Open Source e sicurezza: un altro punto di vista
Giusto poche settimane fa, ho aggiornato i testi del sito RWX con, fra l’altro, l’aggiunta di una pagina dedicata a considerazioni sul software Open Source ed alle comunità che vi ruotano intorno.
Nella pagina, parlo di argomenti inerenti la sicurezza e un diverso modello di lavoro, come motivazioni che mi hanno spinto verso questo ambiente. Di sicuro, a livello concettuale e personale, è la seconda che mi interessa di più, ma è indubbio che a livello professionale anche la sicurezza ha un peso importante, anzi determinante.
Per questo, ho letto con interesse un articolo che si annuncia provocatorio fin dal titolo, apparso in questi giorni su onLamp.com: Open Source Security: Still a Myth, di John Viega.
Per chi non se lo ricordasse, LAMP è l’acronimo che identifica la “squadra” di software Open Source più popolare ed utilizzata in ambito server web: Linux, Apache, MySQL, PHP; ovviamente pubblicare un articolo del genere sul sito del network O’Reilly (benemerito editore che molto ha dato - e preso - al mondo Open Source) non può non essere considerato un atto provocatorio. Ma vediamo le tesi dell’autore, che non mi sento qui di confutare, ma solo di riportare come un arricchimento del dibattito.
Due sono i punti fondamentali su cui si sofferma Viega:
- Il “mito” secondo cui il processo di creazione e controllo di software Open Source presenti benefici riguardanti la sicurezza, per il semplice motivo che il codice viene revisionato da una vasta comunitÃ
- Il fatto che in realtà , allo stato delle cose, l’unico sistema di garantire la sicurezza di software complesso sia spendere grandi quantità di tempo e quindi di denaro
Il primo punto è affrontato citando casi noti di falle di sicurezza perdurate per molti anni e sottolineando che i molti occhi che controllano il codice, lo fanno quasi sempre in modo parziale e superficiale. Sostanzialmente, il problema non sembra essere quello quantitativo di un numero superiore di revisioni, ma di ottenere revisioni di qualità e soprattutto in un sistema in cui la sicurezza sia entrata organicamente nelle procedure e nella cultura degli individui.
Una parte dell’articolo è destinata a descrivere come molti sviluppatori di software Open Source quasi oggettivizzino il “mito” della sicurezza, talmente convinti al punto di disinteressarsi del tema. Viega porta ad ulteriore esempio il fatto che moltissimo software che sfrutta SSL sia scritto malissimo ed esponga connessioni che dovrebbero essere sicure per definizioni a potenziali falle.
Dopo una parte in cui viene lodato il recente coinvolgimento di Microsoft nel campo della sicurezza (un impegno che, secondo l’autore, potrà dare risultati sensibili solo nel lungo periodo), si passa dunque a disquisire sulla necessità di fondi cospicui per gestire correttamente il problema della sicurezza. Il problema fondamentale è quello degli strumenti di auditing: quelli di pubblico dominio hanno un’efficacia limitata, mentre quelli commerciali sono per ora disponibili e abbordabili come prezzo solo da grosse agenzie di consulenza. Viega è convinto che presto questi strumenti avanzati saranno disponibili per un pubblico più vasto e che da ciò il mondo del software Open Source trarrà beneficio. Non di meno, restano i problemi di organizzazione, di cultura e di denaro che devono essere superati per elevare la qualità del software in quanto a sicurezza. In particolare, tra le conclusioni di Viega, si trova un invito ad affidarsi, anche da parte del mondo Open Source, a organismi e soggetti terzi che eseguano l’auditing relativo alla sicurezza.
L’articolo si mantiene abbastanza bene in equilibrio, cercando di non sfociare in una sconfessione completa del software Open Source a vantaggio di quello commerciale (anche se la sviolinata a Microsoft è sospetta). Vengono anche segnalati alcuni progetti Open Source che hanno già fatto significativi passi avanti nella direzione indicata da Viega, in particolare Apache.
La maggior parte degli assunti di base, soprattutto quelli di tipo strutturale e organizzativo, sono largamente condivisibili ed è sicuramente interessante mettere a confronto anche i “luoghi comuni” dell’Open Source con punti di vista diversi.
Mi sembra però che manchino due punti fondamentali, anzi due cornici interpretative. La prima è quella che vede l’attenzione sulla sicurezza crescere moltissimo e cambiare anche qualitativamente negli ultimi 10 anni, in parte per l’avvento del networking diffuso, in parte anche perché di certo la comunità Open Source ha usato questo argomento come indice competitivo nei confronti del software proprietario.
La seconda cornice, anche questa imprescindibile, è che l’auditing indipendente auspicato da Viega non può essere pienamente affidabile se i sorgenti non sono pubblici.