Camuffare quello che conta come se fosse puro e inutile rumore, eludendo così gli attacchi hacker. È l’obiettivo della nuova implementazione del protocollo crittografico Tls sviluppata e annunciata da Amazon Web Services. La libreria open source è stata ribattezzata s2n, che significa “signal to noise” e richiama proprio il rapporto segnale/rumore nei sistemi di trasmissione dell’informazione. S2n si pone come alternativa molto più leggera e potenzialmente sicura del protocollo Tls, funestato negli anni da evidenti problemi e da oltre 500mila linee di codice nella versione OpenSsl, che ne rendono complicate le revisioni. Come dichiarato su un blog da Stephen Schmidt, vice president, security engineering e Chief Information Security Officer di Amazon Web Services, la nuova libreria open source consta di soltanto seimila linee di codice ed è stata progettata per essere più piccola e veloce di Tls.
Grazie proprio alla leggerezza, Aws ha già completato tre valutazioni esterne di sicurezza e inizierà a breve a implementare s2n all’interno dei propri servizi cloud. Senza obbligare i clienti a cambiare nulla, in quanto Tls e la nuova libreria rimangono perfettamente interoperabili. Aws continuerà comunque a supportare lo sviluppo del Transport Layer Security tramite l’implementazione OpenSsl, che negli anni è diventata lo standard de facto di questo tipo di protocollo.
Ma le diverse vulnerabilità nascoste nell’oceano di codice che costituisce OpenSsl hanno spinto diversi vendor a riunirsi per sviluppare qualcosa di alternativo. È nata così la Core Infrastructure Initiative: un progetto ospitato dalla Linux Foundation per lanciare iniziative open source che cerchino di superare alcuni problemi critici per la sicurezza informatica. L’idea è venuta in seguito alla grave crisi scatenata da Heartbleed, un bug nascosto nella libreria crittografica di OpenSsl che nel 2014 diffuse il panico in tutto il mondo.
Questa implementazione aperta prevede infatti due librerie: “libssl”, che riguarda Tls e “libcrypto” che, come si può intendere dal nome, rappresenta una sorta di archivio di chiavi crittografiche per uso generico. S2n è un metodo alternativo a “libssl”, ma non a “libcrypto”. Vedremo ora se la leggerezza promessa da Amazon Web Services riuscirà ad andare a braccetto anche con la sicurezza.