Due falle in Samba, imbarazzo nell’open source

Uno dei miti ricorrenti del mondo dell’open source è che il codice aperto sia intrinsecamente più sicuro perché, essendo pubblico, viene esaminato da milioni di occhi: dunque qualsiasi errore verrà snidato rapidamente da questo esame continuo. È quindi con un certo imbarazzo che il team di sviluppo di Samba, il software usato sotto Linux per condividere file, directory e stampanti con le macchine Windows, ha dovuto annunciare la scoperta di una falla rimasta sconosciuta per otto anni.

Una dura lezione di realismo, soprattutto considerando che arriva poco dopo la scoperta di un’altra falla di analoga pericolosità sempre in Samba. La nuova vulnerabilità consente a un intruso di acquisire i privilegi di root, ossia di diventare padrone assoluto del server Samba e da lì fare danni di ogni sorta. Scusate se è poco. Chiunque usi Samba deve pertanto aggiornare immediatamente il proprio software.

Fattori mitiganti

Quando Microsoft annuncia una falla nei propri prodotti, presenta sempre una serie di “mitigating factors”, ossia “fattori mitiganti”, che in sostanza dicono “sì, abbiamo fatto un pasticcio, ma tanto è un problema che si presenta soltanto in circostanze particolari, per cui non è un problema serio”. Spesso queste spiegazioni vengono sbeffeggiate dai sostenitori dell’open source, per cui è divertente assistere all’uso delle stesse tattiche di “mitigazione” nel caso di queste vulnerabilità nel software aperto.

Si obietta che le correzioni alle falle di Samba sono state messe a disposizione a tempo di record, mentre le correzioni Microsoft vengono spesso diffuse solo a distanza di settimane (e a volte non vengono mai pubblicate). Questo non toglie, però, che gli utenti dovranno per la seconda volta in pochi giorni perdere tempo a scaricare la correzione e installarla, proprio come i loro compagni di avventura che usano il software di zio Bill.

Scomodità e perdita di tempo a parte, viene fatto notare (sempre nell’ambito dei “fattori mitiganti”) che soltanto un imbecille rende accessibile da Internet un server Samba: è infatti arcinoto che il protocollo di condivisione usato da Samba (una emulazione del protocollo Microsoft) è di per sé fragile e che quindi va protetto perlomeno da un firewall. In altre parole, si argomenta che Samba è bacato, ma siccome non deve essere comunque accessibile dalla Rete, questa falla non è un vero problema.

Chi cerca di contenere il danno adducendo questa giustificazione non prende in considerazione il pericolo insider: sempre più spesso, infatti, le reti aziendali vengono attaccate dall’interno anziché dall’esterno. Un dipendente ostile, o semplicemente un po’ ficcanaso, potrebbe sfruttare questa falla di Samba per fare danni o leggere informazioni che non sono di sua competenza. Essendo un utente della rete aziendale, è di solito all’interno della zona protetta dal firewall e quindi può agire indisturbato. Altro che “fattore mitigante”.

Pasticcio nel pasticcio

La società che ha scoperto quest’ultima falla, la Digital Defense, ha complicato ulteriormente le cose con uno scivolone supplementare. Ha infatti pubblicato la versione sbagliata della segnalazione della vulnerabilità, ossia quella che non solo spiegava il problema, ma indicava anche come sfruttarlo per attaccare un server Samba.

Di solito l’“exploit” (così si chiama in gergo il software che sfrutta una vulnerabilità) viene pubblicato qualche tempo dopo che è stata corretta la falla, in modo da dare tempo agli utenti di scaricare e installare il software aggiornato. La sbadataggine di Digital Defense ha invece offerto a tutto il globo terracqueo, dilettanti compresi, le istruzioni dettagliate (incluso lo script PERL pronto per l’uso) su come attaccare i server Samba. Certo c’era chi già sapeva della falla, ma era un numero modesto di utenti ostili: ora lo sanno tutti, e il pericolo aumenta in proporzione.

C’è chi, con una punta di sarcasmo, ha fatto notare l’ironia insita nel fatto che Samba, nato per imitare un prodotto Microsoft, ora lo imiti così bene che non solo gli utenti Windows non si accorgono di condividere risorse con macchine non-Windows, ma sono persino soggetti allo stesso tipo di vulnerabilità. Ma battute a parte, è indubbio che stiamo assistendo a un numero molto elevato di falle scoperte nel software open source. Vuol dire forse che questo approccio “aperto” non è poi quella fucina di perfezione che si credeva?

Falsi sinonimi

A dire il vero, è da tempo che gli addetti ai lavori avvisano che non si deve considerare “aperto” come sinonimo di “invulnerabile”. Man mano che il software open source diventa più diffuso, è logico e inevitabile che finisca sotto attacco quanto quello dell’attuale monopolista. Queste falle costituiscono una sorpresa solo per chi si è sciacquato la bocca con la moda dell’open source senza approfondirne i risvolti.

La vera differenza fra il software chiuso e quello aperto non sta nel numero di falle, ma nel fatto che con l’open source chiunque sia sufficientemente esperto può correggere la falla e pubblicare la versione corretta, mentre con il software chiuso è necessario attendere, preferibilmente in atteggiamento supplice, che il proprietario di quel software decida di realizzare il rimedio. Pregando che invece di diffondere un rimedio non dica semplicemente “lo sistemeremo nella prossima versione”. A pagamento, s’intende.