Alberto Bartoli - Blog

Il Samsung Galaxy S6 Edge è uno smartphone "top" uscito da poco. E' naturale porsi una bella domanda: " quanto è difficile trovare security bug critici in questo dispositivo? " Ovviamente "difficile" non significa molto. E' più utile considerare quantità misurabili. Una domanda  molto più utile è quindi " quanto tempo occorre per trovare security bug critici? ". Neanche questa però è del tutto soddisfacente in quanto è ovvio che la produttività di 1 persona e la produttività di 5 persone sono diverse. Pertanto conviene porsi la domanda con riferimento alla formulazione standard "mese-uomo":  " quanti mesi-uomo occorrono per trovare security bug critici? ". Adesso la domanda è sensata (ok, consideriamo implicitamente di usare persone qualificate; è ovvio che un cuoco o un avvocato difficilmente potranno trovare security bug critici). Questo blog post recentissimo del "Project Zero" di Google fornis...

Poche ore fa ho fatto un intervento sulla cybersecurity nell'aula magna del polo universitario di Gorizia " tappa numero 21 del roadshow che da ottobre 2013 vede il Sistema di informazione per la sicurezza della Repubblica dialogare con i giovani nelle principali università italiane ". L'evento è stato aperto dal nostro Magnifico Rettore e c'è stato un intervento della Autorità Delegata per la sicurezza della Repubblica (in parole povere: il responsabile dei cosiddetti servizi segreti). Evento molto interessante. Locandina qui . Le slide del mio intervento sono consultabili a questo link . Mi sembra che il mio intervento sia stato apprezzato. Quando ho collegato il proiettore e si è visto lo sfondo del mio PC forse non mi avevano preso troppo sul serio....(per chi non lo conoscesse, eccolo qui ).

Nel corso di Reti di Calcolatori II abbiamo descritto un modello per comprendere gli attacchi informatici ed il funzionamento dei protocolli di sicurezza. Gli attacchi si possono fare su: Protocolli di comunicazione; Algoritmi crittografici; Implementazione dei protocolli; Implementazione della crittografia; Software che implementa i protocolli o la crittografia; Software che implementa tutto il resto; Abbiamo detto che i protocolli di comunicazione (SSL, VPN, Protected WiFi, Kerberos, etc) assumono attacchi di tipo 1 ed assumono che tutto il resto sia perfetto . Abbiamo anche detto che, nella pratica, il resto non è per niente perfetto . Pertanto nella pratica gli attaccanti fanno attacchi di altri tipi, prevalentemente di tipo 6, perché costano molto meno degli altri ed hanno elevata probabilità di successo. Inoltre, abbiamo sottolineato che anche attacchi dei tipi 2-5 possono avere successo e che, nella pratica, spesso si sono verificati. L'iniezione fraudolenta d...

(sono aperte le iscrizioni---obbligatorie---ai miei corsi di questo semestre:  http://bartoli.inginf.units.it/Home/didattica/slides ) Notizia di pochi giorni fa : gli Stati Uniti hanno obbligato la Volkswagen a sostituire il software installato in quasi mezzo milione di automobili diesel. Hanno infatti scoperto che questo software è stato realizzato in modo da avere un comportamento in fase di revisione periodica dell'auto diverso dal comportamento normale. In parole povere, se l'automobile è sotto revisione allora il software riduce le emissioni inquinanti, mentre se l'automobile è in funzionamento normale allora il software non riduce le emissioni, in modo da aumentare le prestazioni del motore. A parte l'ovvia riflessione suggerita dal titolo di questo post, questa notizia è molto importante per i seguenti motivi: Una piccola riflessione sul costo di immagine e sul costo necessario per richiamare mezzo milione di auto e sostituire il software installato su ...

Anche quest'anno è andata bene. Risultati qui . Commenti opzionali degli studenti per il mio corso di Reti di Calcolatori : 2017/2018 1 Inserire nel materiale didattico alcune dispense di riepilogo generale per ogni pacco di slide. Ottimo insegnante. 2 Ottima la presenza di un foglio di esercizi ma soffro dell'assenza delle soluzioni, aspetto accentuato dalla quasi totale mancanza di lezioni di esercitazioni: non ho modo di confrontare lo svolgimento degli esercizi da me fatti (non potendo chiedere direttamente al professore dato che non ci è stato permesso). Ottima la presenza del sito web del professore in cui sono presenti riflessioni e commenti ma trovo di non trascurabile difficoltà alcuni commenti su esercizi e/o affermazioni fatte dagli studenti: non si comprende quale sia la risposta corretta (aldilà della risposta sarcastica). 3 Anche se complicato per il rapporto di quantità di materiale da spiegare/tempo disponibile, sarebbe interessante qualche esempio prati...

Use of a tool for task ("to-do") management for me is a necessity. I have tried many, many approaches. Every once in a while I also look at new tools, to see whether I can improve my current way of working. The approach I have been using since a couple of years, with minor fixes, turned out to be extremely useful. At least for my way of working. I recently gave another extensive look at similar tools, but could not find anything better. I use Remember The Milk (RTM) . I keep my to-dos separate in two lists: "Home" and "Work". This granularity is adequate to my needs. I occasionally create to-dos directly on the RTM web site, but in most cases I transform either an email (GMail) or a note ( Evernote ) to a to-do with very few clicks: By tagging an email in GMail with a special label (either "Automator-Home" or "Automator-Work"). By sending an email from GMail to myself, at a special destination address. The address is in my co...

