Quanto è corretta la "Sicurezza per correttezza"?

TH: Usi Googla Chrome?

Joanna: Sì, lo uso sulla macchina rossa. La ragione principale è la sua GUI, la velocità e il fatto che supporta praticamente ogni cosa, dagli script al flash, necessaria per la navigazione quotidiana.

In ogni caso, si tratta sempre di una soluzione temporanea. L'ideale sarebbe avere un hypervisor molto leggero, come Xen, caricato in maniera sicuro al momento dell'avvio (tramite qualcosa simile all'Intel TXT), e poi usare questo hypervisor leggero per gestire tutte le VM. Naturalmente per alleggerire davvero un hypervisor bisognerebbe rimuovere tutti i driver e gli emulatori di I/O, e per farlo abbiamo bisogno delle tecnologie Intel VT-d (da non confondere con VT-x) o la AMD IOMMU. Allo stato attuale delle cose, è possibile farlo un con portatile basato su una CPU Centrino 2, e l'Hypercore Phoenix e il Project Independence di Xen rappresentano dei tentativi in questa direzione. Ad oggi, però, gli hypervisor ti tipo II, quelli "grassi", sono l'unica opzione.

TH: Passando al livello successivo, quindi, cose come i firewall, i software anti-spyware a antivirus non sembrano essere una protezione adeguata, almeno non contro il malware più sofisticato. Al momento non crediamo che ci sia in circolazione malware simile ma, dopotutto, potremmo semplicemente non esserne al corrente. Cosa possiamo fare?

Joanna: Quello che ci può proteggere è un buon design del SO (o un hypervisor e un SO), non un'applicazione di terze parti applicata ad un design non sicuro.

TH: Quindi la sicurezza della progettazione è importante?

Joanna: Solo quella di alcuni componenti critici del sistema (kernel/hypervisor), non di tutto il software in generale.

TH: Come consumatori abbiamo un modo di spingere le aziende ad assumere un approccio più attivo per quanto riguarda la sicurezza?

Joanna: Sfortunatamente non credo che esista un modo semplice di farlo. Molto semplicemente, non ci sono in circolazione prodotti validi tra i sistemi operativi. Che sia Mac, Windows o persino Linux, tutti questi SO usano grossi kernel monolitici, ricolmi di driver di terze parti. Questa situazione crea un enorme vettore per possibili attacchi contro i dispositivi d'isolamento del sistema operativo, come la separazione dei processi, quella degli account utente o la protezione del kernel.

TH: Il furto d'informazioni è una cosa molto delicata. Se ti sottraggono i dati della carta di credito, la puoi bloccare, e la polizia potrebbe persino riuscire a trovare i colpevoli. Se invece ti rubano, per esempio, dati riguardanti la tua situazione sanitaria, le conseguenze potrebbero essere disastrose.

Joanna: Verissimo. D'altra parte sembra che molte persone non abbiano problemi a usare servizi online per tenerci informazioni personali sensibili, dalle agende ai documenti, e persino i dati sanitari, tramite Google Health. Prendiamo pure per vero il fatto che Google, o altri servizi simili, sia del tutto affidabile come azienda; non significa che ci si possa fidare al 100% di chi ci lavora. Ad oggi, per fortuna, la maggior parte delle informazioni personali è sui nostri computer, e non online. Se (quando) saremo tutti passati "nella nuvola", un computer infetto potrebbe comunque rappresentare un pericolo, se è quello che usiamo per accedere ai servizi online. Quindi sì, la sicurezza del PC è l'aspetto più importante della sicurezza informatica in generale, e le implicazioni di una scarsa attenzione potrebbero andare ben oltre il furto del numero della carta di credito.