Darklanlan — licenza CC0

Ai tempi dell'università, quando Cassandra gestiva in grande economia una decrepita 850 Sprint, il suo compianto meccanico di fiducia, a cui prima di un viaggio fu chiesto di "dare un'occhiata" all'auto, si rifiutò di aprire il cofano della macchina, perché non c'era nulla che non andasse.

All'epoca sembrò una fissazione del simpatico vecchietto; questo perché allora (oggi un po' meno) Cassandra era un'ingenua e un po' saputella giovinetta, convinta che buone intenzioni e buone azioni si traducessero sempre nei risultati attesi, ovviamente positivi. Beata gioventù, molto ti si può scusare, però...

Agli addetti ai lavori, invece, nulla si può scusare; sono pagati per fare le scelte giuste; e se non le fanno, o ne fanno di sbagliate, è giusto che ricevano (almeno) le meritate critiche.

Chiunque abbia dedicato un minimo di attenzione, anche solo di sfuggita, all'affaire Microsoft/Crowdstrike, avrà capito perfettamente che si è trattato di un problema derivante da una fiducia cieca e assoluta nei prodotti software di un'azienda di ottima reputazione, e soprattutto dei relativi aggiornamenti.

Consigliamo la lettura di:

Crowdstrike, compagnia aerea graziata da Windows 3.1

Il BASIC compie 60 anni

MS-DOS 4.00 diventa open source

Quarant'anni di Mac

Questa fiducia, affiancata a lodevoli e pressanti richieste delle normative di mantenere sempre aggiornato il software, ha fatto sì che l'aggiornamento automatico fosse lasciato acriticamente abilitato. Si tratta spesso di un'ottima idea, tant'è che tutte le applicazioni e i sistemi operativi lo fanno ormai come default, e gli utenti si guardano bene dal disabilitarlo.

Ma è pur vero che l'applicazione di una soluzione software a un intero sistema informativo, senza una buona dose di pensiero competente, è ciò di cui è lastricata la strada molto, molto in discesa, che conduce al cyber-inferno.

Leggi anche:

Turbo Pascal compie 40 anni

Quarant'anni di Microsoft Word

Windows 3.1 compie 30 anni

Scoperto dopo 37 anni un easter egg in Windows 1.0

Non è qui rilevante che il software di Crowdstrike sia in grado di fare bene il suo lavoro, e che sia una componente utile per mantenere la sicurezza di un sistema informativo. L'applicazione a tappeto di un aggiornamento su sistemi critici è una cosa azzardata, soprattutto perché l'attività di testing sugli aggiornamenti prima di rilasciarli è in conflitto con la comprensibile urgenza di diffonderli.

Crowdstrike non era nemmeno nuova a questo tipologia di problemi; si veda per esempio questo thread di Reddit.

È invece l'aggiornamento contemporaneo e forzato di un software fornito a scatola chiusa, pur considerato come elemento di sicurezza di un sistema informativo, a essere una pessima idea, un rischio evidente da considerare con attenzione. Nessuno se lo può permettere, se il sistema deve fare "qualcosa di importante".

Proposte di lettura:

OS/2 Warp 4 compie 25 anni

È morto sir Clive Sinclair, creatore dello ZX Spectrum

Violati i server TIM, password degli utenti a rischio

Hard disk a confronto con SSD nei data center

Si fanno invece test esaustivi, poi aggiornamenti su un piccolo gruppo di utenti selezionati; solo se tutto va bene si procede all'aggiornamento globale (che in questo caso vuol dire "planetario"), magari a scaglioni.

Altrimenti, quando applicata in sistemi informativi molto complessi e carenti di gestione e manutenzione, anche un'idea virtuosa diventa alla fine un incredibile autogol. Mai come nell'informatica vale infatti il detto "Il Diavolo sta nei dettagli".

Lo dimostra, per lo stesso motivo ma con modalità completamente diverse, la vicenda Solarwinds; anche in quel caso proprio l'applicazione acritica e automatica degli aggiornamenti è stata la porta della più grande violazione di sicurezza informatica che la storia (fino a oggi) ricordi.

Per approfondire:

20 anni di Windows Me, l'edizione più odiata di Windows

Il Galaxy Fold è ''delicato in modo preoccupante''

Meltdown e Spectre, il commento di Eset

Linux, sicurezza scavalcata premendo 28 volte Backspace

Ti invitiamo a leggere la pagina successiva di questo articolo:
Meglio un software vecchio ma affidabile, o uno nuovo ma non testato?

Proposte di lettura:

Windows 95 compie 20 anni

11 bufale hi-tech a cui molti continuano a credere

Oltre 2.000 giochi per DOS disponibili gratis nel browser

Rilasciato il codice sorgente del CP/M