Alberto Bartoli - Blog

Il Samsung Galaxy S6 Edge è uno smartphone "top" uscito da poco. E' naturale porsi una bella domanda: " quanto è difficile trovare security bug critici in questo dispositivo? " Ovviamente "difficile" non significa molto. E' più utile considerare quantità misurabili. Una domanda  molto più utile è quindi " quanto tempo occorre per trovare security bug critici? ". Neanche questa però è del tutto soddisfacente in quanto è ovvio che la produttività di 1 persona e la produttività di 5 persone sono diverse. Pertanto conviene porsi la domanda con riferimento alla formulazione standard "mese-uomo":  " quanti mesi-uomo occorrono per trovare security bug critici? ". Adesso la domanda è sensata (ok, consideriamo implicitamente di usare persone qualificate; è ovvio che un cuoco o un avvocato difficilmente potranno trovare security bug critici). Questo blog post recentissimo del "Project Zero" di Google fornis...

Nel corso di Reti di Calcolatori II abbiamo descritto un modello per comprendere gli attacchi informatici ed il funzionamento dei protocolli di sicurezza. Gli attacchi si possono fare su: Protocolli di comunicazione; Algoritmi crittografici; Implementazione dei protocolli; Implementazione della crittografia; Software che implementa i protocolli o la crittografia; Software che implementa tutto il resto; Abbiamo detto che i protocolli di comunicazione (SSL, VPN, Protected WiFi, Kerberos, etc) assumono attacchi di tipo 1 ed assumono che tutto il resto sia perfetto . Abbiamo anche detto che, nella pratica, il resto non è per niente perfetto . Pertanto nella pratica gli attaccanti fanno attacchi di altri tipi, prevalentemente di tipo 6, perché costano molto meno degli altri ed hanno elevata probabilità di successo. Inoltre, abbiamo sottolineato che anche attacchi dei tipi 2-5 possono avere successo e che, nella pratica, spesso si sono verificati. L'iniezione fraudolenta d...

Lo studio di Internet è molto diverso dallo studio di Analisi I o di Fisica II. Internet fa parte della nostra esperienza quotidiana immediata, altre discipline sono più lontane dall'esperienza quotidiana o ne sono parte ma non ce ne accorgiamo. Ciò rende potenzialmente più "appassionante" lo studio di Internet, ma rende anche l'impostazione didattica molto complicata. Analizzare gli argomenti di Internet esattamente come si verificano nella realtà sarebbe didatticamente disastroso. In ogni argomento si mescolano infatti: elementi necessari per il funzionamento e fondamentali per la comprensione ; elementi non necessari per il funzionamento e/o non fondamentali per la comprensione; Gli elementi 2 purtroppo sono tantissimi. Nella realtà, infatti, per ogni argomento ci sono elementi: inutili (anche se non ci fossero non cambierebbe nulla); dannosi (renderebbero il sistema più efficiente se non ci fossero); non fondamentali per la comprensione (necessa...

Negli scorsi mesi si sono verificati molti eventi di sicurezza informatica estremamente importanti. Mi ero ripromesso di analizzarli in questo blog, ma rimando continuamente perché non riesco mai a trovare il tempo e la tranquillità necessarie---le implicazioni di questi numerosi eventi sono davvero molte e molto profonde. Nei giorni scorsi si sono però verificati altri eventi che non posso fare a meno di citare, anche se non ho il tempo di commentarli. Un gruppo di criminali ha effettuato una truffa informatica su larga scala. L'aspetto importante non è il fatto in sè e per sé e neanche l'entità della truffa (alcune centinaia di milioni di euro), bensì le sue modalità. Gli attaccanti hanno penetrato i sistemi interni della banca, collegandosi per molti giorni durante gli stessi orari dei dipendenti in modo da non generare anomalie di accesso. Hanno effettuato operazioni fraudolente cancellandone subito dopo gli effetti dai log e dagli estratti conto. Hanno fatto uscire 7 ...

Alcuni ricercatori israeliani hanno pubblicato da poco un articolo scientifico su una rivista molto prestigiosa in cui dimostrano la fattibilità di una cosa molto interessante. Ne parlo qui come ulteriore esempio del fatto che la mia sfera di cristallo personale funziona davvero. E' necessaria una introduzione. Un client ha aperto una connessione TCP con un server. E' possibile che un attaccante riesca ad iniettare dati in quella connessione ? Il server riceverebbe dalla connessione dati generati dall'attaccante, invece che dal client; allo stesso modo, il client riceverebbe dati generati dall'attaccante invece che dal server. La gravità potenziale di attacchi del genere è evidente. In Reti di Calcolatori II analizziamo (anche) questa tipologia di problemi. L'analisi è molto istruttiva, non solo per il risultato (un attaccante che si trova in mezzo tra il client ed il server può fare di tutto, compresi questi attacchi) ma soprattutto come "e...

