Il Pesa-Nervi.

Il browser che visse due volte

Considerazioni sulla sicurezza del browser Internet Explorer 5 e sulla necessità di aggiornare costantemente il proprio software, con una postilla di Michele Diodati.

Introduzione

Internet Explorer 5 per Windows è un browser dal destino singolare: ormai abbandonato e dimenticato da Microsoft, che consiglia l'aggiornamento alla versione 6 per motivi che vedremo, vive una seconda giovinezza ad opera di un nutrito gruppo di sviluppatori e webmaster, come testimonia un articolo di Alessandro Fulciniti pubblicato sul blog di HTML.it. Nonostante le statistiche diano ragione a Microsoft, questi animalisti del Web, che lottano per la salvaguardia delle specie in via d'estinzione, continuano nella loro campagna a favore di IE5, ispirandosi al principio del "best viewed with any browser" riformulato nella teoria dello "scadimento con grazia", assai in voga oggi. Questa visione del Web è condivisibile, ma nella pratica risulta deleteria soprattutto per l'utente, che in teoria ne dovrebbe risultare avvantaggiato. In tal modo, infatti, non lo si sprona ad aggiornare il proprio browser, lasciandolo in una sorta di limbo, completamente estraniato dalla realtà del Web che lo circonda. Scrive Jeffrey Zeldman:

Chi utilizza il Web soprattutto per fare acquisti, inviare e-mail oppure guardare materiale pornografico può ignorare per mesi che è disponibile un nuovo browser, e quando lo scopre nella maggior parte dei casi non se ne preoccupa.

Triste ma vero. Ma perché mai un utente dovrebbe aggiornare il suo IE5? Non per ragioni teoriche o di compatibilità di design, ma per motivi tristemente pratici che ora vedremo.

Uno spettro si aggira per il Web

Fin dalla sua comparsa, sul finire degli anni '90, IE5 si dimostrò subito un browser pieno di problemi di sicurezza. Furono scoperti a ritmo incalzante molti bug [bachi, difetti di progettazione], come quello relativo alle gestione degli ActiveX, che permette, tramite codice JavaScript, di scrivere direttamente nel registro di configurazione del sistema. Questo bug ha dato il via ad una serie di codici con cui i cracker riescono ad installare programmi maligni sul PC vittima, sfruttando la semplice navigazione dell'utente ignaro su pagine infette, tanto che fu necessario rilasciare patch su patch, due service pack ed infine l'aggiornamento alla versione 5.5, che tuttavia non risolse le cose. Fu in quel periodo che Internet Explorer fu ribattezzato dai cracker "Internet Exploder", a testimoniare la facilità con cui i malintenzionati riuscivano (e riescono) a sfruttare questi bug. E' soprattutto il malware (programmi maligni) a farla da padrone: trojan, spyware e adaware si installano così sul PC dell'utente rendendo la sua vita un inferno. La connessione viene parassitata e rallentata, pop-up a contenuto spesso pornografico si aprono in continuazione, facendo della navigazione un calvario, fino a giungere a casi estremi di blocco totale della connessione ed impossibilità di ripristinarla con successo, specie nei sistemi precedenti a Windows XP.

Viene così minato alla base il principio dell'accessibilità universale del Web, perché di fatto chi si trova in queste condizioni non riesce ad accedere neppure alla sua home page. Sui forum di sicurezza, dove ogni giorno vengono postati svariati log di analisi di sistema, si ripete all'infinito lo stesso ritornello: «Aggiorna il browser ed il tuo sistema operativo!», non appena ci si rende conto che il malcapitato di turno naviga con un browser obsoleto e con il sistema operativo non aggiornato. Voce di uno che grida nel deserto? A giudicare dalla percentuale di infezioni si direbbe di si, senza contare che neanche la versione 6 di Internet Explorer ha risolto la situazione, se si escludono alcuni benefici apportati dal rilascio del Service Pack 2 per Windows XP (per un elenco completo delle vulnerabilità di Internet Explorer 6 si consulti http://secunia.com).

Conclusione: IE5 R.I.P (Riposi in pace)

L'obiezione che si potrebbe sollevare riguarda la divisione dei compiti esistente sul Web. I webmaster, si dice, non dovrebbero occuparsi della sicurezza degli utenti, ma solo di rendere fruibili le pagine da loro create. Questo è vero finchè non si presenta una situazione come quella descritta sopra: un utente col pc infettato non riesce a fruire del Web in modo libero, e se l'infezione è particolarmente grave si può giungere anche alla formattazione del disco, cosa a cui i meno esperti sono costretti a ricorrere spesso, con tutti i disagi che essa comporta. Realizzare layout compatibili con IE5 significa incoraggiare indirettamente gli utenti ad un atteggiamento pericoloso per la sicurezza dei loro computer. E questo va contro gli interessi di chi realizza pagine web, che vorrebbe che il visitatore tornasse spesso a visitare i propri siti.

