Windows Vista es tan inseguro como sus predecesores

En la última conferencia de hackers en Las Vegas (Black Hat), mientras todos los reflectores se enfocaban en Dan Kaminsky y su desubrimiento de una falla en los servidores DNS de cacheo, que de acuerdo a los medios pudo haber significado el fin de Internet (sobre ese tema posteare luego). Nadie ha prestado atención a un descubrimiento que ha hecho que la inversión de miles de millones de dólares por parte de Microsoft para mejorar la seguridad de Windows Vista y Windows 2008 a los largo de todo éstos años sea simplemente inútil.

De acuerdo a una nota publicada por SearchSecurity, los investigadores Mark Dowd de IBM Internet Security Systems (ISS) y Alexander Sotirov de VMware Inc., han descubierto una forma de saltar las dos mayores protecciones hardware/software que Microsoft ha incluído en Windows Vista y 2008, la ASLR (Address Space Layout Randomization) y la DEP (Data Execution Prevention), sin ese tipo de protecciones Vista es tan vulnerable a ataques externos como sus predecesores.

Aquellos que deseen leer el documento presentado por los dos investigadores pueden descargar el PDF desde aquí.

Lo importante del descubrimiento de Dowd y Sotirov es que no se basa sobre una vulnerabilidad, sino sobre la forma como Windows Vista trata los objetos .NET o ActiveX, osea aprovecha un fallo de diseño por parte de Microsoft, de esa forma cualquier vulnerabilidad que se descubra, podría usar esta técnica para subir troyanos a Vista a través del browser. Usando la técnica propuesta por los investigadores un atacante remoto podría descargar en la máquina afectada cualquier tipo de archivo, en cualquier localización y asignarle cualquier privilegio, con lo que Vista no presenta ninguna ventaja real con respecto a seguridad frente a Windows XP, y aún conserva todos los extras que le ha puesto Microsoft que lo vuelven terriblemente lento.

Muchas de las incompatibilidades y problemas que presenta Vista son el resultado de la "elevación" del nivel de seguridad a través de ASLR y DEP, la primera es una técnica de software que asigna aleatoriamente la memoria a los programas, librerias y espacios de datos, de esa forma es muy difícil para un atacante corromper la memoria y ejecutar código arbitrario en Windows Vista, al menos eso era en teoría hasta ahora. La segunda DEP, era un protección a  nivel de hardware que impedía que porciones declaradas como memoria de datos, sean usada para redireccionar el puntero de ejecución y de esa forma coneguir que se ejecute código que fue cargado originarlmente como datos, éste tipo de ataque es muy usuada cuando se inyecta código dentro de una imagen o video, en teoría DEP, protegía a Vista de éste tipo de ataques, lamentablemente ya no más con el descubrimiento de Dowd y Sotirov.

Me pregunto por qué los medios no cubren con igual extensión ésta tremenda falla en el diseño de la seguridad de Vista y Windows 2008, y deben ser los pequeños blogs y entusias quienes alerten sobre el problema a la comunidad. Por el contrario la falla que encontro Kaminsky ha estado en todos los medios masivos. Supongo que ese es otro de los misterios de éstos tiempos modernos.

¿Sera Midori el siguiente Windows?

De tiempo en tiempo aparecen artículos sobre el hecho de que la situación de Windows es insostenible, todos los expertos opinan lo mismo, que mantener el actual modelo de mejoras progresivas en el kernel de Windows es inviable, y aunque Microsoft intentó hacer algunas mejoras sustanciales en el kernel de Windows Vista, lo cuál puede explicar las incompatibilidades de algunos drivers y programas, lo cierto es que Microsoft no puede hacer lo mismo que hizo Apple con su OS X (un total rediseño incompatible con el anterior sistema operativo OS 9), pues la base de usuarios que tiene podría no seguirlo. Es más una de las razones del éxito de Windows sobre OS/2 fue que el sistema operativo de Microsoft permaneció 100% compatible a nivel de binarios con las aplicaciones DOS, algo que luego subsanaría IBM, pero demasiado tarde.

Aunque en el largo plazo las tecnologías de virtualización como Xen, KVM, VMWare y el precio más accesible de hardware potente haran que podamos correr Windows como un OS en un entorno virtualizado, por el momento esa solución no es aplicable para el gran público así que mientras llegamos a ese punto Microsoft debe hacer algo con Windows, o enfrentar la extinsión frente a sus dos principales rivales OS X y Linux.