Nell'ultima lezione di Reti ho accennato al Machine Learning come tecnica per costruire i filtri anti-spam. Il Machine Learning è un insieme di tecniche che permettono di fare una cosa fantastica: ho un problema che non ho la minima idea di come risolvere; ho tanti esempi risolti di quel problema, cioè tante coppie "dati del problema", "risultato desiderato". Grazie a queste tecniche, si può  generare automaticamente  un algoritmo che risolve il problema. Descritta in questi termini la faccenda è fantastica: come generare un algoritmo in grado di cucinare piatti buonissimi ? basta fornire un grande elenco di ricette di piatti buoni, un altro grande elenco di piatti pessimi, e voilà. Come generare un algoritmo in grado di sintetizzare canzoni di successo ? idem, un elenco di successi ed un elenco di canzoni schifose e siamo a posto. Ovviamente le cose non sono così semplici e queste tecniche, pur applicabili in moltissimi campi, non si possono appli...

Nell' ultimo post  e nelle ultime lezioni di Reti II abbiamo parlato del problema della mutua autenticazione tra "dispositivi" generici, diversi da PC o smartphone, in WiFi. Nei prossimi anni vedremo certamente moltissimi esempi di dispositivi, anche in ambito domestico, da collegare via WiFi al proprio access point: cardiofrequenzimetri, frigoriferi, macchine fotografiche, ripetitori WiFi, game console, elettrodomestici vari... Il problema di fondo consiste nell'inserire una forma di password in un dispositivo che non ha una tastiera o che non è stato concepito per inserirvi del testo. Come discusso nell'ultimo post, esiste uno standard per risolvere questo problema in modo semplice: si preme un bottone sul dispositivo ed un bottone sull'access point (ovviamente predisposti per questo standard); i due dispositivi si autenticano mutuamente per sempre. Questo procedimento assume che al momento in cui si preme il bottone non ci siano dispositivi " m...

Anche oggi, come nell' ultimo post di qualche settimana fa, dopo la lezione di Reti di Calcolatori II ho trovato una notizia proprio sull'argomento della lezione: autenticazione su reti Wi-Fi e, in particolare, come indovinare la password tramite dictionary attack offline: A new, free, open-source tool called Reaver exploits a security hole in wireless routers and can crack most routers' current passwords with relative ease. Here's how to crack a WPA or WPA2 password, step by step, with Reaver—and how to protect your network against Reaver attacks. http://lifehacker.com/5873407/how-to-crack-a-wi+fi-networks-wpa-password-with-reaver Il tool non opera come abbiamo ipotizzato a lezione---osservando il traffico di challenge e response tra access point e nodi che si autenticano---ed utilizza invece una componente di WPA che non abbiamo visto per stimolare l'access point a generare traffico. In questo modo il tool riesce ad avere a disposizione una quantità ...

Proprio nella lezione di oggi, a Reti di Calcolatori II, abbiamo parlato di ipotesi sugli attacchi ("threat model"), credenziali che viaggiano in chiaro, errori software ed altre amenità del genere. Appena tornato in ufficio ho letto questa notizia sul "Corriere della Sera", esattamente ciò di cui abbiamo parlato pochi minuti fa: Truccare il registro? Se è elettronico si può Il software scelto da 1.300 scuole ha una falla: le credenziali dei prof viaggiano in chiaro, gli studenti possono rubarle http://www.corriere.it/scuola/13_ottobre_07/truccare-registro-elettronico-software-ministero-falla-658b2454-2f5a-11e3-bfe9-e2443a6320c1.shtml Questa descrizione, peraltro, è discutibile: quando si parla di "falla" di solito si intende che la soluzione ad un certo problema è stata realizzata in modo imperfetto. I progettisti si sono preoccupati del problema, hanno individuato e realizzato delle soluzioni, ma hanno lasciato qualche scenario non prev...

