El día de hoy es el Earth Day,  y como ya saben Microsoft tiene todo un iniciativa para soportar el movimiento verde. Microsoft Environment es el lugar donde estamos centralizando toda la información de soporte a todos los esfuerzos de computación confiable asociados a tener un ecosistema sustentable. El día de hoy se presentaron cambios a este sitio que incluyen algunos tópicos que considero relevantes:

1. Nueva sección de Windows 7 Power Management
2. Nueva sección de redes sociales y webcasts
3. Nueva sección de casos de estudio acerca de Buenas Prácticas de Centro de Datos
4. Nuevas sección de Unified Communications

Adicionalmente, los invito a leer la edición de la revista Technet magazine que tiene un reporte de tecnologías verdes incluidas en nuestros productos como Windows Server 2008, Windows Vista y Windows 7.

Además toda esta tecnología verde, Windows 7 tiene una serie de potencialidades para ayudar a conservar energía con las características de administración avanzada de tecnología. El detalle esta disponible en el sitio de Ambiente en www.microsoft.com/environment/windows7.aspx

Como es responsabilidad de todos el lograr tener un ecosistema más sustentable, se están anunciando una serie de canales sociales para que puedan participar.

Mantente conectado: Blog | Twitter | YouTube | RSS

Si quieres tener más detalles de las tecnologías verdes, te invito a los siguientes webcasts de TechNet, en inglés por el momento.

Los invito a revisar esto y ver como pueden ayudar a tener un planeta mejor.

Saludos, Christian.-

Los “easter egs” virtuales o digitales eran una práctica muy común hace algunos años. Los “easter eggs” eran pequeños programas ocultos introducidos en los programas legítimos con el simple propósito, muchas veces, de demostrar que era posible agregar este tipo de funcionalidad; en algunos casos esos programas ocultos tenían funcionalidad cómica, como bromas y sin un real propósito asociado a la funcionalidad del programa que los contenía.

En particular los primeros que recuerdo incluían entre otros: cambiar el ícono de Netscape 0.9  de la clásica N a un dragon de Mozilla, hasta el día de hoy escriban about:mozilla en cualquier ventana de Firefox; otro de los más comentados en Windows 95 –o 98 no recuerdo bien– era en el protector de pantalla cuando elegías la posibilidad de escribir un texto y escribías Volcano, el protector desplegaba la lista de volcanes de USA; los más elaborados fueron incluidos en las versiones de Office 97 donde incluso uno de los programas incluía una versión del Flight Simulator.

Más allá de discutir la usabilidad o utilidad de este tipo de programas, probablemente pensados en una era más ingenua de la computación; si tenemos que clasificarlos hoy día podríamos fácilmente clasificarlos como Software no deseado, incluso en algún caso como un Caballo de Troya ya que son programas ocultos con funcionalidad distinta a la que declara tener el programa principal.

Aparte de la clasificación que podamos darle a estos programas, desde el punto de vista de la confiabilidad del programa que lo contiene un punto relevante es que estos segmentos de código adicional, aumentan la superficie de ataque y, por ende, aumentan el riesgo al que está sometido el programa. Por lo tanto, la práctica de incluir “easter eggs” compromete la seguridad general del programa. Yendo más allá, qué pasa con las vulnerabilidades contenidas en un “easter egg”? dado que es una funcionalidad no documentada, cómo seguir un proceso de seguridad adecuado de los mismos? Simplemente, no se puede hacer.

Las aproximaciones para reducir la superficie de ataque tienen varios frentes, como por ejemplo, los asistentes de configuración de seguridad (SCW) incluidos en los sistemas operativos. Un enfoque más metodológicos son las guías de hardening que dan instrucciones claras de que configuraciones seguir en determinados escenarios.Pueden encontrar muchas de ellas en TechNet.

Siendo pragmático, incluir “easter eggs” o más aún utilizar programas que los contengan debiera aumentar el riesgo total al que se ve expuesto una compañía. De hecho, debiera ser incluido como una componente en el análisis de riesgo. Independiente de los divertidos que puedan parecer es una mala práctica de desarrollo de software.

