Sicurezza online anche in viaggio, nel numero di aprile 2011 di OUCH!

Il numero di aprile 2011 di OUCH!, la newsletter sulla Security Awareness di SANS disponibile ora anche in italiano, verte sul tema della sicurezza dei servizi in rete al di fuori dei nostri consueti ambiti di lavoro o di abitazione.
Quando ci troviamo in viaggio o in vacanza, accedere a Internet può diventare una vera sfida:
i collegamenti possono, non solo essere più lenti, ma anche con molti più rischi, specialmente quando ci colleghiamo a reti o computer pubblici. La chiave per utilizzare Internet in modo sicuro anche durante i viaggi sta nel comprendere questi rischi ulteriori, adottare una maggior cautela per non farsi cogliere impreparati.

Il nuovo numero è disponibile sul sito del SANS, dove potrete trovare anche l'archivio dei numeri precedenti.
Nel blog "Privacy e Sicurezza" troverete anche un post con alcuni link di corredo ad articoli in italiano.

Ogni numero di OUCH! viene redatto dal gruppo del SANS Institute dedicato al programma Securing the Human, un progetto che ha l'obiettivo di fornire soluzioni alle necessità di ogni azienda di migliorare il livello di sicurezza di dipendenti, consulenti, staff IT e management.
Tradotto in italiano dallo staff di Advanction, OUCH! è distribuita con licenza Creative Commons BY‐NC‐ND 3.0: vi invitiamo quindi a diffonderla all'interno della vostra azienda e a condividerla con altri. Se desiderate distribuire OUCH! a tutti i vostri utenti, potete sottoscriverla attraverso un indirizzo singolo corrispondente a una lista di distribuzione interna.
Il SANS Institute
SANS è l'organizzazione più importante e riconosciuta nell'ambito della formazione e nella certificazione nel campo della sicurezza delle informazioni. Inoltre, sviluppa, mantiene e rende disponibile la più grande collezione di documenti inerenti i vari aspetti della sicurezza.
SANS gestisce inoltre l'Internet Storm Center, un sistema di early warning sulle minacce presenti sulla rete.
SANS (acronimo per SysAdmin, Audit, Network, Security) è stato fondato nel 1989come organizzazione cooperativa per la ricerca e l'educazione. I suoi programmi hanno visto coinvolti più di 350.000 professionisti della sicurezza, auditor, amministratori di sistema e di rete, Responsabili della sicurezza e CIO, che hanno voluto condividere le proprie esperienze e trovare congiuntamente delle soluzioni alle sfide che si sono trovati ad affrontare. Il cuore di SANS è costituito da molti professionisti di agenzie governative, aziende e università in tutto il mondo che investono centinaia di ore all'anno nella ricerca e nella formazione per aiutare il mondo dell'Information Security.

OUCH! è tradotto in italiano dallo staff di Advanction.

RSA: sicurezza violata. SecurID non è più così "secure"

RSA, azienda leader nella produzione di soluzioni di sicurezza e crittografia, è caduta vittima di un attacco in cui sono stati sottratti dati dai suoi server.
Art Coviello, CEO dell'azienda americana, ha pubblicato un comunicato stampa in cui si afferma che parte dei dati sottratti riguardava la tecnologia dei prodotti SecurID, la cui sicurezza, sempre secondo il comunicato, è ora messa a rischio
La famiglia SecurID è una delle soluzioni più consolidate per l'autenticazione a due fattori: utilizzata da più di 40 milioni di utenti in tutto il mondo, viene spesso associata al token hardware che genera una one-time password (OTP) ogni 60 secondi.
Sebbene RSA affermi che i dati sottratti possono ridurre l'efficacia dell'implementazione dell'attuale autenticazione a due fattori, non è stata specificata la natura delle informazioni
Diventa facile quindi speculare che gli attaccanti si sono impadroniti del codice sorgente o dei seed utilizzati nel processo crittografico (le chiavi utilizzate per generare la one-time-password).
RSA ha allegato al report una serie di raccomandazioni, peraltro piuttosto ovvie per chi si occupa di sicurezza...

