A r M y Z
Il taccuino di Armando Leotta Rotating Header Image

Security Day IBM 2010: punti d’attenzione, tendenze ed osservazioni

IBM Security Day 2010

IBM Security Day 2010

Ieri, nella sede romana di via Sciangai, si è svolto il Security Day IBM 2010.
All’appuntamento non sono mancati ospiti illustri sia del mondo pubblico che privato così come interessati spunti di discussione e riflessione.
Quanto è emerso e cosa rimane, per quanto di competenza ed interesse, volendo sintetizzare una fitta agenda di interventi e tavole rotonde?

IBM porta in italia il suo Institute for Advanced Security
E’ un’organizzazione con sede a Washington con il compito di supportare le aziende, il mondo accademico e le pubbliche amministrazioni ad affrontare al meglio le problematiche afferenti la sicurezza informatica
Agisce come competence center mettendo a disposizione degli utenti l’esperienza IBM in termini di risorse disponibili, tecnologie, documentazioni, best practice, servizi e soluzioni inerenti l’approccio metodico alla sicurezza informatica.

Governance della sicurezza
E’ stata sottolineata in più occasioni il ruolo cruciale della governance dei processi afferenti la sicurezza delle informazioni.

Le prossime minacce
La top 5 threats attese per il 2011: criminal attacks, weak infrastructure, tougher rules, outsourcing/offshoring and eroding boundaries

X-Force
Di estremo interesse l’attività svolta dal gruppo X-Force di IBM di cui si sono commentati i risultati presentati lo scorso febbraio. Dal rapporto IBM X-Force Trend and  Risk per il 2009 emerge che le minacce più diffuse continuano ad espandersi nonostante gli investimenti in sicurezza. Sempre di più gli attacchi hanno come target le persone (phishing,  furto d’identità e social engineering) tramite vulnerabilità di grande diffusione e facile sfruttamento come quelle nei browser e nei lettori pdf.

In estrema sintesi, rispetto al 2008 emerge una  flessione nel numero delle vulnerabilità con o senza patch disponibili, un forte aumento di vulnerabilità legate al mondo multimediale e ai document reader, nonchè un aumento significativo di attacchi offuscati e un altalenante fenomeno di phishing ai sistemi finanziari.

Per una lettura esaustiva vi rimando all’ IBM X-Force Threat Report ove è possibile scaricare, previa registrazione, sia il report completo (The IBM X-Force 2009 Trend and Risk Report) che i grafici (2009 Trend and Risk Report Graphics).

La sicurezza nei social network
L’interessante tavola rotonda ha avuto come tema “I diversi aspetti della sicurezza, dalle istituzioni alla tutela del territorio, dei cittadini e della loro privacy, fino ai social network“.
Ad ampio respiro, com’è già intuibile dal titolo, sono state accennate svariate tematiche compreso il nuovo ruolo del Cnipa (ora DigitPA), la diffusione della CEC-PAC e l’ampiamento dei confini necessario per gestire il fenomeno social network da un punto di vista di sicurezza informativa.
Quest’ultimo tema merita un approfondimento a parte, quello che, a mio avviso, non ha avuto durante l’evento.

Patching management
Aldilà dell’aspetto promozionale di soluzioni IBM adatte allo scopo è stata evidenziata la necessità di dotarsi di strumenti di monitoraggio e di intervento centralizzato che consentano il controllo e l’aggiornamento remoto del software delle postazioni di lavoro in modo da comprimere il più possibile il tempo in cui le postazioni rimangono vulnerabili.
Estremamente semplice in teoria, incredibilmente complesso da realizzare nella pratica.

E’ importante sottolineare ancora una volta la lodevole iniziativa Security Day IBM estremamente utile a mantenere alto il livello di attenzione nei confronti della gestione della sicurezza nella PA e nell’impresa.

L’8 marzo visto da un uomo con due donne in casa

Ogni anno, l’8 marzo, ci si confronta volente o nolente con questa cosiddetta festa della donna.

Da uomo, scherzo, non prendo mai nulla troppo sul serio e mi chiedo se gli altri 364 giorni dell’anno siano festa degli uomini. Almeno uno, datecelo!

