Un errore di indirizzo email ha trasformato una normale segnalazione di sicurezza in un piccolo caso mediatico. La Zero Day Initiative (ZDI), la divisione di TrendMicro specializzata nella scoperta di vulnerabilità, ha inviato i rapporti tecnici sulle sue ultime scoperte direttamente all'indirizzo pubblico della Linux Kernel Mailing List (LKML), invece di usare i canali privati riservati alle falle non ancora corrette. Una svista banale solo in apparenza, perché parliamo del kernel Linux: il cuore software di server, dispositivi e computer in tutto il mondo, tenuto a standard di sicurezza estremamente rigorosi.
Reazioni piccate dagli sviluppatori
La pubblicazione involontaria ha scatenato le risposte irritate delle figure chiave dello sviluppo del kernel, che hanno invitato i ricercatori a rivedere le procedure di segnalazione. Particolarmente critico è stato Greg Kroah-Hartman, uno dei principali responsabili della manutenzione delle versioni stabili del kernel, intervenuto in più discussioni. L'incidente arriva peraltro a pochi giorni dal rilascio della versione stabile 7.3, mentre lo sviluppo della successiva 7.4 è ancora in corso.
Perché la riservatezza è cruciale
Segnalare le vulnerabilità in privato agli sviluppatori è una pratica standard del settore, e il motivo è semplice: se le informazioni finiscono subito in pubblico, possono raggiungere anche i criminali informatici, che avrebbero il tempo di scrivere exploit prima della distribuzione delle patch correttive. La questione è oggi ancora più delicata, perché le tecniche di reverse engineering e la ricerca automatizzata delle vulnerabilità, anche con l'ausilio dell'intelligenza artificiale, rendono molto più rapido per gli aggressori individuare i punti deboli del software. Un dettaglio operativo, dunque, che nel mondo dell'open source può fare la differenza tra una correzione tempestiva e una falla sfruttabile.
