La questione Log4Shell – la vulnerabilità zero-day scoperta a dicembre in una libreria Java usata da migliaia di aziende, tra le quali Apple, Amazon, Twitter, Cloudflare, Microsoft e Tesla – ha evidenziato complesse problematiche sul versante sicurezza che vanno al di là di vulnerabilità che hanno la loro ragione di esistere in virtù di come sono sviluppati alcuni progetti open source noti e ampiamente usati ma spesso curati solo da minuscoli team di persone; essendo poche le persone che si occupano a tempo pieno (il più delle volte senza ricevere niente in cambio) di progetti importante non è sempre facile correggere in breve gli effetti di bug le cui conseguenze potrebbero essere amplificate a dismisura se il difetto si trova in un pezzo di codice fondamentale, incorporato in numerosi e diffusi software e servizi disponibili in tutto il mondo.
A seguito dei recenti avvenimenti, ieri la Casa Bianca ha organizzato un incontro per discutere della questione. Erano presenti rappresentanti di big del web e del mondo IT, tra i quali Google, Facebook, Amazon e Apple. Si è discusso della sicurezza dei progetti open source e Google ha chiesto al governo di intervenire.
In un post sul blog aziendale, Google evidenzia la necessità di una maggiore collaborazione tra il governo e il settore privato. Big G finanzia regolarmente progetti open source (con donazioni ad associazioni del settore e impegnandosi su questioni varie per la sicurezza informatica), e si rammarica di come sia spesso trascurata la sicurezza di molti progetti open source anche piuttosto importanti. “Per troppo tempo la comunità del software è rimasta ferma alla convinzione che il software libero sia generalmente sicuro grazie alla sua trasparenza e al presupposto che “molti occhi” permettano di trovare e risolvere i problemi. Ma, di fatto, mentre su alcuni progetti vegliano effettivamente molti occhi, su altri ne vegliano pochi o nessuno”.
Google fa notare che non esiste una metodologia ufficiale o uno standard formale per verificare a fondo la sicurezza di pezzi di codice utilizzati anche in importanti infrastrutture pubbliche. Le correzioni e il lavoro vengono effettuati in loco e su base volontaria, con progetti sempre più massicci che si basano sull’open source. “Il software libero è il tessuto connettivo di gran parte del mondo online; merita la stessa attenzione e gli stessi finanziamenti che vengono dati per costruire strade e ponti”, afferma l’azienda.
Google pensa pertanto ad una partnership pubblico-privato, una struttura o qualcosa di simile in grado di monitorare meglio i progetti open source. L’azienda ritiene fondamentali nuovi standard di sicurezza e manutenzione per poter classificare i difetti in ordine di importanza. L’obiettivo è anche quello di allocare risorse per i progetti più essenziali e anticipare potenziali problemi a lungo termine”. L’incontro alla Casa Bianca è indicato come riconoscimento vero questo obiettivo e “un primo importante passo per affrontare questa sfida”.
Per tutte le notizie sulla sicurezza informatica vi rimandiamo a questa sezione di macitynet.
