Cosa si ripristina dopo il furto di una credenziale?

Noti con quanta sicurezza si risponde a quasi tutto il resto. Un disco si guasta, si ripristina dal backup. Arriva il ransomware, si passa alla replica. L'intera disciplina del disaster recovery esiste per rendere il guasto sopravvivibile, e per i dati funziona — RAID non è un backup, quindi se ne conserva uno, e in ogni caso si è coperti.

Poi arriva la credenziale, e trent'anni di quella macchina non hanno nulla da darle. Non esiste una copia pulita di fiducia da cui ripristinare. Una volta che una chiave è stata presa, non si torna indietro rispetto alla violazione: si revoca, si rilascia di nuovo e si ricostruisce il tessuto di fiducia da zero. E mentre lo si fa, tutto ciò che si autentica attraverso quelle credenziali è giù con loro: le buste paga, i deploy, i database a cui le stesse applicazioni si collegano, gli agenti su cui si è impiegato un anno a distribuirli.<br>L'attività non rallenta — si ferma. I dati si possono mettere in backup. La fiducia no. Quindi la risposta onesta alla domanda con cui si è aperto è quella scomoda: nulla. Non si esce ripristinando.

Cosa è successo davvero

Il 2026 rende costosa questa distinzione. Una nuova famiglia di attacchi Linux — Copy Fail, DirtyClone, pedit COW — si installa su una macchina senza modificare un singolo file su disco. Avvelena la copia di un binario di sistema affidabile che risiede nella memoria del kernel ed esegue quella. Il file su disco non viene mai toccato, quindi il monitor di integrazione ne calcola il checksum, lo trova identico a ieri e riporta tutto verde; l'antivirus analizza il disco e non trova nulla di anomalo, perché sul disco non c'è nulla di anomalo. L'attaccante ha una shell root mentre ogni strumento in possesso certifica che la macchina è pulita — e un riavvio cancella le prove, perché sono esistite solo in memoria.

Gli strumenti non sono rotti. Sorvegliano i byte a riposo sul disco, che per vent'anni è stato il posto giusto da sorvegliare, all'epoca in cui cambiare ciò che fa un programma significava cambiare il suo file. Il terreno si è mosso sotto l'ipotesi, non sotto lo strumento. Continui a usarli — ma sia chiaro cosa sono: un muro, che si giudica se regge.

La domanda che saltiamo

Da trent'anni si giudica la sicurezza su una sola cosa: li ha tenuti fuori? Firewall, EDR, monitor di integrazione — tutto questo è prevenzione, e la prevenzione è una domanda legittima. Soltanto che non è più una domanda su cui puntare un'azienda, perché quando un'intrusione può essere invisibile, non lasciare tracce e sopravvivere ai migliori strumenti che riportano tutto pulito, «tenerli fuori» smette di essere una strategia e diventa una speranza.

La domanda che saltiamo è quella che decide quanto sia davvero grave la giornata: quando entrano — e entreranno — cosa possono portarsi via? E qualunque cosa sia, la prima regola è quella che l'archiviazione ci ha insegnato: non si può mettere in backup. La fiducia non torna.

Progettata apposta, di proposito

Quindi la mossa non è mai stata trovare un backup per le credenziali. Non ne esiste uno — è proprio questo il punto. La mossa è fare in modo che, quando il muro crolla, dietro non ci sia nulla di valore da portar via.

Una credenziale rilasciata alla maniera di Clavitor non giace mai a riposo sulla macchina che l'attaccante ha appena compromesso in root. È vincolata a quella singola macchina, quindi una copia prelevata altrove è peso morto. È limitata a un singolo compito e scade, quindi anche root — anche root invisibile e senza tracce — ottiene un solo token di breve durata per un solo compito, non le chiavi di tutto. E il registro di ciò che ha toccato vive fuori dalla macchina, sul vault, encadenato tramite hash, dove chi possiede la macchina non può riscrivere la storia in silenzio. L'intrusione riesce comunque. Il colpo non porta via nulla, e l'unico registro a cui non possono accedere ha già annotato quanto è successo.

Nulla di tutto questo la rende impossibile da violare, e chiunque venda il contrario mente. Rende la violazione sopravvivibile — toglie dal tavolo l'unico esito da cui non ci si riprende, la fiducia che non si può ripristinare. Se si incolla personalmente una master key di lunga durata in un file su quella macchina, root la leggerà; nulla salva dal rimettere in piedi proprio la cosa che questo esiste per eliminare. Nemmeno un backup ferma il ransomware. Significa solo che il ransomware non la chiude.

La lezione non è «comprare un muro migliore»

Forse la revisione della sicurezza non dovrebbe aprirsi con la domanda che poniamo da trent'anni. Non «è sicuro» — tutti dicono di sì, e prima o poi tutti sbagliano. Chieda quella che l'archiviazione ha già imparato a porsi: quando questo fallisce, ha conseguenze? L'ha risposta per i dati il giorno in cui si è capito che RAID non bastava e si è tenuto un backup. Le credenziali non hanno un backup. Quindi l'unica risposta rimasta è fare in modo che non ci sia nulla da perdere.

Abbiamo annotato le regole che uno strumento per credenziali deve rispettare per il giorno in cui il muro crolla.

Clavitor (@clavitorai) è il credential vault progettato per gli agenti AI, e contro di loro. clavitor.ai

Fonti

[1] Unit 42 (@Unit42_Intel) — Copy Fail (CVE-2026-31431): ciò che deve sapere. Una scrittura sulla page cache corrompe la copia in memoria di un binario privilegiato come /usr/bin/su senza toccare il file su disco; colpisce quasi tutte le distribuzioni, kernel dal 2017 in poi.

[2] The Hacker News (@TheHackersNews) — La nuova exploit Linux pedit COW consente l'accesso root avvelenando i binari in cache (CVE-2026-46331). Avvelena il /bin/su in cache; i controlli di integrazione dei file riportano tutto pulito.

[3] The Hacker News (@TheHackersNews) — La nuova falla nel kernel Linux DirtyClone consente agli utenti locali di ottenere i privilegi root tramite pacchetti clonati (CVE-2026-43503). La modifica vive solo in memoria; nessuna traccia di audit e un riavvio ripristina il binario originale.