C’era una volta un utente del blog di Beppe Grillo...
...a cui arrivo’ una mail.
“Buongiorno, caro utente. Ti invitiamo a cambiare la password di accesso al blog per ...EHM... motivi di sicurezza. Clicca qui”
“Buongiorno, caro blog. Nemmeno ricordavo di essermi iscritto, francamente, ma vedo che siete sul pezzo, visto che saran ormai 3 / 4 giorni che vi ride dietro tre quarti d’Italia per delle mancanze di sicurezza che neanche sul Commodore 64. Aggiorno la password con piacere, guarda. Tanto, come minimo, ero stato bannato secoli addietro”
E cosi’ il nostro piccolo utente clicca sul link della email e si trova sulla pagina di aggiornamento del suo profilo. Inizia diligentemente a compilare i campi richiesti quando, ohibo’, si accorge che la vecchia password proprio non la ricorda.
“Pazienza” pensa il nostro amico, “ci sara’ di sicuro modo di recuperarla”
Ed infatti, a pochi click di distanza, ecco il link per il recupero password
“Caro utente, ti abbiamo mandato un email”
“Grazie caro blog, vado a vedere subito”
Apre la mail e trova, bella come il sole, la sua vecchia password. In chiaro.
“Vabbeh, e’ un brutto problema di sicurezza, ma ci staranno mettendo una pezza, via. Magari glielo segnalo, finita la procedura” dice il nostro utente, tra sè e sè.
Ritorna quindi a compilare diligentemente il form di cambio password quand’ecco spuntare un messaggio che gli fa alzare un sopracciglio.
“Amico Firefox, cosa vorrai mai dire con questo messaggio? Forse che la connessione al server non e’ codificata e quindi la nuova password verra’ trasmessa in chiaro? Non sono un tecnico, ma non credo abbiano lasciato un buco cosi’ grosso in un sito per il quale han gia’ mandato in giro le email chiedendo di cambiare le password, dai...”
Un po’ preoccupato, il nostro utente, che non e’ un esperto di sicurezza web e men che meno un hacker, fa spallucce e prosegue. La registrazione va a buon fine.
“Caro utente, ora hai una password nuova e sicura sicurissima. Buon divertimento!”
“Grazie caro blog, ora mi loggo e leggo un po’ di post. Magari commento. Sempre che non sia stato bannato davvero o che gia’ che siete in vena di sistemare cose, non vi sia scappata un’involontaria aministia, hai visto mai...”
e clicca sereno su login.
“No vabbeh, Firefox, KITIPAKAH?!?”
Ma Firefox, omertoso, rimane in silenzio
“Non vorrai farmi credere che un Blog di un movimento politico che raduna un terzo degli italiani, pur non risultando intestato alla persona di cui mostra il nome, gestito dalla stessa ditta che ha regalato al movimento il “sistema operativo” di cui tanto si parla in tema di sicurezza in questi giorni, hanno lasciato simili buchi su un blog gia’ compromesso, invitando la gente a cambiare password senza averli prima sistemati ed esponendola ad ulteriori rischi? E’ assolutamente inverosimile, sarebbe una figura da cialtroni senza precedenti, indegna di una software house che sviluppa siti per le sagre del lambrusco, figuriamoci per loro. No, sarebbe assolutamente ridicolo, roba da nascondersi sotto i sassi come i rospi d’inverno. Sono sicuro ci sia una spiegazione piu’ che sensata per tutto questo”
E rimase li, ad aspettarla.
Nota dell’autore. Gli screenshot sono stati fatti alle ore 23 di martedi’ 8 agosto 2017. Sono frutto della normale navigazione del sito, quindi parte dell’esperienza utente che si suppone chiunque debba avere, non parte di tecniche o script tesi a bucare il sistema. In sostanza, non e’ stato fatto nulla di illegale o illecito o anche solo fuori dallo standard di navigazione che si presuppone sia stato pensato per l’utente del sito. Ho provato anche a cercare un modo per contattare i gestori del blog, ma a quanto pare non c’e un link facilmente recuperabile, ad uso e consumo degli utenti, per contattare i gestori.
