Information security a-la-snowden, ovvero la paura prima di tutto.

In questi giorni, tra Karspersky e Snowden, si stanno sovrapponendo le notizie di falle nella sicurezza di qui e di la'. In questa serie di allarmismi, ci sono alcune cose vere ed alcune che sono "voglio unirmi al coro, ci sono anche io". Andiamo a vedere che cosa e' realistico/vero e che cosa non lo sia, ma prima vorrei spiegare come l'arrivo di Snowden abbia riempito il mercato di consulenti alla sicurezza "la paura prima".

Sia chiaro: io non credo che la questione della sicurezza vada sottovalutata. Anzi, semmai c'e' da lavorare per anni solo per poter riparare i danni fatti da decenni di "programmazione allegra", da parte di design di sistemi "tutto nello stesso server", e cosi' via. Non perdero' di certo tempo a commentare una falla di mongodb che si realizza solo se esponete il vostro database direttamente alla rete. Non serve un esperto per questo, Darwin basta e avanza; se non vedete nulla di strano nell'esporre ad internet un database, siete cibo.

D'altro canto, oggi si sta esagerando. Il consulente per lasicurezza che si presenta oggi alla porta arriva e inizia con tanti bei powerpoint stile Snowden. Nei quali, prima vi dice che siete in pericolo perche':

e se ancora siete molto tecnici, e siete scettici, non puo' mancare un pizzico di "Esadecimale a Cazzo®"

 Questi allarmi rasentano il ridicolo, ultimamente, nel caso di Karspersky e degli allarmi che ha lanciato ultimamente. Ora, io non dico che le banche siano invulnerabili. Ma la storiella di Kaspersky e' ridicola. Le banche, per poter essere esaminate dal ministero (e ora dalla BCE) girano sempre piu' o meno gli stessi sistemi transazionali: CICS , TMX, roba che non voglio pensare di BULL, e pochi altri.

Ora, se c'e' una cosa che il nostro attaccante NON ha bisogno di fare ad una banca e' di osservare  per mesi un impiegato con un malware, allo scopo di "capire come lavora": ammesso poi che il computer possa portare fuori i dati, visto che le banche lavorano normalmente su reti fisicamente separate.(1) Dopo aver "osservato" il nostro impiegato, il micidiale software consentirebbe (e non si capisce come, visto che i terminali della banca sono associati ad una logical unit del mainframe e stanno solo sul ring 0 del mainframe)  all'attaccante di "aggiungere uno zero al conto": ora, ma di tutte le cose che puoi fare con un transazionale, proprio l' UNICA che NON puoi fare doveva scegliere Kaspersky?

Dopodiche', sempre a detta di Kaspersky, ci si presenta al bancomat - che diavolo abbia a che fare con il singolo impiegato lo sa solo Kaspersky - e si ritira il maltolto.

Peccato che gli ATM normalmente sono su una rete diversa da quella dei computer della filiale, peccato che le transazioni eseguite allo sportello non sono reali, ma finiscono in un batch che prima di essere eseguito passa ad una scansione antifrode, peccato che fare tutto questo casino per rubare soldi da un ATM sia assurdo, visto che ormai anche gli zingari rompono ggli ATM, e peccato che dieci milioni di euro negli ATM e' una cifra che vedo molto, molto, molto dura. 

Lo stesso per il software che tu lo mandi a dieci milioni di computer, esso contiene si e no il nome del produttore del disco rigido, e prima cambia il firmware del disco (meglio di qualsiasi sistema di device management su scala enterprise) , poi inizia a scrivere i dati sensibili (meglio di qualsiasi agente di backup, che normalmente caccia dentro ogni cosa) in una zona sicura del disco, e poi fa partire un server da cui eseguire una specie di backup massivo distribuito, e senza una riga modificata su nessun firewall aziendale.

Allora, adesso i casi sono due. 

cioe', se io mi metto a cambiare il firmware a casaccio, conoscendo solo il produttore del disco, su un milione di hard disk scelti a caso per il mondo, il mio software diventa famoso come " il software che ha funzionato l'1% delle volte, e il resto delle volte ha devastato il disco rigido".

Mi trovero' a che fare con:

cioe' , io non capisco perche' per installare uno stupido office sui computer di una rete corporate sparsi per un singolo paese ho bisogno di una infrastruttura coi controcoglioni , e questi se ne escono con un programmino da 2 mega che tu lo installi su un milione di computer a casaccio, e tutti quanti riprogrammano il bios, riformattano/ripartizionano l'hard disk, alzano il server e mandano indietro i dati, in qualsiasi rete siano, senza chiedere ad operations di aprire firewall, qualsiasi proxy usino in rete, e il backup fatto sullo storage nascosto -mentre il PC lavorava - e' sempre integro!

Allora, diciamolo: Kaspersky, scendi dalla pioppa.