Overall Recommendations:
RSA strongly urges customers to follow both these overall recommendations and the
• We recommend customers increase their focus on security for social media applications and recommendations available in the best practices guides linked to this
note.the use of those applications and websites by anyone
with access to their critical networks.
• We recommend customers enforce strong password and pin policies.
• We recommend customers follow the rule of least privilege when assigning roles and responsibilities to security administrators

E' ancora presto per disquisire di quali dati siano venuti in possesso gli autori della violazione, certo é che se gli hacker si fossero impadroniti delle chiavi crittografiche (seed) installate sui token SecurID , con un po' di tempo e di potenza di calcolo, la sicurezza dei token potrebbe venire davvero compromessa.
Questa notizia fa però scalpore anche per altri elementi distintivi. Eccoli:

1. RSA è un'azienda leader nelle soluzioni di sicurezza;
2. RSA produce sistemi di Data Leakage Prevention classificati come leader dalle principali società di ricerca;
3. SecurID é forse il più diffuso sistema di autenticazione a due fattori.

C'è qualcosa che non vi torna? Maligni...
Io, in questi casi, mi chiedo se il vettore di attacco sia completamente esterno o se non ci sia qualcuno di interno che ci ha mezzo lo zampino, volontariamente o no.
Indipendentemente da come sia avvenuto l'attacco, credo che sia indispensabile, a fronte di soluzioni che si supporrebbero solide (il doppio condizionale è d'obbligo), dotare l'azienda di robuste policy e procedure di sicurezza, ad esempio, per classificare le informazioni e usare il principio del privilegio minimo per l'accesso, e quindi anche del need-to-know (accedere soltanto a ciò a cui si deve accedere per svolgere il proprio lavoro).
Se poi, invece, i processi sono inossidabili, ma hanno sbagliato i software... "that's a different kettle of fish."

Approfondimenti: CIO / The Register 

Zeus ancora all'attacco dell'autenticazione a due fattori via SMS

Questo è già il secondo esempio di come il trojan per e-banking Zeus si sia evoluto per impadronirsi anche dei dati della seconda autenticazione.
Una sua variante prende ora di mira gli utenti di telefoni cellulari che fanno utilizzo del secondo fattore autenticativo al momento del login all'e-banking e il primo caso si é verificato alla ING Bank Slaski in Polonia.
L'attacco, di tipo man-in-the-mobile, è simile a quello apparso lo scorso settembre in Spagna, affermano i ricercatori di F-Secure. Entrambi gli attacchi cercano di impadronirsi del mTAN (mobile transaction authentication numbers) ovvero il secondo fattore di autenticazione che molti servizi online hanno implementato: la one-time-password, che viene inviata via SMS, è utilizzata dall'utente per confermare l'accesso al servizio.
Il nuovo malware inietta un campo nelle pagine web che chiedono all'utente il numero di telefono e il tipo di cellulare utilizzato: il criminale invia poi un SMS all'utente contenente un link a un malware customizzato per il sistema operativo del suo telefono (al momento pare sia solo disponibile per Symbian e Blackberry e non ancora per iPhone o Android). Il malware invierà poi automaticamente tutti gli mTAN ricevuti dal cellulare all'operatore Zeus.

Da: The Register

La password più comune? 123456. CVD

Come ben sapranno i professionisti della sicurezza lettori di questo blog, nei giorni scorsi si è verificata una fuga di informazioni dal gruppo Gawker media, che pubblica tra gli altri i blog Gizmodo, IO9 e Lifehacker.
Le informazioni riguardavano i dati di circa 1.300.000 utenti, dati tra cui erano presenti anche le  password, codificare con l'algoritmo DES (mah!, n.d.r.)
Ebbene, gli esperti di Duo Security si sono presi la briga di decodificare 400.000 di queste password e hanno trovato i seguenti risultati:

• 123456 è la password più diffusa, essendo presente più di 2500 volte;
• password è la seconda in classifica, essendo la scelta di 2200 utenti;
• 12345678 buona terza, con 1200 utenti;
• qwerty, abc123, 12345, monkey, 111111, consumer, letmein, 1234 seguono a breve distanza.

Sebbene la protezione di un account Gawker possa non essere considerata strategica da molti dei suoi utenti, il vero pericolo risiede nella possibilità che la stessa password utilizzata per entrare in Lifehacker o Gizmodo possa essere utilizzata anche per accedere servizi più sensibili per l'utente, come la email, l'e-banking e altro ancora.
Con un database come quello divulgato, contenente anche gli indirizzi e-mail, diventa semplice entrare in possesso dell'identità di un utente:

1. il db contiene password e indirizzo e-mail;
2. ottenuta una password di accesso a Gawker, la si prova per l'accesso alla e-mail;
3. nel caso fortuito che le due password coincidano, acceduta l'e-mail, si leggono i messaggi per identificare eventuali servizi sensibili a cui l'utente è iscritto, tipo l'e-banking;
4. si prova ad accedere all'e-banking con le stesse credenziali e, nel caso che la password sia diversa, si segue la procedura di cambio password, che normalmente prevede l'invio di un messaggio alla e-mail.

