En el país de los ciegos, al principio al tuerto le hacen rey, pero al final casi le arrancan los ojos. Ese podría ser un buen resumen de la situación actual de la seguridad en los navegadores si la medimos en número de bugs detectados. Después de lo que comentó mi compañero Guillermo Julián basado en el estudio encargado por Microsoft, es hora de romper una lanza a favor de Firefox y rellenar los huecos que dejó ese informe con algunas indicaciones que no aparecen en el mismo.
Para el que no quiera leer el ladrillo que sigue (bonita forma de incentivar que le deis al Leer Más), lo resumiré en una línea: Firefox es uno de los navegadores más seguros en la actualidad. En el Sistema Métrico Campofutbolero, diría que Firefox está en la Champions League de la seguridad si no hubiera más equipos participantes que navegadores. Ahora, si quieres matices y otros rollos para nenazas, le das al Leer Más, de lo contrario no cierres la pestaña que tienes más entradas por ahi abajo.
Más ojos, más mejor
Empezaremos por lo evidente: el modelo de desarrollo de software libre obtiene una mayor tasa de descubrimiento de fallos, sobre todo si la aplicación es popular entre los desarrolladores. No hay tiempo ni ganas de pelearse con nadie explicando por qué (leed La catedral y el bazar), solo diré que la seguridad por oscuridad no es la mejor de las compañeras de viaje. No estoy diciendo que el código de Firefox sea menos (o más) propenso a fallos, solo que, a igualdad de popularidad, a igualdad de fallos, en una aplicación libre se descubren los fallos mucho más rápida y exhaustivamente que en una de código cerrado. El problema no es tener fallos de seguridad sino no encontrarlos… y que los encuentren otros antes.
Firefox y en parte los navegadores basados en Webkit (Chrome más que Safari, que tiene buena parte del código no libre), tienen esta ventaja sobre los navegadores no libres, en concreto Internet Explorer. Encima, encontrar bugs serios es algo que se promociona activamente recompensando con dinero real desde hace años, algo que también ha copiado Google hace un par de meses.
Así que, de entrada, contar el número de bugs encontrados no es algo especialmente significativo por sí solo, de hecho puede ser signo hasta de lo contrario. En este caso, obviando algunos temas que comentaré luego y teniendo en cuenta algunos atenuantes que comentaré ahora, resulta más en un punto para Firefox que para Internet Explorer. Un código al descubierto frente a un buen número de ojos es más robusto.
Comunidad más activa
Uno de los puntos por los que Firefox se puede considerar más seguro que otros es porque los mayores expertos en seguridad y los mejores desarrolladores del mundo pueden y han participado activamente en la búsqueda de fallos. Como decía antes hay muchos ojos y cuándo se descubre un fallo lo más probable es que lo vea más de una persona y además lo reporte directamente a Mozilla. Aunque deberían tener cuidado porque en la actualidad la comunidad de desarrolladores se está interesando más en Chrome (y otros derivados de Webkit) porque les permite jugar con cosas nuevas antes que en Firefox.
Si miramos la comunidad de desarrolladores para Internet Explorer... ¿qué creéis que es lo más probable, que reporten el fallo de seguridad a Microsoft o que vayan al mercado negro a vender un Zero Day Exploit? Lo más gracioso del informe de Microsoft es que reconoce que IE ha sido el único con vulnerabilidades extremadamente críticas, pero que no solo eran fallos de seguridad graves, sino que solo el último año hasta en siete ocasiones (conocidas) diversos maleantes se valieron de las mismas para atacar a usuarios con éxito.
Es decir, que según Microsoft no uses Firefox que es poco seguro, mejor usa IE aunque sea es el único que ha sido explotado exitosamente. Que oye, al final los días que tarda Microsoft en actualizar su navegador no son tantos. Y que si alguien ha atacado IE es porque lo usa mucha gente… ¡y si lo usa tanta gente es porque es muy bueno! Si no fuera tan bueno, perdería cuota de mercado. Poco a poco. Pero imparablemente. Ouch.
