Firefox FUD Dud
Nelle settimane precedenti la stesura di questo articolo, il web è esploso con FUD (Fear, Uncertainty and Doubt, un altro utile TLA), grazie a un difetto nella Java Virtual Machine di Sun. Questo difetto, che interessava JRE e SDK 1.3x/1.4x, significava che in determinate circostanze il codice JavaScript sarebbe stato in grado sia di creare che di trasferire oggetti su applet non attendibili. Questo è diventato una calamita per la comunità degli autori di spyware non appena la falla è stata annunciata. Fortunatamente, Sun Microsystems ha reagito rapidamente rilasciando una patch e integrandola nelle versioni 1.3.1_13 e 1.4.2_06 sia di SDK che di JRE.
Non che noteresti la risposta di Sun dagli acri di spazio cinematografico dedicati al problema nei blog, nei newsgroup e in molti siti di informazione online che davvero dovrebbero saperlo Meglio. Leggendoli allora, e anche adesso, potresti essere perdonato per aver creduto che si tratti di un problema di Firefox. Sembra che la tentazione di abbattere questa stella nascente, soprattutto quando è avanzata sfruttando le debolezze di sicurezza di Internet Explorer (IE), fosse troppo per resistere. Alcune persone hanno provato a spargere la colpa dicendo che gli utenti di Firefox non erano protetti contro un exploit spyware che era un difetto di IE (che era altrettanto sbagliato, di certo), ma temo che il danno sia già stato fatto, visto il numero dei miei clienti e lettori che mi hanno contattato per chiedere se dovevano smettere di usare Firefox.
Mettiamo subito in chiaro una cosa: questo non è, e non è mai stato, un difetto di Firefox. Giusto per la cronaca, non era nemmeno IE. Non è nemmeno specifico del sistema operativo, poiché Sun ha ammesso che potrebbe essere sfruttato sotto Windows, Linux o Solaris. Tutti i browser che utilizzano il plug-in Java di Sun sono ugualmente a rischio, ma solo di sindrome da “utente idiota”, perché per affinché il difetto venga sfruttato, un utente dovrebbe accettare di eseguire applet Java non firmate tramite lo standard di sicurezza bog dialoghi. Il fatto che tali finestre di dialogo vengano visualizzate solo durante la navigazione in un determinato sito Web, dove è stato causato l'exploit originale tutto il clamore in primo luogo è stato ospitato, dovrebbe sicuramente essere sufficiente come un campanello d'allarme per tutti, tranne quello più tragico inetto. Tuttavia, serve come una buona scusa per continuare ancora una volta con il mio messaggio "Non fare clic su di esso", soprattutto quando "It" viene coperto da avvertimenti sull'essere non firmato, non autorizzato e potenzialmente dannoso.
A cui vorrei anche aggiungere che l'unico browser web, o PC, sicuro al 100% è quello che non è in esecuzione. Firefox rimane il mio browser preferito, non perché sia meno probabile che sia esposto a falle di sicurezza in futuro, ma perché la natura stessa della comunità open source sta in piedi dietro di esso, e la relativa semplicità del codice del browser, significa che è probabile che tali vulnerabilità vengano corrette molto più rapidamente di quanto sia possibile per molti più utenti. IE complesso di codice.
Nuove minacce
Nello stesso momento in cui circolava tutto questo Firefox FUD, mi è capitato di visitare un cliente a Marlow e ho colto l'occasione per concedetevi un pranzo piuttosto piacevole con un paio di ragazzi di Symantec, per parlare dell'ultima minaccia Symantec Internet Security Rapporto. Questi rapporti semestrali, giunti ormai al settimo anno, sono diventati una sorta di punto di riferimento per il settore consulenti che lavorano nel settore della sicurezza, poiché hanno una storia di essere precisi quando si tratta individuazione delle tendenze.
L’ultimo rapporto, che copre il periodo dal 1 luglio al 31 dicembre 2004, conferma non a caso che sono i vostri dati personali l’obiettivo della maggior parte degli attacchi. Per citare i principali risultati: "il codice dannoso creato per esporre informazioni riservate rappresentava il 54% dei primi 50 campioni di codice dannoso ricevuti da Symantec, in aumento rispetto al 44% nei primi sei mesi dell'anno e al 36% nella seconda metà del 2003. Ciò è in parte attribuito alla proliferazione dei trojan, che rappresentano circa il 33% dei 50 principali codici maligni segnalati a Symantec. Incredibilmente, il componente filtro antifrode del servizio antispam di Symantec bloccava 33 milioni di tentativi di phishing ogni settimana nella seconda metà dello scorso anno, rispetto a “appena” nove milioni nei sei precedenti mesi. Si tratta di un aumento del 366% e Symantec non ha dubbi sul fatto che la tendenza continuerà a salire anche quest’anno. In crescita anche le applicazioni web: in questa categoria rientra circa il 48% di tutte le vulnerabilità documentate, rispetto al 39% nella prima metà dell’anno. Queste due tendenze sono ovviamente collegate, perché la vulnerabilità delle applicazioni web viene utilizzata per aggirare i firewall e ottenere nuovamente dati personali.
