Ya funciona la web de Compras Estatales: se demoró por una "deuda técnica" del Estado, señalan expertos

A más de una semana de la alerta mundial por el hallazgo de vulnerabilidades críticas del código abierto PHP, un lenguaje de programación que sirve de base para gran parte de internet, la Agencia Reguladora de Compras Estatales (ARCE) restableció en la tarde del viernes 31 de octubre su sitio web.

La solución al correr del día fue por partes: primero se pudieron visualizar las compras directas de los organismos públicos, y horas más tarde se habilitaron las ofertas a los llamados a licitación. Este lunes, no obstante, no está habilitada la sección de Compras en Línea.

Imagen: Captura de pantalla

Aún hay problemas en las funciones o subdominios de otras páginas gubernamentales, que volvieron a estar en funcionamiento en el transcurso de la semana pasada. Por ejemplo, en la web del Ministerio del Interior no es posible consultar el registro de personas ausentes y personas condenadas, redirigiéndose el usuario a la home (página inicial). Tampoco funciona la sección sobre la Alerta Amber.

El País consultó tanto a la ARCE como al Centro de Respuesta a Incidentes de Seguridad Informática de Agesic para conocer cuántos servicios se pudieron restablecer desde la alerta del miércoles 21 y cuáles son los plazos previstos para solucionar los restantes, pero al momento no obtuvo respuesta.

“Ningún sistema crítico para el Estado puede estar tanto tiempo sin funcionar, no los podés dejar trancados durante una semana”, opinó sobre la demora en Compras Estatales el ingeniero de software Danilo Espino, en diálogo con El País.

“Todavía vemos decenas de subdominios del Estado devolviendo cartel de mantenimiento o acceso bloqueado, que son los códigos 503 o 403”, añadió Santiago Pérez del Capybara Team, un grupo investigador de ciberseguridad en América Latina.

Ambos coinciden en que existe una “deuda técnica” en los servicios web estatales, que complejizan las tareas de colocación de “parches” informáticos -modificaciones en los códigos de software- en situaciones críticas como la sucedida con PHP.

“En el Estado conviven portales modernos con sistemas de trámites que se programaron hace 10 años en versiones viejas de PHP, que ya no tienen un soporte oficial. En los sistemas viejos no se puede simplemente instalar la última versión de PHP porque el código antiguo es incompatible, entonces el sistema entero deja de funcionar”, explicó Pérez.

Por su parte, Espino indicó que la antigüedad de algunos sistemas puede causar que, al momento de actualizar la totalidad de un servidor, se “rompa” una de las funcionalidades de la página web. Un ejemplo es la búsqueda de personas ausentes en el Ministerio del Interior: es probable que se haya preferido poner en funcionamiento lo esencial y postergar esa sección, redirigiendo a los usuarios a la “home” en lugar de llevarlos a un sitio “roto”.

En el caso de Compras Estatales, la demora para restablecer la página es multifactorial: además de la antigüedad de algunos sistemas y la escala “gigantesca” de los sistemas del Estado, hubo cierta falta de “anticipación”, de mantenimiento y probablemente de recursos humanos, estimó.

Cuando se trata de ciberseguridad en estas condiciones adversas, desarrolló Pérez, “o pones un escudo adelante (firewall web) para atajar los ataques sin tocar el servidor, o tenés que poner programadores a reescribir y migrar código viejo a contrarreloj”.

Sí se podría decir que ahora las páginas gubernamentales están “seguras” de las vulnerabilidades en PHP, comentaron ambos, aunque no es claro qué camino se tomó para ello: si se aplicaron los “parches oficiales” de ese código o se colocaron firewalls para filtrar el tráfico. También hay dudas sobre quiénes trabajaron en gestionar esta crisis, si funcionarios de Agesic o empresas tercerizadas.