Heartbleed, la gestione della crisi e le patch

Il baco di OpenSSL continua a essere al centro della scena tra allarmi e preoccupazioni, annunci di patch e bollettini che elencano i prodotti vulnerabili. Tutti sono coinvolti, chi più chi meno, e tutti hanno qualcosa da dire a riguardo

Roma – Continua la crisi di Heartbleed, il bug “catastrofico” nella libreria OpenSSL che ha gettato mezza Internet nel panico e che ora ha anche la sua striscia illustrata su xkcd : “è stato un incidente”, confessa il programmatore Robin Seggelmann a cui va imputato il codice sorgente che in definitiva ha portato alla comparsa del baco.

Il problema nasce da una “mancata validazione di una variabile contenente una lunghezza”, ha spiegato Seggelmann, e il fatto che il codice fosse stato visionato da altri sviluppatori prima di essere integrato in OpenSSL non è servito a individuare il potenziale problema e quindi a scongiurare la presente crisi telematica mondiale. In altre parole, alla richiesta di informazioni seguita da un valore arbitrario di bit, il sistema rispondeva con l’informazione richiesta e tutto quanto veniva dopo per la lunghezza della stringa specificata: OpenSSL parlava troppo, e potrebbe aver spifferato informazioni preziose agli interlocutori sbagliati.

Nel frattempo i ricercatori scandagliano il Web alla ricerca di potenziali sistemi vulnerabili, individuando centinaia di migliaia di server e dispositivi contenenti il codice fallato. EFF continua a investigare il possibile coinvolgimento dell’intelligence statunitense nell’uso della falla a scopo di tecnocontrollo, anche se al momento risposte definitive in merito non ce ne sono.

Le grandi corporation con importanti presenze in Rete hanno naturalmente detto la loro su Heartbleed, rassicurando gli utenti con diversi livelli di certezza: Microsoft sostiene di essere immune (su Azure fanno eccezione i clienti che usano Linux) dalla falla, altrettanto fa Apple (su iOS, OS X e server), mentre Google ammette di essere vulnerabile ma di aver già provveduto a chiudere il bug nei sistemi essenziali come Gmail, Search, YouTube ecc.

I contraccolpi di Heartbleed si fanno sentire anche sulle autorità finanziarie ed economiche nei paesi più Internet-friendly come il Canada, dove i servizi di denuncia delle tasse online sono stati bloccati dalla Canada Revenue Agency in attesa di ripristinare la sicurezza. Negli USA interviene il Federal Financial Institutions Examination Council (FFIEC) che avverte le banche e gli istituti finanziari circa il pericolo.

LastPass, uno dei servizi di alto profilo affetti da Heartbleed ha rafforzato la sicurezza per gli utenti – che comunque non è mai stata realmente a rischio, sostiene la società – e ora mette a disposizione un tool per verificare la presenza del bug su un dominio Web. La questione si fa invece più complicata per Cisco e Juniper, visto che per entrambe i produttori di apparati si parla di una nutrita lista di dispositivi e servizi vulnerabili . Non resta che attendere le apposite patch, per questi sistemi, per vedere arginato questo fronte.

Quanto è realmente grave il rischio posto da Heartbleed? Il blog Freedom to Tinker interviene sulla questione nel tentativo di riportare la discussione dall’hype alla realtà, suddividendo i rischi in tre diverse categorie (aziende di medie dimensioni, dispositivi che usano OpenSSL fuori dai server Web e dispositivi embedded) e fornendo una serie di consigli ragionevoli post-apocalisse: lo stato delle cose va studiato a fondo ma è improbabile che tutte le password e tutte le chiavi private SSL/TLS siano state rubate dai cyber-criminali o dalla NSA, spiega Jeremy Epstein. Dunque un cambio di password, procedura da svolgere sempre e comunque periodicamente, è salutare: ma non è il caso di gridare (già) alla tragedia planetaria, pur dovendo prendere molto sul serio quanto accaduto.

