La sicurezza delle password è il tema del numero di maggio di OUCH!

Nel numero di maggio di OUCH!, la newsletter mensile di suggerimenti sulla sicurezza informatica, ci focalizziamo sulla creazione e il mantenimento di password forti.
Grazie all'articolo di Eric Cole mostreremo come creare password complesse semplici da ricordare per poi passare ai passi che ognuno dovrebbe seguire per proteggere al meglio le proprie password.
La complessità delle password può far poco nel caso cadiate vittima di phishing, se condividete le password con qualcun'altro o se il vostro computer è stato infettato da malware in grado di catturare ciò che digitate.
Trovate l'ultimo numero di OUCH! a questo indirizzo:
http://www.securingthehuman.org/newsletters/ouch/issues/OUCH-201105_it.pdf
Buona lettura!

Sicurezza online anche in viaggio, nel numero di aprile 2011 di OUCH!

Il numero di aprile 2011 di OUCH!, la newsletter sulla Security Awareness di SANS disponibile ora anche in italiano, verte sul tema della sicurezza dei servizi in rete al di fuori dei nostri consueti ambiti di lavoro o di abitazione.
Quando ci troviamo in viaggio o in vacanza, accedere a Internet può diventare una vera sfida:
i collegamenti possono, non solo essere più lenti, ma anche con molti più rischi, specialmente quando ci colleghiamo a reti o computer pubblici. La chiave per utilizzare Internet in modo sicuro anche durante i viaggi sta nel comprendere questi rischi ulteriori, adottare una maggior cautela per non farsi cogliere impreparati.

Il nuovo numero è disponibile sul sito del SANS, dove potrete trovare anche l'archivio dei numeri precedenti.
Nel blog "Privacy e Sicurezza" troverete anche un post con alcuni link di corredo ad articoli in italiano.

Ogni numero di OUCH! viene redatto dal gruppo del SANS Institute dedicato al programma Securing the Human, un progetto che ha l'obiettivo di fornire soluzioni alle necessità di ogni azienda di migliorare il livello di sicurezza di dipendenti, consulenti, staff IT e management.
Tradotto in italiano dallo staff di Advanction, OUCH! è distribuita con licenza Creative Commons BY‐NC‐ND 3.0: vi invitiamo quindi a diffonderla all'interno della vostra azienda e a condividerla con altri. Se desiderate distribuire OUCH! a tutti i vostri utenti, potete sottoscriverla attraverso un indirizzo singolo corrispondente a una lista di distribuzione interna.
Il SANS Institute
SANS è l'organizzazione più importante e riconosciuta nell'ambito della formazione e nella certificazione nel campo della sicurezza delle informazioni. Inoltre, sviluppa, mantiene e rende disponibile la più grande collezione di documenti inerenti i vari aspetti della sicurezza.
SANS gestisce inoltre l'Internet Storm Center, un sistema di early warning sulle minacce presenti sulla rete.
SANS (acronimo per SysAdmin, Audit, Network, Security) è stato fondato nel 1989come organizzazione cooperativa per la ricerca e l'educazione. I suoi programmi hanno visto coinvolti più di 350.000 professionisti della sicurezza, auditor, amministratori di sistema e di rete, Responsabili della sicurezza e CIO, che hanno voluto condividere le proprie esperienze e trovare congiuntamente delle soluzioni alle sfide che si sono trovati ad affrontare. Il cuore di SANS è costituito da molti professionisti di agenzie governative, aziende e università in tutto il mondo che investono centinaia di ore all'anno nella ricerca e nella formazione per aiutare il mondo dell'Information Security.

OUCH! è tradotto in italiano dallo staff di Advanction.

RSA: sicurezza violata. SecurID non è più così "secure"

RSA, azienda leader nella produzione di soluzioni di sicurezza e crittografia, è caduta vittima di un attacco in cui sono stati sottratti dati dai suoi server.
Art Coviello, CEO dell'azienda americana, ha pubblicato un comunicato stampa in cui si afferma che parte dei dati sottratti riguardava la tecnologia dei prodotti SecurID, la cui sicurezza, sempre secondo il comunicato, è ora messa a rischio
La famiglia SecurID è una delle soluzioni più consolidate per l'autenticazione a due fattori: utilizzata da più di 40 milioni di utenti in tutto il mondo, viene spesso associata al token hardware che genera una one-time password (OTP) ogni 60 secondi.
Sebbene RSA affermi che i dati sottratti possono ridurre l'efficacia dell'implementazione dell'attuale autenticazione a due fattori, non è stata specificata la natura delle informazioni
Diventa facile quindi speculare che gli attaccanti si sono impadroniti del codice sorgente o dei seed utilizzati nel processo crittografico (le chiavi utilizzate per generare la one-time-password).
RSA ha allegato al report una serie di raccomandazioni, peraltro piuttosto ovvie per chi si occupa di sicurezza...

Overall Recommendations:
RSA strongly urges customers to follow both these overall recommendations and the
• We recommend customers increase their focus on security for social media applications and recommendations available in the best practices guides linked to this
note.the use of those applications and websites by anyone
with access to their critical networks.
• We recommend customers enforce strong password and pin policies.
• We recommend customers follow the rule of least privilege when assigning roles and responsibilities to security administrators

E' ancora presto per disquisire di quali dati siano venuti in possesso gli autori della violazione, certo é che se gli hacker si fossero impadroniti delle chiavi crittografiche (seed) installate sui token SecurID , con un po' di tempo e di potenza di calcolo, la sicurezza dei token potrebbe venire davvero compromessa.
Questa notizia fa però scalpore anche per altri elementi distintivi. Eccoli:

1. RSA è un'azienda leader nelle soluzioni di sicurezza;
2. RSA produce sistemi di Data Leakage Prevention classificati come leader dalle principali società di ricerca;
3. SecurID é forse il più diffuso sistema di autenticazione a due fattori.

