[M$, Sicurezza online 01/02/2009]
Per la falla di Internet Explorer arriva la "toppa" a tempi record
di ALESSANDRO LONGO, Repubblica 17 dicembre 2008

Microsoft mette oggi in rete un aggiornamento per proteggere gli utenti. I pirati informatici hanno già colpito 10.000 siti. A rischio le password dei navigatori.

IL PERICOLO montato nelle scorse ore, per gli utenti di Internet Explorer, era così grande da spingere Microsoft a una mossa insolita: sviluppare una toppa a tempo di record alla vulnerabilità che ha messo in allarme milioni di navigatori. Sarà disponibile alle 19 di oggi. Arriverà in forma di aggiornamento automatico, agli utenti che hanno attiva questa funzione (tutti dovrebbero farlo, si veda su Windows sotto le voci Pannello di Controllo/Aggiornamenti automatici).

"Ci abbiamo messo otto giorni per sviluppare la patch (la toppa, ndr.) per quella falla di sicurezza. A un utente medio potrebbe sembrare tanto tempo, ma è un record. In media Microsoft sviluppa patch ogni 24 giorni. La seconda azienda più veloce, dopo di noi, ci mette 72 giorni", dice Feliciano Intini, chief security advisor di Microsoft Italia. Intini ha un blog molto seguito sulla sicurezza informatica, dove parla anche di questo problema (http://blogs. technet. com/feliciano_intini/archive/2008/12/17/stasera-rilascio-straordinario-del-bollettino-relativo-ad-internet-explorer. aspx).

Quest'urgenza la dice lunga su quanto grave fosse il pericolo: gli utenti rischiavano il furto delle proprie password (o altro) navigando con Internet Explorer su un sito contagiato dai pirati per sfruttare questa vulnerabilità. I siti colpiti erano già circa 10 mila, in rapida crescita: un contagio che si stava diffondendo a macchia d'olio, quindi.

"Non ci risulta nessun sito italiano tra quelli colpiti", aggiunge comunque Intini. "Beninteso- continua- questa vulnerabilità del browser di per sé era come le altre, già scoperte in passato. A renderla un problema urgente è stato il modo con cui i pirati sono riusciti subito a sfruttarla, contagiando in pochi giorni migliaia di siti. È questa la novità, che segna una nuova fase della battaglia tra noi e loro".

Il punto è proprio questo: che il browser siano vulnerabili non è una novità; gli altri browser sono fallati tanto quanto Internet Explorer (secondo Microsoft e alcuni test http://www. utest. com/news_bug_battle_browsers_Q408. htm recenti, lo sono anche di più). A fare la differenza è come e quanto queste falle sono sfruttate dai pirati. "Gioca a nostro sfavore, in questo caso, la grande popolarità del nostro browser. Il che spinge i pirati a concentrarsi per sfruttare in particolare le falle del nostro browser, per colpire così il più grande numero possibile di utenti". È lo stesso motivo per cui i sistemi Windows sono considerati più a rischio virus e pirati rispetto a quelli Mac o Linux, a prescindere dal numero di falle che ognuno di loro abbia.

Di conseguenza, non dovrebbe passare molto tempo prima che i pirati decidano di sfruttare un'altra falla di Internet Explorer. "Un'altra novità è che hanno preso l'abitudine di aspettare la nostra pubblicazione periodica delle patch. Subito dopo, pubblicano l'exploit (il modo con cui è possibile sfruttare falle ancora non tappate), così da fare il massimo danno possibile". I pirati confidano nel fatto che fino al prossimo aggiornamento periodico la falla resterà aperta e sfruttabile. Microsoft risponde pubblicando patch straordinarie, che arrivano prima dell'aggiornamento periodico.

Una promessa e una speranza: la futura versione di Internet Explorer, la ottava, che arriverà nei primi mesi del 2009, sarà più sicura delle precedenti. Per due motivi, dice Microsoft. Primo, perché sarà il primo dei loro browser a essere sottoposto a un ciclo completo di controlli sulla sicurezza del codice. Sono test fatti simulando attacchi. "La complessità del software porta inevitabilmente, però, a qualche vulnerabilità residua. Così, da una parte miriamo a ridurne il numero. Dall'altra, a smorzare l'impatto dei loro effetti". Ed ecco il secondo motivo: Internet Explorer avrà sistemi di protezione che ridurranno le possibilità di sfruttare le vulnerabilità e che mitigheranno i danni che ne conseguono. Per esempio, un filtro contro gli attacchi che travasano i dati personali degli utenti da siti affidabili a siti pirata.

