Caccia alle streghe

Con una spericolata inversione ad “U”, che contraddice molti dei pezzi scritti su questo blog, negli ultimi mesi mi sono rimesso ad usare il mio vecchio Flash CS6 come strumento per realizzare delle app per Android create in ambiente AIR. Per intenderci, non ho rinunciato a studiare altre tecnologie, ma la mia confidenza con ActionScript fornisce almeno tre vantaggi per ora irrinunciabili: conoscenza approfondita delle tecniche, un archivio di soluzioni già pronte da riutilizzare e una buona velocità di esecuzione.
Per cui ben vengano Visual Studio e affini, ma per adesso i miei giochi 2d è molto più conveniente svilupparli in AIR. Contestualmente sto continuando a tenere d’occhio la versione CC del tool in attesa di validi motivi per sottoscrivere un abbonamento. Le nuove funzioni ancora non mi convincono, ma ci stiamo avvicinando a quelle condizioni minime per passare all’odiato cloud.
Detto questo, poiché Adobe AIR non serve a fare giochini che girano sui browser, ma è un ambiente di sviluppo che consente la creazione di programmi destinati ai dispositivi mobili (nel caso di Android si genera un comune file APK), normalmente, di quello che succede nel mondo dei plugin me ne frega una mazza. Ormai sono per me due mondi distinti e separati. Per intenderci: quando sviluppo per il web non uso più il tool Flash e quando uso il tool Flash non creo file per il web, ma app tramite Adobe AIR per smartphone. Sembra uno scioglilingua, tuttavia ha un senso.
Quindi ogni tanto mi capita di leggere distrattamente il solito articolo trionfalistico che ricorda – ancora – la sconfitta dei plugin. Tuttavia ieri leggo questo pezzo sulle pagine di repubblica.it mentre bevo il caffè e quasi finisco per sputarlo dal naso.
Di cosa parliamo? Una controversa azienda italiana (e quando mai) chiamata Hacking Team, specializzata nel creare spyware per i migliori offerenti, è stata violata. Degli hacker che sono evidentemente più bravi di loro nel giocare sporco, gli hanno fregato svariati giga di informazioni riservate. Tra i vari segreti, sono stati rivelate tre vulnerabilità presenti nel plugin Flash. A quanto pare i furbacchioni di Hacking Team usavano queste vulnerabilità per creare i loro spyware.
Oggi, tutta la comunità di hacker conosce queste vulnerabilità. Una delle tre è stata sistemata pochi giorni fa da Adobe, e in base alla promesse fatte dall’azienda, le altre lo saranno nei prossimi giorni. Edit: Come annunciato in questo articolo Adobe ha già risolto tutti i bug.
Questo incidente ha però scatenato un putiferio sul player. Tra le vari dichiarazioni al fulmicotone spiccano i twit di Alex Stamos, responsabile della sicurezza di facebook, che ha auspicato il ritiro volontario dei plugin da parte di Adobe, e a seguire, la dichiarazione dell’esperto di informatica Luca Acomazzi: cito dall’articolo di repubblica “Flash è stato scritto male e non ci conforta sapere che Adobe corregge sempre le vulnerabilità che escono. Perché altre ce ne sono e ne usciranno, senza fine. Flash andrebbe rifatto dalle fondamenta”.
Nel caso del responsabile della sicurezza di Facebook, considerando con quale sciatteria difendono gli account dei loro utenti, o del modo in cui gestiscono i dati, neanche voglio commentare. Al massimo mi faccio una risata amara mentre asciugo il pavimento sporco di caffè. Per quando riguarda invece la dichiarazione  del collega Acomazzi, ho come un déjà vu. Vediamo… dove l’ho già sentita questa cosa? Mmmmm….

Un programma le cui vulnerabilità generano costanti correzioni in un perenne inseguimento tra hacker e sviluppatori di patch. Non saprei…

 Mi sembra di… no, non mi viene in mente. Eppure giurerei… mah!
Battute a parte, tornando alla questione sicurezza, i metodi per bucare un sistema sono innumerevoli. Il flashplayer è solo uno delle tante strade che un hacker ha a disposizione. Non sarà eliminando i flash player da tutti i dispositivi che si risolve il problema. Semmai, la soluzione consiste nel rafforzare gli antivirus e perfezionare le sandbox usate dai browser. Del resto, se un sistema operativo è vulnerabile, cambio sistema operativo? Magari optando per uno meno famoso e quindi meno attaccato dagli hacker? E poi? Se anche il nuovo sistema operativo entra nel mirino degli hacker cosa faccio? Butto il computer?
Insomma, speriamo che questa isteria di massa non coinvolga Adobe Air. Non dovrebbe, visto che come ho già scritto, si tratta di ambiti diversi. Le app fatte in AIR, non solo non hanno nulla a che vedere con i comuni filmati Flash, ma sono molto sicure. E infatti sfido chiunque a trovare una sola polemica sulla sicurezza dei giochi AIR per Android o iPhone.
Ma siccome i vertici attuali dell’azienda non sembrano della cime, un minimo di preoccupazione ci sta. Non vorrei che – presi dal panico – rottamassero oltre al plugin anche il tool di sviluppo con il quale sto lavorando solo perché contiene la parola Flash nel nome.
Detto questo, scommetto che il fattaccio avvenuto presso la sede di Hacking Team, si è concretizzato tramite un basista. Fossi al posto loro, spierei tutti i dipendenti alla vecchia maniera: con cimici, pedinamenti e verifiche sui conti bancari.