Sin embargo no ha sido sino hasta hace poco que una fuente confiable como es Mary Jo Foley, en su blog en ZDNet publicó un post titulado "Adiox XP. Hola Midori", en dicho artículo Foley nos comenta del nuevo sistema operativo que se esta desarrollando en Redmond de forma secreta y que se deriva de el proyecto Open Source de Micrsoft Singularity, el nombre clave de este proyecto de nuevo kernel es Midory (que significa "verde" en japones).

Otra fuente confiable que ha estado comentando sobre el futuro de Windows es Ed Bott, y en su último post en ZDNet titulado "¿Por qué Ud. estararía largo tiempo por el siguiente Windows?", comenta lo siguiente:

¿Pero Midori reemplazaría a Windows en un futuro próximo? No lo creo. Si Microsoft realmente convierte este proyecto en un producto comercial, creo que va a co-existir junto con Windows durante varios años, como mínimo. Para entender por qué, vamos a desempolvar los libros de historia de Windows.

Volviendo a 1993, cuando Microsoft lanzó Windows NT. Era técnicamente una versión 1.0, así como su kernel que era completamente nuevo, construido por un equipo dirigido por Dave Cutler, que había trabajado anteriormente en el desarrollo del VMS para DEC. (Cutler, cuenta que le dijo a Steve Ballmer, que no quería construir un "sistema operativo de juguete". Ballmer dice que él respondió: "Bueno. Ya tenemos un sistema operativo de juguete.")

El NT fue la etiqueta para Nueva Tecnología, y durante casi otra década más Microsoft construyó un sistema operativo para el consumidor (Windows 3.1/9x) y otro sistema operativo para las empresas (NT), es decir dos líneas en paralelo de sistemas operativos. No fue sino hasta la introducción de Windows XP a finales de 2001 que la antigua línea resultó muerta y la "Nueva Tecnología" se convirtió en la rama principal para todos los usuarios de Windows.

Así que si Midori se convierte en un producto posiblemente, no sera sino hasta dentro de muchos años que lo veremos en todos los escritorios, la pregunta es si ese tiempo que se toma Microsoft para actualizar su sistema operativo podrá ajustarce a los rápidos cambios en la tecnología del hardware y la rápida adopción de modelos de SaaS (Software as a Service).

Bott le da un poco de humor al asunto comentando en su blog que dada la forma como Microsoft implementa los cambios, Midori debería llamarse NNT, que serían las iniciales de Nueva Nueva Tecnología.

92% de los desarrolladores ignoran a Windows Vista

Hasta ahora, una de las claves del éxito de Windows era su popularidad entre los desarrolladore, era la plataforma con el mayor número de aplicaciones disponibles, sin embargo un reciente estudio de Evans Data, donde se da cuenta que sólo un 8% de los desarrolladores esta programando aplicaciones para Window Vista este año, según da cuenta Matt Asay en su blog "The Open Road".

Para colmo de males Windows XP, sólo pudo conseguir el 49% de los desarrolladore, de acuerdo al blog Apple 2.0, que explica en detalle y con estadísticas en la mano, que muchos desarrolladores estan abandonando Windows para comenzar a desarrollar aplicaciones para OS X y Linux.

Aunque con la retirada de Windows XP del mercado por parte de Microsoft para promover la adopción de Vista, se estima que el número de desarrolladores de Vista cresca del 8 al 24%, tres veces más, pero comparado con el 29% de los desarrolladores para el XP en el 2009, definitivamente Vista esta en una mala posición. Y es que según muchos críticos el desarrollar para Vista es mucho más complicado que el desarrollar para XP, si hacemos caso a Alex Woodie, que en un artículo publicado en ITJugler, dice:

"Desafortunadamente, las mejoras en las seguridad hacen más difícil para los desarrolladores escribir aplicaciones en Vista (léase no más llamadas a nivel de kernel, ni Control de Cuentas de Usuario de que preocuparce) y esto es causa de problemas de compatibilidad con las aplicaciones antiguas. Irónicamente la ola de ataques que tienen por objetivo las vulnerabilidades del sistema operativo ha sido largamente superadas, pero ahora los hackers han centrado sus ataques a las aplicaciones. Al  mismo tiempo, Microsoft ha mejoras a la seguridad de Windows XP, llevando su estatus a ‘suficientemente bueno’, llevandolo a tomar una porción del pastel de Vista".

Yo no uso, ni desarrollo aplicaciones para Windows desde hace al menos un par de años, así que no sabría decir que tan complicado es desarrollar para Vista, pero al parecer por lo duro que le esta costando a Microsoft imponer esta nueva plataforma a sus usuarios, al parecer la cosa no es tan sencilla.

Como yo sugerí en un post anterior, Matt Asay también sugiere que Microsoft probablemente vuelva al kernel XP, y que Windows 7 no sera más que un retorno al XP.

