Respondiendo a los mitos y fantasías
por Vesselin Bontchev
En el número anterior, Köhntark escribió una nota sobre
la industria anti virus. Vesselin Bontchev responde en
ésta a sus acusaciones.
Köhntark menciona en su artículo del número 10 de Virus
Report que la industria anti virus ha pasado de ser una
curiosidad a ser el soporte de una industria multi
millonaria en dólares. El Hacking y otros tipos de delito
por computadora también. Ultimamente hay un serio
crecimiento en la demanda de productos relacionados con
la seguridad informática. El cambio ha afectado al
usuario final en una forma negativa, como se predijo. El
usuario final debe pagar más y sus datos se dañan
relativamente más a menudo. El potencial económico de
estos peligros fue aprovechado por algunas personas. Esto
ha sido así desde que existe la sociedad humana como tal.
¿Cuál es la diferencia con los seguros, sistemas contra
ladrones, medicinas, consultores legales? Estas
actividades funcionan exactamente de la misma manera. Hay
gente que no entiende algo y otros que sí. Las últimas
ofrecen su ayuda a las primeras, por un precio, por
supuesto. Así es como funciona una sociedad capitalista
normal.
Köhntark acusa a los expertos como 'expertos auto
denominados'. Esto no es así. Esta gente se ganó su
reputación por trabajar duramente, analizando cientos, si
no miles, de virus, ayudando decenas de miles de usuarios
y dando ayuda gratuita y compartiendo gratuitamente la
parte de su conocimiento que pueda ser útil para el
usuario. Es cierto, algunos, (la mayoría) de ellos han
sido muy restrictivos sobre la parte de su conocimiento
que podría tener efectos nocivos si cae en malas manos.
No veo nada malo en esto. No creo que tampoco lo vea
ninguna persona razonablemente racional.
Köhntark menciona el 'control' que se hace en Virus-L (la
lista en Internet sobre virus) y la censura de la
información potencialmente peligrosa. La lectura de
Virus-L está recomendada para cualquiera que esté
interesado en los virus informáticos. De esta forma van a
poder decidir por si mismos, en lugar de tener que creer
en las erróneas afirmaciones de Köhntark. Van a poder ver
que todos esos expertos que le disgustan tanto están
desperdiciando su tiempo respondiendo una y otra vez a
las mismas preguntas y ayudando a la gente con su
conocimiento sobre los virus, gratuitamente. Es posible
publicar cualquier cosa allí, aún la pregunta más tonta,
y lo más probable es que sea respondida con
profesionalismo. Sólo dos cosas son desaprobadas: las
discusiones interminables e insultos son desalentadas por
el moderador, y publicar o pedir virus está estrictamente
prohibido. No pienso que esto sea una gran restricción,
especialmente teniendo en mente que, como el mismo
Köhntark dice, la misma (peligrosa) información está
disponible en el underground, así que si quien realmente
la desee la puede obtener de allí.
Con respecto a los escritores de virus, muchos de
nosotros conocemos a varios personalmente. El estereotipo
que describe Köhntark como falso, de chicos de 15 años,
parias sociales sin educación, es en efecto bastante
común, aunque la edad normalmente varía entre 15 y 25
años. El resto, gente sin educación y anti social, se
aplica a la mayoría, incluyendo a Köhntark. Afirma que
muchos autores de anti virus tienen títulos
universitarios y doctorados, a diferencia de los
investigadores. Quizá podría presentar alguna evidencia,
con respecto a los autores de virus. Todavía tengo que
ver un escritor de virus activo con un doctorado en un
área técnica. Con respecto a los investigadores anti
virus, acá tienen algunos ejemplos: Yo tengo títulos
universitarios en ciencias de la computación, y estoy
trabajando en mi doctorado. Fridrik Skulason está
graduado en la universidad. Dave Chess y Steve White
tienen ambos un doctorado en matemáticas. Alan Solomon es
doctor en economía. Roger Riordan tiene un título en
ingeniería. El profesor Klaus Brunnstein tiene tantos
títulos que ni yo los conozco a todos. Harold Highland es
un profesor emérito. Hay mucha más gente brillante en el
campo anti virus que tiene grados académicos, y cuyos
nombres se me escapan en este momento. ¿Pero cuál es el
propósito de todo esto? ¿Desde cuándo el grado académico
de alguien es una medida de cuan benéfico o maléfico es
para la sociedad? Pienso que deberíamos medir su
verdadera contribución. Los escritores de virus son esa
gente que escribe las porquerías que destruyen sus datos.
Los investigadores anti virus son quienes inventan,
implementan, y les venden medios para combatirlas.
Háganse su propia idea sobre quien es más beneficioso y
quien es más dañino.
