Speciale/ Microsoft: ecco la nostra sicurezza

di G. Fleres. In un incontro con la stampa specializzata, MS Italia ha delineato le strategie di sicurezza del big di Redmond per scacciare i bug, vegliare sugli utenti e mettere lucchetti ai contenuti
di G. Fleres. In un incontro con la stampa specializzata, MS Italia ha delineato le strategie di sicurezza del big di Redmond per scacciare i bug, vegliare sugli utenti e mettere lucchetti ai contenuti


Roma – Sull?onda del rinnovato impegno e delle varie iniziative legate alla sicurezza informatica, Microsoft Italia ha organizzato un incontro con la stampa per raccontare le sue strategie legate al Trustworthy Computing (TC), quell’iniziativa sulla sicurezza a cui Punto Informatico ha di recente dedicato diverse notizie e articoli di approfondimento .

?Ridare alle applicazioni informatiche un aspetto più affidabile e usabile?. Con queste parole Andrea Valboni, neo Chief Technology Officer di Microsoft Italia, ha sintetizzato la nuova strategia sulla sicurezza del gigante di Redmond, aggiungendo che ?a causa dei sistemi precedenti, gli utenti privati e le aziende hanno cominciato a diffidare dell?informatica. Il nostro obiettivo è quello di trasformare i PC in qualcosa il cui comportamento sia ?certo? come un interruttore elettrico: se lo premo accendo la luce, se lo ripremo la spengo. Se non funziona vuol dire che l?Enel ha qualche problema?.

Microsoft ha spiegato che il TC si baserà su quattro principi fondamentali:
– sicurezza: i prodotti devono essere in grado di resistere agli attacchi esterni e devono poter essere in grado di proteggere la confidenzialità, l?integrità dei dati e fornirne la continua disponibilità;
– privacy: è necessario realizzare meccanismi di protezione dei dati più efficienti che garantiscano che acceda alle informazioni solo chi ne ha il diritto e in base a quel diritto. Più specificamente, si devono garantire che i dati inseriti nei servizi o prodotti online siano adeguatamente protetti;
– affidabilità: l?utente deve potersi fidare delle applicazioni che usa, deve poterle utilizzare quando gli servono e deve disporre di livelli di servizio predicibili (il sistema si comporta secondo le previsioni dell?utente);
– comportamenti: si deve migliorare la qualità dei prodotti e fornire un adeguato livello di supporto.

Più concretamente, il TC farà sì che d’ora in avanti Microsoft adotti un nuovo approccio alla sicurezza che prevede quattro nuovi modelli. Il primo è il cosiddetto “Secure by Design”, attraverso cui il big di Redmond si impegna a progettare applicazioni che tengano conto, innanzitutto, dei fattori appena elencati: uno degli obiettivi sarà quello di ridurre considerevolmente il numero di bug e di vulnerabilità nel codice.

Con “Secure by Default” Microsoft indica il nuovo approccio alla configurazione standard delle applicazioni appena installate, approccio che prevede la riduzione della “superficie di attacco” con l’apertura delle sole porte necessarie, la disattivazione per default di tutte le funzionalità potenzialmente pericolose (demandandone l’eventuale attivazione all?utente), l’impostazione dei diritti minimi necessari per poter utilizzare il sistema.

Con “Secure by Deploy” Microsoft vuole invece fornire agli amministratori di sistema delle linee guida per configurare correttamente le impostazioni sulla sicurezza: questa fase prevede l’attivazione di corsi di formazione e training del personale.


Altro punto focale delle strategie ufficiali di Microsoft sarà l’aspetto della “Comunicazione”, intesa come “impegno pubblico” e “fortemente attivo” per la sensibilizzazione degli utenti in merito alle tematiche legate alla sicurezza e alla privacy, con una maggiore promozione del Microsoft Security Response Center.

Valboni ha poi osservato come Microsoft abbia messo a disposizione dei sistemi operativi client alcuni tool per la gestione della sicurezza, fra cui, il più recente, è il Microsoft Baseline Security Analyzer .

?Grazie a questo nuovo strumento – ha affermato Valboni – la fase di ricerca delle patch per la sicurezza è stata notevolmente semplificata. Adesso anche l?utente meno esperto può controllare il grado di sicurezza del proprio sistema e provvedere al suo rafforzamento?.

Valboni, spiegando per quale ragione Microsoft non abbia reso accessibile ai sistemi client precedenti a Windows XP i tool per la sicurezza succitati, ha affermato che “quei sistemi non contengono alcun meccanismo per la sicurezza. Lo stesso sistema di autenticazione di Windows era facilmente aggirabile”. Un’ammissione che solo qualche tempo fa avrebbe fatto sobbalzare sulla sedia non pochi utenti e professionisti.

Il dirigente Microsoft ha poi accennato che nei prossimi mesi verrà realizzato un nuovo strumento di tipo pool, rivolto alle piccole e medie imprese, chiamato “Software Update Services” di cui PI ha già parlato qui ; si baserà sulla stessa infrastruttura del Windows Update e sfrutterà la banda non utilizzata per scaricare le patch.

Valboni ha inoltre precisato che Microsoft, per rafforzare la propria immagine nel campo della sicurezza, adotterà una politica di ?full disclosure? nella rilevazione dei bug.

?Il messaggio dev’essere comunicato tempestivamente?, ha detto Valboni.

