Montones de fuentes TTF para OpenOffice en Debian

Gracias a Martin Krafft y a Philip Newborough ya tenemos en Debian un paquete disponible con 465 fuentes TrueType (ttf) libres para utilizar en el texto/cartel/logo/remera que uno quiera.

Las fuentes son muy buenas creaciones de Brian Kent y pueden visualizarse y descargarse desde el sitio web del proyecto ÆNIGMA FONTS, o en Debian sencillamente instalando el paquete ttf-aenigma del repositorio Sid.

Acá van dos de ejemplo…

Además, desde hace ya un tiempo y gracias a Red Hat disponemos de alternativas para las archiconocidas Times, Arial y Courier en el proyecto Liberation Fonts (paquete ttf-liberation). Por suerte, no hay alternativa para Comic…

Vaya mi agradecimiento a la gente de Red Hat, a Brian Kent por su gran aporte a la comunidad y a los maintainers por tomarse el tiempo de empaquetarlo.

Debian Live Lenny Beta1

Daniel Baumann anunció hoy la disponibilidad de Debian Live Lenny Beta 1, la primer release “en vivo” oficial de Debian desarrollada por el grupo de desarrollo de Debian Live.

Las características principales son:

  • Distribución puramente Debian.
  • Cuatro versiones disponibles: una sin entorno gráfico y las restantes con escritorios GNOME, KDE y XFCE respectivamente.
  • Imágenes en formato CD, DVD y USB.
  • Imágenes para arquitecturas i386 y amd64.

Las próximas versiones incorporarán:

  • Un instalador, para tener en el disco rígido el mismo desktop que tenemos en el CD.
  • Una versión con los tres desktops en un sólo DVD (GNOME + KDE + XFCE)
  • Imágenes para arquitecturas powerpc y sparc.

Las imágenes están disponibles para descarga en el servidor de imágenes de Debian.

Este es un paso importante para crear un set de herramientas mediante las cuales efectuar comprobaciones de compatibilidad de Debian en hardware diverso, algo de lo que se estuvo hablando en la última DebConf.

LXDE en Debian unstable

Los que me conocen saben de mis infidelidades con los entornos de escritorio en Linux. En mis primeras incursiones con el pingüino, si mal no recuerdo con un SUSE 5, fui asiduo del FVWM y alguna versión beta de KDE 1 que explotaba en 8 de cada 10 ejecuciones. Un tiempo despues conseguí algunas otras distribuciones y fui pasando por versiones inestables de GNOME (realmente muy inestables), KDE 1 y pico, IceWM, luego usé durante un buen tiempo KDE 2 sobre Red Hat y Conectiva, y la verdad me gustó mucho. Más recientemente con Debian fui probando Fluxbox, ROX y, con equipos más potentes, KDE 3 y las varias versiones de GNOME (desde la 2.10 en adelante).

Durante varios meses me quedé con XFCE por ser bastante liviano, más que nada en las últimas releases que ya traían Thunar, mi navegador de archivos favorito. En mi equipo anterior funcionaba excelentemente. Cuando actualicé el hardware me quedé con GNOME, que es lo que uso en la actualidad, y con las mejoras que han venido incorporando no me puedo quejar para nada.

Aún así siempre trato de hacer tiempo para probar algún escritorio liviano. Por eso es que como hoy me enteré que Andrew Lee incorporó lxde a Debian unstable, no tardé mucho en bajarlo a este Athlon64 que es un verdadero caballito de batalla.

LXDE es el Lightweight X11 Desktop Environment, un proyecto dirigido a proporcionar un nuevo entorno de escritorio liviano y rápido diseñado para el uso cotidiano manteniendo una baja utilización de recursos. A diferencia de otros entornos de escritorio, sus componentes no están muy acoplados sino que pueden ser utilizados prácticamente en forma independiente. En el sitio web del proyecto pueden encontrar una lista de configuraciones de hardware sobre las que ha sido probado.