Pero, y qué pasa con los programas Microsoft? Más arriba hice mención a varios easter eggs  contenidos en Office y Windows; incluidos en una época donde los requerimientos de seguridad no eran tan estrictos como hoy. Desde el año 2002, Microsoft tienen la iniciativa de Trustworthy Computing o Computación Confiable, se compone de cuatro pilares fundamentales: seguridad, privacidad, confiabilidad y buenas prácticas de negocios. Claramente, los easter eggs no caen dentro de esta clasificación y no cumplen varios de los principios en ellos declarados.

Qué debe hacer alguien que quiere tener software seguro? La respuesta no es simple, pero una aproximación es usar un proceso de desarrollo de software que incluya la seguridad en todo el ciclo de vida del software. Justamente eso es lo que hace SDL: Security Development Lifecycle, que en cada etpa del desarrollo incluye pasos de seguridad.

La figura muestra el ciclo en sí, dividido por fases y los pasos de seguriad en cada una de ellas: 

Este ciclo, la metodología, documentación y herramientas están disponibles para ser usados como práctica de desarrollo seguro en el sitio de MSDN: http://msdn.microsoft.com/en-us/security/cc448177.aspx 

Con estas prácticas y el trabajo constante en seguridad, la cantidad de riesgos asociados al software irán disminuyendo, así como los easter eggs.

Comentarios y consultas bienvenidos.

Saludos, Christian.-

El día de ayer, los clientes usando Windows Live Messenger pueden haber recibido un mensaje parecido al siguiente:

He recibido confirmación de nuestro equipo de MSN y esto se debió a un error involuntario, por lo cual, pedimos las más sinceras disculpas por los inconvenientes que pudiera haber causado. Si usted recibió este mensaje, por favor ignórelo. Usted podrá seguir usando su dirección de correo actual sin problemas y no hay razón para hacerlo.

Si used ha hecho clic en el vínculo, no hay riesgo para usted. Debiera haber recibido un mensaje similar al siguiente “Su cuenta Windows Live ID no puede ser cambiada en estos momentos” y recibe esto porque no hay razón para hacerlo.

Estas notificaciones son usadas solamente para informar de situaciones graves o urgentes, pero desaforunadamente un error humano causó que estas notificaciones fueran enviadas. Nuestros equipos a cargo revisarán el proceso asociado para evitar que situaciones así ocurran en el futuro.

Nuevamente, les pedimos disculpas por cualquier confusión o problema que esto haya podido causar.

Cualquier duda no dejen de avisar.

Saludos, Christian.-

PD: Gracias a Sergio Calderon por enviar el screenshot en español.

Mis amigos del grupo de usuarios MUG me hicieron llegar esta invitación para el evento Manage IT 2009: Gestión de Proyectos y Arquitectura de Software. La descripción del evento es la siguiente:

Los Nuevos desafíos en el campo de TI. En este evento, oradores de primer nivel, referentes de la comunidad tecnológica, nos mostrarán su visión ya sea desde la Gestión propiamente dicha como desde la administración de equipos de desarrollo, cuales son las alternativas a tener en cuenta al diseñar la arquitectura de una aplicación.
Dentro del ciclo de vida de desarrollo del Software, existen varias etapas que en mayor o menor medida se encuentran resueltas por la industria.
Actualmente, en la ejecución de proyectos, los aspectos tecnológicos dejaron de ser el factor problemático esencial, ya que contamos con abundante información que permite seleccionar diferentes herramientas como Guías y Frameworks que ayudan a resolver los aspectos técnicos de los desarrollos.
Sin embargo, existen dos áreas que hoy en día son las claves para el éxito o fracaso de una solución, siendo estas las que ofrecen mayor incidencia en el costo y tiempo de los proyectos. Estas aéreas son la Gestión de Proyectos y la Arquitectura de esas soluciones.

Cuándo: Miércoles, 22 de abril de 2009
Dónde: Aula Magna UADE, Lima 717, Ciudad Autónoma de Buenos Aires
Oradores: Patricia Scalzone, Rodolfo Finochietti, Diego Gonzalez, Daniel Laco, Esteban Dannunzzio

El evento es gratuito pero la registración es obligatoria, así que no olviden registrarse: http://www.mug.org.ar/registracion.aspx?idevento=3238 

La agenda del evento es la siguiente:

Saludos, Christian.-