Windows 7 può essere sicuro, ma gli utenti Windows sono sicuri?

Gli utenti di Windows 7 hanno avuto una bella sorpresa martedì quando Microsoft ha rilasciato il suo primo set di patch di sicurezza da quando ha rivelato il nuovo sistema operativo il mese scorso. Dei 15 bug corretti, nessuno ha colpito Windows 7.

Quando Microsoft ha lanciato Windows 7, è stato annunciato come la versione più sicura della società di sempre - il culmine di uno sforzo "Trustworthy Computing" della durata di nove anni per puntellare una linea di prodotti che era stato crivellato di grossi problemi di sicurezza.

Ma il software sottoposto a stress è davvero importante per i clienti di Microsoft, apparentemente assediati da più attacchi online che mai? Microsoft ha avuto anni per migliorare Windows XP, ma il worm Conficker, che ha iniziato a diffondersi lo scorso anno, ora si pensa che abbia infettato più di 7 milioni di macchine Windows. E per ogni bug di Windows che viene schiacciato, gli hacker sembrano trovare nuovi problemi nel software che gira sopra il sistema operativo di Microsoft - Flash Player, QuickTime e Java.

"Windows 7 è sicuramente il sistema di gran lunga più sicuro "Ho spedito", ha detto Dave Aitel, chief technology officer di Immunity, una società di sicurezza che spende un sacco di tempo a trovare gli ultimi bug del software. "Credo che la domanda che tutti stanno chiedendo in questo momento è, 'È abbastanza?'"

L'uomo dietro all'iniziativa Trustworthy Computing di Microsoft, Chief Research and Strategy Officer Craig Mundie, dice che l'industria ha ancora del lavoro da fare. "Abbiamo fatto enormi progressi per quanto riguarda la sicurezza attorno alla tecnologia di base del sistema operativo nel PC Windows", ha affermato in una recente intervista. "Ma mentre lo facevamo e la Rete era diventata più diffusa, i cattivi continuavano ad evolvere i loro attacchi."

Questo è l'enigma di Microsoft. Windows potrebbe essere più sicuro, ma i cyber-criminali hanno ancora un sacco di altri posti da attaccare. E quando riesci a colpire centinaia di milioni di utenti con un singolo attacco, perché cambiare il piano di gioco? Quindi la maggior parte degli attacchi peggiori oggi si rivolge ancora ai PC che eseguono Windows, indipendentemente dal fatto che il sistema operativo sia sicuro o meno.

Prendere lo spear-phishing. Gli hacker sono così bravi a inviare questi messaggi di posta elettronica altamente personalizzati, completi di allegati malevoli, che la sicurezza sottostante di Windows è quasi irrilevante.

"Il problema con gli attacchi mirati è che ci sono così tanti soldi che possono effettivamente Trump la sicurezza ", ha detto Alan Paller, direttore della ricerca per il SANS Institute, una società di formazione sulla sicurezza. "La quantità di denaro che i governi e i grandi gruppi di criminalità industriale devono spendere è sufficiente per superare qualsiasi delle difese che abbiamo".

In un rapporto pubblicato il mese scorso per un comitato consultivo del Congresso, gli analisti di Northrop Grumman hanno spiegato esattamente come ciò avvenga. Guardando gli attacchi noti, il rapporto ha rilevato che gli obiettivi sono accuratamente selezionati e quindi ha inviato e-mail molto credibili con allegati codificati maliziosamente che sfruttano bug in un prodotto come Adobe Reader, qualcosa che è fuori dal controllo di Microsoft. La vittima apre il file.pdf e improvvisamente gli hacker hanno un punto d'appoggio sulla rete.

I clienti Microsoft come Paul Melson pensano che l'adozione di Windows 7 sarà molto più ampia rispetto a Vista, che è stata ampiamente ignorata dagli utenti aziendali. Ma mentre Microsoft ha la sua casa in ordine, la sicurezza è ancora un problema sulla piattaforma Windows, secondo Melson, un gestore di sicurezza delle informazioni con Priority Health.

"Fintanto che le patch di terze parti continuano ad essere una sfida, la sicurezza del cliente continuerà ad essere in prima linea nella difesa della sicurezza delle informazioni e nella risposta agli incidenti ", ha affermato via e-mail. "Windows 7 non ridurrà in modo significativo gli attacchi lato client che portano a compromessi, ma non credo che Microsoft dovrebbe sopportare l'onere per questo."

Microsoft pensa che possa fare molto per risolvere questo tipo di problemi migliorando il modo in cui le persone si identificano su Internet. Negli ultimi anni ha promosso un'idea che chiama fiducia "end-to-end", dicendo che vuole sviluppare meccanismi di identificazione migliori per persone, computer e software su Internet.

Microsoft ha fatto il primo passo in questa direzione con il suo software di gestione delle identità di Windows CardSpace. Potrebbe aiutare a dare alle persone un'idea migliore di chi hanno veramente a che fare su Internet, ma resta da vedere se il resto del settore acquisterà questa visione.

"Questa è la fase successiva della battaglia per informatica affidabile e che sta ancora aumentando ", ha detto Mundie. "Chiaramente c'è sempre più da fare."

(Nancy Gohring di Seattle ha contribuito a questa storia).