Black Pig - Maiali neri in libertà

Inutile negare che alcuni programmi di Microsoft, se usati assieme, facilitino la vita di tutti i giorni in ufficio, del resto sono pensati per quello. Ma spesso può capitare che i programmi siano troppo solerti e che non ci si renda conto che quello che viene copiato e, soprattutto, incollato non è solamente il testo formattato che vediamo, ma anche alcune informazioni note con il termine tecnico di metadati e informazioni circa il nostro PC

Un cliente mi ha mandato una mail composta con Outlook Express in cui aveva fatto un copia e incolla di un testo creato con Word. Il sorgente HTML di una mail composta in questo modo può rivelare alcune informazioni che vogliamo restino private o che potrebbero essere utilizzate come elementi di social engineering per portare degli attacchi alla nostra organizzazione.

Di seguito mostro alcuni elementi che potrebbero essere contenuti in una mail inviata con il metodo appena descritto; ovviamente i dati veri sono stati omessi o modificati per proteggere l’innocente. Mi limito qui ad analizzare la parte HTML del messaggio, va da sé che non è l’unica fonte di informazioni che dovrebbero restare riservate, in quanto anche gli header del messaggio  potrebbero contenere informazioni preziose per i malintenzionati.

Subito dopo il tag TITLE c’è un tag BASE con questo contenuto: file:///C:/Documents and Settings/user/Desktop/pippo/Lettera pluto.htm che rivela il percorso completo del documento e dice già molte cose sul PC di chi lo manda. La stessa informazione è ripetuta varie volte all’interno del documento, specialmente se sono presenti delle immagini.

Di seguito due tag META indicano esattamente la versione di Word e del traduttore HTML utilizzati, informazione utili per attacchi mirati contro vulnerabilità specifiche di alcune versioni del software.

La parte più succosa è però il punto in cui sono inseriti i metadati del documento Word, quei dati che molte volte tradiscono la vera origine del documento o il tempo impiegato per redigerlo, ecco il contenuto dei metatadati con valori inventati:

 <o:DocumentProperties>

  <o:Author>Pippo</o:Author>

  <o:LastAuthor>Pluto</o:LastAuthor>

  <o:Revision>9</o:Revision>

  <o:TotalTime>429</o:TotalTime>

  <o:LastPrinted>2005-02-06T15:20:00Z</o:LastPrinted>

  <o:Created>2009-09-01T14:23:00Z</o:Created>

  <o:LastSaved>2009-09-01T16:00:00Z</o:LastSaved>

  <o:Pages>47</o:Pages>

  <o:Words>807</o:Words>

  <o:Characters>4096</o:Characters>

  <o:Company>A.C.M.E. S.p.A.</o:Company>

  <o:Lines>44</o:Lines>

  <o:Paragraphs>42</o:Paragraphs>

  <o:CharactersWithSpaces>6093</o:CharactersWithSpaces>

  <o:Version>9.6936</o:Version>

 </o:DocumentProperties>

Questo post non ha certo la pretesa di essere esaustivo in materia: non in tutte le mail sono presenti questi dati e magari potrebbero esserci altri dati in caso di documenti formattati diversamente o creati con programmi differenti. Un audit periodico sui dati che si spediscono involontariamente a terzi non farebbe male.

Ieri in un articolo è stato annunciato che nelle versioni professionali del futuro Windows 7 sarà possibile installare senza costi aggiuntivi un pacchetto costituito essenzialmente da una versione ad hoc di Virtual PC con una macchina virtuale Windows XP legittimamente licenziata.

Questa sarebbe la soluzione per mantenere la compatibilità del software business e per invogliare gli aggiornamenti studiata dalla più grande ditta di software del pianeta? Scusate, signori di Redmond, ma a chiudere un XP in una virtual machine che gira su un sistema più stabile (vmWare ESX, Linux, Mac OS) è una soluzione a cui sono arrivati quasi tutti da anni!

Microsoft per ora non dice quale sarà il livello di interazione tra la macchina ospitante (Windows 7) e quella ospitata (Windows XP). Se le barriere saranno basse e si tratterà solamente di una shell di supporto, ricadiamo nel WOW (Windows Over Windows) di Windows NT, però ci potrebbero essere problemi di compatibilità degli applicativi che potrebbero bloccare l’adozione di Windows 7. Se le barriere saranno molto elevate, avremo due sistemi operativi da manutenere e da mantenere in sicurezza (patch, antivirus, manutenzioni) con oneri doppi per le aziende.

Mantenere la compatibilità senza precludere i percorsi di aggiornamento e di miglioramento del software non è un’operazione impossibile, Linux e molti progetti open source sono lì a dimostrarlo. Forse è giunta l’ora che Microsoft ripensi un po’ alle proprie strategie e inizi a pubblicare software di un certo livello anziché fare del gran marketing perché le storie come quelle della Computer Associates insegnano che non si vive di solo marketing.

