Violato il sito sviluppatori di Apple
Il sito sviluppatori di Apple è di fatto chiuso al pubblico, la sua riapertura rinviata a data da destinarsi. La decisione di sospendere le attività è stata presa nella giornata di giovedì, quando improvvisamente il sito è entrato in una sorta di modalità manutenzione in cui è di fatto impossibile consultarne il contenuto: solo domenica Cupertino ha annunciato che il motivo per cui il sito era finito offline era un presunto attacco che avrebbe compromesso la sicurezza delle informazioni degli account degli sviluppatori registrati. Ma la spiegazione potrebbe anche essere meno grave di quanto sembrerebbe.
Stando alla dichiarazione ufficiale di Apple, giovedì è stato rilevata una breccia nei suoi sistemi che avrebbe condotto alla esposizione di alcuni dati personali degli sviluppatori iscritti. In parecchi, visto il prolungarsi del downtime, avevano ipotizzato qualcosa del genere. Email, indirizzo di residenza, nome e cognome: queste le informazioni che potrebbero essere state carpite, mentre numeri di carte di credito e dati sui clienti restano al sicuro dietro una cortina di cifratura numerica. In nessun caso sono coinvolti dati relativi agli iscritti all’iTunes Store: il sistema violato non ha alcuna relazione col marketplace di Apple, pertanto chi non è uno sviluppatore può dormire sonni tranquilli.
Resta il mistero del lunghissimo intervallo intercorso tra la chiusura al pubblico del sito sviluppatori, che contiene documentazione e materiale riservato a chi produce software per le piattaforme OS X e iOS, e l’ammissione di Apple dell’effettiva violazione dei suoi sistemi: la spiegazione fornita, la necessità di valutare i danni e comunicare agli interessati informazioni precise su quanto accaduto, stride con l’ammissione di non aver chiaro quali e quanti dati potrebbero essere passati dal database nelle mani degli attaccanti. Più probabile che Apple sperasse di arginare e sistemare rapidamente la questione, minimizzando l’impatto sui proprio partner sviluppatori, e facendo passare il più possibile sotto silenzio l’accaduto: ma la portata della breccia deve essere tanto importante da richiedere un’ampia rivisitazione del sistema, e così col tempo che passava inesorabile la decisione di confessare quanto accaduto.
Detta così, la questione parrebbe seria: sebbene non siano finite in circolazione informazioni molto sensibili come i numeri di carte di credito, sta di fatto che una delle infrastrutture critiche di Apple, quella dedicata agli sviluppatori che popolano di app i suoi marketplace per iOS e OS X, ha subito un duro smacco con tanto di fuga di dati. Non un buon biglietto da visita per un’azienda che sta lottando strenuamente su un mercato difficile come quello mobile, e che deve al contempo tenere il passo nell’arrancante (per tutti) mercato desktop. Il rinvio a data da destinarsi della riapertura del sito è un brutto episodio, ma la realtà potrebbe essere meno grave di quanto appaia: se fosse vero quanto sostenuto da tale Ibrahim Balic, hacker che risiede nel Regno Unito, quella di Apple potrebbe essere una contromisura piuttosto estrema a una semplice segnalazione di un problema potenziale nei suoi sistemi.
La ricostruzione offerta da Balic in un commento su Techcrunch è la seguente: dopo aver analizzato i sistemi a cui fa capo il sito sviluppatori Apple, aveva individuato alcune potenziali vulnerabilità che si è affrettato a documentare (con tanto di alcuni dati su account riconducibili a dipendenti Apple) e comunicare attraverso un canale privato ma ufficiale (bugreporter.apple.com) all’azienda interessata. Le sue comunicazioni risalgono per l’appunto a giovedì, e di lì a poco il sito finisce offline: una coincidenza è possibile, ma il buonsenso induce a credere che Apple abbia ritenuto pericolosa la segnalazione ricevuta e abbia agito di conseguenza. È altresì possibile che il campanello d’allarme suonato da Balic abbia spinto Cupertino a dare un’occhiata ai suoi server, magari scoprendo che anche altri avevano individuato la stessa vulnerabilità.
Balic ora teme ritorsioni da parte di Apple, per questo ha reso pubblica la sua storia per mettere le mani avanti. Nel frattempo, sono partite (non si capisce bene se per iniziativa di Cupertino o perché qualcuno ha provato a violare gli account interessati) un po’ di procedure di ripristino della password per gli sviluppatori, come segnalto un po’ ovunque su forum e social network.
Resta da capire quali saranno i prossimi passi ufficiali di Apple, che ha concesso 1 settimana di estensione alle sottoscrizioni del programma sviluppatori in scadenza: entro quel termine evidentemente l’azienda spera di aver completato le procedure di ripristino e rimettere a disposizione dei suoi partner tutto il materiale al momento inacessibile.
