Pero... ¿seguro que Mac OS X es seguro?

Últimamente parece existir un sospechoso interés en airear exageradamente los supuestos agujeros de seguridad de Mac OS X, y de poner en duda de forma demasiado insistente la mítica invulnerabilidad de los Mac. Por supuesto, esos agujeros existen y tal invulnerabilidad es exactamente eso: un mito.

Pero sin embargo, los usuarios de Mac no perciben todo esto como una amenaza real. Sin duda debe haberlos, pero no conozco a ningún usuario de Mac OS X que se haya visto afectado por malware de ningún tipo. Por contra, no conozco ningún PC con Windows libre de malware de algún tipo, y la mayoría han sufrido problemas graves.

Sólo haya que asomarse a los foros de usuarios de Windows para constatar que una parte importante de las consultas y demandas de ayuda son para desinfectar ordenadores, que no son nunca puestas en duda y que son contestadas con profusas explicaciones y recomendaciones de utilidades de limpieza.

Sin embargo, si el tema "virus" es planteado en un foro de "maqueros", se da por supuesto que el atribulado usuario es un "switcher" novato que "aún no ha cambiado el chip" y que por tanto atribuye a un virus lo que en realidad son errores del sistema o de aplicaciones posiblemente causados por su inexperiencia. ¿Carecen los usuarios de Mac de una objetiva capacidad de percepción del riesgo?

Es posible, y tal vez por eso, los fabricantes de antivirus para Mac tienen la amabilidad de advertirnos periódicamente de la aparición de nuevos troyanos y aprovechan la ocasión para recordarnos la capacidad que tiene para prevenirlos la última versión de su software.

Algunos sitios, como SecureMac o ZDnet consiguen que perdamos el sueño si leemos atentamente y como mac-condríacos los listados y descripciones.

En Secunia dicen haber encontrado en diferentes sistemas operativos el siguiente número de "vulnerabilidades":

- 36 agujeros en Mac OS X

- 46 agujeros en Windows XP Professional

- 48 Suse Linux Enterprise Server

- 50 agujeros en Red Hat Server (Linux)

- 60 agujeros en Solaris 9

Según esto, que parece un test de calidad de una fábrica de Gruyere, Mac OS X tiene menos agujeros que Windows, pero éste tiene menos… ¡que Linux y Solaris!

De vez en cuando, un super-estrella de la seguridad consigue que sus opiniones tengan la suficiente repercusión para que corran como la pólvora por la red. Para la mayoría de periodistas, combinar "Apple" y "seguridad" es tan atractivo como "sexo/famoso" o "político/corrupción", aunque no entiendan absolutamente nada del tema.

Así, el poco dado a la discreción Charlie Miller aprovecha eventos como el Show de la Conferencia de Seguridad Digital Canadiense (lo de "show" lo ponen ellos, no yo) para proclamarse descubridor de docenas de nuevos agujeros en la manzana, hackear Safari embolsándose los 10.000$ de premio, y para hacer este símil:

"Mac OS X es como vivir en una granja sin cerraduras en el campo, y Windows es como vivir en una casa con rejas en las ventanas en el peor barrio de la ciudad". Para algunos es una comparación acertada, pero no se da cuenta de que favorece la asociación "Mac/entorno-bucólico" frente a un "Windows/barrio-conflictivo". Personalmente, aunque acabe poniendo rejas y comprando un perro, prefiero quedarme en el campo.

Efectivamente, si se reta a un experto en seguridad informática a acceder por red y sin firewall ("pequeño detalle") por medio, a romper la seguridad de ordenadores con Mac OS X, Windows 7, y alguna distribución de Linux, el primero en caer suele ser precisamente el Mac.

