Firma POCO qualificata

Luglio 9, 2008 at 11:13 pm | In security advisory, sicurezza | 1 Comment
Tags: , , ,

Massimiliano Girolami oggi mi ha parlato di un presunto attacco alla firma digitale, documentato qui.

Inizialmente ho pensato si trattasse di una mera boutade giornalistica priva di fondamento, visti anche i vari articoli critici apparsi sul web.

Poi ho letto con maggiore attenzione ed ho scaricato il file d’esempio e confesso che mi ha sorpreso positivamente; forse non è sufficiente ad invalidare il meccanismo della firma digitale, ma farei qualche considerazione aggiuntiva sull’argomento…

E’ curioso, infine, l’approccio di Punto Informatico nell’articolo “Firma digitale falsificata? E’ falsa solo la notizia“, dove Diego Zanga commette un clamoroso errore, che lo porta ad affermare che il bug è di Windows, in pieno stile “Linux-rulez”.

In risposta al suo articolo, mi accontento di mostrargli un altro sistema operativo buggato (Symbian):

Screenshot Symbian S60 3rd Edition

Screenshot Symbian S60 3rd Edition

…allora mi mandi un fax

Maggio 21, 2008 at 5:21 pm | In sicurezza | Leave a Comment
Tags: , ,

Dopo aver letto questo articolo di Matteo G.P. Flora mi sono venuti in mente due episodi sull’argomento:

1) Al netcomm 2007 il responsabile del “Progetto Fiducia” di Confindustria Servizi Innovativi e Tecnologici annunciò che erano state dimezzate le frodi online grazie all’uso del CVV2 (codice in chiaro sul retro della carta di credito). Ma a cosa serve la cifratura allora???

2) Circa un anno fa ho prenotato un albergo da un noto portale di booking per poi scoprire che i dati della mia carta di credito venivano inviati per email alla reception dell’albergo. In quel caso (carta prepagata con credito insufficiente) mi chiesero di fornire un’altra carta di credito per telefono. In risposta alla mia perplessità, mi risposero:
“…allora mi mandi un fax!”.

Non basta guardare se c’è il lucchetto dell’https… è una questione di sicurezza dei sistemi nella sua complessità, di back-office e di sensibilità delle persone alla sicurezza…

License Plate SQL Injection

Maggio 6, 2008 at 11:50 am | In sicurezza | 3 Comments
Tags: , ,

Articolo molto divertente (anche se un po’ da nerd) quello pubblicato su http://www.areino.com/hackeando/

che presenta la foto di una targa che potrebbe causare un attacco di SQL Injection verso un sistema di riconoscimento automatico delle targhe.

License Plate SQL Injection

In realtà si presentano almeno un paio di problemi:

1) controllo della sintassi (la targa contiene caratteri non validi ed è una stringa non ammissibile per l’Italia)
2) la contraffazione della targa in Italia è un reato penalmente perseguibile

Per ovviare al punto 2 c’è un’alternativa: è assolutamente legale attaccare sul retro dell’auto (o su altra area inquadrata dalla telecamera) un adesivo rettangolare su sfondo bianco molto simile alla targa.

Per il punto 1 la situazione è più complicata, perché se il riconoscitore fa una validazione sintattica (ad esempio i riconoscitori che conosco personalmente lo fanno), la targa viene scartata e passa al riconoscimento manuale dell’operatore, che magari inserisce la stringa affetta da SQL Injection… ;-)

I 10 tentacoli del calamaro

Aprile 15, 2008 at 2:11 pm | In Internet, sicurezza | Leave a Comment
Tags: , , , ,

E’ partito tutto da un post del 2 Apr 2008 di Domenico Viggiani sulla mailing list di sikurezza.org.

Viggiani allega uno screenshot di Firefox con il classico “Access Denied” di Squid in risposta ad una richiesta per “http://login.yahoo.com/config/login?”. La pagina riporta l’indirizzo email del cache administrator e l’azienda per cui lavora, che apparentemente non ha nessuna relazione con il pc in questione.

La mia prima sensazione è che qualcuno avesse riutilizzato un file di configurazione di Squid senza cambiare i riferimenti dell’admin e non ho prestato particolare attenzione al thread.

Col passare dei giorni si arriva ad ipotesi più interessanti e meno banali, fino ad ipotizzare la teoria del dirottamento del traffico, operato via dns, verso una catena di transparent proxy http, e nel mezzo ci starebbero i “cattivi” in ascolto.

Il 14 Apr arriva un ulteriore messaggio di Viggiani, che nel frattempo ha contattato l’admin indicato nel messaggio d’errore, che ha spiegato la situazione con “problemi di routing che portavano addirittura sul loro proxy”.
Oltre ad essere tecnicamente poco chiara, mi sembra molto grave che le connessioni enterprise di un’azienda (acquistate da Telecom e Albacom) finiscano su server di terze parti senza alcun motivo.

In natura il calamaro ha 10 tentacoli, dove porteranno in questo caso???

Blog su WordPress.com. | Theme: Pool by Borja Fernandez.
Entries and comments feeds.