CAUSAS DE LAS VULNERABILIDADES DE LOS SISTEMAS INFORMATICOS

1.3 Amenazas a la seguridad del software (fallas operativas, violaciones de seguridad)
Podemos señalar distintas causas como las responsables de las vulnerabilidades que afectan a los sistemas informáticos.
Debilidad en el diseño de los protocolos utilizados en las redes.
Algunos de los protocolos utilizados para ofrecer determinados servicios en redes como Internet han sido diseñados sinprever como como reaccionar frente a situaciones anómalas o ante un mal comportamiento de una de las partes intervinientes en la comunicación, que se podría tratar de “confundir” a la otra para provocar, por ejemplo, un ataque de Denegación de Servicio (DoS).
Otro error de diseño seria intercambiar la información sensible en texto claro, sin encriptar, como en los servicios básicos de conexiónremota u otros equipos (Telnet), de transferencia de ficheros (FTP) o de correo electrónico en su versión más básica (SMTP).
De hecho, algunos protocolos de Internet no contemplaron la seguridad en su diseño inicial, al considerar sus inventores que iban a ser utilizados en redes fiables y con usuarios de confianza, como podría ser el escenario de la Internet que conectaba a universidades y centrosde investigación de Estados Unidos en los años setenta.
Así, por ejemplo, podríamos citar el caso del protocolo de gestión de red SNMP (Simple Network Management Protocol, Protocolo de Gestión de Red Sencillo), también conocido como “Segurity Not My Problem” (“La segunda no es mi problema”), desarrollado para facilitar la gestión y administración remota de los distintos dispositivos conectadosa una red de ordenadores.
En este caso, la información sobre los distintos dispositivos se almacena en una base de datos conocida como MIB, que puede ser consultada a través del protocolo SNMP. Sin embargo, en las primeras versiones de SNMP la segunda era muy débil, por no decir inexistente, ya que se basaba en el uso de claves compartidas (conocida como “community names”). El protocolo SNMP noresuelve de forma adecuada la seguridad hasta la aprobación de su versión 3 (RFC 2570), que ya contempla la encriptación de la información enviada a través de la red y la autentificación de los dispositivos.
Errores de programación
Otra de las causas de muchas vulnerabilidades de los sistemas informáticos la encontramos en los fallos en el diseño y/o en la codificación de los programas.Además en bastantes ocasiones los parches y actualizaciones de seguridad suministradas por los fabricantes no arreglan los problemas, o incluso pueden incluir nuevas vulnerabilidades (como en la actualización de Windows distribuida por Microsoft a principios de octubre de 2005) .Conviene destacar, en este sentido, que instalado versiones en idiomas distintos del inglés, ya que en ese caso los parchespueden tardar más tiempo en estar disponibles para los usuarios y administradores. Por este motivo, se recomienda en algunos casos que los sistemas operativos y aplicaciones instaladas en los servidores se hagan desde la versión en inglés.
Es necesario, por otra parte, evaluar la rapidez de respuesta de cada fabricante de software a las vulnerabilidades detectadas en sus aplicaciones. Elintervalo de tiempo transcurrido desde que se hace pública una determinada vulnerabilidad hasta que se presenta la correspondiente actualización o parche de seguridad que la corrige recibe el nombre de “días de riesgo”.
Otra causa frecuente de vulnerabilidades en las aplicaciones informáticas se debe a un comportamiento incorrecto frente a entradas no validadas, que pueden provocar situacionesindeseadas como el desbordamiento de una zona de memoria utilizada por el programa (“buffer overflow”). Así, por ejemplo, un “buffer overflow” se produce cuando un programa intenta escribir en la memoria del ordenador por encima de los límites de una cadena, array o zona de memoria reservada, posibilitando entonces que se pueda ejecutar un código arbitrario con los privilegios del proceso o usuario...