L’esplorazione del mondo degli sportelli automatici (ATM) ha portato il ricercatore di sicurezza Matt Burch a scovare non solo delle minuscole lacune nel sistema finanziario, ma un problema ben più strutturale: la vulnerabilità della catena di fornitura del software. L’indagine, iniziata dagli ATM, ha poi messo il dito su problemi di sicurezza in un sistema di crittografia per dischi pre-boot chiamato CryptoPro Secure Disk. Questo software, nato per i maker di bancomat ma venduto anche a grandi organizzazioni che utilizzano Windows, è un perfetto esempio di come i bug in un punto possano contaminare settori critici. In conferenze come Black Hat e Defcon, Burch ha presentato i dettagli di nove falle nel CryptoPro, che potevano consentire di aggirare i controlli di integrità e prendere pieno controllo di dispositivi crittografati. I produttori, come CryptWare, si sono dimostrati rapidi nel mitigare il rischio, patchando i bug in più fasi. Tuttavia, il vero dramma, secondo gli esperti, non sono solo i bug da correggere, ma l’enorme complessità di applicare le patch nel mondo reale. Quando un developer rilascia un aggiornamento, devono poi interviene aziende che lo integrano nei loro prodotti, e infine i clienti devono essere informati e installare l’aggiornamento, soprattutto se i sistemi sono in funzione (come un ATM) e non possono essere semplicemente spenti. Questa complessità, evidenziata anche dal colosso Diebold Nixdorf, dimostra che la sicurezza non può più basarsi sul ‘segreto per oscurità’, ma richiede una trasparenza radicale e un approccio sistemico alla protezione digitale.

🇬🇧 Summary in English

Diving deep into the esoteric world of ATM security, security researcher Matt Burch stumbled upon something much larger than just digital lockbox flaws: a profound vulnerability in the software supply chain itself. What started with ATMs quickly escalated to expose serious flaws in a specific pre-boot disk encryption system called CryptoPro Secure Disk. This software, initially tailored for ATM manufacturers, is a perfect microcosm of how a bug in one component can taint multiple critical sectors. At major conferences like Black Hat and Defcon, Burch revealed details on nine vulnerabilities found in CryptoPro, flaws that could potentially bypass integrity checks and grant full access to encrypted devices. The manufacturers, including CryptWare, were quick to act, patching the issues in several phases. However, the real headache, according to experts, isn’t just the bugs themselves, but the gargantuan complexity of applying patches in the real world. When one developer releases an update, various companies must integrate it into their own products, and finally, the end-users have to be informed and install it—a monumental task, especially for systems that are operational (think of an ATM) and cannot simply be powered down for an update. This difficulty, highlighted by major players like Diebold Nixdorf, proves that security can no longer rely on ‘security through obscurity’. Instead, it demands radical transparency and a systemic approach to digital protection.

Leggi l’articolo originale su Wired EN →

Fonte: Wired EN | Argomento: Cloud & Infrastruttura

#tecnologia #innovazione #technews