El pasado martes Microsoft publicó una nueva hornada de parches para las distintas versiones de su sistema operativo Windows. Del conjunto de once paquetes de parches que aparecieron (visita WindowsUpdate si no tienes las actualizaciones automáticas activadas, es seguro que alguno te hará falta) me voy a centrar en los que evidencian errores en el diseño de Windows y por lo tanto sufren de fallos de seguridad una, y otra, y otra vez.
En primer lugar, vamos con el paquete de parches para Internet Explorer (ocho parches). El diseño de zonas de seguridad del navegador de Microsoft que, en teoría, debe encargarse de decirle al sistema operativo que puede hacer una aplicación en base a dónde se encuentra ésta (en internet, en la red local, en el propio equipo...) está roto desde que era una idea en un papel y prácticamente no hay mes en el que no se encuentre una manera de pasarlo como si no estuviera. En este paquete vienen tres correcciones para tres formas distintas de saltárselo. En lugar de establecer protocolos distintos para local y red como hacen otros sistemas operativos, en Windows los protocolos son los mismos y se necesita del "apaño" de las zonas de seguridad para discriminar los permisos. Una mala idea que lleva dando problemas de seguridad casi una década.
Vamos con otra mala idea, en las condiciones del párrafo anterior, reunir el explorador de ficheros (entre otros programas) y el navegador web en una sola aplicación. Al contrario que otros navegadores, Internet Explorer no es sólo un interfaz y un motor de representación de páginas web, bajo la interfaz de IE hay varios programas independientes, que son parte integral del sistema operativo, entre ellos, los cito por ser los que más a menudo dan problemas, el explorador de ficheros y el sistema de ayuda remota. Para que el sistema operativo sepa cuales de estos programas están accesibles para Internet Explorer en un momento dado también se usan las zonas de seguridad (y ésta es la diferencia con Konqueror, por ejemplo, que aún siendo también un "interfaz para todo" dentro de KDE, se muestra mucho más seguro, ya que tiene un protocolo para cada cosa que hace y no tiene que intentar adivinar en todo momento si lo que está haciendo es seguro o no). Viene incluido un parche para una vulnerabilidad que permitía la descarga de cualquier tipo de fichero a cualquier parte del disco duro que seleccionase un atacante (por ejemplo, un ejecutable a la carpeta Inicio, para que se autoejecutara en el siguiente reinicio del sistema) con solo hacer el movimiento de arrastrar y soltar en el navegador. Si el explorador de archivos no estuviera incluido en el navegador ésto nunca habría sido posible. Por cierto, que han tardado lo suyo en corregirlo, que hace bastante que se sabe y hay exploits desde el primer día.
Cambiamos ahora de paquete de parches, pero seguimos con errores de diseño. Las librerias (algunos prefieren llamarlas bibliotecas) son, simplificando, archivos en los que se guardan datos y funciones que los programas necesitan para funcionar. En Windows cada programa lleva las suyas y vuelve a instalarlas aunque ya haya una versión de si mismas instalada en el sistema. Esto no sólo es un desperdicio de espacio, también puede traer problemas a la hora de asegurar un equipo. A modo de ejemplo, usaremos el fallo en la librería GDI+. Este archivo contiene las funciones necesarias para, entre otras cosas, manejar el conocido formato de imágenes comprimidas JPEG. Existía un fallo en esta librería que permitía ocultar código malicioso en una imagen, que se ejecutase sólo con verla. El problema está en que todos los programas de Microsoft llevan una versión de ésta librería, así que es necesario parchearlos todos, por separado. Por ejemplo, un sistema con Windows XP, con todos los parches, sería seguro, pero si le instalamos cualquiera de las versiones de MS Office, ya no lo sería, se podría colar un virus en una imagen al verla con cualquiera de los programas que forman la suite ofimática, hay que parchear cada uno de ellos. Lo mismo vale para cualquiera de los otros programas de Microsoft: los Visual Studio, Visio, Project, Picture It!... incluso el servicio Red de banda ancha de Microsoft (!). Cada programa debe revisarse y parchearse por separado.
Por cierto, en todo este tipo de fallos las famosas "mejoras de seguridad" del Service Pack 2 para Windows XP no resuelven nada, así que seguiremos viendo como se repiten los mismos fallos de siempre.
