Hace 3 años | Por Mustela a genbeta.com
Publicado hace 3 años por Mustela a genbeta.com

Cambio la publicación anterior por esta cuyo artículo está un poco mejor redactado. -- "Su nombre es PrintDemon, y si tu nombre te dio la pista, sí, tiene que ver con impresoras, o más bien con el sistema de impresión. Es una vulnerabilidad que afecta el servicio de impresión en todas las versiones de Windows liberadas en los últimos 24 años."

Comentarios

D

Windows con 2 fallos de seguridad gravísimos en una semana, ni es portada.

En cambio a un software de terceros que es competencia de Microsoft le sacan un fallo de seguridad ridículo y cogido por los pelos y lo tenemos en todas las portadas.

Sospechoso

Idomeneo

Por aquí dan (en inglés) una explicación técnica detallada:

https://windows-internals.com/printdemon-cve-2020-1048/

(La estaba buscando para la otra noticia, la pongo aquí de todas formas).

sorrillo

#27 ¿Realmente era necesario ese "amago" de aparentar que tenías respuesta a lo que dije?

Supercinexin

#28 Sí sí, muy bien.

Toma va, un positivo.

M

Y como iba diciendo, si queréis mejor seguridad y privacidad, pasáos a sistemas operativos basados en software libre como, por ejemplo, GNU/Linux.

sorrillo

#1 Firefox en su día ya cometió el mismo error que estás cometiendo tú, pretendió venderse como navegador más seguro y cuando se hizo popular esa errónea estrategia saltó por los aires.

No es sano crear falsas expectativas.

M

#5 Eso depende del origen de la financiación de los artículos en si pudiera despertar intereses. Es más que evidente que la privacidad y seguridad con el software libre es mayor, siempre que se tengan los conocimientos adecuados, claro está.

mononoque

#8 ¿de dónde sacas la certeza de que el software libre es más seguro?
El software libre o no es seguro dependiendo de cómo lo desarrolles no dependiendo de si es libre o no.
Soy desarrollador y tengo claro que no se puede desarrollar la seguridad de un programa en base del desconocimiento del código por parte del atacante.

M

#13 Prefieres seguridad por ofuscación, ¿no?

o

#14 El termino correcto es seguridad por oscuridad u tu frase una falacia de manual.
La calidad y seguridad de un software, depende de muchos factores, entre los que no se encuentra el tipo de licencia que tiene.

M

#30 Cierto, confundí la una con la otra, aunque el tono de tu argumento no ha sido oportuno.

Y el tipo de licencia puede no ser relevante en cuanto a su calidad mientras respete por lo menos la transparencia en el código.

o

#32 Respuesta rápida, no pretendía ofender.

mononoque

#14
No, y parece que no has leído mi comentario al que respondes: "Soy desarrollador y tengo claro que no se puede desarrollar la seguridad de un programa en base del desconocimiento del código por parte del atacante."

s

#13 el GNU/Linux se ha hecho mastodóntico y también ya es difícil de revisar. Pero tienes el código público, con gente de todo el mundo buscando fallos. (Sí eso también permite que los busquen quien quiera conseguir como acceder) Pero los hay.. No los buscan ocultar en general sino que se avisa. Ni se espera que creen agujeros aposta (como los famosos NSAnumero del WindowsXP) Etc. Para hacer frente a este tamaño se ha dividido en infinidad de pequeñas bibliotecas por funciones concretas cada una... Eso lo hace más accesible a la revisión, también un mal sueño. Por ejemplo ayer me pidió la distribución actualizarme al Python 3.8 del 3.7 y yo asentí y bien que iba... ¿problema? el DNF que actualiza y baja automáticamente de la red etc dejó de funcionar porque utiliza python y es dependiente de la ditribución... Con lo que tuve que actualizar el DNF a mano pero no funcionaba por el montón de pequeños paquetes que llaman unos a otros hasta más de una hora metiendo a mano paquetitos hasta que lo arreglé... (de eso se dice que se ha de saber o de utilizar bien el modo superusuario, contraseñas etc)

Tiene sus ventajas e inconvenientes.