Actualizaciones constantes
¿Qué prefieres un navegador con 10 vulnerabilidades recién parcheadas o uno con 2 sin parchear? El ciclo de actualización de IE es muy lento, inaceptable para el mundo de los navegadores. Si tuvieran razón y su modelo de desarrollo fuera el indicado para producir software de calidad… ¿por qué no hay un salto de calidad entre IE y el resto? Mejor dicho, ¿por qué se ha producido un salto de calidad entre el resto de navegadores respecto a IE?
Lo cierto es que las versiones de Firefox son mucho más constantes y cercanas en el tiempo, y al meter funcionalidad nueva también introducen nuevos fallos, pero corrigen bastantes viejos. Al mismo tiempo, el usuario de Firefox actualiza su navegador con mucha más frecuencia que el de IE. No puedo terminar este punto sin mencionar a Chrome, que desde mi punto de vista tiene el modelo de actualización perfecto: transparente al usuario, sin dar la opción de no actualizar. De este modo tenemos todos los sistemas perfectamente actualizados.
¿Es este un factor clave en la seguridad? Pues sí, sobre todo si la mayoría de tus usuarios no usan la última versión, como podemos comprobar en las sucesivas gráficas. Mira cómo Firefox se queda en una especie de compromiso entre la rapidez de actualización y el poder de decisión del usuario. Traspasa este modelo a la instalación de parches y actualizaciones y te encuentras con una buena cantidad de IEs vulnerables/desactualizados frente a una nula cantidad de Chromes y una ínfima cantidad de Firefox.
A esto le tenemos que sumar que, citando el estudio de Microsoft de marras, Firefox es el único navegador que ha resuelto el 100% de las vulnerabilidades. No solo es el que más incita a descubrirlas, también es el más diligente a la hora de resolverlas, y eso es un muy buen punto a su favor.
No todo Firefox es orégano
El informe de Microsoft sorprende porque es relativamente aceptable si lo comparamos con las atrocidades que exclamaron en ocasiones pasadas. Cosas como que certificados como el de FNMT (no confundir con las tortugas ninja) no esté en el navegador de fábrica es algo que se viene sufriendo unos años (aunque la culpa sea de la FNMT); a la vez Firefox me da la sensación de que su estructura es algo menos estable que antes y que tardan más en evolucionar que la competencia (pero menos que IE).
Aún teniendo todo esto en cuenta, IE sigue pareciendo estar a un nivel por debajo en cuestión de seguridad, y que se compare con Chrome en base a X características escogidas a dedo es una broma de mal gusto teniendo en cuenta que en concursos de seguridad como Pwn2own ha destacado por encima del resto. ¿Por qué siempre estos informes contienen afirmaciones que intentan que creamos aunque no tengan base en la realidad? Porque es su trabajo.
Aclaración: En Genbeta escribimos varios editores de manera totalmente independiente, así que lo normal es que cada uno se guarde su propia opinión. A veces la compartimos, a veces diferimos y salen entradas como estas. A lo que voy es que los editores de Genbeta no es una entidad uniforme ni una institución. Ni siquiera Genbeta si nos referimos al contenido, aunque se intenta ser coherente hay casos en los que es necesario dar los dos puntos de vista (como le dijo un frutero a Al Pacino, el correcto y el equivocado).
Ver 84 comentarios
84 comentarios
Camelot
Yo recomiendo leer este artículo sobre seguridad de los navegadores escrito como consecuencia del informe de Microsoft, lo recomiendo, es un sitio que frecuento mucho por su profesionalidad.
Alguien preguntó arriba ¿a quién se le debe creer? Creo que es una pregunta válida porque en estos casos aunque es fácil reconocer las posiciones no lo es tanto decidir quién está más cerca de la elusiva verdad.
