De seguridad informática, metáforas y automóviles

Cuando alguien tan directamente implicado en la industria de la seguridad informática como Peter Tippett viene a decir que gran parte de los esfuerzos realizados por los profesionales de este campo son estériles, la polémica está servida.

A lo largo de sus declaraciones [vía Slashdot], Tippett insiste varias veces en comparar la seguridad de los ordenadores con la seguridad de los automóviles. Por ejemplo: si un francotirador se instala en un edificio situado frente a un concesionario y es capaz de encontrar un ángulo que le permite disparar una flecha que penetra el techo solar e impacta en el conductor, ¿representa eso una vulnerabilidad real del vehículo? Según Tippett, en la industria de la seguridad informática se consideraría que sí, y además se trataría de una vulnerabilidad crítica (por razones obvias ;). Como consecuencia -afirma Tippett- los profesionales de la seguridad informática malgastan gran parte de su tiempo parcheando posibles vulnerabilidades que nunca serán explotadas (según él, sólo un 3% de las vulnerabilidades descubiertas son explotadas alguna vez)...

La conclusión es clara: si un vehículo tuviera que ser cien por cien seguro ante cualquier posible ataque, entonces debería ser fabricado para resultar inmune a ataques con flechas, balas y misiles, lo que se traduciría en una fabricación costosísima y precios desorbitados. En definitiva; conformémonos con reducir los riesgos en algún porcentaje y no perdamos el tiempo dedicando tantos esfuerzos a la búsqueda de la seguridad total, siempre elusiva.

Hace tiempo que la industria de la seguridad informática viene teniendo dificultades para adaptar su modelo de negocio a los nuevos retos. La eficacia de los antivirus es cada día más discutida y algo similar ocurre últimamente con los cortafuegos. La seguridad del usuario doméstico se ha desplazado en los últimos años de su PC a su router, a la vez que las amenazas se han vuelto cada vez más ubicuas, con un papel cada vez más predominante del malware servido vía Web, que ha convertido al navegador en el punto más delicado de la cadena.

Un ejemplo extremo de los efectos de todos estos cambios lo hemos tenido ayer mismo, cuando se ha informado de que una empresa india de antivirus estaba infectando con malware a sus propios usuarios a través de su web.