Alberto Bartoli - Blog

Quanto segue è un patetico quanto inutile tentativo di distrarmi e non pensare alla pessima prestazione calcistica di ieri sera, decisamente non all'altezza dell'evento e dei nostri gloriosi colori. Nella lezione di "Computer Networks and Principles of Cybersecurity" di ieri, mi è stata posta la domanda " E' possibile che un patch introduca nuove vulnerabilità? ". La mia risposta è stata affermativa, ho evidenziato che un patch è un software, quindi può introdurre errori, vulnerabilità, può fare riemergere errori o vulnerabilità presenti e risolti in versioni precedenti, può correggere la specifica vulnerabilità presumibilmente risolta da quel patch solo in parte. Non è frequente, ma può accadere ed è quindi una possibilità da tenere presente. Uno dei numerosi motivi che rendono così complessa la gestione delle vulnerabilità è anche questo. Stamattina ho letto un esempio molto interessante di quanto abbiamo detto. Pochissime settimane fa Microsoft ha ril...

Esistono su web tonnellate di documenti, tutorial e video sul web security testing. Moltissimo di questo materiale è, secondo me, spiegato molto male ed ha una impostazione eccessivamente pratica: viene descritto come arrivare ad un certo obbiettivo in un certo scenario senza fare capire cosa si sta facendo, quali elementi sono specifici di quello scenario e quali hanno validità generale etc etc. Nonostante mi occupi di queste tematiche da anni, quasi sempre faccio molta fatica a capire questo materiale. Uno strumento particolarmente utile per il web security testing è Burp . Una web app particolarmente utile per fini didattici sulla rilevazione di vulnerabilità è OWASP Juice Shop  ( live version ). Ho preparato un documento introduttivo su Burp e OWASP Juice Shop. Principalmente per me. Può essere utile per gli studenti di " Computer Networks 2 and Principles of Computer Security ". Potrebbe essere utile anche ad altri. Ho deciso di renderlo pubblico ("Documents"  ...

Due giorni fa la "Cybersecurity & Infrastructure Security Agency" degli Stati Uniti ha emesso un alert urgente perché sono state rilevate attività di attacco che sfruttano vulnerabilità zero-day del mail server Microsoft. Ho pensato di scrivere due note su questa faccenda perché si collega molto bene a vari temi trattati nel corso " Cybersecurity 101 " che ho concluso pochi giorni fa. Questa breve frase, che ho suddiviso in lista per chiarezza, dice più o meno tutto sull'attacco.  Cybersecurity and Infrastructure Security (CISA) partners have observed active exploitation of vulnerabilities in Microsoft Exchange Server products. Successful exploitation of these vulnerabilities allows an unauthenticated attacker to execute arbitrary code on vulnerable Exchange Servers, enabling the attacker to gain persistent system access , as well as access to files and mailboxes on the server and to credentials stored on that system . Successful exploitation may additio...

Pochi giorni fa uno studente del Politecnico di Milano ha reso pubbliche alcune vulnerabilità che ha scoperto nella app usata dai trasporti pubblici di Milano ( ATM , Azienda Trasporti Milanesi da non confondere con Automatic Teller Machine, cioè i bancomat). Queste vulnerabilità rendevano possibile l'uso (fraudolento) di biglietti di altri utenti. Conoscendo l'indirizzo email con il quale un utente si era registrato nella app ATM, era cioè possibile usare i biglietti acquistati da quell'utente. In estrema sintesi, la app conteneva una password unica per tutte le installazioni, cablata nel codice della app; tale password veniva usata per autenticare le richieste inviare al server (e garantirne l'integrità); non c'era però nessun meccanismo per autenticare l'utente della app. Di conseguenza, se un utente "Pippo" inviava una richiesta in cui affermava di essere l'utente "Pluto", il server non aveva modo di autenticare l'utente, quindi i...

I corsi di " Reti di Calcolatori " e " Reti di Calcolatori II e Principi di Sicurezza Informatica " sono, credo, interessanti anche perché hanno molti agganci con l'esperienza quotidiana di utilizzo di Internet e dei dispositivi informatici in genere. In questo semestre sto tenendo il corso di "Reti II". La quantità di eventi legati agli argomenti del corso che ho visto nelle ultime settimane è stata davvero molto grande. Riporto alcuni di questi eventi qui sotto. Numeri di sequenza su 32 bit in TCP L'implementazione di TCP deve associare un numero di sequenza ad ogni byte trasmesso. I numeri di sequenza sono rappresentati su 32 bit. Abbiamo detto che il codice deve essere in grado di confrontare correttamente tra di loro valori che superano il massimo valore rappresentabile su 32 bit. Ad esempio, se viene trasmesso il byte 1000 e poi il byte 1002, è facile per il ricevente capire che il secondo deve seguire il primo: 1002 è più grande di 10...

