Follow
The
Rabbit

My heart is bleeding

E' successo un evento incredibile questa settimana nel mondo dell'informatica seria: le persone comuni hanno scoperto che esiste la sicurezza dell'internet!
Ovviamente sto parlando di heart bleed, la grande falla che sembra aver compromesso i dati di tutti e ovunque. Ho deciso di parlarvi di heart bleed perché sono convinto che anche voi conigli dobbiate erudirvi riguardo le questioni professionali del nostro mondo. Poiché però sono una persona giudiziosa, prima di parlare a vanvera, mi sono informato leggendo gli articoli degli esperti sui giornali generalisti.
Quello che ho capito grazie a questa ricerca: ci stanno gli acker che hanno messo un coso nel computer di un tizio che poi ce lo ha dato a un altro che aveva delle foto di bimbi nudi e si è sparso come un virus che NSA ha fatto, quando poi Topolino, supercazzola, ecco mi hanno rubato la carta di credito e tua sorella nuda se si fa le foto finisce su eMule che ruba i soldi ai Metallica. Scie Chimiche. SVEGLIA!!!!
Insomma, dopo aver provato a chiarirmi le idee con i mezzi d'informazione tradizionali non stavo tanto bene, così mi sono preso una pausa e ho fatto mente locale con mezzi molto meno autorevoli, tipo XKCD dove le cose, per motivi che non ci sono noti, sono incredibilmente più chiare.
Insomma, non vi voglio rifare la storia da zero. OpenSSL è tutt'oggi la libreria di riferimento per quello che riguarda la sicurezza in internet, OpenSSL, insomma, è una scatola che, messa in mezzo a una comunicazione, fa si che nessuno possa interagirvi se non gli interessati. Il principio su cui si basa questa scatola è che la sua efficacia sia assoluta, NESSUNA comunicazione deve poter essere MAI violata. Heartbleed è un buchino in questa scatola che invalida questo assunto.
E' un buco grosso? E' un buco piccolo? Carta-di-credito? Donne-nude? Privacy? Ecco, qui le cose vanno un attimino pesate. Vi sarete accorti che l'assunto che vi ho esposto prima è molto forte: NESSUNO e MAI sono parole che in informatica non si usano con leggerezza. Heartbleed è probabilmente uno dei casi che lo viola con maggior forza, ma questo non significa che l'assunto debba commutarsi nel fatto che OGNI comunicazione è ora nelle mani di TUTTI gli uomini neri del pianeta. Significa che è possibile che una comunicazione protetta sia stata acquisita da qualche entità terza, magari pronta a usarla per fini illeciti, da cui a credere che domani vi sveglierete e il vostro conto corrente sarà vuoto ce ne corre.
Ma, in fondo, non sono interessato a tranquillizzarvi o sensibilizzarvi su questo caso particolare, non sono né un esperto di sicurezza né un appassionato delle tematiche, c'è però un aspetto sociale che questa vicenda ha fatto venire a galla, una denuncia dell'ipertrofia di un ambiente che si regge su principi più labili di quelli che merita.
OpenSSL era rotto, significa che gli sviluppatori di OpenSSL hanno fatto uno sbaglio. Non è mancato, a valle della scoperta del bug, un certo linciaggio mediatico nei loro confronti. Quello che è affascinante è: a chi fa riferimento il team di sviluppo di OpenSSL? A chi risponde? Quali sono le risorse che ha a disposizione? Chi garantisce la qualità del lavoro delle persone che hanno in mano la tutela delle vostre carte di credito, dei vostri dati riservati, della vostra capacità di identificarsi in maniera telematica e di una percentuale sempre più alta delle attività sensibili che potreste trovarvi a fare da oggi in poi?
Nessuno.
Quello che voglio dire: non è che domani vado sul sito della mia megabanca, miliardi di fatturato in tutto in globo, diritti di vita e morte su alcuni paesi del terzo mondo, possesso di astronavi per eventuale evacuazione dei dirigenti in caso di apocalisse e questi hanno un team che ha costruito una scatola per mantenere sicura la nostra connessione. No. Hanno preso la scatola di due ragazzotti in un garage e hanno usato quella.
