[NEWS] Falle ed exploit, l'etica di un hacker

[c.m.g]

martedì 01 aprile 2008

Roma - Bucare Linux non conviene. E non è una questione (solo) di etica, è proprio una questione economica. Windows, invece, è una miniera d'oro: e di questo passo, anche Mac OS diventerà una buona piazza sulla quale racimolare qualche soldo. La differenza non la fa il valore intrinseco del codice scritto sulle diverse piattaforme: la differenza la fa il successo commerciale nei diversi segmenti del mercato.

Ecco, l'ho usata un'altra volta quella parola: etica. Un hacker ha un'etica: se scopre una falla non la sfrutta, la segnala. Non gli passerebbe neppure per la testa di fare danni grazie alle sue competenze, oppure potrebbe limitarsi a creare un innocuo worm proof-of-concept per limitarsi a mostrare con maggiore chiarezza quali siano i rischi collegati a quanto ha scoperto.

Un cracker non ha un'etica: se scova una vulnerabilità o la sfrutta direttamente, penetrando il sistema, o la sfrutta economicamente, ricattando chi potrebbe essere colpito da un eventuale exploit. Il mercato nero delle vulnerabilità esiste, e sulle pagine di Punto Informatico spesso è stato raccontato come si sia evoluto nel corso degli ultimi anni.

Pur sempre di un mercato si tratta: questo significa che anche per vulnerabilità ed exploit vale la celebre legge della domanda e dell'offerta. Se c'è maggiore richiesta per un prodotto, il prezzo di quest'ultimo crescerà; se invece per un prodotto non c'è domanda, l'offerta tenderà a zero o sparirà del tutto. La domanda, in questo caso, dipende dalla potenziale utilità di quanto è in vendita: se con una vulnerabilità di Linux si colpiranno al massimo 10mila persone, con una di Windows se ne potranno colpire 10, 100, 1000 volte tanto. E non è poco.

Scovare una falla in un programma, poi, non significa automaticamente realizzare un exploit: per tanti motivi, tecnici o teorici, potrebbe anche non essere possibile. Una falla è una falla: è un buco sul fondo di una nave, che la fa affondare a meno che non lo si tappi; oppure è un buco in un demone, in un servizio, in un software, che lo espone ad una serie di rischi. Quando qualcuno scopre una falla e ha il tempo, la voglia o la convenienza di sfruttarla, crea un exploit: vale a dire si siede alla sua postazione e inizia a scrivere del codice che, partendo dalla falla, realizzi qualcosa di potenzialmente dannoso per tutti i computer che montano quel software. Oppure, come detto, scrivere un exploit potrebbe non convenire: per ragioni etiche o, inutile negarlo, economiche.

Ho detto che anche Mac OS sta diventando appetibile: è vero, visto che grazie ad una serie di circostanze favorevoli, ad un po' di fattore modaiolo e ad uno zoccolo duro di nostalgici come il sottoscritto, il sistema operativo di Cupertino sta vivendo una seconda giovinezza. Le sue caratteristiche, tuttavia, lo rendono un sistema che riscuote un grosso successo soprattutto in ambito consumer: difficile vedere aziende di grandi dimensioni effettuare ordini da migliaia di Mac per il proprio personale. Senza contare che Apple non è presente su tutti i mercati: combinati assieme, questi due fattori si trasformano in una fetta di mercato di gran lunga inferiore al 10 per cento, con Linux che raccoglie le briciole di quello che Windows-piglia-tutto lascia.

A quanti interessa scoprire che sul mio disco rigido tengo tre copie delle foto che ho scattato l'anno scorso a Monaco? A nessuno, almeno credo: perché le informazioni personali, a meno che non si voglia clonare l'identità di qualcuno, hanno valore relativamente basso. Più utile raccogliere progetti, prototipi, grosse banche dati conservate in qualche datacenter: per questo è più interessante violare un ambiente enterprise rispetto ad uno consumer, e per questo una vulnerabilità per Windows vale più di una per Mac OS.

Infine c'è l'ambiente server: lì sì che Linux ha un certo peso. Ma quando si parla di server, l'admin non installa certo Kubuntu con kernel precompilato e KDE 4 beta. In certi ambiti c'è Slackware, c'è Debian: ci sono persone preparate che provvedono a chiudere le porte che non sono utilizzate, che eliminano servizi e demoni che potrebbero costituire un problema. Che tengono in piedi e sotto controllo un firewall, e sono in grado di aggirare anche falle note e storiche come quella che si trascinò per mesi su WU-FTPD.

In definitiva, perché Windows è una miniera d'oro e perché se un hacker trova una falla su Ubuntu non la sfrutta per ragioni etiche? Perché chi si industria a scovare buchi sui sistemi Microsoft lo fa spesso e volentieri per ricavarci qualcosa: la natura a sorgenti chiusi di Windows lo rende particolarmente incline a soffrire di falle 0-day, le peggiori in assoluto perché rischiano di rimanere sconosciute per molto tempo, e attraverso l'enorme numero di macchine che montano XP o Vista in giro per il mondo si possono raccogliere una gran quantità di informazioni preziose.

Chi invece si diletta a "sfruculiare" Linux, lo fa anche (ma non solo) per divertimento: questo significa battere informazioni conosciute e documentazione pubblica, rintracciare una possibile falla e tentare di identificarne le possibili conseguenze in caso di attacco. A volte sono gli stessi che hanno scritto le applicazioni a scoprire un problema, ad analizzarlo e risolverlo: chi cerca falle dentro Linux lo fa con modi e obiettivi diversi. Gli utenti sono felici e ringraziano. E nessuno si è fatto male.

Cosa succederà se Mac OS continuerà la sua scalata al mercato e magari farà dei passi avanti nelle aziende? Che vedrà nascere lo stesso tipo di problemi che ha Windows oggi. Con una differenza: si tratta pur sempre di un sistema *nix, che ha per sua natura dei vantaggi. Al momento gli ingegneri del software di Cupertino hanno la fortuna di vivere in un piccolo ecosistema chiuso, con poche variabili da gestire e che possono essere tenute facilmente sotto controllo: ci vuole poco ad individuare, correggere e rilasciare la patch per un problema.

Nel frattempo, quando mi chiedono quale sia il sistema operativo più sicuro io continuo a ripetere un ritornello noto: quello spento. Sui miei Mac non tengo alcun firewall, antivirus o antispyware. Quando montavo Slackware passavo almeno 2 giorni a sistemare tutto. Quando devo installare Windows faccio gli dovuti scongiuri, lancio l'update e installo almeno un antivirus. Nel futuro, chi vivrà vedrà.

Luca Annunziata


Fonte: Punto Informatico

[W.S.]

Non ho ben capito... solo a me sembra di una banalità assurda ste pezzo?