Scaricare un software comporta rischi che la maggior parte degli utenti sottovaluta. Un falso sito ufficiale, un programma di installazione modificato o una semplice casella preselezionata possono bastare a compromettere un computer. I meccanismi di verifica integrati nei sistemi operativi e nei gestori di pacchetti riducono questi rischi, ma la loro efficacia varia in base al canale di download scelto.
Firma digitale e gestore di pacchetti: confronto tra i canali di download
Non tutti i canali di download sono uguali. Alcuni verificano automaticamente l’integrità del file, mentre altri lasciano l’utente solo davanti a un programma di installazione di cui non può confermare la provenienza.
| Canale | Verifica automatica dell’impronta | Firma dell’editore verificata | Rischio di software modificato |
|---|---|---|---|
| winget (Windows Package Manager) | Sì | Sì | Basso |
| Microsoft Store | Sì (SmartScreen integrato) | Sì | Basso |
| Ninite | Sì | Sì | Basso |
| Sito ufficiale dell’editore | No (verifica manuale tramite hash) | Variabile a seconda dell’editore | Moderato |
| Sito di terze parti / mirror non ufficiale | No | No | Elevato |
Un’analisi condotta su 14 software gratuiti mostra che 11 su 14 sono disponibili in winget e che 9 degli 11 presenti in winget dispongono di una firma riconosciuta da Windows. Sei sono disponibili anche nel Microsoft Store. Questi dati confermano che i gestori di pacchetti coprono ormai la maggior parte degli strumenti più comuni.
Quando cerchi di installare un software in tutta sicurezza, la scelta del canale è importante quanto quella del software stesso.
Falsi siti ufficiali e programmi di installazione infetti: differenze di rischio tra le fonti
Alla fine di ottobre 2022, un annuncio Google per GIMP mostrava l’indirizzo gimp.org. Facendo clic si veniva reindirizzati a gilimp.org, un clone che ospitava un programma di installazione da 700 MB contenente Vidar, un malware che ruba le password. Tra il sito mostrato e quello reale c’era una sola lettera di differenza.
Questo tipo di attacco sfrutta la fiducia suscitata dall’aspetto. Il nome di dominio somiglia all’originale, il design del sito è copiato e il file proposto ha il nome previsto. Controllare il nome di dominio lettera per lettera è la prima precauzione da adottare prima di scaricare qualsiasi file da un motore di ricerca.
Verificare l’impronta del file prima di eseguirlo
La maggior parte degli editori di software libero pubblica l’impronta (hash SHA-256 o MD5) dei file da scaricare. Tra gli 8 software liberi dell’analisi citata in precedenza, 7 pubblicano la propria impronta sulla pagina ufficiale. Nessun editore commerciale fa altrettanto sulle proprie pagine pubbliche.
Verificare questa impronta richiede meno di un minuto su Windows con il comando certutil -hashfile nel prompt dei comandi. Se l’hash non corrisponde, il file è stato modificato tra il server dell’editore e il tuo computer.
- Recupera l’hash pubblicato sul sito ufficiale dell’editore (non su un forum o un sito di terze parti)
- Apri il prompt dei comandi e digita: certutil -hashfile percorso_del_file SHA256
- Confronta le due stringhe: devono essere perfettamente identiche
- In caso di dubbi, invia l’impronta a VirusTotal prima di caricare il file stesso, per evitare di condividere un documento potenzialmente sensibile
Avvisi SmartScreen e applicazioni non firmate su Windows
Quando Windows mostra il messaggio “Windows ha protetto il tuo PC”, SmartScreen segnala che l’applicazione non è riconosciuta o che non dispone di una firma. Questo filtro blocca per impostazione predefinita gli eseguibili privi di una reputazione consolidata.
Disattivare SmartScreen per forzare l’installazione è un errore comune. Un avviso SmartScreen non significa che il file sia pericoloso, ma che non è stato verificato. La differenza è importante: un software legittimo ma scaricato da poche persone attiverà lo stesso avviso di un malware recente.
Cosa fare in caso di avviso
Prima di fare clic su “Esegui comunque”, sono necessarie due verifiche:
- Verifica che il file provenga effettivamente dal sito ufficiale dell’editore (controlla l’URL nella cronologia dei download del browser)
- Fai clic con il tasto destro sul file, apri le proprietà e poi la scheda “Firme digitali”: il nome dell’editore deve corrispondere a quello dello sviluppatore previsto
- Se non compare alcuna firma e il software non è open source, interrompi l’installazione e cerca un’alternativa in winget o nel Microsoft Store
Cyber Resilience Act: cosa cambia con il regolamento europeo sugli aggiornamenti software
La sicurezza di un software non si decide solo al momento del download. Un software non più mantenuto accumula vulnerabilità che gli aggressori sfruttano anche mesi dopo l’installazione.
Il regolamento europeo sulla ciberresilienza (Cyber Resilience Act, regolamento UE 2024/2847) impone agli editori di prodotti digitali obblighi di monitoraggio. Gli obblighi di segnalazione delle vulnerabilità si applicano a partire dall’11 settembre 2026. L’applicazione principale del regolamento, che riguarda i requisiti di sicurezza durante il ciclo di vita dei prodotti, entrerà in vigore l’11 dicembre 2027.
I software open source non sono automaticamente esenti. Il regolamento riguarda anche alcuni software distribuiti in modo indipendente, con obblighi che variano in base al ruolo dell’attore e alla modalità di distribuzione. Un software gratuito mantenuto da una fondazione commerciale può rientrare nel campo di applicazione.
Questo quadro normativo offre un criterio concreto per la scelta: privilegia gli editori che pubblicano un calendario degli aggiornamenti e una procedura per segnalare le vulnerabilità. Un software il cui ultimo aggiornamento risale a più di un anno fa e che non indica alcuna politica di sicurezza presenta un rischio crescente nel tempo.
Il canale di download, la verifica dell’impronta e il monitoraggio degli aggiornamenti sono tre filtri complementari. Nessuno basta da solo. Il dato più significativo resta quello dell’analisi: su 14 software testati, 11 sono disponibili tramite winget con verifica automatica. Per la maggior parte delle installazioni più comuni, è la strada più rapida per ottenere un computer affidabile.