Componen LXDE:

  • LXPanel: el clásico panel al estilo win, pero bastante configurable
  • LXSession: un gestor de sesión con apagado, reinicio y suspensión que soporta HAL y gdm
  • LXAppearance: un sencillo gestor de temas de interfaz, iconos y fuentes
  • LXNM: gestor de red con soporte para wireless (en desarrollo)
  • PCManFM como gestor de archivos y administrador de los iconos de escritorio
  • Openbox: como gestor de ventanas, que puede ser reemplazado por icewm, fluxbox, metacity u otro (desarrollado en forma externa)
  • GPicView: como visor de imágenes sencillo y rápido (yo lo uso actualmente en GNOME)
  • Leafpad: como editor de textos
  • XArchiver: como gestor de archivos comprimidos

Estas últimas seis aplicaciones forman parte de LXDE pero se desarrollan fuera del proyecto.

Aquí dejo algunas capturas de pantalla para que lo vayan viendo. En el sitio del proyecto tienen varias capturas más.


Primera impresión (demasiado VISTosA para mi gusto)


Un tunning mínimo (iconos Tango sobre fondo verde)


Menú principal


Opciones de LXPanel


Plugins para LXPanel


Gestor de archivos PCManFM


Editor de texto Leafpad


Visor de imágenes GPicView

Aviso 1: En todas las capturas y por error mío, el gestor de ventanas utilizado es metacity, no openbox.

Aviso 2: Antes de que lluevan las cargadas, el sistema operativo es Debian. Todas las iso ubunteras que ven en el escritorio me quedaron de haberlas bajado para el último flisol y de momento las estoy compartiendo por bittorrent.

Bueno, como al LXDE lo instalé recién, el único veredicto que les puedo dar es que, a primera vista, parece usable y muy rápido, con lo cual cumple con su objetivo principal. Por supuesto hace falta una buena cuota de desarrollo y bastante traducción, y quien sabe, quizá en unos meses tengamos un nuevo lxubuntu…

Ahora queda ver como se comporta el entorno (y como me comporto yo) usándolo cotidianamente.

Saludos!

Curiosidades en los logs

Hoy estuve un rato leyendo los logs del equipo en casa, y entre los que leo está el que genera PortSentry. PortSentry que es un programa sencillo que escucha en ciertos puertos y al recibir una conexión en alguno de ellos registra la IP de origen, además de permitir ejecutar alguna acción tras una cantidad dada de intentos de conexión. Este criterio trivial brinda una protección básica ante un escaneo de puertos; lo que no implica que el intento sea un ataque, ya que podría ser simplemente que yo mismo erré de puerto al tratar de conectarme desde fuera a un servicio particular.

Como en casa la máquina es hogareña y no hay problema en que bloquee lo que quiera, el software está configurado para adicionar la IP sospechosa al clásico archivo de control de accesos hosts.deny.

Recuerdo haber borrado hace unos meses todas las direcciones registradas en ese archivo, pero igual ya está bastante completito. La primer consulta con wc nos da el total de direcciones registradas actualmente.

$ grep DENY /etc/hosts.deny | wc -l
3544

Luego de leer el archivo un rato encontré que ciertas redes tenían mayor cantidad de direcciones registradas, por lo que me pareció razonable hacer un conteo de frecuencias por red. Podríamos hacerlo un script en algún lenguaje, pero hoy prefiero la consola.

La línea que sigue, por críptica que parezca, lee el archivo hosts.deny, corta los primeros dos octetos de la dirección (supongo que la máscara de red es /16), las ordena por red, cuenta la frecuencia de aparición, vuelve a ordenar la lista por frecuencia, y finalmente extrae las 15 redes con mayor cantidad de IP registradas. No les parece preciosa?

Por supuesto, pueden omitir el tail final para obtener la lista completa.

