Archivo de febrero de 2010

Cuando el informatico muere…

Jueves, 25 de febrero de 2010

Alguien me hizo un pregunta hace tiempo, con bastante poco tacto, todo hay que decirlo, ¿Que ocurre si el informático que lleva un desarrollo muere?. Bien un escalofrio me recorrio el cuerpo pensando “Dios mio que ha pasado, me van a matar…”, pero no la pregunta iba dirigia a que garantías de continuidad puede tener un proyecto hecho por una programador y este desparece.

Como todos sabemos las empresa informáticas no estas libres de problemas, quiebra, falta de personal, ERE’s, cambios de politica, o bien la empresa es simplemente un autónomo y ese autonomo desaparece. Un cliente que decide contratar un desarrollo no solamente invierte dinero, sino secretos industriales y en definitiva una gran confianza en el desarrollador. Por eso razonablemente existe la duda de ¿Que pasa si la empresa contratada cierra o el informatico desaparece?

La ingeniería informática lleva muchos años, por lo tanto este problema ha surgido miles de veces, por lo tanto la experiencia a dado como resultado la solución, que satisface a ambas partes al cliente y desarrollador.

La administración exige una obligación que no solamente afecta a los informáticos, sino a decenas de gremios, aparejadores, arquitectos, médicos, etc., llamado SRC, o lo que es lo mismo Seguro de Responsabilidad Civil, creo que nosotros tenemos 300.000€, es decir en caso de un problema como el comentado, el cliente podra rescatar de esta cantidad los daños que considere.

Contrato Scrow

Pero en muchos casos, el problema no se puede solucionar con dinero, porque existe una gran cantidad de inversión de ingeniería y de investigación, es decir a veces no es tan fácil volver a encontrar la formula “mágica”, sin contar que tampoco es interesante para el cliente, el volver a explicar a otra empresa su forma de trabajo, que ademas nadie le asegura que no se vuelva a repetir.

Programacion a medida

Lo deseable seria que el cliente dispusiese del codigo fuente, que viene a ser las “tripas del desarrollo”, lamentablemente son muy pocas las empresas que suministran esto, o el coste es tan alto que el desarrollo se dispara, esto no es poque sean “perversos” y quieran que una dependencia total hacia el cliente, sino porque el codigo fuente es el valor mas importante que tiene la empresa de desarrollo es su know how, y su inversion de futuro.

Para este caso se desarrollo el contrato Escrow, que se constituye como una especialidad del contrato de depósito regulado por los art.1758 y siguientes del Código Civil, el objeto de este contrato es otorgar al cliente la posibilidad de acceder al código fuente en el caso de que se produzca alguna de las causas establecida, algunas de estas clausulas suelen ser la falta de atencion por parte del proveedor, es decir no hace falta que el informatico muera, por mucho menos se puede acceder a los fuentes y continuar el trabajo.

Con el contrato Escrow el proveedor deposita una copia de los fuentes ante notario, y se compromete a actualizalos cuanto esto surga, y el proveedor podra acceder a ellos si se produce una de las clausulas señaladas, por lo tanto ambos pueden dormir tranquilos ya que la inversion esta asegurada por todos los puntos.

En cualquier caso no hagaís daño a vuestro informáticos, “errare humanum est”, y como decía el presidente de Intel  “…an error is only likely to ocurr”

PDF    Enviar artculo en formato PDF   

Problemas en el servidor

Viernes, 5 de febrero de 2010

 

La otra noche recibi un error desde uno de mis servidores, al intentar acceder via remota me percate que las claves habian cambiado, como podria ser?, las claves estan documentadas, protegidas, nadie habia hecho cambios. Todos sabemos como entrar a un servidor Linux sin saber la clave root pero el caso no era ese sino como se podia haber cambiado esa clave, El caso era facil parece ser que hay un fallo de seguridad, seguramente sera el malintencionado usuario de windows que ahora se ha pasado al Linux, que permite cambiar la clave de root.

CUando eche un vistazo a log de entradas, me di cuenta de que constantemente estaban intentando entrar en el sistema, con decedenas de usuario erroneos, no les culpo, intentar romper la seguridad por fuerza bruta, el problema no era quien intentaba entrar asi, ya sabemos que gracias a nuestras conexiones de telefonica, se pueden tirar años hasta que den con una clave valida, el problema era que estando el servidor accesible desde el exterior en un puerto reconocido el problema se reducia bastante, para cracker al menos.

Total que la solucion fue relativamente facil, cambiar el puerto del servicio ssh, y por supuesto anular cualquier conexion del root. Desde ese momento dejaron los ataques.

Esto implica un pequeño cambio en el fichero /etc/ssh/sshd_config

directriz Port, en lugar de 22 usar cualqueir otro

Esto obligara a un cambio en las tablas NATP, es decir si ahora esta el puerto 22 dirigido al servidor habra que indicarle otro

Esto es lo que los consultores llaman seguridad oculta, lo que seria similar a “eliminada la tentacion se evita el pecado”, esto esta lleno de polemicas.

Crear PDF    Enviar artculo en formato PDF