Molti siti popolari stanno passando per default alle comunicazioni via HTTPS.
Se per un sito ospitato su un solo server dedicato è un’operazione banale, Per una grossa organizzazione non è un’impresa semplice.
Passare in HTTPS non risolve ogni problema di sicurezza sia perché è un protocollo soggetto ad attacchi (qui e qui) sia perché esiste comunque un single point of failure.
La chiave privata.
(altro…)
[youtube=http://www.youtube.com/watch?v=OyZoD7BRTtg&w=500]
Sequenza fotografica di 89 immagini, rispettosa dei tempi dell’evento, del passaggio di Phobos sul sole ripresa da Curiosity il 20 agosto 2013.
Sono anni che si sprecano litri di inchiostro e gigabyte di storage per spiegare l’importanza di una password non banale. Alla fine i suggerimenti sono sempre gli stessi, ma non sempre è possibile metterli in pratica.
Una password come ad esempio siamogeek.com potrebbe essere rifiutata da molti siti che impongono che le password siano formate solamente da lettere o cifre. Il sito dei Servizi Interbancari è uno di questi, qui sopra si vede l’errore che mi è apparso questa mattina; non dirò quale carattere speciale avevo messo nella password, ma posso assicurare che quel carattere speciale è noto ai bambini che frequentano i primi anni delle scuole elementari. Ci sono moltissimi siti che presentano un comportamento analogo.
La maggior parte dei siti utilizza (o dovrebbe utilizzare) una codifica che permette di avere nella stessa frase caratteri di qualsiasi alfabeto della Terra (e non), passato e presente. Nonostante ciò, c’è ancora chi obbliga a scrivere le password con un insieme di caratteri così limitato che avrebbe fatto ridere anche i programmatori di 30 anni fa.
Forse qualcuno teme che un utente metta come password ;DROP DATABASE;--
O probabilmente tutti i layer Java[Script] che si frappongono tra l’utente e il database sottostante sono scritti o integrati così male che solo un apice nella password farebbe crollare tutto. Però il sito ha una bella grafica, eh! Sarà contento il Baiocchi [NSFW]
“Quanto piu` un cliente snobba le piu` elementari misure di protezione (backup, raid, ups) tanto meno avra` incidenti disastrosi”
Corollario:
“Chi applica misure di protezione multiple e ridondanti subira` incidenti talmente disastrosi da mettere a dura prova tutte queste misure di protezione”
Ma vediamo un paio di esempi significativi…
C’era una volta, molti anni fa, un me stesso decisamente piu` incosciente del me stesso di oggi. Vi raccontero` una avventura (da sistemista) di quel me stesso.
Erano i tempi di Windows NT4, e c’era un cliente che aveva un server Compaq con un disco SCSI connesso a un controller SCSI non RAID. Questo cliente aveva deciso che voleva installare un controller RAID e 3 dischi (due nuovi piu` quello che gia` aveva) per metterli in RAID5.
Aveva quindi comperato il controller e due dischi, e aveva chiesto all’azienda per la quale lavoravo di installarlo. Io avevo suggerito di installare 3 dischi nuovi e tenere per sicurezza i dati sul disco vecchio, ma chiaramente mi e` stato detto che non se ne parlava nemmeno: comperare 3 dischi nuovi al posto di 2 era un costo che non volevano pagare.
Ed e` cosi` che, con due ore di tempo massimo di fermo del server, e senza alcun backup (perche` il cliente ovviamente non l’aveva, e non aveva ne` intenzione ne` modo di farne uno al volo), ho tentato l’impresa.
Ho installato su NT4 il driver del controller RAID, alla cieca, confidando che al riavvio avrebbe visto il controller. Poi ho spento la macchina, riavviato con un dischetto con il Norton Ghost, fatta una immagine ghost del disco originale su un altro computer in rete (una sola, perche` non avevo il tempo per farne due e nemmeno per fare un check che l’immagine fosse a posto), smontato il controller non RAID, installato il controller RAID e altri due dischi, creato un RAID5 con i 3 dischi (perdendo tutti i dati dal disco originale), riavviato il Ghost, fatto il restore dell’immagine (con resize automatico alla nuova dimensione) sul nuovo RAID5, e riavviato Windows NT4, pregando che vedesse il controller RAID e non andasse in bomba blu.
