Qual è la cosa più pericolosa di una tecnologia? Non è il bug critico che fa crashare il sistema. È la comodità che ci fa ignorare completamente le fondamenta.
Se lavorate con cose che dovrebbero stare chiuse—dati finanziari, PII (Personally Identifiable Information), progetti di codici sorgenti, cosa mi dite—sapete quanto è facile che la nostra cieca fiducia nei big tech diventi un problema di sicurezza reale. E qui, c’è un caso recente che fa drizzare i peli sui polsi a chi ha mai dovuto *smontare* un servizio digitale per capire dove sta il punto debole.
Stiamo parlando di Fiverr, la piattaforma gig economy che ci mette in contatto con i bravi mestieri digitali. Il succo è questo: per processare PDF o immagini nei messaggi tra cliente e lavoratore, usano un servizio tipo Cloudinary. Il problema, ragazzi, non è che usano Cloudinary, ma *come* lo usano.
Invece di implementare URL ‘firmati’ (signed URLs) che scadono e che sono specifici per un utente e un contesto (la best practice, pensate all’analogia AWS S3!), hanno optato per URL pubblici. E non solo. I documenti sensibili – giuramenti fiscali, dati personali – sono stati serviti in modo tale da finire smistati nei risultati di Google, ricercabili con query semplicissime. Letteralmente, le tue finanze personali sono diventate contenuto web indexabile.
La cosa che mi fa sobbalzare, e che non è solo un bug da reportare, è il contesto aziendale. Parliamo di una piattaforma che sta comprando annunci su Google per la ricerca di ‘form 1234 filing’ (ad esempio), nonostante abbia chiari motivi per sapere che il work product risultante non è adeguatamente protetto, rischiando così di far violare normative come GLBA/FTC Safeguards Rule. È la perfetta miscela di negligenza finanziaria e colpevole ignoranza tecnica.
Per noi sgranocchiatori, maker e chi vive di passare le notti a debuggare circuiti o codice, questo è un classico monito. La tentazione di ‘semplicità’ e ‘zero manutenzione’ che offrono i servizi SaaS esterni è sempre un rischio. Non è che devi scrivere ogni singolo script di autenticazione, ma devi comunque capire se quel servizio, con la sua API magica, ti sta dando *effettivamente* un lucchetto da banca, o se ti sta solo dando un bel colore sulla faccia.
Il mio punto è: non farti abbindolare dalla patina di «semplicità» e «efficienza». Ogni volta che vedi una grande piattaforma che gestisce dati sensibili, chiediti con la lucidità di un ingegnere e il sospetto di un hacker: «Questo è accessibile solo con URL signed, o sono dei semplici bucket S3 aperti al mondo?». Se non sai rispondere, è un problema *loro*, non tuo.
Ricordiamoci che la sicurezza non è una funzione, è un processo. E la velocità non deve mai essere più importante della privacy. Trovate botto nel retrocomputing? Perfetto. Usatelo per qualcosa di *veramente* utile, non per far credere a tutti che i vostri dati siano in un cassaforte fatto di *cloud* generici.
Source: Tell HN: Fiverr left customer files public and searchable