Sicurezza, ICT e altro

Un’intervista che dovrebbe creare non poche preoccupazioni. Da quanto racconta Esser, l’intero processo di sviluppo, aggiornamento e gestione della sicurezza di PHP è drammatico. Chiaramente, Esser se n’è andato dal team, e quindi potrebbe anche avere una visione eccessivamente pessimistica dello stato di PHP, ma certamente le cose che dice suonano credibili. Se le cose stanno così, e a marzo ci sarà il mese dei bug di PHP, ci sarà da stare all’erta… Esser sottolinea comunque come la cattiva reputazione di PHP sia anche dovuta ai difetti nelle applicazioni basate su PHP. È curiosa l’ultima affermazione che fa su Wordpess: The problem with many of these big PHP applications like WordPress and PHPBB is that they were started in the days when security was not taken so seriously… Considerando che WordPress è stato sviluppato dopo il 2000, sembra incredibile quanto breve è l’orizzonte (o la memoria) in questi ambienti. Comunque sia, io non ho la sensazione che l’attenzione alla sicurezza, dal 2000 ad ora, abbia avuto chissà che grandi cambiamenti. Al più, è cambiata l’attenzione a PHP e alla sua sicurezza.

Vi segnalo questa mail dalla mailing list di sikurezza. Questo messaggio, semplice ma molto ben concepito e realizzato, mostra quanto possa essere facile “iniettare” in una rete aziendale un trojan. Un buon esercizio è cercare di capire se gli utenti della vostra azienda sono tutelati da un attacco di questo tipo, e quali misure di sicurezza praticabili riuscirebbero a neutralizzarlo. Per dare un po’ di pepe alla questione, notate quanti antivirus non lo hanno rilevato come pericoloso…