Aggiornamenti del software

Confrontata come testo, la versione «2.9.1» viene dopo «2.10.0», perché il carattere 9 viene dopo 1; confrontata come numeri, la 2.9.1 è la più vecchia.

La 2.10.0 è più recente della 2.9.1?

Prova prima di leggere altro. Il telefono dice che è disponibile la versione 2.10.0, e tu hai la 2.9.1. È un aggiornamento? Esegui l'esercizio qui sotto senza cambiarlo e guarda la prima riga. Stampa false. È sbagliato. Il testo si confronta carattere per carattere, e al terzo carattere 9 viene dopo 1, quindi il confronto si ferma lì e non vede mai il 10. Correggi la funzione, poi continua a leggere.

Che cosa porta davvero un aggiornamento

Ogni programma grande contiene errori. Alcuni di questi errori sono vulnerabilità, difetti che permettono a qualcuno di eseguire il proprio codice sul tuo dispositivo, leggere file che non dovrebbe o impadronirsi di un account. Quando il produttore trova un difetto o ne viene informato, pubblica una correzione, chiamata patch, dentro un aggiornamento. Il messaggio della CISA è breve: non premere «Ricordamelo più tardi». I criminali studiano le patch per capire quale difetto è stato corretto e poi prendono di mira i dispositivi che non le hanno ancora installate. Quindi i giorni dopo l'uscita di un aggiornamento sono quelli in cui un dispositivo non aggiornato è più esposto.

Una vulnerabilità che gli attaccanti sfruttano prima che esista una patch si chiama zero-day, perché il produttore ha avuto zero giorni per correggerla. Gli zero-day finiscono sui giornali. La maggior parte degli attacchi riusciti, però, sfrutta difetti corretti da tempo, su dispositivi che non hanno mai installato la correzione. La CISA tiene un catalogo pubblico, Known Exploited Vulnerabilities, con i difetti visti in attacchi reali, e le agenzie federali statunitensi devono correggerli entro scadenze fissate. Per tutti gli altri la lezione è la stessa: installa gli aggiornamenti poco dopo che arrivano.

Lasciare che i dispositivi si aggiornino da soli

L'abitudine più facile è attivare gli aggiornamenti automatici. La CISA suggerisce di cercare nelle impostazioni del dispositivo alla voce Software o Sicurezza, oppure di cercare «aggiornamenti automatici» nelle impostazioni. Non tutto si aggiorna da solo, quindi installa anche quelli che ti vengono notificati, e dai la precedenza ai browser web e ai software di sicurezza, che stanno esposti a internet tutto il giorno. Ricordati dei dispositivi meno ovvi. Anche il router di casa, le smart TV, le videocamere e gli altri apparecchi connessi eseguono software, e la guida della CISA sul ransomware elenca insieme sistemi operativi, applicazioni e firmware come cose da tenere aggiornate.

Prendi gli aggiornamenti solo dalle impostazioni del dispositivo o dal suo store ufficiale. Una pagina web che all'improvviso dice che il tuo browser non è aggiornato e propone un download è un trucco comune per installare malware. Fai attenzione anche alla fine del supporto. Quando un produttore smette di pubblicare aggiornamenti di sicurezza per un vecchio sistema operativo o dispositivo, i nuovi difetti non vengono mai più corretti. Il sito Boho Nara della KISA pubblica avvisi quando finisce il supporto di software molto diffusi, consigliando di aggiornare o di passare a qualcosa ancora supportato.

Spesso gli aggiornamenti richiedono un riavvio per avere effetto, e un riavvio in sospeso è un aggiornamento che non ti protegge ancora. Scegli un momento, per esempio la fine della giornata, e lascia che il dispositivo si riavvii quando lo chiede. Sui telefoni, tieni abbastanza spazio libero perché gli aggiornamenti si scarichino, dato che un telefono pieno è un motivo frequente per cui gli aggiornamenti si fermano senza avvisare. Una volta al mese, apri la schermata degli aggiornamenti di ogni dispositivo e controlla che dica che è aggiornato.