Ricerca sulle vulnerabilità

C’è una parte del nostro lavoro che nessun cliente ci commissiona. Quando analizziamo un software — perché lo usa un’azienda che seguiamo, perché è diffuso, o semplicemente perché vogliamo capire come è fatto dentro — capita di trovare un difetto che nessuno aveva ancora notato.

Da quel momento parte una procedura precisa. Il difetto non viene pubblicato, non viene venduto e non viene usato: viene comunicato a chi quel software lo sviluppa, perché lo corregga. Diventa pubblico soltanto dopo, quando esiste un aggiornamento che chiude la falla.

È la prassi della responsible disclosure, ed è il motivo per cui oggi 51 vulnerabilità risultano accreditate a nostro nome nel CVE Program, il registro internazionale che tutto il settore usa per identificare le vulnerabilità note.

Le vulnerabilità che abbiamo fatto correggere

L’elenco si aggiorna da sé man mano che nuove segnalazioni completano il percorso di disclosure. Ogni identificativo porta alla scheda ufficiale sul sito del CVE Program.

Come gestiamo una scoperta

Fra il momento in cui troviamo il problema e il momento in cui se ne può parlare passano settimane, a volte mesi. È tempo speso apposta: finché non esiste la correzione, raccontare la vulnerabilità significa soltanto consegnarla a chi la userebbe.

1. Verifica. Riproduciamo il difetto e ne misuriamo l’impatto reale. Una segnalazione senza prova fa solo perdere tempo a chi la riceve.
2. Segnalazione. Scriviamo a chi sviluppa il software: che cosa abbiamo trovato, come si riproduce, che cosa può provocare. Dove possiamo, indichiamo anche come correggerlo.
3. Attesa. Diamo al produttore il tempo di rilasciare l’aggiornamento. In questa fase la vulnerabilità non esce da lì: niente anticipazioni, niente dimostrazioni pubbliche.
4. Pubblicazione. A correzione avvenuta la vulnerabilità entra nel CVE Program con un identificativo univoco e un punteggio di gravità CVSS. Da quel momento chiunque può capire se è esposto e aggiornare.

Che cosa c’entra con la tua azienda

Un fornitore di sicurezza informatica può dire di saper trovare vulnerabilità, oppure può mostrare quali ne ha trovate. 51 identificativi pubblici, ognuno legato a un software reale e a una correzione effettivamente rilasciata, sono una verifica che non dipende da noi: li assegna il CVE Program, li può consultare chiunque e restano lì.

Le competenze che portano a una CVE sono le stesse che mettiamo nei penetration test e nelle analisi di sicurezza che facciamo su incarico. Cambia solo il destinatario del risultato: quello di un test resta riservato a chi lo ha commissionato, una CVE diventa patrimonio di tutti.

C’è anche una ricaduta diretta sui nostri clienti. Quando un difetto riguarda un software che qualcuno di loro ha in casa, lo sappiamo prima che diventi pubblico, e possiamo intervenire prima che diventi un problema.

Hai trovato una vulnerabilità nei nostri sistemi?

Quello che chiediamo agli altri lo applichiamo a noi. Se hai individuato un problema di sicurezza in un servizio Dottor Marc, scrivicelo: lo verifichiamo, lo correggiamo e ti riconosciamo pubblicamente la segnalazione. Nessuna conseguenza per chi segnala in buona fede e senza danneggiare i dati di nessuno.

La stessa analisi, sui tuoi sistemi

Quello che facciamo sul software degli altri lo facciamo, su incarico, sui sistemi dei nostri clienti: penetration test, analisi delle applicazioni, verifica delle configurazioni. Con una differenza non da poco: i risultati restano tuoi.

Parliamone.