Alzati e aggiorna!

[dropcap]C[/dropcap]apita spesso di ritrovarmi in studi di colleghi o uffici di altro genere e di lanciare un’occhiata ai monitor dei computer che trovo accessi. Chiamatela pure monomania o perversione però è uno dei metodi con cui riesco a farmi un’idea dell’ambiente in cui mi trovo e della cura che presta ai dettagli da parte di chi vi lavora. Purtroppo spesso il panorama è desolante e non perché più di una volta mi sia imbattuto in PC ministeriali con il gioco del Solitario in piena esecuzione, quanto, piuttosto, nell’osservare il livello di aggiornamento degli stessi.

Siamo nel 2017 e abbiamo la seguente situazione:

1. Chi usa un Mac per lavoro, spesso usa l’ultima versione del sistema operativo perché da un po’ di tempo gli aggiornamenti del macOS sono diventati più frequenti e sono quasi imposti dalla Apple;
2. Quei pochi che si azzardano ad usare distribuzioni Linux possono essere divisi in due categorie: quelli che aggiornano i pacchetti ad ogni avvio del sistema e quelli che non sanno come farlo. I primi, però, meritano d’essere lodati;
3. Il mare magnum degli utilizzatori di Windows, invece, meritano d’essere sottoposti all’approfondita analisi che segue.

Non di rado, infatti, m’imbatto ancora in computer da lavoro con Windows XP! Io posso anche comprendere che quel sistema operativo ha rappresentato il top delle versioni di Windows all’antica (ossia con un’evoluzione progressiva dell’interfaccia che affondava le radici nel lontano 1995), però Windows XP ormai è ufficialmente defunto anche per la stessa Microsoft che non produce più aggiornamenti, nemmeno per tappare falle di sicurezza! Ed è ovvio che sia così: in certe situazioni, le falle di sicurezza scoperte in Windows hanno indotto Microsoft a scrivere da capo il codice del modulo fallato per poi inserirlo nell’aggiornamento maggiore di Windows successivo. Usare oggi Windows XP in ambienti lavorativi è un po’ come guidare una Ferrari senza mettere le cinture di sicurezza: va tutto bene finché non sbatti a 300 KM/h contro un albero. Senza cinture finisci sbalzato fuori dall’abitacolo mentre con la cinture hai ampi margini di sopravvivere grazie ai dispositivi di protezione interni.

I mancati aggiornamenti della propria infrastruttura informatica sono alla base dei più grossi incidenti informatici e, purtroppo, i responsabili di tali mancati aggiornamenti spesso si giustificano sostenendo che “cambiare 100 computer costa troppo” oppure che “si preferisce mantenere un sistema rodato e collaudato anziché usare una nuova versione che non è stata ancora provata“. Dei due assunti, solo il secondo può essere accettato, fermo restando che sarebbe opportuno mantenere un sistema informatico soltanto di una versione anteriore a quella attuale. Come dire: oggi Windows 10 è giunto al terzo aggiornamento (“Creators Update”), la mia infrastruttura si limita ad usare l’aggiornamento precedente (“Anniversary Update”); al contrario, usare Windows 8.1 mentre oggi è disponibile Windows 10 con “Creators Update”, è del tutto inutile oltre che non sicuro. Infatti, fra Windows 8 e Windows 10 le differenze sono abissali e non si limitano solo ad un’interfaccia parzialmente ridisegnata (per correggere gli errori fatti con Windows 8) ma è proprio il codice interno ad essere diverso.

Nemmeno il glorioso Windows 7 può essere più ritenuto sicuro in ambienti di lavoro oggi. All’epoca era davvero il non plus ultra ma, come si tenta di spiegare, si scoprono falle di sicurezza a ritmo frenetico e queste non vengono più corrette da Microsoft perché il supporto a Windows 7 e Windows 8.1 è già terminato per PC con processori più vecchi della serie Intel Skylake, mentre per questi si avrà tempo ancora fino al luglio del 2018, con la speranza che molti amministratori si decidano ad aggiornare a Windows 10.

A ricordare a tutti che un computer aggiornato costantemente è sempre un po’ più sicuro degli altri è stato il gruppo di hacker denominato Shadow Brokers: questi hanno reso disponibile pubblicamente il set di tecniche e di software che l’NSA (National Security Agency) ha usato (usa ancora) per spiare prevalentemente i computer con Windows, pur non disdegnando le altre piattaforme.

Bene. Anzi, male perché la pubblicazione degli strumenti usati dall’NSA ha avuto un effetto simile allo scoperchiamento del vaso di Pandora. L’NSA ha scoperto delle falle di sicurezza  nei sistemi operativi Microsoft e, senza darne comunicazione alla casa madre come imporrebbe una buona prassi, le ha tenute nascoste per potersi infiltrare nei PC di mezzo mondo. Dal canto suo, Microsoft ha scoperto le stesse falle ma magari lo ha fatto in ritardo e ha rilasciato le patch solo per i sistemi operativi più recenti e per quelli supportati ufficialmente. A questo punto bisognerebbe parlare di hackers “black hat” o “white hat” per distinguere gli hacker “cattivi” dai “buoni” ma tutta questa vicenda ha fatto saltare questo schema tradizionale.

Gli operatori NSA sono “white hat” o “black hat”? In fin dei conti, riparandosi dietro il paravento della (loro) sicurezza nazionale, hanno agito da “hackers cattivi” – hanno scoperto delle vulnerabilità in un software, non lo hanno comunicato al produttore, lo hanno sfruttato per i propri scopi borderline se non del tutto illeciti.

Gli Shadow Brokers sono “black hat” o “white hat”? Sebbene con metodi poco ortodossi, hanno portato alla luce le pratiche e gli strumenti di spionaggio usate dall’NSA e hanno informato il mondo (e la Microsoft) su come si poteva essere spiati dall’intelligence USA – hanno scoperto i malware NSA e hanno informato tutti, a cominciare dal produttore del software vittima.

E i realizzatori di #WannaCry, il ransomware che ha tenuto il globo con il fiato sospeso per alcune settimane? Come li classifichereste? Hackers, forse? Secondo me sarebbe opportuno definirli semplicemente “estortori” perché questi nulla hanno a che fare con il panorama dell’hacking, buono o cattivo che sia – hanno usato gli strumenti NSA pubblicati da Shadow Brokers per ricattare i proprietari dei PC ed estorcere loro del denaro.

A prescindere da quanto esaminato fin qui, però, l’unica vera arma di difesa è la manutenzione costante dei propri dispositivi informatici. Bisogna evitare di concepire lo strumento informatico come la soluzione a tutti i nostri problemi di lavoro, anzi bisognerebbe concepirlo come un semplice strumento imperfetto e, in quanto tale, meritevole di attenzione costante. In mano non abbiamo più semplici telefoni, sulle scrivanie non abbiamo più semplici macchine per scrivere: siamo divenuti proprietari di apparecchiature che, se da un lato costituiscono perfetti assistenti di lavoro, dall’altro, invece, sono come porte sempre aperte sulla nostra piccola porzione di mondo. Aggiornare gli strumenti informatici ci consente di stare un po’ più tranquilli ma non ci legittima ad abbassare il livello di attenzione: se WannaCry è stato sostanzialmente fermato, sappiate che è appena stato scoperto #EternalRocks, simile a WannaCry ma in grado di sfruttare ben 7 falle fra quelle scoperte e usate anche dall’NSA. Il consiglio, quindi, è sempre quello: aggiornare, aggiornare, aggiornare.