Categoria: Sicurezza

Sicurezza informatica

  • Testimonianza di Snowden al Parlamento Europeo

    Lo scorso dicembre la Commissione per le libertà civili, giustizia e affari interni del Parlamento Europeo ha inviato ad Edward Snowden alcune domande nell’ambito dell’inchiesta sulla sorveglianza di massa dei cittadini europei.

    Snowden ha deciso di partecipare con una diretta video, che non è ancora stata resa pubblica, ma è disponibile una trascrizione di domande e risposte riprodotta alla fine di questo articolo e scaricabile anche in formato PDF tramite il link nell’IFRAME di Scribd.

    La lettura del testo è molto interessante: non contiene nulla di nuovo, ma fa il punto sulla posizione di Snowden e sulle sue motivazioni.

    Dal punto di vista tecnico questo passaggio è degno di nota:

    The good news is that there are solutions. The weakness of mass surveillance is that it can very easily be made much more expensive through changes in technical standards: pervasive, end-to-end encryption can quickly make indiscriminate surveillance impossible on a costeffective basis. The result is that governments are likely to fall back to traditional, targeted surveillance founded upon an individualized suspicion. Governments cannot risk the discovery of their exploits by simply throwing attacks at every “endpoint,” or computer processor on the end of a network connection, in the world. Mass surveillance, passive surveillance, relies upon unencrypted or weakly encrypted communications at the global network level.

    Come molti esperti del settore ripetono da tempo, la cifratura dei dati è utile; per citare un esempio, si veda il discorso di Mikko Hyppönen sulla NSA. (altro…)

  • Attacchi ai router ADSL

    luce rossaTeam Cymru ha pubblicato un report [PDF] che descrive una serie di attacchi portati ai router ADSL di fascia casalinga o SOHO.

    I dispositivi coinvolti sono di molte marche tra cui TP-Link, ZxXEL, D-Link, Micronet, Tenda. Le vittime di questi attacchi sono concentrate in pochi Stati, tra cui anche l’Italia.

    L’attacco sfrutta delle vulnerabilità del firmware dei dispositivi che permettono di modificare la configurazione dei dispositivi da remoto senza conoscere la password di accesso. Questi router permettono di modificare la configurazione da un IP esterno alla LAN per consentire al provider o comunque a chi fornisce il supporto di modificare le impostazioni senza intervenire sul posto. (altro…)

  • Attenzione alle webcam

    Wired riporta la notizia della condanna di un londinese condannato per voyeurismo per aver installato dello spyware sui computer delle vittime con il pretesto di sistemare il loro computer.

    Questi sono crimini odiosi perché si basano sulla buona fede delle persone e le colpiscono nella loro intimità, dove si dovrebbero sentire al sicuro.

    Oramai bisogna iniziare a considerare le telecamere come si considerano i microfoni in uno studio di trasmissione: sempre attive e pronte a trasmettere.

    Quando si sceglie l’acquisto di una webcam o di un portatile è bene prediligere i modelli che permettono di oscurare fisicamente l’ottica. Quando la telecamera USB non è in uso è bene staccarla; in un portatile la si può coprire con del nastro adesivo sui cui è collocato un pezzo di carta nell’area sopra l’ottica per evitare di contaminare con la colla la parte trasparente. Se non si vuole staccare la webcam USB, si può costruire un duomo di cartoncino con cui coprire l’apparecchio quando non è in uso oppure si può orientare la webcam verso una parete o una zona di poco interesse.

    Quello che trae maggiormente in inganno gli utenti è credere che la luce della telecamera si accenda “per forza” quando viene attivata la ripresa video. In realtà è un comando software, non è un collegamento elettrico e, come tale, può essere scavalcato o disabilitato.

    Donne e minorenni dovrebbero essere particolarmente sensibilizzati in merito a questo problema perché sono spesso le vittime più colpite e le più ricattabili.

  • Aggiornamenti: che fatica!

    Una settimana fa è uscito un aggiornamento importante per iOS e ho avvisato tutti i clienti con dispositivi iOS della necessità di aggiornare.

    I più diligenti mi hanno risposto “grazie per l’avviso, l’ho già aggiornato”, altri l’hanno aggiornato in seguito. In un caso l’utente era convinto di averlo aggiornato, ma una verifica dava iOS ancora alla versione 7.0.5 e non apparivano notifiche. La pagina dell’iPhone con l’aggiornamento riportava nella parte bassa in grigio scuro su grigio chiaro un avviso che invitava l’utente a cancellare un po’ di dati dal telefono per avere lo spazio necessario per effettuare l’upgrade. Non molto furbo, ma è un’opinione di chi non se ne intende di design.

    (altro…)
  • Le password nel commercio elettronico

    Dashlane ha pubblicato un rapporto sulle password nel commercio elettronico [PDF].

    Il documento analizza le regole imposte dai primi cento siti americani di e-commerce, molti dei quali operano anche a livello globale. Dashlane ha individuato 24 caratteristiche delle password e ha assegnato a ciascuna un punteggio negativo o positivo; se una caratteristica è applicabile alle password di un sito, il punteggio relativo viene assegnato ad esso. Il punteggio può variare da -100 a +100.

