pirateria informatica

Prima o poi capita a tutti…

Riporto integralmente un articolo di Rosario Russo dell'Associazioen Italiana Ingegneri dell'Informazione perchè lo reputo importante e… in qualche modo emblematico.

Qui il post originale.

 

Alcuni giorni fa un hacker ha sfruttato una vulnerabilità nel sistema di emissione dei certificati digitali nella rete degli affiliati della Registration Authority di Comodo, controllata dall'italiana Global Trust. Dozzine di siti web che utilizzano i certificati della Global Trust sono andati offline. In sostanza, l'attacco ha compromesso l'integrità del processo stesso di emissione dei certificati SSL!

L'hacker, con molta boria (più volte dice di essere bravissimo, avendo solo 21 anni), spiega come ha fatto (http://pastebin.com/74KXCaEZ): prima ha compromesso il server IstantSSL di Comodo, prendendone pieno possesso, poi a trovato la libreria TrustDll.dll, che si occupa della firma. Tale libreria era stata compilata da un sorgente in C#.

L'hacker l'ha decompilata, ha trovato la username e la password dell'account reseller di GeoTrust e Comodo, quindi ha provato ad utilizzarli. La URL di GeoTrust non funzionava, mentre quella di Comodo era attiva e l'attacco poteva essere portato a termine. Si è quindi loggato nel sito di Comodo e si è reso conto che aveva il diritto di firma usando le API messe a disposizione dalla piattaforma.

Poiché non aveva idea di come funzionassero queste API, ha capito che forse era il caso di scrivere un po' di codice e di riscriversi alcune routine. In 10-15 minuti (così sostiene), ha rifatto le API e ha potuto generare e firmare tutti i certificati che voleva. Così ha creato e firmato, con tanto di firma riconosciuta da tutti i browser, i certificati per gmail.com, yahoo.com, live.com, mozilla.org, skype.com.

Per dimostrare al mondo che l'attacco era davvero avvenuto, ha anche pubblicato la chiave privata con cui è stato firmato il certificato per il sito addons.mozilla.org. Questo gesto spudorato e impudente ha compromesso tutti gli utenti che utilizzano gli addons della suite di Mozilla (Firefox e Thunderbird, in primis). Poiché la chiave privata non era nemmeno protetta da password, altri attacker ora possono tranquillamente utilizzarla per firmare tutti i certificati per "addons.mozilla.org" che vogliono! Ora possiamo tutti essere vittime di attacchi Men-in-the-Middle senza minimamente rendercene conto.

Per chi spera di affidarsi al sistema di revocation dei certificati, sta fresco: ultimamente una serie di critiche stanno dimostrando che questo meccanismo non funziona efficacemente (http://www.imperialviolet.org/2011/03/18/revocation.html).

Nel momento in cui scrivo, il sito  https://trustseal.globaltrust.it è offilne, evidentemente per indagine forense in corso.  Altri siti afferenti alla Global Trust sono offline e mostrano la pagina "Under construction" (www.banksafe.it, www.comodogroup.it, www.cybercrimeworkingroup.org e, ironicamente, www.riskmitigation.it).

Sappiamo ora che ci sono chiavi private in mano ad una persona che può firmare certificati SSL "validi" e quindi impersonare qualunque sito web! Il dramma è che, sebbene molti siti non usano certificati di Global Trust, ne sono comunque vittime, poiché sono (anzi, posso dire tranquillamente, siamo) suscettibili ad attacchi Men-in-the-Middle.

Peggio di così, forse, non poteva andare!

Articoli Correlati

Pubblicati i dettagli di 100 milioni di account Facebook

Ron Bowes, sviluppatore del noto tool nmap, ha scritto un piccolo programma di scansione e lo ha lanciato sugli account pubblici di Facebook.

Il risultato? Un bel file di 2.8 GB contenente oltre 100 milioni di account dei quali è possibile sapere nome, cognome, ID, e molte altre informazioni lasciate pubblice.

Mi ricordo un’altra provocazione del genere di poco tempo fa: su un sito si mostrava chi non era a casa, raccogliendo i dati da questo sito social.

