Tag software

EE UU ha decidido restringir la exportación de software EDA. ¿Qué es EDA y cómo esa decisión afectará a China?

Los tiempos en los que los chips de ordenador se diseñaban a mano quedaron bastante atrás. Mientras que en la década de 1970 los chips contenían miles de transistores, hoy en día tienen más de cien mil millones, y es imposible crear estos diseños manualmente. Ahí es donde entra en juego el software de automatización de diseño electrónico (EDA). Se trata de una categoría de herramientas que ayudan a los ingenieros eléctricos a diseñar y desarrollar chips cada vez más complejos.

Este software es actualmente el último frente de batalla en la guerra comercial tecnológica entre China y EE UU. El 12 de agosto, el Departamento de Comercio de EE UU anunció el control de exportación multilateral sobre ciertas herramientas de EDA, impidiendo a China y a más de 150 países (básicamente cualquier país que no sea un aliado tradicional de EE UU) el acceso a ellas sin autorización otorgada especialmente.

El software EDA es una pequeña pero poderosa parte de la cadena de suministro de semiconductores, y está controlado principalmente por tres empresas occidentales. Eso le da a EE UU un poderoso punto de influencia, similar a la forma en la que el mes pasado quería restringir el acceso a las máquinas de litografía, otra herramienta crucial para la fabricación de chips. Pero, ¿cómo se ha vuelto esta industria tan centrada en EE UU y por qué China no puede simplemente desarrollar su propio software alternativo?

¿Qué es EDA?

La automatización del diseño electrónico (también conocida como diseño electrónico asistido por ordenador o ECAD) es el software especializado que se utiliza en la fabricación de chips. Es parecido al software CAD que usan los arquitectos, pero aún más sofisticado, ya que maneja miles de millones de transistores minúsculos en un circuito integrado.

Foto: Captura de pantalla de KiCad, un software EDA gratuito. Créditos: Jon Neal/Wikimedia Commons

No existe un único programa de software dominante que represente lo mejor de la industria. En cambio, a menudo se usa una serie de módulos de software durante todo el diseño: diseño lógico, depuración, colocación de componentes, enrutamiento de cables, optimización del tiempo y consumo de energía, verificación, etc. Como los chips modernos son tan complejos, cada paso requiere una herramienta de software diferente.

¿Es muy importante EDA para la fabricación de chips?

Aunque el mercado global de EDA se valoró en solo alrededor de 10.000 millones de dólares (9.961 millones de euros) en 2021, lo que lo convierte en una pequeña fracción del mercado de semiconductores (592.706 millones de euros), tiene una importancia única para toda la cadena de suministro.

El actual ecosistema de semiconductores se puede ver como un triángulo, según el consultor Mike Demler, que lleva más de 40 años en la industria del diseño de chips y EDA. En una esquina están las fundiciones, o los fabricantes de chips como TSMC; en otra se encuentran las empresas de propiedad intelectual como ARM, que fabrican y venden maquetas o unidades de diseño reutilizables; y en la tercera esquina están las herramientas EDA. Las tres juntas garantizan el buen funcionamiento de la cadena de suministro.

Por su nombre, puede parecer que las herramientas EDA solo son importantes para las empresas de diseño de chips, pero también las utilizan los fabricantes de chips para verificar que un diseño resulta factible antes de la producción. No hay forma de que una fundición fabrique un solo chip como prototipo; tiene que invertir meses de tiempo y producción, y cada vez se fabrican cientos de chips sobre la misma base de semiconductores. Sería un enorme desperdicio si se descubriera que tienen fallos de diseño. Por lo tanto, los fabricantes confían en un tipo especial de herramienta EDA para realizar su propia validación.

¿Cuáles son las empresas líderes en la industria de EDA?

Solo hay unas pocas empresas que venden software para cada paso del proceso de fabricación de chips y han dominado este mercado durante décadas. Las tres empresas principales, Cadence (estadounidense), Synopsys (estadounidense) y Mentor Graphics (estadounidense pero adquirida por la empresa alemana Siemens en 2017), controlan alrededor del 70% del mercado mundial de EDA. Su dominio es tan fuerte que muchas start-ups de EDA se especializan en un nicho de uso y luego se venden a una de estas tres empresas, lo que consolida aún más el oligopolio.

¿Qué hace el Gobierno de EE UU para restringir las exportaciones de EDA a China?

La enorme influencia de las empresas estadounidenses en la industria de EDA facilita que el Gobierno de EE UU bloquee el acceso de China. En su último comunicado, el Gobierno de EE UU aseguró que añadiría ciertas herramientas EDA a su lista de tecnologías cuya exportación está prohibida. Estados Unidos se coordinará con otros 41 países, incluida Alemania, para implementar estas restricciones.

Las herramientas restringidas son las que se pueden usar para la arquitectura GAAFET (transistor de efecto de campo de compuerta completa), la estructura de circuito más avanzada en la actualidad, que será fundamental para fabricar los chips más avanzados en el futuro. El Departamento de Comercio de EE UU está en fase de consulta pública para identificar qué software EDA es más útil para lograr esta estructura específica y, por lo tanto, se debería incluir en la lista.

El gigante de hardware chino Huawei fue restringido de manera similar en 2019, perdiendo el acceso a todas las herramientas EDA de EE UU, y la administración de Biden ha continuado con la preferencia de la administración de Trump por los controles de exportación como arma de guerra comercial. “Su anterior ronda de restricciones a Huawei fue tan exitosa [que] descubrieron que este era el camino a seguir”, resalta la analista de la consultora Eurasia Group Xiaomeng Lu.

¿Cómo se verá afectada China?

A corto plazo, China no se verá muy afectada, porque las fundiciones chinas no están lo suficientemente desarrolladas para fabricar los chips de última generación que necesitan la estructura GAAFET. Pero el bloqueo significa que las empresas chinas de diseño de chips no podrán acceder a las herramientas más avanzadas y, a medida que pase el tiempo, lo más probable es que se queden atrás.

Sin embargo, paralizar la exportación de software es muy diferente a bloquear la exportación de hardware voluminoso como las máquinas de litografía, que son imposibles de pasar de contrabando a China porque son muy rastreables. Las herramientas de software EDA se distribuyen online, por lo que se pueden piratear.