Andiamo invece agli allarmi "seri", diciamo almeno "credibili".

Pochi hanno compreso la portata della diceria di Snowden, secondo la quale sarebbero state rubate le credenziali delle SIM di Gemalto. 

Io personalmente lo prendo sul serio, perche':

Usando OTA e' possibile chiedere ai vostri cellulari di svolgere delle operazioni, anche complesse, ed e' possibile configurare il vostro telefono (cambiando APN, per dire, o cambiando la rete di preferenza), mediante un SMS.

Unitamente a questo, esiste BIP. BIP, Bearer Indipendent Protocol, ( http://www.etsi.org/deliver/etsi_ts/102100_102199/102124/06.01.00_60/ts_102124v060100p.pdf ) consente alla sim di chiedere una connessione dati e scaricare moduli, per poi installarli. E' possibile e viene fatto da molti sistemi di provisioning, inviare un messaggio che causa lo scaricamento di un modulo, il quale si installa nella SIM e a sua volta puo' fare cose.

Ma andiamo avanti, perche' se a questi due aggiungiamo il potere di SIM Application Toolkit come standard, oltre a mandarvi sull' APN che si vuole, oltre ad accendervi il microfono a piacimento, oltre a farvi installare moduli sulla sim, con un OTA e (U)SIM Application Toolkit e' possibile andare oltre e installare applicazioni sul vostro cellulare.

Cosa vi serve? Vi serve che il messaggio OTA sia accettato. E quando viene accettato? Quando e' firmato crittograficamente con le credenziali della SIM. E cosa mi serve per questo? Conoscere le credenziali della SIM, ovviamente.

Ora, se pensiamo che sono state rubate le credenziali crittografiche di milioni di SIM, capite il pericolo: chiunque manda un SMS silenzioso, e il vostro cellulare inizia a fare cose. Non c'e' bisogno di intercettare, si comanda il vostro cellulare, o meglio, la vostra SIM.

Non c'e' bisogno di schemi o di esadecimale per spiegare questa cosa: sono protocolli noti. Sono standard industriali. Non c'e' bisogno di TANTENTANZ e delle microonde quantiche.

Andiamo al secondo allarme: Lenovo.

Lenovo ha installato uno spyware dalle capacita' tipiche dei keylogger, capace di intercettare le chiamate a tastiera, le zone visualizzate del browser e il movimento del mouse. Unitamente a questo, ha piazzato anche un sistema che fa un MIM facendo passare le chiamate https per un server , attraverso il quale si puo' ovviamente sniffare il traffico, cosa che richiede chiavi crittografiche ad hoc ("Superfish"). Come se non bastasse, le chiavi sono facili da rompere. Ma qui siamo gia' all'intercettazione del traffico, mentre il sw di lenovo cattura anche i movimenti del mouse mentre siete sul browser.

Allora fermiamoci alla parte banale, quella che cattura mouse e tastiera.

Voi pensate che serva per spiare , ma il problema e' che quando installate un sistema per le chiavi crittografiche vi viene chiesto di muovere il mouse a casaccio, o di digitare a cavolo sulla tastiera, per "generare entropia".

Eccovi sistemata la vostra entropia.

In pratica, non solo potenzialmente esisteva un keylogger su ogni PC Lenovo: siamo al punto nel quale nemmeno le chiavi crittografiche generate su computer Lenovo forniscono sicurezza. Il vostro PGP/GPG, insomma.

Ora, occorre molto per capire che installando un proxy con chiavi non certificate , e lasciando una pasphrase semplice da rompere alle chiavi , e contemporaneamente osservando il mouse per "mandare pubblicita'" , l'utente non abbia alcuna speranza di crittare la comunicazione, e quindi di proteggersi?

Allora, torniamo al punto di prima: invece di sparare grafici, esadecimale a cazzo , nomi alla Snowden, sarebbe meglio se nel mondo della sicurezza si dotassero di spiegazioni semplici, che spieghino i pericoli in breve, che siano chiari e semplici, e specialmente, REPLICABILI: anche per evitare scene come questa:

e sarebbe ora che tutti i responsabili di infrastrutture iniziassero a fare lo stesso. Ce ne sono piene le palle di consulenti alla sicurezza che si presentano col pauerpoint e poi con l'esadecimale a cazzo, (e se gli chiedi di scrivere una riga di assembler si impappinano) , e ti spiegano che cosa fa il nuovo malware "ALBEROCIOLLA QUATERNIONI".

Che TANTENTANZ fa ridere, ma solo i primi cinque minuti.

Che cosa aspettate, che qualcuno pubblichi il generatore automatico di allarmi di Karspersky?

(1) Ok, coi fisici possiamo discutere se la separazione del colore sui DWD* sia separazione fisica o meno, ma non e' nulla di cui un malware per Windows XP possa trarre vantaggio.