Comunque ecco una bella intervista dell’autore di questo “furto”:

Ron Bowes, a security consultant, used a piece of code to scan Facebook profiles, collecting data not hidden by the user’s privacy settings.

The list, which contains the URL of every searchable Facebook user’s profile, name and unique ID, has been shared as a downloadable file.

Mr Bowes told BBC News that he did it as part of his work on a security tool.

“I’m a developer for the Nmap Security Scanner and one of our recent tools is called Ncrack,” he said.

“It is designed to test password policies of organisations by using brute force attacks; in other words, guessing every username and password combination.”

By downloading the data from Facebook, and compiling a user’s first initial and surname, he was able to make a list of the most common probable usernames to use in the tool.

The three most common names, he found, were jsmith, ssmith and skhan.

In theory, researchers could then combine this list with a catalogue of the most commonly used passwords to test the security of sites. Similar techniques could be used by criminals for more nefarious means.

Mr Bowes said his original plan was to “collect a good list of human names that could be used for these tests”.

“Once I had the data, though, I realised that it could be of interest to the community if I released it, so I did,” he added.

Mr Bowes confirmed that all the data he harvested was already publicly available but acknowledged that if anyone now changed their privacy settings, their information would still be accessible.

“If 100,000 Facebook users decide that they no longer want to be in Facebook’s directory, I would still have their name and URL but it would no longer, technically, be public,” he said.

Mr Bowes said that collecting the data was in no way irresponsible and likened it to a telephone directory.

“All I’ve done is compile public information into a nice format for statistical analysis,” he said

Simon Davies from the watchdog Privacy International told BBC News it was an “ethical attack” and that more personal information had not been included in the trawl.

“This is a reputational and business issue for Facebook, for now,” he said

“They can continue to ride the risk and hope nothing cataclysmic occurs, but I would argue that Facebook has a special responsibility to go beyond doing the bare minimum,” he added.

Snowball effect

Mr Bowes’ file has spread rapidly across the net.

On the Pirate Bay, the world’s biggest file-sharing website, the list was being distributed and downloaded by thousands of users.

One user said that the list showed “why people need to read the privacy agreements and everything they click through”.

In a statement to BBC News, Facebook confirmed that the information in the list was already freely available online.

“No private data is available or has been compromised,” the statement added.

That view is shared by Mr Bowes, who added that harvesting this data highlighted the possible risks users put themselves in.

“I am of the belief that, if I can do something then there are about 1,000 bad guys that can do it too.

“For that reason, I believe in open disclosure of issues like this, especially when there’s minimal potential for anybody to get hurt.

“Since this is already public information, I see very little harm in disclosing it.”

Digital trends

However, he said, it also highlighted a new trend that was emerging in the digital age.

“With traditional paper media, it wasn’t possible to compile 170 million records in a searchable format and distribute it, but now we can,” he said.

“Having the name of one person means nothing, and having the name of a hundred people means nothing; it isn’t statistically significant.

“But when you start scaling to 170 million, statistical data emerges that we have never seen in the past.”

A spokesperson for Facebook said the list was “similar to the white pages of the phone book.

“This is the information available to enable people to find each other, which is the reason people join Facebook.”

“If someone does not want to be found, we also offer a number of controls to enable people not to appear in search on Facebook, in search engines, or share any information with applications.”

Earlier this year there was a storm of protest from users of the site over the complexity of Facebook’s privacy settings. As a result, the site rolled out simplified privacy controls.

Facebook has a default setting for privacy that makes some user information publicly available. People have to make a conscious choice to opt-out of the defaults.

Articoli Correlati

Accordo tra quindici nazioni per combattere il terrorismo informatico

Washington, 17 lug. – (Adnkronos/Washington Post) – Un impegno comune per combattere la minaccia del ciberterrorismo. E’ lo storico impegno assunto da un gruppo di 15 nazioni tra cui Stati Uniti, Cina e Russia, che per la prima volta hanno espresso la volonta’ comune di ridurre la loro capacita’ di minacciare le reti digitali di altri stati con attacchi ciberterroristici. L’accordo, spiega il Washington Post, e’ stato raggiunto questa settimana all’Onu, e prevede un maggior ruolo delle Nazioni Unite nella creazione delle norme di comportamento comuni nel ciberspazio e un aumento della cooperazione tra gli stati nell’elaborazione delle legislazioni nazionali e delle strategie di sicurezza informatica.

