Los bugs increíbles de las máquinas de votar: no arrastre el dedo que se cuelga

Fuente: Blog de Ricardo Galli.

Vía Joel on software veo el artículo Can You Count on Voting Machines?. En él relatan un bug descubierto en las Diebold AccuVote-TSX después que el estado de California se quejase en 2005 de que las máquinas se colgaban cada pocos cientos de votos.
Luego de bastantes estudios han descubierto que al momento de poner el voto si el usuario arrastraba el dedo el sistema operativo lo consideraba un drag&drop, como el programa no trataba ese evento directamente se colgaba. ¿Cuál era el sistema operativo? Windows CE.
El tema es alucinante y preocupante a la vez. Por un lado esos programas de votaciones, además de simples y pequeños (poco más de 50.000 líneas en C++ en 2002), pasaron por todas las etapas formales de especificaciones, diseño, programación, aduitorias y certificaciones. Además asumimos que los programadores deben ir con mucho cuidado y no deben ser los más tontos de la profesión. Igualmente se cometen errores graves aunque muy estúpidos.
Lo que alucino en primer lugar es en cómo el sistema operativo y sus herramientas de desarrollo porculeen de esta manera. El programa está en C++. Aunque no conozco el sistema de desarrollo del Windows CE supongo que debía ser muy similar a las MFC que se usaron al menos hasta el Visual Studio 6. En estas los eventos se tratan en clases, donde cada programa deriva esas clases para tratamientos específico. Si el programa no crea subclases el comprotamiento debe, o debía, ser un “noop”, o sea no hacer nada.
Sin embargo en este caso parecía que se llamaba a una rutina inexistente y el programa se colgaba. ¿Fallos de las librerías o fallos de los programadores?
En todo caso parece culpa de ambas partes. En 2002 por un error de empleados de Diebold el código fuente llegó a manos de Avi Rubin, profesor de la universidad John Hopkins. Enseguida encontró muchos errores: se podían emitir varios votos, un usuario normal podía realizar operaciones administrativas, etc. etc., incluso algunas tan absurdas como que los votos eran almacenados cifrados localmente –con algo tan débil como el DES–, pero cuando se enviaban a la “autoridad central” por la red se enviaban en texto plano.
Además encontró que se usaban librerías de audio de otras empresas, que también pueden introducir problemas de seguridad. Y un largo etcétera de chapuzas que fueron fácilmente detectadas cuando unas pocas personas tuvieron acceso al código.
¿Todavía alguien duda de que los mejores programadores cometen errores estúpidos aún en programas relativamente simples? ¿todavía alguien duda que no te puedes ni fiar de las librerías de desarrollo de un sistema privativo?
A mí también me impresiona, aunque era de esperar, cómo es que esos programas pasaron procesos de certificación con auditorias “profesionales” de empresas independientes sin que hayan detectado ninguno de estos problemas que detectó un profesor universitario en poco tiempo y sin que nadie le haya pedido.
Para aquellos que no están convencidos del software libre, vale, pero después de ver estas chapuzas encadenadas desde el SO hasta las “auditorías oficiales”, ¿todavía les queda dudas de que hay software que sí debe ser libre y estar publicado para que todos los interesados puedan analizarlo?
Con tantas evidencias ni siquiera sirve la manida excusa de que se “contratan auditorías externas”. Ninguna consultora o auditora podrá igualar a los buenos programadores que están interesados y motivados en analizar el programa. Y eso porque no quiero suponer que haya corrupción en todo el sistema de “auditorías-certicaciones”…

Entrevista a Ricardo Galli sobre Menéame

Casi nunca nadie había contado tanto sobre su propio proyecto. Un breve resumen inicial y la entrevista a continuación:

- Menéame corre sobre un solo servidor, a pesar de tener 65 millones de páginas vistas según Webalizer y puesto 1922 en Alexa.
- Menéame ingresa 4.000 dólares al mes en Adsense
- Los gastos actuales en servidores son 500 euros
- Ricardo Galli prefiere Adsense a otras propuestas publicitarias
- Cree que su éxito se debe a que el software fue desarrollado por ellos desde 0 y publicado como libre.
- Admitieron a Varsasky como inversor para cubrir costes y para sentirse más seguros (demandas, temas legales, etc.)
- Son sólo dos desarrolladores: Ricardo Galli y Benjamí Villoslada
- Inicialmente Varsasky tenía un 10% y ahora tiene un 33%
- Han recibido ofertas por la totalidad de Meneame por más de 6 millones de euros

Eduardo Manchón: ¿Cuanto dinero costó en su día poner en marcha a Menéame? ¿Cuáles son los costes actuales? ¿Han sido los costes un problema para Meneame?

