Attacco hacker (?) al sito INPS

Oggi i social ed i mezzi di comunicazione hanno parlato molto di una, chiamiamola così, singolare anomalia di funzionamento del sito INPS. Ho scritto questo post per rispondere alle domande e richieste di chiarimento che ho ricevuto.

La singolare anomalia di funzionamento è questa: alcune persone si sono collegate al sito INPS, si sono autenticate, il sito non mostrava i loro dati bensì i dati di altri cittadini iscritti al sito.

Determinare la causa di questa anomalia con certezza, ovviamente, non è possibile da casa mia, con le sole informazioni di cui dispongo.

L'ipotesi di gran lunga più probabile sulla base di queste informazioni è che ci sia stato un errore di configurazione sul sito (maggiori dettagli più sotto).

Alcuni organi ufficiali hanno parlato di "attacco hacker".

E' certo che ogni sito web, in tutto il mondo, è sistematicamente oggetto di numerosi "attacchi hacker" (che possono avere successo o meno). E' certo che in questo periodo ci sono numerosi attacchi legati all'emergenza che stiamo vivendo. E' possibile che ci siano stati attacchi sul sito INPS tra stanotte e questa mattina. E' estremamente improbabile, per usare un eufemismo, che un attacco hacker possa essere la causa dell'anomalia riportata dai mezzi di informazione.

Credo che quanto ho scritto sinora sia incontestabile. Seguono mie opinioni ed alcuni dettagli tecnici.

Opinioni

1. In un momento così difficile per il mondo intero e per il nostro paese, occorre avere il massimo rispetto per chi lavora nei servizi di pubblico interesse. Occorre anche, secondo me, prendere semplicemente atto di eventuali errori, mancanze ed omissioni. Se c'è stato un errore di configurazione sulla infrastruttura web INPS, dobbiamo prenderne atto e basta, senza sbraitare e senza puntare il dito su nessuno. Il nostro paese soffre di enormi carenze nell'ambito delle tecnologie informatiche, da tempo, quindi non c'è da stupirsi. Dobbiamo solo avere pazienza ed avere rispetto per chi si trova in questo momento a cercare di tirare la carretta.
2. Nonostante quanto ho appena scritto, non posso fare a meno di irritarmi quando leggo affermazioni evidentemente infondate, almeno sulla base delle informazioni di cui disponiamo, il cui effetto è quello di nascondere errori, mancanze, omissioni. Irritarmi è poco. Meglio che non espanda questo punto ulteriormente.
3. Se si fosse verificato un attacco hacker sul sito INPS ed avesse avuto successo, proprio oggi in un momento di massima allerta, allora le mancanze sarebbero state ben più gravi di un errore di configurazione. Basta riflettere sulla natura dei dati esposti.

Dettagli tecnici

L'anomalia di funzionamento è quasi certamente dovuta ad un errore nella configurazione del caching delle risposte HTTP.

Una infrastruttura web complessa come quella dell'INPS è composta da molti web server, dispositivi di load balancing, reverse proxy (dispositivo "messo davanti" ai web server che mantiene risposte in una cache locale ed usa tali risposte ogni volta che è possibile, per rispondere direttamente ai client senza inoltrare la richiesta ai web server). Molto probabilmente è presente una "content distribution network (CDN)" (insieme di molti reverse proxy distribuiti geograficamente, le cui cache locali possono essere anche riempite in anticipo "da dietro"). 

Molto probabilmente, ciò che è accaduto è questo: si è creata una situazione in cui le richieste di un utente A venivano, erroneamente, servite da risposte che erano state create per un utente B ed erano state memorizzate in una cache. Quindi l'utente A inviava richieste al sito e riceveva risposte che erano state create per altri utenti, poco tempo prima.