Hace 10 meses | Por lumine a xataka.com
Publicado hace 10 meses por lumine a xataka.com

Hay un nuevo tira y afloja en el seno de la Unión Europea. La futura Ley de Ciberresiliencia ('Cyber Resilience Act') quiere atajar el problema de la ciberseguridad obligando a que los productos de software y hardware estén bien actualizados, pero la última propuesta legal tiene un problema de fondo que ha generado muchas críticas. Alarma entre los desarrolladores open source. En una carta abierta a la Comisión Europea, una docena de desarrolladores de la comunidad open source han expresado que la ley de ciberseguridad, tal y como está escrit

Comentarios

M

#5 #7 #8 A estas gigantes no les supondría un problema deshacerse de este software incluso para el Azure pillando un kernel BSD y cerrándolo. Tenemos ejemplos como la misma Debian: https://www.debian.org/ports/kfreebsd-gnu/ aunque estos mantienen la licencia original.

Lo que no tengo muy claro que hagan mención al software libre. En Xataka y otros sitios como Genbeta lo mencionan pero en los enlaces originales no encuentro nada sobre sobre "free software", ni en la EFF ni en Digital Europe, ni incluso en la Linux Foundation. Sólo hablan de programas con licencias de fuente abierta. Para que no te multen, no deberías tener ningún tipo de ingresos. ¡Tiene guasa!

Según la EFF :

"La EFF celebra la intención de la legislación, pero la ley propuesta penalizará a los desarrolladores de código abierto que reciban cualquier cantidad de compensación monetaria por su trabajo. También exigirá a los fabricantes que informen a los reguladores de las vulnerabilidades no parcheadas y explotadas activamente. Con este requisito se corre el riesgo de exponer el conocimiento y la explotación de esas vulnerabilidades a un público más amplio, lo que agravaría los daños que esta legislación pretende mitigar." (traducido por DeepL) - Fuente: https://www.eff.org/deeplinks/2023/05/eus-proposed-cyber-resilience-act-raises-concerns-open-source-and-cybersecurity

De cualquier modo, si se libera la vulnerbilidad y ninguna compañía quiere intervenir en corregirlo, podría haber una avalancha de vulnerabilidades descubiertas que podrían hacer inviable incluso el software libre aunque este no haya sido pronunciado en los originales.

D

#10 Hay desarrolladores de OpenBSD en Europa.

M

#12 Si cobran por desarrollarlo, se aplica la ley y no parchean, podrían ser multados.

D

#13 Si la UE quiere colapsar, adelante.
Cientos de empresas y devs huirán a EEUU. O al Reino Unido.
Para poner su sede allí con total seguridad.
A los de la comisión europea los van a echar a patadas y puestos en la lista negra de cientos de empresas. De por vida.

rafaLin

#14 Probablemente esa sea la finalidad de esta ley, beneficiar a USA a costa de Europa. Últimamente todo lo que pasa en el mundo parece tener ese objetivo, y el gobierno europeo no parece que trabaje precisamente para Europa.

D

#54 USA también depende de SL de orígen europeo, y de forma enome en entidades como Google y Amazon. Caso de QT, ffmpeg, Qemu, Freetype, Cairo... Esto es una cadena, si cae uno, caen 2000 compañías que desde el 2000 cogen SL a destajo.

rafaLin

#58 Pues eso, todos esos desarrolladores se tendrán que ir a USA.

D

#60 O a Irlanda, o Inglaterra. Más cerca y fuera de la UE.
UK aplaudiendo, los lobbies de la UE vigilando las espaldas no vaya a ser que las compañías europeas y sus accionistas le prendan fuego a algún leguleyo cateto por desplomarse sus beneficios y acciones en contratos perdidos.

D

#13 La señora solene@ de OpenBSD tardaría cero coma, siendo francesa, en ir a Canadá.

c

#10 , podría haber una avalancha de vulnerabilidades descubiertas que podrían hacer inviable incluso el software libre
Una avalancha de vulnerabilidades descubiertas no es un problema demasiado grave.

El problema es una avalancha de vulnerabilidades ocultas.

D

#10 ¿No es precisamente el no depender de la seguridad por ofuscación uno de los puntos por lo que open source suele ser mejor?

¿Ahora se usa como argumento para no publicar las vulnerabilidades?

M

#32 Esa batalla la tuve con un cliente. Soy de los que no está de acuerdo en la seguridad por ofuscación. Claro está que si existe una vulnerabilidad, según se informa, esta debería ser corregida antes de 24h para no caer en una sanción económica, supongo que dependiendo del caso también o de la criticidad.

Creo que las vulnerabilidades deben ser publicadas, sólo que hay momentos en los que no existen medios económicos para hacer frente ya que es una tarea que requiere mantenimiento a veces periódico, y los desarrolladores de estas comunidades a veces tienen otras ocupaciones, sobretodo en el campo del software libre.

