Transparencia no siempre es sinónimo de seguridad: los sí y los no del software libre
La lógica parece impecable: si el código está a la vista de todo el mundo, cualquiera puede revisarlo y encontrar los fallos antes que los atacantes. Eso ocurre, pero solo mientras alguien siga observando. Cuando un proyecto se queda sin gente que lo mantenga, el código sigue siendo público y deja de tener quien lo vigile, lo que lo convierte en un problema en lugar de una ventaja.
“Un software libre bien mantenido puede ser tan robusto como cualquier solución comercial. Pero un software libre abandonado, sin parches ni configuración adecuada, se convierte en una puerta abierta para los atacantes”, advierte Víctor Valdéz, responsable de la Licenciatura en Ciberseguridad de AMERIKE.
Dónde está metido todo esto
Más de lo que la mayoría imagina. Según datos de Canonical, el 55% de las organizaciones opera con sistemas operativos de código abierto, el 49% los usa para infraestructura de nube y el 46% para desarrollo de aplicaciones y sitios web.
En México hay un ejemplo a la vista de cualquiera: la plataforma geoespacial MxSIG del INEGI, esa que permite consultar mapas y datos territoriales, está construida sobre herramientas libres como PostgreSQL y MapServer.
El ecosistema de la ciberseguridad depende de ellas casi por completo. Programas como Linux, Nmap, Wireshark, Metasploit o Wazuh son estándar en auditorías, análisis forense y monitoreo de redes, y ninguno cuesta un peso de licencia.
Lo que sí aporta el código abierto
La transparencia es real y tiene consecuencias prácticas. Al estar disponible, investigadores de todo el mundo pueden analizar el código y detectar vulnerabilidades antes de que alguien las aproveche, algo imposible cuando el programa es una caja cerrada.
Ese mismo acceso sirve para aprender. Quien estudia ciberseguridad puede abrir el código de una herramienta profesional y ver exactamente cómo funciona por dentro, en lugar de conformarse con la teoría.
Y está la colaboración: buena parte de los avances en esta área viene de comunidades internacionales que reportan fallos y proponen soluciones de forma constante, un ritmo difícil de sostener dentro de una sola empresa.
Lo que hay que hacer para que funcione
El error más común, según Valdéz, es asumir que una herramienta muy usada por la comunidad no necesita atención propia. La seguridad real depende de cinco cosas concretas: que el proyecto siga teniendo mantenimiento activo, que la configuración inicial sea correcta, que las actualizaciones se apliquen a tiempo, que exista una gestión de vulnerabilidades y que alguien monitoree la herramienta una vez que ya está operando.
Dicho de otro modo, lo que protege no es el tipo de licencia sino las prácticas de quien la implementa. El Día del Software Libre se conmemora cada tercer sábado de septiembre.
Imágenes cortesía de sus respectivas marcas.
