La cuenta de la vieja

Hoy estoy un poco muerto después del ajetreo de las últimas semanas y la verdad es que no me apetecía sentarme a trabajar mucho. Pensaba publicar mi particular homenaje a Mafalda que aún se lo debo después de reencontrarme con ella la semana pasada. No obstante, no hay como levantarte, poner la radio para escuchar a ese que dice lo que no te gusta y encenderte...

Hace un par de días me llegó, directamente desde Spectra, por el canal privado que tengo con Steve Ballmer (ya sabéis, el canal por el que me avisan los amos cuando una tienda de frutos secos se pasa a Linux para que vaya a bombardearla con FUD) el informe de Jeff Jones que comparaba Internet Explorer y Firefox.

En él, Jeff ha mirado los expedientes de seguridad publicados y parcheados e incluso ha tratado de evalúar las vulnerabilidades sin parchear y... se armó la gorda.

Vale, el tema de los navegadores es bastante curioso, pues todos nosotros tenemos uno. No sucede lo mismo cuando sale una "bomba mediatica" de..., no se, por ejemplo, Ejecución Remota en Border Manager. "Te cagas, se puede ejecutar código a través del firewall de Novell y nadie dice nada!" o cuando se publica un fallo enorme de Oracle. En esos casos la gente no suele tener un Border Manager en su casa ni un Oracle así que lo leen y pasan a otra cosa.

Con los navegadores no, es como el equipo de futbol, es la guerra. Así que nada, vamos a entrar un poco al trapo. Lo primero que ha de quedar claro, es que estos son valores incontables... porque no interesa.

El informe de Jeff deja muy bien a Internet Explorer y eso no interesa, así que los 90 empleados de la fundación Mozilla se erizaron. La respuesta no tardó en llegar de parte de Window Snyder. Ella, fichada hace ya más de 1 año, venía de Spectra y trajo buenas ideas de seguridad a la fundación Mozilla. Su opinión es que contar bugs no es todo lo que importa en la seguridad, y creo que pocos estaremos en contra de ella. Sin embargo, aprovechando su pasado en Spectra, los más hábiles, dejan entrevelada la acusación de que Spectra declara 1 bug y corrige 2.000 y más o menos en esa proporción.

"Ella lo sabe bien, porque ha estado allí dentro, menos mal que la salvamos del infierno"

Después de haber disfrutado este verano de la experiencia mística de estar involucrado en la corrección de un bug en un proyecto OpenSource se que no es tan clara la luz que ilumina a todos los proyectos OpenSource a la hora de corregir los fallos.

Lo que más me ha llamado la atención, es ver como algún "espalibao" para tirar por tierra el informe de Jeff, ha sacado como muestra, un estudio distinto, que mira todas las versiones de todos los navegadores desde el comienzo.

Sí, es justo lo que necesito, para ver la seguridad del Renault Laguna, que me saques los fallos del Renault 4...¿es que esto es como la genética? ¿Es que los fallos encontrados y parcheados en el códido del ie de 16 bits están en IE7? ¿Cuál es el mensaje que me das al linkar este informe en referencia a la comparación de IE7 y Firefox 2.X?

Lo que para mi es una gran diferencia es el uso de Vista o XP. Si tienes un XP (o un kernel linux inferior al 2.6.19) con tu Firefox superchulo o tu IE7 y se descubre un fallo de ejecución de código en uno de ellos, en tu XP (o en tu linux sin ASLR) va a ser más fácil de explotar que si tienes tu Vista con tu ASLR, tu modo protegido y tu MIC. Es curioso ver como Firefox no hace uso del nivel más bajo en el MIC cuando corre sobre Vista, pero, al margen de eso, ¿cuantos fallos de ejecución de código arbitrario se han podido explotar en IE7 o Firefox 2.x sobre Vista?