Ricardo Galli: Los únicos gastos iniciales fueron los dominios y el alquiler de un servidor virtual (sobre Xen). El primer servidor nos costaba 40 dólares al mes, luego llegamos a ampliar hasta unos 80 dólares pero teníamos muchos problemas con el Xen, se colgaba con cargas altas. Así tuvimos que migrar a nuestro primer dedicado en ThePlanet. Nos costaba unos 150 dólares. Ahora estamos en Ferca desde hace casi un año.

Luego no gastamos nada más, salvo los gastos de notarios, abogados y asesoría cuando empezamos con la SL. La SL la creamos por dos motivos. En primer lugar por temas legales, sobre todo temas de la LOPD y la LSSI. Luego porque es la "menor" opción razonable para aceptar inversores externos. Como anécdota, el aporte de capital a la SL fueron los dominios, no pusimos dinero en efectivo.

Continua leyendo esta entrevista en alzado.org.

Los buenos programadores liberan su código

Fuente: Blog de Ricardo Galli.

Frases tales como information wants to be free o code wants to be free me parecen una tontería. La información o el código no tiene intencionalidad ni deseos. Ahora veo que el New York Times libera código desarrollado por sus programadores (XSL Cache y DBSLayer). Estoy seguro que la propuesta no partió del consejo de administración o editorial del periódico, sino de los friquis de sus programadores.

Re-escribiría las frases anteriores como:

Los buenos programadores desean que su código sea libre.

La prueba del algodón para un programador entonces debería ser la pregunta ¿Liberaría su código? Esto puede extenderse para saber la calidad de los programadores de las empresas que hacen desarrollo interno, ¿la empresa libera el código?

La importancia de la coherencia

Fuente: Blog de Enrique Dans.

Ricardo Galli es una persona que no te deja indiferente. Pero sobre todo, es una persona coherente y consecuente. Coherente con sus ideas, con la defensa de las cosas que considera importantes, de aquello en lo que cree. Y si en una cosa cree Ricardo es en la libertad de expresión. La libertad de expresión, para Ricardo, es algo tan grande y monumental como esa Catedral de Palma con la que posa en la foto. Por eso, cuando llega la rectora de la organización en la que trabajas y, con argumentos débiles y confusos basados en “tengo un amigo que conoce al primo de Zumosol” te exige que borres una entrada perfectamente sólida y documentada, es el momento de ser consecuente, echar el cierre e irse a escribir a otro sitio.

Desde hoy, encontraréis a Ricardo en su nuevo blog, fuera de la Universidad. Se despide del anterior, que no seguirá actualizándose, y opta por el camino de la independencia. Actualizad vuestros feeds, porque a Ricardo vale la pena seguirle. Lo que queda sobre la mesa tras la salida de Ricardo es que una Universidad, que debería ser un bastión de valores como la libertad de cátedra y de expresión, ha decidido censurar a uno de sus profesores, una verdadera barbaridad que transgrede los valores que como institución educativa tendría que tener. El hecho sería malo, malísimo en cualquier caso, pero en éste resulta además especialmente sangrante: la entrada censurada de Ricardo argumentaba sólidamente contra un pretendido “observatorio de Internet” completamente carente de todo rigor académico y de investigación, una práctica que, como profesor que es, Ricardo hacía muy bien en denunciar. La pregunta de qué diablos hace toda una rectora de universidad ejerciendo la censura para “proteger” a un sitio semejante de la opinión legítima de uno de sus profesores no tiene respuesta válida ni la tendrá nunca, sean cuáles sean las razones. Es, pura y simplemente, una barbaridad. Y una pena.