Vulnerabilidades de pago, una moda peligrosa

[LUK]

Un grupo de investigadores de seguridad informática han descubierto un fallo crítico en RealPlayer 11, pero no quieren ofrecer los detalles a nadie a no ser que se les pague por ello. Normalmente estas vulnerabilidades se comunican a entidades como el CERT (http://www.cert.org/), pero esta nueva iniciativa parece realmente peligrosa.

El fundador de la empresa Gleg, Evgeny Legerov, explicó que había una vulnerabilidad del tipo Zero-Day en la última versión del reproductor de RealNetworks. Y resulta que están vendiendo el exploit de dicha vulnerabilidad a clientes comerciales que pagan nada menos que 10.000 dólares para coneguir los detalles de este fallo, además de actualizaciones de seguridad sobre estos temas. El fallo de seguridad permite ejecutar código de forma remota en el ordenador atacado.

Lo más preocupante es que este grupo no quiere ofrecer los detalles a Real, ni tampoco a organizaciones de seguridad como el CERT, que se encargan de tratar de avisar a los usuarios y de trabajar para ofrecer parches de seguridad. ¿Estamos ante el comienzo de una nueva era en seguridad informática? ¿Tendrán las empresas que pagar fortunas cuando alguien descubre vulnerabilidades en sus aplicaciones?

Enlaces:
http://www.daniweb.com/blogs/entry2060.html

[gondar_f]

Yo lo veo como una consecuencia normal, durante el 2006 y 2007 se persiguio a gente que publicaba vulneravilidades o se les trataba de ... un ejemplo de empresa que hizo esto fue MS, pero no fue la única, incluso sectores del software libre atacaron a los que descubrian vulneravilidades al más puro estilo MS, un ejemplo de ello fue la fundación Mozilla...

Y por otro lado, tarde o temprano los que se dedican a eso era normal que acaben queriendo ganar dinero con ello, por lo menos cuando se traba de bugs de seguridad en aplicaciones que dan mucho dinero...

Tengo que decir que yo no comparto lo que hacen estos tios, pero como ya he dicho, no me estraña, y dentro de poco habra cientos de individuos que se dediquen a esta tarea y saquen dinero de forma considerable, algo que por otro lado ya se está haciendo, un buen ejemplo son las casas antivirus...

Un Saludo