Todo está roto.

Buen artículo de parte de la periodista Quinn Norton que toma como premisa la idea de que si las agencias internacionales como la NSA pueden llevar exitosamente programas de espionaje no es porque se esfuercen en crear formas de destruir los muros de seguridad, sino porque se dedican a buscar los hoyos que todos han dejado en ellos durante su construcción.

Resumen:
La complejidad del software va en aumento cada año. Sin embargo, desde sus orígenes, cuando todo era más simple, se encontraban errores dentro de su programación. Desde entonces y hasta hoy han existido los errores 0-day.

Con más y más empresas presionando hoy día a los programadores para sacar una versión "funcional" lo antes posible, la estabilidad y seguridad de los programas ha ido empeorando.

Se tiene una serie de programas "mal hechos" (en el sentido de que ninguno está libre de problemas) que hacen funcionar a otros programas también mal hechos y en general se tiene una infraestructura que realmente nunca fue muy bien planeada y que funciona únicamente por pura suerte. Por ello los que trabajan en sistemas siempre viven con el "a ver qué falla hoy".

Y con esta base se llega a la seguridad del software. "Hay una actualización disponible" es el mensaje común en lugar de "Se necesita actualizar porque los programadores la regaron y probablemente tu información ya está siendo vendida en Rusia."
Y aún peor, hay software tan mal programado que crear parches para tapar los agujeros es inútil pues es mejor rehacerlo todo desde cero. Sin embargo, nadie lo hace, siguen y seguirán funcionando tal como la librería LibPurple .
Ni qué decir de las computadoras del gobierno, de las empresas, hospitales y demás. Jamás actualizadas, miles de ellas potenciales zombies para ataques en Internet.

Encima de todo se tiene a las personas. No son perfectas. Los mismos encargados de la seguridad terminan abriendo accidentalmente archivos con malware de vez en cuando. Y si un experto falla, ¿qué se puede esperar de un usuario común que tan solo sabe cómo entrar a su correo y a facebook?

Cuando organismos como la NSA tienen éxito en sus programas de espionaje, no es por su habilidad para realizar ataques, no están entrando a la fuerza en ningún lugar. Están teniendo éxito porque se han tomado el tiempo de leer los códigos, de buscar los errores para entrar libremente. Encontrar un agujero y explotarlo a base de malware y otro software espía es mucho más sencillo que forzar la entrada.
Podrás encriptar tus conversaciones, pero si ya estoy dentro de tu sistema y estoy viendo qué estás escribiendo, encriptar no te servirá de nada, y de paso te tomaré una foto porque también ya controlo tu webcam.

Si esperamos que haya un cambio todos debemos de pedirlo.
La privacidad real solo llegará cuando todos cooperemos porque así sea. Habiendo tantas formas de hacerlo, solo falta que lo hagamos.

So yes, the geeks and the executives and the agents and the military have fucked the world. But in the end, it’s the job of the people, working together, to unfuck it.

medium.com/message/81e5f33a24e1

Me suena a corolario de "tenemos al presidente que merecemos" y subsecuentes chapuzas de los ciudadanos como mandantes sin poder xD

Es cierto. Los que nos dedicamos a esto sabemos que en mayor o menor medida, las cosas funcionan sólo por que Dios es grande. Basta echarle un vistazo a algo tan simple como los estándares web para ver que todo cuelga de alfileres sin embargo las páginas y transacciones se utilizan millones de veces cada día.

forseti99 wrote: ....Con más y más empresas presionando hoy día a los programadores para sacar una versión "funcional" lo antes posible, la estabilidad y seguridad de los programas ha ido empeorando.

Se tiene una serie de programas "mal hechos" (en el sentido de que ninguno está libre de problemas) que hacen funcionar a otros programas también mal hechos y en general se tiene una infraestructura que realmente nunca fue muy bien planeada y que funciona únicamente por pura suerte. Por ello los que trabajan en sistemas siempre viven con el "a ver qué falla hoy".

Y con esta base se llega a la seguridad del software. "Hay una actualización disponible" es el mensaje común en lugar de "Se necesita actualizar porque los programadores la regaron y probablemente tu información ya está siendo vendida en Rusia."
Y aún peor, hay software tan mal programado que crear parches para tapar los agujeros es inútil pues es mejor rehacerlo todo desde cero. Sin embargo, nadie lo hace, siguen y seguirán funcionando...

tu como empresario pagarias la recreacion de un software desde 0?.... ¿si este aun nunca a mostrado falla alguna? claro que no la mayoria tiene la mentalidad de no inovar, si asi funciona asi dejalo

ERIZO wrote: tu como empresario pagarias la recreacion de un software desde 0?.... ¿si este aun nunca a mostrado falla alguna? claro que no la mayoria tiene la mentalidad de no inovar, si asi funciona asi dejalo

Eso de 'no ha mostrado falla' lo veo bastante utópico. Como doce el artículo, el solo hecho de que reciba actualizaciones o parches implica que no funcionaba bien en un inicio. ¿Cuándo has visto que una actualización diga 'solo agrega estas funciones nuevas al programa, no se corrigió ningún error porque el software es perfecto'?

Ciertamente es casi imposible que alguna empresa decida crear un software desde cero, y ese es el problema. Confiamos nuestra información a software que de entrada sabemos que no es perfecto.

'Word ha sufrido un error y debe cerrarse'. 'El archivo está dañado y es irrecuperable'. 'El archivo guardado con tus progresos en el juego no puede abrirse'

¿Cuántos hemos visto ese tipo de mensajes en algún programa?
Esos errores afectan nuestros archivos localmente. Por algo todos tenemos respaldos de lo importante, no solo pensando en que el disco duro pueda morir, sino pensando en todos los fallos que el software puede tener.

Pero el punto principal del artículo es nuestra información online. Cuando hablas con alguien en Skype, whatsapp, Facebook o cualquier cosa. Cuando subes fotos a instagram, photobucket, Facebook, Twitter. Cuando subes archivos o documentos a dropbox, bitcasa, google drive, skydrive. ¿En verdad crees estar seguro? ¿Crees que nadie podrá invadir tu privacidad en esos sitios?

Hasta hace un año podías comprar software para ver cualquier foto de photobucket, hasta hace unas semanas podías acceder a cualquier archivo en dropbox siguiendo ciertos pasos, todos hemos sabido de los problemas de seguridad que whatsapp a tenido en el pasado...

¿Alguien cree que por poner algo como privado en algún sitio en internet estará seguro? ¿Por qué nadie lo cree? ¿Por qué a casi nadie le importa y se conforman con decir 'sería muy caro y tardado lograr cambiar eso'? ¿Por qué 'el gobierno espía todo' tiene que ser algo normal?

Creo que una solución a corto plazo es imposible. Pero si comenzarámos a preocuparnos por arreglar un poco los problemas, tal vez en 20 años podríamos estar más seguros de decir 'el gobierno no me está espiando porque este software sí es seguro'.
Pero si nada cambia, dentro de 20 años todos seguiremos diciendo 'todos sabemos que el gobierno espía todo' y seguiremos rogando porque el software no falle y perdamos nuestra información, y todo seguirá roto.