Barrapunto

Virtualmente? Vamos a hacer un par de cuentas.
Supongamos dos lanzamientos anuales, a dos bugs en diez años, sale a dos bugs en cada veinte lanzamientos. Hay un diez por ciento de probabilidades de que haya uno de esos bugs en una versión lanzada como estable, no?
Pongamos (porque el dos es una estimación), que son cuatro lanzamientos anuales. Sale a un cinco por ciento de de probabilidades de que te toque una de estas vulnerabilidades.
No es que esté mal, por supuesto que no. Pero es que ni es virtualmente, ni es el 100%. Es un porcentaje muy bueno, pero que no es el 100% ni es virtualmente nada. Punto.
Sobre el segundo tema. Evidentemente, tener activados servicios que no se usan, es estúpido y una mala práctica. Desde el punto de vista de la seguridad, desde el punto de vista del rendimiento, desde el punto de vista de la comodidad y desde el punto de vista del sentido común. Obvio. Nadie dice lo contrario. Lo que decimos algunos es que decir que no hay vulnerabilidades en un sistema sin servicios es algo tan obvio que cuando se da como muestra de seguridad lo consideramos una tomadura de pelo. Nadie duda de que OpenBSD es más seguro que el resto de sistemas, pero las razones van mucho más allá que la ausencia de problemas en la ausencia de servicios (algo que consigo yo cada vez que apago mi PC), que no es más que el más anecdótico reflejo de la preocupación existente por la seguridad.