La seguridad de Mac OS X, puesta en tela de juicio

Durante la Conferencia de Seguridad CanSecWest se esperaba conocer el nivel de seguridad de los tres sistemas operativos más usados en el mundo: Mac OS X, Windows VIsta y Linux, representado por un Ubuntu 7.10. El segundo día, y tras modificar las reglas del juego, Mac OS X cayó el primero. ¿Es Mac OS X un sistema operativo seguro o todo lo que publicita Apple se queda en agua de borrajas?.

Lo que pasó en el CanSecWest

la organización propuso el reto de romper la seguridad de tres portátiles, cada uno e ellos con un sistema operativo diferente: Un Sony Vaio con Ubuntu 7.10, un Fujitsu U810 con Windows Vista y un MacBook Air con Mac OS X 10.5.2. El reto se distribuyó en 3 días y el premio varió en función del tiempo utilizado para la rotura de seguridad: el primer día eran 20.000 dólares, el segundo, 10.000 dólares y el tercero, 5.000 dólares. la vulnerabilidad utilizada para la rotura de seguridad debía ser un «0 Day», es decir, una vulnerabilidad no publicada con anterioridad.

Ninguno de los participantes pudo romper la seguridad de ninguno de los tres ordenadores accediendo a ellos a través de la red el primer día, es decir, los ataques vía red no funcionaron y nadie puedo ganar el control de los ordenadores.

La organización, el segundo día, relajó las condiciones de la prueba, permitiendo a los participantes que los ordenadores realizaran tareas externas, como visitar una web o ver el correo electrónico.

Charlie Miller, un empleado de la Agencia de Seguridad Nacional norteamericana, y conocido por ser el primero eh romper la seguridad del iPhone, no le tomó mucho tiempo el tomar el control del MacBook Air. En dos minutos, dirigió el ordenador a una página que contenía un código malformado que le permitió tomar el control del ordenador, llevándose el premio: 10.000 dólares y el MacBook Air.

Charlie Miller, tras su «hazaña», firmo un acuerdo de confidencialidad que no le permite publicar ni hablar sobre este agujero de seguridad hasta que el patrocinado del concurso, TippingPoint, pueda notificarlo al fabricante, en este caso, Apple. Parece ser que la vulnerabilidad está relacionada con un problema de seguridad en la reciente versión de Safari lanzada al mercado hace muy poco tiempo por Apple. Por otra parte, tras informar a Apple, los ingenieros de Apple están trabajando ya en el asunto, lo que implica que en breves días habrá una actualización de seguridad que incluya un parche para tapar este presunto agujero de Safari.

El portátil con Vista pudo ser reventado el tercer día con las reglas del juego ampliadas al uso de software de terceras partes, vía el uso de Flash de Adobe, del que recientemente ha sido descubierta una vulnerabilidad que espera ser parcheada a través del reproductor de Flash, puesto que afecta a los programas que generan contenidos Flash, lo que impide una correcta distribución de un parche de se seguridad. También se espera en breves días una actualización de seguridad por parte de Adobe.

¿Se puede deducir de esto que Mac OS X es más inseguro?

No. Todos los sistemas operativos tienen sus debilidades, que pueden ser explotadas bajo ciertas condiciones, siempre que se posean los conocimientos adecuados y se conozca bien la plataforma. En el caso de Charlie Miller, se puede decir que se trajo los deberes hechos de casa y es un gran especialista en Apple (visto su curriculo) aprovechándose de una vulnerabilidad descubierta en una versión recientemente lanzada.

Por supuesto esto no implica que Apple deba tomarse mucho más en serio la seguridad, máxime cuando su cuota de mercado está creciendo y empieza a convertirse en un goloso caramelo para aquellos que buscan ganar dinero a costa de los demás.

En internet ha habido dos tipos de reacciones a este evento: los primeros, y haciendo humor fácil, han masacrado a Apple desde la burla más gruesa posible a los más punzantes juegos de palabras. Sin embargo, en los círculos de seguridad se ha quitado bastante importancia a esta situación, de la misma manera que se quita importancia a otros concursos de este tipo, pues no son eventos que valoren la seguridad integral de un sistema operativo.

Lo que si resulta más que evidente que Apple debe dar un paso adelante en seguridad y no solo entrar en contacto con las diferentes comunidades dedicadas a la seguridad, sino abordar un proyecto más ambicioso en cuanto al estudio de su código y la solución y sobre todo, la publicación de actualizaciones antes de la publicación del código malicioso, lo que se suele llamar parches «0 day».