La gran "chapuza" informática de LexNet en Justicia que ha costado más de 7 millones

Pues un poco lo de siempre, ¿para que vamos a contratar a uno o dos informáticos? Eso lo averigua mi cuñao gratis... Eso sí, para borrar discos duros tienen a uno que le da tiempo a borrarlos 25 veces...

¿Ya tenemos excusa para captar otro centro de antención y no a las corruptelas que están siendo juzgadas estos días?. Software pagado con fondos públicos, seguro.

Lo que se está juzgando es de traca, pero creo que es importante destacar un gasto de 7 millones de euros en un "software" que ni controla las ids en las urls... Cualquier informático medio decente controlaría eso... Es decir alguien se ha llevado aproximadamente 7 millones de euros por enchufe y sin tener ni puta idea. La cosa es bastante grave...

coyote escribió:¿Ya tenemos excusa para captar otro centro de antención y no a las corruptelas que están siendo juzgadas estos días?. Software pagado con fondos públicos, seguro.

No es solo software pagado con fondos públicos y programado con el culo, es que el propio software vulnera los derechos humanos y es totalmente contrario a la separación de poderes.

https://www.elconfidencial.com/tecnolog ... a_1202136/

El tema es muchísimo más grave de lo que pueda parecer a simple vista.

coyote escribió:¿Ya tenemos excusa para captar otro centro de antención y no a las corruptelas que están siendo juzgadas estos días?. Software pagado con fondos públicos, seguro.

Hombre, que ha sido un agujero de seguridad que ha dejado al descubierto TODOS los escritos judiciales. Si acaso hasta te beneficia porque durante ese momento sabiendo la ID de LexNet de cualquiera de los abogados de esos juicios por corruptelas podrías haber accedido a todas las comunicaciones y escrito judiciales hechos . Wikileaks a la española, no hace falta ni hackear.

Viendo los pantallazos, ese error viene de la actualizacion tocha que tenian prevista a mediados de este mes. Os lo dice alguien que trabaja con ellos dia a dia. Vamos que eso ha estado al descubierto unas semanas. Lexnet lleva desde ¿2008? No recuerdo.

Mas un problema de plazos y falta de personal que de la aplicacion y la gente en si.

Slds.

este fallo ha sido un poco cantoso, pero fallos asi ocurren continuamente en grandes servicios de informatica.

si me pongo a contar casos os echais las manos a la cabeza un buen rato.

@GXY el problema es que son datos MUY sensibles, de actos jurídicos que están en toda la plataforma de LexNet. Y esos fallos son bastante graves, con lo cual cualquiera podría acceder a cualquier escrito de allí. Y es información MUY delicada.

No es una cosa tan trivial y mira que en Informática pasan cosas graves (por ejemplo lo de British Airways).

saludos.

al hilo de ESTE fallo. atencion, pregunta:

alguien de fuera de lexnet ha podido acceder a algo?

nota al pie: el fallo fue solucionado en 5 horas (eso si, desde que fue comunicado en RRSS, fuera del canal que supongo que existirá para la tramitacion de incidencias en lexnet).

pd. alguien aqui conoce GEISER? de ese puedo contar un par de batallitas (eso si, de lo mal que funciona, no de que se filtre su contenido por ahi)

@gxy crees que el software de la administración pública debería ser código abierto? Porque ahora mismo ni tenemos el código ni la empresa adjudicada.

sinceramente, no.

si es codigo abierto, en mi opinion es mas susceptible de ser hackeado desde fuera.

tambien es cierto que el codigo abierto tiene otras ventajas. pero en mi opinion la integridad y seguridad de la informacion sensible, y del funcionamiento de administraciones publicas que por su propia naturaleza son sensibles, me parece mejor que no sea "pasto publico".

unilordx escribió:

coyote escribió:¿Ya tenemos excusa para captar otro centro de antención y no a las corruptelas que están siendo juzgadas estos días?. Software pagado con fondos públicos, seguro.

