Chi si ricorda di Delphi?
Un linguaggio di programmazione per Windows potentissimo, aveva prestazioni incredibili, riusciva a gestire a scheggia immagini e files di grandi dimensioni, qualcosa di impossibile con i linguaggi Microsoft dell’epoca.
Il danese Anders Hejlsberg, già creatore di Borland Turbo Pascal, inventò Delphi, ma nel 1996 lasciò la Borland e andò in Microsoft.
Oggi è a capo del team di sviluppo C# (C sharp) contenuto nella suite dei linguaggi di programmazione Microsoft Visual Studio.
Oggi come allora se vuoi fare qualcosa di potente in ambiente nativo Windows, devi usare qualcosa uscito dalla mente di Hejlsberg.
Legame intimo con Windows
“Linguaggio nativo” significa nato e scritto per Windows e che fa uso dell’interfaccia grafica di Windows.
La prima versione di Visual Studio fu rilasciata nel 2002 e contemporaneamente fu rilasciato il Framework .Net che è il componente di sistema operativo che consente l’esecuzione di programmi creati con Visual Studio.
Da allora ne sono uscite altre sei versioni fino all’odierno Visual Studio 2013 e di pari passo il Framework 4.5 che consente il funzionamento dei programmi creati.
Posizionamento nel mercato
Anche se il tentativo di essere monopolista è sfumato, per Microsoft il posizionamento dei suoi linguaggi è sempre tra i primi 10 (qui la classifica dei linguaggi più diffusi al mondo).
Di conseguenza i programmi creati per Windows sono tra quelli più attaccati dagli hacker.
Aggiornamento costante
Quando andiamo ad aggiornare un PC o un server scarichiamo le versioni più aggiornate del sistema operativo, ma anche dei vari Framework .Net perché Microsoft rivede e corregge tutte le versioni dei Framework rilasciati negli anni.
Lavori in corso su Windows 2003
Queste videate sono gli aggiornamenti di un Windows 2003 Server in quest’ultimo mese: come si può vedere, Microsoft aggiorna di continuo il .Net Framework in tutte le versioni (1, 2, 3, 4, 4.5) perché sono stati riscontrati bachi di stabilità e di sicurezza e quindi vengono rilasciate le versioni esenti da quei bachi.
Se nel solo mese di ottobre 2014, Windows Server 2003 viene aggiornato in maniera così consistente sul Framework che fa funzionare anche programmi creati da terzi, cosa succederà quando Microsoft non aggiornerà più questi componenti?
Cosa accadrà col fine supporto di Windows 2003
A partire da luglio 2015, Windows Server 2003 non avrà più aggiornamenti da parte di Microsoft.
Siccome le vulnerabilità vengono rimediate settimanalmente da Microsoft, dopo poche settimane da quella data, milioni server saranno penetrabili.
Un pericolo pubblico
I web server Microsoft attivi al mondo (ad aprile 2014) sono oltre trecento milioni:
Quelli che al primo novembre 2014 fanno uso di Windows 2003 (IIS versione 6) sono il 30% di quel valore:
Ne risulta che i server direttamente esposti ad internet basati su Windows 2003 sono almeno 90 milioni (statistiche di Netcraft e W3Techs. A questi vanno aggiunti i server Exchange 2003 basati su Windows 2003.
I server Windows 2003 direttamente esposti ad internet (Web server ed Exchange Server) saranno attaccabili con facilità crescente dopo l’estate 2015. A meno che da oggi a luglio 2015 quei server non vengano sostituiti, milioni di server avranno “ospiti indesiderati” che potranno prelevare indisturbati informazioni, password, statistiche di utilizzo, ecc.
Il problema dentro casa
Comunemente si ritiene che un server non esposto direttamente ad internet come un Web server non sia esposto agli attacchi. Abbiamo però visto che un set consistente di codice che viene costantemente aggiornato da Microsoft riguarda il Framework .Net. Quindi il cuore del linguaggio di programmazione con cui migliaia di aziende hanno costruito i propri programmi.
La minaccia più subdola starà proprio in questi server “interni”, che cioè dentro l’azienda fungono da server applicativi, database server, intranet, sistemi documentali, giusto per fare alcuni esempi.
Esattamente come il browser diviene parte attiva nello scaricare i “cavalli di Troia” facendo in modo che l’ignaro utente crei una breccia nella sicurezza aziendale, questi server 2003 non più aggiornati fungeranno da calamita per virus e malware, specie dove le applicazioni hanno uno scambio continuo di dati con l’esterno.
Cosa fare, subito
Applicazioni, Web server, Mail server, qualsiasi motore informatico basato su un sistema operativo che nessuno si occupa di aggiornare costantemente è un pericolo per l’azienda che ne fa uso.
Urge aggiornare a Windows 2008 o 2012; qualora alcune applicazioni custom non risultino compatibili, utilizzare dei tools di isolamento applicativo o rifarle da zero utilizzando i moderni generatori di applicazioni C# che riducono drasticamente i costi di sviluppo.
Migrare su Linux? Certamente, qualora siano servizi compatibili e ci sia qualcuno in azienda che si occupi di mantenere il sistema costantemente aggiornato, altrimenti siamo daccapo.
Sicurezza informatica
BeyondTrust: tantissime novità sul Privilege Management nel 2024!