Oggi abbiamo proseguito con le lezioni in streaming del corso di "Reti di Calcolatori 2 e Principi di Sicurezza Informatica" nel corso di laurea magistrale in Ingegneria Elettronica ed Informatica (l'hashtag che sta circolando su Twitter  #uniTSnonsiferma  mi pare un pò ridicolo, sinceramente, ma io ed alcuni miei colleghi stiamo cercando di fare il possibile; vedi anche questa guida ). Abbiamo parlato, tra le altre cose, degli attacchi Denial of Service (DoS) di tipo SYN-flood. Ho evidenziato che si tratta di uno dei numerosi esempi che spiegano un concetto che ho espresso molte volte anche a Reti di Calcolatori 1 (in maniera molto semplificata ed informale): Internet è stata realizzata usando implicitamente ed a tutti i livelli di astrazione l'ipotesi implicita "ogni nodo è onesto"; il che è uno dei motivi fondamentali per molti degli enormi problemi di sicurezza odierni e futuri. Dopo la lezione mi è stata inviata questa domanda via email: Domanda d...

Nella versione web del Corriere della Sera di stamattina compare in bella evidenza una notizia " I cinque segnali spia che rivelano che il telefono è stato hackerato " categorizzata come " Cybersecurity ". Clicco, trovo un sottotitolo promettente " Come può un utente, anche il meno esperto, tutelare la sicurezza del proprio smartphone? " e mi metto a leggere. Trovo descrizioni di funzionalità che possono essere più o meno utili ma che hanno poco o nulla (eufemismo) a che vedere con " telefono hackerato ". Non si capisce se la app è un normalissimo antivirus, un normalissimo ad blocker, un normalissimo raccoglitore di sensori...magari fosse possibile " tutelare la sicurezza del proprio smartphone " semplicemente mescolando funzionalità come queste. Qualche giorno prima la versione web del Fatto Quotidiano mostrava la stessa app facendo ancora più confusione. Inizia specificando che " promette di tutelare al meglio la sicurezza d...

Nelle scorse settimane una azienda specializzata tedesca ha condotto una analisi di circa 2300 " medical image archiving systems connected to the public internet ". Per chi ha familiarità con il settore, si tratta di server PACS (Picture Archiving and Communication Systems) che usano il protocollo DICOM (Digital Imaging and Communications in Medicine). Di questi 2300 server collegati ad Internet, ce ne sono 590 accessibili liberamente senza alcun tipo di protezione . Niente username, niente password, niente smartcard, controlli su indirizzo IP...niente di niente. Ci si collega e si scarica quello che c'è, cioè i d ati personali di 24 milioni di pazienti (compresi nome, cognome, data di nascita, data dell'esame clinico, finalità dell'esame, nome del medico, ..) e circa 400 milioni di immagini contenenti i veri e propri esami. In Europa il nostro paese è quello con il maggior numero di sistemi accessibili su Internet senza nessuna protezione : 10. Il secondo...

Qualche anno fa c'era in giro la credenza che "i dispositivi Apple non prendono i virus". Credenza ovviamente infondata, come ho descritto in questo post del 2014  (nota: 5 anni fa). Molti continuano ad avere credenze simili, da cui il titolo di questo post. Proprio in questi giorni, il Google Project Zero ha reso pubblico quanto segue: I focused on the attack surfaces of the iPhone that can be reached remotely  and do not require any user interaction and immediately process input. We reported a total of 10 vulnerabilities , all of which have since been fixed. The majority of vulnerabilities occurred in iMessage... Visual Voicemail also had a large and unintuitive attack surface that likely led to a single serious vulnerability being reported in it. Overall, the number and severity of the remote vulnerabilities we found was substantial . Nulla di particolarmente sorprendente. Altra dimostrazione che non si deve credere alle favole (e che la migliore difesa...

(8 Agosto: cambiato il titolo) Due eventi recenti molto interessanti. Kazakhstan government is now intercepting all HTTPS traffic In Kazakhistan, ogni utente può navigare su Internet solo dopo avere inserito il Governo tra le Certification Authority fidate dai propri dispositivi. Ciò implica che il Governo del Kazakhistan può operare da Man-In-The-Middle nei confronti di tutte le comunicazioni HTTPS, quelle "crittate" che usiamo ogni giorno: può cioè  vedere  e  modificare   tutto  ciò che viene trasmesso  nei due sensi . Ripeto, può vedere e modificare le comunicazioni crittate. Spiegare i dettagli tecnici è troppo lungo...specialmente per una mattina di fine luglio...se uno ha la pazienza di leggere la dispensa "Security" del corso di Reti di Calcolatori trova tutti i dettagli. Peraltro, penso che questa azione renda impossibile, in Kazakhistan, l'uso del browser Chrome e di molte app per smartphone (per motivi tecnici inadatti a fine luglio.....