Hombre, que ha sido un agujero de seguridad que ha dejado al descubierto TODOS los escritos judiciales. Si acaso hasta te beneficia porque durante ese momento sabiendo la ID de LexNet de cualquiera de los abogados de esos juicios por corruptelas podrías haber accedido a todas las comunicaciones y escrito judiciales hechos . Wikileaks a la española, no hace falta ni hackear.

No hace falta, hombre. ¿Para qué quieres hackear cuando la plataforma pertenece al gobierno y ahí los jueces y abogados te van depositando todos los sumarios de la Gürtel, Punica, Lezo y tal?

GXY escribió:sinceramente, no.

si es codigo abierto, en mi opinion es mas susceptible de ser hackeado desde fuera.

tambien es cierto que el codigo abierto tiene otras ventajas. pero en mi opinion la integridad y seguridad de la informacion sensible, y del funcionamiento de administraciones publicas que por su propia naturaleza son sensibles, me parece mejor que no sea "pasto publico".

Por eso les ha ido tan bien con el código cerrado, ¿verdad?

Panko escribió:

GXY escribió:sinceramente, no.

si es codigo abierto, en mi opinion es mas susceptible de ser hackeado desde fuera.

tambien es cierto que el codigo abierto tiene otras ventajas. pero en mi opinion la integridad y seguridad de la informacion sensible, y del funcionamiento de administraciones publicas que por su propia naturaleza son sensibles, me parece mejor que no sea "pasto publico".

Por eso les ha ido tan bien con el código cerrado, ¿verdad?

piensas que este fallo con codigo abierto no habria sucedido, se habria corregido mas rapido o su impacto habria sido menor?

al final los programas los desarrollan y las politicas administrativas las ponen en practica personas. pequeño detalle de relativa importancia.

GXY escribió:sinceramente, no.

si es codigo abierto, en mi opinion es mas susceptible de ser hackeado desde fuera.

tambien es cierto que el codigo abierto tiene otras ventajas. pero en mi opinion la integridad y seguridad de la informacion sensible, y del funcionamiento de administraciones publicas que por su propia naturaleza son sensibles, me parece mejor que no sea "pasto publico".

La seguridad tiene que reposar en las claves, no en la implementación. Todos sabemos cómo funciona un AES, cómo se establece una conexión TLS y hasta disponemos de bibliotecas de funciones para realizar esas operaciones. Lo que tú no sabes, y así tiene que ser, son mis claves de acceso. Pues con la administración debería ser lo mismo.

Aparte de que yo he pagado ese software. Debería poder revisar qué es lo que he pagado.

GXY escribió:si es codigo abierto, en mi opinion es mas susceptible de ser hackeado desde fuera.

Claro, porque la "seguridad por oscuridad" funciona taaaaaaaaaan bien

GXY escribió:al hilo de ESTE fallo. atencion, pregunta:

alguien de fuera de lexnet ha podido acceder a algo?

nota al pie: el fallo fue solucionado en 5 horas (eso si, desde que fue comunicado en RRSS, fuera del canal que supongo que existirá para la tramitacion de incidencias en lexnet).

pd. alguien aqui conoce GEISER? de ese puedo contar un par de batallitas (eso si, de lo mal que funciona, no de que se filtre su contenido por ahi)

Nadie sin certificado digital de acceso ha podido acceder a un buzon de lexnet. Lo que ha pasado es que por ejemplo un abogado o secretario judicil podia acceder a buzones de otros una vez logado con su propio certificado en el sistema.

Slds

fearandir escribió:
.....

Nadie sin certificado digital de acceso ha podido acceder a un buzon de lexnet. Lo que ha pasado es que por ejemplo un abogado o secretario judicil podia acceder a buzones de otros una vez logado con su propio certificado en el sistema.

Slds

¿Y esto os parece poca cosa? No se yo que pensarías tú o tu abogado si el mío pudiera acceder a todo lo que tenga tuyo asi por las buenas, como quien pasea por el salón de su casa...

GXY escribió:sinceramente, no.

si es codigo abierto, en mi opinion es mas susceptible de ser hackeado desde fuera.

tambien es cierto que el codigo abierto tiene otras ventajas. pero en mi opinion la integridad y seguridad de la informacion sensible, y del funcionamiento de administraciones publicas que por su propia naturaleza son sensibles, me parece mejor que no sea "pasto publico".

Esa precisamente su ventaja, el código abierto permite ser auditado por cualquiera y se puede señalar con el dedo en caso de detectar cualquier falla.

La solución a los problemas no es esconderlos debajo de la alfombra, sino solucionarlos cuanto antes. Esa es la premisa de muchos programas donde la seguridad es algo crítico, como Linux o Apache, y no les ha ido nada mal.

Panko escribió:

fearandir escribió:
.....

Nadie sin certificado digital de acceso ha podido acceder a un buzon de lexnet. Lo que ha pasado es que por ejemplo un abogado o secretario judicil podia acceder a buzones de otros una vez logado con su propio certificado en el sistema.

Slds

¿Y esto os parece poca cosa? No se yo que pensarías tú o tu abogado si el mío pudiera acceder a todo lo que tenga tuyo asi por las buenas, como quien pasea por el salón de su casa...

No me parece poca cosa.

amchacon escribió:Esa precisamente su ventaja, el código abierto permite ser auditado por cualquiera y se puede señalar con el dedo en caso de detectar cualquier falla.

esa ventaja es equivalente a coger la llave de tu casa, sacarle una fotocopia y distribuir la fotocopia adjuntando la direccion de tu casa por la calle.

te sientes comodo con eso? ya te digo yo que las empresas que manejan recursos/informacion "sensibles" no se sienten comodas sacando a la luz cosas que son "para sus ojos solamente".

tu pones todo el codigo de, por poner un ejemplo rapido, el ministerio de hacienda, en codigo abierto que cualquiera pueda señalar... y si, te encontraran 128.482 bujeros. y otros 245.273 se los callaran, para entrar ellos. que esas entraditas se pagan muy bien, si encuentras a los "pagadores" adecuados.

en menos de un mes tienes un hack a medida que riete tu del wannacry.

GXY escribió:sinceramente, no.

si es codigo abierto, en mi opinion es mas susceptible de ser hackeado desde fuera.

tambien es cierto que el codigo abierto tiene otras ventajas. pero en mi opinion la integridad y seguridad de la informacion sensible, y del funcionamiento de administraciones publicas que por su propia naturaleza son sensibles, me parece mejor que no sea "pasto publico".

Si, el código por oscuridad es el no va más, cero fallos.

cero fallos a la vista de la gente sin autorizacion para verlos.

la seguridad no es solo poner cerraduras y tarjetas de acceso a los sitios eh?

Ya. Y cuando te pillan un fallo... WannaCry?

GXY escribió:

amchacon escribió:Esa precisamente su ventaja, el código abierto permite ser auditado por cualquiera y se puede señalar con el dedo en caso de detectar cualquier falla.

esa ventaja es equivalente a coger la llave de tu casa, sacarle una fotocopia y distribuir la fotocopia adjuntando la direccion de tu casa por la calle.

te sientes comodo con eso? ya te digo yo que las empresas que manejan recursos/informacion "sensibles" no se sienten comodas sacando a la luz cosas que son "para sus ojos solamente".

El ejemplo equivalente sería publicar el sistema mecánico de la cerradura y guardarte tu llave personal.

Si tu sistema es seguro. ¿Por qué correría peligro tu casa? Es más, el sistema de las cerraduras es de sobra conocido y sin embargo a nadie le preocupa usarlo en tu casa. Es simple, barato y ofrece un buen nivel de seguridad.

GXY escribió:tu pones todo el codigo de, por poner un ejemplo rapido, el ministerio de hacienda, en codigo abierto que cualquiera pueda señalar... y si, te encontraran 128.482 bujeros. y otros 245.273 se los callaran, para entrar ellos. que esas entraditas se pagan muy bien, si encuentras a los "pagadores" adecuados.

La gracia esque te lo pueda auditar cualquiera, no una empresa en particular. Por tanto esos agujeros podrían ser detectado por cualquier otra persona que si lo publicara.

De todas formas estas exagerando. Un software bien hecho no debería tener tantos agujeros, encontrarlos podría revelar un mal diseño del programa y preguntarnos en que estamos gastando nuestros impuestos.

GXY escribió:en menos de un mes tienes un hack a medida que riete tu del wannacry.

Pues anda que no hay software libre más jugoso que el ministerio de hacienda español .

1. Breve hilo para que la ciudadanía conozca la gravedad de lo ocurrido con #Lexnet.

#LexNET es el sistema de comunicación que abogados, procuradores y administraciones empleamos para comunicarnos con órganos judiciales

3. A través de este sistema se envían demandas, sentencias y cualquier otro documento judicial, incluidas pruebas

4. Se ha descubierto gravísima vulnerabilidad que permitía a cualquier usuario de #LexNET acceder a la cuenta y documentos de otros abogados

5. Esto quiere decir que cualquiera de los 150.000 usuarios de #LEXNET ha podido acceder a datos de terceros (nombre, apellidos, DNI)

6. Pero también datos fiscales, números de cuentas bancarias de ciudadanos, procedimientos que tenga iniciados

7. Mucho más que eso. En los procedimientos de #LEXNET no se oculta el nombre de las partes. Puedes saber todo de una persona

8. Podrías descubrir los datos de mujeres maltratadas, de parejas en vía de divorcio, de trabajadores despedidos, antecedentes penales TODO

9. Todo lo que haya pasado por un juzgado, todo, cualquier dato personal, HA SIDO POTENCIALMENTE EXPUESTO


10. Y como traca final, LexNET está en manos del Ministerio de Justicia. El Poder Judicial no tiene control sobre este sistema

Por todo esto, en un país con una democracia mínimamente sana, el Ministro de Justicia y su equipo habrían dimitido #LexnetNoSeguro #lexnet

Debe dimitir por qué los datos de los clientes (particulares y empresas) de los 150.000 abogados de España han quedado expuestos

Han quedado igualmente expuestos los datos de todos los testigos de la totalidad de los procedimientos judiciales, víctimas, menores, etc.

Y debe dimitir, en definitiva, por que aspiramos a ser un país serio como Suecia y no una república bananera:
Una fuga de datos confidenciales en Suecia provoca la caída de dos ministros

Fuente

A modo resumen

GXY escribió:cero fallos a la vista de la gente sin autorizacion para verlos.

la seguridad no es solo poner cerraduras y tarjetas de acceso a los sitios eh?

como Windows no?

Me gustaría añadir que el user end de los abogados es casi como un e-mail al uso... Quiero decir, sí, han podido tener acceso a todas esas cosas. Pero lexnet no funciona como un auténtico expediente digital, cosa que para mí de hecho sería lo más óptimo. Funciona como un correo electrónico casi. Seguramente me falta información sobre la vulnerabilidad en sí, reconozco y vaya por delante que no he leído más que titulares (en este país nunca pasa nada con nada, nadie asume responsabilidades, así que ya ni me molesto). Era solo por aportar un punto de vista adicional. Lexnet es una chapuza muy considerable, muy poco productivo (en tanto que en muchos juzgados aún exigen que les presentes papel), e insisto que es a efectos prácticos más un correo electrónico que una verdadera plataforma. Es mi humilde opinión compañeros. Un abrazo a todos.

Algunos se creeran que era un fallo y no una feature.

Por favor que estamos en España

Pero esto es para denunciar al estado por saltarse la LOPD y pedir un dineral, se pueden anular las causas... En fin es tan lamentable que debería dimitir toda la cúpula del ministerio de defensa.

amchacon escribió:La gracia esque te lo pueda auditar cualquiera, no una empresa en particular. Por tanto esos agujeros podrían ser detectado por cualquier otra persona que si lo publicara.

De todas formas estas exagerando. Un software bien hecho no debería tener tantos agujeros, encontrarlos podría revelar un mal diseño del programa y preguntarnos en que estamos gastando nuestros impuestos.

el punto al que tu vas es precisamente el mas visible: que deberia ser abierto para que cualquiera pudiera señalar fallos o lo que sea.

el punto al que yo voy es que si expones las "tripas" expones mas facilmente a que "cualquiera" encuentre una vulnerabilidad y en vez de señalizarla, la aproveche en beneficio propio o de terceros, y eso es muy peligroso con herramientas como estas.

y vais listos todos si os pensais que por una incidencia informatica van a dimitir ministros y secretarios de estado. jajaja. pero no ya es que esto sea españistan. es que en ningun pais similar ocurriria. y con similar me refiero a alemania, francia, USA...

Des de el punto de vista de alguien que no entiende...Que fuerte, de verdad. El tema de las dimisiones como lo llevan? Multas millonarias? Juicios por malversación? Tribunal de cuentas? guardia civil en la puerta del ministro? no? NO?

Haran escribió:Des de el punto de vista de alguien que no entiende...Que fuerte, de verdad. El tema de las dimisiones como lo llevan? Multas millonarias? Juicios por malversación? Tribunal de cuentas? guardia civil en la puerta del ministro? no? NO?

Veo pelotones de fusilamiento en el horizonte...

El Ministro de Justicia ya tendria que haber dimitido hace tiempo: cuando fue reprobado, al establecerse los juzgados provinciales de clausula suelo, por su politica de "papel cero" que ha hecho multiplicar el gasto en papel, etc etc...

Y no llevemos este hilo por otros derroteros, que este hilo es para el LexNET, para lo otro ya hay otro hilo...

Pues sí, en un país serio esto sería un escándalo con dimisiones y gobierno mediohundido, pero aquí preferimos centrarmos siempre en lo anecdótico y de lo importante nos olvidamos

Haran escribió:Des de el punto de vista de alguien que no entiende...Que fuerte, de verdad. El tema de las dimisiones como lo llevan? Multas millonarias? Juicios por malversación? Tribunal de cuentas? guardia civil en la puerta del ministro? no? NO?

si tu eres dueño de una empresa, contratas a un informatico para que haga un programa y un fallo del programa expone datos de los clientes... ¿te montamos un peloton de fusilamiento en TU puerta?

pues es lo que estas proponiendo que se haga, con la puerta del ministro.

ojocuidao, no estoy justificando que el lexnet este bien hecho ni nada por el estilo. pero si estoy diciendo que freneis un poco los hipogrifos con lo que estais diciendo. la gestion de un sistema informatico y sus incidencias, dificilmente es competencia del "jefe del cliente".

@Lucy_Sky_Diam Es que esto no debe depender de defensa, en todo caso del Ministerio de Justicia.

Jar-Jar escribió:@Lucy_Sky_Diam Es que esto no debe depender de defensa, en todo caso del Ministerio de Justicia.

Ni de coña. Del CGPJ debe depender. Es un tema puramente judicial y el poder ejecutivo no debe tener acceso a esa información. Mucho menos cuando su partido tiene decenas de causas abiertas.

GXY escribió:

amchacon escribió:La gracia esque te lo pueda auditar cualquiera, no una empresa en particular. Por tanto esos agujeros podrían ser detectado por cualquier otra persona que si lo publicara.

De todas formas estas exagerando. Un software bien hecho no debería tener tantos agujeros, encontrarlos podría revelar un mal diseño del programa y preguntarnos en que estamos gastando nuestros impuestos.

el punto al que tu vas es precisamente el mas visible: que deberia ser abierto para que cualquiera pudiera señalar fallos o lo que sea.

el punto al que yo voy es que si expones las "tripas" expones mas facilmente a que "cualquiera" encuentre una vulnerabilidad y en vez de señalizarla, la aproveche en beneficio propio o de terceros, y eso es muy peligroso con herramientas como estas.

y vais listos todos si os pensais que por una incidencia informatica van a dimitir ministros y secretarios de estado. jajaja. pero no ya es que esto sea españistan. es que en ningun pais similar ocurriria. y con similar me refiero a alemania, francia, USA...

Si expones tus tripas, puede que alguien lo vea y quiera sacar beneficio, pero ten por seguro que si uno lo ve, otro lo verá para arreglarlo.

¿Hay alguna posibilidad de que el fallo haya sido intencionado para que algún abogado haya podido acceder a donde no debe?

seaman escribió:Si expones tus tripas, puede que alguien lo vea y quiera sacar beneficio, pero ten por seguro que si uno lo ve, otro lo verá para arreglarlo.

Los usuarios más interesados en que LexNet funcione correctamente y que lidian con la plataforma día a día son juristas, no informáticos. No tienen los conocimientos técnicos para encontrar errores y subsanarlos por mucho que les des el código, mientras que a los malechores les estás facilitando el trabajo.

Si se publicase el código de una herramienta tan sensible como ésta habría muchos más ojos buscando fallos para aprovecharse de ellos que para arreglarlos. La seguridad por oscuridad no es seguridad, pero al menos dificulta el proceso.

zibergazte escribió:¿Hay alguna posibilidad de que el fallo haya sido intencionado para que algún abogado haya podido acceder a donde no debe?

Eso es lo primero que pensé, pero la plataforma depende del ministerio de justicia, así que la peperada tiene acceso a cualquier sumario. Si pueden haber sido otros, quién sabe, pero la banda criminal número 1 de España no tenía por qué hacerlo.

@Ashdown me refiero que es más de Justicia que de Defensa. Estoy al tanto que debiera de depender del CGPJ, ya lo indicaban los propios abogados y Juristas, a la hora de escribirlo no me salía... el problema de fondo es que todos los partidos (en mayor o menor medida) tienen el agua al cuello a nivel judicial y la justicia está muy muy politizada..

GXY escribió:esa ventaja es equivalente a coger la llave de tu casa, sacarle una fotocopia y distribuir la fotocopia adjuntando la direccion de tu casa por la calle.

te sientes comodo con eso? ya te digo yo que las empresas que manejan recursos/informacion "sensibles" no se sienten comodas sacando a la luz cosas que son "para sus ojos solamente".

tu pones todo el codigo de, por poner un ejemplo rapido, el ministerio de hacienda, en codigo abierto que cualquiera pueda señalar... y si, te encontraran 128.482 bujeros. y otros 245.273 se los callaran, para entrar ellos. que esas entraditas se pagan muy bien, si encuentras a los "pagadores" adecuados.

en menos de un mes tienes un hack a medida que riete tu del wannacry.

Un poco de offtopic para que compartir algo de conocimiento y que no se escriban post como el anterior.

Los mejores sistemas de seguridad criptograficos que usa el gobierno de USA son algoritmos de codigo abierto y que todo el mundo puede consultar cuales son las operaciones matematicas que se deben realizar con la clave para descifrar el mensaje codificado.

Cuando el gobierno de USA entiende que la potencia computacional ha puesto en peligro el algoritmo utilizado se hace un concurso publico donde participan decenas de matematicos mundiales con diferente algoritmos de seguridad. Se elige el mejor, el ganador o ganadores se llevan un dineral y el algoritmo se hace publico y se utiliza.

Esto tiene una seria de ventajas claras:

-El algoritmo es elegido por un tribunal de expertos. No a dedazo a la empresa de mi sobrino.

-Al ser codigo libre y este codigo estar expuesto durante mucho tiempo antes de elegir ganador en caso de tener algun fallo ya se encargaran los concursantes de encontrarse fallos entre ellos o incluso expertos que los estudien por aficion/trabajo.

-El codigo se hace publico. Es un algoritmo pagado por dinero publico por lo tanto todo ciudadano de USA tiene acceso a el y puede utilizarlo para sus aplicaciones.

Ultimo apunte la mayoria de servidores de internet utilizan linux, codigo libre y publico a todo el mundo, y no veo que los hackers tomen el control de los servidores cada dos por tres en menos de un mes.