Dice que los scanners son ineficientes. Esto demuestra lo
que sabe del tema, o sea, nada. Primero que nada, los
scanners son el único método conocido de detectar un
virus antes de que sea ejecutado. Segundo, es la única
manera de asegurar que un sistema dado está libre de
virus, antes de instalar otra línea más fuerte de defensa
anti virus. Tercero, sólo ignorantes como Köhntark no
saben que hay métodos modernos de búsqueda, que no
necesitan más tiempo cuando buscan más virus. La mayoría
de los scanners contemporaneos usan esos métodos: TbScan,
HTScan, VET, F-Prot, FindVirus, IBM Antivirus, y muchos
otros. Köhntark se pregunta cómo es que nadie inventó
nada mejor. Lo hicimos. Inventamos los chequeadores de
integridad, shells de integridad, programas de monitoreo,
analizadores heurísticos, herramientas de desinfección
genéricas, desencriptores genéricos, desinfectores
automáticos de virus de boot sector, aparatos de control
de acceso por hardware, herramientas de encriptación,
software de backup. ¡Hay tantas líneas de defensa anti
virus! No es nuestra culpa si alguna gente no las conoce
o no quiere usarlas, porque piensa que sólo los scanners
son programas anti virus. Es nuestro deber educar a
aquellos que quieran escuchar, de todas formas es lo que
estamos haciendo todos nosotros.
Köhntark habla del negocio que significa para los
productores de anti virus la producción de nuevos virus
cada mes. Es una vieja leyenda urbana, que dice que
cuantos más virus hay, los productores de anti virus
ganan más dinero, porque los usuarios deben pagar las
actualizaciones. Esto simplemente no es verdad.
Primero que nada, muchos ni siquiera cobran dinero por
las actualizaciones. En vez de eso, el usuario firma un
contrato con el productor y este último tiene que
suministrarle todas las actualizaciones necesarias por,
digamos, los próximos dos años. ¿Uno no va a pagar por la
actualización de su compilador de C después de dos años?
¿Los productores de compiladores de C son también un
grupo de estafadores, que están a la búsqueda de tu
dinero, y usando las actualizaciones como una herramienta
para el crimen?
Segundo, hay dos alternativas. Supongamos que durante ese
período de dos años no aparecen nuevos virus. El
productor se guarda tu dinero y no tiene que gastar
tiempo y esfuerzo para producir las actualizaciones. Es
claramente un beneficio. Ahora, supongamos que el número
de virus no sólo crece exponencialmente, sino que los
autores de virus se reúnen en una especie de convención
secreta y producen en ese período 100.000 virus
completamente nuevos. (Es improbable pero completamente
posible). El productor de anti virus tendrá que invertir
mucho tiempo y esfuerzo para producir las actualizaciones
necesarias, de otra forma significaría romper un
contrato. Claramente, es una mala situación para él.
Ahora, piensen de nuevo y díganme: ¿Están los productores
interesados en que se incremente el número de virus
existentes, o no?
El interés real de los productores es que no hayan nuevos
virus, pero que los virus viejos sigan desparramándose,
así pueden seguir vendiendo sus productos, sin tener que
invertir en esfuerzos adicionales. Y, hasta ahora, nadie
tuvo éxito en prevenir que se desparramen los virus
viejos. La mayoría de la gente no usa ningún tipo de
protección anti virus, así que el mercado sigue abierto.
Saquen sus propias conclusiones.
Köhntark, en el primero de sus 'mitos', habla de que la
industria anti virus dice que cientos de virus nuevos se
escriben por año. Esto es perfectamente cierto. Dice que
la mentira está en la palabra 'nuevos', al considerar una
variante de un virus viejo como nueva. Está bien que los
consideren como nuevos. Para algunos scanners, en efecto,
no son virus nuevos si pueden detectarlos con un string
viejo. De todas formas, no todos los scanners son tan
malos. Hay productos como FindVirus (de Dr. Solomon) y F-
Prot que son capaces de realizar una identificación
exacta, guardando una especie de mapa de todas las partes
no modificables del virus. La identificación exacta es
imprescindible para la desinfección segura de un virus.
Si uno trata de desinfectar la variedad equivocada, las
consecuencias pueden ser desastrosas.
