Alberto Bartoli - Blog

Consiglio caldissimamente la lettura di questo post: Computers now run our cars. It's now possible for a hacker to infect your car with a "virus" that can slam on the brakes in the middle of the freeway. Computers now run medical devices like pacemakers and insulin pumps, it's now becoming possible assassinate somebody by stopping their pacemaker with a bluetooth exploit. ... So let's say I've found a pacemaker with an obvious BlueTooth backdoor that allows me to kill a person, and a year after notifying the vendor, they still ignore the problem, continuing to ship vulnerable pacemakers to customers. What should I do? If I do nothing, more and more such pacemakers will ship, endangering more lives. If I disclose the bug, then hackers may use it to kill some people. Spesso chi si occupa professionalmente di sicurezza tende ad ingigantire i pericoli, nel proprio interesse. Non è questo il caso. Si tratta di problemi reali, concreti, descritti da una person...

Molta gente ritiene di no. Molta gente sta cercando di utilizzare i pattern di uso del mouse come una sorta di proprietà biometrica degli utenti, utile per verificarne l'identità o per aumentare il grado di certezza ottenibile dalla presentazione di credenziali o altri strumenti. L'idea è che se il pattern di utilizzo del mouse osservato per l'utente "bartoli.alberto" ogni tanto cambia in modo sensibile, allora è molto probabile che siano in corso accessi fraudolenti per quello username. Questa tecnica è molto interessante e molto promettente, in particolare se può essere applicata in modo sistematico, automatico e su larga scala. Il che è precisamente quello che abbiamo iniziato a fare con l'ultimissimo lavoro del Machine Learning Lab . Questo lavoro ha beneficiato del contributo di molte persone nei mesi scorsi, tra i quali un tesista magistrale. Gli autori del paper sono quelli che hanno sviluppato l'algoritmo "definitivo" ed effettuato ...

Ne abbiamo parlato proprio ieri pomeriggio a lezione ​ (ancora la mia sfera di cristallo ...)​ : quando l'autenticazione del client si basa su password, il server deve avere copia della password; il segreto del client cioè deve essere noto anche al server; quindi  un attaccante o un impiegato disonesto può, in linea di principio, prelevare la password dal server ; il che crea uno scenario in cui il client può pagare il costo delle inefficienze / responsabilità del server ​​(quando il client si autentica tramite smart card / crittografia a chiave pubblica le cose sono radicalmente diverse: il server non conosce il segreto del client, può solo verificare che il client effettivamente conosce quel segreto) ​. Queste cose accadono davvero: ​ Ebay vittima di un attacco hacker: “Gli utenti cambino la password”   Il sito di vendita on line vittima di una cyber imboscata. Ma rassicura: «I dati finanziari non sono stati compromessi». Perdono i titoli in Bors...

Un lavoro tratto da una tesi di laurea magistrale svolta di recente nel Machine Learning Lab è stato accettato per la presentazione ad una conferenza internazionale molto prestigiosa. Ancora una volta mi chiedo perché molti studenti in gamba preferiscano fare tesi di laurea in cui l'obbiettivo è fare qualche finestra colorata con qualche bottone altrettanto colorato usando una delle N tecnologie esistenti al momento...ma questo è un altro discorso. Difficile spiegare sinteticamente di cosa si tratti. Ci provo. Molte organizzazioni sono dotate di " Intrusion detection systems ", sistemi che analizzano tutto il traffico in ingresso ed uscita alla ricerca di pattern indicativi di attività fraudolente. I pattern sono moltissimi. Un modo compatto per descrivere questi pattern consiste nell'utilizzo di " espressioni regolari ". Ad esempio:   ^[A-Z0-9._%+-]+@[A-Z0-9.-]+\.(?:[A-Z]{2}|com|org|net|edu|gov|mil| biz|info|mobi|name|aero|asia|jobs|museum)$   è un...

Domanda Salve prof,avrei una curiosità che non centra nulla con il corso di Reti: per quale ragione si dice che Mac sia insensibile ai virus e ai malware? Si tratta solo di una diceria o è veramente così? Risposta Motivo della Risposta Vedi i link con data 16 Maggio 2014 (oggi) che ho appena messo qui . (segue piccolissimo update del Marzo 2015; 2 minuti per trovarli e 10 minuti per formattarli sul blog; se cercate tra le mie security news ne trovate certamente molte altre):  Never trust SMS: iOS text spoofing FREAK out: Apple and Android SSL is WIDE OPEN to snoopers Apple Safari 7.0.4 closes 22 holes, including 21 listed under "arbitrary code execution" Instagram iOS session hijack

Alcuni ricercatori israeliani hanno pubblicato da poco un articolo scientifico su una rivista molto prestigiosa in cui dimostrano la fattibilità di una cosa molto interessante. Ne parlo qui come ulteriore esempio del fatto che la mia sfera di cristallo personale funziona davvero. E' necessaria una introduzione. Un client ha aperto una connessione TCP con un server. E' possibile che un attaccante riesca ad iniettare dati in quella connessione ? Il server riceverebbe dalla connessione dati generati dall'attaccante, invece che dal client; allo stesso modo, il client riceverebbe dati generati dall'attaccante invece che dal server. La gravità potenziale di attacchi del genere è evidente. In Reti di Calcolatori II analizziamo (anche) questa tipologia di problemi. L'analisi è molto istruttiva, non solo per il risultato (un attaccante che si trova in mezzo tra il client ed il server può fare di tutto, compresi questi attacchi) ma soprattutto come "e...