De todas formas, ¿qué ocurrirá con las compañías sin ánimo de lucro? ¿Equidistancia con las gigantes tecnológicas? Y en caso de ser una empresa que genere y distribuya código opaco, nadie más que el desarrollador conoce la fuente, así que esa es "su garantía" y la obligada confianza del cliente en su aparatito o programita, hasta que alguno se cuele.

M

#32 (error en #38, según la noticia de genbeta no debe ser "corregida" antes de 24h sino informada, lo ví antes de enviar el comentario pero me olvidé de arreglar el texto)

r

#7 ¿Has querido decir que en ocasiones sí legislan temas sobre los que tiene zo... idea?

J

#46 ni que sea por estadística, alguno habrá lol
(especialmente si presuntamente les beneficia a ellos (ni que sea a futuro) o a sus allegados. Y NO pienso poner como ejemplo la Amnistía Fiscal que "no hizo" un partido político hace unos años... )

M

#26 Porque le habría interesado meterse, en vista del auge del software libre, quizá también por presiones sociales. Veremos ahora, si esto saliera adelante, qué le interesa.

El NET fue abierto (https://github.com/dotnet/docs/blob/main/LICENSE - https://github.com/dotnet/docs/blob/main/LICENSE-CODE). Creo que con las licencias empleadas podrían volver a cerrarlo si lo consideran oportuno, es la libertad en este caso que tiene el desarrollador.

S

#31 #26 No entro en el fondo, pero ten en cuenta que eso implica que también puedan intentar barrer para casa en esos proyectos de software libre. Ahora mismo, creo recordar que en su momento la tuvieron con Torvals porque querían meter un sistema de firma de componentes para su S.O. y Torvals estaba ofuscado con que eso no tendría que ir allí...

M

#8 azure funciona con windows server

acido303

#30 lol lol lol

M

#36 He descifrado tu argumentación codificada en emoticonos y me ha salido esto:

Microsoft Azure se describe como una “capa en la nube” (en inglés "cloud layer") funcionando sobre un número de sistemas que utilizan Windows Server, estos funcionan bajo la versión 2008 de Windows Server y una versión personalizada de Hyper-V, conocido como el Hipervisor de Microsoft Azure que provee la virtualización de los servicios.

https://es.wikipedia.org/wiki/Microsoft_Azure

Abracito abracito, cariñito.


Personalmente, la decodificación del último emoticono me parece un tanto exagerada, apenas nos conocemos como para darnos abrazos. En cuanto a lo demás, estoy de acuerdo. Dime si me he equivocado con la decodificación de tu mensaje.

acido303

#67 ¿Esta información de qué año es? El Windows 2008 R2 dejó de tener soporte el 14/01/2020
https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-server-eos-faq/end-of-support-windows-server-2008-2008r2

Puede que cuando se creó Azure esto fuera así (Usar Windows Server y Hyper-V), pero ya no.

Al parecer el uso de Linux hace tiempo que ha sobrepasado al uso de Windows en Microsoft:
Now, Sasha Levin, Microsoft Linux kernel developer, in a request that Microsoft be allowed to join a Linux security list, revealed that "the Linux usage on our cloud has surpassed Windows".
https://www.zdnet.com/article/microsoft-developer-reveals-linux-is-now-more-used-on-azure-than-windows-server/

La decodificación del mensaje es: Risalol , risalol , hombre, no!!!

M

#74 La información es de las 14.53 horas del 2 de junio del 2023, si quieres te lo pongo también en inglés:

Design
Microsoft Azure utilizes a specialized operating system with the same name to power its "fabric layer".[54] This cluster is hosted at Microsoft's data centers and is responsible for managing computing and storage resources and allocating them to applications running on the Microsoft Azure platform. It's a "cloud layer" built upon various Windows Server systems, including the customized Microsoft Azure Hypervisor, which is based on Windows Server 2008 and enables the virtualization of services.[55]


https://en.wikipedia.org/wiki/Microsoft_Azure#Design

M

#41 Esa distribución linux corre en Azure virtualizada con Hyper-V que funciona sobre windows server.

Microsoft Azure se describe como una “capa en la nube” (en inglés "cloud layer") funcionando sobre un número de sistemas que utilizan Windows Server, estos funcionan bajo la versión 2008 de Windows Server y una versión personalizada de Hyper-V, conocido como el Hipervisor de Microsoft Azure que provee la virtualización de los servicios.

https://es.wikipedia.org/wiki/Microsoft_Azure

S

#5 No, no. Si tanto Microsoft como las 4 grandes que tienes en mente utilizan software libre.

A día de hoy el software no sobreviviría sin el software libre, simplemente.

Chimuelo

#5 Microsoft tiene una cantidad ingente de proyectos de software libre.

