¿Debe un CERT jugar a esto?

Durante la semana pasada me estuvieron poniendo en Facebook, twitter y en mi correo personal un advisory que había sacado INTECO, el CERT nacional por excelencia, dentro de la sección de Avisos de Seguridad Técnicos, y me pareció tal chorrada, que no he podido contenerme para escribir este post.

Vaya por delante que conozco a bastantes de los técnicos que allí trabajan y sé que son buenos profesionales, pero en este caso, la elección de lo que se debe publicar me parece erronea, pues juega casi a ser un blog. Y eso no es lo que debe ser un CERT, aunque pueda contar con un blog para profundizar o debatir sobre cuestiones en otro nivel de comunicación.

Un CERT, es un Centro de Emergencia y Respuesta Temprana ante incidencias, y cuando hablamos de Inteco, estamos hablando de un CERT nacional, con soporte de dinero público, que debe ocuparse de eso, de las emergencias de seguridad de España, y no de hacer publicidad a VUPEN, y me explico.

La compañía VUPEN, igual que muchas otras empresas de seguridad a lo largo del mundo, ofrece para sus clientes un servicio de exploiting, de patching, de información, sobre vulnerabilidades descubiertas por ellos, exploits realizados por ellos o workarrounds de fortificación de estos fallos. Así, empresas como ZDI, Core o Immunity desarrollan exploits sobre vulnerabilidades descubiertas por ellos, o no, que ofertan a sus suscriptores, tal y como vimos en el ejemplo de Canvas de Immunity con Apple Safari.


Figura 1: Expediente de Apple Safari con 0day y exploit disponible para sus clientes publicado por VUPEN
De hecho, el informe que publicó Inteco, en la sección de Artículos de Seguriad técnicos, no difiere prácticamente en nada con el que publicaron un mes atrás con las vulnerabilidades de Apple Safari 5.0.3, con el que VUPEN ganó el Pwn2Own, qué también eran de nivel crítico, y también habían puesto a disposición de sus clientes un exploit. Ese es su business, y lo hacen prácticamente a diarío con todo los productos.


Figura 2: Últimos expedientes publicados por VUPEN
Ahora bien, la pregunta que me viene es... ¿Por qué publicar el 0day de ie9 en RTM y no el 0day de Apple Safari en versión final o el de Google Chrome del día 12?

Sin embargo, en la sección de artículos técnicos, el CERT nacional no ha dicho nada de la operación Lizamoon, que tiene a día de hoy, más de 5.000 Urls afectadas en España.


Figura 3: más de 5.000 URLs en dominio .es afectadas
Según la web, INTECO-CERT tiene como finalidad es servir de apoyo preventivo y reactivo en materia de seguridad en tecnologías de la información y la comunicación tanto a entidades como a ciudadanos, y estas cosas sí son importantes para los ciudadanos.

Tampoco ha dicho nada de que Apple, con la actualización de iOS a la versión 4.3 ha dejado sin parches de seguridad a muchisimos ciudadanos españoles con móviles 3G (perdonad que no os de los datos, pues no los tengo, pero habría que buscar el número exacto de dispositivos que se vendieron).

También me llama la atención de que avisen de la actualización de Google Chrome, algo que por defecto es automático, y sin embargo no alerten de que las empresas deben probar antes sus aplicaciones, y que Google Chrome puede ser configurado para que la actualización sea controlada, y no cuando Google decida.

No creo que esta sección esté teniendo el rigor que una sección como esta debería tener en un CERT, ya que, lo más triste, es que VUPEN no ha publicado el expediente de seguridad aún, ni hay CVE aún, ni nada, solo un twitt y una referencia en una entrevista que, desde Inteco, ya sirve para hacer una aviso de seguridad técnico y calificarlo de "Nuevo 0day en IE9". ¿A vosotros os parece que se debe "jugar" a esto desde un CERT?

Saludos Malignos!