Ancora Microsoft? Già, la saga dei problemi che Microsoft sta incontrando in questi ultimi tempi sembra proprio che non sia destinata a finire con gli ultimi avvenimenti. In questi giorni mi sono imbattuto in una discussione che riguarda da vicino tutti gli amministratori di sistema che hanno deciso di fare l’aggiornamento a Windows 2000, pacchetto pubblicizzato come realmente sicuro, tanto da dichiarare che è più forte di Linux.
No, nessuna polemica, tranquilli, cercheremo solo di capire quale sia il nuovo baco che Windows porta in seno.
Il problema su cui focalizzeremo questo articolo è il sistema di criptazione dei dati che la nuova versione del sistema operativo utilizza per scambiare i dati su Internet e ntranet, sistema che Microsoft ha appositamente “disegnato” per eseguire questo scambio di dati in modo alquanto poco sicuro o, comunque, non come la stessa casa di Redmond pubblicizza.
Il sistema di criptazione Triple-DES (3DES) è più sicuro del sistema installato in Windows 2000, ovvero il Single-DES, di almeno 70.000 trilioni di volte, un numero che può dar l’idea di quale scelta un buon sysadmin dovrebbe adottare.
Microsoft, per voce di Ron Cully (il capo della sezione Networking di Windows), dichiara che le aziende potrebbero avere migliaia di macchine installate, tra cui qualcuna non configurata con il sistema 3DES, questo a causa della legge americana sull’esportazione o l’importazione di dati a criptazione sicura, per questo Microsoft stessa ha reso disponibile un pacchetto separato aggiornabile via Internet .
Rincarando la dose, Cully afferma inoltre che probabilmente il malfunzionamento dei sistemi è dato dal fatto che qualche società potrebbe avere malconfigurato i propri software, non installando correttamente il sistema di alta sicurezza 3DES. “Certo, avere almeno un sistema di sicurezza di criptazione è sempre meglio che non averne affatto.” ha detto sempre nella stessa intervista.
Ma il problema non è questo! Andiamo a capire il perchè?
Società impegnate nel settore della sicurezza come IPSec criticano l’operato di Microsoft in una discussione avviata sulla mailing list di IPsec creata dall’organizzazione Internet Engineering Task Force dove fanno presente alcune peculiarità del baco stesso, o del presunto baco.
In pratica, esiste la possibilità di impostare quale algoritmo di criptazione deve essere utilizzato dal sistema e quali altri possono essere accettati o meno. In questo caso, quando noi impostiamo Windows 2000 nel sistema “3DES-only” dovremmo avere un sistema operativo che accetta dati nel formato impostato, mentre respinge gli altri, o, per lo meno, ci avverte che tali dati non sono nel formato da noi impostato.
Ciò che succede, invece, è solo una segnalazione a livello di “audit” del sistema (un piccolo file di log in cui sono registrati tutti gli avvenimenti della giornata, in cui c’è uno storico dei segnali d’errore o di malfunzionamenti del sistema stesso, così come eventuali tentativi non consentiti da parte di utenti), ma non viene avvisato l’amministratore di quanto sta accadendo.
Sebbene tutti gli interventi dei componenti di Microsoft nella discussione puntino l’indice sul fatto che è praticamente impossibile comprendere e sapere in quale stato verrà immesso il sistema operativo, e che è compito dell’amministratore gestire la propria sicurezza, eventualmente installando il pacchetto di alta sicurezza disponibile all’indirizzo sopracitato, la realtà è che questa è una debolezza del sistema bella e buona.
A dimostrazione del livello di sicurezza del sistema “Single-DES” (installato di base in Windows 2000) citiamo un episodio voluto da Electronic Frontier Foundation e Distributed.net in cui, nel gennaio 1999 è stato decriptato un messaggio cifrato “Single-DES” in sole 22 ore di lavoro e, si sa, le agenzie di spionaggio del governo di qualsiasi stato possiedono dei computer molto potenti (tendenzialmente diventa un gioco da ragazzi).
Ecco quindi che lo sforzo di garantire una sicurezza sempre più adeguata crolla di fronte ad un baco di per sè piccolo, ma che grazie alla forse troppa superficialità di Microsoft, aumenta l’esposizione ai pericoli della rete, così come dà ad intendere Steve Bellovin, ricercatore alla AT&T.
“In fin dei conti è documentato nei file di help di Windows, la documentazione non manca…” potrebbe commentare qualcuno dopo aver sentito l’intervento di Cully, ma il problema rimane e non è proprio così semplice.
Se un amministratore decide la politica di sicurezza e il sistema operativo fa a modo suo senza avvisarlo, che garanzie di sicurezza può ottenere lo stesso amministratore? Se fosse un normale dipendente e la sicurezza venisse compromessa perchè il “Single-DES” è troppo facile da “superare”, ma l’amministratore crede di lavorare con un “3DES”, a chi potrà venire attribuita la colpa nel caso una società venga danneggiata?
Insomma, credo che siano domande che una società che detiene il monopolio su molti fronti (soprattutto quello della sicurezza) dovrebbe porsi ad ogni nuovo progetto, con i suoi riscontri commerciali, questo è ovvio, ma qui sembra che i riscontri commerciali finiscano per logorare anche gli aspetti più importanti dello sviluppo.
La mia speranza è che Linux non acquisti la stessa politica?
Ti potrebbe interessare
21 mag 2000