"Se ci sono due o più modi di fare una cosa,
e uno di questi modi può condurre a una catastrofe,
allora qualcuno la farà in quel modo.

(Edward Murphy)

Non usate Internet Explorer

Ven, 22/01/2010 - 00:00 -- arturu
Aiuto Windows

In Francia e Germania le autorità diffondono una nota: non usate Internet Explorer. Alla base della vicenda c'è una vulnerabilità relativa a Internet Explorer versione 6 su sistema operativo Windows XP. Lo stesso problema di sicurezza starebbe alla base del contenzioso tra Google governo cinese. Il governo tedesco agli utenti: «Non usate Explorer»"," Explorer, anche la Francia lancia l'allarme". Sono questi i titoli di alcuni dei principali quotidiani online dedicati a una vicenda che merita un minimo approfondimento. Riportiamo il calendario a qualche giorno fa e per rinfrescare la memoria segnaliamo questo link dedicato alla vicenda in cui Google e Governo cinese si trovano a confrontarsi. Google ha  rilevato alcune violazioni dei propri sistemi informatici notando accessi indesiderati ad alcuni account di posta elettronica: tali caselle email sarebbero per di più riconducibili ad alcuni attivisti cinesi per i diritti umani.

Da Mountain View vengono chieste spiegazioni alle autorità cinesi con la minaccia da parte di Google di sospendere ogni attività in Cina: Google parrebbe disposta a rinunciare alle enormi opportunità di business legate ai forti tassi di crescita del mercato IT in Cina e all'elevato numero di utenti potenzialmente raggiungibile. Per il momento il governo cinese non ha dato importanti riscontri, e pure le autorità americane si sono fatte avanti per far chiarezza sull'accaduto: oltre a Google ci sarebbero altre 30 aziende fatte oggetto di attacchi informatici provenienti dalla Cina. La vicenda è ancora tutta da chiarire nei suoi dettagli e, forse, ai giornali giungerà solo una parte di tali informazioni.

Questi appena descritti sono in estrema sintesi i fatti di cronaca a cui però si deve aggiungere un dettaglio essenziale e importante per poter comprendere i titoli dei quotidiani citati in apertura. Stando a quanto identificato da molti esperti di sicurezza informatica, tra i quali i tecnici di McAfee, alla base degli attacchi subiti da Google e dai già citati account Gmail vi sarebbe una vulnerabilità di alcune versioni datate di Internet Explorer.

Sarebbe proprio la vulnerabilità di Internet Explorer ad aver scatenato un putiferio in Europa tanto da indurre il Bundesamt fuer Sicherheit in der Informationstechnik - l'Ufficio Federale responsabile per la sicurezza informatica - a diffondere un comunicato nel quale invita a non usare Internet Explorer senza se e senza ma. Anche disattivando ActiveX e impostando il più alto livello di sicurezza Internet Explorer nelle versioni 6, 7 e 8 viene definito insicuro da BSI e gli utenti sono invitati a utilizzare browser alternativi.

Alla presa di posizione delle autorità tedesche fa eco un'analoga dichiarazione del CERTA (Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatique) francese. Il messaggio è in sostanza il medesimo: utilizzate un browser alternativo. A tutte queste dichiarazioni si contrappongono altre prese di posizione non così convinte della pericolosità di Internet Explorer, o meglio non convinte che altre alternative possano offrire condizioni di utilizzo veramente sicure all'utente finale. Sophos prende chiaramente posizione a fianco di Microsoft e nel blog di Graham Cluley - senior technology consultant - si legge:

“Sembra che i governi europei facciano a gara a mettere in guardia gli utenti e gli enti pubblici contro i pericoli di Internet Explorer, invitandoli a non utilizzare questo strumento fino a quando Microsoft non avrà risolto i problemi di sicurezza ma non bisogna agire in modo avventato! Spingere gli utenti ad abbandonare Internet Explorer può essere rischioso in quanto non tutti sono a proprio agio nell’utilizzare altri browser e potrebbero dunque riscontrare dei problemi nel supporto, soprattutto in considerazione del fatto che alcune applicazioni web-based non funzionano adeguatamente senza Internet Explorer. Cambiare browser ha senso solo se l’utente ha una buona conoscenza del nuovo strumento prescelto. Questo è il classico caso in cui potrebbe essere meglio non lasciare la strada vecchia per quella nuova, a meno di non conoscere perfettamente l’alternativa che si è deciso di seguire”.

Ora, in un contraddittorio è lecito dare la parola all'accusa - e lo abbiamo fatto indicando gli annunci fatti dalle autorità francesi e tedesche - ma anche alla difesa, e lo facciamo segnalandovi questo breve video diffuso poche ore fa da Microsoft Italia.

Il video per ovvie ragioni non scende troppo nel dettaglio ma da parte Microsoft vengono citate ulteriori fonti di approfondimento. Cerchiamo ora di capire meglio il problema relativo a Internet Explorer e alla vicenda nel suo complesso per poi valutare in maniera autonoma l'accaduto.

