Alberto Bartoli - Blog

Nella lezione di Reti del 9 Marzo abbiamo evidenziato che uno dei grossi problemi delle password consiste nel fatto che si tratta di un "segreto non tanto segreto". Un client C dimostra la propria identità al server dimostrando che conosce un certo segreto (la password). Segreto che conosce solo C. Il problema è che il segreto lo deve conoscere anche il server. Il server deve cioè avere una tabella con tutte le coppie username-password dei propri utenti, cioè di tutti i C. Questo significa che se qualcuno riesce a rubare la tabella allora quel qualcuno conosce tutti i segreti e quindi riesce ad impersonare tutti gli utenti. Anche se ogni utente custodisce la propria password perfettamente. Anche se ogni utente sceglie la propria password in modo praticamente impossibile da indovinare. Gli utenti soffrono quindi un danno non per colpa loro. Questi eventi non sono affatto rari. http://sijmen.ruwhof.net/weblog/608-personal-data-of-dutch-telecom-providers-extremely-poor...

Nel corso di Reti di Calcolatori II abbiamo descritto un modello per comprendere gli attacchi informatici ed il funzionamento dei protocolli di sicurezza. Gli attacchi si possono fare su: Protocolli di comunicazione; Algoritmi crittografici; Implementazione dei protocolli; Implementazione della crittografia; Software che implementa i protocolli o la crittografia; Software che implementa tutto il resto; Abbiamo detto che i protocolli di comunicazione (SSL, VPN, Protected WiFi, Kerberos, etc) assumono attacchi di tipo 1 ed assumono che tutto il resto sia perfetto . Abbiamo anche detto che, nella pratica, il resto non è per niente perfetto . Pertanto nella pratica gli attaccanti fanno attacchi di altri tipi, prevalentemente di tipo 6, perché costano molto meno degli altri ed hanno elevata probabilità di successo. Inoltre, abbiamo sottolineato che anche attacchi dei tipi 2-5 possono avere successo e che, nella pratica, spesso si sono verificati. L'iniezione fraudolenta d...

Anche quest'anno è andata bene. Risultati qui . Commenti opzionali degli studenti per il mio corso di Reti di Calcolatori : 2017/2018 1 Inserire nel materiale didattico alcune dispense di riepilogo generale per ogni pacco di slide. Ottimo insegnante. 2 Ottima la presenza di un foglio di esercizi ma soffro dell'assenza delle soluzioni, aspetto accentuato dalla quasi totale mancanza di lezioni di esercitazioni: non ho modo di confrontare lo svolgimento degli esercizi da me fatti (non potendo chiedere direttamente al professore dato che non ci è stato permesso). Ottima la presenza del sito web del professore in cui sono presenti riflessioni e commenti ma trovo di non trascurabile difficoltà alcuni commenti su esercizi e/o affermazioni fatte dagli studenti: non si comprende quale sia la risposta corretta (aldilà della risposta sarcastica). 3 Anche se complicato per il rapporto di quantità di materiale da spiegare/tempo disponibile, sarebbe interessante qualche esempio prati...

Ieri a lezione abbiamo detto che se un client CX genera (in modo fraudolento) una request RX contenente l'identifier di una sessione di un altro client C, allora RX viene elaborata dal server come se fosse stata generata da C. Ciò è evidentemente molto spiacevole. Specialmente se la sessione è "autenticata", cioè l'utente che sta controllando C ha dimostrato la propria identità al server (con meccanismi che vedremo nella prossima lezione) ed il server ha quindi inserito nello stato della sessione informazioni quali "sessione autenticata, username rettore ateneo" . In questo modo, infatti, CX può accedere in lettura e scrittura a dati privati dell'utente che sta controllando C. Superfluo evidenziare le implicazioni. Ho anche detto che queste cose, fino a pochissimi anni fa, erano talmente facili da fare che erano stati sviluppati software gratuiti in grado di farlo in modo automatico. In pratica, bastava osservare il traffico in una rete WiFi per racc...

Lo studio di Internet è molto diverso dallo studio di Analisi I o di Fisica II. Internet fa parte della nostra esperienza quotidiana immediata, altre discipline sono più lontane dall'esperienza quotidiana o ne sono parte ma non ce ne accorgiamo. Ciò rende potenzialmente più "appassionante" lo studio di Internet, ma rende anche l'impostazione didattica molto complicata. Analizzare gli argomenti di Internet esattamente come si verificano nella realtà sarebbe didatticamente disastroso. In ogni argomento si mescolano infatti: elementi necessari per il funzionamento e fondamentali per la comprensione ; elementi non necessari per il funzionamento e/o non fondamentali per la comprensione; Gli elementi 2 purtroppo sono tantissimi. Nella realtà, infatti, per ogni argomento ci sono elementi: inutili (anche se non ci fossero non cambierebbe nulla); dannosi (renderebbero il sistema più efficiente se non ci fossero); non fondamentali per la comprensione (necessa...

