Barrapunto

"Pero la realidad nos dice que la inmunidad total no existe. Igual que en esta ocasión se ha introducido código malicioso de manera accidental en un complemento de uso minoritario y ha pasado desapercibido durante meses, mañana algún desarrollador descontento de la Fundación Mozilla podría meter código malicioso de manera intencionada en el corazón del navegador, y no descubrirse hasta haber provocado cuantiosos daños".

Eso es muy difícil que pase, porque para que un código se integre en "el corazón", tiene que tener la "review" y la "superreview", es decir, que al menos es revisado por un desarrolador, que a su vez ha llegado a esa función porque conoce bien el componente donde será integrado el código y lleva tiempo trabajando con él.

Con las extensiones es otro mundo, y en Mozilla lleva ya mucho tiempo buscando fórmulas para revisar el código de las extensiones, pero no hay suficientes desarrolladores, además de que esto no es tan atractivo como otras labores.

Sí existe. Haz tú el programa. Es como si dices que la realidad te dice que salir a la calle sin que alguna vez te pase algo malo es imposible. Pues no salgas a la calle. La publicidad y el marketing son eso precisamente, publicidad y marketing, y quien los confunde, se merece lo que se ha buscado. Si le vendes el software libre a la gente diciendo que no tiene ningún fallo (intencionado o no), entonces es que esa gente son de los que se creen que el software privativo caro tampoco los tiene. Un mundo feliz.

Sí, puede ocurrir, pero con muy baja probabilidad porque desde mi experiencia, el desarrollo de software libre es una actividad costosa y muy poca gente se pone a desarrollar si no quiere realmente un buen resultado. Compáralo con la probabilidad de encontrar una empresa que, descontenta con sus beneficios, meta algún código malicioso intencionadamente en su producto de software para obtener unos ingresos extra. Paralelamente, nada impide que un desarrollador de software libre introduzca un código malicioso para beneficio propio, pero como tú has dicho, tampoco hay nada que impida que otras personas lo vean y se corrija antes de que produzca males mayores, a diferencia de lo que ocurre con el software cerrado.

Si no lo sabes a priori, utiliza la estadística y la probabilidad: ¿cuál es más probable que tenga "regalito"? Creo que es evidente, aunque no podría aventurar ningún porcentaje, pero estoy seguro de que esa es una razón "científica" para confiar más en el software libre. Confiar en el software privativo sin saber nada sería más una razón "astrológica" o "religiosa".

La culpa es de Windows, porque los virus los sufre él. ¿O no era así?
Este tipo de noticias son muy preocupantes y dan una imagen pésima al software libre. Decir que el complemento es minoritario y "el antivirus no lo detectó" es echar balones fuera de una forma infantil.

leo en hispasec [hispasec.com] que lo que hace Xorer es insertar javascript en los html. por lo que aquellos que no usen windows estan libres de que su sistema intente redistribuir el virus, pero tristemente los efectos del codigo insertado afectan a todos los sitemas que usen ese complemento de firefox, windows o no :(

Mozilla no distribuyo ningún troyano.

Lo que ocurrió es que el autor del language-pack estaba infectado por ese troyano. El bicho en cuestión, entre otras cosas, busca todos los archivos HTML del disco duro y les añade un trozo de javascript que enseña anuncios.

Como las paginas de ayuda que forman parte del language-pack son HTML, el Xorer las modifico. Y luego fueron empaquetadas y distribuidas.

Efectos prácticos: Las paginas de ayuda de firefox en Vietnamita tienen publicidad. Pero el Xorer no se transmitió.

Enlaces:

http://blog.mozilla.com/ftr/2008/05/08/vietnamese- language-pack-faq/ [mozilla.com]

http://www.pcworld.com/businesscenter/article/1456 17/mozilla_firefox_plugin_shipped_with_malicious_c ode.html [pcworld.com]