Archivio » 2004 » febbraio » giovedì 19 »

Windows e il furto dei codici: il caso non è chiuso

Scritto da Guido Sintoni

Dietro la sottrazione e la pubblicazione del source code del sistema operativo più utilizzato ci sono errori di tipo non soltanto strategico, che pongono Redmond di fronte a un (altro) bivio in materia di trasparenza e politica di licensing

Come prevedibile, la vicenda relativa al furto dei codici sorgente di Windows ha avuto ampio risalto anche sui mezzi di informazione e le testate non specializzati. C’è chi ha parlato di segreto violato, compiendo un ardito paragone con la formula segreta della Coca Cola, dimenticando che il codice di Windows non è poi così segreto da parecchio tempo. L’azienda di Redmond, prima ancora delle note Shared Source Initiative e Government Security Program, permetteva ai propri partner di vedere e utilizzare i propri sorgenti sulla base di accordi di licenza esaurienti, nell’ambito del programma Wise (Windows Interface Source Environment).
Mainsoft, partner storico di Microsoft, è stata una delle due aziende a fruire di Wise per le proprie attività (si occupa di porting, ovvero della compatibilità delle applicazioni concepite per un determinato sistema operativo con altre piattaforme), e sembra proprio che a lei sia dovuta la fuga dei 13 milioni di linee di codice incriminate. O, meglio, a un ignoto impiegato che ha pubblicato su Internet il contenuto di una delle macchine del responsabile tecnologico della medesima società, Eyal Alaluf.
Per il proprio prodotto MainWin, Mainsoft ha incorporato milioni di linee di codice Windows nativo. Poiché nei sorgenti che per breve tempo hanno avuto libera circolazione su Internet (non ve n’era più traccia a sole quarantott’ore dalla illecita pubblicazione), vi era più di un core dump (una tecnica usata da Linux per tenere traccia degli errori in memoria), è stato relativamente semplice risalire all’azienda in questione.

Caccia al baco
I sorgenti appartengono a Windows 2000 Service Pack 1 e a Windows Nt 4.0 Service Pack 3. Tra i componenti presenti spiccano molti servizi di rete e uno dei bersagli preferiti per attacchi informatici: Microsoft Internet Explorer, di gran lunga il browser Web più utilizzato al mondo.
La ricerca ai bug non ancora corretti da Microsoft è scattata alacre, e i risultati non hanno tardato a venire: Security Tracker, azienda che si occupa della ricerca e di catalogazione di vulnerabilità, ha pubblicato oggi i commenti di un anonimo ricercatore relativi a Internet Explorer 5, la versione prevista da Windows 2000 Service Pack 1.
Il ricercatore ha scoperto un errore di codice decisamente grossolano, da manuale di programmazione: un buffer non correttamente controllato (vero tallone d’Achille di Microsoft e sfruttato per molteplici attacchi), che permette la sovrascrittura dei segmenti di memoria e l’esecuzione di codice arbitrario (con i privilegi dell’utente proprietario del processo) mediante l’invio di una semplice immagine bitmap creata ad hoc.
Tra le note dell’autore - oltre ad alcuni commenti significativi (“Il codice Microsoft è significativamente più ampio di quello Windows”, a conferma della vecchia equazione “meno linee di codice uguale meno probabilità di errori”) - una è particolarmente inquietante: “Internet Explorer 6 non è vulnerabile, ma mi rimetterò al lavoro. Il mio worm Warhol dovrà aspettare un po’”. Il compianto Andy Warhol sosteneva che chiunque potesse godere di 15 minuti di celebrità: da un biennio almeno, un worm con il suo nome rappresenta un codice maligno capace di propagarsi in tale lasso di tempo su Internet. Una chimera per il criminale informatico, che rappresenta ciò che è l’onda anomala per il surfista hawaiano.
Abbiamo parlato di errore grossolano: c’è da chiedersi come un’azienda delle dimensioni di Microsoft abbia potuto commetterlo. La risposta ufficiale è tutta in un comunicato stampa in arrivo da casa Gates: il bug sarebbe stato scoperto dal team di sviluppo Microsoft e sarebbe stato corretto in Internet Explorer 6 Service Pack 1. Peccato che tra l’uscita di Internet Explorer 5 e quella della versione in questione, non vulnerabile, sia trascorso più di un anno!

Quel che rischia Microsoft
La stessa risposta di Microsoft ne fornisce una - indiretta - al nostro interrogativo: il sistema di ricerca di bug di Windows conta su meno persone rispetto a quelle impiegate, a vario titolo, in un sistema di sviluppo aperto. Bachi come quello in questione fanno quindi pensare che non vi sia il tempo per correggere una prima stesura un po’ maldestra: tempo che, nei modelli aperti, è in genere estremamente ridotto. Il richiamo all’antico adagio secondo cui quattro occhi vedono meglio di due ne è una felice sintesi. Con l’unica differenza che è chi sceglie un modello di sviluppo chiuso a rinunciare agli occhi della comunità: si tratta di una scelta ben precisa, che da sempre suscita reazioni contrastanti.
Con la pubblicazione illegale dei sorgenti Microsoft su Internet, il danno per l’azienda di Redmond è duplice: tanto di immagine, quanto di metodologia di lavoro.
Quest’ultima - apparentemente un aspetto di secondo piano - rappresenta in realtà il rischio più grande per Microsoft: il suo modello di sviluppo è sempre stato centralizzato e calmierato, in un certo senso spinto dall’azienda stessa; adesso è possibile (ma sarà solo il tempo a dirlo) che tale modello sia influenzato da fattori esterni, e costringa l’azienda di Redmond ad un’affannosa ricerca per tappare falle aperte con una frequenza vertiginosamente più elevata.
Si tratta di un’ipotesi, ovviamente: la ferita è ancora troppo fresca. Non si tratta, insomma, di una rivoluzione copernicana già in atto, ma c’è il forte pericolo che tale possa essere per Microsoft. L’azienda vessillo del codice chiuso si trova all’improvviso catapultata dagli eventi verso quell’open source (ma sarebbe più corretto parlare di full disclosure non desiderata) che tanto osteggia.