Ieri a lezione abbiamo detto che se un client CX genera (in modo fraudolento) una request RX contenente l'identifier di una sessione di un altro client C, allora RX viene elaborata dal server come se fosse stata generata da C. Ciò è evidentemente molto spiacevole. Specialmente se la sessione è "autenticata", cioè l'utente che sta controllando C ha dimostrato la propria identità al server (con meccanismi che vedremo nella prossima lezione) ed il server ha quindi inserito nello stato della sessione informazioni quali "sessione autenticata, username rettore ateneo" . In questo modo, infatti, CX può accedere in lettura e scrittura a dati privati dell'utente che sta controllando C. Superfluo evidenziare le implicazioni. Ho anche detto che queste cose, fino a pochissimi anni fa, erano talmente facili da fare che erano stati sviluppati software gratuiti in grado di farlo in modo automatico. In pratica, bastava osservare il traffico in una rete WiFi per racc...

Un lavoro basato su una tesi di laurea magistrale svolto nel "mio" laboratorio è stato accettato ad un congresso scientifico internazionale moooolto prestigioso. Come ho già avuto modo di scrivere in una  occasione simile  " Ancora una volta mi chiedo perché molti studenti in gamba preferiscano fare tesi di laurea in cui l'obbiettivo è fare qualche finestra colorata con qualche bottone altrettanto colorato usando una delle N tecnologie esistenti al momento...ma questo è un altro discorso. " Il lavoro è descritto in un post  sul sito del Machine Learning Lab. Il tesista, Marco Virgolin, è stato davvero molto bravo. Ha un solo difetto, purtroppo non rimediabile, che non riporto pubblicamente ma che lui conosce benissimo. Difetto che comunque non ha impedito il raggiungimento di questo bellissimo risultato. Al fine di non deludere gli altri tesisti, passati e futuri, il cui lavoro non è stato pubblicato, chiarisco che per arrivare alla pubblicazi...

Lo studio di Internet è molto diverso dallo studio di Analisi I o di Fisica II. Internet fa parte della nostra esperienza quotidiana immediata, altre discipline sono più lontane dall'esperienza quotidiana o ne sono parte ma non ce ne accorgiamo. Ciò rende potenzialmente più "appassionante" lo studio di Internet, ma rende anche l'impostazione didattica molto complicata. Analizzare gli argomenti di Internet esattamente come si verificano nella realtà sarebbe didatticamente disastroso. In ogni argomento si mescolano infatti: elementi necessari per il funzionamento e fondamentali per la comprensione ; elementi non necessari per il funzionamento e/o non fondamentali per la comprensione; Gli elementi 2 purtroppo sono tantissimi. Nella realtà, infatti, per ogni argomento ci sono elementi: inutili (anche se non ci fossero non cambierebbe nulla); dannosi (renderebbero il sistema più efficiente se non ci fossero); non fondamentali per la comprensione (necessa...

Come sempre, nella prima lezione sul DNS ho richiamato l'attenzione sulla possibilità di alterare in modo fraudolento la traduzione da nomi ad indirizzi IP---ad esempio, www.unicredit.it potrebbe essere tradotto in IP-criminale invece che in IP-del-vero-server. Ho citato solo alcuni dei numerosi modi per farlo: minacciare l'amministratore del name server con una pistola, inserire un malware nel name server. I modi possibili sono ovviamente moltissimi altri e molti saranno discussi nelle prossime lezioni (avevo peraltro dimenticato di evidenziare che l'amministratore stesso del name server potrebbe essere parte della gang...). L'alterazione fraudolenta delle traduzioni da nomi ad indirizzi IP non è una possibilità teorica. E' un evento che accade relativamente spesso. Al link qui sotto ho messo una raccolta di notizie di questo genere, dovrebbero essere 75 (settantacinque). ( UPDATE FEBBRAIO 2015 : nella pagina al link qui sotto, inserire "DNS" nella ...

Negli scorsi mesi si sono verificati molti eventi di sicurezza informatica estremamente importanti. Mi ero ripromesso di analizzarli in questo blog, ma rimando continuamente perché non riesco mai a trovare il tempo e la tranquillità necessarie---le implicazioni di questi numerosi eventi sono davvero molte e molto profonde. Nei giorni scorsi si sono però verificati altri eventi che non posso fare a meno di citare, anche se non ho il tempo di commentarli. Un gruppo di criminali ha effettuato una truffa informatica su larga scala. L'aspetto importante non è il fatto in sè e per sé e neanche l'entità della truffa (alcune centinaia di milioni di euro), bensì le sue modalità. Gli attaccanti hanno penetrato i sistemi interni della banca, collegandosi per molti giorni durante gli stessi orari dei dipendenti in modo da non generare anomalie di accesso. Hanno effettuato operazioni fraudolente cancellandone subito dopo gli effetti dai log e dagli estratti conto. Hanno fatto uscire 7 ...