Microsoft carga contra Europa por el desastre de CrowdStrike

El fallo de CrowdStrike que afectó a millones de equipos con Windows en todo el mundo sigue acaparando los titulares. Si bien la firma de ciberseguridad y Microsoft han trabajado durante todo el fin de semana para ayudar a restablecer los sistemas caídos, el asunto continúa siendo motivo de polémica. Y un portavoz de la corporación de Redmond ha avivado las llamas al indicar que al menos parte de la culpa por el alcance de este incidente es de la Unión Europea.

Así se desprende de un dato incluido en un extenso reporte de The Wall Street Journal. En el final del mismo, un vocero de Microsoft le aseguró a dicho medio que la compañía está legalmente impedida de bloquear el acceso de terceros, como CrowdStrike, al kernel de Windows. Esto se debe a un «entendimiento» al que llegaron los estadounidenses con la Comisión Europea a fines de 2009, luego de una queja.

¿Esto qué significa? Que Microsoft está obligada a permitir que empresas que desarrollen herramientas de ciberseguridad tengan el mismo nivel de acceso a Windows que los propios creadores del sistema operativo. En la teoría, esta medida se ha tomado en pos de mejorar la competencia e impedir que los de Redmond monopolicen el mercado con utilidades como Microsoft Defender para punto de conexión. No obstante, el caso de CrowdStrike ha puesto en evidencia que cuando se produce un fallo en una solución que se ejecuta a nivel del kernel de Windows, las consecuencias son calamitosas.

El acuerdo al que llegaron Microsoft y la Comisión Europea establece que se debe garantizar el acceso de terceros a las API de Windows —tanto en sus versiones para consumidores como para servidores—, como también a la documentación pertinente. Así lo establece el compromiso público asumido por la corporación:

«Estas API se documentarán en la Microsoft Developer Network, a menos que la publicación abierta genere riesgos de seguridad. […] Microsoft proporcionará a proveedores de seguridad externos acceso a dichas API de conformidad con una licencia libre de regalías y en términos justos, razonables y no discriminatorios».

Microsoft cree que Europa es responsable del alcance del fallo de CrowdStrike

Lo que Microsoft está dando a entender es que, como CrowdStrike y otras empresas tienen acceso al kernel de Windows, lo que sucedió el viernes puede llegar a repetirse. Aunque la historia no acaba allí, pues otras tecnológicas como Google y Apple no están a merced del mismo escrutinio regulatorio.

En 2020, los de Cupertino instauraron un cambio que impide que aplicaciones de terceros tengan acceso al kernel de macOS. En tanto que los de Mountain View también han implementado una barrera de protección similar en Chrome OS.

Es probable que todo este asunto abra un nuevo camino de debate. Lo que no queda demasiado claro es hacia qué rumbo podría dirigirse. ¿Aprovechará Microsoft el incidente de CrowdStrike para tratar de cambiar los términos de su entendimiento con Europa y limitar el acceso de terceros al kernel de Windows? ¿Intentará la Comisión Europea aplicar reglas similares a las que rigen sobre Windows en macOS y Chrome OS? De momento, es imposible saberlo.

Lo que sí es evidente es que este asunto no está cerrado y promete dar mucho más de qué hablar. El fallo de CrowdStrike afectó a unos 8,5 millones de equipos con Windows en todo el mundo. Según Microsoft, esto representa menos del 1 % de todo su ecosistema; aun así, ha sido suficiente para paralizar la actividad de bancos, aerolíneas, aeropuertos y miles de otras empresas a nivel global.