Freelosophy. Free Minds.
E’ stato pubblicato il mio atteso contributo dal titolo “Sicurezza della firma digitale: stato e prospettive”
Chi volesse dargli un’occhiata dovrà procurarsi il numero 31 di Mondo Digitale.
La versione elettronica invece è liberamente disponibile online su Mondo Digitale o qui.
Ogni commento e confronto è benvenuto.
Sito delle Poste italiane violate
E’ stato violato il sito delle Poste Italiane.
Ecco la pagina ancora visibile sulla cache di Google:
Sito poste.it
Vediamo adesso, ahimè, i livelli di servizio che riusciranno ad onorare nonchè l’attenzione che pongono alla sicurezza delle informazioni nonchè gli investimenti nel settore sicurezza.
*********UPDATE************
Dalla copia della cache di google si nota che alle 18.33 il sito era già stato bucato (vedi screenshot qui).
Fino a tarda notte il tam tam viaggiava sui social network (qui, qui su friendfeed e qui su twitter ad esempio) ed il sito era ancora irraggiungibile: sebbene non operativo era stata rimossa la pagina dimostrativa a favore di un mesto 404 (vedi screeshot di un google impietoso):
Google con chiave "poste italiane"
Ecco un’agenzia APCom di stamattina dove si specifica che la polizia postale sta svolgendo le indagini del caso.
Singolare e amara la notizia in prima pagina del sito delle poste che fa riferimento alla nuova partnership internazionale siglata da Poste Italiane a Ginevra per la Cyber Security: verrebbe da pensare che non sia servita a molto in questo caso.
*******UPDATE*******
Altri spunti di riflessione: http://www.ideama.it/blog… e http://unu1234567.baywords.com/2009/09/05/poste-italiane-hacked-sql-injection/
_____
Clusit
Man in the middle - fonte OWASP -
Dopo alcuni mesi (Moxie Marlinspike e Dan Kaminsky, Defcon e Blackhat) si riparla di una vulnerabilità alle implementazioni SSL (API crittografiche) che, di fatto, prestano il fianco ad un attacco di tipo man in the middle nonchè a tecniche di phishing.
Perchè se ne riparla dopo poco più di due mesi? E’ proprio di questi giorni la pubblicazione di un certificato (e chiave privata) attribuito a PayPal carpita proprio grazie alla vulnerabilità descritta da Moxie Marlinspike al BlackHat USA nel luglio di quest’anno (vedi video dell’intervento al defcon 17).
Frutto di tecniche di parsing datate e usate nelle librerie crittografiche dei client che implementano e usano lo strato SSL (per cui non solo browser web ma anche client di posta, instant messaging, client irc,VPN SSL, etc) e di tool appositi (sslsniff).
In particolare, questa vulnerabilità sfrutta la struttura del certificato X.509 del certificato e le informazioni in esso contenute usandole a proprio piacimento in quel procedimento di validazione a cascata della fiducia.
La catena di fiducia tra il sito interessato e la Certification Authority (CA) funziona come descritto sotto
Root CA -> Intermediate CA -> Intermediate CA -> .. -> Intermediate CA -> esempio.com
Cosa dovrebbe avvenire:
Questo è lo scenario incriminato:
Root CA -> Intermediate CA -> Intermediate CA -> .. ->Intermediate CA -> sitomalevolo.com -> esempio.com
Purtroppo, questo scenario, nelle condizioni di vulnerabilità indicate nel paper di Marlinspike al Blackhat di Las Vegas, sembra essere del tutto lecito: le firme sono validate, i certificati non sono scaduti/revocati, il procedimento indicato di verifica si conclude con una Root CA trusted “embedded” incorporata nel browser.
Questo significa però che abbiamo costruito un certificato VALIDO per esempio.com ma che in nessun modo rappresentiamo in quanto siamo legati a sitomalevolo.com
Affinchè questo funzioni, viene sfruttata la debolezza di una codifica del CN (Common Name) Subject del PKCS #10 in cui il campo (stringa) viene “chiuso” da un particolare valore null (\0).
Quando viene effettuato il controllo 1), in questo scenario vengono confrontate due stringhe di lunghezza potenzialmente diversa.
Tenendo conto che la stringa si conclude con il carattere \0, il parsing considera solamente i primi n caratteri fino al valore null (\0).
Quindi se in un certificato X509 è specificato di essere www.esempio.com\0sitomalevolo.com le verifiche vengono effettate sulla precedente stringa (fino al campo \0) e l’indirizzo a cui vogliamo collegarci (www.esempio.com).
A questo punto si hanno tutti gli elementi per effettuare un MITM che generi il certificato apposito e si interponga trasparentemente tra le parti (molte CA rilasciano dei certificati se il richiedente è l’owner specificato DOPO il valore null).
Per quanto riguarda Mozilla, i security advisor riportano di avere chiuso la falla a partire dalla versione di firefox 3.5 e 3.0.13 (vedi variante attacco su 3.0.11 vulnerabile), Thunderbird dalla 2.0.0.23, SeaMonkey dalla 1.1.18 e NSS dalla 3.12.3
Al momento sembra che le crypto API di windows siano vulnerabili.
Ci sono ripercussioni e impatti anche nel campo delle applicazioni mobile.
PayPal ha nel frattempo sospeso l’account di Moxie Marlinspike.
Raccomandazioni: massima attenzione sulle transazioni in https e scrivere manualmente il link sul browser (possibilmente firefox, aggiornato) e mai fidarsi di link specialmente contenute in messaggi di posta elettronica.
****************UPDATE*********************
Meglio tardi che mai http://www.microsoft.com/technet/security/bulletin/ms09-056.mspx
Sono cresciuto credendo nel valore della vita umana, a prescindere dal colore della pelle, della religione, nazionalità o chissà di quale altra differenza genetica o storico-culturale.
Soccorritori alla ricerca dei dispersi tra le macerie e il fango a Giampilieri. REUTERS/Antonio Parrinello (ITALY DISASTER ENVIRONMENT)
Le notizie che leggo sull’alluvione di Messina mi lasciano sgomento. Un disastro da anni annunciato dove lo Stato ha, come in altre occasioni e luoghi, le proprie responsabilità. Complicità, autorizzazioni facili, mancato controllo, inaccuratezza o, peggio, condoni. Per non supporre ipotesi ben peggiori e penalmente rilevanti.
C’è differenza tra le vittime del terremoto a L’Aquila, dell’attentato a Kabul e dell’alluvione a Messina? Perché questi ultimi non hanno “diritto” al lutto nazionale a differenza dei primi?
Sembra quasi che i 23 morti ed i 40 (le ultime notizie riportano questo dato a 9, per fortuna) dispersi di Messina non valgano i 6 soldati morti in guerra a Kabul.
Inspiegabile e imbarazzante, proprio come il silenzio delle istituzioni.
Nessun lutto nazionale, nessun numero unico per le informazioni o per la raccolta di eventuali fondi, nemmeno il minuto di silenzio in quello che viene ancora chiamato sport nazionale (appunto, non regionale, sarà per questo).
E pensare che Mike Bongiorno ha avuto i funerali di Stato…
Cosa c’è dietro questa vergognosa discriminazione senza precedenti?
Potrebbe sembrare che si voglia rimettere in discussione lo Statuto Speciale della Regione Sicilia, a naso.
Mi sbaglierò, sicuramente. Allora cos’altro?
Nel frattempo nel Nord del Bel Paese la tragedia viene vista con un certo distacco e il Governatore Lombardo verrà nominato Commissario per l’emergenza come da indicazioni del Premier.
online