Las empresas chinas podrían conservar el software EDA que ya compraron o recurrir al hackeo de licencias o adquirirlas de forma ilegal. Eso dificulta todavía más la posibilidad de predecir lo efectiva que será esta última ronda de restricciones de EE UU.

¿Qué hace China con respecto a EDA?

China se ha dado cuenta (aunque bastante tarde) de que necesita desarrollar alternativas internas. En su último plan quinquenal, que es el principal proyecto económico del país, EDA figuraba como la primera tecnología de vanguardia dentro de la industria de semiconductores donde China debería conseguir más avances. Esto significa que se destinará una mayor cantidad de recursos del Gobierno a I+D en esta área, incluido el fondo de inversión en semiconductores respaldado por el Gobierno de China, que invirtió en la empresa china EDA Huada Empyrean en 2018.

Huada Empyrean, cuyo fundador ha trabajado en el diseño EDA desde la década de 1980, es el líder actual del país en el software EDA nacional, pero solo representa el 6% del mercado EDA nacional. También está lejos de desarrollar el diseño completo, lo que significa que su producto solo puede sustituir una pequeña parte de lo que ofrecen las empresas estadounidenses.

Están surgiendo más start-ups para llenar ese vacío, la mayoría de ellas dirigidas por los ex empleados chinos de Cadence o Synopsys, como X-Epic, con sede en Nanjing (China), y Hejian Industrial Software, con sede en Shanghái (China). Con más experiencia internacional y menos carga histórica, estas start-ups pueden estar mejor posicionadas para desafiar el status quo, según explica Douglas Fuller, profesor asociado de la Escuela de Negocios de Copenhague (Dinamarca). “A más largo plazo, si las elaboraran, podrían ser una mejor alternativa a Huada”, señala Fuller.

¿Es difícil para China desarrollar una alternativa nacional de EDA?

China tiene una industria de software vibrante, que ha producido algunas apps de tecnología de consumo de fama mundial como WeChat de Tencent y Alipay de Alibaba. “¿Pero en cuanto el software de uso industrial y de uso corporativo? Ese es el problema de China. Durante mucho tiempo, los responsables de la política industrial china no se dieron cuenta de que [el software EDA] es el verdadero freno”, indica Lu. “

Es un área en la que se necesitan décadas y miles de millones de dólares de inversión para lograr avances significativos en la investigación, por lo que aunque las empresas chinas quieran ponerse al día ahora, pasará mucho tiempo para que consigan avances.

Un gran problema es el talento. El desarrollo de herramientas EDA es un campo de nicho, y las empresas chinas tradicionalmente han tenido dificultades para atraer a un mayor número de los pocos ingenieros capacitados en la fabricación de las herramientas EDA.

¿Cómo afectará esta restricción a las empresas estadounidenses de chips?

El último control de la exportación de EDA está dirigido a una sección muy especializada y avanzada de la industria. “Este software de gama alta aún no se utiliza ampliamente por las empresas chinas, por lo que el impacto comercial inmediato de la restricción en los proveedores estadounidenses es limitado”, explica Lu.

Pero los controles de exportación generalmente no son bien recibidos por las empresas de chips, ya que tales políticas pueden reducir la demanda de los productos estadounidenses y, por lo tanto, sus ingresos. No solo para las empresas de EDA, sino también para las fundiciones, las empresas de propiedad intelectual, los fabricantes de equipos y para todos los demás en la cadena de suministro. “Habrá muchas empresas enfadadas. No solo en EE UU y no solo las empresas de EDA”, concluye Fuller. 

Fuente: www.technologyreview.es

Creé mi primera cuenta de GitHub en la universidad, luego no la toqué durante tres años. Si bien escuchaba constantemente sobre el código abierto y los beneficios de involucrarse en el ecosistema, tenía mucho miedo de comenzar porque pensaba que el código abierto era solo para desarrolladores experimentados, no para novatos como yo

Después de graduarme de la Universidad de Portland, trabajé como ingeniero de software integrado de integración de Linux en IBM durante cinco años. Si bien el rol no contribuyó explícitamente con funciones o correcciones de errores a las comunidades de código abierto, interactuamos con mucho código fuente abierto. Como resultado, tuve una pequeña muestra de algunos elementos de código abierto: buscar errores abiertos, buscar parches y corregir errores. Si bien este nuevo mundo de código abierto fue extremadamente interesante, en realidad no estaba contribuyendo a estas comunidades. Después de beneficiarme del ecosistema de código abierto y el conocimiento de la comunidad durante tanto tiempo en IBM, estaba listo para comenzar a retribuir.

En mi función actual, trabajo en VMware como mantenedor de código abierto para Tern , una herramienta de inspección de contenedores que genera listas de materiales de software (SBOM) para imágenes de contenedores. Disfruto de tener la libertad de proponer funciones y recibir comentarios de otros mantenedores y miembros de la comunidad. Interactuar con otros explorando lo que es útil y lo que nuestros usuarios quieren hace que mi cerebro de mantenedor se pregunte: ¿Qué es factible? ¿Qué tiene sentido? ¿Qué es técnicamente posible? Como ocurre cuando se desarrolla cualquier producto de software, lo que los usuarios quieren no siempre es lo que es posible, pero aún desea que la comunidad encuentre útil su software. Definitivamente hay que lograr un equilibrio entre lo que tiene sentido y lo que los usuarios realmente usarán.

No siempre pensé que sería posible para mí ser un colaborador habitual del código abierto, pero debido a que entré a través de mi trabajo, ha sido gratificante mostrar a los recién llegados que el código abierto es más accesible de lo que creen. Eso es algo de lo que nos enorgullecemos como mantenedores de Tern: queremos que el proyecto sea accesible para todos, incluso si no eres un experto en Python o en contenedores (como yo no lo era). Antes de comenzar, el mensaje que escuché fue que tienes que ser muy hábil para contribuir al código abierto. Me gusta cambiar esa percepción cuando puedo.

Antes de comenzar, el mensaje que escuché fue que tienes que ser muy hábil para contribuir al código abierto. Me gusta cambiar esa percepción cuando puedo.