Dell ha appena annunciato che il sovrapprezzo per il downgrade da Vista a XP di un PC sale a 150 dollari, il triplo del costo precedente.

Ci troviamo in questo periodo davanti ad un caso che forse ha come unico precedente l’infausto MS-DOS 4.0: Microsoft rilascia un sistema operativo nuovo, apparentemente migliore, ma il mercato non lo vuole e preferisce stare con il prodotto precedente. La differenza fondamentale tra l’esempio di MS-DOS 4.0 è il volume del mercato e la rapidità con cui si propagano le informazioni.

Bisogna fare un distinguo tra il mercato casalingo e quello business. Il distinguo in questo caso è il volume di soldi che muovono i due mercati. Il mercato casalingo cerca prodotti al ribasso e, una volta acquistato un computer, lo tiene per molto tempo (tralasciamo i fanatici dell’upgrade, che sono una minima parte): non è strano imbattersi in persone che in casa hanno un PC con Windows 2000 o Windows 98. Il mercato aziendale, di contro, muove più soldi ed è quello che spesso detta le regole.

Da un punto di vista di amministrazione dei sistemi, il sistema migliore è quello di cui si conoscono tutti i limiti, le richieste di hardware e gli eventuali bachi, mentre il peggiore è quello i cui comportamenti sono imprevedibili e le richieste hardware sono cospicue. Windows XP si colloca nella prima fascia di prodotto: utenti e amministratori di sistema lo conoscono bene, sanno quello che possono chiedere e quello che devono evitare.

Vista è stato ricevuto con freddezza (è un efumeismo) perché i vantaggi dell’adozione di un nuovo sistema operativo non compensano i problemi legati alle novità. Che senso ha rinominare e cambiare il posto dei menu solo per il gusto di farlo? Che senso ha aprire la configurazione della rete e vedersi comparire una finestra che ci avvisa che qualcuno sta aprendo la configurazione della rete?

Gli utenti sono passati da Windows 2000 a Windows XP perché in XP la gestione del Plug’n'Play era migliorata notavolmente, caratteristica non trascurabile, visto che tutte le periferiche sono Plug’n'Play. Gli utenti hanno percepito un’effettiva miglioria e hanno perdonato la cosiddetta “interfaccia Disney” perché tutte le cose erano allo stesso posto rispetto a Windows 2000, avevano lo stesso nome e si comportavano nello stesso modo, se non meglio.

La vicenda XP/Vista è un monito per chi ritiene che le società dettano le regole e il mercato si debba adeguare: già nel secolo scorso la presunzione di Henry Ford di vendere solamente automobili nere è stata castigata. Tutte le ditte dicono di ascoltare gli utenti, hanno moduli di feedback, svolgono indagini di gradimento e spendono un sacco di soldi per ascoltare i desiderata degli acquirenti.

Sarebbe l’ora che, una volta ascoltate le entità che danno loro i soldi, le società dell’IT comprendessero anche quello che i clienti stanno dicendo.

Se dessimo retta alle pubblicità, alla propaganda aziendale e alle recensioni delle riviste (una terna che ha più punti in comune di quanti non si ammettano), ogni tre/sei mesi l’informatica compie passi da gigante scoprendo nuove tecnologie che nemmeno gli ultimi dieci minuti di un telefilm di Star Trek riuscirebbero ad eguagliare.

Purtroppo io mi trovo quasi ogni giorno da un numero incredibile di anni ad aver a che fare con server morti o in avanzato stato di compromissione. Ho cominciato il mio viaggio in questa terra di server problematici con Novell NetWare 2.x proseguendo con NetWare 3.x, NT 3.x, NT 4.x, Linux, Windows 200x. Diciamo che ho visto tanti cadaveri quanti ne ha visti un coroner, solo che i miei cadaveri sono al massimo polverosi, non sanguinolenti.

Vorrei esaminare qui due casi reali, ma reali davvero: non simulazioni con VMware, bensì due server che, per cause diverse, hanno avuto dei problemi e bisogna cercare di rimettere insieme i cocci.

Lo sappiamo tutti che ci vorrebbe un buon backup, un UPS con un reattore nuclare integrato, una computer room adatta e tante altre cose che però sono delle mere idee platoniche.

Prendo in esame, quindi, due casi reali simili: un server in cui le directory dei file binari di sistema sono andate irreparabilmente a pallino: in Linux CentOS parliamo di /bin e /lib, mentre in Windows 2003 SBS parliamo di %SystemRoot%\SYSTEM32

In entrambi i casi, un CD Live di Knoppix (o similare) e uno storage esterno USB ci permettono di salvare i dati. Il tempo di salvataggio è funzione della quantità di dati ed è, quindi, indipendente dal sistema installato. Nella nostra ipotesi immaginiamo che l’utente non abbia backup, ma che tutti i dati sul disco siano integri e leggibili.

