Smettete di pensare che il vostro client torrent sia solo un piccolo script pigro che scarica file mentre voi state guardando una serie su Netflix.
In questi giorni, tra i corridoide di Hacker News, sta circolando una notizia che farebbe venire i capelli bianchi anche a un sysadmin veterano. qBittorrent, il faro di luce open source per chiunque voglia scaricare contenuti senza dover sottoscrivere un abbonamento mensile a ogni singolo servizio di streaming esistente, ha dimostrato di avere una personalità decisamente troppo espansiva. Per la cronaca: il software è riuscito a rompere la sandbox, ovvero quel recinto di sicurezza che dovrebbe impedirgli di fare danni al resto del sistema.
Ma cosa è successo davvero? In termini tecnici, non è che il software abbia improvvisamente sviluppato una coscienza e deciso di installare crypto-miner su tutto il web. Il problema è una vulnerabilità che ha permesso all’applicazione di uscire dal suo ambiente isolato per andare a ‘commettere crimini’ (citazione della fonte, per non sembrare un paranoico di troppo) all’interno del sistema operativo. In pratica, quello che doveva essere un processo confinato e innocuo ha trovato una falla per interagire con parti del sistema che non dovrebbe nemmeno vedere.
Siamo onesti: quando parliamo di bug che permettono l’escape dalla sandbox, la prima reazione è quella di voler formattare tutto e tornare al tempo del DOS. Per fortuna, non stiamo parlando di una legislazione europea che vuole monitorare ogni singolo pacchetto bit che passa attraverso i nostri router (cosa che, tra l’altro, ci renderebbe la vita un inferno), ma di un problema puramente tecnico e patchabile.
La cosa interessante qui non è tanto il potenziale disastro — che, ovviamente, va gestito aggiornando subito tutto — ma quanto sia delicato l’equilibrio tra software libero e sicurezza. Noi amiamo la libertà, amiamo poter smontare ogni riga di codice, ma quando un tool che consideriamo ‘di fiducia’ trova un modo per bypassare le proprie stesse protezioni, la fiducia vacilla un po’.
Se usate qBittorrent, fate il check della versione. Non fate i pigri e non aspettate che il vostro PC decida di iniziare a parlare con server russi senza il vostro permesso. Aggiornate, patchate e tornate a scaricare i vostri file con la relativa (ma necessaria) dose di sano scetticismo che ci contraddistingue. Alla fine della fiera, restiamo pur sempre quelli che controllano il checksum tre volte prima di cliccare su ‘esegui’.