Todavía somos falibles incluso cuando somos expertos

Me atrajo el puesto en VMware porque implica trabajar con contenedores, que era (y sigue siendo) una tecnología omnipresente central en la forma en que creamos e implementamos software moderno. Dada mi experiencia en Linux y el hecho de que los contenedores no son más que un proceso que se ejecuta en Linux, pensé que tenía suficiente conocimiento básico para tener éxito en el puesto y al mismo tiempo dejar mucho espacio para crecer. Cuando busco nuevas oportunidades, me gusta asumir desafíos que me intimidan o me asustan un poco porque hay satisfacción en demostrarte a ti mismo que puedes hacer cosas difíciles.

Dicho esto, todavía no me sentía totalmente calificado para postularme para el puesto porque, hasta donde yo sabía, era más adecuado para alguien con más experiencia en código abierto. A menudo nos decimos a nosotros mismos que solo debemos postularnos a trabajos si estamos 100% calificados, pero no hay crecimiento allí. Así que me dije a mí mismo que debía postularme de todos modos y, si tuviera la oportunidad, podría hacer el 50 % del trabajo el primer día y recoger el otro 50 % en el camino.

Usamos un software de control de versiones diferente en IBM, por lo que no estaba tan familiarizado con los flujos de trabajo de GitHub cuando comencé a contribuir con Tern. Como colaborador de código abierto relativamente nuevo, trabajar con GitHub fue un poco intimidante. Si bien entendí que cometer errores era una parte inevitable del trabajo, los errores que cometes en GitHub son de dominio público para siempre. En mis primeros meses como mantenedor de código abierto, tuve la oportunidad de poner a prueba esta teoría cuando accidentalmente reescribí el historial de confirmaciones de Git para 80 confirmaciones en la rama principal de Tern. ¡Hablando de traumatizar! Me sentí extremadamente estúpido.

Cuando comete un error, especialmente uno que impacta negativamente o incomoda a otros, existe ese período inicial de pánico y duda (es decir, «¡NO estoy calificado para hacer esto!»). Pero como sabemos, el espectáculo debe continuar. Eso significa aceptar tu error y preguntarte qué vas a hacer para seguir adelante. La mejor manera que he encontrado para seguir adelante después de un gran error es poner salvaguardas para evitar que vuelva a suceder.

En este ejemplo específico, implementé medidas de seguridad aprendiendo sobre Git Hooks y cómo pueden evitar que ingrese a ciertas ramas para que me sea imposible volver a cometer los mismos errores. Luego, di una charla al respecto en una reunión técnica local con la esperanza de que alguien más pudiera aprender de mi error o, al menos, encontrar consuelo en el hecho de que incluso un supuesto mantenedor de código abierto también comete errores tontos. Ese es el lado humano del código abierto: Cualquiera puede cometer errores.

A menudo nos decimos a nosotros mismos que solo debemos postularnos a trabajos si estamos 100% calificados, pero no hay crecimiento allí. Así que me dije a mí mismo que debía postularme de todos modos y, si tuviera la oportunidad, podría hacer el 50 % del trabajo el primer día y recoger el otro 50 % en el camino.

Cultivar la confianza y encontrar el ajuste adecuado

Siempre he sido una persona extremadamente competitiva. Practiqué deportes en la escuela secundaria, obtuve sobresalientes y me gradué tercero en mi clase en la universidad. Cada vez que dudaba de mí mismo frente a un desafío, mi naturaleza competitiva me impulsaba a seguir avanzando hacia el éxito. Esto no quiere decir que nunca haya fallado o dudado de mí mismo, pero la voz competitiva en mi cabeza continúa empujándome. Todavía dudo de mí mismo a menudo. Veré los elogios de alguien con quien fui a la universidad o de un extraño al azar en Internet y me convenceré de que estoy muy atrasado en mi carrera y que debería pasar más tiempo libre codificando. Creo que dudar de tus habilidades es parte de ser ingeniero. Cuando estás constantemente tratando de resolver problemas que aún no tienen una respuesta y trabajas con personas tan inteligentes y talentosas, es

Estudié ingeniería eléctrica en la universidad. A pesar de que había una (relativamente) buena cantidad de mujeres en nuestra clase, constantemente recibía comentarios como «¡Debe ser difícil estar en esa especialidad cuando está tan dominada por los hombres!». Comentarios como este siempre se registrarían como un desafío para mí para ser tan bueno o mejor que mis compañeros masculinos. Incluso cuando mis compañeros de clase masculinos no sabían la respuesta, siempre confiaban en sus habilidades. Aprendí mucho observándolos y traté de proyectar la misma confianza en mis estudios, incluso cuando estaba convencido de que iba a reprobar. «Fíngelo hasta que lo logres» es un cliché, pero es muy aplicable en situaciones en las que es posible que aún no tengas confianza en ti mismo.

Tuve que aplicar este mantra de «fingir hasta que lo consigas» para mi entrevista con VMware. Sabía que solo estaba calificado para ciertas partes del trabajo. Decirle a un entrevistador que no tenía ninguna experiencia con contenedores no contribuiría a un resultado positivo de mi entrevista. En cambio, expliqué cómo podía aprovechar mi experiencia pasada para tener éxito en este nuevo rol y di ejemplos de situaciones en las que no sabía algo y tuve que aprender el tema por mí mismo. Terminé consiguiendo el trabajo y, como resultado, me convertí en un mantenedor de código abierto.

En la escuela, pensé que era importante saberlo todo de la cabeza. Al ingresar al mundo laboral, rápidamente se da cuenta de que no lo llevará muy lejos. No puede memorizar todo e incluso si pudiera, la tecnología está cambiando demasiado rápido para mantenerse al día. Saber cómo encontrar la respuesta es más importante que saber inmediatamente la respuesta.

Cuando comencé a hacer entrevistas para trabajos fuera de la universidad, me advirtieron sobre la temida «entrevista de codificación». Para prepararme, trataría de memorizar todas las posibles soluciones optimizadas para problemas de codificación comunes. Cuando me di cuenta de que esto era imposible para mí, mi confianza se destrozó por completo. Sin embargo, a medida que he crecido como ingeniero, me doy cuenta de que la entrevista se trata tanto de encontrar una pareja para mí como para la empresa. Si una empresa necesita un ingeniero que pueda resolver cualquier problema de codificación en 20 minutos, probablemente no tendría mucho éxito en ese puesto.

