mercoledì 22 marzo 2017

Così Google ha aiutato Microsoft a rendere Windows più sicuro

lastampa.it
marco tonelli

Gli esperti di Mountain View hanno denunciato le vulnerabilità dei sistemi operativi del colosso di Redmond, che ha impiegato più tempo del previsto ma poi ha (forse) risolto

Con il termine “Zero Days” si intende la presenza di una vulnerabilità nella sicurezza dei software o dei sistemi operativi. Nel caso di Windows, le falle sono almeno due: una coinvolge il set di applicazioni GDI Library: una serie di funzionalità che permettono ai programmi installati nel computer di leggere e riprodurre le specifiche grafiche e i testi formattati, l’altra interessa i browser Internet Explorer 11 (rilasciato per Windows 8), ed Edge (disponibile per l’ultimo Windows 10).

I bug sono stati scoperti dal team di esperti Project Zero. I ricercatori di Google avevano comunicato entrambi i problemi ai vertici di Microsoft: il primo nel mese di giugno del 2016, il secondo nel mese di novembre dello stesso anno. La prassi seguita è quella di dare 90 giorni di tempo alle aziende colpite per risolvere il problema. Scaduto il termine, la vulnerabilità viene resa pubblica. Ed è appunto quello che è successo: Microsoft non è riuscita a risolvere gli errori e di conseguenza entrambe le falle sono state rivelate nelle scorse settimane.

Senza dimenticare che, sempre il 2 novembre 2016, un altro team di esperti in sicurezza informatica di Google aveva denunciato la presenza di una falla sia all’interno di Adobe Flash Player che in molti sistemi operativi Windows: da Vista al 10. Una vulnerabilità sfruttata dal gruppo di hacker russi Fancy Bear per compiere attacchi. Anche in questo caso, il team aveva rivelato la scoperta a Microsoft. E, a causa della gravità del problema, dopo soli dieci giorni ha reso pubblico il pericolo che correvano milioni di utenti, scatenando le critiche della stessa società di Redmond. Pochi giorni dopo la vulnerabilità è stata risolta: prima da Adobe poi da Microsoft.

PORTE APERTE AGLI HACKER
Grazie alla falla presente all’interno delle applicazioni Windows GDI Library, gli aggressori riuscirebbero ad accedere alla memoria dei browser o del pacchetto Office. Anche gli errori (scoperti in seguito) nei sistemi di scrittura di Internet Explorer 11 ed Edge potrebbero trasformarsi nella porta d’accesso per eventuali hacker capaci di infiltrare i loro software all’interno dei programmi stessi. E infine, nel caso dell’intrusione resa pubblica a novembre 2016, i pirati informatici sono riusciti a entrare nei sistemi operativi colpiti. Secondo Microsoft, l’operazione era stata messa in piedi dal gruppo dedito allo spionaggio informatico Strontium collegato al famigerato team russo Fancy Bear.

MICROSOFT HA BISOGNO DI TEMPO
Se da una parte i vertici del colosso di Redmond hanno criticato Google per aver reso pubbliche e conoscibili a tutti (anche a eventuali hacker) le vulnerabilità, dall’altra appare chiaro come Microsoft abbia difficoltà a sviluppare le correzioni in grado di ristabilire la sicurezza dei sistemi operativi. In un primo momento l’aggiornamento era previsto per il 15 febbraio: è poi slittato al 14 marzo senza ulteriori spiegazioni. La società sta cercando un accordo con Mountain View: «Stiamo discutendo per estendere i tempi di pubblicazione di eventuali falle», scrivono in un comunicato ufficiale pubblicato qualche settimana fa. Intanto, se oggi Windows è più sicuro, è anche grazie a Google.