Su 31 dicembre 2020 si avvicina una scadenza per la quale ci si è preparati per tre anni. È in quel momento che Adobe cesserà il supporto per Flash. Cosa comporta tutto ciò, quindi, per il reparto IT di un’organizzazione e per ciascuno di noi come singoli individui?
Ciò significa che occorre procedere con cautela, poiché eventuali vulnerabilità di sicurezza presenti attualmente in Flash non saranno risolte con l'aggiornamento “ 1 gennaio”. E là fuori ci sono moltissimi malintenzionati pronti a sfruttarli. Ecco cosa deve sapere per proteggere la propria organizzazione e se stesso.
Flash è mai stato davvero sicuro?
Quando Steve Jobs scrisse il suo ormai famoso articolo “ : Thoughts on Flash” (si apre in una nuova scheda) nel 2010, ciò segnò la fine di un’applicazione che, al culmine della sua popolarità, era in esecuzione su quasi un miliardo di dispositivi. È opportuno sottolineare che, nel giudizio negativo espresso da Jobs su Flash, la sicurezza rappresentava solo una delle numerose critiche che egli muoveva all’applicazione.
Da allora, molti siti web hanno iniziato a utilizzare HTML5 per la pubblicazione di contenuti animati e interattivi, per cui il numero di utenti che utilizzano Flash è gradualmente diminuito. Inoltre, i produttori di browser hanno adottato standard aperti e la maggior parte di essi ha bloccato l’esecuzione di Flash a causa delle numerose vulnerabilità di sicurezza che esso può causare.
Ciononostante, è ancora presente una grande quantità di Flash — o frammenti di esso — nei sistemi operativi, sui siti web, all’interno delle applicazioni aziendali protette dal firewall aziendale e sui computer degli utenti.
Cosa ha reso Flash così vulnerabile ai problemi di sicurezza?
Non è solo Flash ad aver avuto una storia altalenante in termini di sicurezza. Nel corso degli anni, Adobe ha lanciato numerosi prodotti che presentavano falle di sicurezza, secondo quanto affermato da Boyd White, direttore della gestione tecnica dei clienti presso l’ Tanium.
Per quanto riguarda Flash, afferma: «Credo che sia stato concepito innanzitutto come uno strumento funzionale e che Adobe, a quanto pare, non abbia dato la priorità alla sicurezza». Sono stati puniti, proprio come accadde all’ Microsoft circa 25 anni fa. «Tuttavia, Adobe Flash non ha mai implementato i controlli necessari per rilasciare prodotti che non consentissero lo sfruttamento remoto.»
Anche diverse acquisizioni effettuate da Adobe hanno contribuito a questo approccio disordinato.
«Flash era in origine un prodotto completamente diverso», aggiunge White. «Pertanto, quando si eredita un codice esistente, si cerca sempre e solo di farlo funzionare.»
White illustra una panoramica tecnica su come gestire la cessazione del supporto per Flash in questa nota informativa sulle vulnerabilità di (si apre in una nuova scheda) sul sito Tanium Community.
Perché i rischi legati a Flash aumentano con la cessazione del supporto?
I rischi sono più rilevanti poiché, una volta terminato il supporto, eventuali vulnerabilità non verranno mai risolte. Inoltre, Flash è in circolazione da molto tempo, quindi se ne trovano esempi ovunque. Ad esempio, quando si installa “ Windows 10 ” su un nuovo computer, nel sistema operativo rimangono comunque alcune tracce di tale programma. Basta che un malintenzionato abile induca un utente ignaro a cliccare su qualcosa che avvii una libreria di collegamento dinamico (DLL) vulnerabile e latente sul computer — voilà: esecuzione di codice da remoto.
È difficile individuare ed eliminare ogni singola occorrenza di codice che non si desidera più mantenere in un sistema. Spesso i programmi di disinstallazione non riescono a rimuovere tutti i residui. Possono lasciare file DLL, eseguibili, chiavi di registro o autorizzazioni. Pertanto, anche se esegue un programma di disinstallazione di Flash, potrebbero comunque verificarsi dei problemi.
Esistono ancora utilizzi legittimi di Flash?
Indubbiamente, permangono alcuni utilizzi legittimi di Flash. Ad esempio, alcune applicazioni di reporting relative alla pianificazione delle risorse aziendali (ERP) potrebbero utilizzare Flash. Le organizzazioni possono scegliere di disinstallare Flash laddove non sia necessario e di mantenerlo in uso laddove vi sia una funzionalità che non può essere sostituita da un’altra applicazione.
Tuttavia, ciò complica il processo e aumenta i rischi. Non è facile monitorare tutti gli utenti di un’applicazione. Tanium I clienti possono utilizzare il modulo Deploy (si apre in una nuova scheda) per rimuovere Adobe Flash, offrendo al contempo agli utenti la possibilità di segnalare al reparto IT eventuali utilizzi legittimi. Ciò limita la Sua esposizione al rischio.
Quando si parla di sicurezza, la perfezione non esiste. Tuttavia, più si elimina Adobe Flash dal proprio ambiente, più questo risulta sicuro.
