Archivio » 2005 » gennaio » mercoledì 26 »

Word ed Excel: cifratura a rischio

Scritto da Guido Sintoni

Algoritmo di encryption male implementato Difendetevi!» Sicurezza XML

“Il cattivo uso di RC4 in Microsoft Word ed Excel”, a firma dell’accademico di Singapore Hongjun Wu” è stato pubblicato sui server Web dell’ International Association for Cryptologic Research, e suona come un preciso atto d’accusa nei confronti dell’azienda di Redmond.

Protezioni precarie? Sul banco degli imputati, i programmatori di Redmond, che male avrebbero implementato l’algoritmo di cifratura RC4 in recenti versioni di Word ed Excel, con il risultato che “Molte informazioni possono essere ricavate dai file cifrati [.] Se qualcuno ha usato la cifratura di Microsoft Office, è tempo che questi si renda conto del danno causato”. Di sicuro Wu non le ha mandate a dire: e la risposta di Microsoft, come da copione, è improntata alla prudenza.

“Abbiamo iniziato ad investigare il bug. In prima analisi, si tratta di un rischio molto basso per i consumatori. In alcuni casi, un attaccante è in grado di leggere i contenuti di un file crittato, se ha a disposizione versioni multiple del file. L’attaccante deve quindi avere accesso a due file con lo stesso nome e protette dalla stessa password per trarre vantaggio dalla vulnerabilità”.
Microsoft ammette dunque implicitamente il bug, ma prospetta uno scenario teorico o quasi perché esso sia realmente pericoloso. Fine dei giochi?

Non proprio: Bruce Schneier, Cto di Counterpane Internet Security e uno dei massimi esperti di criptografia in ambito informatco, va decisamente controcorrente. “Non si tratta di una novità. - ha scritto nel proprio blog - Microsoft ha fatto lo stesso errore nel 1999 con RC4 nella Syskey di Windows NT. Cinque anni dopo, Microsoft ha la stessa vulnerabilità in altri prodotti”.

Microsoft ha ammesso una “certa somiglianza” tra la vulnerabilità in questione e quella citata da Scheider, demandando la conclusione al solito, prudentissimo, comunicato: “Una volta compiuti i necessari accertamenti, Microsoft intraprenderà le azioni necessarie per proteggere i clienti, tra cui potrebbe esserci una patch di sicurezza erogata attraverso il nostro ciclo mensile”. Una posizione che, da attendista, diventa possibilista e che il passato insegna a considerare quasi certa. Così come è certo che in quel di Redmond c’è chi starà ripensando al vecchio adagio relativo all’errore umano e alla perseveranza diabolica.