I dispositivi mobili e le reti di telecomunicazioni potrebbero essere a rischio di attacchi devastanti a causa di un difetto appena scoperto in un compilatore ASN.1. La vulnerabilità, scoperta in una libreria usata per programmare con lo standard di telefonia Abstract Syntax Notation One o ASN.1, è parte di un compilatore usato da moltissime aziende di telefonia. Il ricercatore Ivan Arce, che ha scoperto il difetto, ha spiegato che la vulnerabilità può consentire attacchi basati sulla memory corruption dell’heap, cosa che consentirebbe a sconosciuti di controllare le comunicazioni ed eseguire anche codice da remoto (remote code execution).

“La vulnerabilità può essere attivata senza alcuna autenticazione ed in scenari in cui il codice riceve ed analizza dati codificati con ASN.1 da sorgenti non sicure.” ha scritto Arce nel suo rapporto. Questo può includere comunicazioni tra dispositivi mobili e l’infrastruttura di telecomunicazioni, comunicazioni tra nodi dell’infrastruttura dello stesso operatore o di operatori differenti e anche comunicazioni tra endpoint non autenticati su una rete dati.

Objective Systems, che vende il compilatore ASN.1 ASN1C, ha rilasciato una patch per la vulnerabilità alla quale il CERT ha assegnato un punteggio 9.3 (CVSS). Il CERT stesso inoltre elenca tutte le aziende che possono essere interessate dal problema perchè usano quel compilatore. Aziende come Check Point, Hewlett Packard Enterprise, Honeywell, Huawei Technologies, Qualcomm e Siemens non sono interessate dal problema ma altre 30 aziende potrebbero ancora essere vulnerabili.

HP ha annunciato il lancio della comunità OpenSwitch, il nuovo sistema operativo di rete (NOS, network operating system) che nelle intenzioni dell’azienda statunitense dovrebbe fornire una base aperta per gli sviluppatori che operano nel settore del networking. Il nuovo sistema operativo è open-source e supportato da un piccolo ma significativo gruppo di partner come Accton Technology, Arista, Broadcom, Intel e VMware. La natura sempre-connessa dell’economia digitale globale e il massiccio flusso di dati che ne deriva ha cambiato il modo in cui gli operatori di rete, i provider di servizi cloud, gli operatori di telecomunicazioni e le aziende usano le reti. OpenSwitch fornirà una base comune che vada oltre le classiche piattaforme proprietarie e garantirà innovazione grazie ad un modello di sviluppo collaborativo.

In particolare HP pensa che basare la propria infrastruttura di rete su OpenSwitch consentirà alle aziende di modellarla in base alle proprie esigenze, modificandola ed adattandola alle priorità e quindi ottenendo una migliore efficienza. Inoltre, la natura opern-source del nuovo sistema operativo semplificherà e ridurrà i costi di licensing.

La comunità di sviluppatori potrà operare su una piattaforma comune e questo consentirà di apportare migliorie e sviluppare estensioni che potranno poi essere usate da tutti i partecipanti alla comunità e gli utilizzatori di OpenSwitch. HP ovviamente si aspetta anche un miglioramento dell’interoperabilità se e quando le infrastrutture basate sul nuovo sistema operativo diventassero diffuse.

OpenSwitch include molte funzionalità tra le quali:

un completo NOS con il supporto dei protocolli L2/L3; cloud database open-source per le configurazioni persistenti e temporanee; tutte le comunicazioni inter-modulo usano il database di sistema; approccio universale allo sviluppo di API: CLI, REST, Puppet/Chef, Ansible.

OpenSwitch e la sua comunità sono già disponibili attraverso il sito Web dedicato.