Incluso cuando mis compañeros de clase masculinos no sabían la respuesta, siempre confiaban en sus habilidades. Aprendí mucho observándolos y traté de proyectar la misma confianza en mis estudios.

Eliminación de barreras de entrada para otros

Siempre me ha interesado estudiar a las personas y sus comportamientos en diferentes escenarios. A nivel personal, empezó cuando era niño. Mis padres pasaron por un desafortunado divorcio y aprendí mucho observando sus interacciones y comportamientos. Si uno de los padres decía «no» a algo, hacía que el otro dijera «sí»; fue fascinante para mí entender sus motivaciones conductuales. No sabía que esta experiencia de navegar intereses contrapuestos a una edad temprana me estaba preparando para mi futuro trabajo en comunidades de código abierto.

Los comportamientos humanos y los patrones de comunicación se ponen bajo una lupa en código abierto. La comunicación es especialmente única porque normalmente se comunica a través de medios escritos a través de GitHub/Slack/email. Por eso, siempre trato de ser consciente de cómo diferentes personas pueden interpretar el mismo texto. ¿Cómo influyen las experiencias personales de las personas? ¿Qué nivel de consideración debo darle a esto cuando doy retroalimentación?

Un patrón de comunicación que noto comúnmente en mí mismo es la preocupación de herir los sentimientos de alguien, especialmente con la retroalimentación. Casi me disculpo cuando tengo que pedir cambios en una solicitud de extracción, aunque es mi trabajo como mantenedor. No creo que comunicarse con empatía o compasión cuando se comunica sea necesariamente un problema, pero definitivamente hay situaciones en las que ser «demasiado amable» puede interpretarse como incompetencia, especialmente como mujer.

Cuando creé mi cuenta de GitHub por primera vez, elegí a propósito un identificador unisex y no subí una imagen para ver si mi experiencia sería diferente. Como era de esperar, sentí que recibía mucha menos presión cuando solicitaba cambios si la gente asumía que era hombre. Comunicarme como una cuenta supuestamente masculina me hizo sentir menos presión para ser demasiado complaciente o amable.

Puede que responsabilidad no sea la palabra correcta, pero estoy obligado a ayudar a los nuevos en código abierto porque puedo recordar cómo es. Si hay un colaborador de Tern que quiere comenzar con un problema y veo que está en la escuela o es parte de un grupo demográfico subrepresentado en código abierto, estoy más ansioso por brindar orientación y asistencia. Comenzar con el código abierto tiene menos que ver con el proyecto específico y más con comprender los flujos de trabajo y las expectativas de GitHub. A veces, el consejo más útil que puedo dar a un nuevo colaborador es simplemente explicarle cómo actualizar su solicitud de extracción.

Esta experiencia de navegar intereses contrapuestos a una edad temprana me estaba preparando para mi futuro trabajo en comunidades de código abierto.

Todos han estado allí, y muchos de ellos quieren ayudar.

Existe la idea errónea en el código abierto de que necesita conocer todos los detalles técnicos de un proyecto para participar, ¡pero no es cierto! Puedes aprender mucho sobre la dinámica de la comunidad y el estilo de comunicación de un proyecto simplemente observándolo desde lejos. Una vez que encuentre un proyecto y una comunidad que se ajusten bien, consulte su documentación. Mejorar la documentación es una buena manera de comenzar porque puede practicar para familiarizarse con todos los flujos de trabajo y los revisores antes de fusionar el código real.

El siguiente paso es encontrar un mentor en el proyecto. Mucha gente en código abierto quiere ayudar, quiere que otros se entusiasmen con el proyecto y estuvieron en su lugar en algún momento. Al observar la comunidad, puedes encontrar a esas personas. Es posible que no tengan tiempo para asesorarlo en el sentido tradicional, pero pueden tener 10 minutos aquí y allá para guiarlo a través de algo. Si bien hacer preguntas en una comunidad nueva puede parecer intimidante, piense en ello como si ejerciera un músculo. Cuanto más practique la búsqueda de aclaraciones, incluso cuando se sienta vulnerable, más fortalecerá su confianza.

No tengo mentores «oficiales». Nisha es la otra mantenedora de Tern, y siempre la he considerado una mentora, aunque no nos llamamos estrictamente mentora/mentee. Además de nuestro diálogo regular sobre el proyecto, tenemos muchas discusiones sobre cómo queremos que sean nuestras carreras y nos damos retroalimentación sobre las acciones que debemos tomar para que eso suceda. También aprendo mucho al observar la forma en que redacta los correos electrónicos, responde preguntas, se enfrenta a confrontaciones y toma decisiones sobre hacia dónde debe ir el proyecto. En mi experiencia, las conversaciones formales entre mentor y aprendiz a veces pueden parecer rígidas y centrarse en expectativas poco realistas, en lugar de relaciones que evolucionan naturalmente.

Mucha gente en código abierto quiere ayudar, quiere que otros se entusiasmen con el proyecto y estuvieron en su lugar en algún momento.

Lo correcto moralmente y para los negocios.

A veces puede haber una percepción en el código abierto de que si te pagan por trabajar en él, es menos «código abierto». Y, de manera más general, en nuestra cultura, hay una narrativa falsa que dice que si haces las cosas de la manera difícil, cuenta más que si haces las cosas de la manera fácil. No digo que siempre haya una «manera fácil» de hacer las cosas, pero, especialmente como madre, sé que el sufrimiento no hace que nada valga la pena o sea más gratificante.

La gente debe ser pagada. Si una empresa está utilizando un proyecto de código abierto, debería pagar o contribuir de alguna manera. Es importante desde la perspectiva de hacer lo correcto, pero también desde la perspectiva del riesgo. ¿Desea confiar en un proyecto sin información sobre su ciclo de desarrollo, cómo abordan las correcciones de seguridad o cómo deciden en qué trabajarán a continuación? Simplemente no es una estrategia comercial inteligente. Creo que hay un ajuste de cuentas real en este momento en este espacio, ya que vemos más ataques a la cadena de suministro como Log4j. Vemos algunos intentos de invertir recursos en dependencias de código abierto para grandes proyectos como Kubernetes, pero mi esperanza es que finalmente veamos esto también con dependencias de código abierto más pequeñas.