Dos ejemplitos de "nada":
.NET Platform: https://github.com/dotnet
Visual Studio Code: https://github.com/microsoft/vscode

rafaLin

#5 Microsoft también, muchísimo, y probablemente esas 4 grandes también.

D

#4 Incluso los gigantes tecnológicos dependen de SL. Hacer eso sería colapsar de una forma bestial.

c

#4 Buffff...... sería una mina de oro para la industria de los Zero Day.

Para mearse de risa y cagarse de miedo.

c

#4 Es el Lobby de la industria del Zero Day

D

#6 hay mucho jefecillo de cárnica que aún no se ha enterado de qué va su trabajo. Se piensan que si no existiera el software libre ellos tendrían gritones de proyectos para seguir chupando de la teta (sin hacer nada). Lo que no entienden es que todo lo que hacen se basa en software libre.

Y esas personas que han llegado al límite de su incompetencia (principio de Peter) en muchos casos se meten a políticos (o intentan hacer amistados con ellos) para seguir medrando.

arturios

#2 ¿Gilipollas? cuando ves sus bolsillos a rebosar con el dinero de las multinacionales del software privativo y lleno de spyware, entonces te das cuenta que el gilipollas eres tu

D

#21 Las multinacionales de software cerrado también dependen de SL como Qt. Si cae el SL, caen ellas también.

TipejoGuti

#2 No son gilipollas. Son corruptos, son mafiosos, son serviles de los poderes económicos, pero saben perfectamente lo que están haciendo. Saben que están bloqueando el código abierto porque lo han hecho siempre, porque siempre han atacado a lo común.

Esto, junto con lo de las IA´s, está más cerca de ser un acto de traición no una mala decisión o una gilipollez. Están actuando específicamente a dictamen de una voluntad extranjera y eso es más que evidente. Ahora que las grandes empresas sacan sus IA´s del armario y el opensource comienza a machacarlas en resultados con mucha menos inversión, comienzan el asalto a su desarrollo libre y de paso, a todo lo que parezca común.

Yo creo, sinceramente, que los corruptos políticos de la UE no sabían, ni por asomo, el papel que juega el código abierto en la economía el día que lo vendieron por 4 duros. Ahora les han pillado con el carrito de los helados, proponiendo unas gilipolleces tan gordas que, aunque cuelen por la vaselina mediática en primera instancia, no aguanta una revisión seria.

D

#47 El problema es que el SL y el Open Source hoy lo usan compañías gordas y eso va a suponer que las cías de SL europeas huyan a UK y EEUU haciendo que la UE se vaya a europeo se vaya a tomar por culo.

dudo

#2 la comisión europea hace encuestas sobre sus políticas, sobre los temas que preocupan a la gente y las direcciones que deben seguir

¿Sabes cuanta gente se preocupa de decirle a la comisión europea su opinión?

Pues puedes verlo tu mismo:
https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives_es

Igual los gilipollas somos nosotros

D

#69 Igual podían anunciarlo en la tele pública de cada país.... Igual no les interesa que la gente lo sepa...

dudo

#72 igual es mas interesante que en el telediario te informen de esto en vez del último partido random de futbol

l

"Multas de hasta 15 millones de euros."

Toranks

#1 Que además eso es la ruina para cualquier currito o pyme, pero calderilla para las grandes empresas, que pagarán gustosamente las multas mínimas, después de pelear 10 años en constantes juicios. Si no hubiera límite máximo, a lo mejor hasta me lo creería.

Magankie

#1 pero la multa es al desarrollador del software y no al fabricante? Qué sinsentido es éste? En todo caso debería ser a este último, de esa forma si un fabricante "se inspira" en SL y le van a multar por no tenerlo actualizado, no será necesario que el fabricante invierta en el desarrollador antes de ser multado?

j

#1 "exigirá que dispositivos como electrodomésticos inteligentes estén actualizados y se mantengan al día de los parches de seguridad. De lo contrario podrían enfrentarse a multas de hasta 15 millones de euros."


¿Qué electrodomésticos tienen open source?

También tiene sentido que los parches estén actualizados.

Cero_Ironia

#49 openssl recuerdas eso que pasó

U

#49 probablemente todos

Nova6K0

Que estamos gobernados por gilipollas, lo llevo viendo desde la primera ley de propiedad intelectual, o directiva relacionada. No tienen ni puñetera idea de encender un róuter, y encima legislan contra toda la Red... Bueno ya se decía que es la nueva forma de analfabetismo. Pero una cosa es ser analfabeto, que eso se arregla leyendo. Y otra ser imbécil, que eso es más complicado.

Saludos.

E

Nunca pensé que los políticos pasaran estrecheces.