Ho scritto delle dispense per il corso di "Reti di Calcolatori" ed ho deciso di renderle pubbliche. Sono consultabili da smartphone  e sono in inglese. Gli argomenti sono più o meno i seguenti: Introduzione : Applicazioni, protocolli, client e server DNS : funzionalità ed implementazione Email : funzionalità ed implementazione Web : pagine, sessioni, autenticazione, analytics Web - The Big Brother : tracking e profiling degli utenti IP : assegnazione dei network number, routing, ARP, firewall Security : proprietà di sicurezza con network attacker, distribuzione delle chiavi, certificati, TLS/HTTPS E' stato un grosso impegno, spero siano utili. Apprezzerò molto commenti, critiche e segnalazioni di imprecisioni. https://bartoli.inginf.units.it/didattica/dispense-reti-di-calcolatori

Molte organizzazioni hanno, giustamente, iniziato ad usare servizi informatici "in cloud", ad esempio i servizi Office 365 di Microsoft. Operazioni come queste si possono fare in due modi: "facile" o "un pò meno facile". Il modo "facile" ha, come tutte le cose facili, un costo nascosto. In questo caso il costo nascosto consiste nel permettere al fornitore del servizio cloud di conoscere le credenziali (username e password) usate nell'organizzazione. E' quello che accade nel nostro ateneo. Per usare alcuni servizi dobbiamo collegarci a https://login.microsoftonline.com  ed inserire le nostre credenziali di ateneo. Il browser invia le credenziali al web server di nome login.microsoftonline.com : POST https://login.microsoftonline.com/OMISSIS/login HTTP/1.1 Host: login.microsoftonline.com Connection: keep-alive Content-Length: 1393 Cache-Control: max-age=0 ... Content-Type: application/x-www-form-urlencoded i13=0& login=...

Ho ricevuto questo mail da uno studente: Mi sono imbattuto in una notizia che mi ha fatto riflettere (anzi, preoccupare..). “Una serie di errori in alcune applicazioni di Facebook ha causato l' accesso alle password degli utenti a circa 20.000 dipendenti . Si ritiene che le password da 200 milioni a 600 milioni di utenti di Facebook siano state esposte... Facebook ha confermato questa omissione nel suo blog ufficiale...è stata rilevata nel mese di Gennaio. ... almeno 2.000 dipendenti di Facebook hanno cercato i file con le password , ma non era chiara l'intenzione di tali ricerche. Presumibilmente la memorizzazione delle password in “chiaro” è iniziata nel 2012 ". Io non riesco a capire se il fatto di memorizzare le password in “chiaro” sia stato effettivamente un errore del sistema/software oppure hanno deciso di farlo “apposta”.. Se siamo nel secondo caso allora la cosa mi preoccupa, perché una organizzazione mondiale come Facebook, dovrebbe garantire delle misure ...

Da qualche tempo la nostra pubblica amministrazione sta promuovendo l'uso di " SPID ", il "sistema pubblico di identità digitale": il cittadino si fa rilasciare delle credenziali da un "gestore di identità" abilitato e poi potrà accedere a tutti i servizi web della pubblica amministrazione (magari...) usando quelle credenziali. In altre parole, il cittadino avrà una unica "identità digitale" grazie alla quale potrà accedere a tutti i servizi web pubblici (ripeto: magari...). Il terzo livello SPID  è quello che dovrebbe offrire il grado di sicurezza più elevato. Ci sono solo due gestori di identità che offrono SPID di livello 3: Aruba (pare) tramite  smart card  e PosteID (pare) tramite una  app per smartphone . Ho cercato di capire come funziona esattamente questo livello. Il sito SPID su questo punto infatti è molto generico : " Il terzo livello, oltre al nome utente e la password, richiede un supporto fisico (es. smart card) per l’...

Da qualche tempo l'applicativo che usiamo in Università per la verbalizzazione degli esami mostra un avviso in cui consiglia di "cambiare frequentemente la password per sicurezza": Questo suggerimento è in conflitto con i suggerimenti  che ho dato più e più volte nei mesi scorsi, a centinaia di persone diverse, in vari contesti diversi (compreso un corso di formazione che ho fatto per tutto il personale tecnico-amministrativo del nostro ateneo). Mi sento quindi obbligato a ribadire che si tratta di un consiglio da non seguire . Il National Cyber Security Center del Regno Unito (organo che fornisce linee guida di cyber security alla pubblica amministrazione del Regno Unito ed il cui sito web è semplicemente fantastico), dice a proposito delle password che: " Regular password changing harms rather than improves security, so avoid placing this burden on users ", cioè "cambiare la password regolarmente danneggia la sicurezza invece di migliorarla: ev...

