La pizza è il sostentamento preferito di tanti informatici, soprattutto dopo una notte insonne passata a sistemare qualche magagna di lavoro, per cui la scoperta di Paul Price, consulente di sicurezza inglese, è di quelle che generano un tremito nella Forza: come avere pizza gratis per sempre.

Un articolo su Vice spiega infatti che il consulente ha trovato un difetto nella versione inglese dell’app di Domino’s Pizza: i pagamenti non venivano verificati correttamente, per cui era abbastanza facile convincere l’app ad accettare pagamenti non validi, col risultato di avere appunto pizza gratis.

Pensando a un errore che si limitava all’app ma che sarebbe stato corretto dagli addetti alla gestione dell’ordine, ha provato a ordinare una pizza senza pagarla. L’ordine è stato eseguito senza problemi e la pizza gli è stata recapitata a casa. “Il mio primo pensiero: fantastico. Il mio secondo pensiero: perdindirindina”, racconta Paul Price. Ovviamente al posto di perdindirindina c’è un’espressione un po’ più colorita.

Price è stato onesto e ha pagato la pizza in contanti, avvisando poi la ditta, che ha corretto il difetto. Non tutti gli hacker sono malvagi: alcuni sanno resistere persino alla tentazione di avere pizza gratis per sempre.

Si sta facendo un gran parlare di DROWN, una vulnerabilità dei siti Web che viene spesso presentata con toni catastrofici. Ma se non siete gestori di un sito Web c’è poco da preoccuparsi.

Il nome della falla è un acronimo (sta per Decrypting RSA with Obsolete and Weakened eNcryption, ossia “decifrazione RSA tramite cifratura obsoleta e indebolita”): descrive un problema del protocollo di sicurezza TLS/SSL, che per intenderci è quello che fa comparire il lucchetto nei browser e protegge le comunicazioni della maggior parte dei servizi di webmail.

Il problema è che esiste una versione vecchia e indebolita di questo protocollo, la cosiddetta Export grade, imposta molti anni fa dal governo statunitense per consentire una protezione ragionevole delle comunicazioni che al tempo stesso consentisse alle agenzie di sicurezza di intercettare e decifrare il traffico di dati in caso di necessità. Ormai questa versione è obsoleta e decifrarla è abbastanza banale, ma molti siti non l’hanno mai disattivata, per cui è ancora sfruttabile per attacchi alle singole connessioni TLS.

Tuttavia la tecnica di attacco è talmente complessa da renderla poco praticabile, come spiegato in dettaglio da questo articolo tecnico, per cui non c’è molto da preoccuparsi: esistono altre forme d’intrusione molto più efficienti. Di fatto, però, questo problema è una dimostrazione perfetta della pericolosità delle richieste governative di creare passepartout o di indebolire i sistemi di protezione, come sta facendo per esempio l’FBI con Apple in questi giorni. Non si crea maggiore sicurezza indebolendo la sicurezza di tutti: un concetto ovvio che purtroppo sembra sfuggire a molti governanti.

Presso Test.drownattack.com
potete verificare se un sito è vulnerabile a DROWN, ma attenzione: i
risultati sono tratti da una lista precompilata che potrebbe non
rispecchiare la situazione corrente del sito, che magari nel frattempo è
stato aggiornato e corretto.