$ grep DENY /etc/hosts.deny | cut -d' ' -f2 | cut -d. -f1,2 | sort \
 | uniq -c | sort -n | tail -15

freq red(/16)
 31 118.171
 31 88.80
 34 67.181
 42 61.59
 51 58.20
 52 122.124
 63 116.71
 81 216.219
 96 193.138
118 195.5
135 118.167
177 118.169
237 122.116
278 118.161
727 118.168

Salta a la vista la cantidad de direcciones 118.168.x.x registradas, pero además también hay 118.169.x.x, 118.167.x.x y otras. El link que adicioné a cada red apunta al informe correspondiente de ipinfo en SANS.

Grafico obligatorio…

Si nos centramos en el análisis de las direcciones tomando sólo el primer octeto, puede apreciarse la diferencia de las redes 118.x.x.x respecto del resto de las redes.

$ grep DENY /etc/hosts.deny | cut -d' ' -f2 | cut -d. -f1 | sort \
 | uniq -c | sort -n | tail -12

freq red(/8)
  51  24
  52  59
  67  58
  83  61
  83  67
  85 216
  87 116
  92  87
 100 193
 118 195
 360 122
1383 118

Sobre el total de 3544, la proporción es la siguiente:

Segun whois.twnic.net, los segmentos 118.x.x.x y 122.x.x.x que suman casi el 50% de las direcciones registradas por PortSentry en este equipo pertenecen a la red de Chunghwa Telecom Data communication Business Group de Taiwan (www.hinet.net por si alguno entiende). Parece que los muchachos están ocupados…

Bueno ahora es el turno de ustedes. Alguno tiene resultados similares?
Saludos y buena semana!

Mirar para adentro

El aviso de seguridad de Debian DSA-1571-1 arranca así… “Luciano Bello descubrió que el generador de números aleatorios en el paquete openssl de Debian es predecible. Esto es causado por un cambio realizado al paquete openssl particular de Debian. Como resultado, el material de clave criptográfica puede ser comprometido.”

… y con ese primer párrafo se desencadena el apocalipsis criptográfico, como bien lo denomina Luciano en su blog.

La falla descubierta por Bello es crítica al extremo. Permite comprometer un sistema en cuestión de minutos u horas y afecta desde hace 2 años a miles de hosts en el mundo que corren Debian y sus derivados. Estamos hablando de que es posible vulnerar los controles de acceso a virtualmente cualquier host con un servicio openssh que esté utilizando claves públicas. Ya hay scripts como para entretenerse bajando servers por todos lados.

Como debianero/debianita (near fanatic) que soy, esto me preocupa, y mucho. Si bien la solución fue bastante trivial (yo ya hice lo debido en cada host), así como también lo es la falla original, creo que es momento de plantearse seriamente el proceso de aplicación de parches en el proyecto. Luciano lo deja más que claro en su blog: “… necesitamos un proceso de auditoría real en los parches específicos de Debian. Es difícil, pero necesario.

En la red ya hay un cúmulo de repartijas de responsabilidades, en ./ en inglés, en ./ en castellano. Lo que yo saco en limpio es más o menos lo siguiente:

  • Muchos de nosotros como desarrolladores de software libre tenemos una parte de responsabilidad ya, por el mínimo hecho de no auditar código por nuestra propia seguridad (y me incluyo entre los que no lo han hecho). Obviamente en los casos donde uno pueda, ya que leer código no es para cualquiera y cada paquete tiene lo suyo.
  • El responsable del paquete también tiene lo suyo por realizar la modificación sin interiorizarse un poco más en el algoritmo subyacente (sepa Ud. que aquí hablo por tener boca y con autoridad nula). Aunque su responsabilidad no es tanta como se le ha atribuído originalmente, pues…
  • Los desarrolladores de openssl (a quien debo mis respetos) sí fueron consultados originalmente respecto del parche, pero la respuesta no fue lo suficientemente explícita. Muchos ya han expresado su opinión respecto de que quizá deberían documentar un poco más el código fuente.