Grazie a una serie incredibile di miracoli (nessun errore nell’immagine Ghost, il dischetto DOS del Ghost che vede il controller RAID senza problemi come un unico disco a livello di BIOS, Windows NT che riesce a fare il boot sul nuovo controller senza inceppamenti) questa storia ha avuto un lieto fine.
Se mi avessero chiesto oggi di fare un lavoro del genere in due ore senza backup, e tutto per non pagare il prezzo di un disco nuovo in piu`, gli avrei riso in faccia.
RFI, la società che gestisce l’infrastruttura ferroviaria, ha da anni automatizzato gli annunci alle stazioni.
Il vantaggio è innegabile: gli annunci sono oramai chiari, privi di inflessioni locali e vengono fatti con le tempistiche corrette.
(altro…)Abbastanza bene, ma non è una bacchetta magica.
Prima di spiegare HTTPS è necessario spiegare cosa sia la Public Key Infrastructure (PKI) e prima ancora la crittografia asimmetrica, il vero mattone con cui è costruito tutto quanto: se qualcuno scoprisse come crackare velocemente una cifratura asimmetrica verrebbe giù tutto o peggio.
I sistemi di crittografia più noti sono simmetrici, ovvero quelli che richiedono una chiave, la stessa, per cifrare e decifrare un testo: dal cifrario di Cesare a Enigma era questo il modo di nascondere le informazioni fino a qualche decennio fa.
Sei o sette anni fa i NAS Buffalo erano quanto di meglio si potesse comperare nella fascia SMB o SOHO.
Non erano esattamente a buon mercato e utilizzavano dei dischi certificati da loro che garantivano una certa stabilità di prestazioni e di affidabilità. Erano considerati ottimi prodotti semplicemente perché l’alternativa era spenndere molti più soldi e andare fuori budget oppure rivolgersi verso soluzioni di fascia nettamente inferiore sia come prestazioni sia come affidabilità. Per lo standard del periodo il software di gestione era “buono”, anche se poteva migliorare.
Poi sono arrivati altri storage di quella fascia, tra cui i QNAP. All’inizio i QNAP avevano un software veramente spartano, ma avevano il vantaggio di registrare il firmware su uno storage allo stato solido (quello dei Buffalo è sugli hard disk e se dovete ricaricarlo tanti auguri!) e i QNAP arrivano senza dischi, sta all’utente (o al rivenditore) popolarli. Esiste una HCL per i QNAP, ma da esperienza personale anche quelli non presenti vanno benissimo.
Il nuovo software di gestione 4.0 di QNAP è un vero salto in avanti e fa veramente un sacco di cose, forse troppe per alcuni usi aziendali, ma si possono disattivare le funzioni superflue o rimuovere i pacchetti non utilizzati per alleggerire il sistema.
E Buffalo? Loro sono ancora fermi a 7 anni fa, non è cambiato praticamente nulla. Alcune funzioni considerate oramai necessarie come la gestione dell’autoaccensione in caso di blackout non sono ancora disponibili. Ma la cosa peggiore è una cronica assenza di un sistema decente per informare l’utente. Si può attivare il log, per nulla informativo, su un target syslog oppure su uno share del disco.
Se un disco ha problemi bisogna divinare lo stato del NAS. Questo a fianco è tutto quello che appare nella console web quando un disco di una TeraStation ha problemi. Mi ero accorto del guasto non perché il Buffalo mi abbia tempestato di mail di segnalazione, ma perché un rsync che ha sempre durato mezz’ora ha iniziato a durare otto ore.
È facile indovinare da che marca verrà sostituita quella TeraStation dopo 7 anni di onorato servizio.
Dopo quasi sette anni si sviluppo (il progetto è nato il 31 ottobre 2006), Calibre ha raggiunto la versione 1.0.
Il famoso programma di Kovid Goyal per la gestione degli ebook e dei dispositivi di lettura, fondamentale per ogni utilizzatore avido di queste tecnologie, è il tipico esempio di progetto open. È un programma con funzioni che nessun software commerciale potrebbe includere i cui rilasci, spesso frequenti, sono dettati dal raggiungimento di traguardi del codice sottostante, non dalla necessità imposta da qualche ufficio marketing i cui addetti non conoscono cosa stanno vendendo.
