Secondo Kris Kaspersky sarebbe possibile scrivere un virus indipendente dal sistema operativo utilizzato e dal tipo di patch di sicurezza applicate, in quanto andrebbe a sfruttare i bug dei processori per agire. A ottobre darà una dimostrazione pratica all’Hack-In-The-Box Security Conference.
Sicuramente Kaspersky (che non è collegato all’omonima ditta che produce antivirus) saprà il fatto suo, ma a me qualche dubbio è venuto:
innanzi tutto deve sfruttare un bug del processore, quindi sarà anche trasversale al sistema operativo ma non lo è all’hardware utilizzato; poi dice che il malware verrebbe inviato o tramite un packet storming sul TCP/IP o tramite appositi programmi scritti in java o javascript (che penso abbia scelto perchè sono gli unici 2 linguaggi sufficientemente diffusi su tutte le piattaforme software, ed inoltre sono interpretati quindi non ci sono problemi di compilazione). Qui comincia a sorgermi qualche dubbio in più: lo stack TCP/IP non è collegato direttamente alla CPU, ma viene sempre filtrato dal sistema operativo (a meno che il bug non sia sul chipset della scheda di rete, ma qui si parla di bug delle CPU); per quanto riguarda java/js invece se è possibile eseguire una sequenza di istruzioni valida che provochi un errore nel processore e quindi un crash,  è altresì possibile creare una patch ai compilatori java/js per impedirne l’esecuzione sul hardware buggato (e quindi va a decadere la condizione iniziale di “con qualsiasi patch software”).

Comunque questa scoperta (che sia o meno applicabile in casi reali) è sicuramente preoccupante e insegna che ancora una volta la sicurezza non è mai troppa. Vedremo a fine ottobre, dopo il meeting, se ci saranno sorprese o se il tutto è solo cercarsi un po’ di pubblicità.

Volete sapere se potete attivare gli effetti di Compiz sul vostro PC magari un po’ datato senza rischiare di dover installare e configurare tutto salvo poi scoprire che la scheda video è insufficiente?

Da oggi si può: con Compiz Check

Basta scaricare questo file

renderlo eseguibile con :

chmod +x compiz-check

poi lanciarlo con

./compiz-chech

Su Debian e le sue derivate invece si può usare il pacchetto deb scaricabile qui e poi lanciatelo digitando compiz-chech da console.

Il risultato che otterrete sarà:

Gathering information about your system…

Distribution:          Debian GNU/Linux (lenny/sid)
Desktop environment:   Unknown
Graphics chip:         ATI Technologies Inc RV280 [Radeon 9200] (rev 01)
Driver in use:         radeon
Rendering method:      AIGLX

Checking if it’s possible to run Compiz on your system…

Checking for texture_from_pixmap…               [ OK ]
Checking for non power of two support…          [ OK ]
Checking for composite extension…               [FAIL]
Checking for FBConfig…                          [ OK ]
Checking for hardware/setup problems…           [ OK ]

Se avete tutti OK compiz dovrebbe girare senza problemi, se invece come nel mio caso qualcosa fallisce potete vedere cos’è (per me mancano le estensioni composite). In caso di problemi hardware o di setup addirittura proprone lui delle soluzioni

In conclusione un bello script e molto utile

E’ da un po’ che mi chiedo come mai i produttori di hardware (salvo rare eccezioni) non pensino al modello opensource per i loro driver. Un driver è un pezzo di software pressochè inutile se non utilizzato assieme all’hardware per cui è progettato, quindi tutto questo segreto intorno al suo funzionamento non è utile a nessuno: con un modello di sviluppo open sarebbe possibile trovare e correggere più velocemente i bug o perfezionare le funzionalità del driver stesso senza quasi nessun peso sull’azienda produttrice, ottenendo di fatto vantaggi sia per l’utente finale che potrebbe avere un miglior supporto alle periferiche che possiede, sia per l’azienda produttrice che si troverebbe driver migliori senza investire quasi nulla.

Invece la quasi totalità delle aziende utilizza un approccio closed source (anche quando rilasciano driver per sistemi open come GNU/Linux o BSD), con problemi di compatibilità e molte volte funzionalità ridotte o bug irrisolti a volte per molti mesi.

Al momento fra i maggiori produttori di hardware possiamo solo trovare aziende come Intel, VIA e Matrox per le schede grafiche e i chipset, HP per le stampanti e gli scanner.

Poi ci sono aziende come Creative che hanno una sezione del sito chiamata opensource dove è si possibile scaricare i sorgenti driver, salvo poi proporti una licenza totalmente closed source che impedisce di fatto la modifica o la ridistribuzione dei sorgenti.

Speriamo che con la spinta richiesta dai grandi produttori di PC le cose possano cambiare presto.