Poco después de publicar un servidor en Kriptópolis ciertas alabanzas hacia lo que me pareció un gesto de normalización y normalidad, es hoy la prestigiosa SecurityFocus quien publica un interesante artículo [1] de Mark Rasch, donde éste relativiza la maldición que pesa sobre las actividades de ingeniería inversa del software.

Para quien no lo sepa, Mark Rasch no es otro columnista desinformado. Se trata del jurista que dirigió hasta no hace mucho la Unidad de Delitos Informáticos del Departamento de Justicia de los Estados Unidos...

Dice Rasch: "¿Es legal descompilar código fuente (sic) para encontrar vulnerabilidades? Por supuesto la respuesta es ambigua: puede que sí, puede que no."

El interesante artículo se basa en el reciente episodio ocurrido en Black Hat, donde un empleado de ISS realizó una presentación sobre vulnerabilidades en routers Cisco, basada en la descompilación de su software. Tanto a Cisco como a ISS les faltó tiempo para denunciar el hecho antes los tribunales federales de California.

Rasch repasa en su artículo la jurisprudencia norteamericana y localiza al menos dos casos en que la descompilación del software fue admitida como legal por los tribunales, por basarse en criterios de la necesaria interoperabilidad.

No puedo estar más de acuerdo con el siguiente párrafo del artículo de Rasch:

"Existen muchas razones por las que podría quererse descompilar o hacer ingeniería inversa del software; algunas son perfectamente válidas, otras no tanto. La compatibilidad o la integridad son razones perfectamente válidas para tener que descompilar partes o todo el código fuente (sic) y la licencia de uso de Cisco expresamente proporciona el proceso a seguir para obtener cierto código necesario para la compatibilidad, con la autorización de Cisco. Si se quiere descompilar código para cometer "piratería" u otro propósito infractor, eso es algo que la ley no debería promover. Ciertamente existen fuertes razones de política pública para permitir a los investigadores de seguridad responsables extraer el código en busca de vulnerabilidades."

Artículo de Mark Rasch:

1. Legal disassembly [SecurityFocus]