Mas allá de lo malo que ésto ha sido (digo, la vulnerabilidad), rescato dos tres cosas:

  • La transparencia en los procedimientos de publicación y tratamiento de la vulnerabilidad. Un fallo de estas características en un producto privativo podría implicar una pérdida importante para su empresa proveedora, que en su intento de minimizar el impacto podría optar por ocultar no sólo el fallo sino su reparación. Los más conspirativos pueden pensar, incluso, que esto ocurre constantemente en muchos productos de software. Debian, por las características del proyecto y por cómo es llevado a cabo tiene la clave en el punto 3 del contrato social: No ocultaremos los problemas. Sólo esto, para mí, es fantástico.
  • La celeridad con que actuó la comunidad. Para calcular esto deberíamos saber con exactitud cuándo se contactó Luciano con la gente de security, pero el hecho es que al momento de la publicación de la falla ya estaba en los mirrors la version de openssl arreglada.
  • Y el hecho de que haya sido un propio Debian Developer (y argentino para colmo, tras que no somos agrandados) el que lo haya detectado. De acá es donde viene el título del post, él hizo lo que muchos debemos hacer: mirar para adentro.

Para finalizar:

  • Mis felicitaciones a Luciano por su primer DSA que ha sido impactante.
  • Cayendo se vuelve a andar, así dicen…
  • Ah, y aprovechen iptables que para algo está.

Saludos!

FLISOL 2008 – Festival Latinoamericano de Instalación de Software Libre

Como es usual por estas fechas, se viene una nueva edición del Festival Latinoamericano de Instalación de Software Libre — FLISOL 2008, el evento de difusión de Software Libre más grande en Latinoamérica que se realiza desde el año 2005 y su principal objetivo es promover el uso del S.L., dando a conocer al público en general su filosofía, alcances, avances y desarrollo.

Para tal fin, diversas comunidades locales en cada país, en cada ciudad o localidad, organizan simultáneamente encuentros en los que se instala Software Libre de manera gratuita y totalmente legal en las computadoras que llevan los asistentes. Durante la ejecución del mismo se ofrecerán charlas informativas y técnicas sobre diferentes aspectos relacionados con el S.L.

El Grupo de Usuarios de Software Libre de la Universidad Nacional de Luján (UNLuX) desarrolla el encuentro en Luján desde el año 2006 y nos hace llegar la invitación a la 4ta Edición del Festival, FLISOL 2008, dirigida a todo tipo de público: estudiantes, académicos, empresarios, trabajadores, funcionarios públicos y entusiastas, tengan o no conocimiento informático.

Están todos invitados a participar, una vez más, acercando sus equipos tanto para la instalación, la resolución de problemas sobre instalaciones existentes o simplemente para participar de una jornada distinta para intercambiar experiencias sobre Software Libre. El objetivo principal es compartir conocimientos y ansias de libertad, por ello la asistencia es totalmente libre y gratuita.

Fecha y Hora:
Sábado 26 de abril, de 12:30 hs. a 18:00 hs. aprox.
Lugar:
Pabellón de Aulas 400, Sede Central
Universidad Nacional de Luján
Intersección de Rutas 5 y 7,
(6700) Luján, Argentina
Más información:
http://www.installfest.info/
http://www.installfest.info/FLISOL2008/Argentina/Lujan

El vino no-oficial del debianita

Pues nada mejor que dejarse caer en las tentaciones de Baco para festejar la próxima release de Debian, agendada para septiembre del corriente año. Yo ya voy reservando algunas botellas de vino que, por supuesto, son las indicadas para la ocasión:

Cualquier parecido con la realidad… es pura coincidencia?

Migrando a GRUB 2

Otavio Salvador propuso en la lista de Debian-Release pasar a utilizar GRUB2 en la próxima release (Debian Lenny) y comenzó un interesante thread al respecto.

Para el que no lo conoce, GRUB es el mnemónico de GRand Unified Bootloader. Un boot loader, o cargador de arranque, es el primer programa que se ejecuta cuando la computadora arranca (salvando la secuencia de arranque en ROM). El boot loader es responsable de cargar y transferir el control al núcleo, o kernel, del sistema operativo. El kernel, luego, incializa el resto del sistema operativo.