Come sempre, nella prima lezione sul DNS ho richiamato l'attenzione sulla possibilità di alterare in modo fraudolento la traduzione da nomi ad indirizzi IP---ad esempio, www.unicredit.it potrebbe essere tradotto in IP-criminale invece che in IP-del-vero-server. Ho citato solo alcuni dei numerosi modi per farlo: minacciare l'amministratore del name server con una pistola, inserire un malware nel name server. I modi possibili sono ovviamente moltissimi altri e molti saranno discussi nelle prossime lezioni (avevo peraltro dimenticato di evidenziare che l'amministratore stesso del name server potrebbe essere parte della gang...). L'alterazione fraudolenta delle traduzioni da nomi ad indirizzi IP non è una possibilità teorica. E' un evento che accade relativamente spesso. Al link qui sotto ho messo una raccolta di notizie di questo genere, dovrebbero essere 75 (settantacinque). ( UPDATE FEBBRAIO 2015 : nella pagina al link qui sotto, inserire "DNS" nella ...

Negli scorsi mesi si sono verificati molti eventi di sicurezza informatica estremamente importanti. Mi ero ripromesso di analizzarli in questo blog, ma rimando continuamente perché non riesco mai a trovare il tempo e la tranquillità necessarie---le implicazioni di questi numerosi eventi sono davvero molte e molto profonde. Nei giorni scorsi si sono però verificati altri eventi che non posso fare a meno di citare, anche se non ho il tempo di commentarli. Un gruppo di criminali ha effettuato una truffa informatica su larga scala. L'aspetto importante non è il fatto in sè e per sé e neanche l'entità della truffa (alcune centinaia di milioni di euro), bensì le sue modalità. Gli attaccanti hanno penetrato i sistemi interni della banca, collegandosi per molti giorni durante gli stessi orari dei dipendenti in modo da non generare anomalie di accesso. Hanno effettuato operazioni fraudolente cancellandone subito dopo gli effetti dai log e dagli estratti conto. Hanno fatto uscire 7 ...

Molta gente ritiene di no. Molta gente sta cercando di utilizzare i pattern di uso del mouse come una sorta di proprietà biometrica degli utenti, utile per verificarne l'identità o per aumentare il grado di certezza ottenibile dalla presentazione di credenziali o altri strumenti. L'idea è che se il pattern di utilizzo del mouse osservato per l'utente "bartoli.alberto" ogni tanto cambia in modo sensibile, allora è molto probabile che siano in corso accessi fraudolenti per quello username. Questa tecnica è molto interessante e molto promettente, in particolare se può essere applicata in modo sistematico, automatico e su larga scala. Il che è precisamente quello che abbiamo iniziato a fare con l'ultimissimo lavoro del Machine Learning Lab . Questo lavoro ha beneficiato del contributo di molte persone nei mesi scorsi, tra i quali un tesista magistrale. Gli autori del paper sono quelli che hanno sviluppato l'algoritmo "definitivo" ed effettuato ...

Ne abbiamo parlato proprio ieri pomeriggio a lezione ​ (ancora la mia sfera di cristallo ...)​ : quando l'autenticazione del client si basa su password, il server deve avere copia della password; il segreto del client cioè deve essere noto anche al server; quindi  un attaccante o un impiegato disonesto può, in linea di principio, prelevare la password dal server ; il che crea uno scenario in cui il client può pagare il costo delle inefficienze / responsabilità del server ​​(quando il client si autentica tramite smart card / crittografia a chiave pubblica le cose sono radicalmente diverse: il server non conosce il segreto del client, può solo verificare che il client effettivamente conosce quel segreto) ​. Queste cose accadono davvero: ​ Ebay vittima di un attacco hacker: “Gli utenti cambino la password”   Il sito di vendita on line vittima di una cyber imboscata. Ma rassicura: «I dati finanziari non sono stati compromessi». Perdono i titoli in Bors...

Domanda Salve prof,avrei una curiosità che non centra nulla con il corso di Reti: per quale ragione si dice che Mac sia insensibile ai virus e ai malware? Si tratta solo di una diceria o è veramente così? Risposta Motivo della Risposta Vedi i link con data 16 Maggio 2014 (oggi) che ho appena messo qui . (segue piccolissimo update del Marzo 2015; 2 minuti per trovarli e 10 minuti per formattarli sul blog; se cercate tra le mie security news ne trovate certamente molte altre):  Never trust SMS: iOS text spoofing FREAK out: Apple and Android SSL is WIDE OPEN to snoopers Apple Safari 7.0.4 closes 22 holes, including 21 listed under "arbitrary code execution" Instagram iOS session hijack