Köhntark dice que la afirmación de que cientos de nuevos
virus se escriben cada semana es falsa, ya que la mayoría
son simples modificaciones de virus viejos. Como
académico, prefiero que las afirmaciones estén
respaldadas por datos contundentes, expresados como
números. De acuerdo a mis estadísticas, alrededor del 10%
de los virus existentes son originales, escritos desde
cero. Esto es, uno de cada diez nuevos virus es realmente
nuevo, aún de acuerdo a la propia definición de Köhntark
(que ningún investigador anti virus que se respete
comparte). Yo no diría que un 10% es una cantidad
pequeña. Aparte de eso, nadie dice que se escriban
cientos de virus nuevos cada mes. Todavía no. El promedio
actual es de alrededor de 4 o 5 virus nuevos por día, o
unos 20 o 30 por semana. Estos son 2 o 3 virus nuevos, de
acuerdo con la definición de Köhntark.
Köhntark cita como segundo mito 'Todos los virus son
extremadamente peligrosos y destructivos'. En realidad,
lo que afirmamos es que algunos virus son extremadamente
peligrosos y que todos ellos pueden ser destructivos en
algunos entornos. Seamos más precisos con las palabras.
Para demostrarlo, cita al Vsum de Patricia Hoffman como
la única fuente de información, aunque no confiable. En
realidad hay mejores, pero no tienen ese tamaño. Si
contamos el número de virus que 'no hacen nada además de
reproducirse', dice Köhntark, son más del 70%. Pero,
mejor que eso, contemos el número de virus sobre los que
Vsum dice 'no se sabe que hace este virus además de
reproducirse', y vamos a obtener una mejor comprensión
sobre el nivel de competencia, conocimiento y
confiabilidad de su autor sobre los virus.
Lo que realmente queremos decir es que todos los virus
pueden causar daño. Supongamos un virus que infecta un
programa que se chequea a si mismo. El virus no hace
nada, excepto reproducirse. De todas formas, ese programa
no funciona más. Si es un programa que necesitas
urgentemente, y que es importante para tu negocio,
entonces hay un daño causado por el virus.
Otro ejemplo. Consideremos un virus que es tan educado
que te pide permiso antes de infectar un archivo.
Entonces, ese virus termina en un sistema de tiempo real
que controla algo realmente importante, como un equipo
médico crítico. El corazón del paciente está funcionando
mal, el sistema lo detecta y activa el programa
responsable de activar el dispositivo que inyecta la
cantidad adecuada de medicina. Pero el programa no se
ejecuta. En lugar de eso, la computadora se detiene
preguntando 'puedo infectar este archivo? S/N' y espera
la respuesta del usuario.
El punto es, una vez que se libera un virus, está fuera
de control. Su autor no tiene manera de detener su
diseminación o de arreglar sus bugs. El virus puede
terminar en un sistema sobre el que el autor no sabe
nada, o un sistema que no existía cuando se creó el
virus. Y en este sistema desconocido, el virus puede
causar daño. Conclusión: los virus son dañinos,
peligrosos, y no deben ser creados o por lo menos,
distribuidos.
El tercer mito para Köntark es que 'su computadora es un
blanco potencial de infección para millones de virus'.
Esto es falso, sólo existen 3.800 en el momento de
escribir esto, mediados de diciembre de 1993. Köhntark
nos presenta una serie de medidas para que ningún virus
pueda infectar nuestro sistema. Yo puedo diseñar por lo
menos tres o cuatro métodos que podría usar un virus para
infectar un sistema a pesar de seguir las medidas
propuestas por él. La primer medida es no usar software
ilegal o pirata. Es una buena idea, (y mantiene a los
abogados alejados), pero no detiene a los virus. Hay
cientos de casos documentados de virus distribuidos con
paquetes originales. La segunda, es proteger siempre los
diskettes contra escritura. Es buena, a menos que uno
quiera escribir en ellos. En ese momento puede
infectarlos un virus. La tercera es instalar al menos dos
programas de integridad. Uno sería suficiente.
Desafortunadamente hay lo que se llaman 'virus lentos',
que infectan sólo cuando un archivo está siendo
modificado, lo que pasaría por encima de una protección
basada únicamente en la integridad. Para mas datos, ver
mi trabajo 'Possible Virus Attacks Against Integrity
Programs and How to Prevent Them' (posibles ataques de
virus contra programas de integridad, y cómo
prevenirlos). La cuarta medida es ejecutar periódicamente
los programas de integridad. Seguro, si uno instaló una
protección anti virus, es una buena idea usarla. Los
problemas empiezan cuando esa protección no te protege.
La quinta medida es instalar software de control de
acceso. Es una buena idea, pero no puede detener los
virus. El control de acceso sólo hace más lenta la
diseminación de los virus, como está probado por los
trabajos del Dr. Cohen. Es el mismo usuario legítimo del
sistema el que va a introducir el virus, después de
entrar y pasar por todos los niveles de autorización. Con
los métodos de Köhntark, se van a reducir las
posibilidades de que un sistema se infecte, pero no a
cero. Una idea mejor es usar todos los métodos de defensa
anti virus: scanners, chequeadores de integridad,
monitores, control de acceso, y todo lo demás.
