OpenSSL, un bug la infestava da dieci anni

Non pericoloso come Heartbleed, ma poco ci manca. E poi è online da ben dieci anni, che vorrà pur significare qualcosa nella classifica internazionale dei bug più nocivi. Parliamo di CCS Injection Vulnerability, la nuova vulnerabilità scoperta nello scorso mese di maggio dal ricercatore Masashi Kikuchi e relativa a OpenSSL. Ebbene sì, ancora una volta il protocollo di comunicazione più diffuso in Rete è tornato nel mirino dei cyber criminali; certo, non in maniera clamorosa come è avvenuto a opera di Heartbleed, ma rappresentando comunque un rischio reale per le nostre attività online, se è vero, per di più, che il bug in questione non avrebbe lasciato traccia di sé nel corso delle sue incursioni nella libreria. Nel dettaglio, il baco era specializzato nella sottrazione delle informazioni sensibili da protocolli cifrati durante la fase di handshake tra client e server, e avrebbe basato la sua trasparenza rispetto alle tecnologie di sicurezza It implementate nelle strutture colpite per via della sua “capacità” a forzare OpenSSL verso l’utilizzo di chiave crittografiche deboli.