Alcuni ricercatori israeliani hanno pubblicato da poco un articolo scientifico su una rivista molto prestigiosa in cui dimostrano la fattibilità di una cosa molto interessante. Ne parlo qui come ulteriore esempio del fatto che la mia sfera di cristallo personale funziona davvero. E' necessaria una introduzione. Un client ha aperto una connessione TCP con un server. E' possibile che un attaccante riesca ad iniettare dati in quella connessione ? Il server riceverebbe dalla connessione dati generati dall'attaccante, invece che dal client; allo stesso modo, il client riceverebbe dati generati dall'attaccante invece che dal server. La gravità potenziale di attacchi del genere è evidente. In Reti di Calcolatori II analizziamo (anche) questa tipologia di problemi. L'analisi è molto istruttiva, non solo per il risultato (un attaccante che si trova in mezzo tra il client ed il server può fare di tutto, compresi questi attacchi) ma soprattutto come "e...

Nell'ultima lezione di Reti ho accennato al Machine Learning come tecnica per costruire i filtri anti-spam. Il Machine Learning è un insieme di tecniche che permettono di fare una cosa fantastica: ho un problema che non ho la minima idea di come risolvere; ho tanti esempi risolti di quel problema, cioè tante coppie "dati del problema", "risultato desiderato". Grazie a queste tecniche, si può  generare automaticamente  un algoritmo che risolve il problema. Descritta in questi termini la faccenda è fantastica: come generare un algoritmo in grado di cucinare piatti buonissimi ? basta fornire un grande elenco di ricette di piatti buoni, un altro grande elenco di piatti pessimi, e voilà. Come generare un algoritmo in grado di sintetizzare canzoni di successo ? idem, un elenco di successi ed un elenco di canzoni schifose e siamo a posto. Ovviamente le cose non sono così semplici e queste tecniche, pur applicabili in moltissimi campi, non si possono appli...

In una delle prime lezioni del corso di Reti di quest'anno ho parlato di quanto sia critico il DNS per il funzionamento di Internet. L'eventualità che l'infrastruttura DNS fornisca informazioni fraudolente non è "teorica ed improbabile". Eventi di questo genere si verificano molto spesso. Pochi giorni fa è uscita questa notizia: http://arstechnica.com/security/2014/03/hackers-hijack-300000-plus-wireless-routers-make-malicious-changes/ in parole povere, un attacco informatico su larga scala ha modificato le informazioni di configurazione ricevute automaticamente alla connessione da casa (approfondiremo più avanti nel corso) facendo in modo che i client si colleghino non al server DNS del proprio provider ma ad un server DNS fraudolento. Gli effetti sono facilmente immaginabili. A lezione avevo citato la possibilità degli amministratori disonesti, qui si tratta invece di attacchi che sfruttano errori software (argomento al quale accenneremo più ava...

Quando parlo di crittografia a Reti di Calcolatori I descrivo in modo intuitivo ed informale un requisito di base di ogni algoritmo: la conoscenza del testo cifrato non deve fornire nessuna informazione sul corrispondente testo in chiaro o sulla chiave utilizzata. La macchina cifrante Enigma non aveva questa proprietà. Anche per questo motivo gli Alleati hanno vinto la seconda guerra mondiale. Ed anche per questo motivo, i padri ed i nonni di alcuni di noi sono andati incontro ad una tragedia terribile, la battaglia navale di Capo Matapan . Immaginate di essere a bordo di una nave militare in tempo di guerra, in mezzo alle acque gelide del Mar Mediterraneo. Su di una nave impossibilitata a muoversi. Di notte e al buio. Immaginate poi di attendere per ore i soccorsi, senza sapere se arriveranno prima i soccorsi o il nemico. Immaginate poi di sentire arrivare un convoglio navale e di vedere la vostra nave che lancia un razzo di segnalazione pensando che siano i soccorsi. Immaginate p...

Proprio nella lezione di oggi, a Reti di Calcolatori II, abbiamo parlato di ipotesi sugli attacchi ("threat model"), credenziali che viaggiano in chiaro, errori software ed altre amenità del genere. Appena tornato in ufficio ho letto questa notizia sul "Corriere della Sera", esattamente ciò di cui abbiamo parlato pochi minuti fa: Truccare il registro? Se è elettronico si può Il software scelto da 1.300 scuole ha una falla: le credenziali dei prof viaggiano in chiaro, gli studenti possono rubarle http://www.corriere.it/scuola/13_ottobre_07/truccare-registro-elettronico-software-ministero-falla-658b2454-2f5a-11e3-bfe9-e2443a6320c1.shtml Questa descrizione, peraltro, è discutibile: quando si parla di "falla" di solito si intende che la soluzione ad un certo problema è stata realizzata in modo imperfetto. I progettisti si sono preoccupati del problema, hanno individuato e realizzato delle soluzioni, ma hanno lasciato qualche scenario non prev...