D

Bueno, espero que las aguas vuelvan a su cauce, por el bien de todos los desarrolladores libres que hacen software libre en un mundo libre.

l

No tiene ni pies ni cabeza, los proyectos de software libre son la garantía de que las aplicaciones que se construyen gracias a ellos puedan funcionar de forma relativamente segura ya que permite que la mayor parte del código sea auditable por millares de profesionales desinteresados.

Si cargamos sobre los desarrolladores el coste de la ciberseguridad de la infraestructura tecnológica open source dejaría al software fuera del alcance de la práctica totalidad de las organizaciones que hagan uso de este.

La ciberseguridad solo se consigue asegurandose de que la sociedad tiene a su disposición los millares de herramientas que necesita para desarrollarse tecnológicamente bien mantenidas bajo un esquema totalmente transparente y esto a día de hoy solo es posible usando licencias abiertas.

Sigo diciendo lo que decía antes, sin tener ni puta idea.

Yo pediría

Ahora me tienes que pedir permiso para usar mis cosas

Si me haces responsable me das la mitad de los beneficios

eldarel

El software libre ha demostrado ser más seguro que el privativo en estas últimas décadas.
Habrá que publicarlo como obra de arte y no como programa de software.

Bastante tienen los desarrolladores y mantenedores de paquetes de software libre, para que ahora se les exija también dar soporte gratis.

Tendrían que hacer como PCIDSS, que sea el que usa la solución el que se responsabilice de la seguridad.

c

#9 Son adoradores del Ransomware.....

¡¡ Que gilipollas !!

SiCk

Es curioso, cuanto más "democráticos y libres" decimos (o nos dicen) que somos, más tenemos que pensar en hospedar todas estas cosas en sitios con otras legislaciones. Todo por plegarse más a los intereses de las grandes multicionales.

del_dan

Es más gracias al open Source, muchos de esos bugs, se resuelven.

PussyLover

Un aspecto que se suele pasar por alto en el debate sobre el OpenSource y la ciberseguridad es el hecho de que el código abierto puede ser una fuente de riesgos si no se gestiona adecuadamente. Un ejemplo reciente y dramático fue el caso de Log4shell, una vulnerabilidad crítica que afectó a millones de sistemas que usaban una librería muy popular.

El problema no radica en que los desarrolladores creen software libre por pasión o hobby, sino en que las empresas que se benefician de ese software no contribuyan a su mantenimiento o actualización. De esta forma, se crea una situación de dependencia y desequilibrio que puede favorecer la aparición de fallos de seguridad.

BuckMulligan

Este es el último año de Linux en el escritorio

D

#61 Las EULAS no te dan garantías, ni las de SL libre ni las del propietario.
Que cada palo aguante su vela. Que sea el ingeniero el que use ADA Spark o similares como el subconjunto verificado y securizado de C, no la compañía.
El día que haya un ransomware y/o un zero day sobre las propias instituciones de la UE me voy a descojonar de lo lindo.

S

#63 Que sí, que sí, menos mal estabas tu para decirlo, cierren el meneo y envien copia al parlamento europeo de tu comentario. Fin.

Wajahpantat

Vaya panda de drama queens estáis hechos lol

A ver... Lo que vaticinais no pasará nunca. Venga, ya podéis ayusear tranquilos.

r

Más gilipollas y la UE no nace...

g

"Una docena de desarrolladores de la comunidad open source" no es "La comunidad open source en pie de guerra", a ver ese bait.

Es una ley de mierda, tienes gente que con su tiempo libre y gratuitamente crea contenido gratis para que todos lo usemos, además te dan el código para que puedas mejorarlo, copiartelo o hacer lo que quieras con el (con ciertas restricciones obviamente), y la mayoría del software existente se apoya en algún punto en software open source.

"Vamos a exigirles un trabajo adicional que no pueden hacer o les metemos multas millonarias". Fantástica manera de morder la mano que te da de comer, así lo único que consigues es que la gente abandone los proyectos ante el temor de represalias.

e

#33 Es que no es "Una docena de desarrolladores de la comunidad open source", sino "Una docena de asociaciones dedicadas al open source". En este caso, no es que el titular sea grandilocuente, sino que el texto se queda corto.

S

Desconozco los detalles, sé que no es la primera vez que este tema sale, pero tampoco me parece tan absurdo que alguien que distribuya un código abierto tenga que ser en alguna medida responsable por eso.

Es como que alguien reparta comida gratis a gente sin recursos, y entonces por eso no tenga que tener ningún tipo de responsabilidad sobre normas sanitarias, intoxicaciones.

D

#55 Menuda gilipollez has soltado.

S

#57 Ah, vale...

D

Otro desastre de ley de la UE.

enriquefriki

No tienen ni idea. Francamente...en esta materia legislan sin escuchar.

A

Pues claro que no hay problema serio alguno con la ciberseguridad, lo que pasa es que necesitan una excusa para meterle mano al internet.