Alfonso Maruccia

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • ... scrive:
    notizia vecchia
    Solo 4 giorni di ritardo rispetto alla stessa notizia uscita su toms hardware italia. Siete in media perfetta :-)
  • caccia gli script scrive:
    Che cambia ?
    Fino a quando i manager valuteranno i collaboratori in base alle ore lavorate e alla repereibilitàdisponibilità totale, continuerà così, alla faccia del mito degli 'obbiettivi', dei risultati...Mi rispondi alle 3 di mattina di domenica, sei sul pezzo; non mi rispondi ? mi dispiace, hai perso una occasione.così funziona.
    • nonmidire scrive:
      Re: Che cambia ?
      - Scritto da: caccia gli script
      sei
      sul pezzoquale pezzo? che XXXXX significa sta frase?
      • ... scrive:
        Re: Che cambia ?
        - Scritto da: nonmidire
        - Scritto da: caccia gli script

        sei

        sul pezzo

        quale pezzo? che XXXXX significa sta frase?"stare sul pezzo" e' un modo di dire, significa essere pronti e reattivi.
        • Pietro scrive:
          Re: Che cambia ?
          - Scritto da: ...
          - Scritto da: nonmidire

          - Scritto da: caccia gli script


          sei


          sul pezzo



          quale pezzo? che XXXXX significa sta frase?

          "stare sul pezzo" e' un modo di dire, significa essere pronti e reattivi.non è sul pezzo ;)
          • krane scrive:
            Re: Che cambia ?
            - Scritto da: Pietro
            - Scritto da: ...

            - Scritto da: nonmidire


            - Scritto da: caccia gli script



            sei



            sul pezzo





            quale pezzo? che XXXXX significa sta frase?



            "stare sul pezzo" e' un modo di dire, significa

            essere pronti e reattivi.
            non è sul pezzo ;)(rotfl)(rotfl)(rotfl)
        • ... scrive:
          Re: Che cambia ?
          - Scritto da: ...
          - Scritto da: nonmidire

          - Scritto da: caccia gli script


          sei


          sul pezzo



          quale pezzo? che XXXXX significa sta frase?

          "stare sul pezzo" e' un modo di dire, significa
          essere pronti e
          reattivi.È un modo di dire dei dementi.
      • nome e cognome scrive:
        Re: Che cambia ?

        richieste, dopo di che potremo collaborare.
        Buongiorno".Lol... considerando quello che costano i pupazzi hai fatto sprecare alla tua azienda un paio di centoni con una richiesta stupida, inoltre hai dimostrato il motivo per cui le società di consulenza esistono: l'inutilità dell'IT aziendale. 1) il tuo capo non ti ha informato della presenza di consulenti e della necessità di collaborare con loro, 2) non hai fatto una cosa semplicissima come alzare il telefono e chiamare suddetto capo per verificare.Poi voi abitanti delle cantine vi chiedete come mai da gran lavoratori che siete prendete sempre "performance in media si suggerisce aumento minimo"
        • ... scrive:
          Re: Che cambia ?
          - Scritto da: nome e cognome

          richieste, dopo di che potremo collaborare.

          Buongiorno".

          Lol... considerando quello che costano i pupazzi
          hai fatto sprecare alla tua azienda un paio di
          centoni con una richiesta stupida, inoltre hai
          dimostrato il motivo per cui le società di
          consulenza esistono: l'inutilità dell'IT
          aziendale.tu ora devi telefonare in india per segnalare il "paper jam", immagino.


          1) il tuo capo non ti ha informato della presenza
          di consulenti e della necessità di collaborare
          con loro, non tutti hanno il capo nella stanza attigua o reperibile al telefono e al di la' di qeusto, ci sono cose come il rispetto e un minimo di formalita' sociali: sconosciuti che entrano senza bussare, mi danno del tu e chiedono dati sensibbili, possono tornare da dove sono venuti.
          2) non hai fatto una cosa semplicissima
          come alzare il telefono e chiamare suddetto capo
          per verificare.Tu non mi hai mai visto ne sai chi sono, io entro nel tuo ufficio, non mi presento e comincio ad ordinare "dammi questo, voglio quello"... vediamo come reagisci.