Mi primera recomendación es que los argumentos no pueden ni deben descartarse únicamente por la fuente de la cual proviene. Suponer que sólo los que lo escribieron el citado informe de seguridad están movidos por segundas intenciones es ingenuo. Lo mismo que Microsoft tiene intención de promover su navegador lo tienen otros para promover sus propios navegadores y también deben incluirse aquí a los que se oponen a todo lo que proviene de esta empresa por ideología o resentimiento. Mientras exista una razón subalterna habrá motivos para desconfiar, pero no descartar, sus conclusiones. En todo caso hay que tomar mucho cuidado para evitar ser confundidos antes que informados para formarnos una opinión objetiva.
El lector responsable deberá sopesar las razones que se exponen y decidir cuáles verdaderamente son objetivas, técnicas y fundamentadas. Para garantizar mejores resultados habrá que documentarte si realmente quiere sacarse algo en limpio. En este caso hay varios conceptos técnicos que deberán abordarse previamente.
Cuando se trata de cuestiones técnicas las opiniones no aportan mucho. De momento habrá que saltarse los "me parece que...", "eso no me lo creo...", "todo el mundo sabe...", "eso no es necesario discutirlo...".
Finalmente, hay que mirar con desconfianza a quienes abusan de las bromas, las jergas y el sarcasmo, quienes abusan de estos recursos con un lenguaje beligerante intentan compensar la debilidad de sus argumentos y razonamientos.
¿A quién creerle? Espero haber ofrecido una pequeña ayuda, porque yo también he debido resolver esta cuestión a lo largo del tiempo.
lmxcraft
Disculpa Victor no había visto tu perfil, viendo las cosas que odias (Microsoft en todos sus sabores), créeme que te entiendo mejor. ;)
runner
Sencillamente ¡¡¡¡QUE LOCURA!!!! la guerra de "comentarios" entre el autor de la noticia (victor pimentel) y los usuarios; pienso que el Sr. pimentel como redactor de este blog no puede llegar a esos niveles de contesta o sulfurarse con comentarios contrarios a su punto de vista/teoría ya que se supone que somos libre de disentir/diferir de ciertas ideas o temas y por eso se nos permite comentar para saber nuestra opinión sobre lo que se discute, pero si nuestros puntos de vista le pasan por el "forro" al autor por que no van con su creencia entonces para que diablos tenemos el derecho de comentar aquí.
xallow
Estoy completamente de acuerdo con el artículo. Lógicamente un navegador "open-source" no pude esconder sus bugs tal como posiblemente hacen las alternativas de codigo cerrado. Además, mencionaste una parte muy importante... ¿cuántos de esos bugs eran criticos? ¿y cuántos de ellos fueron realmente explotados? Además en seguridad yo incluiría privacidad. Cosa que Google Chrome no te ofrece, pues recopila datos de tus busquedas y la actividad en el navegador (preguntenle a wikipedia).
Añado otro detalle que mencioné en el post anterior. Hace poco hubo una vulnerablidad 0-day de JAVA que afecta a TODOS los navegadores e incluso bajo sistemas Linux; yo que sepa, Firefox fue el único que bloqueó el plugin y ofreció buscar actualizaciones para java. Así que, el soporte activo del zorro (o panda) de fuego también es otro punto a su favor.
http://blogs.eset-la.com/laboratorio/2010/04/15/propagan-malware-con-java/
http://blogs.eset-la.com/laboratorio/2010/04/09/vulnerabilidad-0-day-java/
roote
Yo diría que en el sistema métrico de los Tecnicoless, tú alzarías la cabeza, porque macho, te lo has currado, y te mereces que te coronen como el rey de los tuertos... no, de los tuertos no, de los ciegos directamente.
Dedícate a hablar de otra cosa que entiendas, campeón, que este año, ya has ganado la Championless
david
Ms no saco el informe de seguridad, lo saco el chema, que es de informática 64
jask
No voy a poner parrafadas, para eso ya está el tema (sin ofender) Simplemente decir que me ha gustado mucho, demasiado, el artículo. Se denota cierta neutralidad que en otros estudios no se destacan y eso me gusta :) Seguir así
lmxcraft
Déjame ver si entiendo, si leí bien el artículo, si alguien encuentra un fallo en firefox se lo comunica a Mozilla y si lo encuentra en IE lo vende el mercado negro? Cuál es el punto? Esta lo sabes o te lo imaginas?
kroeger
Mira, yo de informática tengo poquita idea. De blogs un poquito más y de redacción bastante más (soy redactor publicitario).