El código abierto puedeser una buena puerta de entrada para ganar experiencia para su currículum, pero también limita quién puede participar si solo esperamos que las personas contribuyan de forma gratuita en su tiempo libre. No soy alguien que quiera programar en todo su tiempo libre, especialmente cuando tengo una familia con la que quiero pasar el tiempo, y especialmente no gratis. La diversidad de experiencias y pensamientos es importante, y no creo que el código abierto estrictamente gratuito promueva ese entorno. Es como decir, solo queremos personas que tengan todas sus necesidades satisfechas; quién puede permitirse trabajar gratis; que pueden no necesitar equilibrio en su vida; que no tienen familia a la que atender; no son padres solteros o alguien que cuida a sus padres ancianos o niños enfermos. Si la expectativa es que tenga mucho tiempo libre para invertir en trabajo no remunerado, limita quién puede participar.

No es un secreto que la participación de código abierto está dominada por hombres. No puedo evitar sentir que este es un efecto secundario general de décadas de expectativa social de que las mujeres, y las madres en particular, se encarguen de la familia y las tareas del hogar. Me gusta pensar que esta mentalidad está cambiando lentamente. Mientras tanto, si me encuentro en una posición frustrante, trato de preguntarme: «¿Qué puedo reconocer sobre esta situación en particular?» Esto puede significar reconocer verdades incómodas, como «No me defendí» o «He sido agradable hasta el punto de que me ha afectado negativamente». Por supuesto, no toda situación desafortunada es resultado de tus propias acciones, pero tratar de encontrar experiencias de aprendizaje en medio de los momentos difíciles es parte del crecimiento como ser humano y profesional. ¡Te lo mereces!

Fuente: https://www.somoslibres.org/

Pop!_OS 21.10 es la nueva versión de la distribución de System76, el más conocido ensamblador de equipos con Linux y con poco que hayas seguido su desarrollo, ya sabes a lo que atener: derivada de Ubuntu con GNOME cada vez más personalizado que, no obstante, tiene fecha de caducidad… Pero comencemos por el principio.

Y el principio de Pop!_OS 21.10 no es otro que su propio lanzamiento, cuyo número de versión no engaña y viene a decir que estamos ante una de las derivadas de Ubuntu 21.10, pero con matices, pues System76 aplica personalizaciones que van de dentro afuera, incluyendo kernel, controladores gráficos y entorno de escritorio y aplicaciones.

Así, Pop!_OS 21.10 llega con una versión del kernel más reciente que la de Ubuntu; en concreto, la última versión que ha visto la luz, actualizaciones incluidas: Linux 5.15.5. Lo mismo para con los controladores gráficos de NVIDIA (los de AMD e Intel van integrados en el propio kernel y Mesa).

Pop!_OS 21.10 trae también novedades en el instalador de sistema, o mejor dicho, en el sistema de recuperación del sistema, valgan las redundancias, el cual permite reinstalar sin eliminar los archivos y que a partir de ahora rfeconoce si Pop!_OS está instalado, ofreciendo la opción de ejecutar una actualización antes de desbloquear una unidad de almacenamiento cifrada.

Sin embargo, la gran novedad de Pop!_OS 21.10 es lo que han llamado como Application Library o biblioteca de aplicaciones, un nuevo lanzador de aplicaciones que reemplaza al propio de GNOME y que aparece en una ventana en el centro de la pantalla. Por lo demás es igual al lanzador tradicional, se puede abrir de igual modo… pero aporta según System76 una serie de ventajas:

• Mejor experiencia multimonitor, al aparecer el lanzador siempre en en la pantalla que tiene el foco del cursor.
• Lista de aplicaciones en orden alfabético que facilita el localizar una aplicación en concreto cuando se tienen muchas instaladas.
• Organización de aplicaciones simplificada, pudiendo crear carpetas que actúan como pestañas personalizas con arrastrar y soltar.
• Búsqueda más accesible que filtra entre aplicaciones instaladas y disponibles en la tienda de Pop!_OS.
• Y «el tamaño correcto: logra la misma densidad de información mientras usa mucho menos espacio. La biblioteca de aplicaciones proporciona la experiencia óptima, especialmente en monitores ultra anchos.»

¿Cómo se ve y cómo funciona el nuevo lanzador de aplicaciones de Pop!_OS? Mira el siguiente vídeo:

Otras novedades de Pop!_OS 21.10 incluyen un repositorio propio ampliado en el que alojar más aplicaciones para garantizar que se está ofreciendo la versión más reciente de las mismas; mejoras en el proceso de garantía de calidad de las nuevas versiones del sistema, lo cual incluye las actualizaciones que recibe cada versión en curso; y algunas actualizaciones de GNOME retocadas para la ocasión.

Con todo, desde System76 recomiendan hacer copias de seguridad antes de actualizar desde la versión anterior del sistema, por si acaso. En el anuncio de lanzamiento enlazado más arriba se dan instrucciones específicas paso a paso.

Pero este lanzamiento trae más novedades si cabe: Pop!_Pi Tech-Preview for Raspberry 4, al que poco más cabe añadir. En efecto, habemus versión de Pop!_OS para Raspberry Pi, aunque como advierte su denominación, se trata por el momento de una imagen de instalación solo para pruebas. En ambos casos, tanto la descarga de Pop!_Pi Tech-Preview for Raspberry 4 como la de Pop!_OS 21.10 se encuentra disponibles en la página oficial del proyecto.

Y eso es todo, aunque habrá mucho más: desde que System76 anunció Cosmic como nuevo entorno de escritorio de Pop!_OS no han dejado de avanzar en ese camino y por más modificaciones que le hagan a GNOME, la bifurcación figurada está tomada y los planes de desarrollar un escritorio propio en Rust son un hecho.

