Chris Gilbert / 500px/Getty ImagesHong Kong: En la Cumbre de Código Abierto de China, Greg Kroah-Hartman, encargado del mantenimiento del núcleo estable de Linux, quiere que sepa que, en una semana promedio, el equipo de seguridad de Linux emite sesenta (60) boletines de seguridad de vulnerabilidades y exposiciones comunes (CVE). No se estrese. Así es la vida en Linux. Además: la actualización de Windows rompe el arranque dual de Linux, pero hay una solución para algunos usuariosPero primero, aquí hay algunas palabras sobre Linux y las CVE. Linux gobierna el mundo. Está en su teléfono Android; está en su unidad de aire acondicionado; gobierna la web, alimenta supercomputadoras; la nube; y tal vez incluso su PC. Lo que sea, Linux lo gobierna. Sí, incluso los iPhones, que lo usan para 4G y 5G. Greg Kroah-Hartman en la Cumbre de Código Abierto de China, 2024 sjvn/ZDNETLas CVE rastrean los problemas de seguridad del software del mundo. En el caso de una CVE, o al menos una CVE de Linux, eso significa problemas que pueden detener el sistema. ¿Se perdieron datos debido a un error? No es una CVE. ¿La última actualización simplemente hizo que tu computadora fuera muy lenta? No, no es una CVE. ¿Arruinó tu servidor como un insecto que golpea un parabrisas a toda velocidad? Ahora, estamos hablando de una CVE. En febrero de 2024, el equipo de desarrolladores del kernel de Linux se hizo cargo de la asignación de CVE para el kernel de Linux. Lo hicieron porque las nuevas regulaciones gubernamentales, como las de la Unión Europea, requerían que los proyectos de código abierto asumieran la responsabilidad de las vulnerabilidades conocidas. Además, como explicó Kroah-Hartman en ese momento, porque si bien el «sistema CVE en general está roto de muchas maneras… este cambio es una forma de que asumamos más responsabilidad por esto y, con suerte, mejoremos el proceso con el tiempo». También se aseguró de que ningún otro grupo pudiera asignar CVE de Linux sin que los desarrolladores de Linux dieran su opinión. Además: 5 aplicaciones de terminal de Linux que son mejores que su predeterminadaEspera. ¿No es preocupante que aparezcan 60 CVE a la semana sobre problemas que pueden paralizar el equipo? Bueno, sí. Pero tampoco. Kroah-Hartman explicó que hoy en día el núcleo de Linux tiene «38 millones de líneas de código. Sólo se utiliza una pequeña parte de esto. Mi portátil utiliza alrededor de un millón y medio de líneas de código… Tu teléfono, la bestia más compleja que existe, utiliza alrededor de 4 millones de líneas de código. Así que, de todo, en realidad estás utilizando una pequeña parte, pero todo el mundo utiliza una parte diferente, y eso es algo importante que hay que recordar». El equipo del núcleo de Linux no tiene ni idea de qué parte utilizas en tu producto. Su trabajo es producir el código central que utiliza todo el mundo. Cada uno con su propia configuración y caso de uso únicos. Además: 10 cosas que siempre hago inmediatamente después de instalar Linux – y por quéKroah-Hartman citó a Ben Hawkes, un experto en seguridad informática, hacker de sombrero blanco y ex director del Proyecto Zero de Google, que resumió la situación muy bien: «CVE no hace un gran trabajo a la hora de capturar estos matices del ecosistema del núcleo de Linux. Es difícil capturar el hecho de que un error puede ser muy grave en un tipo de implementación, algo importante en otro, o no ser gran cosa en absoluto – y que el error puede ser todo esto al mismo tiempo. La reparación de vulnerabilidades es difícil». Es por eso que hay tantos CVE saliendo a un ritmo tan frenético. Porque con tantos sistemas y casos de uso diferentes, cualquier error puede ser un error de seguridad. Como dijo una vez Linus Torvalds, «los problemas de seguridad son sólo errores». Eso, debo añadir, se debe a que los miembros del equipo de seguridad del núcleo son reactivos. Responden a los errores y vulnerabilidades informados. Ellos clasifican los informes de errores entrantes, determinan si existe un problema de seguridad y trabajan con los encargados de mantenimiento relevantes para solucionar el error. No buscan errores. Una vez que hay una solución disponible, se fusiona con las versiones estables semanales del kernel, que se envían a los usuarios lo antes posible. Depende de los usuarios probar y determinar si un problema en particular afecta su caso de uso específico. Además: Esta distribución ligera de Linux es la mejor manera de revivir su vieja computadora. Aquí le mostramos cómo Este equipo no acepta embargos ni utiliza anuncios previos. ¿Por qué no? Porque creen, con razón, que todo lo que hacen estos enfoques es provocar fugas de información. En cambio, apuntan a hacer llegar las correcciones a los usuarios lo más rápido posible. Por lo general, esto se hace dentro de una semana de tener un parche disponible. Este enfoque garantiza que los usuarios sean notificados rápidamente de los problemas de seguridad y puedan actualizar sus sistemas en consecuencia. Estas versiones estables incluyen correcciones de errores y problemas de seguridad retrotraídos del kernel principal. El equipo depende de una gran comunidad de evaluadores, que incluye empresas y particulares, para garantizar su estabilidad y seguridad. Lo que puede hacer para mantener su sistema seguro (ya sea un coche o 10.000 servidores en un centro de datos) es sencillo. La regla de Kroah-Hartman es «si no está utilizando el último sistema de núcleo estable y de largo plazo, su sistema es inseguro». Con esto quiere decir que debe actualizar su núcleo casi todas las semanas. Ahora bien, la mayoría de ustedes encontrarán esa noción tan aterradora como lidiar con 60 CVE por semana. También: 10 atajos de teclado de Linux de los que dependo para lograr la máxima eficienciaLa cuestión es que, dijo Kroah-Hartman, «Tenemos pruebas de que esto se puede hacer. Debian ejecuta más del 80% de los servidores del mundo y están usando actualizaciones de kernel estables. Android, miles de millones de dispositivos que hay por ahí, toma cada actualización de kernel estable con un retraso de un par de meses, pero lo están haciendo y manteniendo sus dispositivos seguros. No hay nada más complejo que integrarlo en el sistema, y ​​no hay nada más común y fácil de usar que un servidor Debian». Espera que, con el tiempo, todos comiencen a usar los kernels de Linux estables, actualizados rápidamente pero cada vez más seguros. La gente, concluyó, «piensa que la falta de cambio es estable, pero eso solo es cierto si el mundo que te rodea no cambia. Piensa en los infames errores Intel Spectre y Meltdown. Tu hardware no cambió. El mundo se dio cuenta de que tu hardware estaba roto. Entonces, si estás en un sistema cerrado que nunca cambia, algunos bancos tienen mainframes en la esquina que nunca se conectan al mundo exterior, maravilloso. Ejecuta eso para siempre. De lo contrario, si estás apegado al mundo y el mundo cambia, es mejor que te mantengas actualizado». En resumen, no te preocupes por la gran cantidad de CVE. Solo asegúrate de verificar que nada en el último grupo afecte tu configuración. En la mayoría de los casos, no lo hará. Sin embargo, para estar realmente seguro, comienza a actualizar tu kernel de Linux con mucha más frecuencia de lo que la mayoría de ustedes lo hace hoy.