Il cuore che sanguina.

Ho visto scrivere tante stronzate sul baco di OpenSSL, e onestamente le sole cose che si sarebbero dovute dire non si sono dette da nessuna parte. Innanzitutto: non perdete tempo a riscrivere la password, semmai eseguite un logout. Oddio, potete fare entrambe le cose, ma eseguire un logout e distruggere OGNI cookie di autenticazione e' piu' importante.

La ragione e' semplice: le password non sono quasi mai salvate in chiaro, e anche se venissero copiate in memoria non lo sarebbero in maniera decrittata. I siti di cui parlate eseguono una antenticazione usando digest e hash delle chiavi, hash che sono generati al momento , per sessione.

Peraltro, nei grandi social network, le machine che eseguono l'autenticazione sono diverse da quelle che vi porgono i contenuti.

Il vero pericolo di qualcosa che passa la vita a spazzolare la memoria (e sa solo dio quanta ne devono spazzolare , 64K alla volta, per un google o un facebook) sono quelli che si chiamano cookie di sessione. Quando voi tornate su facebook e il social network vi riconosce, oppure quando nel caso di autenticazione in due fasi "riconosce il browser",succede lo stesso.

Queste cose sono effettivamente salvate nella ram del frontend, ed un exploit del genere ovviamente vi espone. Qualcuno potrebbe copiare quel cookie ed usarlo per riprodurre la sessione.

La possibilita' che le chiavi siano rubate e' piccola: occorre spazzolarsi tutta la memoria, e sapere cosa , in quell'insalata, sia una chiave, che normalmente viene usata nel suo formato binario e non in armored. Distinguere una chiave crittografica da un insieme di dati casuali non e' banale. 

Quindi, e' MOLTO piu' urgente cancellare ogni traccia di sessione, ripulendo ogni cookie , facendo un logout e ripetendo daccapo l'autenticazione, piuttosto che "cambiare una password", che onestamente non sembra il pericolo maggiore, sia nel caso di autenticazione digest/kerberos/NTLM, che per via del fatto che esse non sono salvate mai in chiaro.

Sebbene sia teoricamente possibile ottenere chiavi e password (anche se dovrebbero essere scritti molto, molto , molto male come sistemi) , la cosa resa FACILE  da questo attacco e' l'attacco ALLA SESSIONE, ovvero ottenere un cookie di sessione. La ragione e' che possiamo spazzolare la memoria alla ricerca di "Cookie: " , "SESSIONID" ed  altre stringhe note tipiche del protocollo HTTP. Al contrario, password e username saranno criptati nella gran parte dei casi, e le chiavi saranno dei blocchetti binari che e' molto difficile distinguere da qualsiasi collezione casuale di bit.

La cosa molto piu' preoccupante e' invece "come si e' arrivati a questo punto", e vorrei dire a riguardo una cosa molto semplice: l' Open Source sta morendo.

Se per Open Source intendete grandi prodotti (Linux, Apache, SSL, SSH, Gnome, GTK, X11, Mozilla&Co, ed altro) , la diagnosi e' impietosa, e onestamente, la storia di OpenSSL e' solo un sintomo. 

Prima capiamo cosa si intende per "morte": non intendo che questa roba vada a sparire, ma che semlicemente diventi uno dei tanti prodotti corporate, perdendo cioe' lo spirito e semplicemente diventando una cosa che non ha nulla a che fare con la romantica idea, di "comunita' che lavora per spirito di collaborazione e mutuo altruismo".

quando dico "Morte di Linux" intendo dire che presto sara' Linux ad essere un flavour di Android, e non viceversa, insomma. Intendo che sara' Apache a diventare un effetto collaterale di DataPower e non viceversa.

Ci sono diverse cose che stanno concorrendo alla morte ideale di questi sistemi, ma specialmente ci sono atteggiamenti.

Il primo e' che dal mondo opensource tutti prendono a man bassa, ma pochissimi contribuiscono. Delle "migliaia" di contributors, ormai la maggior parte sono team aziendali che hanno interessi specifici, e pochissimi possono ancora essere detti "volontari".