Pero ojo, estamos hablando de un "fuera de serie" atacando despiadada y concienzudamente a un ordenador concreto y del cual conoce el más mínimo entresijo y debilidades de su sistema operativo. Esto podría preocupar a entidades bancarias, centros de datos, servidores web importantes, etc… Y de hecho es muy raro que este tipo de ordenadores corra Mac OS X. Incluso un "gurú" de Mac OS X en España como Alberto Lozano (si, el "Admin" del estupendo Mac-Club) asegura que es preferible para esto recurrir a FreeBSD, sistema que implementa en los servidores que el utiliza... y que por cierto no hemos visto en la lista de Secunia.

Y últimamente, Sophos, empresa especializada en protección de datos y seguridad informática ha descubierto un Antí-Malware incorporado en la reciente actualización de Mac OS X. 10.6.4 que ofrece protección frente al troyano OSX/Pinhead-B Trojan que los hackers podrían utilizar para obtner todo tipo de información o a compañía especializada en protección de datos y seguridad informáticaenviar Spam a través del correo electrónico, e incluso hacerse con el control del ordenador”.

Por algún extraño motivo esos agujeros y vulnerabilidades, que sin duda existen, no son explotados como cabría esperar, aunque los malvados hackers no lo tienen tan difícil ya que pueden recurrir por ejemplo, a manuales como "The Shellcoder's Handbook - Discovering and Exploiting Security Holes" u otros.

Un argumento repetido constantemente es el de que como Mac es una plataforma menos extendida que Windows, no resulta de interés para los creadores de virus. Esto es una verdad a medias. Existen millón y medio de virus para Windows y apenas dos docenas (de troyanos-con-intervención-de-usuario) para Mac. Esto no se corresponde en absoluto con la proporción de veinte a uno en cuanto a uso de ambos sistemas. Además a los usuarios de Mac se les supone un mayor poder adquisitivo y mayor tendencia a la compra online, y además desde casa, lo cual los haría mas vulnerables e interesantes.

Por otro lado, es característica la vanidad de las creadores de malware, y ante la cada vez mayor popularidad de Mac OS X, debiera haber muchas más intentonas de proclamarse "el creador del primer virus para Mac".

Pero un usuario "normal", que utiliza Mac OS X en su casa o pequeña empresa, no debiera preocuparse del supuesto de que alguien especialmente habilidoso y formado le tomara ojeriza precisamente a él. Si dispone de la protección que le puede ofrecer el firewall integrado de su router en casa, o el firewall de mejores prestaciones de su empresa, y tiene su sistema operativo al día en cuanto a actualizaciones, no debe preocuparse ante este tipo de "agresiones".

Esto en cuanto a un "ataque directo y malintencionado"que explota las famosas vulnerabilidades. ¿Y con respecto a virus y demás bichitos? (sobre los que hablo en esta otra entrada en este mismo blog).

Aquí es muy importante distinguir entre las formas de contagio, que podemos diferenciar entre aquellas en las cuales es necesaria la intervención activa del usuario, y aquellos en los cuales la propagación o instalación del virus, gusano, o como queramos llamarlo, se hace de forma automática, transparente, y sin que podamos evitarlo.

Pongamos como caso práctico cierto troyano que fue incluido dentro de un paquete de instalación de iWorks que se podía descargar desde sitios sospechosos. El paquete de instalación de iWorks, al igual que muchos de Apple, contiene a su vez de otros instaladores. A cierto individuo o grupito de individuos se les ocurrió añadir al conjunto de instaladores dentro del paquete de iWorks, el instalador de un troyano. Solo era necesario hacer circular por la red para su descarga el instalador "tuneado". Cuando el usuario descargaba tal paquete, y el sistema operativo solicitaba la contraseña de administrador para hacer la instalación, la víctima la tecleaba alegremente, autorizando la instalación de todos los instaladores contenidos en el paquete, incluido el troyano.

Algo parecido puede ocurrir con supuestos instaladores de "codecs" necesarios para ver cierto tipo de vídeos. Si uno es tan inconsciente para teclear su contraseña y autorizar la instalación de algo que no sabe muy bien que es… que apechugue con las consecuencias.

