Actualizado el miércoles 13/08/2008 a las 23:15
Ha sido una manera un tanto brusca de empezar la semana. Después de un finde tranquilo casi sin tocar un ordenador y desconectado del mundo, me entero de que ha sido descubierto un gravísimo error de diseño en Windows Vista que hace que todos sus elementos de seguridad no sirvan de nada y que nos obliga a volver a nuestros viejos XP o migrar a Linux. ¡Oh, cielos! En Kriptópolis, Fernando Acero llegaba a decir «Por ahora, por asombroso que parezca, la única solución para protegerte de esto, es instalarte un Linux y no usar Windows Vista para abrir ningún archivo».
Ea, bonita manera de empezar el lunes.
Intentando encontrar una noticia que contara más exactamente lo que estaba pasando (algo nada fácil), lo que consigo averiguar es que en la Black Hat de Las Vegas ha habido una ponencia a cargo de Alexander Sotirov y Mark Dowd donde han logrado ejecutar código arbitrario saltándose la protección de ASLR y DEP o que (dependiendo de la fuente decían una cosa u otra) han logrado hacerse con el control de Windows Vista sin necesidad de explotar ninguna vulnerabilidad, sino usando un defecto de diseño de Vista que involucra a .NET y a Java, además de los comentarios habituales de que Vista es una mierda y, visto esta noticia, que lo mejor es volver a XP (la lógica es aplastante, ¿no?; si logran saltarse los elementos de seguridad que trae Windows Vista, volvamos a XP, que no los incluye). En todo caso, la información (o desinformación) que encuentro es muy confusa.
Hoy martes empiezo a encontrar artículos menos alarmistas al respecto. En Ars Technica leo que lo que han logrado es saltarse las protecciones contra desbordamiento de buffer de Vista, de forma que ante una vulnerabilidad explotable de este tipo estaríamos igual que en XP. Bueno, realmente no, ya que en Ars Technica indican que, aunque la técnica ha permitido saltarse DEP y ASLR, no ha logrado vencer al modo protegido de Internet Explorer ni a UAC.
Sigo buscando y encuentro esta pequeña entrevista a Sotirov, uno de los responsables del revuelo. Mi pobre inglés me permite entender lo siguiente: lo que hemos presentado es una debilidad en los mecanismos de protección. El atacante sigue necesitando una vulnerabilidad y continúa explicando que ellos usaron una vulnerabilidad ya parcheada (la del cursor animado) para hacer la demostración. El autor de la entrevista a Sotirov, Ed Bott, tiene este otro artículo al respecto donde explica muy bien (y en inglés, claro) el tema.
A la espera de encontrar una explicación en español y no demasiado técnica que explique bien el tema, lo que yo he logrado entender es lo siguiente: parece ser que el mamparo estanco de las protecciones de memoria (ASLR, DEP y otras) que trae Vista no es tan estanco como debiera por fallos de diseño. Entonces puede ocurrir que, si hay una brecha en el casco (vulnerabilidad del navegador web, los plugins que tengamos…) y entra agua (ataque), esta agua pase el mamparo e inunde el siguiente compartimento. Aún nos quedan otros mamparos (UAC, modo protegido de IE…) y otros elementos de protección, como bombas de achique, antivirus, etc., así como la esperanza de que cualquier fisura en el casco sea parcheada con rapidez.
Luego dirán que no es amarillismo ni un FUD recomendar que abandonemos el barco por los defectos de un mamparo estanco cuando no hay brecha en el caso, no entra agua, el resto de los mamparos están (aparentemente) bien. Y luego se montarán en un ro-ro.
Actualización: Hay un comentario en el artículo de Fernando Acero que explica muy bien qué es lo que han hecho Sotirov y Dowd. Como me parecía desde un principio, la realidad se aleja del catastrofismo que nos han querido vender algunos.