Dos años de Heartbleed

En este més que nos deja, abril de 2016, se cumplieron dos años de la presentación en sociedad de Heartbleed, esa vulnerabilidad en OpenSSL que hace posible la fuga de datos de todo tipo. Quien se quiera refrescar la memoria, puede visitar su página oficial en http://heartbleed.com/ y recordar los viejos tiempos.

El caso es que "siete meses y pico después" de que Heartbleed fuera dado a conocer pude echar un vistazo y comprobar que aún había muchos equipos afectados por este problema. Pero, claro, veinticuatro meses ya son demasiados. A estas alturas, y con el impacto mediático que tuvo Heartbleed, es de suponer que ya no habrá prácticamente ningún equipo vulnerable.

¿O sí lo habrá?

Ante la duda, inicié sesión en Shodan y, aprovechando que este buscador analiza la vulnerabilidad de la que hablamos, hice la siguiente consulta:

vuln:CVE-2014-0160

... y me salieron al paso 189.593 resultados. Casi ciento noventa mil equipos vulnerables a fecha de hoy.

Posiblemente algunos de ellos sean resultados repetidos. Equipos que cambiaron de dirección IP, quizá porque sus ISP hacen asignaciones dinámicas. Cosa poco probable en un servidor bien asentado, sí, pero no todos los equipos localizados pertenecen a esa categoría. En cualquier caso, aunque pudiera parecer poca cosa, el número es suficientemente grande como para seguir dando juego, mucho juego, a quienes quieran jugar sucio.

Y demuestra que a las vulnerabilidades les cuesta morir.

Sin ánimo de dar lecciones a nadie, pero queriéndolo dejar claro a quien quiera oír: eso de "si funciona, no lo toques" hay que interpretarlo de forma correcta. SI UN SISTEMA ES VULNERABLE, ENTONCES NO FUNCIONA BIEN Y HAY QUE TOCARLO.

Digo esto porque me temo mucho que, si pudiéramos mirar, no ya en Internet sino dentro de las redes de empresas y organizaciones, nos encontraríamos unos resultados mucho más preocupantes. Al fin y al cabo, otra de las ideas que suelen decirse en voz alta es que "eso no es tan grave, porque no está expuesto al exterior".