¿Quién cambia la cerradura? | Columna de Gonzalo Hernández Araujo

Sistema Operativo

Imagina que en millones de edificios se descubre la misma cerradura defectuosa y que, de un día para otro, todo mundo sabe cómo abrirla. El fabricante ya mandó la cerradura nueva. Pero cada edificio tiene que instalarla por su cuenta, y muchos todavía no lo hacen. Con esa imagen explicó Matt Shumer lo que pasó esta semana en internet, y es la más clara que he leído.

La cerradura se llama PHP. Es el lenguaje que corre en el servidor detrás de buena parte de los sitios web, incluidos los hechos con WordPress. El 21 de octubre, el proyecto publicó correcciones para dos fallas críticas que podían permitir a un atacante ejecutar código en un servidor sin necesidad de contraseña. Según Matthew Prince, director de Cloudflare, los intentos de aprovecharlas pasaron de miles a millones en cuestión de horas.

De la metáfora, lo que más me interesa no es la cerradura. Es quién la instala.

1. Por qué esta vez es distinto

Durante años, encontrar fallas así requería gente muy especializada, y había poca. Esa escasez era, en buena medida, nuestra protección. Ya no lo es: las herramientas de inteligencia artificial ayudan a encontrar huecos y a probarlos a una velocidad que antes no existía.

Entre el aviso y el primer intento de ataque ya no cabe una semana. A veces caben horas. Esperar a que «alguien lo vea» dejó de ser un plan.

2. Si solo usas internet

Si eres usuario, la falla no vive en tu teléfono ni en tu navegador. Vive en los servidores de los sitios que visitas, y no puedes parcharla tú. Lo que sí puedes es cerrar las puertas que dependen de ti, porque cuando un sitio se compromete lo que sigue suele ser lo de siempre: datos filtrados y llamadas o mensajes que suenan demasiado reales.

• Actualiza tu teléfono, tu computadora y tu navegador desde su propia configuración, nunca desde un aviso que te aparezca en una página.
• Estas semanas, piénsalo dos veces antes de poner tu tarjeta en una tienda en línea que no conoces.
• Si alguien te llama o te escribe para pedirte un código que te acaba de llegar por mensaje, es una estafa. Siempre. Cuelga y marca tú al número que viene en tu tarjeta.

3. Si tienes un negocio con sitio web, tú eres la puerta pequeña

Shumer recomienda alejarse de los sitios pequeños mientras pasa la tormenta, porque son los que menos probabilidades tienen de haberse actualizado y desde afuera no se nota. Para el usuario es un buen consejo. Para el dueño de un negocio es otra cosa: el sitio pequeño es el suyo.

En México, más de 126 mil sitios activos usan PHP, según estimaciones de BuiltWith. En la columna de Ignacio Gómez Villaseñor en Milenio, un conteo con Shodan encontró al menos 8,600 servidores mexicanos con versiones de PHP que nunca recibirán corrección: cerca de uno de cada cinco detectados en el país, y es un mínimo. Ni el gobierno se salva: un sistema de la SEP todavía corre una versión de 2004. Y, como advierte ahí un especialista, que no haya alertas no descarta que alguien ya haya entrado.

Para darte una primera idea sin instalar nada, la empresa de seguridad Aikido publicó un verificador gratuito: escribes la dirección de tu sitio y hace una prueba ligera desde afuera. Úsalo solo en un sitio que sea tuyo o que tengas permiso de revisar, y deja sin marcar las pruebas de choque opcionales, porque pueden tumbar el sitio por un momento. Si el resultado sale limpio, no significa que estés a salvo; la propia herramienta lo advierte. Es un termómetro, no un diagnóstico.

4. El parche existía. La última palabra no era mía

El mismo 21 revisé las cuentas de hosting que administro. Antes de saber si alguna estaba expuesta, tuve que averiguar qué tenía cada una.

Una seguía en PHP 5.6, una versión tan vieja que no tiene corrección oficial. Ahí no había parche que aplicar: había que mover el sitio a otra versión y comprobar que siguiera funcionando. Otra estaba en 8.1, que el proyecto ya no mantiene; depende de que algún proveedor traslade la corrección. La mayoría estaba en 8.2. El parche ya existía, pero el servidor todavía no lo traía, y esa capa no la actualizo yo, sino el proveedor de alojamiento.

Podía revisar el mismo día. No podía decidir cuándo quedaba arreglado.

Eso es lo que deja ver la metáfora si la sigues un paso más. En un edificio hay dueño, administrador, conserje y cerrajero. En un sitio web también: quien paga, quien lo hizo, quien lo mantiene y quien renta el servidor. Muchas veces nadie acordó cuál de ellos cambia la cerradura.

5. Mitigar no es arreglar

Cloudflare activó reglas de protección unas horas antes del anuncio, incluso para cuentas gratuitas. Si tu sitio pasa por Cloudflare, tienes una capa más. Es una buena capa, pero compra tiempo: bloquea ciertos ataques, no cambia la versión vulnerable que sigue instalada. El aviso de PHP lo dice sin rodeos: las medidas temporales reducen la exposición, y solo actualizar resuelve el problema.

Con la frase «el sitio funciona» pasa algo parecido. Que cargue rápido y reciba formularios demuestra que funciona hoy. No demuestra que alguien lo esté manteniendo.

No necesitas saber programar para hacerte cargo de esta parte. Necesitas que la responsabilidad tenga nombre. Pregúntale a quien lleva tu sitio:

• ¿Qué versión de PHP tengo y quién puede actualizarla?
• ¿Quién revisa WordPress, sus extensiones y el servidor cuando sale un aviso como este?
• ¿Cómo me entero, y quién actúa si pasa un viernes en la noche?
• Lo que pago de hosting cada año, ¿incluye respaldos y un plan para cuando pasa algo así, o solo el espacio para que mi sitio exista?

En un negocio pequeño casi nadie lo pregunta al contratar, y muchas veces el mantenimiento no viene incluido. Si la respuesta es «eso lo ve el hosting», pregunta qué significa exactamente. Pagar el hosting no es lo mismo que pagarle a alguien para que cambie la cerradura.

La versión completa está en mi archivo personal: El parche no es lo difícil. Saber quién lo aplica, sí

The post ¿Quién cambia la cerradura? | Columna de Gonzalo Hernández Araujo appeared first on La Orquesta.