Windows XP SP3 liberado hoy para fabricantes de computadoras

En un artículo muy breve aparecido a media mañana de hoy (21 de abril), en el blog de Adrian Kingsley-Hughes, se informa de que Microsoft liberará hoy día la versión final de su SP3 para los fabricantes de equipo, eso significa la abreviatura RTM en el articulo (Release To Manufacturing). La buena noticia para los usuarios de Windows XP, es que la versión para el público en general estará disponible el martes de la otra semana (29 de abril).

Entre las nuevas mejoras del SP3 estan una mejor detección de los agujeros negros de la red (lugares donde entran los paquetes IP y nunca salen), una mejora en la seguridad de la red equivalente a la existente en Windows Vista y Windows 2008, mejoras en el panel de control referente a los temas de seguridad en la red, y ahora será posible instalar el SP3 sin verificación de la clave del OS, osea hasta las copias piratas lo podran hacer sin problemas.

Es importante resaltar que dependiendo de la forma como se instale el SP3, este puede venir en dos tamaños 70MB (a través del Windows Update) o 580MB si intentamos una descarga completa desde Microsoft Download Center.

Es importante destacar que IE7 no es parte del SP3, así que aquellas personas que desean seguir con IE6 (aunque no lo crean, IE6 con todos sus problemas tiene sus fanáticos), pueden hacer el upgrade y tener más seguro su sistema manteniendo su viejo y amado navegador. Para aquellos muy desconfiados también Microsoft ha habilitado la opción de revertir todos los cambios realizados por el SP3.

Supongo que en pocas horas alguien pondra algunas de estas copias RTM en ciruculación por los torrents, pero ojo, muchas veces éste tipo de paquetes son en realidad caballos de troya, que sirven para infectar los PC’s de los hackers aficionados. Mejor esperar hasta el martes de la otra semana, o hablar con algún buen amigo que tenga acceso a éstas copias entregadas a fabricantes de PC’s.

Windows está colapsando

Ese es el título con el que ha aparecido el día de hoy un artículo en ComputerWorld, que cubre la presentación hecha por dos analistas de Gartner Group, Michael Silver y Neil MacDonald, en su ponencia titulada "Windows está colapsando: Cómo y qué vendra en la siguiente mejora", realizada en Las Vegas.

En el artículo se señala claramente el hecho de que Windows necesita hacer cambios radicales que lo vuelvan más competitivo o se enfrentara al hecho de "haber sido". Silver y MacDonald son claros al señalar que 20 años de código heredado son el peso más grande al que se enfrenta Microsoft, y cómo el hecho de querer hacer una mejora resulta prácticamente imposible de realizar dado el tamaño del sistema operativo. Se cita como ejemplo el hecho de que luego de 5 años de desarrollo para Vista, sencillamente se decidió rehacer todo desde la última versión de kernel estable del Windows 2003. Y aún así Vista ha resultado ser muy pesado para las máquinas antiguas.

Otro hecho señalado por los analistas es que Windows no puede correr fuera de la plataforma PC, y se hace énfasis en que el futuro está en los dispositivos móviles como el iPhone, donde Windows no domina el mercado y su producto Windows Mobile intenta hacer todo, pero sin mucho éxito.

Silver y MacDonald, son claros al señalar que el fracaso en la adopción de Windows Vista por las empresas, se debe a que Microsoft no ha sabido comunicar las mejoras introducidas en Vista, o que sencillamente Vista no tiene mejoras significativas para las empresas, que andan buscando sistemas operativos ligeros, que permitan correr aplicaciones basadas en web, sobre PC baratas. Un dato importante señalado por los analistas es que básicamente el crecimiento de Windows Vista en las empresas se ha dado reemplazando a Windows 2000, Windows XP no ha visto caer su cuota de mercado significativamente. Para sustentar ello indican que de acuerdo a una encuesta llevada a cabo en 50,000 empresas en USA, a finales del 2007, preparada por Forrester Research Inc., apenas el 6.3% de las computadoras usaban Windows Vista.

Los dos especialistas proponen a Microsoft el reemplazo total de Windows, por una plataforma virtualizada, que permita correr las viejas apliaciones del API Win32, pero que añada las nuevas características que los sistemas operativos más avanzados de la actualidad. En realidad Windows debería de convertirse en una especie de hypervisor ligero, que supervise las otras instancias del OS.

Bueno las sugerencias están dadas, pero no creo que la gente de Redmond le presten mucha atención a lo que dicen los analistas, ellos confían más que en sus ingenieros en sus marketeros, total en Windows un error, no es un error, es tan sólo una característica no documentada del sistema .