M

#31 Según qué distribución uses, puedes seguir manteniendo versiones anteriores. Pero me extraña bastante que fuercen el pase a Python 3.8 la verdad, cuando no lleva ni un año, y más sabiendo que la versión testing de Debian, por ejemplo, sigue incluyendo la 3.7... https://packages.debian.org/testing/python/python3.7

Igualmente suelo recomendar versiones de soporte extendido tipo "LTS" para evitar casos como este. Debian desde la versión 7 se puso serio y comenzó a dar soporte de 5 años para rivalizar un poco con las de ese tipo de su derivada, Ubuntu, e incluso hizo cambios a la anterior para extenderla, la 6 Squeeze.

s

#33 Bueno. Empecé con slackware (93 o 94). Me pasé a redhat, por paquetería a mandrake, a mandriva y ahora a OpenMandriva y así lo he dejado que está bien en general ... Mageia no aún me pareció más caos. Las debian y derivadas se han ido organizando cada vez mejor. El paso a Python 3.8 le dí que sí para pasar al gimp 2.10.18 puesto que el 12 y el 14 se "rompen" antes de cargar.. Parece que es algo de las X y de un paquete de pinceles

Supercinexin

#5 ¿Firefox se hizo popular y por tanto se volvió inseguro? Da más datos.

Por otro lado, si el mero hecho de ser popular te hace ser víctima de muchísimos hackeos o intentos de hackeo, GNU/Linux deben ser los SOs más seguros de la Historia.

sorrillo

#9 Aquí tienes un par de gráficas que apuntan en esa dirección, lo relevante de la gráfica inferior es la barra roja que son el número de vulnerabilidades críticas.

Fuentes:
http://digibuo.uniovi.es/dspace/bitstream/10651/38287/6/TFGCristinaGarciaGarciaRUO.pdf
https://www.webdevelopersnotes.com/firefox-usage-statistics

Supercinexin

#16 Las gráficas que me das no apuntan en esa dirección. Ni en ninguna, vamos.

Las fechas donde más vulnerabilidades se descubren no aparecen en la gráfica de arriba, la cual por cierto mide el número de "visitas" hechas desde navegadores Firefox ("visitas" ¿a quién?) lo cual no indica nada.

Pero es que de hecho las fechas donde más vulnerabilidades se descubren coinciden con el descenso de la gráfica anterior.

Así que no sé muy bien lo que pretendías demostrar, ni de qué manera.

En cuanto a la bibliografía, la tesis de final de grado de una estudiante de la Universidad de Vigo tampoco me parece un documento demasiado relevante ni fiable, sinceramente.

sorrillo

#18 Las gráficas que me das no apuntan en esa dirección.

Sí lo hace, recordemos el contexto que fue mi comentario: "Firefox en su día ya cometió el mismo error que estás cometiendo tú, pretendió venderse como navegador más seguro y cuando se hizo popular esa errónea estrategia saltó por los aires."

Las fechas donde más vulnerabilidades se descubren no aparecen en la gráfica de arriba

No es relevante, ya era popular, está fuera del alcance de mi afirmación.

la cual por cierto mide el número de "visitas" hechas desde navegadores Firefox ("visitas" ¿a quién?) lo cual no indica nada.

Las fuentes de las gráficas están citadas en mi comentario.

Pero es que de hecho las fechas donde más vulnerabilidades se descubren coinciden con el descenso de la gráfica anterior.

No es relevante, ya era popular, está fuera del alcance de mi afirmación.

Así que no sé muy bien lo que pretendías demostrar, ni de qué manera.

Las gráficas que he citado son indiciarias de que mi afirmación es correcta.

En cuanto a la bibliografía, la tesis de final de grado de una estudiante de la Universidad de Vigo tampoco me parece un documento demasiado relevante ni fiable, sinceramente.

Eres libre de aportar una fuente que consideres que desautoriza la que yo he citado.

Supercinexin

#20 Sí lo hace

No, no lo hace. Pretendías demos...

Bah.

Vale, lo hace.

Adéu.

D

#16 estás sacando las conclusiones que te apetece.

Primero que la propia gráfica contradice tu afirmación, pues cuando más vulnerabilidades se encuentran es cuando su uso ya estaba cayendo en picado.

Segundo que el número de vulnerabilidades hay que ponerlo en contexto. Podría ser simplemente que durante esos años aparecieran muchas nuevas técnicas para explotar y descubrir nuevas vulnerabilidades. Por ejemplo la cantidad de fallos de seguridad que se han ido descubriendo en SSL, o la explosión del uso de Javascript, que ha dado lugar a una tremenda cantidad de vectores de vulnerabilidad nuevos.

sorrillo

#23 Primero que la propia gráfica contradice tu afirmación, pues cuando más vulnerabilidades se encuentran es cuando su uso ya estaba cayendo en picado.

