Mozilla: por ahí no sigas (y 2)

"En España, de cada diez cabezas, nueve embisten y una piensa."

— Antonio Machado

Vaya por dios. Después de promocionar Firefox con todas mis fuerzas, y ahora que casi todo el mundo parece convencido de sus bondades, me toca a mí caerme del burro. Y lo que es peor: me temo que si hostias me cayeron entonces por promocionar Firefox, hostias me van a seguir cayendo ahora por dejar de hacerlo.

Curiosamente, apostaría que (sin contar a los inevitables talibanes del software libre) los aporreadores son casi los mismos en ambos casos: aquellos que primero se negaban a descabalgarse de su amado Explorer y que ahora, con idéntica fuerza, se han asido al carro de su idolatrado Firefox. Ahora -como entonces- me toca ir contracorriente y discutir sus querencias, así que doy mi opinión, me pongo el casco y a esperar otra vez a que amainen las pedradas...

Como sabéis, no me gustó nada (y -lo que es peor- sigue sin gustarme) la decisión de Mozilla de implementar en las versiones preliminares de Firefox 1.6 un polémico mecanismo de ping, que (en mi opinión, y le pese a quien le pese) puede prestarse a múltiples abusos. Y lo peor -insisto- no es el mecanismo en sí, sino el reconocimiento por parte de Mozilla de que se ha implementado únicamente para satisfacer los intereses de ciertos sitios web, que a día de hoy siguen sin determinarse (si bien algunos han apuntado a Google, vaya usted a a saber).

Pues bien; esta misma semana la transparencia que debería guiar -digo yo- las acciones de Mozilla en torno a Firefox (al menos si queremos que éste se diferencie significativamente del vetusto navegador monopolístico que aspira a reemplazar) ha sufrido un nuevo revés.

Repasemos los acontecimientos. Las primeras noticias hablaban de la publicación de Firefox 1.5.0.1, y como tal fue recogido el titular en muchos sitios. Pero si no nos quedábamos en el título, había una frase que se repetía y que despertó mis alarmas, y que al parecer procedía de la propia nota de prensa de Mozilla: la actualización resolvía "varios problemas de seguridad no revelados". Según eWeek, ni la nota de Mozilla, ni la lista web de vulnerabilidades resueltas de la propia Mozilla, ni el sitio Burning Edge mostraban aún ningún detalle al respecto.

La falta de información seguro que no respondía a un secretismo deliberado, pero resultaba intrigante. En efecto; un par de horas después, los mismos -y otros- sitios web publicaban el listado de vulnerabilidades resueltas (o por lo menos remitían a él). Insisto: en mi opinión no había ninguna intención de oscurecer los detalles y se trató de un mero fallo de comunicación, resultado de las prisas de unos y otros por anunciar la nueva versión.

Sin embargo, los detalles ya habían sido oscurecidos mucho antes. Me explico...

En las semanas que median entre la aparición de Firefox 1.5 y la actualización, los usuarios de este navegador (entre los que aún me incluyo) hemos estado expuestos a siete graves bugs de seguridad, así como a otro bug que podríamos discutir si es o no un bug de seguridad. De estos siete bugs, al menos cuatro permitían la ejecución de código arbitrario por parte de un atacante, lo que ha merecido a esta actualización la calificación de Altamente Crítica por parte de Secunia.

Sin embargo, durante todas estas semanas los usuarios sólo fuimos informados del bug menos importante. Del resto, sólo tarde y con prisas. ¿Por qué?.

Llevamos bastante tiempo afirmando desde aquí que la mejor forma de atajar los inevitables fallos del software es conocerlos cuanto antes, para poder solucionarlos lo mejor y más pronto posible. En eso ciframos nuestra esperanza en que el código libre pueda aportarnos mayor seguridad. No ha sido esta vez el caso con Firefox: amplias ventanas de vulnerabilidad han permanecido abiertas durante meses, sin que nadie nos haya informado. Con episodios tan preocupantes como éste, seguir afirmando -como aún hacen algunos usuarios- que la ventaja de Firefox no es que no tenga fallos, sino que los que tiene se solucionan al poco de conocerse, me parece que un lamentable ejercicio de ignorancia (o de cinismo, que es peor). Y es que, llegados a este punto, ¿a cuántos bugs, conocidos sólo por unos pocos, estaremos expuestos los usuarios comunes de aquí a la próxima actualización?.

En definitiva: si esto es un navegador seguro, y si ésta es la transparencia que debe distinguir al código libre, estamos arreglados. Como bien dice un lector, ya no cabe afirmar que Firefox es seguro; si acaso, que es más seguro (al menos en lo que respecta a las vulnerabilidades que se nos comunican, claro).

De hecho, confieso que he titulado este artículo en forma de admonición por pura consecuencia con mi artículo anterior, que también trataba sobre lo que parece ser la nueva marcha de las cosas en Firefox, pero lo cierto es que me empieza a importar muy poco por dónde tire Mozilla, y por eso cierro aquí la serie. Eso sí: si la fase inicial de la promoción pasaba porque cuatro tontos útiles hiciéramos publicidad gratuita de las bondades del producto, en lo que a mí respecta ya sólo les quedan tres.

En cuanto a los lectores, son muy libres de encomendar la seguridad de su navegación a productos de Mozilla, Microsoft o al mismísimo sunsun corda. Eso sí: la próxima vez que me deje llevar de un exceso de confianza y muestre apasionamiento por las bondades de algo, agradeceré se me recuerde este episodio.