Ricorderete tutti Heartbleed. Nell’aprile del 2014, alcuni ricercatori avevano alzato i livelli di attenzione su un pesante bug che colpiva la libreria OpenSSL, una delle più utilizzate per implementare il protocollo TLS. La vulnerabilità, dovuta all’assenza di controlli nella gestione dell’estensione heartbeat dello stesso TLS, era stata patchata il giorno della diffusione della notizia, così da non permettere ai malintenzionati di sfruttare la falla e violare i sistemi coinvolti. Prima di quella data, 500.000 server validati e certificati erano totalmente indifesi e incapaci di contrastare eventuali hacker, intrufolati nei meandri delle reti per rubare dati sensibili e cookie di navigazione. A essere interessati non solo siti web ma tutte quelle piattaforme basate sull’OpenSSL incriminato, tra cui anche software industriali e dispositivi IoT.
Ancora irrisolto
Dopo due anni e mezzo è tutto risolto? Purtroppo no, e a dirlo è un report di Shodan, famoso motore di ricerca di oggetti connessi. A differenza di Google infatti, questo consente di monitorare quei servizi che sfruttano protocolli diversi, tra cui gli FTP, SSH, Telnet e Real Time Streaming (e molti altri), utilizzati per trasmettere contenuti in rete da vari device, tra cui le webcam. Con Shodoan si possono tracciare sistemi che usano la libreria OpenSSL ancora fallata, passibile dunque di violazione da parte di terzi. Secondo lo studio, nella top ten dei paesi più a rischio c’è anche l’Italia, ultima per fortuna, con quasi 4.900 fonti non protette.
Ma come è possibile? Nonostante il rilascio della patch avvenuto nel 2014, tante compagnie basano le loro strutture su soluzioni sviluppate in casa, che necessitano quindi di un aggiornamento manuale al protocollo. Il fatto è che troppe aziende spesso sottovalutano problemi del genere, ignorando persino che le proprie infrastrutture si basino su una libreria in parte scoperta. Come fare? Su internet è possibile testare il livello di sicurezza dei server, con portali nati proprio per aumentare la sensibilità intorno alla vicenda Heartbleed. In caso di vulnerabilità, si potranno seguire le linee guida di OpenSSL per ottenere le versioni più recenti.