Dalle caratteristiche pubblicate per sfruttare la vulnerabilità di Internet Explorer 6 - Microsoft indica solo questa versione affetta dalla vulnerabilità in oggetto- gli utenti che hanno subito un attacco sono stati indotti a visitare una particolare pagina web appositamente creata. Nel caso specifico potrebbe essere stata usata una email, insomma Microsoft sottolinea la natura mirata degli attacchi ai singoli utenti e non all'infrastruttura di Google.

A ciò nella ricostruzione di Redmond viene fatto notare un dato di fatto non trascurabile: la vulnerabilità è sfruttabile su sistema operativo Microsoft Windows XP e con Internet Explorer versione 6. Microsoft sottolinea come entrambi i prodotti siano vetusti - vengono definiti paleolitici dal blog di Feliciano Intini - sottolineando come oggi sia disponibile Windows 7 e Internet Explorer 8. Per la versione del browser ci sentiamo di condividere la posizione di Microsoft mentre per quanto riguarda il sistema operativo è inutile sottolineare quanto Windows XP sia tutt'oggi diffuso, soprattutto in molte aziende. Per Microsoft pare non esserci alcun allarme straordinario, anzi i vari esponenti approfittano della situazione per sensibilizzare su un aspetto fondamentale per la sicurezza: l'aggiornamento del software e del sistema operativo.

Un dettaglio però non ci tornava e abbiamo voluto chiedere diretto riscontro a Feliciano Intini -chief security advisor di Microsoft Italia -. Nelle note delle autorità tedesche e francesi vengono indicati come potenzialmente vulnerabili anche Internet Explorer 7 e 8, mentre dalle informazioni diffuse da Microsoft il problema parrebbe limitato alla sola versione 6 in abbinamento a Windows XP. Inutile sottolineare che su molti altri articoli pubblicati non venga nemmeno indicata la versione di Internet Explorer. Questa omissione farebbe quindi supporre che tutti gli utenti abituati all'uso di tale software siano in pericolo.

Siamo quindi andati alla fonte rivolgendo il quesito all'esperto di Microsoft. La situazione più pericolosa si concretizza su PC dotati di sistemi operativi Microsoft Windows XP in abbinamento Internet Explorer versione 6. La stessa vulnerabilità è presente in Internet Explorer 7 e 8 ma con sistema operativo più recente preoccupa di meno se l'utente abilità la modalità IE Protected Mode e DEP. Al momento è nota l'esistenza di attacchi a sistemi dotati di Internet Explorer 6 e Windows XP e pare più complicato sfruttare le medesime vulnerabilità su sistemi più aggiornati. Detto ciò, e Microsoft stessa lo ammette, il problema va risolto e anche in fretta.

Nell'apertura di questo articolo abbiamo descritto una situazione molto seria e problematica, soprattutto in relazione alla diffusione di Internet Explorer e al potenziale bacino di utenti a rischio. Nell'analisi dei fatti il tutto risulta più limitato e circostanziato. Sia chiaro: la vulnerabilità in Internet Explorer 6 rimane e al momento è meno preoccupante nelle versioni 7 e 8, andrà risolta magari senza aspettare il prossimo patch day.

Stando alle attuali informazioni disponibili e in attesa di eventuali sviluppi,  la sitazione diviene pericolosa in un contesto nel quale l'utente o chi per esso non sia in grado di gestire correttamente il proprio sistema omettendo poche e semplici abitudini che ormai da anni descriviamo: software e sistema operativo aggiornato con le ultime patch in abbinamento a suite per la sicurezza completa (il solo antivirus potrebbe non bastare!), magari non sviluppata da Microsoft ma da terze parti in virtù di una maggiore possibilità di scelta.

In apertura abbiamo citato enti francesi e tedeschi e pare doveroso segnalare il punto di vista del CERT-SPC -unità di prevenzione e gestione degli incidenti informatici del Sistema Pubblico di Connettività - italiano che in una nota diffusa qui riporta:

In relazione alla vulnerabilità di tipo "zero-day" che interessa Internet Explorer già  osservata dal CERT-SPC dallo scorso 15 Gennaio ed illustrata nella sezione bollettini, si rappresenta che in ambito SPC al momento non sono stati segnalati incidenti riconducibili alla stessa. Si evidenzia però il rischio associato alla possibilità di sfruttare tale vulnerabilità in associazione ad iniziative di spam, ai risultati proposti  dai motori di ricerca ed ai collegamenti presenti sui social network, inerenti eventi di particolare ed attuale interesse collettivo, quali il recente sisma  che ha devastato HAITI o all’attenzione mediatica sull’uscita del film AVATAR. Tali circostanze possono essere utilizzate dagli attaccanti per indurre gli utenti a visitare pagine web appositamente realizzate per inoculare malware o la sfruttare anche questa vulnerabilità in Explorer.
...Microsoft, infine, in una nota preventivamente anticipata al CERT-SPC ha indicato anche l'ipotesi di un aggiornamento di sicurezza di tipo "OUT OF BAND" ovvero straordinario rispetto al normale ciclo di rilascio del software correttivo appena avvenuto per il mese di Gennaio.

Fonte