Strategie di difesa, continua

TH: Che cosa fai per i tuoi sistemi di uso quotidiano?

Joanna: Come dicevo, credo nell'approccio dell'isolamento. Il problema è che tutti i sistemi operativi più popolari, Windows, Mac OS e Linux, non offrono un isolamento accettabile per le applicazioni. Questa situazione è la conseguenza di kernel monolitici pieni zeppi di driver di terze parti che hanno gli stessi privilegi del kernel. Come risultato, è relativamente facile, per un'applicazione malware, introdursi nel kernel e aggirare tutte le impostazioni di sicurezza del sistema operativo.

Cerco quindi di migliorare questo debole isolamento con la virtualizzazione. Uso diverse macchine virtuali per eseguire diversi tipi di browser, che uso per diverse attività. Così mi ritrovo con una VM "Rossa" per la navigazione quotidiana, cioè le attività poco sensibili, come la lettura di notizie, le ricerche, etc., una"Gialla" per cose di media criticità, come lo shopping, l'aggiornamento del blog, e simili, e infine una VM "Verde" per le cose delicate, cioè l'accesso al conto bancario.

Non m'importa molto dei rischi che ha la VM "rossa", e infatti la ripristino ogni settimana. Curo un po' di più quella gialla, per esempio disattivando gli script nel browser, fatta eccezione per alcuni siti che m'interessano davvero. Qualcuno potrebbe usare un strategia "man-in-the-middle" (MITM) su una connessione HTPP inserita tra quelle permesse, e iniettare del codice pericoloso, ma, trattandosi della macchina "gialla" me lo posso permettere. La macchina "verde", invece, ammette solo connessioni sicure HTTPS da e verso il sito della banca. È molto importante assicurarsi che questa macchina usi solo connessioni HTTPS per ridurre il potenziale pericolo degli attacchi MITM, che potrebbero verificarsi, per esempio, con il WiFi di un albergo.

Uso queste impostazioni da un po' di tempo, e devo dire che mi ci trovo piuttosto bene. La mia compagna, che non ha nulla a che vedere con la tecnologia, usa impostazioni simili sul suo Mac, e ci si trova bene. Immagino che non sia una cosa troppo tecnica, dopotutto.

C'è qualche altro dettaglio che va preso in considerazione, riguardo a queste impostazioni, per esempio la gesione degli aggiornamenti, l'uso della clipboard, il trasferimento di file, dove tenere il client di posta, perché usare la VM verde solo per tenerci un browser, e altre ancora. Immagino però che questa non sia la sede adatta per parlare di tutti i dettagli, altrimenti questa intervista diventerebbe una guida.

In ogni caso, non posso dire di essere del tutto soddisfatta. Per attivare tutte le mie macchine virtuali uso un hypervisor di tipo II (VMWare Fusion), che è una pesante applicazione attiva sulla macchina principale. Da un punto di vista teorico, non ci sono ragioni per credere che sia più difficile trovare un bug nell'hypervisor rispetto al sistema operativo in sé. Entrambi sono grandi e grossi, e accolgono molti driver. Praticamente, però, sembra più difficile violare un hypervisor: un malintenzionato dovrebbe trovare un modo di eseguire del codice nel kernel virtualizzato. Ricordate che l'attacco si base sulla possibilità di eseguire codice nel browser, da cui poi bisogna trovare un modo di attaccare la VMM (hypervisor). Poi bisogna uscire dalla VM e colpire il sistema operativo sottostante, che potrebbe anche essere un SO del tutto diverso da quello della VM. Nel mio caso, per esempio, uso Windows virtualizzato su Mac OS.