SicurezzaInformatica

Cambiate la password su Twitter

Recentemente degli hacker hanno violato 250.000 account su Twitter. L'azienda lo segnala in un post sul suo blog, affermando che per tutti gli account coinvolti hanno già provveduto a resettare il login e a inviare messaggi e-mail segnalando il problema.

Per evitare problemi, visto che in questi casi non vi è mai nulla di assolutamente certo, consiglio a tutti di cogliere l'occasione e cambiare la password usata su Twitter.

Combofix infetto!

Sembra strano, eppure a volte anche un software più che legittimo e scaricato direttamente dal sito del produttore può presentare brutte "sorprese".

A quanto pare il noto software Combofix, usato in tutto il mondo per ripulire i sistemi dalle infezioni più ostinate, presenterebbe al proprio interno un file infetto dal malware "Sality". L'archivio infetto dal malware è stato individuato dal servizio Cloud di ESET alle 4:10 di questa mattina, ora italiana.

Non si tratta di un falso positivo. Ho provato personalmente a scaricare il pacchetto in questione dal sito del produttore, ed è risultato effettivamente infetto.

Aggiornamento: i curatori del sito di download hanno temporaneamente rimosso il programma e si sono scusati per il problema, informando gli utenti di non scaricare altre copie di Combofix eventualmente offerte da siti mirror. Maggiori informazioni in un post del forum.

 

 

 

Programma formativo sulla Sicurezza delle Applicazioni Web

Vi segnalo un'iniziativa formativa da parte di eLearnSecurity, che ha da poco presentato un nuovo programma formativo riguardante la sicurezza delle applicazioni web. Si tratta di un percorso che parte dalle basi della sicurezza web fino ad arrivare all'assessment delle vulnerabilità e di come queste vengono sfruttate dai criminali.

Trovate tutte le info necessarie qui. 

Il 1° seminario on-line della durata di 4 ore verrà presentato nei seguenti giorni e ore:

Prima parte - Lunedì 4 Febbraio dalle 21:00 alle 23:00
Seconda parte - Martedì 5 Febbraio dalle 21:00 Alle 23:00

Alla fine di ogni sessione verrà dato spazio alle domande dei partecipanti.

 

Webinar gratuito sulla sicurezza delle applicazioni web

Segnalo un Webinar gratuito sulla sicurezza delle applicazioni web, che si terrà mercoledì sera: Primi passi nella sicurezza delle applicazioni web con Hack.me.

Il relatore del corso sarà: Giuseppe Trotta (IT Security Researcher & Developer of Hack.me Project)

Il programma è il seguente:

• Introduzione alla sicurezza delle applicazioni web Breve introduzione delle applicazioni web e come funzionano.
  Individuazione dei principali problemi di sicurezza che affliggono le applicazioni web e i relativi fattori di rischio.
  Come approcciarsi alla sicurezza delle applicazioni web. Spesso non è solo una questione tecnologica.

• Il punto di vista di un hacker "Se conosci il nemico e conosci te stesso, nemmeno in cento battaglie ti troverai in pericolo..."
  Sapere con quali strumenti possiamo difenderci non basta... Iniziamo a conoscere chi ci attacca, come ci attacca e quali "armi" utilizza.

• Analisi dei principali attacchi web e dei relativi rischi
  Valutazione dei principali vettori di attacco utilizzati ad oggi, comprensione e valutazione dei rischi associati.

• Valutazione della sicurezza nelle applicazioni web (web application security assessment) Descrizione del processo di valutazione della sicurezza di un'applicazione:
  In maniera manuale, osservando le principali procedure adottate
  In maniera automatizzata, osservando i principali strumenti adottati.
  Introduzione ad Hack.me. Cos'è? A cosa serve? Come utilizzarlo?
  Risponderemo a queste e tante altre domande sul Nuovo progetto eLearnSecurity messo a disposizione della comunità Gratuitamente.

Israele: Iron dome all'opera

Ecco un filmato interessante. Questa volta si parla di sicurezza fisica, facendo comunque riferimento a un sistema altamente tecnologico: l'Iron Dome israeliano, il nuovo "scudo" per intercettare e distruggere i razzi balistici a corto raggio.

Ieri un fotografo a un party di matrimonio a Beersheba in Israele, a 40 chilometri da Gaza, ha postato su Youtube un video dove si può vedere il sistema all'opera.

L'azione comincia dopo circa 50 secondi dall'inizio del filmato. Vedrete i razzi che a un certo punto esplodono in aria.

Reti Wi-Fi, spesso la protezione è finta

Una delle notizie battute oggi riguarda un responsabile di un'agenzia di recupero crediti che sottraeva informazioni sensibili dalla banca dati dell'Agenzia delle Entrate.

Un dettaglio che ha solleticato la mia curiosità, che il Corriere non riporta ma che è presente nel lancio dell'ANSA, è il fatto che il presunto criminale avrebbe sfruttato per i collegamenti - fra le altre cose - reti Wi-Fi "più o meno protette" di ignari cittadini. In altre parole, l'uomo si sarebbe collegato tramite Wi-Fi alle reti aperte o poco protette di normali privati - magari posizionandosi con l'auto davanti alla loro abitazione - e da lì avrebbe effettuato alcuni dei suoi accessi illegali.

