"Ricordamelo domani." È probabilmente il pulsante più premuto della storia dell'informatica. Gli aggiornamenti arrivano sempre nel momento sbagliato, chiedono un riavvio e a volte cambiano qualcosa a cui eri abituato. Eppure sono una delle difese più efficaci e più economiche che esistano. Vale la pena capire perché.
Cosa contiene un aggiornamento
Un aggiornamento può portare tre cose diverse:
- nuove funzioni, che puoi anche non volere;
- correzioni di errori, che migliorano la stabilità;
- correzioni di sicurezza, che chiudono vulnerabilità scoperte nel software.
Sono queste ultime a fare la differenza. Una vulnerabilità è un difetto che permette a qualcuno di fare ciò che non dovrebbe: eseguire codice, leggere dati, ottenere privilegi. Quando il produttore pubblica la correzione, rende anche implicitamente noto che il difetto esiste. Da quel momento chi attacca può studiare la correzione per capire dove colpire i sistemi che non l'hanno ancora installata. Il tempo tra la pubblicazione della patch e la sua installazione è la finestra di rischio, e dipende solo da te.
Le vulnerabilità sfruttate davvero
Gli attacchi più temibili non sono quelli basati su difetti sconosciuti, che sono rari e costosi. La maggior parte degli incidenti sfrutta vulnerabilità note da tempo, per cui la correzione esisteva già. È una buona notizia: significa che aggiornare con regolarità elimina una grossa parte del rischio.
I dispositivi che si dimenticano
Tutti pensano al computer e al telefono. Molto meno ad altro:
- router e modem di casa o dell'ufficio;
- NAS e dischi di rete;
- telecamere IP, citofoni smart, termostati, prese intelligenti;
- stampanti di rete;
- firewall e VPN aziendali;
- plugin e temi di siti web e CMS;
- estensioni del browser;
- programmi installati anni fa e mai più aperti, come lettori PDF o vecchie versioni di runtime.
Questi dispositivi spesso restano accesi per anni, sono raggiungibili dalla rete e non mostrano alcun avviso di aggiornamento. Vale la pena controllare periodicamente il pannello di amministrazione o l'app del produttore.
La fine del supporto
Ogni prodotto, prima o poi, smette di ricevere correzioni. Un sistema operativo o un telefono fuori supporto continua a funzionare, ma ogni nuova vulnerabilità scoperta resterà aperta per sempre. Per questo è importante conoscere la data di fine supporto dei dispositivi che usi e pianificare la sostituzione per tempo, soprattutto per quelli usati per banca, lavoro e posta.
Per gli smartphone, al momento dell'acquisto conviene informarsi su quanti anni di aggiornamenti di sicurezza il produttore dichiara per quel modello: la differenza tra un dispositivo e l'altro può essere notevole.
Come organizzarsi a casa
- Attiva gli aggiornamenti automatici su sistema operativo, browser, app del telefono e app store.
- Riavvia il computer almeno una volta a settimana: molte correzioni si applicano solo al riavvio, e lasciare il portatile in sospensione per mesi le rimanda all'infinito.
- Controlla il router ogni qualche mese, o attiva l'aggiornamento automatico se disponibile.
- Disinstalla i programmi che non usi più: un programma che non c'è non può essere vulnerabile.
Come organizzarsi in un piccolo ufficio
- Tieni un inventario semplice, anche un foglio di calcolo, con tutti i dispositivi, il sistema installato e la data di fine supporto.
- Stabilisci una finestra fissa per gli aggiornamenti, per esempio una sera alla settimana, in modo che i riavvii non interrompano il lavoro.
- Dai priorità ai sistemi esposti su Internet: firewall, VPN, server di posta, siti web. Per questi, le correzioni critiche vanno applicate il prima possibile.
- Prima di aggiornare un gestionale critico, assicurati di avere un backup recente e, se possibile, prova l'aggiornamento su una postazione sola.
"E se l'aggiornamento rompe qualcosa?"
Succede, ma è raro, ed è un rischio gestibile con il backup e con un minimo di prudenza sui sistemi critici. Il rischio opposto, restare con una vulnerabilità nota e sfruttata attivamente, è di solito molto più grave. Se un aggiornamento crea problemi, la soluzione è segnalarlo, attendere la correzione e, nel frattempo, ridurre l'esposizione del sistema, non disattivare gli aggiornamenti per sempre.
Attenzione agli aggiornamenti falsi
Un pop-up su un sito che dice "Il tuo browser è obsoleto, scarica l'aggiornamento" è quasi sempre una trappola. Gli aggiornamenti legittimi arrivano dal sistema operativo, dall'app store o dal menu del programma stesso, non da finestre che compaiono mentre navighi.
In sintesi
- Le correzioni di sicurezza chiudono vulnerabilità che chi attacca studia appena vengono pubblicate.
- La maggior parte degli attacchi sfrutta difetti noti per cui la patch esisteva già.
- Router, NAS, telecamere, stampanti e plugin vanno aggiornati come computer e telefoni.
- Un dispositivo fuori supporto va sostituito, soprattutto se usato per banca e lavoro.
- Aggiornamenti automatici e riavvii regolari risolvono gran parte del problema.