In realtà quello di Microsoft appare un ?full disclosure? solo parziale: il colosso indica con questa terminologia, infatti, la possibilità per chi scopre un bug in uno dei suoi prodotti di poter divulgare la scoperta (ma non il codice per sfruttarlo) subito dopo che la stessa Microsoft ne abbia accertato l’esistenza…

Mario Esposito, Senior Technical Specialist di Microsoft, a questo proposito ha aggiunto: “Non appena ci viene segnalato un bug, verifichiamo che esista e normalmente dopo quarantotto ore ne rilasciamo la fix almeno per i dieci paesi più importanti, tra i quali c?è anche l?Italia. Sono mesi che George Guninski, il bug hunter bulgaro, non pubblica più niente sul suo sito ?. Prendendo Guninski quale innovativo termometro della situazione viene evidenziato come l?ultima sua segnalazione riguarda un bug del browser Internet Explorer rilevato il 31/07/02.

Pietro Panepinto, product manager dei sistemi operativi Windows client per l’Italia, ha poi spiegato che Longhorn, la prossima versione di Windows, conterrà un meccanismo di error-reporting a due vie.

“Con Windows XP – ha detto Panepinto – l?utente poteva solo inviare una segnalazione puramente tecnica a Microsoft. Nel nuovo sistema operativo l?utente potrà anche decidere se richiedere di essere contattato da Microsoft non appena venga rilasciata la patch che risolve il problema da lui riscontrato?.

Panepinto ha poi assicurato che fino al rilascio di Longhorn, la prossima versione di Windows, non verrà rilasciata nessun’altra release di questo sistema operativo.

“Secondo i dati in mio possesso, da Windows XP e da Windows.Net si passerà direttamente a Longhorn tra un anno, un anno e mezzo, o quando sarà. Non è prevista alcuna release intermedia, ma un secondo service pack per Windows XP”.


La discussione si è poi spostata su Palladium , la piattaforma di sicurezza e protezione dei contenuti che verrà implementata sia a livello software che hardware.

?Il software – ha spiegato Valboni – può sempre essere ingannato: per poter sviluppare applicazioni non craccabili e impedire che vengano eseguiti contenuti multimediali di cui non si ha la licenza (come gli MP3 scaricati da Internet) abbiamo bisogno dell’hardware. Da qui nasce Palladium?.

?Il processore – ha aggiunto Valboni – contiene delle nuove istruzioni che vengono continuamente inviate al sistema operativo. Xbox è stato il primo prototipo di Palladium. Intel per prima e adesso anche AMD hanno dato la loro adesione a questa iniziativa. Se vogliamo garantire la diffusione di Palladium, oltre al supporto dei produttori di hardware dobbiamo avere anche quello dell?utente domestico, altrimenti Palladium farà la fine di quel noto progetto di Intel, anni or sono, di identificare i processori attraverso un numero seriale. Il TC e Palladium non si possono realizzare nel giro di mesi: abbiamo bisogno di anni prima di potere raggiungere questi obiettivi. Molte tecnologie necessarie alla loro implementazione non sono ancora mature?.

Parlando di tecnologie immature, Valboni si è soffermato sul supporto di Microsoft a IPv6 e ai protocolli wireless.

?Solo di recente Microsoft ha introdotto il supporto per questo protocollo nei propri prodotti. Windows XP l?ha ottenuto con il Service Pack 1, Windows 2000 lo avrà con il Service Pack 4, ma solo sulla versione Professional, mentre in Windows.Net è incluso fin dall?inizio. IPv6 è destinato a sostituire IPv4: presto avremo bisogno di una nuova classe di indirizzi IP considerando tutte le periferiche wireless che stanno uscendo sul mercato. Il problema del passaggio a IPv6 è, come si può ben immaginare, sostanzialmente di natura economica: tutti i dispositivi di rete esistenti dovranno essere progressivamente sostituiti con modelli compatibili con IPv6?.

Per quanto riguarda il supporto alle comunicazioni wireless, Valboni ha spiegato che “con il SP1 di Windows XP abbiamo aggiunto il supporto per questi protocolli soprattutto per soddisfare le richieste del mercato. Tuttavia questi protocolli sono ancora in uno stato acerbo e, come abbiamo sperimentato nel nostro sito corporate e nella nostra divisione inglese, rendere sicura una rete wireless non è per nulla banale. Per questo stiamo collaborando con altre società quali IBM e BEA per realizzare uno standard comune che includa il supporto per la criptazione a 128 bit e che permetta di separare i canali di trasmissione?.

Punto Informatico ha poi domandato a Panepinto perché Microsoft, che tanto sta investendo nella sicurezza, abbia deciso di pubblicare sul proprio sito due script in Visual Basic che permettono di cambiare la chiave della Product Activation di Windows XP in versione corporate on the fly, senza dover passare attraverso l?apposita procedura. I due script, uno per la versione senza SP1 e uno con la SP1, potrebbero infatti essere utilizzati dagli utenti per provare rapidamente più chiavi piratate o, ancor peggio, potrebbero essere inglobati all’interno di programmi malevoli in grado di cambiare la chiave di un utente senza che questi se ne accorga.

?Abbiamo preso questa decisione – ha spiegato Panepinto a PI – per rendere più efficiente il nostro call-center ed evitare che continuasse a spiegare ai clienti come si cambia tale chiave. La nuova versione della Product Activation, se verifica la presenza di due chiavi corporate non appartenenti a nessuna azienda diffuse qualche giorno dopo il lancio di Windows XP, impedisce l?aggiornamento al SP1 o ad altre patch. Inoltre, a partire dal mese di novembre, chi ha registrato la propria copia corporate di Windows XP con una di quelle due chiavi, non potrà più accedere al nostro sito per scaricare le patch”.

Su questo tema torneremo a breve con informazioni più dettagliate.

Giovanni Fleres

Link copiato negli appunti

Ti potrebbe interessare

21 10 2002
Link copiato negli appunti