Eso no contradice mi afirmación, mi afirmación no dice nada respecto a lo que ocurra después de ser ya popular. Te recuerdo mi afirmación, la cual es avalada por los datos que aporté:

Firefox en su día ya cometió el mismo error que estás cometiendo tú, pretendió venderse como navegador más seguro y cuando se hizo popular esa errónea estrategia saltó por los aires.

Podría ser simplemente que durante esos años aparecieran muchas nuevas técnicas para explotar y descubrir nuevas vulnerabilidades.

Que casualidad que con la de décadas que existe la informática justo Firefox tuviera esa mala suerte. Que oportuno. Esa hipótesis no la avalas con ningún dato.

Por ejemplo la cantidad de fallos de seguridad que se han ido descubriendo en SSL, o la explosión del uso de Javascript, que ha dado lugar a una cantidad tremenda de vulnerabilidades nuevas.

Si le ocurre al Internet Explorer es por que el IE es una mierda llena de agujeros de seguridad, si le ocurre a Firefox es por que java, por que Flash, por que SSL, por que XXXX, por que YYYY ...

En vez de reconocer que fue un error promover a Firefox con el argumento de la seguridad.

D

#24 La informática existe desde hace años, pero está en continua evolución, y aparecen más vulnerabilidades cuanto más complejos se vuelven los sistemas.

Aquí tienes los datos que confirman que cada año se descubren más vulnerabilidades:
https://www.cvedetails.com/browse-by-date.php

Por tanto tu deducción de que el número de vulnerabilidades encontradas en Firefox es consecuencia de los argumentos que usaran para promocionarlo es especiosa.

sorrillo

#25 La misma fuente que ya aporté desmonta tu hipótesis, no existe esa correlación temporal de vulnerabilidades críticas en los tres navegadores comparados:

D

#9 Los problemas de seguridad son proporcionales a la cantidad de gente que utiliza un software.

Ni más ni menos.

Supercinexin

#17 Lo cual nos lleva a la segunda parte de mi comentario al que respondes:

Por otro lado, si el mero hecho de ser popular te hace ser víctima de muchísimos hackeos o intentos de hackeo, GNU/Linux deben ser los SOs más seguros de la Historia.

D

#5 GNU/Linux es un sistema muy seguro, lo que pasa es que la seguridad está reñida con la facilidad de uso. Ahora aparecieron distribuciones como Ubuntu, hecha por humanos para seres humanos, donde lo configuran por defecto para facilitar al máximo el uso del sistema a través de interfaces gráficas, hacer todo a golpe de ratón.

Generalmente un usuario de GNU/Linux tiene unos conocimientos básicos informáticos superiores a un usuario típico de Windows. Un auténtico usuario de GNU/Linux, no un windosero que usa "linux", no instala todo el software que se cruza por delante sin conocer siquiera su procedencia y dándole al botón siguiente, siguiente, aceptar, usa solamente software autentificado que viene en su distribución y ese software es muy seguro y además tienes disponible el código fuente y tú mismo lo puedes analizar y modificar a tu gusto, no hay malware.

Una infección a modo de Windows donde se infectan millones de máquinas de forma automática no es posible en GNU/Linux. Las cosas raras que pasan en GNU/Linux es porque el propio administrador las instala y porque configura cosas sin tener puta idea de lo que está haciendo, pero eso no compromete la seguridad de todas las máquinas, sino de esa máquina en particular.

Yo puedo usar GNU/Linux en modo root e instalar toda la mierda que encuentre, configurar las cosas para que se llenen de agujeros de seguridad, porque GNU/Linux te da la libertad de hacer lo que te salga de la polla. GNU/Linux es millones de veces más potente de lo que 80% de los usuarios piensa, hay miles de pequeñas herramientas y cada una hace un trabajo especializado perfecto y además puedes combinar muchas herramientas para hacer una herramienta a tu medida y hacer un trabajo especializado que necesites hacer, pero para eso se necesitan conocimientos, leer muchos tutoriales, howto's, manuales, etc.
Con GNU/Linux tú eres el usuario de tu máquina, no eres el esclavo de esa máquina.

