En una entrevista de abril de 2024 para All Things Considered de NPR, el ingeniero de software de Microsoft Andres Freund dice que estaba ejecutando pruebas rutinarias de software de código abierto cuando notó algo extraño: SSH —la herramienta que los administradores usan para controlar computadoras de forma remota— «parecía estar usando demasiados recursos» en una máquina donde nadie estaba autorizado a iniciar sesión. Los síntomas eran «lo bastante raros como para que no pudiera justificar ante mí mismo no cambiar» de su trabajo planeado a investigar.
Al profundizar, encontró código inyectado en el software de código abierto que impulsa servidores de gobiernos, empresas y bancos: una puerta trasera que permite a alguien iniciar sesión sin autorización. Quien tenga ese acceso puede hacer prácticamente cualquier cosa, dice: apagar sistemas bancarios, interrumpir controles industriales, robar datos. Freund recuerda que la inyección requirió varios años de trabajo y más esfuerzo del que podría gestionar un solo individuo.
La comprensión llegó lentamente, dice; seguía suponiendo que debía estar equivocado, y luego volvía a darse cuenta de que podría ser cierto. Una vez que dio la alarma, los desarrolladores se sumaron y corrigieron la falla, y un experto en ciberseguridad dijo que «el mundo le debe a Andres cerveza gratis ilimitada».
Para Freund, el problema más profundo es estructural: el componente comprometido había sido mantenido por una sola persona no remunerada durante casi veinte años a pesar de usarse de forma extremadamente amplia. «Tuvimos una suerte irrazonable aquí, y no podemos simplemente confiar en eso en el futuro», dice.
La puerta trasera no fue detectada por herramientas de seguridad, sino por su propio efecto secundario: CPU adicional por cada inicio de sesión SSH, que un ingeniero se negó a pasar por alto.
La detección provino del propio efecto secundario de la puerta trasera —un uso adicional de recursos en los inicios de sesión SSH—, no de ninguna revisión o escaneo de seguridad.
La disciplina de Freund fue el factor diferenciador: el síntoma era lo bastante pequeño como para ignorarlo, y él cambió todo su plan para perseguirlo.
Según el propio relato de Freund, la captura dependió de la suerte, y por eso sostiene que el financiamiento de los mantenedores debe cambiar, como ocurrió después de Heartbleed.
Las pequeñas anomalías inexplicables son baratas de perseguir y caras de ignorar. Y el software de infraestructura no debería depender de un solo mantenedor no remunerado durante veinte años.
Una vez que Freund lo reportó, la comunidad actuó con rapidez: la gente se sumó y la falla fue corregida, y él se convirtió en un «héroe de internet». En la entrevista señala a Heartbleed como el modelo de lo que viene después: tras esa vulnerabilidad de OpenSSL, las empresas comenzaron a pagar a los mantenedores para que la seguridad pudiera mejorar de verdad, «y eso tiene que ocurrir más».
CONSULTA LAS PRUEBAS