¿Quién es responsable?

Este siempre es uno de los temas que más polémicas levantan cuando te encuentras en una reunión de profesionales de la seguridad informática. ¿Hacer público un fallo o avisar al fabricante y esperar a que lo arregle aplicando un principio de Responsible Disclosure?

La verdad es que yo soy de los de descubrimiento responsable… (casi siempre) y abogo por avisar siempre al fabricante. Así, cuando nos topamos con el fallo del componente de Joomla (que al final parcheamos nosotros), los productos afectados por las técnicas de Connection String Parameter Pollution o el caso del "no-bug" de Google Chrome, por poner algunos ejemplos que han salido por aquí, siempre hemos avisado primero al fabricante de software.

En el tema de los fallos en las páginas web, yo hace tiempo que opté por no avisar a ninguna directamente y hacerlo siempre por medio de los cuerpos de seguridad del estado. Así, fallos que hemos sacado en organizaciones grandes han pasado por nuestros cuerpos de seguridad españoles para que estos les mandaran un aviso oficial.

Sin embargo, cuando estuve en la Troopers 2010 [vídeos disponibles!], Marsh Ray, uno de los descubridores del bug de SSL-Renegotiating, discutí sobre este tema. El argumento de Marsh es:

“OK, yo soy responsable porque aviso del fallo, pero… ¿Cuánto tiempo debe tomarse el fabricante para corregirlo? ¿Cuál es el tiempo “responsable” que debe tomarse un fabricante para corregir un bug? ¿Y si dice que no lo va arreglar? En caso de que un fabricante se tome más tiempo del que debe o en el caso de que diga que no lo va a corregir, entonces lo responsable es publicarlo para que la gente conozca el riesgo. Nunca tienes la seguridad de ser el único que conoce ese fallo”.

La verdad es que Marsh es único argumentando, y discutir con él durante toda la Troopers fue de lo mejor. Ellos publicaron la información sobre el fallo de SSL sin esperar que fuera corregido por todos. Lo cierto es que en su caso muchos dijeron que era un ataque "teórico" que no podría ser explotado o que sería muy dificil. Tiempo después se utilizó para atacar a Twitter o los firewalls CISCO, como hará Ben Feinstein en la próxima BlackHAT USA 2010 bajo el título "The Emperor Has No Clothes: Insecurities in Security Infrastructure". Estos acontecimientos han hecho que todo el mundo se ponga a corregir el "fallo-teórico".

Sin embargo, yo no tengo claro cuándo es “demasiado tiempo”. Hasta el momento, cuando nosotros hemos avisado, la respuesta ha sido “lo vamos a corregir” y se ha corregido en un tiempo “prudencial” o, como en el caso de Google Chrome… “esto funciona así y no lo vamos a corregir hasta futuras versiones” lo que nos llevó a publicarlo en full-disclosure porque pensamos que era una característica insegura.

A día de hoy seguimos creyendo en un descubrimiento responsable de los fallos como la mejor opción, pero… ¿cuál ha sido tu experiencia?

Saludos Malignos!