C'è qualcosa che non vi torna? Maligni...
Io, in questi casi, mi chiedo se il vettore di attacco sia completamente esterno o se non ci sia qualcuno di interno che ci ha mezzo lo zampino, volontariamente o no.
Indipendentemente da come sia avvenuto l'attacco, credo che sia indispensabile, a fronte di soluzioni che si supporrebbero solide (il doppio condizionale è d'obbligo), dotare l'azienda di robuste policy e procedure di sicurezza, ad esempio, per classificare le informazioni e usare il principio del privilegio minimo per l'accesso, e quindi anche del need-to-know (accedere soltanto a ciò a cui si deve accedere per svolgere il proprio lavoro).
Se poi, invece, i processi sono inossidabili, ma hanno sbagliato i software... "that's a different kettle of fish."

Approfondimenti: CIO / The Register 

Zeus ancora all'attacco dell'autenticazione a due fattori via SMS

Questo è già il secondo esempio di come il trojan per e-banking Zeus si sia evoluto per impadronirsi anche dei dati della seconda autenticazione.
Una sua variante prende ora di mira gli utenti di telefoni cellulari che fanno utilizzo del secondo fattore autenticativo al momento del login all'e-banking e il primo caso si é verificato alla ING Bank Slaski in Polonia.
L'attacco, di tipo man-in-the-mobile, è simile a quello apparso lo scorso settembre in Spagna, affermano i ricercatori di F-Secure. Entrambi gli attacchi cercano di impadronirsi del mTAN (mobile transaction authentication numbers) ovvero il secondo fattore di autenticazione che molti servizi online hanno implementato: la one-time-password, che viene inviata via SMS, è utilizzata dall'utente per confermare l'accesso al servizio.
Il nuovo malware inietta un campo nelle pagine web che chiedono all'utente il numero di telefono e il tipo di cellulare utilizzato: il criminale invia poi un SMS all'utente contenente un link a un malware customizzato per il sistema operativo del suo telefono (al momento pare sia solo disponibile per Symbian e Blackberry e non ancora per iPhone o Android). Il malware invierà poi automaticamente tutti gli mTAN ricevuti dal cellulare all'operatore Zeus.

Da: The Register

La password più comune? 123456. CVD

Come ben sapranno i professionisti della sicurezza lettori di questo blog, nei giorni scorsi si è verificata una fuga di informazioni dal gruppo Gawker media, che pubblica tra gli altri i blog Gizmodo, IO9 e Lifehacker.
Le informazioni riguardavano i dati di circa 1.300.000 utenti, dati tra cui erano presenti anche le  password, codificare con l'algoritmo DES (mah!, n.d.r.)
Ebbene, gli esperti di Duo Security si sono presi la briga di decodificare 400.000 di queste password e hanno trovato i seguenti risultati:

• 123456 è la password più diffusa, essendo presente più di 2500 volte;
• password è la seconda in classifica, essendo la scelta di 2200 utenti;
• 12345678 buona terza, con 1200 utenti;
• qwerty, abc123, 12345, monkey, 111111, consumer, letmein, 1234 seguono a breve distanza.

Sebbene la protezione di un account Gawker possa non essere considerata strategica da molti dei suoi utenti, il vero pericolo risiede nella possibilità che la stessa password utilizzata per entrare in Lifehacker o Gizmodo possa essere utilizzata anche per accedere servizi più sensibili per l'utente, come la email, l'e-banking e altro ancora.
Con un database come quello divulgato, contenente anche gli indirizzi e-mail, diventa semplice entrare in possesso dell'identità di un utente:

1. il db contiene password e indirizzo e-mail;
2. ottenuta una password di accesso a Gawker, la si prova per l'accesso alla e-mail;
3. nel caso fortuito che le due password coincidano, acceduta l'e-mail, si leggono i messaggi per identificare eventuali servizi sensibili a cui l'utente è iscritto, tipo l'e-banking;
4. si prova ad accedere all'e-banking con le stesse credenziali e, nel caso che la password sia diversa, si segue la procedura di cambio password, che normalmente prevede l'invio di un messaggio alla e-mail.

Sebbene il soddisfacimento di questi passaggi non sia esaustivo per ottenere le informazioni di accesso e uso di un servizio di e-banking, ci consente di arrivare molto vicino: un hacker con la volontà di malversare avrebbe già una buona base di partenza.
Va da sé che, quindi, sebbene le tecnologie moderne di sicurezza ci permettano di proteggerci con mezzi ulteriori, una buona password è e rimane un punto fondamentale per mitigare i rischi di accesso ai nostri servizi da partedi ospiti indesiderati.

Per qualche ulteriore suggerimento su come creare buone password, leggete il nostro nuovo blog Sicurezza e Privacy (ancora in beta).
Se, inoltre, volete dilettarvi a scoprire quanto è sicura la vostra password, provate lo strumento disponibile su http://howsecureismypassword.net/ che, attraverso un calcolo effettuato da un javascript in locale al vostro browser, vi dirà quanto tempo ci vuole per cracckare la vostra password con un programma su un comune PC.