[M$, Sicurezza online 01/02/2009]
Una falla in Internet Explorer mette a rischio milioni di utenti
di ALESSANDRO LONGO, Repubblica 17 dicembre 2008

Il buco di sicurezza scoperto dai pirati informatici. L'utente rischia il furto di password e i dati personali. Microsoft lo sa, ma al momento non ha fornito un rimedio. Forse a gennaio. Gli esperti: per ora usate browser alternativi

NAVIGARE tramite il browser più popolare, Internet Explorer di Microsoft, è ora piuttosto rischioso. L'utente corre il pericolo che gli rubino le password e i dati personali, per colpa di un buco di sicurezza scoperto dai pirati, nel codice del browser. Microsoft lo sa, ma al momento non ha fornito un rimedio: bisognerà aspettare, si prevede, la prossima tornata di aggiornamenti automatici per il browser, attesa per il 9 gennaio.

Il pericolo è stato scoperto la settimana scorsa, ma nel frattempo è montato a tal punto da spingere alcuni esperti di sicurezza (come quelli di Trend Micro) a dare un insolito e radicale consiglio agli utenti: di non usare il browser finché il problema non sarà risolto da Microsoft. E quindi di navigare solo con alternative quali Firefox, Safari, Chrome. Microsoft consiglia alcuni rimedi provvisori, per navigare con Internet Explorer evitando il pericolo. Sono però configurazioni da fare sul computer, complicate per gli utenti alle prime armi. Certo è più facile cambiare browser, almeno temporaneamente.

La falla di sicurezza, del resto, riguarda tutte le versioni di Internet Explorer, persino la nuovissima beta di Internet Explorer 8. Funziona così: i pirati riescono a nascondere un programma infetto su siti, anche legittimi - finora ne sono stati colpiti 10 mila e il conto continua a crescere, secondo gli esperti. Quando l'utente naviga con Internet Explorer su quei siti, riceve un attacco. Il sito cioè, sfruttando la falla del browser, gli invia il programma, che si installa sul suo computer e diventa d'allora in poi come una porta sempre aperta per i pirati. Che potranno così rubargli le password (via internet e senza che l'utente se ne accorga) o compiere altre azioni. Possono danneggiare l'utente in vario modo, non c'è limite alla fantasia: basta programmare in modo diverso il codice infetto che fa parte dell'attacco.

Ci mancava solo questa per coronare un anno terribile per il browser di Microsoft, mai come adesso super assediato dai rivali. Per la prima volta in dieci anni, la quota di mercato di Internet Explorer è scesa sotto il 70 per cento (al 69,8 per cento), secondo i rilievi di Net Applications. Al secondo posto Firefox, con il 20,8 per cento, seguono Safari di Apple (7 per cento) e Chrome di Google (0,83 per cento).

Quest'ultimo è la nuova spina nel fianco di Microsoft e certo ha solo iniziato a dargli preoccupazioni. Google infatti l'ha appena portato alla versione definitiva (togliendolo dalla beta): equivale a dare il via allo scontro diretto nella guerra dei browser. Senza più nascondersi dietro il paravento della parola "beta".

La prima vera replica arriverà nei primi mesi del 2009, quando è attesa l'uscita della versione definitiva di Internet Explorer 8. Nel frattempo è possibile che il browser di Microsoft perda altri utenti e questa nuova falla forse contribuirà al declino. Bisogna però evitare l'errore opposto di credere gli altri browser più sicuri in senso assoluto, rispetto a Internet Explorer 7 (mentre le precedenti versioni è meglio ormai smettere di usarle, senza dubbio). Di tanto in tanto compaiono falle di sicurezza anche per gli altri browser e di recente uno studio ha visto che sono Chrome e Safari i browser meno affidabili per sicurezza delle password.

Le falle che colpiscono Internet Explorer rischiano però di fare più danni, per almeno due motivi. Primo, perché è un browser usato dall'ampia maggioranza di utenti, spesso inesperti e quindi meno capaci di proteggere il proprio computer. Secondo, perché a differenza di alcuni dei suoi concorrenti principali non è open source e quindi non si può contare su una community di utenti esperti e sviluppatori che rimedi, con tempestività, alle falle scoperte. Bisogna per forza aspettare che sia Microsoft a pubblicare una patch.