Microsoft quiere limitar la divulgación de fallos informáticos

Microsoft ha creado una coalición con las compañías de seguridad Bindview, Foundstone, Guardent, @Stake e Internet Security Systems para limitar la información sobre fallos informáticos. Las empresas se comprometen a no difundirlos hasta 30 días después de su descubrimiento, y a no publicar un código que sirva para explotarlos. El objetivo es crear un estándar oficial de la Internet Engineering Task Force sobre notificación de fallos.

Scott Culp, responsable del Centro de Emergencias de Seguridad de Microsoft, sentó las bases de esta línea con el artículo Es hora de acabar con la anarquía informativa. Afirmaba que la libre información es responsable del aumento de virus y ataques: 'No podemos seguir armando a cibercriminales'.

La comunidad de seguridad informática ha reaccionado contra lo que llama 'censura' informativa, que hará más inseguros los programas y criminalizarán la investigación. El criptólogo Bruce Schneier aseguraba: 'Cuando se publica una vulnerabilidad, la presión pública es un gran incentivo para que el fabricante arregle el problema rápidamente. La responsable es la mala calidad del software, pero es más fácil eliminar la información que arreglar el problema'.

El hacker Jericho añadía: 'Si cuando se descubrió un fallo en el sistema Passport de Microsoft, que permitía ver las tarjetas de crédito de los usuarios, se hubiese seguido esta política, millones de personas y sus datos habrían estado abiertos al ataque un mes, sin saberlo'.