24 June 2008
A proposito di responsible o full disclosure: la prima vulnerabilità di Firefox 3 e il nuovo trojan per Mac OS X
A ruota rispetto al post precedente in cui ho preso spunto da una vulnerabilità di Adobe, vorrei approfittare di altre due problematiche di sicurezza non in casa Microsoft per sollecitare un'altra questione importante, le politiche di condivisione delle vulnerabilità.
La prima è abbastanza eclatante e sicuramente a voi già nota perché accaduta quasi una settimana fa: dopo sole 5 ore dal lancio dell'ultima versione del browser di Mozilla, gli specialisti dei DVLabs di TippingPoint hanno orgogliosamente dichiarato di aver trovato la prima vulnerabilità di Firefox 3.0. Non mi scandalizzo della presenza di vulnerabilità in un prodotto nuovo di zecca e della velocità della scoperta rispetto al lancio: lo dico da tempo che la complessità del software è causa della presenza ineludibile di vulnerabilità nel codice (che possono essere ridotte, ma non azzerate, da un processo di security development, quale l'SDL di Microsoft). Certo vedere questi concetti applicati anche a un prodotto non Microsoft fa un certo effetto... e restituisce un senso di equità... ma lo spunto di questa notizia era per sottolineare il primo esempio di atteggiamento nei confronti delle politiche di condivisione delle vulnerabilità: TippingPoint ha scelto la strada della responsible disclosure e attenderà il rilascio della patch di Mozilla prima di fornire dettagli tramite un suo security advisory.
La seconda notizia è di queste ore, rilanciata da ZDNet: è nota la presenza di un trojan che sfrutta una vulnerabilità di Mac OS 10.4 e 10.5 non ancora corretta. Anche in questo caso, in tema di equità rispetto a Microsoft, fa specie vedere associata la parola trojan a un prodotto non Microsoft, ma non mi scandalizza visto anche che ho già espresso (sempre a proposito di Apple) di condividere l'assunto "vulnerabilites follows success". L'articolo ZDNet esprime le perplessità di un approccio spinto all'estremo sulla strada di una politica di condivisione delle vulnerabilità di tipo full disclosure:
Going full-disclosure with the idea to shorten the time until a patch is released by the vendor for the sake of closing the “window of opportunity” for malicious abuse of the vulnerability is one thing, releasing a do-it-yourself trojan template in a vulnerability-to-malware fashion is entirely another.
Cosa ne pensate? Quale politica ritenete più appropriata e perché? Ritenete che debba essere una decisione lasciata liberamente ai singoli ricercatori di sicurezza, o si potrebbe pensare di concordare un approccio comune a livello internazionale, da applicare tramite leggi/normative nazionali?
Comment Notification
If you would like to receive an email when updates are made to this post, please register here
Subscribe to this post's comments using
Comment Policy: No HTML allowed. URIs and line breaks are converted automatically. Your e–mail address will not show up on any public page.
