Cuando se descubre una vulnerabilidad de seguridad, las acciones correctas a llevar a cabo son preparar un parche y conseguir que se distribuya lo más rápida y extensamente posible. Sin embargo, hay aún hoy en día quien piensa todo lo contrario, que la distribución de parches se debe retrasar en la medida de lo posible. Obviamente, se refieren a parches que resuelven problemas descubiertos por hackers «de sombrero blanco», en oposición a las vulnerabilidades que ya estén siendo activamente explotadas por hackers maliciosos.
No hay duda de que un parche de seguridad ofrece un camino pavimentado para cualquiera que esté buscando vulnerabilidades, de forma que un pirata sólo tiene que mirar al trozo de código que está siendo arreglado. La publicación de un parche de seguridad permite a los administradores de sistemas cerrar un agujero, pero a la vez anuncia a todo el mundo la existencia y localización de dicho agujero. En este punto comienza una carrera en la que los administradores intentan aplicar el parche antes de que los piratas consigan explotar la vulnerabilidad.
Lo que se necesita, por tanto, es un método que otorgue a los defensores una ventana de tiempo mayor para obtener los parches antes de que la información acerca de la vulnerabilidad se distribuya. A día de hoy existen diversos mecanismos que están en funcionamiento, pero que arrojan resultados lejanos al 100% de efectividad deseado, como la inclusión de parches en las actualizaciones a nuevas versiones de software o las diversas listas de correo dedicadas a la seguridad de sistemas.
En busca de esa mayor efectividad, se está estudiando un nuevo método, que consiste en la distribución inicial de parches encriptados, perfectamente aplicables al sistema pero cuyo contenido no se puede consultar hasta que se distribuya posteriormente la clave de desencriptación. Este método, sin embargo, debe enfrentarse aún a diversos problemas de diseño para que sea realmente efectivo, como la posibilidad de ataques de denegación de servicio contra la distribución de la clave o los problemas legales de incompatibilidad con software GPL. Aunque a priori parece una solución que puede causar más problemas de los que resuelve, no hay duda que que es una opción interesante con la que nos gustaría contar en el futuro.