SIAMO GEEK

Categoria: Sicurezza

Sicurezza informatica

  • Usare Internet Explorer è un rischio

    Evitate Internet Explorer. Usate il browser che più vi piace, usatene due, tre contemporaneamente, fate telnet sulla porta 80, tirate fuori Mosaic dalla naftalina… Ma evitate Internet Explorer.

    Secondo alcune persone ci sono siti che si aprono solamente con Explorer; può essere vero, ma quand’è l’ultima volta che avete fatto dei test? Browser e siti vengono aggiornati quasi settimanalmente e questi test dovrebbero essere ripetuti periodicamente prima di dichiarare la non-compatibilità.

    Il problema di Internet Explorer è la quantità di vulnerabilità note che Microsoft decide scientemente di non correggere.

    In pratica, se si usa quel browser si decide di utilizzare un programma di cui sono note le vulnerabilità a chi vi vuole attaccare, il quale avrà gioco facile a fare quello che vuole con il vostro PC. Spesso abbiamo dato conto anche qui dei vari problemi di Explorer, ma ad un certo punto la cosa non fa più notizia e si rischia l’effetto copia-e-incolla.

    Bromium Labs ha dimostrato con uno studio [PDF] la pericolosità di Internet Explorer: il risultato è che nel primo semestre di quest’anno le vulnerabilità di Explorer sono raddoppiate, a fronte di un crollo di quelle di Java e una diminuzione sostanziale di quelle di Flash e Adobe Reader.

    Usare Internet Explorer per la navigazione generale (ovvero non in maniera specifica con quei siti che richiedono espressamente il browser di Microsoft) è un comportamento molto rischioso.

  • Problemi di sicurezza per Tails

    TailsTails è una distribuzione Linux basata su Debian che permette di ridurre la tracciabilità di chi la utilizza.

    Dopo che sono state segnalate alcune vulnerabilità, il team di Tails ha rilasciato la versione 1.1. In questo momento è assolutamente sconsigliabile utilizzare versioni di Tails minori della 1.1, anche se la procedura di aggiornamento automatico dalla versione 1.0.1 alla 1.1 non è disponibile.

    Ieri sono state segnalate altre vulnerabilità della versione 1.1, questa volta nel pacchetto I2P. Il programma non viene avviato automaticamente, quindi chi non lo utilizza non è a rischio. C’è la possibilità che una pagina web creata ad arte utilizzi I2P. In una nota il team di Tails consiglia di disinstallare I2P per avere il massimo della protezione.

    Dal momento che non è possibile aggiornare automaticamente alla versione 1.1, se si utilizza una chiavetta con dei dati persistenti, è necessario installare Tails 1.1 su un altro supporto e aggiornare la chiavetta USB di lavoro selezionando l’opzione Clone and upgrade dell’installer di Tails. Questa opzione non cancella i dati persistenti, anche se è necessario reimpostare eventuali password delle reti WiFi che sono state salvate.

    Aggiornamenti:

    • 27/7/2014 Modificato il paragrafo relativo alla vulnerabilità di I2P.

  • Attenzione alle finte richieste via mail

    Ho notato un ritorno di fiamma delle mail con allegati compressi con ZIP che contengono eseguibili mascherati.

    L’ultimo di questa mattina ha come presunto mittente comunicazioni@staff.aruba.it e come oggetto Invio copia bollettino. Anche il testo è abbastanza verosimile e privo di errori evidenti che caratterizzavano i primi tentativi di questo tipo, non fosse altro che non ho debiti pendenti con la ditta di Arezzo:

    Gentile cliente,
    come da lei richiesto in allegato potrà trovare copia del bollettino postale con cui effettuare il pagamento.

    Saluti
    ______________________________
    Aruba S.p.A.
    Servizio Clienti - Aruba.it
    http://www.aruba.it
    http://assistenza.aruba.it
    Call center: 0575/0505
    Fax: 0575/862000
    ______________________________

    Prima di buttare la mail ho voluto fare qualche analisi. (altro…)

  • Prima versione di LibreSSL

    LibreSSLÈ stata rilasciata la prima versione di LibreSSL, aggiornata oggi alla 2.0.1.

    LibreSSL si propone come rimpiazzo di OpenSSL dopo i problemi iniziati con heartbleed. Il team di BSD ha avviato il progetto con l’intenzione di produrre un codice meno fumoso, più stabile e sicuro.

    Il codice di OpenSSL ha sulle spalle una lunga storia di compatibilità verso il basso che ha trasformato il codice in qualcosa di poco gestibile e prono agli errori.

    LibreSSL ha tolto di mezzo la compatibilità con piattaforme non più utilizzate in produzione, come MS-DOS, VMS, NetWare, Windows a 16 bit, Windows NT e OS/2 e con essa un sacco di problemi.

    Di fatto OpenSSL utilizza un C compatibile con ogni compilatore possibile da quello dell VMS al QuickC 1.5 all’ultimo gcc, con il risultato che deve reinventare al proprio interno il fuoco, la ruota e l’acqua calda. Una delle conseguenze di tutto ciò è che OpenSSL ha una propria libreria di allocazione della memoria che non è controllabile dal sistema operativo o dai normali tool di debug, ma ha una propria serie di API per fare il debug della gestione della memoria.