Articoli Correlati

Il governo inglese ingaggia esperti in sicurezza informatica: proteggeranno il Paese dagli attacchi web

Il ministero dell’Interno britannico ha lanciato un concorso per ingaggiare la prossima generazione di esperti informatici in grado di fermare gli attacchi cibernetici ai danni del Paese. Studenti e appassionati di tecnologie informatiche, alcuni dei quali con un passato o un presente da hacker, competeranno per una serie di borse di studio e di posti di lavoro in alcune delle migliori istituzioni del Paese.

Fonte TGCOM

Articoli Correlati

Aziende di tutto il mondo sotto attacco hacker

Notizia di oggi che sta riempiendo i giornali e i siti.

Riporto quello tratto da pmi.it:

L’attacco hacker più massiccio, sofisticato ed esteso di tutti i tempi – così verrà ricordato quello scoperto dall’ingegnere Alex Cox, impiegato nell’azienda della Virginia Netwitness, che si occupa di sicurezza per Governo Usa ed FBI – sta terrorizzando le aziende di tutto il mondo. L’iniziativa criminale è partita a fine 2008.

Prese di mira informazioni critiche e dati sensibili di imprese ed enti governativi: 75.000 pc e server, oltre 2.500 aziende in 196 diversi paesi.

Cox ha individuato, il 26 gennaio scorso il sistema, il bot Kneper, utilizzato dagli hacker per carpire i dati. Il funzionamento è piuttosto semplice ma purtroppo efficace, perchè basato sull’ingenuità degli utenti.

Gli hacker hanno indotto i dipendenti a scaricare software maligno che, una volta installato, permette di accedere liberamente ai Pc e ai server aziendali, utilizzando anche un pericoloso spyware già noto come ZeuS.

La base della rete hacker sarebbe stata localizzata in Est-Europa, con un centro di controllo in Germania, ma per ora l’Europa non sembra essere la zona geografica più colpita, bensì Usa, Messico, Egitto, Arabia Saudita e Turchia.

È però necessario sottolineare che l’attacco è ancora in atto, tanto che ancora non è stato possibile quantificare i danni provocati. È pertanto importante continuare a prestare attenzione quando si istallano software scaricati dalla Rete e provenienti da fonti sconosciute.

L’invito arriva mediante email con allegati o link infetti, oppure tramite avvisi che invitano a cliccare su siti infettati, o ancora inviando warnings legati alla necessità di cancellare file dannosi per il computer, inducendo quindi a scaricare programmini creati dagli hacker stessi.

Le mie considerazioni sono:

  1. Troppe aziende sottovalutano la sicurezza;
  2. Pochissime hanno un piano integrato per la sicurezza informatica;
  3. Gli utenti sono troppo poco consapevoli dei rischi per svariati motivi (disinformazione, poca consapevolezza, tanto il sistema magari non è mio)
  4. Tanti non leggono quello che cliccano (magari non sanno le lingue)
  5. Spendere in sicurezza? e perchè? tanto non capiterà mai a me

E poi si chiude la stalla quando i buoi sono fuggiti. Questo dal punto di vista degli utenti.

I provider nazionali invece potrebbero fare qualcosa di più, visto che questo diventerà il terreno di scontro delle prossime guerre. Policy di sicurezza più strette, filtri intelligenti per la gestione del traffico e molto altro ancora.

Ovviamente secondo il nostro punto di vista

Articoli Correlati

Software illegale

Una notizia prelevata da Top Trade Informatica che mi sembra interessante.

La Guardia di Finanza di Bologna contesta violazioni per oltre 476.000 euro e denuncia 10 imprenditori per utilizzo di software illegale con la collaborazione dei consulenti tecnici di Business Software Alliance.
L’articolo completo puo’ essere letto qui

Articoli Correlati