Sicuramente quando gli agenti si sono messi sulle tracce dell'uomo avranno bussato alla porta di quegli ignari cittadini che risultavano - fino a prova contraria - complici del presunto criminale, avendogli concesso la connessione a Internet. La loro colpa? Avere una rete Wi-Fi "più o meno protetta", che può andare dall'avere una rete completamente aperta fino all'aver implementato una cifratura WEP (che sappiamo essere inefficace) o una chiave WPA2 ma con la password di default del router.

Ed è su quest'ultimo aspetto che mi vorrei soffermare. Molti utenti si fanno installare il router Wi-Fi da tecnici delle compagnie telefoniche che, per stessa ammissione di un installatore con cui ho scambiato due chiacchiere tempo fa, sono dei semplici elettricisti, non degli esperti di informatica. Questi installatori lasciano di solito il router della compagnia telefonica con le configurazioni di default. Quando l'utente chiede se la sua rete è protetta loro gli mostrano la lunghissima password WPA2 del router e dicono "più protetta di così? guarda quanto è complessa la password!" senza sapere che le password di default dei maggiori router in commercio sono per lo più già note e/o discernibili da programmi appositi. Non c'è bisogno di avere chissà quali conoscenze tecniche per individuare la password, solo sul Market di Android ci sono già diverse app di facile installazione che individuano le password di default e consentono di collegare il terminale alla rete Wi-Fi "protetta".

È chiaro a questo punto che una via di mezzo non è percorribile. La rete Wi-Fi si lascia o completamente aperta - come teorizza già da anni Bruce Schneier - oppure la si protegge come si deve: password WPA2 complessa e non di default, cambio di password periodico, eliminazione del broadcast SSID, eliminazione dell'assegnazione automatica degli indirizzi IP e altri accorgimenti che in passato ho già avuto modo di indicare.

Proteggere la propria rete con misure inadeguate equivale a chiudere la porta di casa lasciando la chiave sotto lo zerbino o nel sottovaso.

Partita la prima simulazione di cyberattacco nella UE

L'Europa alle grandi manovre...

INTERNET: PARTITA PRIMA SIMULAZIONE CYBERATTACCO IN TUTTA UE

ESERCITAZIONE COINVOLGE BANCHE, TLC, AMMINISTRAZIONI PUBBLICHE

(ANSA) - BRUXELLES, 4 OTT - E' partita stamattina la prima simulazione di un cyberattacco a scala europea, che vede la partecipazione di banche, imprese di telecomunicazioni, fornitori di servizi internet, amministrazioni nazionali e locali.

 

L'esercitazione, che proseguira' tutto il giorno, prevede che i circa 400 esperti coinvolti in tutta l'Ue affrontino oltre 1.200 incidenti informatici nell'ambito di un attacco distribuito di negazione del servizio (DDoS).

 

L'obiettivo e' verificare il livello di risposte in caso di attacco contro i siti web pubblici e i sistemi informatici delle banche europee.

 

''E' la prima volta'' che questa esercitazione viene fatta, ha spiegato la commissaria Ue all'agenda digitale Neelie Kroes, sottolineando che la collaborazione tra i diversi attori e' ''indispensabile'', visto ''l'aumento della portata e della sofisticazione dei cyberattacchi''.

 

Nel solo 2011, questi sono aumentati del 36%, mentre tra il 2007 e il 2010 le imprese che hanno notificato incidenti con impatto finanziario sono quadruplicate (dal 5 al 20%).

 

L'Agenzia Ue per la sicurezza delle reti (Enisa) pubblichera' entro fine anno i risultati. (ANSA).

 

Klout, sicurezza e privacy

Klout.com, è utile usarlo? E cosa dire della sicurezza e della privacy? Ne ho parlato in un'intervista ad Alground.

Cambiate la password di LinkedIn, ma non solo

Alla fine LinkedIn ha mandato la sua comunicazione ufficiale a tutti gli utenti, ha aggiornato il sito e ha scritto un post sull'argomento: 6,5 milioni di password sono state indebitamente copiate e rese di pubblico dominio. Molte sono ancora crittografate, altre invece sono state già decrittate. Se usate LinkedIn ci sono molte probabilità che fra queste 6,5 milioni di password ci sia anche la vostra.

Dopo aver cambiato la password del sito (fatelo subito), consiglio un articolo di un anno fa ma sempre attuale su come aumentare la sicurezza e la privacy di LinkedIn: LinkedIn Privacy (in inglese).

 

 

 

Infrastrutture critiche: poca attenzione alla cybersecurity?

Un rapporto del Carnegie Mellon CyLab evidenzia come i CdA e i manager non pongano la sicurezza informatica fra i loro problemi principali.

The survey probed whether senior executives and board members were undertaking basic cyber governance activities, such as reviewing privacy and security budgets and top-level policies, establishing key roles and responsibilities for privacy and security, and reviewing security program assessments. It also asked whether the board was receiving information critical to the management of cyber risks, such as regular reports on breaches and the loss of data.

Il 75% degli intervistati opera nelle infrastrutture critiche. Fra questi, chi opera nel settore energetico e delle utilities ha ottenuto i risultati più bassi.

Ne parla su Forbes l'autrice dello studio.

Se colleghiamo i risultati di questo studio alla notizia di qualche giorno fa (Stati Uniti, infrastrutture critiche nel mirino) il quadro che ne esce non è dei più confortanti.

Qui si possono leggere i risultati della ricerca (pdf).