  Desde 2007, este investigador de 35 años de edad ha encontrado y dado a conocer más de cien agujeros de seguridad críticos en navegadores web como Internet Explorer, Safari o Chrome; y en sólo el último año ha vendido más de 50 de estas vulnerabilidades a proyectos como la iniciativa Zero Day o iDefense, y a empresas como HP o Verisign. Con estos antecedentes, el señor Shi es todo un héroe de la seguridad.
Hurgando en estos datos, llama la atención que la mayoría de los fallos de seguridad hallados han sido en Safari, el navegador de Apple, y no en los sistemas de Microsoft, como siempre parece que sucede. Un ejemplo, en la actualización de seguridad del pasado mes, Apple lanzó 64 parches para su sistema operativo iPhone, y sólo seis de estos problemas de seguridad fueron identificados por investigadores internos de la compañía de Steve Jobs; 12, por investigadores de Google, y 15 por Wu Shi. Si yo fuera Jobs me plantearía contratar al señor Shi ya que él solito ha descubierto el doble de fallos que el equipo de seguridad al completo de la firma.
Wu, para los amigos, ha dicho que emplea un método de lo más kamikaze, que se conoce con el nombre de “fuzzing” (no se qué quiere decir con esto porque fuzz es soltar pelusa ¿?) para recolectar vulnerabilidades de seguridad. Según parece, fuzzing o funcear un navegador quiere decir introducir una corriente de ficheros adaptados y retocados en un programa para ver qué provoca que el sistema se caiga, y luego analizar estos casos de caídas para averiguar qué es lo que permitiría a un hacker insertar código que luego le confiera el control del navegador.
Hasta aquí nada nuevo. Pero la katana secreta de Wu Shi es un algoritmo único de su propiedad que genera estos ficheros de prueba y los lanza a su propio servidor Apache Tomcat, lo que le permite obtener más muestras y a una frecuencia mayor que la media de un investigador. En lugar de alternar simplemente variables en un fichero, Wu afirma que su método cambia la muestra entera haciendo tantos cambios como sea posible y en la medida de que el navegador siga reconociendo el fichero como HTML.
Resulta que esta fórmula funciona así que o el señor Shi tiene mucho tiempo libre o acumula una gran experiencia y sabiduría, aunque claro, sólo tiene 35 años. Wu dice que su invento busca-vulnerabilidades procede de una serie de decepciones en su carrera. Cuando la burbuja del mercado de valores de China se infló en 2006, trabajaba en una pequeña firma de tecnología y comenzó a sentirse atrapado en una ratonera, con un salario que según él no le daba ni para comer. Entonces, decidió montar una start-up especializada en el intercambio de ficheros por redes peer-to-peer con un socio. Un cliente de los grandes no pagó un proyecto que había solicitado y su socio se fue a otro trabajo por lo que la empresa cerró.
Al final, Wu Shi decidió ir por libre a la caza y captura de vulnerabilidades al recordar sus tiempos en la universidad en los que una vez vendió a Microsoft sus hallazgos. No le ha ido mal. Zero Day le pagado 5.000 dólares por cada uno de los 50 fallos que ha encontrado, e iDefense casi 10.000 dólares por una única vulnerabilidad. Se estima que el señor Shi ha debido de ganar casi un cuarto de millón de dólares vendiendo agujeros de seguridad. Conclusión: el hambre agudiza el ingenio.
 
S
