SicurezzaInformatica

Web defacer in aumento: domani anche sui cellulari?

Uno studio del sito Zone-H riportato da ZDNet rivela come negli ultimi anni i defacement dei siti web siano aumentati a un ritmo vertiginoso.

È interessante il commento del curatore del sito, Roberto Preatoni, che afferma come la progressiva convergenza di Internet e telefonia possa portare sui cellulari gli stessi problemi che oggi riscontriamo nei server web:

"Once GSM telephone platforms are replaced by VoIP and 3G phones, which work in the same way as Internet servers, the number of Web servers will increase to 1.5bn," he said. "Each of these phones will potentially be subject to the same vulnerabilities as traditional Web servers and personal computers. [This] could even turn the phones into remote-controlled snooping devices, opening the way to massive industrial espionage incidents."

Aggiornamento Acrobat Reader

Adobe Acrobat Reader non ha fatto in tempo a passare alla versione 7 che già è stata riscontrata una vulnerabilità, per cui si consiglia di aggiornare le vecchie versioni direttamente alla 7.01. Questo anche per via di un potenziale problema di sicurezza riscontrato da alcuni tecnici nella versione 6.

Il futuro vedrà un utilizzo più massiccio del riconoscimento vocale

Una delle tecnologie biometriche per l'autenticazione consiste nel riconoscimento della voce. Non solo il timbro, ma anche la tonalità o la velocità con cui parliamo. Nei prossimi anni il mercato è destinato a quintuplicarsi, come riferisce BusinessWeek in questo articolo. Alcune aziende recentemente hanno sviluppato software per migliorare l'autenticazione al telefono:

A number of companies, including IBM, Microsoft, and Hewlett-Packard, have recently developed new biometric software and devices designed specifically with the phone in mind. Their solutions to the phone-security conundrum range from embedding detectors such as fingerprint scanners right into mobile phones and personal digital assistants to using a promising new biometric technique called voice verification.

Ma uno dei pericoli associati a questo aumento di transazioni telefoniche è l'abuso degli attuali dispositivi cellulari e PDA, che senza essere stati originariamente pensati per questi scopi, presto potrebbero diventare veri e propri portafogli elettronici:

To facilitate such transactions, cell phones and PDAs will likely contain more crucial personal information, such as credit- and debit-card numbers. With mobiles doubling as electronic wallets, the implications of losing them grow increasingly serious.

L'articolo riferisce anche di un'altra soluzione che verrà presto implementata direttamente sulle carte di credito, esse conterranno infatti un chip per il riconoscimento vocale dell'intestatario:

Here's how it works: A special sensor on the credit card stores its owner's previously recorded voiceprint in digital form. When the owner receives a new card, he or she speaks a password into the sensor on the card. If the voiceprint matches, the card is activated.

Microsoft e VeriSign per la sicurezza delle reti Wi-Fi

Secondo questo articolo di Yahoo! News Microsoft e VeriSign stanno realizzando un sistema di controllo degli accessi alle reti Wi-Fi basato su cosiddetti health certificates.

In pratica un dispositivo non si può connettere alla rete se non soddisfa certi parametri stabiliti in precedenza, e convalidati da un apposito certificato. Dopotutto il pericolo dei rogue devices all'interno del perimetro Wi-Fi di un'azienda è sempre dietro l'angolo.

Introduzione a spyware e keyloggers

SecurityFocus ha pubblicato un interessante articolo introduttivo su Spyware e Keyloggers. Cosa sono, cosa fanno, in quali categorie si dividono e come riconoscerli per eliminarli.

Utile per i meno esperti.

Possibili problemi di privacy con i RFID nel passaporto

In questi anni molti Paesi stanno sperimentando o introducendo nuovi tipi di documenti - soprattutto passaporti - dotati di molteplici misure di sicurezza, come microchip contenenti i dati, anche quelli biometrici, del legittimo possessore del documento.

Diversi esperti di sicurezza e organizzazioni per la difesa della privacy contestano l'efficacia di alcune di queste tecnologie. I passaporti che dall'anno prossimo gli Usa distribuiranno al proprio corpo diplomatico, ad esempio, conterranno un chip Rfid che - a detta dei più critici - rappresenterà una breccia nella privacy degli individui: i dati del possessore del documento potrebbero infatti essere "letti" a sua insaputa anche da notevoli distanze, e ovviamente senza la sua autorizzazione.

