¿Está Apple un poco desorientada respecto a la seguridad de Leopard?, por Juan de Dios Santander

Gracias a Ricard Gimeno, de la LSPM, he encontrado un artículo de la firma de seguridad Heise Security sobre el cortafuegos (firewall) de Leopard 10.5.0, y destacaría este último párrafo (las marcas en negrita son mías, así como las aclaraciones entre corchetes []):

"El cortafuegos de Mac OS X Leopard fracasó en todas las pruebas. Por defecto está desactivado, e incluso cuando está activo, no se comporta como se espera. Se pueden establecer conexiones a servicios no autorizados [en el interfaz gráfico del cortafuegos], e incluso bajo la configuración más restrictiva, Bloquear todas las conexiones entrantes, permite el acceso a servicios del sistema desde Internet. Aunque los problemas y peculiaridades que describimos en este artículo no son vulnerabilidades de seguridad en el sentido de que no se pueden explotar [por sí solas] para comprometer un Mac, Apple haría bien en resolver estos problemas a la mayor brevedad."

La conclusión anterior es un poco fuerte, pero Apple no debe volverse complaciente. Como el mismo artículo señala a continuación, el disponer de servicios accesibles en cualquier momento desde Internet (mDNSresponder (Bonjour), ntpd (Servidor de tiempos)) incluso en las condiciones más restrictivas del cortafuegos, y sin indicaciones al usuario de qué procesos son los que realmente siguen siendo accesibles, impone una presión extra sobre esos servicios, que en el caso de que se encuentren fallos de seguridad pueden volverse vectores de ataque claros contra TODOS los equipos con Leopard, puesto que sólo aquellos sistemas configurados por profesionales de seguridad se encontrarán a salvo.

Pero desde mi punto de vista hay algo peor: hay que incluir este “fiasco” en la seguridad del cortafuegos de Leopard dentro de lo que parece una política errática de Apple en cuanto a medidas de seguridad para Leopard.

De un lado, se han incluido gran número de medidas de seguridad en Leopard:

En cambio, esas medidas de seguridad tienen, todas, sus propios problemas:

Las aplicaciones enjauladas tienen bastante ancho entre barrotes: los visores de QuickLook y los buscadores de Spotlight no pueden acceder a trozos de memoria que no les corresponden… pero sí pueden realizar o recibir conexiones de red, algo bastante insólito, y peligroso. Además, no existe la opción de poder ejecutar Safari enjaulado, algo que evitaría los intentos de ataque más tradicionales a los navegadores. Internet Explorer 7 en Windows Vista sí tiene esa opción.

La aleatorización de funciones de Leopard no es tan aleatoria… y en eso se parece a la de Windows Vista. No queremos esos parecidos pudiendo ser mejores, ¿verdad? ;-)

La firma digital de las aplicaciones de terceros por parte de Leopard cuenta como una modificación para aplicaciones que tienen su propia forma de comprobar si han sido modificadas o no, y hace que no funcionen después de la firma. Además, las aplicaciones Java no cuentan como aplicaciones individuales, sino como permisos completos al entorno Java.

Y del cortafuegos acabamos de hablar… aunque hay que añadir un par de cosas: que las configuraciones del cortafuegos no distinguen entre encontrarse en la red casera, en la que uno puede estar protegido por el cortafuegos o el NAT del router, o encontrarse en una red WiFi pública, o con conexión directa; y que aunque se sigue manteniendo en Leopard la infraestructura anterior, basada en ipfw, y que realiza las protecciones por puertos y por diferentes redes, no existen herramientas gráficas de gestión.

Así que no creo que Apple se encuentra en la posición de complacencia que Heise denuncia: aunque es cierto que, ahora mismo, Apple esté haciendo lo que Microsoft hace más de 4 años, cuando Windows XP también con cortafuegos, pero desactivado, y con servicios accesibles desde fuera, espero que Apple lo corrija en la próxima revisión. Las medidas adicionales de seguridad que Apple ha incluido en Leopard sin que exista presión de malware para introducirlas creo que sí que indican que Apple se toma la seguridad en serio, pero debe seguir haciendo caso a los expertos.

Hoy en día, si intentas instalar un equipo con Windows XP original, o con Windows XP Service Pack 1 (SP1), queda infectado en cuestión de minutos por las múltiples copias de Blaster y Sasser que aún siguen activas en Internet, porque existe un servicio vulnerable en marcha y que es accesible desde fuera desde el momento de la instalación. Al parecer, ocurre lo mismo en Leopard con los servicios mDNSresponder, y ntpd, y Apple no debe esperar a que exista un ataque, cuando está en sus manos el prevenirlo desde ya. Desde Windows XP SP2, no existen sistemas windows que expongan servicios en Internet con la configuración estándar, y lo mismo debería pasar con Leopard.

Un artículo de memoria de Acceso Aleatorio