Una vicenda legale complessa sta scuotendo il panorama della sicurezza informatica, portando alla ribalta una questione fondamentale: a chi appartiene la ricerca sugli exploit? Un giudice federale statunitense ha ordinato la rimozione di un exploit pubblico per iPhone, in seguito alle accuse di Magnet Forensics secondo cui non si trattava di ricerca indipendente, bensì di un segreto commerciale sottratto.
Il caso vede protagonista Magnet Forensics, un’azienda canadese leader nel settore dell’investigazione digitale e dei software forensi, e Paradigm Shift, una società fondata da un ex ingegnere di Magnet, Mario Del Gaudio. La disputa è iniziata quando Paradigm Shift ha pubblicato un exploit per iPhone X, identificato come “usbliter8”, con tanto di dettagli tecnici e codice sorgente. Magnet Forensics ha prontamente reagito, sostenendo che tale exploit fosse il frutto di un lavoro sviluppato internamente e, in quanto tale, rientrasse nei loro segreti commerciali.
La giudice Victoria Marie Calvert del tribunale distrettuale statunitense, accogliendo parzialmente la richiesta di ingiunzione preliminare presentata da Magnet, ha ordinato a Paradigm Shift e a Mario Del Gaudio di eliminare entro il 23 luglio tutti gli articoli, il codice, i dettagli tecnici e i materiali correlati all’exploit usbliter8. Entro quella data, Paradigm Shift ha sostituito l’articolo originale con una pagina che ne documenta “indirettamente” la rimozione.
Questo episodio solleva interrogativi cruciali con implicazioni di vasta portata, anche per il mercato italiano. In un’epoca in cui la sicurezza dei dati personali è una priorità assoluta e gli smartphone, in particolare gli iPhone, sono custodi delle nostre vite digitali, la comparsa di exploit accessibili al pubblico rappresenta un rischio significativo. Per le aziende italiane che si affidano a infrastrutture Apple, la conoscenza tempestiva e la patch di queste vulnerabilità sono vitali. Tuttavia, la contesa legale tra Magnet e Paradigm Shift evidenzia la tensione tra la libera divulgazione della ricerca sulla sicurezza – spesso a beneficio della comunità nel suo complesso – e la protezione della proprietà intellettuale delle aziende.
Nel contesto italiano, dove la protezione dei dati è rafforzata dal GDPR, la gestione degli exploit e la responsabilità delle aziende nella loro divulgazione o occultamento assumono un’importanza ancora maggiore. Da un lato, i ricercatori di sicurezza, spesso mossi dall’etica hacker che promuove la condivisione delle vulnerabilità per migliorare la difesa digitale, potrebbero sentirsi limitati da ingiunzioni legali. Dall’altro, le aziende investono ingenti risorse nello sviluppo di strumenti e tecniche per l’analisi forense e la scoperta di vulnerabilità, considerandoli asset proprietari fondamentali per il loro business.
La decisione del giudice segna un punto a favore di Magnet Forensics e della protezione dei segreti commerciali. Tuttavia, il dibattito su chi debba “possedere” la ricerca sulla sicurezza, specialmente quando si tratta di exploit che potrebbero essere utilizzati sia per fini legittimi (come le indagini forensi) sia illeciti, è tutt’altro che concluso. Questo caso potrebbe influenzare il modo in cui le vulnerabilità verranno divulgate e gestite in futuro, con possibili ripercussioni sulla trasparenza e sulla velocità con cui le minacce alla sicurezza vengono affrontate a livello globale e, di conseguenza, anche per gli utenti e le aziende nel nostro Paese.
Fonte: appleinsider.com