Lo studio di un ricercatore italiano alla conferenza «Black hat» di Barcellona
I siti Web negli ultimi anni si sono fatti sempre più interattivi, tramutandosi forma, da semplici pagine statiche, in delle applicazioni complesse e dinamiche. Questo ha portato dei grandi vantaggi agli utenti, in termini di piacevolezza e completezza dell’esperienza di navigazione, ma ha anche reso i siti stessi molto più vulnerabili sotto il profilo della sicurezza.
Alcune delle principali falle di sicurezza sono ben note e studiate, altre non hanno finora ricevuto la stessa attenzione. Un giovane studioso italiano che lavora in Francia, all’istituto di ricerca Eurecom, Marco Balduzzi, ha presentato settimana scorsa alla conferenza «Black hat» di Barcellona (uno degli eventi più prestigiosi per chi si occupa di sicurezza informatica), assieme a tre colleghi un rapporto che analizza appunto una delle vulnerabilità meno considerate, la «Http Parameter Pollution (Hpp)» che, come Balduzzi ha dimostrato analizzando qualcosa come 5.000 domini Internet grazie a un sistema di scanning automatizzato creato ad hoc, è presente nel 30 % dei siti.
In altre parole, quasi un sito su tre, tramite dei link creati ad hoc, che vanno a rimpiazzare una delle variabili gestita dalle pagine, può essere indotto a comportarsi in maniera anomala. Le conseguenze possono andare da semplici fastidi, come l’invio di un post sulla propria pagina Facebook cliccando su un link che in teoria doveva servire ad altro, alla modifica fraudolenta della scelta di un utente in un sondaggio online, alla completa compromissione delle funzionalità di un sito di e-commerce, cambiando il prezzo di una merce in vendita. «Se controlli i parametri – ha spiegato Balduzzi a Forbes – puoi fare qualsiasi cosa».
Dallo scanning automatizzato messo a punto dai quattro ricercatori, è risultato che anche domini appartenenti a grandi entità del Web come Google, Facebook, Microsoft e Symantec potrebbero soccombere a un attacco di «parameter pollution», il che, a giudizio degli studiosi conferma come il problema, malgrado sia stato scoperto e divulgato un paio di anni fa, sia stato finora sottostimato.
«Per ora non si conoscono casi in cui la vulnerabilità Hpp sia stata sfruttata – afferma il giovane scienziato italiano – ma è solo questione di tempo. Gli sviluppatori Web devono diventare consapevoli della sua esistenza e scrivere il codice in maniera sicura. Altrimenti, prima o poi, qualcuno ne approfitterà».
Balduzzi, classe 1982, è originario di Seriate e si è laureato all’Università di Bergamo. Dopo esperienze in Norvegia in Germania, e il lavoro come consulente di sicurezza informatica per aziende italiane e straniere, è approdato nel 2008 all’Eurecom, dove sta svolgendo il dottorato di ricerca.
Fonte: La Stampa
