Mac OS X ha 20 falle zero day. Charlie Miller, esperto di sicurezza, ha dichiarato che saranno svelate (crediamo non pubblicamente) nel corso della conferenza sulla sicurezza CanSecWest. Miller, già noto per aver scoperto diverse falle nel sistema operativo Apple (e il particolare in Safari), sarà presente anche quest'anno al Pwn2Own, la gara tra hacker che si svolgerà la settimana prossima (
Pwn2Own 2010, basta Safari per violare un Mac).
"OS X ha una grande superficie d'attacco per quanto riguarda i componenti open source (web kit, libz, etc), i componenti di terze parti closed source (flash) e quelli Apple (Preview, mdnsresponder, etc). Bug in uno qualsiasi di questi componenti possono portare ad attacchi da remoto".
Miller ha dichiarato di aver scoperto le vulnerabilità attraverso un processo chiamato "fuzzing", che richiede il bombardamento dei canali di input di un'applicazione con il maggior numero possibile di dati corrotti.
L'esperto di sicurezza afferma da tempo che Mac OS X è un sistema insicuro. Secondo Miller la quota di mercato del sistema operativo non è più un valido argomento alla luce dei recenti attacchi hacker, come quelli cinesi a Google. "Mac OS X è come vivere in un fattoria in un paese senza posti di blocco, mentre Windows è come vivere in una casa con le finestre sbarrate nella parte più malfamata di una città", ha affermato l'esperto.
Fonte:
http://www.tomshw.it/cont/news/mac-os-x-colabrodo-ha-20-falle-zero-day/24508/1.html
Ah, se non ci fosse Miller!
Ancora si crede che OS X sia più sicuro di qualsiasi altro sistema operativo, vuoi perché si pensi sia accuratamente progettato da Apple, vuoi perché la sua diffusione di mercato lo protegge da interessi malevoli. Ogni anno, puntualmente, arriva Charlie a smentire queste cose.
Quest'anno però si è proprio scatenato: ben 20 falle zero-day. E probabilmente non sono finite qua. Ogni sistema operativo ha delle falle che escono allo scoperto solo magari alla lunga (vedasi il caso del bug diciassettenne di Windows, come esempio). Logico pensare che siano più di 20, le falle zero-day.
Come fa poi ben presente Miller, è finita la bella storia che solo tramite le falle degli OS possono essere fatti attacchi. I programmi esterni fanno ora la loro parte. Come Flash è fallato su Windows, lo è pure su OS X. E l'aggravante è che ha come complice Safari, non proprio il meglio del meglio in fatto di sicurezza, come Miller stesso fa presente in questa intervista:
http://www.oneitsecurity.it/01/03/2010/intervista-charlie-miller-pwn2own/. Inoltre, altra cosa fatta notare dal buon Charlie, su Windows il plug-in di Flash non è presente di default, su OS X per semplificare l'esperienza utente è già incluso nel sistema, con vantaggi e svantaggi che ciò comporta.
Una domanda che può chiarire meglio poi il significato di questo post: è un male che queste notizie escano allo scoperto? Su Windows si ottengono risultati interessanti, Microsoft prende nota e in breve tempo sistema. Su OS X potrebbe accadere la stessa cosa. Dunque, è sì un difetto di Apple, ma che viene riportato nella speranza che a Cupertino decidano di sistemarlo. Più se ne parla, più Apple non potrà fare finta di nulla. Anche se ormai per la 10.6.3 credo ci sia poco da fare, dovranno essere fatti "out-of-the-band" gli eventuali fix.
Insomma, anche per questo Pwn2Own si prospetta un trionfo in negativo per Apple. L'"acquisto" di Window Snyder non è sufficiente. Un consiglio sincero a Jobs: assuma Miller. Vedrà che dalla 10.7 forse OS X smetterà di essere preso di mira ad ogni Pwn2Own.
PS: la frase "Mac OS X è come vivere in un fattoria in un paese senza posti di blocco, mentre Windows è come vivere in una casa con le finestre sbarrate nella parte più malfamata di una città" conferma quello che era un po' un mio pensiero. Su OS X c'è una cultura della sicurezza molto minore rispetto a Windows, dove ormai anche il peggiore utonto prende precauzioni e tiene aggiornato il sistema. E' ora che, per il loro bene, anche gli utenti di OS X inizino a curare un po' di più la sicurezza del proprio sistema. Come su Windows, anche su OS X 10 minuti ogni tanto dedicati alla manutenzione e alla sicurezza sono un toccasana per il sistema.