Da compagno di una donna e padre anche di una figlia, questa festa comincia a starmi un po’ stretta. Per loro, non per me.

L’8 marzo mi sembra un varco spazio-temporale che porta indietro di almeno una cinquantina d’anni.

Aldilà delle connotazioni commerciali che orbitano attorno a qualsiasi pretesto di business mi chiedo: ma veramente nel 2010 c’è la necessità di festeggiare una giornata della donna? Se sì, a che serve e a chi?

Personalmente la vedo come una triste rivendicazione di una sorta di spazio che non si sente proprio per cui ci si rifugia in riserve per sentirsi al sicuro e da cui continuare a lamentarsi sterilmente.

L’uomo e la donna sono splendidamente e fortunatamente diversi.

Ecco, io propenderei per una giornata in cui venga festeggiata la diversità e le splendide peculiarità dell’uno e dell’altro sesso: in casa, in famiglia, a lavoro, nella società, ovunque.

Finchè si sentirà il bisogno di quote rosa e festa della donna, a mio avviso non si rivendica correttamente il ruolo chiave della donna nella società. E mi sembra di capire che non sono l’unico a pensarla così.

E sono felice che anche la Chiesa esterni il proprio pensiero affinchè sempre più donne aprano gli occhi e capiscano il ruolo secondario ed avvilente che verrebbe loro riservato.

Nuova variante del worm koobface?

Messaggio koobface (via threatfile research blog)

Già dal dicembre del 2008 abbiamo imparato a doverci difendere dal worm koobface che tra bufale e realtà,  si diffondeva attraverso i social network, facebook compreso.

Lo  scorso marzo veniva segnalata una nuova variante particolarmente raffinata, evoluta ed invasiva (worm_koobface.az). Si riceve un messaggio (da contatti) contenente un link ad un video. Una volta giunti sul link esterno viene visualizzato nome e foto di un vostro contatto di uno dei socialnetwork in cui si è registrati (al momento la variante sembra diffondersi prevalentemente su myspace, bebo e facebook). L’utente, riconoscendo il nome e la foto del proprio contatto, prova a visionare il video. A questo punto un popup stile flash richiede di installare un “aggiornamento” (il codice malevolo) per potere visionare il video.

Ancora una volta una componente di social engeneering diventa determinante per la diffusione del malware.

Ricordo inoltre che nell’ottobre del 2009 i laboratori di ricerca di trendmicro riportavano allarmati una nuova evoluzione della botnet koobface che coinvolge greader, twitter, facebook e myspace solo a citare alcune delle piattaforme interessate.

Falso aggiornamento flash plaer

Falso aggiornamento Flash player (via Threatfire research blog)

Da contatti mi arrivano segnalazioni preoccupanti e in rete non mancano le testimonianze video e su twitter si susseguono le segnalazioni: tutto fa pensare ad una nuova variante.

Come consigli, oltre a tenere sempre opportunamente aggiornato il proprio antivirus, non installate mai aggiornamenti di componenti al di fuori dei consueti canali consolidati.

Finchè non viene confermata, identificata ed isolata questa nuova variante vi consiglio inoltre di cancellare i cookie del vostro browser, utili al malware per capire su quali servizi e quali social network siete profilati (e pertanto appetibili).

Facebook: “giochiamo al tiro al bersaglio con i bambini down” ed il gioco pericoloso dei giornalisti

Se avessi voluto descrivere il fenomeno dilagante di questi giorni dei gruppi su facebook inneggianti violenze, odio o scempiaggini varie avrei utilizzato sicuramente le parole utilizzate da Fabio Chiusi nel suo post. Anzi, parto proprio dalle sue considerazioni che condivido pienamente e faccio anche mie.

Il momento chiave è il passaggio dalla Rete ai mainstream: come viene effettuato e, soprattutto, perchè.
Ieri il TG5 oltre ad aver pagato pegno al Cavaliere trasmettendo in entrambe le edizioni principali della giornata la sua estenuante filippica telefonica di svariati minuti di chi si scaglia contro il governo a detta sua del fare, ha riportato la notizia di come facebook fosse nuovamente nell’occhio del ciclone.
“Dopo il gruppo Uccidiamo Berlusconi” recitava testualmente il servizio, facebook sfornava impunemente altri gruppi con oltre mille iscritti questa volta contro i bambini down.
Immancabile il passaggio della Carfagna che ritiene inammissibile, inaccettabile, pericoloso, etc etc.
E’ stato omesso, com’è ormai abitudine, di spiegare tecnicismi che vanno a chiarire il fenomeno. Frettolosamente, in coda è stato ammesso che gli stessi utenti hanno fortemente protestato.