Dunque, Internet Explorer 5 riposi in pace. Amen.

Postilla di Michele Diodati

Ciò che Gabriele Romanato suggerisce è che gli esperti di codice la smettano di preoccuparsi di progettare pagine che si adattino anche (e ancora) a Internet Explorer 5. Ciò nella speranza che i superstiti utenti di questo browser siano invogliati a passare al più presto alla successiva e più sicura versione 6.

Sono d'accordo col suggerimento dell'autore, ma per una diversa ragione. Penso che la progettazione di pagine web, per essere affidabile ed economica, debba basarsi su regole standard di certa e universale applicazione (i linguaggi di marcatura del W3C, World Wide Web Consortium). Se ogni browser interpreta le regole di codifica dei documenti a modo proprio, con differenze più o meno marcate rispetto ai prodotti concorrenti, allora la certezza della resa dei documenti viene meno e - come in effetti accade - i progettisti di pagine web più esperti sono costretti a perdere molto tempo alla ricerca di trucchi di codifica (i cosiddetti hack), in grado di compensare le differenze di resa tra i vari browser e garantire una visualizzazione conforme su tutti i sistemi informatici più diffusi. Molto antieconomico, come può intuire anche chi non si intende di informatica! Evitare allora di ricorrere a trucchi di progettazione e concentrarsi solo sul rispetto delle regole standard codificate dal W3C, è il modo con cui i progettisti di pagine web possono spingere i produttori di browser a rilasciare prodotti sempre più conformi ai linguaggi di marcatura e per fogli di stile ormai standardizzati da anni.

Quanto al fatto di "costringere" gli utenti ad aggiornare i propri software alle ultime versioni disponibili, dubito fortemente che basti a tal fine rendere difficile la navigazione nel web a chi utilizza software datati e difettosi. E' innanzitutto una questione di alfabetizzazione informatica: conosco persone che usano il Web da anni, ma non hanno la minima idea di cosa sia un browser e tantomeno del fatto che possa, anzi debba, essere periodicamente aggiornato. Conosco persone che non sanno distinguere un banner pubblicitario dal contenuto informativo di un sito; che non sanno distinguere l'interfaccia dei siti visitati da quella del browser che utilizzano; che si bloccano inesorabilmente di fronte alla comparsa di qualsiasi finestra di avviso prodotta nel corso della navigazione. Utenti simili non sono in grado di comprendere che eventuali difficoltà di navigazione dipendono dai difetti del browser che stanno adoperando e meno ancora sono in grado di effettuare aggiornamenti del software.

Insomma, bisogna riflettere a mio parere su due questioni fondamentali:

• l'uso dei personal computer è obiettivamente difficile. Si tratta di strumenti potentissimi, ma estremamente complessi. Questa complessità, per quanto i software di ultima generazione cerchino di essere amichevoli e siano capaci di decidere molte cose da soli senza disturbare l'utente, non può essere nascosta o negata: c'è e bisogna fare i conti con essa.
• Il non informatico soffre quasi sempre di gravissime carenze di alfabetizzazione informatica. Detto in altre parole: ha del software e dell'hardware che compongono il suo computer più o meno lo stesso grado di conoscenza che la casalinga media ha del motore dell'automobile con cui va a fare la spesa o ad accompagnare i figli a scuola. Ciò rappresenta un vincolo formidabile, che limita fortemente le capacità d'uso del computer. Strumenti potenti, complessi e sofisticati richiedono infatti conoscenze adeguate: mentre il vecchio telefono a disco faceva una sola cosa, le telefonate, e tutti erano in grado di impararne il semplicissimo utilizzo, i moderni telefoni cellulari sono delle macchine infernali, in grado di telefonare, fotografare, spedire e-mail, fare videochiamate, registrare brani audio o video, inviare e ricevere messaggi di varia natura, ascoltare musica, navigare in Internet, scambiare dati con altri dispositivi elettronici presenti in zona, memorizzare indirizzi e testi, ricordare appuntamenti, eseguire videogiochi, ecc. ecc. L'unico problema è che il numero di coloro che sono in grado di utilizzarne completamente le capacità è di gran lunga inferiore a quel cento per cento di utenti che sapeva usare alla perfezione il vecchio telefono a disco.