    Prima di esaminare la classifica alcuni dati aggregati degni di nota:

    • il 55% dei siti accetta password del tipo 123456 o password;
    • il 51% non blocca l’account dopo dieci tentativi di collegamento errati, tra questi siti ci sono anche Amazon, Dell, Best Buy e Macy’s;
    • il 64% ha delle regole molto discutibili in merito alle password, la qual cosa ha portato ad un punteggio negativo;
    • il 61% non fornisce alcuna indicazione su come creare una password sicura durante la creazione di un account;
    • il 93% non fornisce in tempo reale una valutazione della forza della password durante la digitazione della medesima
    • 8 siti inviano la password via mail in chiaro.

    Per gli amanti delle top 10 ecco la classifica dei siti migliori. (altro…)

  • Password “comuniste”

    Nicola Porro ha sfogato la sua frustrazione nel suo blog in merito alla complessità delle password imposte.

    Non essendo un giornalista tecnico che scrive abitualmente in temi di sicurezza, possiamo, con presunzione di innocenza, classificare quell’articolo come uno sfogo a livello di chiacchiera da bar.

    Purtroppo questo episodio è esemplificativo dell’ignoranza (etimologica) in materia di sicurezza informatica e di valore dei dati che accomuna molte professioni.

    Il concetto più comune che viene urlato è “l’account è mio e la password la decido io”. (altro…)

  • Controllate il vostro NTP

    CloudFlare è stato attaccato con un pesante DDoS basato su un baco dell’implementazione di NTP.

    Lo scorso dicembre Symantec aveva scoperto un metodo per sfruttare il comando monlist presente nelle vecchie versioni di ntpd per amplificare un attacco di DDoS. Al momento della pubblicazione dell’articolo già molte distribuzioni aggiornate di Linux erano indenni da questo problema, ma rimanevano comunque una gran quantità di server vulnerabili.

    Il fattore di amplificazione di un attacco questo tipo può raggiungere anche 58,5; il che significa che chi dispone di 100 Mbit di banda può attaccare una vittima con un traffico che può arrivare a 5,85 Gbit.

    Le versioni di ntpd dalla 4.2.7 compresa in su non hanno più la funzione monlist; nelle vecchie versioni si può utilizzare l’opzione noquery in ntp.conf.

    Ironia della sorte, il 9 gennaio scorso era stato pubblicato nel blog di CloudFlare un articolo sugli attacchi via NTP.

    Per scoprire se un server può essere utilizzato per un attacco di questo tipo si può utilizzare il servizio di Open NTP Project che esegue scansioni su blocchi di IP fino al /22.

  • Testo nelle immagini

    Naked Security illustra i dettagli di un tipo di attacco molto subdolo.

    Si tratta di nascondere un codice JavaScript nei pixel di un’immagine a toni di grigio; una versione modificata ad arte di jQuery è in grado di decodificare i dati contenuti nel file ed eseguirli come JavaScript.

    Questo metodo potrebbe evadere molti, se non tutti, tipi di scansione perché il codice JavaScript non è riconoscibile come pattern.

    Incuriosito da questa tecnica, ho provato a ricreare il metodo per codificare e decodificare un testo in un’immagine PNG. (altro…)

  • Dodecalogo per le PMI

    Allen Scott di F-Secure ha pubblicato un elenco di dodici punti per migliorare la sicurezza delle PMI.

    Alcune regole sono state illustrate anche in altri articoli di questo blog; l’elenco che segue le raccoglie in maniera organica a beneficio di chi vuole realizzare una checklist. (altro…)

  • Se l’attacco è mirato

    Le mail di phishing arrivano quasi quotidianamente, nonostante le protezioni antispam e alcune sono talmente grossolane da strapparci qualche secondo di ilarità.

    La storia cambia notevolmente se una persona o un’organizzazione viene presa di mira con un attacco mirato, detto tecnicamente spear phishing.

    A differenza del phishing che pesca a strascico (come le notifiche da banche in cui non solo non abbiamo un conto, ma di cui ignoriamo l’esistenza), un attacco mirato avviene al termine di un’indagine sulla vittima.

    (altro…)
  • Finto FileZilla che ruba le credenziali

    FileZillaavast! ha scoperto una versione modificata di FileZilla che ruba le credenziali e le trasmette ad un server gestito da malviventi.

    Le versioni modificate hanno numero di release 3.7.3 e 3.5.3, si possono riconoscere essenzialmente in due modi: non eseguono l’auto-aggiornamento e le informazioni nella finestra di About sono diverse. Queste versioni sono perfettamente funzionanti e, se utilizzate, non presentano altre differenze rispetto alla versione legittima del programma.

    (altro…)

  • L’Internet delle cose insicure

    L’elettrodomestico e la casa in rete è un ritornello più vecchio della diffusione di massa di Internet.

    A questa promessa abbastanza inutile si sono aggiunte negli ultimi anni e nelle ultime settimane le promesse che tutti gli oggetti saranno online: termostati, orologi, frigoriferi, lampadine, calzini…

    Bisogna riconoscere che adesso la tecnologia c’è quasi tutta per rendere veritiere queste promesse: ogni casa tecnologica ha una connessione a Internet con un access point. Il prossimo protocollo IPv6 permetterebbe, allo stato attuale, di assegnare non meno di 264 indirizzi univoci ad ogni abbonamento residenziale.

    (altro…)