          Poi voi abitanti delle cantine vi chiedete come
          mai da gran lavoratori che siete prendete sempre
          "performance in media si suggerisce aumento
          minimo"era un piacere vedere i dirigenti venire a strisciare perche avevano fatto cose "non aziendali" sui portatili e volevano un aiuto di straforo senza che venisse registrato nella lista degli interventi.
        • Crononauta scrive:
          Re: Che cambia ?
          - Scritto da: nome e cognome
          1) il tuo capo non ti ha informato della presenza
          di consulenti e della necessità di collaborare
          con loro, 2) non hai fatto una cosa semplicissima
          come alzare il telefono e chiamare suddetto capo
          per
          verificare.In un'azienda seria (quindi non italiana) il tuo capo è un XXXXXXXX e si assumerà la responsabilità, LUI che è IL RESPONSABILE, di non aver organizzato un XXXXX di niente. Tu, invece, hai fatto più che bene a mandare a fare un giro il tizio che si presenta all'improvviso. O tu pensi che sia meritorio andare a dire al tuo capo: "sa è venuto un tizio che non so chi fosse a chiedermi i dati più riservati aziendali, e io nel dubbio, gli ho detto tutto".Il fatto che venga criticato il dipendente, e che qualcuno perdippiù lo ritenga legittimo, è il motivo per cui le aziende di questo paese vanno in XXXXX.
          Poi voi abitanti delle cantine vi chiedete come
          mai da gran lavoratori che siete prendete sempre
          "performance in media si suggerisce aumento
          minimo"Perché in Italia i "manager" sono dei miserabili mentecatti che scaricano sui dipendenti operativi dei compiti *gestionali* non di loro competenza. Il che porta di conseguenza all'azzeramento di qualsiasi forma a) di strutturazione aziendale; b) di meritocrazia.Se non conosci queste cose, non hai mai lavorato in un'azienda italiana.
      • sentinel scrive:
        Re: Che cambia ?
        - Scritto da: ...CUT

        mi ricordo ancora l'ultimo pupazzo che mi
        mandarono
        contro.

        lui: "ho bisogno dei dati ABC".

        io: "primo mi dia del lei, secondo io non la
        conosco e quindi non le fornisco nulla, terzo si
        ripresenti con un mio collega che la conosce e
        che mi possa garantire sulla sua identita' e sul
        fatto che lei e' a utorizzato a farmi tali
        richieste, dopo di che potremo collaborare.
        Buongiorno".e dopo ti hanno licenziato?
        • Izio01 scrive:
          Re: Che cambia ?
          - Scritto da: sentinel
          - Scritto da: ...
          CUT



          mi ricordo ancora l'ultimo pupazzo che mi

          mandarono

          contro.



          lui: "ho bisogno dei dati ABC".



          io: "primo mi dia del lei, secondo io non la

          conosco e quindi non le fornisco nulla,
          terzo
          si

          ripresenti con un mio collega che la conosce
          e

          che mi possa garantire sulla sua identita' e
          sul

          fatto che lei e' autorizzato a farmi tali

          richieste, dopo di che potremo collaborare.

          Buongiorno".

          e dopo ti hanno licenziato?Perché avrebbero dovuto? Casomai si licenzia chi fornisce dati riservati a chiunque senza preoccuparsi.
        • ... scrive:
          Re: Che cambia ?
          - Scritto da: sentinel
          - Scritto da: ...
          CUT



          mi ricordo ancora l'ultimo pupazzo che mi

          mandarono

          contro.



          lui: "ho bisogno dei dati ABC".



          io: "primo mi dia del lei, secondo io non la

          conosco e quindi non le fornisco nulla,
          terzo
          si

          ripresenti con un mio collega che la conosce
          e

          che mi possa garantire sulla sua identita' e
          sul

          fatto che lei e' a utorizzato a farmi tali

          richieste, dopo di che potremo collaborare.

          Buongiorno".

          e dopo ti hanno licenziato?no, il mio capo e' andato dal pupazzo-capo a fargli un simpatico shampoo. il mappets-team era stato chiamato da un altro capo il concorrenza col mio...Ad ogno modo: arrivano delle persone in azienda, non si presentano, non dicono nemmeno "ciao" e poi vengono a chiedere dati? al di la' dell'educazione mancanza di educazione del pupazzo, sulla quale potevo anche chiudere un occhio, non potevo, professionalmente parlado, transigere sulla protezione dei dati e della privacy. Poi se degli idioti dome un paio di post sopra considerano normale parlare ai 4 venti dei ca*zzi aziendali col primo che passa, sono problemi loro ma sopratutto della loro azienda. io no.
          • sentinel scrive:
            Re: Che cambia ?
            Capito, pensavo che la scena da te raccontanta si fossesvolta tutta all'interno di un'unica azienda, sai ormaile spie e i traditori sono all'ordine del giorno... ;)
    • panda rossa scrive:
      Re: Che cambia ?
      - Scritto da: caccia gli script
      Fino a quando i manager valuteranno i
      collaboratori in base alle ore lavorate e alla
      repereibilitàdisponibilità totale, continuerà
      così, alla faccia del mito degli 'obbiettivi',
      dei
      risultati...

