Con la necessità di avere diverse password per tutti i servizi online, l'utilizzo di un programma che le gestisca (password manager) è senz'altro una buona idea.

L'idea è così buona che Microsoft ha pensato di integrare in Windows 10, senza troppa pubblicità, un gestore di password da usare come plugin per il browser Edge.

Il gestore in questione si chiama Keeper e la sua presenza è stata notata da Tavis Ormandy, esperto di sicurezza che lavora per Google, quando ha creato una macchina virtuale Windows 10 partendo da un'immagine presa dal Microsoft Developer Network (Msdn).

Fin qui la notizia potrebbe essere persino l'occasione per lodare Microsoft, che si impegna a fornire ai suoi utenti nuovi strumenti per facilitare il proprio lavoro, ma sfortunatamente non è questo il caso.

Ormandy ha infatti notato che questa versione di Keeper, che non è sviluppato direttamente da Microsoft ed esiste da tempo come prodotto indipendente, contiene un bug segnalato agli sviluppatori da Ormandy stesso quasi un anno e mezzo fa.

Il bug è piuttosto grave per un gestore di password e, per usare le parole di Tavis Ormandy, comporta «una completa violazione della sicurezza di Keeper, dato che permette a qualunque sito di rubare qualsiasi password».

Il sistema scoperto per sfruttare la falla 16 mesi fa è tuttora valido con poche modifiche, ma fortunatamente il produttore ha corretto la vulnerabilità rilasciando una versione aggiornata.

Microsoft ha fatto sapere di essersi tenuta al corrente su tutta la faccenda e di aver ricevuto l'aggiornamento prodotto dallo sviluppatore così da poterlo inserire in Windows 10.

Si potrebbe quindi essere portati a pensare che tutto si sia risolto e che, in fondo, il gigante di Redmond in tutto ciò non abbia alcuna colpa, dato che il programma fallato era ed è gestito da un produttore esterno.

Tuttavia, se Ormandy ha scovato il bug così facilmente, ci si chiede perché il team interno di Microsoft addetto alla sicurezza non abbia fatto altrettanto, permettendo che un plugin insicuro riuscisse a farsi strada in Windows 10.

Peraltro, il fatto che il gestore di password buggato sia stato inserito senza clamore nel sistema operativo (seppur in una versione ottenuta da Msdn) porta a mettere in dubbio la cieca fiducia che sta per forza di cose alla base della politica degli aggiornamenti continui di Windows 10: chi garantisce che prossimamente qualche altro componente insicuro non venga immesso nel sistema senza informare gli utenti?