Barrapunto

Una empresa u organismo público quiere desarrollar un proyecto, tal y como una obra pública, o contratar un servicio de comedor para un hospital o escuela o un proyecto de software o desarrollar un nuevo avión de combate o un nuevo submarino. Abren un concurso público y ¿quien se queda con el contrato?. Estoy casi seguro que el que presente el proyecto más barato.

      Entonces tenemos que con los servicios de limpieza subcontratados que contrataba Ana botella cuando estaba en el ayuntamiento de Madrid las calles estaban sucias, que en los hospitales públicos y colegios hay quejas y que los edificios y obras públicas tienen enormes sobrecostes y en algunos casos se agrietan, y que los submarinos se hunden solos y que un F-16 le da sopas con ondas a un F-35.

      Y esto es así por que se presentan muchos candidatos a los concursos públicos y en aras de la competitividad se miente en los informes que se entregan a los organismos públicos bajando considerablemente el precio del proyecto. Así pues tenemos a empleados de cocinas y comedores con salarios que rozan el salario mínimo y cocinando autentica bazofia, desarrolladores de software con salarios de pena y que tienen que hacer horas extras impagadas todos los días y si se retrasan hay penalizaciones para ellos.

      Se nos ha estado vendiendo durante décadas que eso que llaman competitividad es lo más cojonudo que existe. Pero lo cierto es que lo único que nos ha traído es miseria y bazofia.

      Al menos, en lugar de basarse siempre en el proyecto más barato, deberían basarse en el más creíble. Se debería reformar la manera en la que se gestionan los concursos públicos.

Me sonaba... y mirando https://en.wikipedia.org/wiki/Shodan_(website) [wikipedia.org] veo que si, es una araña que no va solo a por servidores web, sino que comprueba unos cuantos puertos. Supongo que lo vi en alguna noticia sobre webcams abiertas. La cosa sera algo mas dificil cuando (?) pasemos a ipv6, demasiadas direcciones posibles para ir a ciegas; ipv4 se puede recorrer por fuerza bruta todas las direcciones en poco tiempo. No es el unico: https://www.net.in.tum.de/fileadmin/TUM/NET/NET-20 15-09-1/NET-2015-09-1_11.pdf [in.tum.de] Jajaja, IaaS, Intrusion as a Service.

Por cierto, hace tiempo mi hosting me mando un email avisandome sobre una notificacion de una agencia de su gobierno acerca de un servicio con problemas (openssl...). Me hizo gracia que se preocuparan. No se si lo hicieron para ver cuanto tardaba en arreglarse (paranoico... nah...). La verdad es que podria hasta cerrarlo, el acceso va via tunel... aunque da un aire de normalidad... hmm... hora de montar un "honeypot"?

Codigo: yzx ... >_> ... <_< ... o_O

Una duda: está el error de seguridad de Lexnet, ahora este otro que comentas en Lexnet/Orfila.
Está relacionado con esta noticia que habla de Minerva? [europapress.es]. Entiendo que Minerva es otro programa diferente aunque comparta datos con Lexnet.
Si es así, menuda racha.

Hay dos cuestiones:

1. ¿Se ha cometido un delito al acceder al sitio?
2. ¿Si alguien quiere acceder ilicitamente a la información, lo tiene fácil?

A la primera pregunta, no sé que contestar. ¿Había alguna advertencia de que era información confidencial?¿Podía suponerse?¿Si no hizo nada con la información, es delito? Es cosa de un abogado.

Respecto a la segunda, sí, es facilísimo. Es de risa, facilísimo hasta el ridículo.

A la pregunta sobre problemas de seguridad, se lía a responder a la primera pregunta, cuando lo importante es la segunda.

Ya sabéis, si descubrís que la caja fuerte de un banco es de cartón, y para demostrarlo la rompéis y enseñáis un fajo de billetes, el banco no tiene un problema de seguridad. Podéis dejar el dinero en ese banco con tranquilidad.

Voy a dar la mía, a ver si alguien se anima a dar la suya:

Es como si el personal de un hospital se dedicara a amontonar expedientes con información confidencial en la vía pública. Eso sí, no en una calle concurrida, sino en un callejón sin nombre por el que nunca pasa nadie, que está en la parte trasera del hospital. Entonces un ciudadano cotilla rodea el edificio del hospital (más allá de la entrada principal, pero en todo caso, en la vía pública), y se encuentra con los expedientes. Hace copias de dichos expedientes con información confidencial, DEJA LOS ORIGINALES DONDE ESTABAN, y contacta con la prensa para denunciar el hecho.

La analogía del coche no me vale, porque no es que no se hayan acordado de cerrar el coche, es que el coche no tiene ni cerradura ni puertas, cosa que no les ha importado a la hora de depositar ahí información confidencial, porque confiaban en que nadie iba a pasar por ese descampado en el que estaban almacenando información. Mal hecho está coger esos archivos, pero lo realmente censurable es que se estén almacenando de esa manera.

El chaval que descubrió la vulnerabilidad pecó de inocencia, pensó que alguien agradecería que avisara del fallo, y en vez de eso, van a ir a por él [elconfidencial.com]. Con estas cosas hay que andarse con tiento, y asegurarte de que tienes amigos suficientes [barrapunto.com] como para que no compense ir a por ti. El que aireara los fallos de LexNet la semana pasada, de manera coherente, critica la persecución a este chaval [twitter.com]; a ver hasta dónde llega su defensa pública.

Si la mayor parte de los documentos es código fuente y documentación, ¿es tan grave? ¿No se supone que la seguridad mediante la oscuridad es falsa seguridad?

Como fulano que se dedica a la tecla y que ha visto chapuzas sin cuento, creo que a los del ministerio, a los de la empresa de desarrollo, o en resumen, al lumbreras que dijo "vamos a poner la documentacion aqui como backup para tenerla disponible desde casa y poder teletrabajar" hay que embrearlos y emplumarlos como minimo. Eso no creo que lo dude nadie. Se han ganado el despido fulminante igual que el que se deja abierta la caja fuerte de un banco o al policia que se deja la pistola en un bar.

Ahora, en cuanto al tema legal, si eso es delito, falta o mediochungo es cosa de abogados. Me suena un tal Defero, buscalo por internet.

En cuanto al chavalillo, tengo entendido que el no se limito a decir "oye, que os habeis dejado la puerta abierta", si no que se bajo el fichero y lo compartio. No se si la linea de "hacking etico" se sobrepasa cuando en vez de comunicar una vulnerabilidad de forma discreta al administrador para que lo arregle la publicas en redes sociales directamente, pero estoy seguro de que se sobrepasa cuando bajas contenido y lo compartes, asi que respecto al chavalillo, a lo hecho pecho. Y a los del servidor, tambien.