Installazione del sistema operativo. CentOS 5.2 si installa in 20/30 minuti, più altri 20 minuti circa per gli aggiornamenti. Windows 2003 SBS Standard richiede almeno 60 minuti per l’installazione, a cui vanno aggiunti altri 60 minuti per l’applicazione del service pack, ulteriori 30 per gli altri aggiornamenti e 30 per il service pack di Exchange 2003. CentOS un’ora, Windows SBS 3 ore.

Ripristino della condizione precedente. Questo è il vero punto dolente di Windows. Per come sono strutturati i programmi di Linux, è sufficiente rimettere i file di configurazione (inclusi gli elenchi degli utenti, gruppi e password di accesso) e i file di dati al loro posto utilizzando il normale comando di copia dei file, avviare i servizi e tutto torna come prima. Tra operazioni vere e proprie e verifiche, ci balla un’altra ora. In poche parole, un Linux con SQL server, mail server, webmail, POP3, eventuale file sharing di rete con Samba, greylisting, antispam e orpelli vari torna online in due ore circa, facciamo tre ore: il tempo che Windows SBS impiega ad installarsi e ad aggiornarsi.

Ma il peggio deve ancora venire. Sotto Windows se non si dispone di un backup fatto con NTBACKUP (ah! in Windows 2008 non è più compreso nel sistema, grazie Redmond!) o un programma similare che registra lo stato del sistema, non è possibile ripristinare gli utenti. Se li si ricrea con il medesimo nome avranno comunque un ID differente da prima, quindi tutti i riferimenti di sicurezza vanno persi. Per questo stesso motivo non è possibile rimpiazzare brutalmente i file di dati di Exchange facendo una sorta di restore a freddo. Auguri.

Le noie non finiscono qui perché sui client bisogna ricreare il profilo utente ed eventualmente migrare quello precedente (c’è un trucco per farlo e fino a XP funziona senza problemi). Se si vogliono fare le cose fatte bene, balla una mezz’oretta a client circa, tra reboot copie e altro.

La bottom line. Windows server non è un sistema complesso, è un sistema inutilmente complicato, fatto di strati di compatibilità oramai inutili, di tecnologie abbandonate partorite del marketing. Fa un uso eccessivamente complicato dell’interfaccia grafica quando un sistema di interfaccia più spartano aiuterebbe l’amministratore di sistema. Se Windows server fosse veramente quel prodotto evoluto che ci sbandierano i signori del marketing, le operazioni di manutenzione sarebbero facili e immediate; sarebbe possibile ripristinare velocemente un sistema in panne; si potrebbe amministrare il sistema senza cercare ogni volta su Google la soluzione perché l’opzione che cerchiamo o è al sesto livello di sottofinestra o è una voce di registry che per qualche oscuro motivo non ha un elemento di interfaccia che la governa; non ci sarebbero help in linea mal tradotti, inutili e tautologici che servono solamente a far perdere tempo.

Leggo su Slashdot che Microsoft ha finalmente pubblicato le specifiche dei formati di alcuni file di dati dei suoi applicativi Office pre-2007, Access escluso.

È naturalmente un bel passo in avanti e concordo con gli aspetti positivi che ha indicato Paolo nel suo blog.

Però quanti anni sono trascorsi da quando Microsoft Office ha scalzato WordStar, WordPerfect, Lotus, Harvard Graphics e compagnia ed è diventato uno standard de facto per la comunicazione aziendale? Dieci? Quindici? Più o meno siamo lì.

Ecco, sono quindici anni che quando qualcuno vede il proprio documento Office danneggiato da varie sventure (tra le quali floppy rovinati o trasmissioni incomplete) perde quasi tutto il contenuto del documento. Fino a ieri non c’era modo di sapere con certezza cosa ci fosse dentro quei dannati file, bisognava dare per perso tutto quanto e rassegnarsi.

L’avvento di OpenOffice ha migliorato sensibilmente le cose: non è affatto strano che un documento di Microsoft Office impossibile da aprire con Word o Excel venga tranquillamente aperto da OpenOffice e interpretato come ci si aspetta. Consiglio a tutti coloro che usano Microsoft Office nella propria organizzazione di tenere a portata di mano una copia aggiornata di OpenOffice proprio per aprire eventuali documenti danneggiati.

Grazie, quindi, a Microsoft per aver pubblicato nel 2008 le specifiche che ci sarebbero servite quindici anni fa: quindici anni di imprecazioni dirette a Redmond alla fine sono state ascoltate, forse troppo tardi.