Il baco di Safari

Ormai è una notizia conosciuta: durante una competizione pubblica, un hacker ha vinto un sostanzioso premio (10mila dollari ed un MacBook Air) per essere riuscito a forare il nuovo portatile di Apple, per raggiungere il contenuto di un file nascosto in qualche cartella all'interno del suo hard disk. Il primo tentativo era andato a vuoto (si doveva usare solo comandi di rete), ma il secondo, dove si poteva usare qualunque altro mezzo (escluso quello fisico...:-), è andato a segno dopo pochi minuti!

Questo ha lasciato di sasso gli addetti ai lavori, in quanto al momento la base unix di MacOS X è considerata fra le più sicure.

Poi è venuto fuori che il problema era legato a... codice Open Source! usato nel browser Safari. E tale codice nel frattempo era stato corretto dalla comunità!

In pratica, i tecnici Apple si erano dimenticati di fare l'aggiornamento! Chi di voi ha un sito con un CMS OpenSource sa quanto sia importante mantenere il codice aggiornato all'ultima versione: la notizia di una falla si propaga tra i cracker in un batter d'occhio. E in questo caso, il buco era stato scoperto quasi un anno fa: da allora si sono successi almeno due o tre rilasci di Safari, senza che venisse corretto: bastava scaricare la nuova versione.
Indubbiamente, non si tratta di una buona pubblicità per il browser Apple, sbarcato da qualche tempo anche su Windows; questo si va ad aggiungere a certe raccomandazioni da parte del gruppo eBay, che invitavano a non usare Safari per le transazioni. Su questa parte, ci sono state notizie contrastanti, in quanto la non-sicurezza, secondo eBay, sarebbe legata alla non implementazione di estensioni agli standard (ai quali invece Safari si attiene scrupolosamente). Strada in salita, quindi, su Windows.

Il vincitore del MacBook Air ha fatto sapere che si era preparato con alcuni colleghi, impiegando almeno 2 giorni per trovare la falla (evidentemente non si aspettava di trovare una versione vecchia!) ed altri 3 o 4 per avvantaggiarsene. Questo spiega come mai siano bastati pochi minuti per ottenere il risultato: c'era dietro il lavoro di una settimana.

Per la cronaca, sono stati necessari 2 giorni per Windows Vista (il vincitore ha detto che non aveva previsto la presenza del SP1, per cui ha dovuto cambiare strategia sul momento, trovando un buco nel Flash). Per quanto riguarda Linux, sembra che le falle siano state trovate, ma che nessuno sia riuscito a sfruttarle: malignamente, qualcuno ha osservato che in genere gli hacker operano su tale piattaforma e magari vi contribuiscono; secondo queste voci, quindi, vi sarebbe un certo conflitto di interessi...