Quella scelta (discutibile) di Intel sulla sicurezza dei chip

Nelle rivelazioni iniziali su gravi falle nella sicurezza rilevate nei processori, Intel ha preferito un manipolo di clienti, incluse alcune società tecnologiche cinesi, ma ha escluso il governo degli Stati Uniti, secondo alcune delle società coinvolte e persone a conoscenza del problema. La decisione solleva preoccupazioni, hanno detto i ricercatori specializzati in sicurezza, in quanto le informazioni sulle vulnerabilità dei chip Spectre e Meltdown avrebbero potuto cadere in mano al governo cinese prima di essere rese pubbliche. Tuttavia non ci sono prove di un uso improprio, hanno aggiunto. Qualche settimana dopo la prima confessione, le scelte della società di Santa Clara sui destinatari di un preavviso hanno continuato a ripercuotersi sui settori sicurezza e tecnologia. I difetti sono stati identificati per la prima volta in giugno da un membro del team sicurezza del Project Zero di Google. Il colosso guidato da Brian Krzanich aveva pianificato di rendere pubblica la scoperta il 9 gennaio - gli addetti alla protezione dei sistemi dagli hack spesso aspettano a fare annunci mentre vengono elaborate le correzioni - ma ha accelerato i tempi quando la notizia è trapelata il 3 gennaio, un giorno dopo che il sito britannico The Register ha scritto della cosa. Poiché i bugs possono essere sfruttati per sottrarre dati sensibili dal cloud, le relative informazioni sarebbero di grande interesse per qualsiasi agenzia di intelligence, ha detto Jake Williams, presidente della società di sicurezza Rendition Infosec ed ex dipendente della National Security Agency. In passato, gli hacker cinesi legati allo Stato hanno sfruttato le vulnerabilità del software per influire sui target o espandere la sorveglianza. È «quasi certo» che Pechino fosse a conoscenza del dialogo tra Intel e i partner cinesi, perché le autorità locali seguono regolarmente queste comunicazioni, ha affermato Williams. In precedenza, il ministero degli Esteri aveva espresso chiaramente la propria contrarietà al cyberhacking in qualsiasi sua forma. Un portavoce di Intel ha rifiutato di elencare i nomi dei privilegiati che hanno recepito l’avvertimento prima della dichiarazione prevista per il 9 gennaio. Inoltre, la società non è stata in grado di sentirli tutti, compreso il governo degli Stati Uniti, perché la notizia è stata resa pubblica prima del previsto, ha affermato. L’impervio sentiero scelto - informare un numero sufficiente di grandi clienti per evitare danni significativi, seppur mantenendo la questione il più riservata possibile per arginare la potenziale fuga di notizie - continua a pesare su entità più piccole che non sono state ragguagliate fin dall’inizio. Joyent, provider di servizi cloud con sede negli Stati Uniti e di proprietà di Samsung, sta cercando di recuperare terreno, ha dichiarato il chief technology officer Bryan Cantrill. «Gli altri hanno avuto un vantaggio di sei mesi», ha detto. «Stiamo facendo l’impossibile». Nei mesi precedenti la divulgazione, Intel ha lavorato ad alcuni correttivi con Google, nonché con i principali produttori di computer e società di cloud computing, ha dichiarato in una nota inviata via e-mail al Wall Street Journal. Un funzionario del Dipartimento di Sicurezza Nazionale ha raccontato che i membri del suo staff hanno appreso tutto dai notiziari del 3 gennaio. Il Dipartimento viene spesso messo a parte della scoperta di bug in anticipo rispetto al pubblico e funge da fonte autorevole per le indicazioni su come gestirli. «Certamente ci sarebbe piaciuto essere coinvolti», ha detto. Secondo Rob Joyce, il più alto funzionario della sicurezza informatica alla Casa Bianca, allo stesso modo l’Nsa ne era all’oscuro. In un messaggio pubblicato il 13 gennaio su Twitter, ha detto che l’Nsa «non sapeva di queste falle». Un portavoce del 1.600 di Pennsylvania Avenue ha rifiutato di commentare ulteriormente, facendo invece riferimento al tweet. Come Microsoft, Amazon e Arm Holdings, Lenovo era tra i big previamente informati. E ha potuto rilasciare una dichiarazione il 3 gennaio, fornendo assistenza ai clienti grazie al «lavoro svolto prima di quella data con i partner responsabili dei processori e del sistema operativo», ha indicato una portavoce via posta elettronica. Stando a indiscrezioni, anche il principale provider cinese di servizi di cloud computing, Alibaba, è stato contattato in anticipo. Ma la portavoce dell’unità cloud ha rifiutato di riferire quando e ha specificato che qualsiasi sospetto che siano state condivise informazioni con le autorità cinesi è «una fantasia infondata». Peraltro, una portavoce di Lenovo ha sottolineato che le informazioni di Intel erano protette da un accordo di non divulgazione. Nonostante i timori per la sicurezza, avvertire un certo numero di aziende di portata globale ha senso, ha ammesso Dave Aitel, amministratore delegato di Immunity, una società che vende servizi di sicurezza. «Ragguaglieranno il minor numero possibile di persone» per contenere possibili fughe di notizie, ha detto. Avendo ricevuto un allarme tempestivo, Microsoft, Google e Amazon hanno potuto rilasciare dichiarazioni subito dopo la diffusione delle notizie sulle falle per rassicurare la clientela cloud su un’ampia protezione. I concorrenti più piccoli, tuttavia, continuano ad arrancare. DigitalOcean, un venditore di servizi cloud, ha reso noto che il 19 gennaio era ancora alla fase di test per una patch. Lo scorso mercoledì Rackspace ha comunicato di avere diversi team occupati nello sviluppo di una soluzione. All’inizio di gennaio ha espresso solidarietà con i clienti comprendendo che la situazione «possa essere frustrante». Anche il Dipartimento della Sicurezza Nazionale ha incespicato sulle prime indicazioni. Inizialmente il Computer Emergency Response Team (Cert) dell’agenzia è stato collegato alla raccomandazione di sostituire il chip «per rimuovere completamente» le vulnerabilità. E ora consiglia agli utenti una patch per i loro sistemi. «La Sicurezza Nazionale avrebbe dovuto essere informata nelle prime fasi per un migliore coordinamento», ha detto Cantrill di Joyent. «Non capisco perché il Cert non sia stato il primo nome della lista».
traduzione di Giorgia Crespi

Please click here to read this article in English on The Wall Street Journal