Añadir Mangas Verdes como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
Internet descansa sobre trabajos que casi nadie ve.
Uno de esos trabajos lo hace Ondrej Surý, un ingeniero checo de 49 años que adaptó a versiones antiguas de PHP el código parcheado para dos vulnerabilidades descubiertas en agosto por dos empresas de seguridad estadounidenses. El detalle importa porque PHP sigue presente en el 70% de las páginas web del mundo.
Su nombre no suele aparecer cuando una web carga bien, pero ahí está una de las contradicciones menos cómodas de la vida digital. Una parte enorme de la red depende de tareas pacientes y repetidas que, muchas veces, recaen en muy pocas manos.
Un solo mantenedor sostiene una pieza clave de la Red
Surý se presenta de forma directa en su perfil. Es el principal empaquetador de PHP para Debian y de otros paquetes, una función técnica que suena discreta hasta que toca corregir fallos en un lenguaje que mueve buena parte de internet.
"He hecho esto durante mucho tiempo, para mí es lo normal". - Ondrej Surý, principal empaquetador de PHP para Debian
Esa normalidad tiene una escala muy concreta. Surý recibe 1.539 euros mensuales de 490 personas a través de Patreon y cuenta con 273 seguidores en Mastodon, cifras modestas para alguien que trabaja sobre una pieza tan extendida de la infraestructura digital.
Courtney Miller, profesora de la Universidad George Washington, sitúa ahí el problema humano del software libre. Para ella, muchas empresas se benefician de ese trabajo, pero a menudo hay una sola persona manteniendo un proyecto.
La infraestructura digital no falla sola
Daniel Stenberg, desarrollador sueco y creador de curl, lo plantea en términos aún más amplios. Afirma que cada pieza de infraestructura digital se apoya en componentes de código abierto y que la negativa a pagar por ellos alimenta una cadena de problemas que vuelve una y otra vez.
Michael Schwartz, director técnico de Censys, compara esa fragilidad con piezas importantes de coches de distintos fabricantes mantenidas por un pequeño grupo de voluntarios. Si una de esas piezas falla, el riesgo no se queda en una marca ni en una empresa, igual que ocurre con fallos recientes en PHP que obligan a mirar el problema como infraestructura compartida.
"Cuanto antes la gente se dé cuenta de que el software debe ser mantenido, más seguros estaremos". - Ondrej Surý, principal empaquetador de PHP para Debian
La frase apunta a algo más profundo que un parche concreto. También cuestiona una costumbre ya instalada, esa resignación con la que aceptamos que los dispositivos y los programas vengan con errores como si fuera el peaje inevitable de la vida conectada.
Surý no compra esa idea. Cuando habla de responsabilidad, carga contra las empresas que ganan dinero con productos comerciales y recuerda que no deberían escapar de las consecuencias cuando el software del que dependen arrastra fallos.
La inteligencia artificial acelera una carrera que ya era difícil
Ahora entra otro factor que complica el tablero.
Michael Schwartz advierte de que la búsqueda de vulnerabilidades siempre fue una tarea tediosa, pero las nuevas herramientas de inteligencia artificial aceleran ese proceso de forma exponencial. Su conclusión no mira solo a los defensores, porque describe una carrera armamentística en la que mejoran a la vez quienes corrigen y quienes atacan.
Un programador conocido como 0xosprey ya utilizó inteligencia artificial para crear un gráfico en una web con las vulnerabilidades registradas en la lista oficial de CVE, las siglas de Vulnerabilidades y Exposiciones Comunes. La automatización ya no sirve solo para escribir código, también ayuda a ordenar y hacer visible la magnitud del problema.
Ese clima explica que Wes Streeting, ministro de Defensa de Reino Unido, haya pedido a los británicos que acumulen agua y comida en casa ante varias crisis posibles, entre ellas los ciberataques. La advertencia suena doméstica, casi de despensa, pero conecta con una cadena técnica que empieza en librerías, parches y mantenedores invisibles.
El desgaste también alcanza al relevo generacional
Surý no habla solo de máquinas, también habla de ánimo. Recuerda que cuando él empezó con el software libre aquello era algo fresco y emocionante, y duda de que las nuevas generaciones lo vivan hoy del mismo modo.
"Ahora todo se ha acelerado. Tenemos la IA. Quizá los jóvenes se sienten abrumados por la cantidad de cosas entre las que pueden elegir. Hace falta una determinada mentalidad, querer hacer algo por los demás". - Ondrej Surý, principal empaquetador de PHP para Debian
Randall Munroe, extécnico de robótica de la NASA y autor de xkcd, convirtió esa dependencia en una imagen popular entre programadores con una viñeta sobre una infraestructura digital apoyada en componentes de código abierto. A veces un dibujo explica mejor que un informe por qué la explotación de vulnerabilidades en PHP puede afectar a tantos actores al mismo tiempo.
Jesús María González Barahona, catedrático de Ingeniería Telemática de la Universidad Rey Juan Carlos, cree que es muy posible que lleguen más crisis de este tipo. Y añade un matiz incómodo, porque la probabilidad de que ocurra de forma masiva con componentes muy utilizados no es cero.
Ahí queda la imagen menos tranquilizadora de todas, un lenguaje presente en el 70% de la web, vulnerabilidades que aparecen más deprisa con ayuda de la IA y proyectos cruciales que a veces dependen del trabajo cotidiano de una sola persona.