¿Garantiza Linux la privacidad de las empresas ante los ataques emergentes?

En un mundo en el que la digitalización se ha extendido a un ritmo frenético, la privacidad de los usuarios se ha convertido en la principal preocupación. La elección del software a utilizar en las computadoras domésticas o profesionales es muy importante, y en este sentido, Linux siempre se ha presentado un sistema operativo de código abierto basado en los principios de transparencia y personalización.

Sobre el papel, al poder cualquier usuario de la comunidad identificar y corregir cualquier vulnerabilidad o problema de seguridad, esto le otorga una mayor protección a la red. Pero lo cierto y verdad es que hay vulnerabilidades masivas como Log4j y SolarWinds que están imperando y poniendo en jaque la seguridad de código abierto de las cadenas de suministro.

Un estudio reciente de Synopsys demuestra que el 96% de las bases de código de software son de código abierto. Esta situación ha sido aprovechada por los hackers para adentrarse en las dependencias transitivas y los sistemas de construcción de las redes de distribución.

El caso más reciente

Hace pocos días se detectó una vulnerabilidad en el subsistema de red del kernel de Linux. Ésta permite sobrescribir el contenido de la memoria del kernel manipulando los sockets de red en el espacio del usuario. Dicha vulnerabilidad (CVE-2023-42752) es muy crítica y puede usarse para permitir a un usuario el acceso para ejecutar su código a nivel del kernel, sin necesidad de disponer de privilegios de acceso.

El fallo se aprecia en la alteración de la versión del kernel de Linux 6.2 y en todas las ramas LTS con soporte, de tal modo que la vulnerabilidad también aparece en versiones anteriores de ramas estables compatibles de kernel. Esto denote un desbordamiento de enteros en la función ‘alloc_skb’ de kernel de Linux, que se emplea para asignar memoria a la estructura sk_buff  (búfer de socket), empleada para almacenar paquetes de red.

La vulnerabilidad CVE-2023-42752 es local y no se puede explotar de forma remota, requiriéndose de acceso para crear espacios de nombres de usuario. Por eso se recomienda habilitar el mecanismo de protección SMAP (Prevención de acceso en modo supervisor) en el kernel para bloquear el problema.

La causa del problema

Los nuevos paquetes de código abierto se han ido introduciendo con una gran celeridad, dándose casos de que un único registro (como npm para JavaScript) recibe más de 10.000 paquetes nuevos por día. Todo ello genera como resultado que los desarrolladores abandonen las distribuciones.

El ritmo de progreso y crecimiento de las distribuciones no se ha ralentizado intencionadamente, sino que se busca un equilibrio entre la velocidad de actualización y la estabilidad de la distribución. Es importante saber cómo acelerar las actualizaciones y mantener un mejor ritmo para la seguridad del software de código abierto.

Las distribuciones de Linux han sido fundamentales en la adopción del código abierto al realizar la tarea de empaquetado, creación y firma del código abierto. De ahí que distribuciones de la talla de Debian, Alpine o Gentoo posean una gran reputación.

El factor seguridad

El Sistema de puntuación de vulnerabilidad común (CVSS) denota las vulnerabilidades que presentan los sistemas operativos modernos. No obstante, al traer paquetes preinstalados es difícil ver si las distribuciones de Linux traían riesgos previos. De igual modo, las vulnerabilidades de seguridad no se detectan en el código abierto que se instalan fuera de la distribución o base de datos del paquete.

Todo pasa por distribuciones modulares que mejorarán la seguridad general del código abierto, ya que incluyen lo mínimo necesario para reducir la superficie de ataque y producir cadenas de suministro más sólidas. Estos proyectos de código abierto se han incorporado agresivamente a los principales registros de lenguajes de programación como npm, Maven y PyPi, así como al propio Kubernetes que admite la firma de software con Sigstore. Así pues, abtracciones como eBPF y Cilium aproximan la visibilidad y la aplicación de la seguridad de la cadena de suministro al kernel de Linux.

Wolfi se presenta como una distribución de código abierto creada y mantenida por Chainguard para reducir la distribución a sus componentes más esenciales. Incluye una novedosa cadencia de lanzamiento continuo para que los paquetes actualizados estén disponibles para descargar, sin necesidad de bajarse el software de código abierto fuera de la distribución.

Se eliminan todos los paquetes no esenciales para que cuando se vea una puntuación CVE o CVSS se sepa que es una vulnerabilidad real. Wolfi puede ofrecer a sus usuarios más puntuaciones CVSS de datos de nivel de gravedad y soporte para nuevas versiones de paquetes de software de código abierto. Admite 1.300 configuraciones de paquetes.

Ahora los software de código abierto precisan de actualizaciones constantes de cada pieza ante las vulnerabilidades que se encuentran, por lo que poseen fecha de caducidad y se convierten en una alerta empresarial.