Strategie di difesa
TH: A meno che non si stia usando un iPhone, con cui le password non sono coperte da asterisichi. Scusa l'interruzione …
Joanna: Sfruttare la tastiera o il controller USB, invece, sarebbe una strategia valida, ma funzionerebbe solo in scenari molto semplici, come quelli rappresentati da siti bancari che usano pratiche di sicurezza scadenti. Un attacco migliore, dal punto di vista del malware, sarebbe colpire semplicemente il browser; il difetto principale di questo approccio, invece, starebbe nel fatto che un antivirus con privilegi kernel potrebbe individuarlo, almeno in teoria, perché in realtà fanno tutti pena.
Un altro problema di questo approccio potrebbe essere un utente un po' più attento della media, che usa browser diversi per le sue attività quotidiane, e magari li tiene dentro a una macchina virtuale, e uno dedicato per l'online banking. In questi casi non sarebbe facile colpire il browser che usa per accedere alla banca, e ci vorrebbe un po' di lavoro aggiuntivo.
La ragione per la quale ci concentriamo su attacchi di basso livello basati sull'hardware è che siamo convinti che un sistema sicuro deve essere costruito su fondamenta solide, altrimenti le pratiche di sicurezza non avrebbero senso. Questo è specialmente vero se si crede, come me, all'approccio "Sicurezza tramite l'isolamento".
(Potete leggere un post specifico di Joanna qui: http://theinvisiblethings.blogspot.com/2008/09/three-approaches-to-computer-security.html)
TH: Ma perché concentrarsi su un solo approccio. Un sviluppatore non dovrebbe lavorare sul principio di "Sicuro per progettazione ", e poi declinarlo in quello di "Sicurezza per isolamento".
Joanna: Certo, ma dovremmo progettare i nostri sistemi a partire dall'idea che ogni applicazione può avere dei bug, e il SO dovrebbe essere in grado di proteggere le altre applicazioni da quelle malfunzionanti o malevole.
TH: Puoi darci qualche consiglio pratico? La maggior parte delle tue ricerche riguarda aspetti estremi della sicurezza, e attacchi molto sofisticati, e la maggior parte del malware in circolazione nemmeno si avvicina a certi livelli. Cosa consigli ai nostri lettori per rendere più sicuri i propri sistemi.
Joanna: Si tratta di una domanda molto generica, ed è difficile dare un'unica risposta che soddisfi tutti i bisogni.
