Supongo que todos habréis leído la noticia de esta semana en menéame, genbeta y demás sobre cuál es el sistema operativo más seguro, según Symantec. Titulares:

La controversia no se hizo esperar, Apple se quejó sobre los resultados del informe de Symantec y Sun hizo declaraciones alegando que la información de Symantec no coincidía con la que manejaba Sun:

En el último semestre de 2006 Sun publicó 54 vulnerabilidades, de las cuales sólo 36 afectaban a Solaris. Análisis pasados sobre el tiempo de respuesta ante vulnerabilidades muestran que Sun respondió en un plazo de cinco días para la gran mayoría de los casos…

La información se basa en un estudio de Symantec que ha tenido en cuenta el número de vulnerabilidades, la gravedad y el tiempo medio que se ha tardado en solucionarlos. Y sorprendentemente gana Windows, quedando la clasificación más o menos así :

  1. Windows: 12 vulnerabilidades severas de un total de 39 resueltas en 21 días
  2. Linux: 2 vulnerabilidades severas en un total de 208 que se tardaron en resolver 58 días
  3. Mac OS X: 1 vulnerabilidad severa de un total de 48 resueltas en 66 días
  4. HP-UX: 2 vulnerabilidades eran severas de un total de 98 que se resolvieron en 101 días
  5. Solaris: 1 vulnerabilidad eran severa de un total de 63 que se resolvieron en 122 días

Es curioso el hecho de que el orden de preferencia para Symantec parece estar muy directamente relacionado con el tiempo que se tardan en solucionar los errores, ya que el número de vulnerabilidades no parece significativo en la clasificación, y mucho menos la gravedad de las mismas.

Vamos a jugar a un jueguecito matemático. Tomemos el tiempo medio de resolución de cada vulnerabilidad como el tiempo en que tardaron en solucionarse los problemas graves. Supongamos que no es posible que haya dos errores graves al mismo tiempo, y que estos se producen uno tras otro, pero no a la vez en el tiempo. Y ahora hacemos las cuentas: si el sistema operativo X tuvo N problemas graves que se solucionaron en T días, estuvo expuesto a algún problema grave NxT días. Simples matemáticas, ¿vale? A ver qué sale:

  • Windows: 12 x 21 = 252 días expuesto a algún problema grave
  • Linux: 2 x 58 = 116 días expuesto a algún problema grave
  • Mac OS X: 1 x 66 = 66 días expuesto al único problema grave
  • HP-UX: 2 x 101 = 202 días expuesto a algún problema grave
  • Solaris: 1 x 122 = 122 días expuesto al único problema grave

Vaya, pues si que cambian las cosas, ¿no? Resulta que los ordenadores que usaban MAC fueron los mejor protegidos, seguidos por Linux, Solaris, HP-UX y por último Windows. Pero ahora tengamos en cuenta que el estudio de Symantec se hizo durante seis meses, que son como todos sabéis 180 días aproximadamente. ¿cómo puede salirnos entonces que Windows estuvo expuesto más tiempo del que duró el estudio? Pues tenemos dos opciones (una, otra o ambas), que consisten en desechar alguna de nuestras hipótesis:

  • O bien los problemas graves se resuelven en menos tiempo que el tiempo medio.
  • O bien Windows y HP-UX estuvieron expuestos a más de una amenaza grave simultáneamente

Sigamos pensando: ¿qué pasa si los problemas graves se resuelven en menos tiempo? Si hacemos esa asunción, deberíamos hacerla con todos los sistemas, ¿no? Entonces, la clasificación de Symantec que se basa precisamente en el tiempo de resolución de los problemas quedaría en entredicho. Además, el estudio no detalla qué versiones ha analizado de cada Sistema Operativo, lo único que dice es que de Red Hat analiza varias, incluyendo fedora.

Por último, una reflexión: en la web de Symantec he encontrado 11 productos para aumentar la seguridad de Microsoft Windows, frente a 4 productos para aumentar la seguridad de Mac OS. Del resto de los sistemas operativos, no he encontrado ni rastro… ¿será que Symantec sólo gana dinero con Windows y por eso lo recomienda?

Noticias relacionadas (pero antiguas)

http://buenacosa.wordpress.com/2006/07/17/fud-de-mcafee-el-open-source-tiene-la-culpa/

http://buenacosa.wordpress.com/2006/09/24/symantec-mas-fud-sobre-firefox/

Compártelo