Mucha gente que usa Windows dice que los programas son mejores porque puedes hacer cosas que no puedes en GNU/Linux... no puedes porque tú no sabes. El límite de lo que puedes hacer con GNU/Linux es el conocimiento que tú tengas del sistema.

Muchísima gente que se ha pasado toda la vida engañada con Windows, instala GNU/Linux ubuntero y al cabo de unas horas lo abandona porque se encuentran perdidos, imagina cómo sería cuando tú mismo tenías que compilar el kernel.

Yo el único Windows que usé una vez para ver como funcionaba fue el Windows 95, el traje de payaso de MS-Dos, desde entonces he estado siempre usando Unix y luego GNU/Linux Debian.

Tenía un PC de hace más de 20 años que monté yo mismo y ya no traga algunas nuevas versiones de software, es lento para algunas tareas, está incluso medio oxidado y podrido, así que ahora estoy usando un PC más moderno, un HP de mierda que venía con Windows 10 instalado. Dejé el Windows en una partición para ver como está ahora la cosa y en líneas generales sigue siendo la misma payasada, pero tal vez me puede ser útil para comprobar un hardware que no funcione en GNU/Linux, para descartar problemas físicos del hardware... pues va el puto Windows, se actualiza y se queda sin funcionar. No sé lo que hice y volvió a funcionar de nuevo, pero como no anoté los pasos ya ni me acuerdo.

Existiendo GNU/Linux yo no uso Windows ni por asomo.

GNU/Linux es un sistema muy amigable, solo hay un inconvenientes, es GNU/Linux quien elige a sus amigos y no al contrario.

Editado. Pues eso, un usuario instala GNU/Linux y lo usa sin tener puta idea de los conocimientos básicos de seguridad, usa GNU/Linux como si fuera una versión de Windows cualquiera... y luego dice que GNU/Linux no es seguro, que le entró un bicho. El mismo usuario borra el disco duro y luego dice que perdió los datos, etc. Quien pierde un dato es que se merece que lo pierda.

sorrillo

#19 lo que pasa es que la seguridad está reñida con la facilidad de uso

Por ello promocionar un sistema para que se haga popular haciendo gala de su seguridad es un error.

Si no se facilita su uso la popularidad no va a llegar, si se facilita llegan riesgos de seguridad.

A todo ello otro factor muy importante que no abordas es el de la atención que se le presta por parte de quienes quieren atacar sistemas, a mayor popularidad más suculenta la recompensa de atacarlo de forma satisfactoria y por ello más incentivos para hacerlo.

Pues eso, un usuario instala GNU/Linux y lo usa sin tener puta idea de los conocimientos básicos de seguridad, usa GNU/Linux como si fuera una versión de Windows cualquiera... y luego dice que GNU/LInux no es seguro, que le entró un bicho.

Con eso defiendes que no es que Windows sea más inseguro si no que en Windows hay el grupo de usuarios con menos conocimientos básicos de seguridad.

Si promocionas un sistema usando como reclamo su seguridad aspirando a que esos usuarios cambien a ese otro sistema te traes consigo lo que consideras parte del problema de seguridad, usuarios que lo usan sin tener puta idea de los conocimientos básicos de seguridad.

Lo cual es una estrategia errónea, tal como ya se demostró con Firefox.

ramsey9000

Si se refieren al usuario final no diría que desde 1996 sino desde muuucho antes

M

#12 Vista, no fue muy leída aunque gracias de todos modos.

C

Bueno, al final un parche irrelevante para la mayoría de usuarios domésticos.

M

#2 No tan irrelevante si te sientes obligado a mantener soporte extendido de un Windows "antiguo", además de desconocer cómo está formado el resto del sistema operativo (por no decir todo en su conjunto) como para poder seguir confiando en él. Esto forma parte de la obsolescencia programada entre otras circunstancias por las que las personas deberían repensarse el uso de software privativo.

gonas

#4 Todo un drama.

t

#4 Hay parche para Windows 7 y Server 2008 que tienen más de 10 años.

C

#4 De hecho lo digo en el sentido que le representa descargarse un parche con los inconvenientes que ello pueda representar. Y para un error que no le afecta (y que no debería estar ahí).

Por otra parte, no creo que tenga nada que ver con la obsolescencia programada. Las versiones de Linux también van cambiando y necesitas actualizarlas. Los parches de seguridad no son un "problema" solo de Windows.