03 June 2008
Apple continua ad avere un approccio miope ed anacronistico sugli aspetti di Sicurezza
Nella descrizione relativa al problema del browser Safari del Security Advisory appena pubblicato da Microsoft di cui vi ho parlato nel post precedente, i più aggiornati tra voi avranno riconosciuto l'accesa discussione di questi giorni sul problema "Carpet Bombing" (ZDNet: Why Apple must fix Safari ‘carpet bombing’ flaw immediately), uno dei 3 problemi segnalati ad Apple da Dhanjani.
Quello che sta scaldando la blogosfera è l'atteggiamento di Apple che accetta di considerare "vulnerabilità" solo 1 delle 3 segnalazioni di Dhanjani, preferendo classificare le altre due come "richieste di nuove funzionalità" (in Microsoft le chiamiamo DCR, design change request). Ho riportato, traducendole, le considerazioni di Dhanjani, giudicate voi:
- "carpet bomb": il browser Safari non può essere configurato per chiedere il consenso dell'utente prima di scaricare un contenuto da Internet. Safari lo fa in modo silente e lo salva nella posizione predefinita (a meno che l'utente non l'abbia esplicitamente modificata)
- Sandbox not Applied to Local Resources: per esempio, diversamente da quanto fa Internet Explorer, Safari non avvisa l'utente quando una risorsa locale, come un file HTML, tenta di invocare dello scripting client side.
![safari_security_thumb[1]](http://blogs.technet.com/blogfiles/feliciano_intini/WindowsLiveWriter/Applecontinuaadavereunapprocciomiopeedan_BD7A/safari_security_thumb%5B1%5D_thumb.png)
Sinceramente mi sono stupito nel vedere che queste funzionalità di sicurezza fossero assenti in un browser così recente che è uscito vantando "...to be secure from day one", come indica lo stralcio della pagina web di Apple che ha riportato ZDNET (scusatemi ma non ho resistito... ).
Ribadisco un concetto espresso in un post recente sempre a proposito dell'atteggiamento di Apple: è davvero triste vedere che le disavventure passate di Microsoft con gli aspetti di sicurezza non siano servite da lezione per i nuovi vendor che ora si ritrovano a dover gestire le stesse problematiche, e che si ricommettano gli stessi errori, a tal punto da far dire a tanti "Stop using Safari".
Tecnicamente ed egoisticamente parlando, Apple potrebbe anche aver ragione (anche se in Microsoft la definizione di vulnerabilità farebbe rientrare queste problematiche come tali), peccato che si stia parlando di funzionalità di sicurezza che credo siano ormai irrinunciabili per un browser, sia alla luce delle minacce ormai comprovate, sia dalla dimostrazione di queste nuove tipologie di attacchi in cui si riescono a sommare due debolezze in due prodotti diversi, magari lievi in sé, ma che sommate possono produrre un rischio combinato ben più serio.
Se si intende procedere per il miglioramento della sicurezza di Internet e per una estesa interoperabilità, è necessario che tutti facciano la loro parte nel prendere sul serio le problematiche di sicurezza e fare tutto il possibile per migliorare i propri prodotti: io credo che Microsoft sia su questa strada già da tempo, ed è ora che anche Apple si accodi...
Comment Notification
If you would like to receive an email when updates are made to this post, please register here
Subscribe to this post's comments using
Comment Policy: No HTML allowed. URIs and line breaks are converted automatically. Your e–mail address will not show up on any public page.
