INTERNET, LA TUA CROCE - ATTENZIONE AL BUG CHIAMATO “HEARTBLEED” PERCHÉ DIVORA PASSWORD, IDENTITÀ, CODICI FISCALI, NUMERI DI CONTO BANCARIO E CARTE DI CREDITO (IN REALTÀ POTREBBE AVERLO GIÀ FATTO: È IN RETE DA DUE ANNI)

Vittorio Zucconi per ‘La Repubblica'

C'è uno squalo che si aggira da due anni nel grande acquario della Rete e divora silenziosamente password, identità, codici fiscali, numeri di conto bancario e di carte di credito dopo avere superato la barriera dei codici di sicurezza chiamati Ssl. SI fa chiamare, con ironia feroce Heartbleed, cuore sanguinante, giocando sull'espressione Heartbeat, cuore pulsante, usata in gergo per indicare il battito che lega gli utenti ai server.

Nessuno sa ancora da dove venga, chi l'abbia creato e a quale scopo, ma soltanto che potrebbe avere penetrato due terzi dei server che usano il protocollo di sicurezza OpenSourceSsl, dai grandi come Yahoo, Tumblr, Twitter a Facebook, ai siti commerciali più importanti come Amazon.com. Senza contare che arriva a poche dall'altro grande allarme che ha gettato nel panico milioni di utenti: la fine del supporto tecnico a Windows Xp, ufficialmente in pensione dopo 13 anni. Con il rischio che i computer di tutto il mondo, nel giro di una notte, siano diventati terra di conquista per virus e hacker.

Nel mondo rarefatto dei codici e della crittografia nel quale noi innocenti utilizzatori finali siamo ormai costretti a muoverci sulla fiducia e al quale affidiamo segreti, transazioni, acquisti, risparmi, pagamenti insieme con patetici controlli come il proverbiale "Nome da ragazza della madre" o "Come si chiamava la tua scuola elementare" si torna a scoprire un principio universale della storia: dove c'è una porta - e una porta ci deve essere se si vuole entrare nella casa delle meraviglie informatiche - ci sarà una serratura. E dove c'è una serratura, sia essa una semplice chiave o un codice alfanumerico a 128 bit, ci sarà sempre qualcuno in grado di scassinarla.

Tutte le maggiori società che fanno uso del protocollo di sicurezza OpenSourceSsl (Secure Socket Layer) per consentire la trasmissione e l'accettazione certificata di informazioni private si affrettano oggi a comunicare ai propri clienti che già hanno
provveduto, o stanno provvedendo, a installare il "fix", la nuova serratura sopra quella esistente per chiudere quella vulnerabilità che potrebbe avere esposto centinaia di milioni di persone all'emorragia di dati riservati prodotta dal Cuore Sanguinante.

Ma il fatto che per due anni questo squalo attratto dal ricco sangue di dati riservati abbia potuto muoversi indisturbato prima che Google e un'azienda finlandese, la Codenomicon, lo scoprissero, o dicessero di averlo individuato, gela il sangue di chi ha continuato a versare le informazioni personali e finanziarie più delicate dentro l'acquario indifeso.

La scoperta che quel lucchettino, e quella "s" appiccicata alla fine dell'acronimo "http" nell'indirizzo url del sito, non garantivano affatto la riservatezza promessa rischia ora di creare un panico inversamente proporzionale al falso senso di sicurezza vantato prima della rivelazione. L'inviolabile privacy della navigazione nei siti protetti da password è sempre stata un'illusione accettata nel nome della convenience, della praticità, della velocità e della efficienza.

Eppure già nel primi anni del Millennio, anche quando il terrore superstizioso o millenaristico del "Millennium Bug" e dell'impazzimento globale di tutte le reti e dei tutti i pc allo scattare dello 00.00.00 avevamo visto come tanto il panico quanto la cieca fede fossero infondati.

Il governatore dello Stato di New York, e già procuratore capo, aveva avvertito che «noi possiamo leggere tutte le vostre mail e i vostri messaggi» prima di cadere lui stesso nella trappola scambiando messaggi e telefonate con la tenutaria di un servizio di escort.

La Nsa americana, come dozzine di altre agenzie di intelligence che ancora aspettano tremando l'uscita di uno Snowden russo, cinese, inglese, tedesco o francese, non è stata sicuramente fermata dai protocolli commerciali di sicurezza e i servizi cinesi ingaggiano con quelli americani una quotidiana, silenziosa battaglia per scassinare le serrature altrui, in un gioco senza fine di guardie e ladri, di scudi più robusti e di spade più affilate. E basta un umile "code monkey", una "scimmietta che scrive codici", nello slang autoironico dell'informatica, per scassinare il caveau.

Il Cuore Sanguinante, che potrebbe essere il prodotto di hacker privati per fini di lucro come di scassinatori al servizio di governi, utilizza gli stessi meccanismi usati per decrittare le sequenze e per la certificazione e poteva partecipare non visto al
dialogo fra l'utente e il server, come i diffusissimi "Apache". Molte aziende che lavorano e vivono di Internet, come Yahoo e Amazon, e molte banche hanno già provveduto a ispezionare gli scambi passati e a suturare l'emorragia, invitando gli utenti a cambiare rapidamente password.

Ma altri ancora, più pessimisti, dubitano che anche cambiare la password sia la soluzione, perché se la ferita non è stata davvero cauterizzata, cambiando la parola segreta semplicemente consegnerebbe quella nuova allo squalo. È stato creato un sito apposito e nuovo, www.heartbleed.com, per chi volesse saperne di più e studiare il modo per non diventare preda, ma non c'è per ora possibilità di sapere se già i propri dati siano stati compromessi. E neanche i classici antivirus servono perché il Cuore Sanguinante non si fa scoprire dalle classiche sentinelle.

Ma anche il panico è inutile, se non si vuol tornare all'economia di baratto o alle transazioni da bancarella col borsellino che le nonne nascondevano in seno. La Rete non sarà disinventata, con i suoi rischi, ma sarà, come ogni attività umana, vulnerabile alla natura di chi l'ha creata e di chi la usa. Anche se quegli squali che si aggirano spiegano perché nessuna grande democrazia abbia introdotto il voto online per le elezioni vere.

password

FURTO DI PASSWORD

PASSWORD

YAHOO

logo facebook

amazon logo

MICROSOFT

SICUREZZA ONLINE