Io, come tanti, ho diffuso su svariate piattaforme di social network il link di quel gruppo (e anche di altri) affinchè più persone possibili andassero a segnalarlo all’amministrazione di facebook e quando l’ho notato io (a mia volta su altra segnalazione) gli iscritti erano meno di 500.
Nessuno ha detto che la maggior parte degli “iscritti” si è iscritta per poter pubblicare sulla bacheca quanto fosse meschino un gruppo come questo (basta leggere la bacheca senza iscriversi).
Gesto nobile ma inopportuno: si gonfia il numero degli iscritti e aumenta l’interesse di chi funge da interfaccia  attingendo notizie dalla rete per dirottarle dopo un opportuno maquillage in giornali e televisioni.
Altro aspetto tecnico non accennato è l’abitudine di certi gruppi di essere creati con un nome buffo, insignificante e divertente tipo “Per chi preferisce il mare alla montagna” per poi essere rinominato all’insaputa degli ingenui iscritti in qualsiasi gruppo inneggiante odio, violenza ed idiozia.
Il risultato è chiaro: l’utente risulta iscritto.
Questo, per inciso, è quello che è successo in occasione dell’”incidente” di Berlusconi a Milano e dei ralativi gruppi su Facebook improvvisamente ed inspiegabilmente numerosissimi.

Altro aspetto riportato anche dai giornali è la difficoltà di controllo e d’intervento delle autorità italiane in quanto il servizio di facebook fa capo direttamente a Palo Alto, in California.

E’ estremamente importante capire il quadro che scaturisce da questo tamtam mediatico:

  • facebook è un posto pericoloso
  • facebook difficilmente controllabile
  • facebook è difficilmente censurabile
  • facebook tira fuori il peggio degli utenti
  • facebook non consente l’agevole intervento delle autorità
  • facebook è un problema

(Sostituire alla parola facebook qualsiasi social network, blog o quant’altro non direttamente controllabile e manipolabile).

Se vogliamo dare un pretesto ai vari DDL bavaglio abbiamo ancora una volta imboccato la strada giusta.
Non so (o non voglio sapere) quanto i giornalisti dei mainstream siano consapevoli del danno che crea veicolare questo messaggio ai loro utenti peraltro solitamente meno consci degli strumenti informatici e delle dinamiche delle Rete.

Un approccio mediatico e pubblicitario dunque: instillare la necessità affinchè diventi un’esigenza popolare. Ho ancora in mente le parole di Cossiga nell’intervista rilasciata in occasione dell’uso da parte del Governo Berlusconi della forza pubblica contro gli studenti manifestanti:

PRESIDENTE Cossiga, pensa che minacciando l`uso della forza pubblica contro gli studenti Berlusconi abbia esagerato?

«Dipende, se ritiene d`essere il presidente del Consiglio di uno Stato forte, no, ha fatto benissimo.Ma poiché l`Italia è uno Stato debole, e all`opposizione non c`è il granitico Pci ma l`evanescente Pd, temo che alle parole non seguiranno i fatti e che quindi Berlusconi farà una figuraccia».

Quali fatti dovrebbero seguire?

«Maroni dovrebbe fare quel che feci io quand`ero ministro dell`Interno».

Ossia?

«In primo luogo, lasciare perdere gli studenti dei licei, perché pensi a cosa succederebbe se un ragazzino rimanesse ucciso o gravemente ferito…».

Gli universitari, invece?

«Lasciarli fare. Ritirare le forze di polizia dalle strade e dalle università, infiltrare il movimento con agenti provocatori pronti a tutto, e lasciare che per una decina di giorni i manifestanti devastino i negozi, diano fuoco alle macchine e mettano a ferro e fuoco le città».

Dopo di che?

