Crittografia: Microsoft conferma il problema anche su Windows XP

Windows XP, il più popolare tra i sistemi operativi Microsoft, soffre della stessa vulnerabilità di recente scoperta in Windows 2000 per opera di due ricercatori israeliani.
Benny Pinkas e Zvi Gutterman hanno svolto un’azione di “reverse-engineering” sull’algoritmo utilizzato da Windows 2000 per la generazione di numeri pseudo-casuali (PRNG), utilizzati dal sistema operativo per crittografare file e cartelle.
Sebbene, per poter andare a buon fine, la tipologia d’attacco descritta dai due israeliani sia piuttosto complessa, Microsoft ha confermato che lo stesso problema interesserebbe anche Windows XP. Per quanto riguarda, invece, le versioni più recenti del sistema operativo (Windows Server 2003, Windows Vista e il non ancora rilasciato Windows Server 2008), queste impiegherebbero invece una versione modificata dell’algoritmo. Da Redmond, quindi, se ne sottolinea l’immunità da attacchi simili a quelli illustrati da Pinkas e Gutterman.
Microsoft, comunque, continua a ridimensionare la pericolosità del problema recentemente messo a nudo: “solo qualora un aggressore abbia già preso possesso di una macchina (sfruttando, per esempio, altre falle di sicurezza non adeguatamente “patchate”, n.d.r.), l’attacco nei confronti dell’algoritmo PRNG può avere successo”, ha commentato un portavoce del colosso di Redmond. Pinkas, da parte sua, sprona invece a considerare la serietà del problema: un aggressore deve riuscire a guadagnarsi diritti amministrativi per l’accesso alla macchina vittima. A quel punto l’attacco potrà essere subito messo in atto. L’israeliano plaude comunque l’iniziativa di Microsoft che provvederà a risolvere il problema integrando una patch apposita nel prossimo Service Pack 3 per Windows XP.
Nessuna notizia, invece, per quanto riguarda un possibile aggiornamento di Windows 2000, sistema operativo tutt’oggi ampiamente diffuso in ambito business. Solo se Microsoft riconoscerà la problematica portata alla luce da Pinkas e Gutterman come una vulnerabilità di sicurezza rilascerà una patch anche per Windows 2000. Questo sistema operativo si trova infatti nella fase di “extended support”. Ciò significa che Microsoft rilascerà solo gli aggiornamenti di sicurezza considerati come critici mentre chi desidera usufruire degli altri aggiornamenti deve iscriversi ad un programma a pagamento (il cosiddetto “extended support”, appunto). Al termine di questo secondo periodo (13 Luglio 2010), Windows 2000 sarà definitivamente discontinuato così come accaduto per i sistemi operativi predecessori.