Además, la relación entre System76 y GNOME no es mala, es pésima, y todo cuenta… aunque desprenderse por completo del software de GNOME es misión imposible a estas alturas del partido. Claro que ya han dicho que no lo harán.

Fuente: https://www.muylinux.com/

Un recorrido por distintas herramientas gratuitas que nos ayudará con el análisis estático y dinámico de malware.

Repasamos cuáles son las diferencias entre el análisis dinámico y estático de malware y compartimos algunas de las tantas herramientas gratuitas disponibles para llevar a cabo estas tareas. Al final del artículo, compartimos algunos enlaces a otros contenidos y recursos útiles relacionados con el análisis de malware.

Análisis de malware estático VS dinámico.

En primer lugar, el análisis estático se basa en el proceso de analizar un archivo sospechoso sin ejecutarlo. El objetivo de este método es realizar un análisis inicial con el fin de extraer información útil del binario sospechoso para tomar una decisión informada sobre cómo clasificarlo o analizarlo y dónde enfocar los esfuerzos de análisis posteriores.

En segundo lugar se encuentra el análisis dinámico, también conocido como análisis de comportamiento. Este tipo de análisis se encarga de ejecutar una muestra en un entorno aislado para monitorear sus actividades, interacción y su efecto.

Imagen 1 – Comparación entre análisis estático VS dinámico

Herramientas para el análisis estático de malware

Pestudio

Este software permite a los analistas de malware examinar y analizar ficheros .exe y sus librerías dinámicas .dll.

La herramienta nos muestra varios ficheros que podemos investigar para saber qué acciones realiza cuando lo ejecutamos. De este modo, podremos saber si se trata de un malware, y en caso de que así sea, observar qué acciones es capaz de llevar a cabo la amenaza.

Imagen 2 – Pestudio con una muestra de RansomEXX

Pestudio es una potente herramienta que en caso de que la máquina virtual tenga salida a Internet podrá realizar un escaneo de los ficheros que contenga el ejecutable y subirlos a VirusTotal. Además, Pestudio es capaz de detectar las API utilizadas dentro del potencial malware. Algunos ejemplos de API comúnmente utilizadas por códigos maliciosos son GetProcAddress, LoadLibraryA, GetModuleHandleA, ExitProcess, VirtualAlloc, WriteFile, entre otras.

Imagen 3 – Secciones de Pestudio

Algunas de las secciones más importantes que tenemos en Pestudio son:

• Indicators: esta sección nos ofrece información de por qué el binario es sospechoso y lo clasifica según el nivel de severidad.
• Libraries: identifica las .dll que carga el binario a analizar. Recupera las bibliotecas y las funciones a las que se hace referencia en el archivo sospechoso. Pestudio viene con una lista predefinida de bibliotecas y funciones comúnmente utilizadas por los códigos maliciosos.
• Imports: identifica las .dll que carga el binario junto con los parámetros utilizados.
• Resources: nos da información de la carga de un archivo del estilo paylaod.
• Strings: a través de la lista preconfigurada <strings.xml> compara las strings que posee el binario a analizar para definir si el archivo es sospechoso.

PEBear

PE-bear es un freeware para realizar ingeniería inversa sobre archivos PE que tiene como finalidad ofrecer un pantallazo rápido sobre el comportamiento del archivo.

Imagen 4 – PE-bear con muestra de ransomEXX

Una de las ventajas de utilizar PE-bear al inicio del análisis es poder verificar las secciones, ya que muchas veces los binarios están empaquetados, por ejemplo con UPX.

Si te interesa puedes profundizar sobre empaquetadores y el uso de PE-bear en la solución al desafío ESET #44

CFF Explorer

Con CFF Explorer es posible inspeccionar programas del tipo PE (Portable Executable), al igual que con Pestudio y PE-bear. Una de las principales ventajas de utilizar esta herramienta es que permite realizar modificaciones dentro del PE.

CFF Explorer brinda la posibilidad también de entender la composición básica extrayendo información sobre la fecha de compilación, el tipo de arquitectura o importaciones de librerías.

En este caso, las .dll que llama el binario analizado utilizan cuatro librerías:

• KERNEL.dll
• USER32.dll
• ADVAPI32.dll
• SHELL32.dll

Si bien estas .dll no son maliciosos, algunas veces los cibercriminales las modifican para realizar otro tipo de tareas en el equipo de la víctima.

Imagen 5 – CFF Explorer con una muestra del ransomware RansomEXX

Otra de las funcionalidades que se pueden encontrar dentro de CFF Explorer son: el visor de procesos, opción para extraer strings, un editor hexadecimal, entre otras.

Resource Hacker

Otra de las herramientas más utilizadas para la interpretación de los archivos ejecutables PE es Resource Hacker. Esta herramienta permite extraer información de los archivos binarios de Windows. Por ejemplo, en el caso de que se esté analizando un binario que resulta ser un dropper, con Resource Hacker se podrá detectar el PE adicional dentro de los recursos.

En la imagen siguiente se tomó como ejemplo para utilizar la herramienta el RAT de Bankdook que fue utilizado en la campaña de Bandidos.

Imagen 6 – Resource Hacker

Herramientas para análisis dinámico de malware

Process Hacker

Es una herramienta que permite monitorear los recursos del sistema y los procesos que se ejecutan en el mismo.

Además, Process Hacker permite inspeccionar los atributos de los procesos que se generan a partir de ejecutar el binario malicioso, ya sea desde explorar los servicios, conexiones de red, etc.

Imagen 7 – Process Hacker

Process Explorer

Process Explorer es una herramienta que pertenece al paquete de herramientas de SysInternals que tiene la funcionalidad de monitorear procesos y servicios en Windows.

Durante el análisis de malware dinámico, Process Explorer es utilizado para identificar los procesos que se crean a partir de la infección del binario, lo cual facilita a los analistas distinguir qué procesos maliciosos se están ejecutando para poder separarlos y realizar un análisis más detallado.

