cavallette

Da diversi anni si discute sul senso e sui problemi dell’attuale realizzazione e applicazione dei protocolli Tls/Ssl. L’attuale struttura di pki basata su ca private che operano come se fossero dei notai autoproclamati ha un senso e serve allo scopo ? Oppure semplicemente viene tenuta in piedi perche’ tutto il commercio elettronico si basa sull’esistenza di questo protocollo, e quindi bisogna dire che funziona anche se poi non funziona davvero ?
In molti hanno prodotto riflessioni interessanti sull’argomento, vi consigliamo in particolare questo articolo di Sogohian.

Un esempio di come l’attuale sistema di autenticazione di un certificato ssl/tls sia facilmente aggirabile da telco, enti governativi, proxy aziendali e’ quanto la nokia ha messo in piedi per accellerare la navigazione da alcuni modelli di smartphone.

In bella sostanza per ogni richiesta https si chiude prima la contrattazione del certificato con un proxy della nokia il quale possiede un certificato valido firmato da una CA riconosciuta, e quindi che non genera alcun warning, ne’ finestrella. Sara’ il proxy a fare la richiesta per noi. Questo implica pero’ che il proxy possa vedere in chiaro tutto il nostro traffico ssl/tls, perche’ noi abbiamo chiuso con lui il canale cifrato e solo in seguito lui ne ha aperto un altro con la nostra destinazione. Il suo compito e’ per l’appunto decifrare il nostro traffico, ricifrarlo con la chiave contrattata con la destinazione, e viceversa. Il meccanismo e’ completamente trasparente senza un’analisi del flusso di dati un po’ dettagliata o senza controllare il certificato che ci viene fornito ( sara’ sospettosamente sempre lo stesso per ogni sito che andiamo a visitare). Si tratta usando un lessico un po’ diverso di un attacco mitm su ssl come si potrebbe piu’ elengantemente imbastire attraverso mallory e altre piccole accortezze.

Potremmo consigliarvi di non usare software closed source per non incappare in queste brutte sorprese e di usare comunque sempre plugin come certificate patrol/, che per quanto aprano un sacco di noiose finestrelle permettono di capire cosa accade dietro le quinte nel giochino del ssl/tls. Riteniamo pero’ che questa faccenda sia piu’ interessante per il modello tecnologico che delinea. Si parla di questo problema da circa un decennio, ma il fatto che su questa struttura si basi tutto il commercio elettronico implica che si debba discuterne sottovoce e dietro le quinte e nell’impossibilita’ di trovare una soluzione che non turbi le nostre tranquille ore di shopping on line, fare finta di niente. Tutto avviene in ogni caso soltanto nel nostro interesse, come si e’ affrettata a dichiarare la nokia colta in fallo.

This entry was posted on sabato, Gennaio 12th, 2013 at 1:29 pm and is filed under Cronache_Terrestri, Cyber_Rights, DailyHacking. You can follow any responses to this entry through the RSS 2.0 feed. Both comments and pings are currently closed.