    (altro…)

  • Un pizzico di sale

    Bruce Schneier ricorda per l’n-sima volta che, quando richiesto, è il caso di salare gli algoritmi di hash.

    Di solito gli algoritmi di hash si usano per rappresentare con un valore gestibile (un numero) qualcosa che o non si vuole scrivere in chiaro (una password, un dato personale) oppure si vuole rappresentare in maniera compatta per una comparazione o ricerca più veloce. Ovviamente il secondo caso non deve essere salato e ci arrivano tutti a capire il motivo.

    Spesso la funzione di hash è surgettiva, ma le collisioni sono un male accettabile e, per quanto riguarda le password, può anche andare bene che sia tale, in quanto il rischio che, mettendo una password casuale, si ottenga una collisione è tollerabile.

    (altro…)

  • Code Spaces

    codespacesCode Spaces era un servizio di ospitazione di sorgenti software e gestione progetti.

    Un attacco ben coordinato ha distrutto il sito, i backup e l’azienda.

    Quelli di Code Spaces non erano così sprovveduti come si potrebbe pensare perché avevano un sistema di backup in tempo reale che era stato testato. Avevano anche un sistema di ridondanza per garantire l’uptime, ma, come sanno i professionisti del settore, la ridondanza non ha nulla a che fare con i backup e, soprattutto, con i restore.

    Secondo il sito, un malvivente avrebbe guadagnato l’accesso al pannello di controllo di EC2 e avrebbe lasciato dei messaggi in cui, sostanzialmente, chiedeva un riscatto in danaro.

    Quando i legittimi proprietari del sito hanno cambiato le password di accesso al pannello è iniziata la fine: il malvivente aveva creato degli altri accessi di backup con i quali ha distrutto tutti i dati. (altro…)

  • OpenSSL e software open

    Sono state scoperte e corrette altre sei vulnerabilità di OpenSSL. Enfasi su “corrette”.

    Dopo Heartbleed qualcuno ha dubitato della bontà del software open, altri hanno visto quel problema come un argomento a favore di una circolazione limitata dei sorgenti.

    Sono argomenti facilmente confutabili con l’esperienza della storia e le basi della sicurezza informatica.

    (altro…)

  • TrueCrypt

    TrueCryptTrueCrypt era un programma open multipiattaforma di cifratura in tempo reale dei dischi.

    Era perché da ieri un laconico messaggio sul loro sito annuncia la fine del progetto in quanto conterrebbe dei “problemi non corretti” (unfixed issues).

    Gli autori del software sono sempre rimasti anonimi e per ora non c’è alcuna presa di posizione formale da parte loro.

    Il programma utilizzabile per la sola decifratura dei dati che è stato pubblicato sul sito reca la firma digitale del team di sviluppo, quindi chi l’ha pubblicato è in possesso della chiave privata.

    Con queste premesse, l’uso di TrueCrypt da oggi è del tutto sconsigliabile. Purtroppo non esiste nessun altro prodotto analogo multipiattaforma: si può usare GPG, ma non è la medesima cosa. (altro…)

  • Protocolli S nella posta elettronica

    Alcuni utenti credono che l’utilizzo di HTTPS possa da solo risolvere i problemi di tutela dei dati nelle comunicazioni Internet.

    Tralasciando i protocolli proprietari di app modaiole che non sono l’oggetto di questo articolo, molti dati viaggiano tramite la posta elettronica.

    Un messaggio di posta elettronica viene inviato dal client al primo server (server di posta in uscita) con il protocollo SMTP, i server parlano tra di loro in SMTP e alla fine un client scarica un messaggio con IMAP o POP3 (server di posta in arrivo).

    (altro…)

  • SMTP STARTTLS in crescita

    Un rapporto di Facebook dimostra che la cifratura della posta elettronica ha raggiunto una “massa critica”.

    Questa è senza dubbio una buona notizia per la tutela dei dati personali perché il normale protocollo SMTP, figlio di quando Internet era un’altra cosa, dialoga in chiaro.

    L’estensione STARTTLS consente anche ad SMTP di passare ad una connessione cifrata utilizzando la medesima connessione TCP.

    (altro…)

  • Conformità non significa sicurezza

    Molte aziende valutano l’opzione di certificarsi secondo alcuni standard per poter acquisire nuovi clienti.

    Alcuni manager presumono che la conformità a leggi, linee guida (come ad esempio ITIL) o standard industriali di qualità sia da sola sufficiente per garantire la sicurezza del sistema informativo.

    In realtà l’introduzione delle procedure e dei comportamenti previsti da leggi, standard o best practice è il punto di partenza per arrivare ad una sicurezza informatica accettabile.

    (altro…)

  • DoS tramite SNMP

    Dopo DNS e NTP è la volta di SNMP, un protocollo utilizzato per il monitoraggio dei dispositivi.

    Prolexic ha evidenziato come sia possibile utilizzare gli host esposti a Internet con attivo SNMP per portare un attacco distribuito (DDoS) come è già successo con DNS e NTP.

    (altro…)