La versione 1.0 è ricca di novità tra cui:
Quando è uscito nel 2002 tutti detestavano XP, chi per l’interfaccia Disney, chi perché non sapeva installarlo o gestirlo e voleva tenersi Windows 98, chi perché credeva che il “vero” sistema operativo doveva avere un disco rigido leggibile anche partendo da floppy con MS-DOS, chi perché credeva che fosse Windows 2000 con un’altra shell…
Adesso dite a queste stesse persone che non devono più usare XP e scoppia il finimondo.
Microsoft non supporterà più Windows XP a partire all’8 aprile 2014, fra 228 giorni. Non sono tanti, sono 32 settimane, 160 giorni di lavoro, 1280 ore di lavoro medie (senza contare le festività infrasettimanali).
Il termine del supporto non significa banalmente che non verranno più rilasciati aggiornamenti (qualche sconsiderato potrebbe anche essere felice), ma significa che dal 9 aprile prossimo ogni Windows XP diventerà l’anello debole della sicurezza. Terminato il supporto di Microsoft, anche gli altri produttori di software cesseranno di rilasciare aggiornamenti, quindi oltre a un Windows vulnerabile ci saranno anche Java, Acrobat Reader, Flash…
Il motivo di questo pericolo è presto detto.
Ogni qual volta che viene rilasciata una patch questa è spesso accompagnata da una nota tecnica. Gli esperti di sicurezza e, prima di loro, i malviventi analizzano sia la nota tecnica sia la patch medesima per capire esattamente quale sia la vulnerabilità che viene corretta e, nel caso dei malviventi, come sia possibile sfruttarla. Questo accade sempre perché c’è un’ampia possibilità che i computer non vengano aggiornati subito, quindi c’è una finestra temporale ridotta per poter sfruttare quella vulnerabilità.
Spesso lo stesso problema riguarda più versioni di Windows, le cui patch escono tutte assieme.
Ma se un sistema operativo non è più supportato le patch non escono più. E se una vulnerabilità nota di Windows Vista, 7 oppure 8 è presente anche in Windows XP nessuno più porrà rimedio al problema, con estrema gioia di chi scrive malware.
Ed ecco che dal prossimo 9 di aprile ogni Windows XP sarà un potenziale pericolo per tutti.
228 giorni, tic, toc, tic, toc…
Sull’idiozia intrinseca del DRM ci siamo già espressi a profusione.
Charles Stross ha appena annunciato la disponibilità dell’ebook di The Atrocity Archives a 1,99 sterline fino al 5 settembre prossimo. Una bella occasione per chi vuole sanare un ebook non acquistato oppure vuole ringraziare in maniera tangibile la bravura dell’autore.
Stross è stato un professionista dell’IT e sa benissimo quanto siano inutili i DRM, ma è obbligato a metterli.
La situazione si fa paradossale quando sul suo stesso blog, nella stessa pagina in cui annuncia la disponibilità degli ebook a prezzo scontato mette anche le istruzioni per togliere i DRM:
Se avevamo bisogno di un’ulteriore dimostrazione dell’inutilità della pantomima del DRM che non fa altro che ingrassare Adobe e ridurre i margini di editori e autori, questa è una delle migliori disponibili.
A partire da oggi Wikipedia utilizza HTTPS per il login degli utenti e mantiene il protocollo crittografato per il resto degli accessi al sito.
Questa decisione, già parte del percorso di tutela della sicurezza, è stata anticipata alla luce dei recenti eventi legati alle rivelazioni di Edward Snowden secondo le quali Wikipedia sarebbe stata uno dei metodi per tracciare le persone poste sotto sorveglianza.
Per il momento HTTPS non viene attivato sulle versioni di Wikipedia di Paesi che scoraggiano o vietano quel protocollo: cinese (zh.*), fārsì (fa.*), gilaki (glk.*), curdo (ku.*), mazanderani (mzn.*) e soranî (ckb.*). In seguito la decisione di utilizzare o meno HTTPS sarà basata sulla geolocalizzazione dell’indirizzo IP dell’utente che visita Wikipedia.
Ovviamente HTTPS non garantisce l’anonimato né la riservatezza assoluti di ciò che si sta visitando, ma contribuisce, in generale, a ridurre i rischi di furto di informazioni riservate. Esistono firewall normalmente acquistabili su cui si possono abilitare dei veri e propri attacchi di man-in-the-middle per poter analizzare le pagine visitate e confrontarle con le policy impostate. [via Wikimedia Meta]