      Mi rispondi alle 3 di mattina di domenica, sei
      sul pezzo; non mi rispondi ? mi dispiace, hai
      perso una
      occasione.
      così funziona.Infatti.Proprio per questo i sistemisti in gamba (e che usano terminali con android) hanno configurato i loro dispositivi in modo che se chiama il capo alle 3 di mattina, rispondono automanticamente "Sono sul pezzo!".
      • nome e cognome scrive:
        Re: Che cambia ?

        Proprio per questo i sistemisti in gamba (e che
        usano terminali con android) hanno configurato i
        loro dispositivi in modo che se chiama il capo
        alle 3 di mattina, rispondono automanticamente
        "Sono sul
        pezzo!".E quando "sono sul pezzo" è la risposta a "scusami ho sbagliato numero" il sistemista in gamba diventa la barzelletta del meeting di valutazione annuale.
        • Trollollero scrive:
          Re: Che cambia ?
          - Scritto da: nome e cognome

          Proprio per questo i sistemisti in gamba (e
          che

          usano terminali con android) hanno
          configurato
          i

          loro dispositivi in modo che se chiama il
          capo

          alle 3 di mattina, rispondono
          automanticamente

          "Sono sul

          pezzo!".

          E quando "sono sul pezzo" è la risposta a
          "scusami ho sbagliato numero" il sistemista in
          gamba diventa la barzelletta del meeting di
          valutazione
          annuale.Quello in cui gente che non ti ha mai visto e che non sa cosa fai e non saprebbe come valutarlo in caso lo sapesse decide se darti un aumento o no ?Quel meeting in cui invariabilmente vengono aumentate le ore di lavoro (a parita' di stipendio) a chi fa e in cui vengono diminuite le ore di lavoro (con aumento di stipendio) a chi non fa ma parla (in gergo "manager") ?Intendi quel meeting li' ?
          • ... scrive:
            Re: Che cambia ?
            - Scritto da: Trollollero
            - Scritto da: nome e cognome


            Proprio per questo i sistemisti in
            gamba
            (e

            che


            usano terminali con android) hanno

            configurato

            i


            loro dispositivi in modo che se chiama
            il

            capo


            alle 3 di mattina, rispondono

            automanticamente


            "Sono sul


            pezzo!".



            E quando "sono sul pezzo" è la risposta a

            "scusami ho sbagliato numero" il sistemista
            in

            gamba diventa la barzelletta del meeting di

            valutazione

            annuale.
            Quello in cui gente che non ti ha mai visto e che
            non sa cosa fai e non saprebbe come valutarlo in
            caso lo sapesse decide se darti un aumento o no
            ?
            Quel meeting in cui invariabilmente vengono
            aumentate le ore di lavoro (a parita' di
            stipendio) a chi fa e in cui vengono diminuite le
            ore di lavoro (con aumento di stipendio) a chi
            non fa ma parla (in gergo "manager")
            ?
            Intendi quel meeting li' ?si, qiuel meeting li'. E' *SEMPRE* quel meeting, li', ogni volta che lo fanno.
          • nome e cognome scrive:
            Re: Che cambia ?

            Intendi quel meeting li' ?Si proprio quello.
      • Zack scrive:
        Re: Che cambia ?
        - Scritto da: panda rossa... omiss...
        loro dispositivi in modo che se chiama il capo
        alle 3 di mattina, rispondono <b
        automanticamente </b

        "Sono sul pezzo!".Mi auguro che il tuo risponditore automatico abbia il correttore attivo :-)
        • Leguleio scrive:
          Re: Che cambia ?
          - Scritto da: Zack
          - Scritto da: panda rossa
          ... omiss...

          loro dispositivi in modo che se chiama il
          capo

          alle 3 di mattina, rispondono <b

          automanticamente </b



          "Sono sul pezzo!".
          Mi auguro che il tuo risponditore automatico
          abbia il correttore attivo
          :-)Il termine "mantica" esiste in italiano: "arte di prevedere il futuro".Quindi automanticamente significherebbe: "in un modo che prevede il futuro con meccanismi automatici", oppure "in un modo che prevede il futuro da sé, senza apporti esterni".
          • ... scrive:
            Re: Che cambia ?
            - Scritto da: Leguleio
            - Scritto da: Zack

            - Scritto da: panda rossa

            ... omiss...


            loro dispositivi in modo che se chiama
            il

            capo


            alle 3 di mattina, rispondono <b


            automanticamente </b





            "Sono sul pezzo!".

