Cassandra Crossing/ Il sabotaggio della libreria Xz è stato sventato e ancora una volta i buoni hanno vinto. Ma siamo sicuri che altrove gli attacchi alla supply chain del software non siano riusciti senza che nessuno se ne sia accorto?
[ZEUS News - www.zeusnews.it - 08-04-2024]
La realtà costringe Cassandra a prolungare ulteriormente la serie di articoli sulla fine del mondo" perché nuovi, gravissimi indizi emergono riguardo al fatto che le armi per l'Armageddon informatico prossimo venturo continuano ad accumularsi.
Di nuovo, ventate di ottimismo, espresse anche da addetti ai lavori, si propagano in maniera tanto inesplicabile quanto pericolosa. Non certo per stupidità o per incompetenza; forse per desiderio di quieto vivere, forse per ingiustificato ottimismo; ma per poter esprimere compiutamente e in maniera comprensibile la sua tesi, Cassandra è come al solito costretta a riavvolgere il nastro e narrare un po' di antefatti.
Per fortuna ci basta riavvolgere solo al 2003, anno in cui viene portato alla luce il tentativo di introdurre una backdoor addirittura nel kernel di Linux.
Un amministratore del repository dei sorgenti ufficiali si accorse che una modifica minima apportata a una banale routine del kernel non appariva richiesta da nessuno. Cassandra non pretende che il C sia patrimonio dei suoi lettori ma, giusto al fine di illustrare la diabolicità della modifica, si tratta della variazione di un singolo carattere in una singola riga, cioè da
if ((options == (__WCLONE|__WALL)) && (current->uid == 0))
a
if ((options == (__WCLONE|__WALL)) && (current->uid = 0))
La mancanza dell'ultimo "=" faceva sì che, ad esempio, qualunque utente avesse usato il comando kill con un parametro opportuno (un valore a 16 bit) si sarebbe trovato promosso a root e quindi avrebbe potuto prendere il completo controllo del server.
La modifica fu annullata, l'infrastruttura dei server di compilazione fu piallata e ricostruita da zero, e i sorgenti furono ricaricati da un backup. Buoni 1, Cattivi 0.
Ma basta fare un avanti veloce al 2006 per trovare una ulteriore modifica diabolica nella libreria OpenSSL. Due semplici linee commentate diminuivano drasticamente l'entropia dell'RNG della libreria.
Per farla anche qui semplice, facevano sì che, per esempio, il numero di differenti chiavi crittografiche generabili dalla libreria passasse da un valore praticamente infinito a 32767. Chi avesse conosciuto questo fatto e precalcolato le opportune chiavi avrebbe potuto forzare qualunque algoritmo crittografico che usasse OpenSSL (cioè praticamente tutti) con estrema facilità.
Quando il problema fu scoperto e prontamente risolto, i suoi effetti non cessarono subito. Infatti ci vollero oltre due anni perché la maggioranza delle chiavi "deboli" generate e diffuse per tutta Internet venisse rimpiazzata, cosa che ha lasciato ulteriori due anni di tempo agli autori della malefatta per approfittare dei suoi effetti. Questo evento fu così sentito dai cronisti dell'epoca che addirittura il fumetto XKCD gli dedicò un'arguta vignetta.
Ma andiamo avanti, perché purtroppo non c'è niente da ridere. Ci fu chi disse Buoni 2, Cattivi 0 e palla al centro. Del calcolo di questo punteggio, che è un po' il nocciolo del ragionamento di Cassandra, riparleremo alla fine di questa esternazione.
Ti invitiamo a leggere la pagina successiva di questo articolo:
Buoni 4, Cattivi 0?
Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News
ti consigliamo di iscriverti alla Newsletter gratuita.
Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui
sotto, inserire un commento
(anche anonimo)
o segnalare un refuso.
© RIPRODUZIONE RISERVATA |
|
Scrivere a Cassandra - Twitter - Mastodon
Videorubrica "Quattro chiacchiere con Cassandra"
Lo Slog (Static Blog) di Cassandra
L'archivio di Cassandra: scuola, formazione e pensiero
|
||
|
Gladiator