¿Se acabará la mágia?

Dicen que los hackers son como los magos, que cuando ves una intrusión o un hackeo es como cuando ves un truco en el que cortan a alguien por la mitad, todo sorpresa y expectación, pero, de la misma forma que en la magia, todo se desvanece cuando sabes el truco. “¡Coño!, ¡que fácil!” (así me recuerdo cuando vi el USB Bomb que me enseñó Tarasco)

¿Hay que acabar con esa ilusión?

Supongo que todos estamos de acuerdo en que en la magia siga la ilusión, yo quiero seguir pensando que si alguien me parte en dos me pueden volver a juntar con una caja y listo o que Tamariz debe seguir deslumbrándonos con ese cochecito de goma espuma que se detiene en la carta elegida.

En el tema de las técnicas hacking creo justamente lo contrario. Nuestro trabajo es una profesión técnica y no de cuentos (para eso tenemos ya a los tecnicoless que hablan de pájaros y flores) y no necesitamos utilizar efectos y trucos, sino una disciplina que haga que los que programan desarrollen mejor y los que implantan y gestionan sistemas lo hagan mejor.

¿Avisar o no avisar?

Más de 20 veces me han hecho esta pregunta. La verdad es que la conciencia de cada uno debe reinar. Avisar es lo suyo, pero reconozco que suele existir poca gratitud al respecto e incluso te dicen cosas como “¿Y tú que hacías mirando mi web?” El segundo problema es que tampoco se puede hacer constantemente. Raras son las empresas que tienen una aplicación web perfecta y en muchas es flagrante. Cuando uno tiene la mirada sucia y ve un programa.php?id=34 o listado.asp?campo=nombre o cosas así tienes la necesidad de probar y en 8 de cada 10 encuentras un fallo aunque no vayas a perseguirlo porque es un sql injection facilón o un XSS o cualquier chorrada. Además, para hacer algo así, hay que romper la ley según el ¿nuevo código penal? Avisad… mientras que no sea delito.

Así que date por avisado. No publiques una aplicación web sin un test de intrusión previo.