad que afecta a los equipos con algunas distribuciones de Linux y Mac OS X, sistemas operativos basados en Unix. Ha sido llamada Shellshock y afecta a Bash, una interfaz para darle instrucciones a la computadora a través de textos (o ‘terminal’, como la conocen muchos usuarios) que ha sido ampliamente usada en toda clase de equipos de cómputo en los últimos 30 años, desde servidores hasta electrodomésticos conectados a internet. Fue descubierta por el ingeniero francés Stéphane Chazelas y ya está siendo comparada con Heartbleed por su alcance y peligrosidad.

En una terminal es posible darle una instrucción a un computador para que, cada vez que el usuario digite un caracter particular, aparezca un texto en la pantalla. Según una explicación ofrecida por el bloguero especializado en seguridad informática Tom Scott, la vulnerabilidad consiste en que, si se inserta un pequeño comando que en medio de una orden de ese tipo, el computador no entiende que se le pidiendo que muestre un texto, sino que se le está dando otra instrucción.

El problema es esa otra instrucción: puede ser, literalmente, cualquiera. Y, al menos hasta este momento, Shelshock es el peor mundo posible en una crisis de seguridad informática.

Rápido, fácil y efectivo

Quienes quieran aprovechar la vulnerabilidad se van a dar cuenta de que hacerlo es rápido, fácil y efectivo porque no hay que saber casi nada ni invertir tiempo para crear un código que use la vulnerabilidad. Como le dijo a Wired Chris Wysopal, de la firma de seguridad Veracode, “no se necesita tiempo de desarrollo. Había quien estaba comprometiendo máquinas una hora después del anuncio“.

Y es efectivo porque, a pesar de esto, hasta el momento no hay una forma de evitar ser vulnerable. Red Hat, la empresa de servidores basados en Unix que está detrás de una parte muy significativa de la infraestructura de redes en el mundo, lanzó un primer ‘parche’ pero luego descubrió que no solucionaba completamente el problema, según reporta ZDNet. Otras compañías que ofrecen equipos basados en Linux hicieron lo mismo. Pero, como dice Scott, “hay un montón de ‘parcheo’ que hacer“.

Solo hay ‘parches’ parciales

Ya fueron detectados los primeros ‘exploits’. Wired reporta que el jueves se detectó que algunos desarrolladores de malware la están aprovechando para reclutar equipos para una botnet –una red de computadores que obedecen instrucciones dadas remotamente– o para lanzar ataques DDoS contra servidores web.

Según la Base de Datos de Vulnerabilidades Informáticas del gobierno de Estados Unidos, Shellshock tiene una calificación de 10 sobre 10 en impacto y ‘explotabilidad’. Por medio de ella, es posible lograr cosas como “revelación de información sin autorización, […] modificaciones sin autorización […] o interrupción del servicio“.

La escala de la vulnerabilidad es muy grande. Muchos servidores de internet y equipos de cómputo personal funcionan con Bash. Todos los equipos con OS X Mavericks son vulnerables en teoría, pero según un foro de discusión, para que realmente se pueda hacer daño a un Mac con Shellshock es necesario que su usuario haya permitido el acceso remoto, o que esté corriendo un servidor web. Apple no se ha manifestado oficialmente al respecto.

Por ahora, lo único que realmente pueden hacer los usuarios es instalar las actualizaciones tan pronto estén disponibles y usar al máximo las herramientas preventivas, como los ‘firewalls’ o la prudencia a la hora de navegar y descargar o ejecutar archivos.

El mundo de la tecnología ha perdido a otro de sus grandes genios. Dennis Ritchie, creador del lenguaje de programación C y cocreador del sistema operativo Unix, falleció el pasado 9 de octubre a los 70 años de edad.

Tras conocer su fallecimiento, los fanáticos de la tecnología han mostrado sus sentimientos de condolencia a través de las redes sociales, pues la noticia de su muerte ya se ha convertido en ‘trending topic’ global en Twitter.

Ritchie nació el 9 de septiembre de 1941 en una villa llamada Bronxville, situada cerca de Nueva York. Estudió física y matemática aplicada en Harvard, y entre 1969 y 1973 trabajó en Bell Labs, en la creación del lenguaje de programación C.

C ha sido la base para la creación de lenguajes muy populares como Java, Objective-C, PHP y C++, entre otros. Además, Ritchie hizo aportes fundamentales al sistema operativo Unix, que permitió aprovechar el poder de cómputo en grandes organizaciones antes de que se popularizaran el PC y los servidores pequeños.

UNIX, además, sirvió de inspiración para el desarrollo del sistema operativo GNU/Linux, y uno de sus derivados, BSD, sentó las bases del sistema operativo de Apple, Mac OS X.

Ritchie es uno de los pioneros tecnológicos más premiados del planeta. En 1983, recibió junto a Ken Thompson el Premio Turing por su teoría en sistemas operativos genéricos. En 1990, obtuvo la Medalla Richard Hamming del Instituto de Ingenieros Eléctricos y Electrónicos (IEEE). Luego, en 1999, Ritchie recibió de las manos de Bill Clinton la Medalla Nacional de Tecnología de Estados Unidos, como reconocimiento por sus grandes aportes a la informática.

Sin duda, la herencia que deja Dennis Ritchie a la tecnología es invaluable. Gran parte de los lenguajes de programación y los sistemas operativos que existen en la actualidad están basados en su importante legado, y es gracias a Dennis y a quienes se basaron en su trabajo que hoy podemos usar plataformas como Android, iOS, Mac OS X, GNU/Linux, e incluso este sitio web.

La muerte de Dennis Ritchie se suma a la triste partida de Steve Jobs. Es así como en una sola semana el mundo de la tecnología ha sido golpeado por la pérdida de dos de sus más grandes genios y creadores.

Para los programadores de software, la muerte de Ritchie es como la pérdida de un padre. Como lo escribe Iván Vásquez, de ENTER.CO, en un sentido y revelador homenaje a Ritchie, “Sencillamente, encontrar algo en el mundo de la computación actual que no haya sido tocado por el genio de Ritchie es una tarea muy difícil”.

Notas relacionadas: