El ingeniero checo Ondrej Surý, de 49 años, se convirtió en un héroe anónimo para millones de usuarios de internet tras empaquetar con urgencia los parches de dos vulnerabilidades críticas en PHP, el lenguaje de programación presente en el 70% de las páginas web del mundo. La hazaña, realizada durante sus vacaciones en Italia, evitó que miles de sitios quedaran expuestos a ataques informáticos y puso de relieve la dependencia global del software libre mantenido por voluntarios. Su trabajo, que consistió en adaptar el código corregido para que fuera fácil de instalar en versiones antiguas de PHP, fue reconocido con cientos de mensajes en redes sociales y titulares que lo calificaron como héroe.
La historia comenzó en agosto, cuando dos empresas de seguridad estadounidenses descubrieron dos fallos en PHP. Antes de que se publicara el parche oficial, la información se filtró y los atacantes pudieron haber utilizado las vulnerabilidades para modificar sitios web, robar datos de clientes o acceder a otros ordenadores. En cuestión de horas, decenas de agencias y políticos emitieron alertas para actualizar de inmediato. Surý, quien se describe como “el principal empaquetador de PHP para Debian y de otros paquetes”, se encargó de que la actualización llegara rápidamente a los desarrolladores. “He hecho esto durante mucho tiempo, para mí es lo normal”, declaró a EL PAÍS desde Toscana.
El papel crucial de los voluntarios en la infraestructura digital
El caso de Surý no es aislado. Internet se sostiene sobre una compleja red de componentes de código abierto mantenidos, en muchos casos, por una sola persona. “Es totalmente cierto”, afirma Courtney Miller, profesora de la Universidad George Washington. “El software de código abierto es un movimiento sostenido por voluntarios. Muchas empresas se benefician de él, pero, en última instancia, buena parte lo lideran individuos. A menudo hay una sola persona manteniendo un proyecto”, añade. Esa fragilidad se traduce en riesgos cuando el voluntario deja de mantener el proyecto por cambio de trabajo, pérdida de interés o falta de tiempo.
Daniel Stenberg, desarrollador sueco creador de curl, una herramienta de transferencia de datos presente en miles de millones de dispositivos, señala a las empresas que se aprovechan de esta situación: “Todo el que crea software lo sabe. La falta de visión y la mentalidad de ‘no estamos obligados a pagar, así que no pagamos’ es lo que hace que las peores situaciones se repitan una y otra vez”. Michael Schwartz, director técnico de Censys, compara la situación con piezas de automóviles: “Son como piezas importantes de coches de distintos fabricantes que solo mantienen un pequeño grupo de voluntarios. Si un fallo en una pieza permitiera a alguien abrir o tomar el control de un coche, millones de vehículos estarían en riesgo, sin importar la marca”.
La IA acelera los ataques y la carga de los voluntarios
La inteligencia artificial está agravando este escenario. Un gráfico elaborado por el programador conocido como 0xosprey muestra el crecimiento exponencial de las vulnerabilidades registradas en la lista oficial de CVE (Vulnerabilidades y Exposiciones Comunes). “La investigación de vulnerabilidades ha sido siempre una tarea tediosa. Las nuevas herramientas de IA aceleran ese proceso de forma exponencial, así que cabe esperar que aparezcan más vulnerabilidades. Es como una carrera armamentística: todo mejora, pero lo hace tanto para los defensores como para los atacantes”, subraya Schwartz. Jesús María González Barahona, catedrático de Ingeniería Telemática de la Universidad Rey Juan Carlos, advierte: “Es muy posible que vayamos hacia más crisis así. La probabilidad de que esto ocurra de forma masiva con componentes que se utilicen mucho no es cero”.
Surý reflexiona sobre el futuro de esta labor voluntaria: “Cuando yo empecé con el software libre, era algo fresco, nuevo y emocionante. No estoy seguro de que las nuevas generaciones lo sigan viendo así”. Y añade: “Ahora todo se ha acelerado: internet va mucho más rápido. Tenemos la IA. Quizá los jóvenes se sientan abrumados por la cantidad de cosas entre las que pueden elegir. Hace falta una determinada mentalidad: querer hacer algo por los demás”. El ingeniero checo aboga por que las empresas que lucran con el software libre contribuyan a financiarlo y rindan cuentas por los fallos de sus productos comerciales. La historia de Surý deja una lección clara: la seguridad de internet depende, en gran medida, de la buena voluntad de unos pocos voluntarios, una realidad que la IA está poniendo a prueba como nunca antes.