Tambien abogar que si ese software esta pagado por dinero publico deberia ser de codigo libre y cualquier español hacer uso de el, ya que todos los españoles lo hemos pagado.

Tendram escribió:

seaman escribió:Si expones tus tripas, puede que alguien lo vea y quiera sacar beneficio, pero ten por seguro que si uno lo ve, otro lo verá para arreglarlo.

Los usuarios más interesados en que LexNet funcione correctamente y que lidian con la plataforma día a día son juristas, no informáticos. No tienen los conocimientos técnicos para encontrar errores y subsanarlos por mucho que les des el código, mientras que a los malechores les estás facilitando el trabajo.

Si se publicase el código de una herramienta tan sensible como ésta habría muchos más ojos buscando fallos para aprovecharse de ellos que para arreglarlos. La seguridad por oscuridad no es seguridad, pero al menos dificulta el proceso.

¿Ehm? No todo el malo, yo si se publicase el código le echaría un ojo y no para hacer el mal, no todo el mundo es malo por naturaleza. Si viera un fallo lo arreglaría, de hecho en mi día a día uso código abierto y ayudo arreglándolo. Y uso un framework de código abierto también.

No entiendo eso de que lo usan juristas. La mayoría de gente que usa el libre Office es código abierto y no veo a la gente haciendo maldades.

sabran escribió:Un poco de offtopic para que compartir algo de conocimiento y que no se escriban post como el anterior.

Los mejores sistemas de seguridad criptograficos que usa el gobierno de USA son algoritmos de codigo abierto y que todo el mundo puede consultar cuales son las operaciones matematicas que se deben realizar con la clave para descifrar el mensaje codificado..

no estoy hablando del algoritmo de cifrado. estoy hablando del codigo fuente de software de la administracion publica, como el del ejemplo (lexnet)

y los que aqui estan hablando de que seria mejor verlo abierto como una sandia, o bien lo dicen por adscripcion "politica" (linuxerismo al poder! xD) o bien lo dicen porque "quieren ver en que se ha gastado mi dinero"... como si el forista en cuestion hubiera elegido que todo su dinero de los impuestos se hubiera gastado en esa pieza de software.

ni USA ni nadie abre el melon del codigo fuente de los programas que utiliza la administracion del estado, si se preguntan porqué, igual se les ocurre algo.

por si acaso alguno necesita que lo lleven de la manita, empezare la explicacion.

- si toqueteas en una pieza del sistema operativo linux o en libreoffice, lo mas que vas a conseguir es el acceso a la maquina, que puede estar muy bien segun el caso, pero esa clase de fallos se suelen arreglar rapido en cuanto salta la liebre.

- si toqueteas en un software de la administracion del estado puedes, por ejemplo, entrar en expedientes abiertos de casos juridicos en marcha y quien sabe si alterando informacion puedes estar incluso alterando el resultado (dificil porque siguen teniendo copia en papel de todo, precisamente porque en el estamento judicial nadie se fia mucho de la informacion electronica). eso es sencillamente inaceptable que ocurra aunque sea solo una vez.

o el ejemplo que puse hace unos mensajes (geiser) que es software del ministerio de hacienda para el registro de empresas, y tocar ahi puede alterar el registro mercantil, fiscalidad... o que se tocara en el software de la gestion de las declaraciones de hacienda y se modificaran para que salieran todas a devolver 3000 euros.

en lo que toca registros del estado sobre informacion sensible de los ciudadanos (judicial, fiscal, medica...) dudo que en la vida vayamos a ver una sola pieza de software abierto que "cualquiera pueda tocar". never.

GXY escribió:- si toqueteas en una pieza del sistema operativo linux o en libreoffice, lo mas que vas a conseguir es el acceso a la maquina, que puede estar muy bien segun el caso, pero esa clase de fallos se suelen arreglar rapido en cuanto salta la liebre.