SecurityFocus ha un articolo cha dà voce sia ai promotori dell'iniziativa sia ai suoi detrattori, come Bruce Schneier, che afferma:

"You have to worry about identity theft, you have to worry about cloning without the victims knowledge, you have to worry about tracking and surveillance -- all the things that go with people carrying a beacon that broadcasts their identity,"

Le banche UK tentano di correre ai ripari

Con gli attacchi di phishing in continuo aumento, le banche britanniche stanno cercando di correre ai ripari adottando tecnologie più sicure per l'autenticazione dei propri clienti on-line.

ZDNet riporta in un articolo che l'associazione delle banche del Regno Unito ha deciso di muoversi verso la soluzione della two-factor authentication. Con questa soluzione il cliente che accede al sito web della banca non deve solamente inserire username e password, ma per autenticarsi con successo deve rispondere a un'ulteriore sollecitazione che può essere trasmessa con i metodi più diversi: un dispositivo hardware da applicare al computer, un messaggio sms che arriva sul cellulare, ecc.

La two-factor authentication è sicuramente meglio della semplice password, ma sembrerebbe che il mondo bancario si muova verso questa soluzione quasi fosse una specie di panacea. Recentemente Bruce Schneier ha pubblicato una breve spiegazione sulle debolezze della procedura.

Joint Functional Component Command for Network Warfare

JFCCNW, questo l'acronimo con cui i militari Usa chiamano il loro team di überhackers, esperti informatici provenienti dalle agenzie di difesa (Nsa, Cia, Fbi) e dalle forze armate. L'esistenza di questo gruppo, ipotizzata da molti anni, è divenuta di pubblico dominio il mese scorso durante un'audizione presso il Senato statunitense, ma solo oggi gli organi di informazione ne hanno dato notizia.

Il compito principale del JFCCNW è quello di partecipare ad azioni belliche difendendo le infrastrutture di rete alleate e attaccando quelle nemiche, dalle reti di PC ai telefoni, dai radar ai network wireless.

L'operato del JFCCNW è tenuto segreto per ovvie ragioni, con una ricerca in Rete si trovano per il momento pochissime informazioni (fra cui il documento ufficiale che ne rivela l'esistenza, dal sito del Senato americano).

Da un articolo di Wired:

The JFCCNW is charged with defending all Department of Defense networks. The unit is also responsible for the highly classified, evolving mission of Computer Network Attack, or as some military personnel refer to it, CNA.

[Former U.S. Marine] Verton said the unit's capabilities are highly classified, but he believes they can destroy networks and penetrate enemy computers to steal or manipulate data. He said they may also be able to set loose a worm to take down command-and-control systems so the enemy is unable to communicate and direct ground forces, or fire surface-to-air missiles, for example.

Gli Usa temono cyberspie cinesi a un passo da casa

Alcuni quotidiani americani, come il Kansas City Star e il Miami Herald, riportano le preoccupazioni dei militari americani su probabili installazioni informatiche cinesi a Cuba e in altri paesi dell'America Latina. Le basi avrebbero come scopo quello di monitorare le comunicazioni degli Stati Uniti a distanza ravvicinata, oltre che fornire un possibile supporto a più ampie azioni di cyberwarfare.

Uno stralcio dell'articolo, riportato dal sito Global Exchange:

This is the first time that a senior Pentagon official warned so directly about Chinese cyberwarfare capabilities in the region. Some U.S. officials have previously and privately expressed concern that Chinese personnel may be working at an electronic listening post in Bejucal, Cuba, believed to be also capable of carrying out cyberwarfare operations.

"Hackerare" il conclave

L'esperto di security Bruce Schneier ha pubblicato oggi un'interessante analisi sui punti deboli del conclave ("hacking the papal election"), ipotizzando diversi modi per rompere le difese dell'elezione del nuovo pontefice, ma concludendo che nei secoli il procedimento è diventato sicuro e difficile da manipolare.

Benché non abbia assolutamente nulla a che fare con l'informatica, è un documento abbastanza esauriente e gradevole da leggere.