Me parece que algunos de por aqui se están pasando tres pueblos criticando al autor de la entrada, rozando la falta de educación en algun caso y casi tirando a lo personal.
Personalmente, me parece que el único objetivo del artículo es ofrecer una segunda opinión, analizada desde otro punto de vista. No muestra opiniones como verdades absolutas ni, para desgracia de algunos, mentiras absolutas.
No sé como algunos se rayan tanto con los artículos de un blog. Al fin y al cabo, todos vosotros seguiréis con el navegador con el que estáis y si un dia os hace una puñeta, cambiaréis a otro (como hice yo de IE a Firefox). Y con Firefox, si me pasa lo mismo, cambiaré (lo mismo a Explorer, lo mismo a Safari, que a otro).
Todas las opiniones constructivas -incluida la del autor del post- me parecen geniales. Soy el primero que si algo es rebatido con datos, chapeau para él. Pero, para los "sensibles" que recurren al insulto, siento decir que existe el mundo real, y que les convendría salir un poco más y conocerlo.
PD.: no conozco al tal Victor Pimentel. PD2: los "sensibles" que me respondan en el mismo tono que a Victor, ya les respondo yo: "me la suda" :-)
sethdev ....
#0 Ya te han dedicado un post para ti solito ;) http://elladodelmal.blogspot.com/2010/04/victor-pimentel-el-populista-de-genbeta.html
Zriel
@Victor, estoy de acuerdo con lesan. No puedes escribir que "Firefox es más seguro de lo que comenta Microsoft" cuando hay varios expertos en seguridad y varios eventos mundiales en los que no sale muy bien parado.
Porque mucho que sepas, dudo que sepas mas que algunos de los Security Porn Stars.
Y siguiendo a lo mismo, Informatica64 no es igual a Microsoft. Igual que Alfa Romeo no es igual a Ferrari. De hecho Informatica64 cuenta una herramienta para hacer ingenieria social a documentos de Office. Simplemente basa sus servicios en productos Microsoft, porque algo tendran que aprovechar de ser partners. Y todo lo que dicen, esta bien documentado, tanto de forma externa como interna. El propio Chema te esta respondiendo en su blog con cosas bien documentadas a tus preguntas.
(http://elladodelmal.blogspot.com/2010/04/victor-pimentel-el-populista-de-genbeta.html?showComment=1271964685824#c7459780953434698391)
GµNzØ
Además de las consideraciones que hace el Sr. Pimentel. me atrevo a preguntar. Cual es el navegador mas atacado? Porque de nada nos sirven los estudios que dicen que IE8 es mas seguro si después es del que mas se aprovechan las vulnerabilidades...
Saludos.
hirva
La verdad ni este articulo me parece imparcial, ni los conocimientos aportados por su parte sobre seguridad, me parecen de la suficiente profundidad para dar con esa seguridad una opinión como la del titulo de esta entrada. Antes que nadie me enseñe a andar prefiero ver lo disponible leer los distintos informes y hacerme una idea de cual es el que quiero usar. De todas formas personalmente prefiero tener un par de ellos instalados y usarlos según me plazca con plugins como NoScript.
Sin animos de ofender creo que con artículos como este lo unico que consigues es confundir mas a la comunidad de usuarios medios y molestar a los usuarios avanzados.
nismrc
Aunque el articulo es prácticamente una opinión, no deja de tener razón. Firefox a demostrado ser mas seguro al no tener bullados casos de ataques, a diferencia de IE. Como comparación veo usar Internet Explorer como vivir en un banco, tienes altas medidas de seguridad, cierto, pero constantemente corres un riesgo que todos conocen, yo prefiero vivir en una casa donde pueda cerrar bien las puertas y ventanas y donde nos cuidemos entre vecinos.