Como cuarto mito, dice que los autores de virus son más
imaginativos y creativos que la mayoría de los
investigadores anti virus, y dice que ese mito es verdad.
Nadie afirma eso, excepto los mismos autores de virus. En
realidad, la mayoría son bastante tontos e ignorantes, y
no son capaces de producir un solo virus sin bugs. En
efecto, algunos de los virus que crean tienen tantos bugs
que no son capaces de infectar un solo archivo.
Obviamente, sus autores ni siquiera los probaron una vez.
Llamamos a esos virus 'intentos'.
El mito cinco dice que si se libera la información sobe
los virus el universo de las computadoras va a colapsar.
Ciertamente, el universo no va a colapsar. Pero
ciertamente es mejor abstenerse de distribuir virus o
información que ayude a crearlos, que no hacerlo. Por
supuesto, distribuir información que ayude a luchar
contra ellos es algo completamente diferente. Köhntark
argumenta que la mayoría de los usuarios no saben
programar, y que muy pocos saben assembler, con lo cual
muy pocos sabrían que hacer con un fuente de un virus.
Pero la mayoría sabe como ejecutar un programa,
especialmente si se le explica cómo hacerlo. Lo que hace
la distribución de fuentes de virus listos para ensamblar
o scripts para Debug especialmente peligroso, porque aún
esos usuarios no calificados van a ser capaces de recrear
el virus y quizá accidentalmente infectar su propia
máquina, pero que ciertamente no tendrán el conocimiento
para enfrentarse con la infección resultante. También
dice que distribuir código fuente de virus no es
peligroso y no tiene efecto en el número de infecciones.
Las estadísticas de la vida real prueban lo opuesto. El
último caso fue el virus Satan Bug. Su código fuente fue
distribuído libremente por un BBS del gobierno de los
Estados Unidos. Ahora, el virus está infectando las
computadoras del gobierno de los Estados Unidos. Saquen
sus propias conclusiones. Para demostrar el que el mito
seis, 'los antivirus son softwares profesionales', dice
que si un chico de 15 años puede modificar un virus como
para que no lo detecte un anti virus, entonces el anti
virus es malo. Yo le respondo con la siguiente analogía:
un chimpancé puede romper en segundos un jarrón chino
Ming muy valioso, que hacerlo le tomó meses a un maestro
chino. ¿Esto significa que el chimpancé es más
inteligente que el maestro?
El séptimo mito dice que los virus causan millones de
millones de dólares de pérdidas, Köhntark dice que es una
completa fantasía y que la gente pierde más plata
comprando software anti virus. La verdad es que las
pérdidas son difíciles de medir. De paso, yo incluiría en
ellas el precio que los usuarios han pagado por los
productos anti virus. Después de todo, si no hubiesen
virus, no haría falta pagar ese precio.
El mito ocho dice que todo progreso en la industria anti
virus fue producido por los investigadores. Köhntark
opina que en realidad fue producido por las innovaciones
en los virus. La realidad es que todos los progresos en
la industria anti virus fueron conducidos por los
investigadores anti virus. Es cierto que las mejoras en
los virus los han forzado a hacer este progreso en la
protección anti virus, pero no pienso que sea algo de lo
que puedan estar orgullosos los autores de virus. Sólo
puedo acordarme de una cosa que inventaron los autores de
virus y que se usa en algunos anti virus. Es lo que se
llama 'tunneling', la habilidad de algunos virus para
pasar por encima de los programas de monitoreo. Cuando se
usa en productos anti virus se llama 'técnica anti
stealth', porque ayuda a pasar por encima de algún virus
stealth presente en memoria. De todas formas, el método
es poco confiable, pocos productos anti virus lo usan, y
todos ellos tienen la opción de deshabilitar este método.
El mito nuevo dice que escribir y intercambiar virus será
ilegal. Köhntark dice que en algunos países puede ser,
pero que nunca lo será en Estados Unidos. Fue hecho
ilegal en algunos países, como el Reino Unido, Suiza o
Suecia. Están en camino movidas para hacerlo ilegal en
Estados Unidos. Según él, escribir virus está protegido
por la constitución de los Estados Unidos. Conozco varios
abogados norteamericanos que no opinan lo mismo, y
prefiero creer en su opinión profesional.
Vesselin Bontchev es miembro de CARO, la organización
mundial de investigadores anti virus. Trabaja en el Virus
Test Center, centro de investigación de virus en la
universidad de Hamburgo, Alemania. Ha publicado
muchísimos trabajos de investigación y teóricos sobre los
virus informáticos.