GRUB es, para aquellos que tenemos Linux, el “menú que aparece en la pantalla” y que nos permite seleccionar el sistema operativo, o la versión de kernel, que vamos a iniciar. Otro gestor conocido y que muchos hemos utilizado alguna vez, es LILO.

La versión 1 de GRUB, ahora denominada GRUB Legacy, es la que utiliza la mayoría de las distribuciones de GNU/Linux actuales y ya no está siendo desarrollada activamente por la comunidad; no se están añadiendo nuevas funcionalidades y sólo se están aplicando los parches necesarios para mantenerlo al día mientras la versión 2 se estabiliza. De ahí la solicitud de Otavio en la lista de mails.

Los objetivos de esta nueva versión son, entre otros:

  • Permitir scripting, condicionales, bucles, variables y funciones.
  • Interfaz gráfica.
  • Extensibilidad mediante carga dinámica de módulos.
  • Portabilidad a distintas arquitecturas.
  • Internacionalización. Soporte para caracteres fuera del conjunto ascii, mensajes localizados, etc.
  • Mejor administración de memoria.
  • Marco de trabajo modular, jerárquico y orientado a objetos para sistemas de archivo, archivos, dispositivos, unidades, terminales, comandos, tablas de partición y cargadores de SO.
  • Instalación multiplataforma.
  • Modo de rescate para casos en los cuales es imposible iniciar.
  • Corregir errores de diseño de la versión anterior de GRUB, que no pueden resolverse debido a compatibilidad inversa, por ejemplo el numerado de las particiones (he he he …).

Hay que advertir que, sin embargo, algunos sistemas de archivo todavía no están soportados (faltan reiser3 y reiser4, por ejemplo). Parte del estado de la transición en Debian está documentado en las páginas Grub2 y GrubTransition de la Debian wiki.

Con el objeto de comenzar a testear esta nueva versión, decidí instalarla en una instalación de Debian Lenny local. Para ello, en primer lugar hay que descargar e instalar el metapaquete grub2, que se encargará de efectuar la migración del archivo de configuración anterior al nuevo formato e instalar el nuevo cargador de arranque en modo chainloading, manteniendo la versión de GRUB anterior para permitir la recuperación en caso de una falla.

# aptitude install grub2

El paso siguiente, por cierto bastante evidente, es reiniciar el equipo para verificar el funcionamiento del nuevo cargador de arranque. Verán en la pantalla de selección que la primer opcion de GRUB es iniciar el nuevo cargador de arranque (“Chainload into GRUB 2”).

Al ingresar en GRUB2 notarán el cambio en el despliegue de la imagen de fondo (debian-blueish-wallpaper en mi caso, y muy agradable por cierto) y el menú desde el cual podrán seleccionar el sistema operativo a iniciar.

Si ocurrió alguna falla durante el inicio, pueden volver a iniciar cualquiera de los sistemas operativos instalados mediante el primer menú de GRUB (Legacy).

Si todo salió bien, ya pueden sobreescribir el cargador de arranque antiguo con el nuevo. Para ello hay que ejecutar como root:

# upgrade-from-grub-legacy

La configuración en la versión Legacy se almacenaba generalmente en el archivo menu.lst dentro del directorio /boot/grub (o donde tengan instalado el cargador). En GRUB2, la configuración se almacena en el archivo grub.cfg, que es generado automáticamente en Debian por update-grub siguiendo las plantillas almacenadas en /etc/grub.d y el archivo /etc/default/grub

Actualización (29/04/2008): Ya no es necesario incorporar las entradas de los sistemas operativos a mano en la configuración del gestor de arranque. La versión de grub en Debian Lenny puede incorporar automáticamente al menú de arranque los sistemas operativos existentes en el equipo gracias a la detección realizada por el paquete os-prober. De todas formas, dejo tal cual el procedimiento que sigue pues puede servir ante un fallo.

