Ancora sul Social Networking

Un trafiletto su Metro di questa mattina afferma che i servizi segreti britannici (MI6) hanno avviato una campagna di reclutamento su Facebook. Trovo la una cosa singolare ... Una veloce ricerca su Google e la chiave che ho inserito "MI6 e Facebook" mi ritorna 211.000 pagine. La prima è del Corriere della Sera:

* L'MI6 recluta le nuove spie su Facebook

La crisi finanziaria USA: qualche riflessione personale

Mi ha colpito questa faccenda della crisi del mercato finanziario USA; mi fa tornare alla mente i racconti di uno zio di papà sul crack del 1929, racconti tristi di anni faticosissimi e di tanti amici che hanno perso tutto e si sono essi stessi persi tra le difficoltà.
Mi ha colpito perchè la sede italiana di AIG International sta nel palazzo dove lavoro, e li vedo in ascensore, con quegli occhi tra il preoccupato, lo speranzoso, talvolta l'ottimistico persino ... e poi ancora lo sperduto.
Mi ha colpito, perchè tanti nomi di colossi bancari/finanziari, si sentono spesso e fino a poco fa sembrava tutto in ordine ...
Mi ha colpito perchè sembra che alla fine, tutto andrà in cavalleria, come troppo spesso accade. Sento proprio ora che il Congresso Americano ha bocciato il piano di salvataggio da 700 Mld, e oggi, sulla stampa, ho letto 14 nomi di grosse banche internazionali fallite, 5 di banche nazionalizzate e 6 di banche rilevate da privati pr evitare la chiusura.
Forse una lezione ci voleva, in questo periodo in cui alcuni hanno a lungo pensato di poter faticare poco per accumulare tanto; ma forse a farne la gran parte delle spese saranno i soliti.
E intanto penso alle persone che lavorano in questi colossi: mi chiedo quale stagione stiano attraversando e auguro loro (e al tempo stesso mi auguro) che alla fine, comunque vada, sia stata una stagione dai risultati positivi.

Nuove minacce

Mi capita tra le mail e le news che ricevo giornalmente questa notizia che vale la pena segnalare: si parla di "clickjacking", una seria minaccia che interessa tutti i browser Internet. La questione avrebbe dovuto essere discussa anche occasione della OWASP NYC AppSec 2008 Conference della scorsa settimana, ma l'intervento è stato posticipato ad altra data su richiesta di alcuni vendor.
La vulnerabilità alla quale si fa riferimento offre all'attaccante la pox di far clikkare l'utente sostanzialmente su un qls elemento di una pagina web (link o altro) senza che l'utente si accorga in alcun modo di essere "pilotato".
Non sono ancora disponibili i dettagli tecnici della vulnerabilità, ma già Micorsoft e Mozilla ne hanno confermata la gravità.
Per ora, pare che l'unica cosa certa sia che per proteggersi la sola possibilità, in attesa di sviluppi, sia quella di disabilitare browser scripting e plugin.
Stiamo a vedere ...

Auguriiiiiiiiiiii !!!!!!!!!!!!!!!!!!

Il 25 SETTEMBRE Emanuele ha compiuto 2 anni :-) Ieri sera, pertanto, abbiamo gozzovigliato in suo onore ... BURP !

