I problemi e le questioni derivanti della vicenda Hacking Team stanno con il passar del tempo diventando sempre più evidenti e cominciano a mietere vittime: la prima ufficiale è il glorioso Flash Player, il software che per anni ha reso interattivi molti siti web. Da qualche giorno è ora marcato come pericoloso ed inibito sia da Chrome che da Firefox, i più diffusi browser web [peraltro chiamati da qualche giornalista motori di ricerca(!!!), a riprova del fatto che non basta sapere usare un computer per scrivere di tecnologia]. Ma che rapporto c’è fra la sottrazione dei dati riservati dell’azienda italiana ed il colpo, probabilmente fatale, all’anziano software di Adobe?
Alla base di tutto vi è un problema ben noto agli addetti ai lavori, quello della vulnerabilità del software: tutti i programmi possono presentare delle anomalie, talvolta così marginali da non alterarne nemmeno le funzionalità, ma che possono invece essere utilizzate come brecce per intrufolarsi furtivamente in un computer. Si potrebbe essere portati a credere che siano situazioni rare: non è così. Sono anzi così frequenti da essere catalogate in un apposito database, il CVE (common vulnerabilities and exposures) in cui vengono archiviati in base a numerosi parametri. Sono anomalie che sono normalmente corrette con grande rapidità dai produttori del software, perché grazie ad esse è possibile mettere a punto degli exploit, cioè delle procedure (o del software) in grado di sfruttarne le debolezze per acquisire un accesso illecito ad un computer.
Una vulnerabilità può essere rilevata in vari modi, e fino a quando viene individuata dai buoni va tutto bene: viene corretta e risolta, come ho detto solitamente in breve tempo. Il problema, molto serio, nasce invece quando questa è nota solo a chi intende sfruttarla in modo fraudolento. In questo caso si parla di 0day vulnerability: il buco nel software c’è, ma è sconosciuto a tutti. E’ una situazione in grado di trasformare un programma, anche banale, in una potente arma, che si è normalmente impreparati a fronteggiare. Chi è nelle condizioni di adoperarla può tranquillamente e silenziosamente accedere ad un sistema altrimenti inattaccabile, posto che si verifichino le condizioni per sfruttarla.
E’ questo il caso del plugin Flash: Hacking Team aveva scoperto una rilevante serie di vulnerabilità nel programma di Adobe, presenti peraltro da anni, che consentivano di utilizzare questo componente come cavallo di troia per accedere ad un computer su cui il Flash fosse installato. In effetti queste, come analoghe vulnerabilità 0day relative ad altri software, erano il vero tesoretto di HT. Anche se può colpire l’elenco delle funzionalità del sistema di controllo, come copiare le videate, registrare l’uso della tastiera o trasferire file da e verso il computer controllato, vedere la webcam o ascoltare le conversazioni tramite i microfoni, ovviamente di nascosto, si tratta in realtà di codice relativamente facile da scrivere – o da riadattare. Ben più complessa – e costosa – è la ricerca di vulnerabilità adatte a consentire al componente di controllo di essere installato all’insaputa dell’ospite.
Ora che molte, se non tutte, le vulnerabilità segrete sono state rese note, i produttori dei software interessati si sono mossi in modo da tappare le falle. Le applicazioni interessate sono ricapitolate in questo post di gizmodo. E’ però importante procedere rapidamente a tutti gli aggiornamenti di sicurezza, perché ogni vulnerabilità è una porta aperta per i malintenzionati, ed andrebbe chiusa il più velocemente possibile.
Dalla vicenda Hacking Team si possono ricavare molte lezioni. La più importante, e universale, è di prendere coscienza del fatto che la sicurezza non è un fatto banale. E’ invece una questione molto complessa che interessa tutti, è che è pericolosamente e largamente sottovalutata.
Andrebbe, invece, inquadrata nella giusta prospettiva, sia da parte del privato, che delle aziende o delle organizzazioni. Oggi sempre di più facciamo totale affidamento sulle tecnologie informatiche nella vita di tutti i giorni, ma non sempre ci rendiamo conto del valore reale dei nostri dati digitali. Siamo soliti a considerare gli aggiornamenti un grande fastidio perché occupano il nostro tempo, tendiamo ad utilizzare password fragili, se non ovvie, e ripetitive, partendo dal presupposto che i nostri dati non interessino a nessuno. Ci guardiamo bene dall’effettuare delle copie di sicurezza – cosa sarà mai un backup? – perché tanto la tecnologia di oggi è perfetta.
Salvo poi disperarci se veniamo attaccati da un cryptovirus o se l’hard disk ci lascia di colpo! Così come dimentichiamo facilmente che invece i nostri dati – ed il nostro stile di vita – interessano ad un sacco di gente, ad esempio ai ladri di identità.
Il mio suggerimento per i privati è quindi quello di tenere sempre aggiornato il sistema operativo ed il software antivirus. Di utilizzare frequentemente anche un anti-spyware e programmi anti-malware in grado di identificare infezioni più profonde, come quelle dei cosiddetti root-kit: sono infezioni che si annidano a monte del sistema operativo e che sono quindi difficilissime da individuare. Per scovarli si possono usare programmi specifici gratuiti, come – ad esempio – Detekt o Gmer, ma anche software ad-hoc di alcuni produttori di antivirus commerciali. Così come è fondamentale avere aggiornata almeno una copia di sicurezza (ed offline) dei dati. Sono operazioni che consumeranno un po’ del nostro prezioso tempo, ma che alla lunga risulterà essere un buon investimento, perché potenzialmente può tenerci al riparo da molti problemi.
Per le aziende, qualunque sia la loro dimensione, è invece caldamente consigliabile affidarsi ad un professionista in grado di definire le giuste procedure per garantire sia la sicurezza delle infrastrutture informatiche, che i dati aziendali. Troppo spesso si tende a considerare la sicurezza solo in termini di risorse tecnologiche, quando in realtà è molto più una questione di procedure e di processi che di hardware. Paradossalmente l’aggiunta di un firewall o di un NAS, se non inseriti in un quadro più globale, possono addirittura peggiorare la situazione, perché sono considerati baluardi di una sicurezza che potrebbe anche essere solo apparente. Salvo poi trovarsi del tutto impreparati a fronteggiare una minaccia reale.
La foto del titolo è di elhombredenegro
