Falle Php, Agenzia cyber: “Almeno 60 mila domini a rischio, governo in allerta”. E spunta l’altro bug sull’autenticazione dei siti web

Commenti

“Il governo Meloni sta seguendo costantemente l’evoluzione della sicurezza informatica in Italia”, dopo la rivelazione da parte di OpenAI di due falle nel linguaggio PHP. E’ la rassicurazione giunta a ilfattoquotidiano.it dall’Agenzia nazionale per la cybersicurezza (Acn). “In queste ore, il raccordo istituzionale” con l’esecutivo “è stato continuo e tempestivo, garantendo un flusso informativo costante sulle misure adottate”, prosegue l’Autorità.

Il pericolo della “completa compromissione dei portali web”

I rischi sono molto gravi: sfruttando i “buchi”, ora di dominio pubblico, i criminali possono ottenere “la completa compromissione dei portali web”, per rubare “tutti i dati presenti nei sistemi colpiti”, ma anche per costruire un “ponte per ulteriori compromissioni in profondità (account, password, dati personali, dati aziendali, etc) all’interno di reti di soggetti pubblici e aziende”. La minaccia riguarda tutti, avvisa Acn, pubbliche amministrazioni e imprese private: “Il 69.3% dei portali a livello mondiale sono realizzati o utilizzano PHP”, dice citando i numeri del W3Tech, la piattaforma online che monitora i sistemi più diffusi per la creazione e la gestione dei siti web. L’Agenzia ha individuato “almeno 60.000 domini che utilizzano la tecnologia PHP e il numero finale probabilmente sarà più elevato in quanto i più comuni CMS (es. WordPress, Joomla, Drupal, etc) sono realizzati in PHP”. Tutti sono stati avvisati e sollecitati a seguire le istruzioni di sicurezza.

L’Autorità Cyber: “Senza la patch, staccate i sistemi da Internet”

Il pericolo, sottolinea l’Autorità cyber, è esteso al punto da rendere insensato focalizzarsi su specifici servizi: “In linea teorica, il rischio sussiste” per tutti i sistemi basati su linguaggio PHP “esposti su Internet”. Secondo William Nonnis, analista tecnologico della presidenza del Consiglio dei ministri, oltre il 70 per cento dei software per la gestione del personale, nelle aziende e nelle pubbliche amministrazioni, sono basati su PHP. Dunque, anche le informazioni contenute nelle buste paga dei lavoratori sarebbero a rischio: parliamo dei dati bancari incluso l’Iban. “Confidiamo nel fatto che tutti i soggetti interessati adottino tempestivamente tutte le misure tecniche e organizzative necessarie a mitigare le potenziali vulnerabilità”, auspica l’Agenzia. Qualora non si riesca sybito a tappare la falla con le patch rilasciate dalla dalla Fondazione PHP, l’Autorità cyber raccomanda di “spegnere” i sistemi sganciandoli da internet. Ieri, per precauzione, oltre 30 servizi digitali del governo del Regno Unito erano offline, in attesa di metterli al riparo dai criminali informatici. Anche la Germania ha spento per prudenza siti di ministeri. Istituzioni essenziali fuori dal web anche in Olanda e Francia. In Italia, non risultano ministeri offline.

L’altra minaccia, compromesse 8 chiavi di eMudhra: a rischio i certificati dei siti web

I due bug nel linguaggio informatico PHP non sono l’unica falla nella sicurezza informatica globale. Il 20 ottobre la fondazione che gestisce il browser Mozilla ha annunciato la compromissione di 8 chiavi del colosso tecnologico eMudhra, per autenticare i siti web. Secondo due esperti ascoltati da ilfattoquotidiano.it, chiunque sia in possesso delle chiavi può sostituirsi al gigante indiano. Con quali conseguenze per le persone comuni? Potenzialmente, le mail ricevute non si sa se siano autentiche oppure no. Ma è solo un esempio. In ballo ci sono i certificati, ovvero il lucchetto visibile quando un sito si mostra legittimo. Tutti i browser per accedere a internet, su smartphone e pc, si fidano di quei certificati. Un sistema centralizzato, fondato su una lista di poche decine di autorità, inclusa eMudhra: i browser di navigazione online e i sistemi operativi si fidano solo di loro. Ma con le 8 chiavi trafugate è possibile creare un falso sostituto “valido”, per qualsiasi sito, anche delle banche o di posta elettronica, servizi distanti da eMudhra.

Roio: “Il prezzo della centralizzazione. Non possiamo consegnare ancora più potere agli stessi pochi custodi”

Secondo Denis Roio, co-fondatore dell’Associazione Italiana dei Crittografi, “con questa falla si può fare phishing autenticando siti al posto di altri”. Non è un “trucco” affatto facile, alla portata di tutti i criminali informatici. Ma il rischio, in teoria, è approdare su un sito sensibile, ad esempio del governo, riconosciuto come autentico dal browser, mentre si tratta di un’esca per una truffa, indistinguibile all’occhio dell’utente. Sul browser appare l’indirizzo giusto e il lucchetto regolare, ma il sito sarebbe falso. La vulnerabilità, sulla carta, tocca anche le firma digitali, diffuse in Europa anche nelle pubbliche amministrazioni. Emudhra ha dichiarato che si ritirerà volontariamente dal mercato globale della sicurezza: una misura della gravità della falla. Secondo Denis Roio, “il caso mostra il prezzo della centralizzazione: otto chiavi compromesse consentono di falsificare certificati per qualsiasi sito nel mondo. Il documento congiunto delle agenzie di sicurezza Americane (Five Eyes) avverte che emergeranno nuove vulnerabilità e che l’intelligenza artificiale accelera gli attacchi”. “Le prossime falle arriveranno, la risposta non può essere consegnare ancora più potere agli stessi pochi custodi”, ammonisce l’esperto. La soluzione? “Evitare la centralizzazione, per scongiurare il rischio che l’errore di una singola parte travolga tutti”.