ESPERTO DI SICUREZZA: “HO HACKERATO ROUSSEAU”

Davide Casaleggio non ha finito di presentare a Roma il nuovo Rousseau, la piattaforma online per attivisti pentastellati, che un esperto di sicurezza è riuscito ad hackerare la piattaforma del Movimento 5 Stelle.

Come scrive Repubblica, l’esperto di sicurezza Evariste Gal0is è riuscito a penetrare le maglie di sicurezza. Nemmeno 24 ore e la nuova versione di Rousseau, la piattaforma del Movimento 5 Stelle, è già stata hackerata, seppur a solo fine dimostrativo e senza voler recare danni agli utenti. Evariste Gal0is (questo il nome d’arte dell’esperto di sicurezza che ne ha rivendicato la paternità) ha fatto sapere – pubblicando un sito ad hoc, #hack5stelle, e diffondendo i risultati sui social media – l’esistenza di una vulnerabilità attaccabile con una sql Injection, ovvero un attacco che può ottenere informazioni da un database “a obiettivo quello di ottenere informazioni riservate da un database, inviando delle query, attraverso una variabile input non controllata.

Gal0is premette: “Questo non è un attacco politico. Ho aperto questo sito solamente per avvisare gli iscritti i loro dati sensibili sono potenzialmente a rischio”. Il rischio dovrebbe essere stato risolto, spiega Galois: “Ho avvisato via e-mail i gestori del sito della vulnerabilità trovata che mi hanno risposto che stanno lavorando per risolvere il problema, in questo momento la variabile non mi sembra più vulnerabile. Non scriverò qual era la variabile vulnerabile. Non escludo possano esserci ulteriori vulnerabilità o errori nel sito”.

Tra le informazioni che è stato possibile ‘rubare’ ad esempio i dati sulle donazioni, per la precisione “nome, cognome, e-mail, città, importo, tipologia di pagamento”. Ma soprattutto tra le tabelle del database c’erano anche quelle relative alle votazioni online, e questo “non rende sicuro il sistema di votazione online adottato”.

Gal0is sottolinea un altro problema di Rousseau, nella sua versione attuale: la richiesta di avere password di almeno otto lettere, una cifra che invoglia a scegliere una data e provare un attacco di forza bruta: “C’è un programma – continua il sito – che permette di effettuare questo attacco con un semplice computer in un tempo relativamente breve. Utilizzando una lista di 99999999 numeri, sono bastate 21 ore per craccare 136 password su un campione casuale di 2517, un esito positivo pari al 5,40% delle password analizzate. Una percentuale non irrisoria che potrebbe pesare, ad esempio, nelle votazioni online”. Che spesso vengono decise sulla base di poche decine di voti.