Un ricercatore specializzato in sicurezza ha indicato i dettagli su una serie di vulnerabilità non risolte da Microsoft, con tanto di codice per sfruttarle e la Casa di Redmond ora minacciando di intraprendere un’azione legale e di denunciarlo.
La velata minaccia di Microsoft riaccende una vecchia disputa sulle responsabilità — se ve ne sono — che i ricercatori di sicurezza hanno nel divulgare le vulnerabilità che colpiscono i grandi e ricchi colossi tecnologici.”
Mercoledì 27 maggio Microsoft ha pubblicato un post sul proprio blog criticando il ricercatore, noto con lo pseudonimo di “Nightmare Eclipse”, per aver divulgato pubblicamente una serie di bug, tra cui BlueHammer, RedSun, UnDefend e YellowKey. Le falle interessavano prodotti come Defender, il motore antivirus integrato in Windows, e lo strumento di crittografia del disco BitLocker.
Secondo Microsoft il ricercatore non ha tentato di segnalare i bug per consentire all’azienda di correggerli, quello che avrebbe dovuto essere un comportamento “responsabile” secondo Microsoft. L’azienda di Redmond si lamenta ancora del fatto che, pubblicando i dettagli delle falle e le modalità per sfruttarle prima della disponibilità di correzioni, Nightmare Eclipse potrebbe aver aiutato cybercriminali. A detta di Microsoft ma anche secondo la CISA, agenzia governativa statunitense per la cybersicurezza, alcune delle vulnerabilità divulgate da Nightmare Eclipse sono state successivamente utilizzate dagli hacker per portare a termine attacchi reali.
Il ricercatore si difende affermando di essersi messo in contatto con Microsoft ma l’azienda lo avrebbe trattato male, arrivando persino a revocargli l’accesso al proprio account del Microsoft Security Response Center, il portale nel quale i ricercatori possono segnalare le vulnerabilità. Nightmare Eclipse fa capre di non avere avuto altra scelta se non quella di rilasciare pubblicamente le vulnerabilità zero-day, un termine specifico per indicare falle di sicurezza che sono sconosciute al produttore del software interessato nel momento in cui vengono divulgate o sfruttate.
Microsoft ha bloccato gli account di ricercatori che hanno evidenziato bug sui repository open source GitHub (di proprietà di Microsoft) e GitLab.
Quanto accaduto riaccende un dibattito di lunga data, in parte controverso: i ricercatori di sicurezza indipendenti hanno il dovere di assicurarsi che le vulnerabilità da loro scoperte vengano corrette? E fino a che punto dovrebbero spingersi per garantire che le aziende interessate le risolvano effettivamente?
Il sito TechCrunch spiega che sebbene oggi possa sembrare ovvio, ci sono voluti anni di battaglie per convincere le aziende a offrire ricompense (“bug bounty”) a chi segnala bug importanti. Oggi questi premi possono raggiungere cifre a sei zeri o più, ricompensi per chi segnala bug privatamente e accettando di divulgare i dettagli dopo che le falle sono state corrette.
In risposta alle polemiche con Nightmare Eclipse, vari ricercatori hanno sottolineato brutte esperienze nel segnalare bug a Microsoft. Gran parte della community che si occupa di cybersicurezza sottolinea il malcontento per come Microsoft sta gestendo la questione. Tra questi ci sono anche veterani del settore, come la fondatrice di Luta Security, Katie Moussouris, che, durante il suo periodo in Microsoft tra la metà e la fine degli anni 2000, ha aperto la strada ai programmi di bug bounty e ha convinto il colosso tecnologico a superare il concetto di “divulgazione responsabile” (responsible disclosure), ridefinendo il processo come “divulgazione coordinata” (coordinated disclosure)”
Per tutte le notizie sulla sicurezza informatica rimandiamo alla sezione dedicata di macitynet.
