Adobe Flash Player

[AleMcGir]

Come e perché Flash mette a rischio la sicurezza dei computer

I dati trafugati ad Hacking Team hanno rivelato tre gravi falle di Adobe Flash Player non ancora note agli esperti di sicurezza. Una è già stata risolta, ma milioni di computer sono potenzialmente vulnerabili

I 400 GB di dati rubati ad Hacking Team e resi pubblici la scorsa settimana continuano fornire nuove rivelazioni. Da una parte ci sono le migliaia e migliaia di email che svelano dettagli compromettenti sulle attività e sulla rete di rapporti dell’azienda milanese, dall’altra il codice sorgente degli exploit che Hacking Team utilizzava per installare il proprio software di spionaggio Remote Control System (RCS), noto anche come Galileo, sui dispositivi bersaglio.

Codice che ora, divenuto di pubblico dominio, non è più un rischio soltanto per i computer dei nemici dei clienti della società. Spammer e produttori di malware hanno avuto accesso ad un vero e proprio tesoro: falle software non ancora chiuse e di tipo “0-day”, per le quali cioè non esiste ancora una soluzione ufficiale al momento della pubblicazione della vulnerabilità.

Flash Player nel mirino

Tre delle falle scoperte finora riguardano Adobe Flash Player, il diffuso plugin per la riproduzione di contenuti multimediali e video online. Per una, la più compromettente, Adobe ha già reso disponibile un aggiornamento critico lo scorso mercoledì 8 luglio. Le altre due, al momento, rimangono aperte.

Secondo quanto si apprende sempre dai documenti trafugati ad Hacking Team sarebbe possibile sfruttare le falle di Flash per avviare applicativi sul computer bersaglio senza che l’utente si accorga di nulla e soprattutto per installare malware e altri software di sorveglianza. Basta una semplice visita a una pagina Web in cui sia stato integrato un file multimediale preparato ad hoc per sfruttare le vulnerabilità. Non a caso il co-fondatore e CEO di Hacking Team, Davide Vincenzetti, in una email privata definisce una delle vulnerabilità di Flash come “una delle più belle che si siano viste negli ultimi 4 anni”.

Nessuna piattaforma è al sicuro, perché le falle sono presenti sulle versioni di Adobe Flash Player per Windows, Linux e OS X. Gli exploit funzionano su Chrome, Internet Explorer, Safari, Firefox; con Windows è possibile che un eventuale attacco, se condotto sfruttando una terza ulteriore falla che riguarda il Kernel del sistema di Microsoft, possa andare a buon fine superando le misure di sicurezza di Chrome, che grazie ad un sistema di “sandboxing” dovrebbe essere in grado di isolare i rischi alla sola finestra del browser aperta. Per la falla del kernel di Windows, Microsoft ha già promesso una patch.

Quanto si scopre dai documenti privati di Hacking Team conferma la pessima reputazione di Flash Player, ritenuto un vero colabrodo dagli esperti di sicurezza: la patch pubblicata da Adobe la scorsa settimana per risolvere una delle due vulnerabilità era il settimo aggiornamento “d’emergenza” in sette mesi.

Steve Jobs contro Flash

Se queste vulnerabilità non mettono a rischio praticamente nessun dispositivo portatile, il motivo si deve alla scelta da parte di Adobe di abbandonare lo sviluppo della versione mobile di Flash Player già a partire del 2011. Una decisione sofferta per l’azienda, che finì per capitolare a causa del successo degli standard HTML5 e H.264 (per l’encoding di video sul Web), dopo una lunga battaglia contro i principali detrattori della - allora diffusissima - tecnologia proprietaria per la riproduzione dei contenuti multimediali online.

Primo fra tutti Steve Jobs, che nel suo memo “Pensieri su Flash”, pubblicato nell’aprile del 2010, aveva indicato la carenza di sicurezza come uno dei motivi per cui Apple rifiutava di aprire le porte di dei propri dispositivi mobili a Flash Player.

“Symantec ha mostrato di recente come Flash abbia uno dei peggiori risultati del 2009 in termini di sicurezza,” scriveva l’allora CEO di Apple. “Sappiamo anche in prima persona che Flash è il primo motivo per cui i Mac vanno in crash. [...] Non vogliamo ridurre la sicurezza e l’affidabilità dei nostri iPhone, iPod e iPad aggiungendo Flash.”