«Dopo di che, forti del consenso popolare, il suono delle sirene delle ambulanze dovrà sovrastare quello delle auto di polizia e carabinieri».

L’intervista completa la trovate qui e qui.

Vedete perchè la Rete va censurata e controllata?
Perchè ricorda tutto.
Perchè c’è sempre qualcuno pronto a ricordare.

Rendetevi conto, cari giornalisti televisivi e della carta stampata, che state veicolando un messaggio pericoloso e distorto.

Mi piace sperare involontariamente ma a pensar male, spesso si indovina.

Una poesia vale mille parole:

Prima di tutto vennero a prendere gli zingari
e fui contento, perché rubacchiavano.

Poi vennero a prendere gli ebrei
e stetti zitto, perché mi stavano antipatici.

Poi vennero a prendere gli omosessuali,
e fui sollevato, perché mi erano fastidiosi.

Poi vennero a prendere i comunisti,
ed io non dissi niente, perché non ero comunista.

Un giorno vennero a prendere me,
e non c’era rimasto nessuno a protestare

(B. Brecht)

SMS certificato, firmato digitalmente ed a valore legale

SMS certificato

SMS Certificato (via Lleida)

La spagnola Lleida, operatore specializzato negli SMS, propone un uso certificato del messaggio SMS.
In pratica funziona come una sorta di messaggio di posta elettronica certificata.
Grazie al coinvolgimento di un ente certificatore esterno ha piena validità legale secondo diversi ordinamenti tra cui quello europeo.
La richiesta ha generato l’offerta: i Tribunali richiedevano di fruire di un metodo di verifica per gli invii e le ricezione dei messaggi SMS ed il business ha risposto.
Questa, in estrema sintesi lo scenario spagnolo in cui è nato questo servizio che si è già diffuso in diversi Paesi.
Il servizio è fornito in due modalità: SMS certificato e Contratto SMS.

SMS Certificato
Si tratta di un sms da parte di lleida.net contenente un allegato certificato firmato digitalmente e con marca temporale che attesta la spedizione di un determinato testo verso un particolare numero.
Il certificato utilizzato è rilasciato da un ente certificatore autorizzato.
Un sms quindi comparabile ad un fax, ad una raccomandata e, potenzialmente, ad un messaggio di posta certificata.

Come funziona?
L’utente spedisce un SMS certificato tramite internet e l’applicazione Virtual SMS handset 

Virtual SMS

Virtual SMS Handset (via Lleida)

della Lleida. Il messaggio viene instradato attraverso internet ed i carrier di telefonia tradizionali.
A consegna effettuata al dispositivo destinatario, LLeida riceve una notifica.
Lleida a questo punto genera una ricevuta di consegna (delivery receipt) e la spedisce all’ente certificatore esterno che genera una marca temporale (timestamp) associando una data ed un orario al documento PDF che, firmato digitalmente viene spedito all’utente via mail (Lleida mantiene il certificato in archivio per almeno 5 anni).
Vedi esempio scaricabile dal sito lleda.net.

Contratto SMS

Contratto SMS (via Lleida)

Contratto SMS
Opera in uno sceario di transazione.
Il servizio prevede che viene spedito il messaggio (una proposta commerciale, un contratto, etc) e quando l’utente destinatario risponde al messaggio viene generato un delivery report che certifica digitalmente entrambi i messaggi.
Differisce dal primo in quanto il documento legalmente riconosciuto viene generato e firmato digitalmente a seguito della risposta dell’utente.

Le implicazioni sono molteplici ed interessanti e abbracciano le esigenze di settori sia pubblici che privati.

L’applicazione lleida è scaricabile dal loro sito internet ed il servizio è fruibile tramite credito prepagato.
Il servizio sembra essere fruibile anche in Italia.
Non so se è già utilizzato in Italia o se mai lo sarà ma mi sembra un’iniziativa molto interessante con un sensibile abbattimento dei costi. In un periodo in cui si parla di posta elettronica certificata Posta Elettronica Certificata (PEC) per i professionisti e di CitofonoPA CEC-PAC forse è utile valutare anche altri servizi, non escludere altri tool o potenziali soluzioni al fine di creare un’offerta completa e credibile sul mercato e al cittadino.