Sebbene il soddisfacimento di questi passaggi non sia esaustivo per ottenere le informazioni di accesso e uso di un servizio di e-banking, ci consente di arrivare molto vicino: un hacker con la volontà di malversare avrebbe già una buona base di partenza.
Va da sé che, quindi, sebbene le tecnologie moderne di sicurezza ci permettano di proteggerci con mezzi ulteriori, una buona password è e rimane un punto fondamentale per mitigare i rischi di accesso ai nostri servizi da partedi ospiti indesiderati.

Per qualche ulteriore suggerimento su come creare buone password, leggete il nostro nuovo blog Sicurezza e Privacy (ancora in beta).
Se, inoltre, volete dilettarvi a scoprire quanto è sicura la vostra password, provate lo strumento disponibile su http://howsecureismypassword.net/ che, attraverso un calcolo effettuato da un javascript in locale al vostro browser, vi dirà quanto tempo ci vuole per cracckare la vostra password con un programma su un comune PC.

Perchè Wikileaks fa bene alla sicurezza

Al di là delle valutazioni di merito sull'operato dell'organizzazione guidata da Assange, su quanto siano giuste o no le sue azioni di divulgazione, e al di là delle considerazioni sui contenuti dei dispacci pubblicati, che peraltro sembrano in molti casi dimostrare con chiarezza dei concetti che implicitamente erano già dominio o del pubblico o dei governi, dal punto di vista di un operatore dell'Information Security, Wikileaks non può che condurre a risvolti positivi.
Quale migliore opera di Security Awareness della divulgazione di documenti secretati su ogni giornale, televisione e sito di news? Quale migliore dimostrazione dell'insicurezza di quella di un mito dell'opinione pubblica come il Dipartimento della Difesa degli Stati Uniti d'America, ormai protagonista delle discussioni nei social network, nei forum e nel bar sotto casa?

C'è quindi da chiedersi come mai è stato possibile aggregare ben 1.6 GB di documenti dal database di SIPRNet, la rete del Dipartimento della Difesa statunitense.
Quello che si può supporre è che i controlli siano un poco laschi, per varie ragioni, tra cui quella di permettere un accesso ai documenti più accessibile (sono supposizioni, naturalmente).
Vediamo allora qualche numero:

• 251.297: è il numero totale dei documenti in corso di divulgazione da Wikileaks;
• 133.887 i documenti non classificati o per solo uso "ufficiale";
• 101.748 sono i documenti confidenziali;
• 15.662 sono i documenti classificati come "segreti".

Anche se il numero di documenti segreti è 1/16 del totale, 15.662 documenti segreti costituiscono una fuga di informazioni impressionante.

E' lecito a questo punto porsi alcune domande:

1. davvero i documenti segreti erano gestiti in un database insiema a tutti gli altri?
2. qual è il livello di protezione richiesto per i vari livelli di questi documenti?
3. esiste un controllo dell'accesso in base al ruolo (RBAC - role base access control)?
4. perchè i documenti non sono stati crittografati?

Alla fine dei conti, è fin troppo facile accusare Wikileaks di essere responsabile di sconvolgimenti diplomatici (peraltro, ho molte riserve sulla possibilità che questo si realizzi).
Anche in questo caso si tratta di un concorso di colpe: se il controllo dell'accesso ai documenti o la loro classificazione fosse stata più efficace, forse questa fuga di informazioni non avrebbe avuto luogo. Esistono procedure e strumenti per mettere in opera una classificazione delle informazioni veramente efficace nonché un controllo accessi efficiente.
Per illustrarvi come potrebbe aver avuto luogo la fuga di informazioni, vi faccio un paragone: un'ipotetica agenzia di una banca ha un sistema di sicurezza tale per cui, quando dei rapinatori riescono ad accedere all'interno degli uffici, vengono bloccate tutte le porte di accesso. Ad eccezione di una, perché è sfuggita in sede di analisi, o perché il cavo elettrico è staccato, o perché, ancora, erano finiti i soldi in fase di realizzazione, e l'ufficio dei Servizi Generali ha detto:"Ma sì, è una porta sola, e pure nascosta. Figurati se la useranno mai." I rapinatori, che hanno un basista all'interno della banca, lo sapevano e scappano da lì.
Le frodi e le fughe di informazioni avvengono anche (se non soprattutto) in questo modo: per disattenzione o incuria di chi deve controllare.
E quindi, dove sta la colpa?