Sono usciti i risultati della valutazione della didattica per lo scorso anno 2012/2013. I risultati non sono consultabili facilmente in quanto l'applicativo web ha una interfaccia pessima. Le domande secondo me più importanti sono D7, D8 e D15: "Docente stimola e motiva interesse ?", "Spiega in modo chiaro ?", "Soddisfatto del corso ?". Nelle valutazioni aggregate per corso di studio il corso di laurea magistrale in Ingegneria Informatica è stato il migliore di tutti i corsi del Dipartimento per D8 e D15  ed è ai vertici tra i corsi dell'intero ateneo ( dettagli ). La mia valutazione personale è stata ottima, come gli anni scorsi. Sono molto contento di questo risultato e ringrazio gli studenti che sono stati così "benevolenti" nei miei confronti. Reti di Calcolatori II  10/10 di media, quindi tutti gli studenti hanno fornito una valutazione massima (anche in D4 e D5): Programmazione Distribuita 10/10 in D8 e D15, 9.33 i...

Fino a qualche anno fa ogni testo o corso di Reti di Calcolatori iniziava immancabilmente con la descrizione del cosiddetto " modello ISO/OSI ". Per molti, molti anni chiunque avesse a che fare con il networking si trovava a che fare con la cosiddetta "pila dei 7 livelli ISO/OSI": Oggi del modello OSI non se ne parla più, giustamente. Quando ho iniziato a tenere il corso di Reti ne ho parlato anch'io molto brevemente, se non ricordo male solo per le prime due edizioni. Poi ho smesso completamente di farlo---e devo dire di sentirmi orgoglioso per avere smesso di trattarlo così presto. Un recente articolo su IEEE Spectrum racconta la storia del modello OSI in modo molto ameno e leggibile (" The Internet that wasn't ", accessibile solo dalla rete di ateneo). Io sono, diciamo così, passato attraverso tutte le fasi del modello. Quando ero uno studente dell'ultimo anno di Ingegneria Elettronica (1988/89) il modello OSI ci veniva present...

Lasciatemi dire che è una piccola soddisfazione...nonché un altro esempio di  sfera di cristallo . Pochi giorni fa  hanno accettato un nostro lavoro ad una importante conferenza internazionale di sicurezza informatica: we developed a methodology for detecting fraudulent pages within trusted sites , that is, pages created by attackers within web sites of trusted organizations and placed at URLs at which no page is supposed (by the administrators of those sites) to exist.  ... The problem is highly relevant for many reasons, including: HTTPS does not provide any defense in this respect (the fraudulent pages are hosted on sites that, from HTTPS point of view, are authenticated and with content integrity); Pochi minuti fa, un grande Internet provider inglese, probabilmente il più grande provider al mondo, ha pubblicato un  blog post  in cui informa che sul sito della Polizia della Malesia è in corso un attacco di phishing  proprio del genere indica...

Nella lezione di ieri abbiamo descritto HTTPS, il protocollo utilizzato comunemente per accedere a servizi autenticati (GMail, Facebook, banche, acquisti on line, etc). Abbiamo evidenziato che di norma il web server espone il form nel quale inserire le credenziali attraverso HTTPS. Ciò sembra inutile, in quanto non c'è nessun vantaggio nell'imporre che la richiesta di prelievo del form e lo stesso form viaggino con garanzia di riservatezza. La riservatezza è necessaria solo per la richiesta inviata subito dopo avere prelevato il form, cioè per la richiesta che contiene le credenziali. Questa slide sintetizza il motivo per il quale prelevare il form su HTTPS sembra inutile ma non lo è: Secondo molti esperti, nel 2011 il governo della Tunisia ha forzato tutti gli Internet provider del paese a modificare i form esposti su HTTP dai servizi "importanti" (GMail, Facebook etc). Nelle pagine contenenti i form venivano aggiunte, durante il transito dal server al browser,...

Un esempio semplice ed istruttivo. Prima: Utente che: ha una versione non aggiornata di Adobe Acrobat, oppure Adobe Reader, oppure Java visita  http://www.federalnewsradio.com  oppure  http://www.wtop.com/   Dopo: Utente ha in esecuzione un nuovo programma, senza saperlo ; Questo programma, che può fare tutto ciò che può fare l'utente ,  riceve comandi da un attaccante esterno. Prima di procedere nella lettura leggere e rileggere questi due punti in modo da comprenderne le implicazioni (tragedia !!!) Spiegazione: Federal News Radio 1500 AM and FederalNewsRadio.com comprise the key source of breaking news, information and analysis for the individuals responsible for carrying out and supporting the missions of federal agencies . Federal News Radio addresses federal agency managers, policy makers and contractors. ... We cover both the federal government and those who do business with the government concentrating on management, defense...