Quattro consigli per ridurre al minimo i rischi legati a Flash nel vostro ambiente
Riconoscendo che non esiste un’unica strategia o tattica perfetta per gestire Flash, raccomandiamo di utilizzare:
- Sondaggi: Conduca un sondaggio presso ciascun reparto della Sua azienda in merito all’utilizzo e alle esigenze relative a Flash. Potete inoltre condurre un sondaggio tra gli sviluppatori di siti web App e i responsabili della sicurezza informatica aziendale (BISO). Nel caso dei sondaggi, è sempre difficile ottenere risposte dalle persone, ma sottolinei che una violazione della sicurezza causata da Flash danneggerebbe la reputazione e le attività dell’azienda.
- Tanium Deploy e Patch: Per i clienti di Tanium , i nostri moduli Deploy e Patch (si apre in una nuova scheda) possono aiutare a individuare e correggere le vulnerabilità di Flash.
- Tanium Comply: I clienti di Tanium sono pregati di continuare a eseguire la scansione alla ricerca di vulnerabilità utilizzando Tanium Comply (si apre in una nuova scheda). Qualora venisse resa nota una nuova vulnerabilità di Adobe Flash dopo la fine del ciclo di vita (EOL), il sito Tanium Comply verrà aggiornato per aiutarLa a individuare e monitorare i sistemi vulnerabili.
- Programmi di disinstallazione di aziende affidabili: Si assicuri che la Sua organizzazione abbia rimosso tutto il software correlato a Flash, non solo l'applicazione Flash di base. Ciò include il programma di disinstallazione di Adobe Flash.
I rischi legati a Flash diminuiranno gradualmente
Secondo White e altri esperti, l’individuazione e la correzione delle vulnerabilità di Flash richiederanno mesi, se non addirittura anni.
«Fino a quando i sistemi operativi non saranno completamente ricostruiti, nei sistemi di molte organizzazioni permarranno dei residui», afferma White. «Ma i rischi diminuiranno notevolmente col passare del tempo.»
Nel frattempo, le organizzazioni e i singoli individui devono rimanere vigili. Ad esempio, presti attenzione a determinate estensioni di file, come .swf (file Shockwave), che indicano la presenza di Flash. Qualsiasi link che inviti l’utente a “fare clic qui” all’interno di un programma Flash costituisce potenzialmente un tentativo di phishing di tipo “ ” , in grado di introdurre malware nel Suo dispositivo o nella rete aziendale.
Le applicazioni non supportate non sono solo un problema legato ad Adobe Flash
White avverte che la fine del ciclo di vita (EOL) delle applicazioni e la cessazione del supporto non sono un problema esclusivo di Flash. Una volta che un prodotto viene ritirato dal mercato, esiste sempre la possibilità che presenti vulnerabilità non identificate. Pertanto, una volta terminato il supporto, queste vulnerabilità potranno essere sfruttate all’infinito poiché non esiste alcuna patch per risolverle — e non ce ne sarà mai una.
«L’attenzione mediatica suscitata dalla fine del supporto per Flash rappresenta una buona occasione per riflettere su come gestite le applicazioni e, più in generale, la fine del ciclo di vita (EOL) dei sistemi operativi», afferma White. «Non è necessario che si tratti di un’applicazione di grande rilievo per offrire opportunità a soggetti malintenzionati.»
Le grandi organizzazioni utilizzano centinaia, se non migliaia, di applicazioni che, molto probabilmente, a un certo punto raggiungeranno la fine del ciclo di vita (EOL). E quando un’azienda si fonde con un’altra o ne acquisisce una, ciò non fa che aumentare la portata e la complessità di questo problema. La minaccia che ciò comporta può essere enorme.
«Credo che la morale della storia si ricolleghi alle norme fondamentali di sicurezza informatica», afferma White. “Sappiate cosa c’è sulla vostra rete e perché. «Se non disponete di tale visibilità, siete sicuramente a rischio.»
E ciò risulta ancora più urgente nel contesto delle fusioni e delle acquisizioni. Sarebbe fondamentale conoscere la composizione dello stack software della società acquisita e quali vulnerabilità in termini di sicurezza o prestazioni la vostra organizzazione potrebbe ereditare.
«Quando si decide di smettere di utilizzare un’applicazione, o quando questa raggiunge la fine del ciclo di vita (EOL), le conseguenze in termini di sicurezza vanno ben oltre le funzioni che il software svolgeva originariamente», aggiunge White.
Indipendentemente dalla situazione aziendale della Sua società, l’ Tanium Platform e può rendere la ricerca e la rimozione di software obsoleto o rischioso, come Adobe Flash, molto più rapida e semplice rispetto ai metodi tradizionali.
«Tanium offre la visibilità e il controllo indispensabili per gestire le applicazioni presenti sui vostri dispositivi, al fine di garantire che siano sicure e funzionino nel modo più efficiente possibile», afferma White. «Flash è solo l’ultimo esempio, ma tenere sotto stretta osservazione il software dei dispositivi è un’esigenza costante ed essenziale per qualsiasi organizzazione digitale.»
Per istruzioni dettagliate su come individuare e rimuovere Adobe Flash Player utilizzando Tanium , , si prega di consultare l’articolo di White intitolato “ ” (si apre in una nuova scheda) pubblicato sulla community di Tanium .
