SolidCraft porta l'automazione CAD sotto i riflettori della sicurezza
Una suite CAD open source in fase di sviluppo, utilizzabile su desktop e browser, può sembrare uno strumento per la produttività, ma il suo design parametrico e adatto all'automazione solleva anche le consuete questioni di fiducia, gestione degli input e sicurezza dei flussi di lavoro.
Introduzione
Il software per la progettazione 3D non serve solo a disegnare forme. Nei moderni flussi di lavoro ingegneristici, gli strumenti CAD hanno spesso accesso diretto a geometrie sensibili, logiche di progettazione riutilizzabili e collaborazioni basate su file. SolidCraft si inserisce in questo ambito come progetto parametrico e adatto all'automazione, che a quanto pare è pensato per l'uso sia su desktop sia nel browser. Vale la pena seguirlo non perché sia stata dimostrata una vulnerabilità, ma perché questa categoria comporta di per sé un onere di sicurezza ben noto.
In breve
- A quanto pare, SolidCraft si propone come una suite CAD open source per la modellazione 3D.
- Il progetto sarebbe destinato all'uso su desktop e nel browser.
- Stando a quanto riferito, l'interfaccia è incentrata sulla progettazione parametrica e sull'automazione.
- A quanto pare, il progetto è ancora in fase di sviluppo, quindi le sue funzionalità definitive non sono ancora state stabilite.
Contesto
Il CAD parametrico è potente perché consente di modificare un progetto intervenendo su regole e parametri, invece di ridisegnare ogni oggetto. Questa stessa flessibilità può rendere più complesso proteggere il software circostante. Qualsiasi sistema che accetti dati di progettazione strutturati, file importati o input di automazione deve stabilire cosa considerare attendibile e cosa rifiutare.
Se uno strumento CAD funziona anche nel browser, possono applicarsi i consueti problemi di sicurezza web, ma l'esatta superficie di attacco dipende dall'implementazione. In pratica, possono rientrarvi l'autenticazione, la gestione delle sessioni, la gestione dei file e la sicurezza dell'elaborazione lato client. Per SolidCraft non è stato accertato nessuno di questi dettagli. La prudente conclusione è più generale: più uno strumento di progettazione si comporta come un'applicazione web, più il suo livello di sicurezza dipende da un'attenta progettazione dei confini.
L'open source può favorire la trasparenza e le revisioni esterne, ma non elimina i rischi operativi. I progetti di questa categoria traggono in genere vantaggio dal trattare modelli importati, script e input di automazione come non attendibili, finché non ne sia stata verificata l'affidabilità. Questo principio è importante perché gli ambienti CAD gestiscono spesso proprietà intellettuale di valore e l'integrità del modello può essere importante quanto la riservatezza del file.
Le informazioni pubbliche non consentono ancora di stabilire tutte le funzionalità di SolidCraft né i dettagli della sua distribuzione, pertanto qualsiasi valutazione di sicurezza resta preliminare. Ciononostante, il progetto mette in evidenza una lezione ricorrente della sicurezza software: le funzionalità pratiche e i flussi di lavoro programmabili aumentano l'utilità, ma richiedono anche una convalida più rigorosa, impostazioni predefinite più sicure e confini di fiducia ben definiti fin dall'inizio.
Conclusione
SolidCraft è interessante meno come prodotto finito che come indicatore della direzione verso cui si sta muovendo il software di progettazione. Quando il CAD diventa più adatto all'uso nel browser e più orientato all'automazione, comincia ad assomigliare ad altre piattaforme di grande valore, che richiedono una gestione disciplinata degli input e una progettazione sicura dei flussi di lavoro. La lezione duratura è semplice: nel moderno software ingegneristico, usabilità e sicurezza devono essere progettate insieme.
TECHCROOK
Unità esterna di backup crittografata: I file ingegneristici possono rappresentare proprietà intellettuale di valore, quindi mantenere backup separati è una misura pratica di protezione del flusso di lavoro. Un'unità esterna crittografata può conservare copie dei progetti CAD e dei file correlati; scollegala quando non è in uso e verifica periodicamente che i backup possano essere ripristinati.
WIKICROOK
- CAD parametrico: metodo di progettazione in cui la geometria è controllata da parametri e regole modificabili.
- Open source: software il cui codice sorgente è disponibile pubblicamente per essere esaminato e modificato.
- Superficie di attacco: insieme di input, interfacce e componenti che possono essere presi di mira.
- Confine di fiducia: punto oltre il quale i dati provenienti da un ambiente non devono essere considerati sicuri in un altro.
- Elaborazione lato client: attività svolta nel browser dell'utente o sul suo dispositivo locale anziché su un server.
