Explicación de Cisco al caso “Black Hat – Lynn”

Alberto Arebalos, Corporate Communications Manager de Cisco para América Latina y Caribe, nos explica la postura y/o punto de vista de Cisco sobre el caso que tratábamos ayer en Hispasec, de la repercusión de las acciones emprendidas contra la difusión del estudio de Lynn en la Black Hat.

De cara a no condicionar la lectura de la explicación, desde Hispasec nos reservamos nuestra opinión sobre el particular, basada en los datos publicados por las diferentes partes implicadas, incluido el acceso a la presentación original de Lynn retirada de la Black Hat. A continuación reproducimos íntegramente el comentario que nos ha hecho llegar Alberto Arebalos para nuestros lectores:

Respecto al artículo, “Cisco en el punto de mira de los hackers”, acerca del incidente de Black Hat, un punto que me parece interesante aclarar es que Cisco no censuró la presentación, el problema fue que (y así lo entendió también la Corte de Distrito Federal) que Lynn no respetó los protocolos aceptados en la industria para divulgar problemas de este tipo.

La decisión de ISS y Cisco de ir a la justicia se tomó como acción de último resorte para detener la difusión de información propietaria (Lynn hizo ingeniería inversa del IOS).

Las acciones de Cisco con Lynn y Black Hat no se basaron en el descubrimiento de una vulnerabilidad, sino que ellos optaron por hacer su divulgación fuera de los canales establecidos por la industria.

Existen protocolos y procedimientos para la difusión de vulnerabilidades en el software, justamente con el objetivo de evitar ataques criminales contra los sistemas. Cisco entendió que lo que hicieron Lynn y Black Hat no fue en beneficio de los usuarios de Internet.

La Corte también aceptó el hecho que Cisco y ISS prepararon una presentación alternativa que discutía temas de seguridad en Internet, incluso la vulnerabilidad que Lynn había identificado, pero sin revelar código del IOS que podría ayudar a un hacker a explotar la vulnerabilidad.

La vulnerabilidad había sido detectada a tiempo y el parche estaba disponible, y la acción de Lynn y Black Hat no puede verse como la de guardianes de los intereses de los usuarios sino todo lo contrario.

Cisco tiene un sistema desde hace años que se encarga de detectar y avisar a sus clientes de problemas de este tipo con el objetivo de minimizar los riesgos en sus sistemas. Poner en riesgo la seguridad de los mismos por 15 minutos de fama es demasiado oneroso.

Alberto Arebalos

Corporate Communications Manager

Cisco Systems, America Latina y Caribe