            Mi auguro che il tuo risponditore automatico

            abbia il correttore attivo

            :-)

            Il termine "mantica" esiste in italiano: "arte di
            prevedere il
            futuro".
            Quindi automanticamente significherebbe: "in un
            modo che prevede il futuro con meccanismi
            automatici", oppure "in un modo che prevede il
            futuro da sé, senza apporti
            esterni".evvai! la sapevi anche questa! vai col segone autocelebrativo!
          • Zack scrive:
            Re: Che cambia ?
            - Scritto da: ...
            - Scritto da: Leguleio
            evvai! la sapevi anche questa! vai col segone
            autocelebrativo!Non la sapeva, cerca ogni parola su internet per trovar modo di ... (riprendi l'ultima riga del tuo post :-) )
      • ... scrive:
        Re: Che cambia ?
        - Scritto da: panda rossa
        - Scritto da: caccia gli script

        Fino a quando i manager valuteranno i

        collaboratori in base alle ore lavorate e
        alla

        repereibilitàdisponibilità totale,
        continuerà

        così, alla faccia del mito degli
        'obbiettivi',

        dei

        risultati...



        Mi rispondi alle 3 di mattina di domenica,
        sei

        sul pezzo; non mi rispondi ? mi dispiace, hai

        perso una

        occasione.

        così funziona.

        Infatti.
        Proprio per questo i sistemisti in gamba (e che
        usano terminali con android) hanno configurato i
        loro dispositivi in modo che se chiama il capo
        alle 3 di mattina, rispondono automanticamente
        "Sono sul
        pezzo!".sei indietro di brutto!io adotto il metodo "elisa" con risposte interlocutorie, tipo "ci sto lavorando", "dammi piu' dettagli", etc :D :D :D
        • Fulmy(nato) scrive:
          Re: Che cambia ?
          - Scritto da: ...

          Infatti.

          Proprio per questo i sistemisti in gamba (e che

          usano terminali con android) hanno configurato i

          loro dispositivi in modo che se chiama il capo

          alle 3 di mattina, rispondono automanticamente

          "Sono sul

          pezzo!".

          sei indietro di brutto!
          io adotto il metodo "elisa" con risposte
          interlocutorie, tipo "ci sto lavorando", "dammi
          piu' dettagli", etc :D :D
          :D- "sei sul pezzo?"- "Sbidigulla! Per due o anche di quattro come fosse antani, o scherziamo?"- "Bravo, tienimi informato."- "Con cofandina." ;)-----------------------------------------------------------Modificato dall' autore il 14 aprile 2014 15.52-----------------------------------------------------------
          • ... scrive:
            Re: Che cambia ?
            - Scritto da: Fulmy(nato)
            - Scritto da: ...



            Infatti.


            Proprio per questo i sistemisti in
            gamba (e
            che


            usano terminali con android) hanno
            configurato
            i


            loro dispositivi in modo che se chiama
            il
            capo


            alle 3 di mattina, rispondono
            automanticamente


            "Sono sul


            pezzo!".



            sei indietro di brutto!

            io adotto il metodo "elisa" con risposte

            interlocutorie, tipo "ci sto lavorando",
            "dammi

            piu' dettagli", etc :D :D

            :D

            - "sei sul pezzo?"

            - "Sbidigulla! Per due o anche di quattro come
            fosse antani, o
            scherziamo?"

            - "Bravo, tienimi informato."

            - "Con cofandina."

            ;)"anche per il direttore""quistana, o setta"
      • ... scrive:
        Re: Che cambia ?
        - Scritto da: panda rossa
        - Scritto da: caccia gli script

        Fino a quando i manager valuteranno i

        collaboratori in base alle ore lavorate e
        alla

        repereibilitàdisponibilità totale,
        continuerà

        così, alla faccia del mito degli
        'obbiettivi',

        dei

        risultati...



        Mi rispondi alle 3 di mattina di domenica,
        sei

        sul pezzo; non mi rispondi ? mi dispiace, hai

        perso una

        occasione.

        così funziona.

        Infatti.
        Proprio per questo i sistemisti in gamba (e che
        usano terminali con android) hanno configurato i
        loro dispositivi in modo che se chiama il capo
        alle 3 di mattina, rispondono automanticamente
        "Sono sul
        pezzo!".ma poi ci sono pure i sisteminsti _veramente_ fighi che usano replicant, eh...
Chiudi i commenti