Para añadir una nueva entrada de sistema operativo en el menú hay que crear un nuevo archivo en /etc/grub.d. Por ejemplo, para añadir una entrada de arranque a Windows XP podemos seguir los pasos indicados en este thread y crear un archivo 20_windows_xp en /etc/grub.d con las siguientes líneas

#! /bin/sh -e

cat << EOF
menuentry "Microsoft Windows XP Professional" {
    set root=(hd0,1)
    chainloader +1
}
EOF

Donde (hd0,1) será lo que tenían definido en menu.lst sólo que con un número más. Vale decir, si era (hd0,0) ahora será (hd0,1). Este cambio viene de larga data y a petición de varios pues, como recordarán, las particiones en GRUB Legacy se numeraban desde el 0, con lo cual siempre eran un número menor a las indicadas por fdisk en Linux, y eso nos ha traído dolores de cabeza a más de uno.

Finalmente queda dar los permisos de ejecución al script y volver a generar la configuración en base a estas plantillas con:

# chmod +x /etc/grub.d/20_windows_xp
# update-grub

Y reiniciar para probar nuevamente…

Si la imagen de fondo de GRUB2 no les agrada, pueden obtener más imágenes instalando el paquete grub2-splashimages o crear una utilizando GIMP o su editor favorito.

Bien eso es todo. Mucha suerte y en el caso de que no tengan éxito, siempre tengan a mano un CD o DVD de Debian de la arquitectura que están utilizando, para iniciar en modo rescate, jeje…

Saludos!

Nuevas incorporaciones a Debian

Parece que la comunidad Debian no se queda quieta y continúa mejorando cada día. Recientemente añadieron al repositorio inestable, entre otros, dos aplicaciones muy interesantes:

La primera es la versión open-source de Virtualbox, una solución de virtualización gratuita que permite correr una amplia variedad de sistemas operativos sobre el sistema Linux. Virtualbox permite correr, como guest, Windows (98, NT 4.0, 2000, XP, Server 2003, Vista), DOS/Windows 3.x, Linux (2.4 and 2.6), FreeBSD, OpenBSD y otros.

La segunda es la implementación de una idea que hace mucho tiempo tuvo un gran amigo mío, que se vé que no es el único loco, y que yo creí irrealizable: Debtorrent.

Qué es debtorrent? DebTorrent es un proxy que permite bajar paquetes con APT, desde otros pares.

El cliente DebTorrent actúa como demonio y escucha peticiones de archivos desde APT. Los archivos que no son paquetes son descargados y servidos a APT en forma similar al resto de los proxies (apt-proxy, etc.).

Cuando se solicitan paquetes, el cliente DebTorrent intentará utilizar cualquier otro cliente DebTorrent que encuentre, utilizando el ancho de banda de subida de sus pares, reduciendo así la demanda a los espejos de la red de Debian. Si un paquete no se encuentra en ningún par, DebTorrent intentará descargarlo desde un mirror estándar.

La configuración es muy simple y sólo involucra prefijar un servidor y puerto al archivo sources.list actual.

En resumen, dos buenos paquetes para probar y tener en cuenta en la instalación de nuestro sistema operativo favorito.

Operating System Vulnerability Scorecard y las conclusiones apresuradas

Desde hace unos meses Jeff Jones, el Director de Estrategia en la Microsoft Security Technology Unit, viene publicando un reporte de vulnerabilidades en su blog en Microsoft TechNet. He leído sus reportes y en general presentan a Windows como la plataforma más segura, etc… lo cual no me parece mal, al fin y al cabo todo es marketing y es válido.