In tema di Data Protection

Giovedì 25, ho trascorso una interessante giornata partecipando all'evento organizzato da Symbolic e SafeNet (nota soprattutto per la sua proposta di HSM) in tema di protezione dei dati.
Preceduto da un excursus sulle evoluzioni in tal senso del mercato security e da una breve presentazone dell'azienda, il seminario si è poi concentrato sugli aspetti di salvaguardia della disponibilità, integrità e confidenzialità dei dati memorizzati.
La questione della protezione dei dati memorizzati (cosiddetta DATA-AT-REST PROTECTION) si inserisce per SafeNet - e del resto ritengo non possa essere altrimenti - nella più generale strategia di "ENTERPRISE DATA PROTECTION (EDP)", intesa come creazione ed attuazione di politiche e misure tecniche organiche in materia di protezione dei dati.
Il must in questo contesto, è partire da una visione a tutto tondo che prenda in esame tanto le problematiche dei dati in transito sulla rete (DATA-IN-TRANSIT o DATA-IN-MOTION), quanto di quelli in fase di utilizzo ed elaborazione da parte di utenti ed applicazioni (DATA-IN-USE), quanto, infine, di quelli memorizzati.
Si tratta certamente di una strada battuta anche da altri vendor, ma ad oggi, SafeNet è stata l'unica, tra le proposte che conosco s'intende, a presentare un framework di soluzioni che possa indirizzare le tre problematiche in maniera completa, diversamente da altri che, pur attenti alla richiesta espressa dal mercato in tal senso, possono rispondere con soluzioni verticali affrontando solo una parte del problema.
Nel pomeriggio è stata organizzata anche una breve dimostrazione della serie di soluzioni DataSecure i430, appliance capaci di fornire servizi di cifratura a livello di database e file system. Sono oggetti che possono essere inseriti nell'infrastruttura in modo quasi trasparente, e che attuano la protezione attraverso un criterio di "concessione di utilizzo" delle chiavi di cifratura. In sostanza, l'appliance, prima di concedere all'utente il diritto di eseguire sui dati le operazioni richieste, effettua una verifica relativamente al diritto dell'utente di usare il set di chiavi con cui è stato cifrato l'insieme di dati, e permette l'esecuzione delle operazioni (lettura, scrittura, modifica, decifratura, cifratura, ecc.) solo se l'utente è abilitato all'uso delle chiavi stesse.
Insomma, mi hanno incuriosito molto, tanto più in un memomento come quello odierno in cui si sta vivendo una fase 2.0 in ambito sicurezza con fortissimi accenti sulla protezione dei dati e sul controllo di quanto accade all'interno del proprio perimetro di rete.

*ware

Tempo fa scrivevo un articolo intitolato "L'ipotesi di Riemann e la sicurezza di Internet" nel quale presentav il legame tra i meccanismi di cifratura a chiave asimmetrica, il problema posto dalla congettura nota come Ipotesi di Riemman e i servizi internet-based (eGovernment, eBusiness, eLearning, ecc.).
Chiudevo l'articolo con un'ottimistica affermazione sulla base della quale proprio la mancata verifica dell'ipotesi di Riemann ci permette, ad oggi, di operare con tranquillità su Internet, usando tutte quelle sicurezze che sono tipicamente garantire dai meccanismi citati.
Chissà perchè, nelle mie riflessioni passate, non ho mai pensato che questi stessi meccanismi potessero essere sfruttati con logiche rovesciate; che si potesse farne un uso finalizzato non alla protezione, ma al danno ...
Recentemente - notizia della scorsa estate - è ricomparso in rete un vecchio virus (per essere precisi un ransomware) denominato Gpcode che usando proprio un meccanismo a chiave asimmetrica cifra i file dell'hard disk della vittima, cancella gli originali e "promette" di consentire il recupero del loro contenuto (decifratura) solo dopo aver versato qualche centinaio di euro sul conto corrente del creatore del virus stesso.
Altre informazioni sul virus redivivo sono riportate qui:
- Il worm che minaccia di sequestrare l'hard disk
- Il trojan ti spia e ti minaccia

Le mie certezze in materia di tecniche di "protezione" dei dati vacillano un po' ...

Aperto (ita) = Open (eng) = Vyatta (Sanscrito)

Talvolta resto un po' scettica di fronte a certe ipotesi, ma il movimento e la curiosità attorno a Vyatta (ideatori della prima soluzione di routing/firewalling open-source ti tipo "commerciale") ne hanno fatto un osservato speciale del 2008. Mi sembra interessante l'evoluzione in questa direzione ...
Questa, stando a Network World, la top 10 dell'anno in tema di open source: si va dalle soluzioni di trading ai tool di sviluppo, dalla virtualizzazione all'email filtering, sino all'ambito del mobile:

- "10 open source companies to watch".

Novità italiane in tema di Computer Forensics

Partono i primi seminari sulla soluzione PTK, tool di forensic analisys sviluppato in ambito italiano da DFLabs e IRITaly che si configura come possibile alternativa alla ben nota interfaccia Autopsy della suite TSK (The Sleuth Kit).

