Microsoft e Google, POODLE al guinzaglio

Dalle raccomandazioni iniziali contro i rischi della vulnerabilità nota come POODLE si è ora passati ai fatti, con Microsoft che rilascia un aggiornamento “Fix it” per disabilitare in un solo colpo il supporto a SSL 3.0 su tutte le versioni di Internet Explorer supportate (6.0-11).

L’ aggiornamento (reversibile come le altre patch Fix it) dovrebbe chiudere la porta alla possibilità che un malintenzionato sfrutti la vulnerabilità per forzare l’uso del protocollo SSL 3.0, arrivando a leggere in chiaro comunicazioni di rete che in teoria dovrebbero essere cifrate e illeggibili a occhi esterni.

Sul lungo periodo, la lotta di Microsoft a POODLE si farà molto più serrata e porterà alla disabilitazione definitiva di SSL 3.0 in IE, anche se in questo caso si parla di un aggiornamento in arrivo solo nei prossimi mesi.

Redmond spiega il ritardo nell’azione con la presenza attiva di un numero ridotto di clienti che ancora fa uso del protocollo vulnerabile. Attesa ridotta, invece, per l’aggiornamento della piattaforma Azure, la quale diventerà “SSL-free” a partire dal primo dicembre.

Per quanto riguarda Google, invece, l’abbandono di SSL 3.0 arriverà con la versione 40 stabile del browser Chrome programmata per le prossime settimane. Al momento Chrome (39) si limita a visualizzare un allarme giallo sull’icona di una connessione SSL.

I colossi di settore provano a rafforzare la sicurezza delle tecnologie telematiche e anche Facebook fa la propria parte in tal senso, regalando bei dollari ai ricercatori di sicurezza più capaci o anche rilasciando il codice open source di un nuovo tool per la sicurezza chiamato osquery . Con osquery è possibile tenere traccia e analizzare le operazioni comuni di un sistema operativo (Linux o Mac OS X) attraverso comode tabelle SQL, una sorta di astrazione di un OS client in forma di database relazionale che può evidenziare, attraverso i log dei processi aperti, i driver di periferica e le connessioni di rete aperte, la presenza di un agente esterno con intenti malevoli.

Alfonso Maruccia