Dov'è il prossimo insetto Heartbleed in agguato?

Dopo aver causato panico diffuso e la modifica delle password, il bug Heartbleed è in gran parte scomparso dalle notizie. Tuttavia, le implicazioni della scoperta sono ancora oggetto di dibattito nell'industria informatica. La più grande preoccupazione per gli esperti di sicurezza è come prevenire altri difetti in agguato nelle fondamenta di Internet.

Il bug Heartbleed è stato scoperto all'inizio di questo mese in un software chiamato Apri SSL che è ampiamente utilizzato per stabilire una connessione sicura tra browser Web e server gestendo le chiavi crittografiche coinvolte. OpenSSL è un progetto open source, il che significa che il codice sottostante viene pubblicato insieme al software. Inoltre, come molti altri sforzi open source, è gestito da un piccolo gruppo di programmatori volontari (vedi The Underfunded Project Keeping the Web Secure ).

Il problema viene riconosciuto dalle grandi aziende di software che si affidano a sforzi come OpenSSL. La scorsa settimana, il Fondazione Linux , che fornisce supporto per il popolare sistema operativo Linux, ha lanciato uno sforzo chiamato Iniziativa per le infrastrutture di base per supportare piccoli progetti open-source. Aziende tra cui Google, Amazon, Facebook, IBM, Intel, Cisco e Dell hanno finora impegnato più di $ 3 milioni nello sforzo. Un comitato direttivo cercherà di identificare i progetti open source che più necessitano di sostegno finanziario.

Il problema con l'open source è che hai il problema del 'free rider', afferma Chris Wysopal, un noto esperto di sicurezza informatica e chief technology officer e cofondatore di Codice Vera , una società di valutazione della sicurezza delle applicazioni. Le persone e le aziende che lo utilizzano e ne ricavano un enorme valore, non stanno dando molti soldi per farlo funzionare.

Anche tre settimane dopo la scoperta del bug, alcune aziende ritardatarie stanno ancora aggiornando i server, installando nuovi certificati crittografici e ordinando agli utenti di reimpostare le password. Più preoccupante per esperti come Wysopal è che altri componenti fondamentali di Internet sono, come OpenSSL, piccoli progetti open source. E può essere difficile dire quale potrebbe non avere le risorse necessarie per controllare rigorosamente il proprio codice per le vulnerabilità della sicurezza.

Prima che venisse scoperto il bug Heartbleed, pochi avevano sentito parlare di OpenSSL o degli 11 sviluppatori che donano molto del loro tempo al progetto. Il OpenSSL Software Foundation , che gestisce la contrattazione commerciale per l'organizzazione, impiega un solo sviluppatore a tempo pieno. L'anno scorso ha ricevuto un totale di $ 2.000 in donazioni e non ha mai incassato più di $ 1 milione di entrate per i suoi servizi di consulenza e supporto.

Dovrebbe esserci almeno una mezza dozzina di membri del team OpenSSL a tempo pieno, non solo uno, in grado di concentrarsi sulla cura e sull'alimentazione di OpenSSL senza dover affrettare il lavoro commerciale, ha scritto Steve Marquess, la raccolta fondi ufficiale e contatto commerciale per il software OpenSSL Fondazione, in un post sul blog poco dopo la scoperta di Heartbleed. Se sei un decisore aziendale o governativo in grado di fare qualcosa al riguardo, pensaci. Per favore.

Marc Maiffret, chief technology officer di Oltre la fiducia , un'azienda di software di sicurezza, afferma che altri progetti open source devono affrontare un problema simile. La gente presume che solo perché qualcosa è open source c'è questo sforzo magico che va avanti per trovare bug e renderlo sicuro. Ma di solito inizia con un paio di persone, forse diventa popolare e poi finisce... con un paio di persone.

Wysopal di Veracode afferma che il problema chiave è che non c'è modo di valutare l'importanza di diverse parti dell'infrastruttura Internet: se qualcuno volesse attaccare in modo diffuso molti siti, quali componenti sono ampiamente utilizzati e sulla superficie di attacco?

La sfida di prevedere dove possono emergere grandi vulnerabilità è aggravata dal fatto che i programmatori di Internet costruiscono sempre più il loro codice utilizzando una gamma di strumenti diversi. In un report rilasciato l'anno scorso, una società chiamata Aspect Security ha scoperto che il 26% delle librerie scaricate per l'uso nelle applicazioni presentava vulnerabilità note. Il problema è che ci sono così tanti componenti da cui dipende lo stack del software, afferma Jeff Williams, cofondatore e CTO di Aspect. Internet è un pagliaio pieno di aghi.

nascondere