di Marco Calamari
Un bell’esempio di irresponsible non-disclosure.
Pare che in marzo una intrusione informatica in RSA Data Security, notissima azienda che si occupa di sicurezza informatica, abbia portato alla sottrazione di un database dei seed di tutti i token OTP prodotti.
I token OTP sono quegli aggeggini che visualizzano una password numerica di 6 cifre e la cambiano una volta al minuto; li usano alcune banche e molte grandi aziende per rafforzare la sicurezza dei login.
Questo database non avrebbe nemmeno dovuto esistere, ma questo esula dalle considerazione qui esposte.
In pratica oltre ad un PIN scelto dall’utente, per loggarsi ad un sistema che usi questi token, l’utente deve fornire anche la passsword visualizzata dal token in quel momento.
La conoscenza del seed di un token permette di prevedere tutte le password che questo generera’ in ogni momento, e quindi la sicurezza del sistema torna ad essere quelle del solo PIN, che in molte applicazioni e’ di solo 4 cifre.
RSA ne ha dato vaghe comunicazioni dopo qualche giorno.
Alla fine di aprile pero’ ci sono stati alcuni casi di intrusioniinformatiche in grandi aziende ad alto livello di sicurezza cheutilizzavano questi token.
Le modalita’ di queste intrusioni suggeriscono che i seed dei tokenrubati siano stati in effetti utilizzati in uno schema di attaccocomplesso ma che non sembrerebbe realizzabile senza di essi.
Stiamo parlando, per essere chiari, di fornitori dell’esercito americano.
Ora che gli attacchi si stanno concretizzando RSA ha iniziato a offrire ai suoi clienti la sostituzione dei token …
Qui trovate quanto serve per formarvi un vostro giudizio, ma e’ questo il livello di privacy e sicurezza (le due cose sono inscindibili in questo caso) che dobbiamo aspettarci?
Un po’ di link sul tema:
RSA SecurID Customers Fear Fallout From Targeted Attack On Security Firm
Anatomy of an Attack
Security ‘Tokens’ Take Hit
Gli omini nel mezzo. Quante entita’ popolano le nostre comunicazioni ? Se c’e’ un punto sorgente e uno di destinazione nel mezzo, tra i due, e’ sempre possibile la presenza di un terzo incomodo, gli amici lo chiamano Mallory: e’ l’omino nel mezzo, in inglese Man in the Middle. Parleremo di Mitm con esempi presi da fatti di cronaca, dalla realta’ e ricondurremo questi discorsi ad Internet. Proveremo a riprodurre degli scenari credibili di attacchi analizzando alcuni protocolli cosidetti sicuri usati in rete (SSL/TLS, SSH) e alcuni casi di studio di contromisure particolarmente interessanti (Off the record messaging).
