DRM, il calvario Sony BMG non è finito

Roma – La “patch” consigliata da Sony BMG a quegli utenti che volessero rimuovere dai propri sistemi il rootkit installato a loro insaputa dai CD dell'azienda è accusata di rappresentare un nuovo rischio sicurezza . Una circostanza che non è stata ufficialmente ammessa dalla stessa società discografica che secondo alcuni rumors sarebbe però al lavoro su una seconda patch capace di rimuovere quel software. Questa l'ultima novità sul fronte bollente del DRM diffuso da Sony BMG su milioni di CD, una vicenda che da due settimane tiene il colosso discografico sulla graticola.

Che la patch sia un disastro lo sostengono informatici del calibro di Ed Felten e Alex Halderman dell'Università di Princeton: i due hanno già esaminato quel software e parlano di una gravissima vulnerabilità di sicurezza che colpirebbe tutti i computer in cui venisse attivato l'”uninstaller” consigliato da Sony. Felten e Halderman, già notissimi per aver scardinato i sistemi di protezione di quella che fu la Secure Music Digital Initiative , hanno illustrato la gravità della cosa: chi installa la patch consentirà a qualsiasi sito web di scaricare, installare e far girare software sul proprio computer. “Qualsiasi pagina web – scrivono i due – può prendere possesso del tuo computer e poi farci quello che vuole”.

Ciò che stupisce i due ricercatori è che il problema della patch risieda in un controllo ActiveX realizzato da First4Internet, la società che ha fornito a Sony le tecnologie DRM XCP ora ritirate dall'azienda, un controllo denominato CodeSupport . Questo viene installato sul sistema dell'utente quando questi richiede la patch a Sony BMG e consente di scaricare quest'ultima dal sito Sony: purtroppo non verifica che il codice arrivi davvero da Sony e, dunque, spiegano i due “qualsiasi pagina web che supporti CodeSupport può scaricare ed installare codice da qualsiasi URL senza chiedere il permesso dell'utente”. Le conseguenze sono ovvie.

E mentre gli esperti di sicurezza consigliano agli utenti infettati di attendere il rilascio della nuova patch da parte di Sony BMG, gli smanettoni di mezzo mondo sono al lavoro per calcolare la diffusione del rootkit. Dan Kaminsky, celebre hacker, ha realizzato un piccolo progetto di ricerca scoprendo che in almeno 500mila network vi sarebbe una macchina colpita dal dispositivo Sony BMG che, come noto, consente a trojan già in circolazione di installarsi nel sistema e rimanervi occultati. Kaminsky in sostanza ha “interrogato” tre milioni di server DNS in rete per capire se erano stati utilizzati di recente per dirigere traffico dati su indirizzi previsti dal rootkit, come connected.sonymusic.com.

I risultati dell'indagine sono inquietanti: secondo Kaminsky alcune delle reti colpite fanno capo a organizzazioni governative e forze armate , una situazione destinata a persistere fino a quando non saranno condotte approfonditi esami delle reti avendo a disposizione un tool di rimozione del rootkit finalmente efficiente. Al tool stanno lavorando anche imprese come Microsoft che nei giorni scorsi ha assicurato che i propri software di sicurezza considerano il software di Sony BMG alla stregua di un malware . Il fatto che vi siano virus writer al lavoro per diffondere cavalli di troia capaci di sfruttare quel rootkit rende evidentemente ancora più grave e urgente una soluzione definitiva al problema.

A latere, Sony sta cercando di tamponare le ferite offrendo ai consumatori che dispongono dei CD con il rootkit la possibilità di ottenere una copia dello stesso CD “senza protezione della copia”. “E' importante sottolineare – recita una nota diffusa dall'azienda – che i problemi relativi a quei dischi si verificano solo quando questi sono ascoltati sui computer e non sui lettori CD o DVD convenzionali”. Va detto che la nota, che sottolinea come Sony BMG abbia già avviato il ritiro di circa 5 milioni di dischi , continua peraltro a consigliare agli utenti colpiti dal rootkit l'installazione della patch.