Yosemite, molto rumore per nulla?

La progressiva diffusione dei PC Apple tra i consumatori, e l’accresciuta allerta nei confronti dei possibili canali di accesso alle informazioni personali dopo lo scoppio dello scandalo Datagate , non manca di sottoporre i sistemi Apple a un più attento scrutinio da parte degli esperti di sicurezza . Una buona notizia per tutti, visto che solo le vulnerabilità note possono essere risolte, ma che a volte può trascendere la realtà: se la notizia pare succulenta, i media o gli stessi esperti ci si lanciano a capofitto senza valutare la reale portata di quanto da loro osservato.

Capita così che per una effettiva, se pur non ancora documentata, vulnerabilità di Yosemite (OS X 10.10) che è stata comunicata a Apple e verrà risolta entro gennaio, ci sia anche un incredibile polverone sollevato su un caratteristica del sistema operativo già esistente da molto tempo e che scoperta solo ora scatena il panico. Nel primo caso l’autore della scoperta è l’hacker Emil Kvarnhammar di TrueSec, azienda svedese, che ha illustrato quanto da lui scoperto su Yosemite senza addentrarsi nei dettagli: le informazioni su come sfruttare quello che definice un baco “rootpipe” sono state fornite esclusivamente a Apple, affinché potesse mettere mano al codice e produrre una patch, e solo in seguito saranno illustrate al pubblico.

Secondo il racconto di Kvarnhammar , dal suo desiderio di mostrare al pubblico di una convention sulla security qualcosa sui Mac è scaturita una ricerca di vulnerabilità più o meno note del sistema che non ha avuto particolare successo. In circolazione non c’era molto, dice l’hacker, e quindi è sorta ovvia la necessità di trovare qualcosa da raccontare al simposio: Kvarnhammar non scende nei dettagli, ma racconta che in un paio di giorni di lavoro è riuscito a scovare un metodo per ottenere un accesso root al sistema attraverso una console scavalcando eventuali richieste di autorizzazione per ottenere i privilegi da superutente. Le informazioni utili a riprodurre la vulnerabilità, che con piccole variazioni sul tema sarebbe replicabile anche sulle versioni precedenti del sistema operativo, sono state subito inviate in via confidenziale a Apple che ha promesso una patch senza però fissare ancora una scadenza precisa: fino ad allora, per minimizzare i rischi la cosa migliore da fare sarebbe impostare il proprio Mac per utilizzare un account privo dei privilegi di amministratore nella vita di tutti i giorni (a differenza di quanto di solito accade lasciando intatta la configurazione di default di OS X che prevede un singolo utente, con privilegi da amministratore appunto).

Discorso molto diverso riguarda il panico scaturito dalle dichiarazioni dell’altro hacker Jeffrey Paul, riguardanti una presunta seria cattiva gestione da parte di Yosemite dello storage dei dati : file che dovrebbero stare per scelta sul disco locale, soprattutto perché contenenti informazioni personali sensibili, finirebbero invece su iCloud a causa delle nuove funzionalità Continuity introdotte con OS X 10.10 e iOS 8 per consentire di proseguire il lavoro sui diversi dispositivi dell’ecosistema Apple senza soluzione di continuità. La notizia ha fatto rapidamente il giro del Web, probabilmente soprattutto a causa del clamore suscitato poche settimane fa dalla fuga di dati che ha reso pubbliche centinaia di foto private di star del cinema che pare fossero stivate nello storage remoto iCloud di Apple.

In realtà la questione è più complicata di quanto Paul abbia descritto: l’hacker ha spiegato che adopera (o adoperava) l’applicazione integrata nel sistema per scrivere piccoli documenti, Textedit (l’equivalente del Blocco Note su Windows), per prendere appunti e tenere a portata di mano informazioni personali senza salvarle in un documento. Da qualche release di OS X a questa parte le applicazioni possono salvare automaticamente i file per mostrarli di nuovo in caso di crash o riavvio del sistema: Paul approfittava proprio di questa capacità per tenere a portata di mano le proprie informazioni, di fatto impiegandola per uno scopo diverso da quello per cui era stata progettata . Le novità di Yosemite avrebbero solo amplificato un effetto presente già da prima: la mancanza di un meccanismo di opt-in, ovvero l’attivazione di queste funzioni solo se richiesto dall’utente, è un peccato veniale più che un bug , trattandosi tra l’altro di capacità già documentate pubblicamente .

Le prime critiche all’operato di Apple, piuttosto aspre, si sono ammorbidite nelle ore successive quando i contorni della vicenda sono andati via via chiarendosi . È evidente che il paradigma del cloud computing imponga agli utilizzatori di device sempre più connessi una maggiore consapevolezza di quanto accade alle informazioni che transitano nei loro sistemi : per altro ci sono circostanze in cui una sincronizzazione pervasiva può anche risultare positiva per l’utente finale.

Luca Annunziata