Questo è un articolo su più pagine: ti invitiamo a leggere la pagina iniziale
11 milioni di siti HTTPS a rischio

Si sta facendo un gran parlare di DROWN, una vulnerabilità dei siti Web che viene spesso presentata con toni catastrofici. Ma se non siete gestori di un sito Web c'è poco da preoccuparsi.

Il nome della falla è un acronimo (sta per Decrypting RSA with Obsolete and Weakened eNcryption, ossia "decifrazione RSA tramite cifratura obsoleta e indebolita"): descrive un problema del protocollo di sicurezza TLS/SSL, che per intenderci è quello che fa comparire il lucchetto nei browser e protegge le comunicazioni della maggior parte dei servizi di webmail.

Il problema è che esiste una versione vecchia e indebolita di questo protocollo, la cosiddetta Export grade, imposta molti anni fa dal governo statunitense per consentire una protezione ragionevole delle comunicazioni che al tempo stesso consentisse alle agenzie di sicurezza di intercettare e decifrare il traffico di dati in caso di necessità. Ormai questa versione è obsoleta e decifrarla è abbastanza banale, ma molti siti non l'hanno mai disattivata, per cui è ancora sfruttabile per attacchi alle singole connessioni TLS.

Tuttavia la tecnica di attacco è talmente complessa da renderla poco praticabile, come spiegato in dettaglio da questo articolo tecnico, per cui non c'è molto da preoccuparsi: esistono altre forme d'intrusione molto più efficienti. Di fatto, però, questo problema è una dimostrazione perfetta della pericolosità delle richieste governative di creare passepartout o di indebolire i sistemi di protezione, come sta facendo per esempio l'FBI con Apple in questi giorni. Non si crea maggiore sicurezza indebolendo la sicurezza di tutti: un concetto ovvio che purtroppo sembra sfuggire a molti governanti.

Presso Test.drownattack.com potete verificare se un sito è vulnerabile a DROWN, ma attenzione: i risultati sono tratti da una lista precompilata che potrebbe non rispecchiare la situazione corrente del sito, che magari nel frattempo è stato aggiornato e corretto.