La verita' e' che di gente che lotta per il software libero proponendolo nelle scuole, ordinando ai governi di adottarlo, facendo petizioni, il mondo e' pieno. Di gente che ha scritto cinque righe di codice , sempre meno, e sempre peggio.

Facebook fa 24 miliardi di dollari, e tutti i suoi server usano Openssl. I DUE programmatori che lo sviluppano attivamente  non riescono a fare fund raising abbastanza da farne un lavoro a tempo pieno. Gli altri del team sono li' occasionalmente.  Questo squilibrio non vi dice niente?

A me dice molte cose. Innanzitutto sui linguaggi di programmazione. Per scrivere un kernel occorre conoscere un linguaggio compilato che abbia una potente capacita' di accesso indifferenziato alla memoria. Se ne sono scritti anche in Ada, certo, ma il punto e' che se conoscete solo Java, Javascript, HTML, XML e Jquery,  ad un kernel non potrete lavorare. Tuttavia, oggi questi sono i linguaggi che si studiano, e il C, anche quando si studia, si studia come un noioso passaggio prima di fare cose "vere".

A questo ritmo di mancanza di programmatori in linguaggi che interagiscano con l' hardware a "basso livello", poiche' questi programmatori lavorano in settori sempre piu' di nicchia, prima o poi Torvalds Linus dovra' rassegnarsi: o il suo kernel lo fa scrivere in PHP (LOOOOL!), o diventera' un prodotto aziendale.

Lo stesso dicasi per il C++: le tragiche condizioni di Gnome, il rantolare continuo di Kde, le incertezze attorno a Qt, sono dovute ad un semplice mutamento di mercato, per il quale C++ e' un linguaggio specialistico, ridotto a pochi, e se volete prodotti "grandi", cioe' roba che possa diventare mainstream, dovete sperare che Oracle vi dia Java SDK , che Redhat continui a sponsorizzare open source, che IBM continui a contribuire , che HP continui a contribuire... in pratica, il mondo opensource e' tenuto in piedi da multinazionali, le uniche ad avere ancora budget per i programmatori che lavorano nei linguaggi giusti.

Ma che prodotti finanziano le multinazionali in questione? Quelli che fanno comodo a loro. Quando SGI doveva fare gli Altix con Linux, ha lavorato un sacco nel portare XFS al kernel. IBM per fare lo stesso ha lavorato molto su JFS. Oracle ha aggiunto BtrFs e ha consentito ZFS.  Togliete questi supporti, e rimanete con filesystems degli anni '90. 

La verita' e' che oggi, senza il contributo delle multinazionali, se dovessimo purgare una distribuzione qualsiasi dal contributo di qualche multinazionale,  di Linux rimarrebbe poco piu' di un Minix del 95.

Dove sono i volontari? Dove sono gli sviluppatori? Oh, ce ne sono tantissimi. Potete cercare queste keywords, e ne trovate moltissimi:

tutte queste tendenze vi fanno capire una cosa: che siccome "qualcun altro" e' alla base di tutto, e per fare l'albero ci vuole il seme, quando il seme fallisce, l'albero muore.

Ed e' quello che e' successo con OpenSSL: due persone, che non riescono a cavarci neanche i soldi per vivere, scrivevano il semino, su cui stavano dei bei quercioni grossi tipo Google, Facebook, Twitter.... i quali sono tanto ma tanto BBBBBUONI, e finanziano la foca monaca cingalese per impedirne l'estinzione. Ma se domani quei due di OpenSSL si rompono i coglioni, e dicono "Ehi, vado al mare! Sole! Fica! Sabbia! " , diventa un "problemuccio".

E qui andiamo al funding, perche' esso, col nome di crowdfunding, rappresenta l'invasione del piu' mostruoso Pile of Idiots della storia, detto anche "uomo comune", nel mondo delle decisioni dell' It.

Gia'.

Oh, su Indiegogo ci stanno i prodotti del futuro. Se fate un social network , che so io, PalShave, dove postate le fotografie dei vostri augusti coglioni rasati, con una App mobile e ovviamente tanto Apple, e tanto Social e tanto Big Data, verrete finanziati immediatamente. Centomila? Un miloione! Ma per le palle rasate , questo ed altro! Il cielo e' il solo limite di un bel paio di coglioni rasati!

