Collaborazione con ricercatori di sicurezza esterni
Aggiornamento di sicurezza Origin
Di Adrian Stone, Sr. responsabile senior della sicurezza dei prodotti di EA
10 dicembre 2019
Oggi è stata rilasciata una versione aggiornata del client Origin per risolvere una vulnerabilità della sicurezza precedentemente individuata. In determinate circostanze, il problema avrebbe potuto consentire a un utente valido con autorizzazioni limitate di ottenere accesso di livello privilegiato su computer sui quali è installato Origin.
L'aggiornamento è già disponibile all'interno del client Origin e può anche essere scaricato direttamente qui. Durante le nostre indagini e lo sviluppo dell'aggiornamento non abbiamo individuato alcuna prova dell'utilizzo della vulnerabilità.
Ci è stata in origine segnalata tramite il nostro programma di segnalazione delle vulnerabilità di sicurezza dei prodotti. Desideriamo ringraziare Vasily Kravetz di AMonitoring e Matt Nelson per aver lavorato a stretto contatto con noi durante le indagini e lo sviluppo della correzione in conformità con le pratiche della Coordinated Vulnerability Disclosure.
Abbiamo pubblicato un avviso di sicurezza con ulteriori dettagli sulla vulnerabilità e un articolo di aiuto che descrive più dettagliatamente l'aggiornamento.
Si tratta di un problema molto specifico che abbiamo riscontrato in altri settori dell'industria dei videogiochi. Perciò, abbiamo pensato che valesse la pena condividere alcuni retroscena aggiuntivi su come è nato.
Molti dei nostri giocatori PC su Origin costruiscono PC da gaming e utilizzano laptop da gaming di fascia alta, perciò il client Origin fu sviluppato ipotizzando che tutti gli utenti operassero come utenti altamente avanzati che desiderano avere il pieno controllo amministrativo del loro sistema in ogni momento. Da allora, lo standard dell'industria ha iniziato a cambiare. Più persone, inclusi alcuni giocatori, usano il loro computer come utenti standard "limitati". E alcuni creano degli account per altri utenti limitati per condividere un sistema con più di una persona. Questa pratica, denominata "privilegio minimo" nel settore della sicurezza, aiuta a limitare l'impatto di potenziali problemi di sicurezza. I produttori di sistemi operativi hanno recentemente iniziato ad accorgersi di questo mutamento e, per adattarsi a esso, hanno apportato delle modifiche ai loro sistemi operativi.
Se un hacker avesse tentato di sfruttare questa vulnerabilità, avrebbe dovuto accedere a un computer con un account utente non amministratore valido. Avrebbe quindi dovuto installare un programma appositamente creato o eseguire un codice che modificasse parte del software per ottenere un livello di accesso elevato.
La maggior parte dei nostri attuali utenti di Origin ha già accesso a livello di amministratore e i loro sono gli unici account utente presenti sul computer (il numero di utenti senza accesso a livello di amministratore è inferiore al 5% del totale della nostra base di utenti di Origin). Perciò, per la maggior parte degli utenti è improbabile che la vulnerabilità venga sfruttata poiché non comporterebbe accesso o privilegi più elevati.
Anche se il problema avrebbe riguardato solo un numero limitato di giocatori che hanno installato il client Origin, per noi è molto importante la sicurezza e la protezione di ogni utente, quindi siamo felici di aver risolto questo problema con l'aggiornamento di oggi e l'introduzione della modalità accesso limitato. Inoltre, in base alle informazioni che abbiamo acquisito, ci impegniamo a migliorare nelle versioni future il nostro approccio ai principi del privilegio minimo per quanto riguarda Origin e la modalità accesso limitato. Le interazioni positive come questa tra la community della ricerca per la sicurezza e gli editori di videogiochi stanno facendo aumentare per tutti il livello della sicurezza.
