Lo de siempre. Imaginemos una fórmula donde A sea la complejidad de elaboración un exploit, B es la inmediatez para disponer de una solución al exploit, y C sea la capacidad del usuario de obtener un conocimiento rápido del problema y alcance del mismo. En una escala de 1 a 10, puntuemos A como 10 si es muy fácil elaborar el exploit, B como 10 si se tarda poco en disponer de una solución y C como 10 si el usuario tiene un nivel cuasi nulo en la resolución proactiva de problemas de seguridad. Los otros extremos, serían puntuados como 1.
R = A * (1/B) * C
¿Está claro no? R es el riesgo en el que se incurre, siendo 100 el riesgo máximo, y 0,1 el mínimo. Cuánto menos sepamos, cuánto más tarden en darnos soluciones y más fácil sea explotar el problema, más crudo lo tenemos. Sí, es algo simplista, pero yo creo que se entiende.
El último y repetitivo ejemplo de un R que tiende a infinito (bueno, en todo caso a 100) lo tenemos, cómo no, en una falla en Microsoft Windows. Hablamos de la aparición del gusano Zotob, noticia comentada en Hispasec en dos tandas informativas. Una realizada el 14 de agosto, y la más reciente, además del post del blog del laboratorio, realizada el 16 de semptiembre, evaluando los impactos en medios informativos víctimas del gusano.
De mientras, Microsoft nos cuenta que no hay problema, que la cosa no es tan grave como la pintan. Total, ellos son los culpables de todo este embrollo, ya que a fin de cuentas, el gusano explota una vulnerabilidad en Plug & Play. ¿Qué van a decir, si son ellos los que han causado por su grave error pérdidas millonarias en las corporaciones afectadas?
Como dije al principio, lo de siempre. Y de mientras «no pasa nada», la CNN, el New York Times, Caterpillar o el aeropuerto Internacional de San Francisco, entre otros, en llamas.