Firma POCO qualificata

Luglio 9, 2008 at 11:13 pm | In security advisory, sicurezza | 1 Comment
Tags: , , ,

Massimiliano Girolami oggi mi ha parlato di un presunto attacco alla firma digitale, documentato qui.

Inizialmente ho pensato si trattasse di una mera boutade giornalistica priva di fondamento, visti anche i vari articoli critici apparsi sul web.

Poi ho letto con maggiore attenzione ed ho scaricato il file d’esempio e confesso che mi ha sorpreso positivamente; forse non è sufficiente ad invalidare il meccanismo della firma digitale, ma farei qualche considerazione aggiuntiva sull’argomento…

E’ curioso, infine, l’approccio di Punto Informatico nell’articolo “Firma digitale falsificata? E’ falsa solo la notizia“, dove Diego Zanga commette un clamoroso errore, che lo porta ad affermare che il bug è di Windows, in pieno stile “Linux-rulez”.

In risposta al suo articolo, mi accontento di mostrargli un altro sistema operativo buggato (Symbian):

Screenshot Symbian S60 3rd Edition

Screenshot Symbian S60 3rd Edition

…allora mi mandi un fax

Maggio 21, 2008 at 5:21 pm | In sicurezza | Leave a Comment
Tags: , ,

Dopo aver letto questo articolo di Matteo G.P. Flora mi sono venuti in mente due episodi sull’argomento:

1) Al netcomm 2007 il responsabile del “Progetto Fiducia” di Confindustria Servizi Innovativi e Tecnologici annunciò che erano state dimezzate le frodi online grazie all’uso del CVV2 (codice in chiaro sul retro della carta di credito). Ma a cosa serve la cifratura allora???

2) Circa un anno fa ho prenotato un albergo da un noto portale di booking per poi scoprire che i dati della mia carta di credito venivano inviati per email alla reception dell’albergo. In quel caso (carta prepagata con credito insufficiente) mi chiesero di fornire un’altra carta di credito per telefono. In risposta alla mia perplessità, mi risposero:
“…allora mi mandi un fax!”.

Non basta guardare se c’è il lucchetto dell’https… è una questione di sicurezza dei sistemi nella sua complessità, di back-office e di sensibilità delle persone alla sicurezza…

License Plate SQL Injection

Maggio 6, 2008 at 11:50 am | In sicurezza | 3 Comments
Tags: , ,

Articolo molto divertente (anche se un po’ da nerd) quello pubblicato su http://www.areino.com/hackeando/

che presenta la foto di una targa che potrebbe causare un attacco di SQL Injection verso un sistema di riconoscimento automatico delle targhe.

License Plate SQL Injection

In realtà si presentano almeno un paio di problemi:

1) controllo della sintassi (la targa contiene caratteri non validi ed è una stringa non ammissibile per l’Italia)
2) la contraffazione della targa in Italia è un reato penalmente perseguibile

Per ovviare al punto 2 c’è un’alternativa: è assolutamente legale attaccare sul retro dell’auto (o su altra area inquadrata dalla telecamera) un adesivo rettangolare su sfondo bianco molto simile alla targa.

Per il punto 1 la situazione è più complicata, perché se il riconoscitore fa una validazione sintattica (ad esempio i riconoscitori che conosco personalmente lo fanno), la targa viene scartata e passa al riconoscimento manuale dell’operatore, che magari inserisce la stringa affetta da SQL Injection… ;-)

I 10 tentacoli del calamaro

Aprile 15, 2008 at 2:11 pm | In Internet, sicurezza | Leave a Comment
Tags: , , , ,

E’ partito tutto da un post del 2 Apr 2008 di Domenico Viggiani sulla mailing list di sikurezza.org.

Viggiani allega uno screenshot di Firefox con il classico “Access Denied” di Squid in risposta ad una richiesta per “http://login.yahoo.com/config/login?”. La pagina riporta l’indirizzo email del cache administrator e l’azienda per cui lavora, che apparentemente non ha nessuna relazione con il pc in questione.

La mia prima sensazione è che qualcuno avesse riutilizzato un file di configurazione di Squid senza cambiare i riferimenti dell’admin e non ho prestato particolare attenzione al thread.

Col passare dei giorni si arriva ad ipotesi più interessanti e meno banali, fino ad ipotizzare la teoria del dirottamento del traffico, operato via dns, verso una catena di transparent proxy http, e nel mezzo ci starebbero i “cattivi” in ascolto.

Il 14 Apr arriva un ulteriore messaggio di Viggiani, che nel frattempo ha contattato l’admin indicato nel messaggio d’errore, che ha spiegato la situazione con “problemi di routing che portavano addirittura sul loro proxy”.
Oltre ad essere tecnicamente poco chiara, mi sembra molto grave che le connessioni enterprise di un’azienda (acquistate da Telecom e Albacom) finiscano su server di terze parti senza alcun motivo.

In natura il calamaro ha 10 tentacoli, dove porteranno in questo caso???

Security advisory: Comune di Calcinaia (PI)

Marzo 29, 2008 at 3:41 pm | In security advisory | 3 Comments
Tags: , , , , , , ,

Vulnerabilita

TITOLO
Il servizio di consultazione delle foto scattate dagli autovelox del Comune di Calcinaia (PI) permette la consultazione di tutte le foto disponibili in archivio senza possedere le credenziali di accesso.

ADVISORY ID
200801

DATA DI RILASCIO
2008-03-30

VERIFY ADVISORY
http://leonardoanceschi.wordpress.com/2008/03/29/security-advisory-comune-di-calcinaia-pi/

CRITICITA’
Alta

LOCATION:
Da remoto

IMPATTO:
Dati personali liberamente accessibili da remoto

SITI COINVOLTI
http://www.comune.calcinaia.pi.it

HALF DISCLOSURE
Il servizio di visualizzazione delle foto scattate dagli autovelox non è adeguatamente sicuro e permette a qualunque utente con un po’ di familiarità con html e xml di visualizzare tutte le foto scattate dagli autovelox.

Il database delle foto è accessibile in chiaro e senza autenticazione direttamente dall’esterno.

La vulnerabilità, individuata da Leonardo Anceschi, esperto di sicurezza informatica, è stata segnalata al Comune di Calcinaia il 30/03/2008, unitamente ai dettagli completi sulla riproducibilità e sulle implementazioni necessarie per risolvere la vulnerabilità.

FULL DISCLOSURE
Fornita a Comune di Calcinaia

PROOF OF CONCEPT
Fornito a Comune di Calcinaia

SOLUZIONI
Fornite a Comune di Calcinaia

TIMEFRAME
2008-03-29: Individuazione della Vulnerabilità
2008-03-30: Segnalazione della vulnerabilità ed invio del FULL DISCLOSURE a Comune di Calcinaia
2008-03-30: Pubblicazione dell’HALF DISCLOSURE sul blog http://leonardoanceschi.wordpress.com
2008-03-31: Rimosso il servizio di consultazione delle foto dal sito del Comune
2008-04-01: Ripristinato (con vulnerabilità) il servizio di consultazione delle foto dal sito del Comune

Blog su WordPress.com. | Theme: Pool by Borja Fernandez.
Entries and comments feeds.