Talvolta mi capita di affermare che i moderni malware sono in grado di:
Quello che probabilmente non è chiaro è quanto sia semplice realizzare il punto 2.
Un articolo del 2007 scritto da dei ricercatori di Stanford (nota: cinque anni fa) mostra esempi di codice per il browser Firefox ("We have tested this code on several major retailer web sites").
La parte di codice per eseguire transazioni non richieste dall'utente è più o meno questa:
Quella per nascondere le transazioni fraudolente da ciò che viene visualizzato dal browser è questa:
Tutto sommato è banale...
(aggiornamento successivo)
Giusto per illustrare i diversi casi, IWBank richiede il codice del token sia per l'accesso che per ogni operazione, certamente questo non mette al riparo da questo tipo di attacchi.. come direbbe lei, alza solo l'asticella.
Non è difficile immaginare un malware che gestisca anche questa situazione (sarebbe solo un pelino più complesso e mirato alla singola banca).
Esatto.
C'è un'altra cosa fondamentale da notare: il fatto che il browser è un potenziale nemico. L'esistenza di dispositivi tipo il generatore di token di IWBank lo dimostra. E' obbligatorio:
proprio perché il browser in esecuzione sul PC non risponde a questi requisiti. Ormai anche il browser fa parte del territorio di cui non ci si fida.
Fino a qualche anno fa, quando iniziò a diffondersi SSL, la crittografia, i certificati etc, il territorio nemico da cui difendersi era Internet ed il PC era ancora in territorio amico. Oggi non è più così, anche il PC ed il browser fanno parte del territorio nemico. Più precisamente, anche prima facevano parte del territorio nemico, ma lo dicevano solo i paranoici come me. Gli altri (banche etc) dicevano che erano territorio amico. Oggi quella posizione non è più sostenibile.
- Installarsi nel browser e rimanere nascosti.
- Quando l'utente si collega con un sito per il quale il malware è stato preparato (tipicamente un sito di e-banking):
- Attendere che l'utente si autentichi, eventualmente anche con un marchingegno one-time password, smartcard o cose del genere.
- Eseguire transazioni non richieste dall'utente, inviando autonomamente messaggi HTTP al sito (ad esempio bonifici verso un conto corrente predefinito di un money launder).
- Nascondere queste transazioni dagli estratti conto visualizzati dal browser.
Quello che probabilmente non è chiaro è quanto sia semplice realizzare il punto 2.
Un articolo del 2007 scritto da dei ricercatori di Stanford (nota: cinque anni fa) mostra esempi di codice per il browser Firefox ("We have tested this code on several major retailer web sites").
La parte di codice per eseguire transazioni non richieste dall'utente è più o meno questa:
Tutto sommato è banale...
(aggiornamento successivo)
Giusto per illustrare i diversi casi, IWBank richiede il codice del token sia per l'accesso che per ogni operazione, certamente questo non mette al riparo da questo tipo di attacchi.. come direbbe lei, alza solo l'asticella.
Non è difficile immaginare un malware che gestisca anche questa situazione (sarebbe solo un pelino più complesso e mirato alla singola banca).
Esatto.
C'è un'altra cosa fondamentale da notare: il fatto che il browser è un potenziale nemico. L'esistenza di dispositivi tipo il generatore di token di IWBank lo dimostra. E' obbligatorio:
- avere un dispositivo sicuro (cioè che faccia veramente ciò che ci si aspetta),
- collegato in modo sicuro alla volontà dell'utente,
proprio perché il browser in esecuzione sul PC non risponde a questi requisiti. Ormai anche il browser fa parte del territorio di cui non ci si fida.
Fino a qualche anno fa, quando iniziò a diffondersi SSL, la crittografia, i certificati etc, il territorio nemico da cui difendersi era Internet ed il PC era ancora in territorio amico. Oggi non è più così, anche il PC ed il browser fanno parte del territorio nemico. Più precisamente, anche prima facevano parte del territorio nemico, ma lo dicevano solo i paranoici come me. Gli altri (banche etc) dicevano che erano territorio amico. Oggi quella posizione non è più sostenibile.
Commenti