Y si esa maquina es el servidor de Lexnet estamos en las mismas

GXY escribió:y los que aqui estan hablando de que seria mejor verlo abierto como una sandia, o bien lo dicen por adscripcion "politica" (linuxerismo al poder! xD) o bien lo dicen porque "quieren ver en que se ha gastado mi dinero"... como si el forista en cuestion hubiera elegido que todo su dinero de los impuestos se hubiera gastado en esa pieza de software.

Se llama transparencia, por eso todos los procesos se publican en el BOE. Esto debería ser lo mismo.

GXY escribió:ni USA ni nadie abre el melon del codigo fuente de los programas que utiliza la administracion del estado

Ejem:
https://code.gov/#/explore-code/agencies/AID

¿No te gusta USA? ¿Que te parece Finlandia? Aquí tienes el código de la web del ministerio:
https://github.com/avoinministerio/avoinministerio

pues en mi opinion es un riesgo innecesario, de todos modos creo que la mayoria de herramientas que indicas del ejemplo de USA no son criticas.

con lo del servidor de lexnet si aciertas bastante, pero supongo que se usaran varios servidores, no uno solo para todo ese volumen de informacion. por otra parte es muy probable que los servidores en cuestion sean maquinas linux.

Jar-Jar escribió:@Lucy_Sky_Diam Es que esto no debe depender de defensa, en todo caso del Ministerio de Justicia.

Totalmente, se me fue la pinza de un ministerio a otro!

GXY escribió:pues en mi opinion es un riesgo innecesario, de todos modos creo que la mayoria de herramientas que indicas del ejemplo de USA no son criticas.

con lo del servidor de lexnet si aciertas bastante, pero supongo que se usaran varios servidores, no uno solo para todo ese volumen de informacion. por otra parte es muy probable que los servidores en cuestion sean maquinas linux.

joder, o no

trabajando en seguridad he visto muchas cosas, desde servidores criticos (scada, una central nuclear, o el sistema electronico de un parking, el sistema electronico de una presa de agua, de gas, etc...por poner algunos ejemplos) funcionando sobre un windows XP y no te estoy engañando
hasta servidores de pymes con un redhat contratado con firewalls y empresa de seguridad externalizada contratada con un centro de operaciones 24/7 (ya me diras para que tanto!? ), he visto de todo, en la seguridad lo que impera es la ignorancia de los clientes respecto a ella, hay empresas que no invierten mucho dinero y luego les pilla el toro, hay empresas que invierten un huevo sin aparente necesidad (aunque es preferible ser muy cauto a ser un picha brava "a mi no me pasara nah!"), etc...

que el codigo de un software sea abierto no implica que sea mas vulnerable, al contrario, los parches salen a una velocidad de vertigo, en codigo cerrado dependes de las personas que tengas contratadas, asi que si eres el CNI haz lo que te de la gana, porque vas a tener lo mejor de lo mejor, pero en general no es asi, y a nivel gubernamental solo conozco al CNI como ente hiper especializado en seguridad

te lo he dicho antes, Windows es codigo cerrado, tiene vulnerabilidades conocidas, wannacry aprovechaba una vulnerabilidad conocida, e igual que Windows, esta skype, otro que ha sufrido ataques durante toda su historia, los sistemas Mac OSX tambien han sufrido un huevo de ataques tambien (sobretodo los dispositvos moviles), etc...

un codigo cerrado es otra forma de trabajar, no hace que sea mejor o peor, depende de tu presupuesto, si no gozas de un presupuesto para tener hipercracks trabajando a diario en ello no te merece la pena, y dudo que el estado invierta en fieras de la programacion para ese tipo de software (muy distinto al CNI repito, esos ya son otro cantar)

el problema de la seguridad es que es una ciencia muy oscura a dia de hoy, hay mucho desconocimiento en ella, cada dia salen nuevos tipos de ataque, no puedes decir "esto es mas seguro que aquello", no, depende de como este todo montado a su alrededor

un experto en seguridad dijo una vez "El único sistema completamente seguro es aquel que está apagado, encerrado en un bloque de cemento y sellado en una habitación rodeada de alambradas y guardias armados.", hazte a la idea