Neutralità: è una cosa seria

La Federal Communication Commission (FCC) - un'agenzia governativa USA istituita nel 1934, e incaricata della regolamentazione (a livello federale e internazionale) del settore delle telecomunicazioni - ha contestato all'americana Comcast la violazione del "principio di neutralità" su Internet, in base la quale tutti i tipi di traffico devono essere egualmente trattati. Beh, non è la prima volta che viene sollevata un'eccezione del genere nei confronti di un operatore delle telecomunicazioni, soprattutto negli USA; inoltre, vi sono scuole di pensiero decisamente agli opposti sulla opportunità o meno di regolare la rete secondo questo principio, così come sulla realizzabilità tecnica effettiva di un tale principio progettuale.
La questione per la quale l'azienda è stata citata riguarda il particolare uso che Comcast fa delle tecnologie d network & security management (la suite è quella prodotta da Sandvine) attraverso le quali, sostanzialmente, procura un forte allentamento in upload (sino al blocco) dei flussi peer-to-peer - con particolare riguardo a BitTorrent; il tutto con un alone di segretezza speciale e senza preventivo avviso all'utenza ... - cfr. http://www.publicknowledge.org/pdf/fp_pk_comcast_complaint.pdf.
Al di là di quello che ciascuno di noi possa pensare in tema di Network Neutrality, ritengo la questione di non poca rilevanza. La FCC ha seccamente replicato a tutte le argomentazioni presentate da Comcast, arrivando ad affermare che neppure una normalmente giustificabile ragione di business poteva applicarsi a questa scelta ed ai modi con i quali è stata attuata la misura. Da quanto ho letto, devo dire che rimane il dubbio che l'operatore stia confondendo delle buone pratiche di sicurezza e controllo di banda con qualcos'altro.
Forse è proprio per prevenire simili confusioni che l'Unione Europea sta lavorando al perfezionamento della regolamentazione sul tema, con particore enfasi sugli aspetti di gestione della banda e priorità del traffico (Telecoms Package).

"Antisocial" Networking ?

E' sempre più fervido il dibattito relativo ai cosiddetti Social Network, quelle applicazioni come MySpace, Facebook, Linkedin, Plaxo che rappresentano oggigiorno una delle più evolute e gettonate forme di comunicazione via Internet, e che ci permettono di entrare a far parte spesso di vaste comunità virtuali (quelle del Web 2.0 per intenderci).
Pur costituendo, dal mio punto di vista, un interessante strumento comunicativo e di aggregazione, spesso mi chiedo se il loro utilizzo non porti con se' anche nuovi e maggiori rischi per la sicurezza, nostra personale e dei soggetti con i quali interagiamo in rete o via rete.
Chi di noi non fa uso di almeno uno strumento di questo tipo ? Personalmente, ad esempio, ho un profilo su Linkedin già da qualche anno. Vedo poi che molti colleghi che operano in ambito ICT - io non ne ho ancora avuto occasione, ecco perchè parlo solo di altri :-) - sfruttano il canale YouTube, talvolta anche per la pubblicazione di materiale che ha diretta relazione con la loro attività professionale ... Non dimentichiamo poi i blog, personali, collettivi, tematici, supportati in larga parte da servizi gratuiti (questo rientra appunto nella categoria).
E allora mi dico: ma se, in un giorno qualsiasi, ricadessi anch'io nel gruppo di coloro che per un clik un po' disattento o frettoloso contribuiscono a creare e/o crearsi un problema ?

