Internet: scoperta falla nel sistema OpenSSL, a rischio siti web e dati personali

C’è una falla che metterebbe a rischio milioni di siti internet in tutto il mondo, compresi quelli dei giganti del web, ed è stata scoperta nel sistema “OpenSSL“, il protocollo di sicurezza usato da milioni di siti internet nelle transazioni e per il criptaggio di due terzi dei server in tutto il mondo. A lanciare l’allarme sono stati sia un gruppo di ricercatori finlandesi che lavorano per una società di sicurezza di Saratoga, in California, sia da due esperti della sicurezza di Google. Il bug, presente nel codice di OpenSSL fin dal marzo 2012, potrebbe aver causato la più grande fuga di dati della storia di internet, di cui è difficile definire la portata.

In pratica – spiega il New York Times – ad avere problemi sarebbe quella sorta di lucchetto (riconoscibile con la sigla https) che garantisce la protezione delle informazioni più sensibili di chiunque navighi sul web. Tra i siti attualmente più vulnerabili ci sarebbero soprattutto Yahoo e il suo social media Tumblr, e poi Flickr e Oculus. Ma non si esclude che in passato siano stati affetti dal problema tutti i colossi della rete: da Facebook a Google, da Wikipedia ad Amazon, da Twitter ad Apple fino a Microsoft. La scoperta di questa enorme falla nella rete potrebbe rendere urgente un cambio di password per tutti gli utenti di internet coinvolti, ma anche costringere i siti web interessati a cambiare le chiavi virtuali attraverso cui vengono criptati i messaggi e i dati scambiati tra i siti e i loro utenti o clienti. Quello che rende particolarmente pericoloso Heartbleed, spiegano gli esperti, è che può essere utilizzato dai pirati informatici senza che questi, una volta carpite e rubate le informazioni volute, lascino dietro di sè alcuna traccia digitale. Il che rende anche difficile quantificare la portata dei danni causati dalla falla.

“Questo significa ancora che l’icona di sicurezza (HTTPS) di cui tutti ci fidavamo affidandole il mantenimento delle nostre password, e-mail personali e carte di credito, ha reso tutte queste informazioni private accessibili a chiunque conosceva l’exploit”, il team di sicurezza a Tumblr, che è parte di Yahoo, ha scritto sul suo sito. “Questa potrebbe essere la buona occasione per  cambiare le password ovunque -. Particolare i servizi di alta sicurezza come e-mail, archiviazione di file e bancario, che possono essere stati compromessi da questo bug”.

Yahoo, Facebook, Google, e Amazon hanno annunciato però di essere a lavoro per risolvere il problema o di averlo già fatto. Da lunedì scorso è disponibile anche un update dell’OpenSSL immune dal problema, ma ogni sito dovrà aggiornare all’ultima versione.