Segregazione e trasparenza subito

Ho scoperto di essere elencato nella pagina dei blog di sicurezza di Feliciano Intini. La cosa mi fa piacere, ma soprattutto mi ha fatto piacere trovarci dei blog che non conoscevo. Ah, la rete…

Comunque,  leggendo questi “nuovi” blog, in particolare quello di Antonio Trigiani, ho trovato ulteriori notizie riguardo alla massa di problemi che sta sommergendo i browser. Ho trovato anche riferimenti a un plugin per Firefox che, seppure con qualche limite, dovrebbe avvertire di alcuni tipi di tentativi di cross-site-scripting (XSS), XSS Warnig di Gianni Amato. Direi che la situazione è catastrofica, e non mi sto riferendo a XSS Warning, ma ai problemi che hanno portato alla realizzazione di un tale strumento. Stiamo riproducendo la stessa complessità del sistema operativo a livello di browser, sia in termini di attività eseguibili che di protezioni. Nel momento in cui il browser è lo strumento principale per accedere alla rete, e i meccanismi tradizionali di sicurezza non lo controllano (firewall, antivirus ecc.), gli sviluppatori “alzano di un livello” tutti i problemi che con il tempo sono stati affrontati a livello di sistema operativo. Presto avremo il componente dell’antivirus che esamina gli applet e i plugin del browser alla ricerca di pattern noti, con l’ulteriore difficoltà che qui è ancora più semplice avere codice polimorfico e portabile fra le diverse architetture.

Inutile lamentarsi, naturalmente, la sicurezza passa il tempo a rimediare a quanto fatto da chi certi problemi non è pagato per porseli. Sarebbe  però sbagliato ripetere gli errori già fatti in passato. In particolare, il tentativo di “riconoscere gli attacchi” ripercorre la strada seguita dagli antivirus, che fornisce solo toppe temporanee. Un “default permit”, insomma.

Quello che serve è portare a questo livello subito le logiche di segregazione alle quali stiamo faticosamente arrivando a livello di sistema operativo. I meccanismi di sandboxing e simili (es. same origin policy) attualmente presenti nei browser evidentemente non ce la fanno, esattamente come non ce la fanno i meccanisimi di segregazione a livello di sistema operativo. Esattamente come per i sistemi operativi la virtualizzazione ha portato a un livello più basso e più semplice la segregazione, così bisogna fare subito con i browser. Del resto, il concetto non è nuovo, ne parla anche Punto Informatico riguardo all’uso di Tor: contesti di sicurezza diversi devono essere acceduti, banalmente, in contesti diversi. Io al momento uso un browser per le attività critiche e un altro per la navigazione con tutti gli ammennicoli, e un diverso utente con altri applicativi (sullo stesso X) per le cose rischiose, ma è una soluzione temporanea e troppo complicata. La soluzione corretta è, nella logica di XEN se vogliamo, avere un solo Firefox come codice, ma diversi profili con settaggi, add-on, plugin e usi diversi, configurabili per aprirsi direttamente quando parte Firefox: uno per l’home banking, uno per la navigazione a rischio ecc, con stili e colori palesemente diversi. Istanze quindi completamente separate, non tentativi più o meno complessi di “fare i conti” per vedere se possono passarsi i dati oppure no: l’unico modo per passarsi i dati deve essere un cut-and-paste esplicito da parte dell’utente, o l’accesso a file esplicitamente salvati dall’utente. Con grossi vantaggi anche dal punto di vista della privacy e del profiling.
Inoltre, serve dare visibilità a quello che accade nel browser.  Firefox attualmente mi fa l’effetto delle “estensioni nascoste” di Windows, troppe cose che succedono sotto il mio naso senza che lo sappia. Mi riferisco in particolare ai vari applet, plugin e compagnia che rimangono attivi anche dopo che ho chiuso una pagina. Non so abbastanza come funziona Firefox da entrare nel merito, ma avere visibilità immediata (es. nella barra in fondo) di questi oggetti e avere la possibilità di sapere da dove li ho attivati e di ucciderli mi sembra un passo importante.

Tutto comunque nell’ottica di portare subito la sicurezza del browser al livello al quale stiamo arrivando per il sistema operativo, senza ripercorrere tutta la stessa ordalia. Tanto la strada è quella.

This entry was posted in ict, Sicurezza and tagged , , , , , . Bookmark the permalink.