Alberto Bartoli - Blog

Oggi nel corso di "Reti di Calcolatori II e Principi di Sicurezza Informatica" abbiamo completato la discussione di OAuth2, un protocollo fondamentale nella nostra vita quotidiana. Ho dimenticato di evidenziare che questa è proprio la tecnologia alla base dell'enorme scandalo di cui sta parlando mezzo mondo, cioè il caso Cambridge Analytica-Facebook . Il caso è stato sviscerato ampiamente quindi non c'è molto da aggiungere; forse due punti di vista interessanti sono questo (descrizione di come uno sviluppatore abbia ottenuto tonnellate di dati che non gli servivano e che non pensava neanche di ottenere) e questo (analisi più ampia e profonda dei rischi potenziali per la società). Dal nostro punto di vista ed in estrema sintesi, il problema è che quando i RO (resource owners, cioè gli utenti) assegnano ai C (applications, ad esempio Cambridge Analytica) la delega ad operare sulle proprie risorse sugli RS (resource server, ad esempio Facebook), quasi sempre lo fanno...

Una delle mie fissazioni è quella bellissima frase di Roger Needham : "se qualcuno dice che un problema è risolto facilmente dalla critttografia, dimostra che non ha capito il problema" . (per inciso: difficile spiegare in modo sintetico la rilevanza scientifica di Needham; basta forse un aneddoto: era professore all'Università di Cambridge; Microsoft voleva assumerlo in Microsoft Research, che all'epoca aveva solo una sede negli Stati Uniti; lui non voleva andarsene da Cambridge; Microsoft Research decise allora di creare una sede fuori dagli Stati Uniti, appunto a Cambridge) In questi giorni ho letto un paper che fornisce un ulteriore esempio di questa verità manifesta: Deploying Cryptography in Internet-Scale Systems: A Case Study on DNSSEC. IEEE Transactions on Dependable and Secure Computing http://ieeexplore.ieee.org/xpls/abs_all.jsp?arnumber=5444890&tag=1> (disponibile nella rete di ateneo) DNSSEC è una cosa potenzialmente meravigliosa: The goal of D...

Nella versione web del Corriere della Sera di stamattina compare in bella evidenza una notizia " I cinque segnali spia che rivelano che il telefono è stato hackerato " categorizzata come " Cybersecurity ". Clicco, trovo un sottotitolo promettente " Come può un utente, anche il meno esperto, tutelare la sicurezza del proprio smartphone? " e mi metto a leggere. Trovo descrizioni di funzionalità che possono essere più o meno utili ma che hanno poco o nulla (eufemismo) a che vedere con " telefono hackerato ". Non si capisce se la app è un normalissimo antivirus, un normalissimo ad blocker, un normalissimo raccoglitore di sensori...magari fosse possibile " tutelare la sicurezza del proprio smartphone " semplicemente mescolando funzionalità come queste. Qualche giorno prima la versione web del Fatto Quotidiano mostrava la stessa app facendo ancora più confusione. Inizia specificando che " promette di tutelare al meglio la sicurezza d...

Mi è stato chiesto qualche link per "approfondire l'uso della rete internet per influenzare la società" . Interpreto questa domanda nel senso di richiesta di informazioni su "campagne organizzate per manipolare in modo consapevole le opinioni delle persone". E' ovvio infatti che Internet ha una influenza enorme sulla società per il solo fatto di esistere. Questo tema è molto ampio, molto importante, con implicazioni enormi che, a mio parere, nessuno è ancora in grado di comprendere fino in fondo. Riporto qui sotto alcuni link che io ho trovato molto interessanti e molto utili. Come premessa generale, l'esistenza di campagne organizzate per manipolare le opinioni delle persone è ormai un dato di fatto. Un documento importantissimo è un discorso tenuto lo scorso anno dal Commissario Europeo per l'Unione della Sicurezza presso lo NCSC UK (il National Cyber Security Center del Regno Unito, un'organizzazione di altissimo livello il cui sito we...

