Avrei voluto intitolare questo post con "La rivincita di Windows Update", ricordando il post in cui avevo dovuto smontare le false accuse portate a Windows Update di poter essere un veicolo di infezione malware, ma non volevo darvi l'impressione che questa notizia mi faccia gioire: se il livello generale di sicurezza non aumenta ne paghiamo le spese tutti, non importa che siano competitor di Microsoft.

Purtroppo la possibilità di iniettare sul vostro PC dei finti aggiornamenti pericolosi è proprio quello che è possibile realizzare oggi a danno di tutte quelle applicazioni che usano meccanismi di aggiornamento online insicuri, dove per "insicuri" si intende il mancato uso dell'HTTPS (per verificare l'autenticità del server che ci fornisce gli aggiornamenti) e il mancato uso di firme digitali (per identificare in modo sicuro il produttore dell'aggiornamento che stiamo installando).

Si legge infatti da diverse testate online (ZDNet, The Register, SecurityFocus) che il toolkit Evilgrade appena annunciato dalla Infobyte Security Research è in grado di sfruttare tramite l'exploit di Metasploit anche la recente vulnerabilità DNS per realizzare un classico attacco man-in-the-middle e riuscire a colpire una serie nutrita di applicazioni: la versione attuale del toolkit ha una serie di moduli per indirizzare appunto Sun Java plugin, Winzip, Winamp, Mac OS X, OpenOffice, iTunes, Linkedin Toolbar, DAP (download accelerator), Notepad++, Speedbit, ma naturalmente è molto elevato il rischio che venga presto esteso a diverse altre applicazioni che usano un meccanismo debole di aggiornamento online.

Questo scenario mi porta a fare le seguenti considerazioni:

• rinnovare l'urgenza di aggiornamento rispetto alla vulnerabilità DNS a tutti gli interessati: utenti finali, aziende e soprattutto Internet Service Provider; il nostro osservatorio di sicurezza sui grandi clienti sta operando un nuovo sollecito diretto: avendo già qualche riscontro di ISP non ancora aggiornati, temiamo che la situazione italiana non sia così rosea... :-((
• l'importanza di definire delle best practice per i meccanismi di aggiornamento online e automatico: avevo già iniziato a porre queste considerazioni a fronte del recente security update di Adobe, e ora questa situazione rende questa necessità ancora più attuale e urgente.
• la conferma che nessun vendor può sottrarsi dall'affrontare gli aspetti di sicurezza in modo serio e rigoroso...

Altri post/risorse correlate:

• Malware attraverso Windows Update ? Ma no ...
• How can I be sure that updates are safe to install?
• Difference between Windows Update and Automatic Updates
• Automatic Updates Concepts

Share this post :