[Chrome] I 7 pilastri della sicurezza finalmente svelati

Il team Google addetto alla sicurezza svela gli obiettivi di Chrome.

Pochi giorni fa su Chromium.org è stato pubblicato l’elenco dei sette principi guida seguiti nell’implementazione di Chrome browser e basati innanzitutto sulla sicurezza come valore fondamentale. Si tratta di un vero e proprio manifesto il cui primo punto recita: “Don’t get in the way” (non essere di ostacolo), quasi una parafrasi del celeberrimo “Don’t be evil” di Google.

Secondo Seth Rosenblatt paradossalmente è ciò che hanno dovuto imparare sulla propria pelle alla Microsoft: quando la performance è influenzata negativamente da problemi di sicurezza - che rappresentano il maggiore ostacolo alla qualità della user experience -, l’utente va in cerca di un’alternativa migliore.

La prima delle linee guida afferma pure che invisibilità e aggiornamenti automatici “trasparenti” in background sono state scelte funzionali alla sicurezza dell’utente, che in questo modo non viene distratto o confuso da finestre di dialogo a meno che non siano mezzi indispensabili per comunicare, ad esempio, hostname o certificati SSL nella barra degli indirizzi. Questo, secondo il principio che l’utente medio non sia abbastanza esperto per prendere le decisioni migliori e si esponga involontariamente a pericoli di varia natura (tra cui il temuto fenomeno del social engineering) dimenticando di aggiornare regolarmente il browser.

Nella lista dei principi non viene menzionata espressamente la privacy, e ciò ha provocato qualche critica da parte di esperti di sicurezza, come Jeremiah Grossman, responsabile di WhiteHat Security che ha commentato: “Credo che Google abbia un approccio alla questione della privacy un po’ diverso dagli altri. Si parte da un presupposto di fiducia nei loro confronti, ma se questa manca, si devono separare le due cose. Non è possibile proteggere i propri dati quando si trovano su Google da Google stesso, poiché sarebbe in contrasto con il loro modello di business.” Ciononostante, va ricordato che la policy sulla privacy di Google si applica a tutti i loro prodotti e servizi, Chrome incluso.

La sicurezza è vista inoltre come una responsabilità dell’intero team nel terzo assunto, rimarcante l’importanza della comunicazione nel lavoro di gruppo come una generale e forte consapevolezza che si aggiunge alle normali procedure. Tutti i prodotti Google sono il risultato di un processo di progettazione e sviluppo in cui il concetto di sicurezza è profondamente radicato con lo scopo di proteggere l’utente finale.
Il quarto punto riguarda la velocità. La rapidità nell’individuare eventuali falle fa la differenza e ha consentito a Chrome di mantenere la leadership nel settore delle risposte alle vulnerabilità.

La trasparenza è l’apertura che si attua nel fornire tempestivamente al pubblico le documentazioni su tutti i processi recando con sé un desiderato effetto collaterale: il coinvolgimento della comunità che ruota intorno a Chrome e svolge un lavoro essenziale di verifica in crowdsourcing, peraltro adeguatamente riconosciuto e remunerato. La compagnia infatti finora ha pagato più di 200.000 $ ai tanti bug hunters esterni che hanno contribuito ad evidenziare e correggere problemi vari nel Progetto Chromium-Chrome. L’elenco dei core principles si chiude con una precisa dichiarazione di intenti, passati e futuri: “Rendere il Web un posto più sicuro per tutti”. La sicurezza non è un gioco a somma zero e, secondo criteri di opportunità, l'adozione delle stesse tecnologie, di standard uniformi e delle soluzioni migliori per la sicurezza andrebbero a beneficio di tutti gli stakeholders. Anche da parte degli altri produttori di browser: una maggiore collaborazione significa mantenere livelli alti, pur nel rispetto di una “sana” competitività tra fornitori di servizi simili.

Via | Cnet.com

Pubblicato da +Roberta Ranzani

Tweet