Sono usciti i risultati della valutazione della didattica per lo scorso anno 2012/2013. I risultati non sono consultabili facilmente in quanto l'applicativo web ha una interfaccia pessima. Le domande secondo me più importanti sono D7, D8 e D15: "Docente stimola e motiva interesse ?", "Spiega in modo chiaro ?", "Soddisfatto del corso ?". Nelle valutazioni aggregate per corso di studio il corso di laurea magistrale in Ingegneria Informatica è stato il migliore di tutti i corsi del Dipartimento per D8 e D15  ed è ai vertici tra i corsi dell'intero ateneo ( dettagli ). La mia valutazione personale è stata ottima, come gli anni scorsi. Sono molto contento di questo risultato e ringrazio gli studenti che sono stati così "benevolenti" nei miei confronti. Reti di Calcolatori II  10/10 di media, quindi tutti gli studenti hanno fornito una valutazione massima (anche in D4 e D5): Programmazione Distribuita 10/10 in D8 e D15, 9.33 i...

sono un suo studente del corso di Reti I e la crittografia mi ha sempre affascinato. Credo che sia un mondo parecchio vasto e purtroppo in rete si trovano un sacco di informazioni sparse.  Visto che oggi a lezione abbiamo ne abbiamo accennato vorrei chiederle se può consigliarmi dei testi, oppure uno in particolare, di riferimento sul quale iniziare a studiare (o approfondire) questi aspetti.  Per iniziare ad approfondire, questo è un ottimo testo disponibile online (molto interessante ma secondo me non scritto in modo "scorrevole"): Security Engineering — The Book L'autore è Ross Anderson, dell'Università di Cambridge. E' una persona che certamente le banche di mezzo mondo vorrebbero rinchiudere da qualche parte buttando via la chiave. Non perché sia un ladro, ma perché è quello che ha dimostrato che: Le truffe via Bancomat esistono veramente---prima le banche ne negavano l'esistenza, dicendo "hai scritto il PIN su un foglietto e te l...

Questo è complicato da leggere ma ne vale la pena (per aggiornarsi). IBM takes a big new step in cryptography: practical homomorphic encryption In breve, i servizi di cloud storage (come Dropbox, Box, Google Drive, Microsoft Skydrive etc etc etc) memorizzano i dati degli utenti "in chiaro", cioè senza crittarli. Ciò è un problema enorme per molte categorie di utenti ed organizzazioni. Dati potenzialmente sensibili, o comunque rilevanti per l'organizzazione, diventano accessibili al provider del servizio e soprattutto possono diventare accessibili se un attaccante riesce a "bucare" il servizio. In altre parole, la difesa principale nei confronti del furto dei dati (crittare i dati) non può essere applicata nei servizi di cloud. In linea di principio l'utente potrebbe crittare i propri file con una chiave nota solo a lui, e poi potrebbe memorizzare sul cloud i dati crittati. In questo modo però il servizio di cloud non potrebbe effettuare nessuna operazio...

Basta procurarsi un kit di sviluppo. SophosLabs ha appena pubblicato una descrizione molto carina di un kit di questo genere. Si tratta di Citadel:  " It comes as a kit that includes a malware builder tool and a collection of server-side components "  (servono per controllare i malware distribuiti in giro per il mondo e per raccoglierne i risultati) .  " The builder is used to create the bot malware (an EXE file) that is sent out to spread infection ". Ha anche un  " built-in Customer Relationship Management (CRM) system so that problems are addressed quickly and effectively. ".  Gli sviluppatori del kit sono molto attivi: " Citadel has been through several significant releases, most recently an upgrade to version 1.3.5.1 in October 2012. ". Occorre abbandonare la visione degli attacchi informatici come attività ludica ed estemporanea. Sono una vera e propria professione: per i pochi che sviluppano kit di questo genere, ma soprattutto ...

Tutte le volte che parlo di sicurezza dico sempre che il punto di partenza fondamentale è chiedersi cosa può fare l'attaccante e da quali tipologie di attacco ci si vuole difendere (o si ritiene che valga la pena difendersi, o ci si possa permettere di difendersi). Questa stessa considerazione è stata fatta da una persona di altissimo livello nell'analizzare il recentissimo scoop della love (o sex) story tra il capo della CIA ed una sua amante: "Understanding the threat is always the most difficult part of security technology ,” said Matthew Blaze, an associate professor of computer and information science at the University of Pennsylvania and a security and cryptography specialist. “If they believed the threat to be a government with the ability to get their login records from a service provider, not just their spouse, they might have acted differently.” ( link )