Va da sè che restare informati e muoversi con cautela nella rete - il solito buon senso, insomma - rappresentano delle regole imprescindibili di condotta; ma qualche dubbio mi rimane, alimentato da quest'articolo che leggo su ZeroDay, un'articolo che esordisce in questo modo:

"Do you know what that innocent-looking Facebook app is really doing?
Researchers at the Institute of Computer Science (ICS) have created a proof-of-concept Facebook application capable of covertly herding users of the popular social network into a powerful — and malicious — botnet.
The demo application, called Photo of the Day, delivers a different image from National Geographic everyday but, behind the scenes, special code embedded into the application creates a botnet of Facebook users launching denial-of-service attacks.
... "

Il meccanismo di funzionamento dell'applicazione (dettagliatamente descritto in http://blogs.zdnet.com/security/images/facebotisc08.pdf) fa leva sulla caratteristica tipica del Web di fornire riferimenti a contenuti ospitati su ambienti e domini diversi (i link ad altri siti). Nel caso specifico, quando un utente consulta una pagina referenziata dal link in questione, il browser inizia a scaricare dal sito vittima consistenti moli di dati, senza tuttavia rendere la cosa evidente all'utente stesso. In tal modo, proprio in ragione della numerosità degli utenti del social network e quindi del presumibile enorme numero di accessi alla pagina, si arriva presto alla saturazione della banda della vittima.

Il fatto di sfruttare i social network, caratterizzati da un'ampia base di utenti con interessi in comune, interessi che li porteranno anche a consultare le medesime risorse in rete, è senza dubbio un fatto dal potenziale enorme. L'esperimento descritto dall'articolo in questione lo dimostra.
E' legittima, pertanto, a parer mio, la preoccupazione che tali nework possano trasformarsi in potenti botnet o comunque in veicoli di infezione.

Ma vi è di più. Le ultime tendenze in fatto di creazione e diffusione di codice malevolo vedono il crescente utilizzo dei linguaggi di scripting (Java Script in primis) e l'impiego di pagine HTML e ASP, elementi che evidenziano la volontà di sfruttare proprio il Web 2.0 come veicolo di infezione (si veda a tal proposito il report annuale elaborato da Kaspersky per il 2007).

Ma allora che cosa è bene fare ? Smettere di frequentare le community e i Social Network ? Certo che no; e poi non ci penso proprio a cancellare il mio profilo Linkedin :-)
Torna la solita logica del buon senso: magari pensiamoci una volta in più prima di fare click su quel link così suadente, soprattutto se ci capita di fare click dal nostro computer aziendale.
Se poi dovessimo finire in qualche pasticcio ... beh, noi esperti di security, altrimenti, che cosa avremmo da fare ?

Lentamente ...

Ho voluto riportarla dopo averla letta in rete; mi piace l'idea di "non perderla" e trasformarla in qualcosa di un po' mio. Il testo è di Martha Medeiros.

Lentamente muore chi diventa schiavo dell'abitudine,
ripetendo ogni giorno gli stessi percorsi,
chi non cambia la marca, il colore dei vestiti,
chi non parla a chi non conosce.

Muore lentamente chi evita una passione,
chi preferisce il nero su bianco e i puntini sulle "i" piuttosto che un insieme di emozioni,
proprio quelle che fanno brillare gli occhi,
quelle che fanno di uno sbadiglio un sorriso,
quelle che fanno battere il cuore davanti all'errore e ai sentimenti.

Lentamente muore chi non capovolge il tavolo,
chi è infelice sul lavoro,
chi non rischia la certezza per l'incertezza per inseguire un sogno,
chi non si permette almeno una volta nella vita di fuggire ai consigli sensati.

Lentamente muore chi non viaggia,
chi non legge, chi non ascolta musica,
chi non trova grazia in se stesso.

Muore lentamente chi distrugge l'amor proprio,
chi non si lascia aiutare;
chi passa i giorni a lamentarsi della propria sfortuna o della pioggia incessante.

Lentamente muore chi abbandona un progetto prima di iniziarlo,
chi non fa domande sugli argomenti che non conosce,
chi non risponde quando gli chiedono qualcosa che conosce.

Evitiamo la morte a piccole dosi,
ricordando sempre che essere vivo
richiede uno sforzo di gran lunga maggiore del semplice fatto di respirare.

Soltanto l'ardente pazienza
porterà al raggiungimento di una splendida felicità.

Curiosità dal mondo della scienza

Notizie come questa (segnalatami da un collega) suscitano sempre qualche perplessità:

http://www.repubblica.it/2008/09/sezioni/scienza_e_tecnologia/big-bang-test/big-bang-test/big-bang-test.html?rss