Joanna Rutkowska es polaca, experta en código mali­cioso y musa de la comu­nidad de seguri­dad infor­mática. Le intriga saber si en España todos hacen la siesta: “Yo sí, cuando inves­tigo algo com­pli­cado, y al des­per­tar sé cómo resolverlo”.

Pre­gunta. ¿Cuál es el estado del arte en el código malicioso?

Respuesta. Es más fácil crearlo que detec­tarlo. Las téc­ni­cas de los chicos malos están por delante de las nuestras.

P. ¿Los chicos malos le han pedido alguna vez sus conocimientos?

R. Acabo de crear mi propia empresa, Invis­i­ble Things, y entre otras cosas hace­mos cur­sos. No sé si mis clientes son crim­i­nales o no.

P. Cada vez hay más com­ple­ji­dad y delin­cuen­cia. ¿Qué podemos hacer?

R. Por una parte está el fac­tor humano y, por otra, el tec­nológico. La may­oría de ataques explotan el fac­tor humano, la estu­pidez de los usuar­ios. No podemos pro­te­ger total­mente a usuar­ios estúpidos.

P. ¿Y el tecnológico?

R. La tec­nología suele tener fal­los y hay ataques que no pre­cisan de la inter­ven­ción del usuario. Un ejem­plo, que da miedo, es que sólo con tener la tar­jeta inalám­brica de tu portátil fun­cio­nando, sin conec­tarte, alguien puede aprovechar un agu­jero del con­tro­lador y tomar el con­trol de tu máquina.

P. ¿Cómo defendernos?

R. Escri­bi­endo pro­gra­mas sin fal­los, con mejores con­troles de cal­i­dad y edu­cando a los desar­rol­ladores para que hagan pro­gra­mas seguros.

P. ¿Es posible?

R. El sis­tema BSD tiene entu­si­as­tas audi­tando man­ual­mente el código. Pero, aun así, se encuen­tran agu­jeros, a veces después de unos años. No es posi­ble crear código 100% seguro.

P. ¿Y entonces?

R. Otra prop­uesta es dis­eñar el sis­tema oper­a­tivo de tal forma que, aunque alguien explote un fallo, el sis­tema lim­ite el alcance del ataque. Por ejem­plo, con arqui­tec­turas de micronúcleo.

P. ¿Qué?

R. Win­dows, Linux o Mac OS tienen grandes núcleos monolíti­cos, con mil­lones de líneas de código donde no es raro que haya agu­jeros, y todo está allí. El micronú­cleo es un núcleo dimin­uto que hace unas fun­ciones bási­cas y el resto fun­ciona en pro­ce­sos ais­la­dos. Así, un ataque al núcleo no afecta a todo el sis­tema. El prob­lema es que es un cam­bio drás­tico, pero el futuro va por aquí.

P. ¿Y mien­tras tanto?

R. Se están aña­di­endo her­ramien­tas espe­ciales. Por ejem­plo hacer que, cada vez que se pone en mar­cha el orde­nador, los pro­ce­sos estén en sitios difer­entes. Así, el ata­cante no sabe dónde están las cosas.

P. ¿Y los antivirus?

R. No son más que parches. Se basan en bases de datos con miles de fir­mas de código mali­cioso y, por cada archivo que entra, com­prue­ban si coin­cide con alguna. ¡Es un enfoque equiv­o­cado! No fun­ciona con­tra nuevos ataques.

P. ¿Cómo deberían ser?

R. Con un dis­eño seguro de los sis­temas oper­a­tivos y tec­nologías anti­ataques, los antivirus desa­pare­cerían. Pero, en real­i­dad, no se diri­gen al fac­tor tec­nológico, sino al humano, avisando al usuario para que no abra tal adjunto. En la sigu­iente gen­eración, cuando el humano esté edu­cado, será diferente.

Este repor­taje fue tomado de El Pais, y con­sidero que los virus ata­can a despre­venidos, pero tam­bién la vul­ner­a­bil­i­dad a la que nos encon­tramos someti­dos con los pro­gra­mas infor­máti­cos es más fuerte. Los antivirus, no todos pueden con todos los virus. Solo detectan el 80 o 92% de los mis­mos, dejando una brecha muy grande, para nuevos virus.