C’è stato un tempo in cui navigare con Opera era sinonimo di navigare sicuri. Che le cose siano definitivamente cambiate?

E’ questa la domanda che molti utenti hanno cominciato a porsi ultimamente, dopo i recenti fatti che hanno visto il noto browser norvegese ripetutamente soggetto a diverse falle di sicurezza classificate come ad alta severità per la loro capacità di esecuzione, sulla macchina del malcapitato, di codice arbitrario tramite un semplice script.

Come sempre in questi casi, la risposta di Opera ASA non tarda ad arrivare con il celere rilascio di patch, ma è chiaro che ben 3 security release in appena un mese rappresentano una tradizione che gli utenti Opera non hanno mai avuto il piacere di custodire.

A cosa è dovuto tutto ciò? Rispondono Hallvord R. M. Steen, personaggio di primo piano in casa Opera, ed Aviv Raff, colui che ha portato alla luce le pericolose falle.

Evitando inutili spiegazioni tecniche (per le quali basterà consultare i link di approfondimento), quello a cui stiamo assistendo altro non è che il prezzo da pagare in nome delle grandi potenzialità offerte dal nuovo protocollo opera: di recente introduzione. Hallvord fa notare come questo sia in effetti del tutto paragonabile (salvo alcuni particolari a suo favore) al corrispondente protocollo chrome: usato da Mozilla, anch’esso spesso causa in passato di pericolosissime vulnerabilità per la particolarità di essere eseguito ad un livello superiore a quello delle pagine web. E proprio questo è infatti il nocciolo della questione. Chiunque riesca ad accedere ai privilegi di questi protocolli può virtualmente prendere pieno possesso del PC ed eseguire codice a propria discrezione.

Se questo è un dazio obbligato in virtù dei vantaggi ottenibili, Aviv Raff non manca però di spiegare come tutti questi problemi sarebbero stati evitati semplicemente strutturando l’applicazione in modo tale da impedire l’accesso di uno script da una risorsa locale ad un’altra (per l’appunto stored cross site scripting, XSS), come potrebbe essere ad esempio da opera:cache ad opera:config.

Lungi dal sottoscritto il voler fare del terrorismo mediatico (anche con questa nuova bomba ad orologeria costantemente attivata, Opera resta ancora più sicuro dei concorrenti 😎 ), credo che in futuro non mancheranno altri episodi simili… ma spero vivamente di sbagliarmi 😉

Links:

• Aviv Raff: A different Opera
• Hallvord: Unfortunately opera: is the new chrome:
• PI: Opera, di nuovo tempo di patch