Vaya, Microsoft lo hizo de nuevo.
parte de la empresa Programa de Seguridad Gubernamental (GSP)Microsoft ha ofrecido al Servicio Federal de Seguridad de Rusia (FSB) una mira dentro del código fuente de Microsoft Windows Server 2008 R2, Microsoft Office 2010 y Microsoft SQL Server.
Esta es la segunda vez que la empresa comparte (públicamente) código fuente con el FSB, luego de un acuerdo similar que tuvo lugar en 2002, esta vez involucrando código fuente para Windows XP, Windows 2000 y Windows Server 2000. Microsoft ha hecho acuerdos similares con China en 2003y la mayoría recientemente en 2010.
Sin embargo, a la luz de la silenciosa carrera armamentística de guerra cibernética en curso, el principal beneficio de GSP de «proporcionar información y una comprensión más profunda de los productos de Microsoft«, puede convertirse fácilmente en una mina de oro para descubrir fallas de seguridad, o al menos ofrecer piezas importantes del rompecabezas.
Para empezar, el restricción del programa que «los gobiernos pueden leer y hacer referencia al código fuente, pero no pueden modificarlo.» es defectuoso porque implica que solo porque está mirando no puede influir, por lo tanto, modificar indirectamente el código fuente con fines ofensivos. Desde potentes herramientas de análisis de código fuente de bricolaje hasta los servicios gestionados ofrecidos por diferentes empresas, no sería difícil para que un gobierno ejecute este proceso y aproveche cualquier código fuente al que tenga acceso.
Además, en el contexto de la Ley de Linus – «Con suficientes ojos, todos los errores son superficiales«, teniendo en cuenta todos los factores geopolíticos a escala internacional, si Rusia o China logran encontrar una falla de seguridad al tener acceso al código fuente que les ofrece Microsoft por razones de seguridad nacional, hay poca o ninguna posibilidad de que vayan. público con él, ya que la ventaja competitiva desde una perspectiva de guerra cibernética/espionaje cibernético es indiscutible.
Universidad de Cambridge Richard Clayton parece estar de acuerdo:
«Si un gobierno tiene el código fuente, puede encontrar diferentes tipos de vulnerabilidades de seguridad y tal vez explotarlas, [but] no está claro si el acceso al código fuente mejora o empeora la situación de las personas», dijo Clayton. Varios factores diferentes complicaron la situación, dijo Clayton. El acceso al código podría permitir un análisis detallado, lo que permitiría descubrir agujeros como fallas de desbordamiento de búfer, pero igualmente es posible ejecutar un programa fuzzing que arroja datos aleatorios en partes de un sistema operativo o software para encontrar diferentes vulnerabilidades.
Aunque compartir el código fuente no da como resultado fallas de día cero automáticamente, puede ofrecer piezas cruciales para el rompecabezas que un país en particular ya ha comenzado a construir, en su camino para encontrar fallas de seguridad dentro de los productos/SO de Microsoft, para fines defensivos y naturalmente, con fines ofensivos.
Desde una perspectiva comercial, nada es más valioso que un contrato gubernamental. Pero para que este contacto gubernamental vea la luz del día, a veces una empresa pierde de vista el panorama geopolítico general, citando ganancias comerciales o estrategias simples de crecimiento de segmento de mercado.
Microsoft, no solo ofrezca un vistazo a su código fuente, exija y obligue legalmente a aquellos que tienen acceso a él por razones de seguridad nacional, a compartir datos sobre errores importantes y posibles fallas de seguridad. ¿Cómo mediría Microsoft la efectividad de este posible contrato bilateral? Puede reservarse legalmente el derecho de excluir países a los que se les ha ofrecido deliberadamente un código fuente inseguro y han decidido no denunciarlo.
¿Se está olvidando Microsoft de la fundamentos de la geopolíticaa saber, que «Las naciones no tienen amigos permanentes ni enemigos permanentes. Sólo intereses permanentes.¿Vale la pena el énfasis en la penetración del mercado desde una perspectiva comercial por los riesgos que plantea compartir el código fuente con jugadores de guerra cibernética adinerados?
¿Debería Microsoft finalmente pasar de ser el donante a ser también el receptor?
¿Qué piensas? Replicar.