Imagen 8 – Process Explorer con muestra de RansomEXX

RegShot

Regshot es una herramienta que permite a los analistas realizar “snapshots” del sistema antes y luego de ejecutar la muestra de malware a analizar. Es una herramienta sencilla que permite identificar rápidamente los registros que haya creado el binario malicioso. El análisis se puede exportar, ya sea desde un archivo HTML hasta incluso un archivo .txt

Imagen 9. Regshot con muestra de RansomEXX

Imagen 10 – Regshoot – modificaciones en registro por RANSOMEXX

Autoruns

Autoruns es una herramienta desarrollada por Sysinternals, al igual que Process Explorer, que analiza rápidamente un sistema de Windows para encontrar programas que están configurados para iniciarse automáticamente al arrancar el sistema operativo. También enumera qué extensiones se cargan en procesos de Windows, como los procesos que se cargan de Internet Explorer.

Imagen 11. Autoruns

Wireshark

Por último, mencionar a Wireshark, una herramienta desarrollada con la finalidad de analizar tráfico de red que se puede utilizar de diferentes maneras. Hemos hablado hace algún tiempo atrás sobre Wireshark con respecto al uso de filtros y sobre las opciones para hacer gráficos.

A la hora de ejecutar la pieza de malware como parte del análisis dinámico que queremos realizar, a través de Wireshark se puede verificar cuáles son los canales de comunicación que el malware utiliza, es decir, capturando los paquetes de red se puede verificar cómo el atacante se comunica con la víctima.

Conclusión

A lo largo de este artículo vimos varias herramientas, es importante destacar que si bien  el análisis dinámico nos brinda mucha más información en cuanto al comportamiento, el mismo se debe combinar con el análisis estático para acelerar el proceso de análisis de la muestra maliciosa.

A continuación, compartimos algunos enlaces de interés para iniciarse en el análisis de malware:

• 5 consejos para iniciarte en el análisis de malware
• 4 cursos online en Udemy para iniciarse en el análisis de malware
• LOTS: una herramienta gratuita de extracción y análisis de strings
• Cómo analizar malware en .NET con 4 herramientas prácticas
• Ghidra: una herramienta gratuita de ingeniería inversa publicada por la NSA

Fuente: https://www.welivesecurity.com/

Se ha hablado de GIMP 3.0 como el puerto GTK3 de esta alternativa de código abierto de Adobe Photoshop durante casi una década y el trabajo continúa. Sin embargo, hoy GIMP 2.99.8 es la instantánea de desarrollo más reciente.

Además de todos los cambios que se están acumulando en la serie GIMP 2.99 más allá de los grandes fundamentales como el uso del kit de herramientas GTK3 y el soporte de Wayland, GIMP 2.99.8 trae algunos cambios más emocionantes como:

• Las herramientas de tipo clon ahora funcionan en múltiples capas.
• La señal de selección ahora está fija cuando se ejecuta en Wayland.
• Soporte para más dispositivos de entrada y tabletas de dibujo para GIMP en Windows.
• Soporte mejorado para formatos de archivo como JPEG-XL, así como un mejor PSD de Adobe Photoshop. Ahora también hay soporte para archivos PSB como archivos PSD de Adobe Photoshop pero que permiten un ancho / alto de hasta 300k píxeles.
• Mejoras en la API del complemento.
• Varias correcciones de fugas de memoria.

En cuanto a cuándo finalmente saldrá a la luz GIMP 3.0, aún no parece estar claro, además del habitual «cuando esté listo». El anuncio de lanzamiento de GIMP 2.99.8 sí nota, «Todavía estamos trabajando duro para finalizar el puerto GTK3, así como la nueva API de complemento. Hacernos cargo de los cambios tecnológicos (Wayland en Linux y macOS en particular) en estos días también está afectando bastante nuestra eficiencia de desarrollo, ya que pasamos mucho tiempo arreglando cosas que simplemente se rompen porque cambian los sistemas subyacentes. Sin embargo, estamos bastante contentos de cómo evolucionan las cosas a medida que el futuro GIMP 3 se ve cada vez más impresionante cada día, ¿verdad? «

Descargas y para obtener más información sobre la versión de desarrollo de GIMP 2.99.8 a través de GIMP.org .

Fuente: www.somoslibres.org

Se trata de un spyware, un tipo de malware que recopila información de un dispositivo y después la comparte con una entidad externa sin el conocimiento o el consentimiento del propietario.

El ‘software’ espía israelí Pegasus se usó en móviles de periodistas, activistas y empresarios de todo el mundo.

Pegasus ya se ha convertido en un viejo conocido de las páginas de noticias sobre ciberseguridad. Según una investigación publicada este domingo, llevada a cabo The Washington Post junto a otros 16 medios de comunicación, con la ayuda de Amnistía Internacional y la organización francesa sin ánimo de lucro Forbidden Stories, este programa fue usado para infiltrar al menos 37 teléfonos móviles que pertenecían a reporteros, activistas de derechos humanos y directores de empresas.

La gravedad del asunto escala cuando se explica quién está detrás, pues la herramienta utilizada para introducirse en los smartphones es un spyware o programa espía de la compañía israelí NSO Group que solo pueden comprar Gobiernos y cuerpos de seguridad del Estado, supuestamente diseñado para perseguir a criminales y terroristas.

¿A qué programas ataca Pegasus?

Pegasus permite escuchar conversaciones, leer mensajes, acceder al disco duro, hacer capturas de pantalla, revisar el historial de navegación y activar por control remoto la cámara y el micrófono de los dispositivos. Funciona incluso con mensajes y llamadas de voz cifradas

Además, decía el Financial Times en 2019 que la empresa israelí aseguraba a sus clientes que era capaz de extraer todos los datos de una persona de las nubes de Apple, Google, Facebook, Amazon y Microsoft.

¿Cómo infecta los teléfonos este spyware?

Este malware aprovecha un fallo de seguridad de WhatsApp para colarse en los dispositivos. Según la propia compañía, el ataque se inicia a través de una llamada perdida de vídeo “que no requería respuesta” en la plataforma.

Según dijo Will Cathcart, directivo de WhatsApp, “ni siquiera era necesario que se descolgase esta videollamada, el usuario recibía lo que parecía una llamada normal que no era tal mediante la cual ya se transmitía un código malicioso que infectaba el teléfono con spyware”.

