Barrapunto

Y creo que ciertos movimientos también haran "actos de protesta" de los que creo que todos saldremos perjudicados por culpa de este mal hacer de cisco a reconocer errores y corregirlos.

Si que se toman en serio eso de "seguridad a través de la oscuridad".

Cuando los descubren, apedrean los focos

Lo jodido de este tema (y de que no se quiera desvelar más información) es que lo clientes de Cisco que utilizamos sus routers no sabemos si estamos afectados o no.

Al menos yo no he encontrado información sobre si afecta a todas sus IOS o tan sólo a las de las máquinas más potentes.

Y lo cierto es que no me apetece cambiar la IOS de los routers, primero pq son bastante caras y segundo pq es un coñazo... y en algunos modelos has de reprogramar toda la configuración. Además, es posible que algunos modelos antiguos tengan que actualizar el HW, ya que muchas de las nuevas IOS necesitan más memoria, etc.

Al respecto del este tipo de incidentes, cualquier usuario de Cisco sabe que todos sus equipos incorporan puertas traseras (for password recovery). De hecho, estan pubicadas en su web. Y en principio estas sólo pueden ser utilizadas si estas físicamente al lado del equipo.

Esto puede llevar a una conclusión un poco alarmista, que no creo que sea cierta ya que si hasta ahora ningun experto lo ha insinuado y seguramente existen motivos para desmentirlo. Pero lo cierto es que el hecho de que el bug descubierto por Lynn no haya sido resuelto en 3 meses da que pensar:
Es raro que una empresa como Cisco tarde tanto en arreglar el bug y encima quiera ocultar su existencia. Más bien suena a una puerta trasera como en su día se comento que tenía el kernel NT del Windows, etc. ¿No creeis?

Al más puro estilo película de Hollywood!!

A veces me maravillo del comportamiento humano. En lugar de contratar a Lynn para trabajar sobre el problema (realmente quién mejor que él? y creo que cisco puede permitirselo) realizan una maniobra con tintes nazis de destruir el conocimiento pensando que así desaparece... solo que hoy en día esto ya no es aplicable (o al menos necesitas algo más que una buena hoguera para hacerlo).

También es fascinante comprobar como ciertas premisas básicas que en teoría son de sentido común para la mayoría de entendidos en seguridad (creo que al menos debe haber *uno* en cisco) informática son aqui completamente ignoradas...¿creen que van a mantener la seguridad a traves del secretismo? y más ahora que hay copias del documento rulando por ahí...), en fin, que estas cosas pasan en empresas como Cisco y uno lo flipa.

En fin, increible el comportamiento de cisco... parece un mal endémico de las grandes compañías de hw/sw, "dando ejemplo"... ;)

¿Y quién te asegura que aparte de Lynn no hay más gente que sabe explotar la vulnerabilidad y que pueden usarla en su beneficio o venderla a terceros? El hecho de que no sea pública no garantiza que no se vaya a explotar y en cualquier caso es mejor publicarla por varias razones: para que los clientes sepan a qué atenerse con sus equipos, y para intentar presionar a la empresa para que ponga remedio.

Si, puede que sea costoso, pero siguiendo el paralelismo con el mundo de la automoción, como ya han comentado, si existe un fallo en un coche que pueda provocar accidentes, el hecho de que sea costoso para la empresa solucionarlo no la exhime de hacerlo.