Alberto Bartoli - Blog

Si, avete letto bene. Nulla di particolarmente sorprendente. Come spiegato qui , degli esperti in sicurezza informatica hanno analizzato dei "neurostimolatori", dispositivi da impiantare sotto la pelle e collegare direttamente al cervello per mitigare i sintomi di alcune malattie (dolori cronici, problemi di movimento come quelli provocati dal Parkinson). Ovviamente hanno trovato il modo di modificare in modo non autorizzato la configurazione di un neurostimolatore già impiantato. Il che " could prevent the patient from speaking or moving , cause irreversible damage to their brain , or even worse, be life-threatening ". L'attacco non è particolarmente sofisticato: essenzialmente è bastato ricostruire il formato dei segnali con i quali è programmato il neurostimolatore ed osservare che il protocollo ha garanzie di autenticazione e riservatezza praticamente inesistenti. Ho scritto che questo evento non è sorprendente perché problemi di questo genere sono freq...

Oggi nel corso di "Reti di Calcolatori II e Principi di Sicurezza Informatica" abbiamo completato la discussione di OAuth2, un protocollo fondamentale nella nostra vita quotidiana. Ho dimenticato di evidenziare che questa è proprio la tecnologia alla base dell'enorme scandalo di cui sta parlando mezzo mondo, cioè il caso Cambridge Analytica-Facebook . Il caso è stato sviscerato ampiamente quindi non c'è molto da aggiungere; forse due punti di vista interessanti sono questo (descrizione di come uno sviluppatore abbia ottenuto tonnellate di dati che non gli servivano e che non pensava neanche di ottenere) e questo (analisi più ampia e profonda dei rischi potenziali per la società). Dal nostro punto di vista ed in estrema sintesi, il problema è che quando i RO (resource owners, cioè gli utenti) assegnano ai C (applications, ad esempio Cambridge Analytica) la delega ad operare sulle proprie risorse sugli RS (resource server, ad esempio Facebook), quasi sempre lo fanno...

La scorsa settimana sono state rese pubbliche delle vulnerabilità particolamente, diciamo così, "interessanti" in quanto sono dovute ai dispositivi hardware e sono diffuse pressoché ovunque. Comprendere causa, impatto teorico, impatto pratico, conseguenze, difese è complicato. Più complicato che in alti casi. Sperando di fare cosa utile, rendo pubbliche alcune considerazioni sintetiche. Scrivo quanto segue al meglio delle mie conoscenze. Se qualcuno rilevasse delle imprecisioni lo prego di segnalarmelo. Alla fine delle considerazioni sintetiche ci sono alcune mie brevissime riflessioni più generali. 1) Le vulnerabilità Meltdown e Spectre sono presenti nella stragrande maggioranza dei dispositivi prodotti negli ultimi anni, dagli smartphone ai server. Sono quindi presenti in praticamente tutti i sistemi operativi ed ambienti di virtualizzazione più diffusi. 2) Tali vulnerabilità possono permettere a del codice maligno di leggere porzioni di memoria alle ...

Nella lezione di Reti di Calcolatori di oggi abbiamo accennato ad un argomento che non è parte del corso, cioè le catene di certificati. Nel corso abbiamo detto che la chiave pubblica di un Subject viene ottenuta sempre attraverso un certificato emesso da un Issuer che deve già essere presente nel KeySet e nel TrustSet di chi utilizza quel certificato. Nella realtà accade quasi sempre una cosa più complicata: invece di un certificato arriva una sequenza di certificati in cui: Lo Issuer dell'ultimo certificato della sequenza è il Subject del penultimo certificato; ... Lo Issuer del k-esimo è il Subject del (k-1)-esimo; ... Il primo certificato della sequenza è self-signed. Solo il Subject=Issuer del primo certificato è nel KeySet e nel TrustSet (il primo certificato della sequenza deve cioè essere già presente nel software di chi usa la catena). Intuitivamente, la CA che ho già nel KeySet e TrustSet delega un'altra CA-1 a rilasciare certificati; il fatto che io m...

In una delle ultime lezioni del corso di "Reti di Calcolatori" abbiamo approfondito alcuni dettagli sottili, ma neanche troppo, di https , il protocollo per la navigazione cosiddetta-sicura sul web. E' quel protocollo che usiamo ogni volta che andiamo sul sito di una banca, di una compagnia aerea, di un sito di ecommerce e così via. Tra le altre cose, avevamo evidenziato che se una pagina P è critica per la sicurezza (ad esempio una pagina contenente un form di autenticazione) allora è indispensabile mettere P su https . Avevamo anche evidenziato che se facciamo un sito con una home page su http  e mettiamo nella home page un link verso P, allora avere messo P su https è (quasi) completamente inutile. Infatti, quando gli utenti arrivano sulla home page, ricevono contenuti su http , quindi senza garanzie di autenticazione ed integrità; quindi, lo sforzo che deve fare un attaccante per modificare i link contenuti nella home page è determinato da http , non da https ;...

Nel mio intervento al convegno su "Vivere l'innovazione" (vedi qui ) mi sono focalizzato sul ritardo del nostro paese rispetto agli altri paesi europei, sostenendo la tesi che il nostro vero problema consiste nella carenza di competenze. Oggi è stata resa pubblica la mappa europea dell'inquinamento. Permette di consultare in tempo reale i dati sull'inquinamento delle città europee. La mappa contiene tutti i paesi meno quattro: noi, Romania, Bulgaria, Grecia. So che sembra incredibile ma è così . Pare che i nostri la "stiano completando". Io non ho bisogno di ulteriori prove a sostegno della mia tesi...

Questa mattina si è tenuto a Trieste un incontro sul tema "VIVERE L’INNOVAZIONE: IL FUTURO DELLE ORGANIZZAZIONI NELLA DIGITAL TRANSFORMATION" organizzato da TIM in collaborazione con Il Sole 24 Ore ( qui il programma completo). Le slide del mio intervento sono disponibili qui .