CBj
Tanto Victor como chema defendieron sus creencias con fundamentos y en un debate sano salimos ganando muchos. Ambas partes tienen razón.
Ahora de lo que no entiendo es por que el autor del otro blog, se lo tomo tan personal y critico de la misma forma que hasta dedico un post que con el titulo ya olia a insulto.
agubelu
Victor, me encanta como eres capaz de soltar todo el rollo pero de una forma que nos enteremos todos.
Graicas (:
PD: @Areks, cuando dices "Hazlo en tu blog", corrígeme si me equivoco, pero creo que este es su blog.
Salu2.
runner
"Firefox es mas seguro de lo que comenta Microsoft", con esta noticia sobre un nuevo fallo en la seguridad de firefox se nota lo tan "seguro" que es: http://bitelia.com/2010/04/troyano-zeus-ahora-ataca-usuarios-firefox
pejeno
Hasta cierto punto considero que esta clase de posts son necesarios (para callar la sarta de FUD que suelta una empresa para hacer menos a su competidor directo), pero mientras son peras o son manzanas, yo usaré el navegador que más tiempo haya resistido a ser hackeado en el Pwn2Own, o que sencillamente no lo hayan podido hackear. Ese navegador, a la fecha y por segundo año consecutivo (2009-2010), es Google Chrome .
darster
Yo este artículo lo veo como una mera opinión, la cual por supuesto que respeto, como todas. Pero si pones tu tesis directamente en el título del artículo, yo procuraría aportar más datos que la sustenten, no simples argumentos.
No estoy discutiendo la veracidad o no de la misma, que eso ya es cosa de cada lector. Simplemente opino que me aporta más credibilidad el estudio de Chema Alonso, gran conocido en temas de seguridad, que este artículo.
sethdev ....
#68 no te esfuerces, no vale la pena ;)
pante
"Más mejor" Del mundo mundial? aguante ff
einar
Aqui otro analisis pero de este articulo en especial (bastante fuerte diria yo)
http://elladodelmal.blogspot.com/search?updated-max=2010-04-23T10%3A25%3A00%2B02%3A00&max-results=2
Critycal
entonces, a quien creemos?
lesan
En el articulo veo un error grave, y es el suponer que tener una comunidad grande, le protegerá del "mal". De nada vale tener mil vigilantes en una casa si la casa es de papel. En cualquier descuido puede arder.
Firefox es el peor de todos los navegadores en cuanto a sistemas de protección, ya no solo porque Microsoft o alguien de su entorno lo diga, es que es totalmente cierto. Usa y abusa del sistema DEP y ASLR, y este se ha demostrado que no es fiable al 100%. No tiene protecciones propias ni parece que le haga falta por lo que se puede ver, y lo que esta haciendo es quedando por detrás del resto en cuanto a prestaciones de seguridad.
El día que la comunidad no sea tan grande, que no vigile tanto, entonces puede que entre en una espiral de la que no pueda salir.
zcullyx
En Mozilla tendrían que dedicarse tambien que NO LO HACEN a actualizar Firefox para procesadores de las ultimas generaciones; esto es, doble nucleo y más nucleos, 64 bits, instrucciones avanzadas (en esto último les saca las castañas del fuego el proyecto Palemoon, que es el navegador que utilizo: un Firefox con codigo redundante eliminado y adaptado para instrucciones avanzadas... en definitiva: Firefox mas veloz)
Firefox seguro ya es, ahora le hace falta salir de la edad de piedra en cuanto a aprovechamiento de los micros de hoy en día.
sputnikonline
Para completar el tema de seguridad, aquí algo sobre la seguridad de IE8 http://tinyurl.com/yffycgr
38047
- Hola, tu eres famosillo en esto de la seguridad no? - Hombre, no es por echarme flores, pero estoy bastante enterado. - Te ofrezco $ por hacer una comparativa sesgada. - Donde hay que firmar?