Falla OpenSSH su Alpine Linux e il ticket di Careggi pagato 1 euro invece di 70
Ieri è uscita una falla in OpenSSH su Alpine Linux. E mi è tornata in mente una storia di quando ero agli inizi.
Cos’è OpenSSH, detto semplice
OpenSSH è il programma che si usa per collegarsi a un computer da remoto, tipicamente a un server: ti colleghi, ti autentichi e da lì comandi la macchina come se ci fossi seduto davanti. È ovunque.
La falla: se sulla macchina c’è un utente senza password, basta presentare una chiave lunghissima qualunque per entrare. Non la chiave giusta, una qualunque.
Perché Alpine conta così tanto
Linux non è un sistema operativo unico, ci sono tante distribuzioni: pacchetti diversi, scelte diverse, stesso cuore. Alpine è una delle più piccole e leggere, e per questo è la base di tantissimi container e server.
La falla è già stata patchata. Ma chi usa Alpine come base deve aggiornare, altrimenti è un bel problema, sia per i server sia per gli utenti che ci stanno sopra.
Il ticket da 70 euro pagato 1 euro
Ero a Careggi per le analisi del sangue. Sciopero degli infermieri, tanto tempo da perdere e il portatile dietro. Allora mi metto a pagare il ticket online: 70 euro, campo “non modificabile”.
Non modificabile per chi non apre la pagina. Io l’ho aperta e ci ho scritto 1. Pagamento da 1 euro, ricevuta da 70.
Le segnalazioni finite nel nulla
L’ho segnalato a tutti. Mi sono pure autodenunciato, e alla fine i 69 euro che mancavano li ho pagati io. Risultato delle segnalazioni: zero.
Il bello è che qualche tempo dopo, a un colloquio di lavoro, mi sono trovato davanti proprio gli sviluppatori di quell’applicazione.
La falla è rimasta lì per anni. Per sistemarla bastava più o meno una riga di codice: controllare lato server che l’importo pagato fosse quello dovuto.
Più cultura della sicurezza
La morale è sempre la stessa, come per i freezer scongelati dagli hacker: serve più cultura della sicurezza per tutti, fisica e digitale. Se manca alle persone, manca anche alle aziende, perché le aziende sono fatte di persone.
Secondo voi una falla così quanto è rimasta aperta? Scrivetemelo nei commenti del video.