In questo articolo Indice dei contenuti 2 sezioni
Le vulnerabilità zero-day di Windows pubblicate senza preavviso da un ricercatore di sicurezza che si firma Nightmare Eclipse stanno mettendo Microsoft in una posizione scomoda, perché non si tratta di problemi marginali ma di falle serie, che riguardano tutte le versioni del sistema operativo e che chiunque, oggi, può provare a sfruttare. Il punto è proprio questo: non serve più essere un esperto di reverse engineering per trasformare una segnalazione tecnica in un attacco funzionante.
Il meccanismo è noto agli addetti ai lavori e si chiama divulgazione pubblica. Di norma chi scopre un bug lo comunica al produttore, aspetta che venga preparata una correzione e solo dopo racconta al mondo cosa aveva trovato. Qui la sequenza è saltata. Le informazioni finiscono online prima che esista una patch, e questo lascia gli utenti scoperti per tutto il tempo necessario a Microsoft per studiare il problema, scrivere il codice di correzione, testarlo e distribuirlo su una platea enorme di computer.
Perché uno zero-day fa paura
Il termine zero-day indica esattamente quello che sembra: i giorni a disposizione per difendersi sono zero. La falla è già nota, è già descritta, ma la soluzione ufficiale non c’è ancora. Chi attacca ha quindi un vantaggio temporale netto, e in un ecosistema come quello di Windows, installato su una quantità sterminata di macchine tra uffici, ospedali, scuole e case private, quel vantaggio si traduce in una superficie d’attacco gigantesca.
C’è poi un elemento che rende la faccenda diversa rispetto a qualche anno fa, ed è il ruolo dell’intelligenza artificiale. Prendere una descrizione tecnica di una vulnerabilità e ricavarne uno strumento pronto all’uso richiedeva competenze verticali, tempo e parecchia pazienza. Adesso quel passaggio si è accorciato parecchio. La conseguenza pratica è che il numero di persone potenzialmente in grado di sfruttare una di queste falle si è allargato ben oltre la cerchia degli specialisti.
Un braccio di ferro che non si risolve con un aggiornamento
Dietro la scelta di rendere tutto pubblico c’è un conflitto aperto tra il ricercatore e l’azienda di Redmond. Non è una novità assoluta nel settore della sicurezza informatica: capita che chi segnala un problema si senta ignorato, o consideri i tempi di risposta troppo lunghi, e decida di forzare la mano portando la questione allo scoperto. La logica, dal punto di vista di chi divulga, è che l’attenzione pubblica acceleri i lavori. Il costo, però, lo pagano anche gli utenti finali, che nel frattempo restano esposti.
Per Microsoft la strada obbligata è una sola, ovvero correre ai ripari e preparare le correzioni il più in fretta possibile. Non c’è molto altro margine di manovra quando le informazioni sono già in circolazione e quando la platea di potenziali attaccanti si è allargata in questo modo.
Nel frattempo, per chi usa un computer con Windows, valgono le regole di sempre, quelle noiose ma efficaci. Tenere il sistema aggiornato, installare le patch non appena vengono rilasciate, evitare software scaricato da fonti non affidabili. Sono accorgimenti che non annullano il rischio di uno zero-day, perché per definizione una falla di questo tipo non ha ancora una correzione, ma riducono la finestra di esposizione una volta che l’aggiornamento arriva. La vicenda mette in evidenza quanto sia fragile l’equilibrio su cui si regge il rapporto tra chi scova i bug e chi deve sistemarli. Un equilibrio fatto di fiducia reciproca, tempi concordati e riconoscimento del lavoro altrui. Quando salta, come in questo caso, le conseguenze non restano confinate al rapporto tra le due parti coinvolte ma finiscono per riversarsi su milioni di macchine sparse ovunque.
