Questo articolo vi arriva grazie alle gentili donazioni di “sbattait” e “posta”.
L’articolo è stato aggiornato rispetto alla sua pubblicazione iniziale.

Tempi duri per chi realizza siti ignorando gli standard ufficiali, quelli del W3C, e ricorrendo invece a funzioni gestite soltanto dal browser più diffuso, Internet Explorer. Come preannunciato a dicembre scorso, Microsoft deve infatti cambiare il modo in cui funziona Internet Explorer e avvisa che molti siti smetteranno improvvisamente di funzionare correttamente con IE se non vengono modificati per tempo.

Il cambiamento è dovuto ai contestati brevetti sul software: Microsoft è infatti coinvolta in una lite legale con la statunitense Eolas Technologies e la University of California a proposito del funzionamento di Internet Explorer con i controlli ActiveX, che secondo Eolas viola il suo brevetto USA numero 5838906.

La causa ha finora visto dare ragione a Eolas, assegnandole un risarcimento di 521 milioni di dollari. Microsoft ha fatto ricorso in appello, ma la causa sta andando male (l’Ufficio Brevetti USA ha confermato la validità del brevetto di Eolas), per cui Internet Explorer va cambiato.

Come previsto, i brevetti software fanno più danni alle grandi aziende che li hanno tanto voluti di quanti ne facciano al sofware libero.

Entro 60 giorni al massimo, riferisce Eweek, i gestori dei siti Web che usano controlli ActiveX, animazioni Flash e applet Java devono riscrivere i propri siti, altrimenti questi componenti richiederanno all’utente di essere attivati ogni volta, rendendone scomodissimo l’uso.

Le nuove regole, preannunciate sin da dicembre scorso e rese disponibili come download opzionale a fine febbraio 2006, entrano in vigore reversibilmente con la patch del prossimo 11 aprile e diventano permanenti ed obbligatorie a giugno 2006.

In pratica, chi ha gli aggiornamenti automatici di Windows e usa Internet Explorer si troverà improvvisamente incasinato il funzionamento di tutti i siti che non hanno provveduto per tempo a sistemarsi.

Lo spiegone di Microsoft è nel blog del Microsoft Security Response Center.

Questo articolo vi arriva grazie alle gentili donazioni di “isanera” e “oricciardi”.

Credit: NiskArtNet.

Da fine marzo è in corso un nuovo attacco contro gli utenti di Internet Explorer, ai quali basta visitare un sito per essere infettati. Il problema è che gli aggressori hanno alterato anche siti fidati e sfruttano una falla di Internet Explorer per la quale Microsoft non ha ancora rilasciato una correzione. Per il momento, l’unico rimedio è usare la tecnica consigliata da sempre: sostituire Internet Explorer con qualsiasi altro programma analogo, per esempio Opera o Firefox.

Secunia definisce “estremamente critica” la falla, catalogata formalmente come CVE-2006-1359, e indica che ne sono affette tutte le versioni recenti di IE, dalla 5.01 in su fino alla versione-anteprima di Internet Explorer 7 (Beta 2 Preview) rilasciata da zio Bill a gennaio.

La falla nasce da un errore nella gestione della chiamata “createTextRange()” in IE. Non richiede alcuna interazione dell’utente con il sito ostile: è sufficiente visitarlo con Internet Explorer.

Microsoft dice che la pezza di correzione verrà rilasciata insieme alle altre correzioni nel solito aggiornamento mensile, previsto per l’11 di aprile, ma potrebbe essere rilasciata anche prima se necessario. Inoltre afferma che la versione di IE7 Beta di marzo non è affetta dalla falla.

In attesa del rilascio della correzione, Microsoft consiglia di configurare IE in modo che faccia comparire una richiesta di conferma prima di eseguire istruzioni di Active Scripting, oppure di disabilitare l’Active Scripting nelle zone Internet e Locale; consiglia inoltre di impostare i livelli di sicurezza ad “Alta” per l’Active Scripting in queste zone.

Le istruzioni sono qui in inglese; può darsi ci sia una versione italiana, ma mi sembra un procedimento molto macchinoso che oltretutto rende scomodissima la navigazione nei siti che (poco furbamente) usano l’Active Scripting: meglio tagliare la testa al toro e passare a un programma alternativo, come appunto Firefox o Opera (cosa che ovviamente zio Bill non osa consigliarvi).

Se per qualsiasi motivo dovete restare fedeli a Internet Explorer e non potete disattivare l’Active Scripting, potete valutare le correzioni temporanee a questa falla offerte da Determina, Eeye e Websense (ma non approvate da Microsoft).

La BBC riferisce che sono oltre 200 i siti che tentano di infettare gli utenti usando questa falla. Casi come questo mostrano quanto sia irresponsabile l’atteggiamento dei siti che impongono l’uso di Internet Explorer “per motivi di sicurezza”.