Un ex studente mi ha inviato un mail che mi ha fatto molto piacere. Ha risolto un grosso problema pratico grazie al fatto di avere studiato TCP...ci è riuscito anche perché lui è molto in gamba, ma se non avesse saputo come funziona TCP il problema sarebbe stato completamente oscuro... Buondi' Alberto! Non ho mai avuto il tempo di raccontarti un aneddoto del lavoro, accaduto ormai diversi anni fa, dove quanto studiato nel corso "reti di calcolatori" e' stato fondamentale per risolvere un problema. Oggi ti racconto solo il caso, senza la soluzione... Il nostro collegamento internet e', ovviamente, una linea dedicata ad alta velocita' che arriva fino a noi, una serie di routers (alcuni del provider, altri nostri), una serie di passaggi tra firewalls, antivirus, proxy...  Insomma, la piu' tipica delle configurazioni per un uso "professionale". Un bel giorno decidono di sostituire il proxy con una macchina piu' nuova . La macchina vecc...

Ho aggiornato radicalmente le slide sugli ultimi argomenti del corso di Reti di Calcolatori II. I contenuti sono gli stessi, ma penso che siano enormemente più chiari della versione precedente. Se qualcuno fosse interessato ad averle mi invii un mail...

In una delle ultime lezioni di Reti di Calcolatori II ho accennato ad uno dei miei temi preferiti (sui quali però non ho voglia di dilungarmi; ormai il pessimismo ha preso il sopravvento): i prodotti della ricerca sono le persone. Non sono algoritmi, idee, prototipi, etc. Sono le persone. Ho fatto l'esempio di Kerberos, per il quali sono occorsi più di dieci anni per passare dalla pubblicazione del protocollo al suo utilizzo su larga scala. Ho poi accennato al fatto che Google non è Google solo perché Page&Brin hanno avuto un'idea brillante e ne hanno mostrato la fattibilità pratica; lo è perché loro si sono trovati in un ambiente con centinaia di persone in grado di padroneggiare lo stato dell'arte della tecnologia e della ricerca. La lettura di questo bellissimo articolo pubblicato su Wired farà capire meglio cosa intendo.

Alcuni ricercatori Microsoft Research hanno pubblicato lo scorso anno una bellissima ricerca che spiega in modo efficace e convincente un fenomeno molto semplice e misterioso: Le vulnerabilità software sono tantissime ed aumentano di continuo, gli utenti scelgono password pessime, non aggiornano i propri software, non usano antivirus etc etc etc. Allora perché mai le vittime di attacchi informatici sono così poche ? Com'è possibile ? Loro forniscono una spiegazione basata su un modello di carattere economico . Modello che ha delle implicazioni molto importanti e per vari aspetti sorprendenti. Ad esempio, non è vero che l'attaccante deve superare l'anello più debole delle difese: deve superare la somma di tutte le difese esistenti (il che è, appunto, sorprendente; è come dire che quando un ladro entra in un condominio con 12 appartamenti, ognuno con porta blindata, deve superare tutte le porte invece che solo una). Altro esempio: quando un numero elevato di bersagli ...

Anche quest'anno è andata bene. La posta interna di ateneo, peraltro, sta diventando sempre meno affidabile. La busta con la valutazione del corso di Reti di Calcolatori mi dicono non sia mai arrivata all'ufficio del nucleo di valutazione...(no, non l'ho buttata via io; non avrei avuto nessun interesse a farlo).

Nei mesi scorsi ho tenuto un corso di Sicurezza Informatica in Area di Ricerca . Nelle prime lezioni ho cercato di convincere i partecipanti che ormai gli attacchi informatici sono un vero e proprio business e quindi non devono essere considerati come una attività ludica-o-quasi. A tale scopo ho esposto i risultati di alcuni studi recenti molto interessanti sulla "underground economy" del settore. Si trovano nella mia raccolta bibliografica online , associati ai tag crime oppure webmalware o cose del genere. In una delle ultime lezioni del corso di Reti di Calcolatori ho detto che se qualcuno era interessato all'argomento gli avrei passato le slide corrispondenti. Uno studente me le ha chieste ed io, mea culpa, ho impiegato molte settimane per renderle pubbliche...so che avrei dovuto farlo prima perché adesso sono tutti sotto esami...sorry. Le slide sono queste: Pay-per-install Market Underground IRC (Internet Chat) Market Ho inserito anche alcune slide (legge...