Aún siendo cierto lo anterior, de lo que no podemos nunca estar seguros es de cuándo y quién descubre una vulnerabilidad, por lo que no se puede inferir que el riesgo sea nulo por el hecho de que la existencia de la vulnerabilidad no haya sido anunciada.
Todos los comentarios que se han leído respecto a la mencionada nota de prensa de Microsoft están dirigidas a resaltar que 1) las vulnerabilidades existen y se explotan antes de ser publicadas, recordando que existen grupos de investigación dedicados a descubrir vulnerabilidades y a explotarlas en beneficio propio, 2) que una vulnerabilidad no se publique, no quiere decir que no existan ataques que las usan y pasan desapercibidos, 3) que los sistemas deben ser seguros “per se” y no porque se oculten sus fallos, 4) que Microsoft no suele ser quien descubre los fallos, sino terceras personas ajenas a la compañía, y que las vulnerabilidades se conocen antes de cualquier posible reacción, por lo que Microsoft no debe decidir sobre el descubrimiento y publicación de vulnerabilidades, 5) que las empresas son las que planifican sus propias políticas de actualizaciones, y que éstas no deben estar condicionadas porque dichas las actualizaciones estén o no disponibles en una determinada fecha, 6) que hay una dificultad añadida para usuarios sin banda ancha si lo que tienen que descargar son actualizaciones voluminosas.
Si se reúnen todos los parches en una misma entrega, la validación e instalación de las mismas se convierte en una operación de mayor envergadura, que termina acarreando retrasos en el despliegue final. En general, el parcheado de un sistema no es de complejidad acumulativa, sino combinatoria.
Además de esto hay que recordar que la filosofía de diseño de los productos Microsoft es la de integrar aplicaciones y funcionalidades en el propio sistema operativo, lo que supone un amplificador de vulnerabilidades ya que, cuando están presentes, afectan a todo lo que se ejecute en sus sistemas operativos; un ejemplo dramático y pertinaz de ello es el Internet Explorer.
Está claro que Microsoft sigue imbuida de grandes dosis de paternalismo y se siente llamada a enseñar a “planificar” las actualizaciones de sus usuarios. Ya es triste tener que estar corrigiendo el software que tanto dinero nos ha costado, pero más triste es ver que los creadores de ese software nos consideran incapaces, por no decir otra cosa. La nueva política de parches de Microsoft es una metedura de pata que destruye lo mucho bueno que tenía su joven sistema de actualizaciones on-line, construido a la sombra de lo que ya era habitual en distribuciones de código abierto.
Microsoft debe bautizarse en humildad y tener muy presente que sus errores casi siempre son descubiertos por “los otros”, algunos de los cuales tienen la amabilidad de informarles y hacerlo en exclusiva. Que yo sepa, Microsoft no “gratifica” a los que descubren sus fallos y, tal y como están las cosas, debería hacerlo.
La necesidad de corregir cualquier software es un hecho y cuantas más personas colaboren en ello mejor será. Las actualizaciones deberían estar disponibles tan pronto como sea posible y deberán difundirse con máxima celeridad. Los fabricantes de software deberían fomentar y recompensar la identificación de sus fallos ya que, el mismo hecho de su descubrimiento ya supone una mejora neta en el producto que comercializan. Desde este punto de vista, deberíamos erradicar de la informática el secretismo y propugnar escenarios más abiertos y colaborativos.
Pensar que un problema, en términos prácticos, no existe porque no se ha descubierto, es una soberbia falacia ya que equivale a pensar que lo que yo desconozco lo desconoce todo el mundo. En realidad nadie sabe a ciencia cierta qué es lo que conocen los demás, por lo que nunca podemos estar seguros de que un error informático está realmente latente para todos. Siempre que hay un error en un software, la espada de Damocles está izada y lo único que no sabemos es cuándo caerá sobre nuestras cabezas.

1 Un atacante por desbordamiento de búfer permite ejecutar código con los privilegios de la aplicación afectada, y el atacante podrá realizar cualquier acción en el sistema como instalar otros programas, visualizar, modificar o eliminar datos, o crear nuevas cuentas de usuario con plenos privilegios, etc.
2 Ver http://www.eeye.com/
3 Ver eEye Upcoming Advisories http://www.eeye.com/html/Research/Upcoming/index.html
4 WINS = Windows Internet Naming Service