Cosa comporta questa falla? La nostra banca è a rischio? Ecco alcune semplici mossi per scoprirlo e correre ai ripari.
La falla
Si chiama Heartbleed, "sanguinamento del cuore", nome romantico e drammatico che evidenzia una falla davvero critica per alcuni sistemi. La falla infatti permetterebbe, se sfruttata, di leggere la memoria dei processi che usano questo sistema di cifratura e quindi di accedere a informazioni riservate.
Per ogni altro approfondimento consigliamo la lettura del materiale pubblicato dai ricercatori che hanno scoperto questo bug. E' già stato rilasciato un fix del sistema e molti sistemisti in questo momento stanno lavorando per ripristinare il corretto livello di protezione.
La soluzione è quindi a portata di mano, ma dovrebbe far riflettere riguardo all'esigenza di avere sitemi informatici sempre aggiornati nei sistemi bancari, questione portata alla ribalta dalla fine del supporto a Windows XP su cui si basano i sistemi di molte filiali.
Il controllo
Per sapere se la nostra banca (o un qualsiasi sito che comunichi in https) sia a rischio, basta collegarsi al sito http://filippo.io/Heartbleed/ ed inserire nella casella al centro della pagina l'indirizzo da controllare. Dopo pochi istanti la pagina ci darà un responso.
No dobbiamo mettere altri dati, soprattutto quelli personali o di accesso al nostro conto o profilo. Il test invia un testo noto (in questo caso "yellow submarine") e cerca poi di rompere la cifratura col metodo Heartbleed, Se ci riesce e ritrova il testo noto, vuol dire che il sito è vulnerabile.
Hanno fin'ora superato il test e non presentano problemi:
- chebanca
- fineco
- webank
- iwbank
- poste.it
Sono risultati fragili o non hanno dato esito positivo (non vuol dire che siano a rischio)
- prepper.it ;-P
La difesa
Se il nostro sito o la nostra banca sono vulnerabili dovremo procere in questo modo:
- avvisare l'amministatore, il gestore o l'helpdesk del sito
- considerare che, potenzialemente, tutti i dati che scambiamo con il sito sono "spiabili"
- testare nuovamente il sito ad intervalli regolari
- non utilizzare le funzioni private del sito fino a correzione del problema
Links: