2007, l'anno del DRM

Rieccomi dopo un periodo di iperlavoro e feste. Visto che il 2007 non è ancora iniziato, posso sbilanciarmi anch’io con una (facile?) previsione di fine anno: il 2007 sarà l’anno in cui si decideranno le sorti del DRM. L’arrivo sul mercato consumer di Windows Vista dovrà necessariamente avere importanti conseguenze su questo fronte, o il DRM sarà destinato a perdere la sua battaglia, almeno nella forma in cui viene proposto. In questi giorni si discute molto di un documento che paventa gravi conseguenze sui costi e la stabilità dei sistemi e dei loro componenti, in particolare delle schede grafiche. Naturalmente, non è detto che tutto quanto descritto nel documento si realizzi, o anche solo sia corretto, ma rientra comunque in un quadro complessivo in cui l’applicazione delle tecnologie di DRM ha una serie di conseguenze spiacevoli, e di costi, anche e forse soprattutto per chi non copia o scambia illegalmente materiale protetto. Il problema che si pone è quindi un problema classico: il costo del meccanismo di sicurezza non viene sostenuto da chi ne trae direttamente vantaggio, e per la maggior parte neanche da chi vorrebbe violare le norme: il costo viene sostenuto dall’utente “onesto” e, in questo caso, da alcuni produttori di hardware. Come è già stato detto da molti, il “successo” di Vista non è in discussione, dato che i nuovi pc verrano venduti con Vista e non con XP, nè tantomeno con Linux. Tuttavia, l’efficacia dei meccanismi di DRM è legata almeno al supporto da parte delle schede video: un’uscita digitale non protetta è quanto basta per rendere tutto il meccanismo un inefficace e ingombrante fastidio. E qui arriviamo ai produttori di schede video. Sostenere i meccanismi di DRM vuole dire aumentare i costi a parità di prestazioni, e togliere funzionalità alle schede. La prima parte può essere trascurabile: dopotutto, i venditori di hardware sono riusciti a convincerci che un PC “Internet ready” dovesse essere particolarmente potente e costoso, mentre se c’è qualcosa che non ha mai richiesto potenza di calcolo è navigare o leggere la posta; almeno, fino all’arrivo di Flash. Troveranno quindi facilmente il modo per sostenere che i maggiori costi hanno una giustificazione diversa dal DRM; del resto, molti sembrano già rassegnati all’idea che Vista richieda un hardware più potente, accettando l’assurdo che un sistema operativo più nuovo consumi di più per fare sostanzialmente le stesse cose. Il problema sono invece le funzionalità in meno: quanti accetteranno ad esempio di non poter utilizzare il vecchio monitor, o di non poter registrare un film dalla televisione? Se le nuove funzionalità saranno introdotte subito, potranno forse passare, ma sarà difficile che gli utenti le accettino dopo aver visto funzionare Vista con un hardware senza limitazioni. Il successo o l’insuccesso su questo fronte avrà conseguenze anche sulle norme e sull’etica legata al DRM. Se i meccanismi saranno un successo, le norme a sostegno avranno successo. Difficilmente il DRM avrà un’altra occasione come questa per imporsi: se non ci riuscirà, il mercato si dovrà rassegnare a cambiare e posizioni favorevoli ad altri modelli si diffonderanno. Dopotutto, il fatto di poter comprare singoli brani musicali online ad un prezzo quasi accettabile, anziché dover comprare interi CD nei negozi a prezzi assurdi, è stata una delle conseguenze dalla diffusione di musica “pirata” sulle reti p2p. Il tutto non si concluderà nel 2007, ma alla fine del 2007 secondo me si vedrà già chi ne uscirà vincitore, almeno per parecchio tempo. Comunque, a futura memoria, mi segno qualche prezzo dei PC e delle schede attuali. In questo momento, su ePrice, la scheda video più economica disponibile PCIExpress 16x con uscita DVI è una “XFX – XFX GF 6200 64MB TURBO CACHE DVI/TV PCI-E LP RET IN” a 34,16 euro, la “turbo cache” se non sbaglio permette di arrivare a 256M di memoria sfruttando quella per il processore. La scheda più costosa è una “POINT OF VIEW – SV Point Of View GeForce 8800GTS PCI-E 640MB TV/DVI HDCP + game” a 510,00 euro. Come PC completi con Windows XP Home installato, il più economico della categoria ” PC Desktop” è un “LENOVO – J105 Tower, Via K8M800 Sempron-3400+, 1x512MB, 80 GB (S), Combo, Card reader 8-1, Eth 10/100, XP-Home” a 404,00 euro (senza monitor). Il più costoso della categoria è un “SONY – PC SONY ALL IN ONE VAIO VGC-V3S” con una NVIDIA GeForce FX Go5700 a 2.179,00 euro. Vedo però che il più costoso in assoluto è il “Sony VGXXL202 ICD/CRN/E6400 (2.13GHz), 1024MB(512M x 2,667), 500GB (250GB x2), Blu-ray Slot-in, G73GTA(128) , WL Keyboard WLAN (abg) DVB-T, MCE (VGXXL202.IT1) “, che è “Windows Vista Premium Ready” e come S.O. ha Microsoft Windows XP Media Center Edition 2005 – Italiano. Vale la pena d notare che c’è un “HP Presario sr2019.it – AMD Athlon 64 3500+ 1GB Ram DDR2 160GB SATA (7200 rpm) HDD NVIDIA GeForce 6150 LE up to 256MB DVDRW +/- Dual Layer LS Modem Lettore 9in1 XP Media Center Edition” che è “Windows Vista Premium Ready. Quindi, almeno per ora, prezzi drammatici per il solo fatto di essere “Windows Vista Premium Ready” non se ne vedono.
Vedremo a fine 2007 quale sarà la situazione 😉

Posted in Varie | 1 Comment

Vista la sicurezza di Vista…

Vista è più sicuro di XP. Posto che questa affermazione voglia dire qualcosa, finora non avevo ben chiaro esattamente perché, ovvero quali fossero le tutte caratteristiche che costituiscono un significativo miglioramento di Vista. Questo articolo di Infoword sottolinea le principali. L’articolo, pubblicato l’8 dicembre, è sottotitolato: “The impressive security improvements in Vista make it a tough OS to hack”. Spero che questa impegnativa affermazione fosse stata scritta prima che Sophos pubblicasse che Vista è vulnerabile ai worm gà in circolazione 😉 Naturalmente si potrebbe discutere del fatto che la maggior parte dei worm si propaga per “social engineering”, ma in realtà questo ci dovrebbe semplicemente far chiedere cosa vuole dire “sistema operativo sicuro”. Per il momento, l’autore si limita a elencare i principali fra i 180 miglioramenti della sicurezza di Vista rispetto a XP. È un elenco di 31 punti che vale la pena di leggere. Di questi,  circa una decina corrispondono a modifiche ai defalut, come “screen saver con password attivo di default” o i diritti iniziali dell’utente sui file creati. Un certo numero corrisponde a modifiche “banali” che secondo me rientrano nella categoria delle correzioni a trascuratezze dei Windows precedenti, come ad esempio la Session isolation, o il fatto che i servizi abbiano un SID e abbiano “i minimi privilegi necessari”. Altre corrispondono secondo me all’integrazione in Windows di ulteriori fnzionalità che su XP erano ampiamente (e spesso anche gratuitamente) disponibili in prodotti di terzi, come quelle relative al firewall, alla cifratura dei volumi o al wireless. Quali sono quindi le vere novità? A parte gli “oltre 800 nuovi settaggi delle group policies”, che sono difficili da valutare, ci sono:

  • l’ormai nota autenticazione/conferma obbligatoria per le attività di amministrazione, con una serie di controlli sulle attività che l’amministratore potrebbe svolgere con troppa leggerezza;
  • la Address Space Layout Randomization, sulla cui efficacia ho dei dubbi: 256 possibilità sono poche e direi che molti malware  finiranno semplicemente per provarle tutte, comunque vedremo;
  • gli integrity levels, che sono senz’altro interessanti;
  • un NTFS journaled;
  • un concetto un po’ più chiaro di cosa siano degli utenti, come ad esempio la virtualizzazione di alcuni registry.

Ci sono quindi un paio di concetti importanti: un maggiore controllo sulle attività di amministrazione e una maggiore segregazione fra utenti. Ci si può chiedere prima di tutto se tutto questo richiedesse un sistema operativo nuovo; o meglio, ci si potrebbe chiedere se non sia legittimo per gli utenti richiedere che almeno alcune di queste caratteristiche vengano introdotte anche in XP (i privilegi minimi e il filesystem journaled, ad esempio); dopotutto, molte delle novità di Vista sono in sostanza correzioni di difetti di XP, e non è ovvio che si debba accettare una politica commerciale, peculiarità del mercato del software, che fa pagare come versioni nuove la correzione di difetti che oltretutto sono stati spesso fonte di danni per gli utenti.

Comunque sia, il fatto che queste novità siano o meno un miglioramento dal punto di vista della sicurezza dipende tutto da come saranno utilizzate e da come sarà possibile utilizzarle. Per esempio, quando NTFS ha dato la possibilità di controllare meglio gli accessi ai file, di fatto questa possibilità è stata in gran parte sprecata sia dai diritti eccessivi concessi su molti file critici, sia dal numero di processi eseguiti con privilegi elevati. La necessità di compatibilità all’indietro ha poi costretto ad allargare ulteriormente le maglie, e la cattiva prassi ha fatto sì che tuttora buona parte degli utenti domestici di XP sia sempre amministratore. Questo mette in evidenza che una cosa è avere una nuova funzionalità di sicurezza, un’altra è avere un sistema più sicuro.
Il fatto quindi che questi miglioramenti nelle funzionalità di sicurezza di Vista  si traducano in una maggiore sicurezza del sistema, e non siano invece sottoutilizzate o aggirate, si vedrà nella pratica. Sia chiaro, la cosa non è rilevante per il successo o la diffusione di Vista: come ben evidenzia Cringely, i meccanismi che garantiscono il successo di Vista sono altri…

Posted in Sicurezza | Comments Off on Vista la sicurezza di Vista…

Associazioni di sicurezza: rinnovi dei direttivi, formazione…

Una fine d’anno movimentata per buona parte delle associazioni di sicurezza informatica. Elezioni in CLUSIT e in AIPSI, e a all’inizio dell’anno anche in AIEA. Nelle elezioni AIPSI abbiamo provato il sistema di voto elettronico che ha realizzato Andrea Pasquinucci, con ottimi risultati: circa il 50% dei soci ha votato, e soprattutto hanno potuto votare da remoto i soci che non sono potuti venire a Roma o a Milano.

Sia chiaro: io rimango contrario al voto elettronico per le elezioni politiche e amministrative, perché i rischi sono troppi e i vantaggi troppo pochi. Qui invece la situazione è all’opposto: i vantaggi sono decisamente notevoli (altrimenti, buona parte dei soci di fatto non può votare), i rischi sono minori, non perché tecnicamente non sia più facile barare (anzi) ma perché le conseguenze sono meno gravi.

Sempre in questi giorni, al seminario CLUSIT sulla Sicurezza nella virtualizzazione dei servizi di rete abbiamo provato a registrare il seminario, per cercare di renderlo fruibile a più soci, e ci sono state le giornate AIPSI di orientamento sulle normative che sarannno oggetto della certificazione LoCSI. Spero che tutto questo sia parte di un cammino che nei prossimi anni ci porterà a creare una diversa sensibilità sulla sicurezza ICT, più diffusa e con meno luoghi comuni.

Posted in Sicurezza, Varie | Comments Off on Associazioni di sicurezza: rinnovi dei direttivi, formazione…