No voy a desacreditar los informes que este señor publica, por lo menos no yo pues no soy ningún especialista en el tema. El problema que yo encuentro aquí radica que cualquier desprevenido puede leerlos, sacar conclusiones erradas, y salir muy contento a pregonear que el Windows que tienen en casa es más seguro que todos esos linux que escuchan en la calle. Ya he visto algunos posts en blogs en castellano del estilo “al final teníamos razón”, “lo de la seguridad de linux era mentira”, bla, bla…

En realidad, voy a hacerles notar algunos recaudos que deben tener en cuenta antes de leer informes de este estilo, para no sacar conclusiones apresuradas y volver a caer siempre en el mismo engaño. Para ello me hago eco de un artículo de opinión de Davey Winder publicado en DaniWeb con el que coincido bastante. Transcribo aquí parte del artículo original (énfasis agregado por mi):

“… La suposición [que los lectores pueden desprender de los informes] está basada en datos de investigación concernientes a vulnerabilidades que requieren un parche, o para ser absolutamente claro luego de revisar la declaración de metodología cómodamente publicada por Jeff en un sitio diferente, que han sido arregladas por el proveedor.

“Y cito: «Las vulnerabilidades incluidas en el análisis solo incluyen aquellas para las cuales el proveedor ha confirmado aplicabilidad, típicamente vía una advertencia de seguridad o un parche. El análisis no incluye las vulnerabilidades reveladas públicamente durante el período que aún no han sido arregladas por el proveedor». Entonces, para ser breve, [el informe incluye] las vulnerabilidades que han sido arregladas por el proveedor, pero no los 0-day exploits ni las vulnerabilidades conocidas pero no oficialmente confirmadas vía advertencia, no importa hace cuanto se conozcan: sólo figuran las que el proveedor ha arreglado.”

En el artículo de DaniWeb hacen referencia a Secunia, un sitio que muchos conocemos desde hace bastante, pero que siempre es bueno volver a visitar. Cito: “Secunia publica informes independientes de vulnerabilidades listadas tanto por proveedor como por producto, y mantiene archivos históricos de ello, lo que lo hace una lectura interesante y brinda una perspectiva diferente al cuadro de seguridad [que vimos].”

De allí están tomadas los datos del artículo de opinión, y de ahí surgen los datos que publico a continuación (cabe aclarar que la información es del día 22/08/2007 y puede haber variado a la fecha).

Al día de hoy, Secunia informa que Windows XP Pro, presenta 188 advertencias, de las cuales 29 aún no han sido arregladas -un 15% del total- . En el caso de Windows Server 2003 Standard Edition, 8 vulnerabilidades de 135 aún no tienen parche -un 8% del total-.

Para comparar Red Hat Enterprise Linux 4 presenta en Secunia 314 vulnerabilidades todas ellas arregladas. Debian 4.0 Etch por su parte, presenta 68 advertencias, también todas arregladas.

Vuelvo al artículo de opinión:

“… Esto me sugeriría [dice Davey] que Red Hat es realmente más seguro que Windows, si queremos seguir el consejo de no simplificar la seguridad al punto de la inutilidad, pues la capacidad y voluntad de un proveedor para arreglar rápidamente las fallas encontradas debe tomarse en cuenta en cualquier observación seria al argumento de seguridad. Efectivamente, los tiempos de respuesta del proveedor son la clave cuando todos acuerdan que es prácticamente imposible escribir código 100% seguro. La métrica real de seguridad es cuán rápido llegan los parches al usuario: ignorar las vulnerabilidades que aún no han sido arregladas reduce el informe original a no ser más que FUD.

“… si uno se toma el tiempo de leer entre líneas y hurgar un poco más profundamente en lo que se está informando, puede descubrir que lo que realmente dice [el informe] es que los proveedores de Linux son más eficientes que Microsoft en lo que respecta a anunciar fallas y arreglarlas. ”

En concordancia al artículo, es innegable que todos los sistemas operativos tienen fallos (hasta OpenBSD tuvo los suyos), pero creo que no sólo importa cuántos tengan, sino también qué gravedad tienen y cuanto tarda el proveedor en arreglarlos.

En fin, lean dos veces lo que encuentran en Internet, que hasta este post tiene sus errores.

Copyright © All Rights Reserved · Green Hope Theme by Sivan & schiy · Proudly powered by WordPress