Perché?
Software is art.
E' una delle frasi che mi hanno detto ai tempi dell'università. Il software ha sessant'anni di vita, settanta forse, per quanti manualetti da lavandaia vi daranno da leggere la sua ingegnerizzazione è lungi dall'essere completata. Prendete l'edilizia. L'edilizia è una scienza quasi esatta. Avete strumenti analitici per valutare ogni tipo di condizione. Se ci tenete potete costruire edifici che resistono a terremoti e cataclismi, potete avere strutture sospese nel vuoto e oggetti che cambiano il comportamento dell'ecosistema intorno a voi.
L'edilizia ha sulle spalle circa quattromila anni di esperienza. Anzi, se permettete, è forse qualcosina in più, perché quelli che hanno costruito la piramide di Cheope già ne capivano un bel po'.
Questo significa che oggi nessuno ha gli strumenti adatti a scrivere ex novo qualcosa riuscendo ragionevolmente a stabilire se si tratta di qualcosa di migliore o peggiore di quello che esiste già. E questo, nell'ambito della sicurezza aziendale, mozza le ali a qualsiasi idea di "ci pensiamo noi" perché, come vi ho spiegato tramite il rigido assunto della sicurezza informatica, se rimane il dubbio che si è creato qualcosa di inferiore a ciò che esiste si è creato qualcosa di evidentemente NON SICURO e quindi da buttare irrimediabilmente via.
L'altra via è: amici sviluppatori di OpenSSL continuate a fare il vostro lavoro, noi ci occuperemo di darvi una vita felice e vi metteremo in condizione di poter essere sempre al meglio, dandovi i mezzi per lavorare in condizioni ottimali.
Noi chi?
(Sto prendendo un po' il vizio di queste frasi secche, eh?)
Eh?
Se megabanca fa un discorso del genere uberbanca comincerà a non essere più certa che OpenSSL sia neutrale. In verità la stessa megabanca potrebbe chiedersi perché investire in qualcosa che poi userà anche uberbanca. Se megabanca investe vuole investire in qualcosa che poi sia suo. Ma se intanto uberbanca a sua volta investe in qualcosa di suo viene a cadere il delicato equilibrio che fa si, fisiologicamente, che tutti siano concentrati intorno a un unico oggetto e ne analizzino tutti gli aspetti costantemente, per renderlo solido. Perché è vero che l'ecosistema open non ha evitato Heartbleed (e l'ha lasciato in giro per un tempo tragicamente lungo), ma ha evitato disastri di infiniti altri tipi. Non è che di questi tentativi di scisma non ce ne siano stati, ma sono divenuti carte morta con rapidità eccezionale.
Quindi? FTR non da soluzioni. Sparge terrore, mette ansia, ma non da soluzioni, siamo ingegneri dopo tutto. Quello che è interessante è che la nostra società si sta lentamente "spostando" nel mondo iperconnesso eppure questo mondo vive su queste dinamiche fluide e imprecise, a tratti irrazionali, che vanno mostrando sempre più la corda con l'espandersi delle strutture.
Vivremo tempi interessanti.

- Tu capisci Einstein?
- Si - rispose Chris, non sapendo dove il Dottore volesse andare a parare.
- Ma va? - chiese il Dottore a bocca aperta - E la teoria dei quanti?
- Si - rispose Chris, beandosi dello stupore del Dottore ora che finalmente si trovava su un terreno a lui più famigliare.
- Ma va? E Planck?
- Si.
- Ma va? E Newton?
- Si!
- Ma va? E Schonberg?
Chris si fermò. Era una domanda a trabocchetto? Si ricordò di aver letto qualcosa riguardo alla teoria della crisi della tonalità, e pensava di averla compresa, almeno a grandi linee, perciò rispose con orgoglio: - Si, certo!
Il dottore fischiò, come se ne fosse colpito, e poi disse: - Se è così, Bristol, hai un sacco di roba da disimparare.