giovedì 14 dicembre 2017

Link HTTPS in pagine HTTP: (quasi) completamente inutili

In una delle ultime lezioni del corso di "Reti di Calcolatori" abbiamo approfondito alcuni dettagli sottili, ma neanche troppo, di https, il protocollo per la navigazione cosiddetta-sicura sul web. E' quel protocollo che usiamo ogni volta che andiamo sul sito di una banca, di una compagnia aerea, di un sito di ecommerce e così via.

Tra le altre cose, avevamo evidenziato che se una pagina P è critica per la sicurezza (ad esempio una pagina contenente un form di autenticazione) allora è indispensabile mettere P su https.

Avevamo anche evidenziato che se facciamo un sito con una home page su http e mettiamo nella home page un link verso P, allora avere messo P su https è (quasi) completamente inutile.
  • Infatti, quando gli utenti arrivano sulla home page, ricevono contenuti su http, quindi senza garanzie di autenticazione ed integrità;
  • quindi, lo sforzo che deve fare un attaccante per modificare i link contenuti nella home page è determinato da http, non da https;
  • quindi, lo sforzo per modificare il link che dovrebbe puntare verso P e farlo invece puntare verso una pagina scelta dall'attaccante è determinato da http, non da https;
  • quindi, lo sforzo per mostrare agli utenti una pagina con un form di autenticazione dall'aspetto identico a quello di P ma localizzata su un server controllato dall'attaccante, è determinato da http, non da https.
Più chiaro di così non riesco ad esprimerlo.

Bene, proprio ieri si sono diffusi sui social molti tweet di scherno diretti ad una banca (australiana) che ha proprio questo problema:

https://www.troyhunt.com/im-sorry-you-feel-this-way-natwest-but-https-on-your-landing-page-is-important/

La persona che ha scritto il blog post è la stessa che ha inventato e sta mantenendo https://haveibeenpwned.com/ ed è uno dei pochi consulenti che pochi giorni fa è stato chiamato per dare un testimony sulla cybersecurity al parlamento americano. Ha quasi 90.000 follower su Twitter (https://twitter.com/troyhunt).

Se qualcuno pensa che io sono troppo pessimista o mi preoccupo solo di problemi di interesse solo teorico, spero che creda a a lui....

venerdì 17 novembre 2017

Ancora su "Vivere l'innovazione"

Nel mio intervento al convegno su "Vivere l'innovazione" (vedi qui) mi sono focalizzato sul ritardo del nostro paese rispetto agli altri paesi europei, sostenendo la tesi che il nostro vero problema consiste nella carenza di competenze.

Oggi è stata resa pubblica la mappa europea dell'inquinamento. Permette di consultare in tempo reale i dati sull'inquinamento delle città europee. La mappa contiene tutti i paesi meno quattro: noi, Romania, Bulgaria, Grecia. So che sembra incredibile ma è così. Pare che i nostri la "stiano completando".

Io non ho bisogno di ulteriori prove a sostegno della mia tesi...