L'amico Davide Panceri presentava ieri la Mac OS X Security Challenge.

Saggiamente, Davide concludeva l'articolo, segnalando la pagina di test su cui effettuare il defacement, con le parole sempre che qualcuno non l'abbia già fatto!. Neanche sei ore dopo, arrivava la notizia che la sfida era stata vinta, sembra addirittura in mezz'ora effettiva di lavoro. Ora, Mac OS X è un ottimo prodotto e, se fossi nei panni dei ragazzi di Redmond, mi preoccuperei un po' della sua imminente disponibilità per piattaforma Intel, sicuramente molto più di quanto non mi preoccuperei della quota di mercato di Linux nel settore Desktop.

Ciò non toglie che sia, per l'appunto, un prodotto: per l'ennesima volta i reparti di marketing dell'uno e dell'altro schieramento hanno cercato di instillare nella mente dell'utente comune, l'idea che un'elevata sicurezza possa essere raggiunta una volta per sempre acquistando un prodotto piuttosto che l'altro, invece che adottando un processo che si estende nel tempo.

Personalmente giudico perciò quantomeno fuorviante, quando la cosa non denoti semplice ignoranza del tema, sia chi ieri affermava Mac OS X è più sicuro di Windows (o di Linux, o di...), sia chi oggi afferma Mac OS X non è più sicuro. L'idea che una spesa una tantum possa mettere qualcuno al sicuro ora e per sempre potrà essere molto consolante, ma è profondamente sbagliata; quando poi è usata per convincere un reparto IT o un singolo all'acquisto, denota a mio parere, perdonatemi i termini forti, scarsa professionalità o malafede. In effetti alle mie stesse conclusioni giunge, spero con più autorità, l'autore della notizia.

Ciò posto, la notizia desta di certo sconcerto anche perché l'anonimo vincitore, tal gwerdna, afferma di essersi servito per l'ennesima volta di zero-day vulnerabilities, ovvero exploit documentati in Rete, ma non ancora risolti per il sistema operativo in esame. Più precisamente, è stata usata una escalation di privilegi.

Il Mac OS X usato per la prova era stato in effetti allestito a puntino: il sistema di autenticazione faceva uso di SSH (che non è abilitato di default in Mac OS X) e permetteva al visitatore di registrarsi in un repository LDAP; a seguito della registrazione gli venivano concessi dei privilegi utente, molto limitati.

Un sistema perfetto sulla carta, ma che non ha retto ad una vulnerabilità di sistema che ha permesso all'attaccante di guadagnare i permessi di root e di operare a suo piacimento sulla macchina. Più della mezz'ora di lavoro, forse un'affermazione ad effetto, desta preoccupazione il fatto che sfruttare una zero-day vulnerability è spesso una pura questione di averla trovata su un sito non ufficiale, piuttosto che di possedere tempo, risorse e conoscenze tecniche per sfruttarla.