Ed ecco qui il lettore-tipo  di giornali post-Wired che finanziera' senza indugio il vostro social network PalShave!

E non vogliamo parlare di DildoCam, la telecamera cui non basta essere lanciata in alto e scattare fotografie a 360 gradi , cosa utile ma non indispensabile , bensi' scattera' uan foto della vostra cervice mentre... proprio in quel momento li'! Non ci credete? Lo dice iun tipo come questo, che prontamente finanzia questo fondamentale progetto:

un tipo di persona che occupa sicuramente il posto adeguato nella catena alimentare, dentro l'ecosistema del Pile of Idiots. Ci sono quegli animaletti che mangiano il caffe' e poi lo cagano, sapete? E c'e' gente che si sente furba perche' beve un infuso di merda di topo sudamericano e la paga un sacco.  Ecco, quel tipo li'  fa la stessa cosa, ma con l'insalata e le mucche. Un genio, insomma.

E vi diro' di piu': se questi prodotti vanno online, i giornali preferiti  della Pile of Idiots vi faranno anche il bell'articolo di quella ragazza che si e' salvata dal tumore perche' DildoCam ha postato una foto della sua cervice, e un ginecologo che l'ha vista per caso l'ha avvisata. Ai miei tempi si usavano i 33CL di sperma e i coccodrilli albini nelle fogne e il benvenuto nel mondo dell' Aids scritto col rossetto sullo specchio. Ma vabe', anche la   Pile of Idiots ha diritto alle sue leggende metropolitane.

Ma nessuno vi raccontera' mai dello sviluppatore della libreria usata da seicento milioni di persone che per caso si accorge di un baco. No, quello non fa abbastanza post-Wired: non e' social, non e' smartcity, non e' big data, non e' quantum computing, non e' internet of things.

Adesso provate a far finanziare qualcosa che serve, che so io: 

quanto otterrete? Non abbastanza da viverci. Perche' non e' social. Non e' post-Wired. Non e' wireless, non e' mobile. Non e' smartcity, non e' quantum computing, non e' big data. 

MA specialmente, nessuno ha idea di che cazzo sia quella roba, tranne quando, se compare un baco, tutti scoprono che si trova OVUNQUE , in ogni applicazione, in ogni maledetto social network, in ogni big data, che tiene su le smart cities, che lo usano per fare ricerca nel quantum computing, che fa girare ogni fottuto tablet e cellulare.

quello che avete visto con Heartbleed e' solo un sintomo, un sintomo di una malattia per la quale esiste una pila di software, un albero, della cui ombra tutti godono, dei cui frutti molti vivono, i cui semi sono sconosciuti, bistrattati e mal finanziati.

E per fare l'albero, ci vuole il seme.

Altrimenti, rimanete senza il tavolo, e le formiche si arrampicano sui voistri short di gessato, per andare a mordervi le depilatissime palle. 

Di cui ci fareste vedere le foto su PalShave, se solo non vi avessero ciuffato l'account.

Per cui , la vera domanda che dovreste porvi e':

se la risposta all'ultima domanda e'"niente", avete capito il problema di HeartBleed, e avete capito di cosa e' sintomo. 

Incuria. L'incuria prepotente della Pile of Idiots , dei radicalbit molto chic modello copertina post-Wired, per cui se non e' abbastanza social e smartcity non si scrive una cazzo di riga sul giornale , e se lo sviluppatore del software non e' abbastanza ggiovane e non e' vestito come un idiota e/o un guru, allora non lo si intervista.

Nei prossimi anni, perderete prima OpenBSD, NetBSD e poi FreeBSD, e farete spallucce. Poi perderete qualsiasi client di posta elettronica, e farete spallucce: ci sono le interfacce Web. Poi perderete Gnome e Kde, e farete spallucce: c'e' sempre Android.  Poi perderete Xen, e farete spallucce: c'e' sempre VMWare. Poi perderete Linux - che Torvalds non e' immortale  e ha sempre meno volontari - e direte che tanto c'e' Android.

Finche' avrete solo prodotti proprietari, e farete spallucce: non ve li potete permettere. OOPS.