Archivio » 2005 » febbraio » venerdì 4 »

Microsoft a Positive Technologies: “Xp Sp 2 non è bucabile”

Scritto da Guido Sintoni

Nessun pericolo per l’utenza finale, ma come fanno i russi a conoscere così bene il codice di Windows?Difendetevi!» Sicurezza XML

A pochi giorni dall’accusa della russa Positive Technologies (“Windows Xp Sp2 si può bucare”), Microsoft risponde a stretto giro di posta.
“Non è possibile costruire un attacco con i metodi descritti [da Positive Technologies] per eseguire codice maligno su un sistema target. Pertanto, non c’è rischio per gli utenti”.
Quindi, secondo Microsoft, le tecnologie sotto accusa (Data Execution Prevention e Heap Protection), entrambe concepite per evitare l’esecuzione arbitraria di codice, non sono a rischio.
Continua infatti Microsoft: “Le nostre analisi preliminari indicano che il tentativo di aggirare le caratteristiche in questione non è un problema legato alla sicurezza“.

Protezioni precarie? Sembra quindi - ma si tratta di un’ipotesi, visto il taglio generico del comunicato che riassume la posizione di Microsoft in materia - che si tratti più di un eventuale problema di design del software e non di implementazione: qualcosa, insomma, che diventa bug solo con l’azione errata di chi fa codice. Un’eventualità che Microsoft ha escluso.
Con il senno di poi, sembra quindi che si tratti di un (eventuale) bug “filosofico” più che “pratico”: qualcosa che fa storcere il naso ai puristi del software, ma che per l’utente finale significa assenza di grattacapi.

Ribatte Yury Maksimov, Cto di Positive Technologies: “Abbiamo dato risalto a questa vicenda solo dopo che Microsoft non ha risposto alle nostre comunicazioni al riguardo. Rimaniamo dell’opinione che si tratti di una vulnerabilità: certo, non si tratta di qualcosa di sfruttabile da worm o malware, ma si tratta della classica situazione in cui è meglio sapere piuttosto che tacere”.
Nella vicenda, comunque, restano alcuni punti oscuri: visto che Microsoft è riluttante a concedere a chiunque il codice di Windows, come ha fatto Positive Technologies ad analizzarlo così a fondo da proporre una patch? E soprattutto, come mai la risposta di Microsoft (in sé circostanziata e plausibile) è arrivata solo dopo la pubblicazione della patch da parte dell’azienda russa?