In questi giorni è in corso un "attacco informatico" che ha colpito, pare, più di 200.000 utenti, in più di 10.000 organizzazioni, in più di 150 paesi. Su questo evento si possono fare molte riflessioni, sia di carattere tecnico sia per la società nel suo complesso. Ne faccio qui una di carattere tecnico: semplice e banale. Ma importantissima. Nei miei corsi di sicurezza informatica mostro quasi sempre una slide che riassume uno studio fatto qualche anno fa da Google. Chiesero a 231 esperti di sicurezza e a 294 utenti non esperti di sicurezza di descrivere il proprio comportamento dal punto di vista della sicurezza informatica. Come si può vedere, l'accorgimento numero 1 per gli esperti è molto semplice: aggiornare i sistemi. Questo accorgimento non compare nella lista dei non esperti: Bene, l'attacco di questi giorni è stato reso possibile proprio dal mancato aggiornamento dei sistemi . L'attacco ha sfruttato una vulnerabilità (errore software) prese...

sono un suo studente del corso di Reti I e la crittografia mi ha sempre affascinato. Credo che sia un mondo parecchio vasto e purtroppo in rete si trovano un sacco di informazioni sparse.  Visto che oggi a lezione abbiamo ne abbiamo accennato vorrei chiederle se può consigliarmi dei testi, oppure uno in particolare, di riferimento sul quale iniziare a studiare (o approfondire) questi aspetti.  Per iniziare ad approfondire, questo è un ottimo testo disponibile online (molto interessante ma secondo me non scritto in modo "scorrevole"): Security Engineering — The Book L'autore è Ross Anderson, dell'Università di Cambridge. E' una persona che certamente le banche di mezzo mondo vorrebbero rinchiudere da qualche parte buttando via la chiave. Non perché sia un ladro, ma perché è quello che ha dimostrato che: Le truffe via Bancomat esistono veramente---prima le banche ne negavano l'esistenza, dicendo "hai scritto il PIN su un foglietto e te l...

Mi è tornata in mente proprio in questi giorni che ho iniziato il corso di Cybersecurity , nel quale parlo più volte dei design principles proposti da Saltzer e Schroeder nel loro capolavoro del 1974 . Se potessi incontrare Mike Schroeder oggi gli esprimerei con grande entusiasmo la mia ammirazione per quel suo capolavoro, nonostante la mia veneranda età e nonostante non abbia più la passione per la tecnologia e la ricerca che avevo da giovane. La cosa curiosa è che Mike Schroeder l'ho incontrato proprio quando ero giovane ed entusiasta: era un docente di quella PhD school...solo che non sapevo nulla di cybersecurity e quindi non ero a conoscenza di quel suo capolavoro, nonostante lo avesse scritto quasi venti anni prima! Mea culpa, mea grandissima culpa. Lisboa 92 - An advanced course on distributed systems Sono stato studente di solo due PhD schools...il titolo di questo blog post è quindi un pò clickbait . Comunque, Lisboa 92 è stata davvero molto importante per me. Non tanto ...

Questo riepilogo non è disponibile. Fai clic qui per visualizzare il post.

Tra i molti temi molto interessanti che non analizziamo c'è tutto il mondo della sicurezza dei circuiti di pagamento (ATM, bancomat e simili). Riporto di seguito qualche fatterello recentissimo ed interessante. Soprattutto in quanto dimostrazione (spero a questo punto inutile) delle cose dette più volte a lezione: I problemi pratici nascono da errori di implementazione/configurazione; gli attacchi sono spesso limitati da ciò che l'attaccante trova conveniente fare, non tanto da ciò che può fare; gli attacchi man-in-the-middle sono fattibili e particolarmente pericolosi; al tempo X tutti dicono "questo attacco non è realistico" e poi al tempo Y>X si scopre che non è vero; nei rapporti con le banche il cliente è responsabile "a prescindere"; la crittografia non garantisce un bel nulla di per sé; le applicazioni di smartcard e simili si basano su dispositivi fidati per definizione, ma che nella pratica possono essere controllabili...