Informatica Esercito: due falle di sicurezza da Piattaforma d'apprendimento

Non una, ma due lacune di sicurezza sono state trovate nella piattaforma di apprendimento a distanza (LMS) dell'esercito in un mese. Entrambe le falle sono state «tappate» nel giro di poche ore ha detto oggi in serata l'esercito.

Le lacune alla sicurezza sono state scoperte indipendentemente l'una dall'altra, ha detto il servizio di informazioni dell'esercito con un comunicato a commento di notizie dei media secondo cui un problema non era stato risolto per settimane.

Il 25 gennaio, la scuola reclute con apprendimento da remoto ha segnalato una vulnerabilità nel Learning Management System (LMS), creato per permettere alle reclute di effettuare da casa la parte teorica dell'istruzione di base generale, in rispetto dell'obbligo del telelavoro.

La falla permetteva agli utenti di visualizzare i dati di altri utenti. Il motivo era un errore di configurazione che aveva assegnato ruoli e permessi errati a vari utenti. Secondo l'esercito, questo errore è stato corretto in poche ore.

Il 24 febbraio, un utente della piattaforma di apprendimento ha segnalato una seconda possibile lacuna di sicurezza all'organo federale per la protezione dei dati: aveva trovato un modo per ottenere l'accesso a dati come indirizzi di posta elettronica o numeri personali di altri utenti. Il gestore (la società RUAG), assieme alla ditta produttrice, ha adottato immediatamente le misure volte a eliminare il punto debole.

Secondo quanto appurato finora dall'esercito, i due problemi di sicurezza sono indipendenti l'uno dall'altro. Il secondo incidente potrebbe essere localizzato in un'interfaccia tra una vecchia versione ancora attiva della piattaforma di apprendimento. La recluta che ha segnalato il disguido ha trovato la vulnerabilità grazie alle sue conoscenze informatiche.

Secondo la nota delle forze armate, il sistema è costantemente sottoposto a nuovi test di sicurezza e si stanno prendendo diverse misure per migliorarlo.

La prima falla è diventata di dominio pubblico il 4 marzo. L'esercito aveva riferito che un controllo non aveva rivelato alcun accesso non autorizzato ai dati.

«20 Minuten» ha riferito che l'esercito era a conoscenza di una falla nella sicurezza del sistema di apprendimento dalla fine di gennaio.