Este es el procedimiento de todas las formas de infección conocidas hasta ahora en Mac OS X. Mac OS X, al igual que UNIX (del que deriva) o Linux, solicita una contraseña de administrador del sistema para instalar o hacer cambios importantes en el sistema operativo. Windows se limita a preguntar si damos permiso para ello, lo cual me parece inútil como sistema de seguridad. Recuerdo que yo mismo he recurrido (para hacer funcionar ciertos servicios de sincronización de Outlook) a una pequeña utilidad gratuita llamad ClickYes, que se limita a "hacer clic automáticamente" cada vez que aparece una ventana mostrando el botón "Aceptar". Para mi es evidente que cualquier virus para Windows que se precie incluye esta función.

Parece mucho más fácil crear bichitos que se cuelen en Windows automáticamente. Además, aparte de los problemas de seguridad de la propia arquitectura del sistema, he llegado a leer sobre "kits" para la creación fácil de virus de cierta complejidad.

Lo más escalofriante que he visto, es un simple enlace que hace cierto tiempo facilitaba ex-profeso la página "Alerta Antivirus" (ahora INTECO-CERT), con el fin de demostrar lo peligroso que podía ser el hacer simplemente clic sobre un determinado link. Sólo era necesario hacer clic desde Explorer para que se abriese automáticamente la consola con el cursor parpadeando detrás del "Delete C".

Ahora, conseguir que determinado "malware" se autoinstale por las buenas en un Mac es harina de otro costal y mucho más complicado. Existe cierta página web en la que aparece a modo de proyecto y se debate de forma abierta entre "geeks" (probablemente gente sin novia) las posibles formas de conseguir hacer esto en un Mac. Supongo que en Apple debe haber gente dedicada a seguir fervorosamente el tema. De momento, no han tenido éxito (los geeks, no los de Apple), y como no soy un experto en el tema no puedo opinar de si llegaran ha hacerlo alguna vez.

Claro que toda la robustez de Mac OS X queda comprometida si instalamos software de terceros, por ejemplo, Adobe Reader, a través de cuyas problemas de seguridad puede verse afectado el Mac.

Y concluyo: desde hace casi 20 años soy administrador de redes de una empresa en la que hemos llegado a utilizar más de 40 Macs (y otros tantos PC), tambíen hago estas funciones en empresas asociadas, y de rebote (y a mi pesar) doy soporte a conocidos, amigos y familiares; mantengo contacto constante con un centro educativo que utiliza docenas de Macs, hablo regularmente con conocidos de tiendas que venden Macs y tengo amigos en un Apple Premium Reseller... Nunca nadie me ha confirmado haber visto un virus o similar en Mac OS X. Eso si, hace al menos 10 años, y utilizando Mac OS 9, se nos coló en la red un troyano "muy contagioso" conocido como AutoStart que ralentizaba enormememente el acceso a la red. Al menos puedo decir que si, "que una vez vi un virus para Mac". Pero OS 9, no es que fuera diferente, es que no tenía nada que ver con Mac OS X. De hecho, "murió y fue oficialmente enterrado".

A pesar de haber trabajado durante casi veinte años con docenas de Macs, tanto de sobremesa como servidores, mantener contacto con centros educativos con docenas de Macs, con "tiendas Apple" y de dar soporte (a mi pesar) a conocidos, amigos y familiares, nunca nadie me ha confirmado haber visto hasta ahora, un virus o similar en Mac OS X. Eso si, hace al menos diez años, y utilizando Mac OS 9, se nos coló en la red un troyano "muy contagioso" conocido como "AutoStart" que ralentizaba enormememente el acceso a la red. Al menos puedo decir que si, "que una vez vi un virus para Mac". Pero OS 9, no es que fuera diferente, es que no tenía nada que ver con el Mac OS X actual. De hecho, "murió y fue oficialmente enterrado".

(Dedico otra entrada al tema de los virus en este mismo blog.)