Flashback botnet: ¿Vulnerabilidad de Java? No, de Mac OS X

He de confesar que mi motivación para escribir este post en la tarde de un domingo, es expresar mi visión ante el artículo que escribió Eduardo Arcos en el archiconocido blog de Tecnología ALT1040 "Flashback botnet: ¿Vulnerabildad de Mac OS X? No, de Java".

En él, el popular blogger ecuatoriano, culpaba a Oracle (propietario de Sun, y por ende de la tecnología JAVA) del fallo de moda que ha causado que más de 600.000 equipos con sistema operativo Mac OS X, hayan sido infectados por el troyano Flashback, exculpando a Apple del tema. Asimismo en dicho artículo, el autor afirmaba categóricamente: "Pero Mac OS X al ser basado en UNIX es sumamente seguro y por lo tanto mucho menos vulnerable".

Con estas premisas, me gustaría dar mi punto de vista sobre lo que, a mis ojos (y parece ser que ante los de los lectores de ALT1040 que dejaron sus comentarios al controvertido artículo también), es una opinión equivocada. Para empezar, y por desmitificar el título del artículo: La culpa de esta vulnerabilidad, es de Apple! ¿Por qué? pues principalmente, porque el motor Java incluido en el sistema operativo Mac OS X lo implementa Apple y no ORACLE. Es por eso que la organización encargada de publicar los parches necesarios para corregir las vulnerabilidades que surjan para este módulo es Apple, y no ORACLE.

Apple, gracias al boom de sus equipos informáticos (portátiles, sobremesa, ipads, iphones, etc,…) ha ido ganando cada vez más cuota de mercado. Evidentemente, y por qué no decirlo, desgraciadamente, el porcentaje de mercado para los dispositivos con sistema operativo Mac OS X, es irrisoria comparada con el todopoderoso parque de PCs con Windows, distribuidos por el Mundo. Sin embargo, dada la gran aceptación de este sistema operativo por parte de un público, harto de pantallazos azules, que busca funcionalidad de serie y estabilidad en un sistema operativo de escritorio, ha levantado la bandera para que los desarrolladores de malware pongan en su punto de mira la explotación de vulnerabilidades de Mac OS X.

Hasta hace unos años, los early adopters usuarios de Apple, vivían felices, viendo como los usuarios de Windows eran constantemente atacados por malware específico para explotar sus vulnerabilidades. ¿Se podía decir que Mac era seguro? Categóricamente NO. Lo que se podía decir es que no había virus, o la proporción era muy baja, o simplemente que sentarse a buscar vulnerabilidades para un público tan reducido no era rentable para los desarrolladores de malware. Sin embargo, y debido a esta explosión de márketing hacia Apple, los "gusanos para las manzanas" se han multiplicado y, el mejor ejemplo de que las amenazas están ahí, es que prácticamente todas las casas de software antivirus han publicado una versión específica para Mac OS X.

Ante este panorama, a Apple no le ha quedado más remedio que empezar a ponerse las pilas con la seguridad de sus soluciones, materia en la que no eran precisamente expertos. Cuando Windows ya implementaba tecnologías como DEP Data Execution Prevention en el Service Pack 2 de Windows XP en 2004 o ASLR Address Space Layout Randomization en aquella decepción consumidora de recursos que era Windows Vista (en Enero de 2007), Apple introducía DEP en 2006 y una implementación decente en Mac OS X Lion (en 2011). Es decir que en este sentido, Windows ha tenido una conciencia de seguridad mucho mayor que Apple a la hora de implementar tecnologías más seguras en cuanto a la ejecución de aplicaciones.

Como se puede observar con este último ejemplo en el troyano Flashback, la celeridad en el publicación de parches no es precisamente algo de lo que Apple, ni sus usuarios, podamos vanagloriarnos, habiendo sido publicado el parche para esta vulnerabilidad de JRE, por parte ORACLE, en Febrero de 2012. En este caso, hasta mes y medio después, no ha existido solución por parte de Apple. Incluso el primero de los parches, presumiblemente no debió ser todo lo acertado/fino posible por lo que Apple tuvo que re-publicar un parche para esta vulnerabilidad, al día siguiente.

Asimismo, los usuarios de Tiger y Leopard, actualmente se encuentran indefensos ante esta y otras futuras vulnerabilidades, al haberse detenido el desarrollo de parches para dichas versiones de OS X.

Así pues, queda demostrado que la afirmación de que "Mac OS X, al ser basado en UNIX, es sumamente seguro y mucho menos vulnerable" es completamente incierta, fruto de la impulsividad de un fanboy, incondicional a una marca que, efectivamente hace dispositivos y sistemas operativos muy atractivos, muy usables, muy estables y muy funcionales,… pero cuyo nivel de seguridad es cuanto menos mejorable, al igual que el de TODOS los demás sistemas operativos, y los módulos involucrados en los mismos.

Quiero indicar que, en mi situación personal, usé Windows como sistema operativo de escritorio hasta el 2003. A partir de ahí, empecé a utilizar KDE sobre Linux, y a mediados de 2008 relegué Linux a mi uso diario en mi servidor, pasando a usar Mac OS X como herramienta de trabajo diario hasta el día de hoy, estando además muy satisfecho con sus niveles de rendimiento y usabilidad.

La seguridad es un proceso, y como tal, debe evolucionar a la vez que lo hace la propia innovación de los productos de la marca. Estoy seguro que Apple, como el gigante innovador que es, tendrá esta experiencia en cuenta y se pondrá las pilas, como hizo Microsoft en su día, para disponer de niveles de seguridad acordes con la calidad estética y funcional de sus productos.

Autor: Lorenzo Martinez
Fuente: Security by Default

Suscríbete a nuestro Boletín