Ho ricevuto una domanda sui certificati, in vista della provetta di fine corso "Reti di Calcolatori". Domanda che coinvolge alcuni dei molti (molti, molti...) aspetti e problemi che purtroppo non è stato possibile approfondire nel corso e quindi non fanno parte del programma di esame. Aspetti e problemi che comunque sono, secondo me, interessanti...pertanto ho deciso di discuterli qui. Sono proprietaria di un sito il cui nome è stato realizzato con il non custom domain, mi faccio certificare da una Certification Authority la quale mi da una chiave pubblica, una privata e il certificato in cui associa il mio DNS name a tale chiave pubblica. Dopo qualche tempo decido di passare alla versione di webhosting che mi consente di scegliere il nome che desidero per il mio sito. Se faccio ciò vuol dire che dovrò tornare dalla CA per farmi dare un nuovo certificato, cambierà anche la chiave pubblica associata a questo nuovo nome? Oppure posso comunque tenere quella precedente? L...

Nel post precedente avevo descritto una " Esperienza (poco consolante) con la PEC ". Concludevo in questo modo: Vedo due possibili spiegazioni per questa vicenda: Non è un tentativo di attacco. Al contrario di quanto mi è stato detto dall'assistenza, il rinnovo del mio abbonamento PEC ha provocato l'invio automatico di un allegato PDF (magari a causa dell'adeguamento di Aruba alla GDPR) e questo invio è stato catalogato erroneamente come mia richiesta di assistenza. E' un tentativo di attacco. Non ho elementi sufficienti per affermare con ragionevole certezza se siamo nel caso 1 o nel caso 2. Posso però affermare con certezza che se siamo nel caso 1 allora l'assistenza clienti ed il processo di gestione di queste tematiche da parte di Aruba lascia molto a desiderare (eufemismo). Successivamente alla pubblicazione del mio post ci sono state varie interazioni che hanno chiarito la vicenda. In breve: eravamo nel caso 1: il mail sospetto non era...

Il 20 Novembre ricevo un email da Aruba, il provider della mia PEC personale. Caso da manuale di email da trattare con attenzione, perché: Non avevo inviato nessuna richiesta ad Aruba. Mi invitava ad aprire un allegato PDF. Ovviamente mi sono comportato come dico sempre di fare nei corsi di sensibilizzazione sulla sicurezza informatica : non ho scaricato l'allegato e mi sono collegato alla mia area personale Aruba (senza seguire nessun link nell'email). Se il messaggio fosse stato autentico, infatti, nella mia area personale ci sarebbe stata una copia della richiesta. Come mi aspettavo, nella mia area personale non c'era nessuna richiesta da parte mia.  Visto che neanche 24 ore prima era stata resa pubblica una intrusione molto grave in un provider PEC , invece di archiviare l'email e segnalarlo come spam ho speso qualche minuto per approfondire. Ho analizzato gli header del messaggio email per verificare il cammino seguito dal messaggio (informazioni ...

" Un grande attacco hacker ha colpito nei giorni scorsi circa 3mila soggetti, sia pubblici che privati, in Italia. Sono oltre 30mila i domini violati , e circa 500mila le caselle postali coinvolte : di queste, 98mila delle quali di persone appartenenti alla Pubblica amministrazione . L'azione ha mandato in tilt i tribunali, con la sottrazione di dati personali delle Pec di magistrati ed il conseguente blocco dei servizi delle Corti d'appello di tutto il Paese , ma sono stati interessati anche i ministeri di Esteri, Interno, Difesa, Economia, Sviluppo economico. " https://tg24.sky.it/cronaca/2018/11/20/attacco-hacker-tribunali-password-pec.html " " CAMBIATE subito la password ". Roberto Baldoni, il responsabile della cybersicurezza italiana presso la Presidenza del Consiglio dei Ministri, è categorico. L'invito, rivolto a tutto il paese, è la conseguenza di un gravissimo attacco informatico che ha esposto 500.000 caselle di posta elettronica cer...

Si, avete letto bene. Nulla di particolarmente sorprendente. Come spiegato qui , degli esperti in sicurezza informatica hanno analizzato dei "neurostimolatori", dispositivi da impiantare sotto la pelle e collegare direttamente al cervello per mitigare i sintomi di alcune malattie (dolori cronici, problemi di movimento come quelli provocati dal Parkinson). Ovviamente hanno trovato il modo di modificare in modo non autorizzato la configurazione di un neurostimolatore già impiantato. Il che " could prevent the patient from speaking or moving , cause irreversible damage to their brain , or even worse, be life-threatening ". L'attacco non è particolarmente sofisticato: essenzialmente è bastato ricostruire il formato dei segnali con i quali è programmato il neurostimolatore ed osservare che il protocollo ha garanzie di autenticazione e riservatezza praticamente inesistenti. Ho scritto che questo evento non è sorprendente perché problemi di questo genere sono freq...