Una posizione che fu osteggiata ferocemente e additata come anticoncorrenziale, soprattutto perché, fra i motivi del niet di Apple, vi era l’intenzione di impedire che su iPhone, iPod e iPad potessero arrivare, senza passare per il vaglio dell’App Store, applicazioni sviluppate per una piattaforma di terze parti.

A distanza di anni e dopo la resa di Adobe anche i più feroci critici hanno deposto le armi e rivisto le proprie opinioni. E come dimostrato da queste nuove falle, la posizione sulla scarsa sicurezza di Flash Player, già valida al tempo, è attuale ancora oggi.

Rischi reali: come proteggersi

Ci sono rischi per l’utente comune dopo la rivelazione delle falle di Hacking Team? Sì, e di un certo rilievo. La stessa Adobe ha indicato queste vulnerabilità come “critiche”, poiché un software malevolo può sfruttarle per eseguire codice arbitrario sul computer della vittima.

Al momento il miglior modo per proteggersi consiste nel disattivare Flash Player su tutti browser in uso sul computer ed evitare così a priori la riproduzione di contenuti a rischio.

Le modalità possono variare da browser a browser (se non sapete come fare, cercate nei documenti di supporto dei siti dei produttori), ma il metodo più veloce, sia su PC (Windows e Linux) che su Mac consiste nella disinstallazione vera e propria del plugin.

Per procedere all’aggiornamento di Flash Player è buona norma scaricare la versione ufficiale più aggiornata solo ed esclusivamente dal sito di Adobe. È bene evitare anche gli inviti al download automatico che alcuni siti possono proporre, perché potrebbero non essere del tutto sicuri. Le versioni più aggiornate del plugin, quelle che risolvono una delle falle più gravi, sono mentre scriviamo la 18.0.0.203 (per Mac e PC) e la 11.2.202.481 (per Linux).

La rimozione di Flash non dovrebbe comportare particolari limitazioni alle abitudini di navigazione dell’utente medio del 2015. La maggior parte dei contenuti multimediali, e in particolare i video, sono disponibili in formati alternativi. E se utilizzate un computer portatile, specialmente un Mac, noterete anche miglioramenti nella durata della batteria e nelle prestazioni generali del vostro browser.

Come e perché Flash mette a rischio la sicurezza dei computer - La Stampa

[nubironaSW]

ed infatti, noi utenti di Mozilla Firefox ci siamo ritrovati con Adobe flash bloccato a priori...

[jeby]

Flash deve morire. E quando morirà sarà sempre troppo tardi. È un crapware inutile e dannoso.

[Kippur]

Flash deve morire. E quando morirà sarà sempre troppo tardi. È un crapware inutile e dannoso.

[LucioFire]

ed infatti, noi utenti di Mozilla Firefox ci siamo ritrovati con Adobe flash bloccato a priori...

oh caxxo...ecco perchè nel vedere giorni fa dei trailer mi chiedeva l'autorizzazione...non me li faceva partire sennò...

Azz...io li ho visti lo stesso Ma l'antivirus e antimalware non ha rilevato nulla.

Che soluzioni ci sono con firefox?non devo far partire i video finchè non sistemano?

[jeby]

In effetti traspare tutta la mia avversione verso la DistintaConcorrenza...

[bik]

Voglio vedere che cosa faranno con gli aggiornamenti, visto che le ultime versioni non sono compatibili con XP....

[loric]

Voglio vedere che cosa faranno con gli aggiornamenti, visto che le ultime versioni non sono compatibili con XP....

Usare XP oggi non è proprio il massimo...

[bik]

Usare XP oggi non è proprio il massimo...

Certo, ma, visto che oramai il 90% di quello che faccio sul PC potrei farlo con un tablet, ho lasciato i PC aggiornati ai ragazzi ed uso un bel "Athlon XP 1900+" con 1Gb di RAM e grafica condivisa , fare girare decentemente un altro sistema win su questo "dinosauro" è utopia.

Comunque finora il S.O. è aggiornato (impostandolo il sistema in POS mode), e tutti i programmi che uso correntemente si aggiornano, tranne Flash, che mi propone l'aggiornamento ma non riesce ad installarlo.

[jeby]

tra l'altro non capisco come Flash o Silverlight siano ancora in grado di esistere dato che sul mercato mobile sono praticamente banditi. Devono morire entrambi. Se possibile Silverlight è pure peggio di Flash.