Reso illegalmente pubblico il sorgente di Windows

Microsoft ha confermato: parti del codice sorgente di Windows 2000 e Windows NT 4 sono liberamente in giro per Internet.

La notizia circolava da qualche ora, ma pochi minuti fa è stata confermata: parti del codice sorgente di Windows 2000 e Windows NT 4, teoricamente segretissime e consultabili soltanto da enti governativi, persone e aziende altamente fidate, sono liberamente ma illegalmente in giro per Internet.
Lo ha confermato un portavoce di Microsoft, Tom Pilla.

Ci sarà tempo per le considerazioni tecniche nei prossimi giorni, ma il concetto fondamentale è questo: avendo a disposizione il codice sorgente, per gli aggressori sarà molto più facile capire il funzionamento di Windows, trovarne le falle e sfruttarle per i loro attacchi.

Già ci riuscivano abbastanza bene, purtroppo, senza accesso al codice sorgente: ora che possono esaminare in dettaglio i meccanismi di Windows, sembra ragionevole aspettarsi un peggioramento dei problemi di sicurezza per i tantissimi che usano i prodotti Microsoft, perché prima per creare un nuovo attacco bisognava essere molto esperti: adesso, con il sorgente a disposizione, ci si cimenteranno tutti i vandaletti di basso rango. Che tristezza.

Il problema riguarda a quanto pare anche chi usa Windows XP, dato che contiene parti tratte dalle altre versioni di Windows di cui è stato divulgato il codice.

Per il momento non c'è nulla che un utente Windows possa fare, a parte valutare seriamente l'ipotesi di passare a un sistema operativo il cui codice sorgente, a differenza di quello di Windows, è abbastanza robusto da non aver nulla da temere da una sua divulgazione, perché è già stato divulgato: Linux. In alternativa c'è naturalmente anche il Mac.

Se una migrazione non è possibile, è consigliabile ridurre la propria esposizione, evitando il più possibile di usare programmi Microsoft troppo intimamente legati al sistema operativo (Internet Explorer, Outlook/Outlook Express) e sostituendoli con programmi alternativi, come già consigliato dal mio piccolo dodecalogo di sicurezza.

Sarebbe inoltre consigliabile dotarsi di un firewall hardware, in modo da mettere fra Windows e la Rete un filtro basato su tecnologia non-Microsoft. I firewall hardware si comprano nei negozi d'informatica e sono spesso integrati nei "modem" che si usano per i collegamenti ADSL, ma si possono anche autocostruire usando un vecchio computer, anche modesto, sul quale si installa una delle tante distribuzioni di Linux concepite proprio per fare da firewall.

Sia ben chiaro che non sto gongolando per questa imbarazzante falla nella sicurezza di Microsoft: primo, perché ho anch'io delle macchine Windows oltre a quelle Linux; secondo, perché Windows è talmente diffuso che quando i suoi utenti sono attaccati, ne risente tutta la Rete e quindi ci vanno di mezzo anche gli utenti degli altri sistemi operativi.

Tenetevi forte, fra poco si balla!

La divulgazione di parti del codice utilizzato per Windows 2000 comincia a dare i primi frutti maligni. A soli due giorni dalla circolazione nelle reti p2p del mondo del codice Microsoft ecco spuntare la prima vulnerabilità con relativo exploit dettagliatamente analizzato e commentato.
Sul sito Security Tracker si spiega dettagliatamente come l'utilizzo di un'immagine bitmap, opportunamente modificata, permetta la creazione di un cosiddetto "integer overflow" in grado di far eseguire da un utente remoto codice dannoso sulla macchina vittima.

Fino a ora il bug sembra affliggere soltanto Internet Explorer versione 5, dunque non l'ultima versione del browser web Microsoft. Gli utilizzatori di Internet explorer 6, per il momento, possono tirare un sospiro di sollievo.

Sulla mailing list BugTraq, vero e proprio archivio dedicato ai problemi di sicurezza informatica, è possibile leggere un post in cui vengono enumerate le versioni di Internet Explorer su cui è stato riscontrato il bug:
IE5.01 SP1 5.00.2614.3500 on Windows 2000 Pro SP2
IE5.01 SP1 5.00.2920.0000 on Windows 2000 Pro SP2
IE5.01 SP2 5.00.3315.1000 on Windows 2000 Pro SP2

Al momento Microsoft non ha rilasciato nessuna patch che corregga il problema riscontrato e l'unico consiglio che si può dare è quello di aggiornare IE alla versione 6 o passare all'utilizzo di un valido browser opensource come Mozilla Firefox