El software también utiliza una vieja técnica de ingeniería social para introducirse en los dispositivos: el usuario recibe un mensaje tipo SMS llamativo donde se le invita a seguir un enlace. Sí hace clic, Pegasus tendrá vía libre.

Amnistía Internacional y Forbidden Stories tuvieron acceso a una lista de más de 50.000 números de teléfono y los compartieron con los medios de comunicación, que los usaron para su investigación. De esos 50.000 números de teléfono, 37 fueron infiltrados con el programa de software, según la investigación.

¿Qué hizo WhatsApp al respecto?

La banda de ransomware más grande del mundo ha desaparecido de Internet

Una vez detectado el problema, WhatsApp denunció a NSO Group por usar su app para el espionaje de hasta 1.400 personas. Después contactó con el grupo de ciberseguridad canadiense Citizen Lab para que investigara el fallo de la aplicación de mensajería instantánea, facilitándole los números asaltados por el programa ciberespía israelí.

El año pasado, Citizen Lab cifraba en 130 personas las que han sido “víctimas injustificadas” del programa de NSO desde 2016.

Pegasus no es nuevo

Se trata de un polémico software del que se empezó a hablar en 2016, cuando investigadores de Lookout y Citizen Lab descubrieron una amenaza activa que utilizaba varias vulnerabilidades críticas de ‘zero-day’ para iOS.

Pero su trayectoria arranca en 2010, año en el que fue fundada la empresa NSO Group, cuya dedicación es desarrollar sofisticados programas de malware para gobiernos que necesiten apuntar hacia determinados smartphones. Según el discurso oficial, la compañía solo vende su software Pegasus a Gobiernos y cuerpos de seguridad del Estado “para combatir el crimen y el terrorismo”.

Hace un año Pegasus ya dio que hablar: según una investigación llevada a cabo por El País y The Guardian, el teléfono móvil del presidente del Parlament de Cataluña, Roger Torrent, habría sido objeto de espionaje entre los meses de abril y mayo de 2019 -así como el de un centenar de personalidades de la sociedad civil en todo el mundo-.

Torrent declaró que “notaba cosas extrañas” y que se borraban sus mensajes de WhatsApp y los historiales de conversaciones. “A la gente de mi entorno no le pasaba”, comentaba, explicando además que en 2019 también recibió “extraños mensajes SMS”.

Torrent no sería el único en haber sido víctima de Pegasus: según el abogado de Anna Gabrie, exdiputada de la CUP, el móvil de esta también pudo ser ‘hackeado’, y también el de Jordi Domingo, empleado de la Diputación de Tarragona, según acreditaban EL PAÍS y The Guardian. “Me llamó el investigador de Citizen Lab John Scott el pasado octubre para informarme de que mi móvil fue hackeado antes de 2019”, admitía en julio de 2020 este miembro de la Assemblea Nacional Catalana (ANC) y militante del PDCAT.

“No consta que las fuerzas de seguridad del Estado español sean clientes de NSO”, afirmaba El País, que por el contrario indica que la Policía Nacional y el CNI sí contrataron, al menos hasta 2015, a su principal competencia, la compañía italiana Hacking Team, “según 400 gigas de correos internos de esta empresa que afloraron tras un ‘hackeo’ a sus servidores en 2015”

Fuente: www.20minutos.es

El código abierto garantiza por encima de cualquier otro modelo de desarrollo que el software es lo que dice ser y nada más, que no esconde puertas traseras y que cada vulnerabilidad hallada es en efecto un error de programación, no un agujero dejado ex profeso. Sin embargo, tiene un hándicap para el usuario final, y es que este tiene difícil comprobar su autenticidad.

Las auditorías de software están a la orden del día, especialmente en el segmento del Open Source. E incluso cuando no es el caso, parece que sí, suele haber alguien que se lee el código, reconoce y encuentra lo que debe. ¿Cuál es el “problema”, entonces? Que la mayoría de usuarios usan software ya compilado en la forma de binarios, lo cual complica la verificación del mismo, que nadie lo haya alterado en el proceso de convertir el código fuente original.

Así, en Debian se han propuesto dar solución a tal inconveniente. “La idea es aportar confianza razonable de que un binario determinado fue realmente producido por la fuente“, comenta el desarrollador Jérémy Bobbio. A lo que se refiere es a hacer posible la reproducción del proceso de compilación por terceros. No es algo nuevo, pues proyectos como Bitcoin o Tor ya se basan en ello y otros como la familia BSD van por el mismo camino, por lo que es hora de que Debian y sus más de 22.000 paquetes, de los cuales un 83% ya permiten la reproducción de su compilación, se sumen al cambio.

“Las compilaciones reproducibles deberían ser la norma. Hagamos de esto la norma para todo el software que producimos“, apunta Bobbio. “Malo para la CIA, bueno para nosotros“, agrega.

Fuente: www.muylinux.com

La ciudad italiana de Turín se prepara para dejas atrás las soluciones privativas de Microsoft y migrar los 8.300 ordenadores de Ayuntamiento y organismos dependientes a Ubuntu y LibreOffice, informa La Repubblica.

La decisión del consistorio turinés tiene como base el importante ahorro económico para las arcas municipales, que sería de unos 300 euros por equipo solo contando licencias; además, habría que renovar también ordenadores y componentes para adecuarse a las especificaciones de hadware de las nuevas versiones de Windows. Así, aunque se calcula un ahorro de 6 millones de euros en los próximo cinco años, la cifra aumenta hasta los 22 millones de euros, considerando la compra de licencias, nuevo material y habiendo descontado el coste por formación e implantación.

La migración de Turín a Ubuntu y LibreOffice comenzará en otoño y será particularmente rápida, pues en año y medio está calculado que haya concluido. Y de tener éxito, que todo parece indicar que así será, en la mira de las autoridades está extender está acción a otros organismos públicos como el de la salud.

Según la información publicada, actualmente alrededor del 80% de los equipos municipales están gobernados todavía por Windows XP, por lo que se entiende la prisa de actuación para “convertir a Turín en la primera ciudad Open Source” del país”, dicen los implicados.

U otra gran ciudad europea que emprende la senda del Open Source, añadimos nosotros. Una más, a pesar de lo mucho que queda por avanzar.

Fuente: http://www.techdrivein.com/